算机信息系统安全建设方案V0

1、I-:文件页数：i 共 页 II : H KTB 一 一H KTB ra h Ii文件级别：|内部文件| 日 痂：，20090611I 4*il M |：il 士 R U-*a 4 4ia *H T4 a 4 R-*= R 4 * H*,*： I编写部门：安全评估部lawa wbbis-h w-raBHS-eBH nBanBaBiB-Ba hsbi版 本：i V2o 0某公司涉密计算机信息系统安全建设方案* * * 公司XXX信息技术有限公司联合编写2014. 10文档信息文档名称* *公司涉密计算机信息系统安全建设方案保密级别内部文档版本编号V2.0文档管理编号管理人制作人制作日期校对人制表

2、人复审人复审日期扩散范围：双方项目参与人员文档控制变更记录日期作者版本号说明1.0创建文档初始版本2.6修改和完善3.0修订3.9根据月 日评审意见修改文档审核日期姓名职位20090525副总经理20090525高工、CISP20090525信息安全工程师20090609四川省国家保密局特邀专家文档发布拷贝号文档接收人员单位/地址2009-05-28* * * 公司2009-05-28四川省国家保密局文档说明此文档为“* *公司涉密计算机信息系统安全建设方案”，是成都XXX信息技术有限责任公司受*公司委托编写.本方案旨在根据国家对于涉密计算机信息系统 的要求，给出* *公司涉密计算机信息系统安

3、全建设建议，并及时请示国家保密局组织 专家评审.版权说明本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特 别注明，版权均属 成都XXX信息技术有限公司 所有（部分内容版权属*公司所有）， 受到有关产权及版权法保护。任何个人、机构未经双方书面授权许可，不得以任何方式复制 或引用本文件的任何片断。 TOC o 1-5 h z 前言-5 - HYPERLINK l bookmark26 o Current Document 1、概述-6 - HYPERLINK l bookmark28 o Current Document 1.1任务的由来-6- HYPERLINK l

4、bookmark30 o Current Document 1。2任务的范围-6- HYPERLINK l bookmark32 o Current Document 1.3任务的目标-6- HYPERLINK l bookmark34 o Current Document 2、系统概括-8 - HYPERLINK l bookmark44 o Current Document 3、设计依据-11 - HYPERLINK l bookmark46 o Current Document 4、系统安全建设目标和原则 -12 - HYPERLINK l bookmark48 o Current Do

5、cument 建设目标-12- HYPERLINK l bookmark50 o Current Document 建设原则-12- HYPERLINK l bookmark52 o Current Document 5、信息系统安全需求分析 -14 -5.1需求的来源-14-5。1。1国家信息安全政策的要求 -14 - HYPERLINK l bookmark57 o Current Document 5.1。2科研生产的需要-14 - HYPERLINK l bookmark59 o Current Document 5。1.3工厂管理的需要-15 - HYPERLINK l bookma

6、rk61 o Current Document 。4信息系统安全评估的结果 -15 - HYPERLINK l bookmark63 o Current Document 信息系统安全需求 -15- HYPERLINK l bookmark65 o Current Document 6、信息定密、系统定级和划分安全域 -18 - HYPERLINK l bookmark67 o Current Document 信息定密-18- HYPERLINK l bookmark69 o Current Document 6。2系统定级-18- HYPERLINK l bookmark71 o Curr

7、ent Document 6。3安全域的划分 -18- HYPERLINK l bookmark73 o Current Document 7、信息系统安全策略 -19 - HYPERLINK l bookmark75 o Current Document 7。1涉密计算机信息系统基本要求 -19- HYPERLINK l bookmark77 o Current Document 物理安全策略 -20-运行安全策略 -20 - HYPERLINK l bookmark79 o Current Document 7。3.1网管中心服务器存储、备份及恢复安全策略 -20 - HYPERLINK

8、l bookmark82 o Current Document 各部门服务器和客户端存储、备份及恢复安全策略 -20 - HYPERLINK l bookmark84 o Current Document 7。3.3电源备份安全策略 -20 -病毒威胁安全策略 -21 - HYPERLINK l bookmark88 o Current Document 7。3。5应急响应策略-21 - HYPERLINK l bookmark90 o Current Document 7。3。6运行策略-21 -7。4信息安全策略 -22-。1身份认证策略 -22 - HYPERLINK l bookmar

9、k95 o Current Document 7。4.2访问控制策略-22 - HYPERLINK l bookmark97 o Current Document 7。4.3安全审计策略 -23 - HYPERLINK l bookmark99 o Current Document 信息加密与电磁泄漏防护策略-23 - HYPERLINK l bookmark101 o Current Document 系统安全性能检测策略 -24 - HYPERLINK l bookmark103 o Current Document 7。4。6边界安全防护策略 -24 - HYPERLINK l book

10、mark105 o Current Document 8、物理安全设计 -26 - HYPERLINK l bookmark107 o Current Document 8。1环境安全-26- HYPERLINK l bookmark109 o Current Document 设备安全-26- HYPERLINK l bookmark111 o Current Document 介质安全-26 - HYPERLINK l bookmark113 o Current Document 9、安全运行体系设计 -28 - HYPERLINK l bookmark115 o Current Docu

11、ment 9。1安全存储与备份、恢复 -28- HYPERLINK l bookmark117 o Current Document 9。2增加UPS后备电源 -29- HYPERLINK l bookmark119 o Current Document 计算机病毒防治 -29 - HYPERLINK l bookmark121 o Current Document 完善应急响应措施 -29- HYPERLINK l bookmark123 o Current Document 9。5完善运行管理措施 -29- HYPERLINK l bookmark125 o Current Documen

12、t 10、信息安全保密体系设计 30 HYPERLINK l bookmark127 o Current Document 10。1身份认证解决措施 30 HYPERLINK l bookmark129 o Current Document 10。2访问控制解决措施 30 HYPERLINK l bookmark131 o Current Document 10。3安全审计解决措施 31 HYPERLINK l bookmark133 o Current Document 信息加密与电磁泄漏防护解决方案 31 HYPERLINK l bookmark143 o Current Document

13、 系统安全性能检测解决措施 32 HYPERLINK l bookmark145 o Current Document 边界安全保护解决措施 32 HYPERLINK l bookmark147 o Current Document 10。7安全防范拓扑示意图 32 HYPERLINK l bookmark151 o Current Document 11。安全管理体系设计 33 HYPERLINK l bookmark153 o Current Document 12、建设实施内容34 HYPERLINK l bookmark155 o Current Document 12。1综合布线34

14、12.2机房改造35 HYPERLINK l bookmark157 o Current Document 12。3信息系统基础平台建设 36 HYPERLINK l bookmark159 o Current Document 12。4安全防范措施 37 HYPERLINK l bookmark161 o Current Document 13、工程计划37 HYPERLINK l bookmark163 o Current Document 14、结语41、44刖百四川*夫*责任公司（以下简称“* *公司”）是国家中型企业，属于制造 业.始建于* * *年，是中国* * * * * *专业

15、化厂家，是中国* * *设 备制造企业之一，工厂现有职工 700余人.随着* * * *公司企业信息化建设的逐步推进，加强了技术创新和管理创新能力，使企业及其产品获得市场竞争优势。随着信息化建设的推进，必须加强信息系统的安全保密建设， 以满足国家对于 涉密计算机信息系统的需求。按照保密的密级规定， * *公司涉密计算机信息系 统需要按照秘密级进行安全防护建设。本方案主要根据*公司涉密信息系统建设要求，由成都 XXX信息技术有限 公司（以下简称“ XXX公司”）设计完成。本方案依据 BMB17-2006/BMB20-2009 ,结合* *公司在新的保密形式下的 需求，紧扣“建设安全保密、经济可用

16、的秘密级信息系统”这一设计目标，旨在 采用先进的网络信息安全技术，保障系统的运行环境和设备安全，防范对信息资源的非法访问，抵御对涉密资料的非法窃取，保护数据资产的安全，提高* *公司 在复杂应用环境下的安全保密能力，达到国家的相关要求.本方案在现状分析和需求分析的基础上， 遵循国家相关保密法律和规范，从物 理安全、网络运行安全、信息保密安全、安全保密管理等方面出发 ，开展对系统的 脆弱性和风险性分析，进行网络系统的扩展设计以及系统安全设计 ，提出了包括访 问控制、安全审计、管理监控等安全技术在内的一整套解决方案，满足BMB17-2006 和BMB202009相关技术要求。同时，按照规范的要求，

17、本方案对*公司的安全保密管理提出了解决方法, 包括了管理机构的设立、管理制度的建立、管理技术的实施和人员管理的配套。1、概述1。1任务的由来*支公司在企业分离破产后重组新建的四川 *夫*责任公司，企业计划在2009 年第三季度通过相关的保密资格认证 ，其中保密资格认证是*公司中重要认 证之一，经过*公司办公会上的充分讨论，以及对各个有涉密计算机信息系统 集成资质公司的比较和筛选，最终确定由XXX公司来帮助* *公司建设涉密计算 机信息系统，并同步建设安全保密系统.任务的范围本次任务是编写* * * *公司涉密计算机信息系统的安全建设方案。其范围是*夫夫*公司的办公局域网和安全系统的建设 ，为*

18、 * *公司未来的信息系统应用打 好基础。主要包括：综合布线系统，机房建设，网络基础平台的搭建和安全保密 系统的同步建设.任务的目标本次任务有两个目标：1、借“保密资格认证”的东风，搭建企业局域网平台；2、同步建设企业安全保密系统，满足保密资格认证的要求2、系统概括*公司目前的信息系统规模小，信息应用简单，目前在三个主要办公区域采用了 3个HUB进行本部门的网络连接（这三个网之间无相互连接），其拓扑示意 图如下：财务审计部叫冢 KHUB技术管理部眼睡嚏HUB设计部虻姆般1、* * * *公司目前的信息系统组成有：1）单机办公共计100多台，主要运行MS Office软件；2）财务审计部和技术管

19、理部的计算机接于各自的HUB上，目的是网络办公和共享打印机；3）基于非网管的、同房间使用的交换机组成的临时网络，主要运行CAD系统，目的是共享文件和打印机；2、信息系统的资产：*夫*公司信息系统的资 产主要有:全厂的100多台的PC机，以及CAD 和财务数据。3、信息系统的管理：目前是“谁使用、谁负责、谁运行维护”的状态 ，没有专业的信息技术部门统一管理。4、信息系统的应用系统及重要性：应用系统包括：财务系统和 CAD联网应用，这两个系统中CAD是* *公 司的业务龙头，有较大的重要性。5、信息系统之间的互联关系：实现了和国际互联网的物理隔离，没有和其他网络有连接关系.6、系统安全管理的组织机

20、构及措施：* * *公司成立了保密办，负责检查和教育应用系统确保同国际互联网 的物理隔离。7、信息系统承载的密级* *公司目前的单个计算机绝大部分不涉密，全厂涉密等级最高为秘 密级，其主要集中在设计部门和管理部门。8、涉密人员及涉密计算计算机设备状况*公司是传统的军工单位，涉密人员和涉密计算机设备状况均有良好的制度管理。目前涉密人员定员明确，涉密计算机的设备运行状况也良好,实行“谁使用谁负责谁应用谁维护的管理模式3、设计依据国家标准? GB/T2887 -2000电子计算机场地通用规范? GB/5271.1 2000第一部分:基本术语? GB/5271 0 8-2001第八部分：安全? GB/

21、5271 0 9-2001第九部分：数据通信? GB/9361 -1988计算站场地安全要求? GB/T9387.2-1995安全体系结构? GB/T18336 -2001信息技术安全性评估准则? GB50174电子计算机机房设计规范? GGBB1-1999信息设备电磁泄漏发射限值? BMB2-1998使用现场的信息设备电磁泄漏发射检查测试方法和安全判据? BMB3-1999处理涉密信息的电磁屏蔽的技术要求和测试方法? BMB4-2000电磁干扰器技术要求和测试方法? BMB5-2000涉密信息设备使用现场的电磁泄漏发射防护要求? BMZ1 -2000涉及国家秘密的计算机信息系统保密技术要求?

22、 BMB17 -2006涉及国家秘密的信息系统分级保护技术要求? BMB20 2009涉及国家秘密的信息系统分级保护管理规范? ISO/IEC17799国家政策?中华人民共和国保守国家秘密法1988。9。5?国家信息化领导小组关于加强信息安全保障工作的意见中办发2003年27号?关于加强信息安全保障工作中保密管理的若干意见中保委发2004年7号?涉及国家秘密的信息系统分级保护管理办法国保发 2005年16号?信息安全等级保护管理办法公通字 2006年16号4、系统安全建设目标和原则4。1建设目标建设* * *公司的安全、稳定、高效的信息系统平台，为未来的系统应用和园 区网络的建设奠定良好的基础

23、和示范。4。2建设原则规范定密，准确定级；依据标准，同步建设；突出重点，确保核心；明确责任，加强监督。以上32字原则是本次方案设计的政策性指导,* * * *公司由保密保卫部根据中国二航的相关规定负责定密，计算机信息系统的最高密级为秘密级；根据相关国家标准，在搭建企业局域网时同步建设安全系统；突出保密重点在科研生产和产品设计上，建立信息中心，集中存放产品数据，确实保障核心涉密数据；工厂保密委同时明确各个涉密部门和人员的责任， 由保卫保密部执行技术部协助加强对各个涉密系统和人员的监督.5、信息系统安全需求分析四川*责任公司是国家重点保军企业，厂领导非常重视信息化建设，全 厂经过多年的信息化发展，

24、已经取得了突出的成绩，目前已经基本形成了军品设 计、财务管理等局域网。为适应当前形势和工作的需要，结合厂领导的要求，建设安全、稳定、高效的信息系统平台是当前信息化建设工作的当务之急。而在信息 系统平台的建设工程中，办公大楼的网络建设是园区网的核心，同时也是整合全厂园区网的基础.需求的来源5。1.1国家信息安全政策的要求*公司是国家二级涉密单位，全厂的信息化建设，必须符合国家相关规定， 同时要接受国家职能部门的达标审查，因此，计算机信息系统的涉密安全建设更是 重中之重.在本方案中，不论网络系统设计、结构化布线设计以及机房工程，均严 格遵守国家相关保密规定，进行对应的密级工程设计与施工。5.1 o

25、 2科研生产的需要全厂在生产过程中，会产生大量的实验数据和文档资料，怎样将这些数据资 料有效的存储和传输，以适应分布式计算的需要，同时保证安全性、保密性的要求。 因此，建立一个流畅、高速的网络平台与一个安全、稳定、高效的系统平台，是当前刻不容缓的任务.5.1 o 3工厂管理的需要目前,计算机已成为*公司日常办公的主要工具。怎样有效的利用现有软、硬件资源，简化工作流程，提高管理工作效率，实现办公自动化和信息资源共享， 同时实现安全有序的管理，是当前厂内各管理部门的迫切需要。5.1 o 4信息系统安全评估的结果夫* *公司是全新的信息系统建设，通过简单的安全评估结果（见 5.2章节）是信息系统重要

26、的需求来源之一.5。2信息系统安全需求根据* * * *公司涉密计算机信息系统现状，结合国家相关规范的要求，我们如下表呈现本次安全需求（数量越多，安全风险越大 ）。安全种类项目现状安全风险安全需求物理安全门禁不具备。建设中心机房建设门禁系统防雷原大楼建没有防雷系统采取防雷保护措施供电仅后巾电供应。部署UPS防静电、防盗无中心机房，更尢防静电措施设立中心机房，铺设防静电地板,同时加强防盗建设。电磁泄漏办公大楼与公共区域距离在50米以内需要建设有良好接地的屏蔽布线系统，并采用电磁干扰。介质安全标准中有关于介质收发和传递的新妥求。加强介质管理，加强计算机接口管理部署安全审计系统运行安全存储备份中心机

27、房服务器和重要的涉密单机缺少有效的备份手段，使用刻录光盘或移动硬盘备份方式实现定期数据备份。应急响应没有应急响应的制度与技术手段，缺乏定期培训和演练。制定应急响应计划并培训和演练，并确定组织机构。运行管理需要完善运行管理和建立统一的安全运行管理中心。设立信息中心机构承担， 并辅助以AD管理模式.病毒与恶意代码防护需要在系统内的关键入口点（如电子邮件服务器）以及各用户终端、服务器和移动计算机设备上采取计算机病毒和恶意代码防护措施需要安装网络版杀毒软件并定期更新信息安全保密访问控制现有网络系统中没有对资源的访 问控制，只限于自身资源自我控 制，尚未建立一套整体的资源访问 控制。加强访问控制措施，采

28、用 AD方式安全审计现有的审计系统已不满足新的安 全保密要求，对资源的访问存在着 /、可控的现象，同时涉密信息泄漏 时，事后小口查的现象。部署专业安全审计系统信息加密与电磁泄漏综合布线采用非屏蔽线。在新的信息系统的建设中，采用FTP线缆，在系统的关键部位部署电磁防泄漏设备端口接入管理内网信息接入点分布广泛，不方便进行管理，无法对接入网络的设备进行安全认证采用端口接入认证技术实现对接入设备的有效管理系统及网络安全检测没有专业的安全软件或设备对系 统及网络的安全进行有效的检测 和评估采用专业安全检测工具对网络和主机的安全进行检测6、信息定密、系统定级和划分安全域信息定密根据*公司上级主管部门的规定

29、，信息确定的密级为：秘密级。其中明确涉密信息主要是围绕科研生产产生的信息和上级部门的密级文件（对于来自上级部门的、所占比例很少的机密级文件，将不允许进入本涉密计算机信息系统中；严格限定将这些机密级文件采用单机处理）.系统定级* *公司涉密计算机信息系统所处理信息的最高密级是：秘密级安全域的划分安全域是对由实施共同安全策略的主体和客体组成的集合进行区域的划分.根据* * *公司目前的现状和即将建设的信息系统，我们划分为2个安全域:普通办公 计算机系统和涉密人员使用的计算机系统分别为独立的安全域。7、信息系统安全策略安全策略是信息系统安全的核心，对信息系统的安全起着至关重要的作用。在241的信息系

30、统中，安全策略的制定，最核心的问题就是如何保证数字资源 的安全共享。保证数字资源的安全共享，就是从权限分级设置的角度出发，确定数据资产 的身份认证和访问控制。因此，应从各个安全要求出发，对信息系统进行安全保障，保障安全目的能够得 到实施。因此，应以技术手段实现身份验证、访问控制、安全审计，同时，为进 一步保障，以各种附加安全产品，对单机和网络安全进行全方面加强，针对网络、操作系统、数据库、信息共享授权提出具体的措施。除技术外，再辅以管理的加强，以制度化和技术化的管理，全面加强安全整体体 系.因此* *公司应建立以下的安全策略：涉密计算机信息系统基本要求物理隔离：采取管理和技术相结合的方式，确保

31、涉密计算机信息系统与外 部网络的物理隔离.安全保密产品选择：在涉密信息系统的建设中，选用和采购国产设备；安 全保密产品应通过国家相关主管部门授权的测评机构的检测.安全域边界防护：划分安全域，安全域之间边界明确；禁止高密级信息由高 等级安全域流向低等级安全域。密级标识：在涉密计算机信息系统建设和运行过程中，做好定密和密级标识工作；防止密级标识与信息主体分离或被篡改物理安全策略建立IDC机房各部门服务器均统一托管到新的IDC机房加强对共享打印机、制图机等公用输出设备的安全控制， 防止打印输出结果被非授权查看和获取按照新的要求完善设备的管理和介质的收发与传递运行安全策略7。3。1网管中心服务器存储、

32、备份及恢复安全策略完善备份系统，最大限度的降低数据存储备份脆弱。制定文档化的备份与恢复策略.确保备份与恢复正确实施的规章制度。7.3o 2各部门服务器和客户端存储、备份及恢复安全策略完善备份系统，最大限度的降低数据存储备份脆弱。制定文档化的备份与恢复策略；确保备份与恢复正确实施的规章制度。7.3 o 3电源备份安全策略对与系统正常运行相关的设备，进行电源备份。后备电源时间应满足数据备份要求7 o 3 o 4病毒威胁安全策略制定文档化的计算机病毒与恶意代码防护策略； 确保计算机病毒与恶意代码防护正确实施的规章制度应严格控制存储设备接入系统和软件安装。如接入和安装需经计算机病毒与恶意代码产品检测7

33、.3 o 5应急响应策略完善应急响应文档、规章制度。应急计划中应包括发生异常事件应急响应的基本步骤、处理办法和汇报流 程。7。3.6运行策略制定文档化的运行管理策略；确保系统配置正确实施的规章制度确定安全底线，不能为满足应用而突破此底线以技术和管理手段保证违规接入的网络设备无法访问网络资源最小权限原则；注意特权用户权限的相互制约、监督关系的处理，避免权 限过于集中7。4信息安全策略7,4 o 1身份认证策略建立网络身份认证体系.制定文档化的身份鉴别策略；确保身份鉴别正确实施的规章制度.对涉密的服务器和用户终端本地登陆、 远程登陆、应用程序等进行用户身份鉴别.身份标识符由系统管理员统一生成，在此

34、系统生命周期中的唯一性；对身份标识符列表进行管理和维护，确保不被非授权地访问、修改或删除；身份标识符应与审计相关联，保证可核查性长度：不少于10位；复杂度:大小写字母、数字和特殊字符中两者以上组合；更换周期：不长于一月；口令文件：加密存储、传输失败5次，采取相应措施：1、本地登陆，在被登陆端进行锁定，并形成审计事件并警告；2、远程登陆（域、网络数据库等）对用户标识进行锁定，并形成审计事件并警告，只能由管理员恢复或重建。3、应用程序，禁止使用该程序或延长一段时间再允许尝试，并形成审计事件并告警7。4。2访问控制策略建立域管理体系，采取强制访问控制策略。应制定明确的访问控制策略；涉密信息系统的安全

35、域由实施共同安全策略的域及其中的主体、客体组成；应根据信息密级和信息重要性划分系统安 全域7.4.3安全审计策略采用专业的安全审计系统。制定文档化的安全审计策略；确保安全审计正确实施的规章制度审计范围：1、服务器、涉密重要用户终端、安全保密设备的启动和关闭；2、审计功能的启动和关闭；3、系统内用户增、删或用户权限更改；4、系统管理员、系统安全员、审计员和一般操作员所实施的 操作；5、其他与系统安全有关的事件或专门定义的可审计事件。审计内容：事件发生的时间、地点、类型、主体和结果（成功或失败）独立审计系统指将审计信息存放在各个服务器和安全保密设备上，各审计日志独立，彼此没有联系。检查处理涉密信息

36、的涉密系统是否将审计信息 存放在各服务器和安全保密设备上，供系统安全保密管理员审查7.4o 4信息加密与电磁泄漏防护策略在重点区域采取电磁泄露防护措施.涉密系统设备的安装使用应满足国家保密标准BMB5 2000涉密信息设备使用现场的电磁泄漏发射防护要求；涉密系统的各种设备的安装、 摆放位置、接地屏蔽等是否符合 BMB5-2000涉密信息设备使用现场 的电磁泄漏发射防护要求的要求；处理绝密级信息的设备应采用满足GGBBl-1999信息设备电磁泄漏发射限值的低辐射没备如不满足系统电磁泄露发射防护要求，应使用BMB4-2000 一级电磁干扰器，警戒距离大于100米时可使用该标准的二级电磁干扰器； 相

37、对集中的设备可采用屏蔽机柜便携设备及可移动存储介质在系统外部使用，应加密保证不被非授权查看远程传输时数据应加密；不满足数据传输线路电磁泄露发射防护的封闭、独立建筑群内应加密7。4.5系统安全性能检测策略采用安全性能检测工具，定期对系统进行安全性检测。制定文档化的系统安全性能检测策略；确保系统安全性能检测正确实施的规章制度国家保密主管部门批准的检测工具，版本及时更新对检测数据进行详细地记录，对记录进行分析，及时弥补漏洞或脆弱点7.4.6边界安全防护策略根据信息密级和重要性划分安全域明确安全域与以外系统的边界在明确的边界实施有效的访问控制策略进出安全域的数据访问都应通过各自安全边界完成在系统安全边

38、界的关键点采用严格的安全防护机制。如：严格的登陆/连接控制、高功能的防火墙、防病毒网关、入侵防范、信息过滤对于跨安全域的访问（针对应用系统）使用等级保护网关记录边界访问控制事件的时间、地点、类型、主体、客体和结果禁止系统内用户非授权外部连接（私自拨号和无线上网等），并采用技术 手段对此行为进行检查和控制*公司的网络安全基于以上安全策略，从技术和管理出发，采取安全技术措施和管理手段，实现全方位立体化的安全体系建设，具体保护技术要求如下图所示。8、物理安全设计8.1环境安全?应尽量减少工作区域的无关人员流动。?增加出入管理警卫和强化登记制度。?机房选址：根据目前* *公司现有条件，结合保密管理要求

39、，机房选在办 公5楼与其他办公区域相对隔离。?机房建设:本次建设内容为机房装修，功能分区;添加空调、防盗、门禁系统。 按B类机房建设：建立机房监控系统，对机房的温湿度、漏水、烟雾、UPS、 空调、数字电表进行监控并报警。8。2设备安全?增加保安人员，加强对重点区域的监管来保障设备物理安全，用管理和制度保障设备生命周期的安全（购买、使用、定密级、保存、维修、销毁） 。?使用AAA网络身份认证对设备接入进行控制和管理。8.3介质安全?对使用的涉密u盘、移动硬盘、软盘必须按要求进行密级标识.标明密级和 保密期限，注明发放范围及数量。涉密介质的保存、携带、维修、报废必 须按相关规定处理。?单纯依靠制度

40、对U盘、移动硬盘进行管理并不可靠，必须结合管理技术对计算机的USB 口进行管理。?对介质的传递按新的要求，指派专人专车或者通过机要交通、机要通信、机要交换等方法进行传递。9、安全运行体系设计安全运行决策决策层安全综合分析与风险管理分析和管理层业务连续性备份与恢复应急响应密钥管理工设备运行管理安全审计入侵检测病毒防范节集中监控和响应基础操作层运行安全是为保障系统功能的安全实现，包括备份与恢复，计算机病毒防治、 应急响应、运行管理等。9.1安全存储与备份、恢复安全存储与备份、恢复是网络安全的基础，如果不能实现安全存储和可靠的备 份恢复，一切数字资产的安全都无从谈起。因此 ，为了保障包括服务器和客户

41、端数据存储的安全，实现先进、可靠的备份、恢复环境，应采取以下措施:完善现有的备份与恢复策略；确保备份与恢复正确；建立培训和演练机制.应备有关键应用数据的安装程序。增加备份设备9.2增加UPS后备电源为保障系统正常运行，配备与信息系统规模相适应的ups后备电源9。3计算机病毒防治在系统内部署统一的网络防病毒系统；及时更新病毒代码，并通过网络自动下发和安装；加强病毒检查。9。4完善应急响应措施制定应急响应计划和响应策略；定期评估和修正应急响应计划和策略；组织应急响应培训，明确成员在应急响应中的角色与责任；定期进行应急响应演练。9。5完善运行管理措施完善运行管理策略及制度；加强系统配置管理，系统配置

42、变更应经过审核和同意 ； 加强设备接入控制，控制违规接入设备对系统资源的访问；10、信息安全保密体系设计确保信息的保密性、完整性、可用性和抗抵赖性是信息安全保密的中心任务，信息 安全保密技术主要包括身份认证、访问控制、审计、信息加密、电磁泄漏防护、信息完 整性校验、抗抵赖、安全保密性能检测、入侵检测、操作系统安全、数据库安全 .1身份认证解决措施完善身份鉴别策略和制度；采用网络身份认证；由系统管理员统一生成用户身份标识符；身份鉴别的口令设置满足国家保密相关要求；启用空闲操作重鉴别功能；启用鉴别失败保护措施。访问控制解决措施建立域管理体系(Active Directory ),对共享资源进行权限

43、管理.按照机构职能和安全需求，对网络系统进彳T安全域规划，按照安全域的规划来划 分 VLAN。根据具体的网络拓朴结构和网络应用情况，可以将网络分为如下安全域。在划分过程中，我们将安全等级分为三等，其中C为最低，A为最高。安全域划分序安全区域访问对象号级别可访问的对象获准访问该安全域的对象1非技术类外来人员安全域C服务器安全域网管防毒、软件及网管工作域2服务器安全域B不能访问任何对象所有对象3防毒、软件及网管工作域B不能访问任何对象所有对象4科室、生产部门A所级服务器安全域网管（部门间彼此不能访问）防毒、软件及网管工作域将以上的安全域，在交换机上通过 VLAN划分来实现，而且从业务的实际情况出发

44、对VLAN间的通信关系进行系统分析，配置 VLAN问路由和访问控制列表（ACL）,既 保证VLAN间的通信，又保护各 VLAN之间的安全。安全审计解决措施完善审计策略和制度；采用专业的安全审计系统；妥善保存审计记录，防止审计记录被非授权查阅；10O 4信息加密与电磁泄漏防护解决方案在进行网络基础设施建设时，采用屏蔽线缆；在涉密计算机比较集中的区域部署电磁泄露发射防护产品；加强周边环境安全警戒。10O 5系统安全性能检测解决措施完善系统安全性能检测制度；采用专业的安全性能检测工具，定期检测；及时更新检测工具版本；及时分析检测结果，并对发现的漏洞和脆弱点进行修补.10。6边界安全保护解决措施在明确

45、系统或安全域边界的关键点；建立域管理体系(Active Directory),对系统边界进行保护;10.7安全防范拓扑示意图*厂涉密计算机信息系统实施效果示意图涉磨并机i#谓而空接机Sw.曾注，图中0代我防病麴客户端和审计客户端.a Gfl-fl Gfl noGu u u-11.安全管理体系设计在安全管理制度中，明确管理主体、管理客体、如何管、靠什么来管等。安全管理体系包括：信息系统整个生命周期中的与人相关的安全管理、与操作 相关的运行安全管理和与技术相关的技术安全管理，以及为平衡系统安全与成 本控制所进行的风险管理。下图所示的安全管理体系主要关注与人相关安全管理，包括：安全政策、法律 法规，

46、安全规章、制度与方针，安全组织、人员安全、物理安全、安全意识、 培训与教育以及安全管理标准。计划组织开发采购人员安全物理安全运行维护技术管理密钥管理安全规章、制度、方针要组人事安全 安全意识 培训与教育I运行管理 j操作管理 灾难备份 应急响应 变更管理 审计跟踪设施设备 信息载体安全政策、法律法规强化员工的信息安全意识，规范组织信息安全行为对关键信息资产进行全面系统的保护，维持竞争优势促使管理层坚持贯彻信息安全保障体系 建立安全管理组织机构，明确安全管理职能12、建设实施内容本次* * * *公司涉密计算机信息系统安全建设 ，包括网络基础设施建设（综合布线）、机房改造、信息系统基础平台、安全

47、防范措施四个部分：12。1综合布线1 丁 P项目名称规格型号单位数量1超五类屏蔽双绞线CAT5e双层屏蔽305米箱282超五类屏蔽24 口模块化配线架CAT5e个83超五类屏蔽模块CAT5e个1214英式双孔面板86 * 86个1215超五类屏蔽1米跳线CAT5e根1216超五类屏蔽3米跳线CAT5e根1217导线器1U个886芯多模室内光缆50/125,天津立孚米30096芯多模室外铠装光缆50/125 ,天津立孚米2501024 口光纤信息盒ST,天津立孚个511ST.ST-ST,天津立孚个4812ST尾纤ST,天津立孚根4813光纤跳线ST- SC,天津立孚根2014光纤熔接芯48159

48、U墙柜600 * 800台416PVC穿线管收5米1,00017PVC穿线管点32米40018PVC穿线管处0米40019PVC线槽100 *40米26020PVC线槽80 * 30米1202186明装底盒个12122信息点端接点12123信息点和光缆测试报告点16924光缆敷设米55012.2机房改造厅P产品名称规格型号产品说明数量单位1墙面乳胶漆立邦人工及材料费160平方米2全钢防静电地板30mm华东45平方米3玻璃地弹门含不锈钢门套12mm钢化玻璃1桎4地弹簧皇冠1只5上、下门夹雄业1套6雅托1套7不锈钢玻璃隔断定制26平方米8防盗窗定制5平方米9门禁控制器（含误卡器）SC7600集佳1套10磁力锁（含支架）DZ03J台1只11卡20张12出门按钮1只13专用电源1只14控制线缆RVVP 4X1 。 0扬州联通20米15电源线RVV 2X1.5扬州联通10米16成品实木踢脚线国产30米18服务器机柜42U2000 X600 X9003个19辅助材料1批12o 3信息系统基础平台建设厅P产品名称规格型号产品说明数量单位1华为3COM3628EI 和 4 个 SFP核心交换1台2华为3COM3126c（6个堆叠+ 4个光纤）接入交换