信息安全等保测评整改方案解读

1、信息安全等保测评整改方案解读技术创新，变革未来依据国家有关规定和标准规范要求，开展信息系统安全的建设整改工作，通过落实安全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益。 安全整改的目的安全整改-需求分析满足政策要求满足标准要求满足用户自身要求安全现状差异性分析基本要求需求物理安全网络安全主机安全应用安全数据安全与备份恢复1、如果系统需重新考虑设计网络拓扑结构，包括安全产品或安全组件的部署位置、连线方式、IP地址分配等。根据网络调整的图

2、示方案对原有网络进行调整。针对安全管理方面的整体策略问题，机构需重新定位安全管理策略、方针，明确机构的信息安全管理工作方向。 2、将未实现的安全技术要求转化为相关安全产品的功能/性能指标要求，在适当的物理/逻辑位置对安全产品进行部署。3、正确配置产品的相关功能（安全加固），使其发挥作用。4、完善配套的管理制度，建立、完善、落实信息安全管理体系。安全整改-整改措施分类物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控制分区域管理在机房中的活动电子门禁防盗窃和防破坏存放位置、标记标识监控报警系统防雷击建筑防雷、机房接地设备防雷防火灭火设备、自动报警自动消防系统区域隔离措施防静电关键设备主

3、要设备防静电地板电力供应稳定电压、短期供应主要设备冗余/并行线路备用供电系统电磁防护线缆隔离接地防干扰电磁屏蔽防水和防潮温湿度控制物理安全的整改要点结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备（用户、网段）应用层协议过滤拨号访问限制会话终止安全审计日志记录审计报表边界完整性检查内部的非法联出非授权设备私自外联网络安全的整改要点子网/网段控制核心网络带宽整体网络带宽重要网段部署路由控制带宽分配优先级端口控制最大流量数及最大连接数防止地址欺骗审计记录的保护定位及阻断入侵防范检测常见攻击记录、报警恶意代码防范网络边界处防范网络设备防护基本的登录鉴别组合鉴别技术特权用户的权限分离身份鉴

4、别基本的身份鉴别访问控制安全策略管理用户的权限分离特权用户的权限分离安全审计服务器基本运行情况审计审计报表剩余信息保护空间释放及信息清除主机安全的整改要点组合鉴别技术敏感标记的设置及操作审计记录的保护入侵防范最小安装原则重要服务器：检测、记录、报警恶意代码防范主机与网络的防范产品不同资源控制监视重要服务器最小服务水平的检测及报警重要客户端的审计升级服务器重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限制身份鉴别基本的身份鉴别访问控制安全策略最小授权原则安全审计运行情况审计（用户级）审计报表剩余信息保护空间释放及信息清除应用安全的整改要点组合鉴别技术敏感标记的设置及操作审计

5、过程的保护通信完整性校验码技术密码技术软件容错自动保护功能资源控制资源分配限制、资源分配优先级最小服务水平的检测及报警数据有效性检验、部分运行保护对用户会话数及 系统最大并发会话数的限制审计记录的保护通信保密性初始化验证整个报文及会话过程加密敏感信息加密抗抵赖数据完整性鉴别数据传输的完整性备份和恢复重要数据的备份数据安全及备份恢复的整改要点各类数据传输及存储异地备份网络冗余、硬件冗余本地完全备份硬件冗余检测和恢复数据保密性鉴别数据存储的保密性各类数据的传输及存储每天1次备份介质场外存放落实信息安全责任制：成立信息安全工作领导机构，明确信息安全工作的主管领导。成立专门的信息安全管理部门或落实信息

6、公安全责任部门，确定安全岗位，落实专职人员或兼职人员。明确落实领导机构、责任部门和有关人员的信息安全责任。落实人员安全管理：制定人员录用、制度离岗、考核、教育培训等管理制度，落实管理的具体措施。对安全岗位人员要进行安全审查，定期进行培训、考核和安全保密教育，提高安全岗位人员的专业水平，逐步实现安全岗位人员持证上岗。管理要求方面的整改要点落实系统建设管理制度：建立信息系统定级备案、方案设计、产品采购使用、密码使用、软件开发、工程实施、验收交付、公等级测评、安全服务等管理制度，明确工作内容、工作方法、工作流程和工作要求。落实系统运维管理制度：建立机房环境安全、存储介质安全、设备设施安全、安全监控、网络安全、系统安全、恶意代码防范