信息安全等级保护和解决方案

信息安全等级保护与解决方案山东省信息中心山东信息协会信息安全专业委员会二00七年十二月信息安全等级保护与解决方案信息安全等级保护

信息安全现状与问题信息安全等级保护简介信息安全解决方案

信息安全技术信息安全管理信息安全方案信息安全现状日益增长的安全威胁攻击技术越来越复杂入侵条件越来越简单信息安全问题安全事件每年都有上千家政府网站被攻击安全影响任何网络都可能遭受入侵信息系统安全等级保护信息系统安全等级保护简介信息系统安全保护等级划分信息系统安全保护定级指南等级保护出台是信息安全发展的需要信息安全问题层出不穷安全保护措施、安全管理建设不足，导致各种安全事故发生国内缺乏相类似的安全标准国家、服务商和用户在安全建设过程中缺乏参考依据随着信息安全技术的发展随着安全意识的提高随着安全服务范围增大对信息安全管理需要实行等级化保护(目标/要求/能力)1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定计算机信息系统实行信息系统安全等级保护。2003年中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）中明确指出：“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息系统安全等级保护制度，制定信息系统安全等级保护的管理办法和技术指南”。2004年公安部等四部委《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）也指出：“信息系统安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度”。信息安全等级保护相关文件信息安全等级保护发展历程1999年9月13日《计算机信息系统安全等级划分准则》GB17859-19992003年9月，27号文明确提出国家信息安全按照等级化保护的制度推行2003年10月，公安部《关于信息安全等级保护政策建议》2004年初，信息办领导开始在全国进行等级化保护巡讲（北京、上海、郑州）2004年4月，等级化保护制度开始在部分行业和省份进行试点2004年6月，颁布《等级化保护实施指南》等文件2005年8月，北戴河会议，初步通过了部分标准2006年3月，颁布部分标准2006年4月，试点工作启动2007年6月，公安部等四部委联合下发《信息安全等级保护管理办法》信息安全等级保护发展历程2007年7月，四部委联合会签并下发了《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）

2007年8月,山东省公安厅、山东省保密局、山东省密码管理局和山东省信息办联合下发了《山东省重要信息系统安全等级保护定级工作方案》定级范围：

１电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。

２铁路、银行、海关、税务、民航、电力、证券、保险、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。

３市（地）级以上党政机关的重要网站和办公信息系统。

４涉及国家秘密的信息系统。信息安全等级保护指导性文件《信息系统安全等级保护基本要求》《信息系统安全等级保护定级指南》《信息系统安全等级保护实施指南》《信息系统安全等级保护测评准则》信息系系统安安全保保护等等级划划分第一级级为自主保保护级级，主要要对象象为一一般的的信息息系统统，其其受到到破坏坏后，，会对对公民民、法人和和其他他组织织的权权益有有一定定影响响，但但不危危害国国家安安全、、社会会秩序序、经经济建建设和公共共利益益。第二级级为指导保保护级级，主要要对象象为一一定程程度上上涉及及国家家安全全、社社会秩秩序、、经济济建设设和公公共利利益的的一般般信息息系统统，其其受到到破坏坏后，，会对对国家家安全全、社社会秩秩序、、经济济建设设和公公共利利益造造成一一定损损害。。第三级级为监督保保护级级，主要要对象象为涉涉及国国家安安全、、社会会秩序序、经经济建建设和和公共共利益益的信信息系系统，，其受受到破破坏后后，会会对国国家安安全、、社会会秩序序、经经济建建设和和公共共利益益造成成较大大损害害。第四级级为强制保保护级级，主要要对象象为涉涉及国国家安安全、、社会会秩序序、经经济建建设和和公共共利益益的重重要信信息系系统，，其受受到破破坏后后，会会对国国家安安全、、社会会秩序序、经经济建建设和和公共共利益益造成成严重重损害害。第五级级为专控保保护级级，主要要对象象为涉涉及国国家安安全、、社会会秩序序、经经济建建设和和公共共利益益的重重要信信息系系统的的核心心子系系统，，其受受到破破坏后后，会会对国国家安安全、、社会会秩序序、经经济建建设和和公共共利益益造成成特别别严重重损害害。信息系系统安安全保保护的的目标标实行等等级保保护的的总体目目标是为了了统一信信息安安全保保护工工作，，推进进规范范化、、法制制化建建设，，保障障安全全，促促进发发展，，完善善我国国信息息安全全法规规和标标准体体系，，提高高我国国信息息安全全和信信息系系统安安全建建设的的整体体水平平。信息安安全等等级保保护的的对象象信息信息系系统等级保保护工工作的的三个个方面面对信息息系统统分等等级实实施安安全保保护;对信息息系统统中使使用的的信息息安全全产品品实行行分等等级管管理;对信息息系统统中发发生的的信息息安全全事件件分等等级响响应、、处置置。决定信信息系系统重重要性性的要要素信息系系统所所属类类型，，即信信息系系统资资产的的安全全利益益主体体信息系系统主主要处处理的的业务务信息息类别别----决决定信信息系系统内内信息息资产产的重重要性性信息系系统服服务范范围，，包括括服务务对象象和服服务网网络覆覆盖范范围业务对对信息息系统统的依依赖程程度----决决定信信息系系统所所提供供服务务的重重要性性信息系系统所所属类类型赋赋值表表信息系统所属类型举例赋值信息系统的社会影响属于一般企事业单位，处理其内部事务的信息系统。1信息系统资产受到破坏会对本单位利益有直接影响。属于重要行业、重要领域和国家基础设施，为国计民生、经济建设等提供重要服务的信息系统，或本身虽属一般企事业单位，但为党政或重要信息系统提供支撑服务的信息系统。2信息系统资产受到破坏会对公共利益有直接影响，或对国家安全利益有间接影响。属于党政机关，处理国家事务的信息系统。3信息系统资产受到破坏会对国家安全利益有直接影响。业务信信息类类型赋赋值表表业务信息类型举例赋值业务信息的安全影响可以对外公开发布的信息，或不对外发布的单位内部一般信息。1业务信息机密性、完整性或可用性被破坏会对公共利益或本单位经济利益造成一定损害。法人和其他组织及公民的专有信息，例如内部敏感信息、关键技术数据、科技情报、商业秘密等。2业务信息机密性、完整性或可用性被破坏会对公共利益或本单位经济利益造成严重损害。涉及国家安全利益，影响国家经济建设的信息。3业务信息机密性、完整性或可用性被破坏对国家安全利益和国家经济建设造成损害。信息系系统服服务范范围赋赋值表表信息系统服务范围举例赋值服务范围的影响地区范围的服务网络。1信息系统因无法提供服务或无法提供有效服务会对局部范围的资产造成损害。省级范围的服务网络。2信息系统因无法提供服务或无法提供有效服务会对较大范围的资产造成损害。全国范围的服务网络。3信息系统因无法提供服务或无法提供有效服务会对全国范围的资产造成损害。业务依依赖程程度赋赋值表表业务依赖程度举例赋值业务系统影响业务处理流程的大部分可以通过手工方式或其他方式完成，自动化程度低。1信息系统无法提供服务或无法提供有效服务对单位完成其业务使命影响较小。业务处理流程的部分环节可以通过手工方式或其他方式替代完成，自动化程度中。2信息系统无法提供服务或无法提供有效服务对单位完成其业务使命影响较大。业务处理流程完全依赖信息系统，手工方式无法完成，自动化程度高。3信息系统无法提供服务或无法提供有效服务使单位无法完成其业务使命。信息系统所属类型业务信息类型信息系统服务范围业务依赖程度业务信息安全性取值业务服务保证性取值业务服务保证性等级1.赋值选择调节因子业务子系统安全保护等级2.确定两个指标等级业务信息安全性等级3确定业务子系统等级信息系统安全保护等级4.确定信息系统等级其它业务子系统。。。业务信信息安安全性性等级级矩阵阵表业务信息类型赋值信息系统所属类型赋值123112222333344业务服服务保保证性性取值值矩阵阵表信息系统服务范围赋值业务依赖程度赋值123112322343344调节因因子取取值表表信息系统服务的影响程度调节因子k信息系统无法提供服务或无法提供有效服务会造成国家安全利益损失。1.0

k0.8信息系统无法提供服务或无法提供有效服务会造成较大范围的公共利益损失。0.8

k0.5信息系统无法提供服务或无法提供有效服务会造成局部利益损失。0.5

k0信息系系统安安全保保护等等级业务子子系统统的安安全保保护等等级由由业务务信息息安全全性等等级和和业务务服务务保证证性等等级较较高者者决定定。信息系系统的的安全全保护护等级级由各各业务务子系系统的的最高高等级级决定定。物理层面网络层面系统层面应用层面管理层面安全管理制度业务处理流程

业务应用系统数据库应用系统

身份鉴别机制强制访问控制防火墙入侵检测系统物理设备安全环境安全信息安全体系信息系系统安安全体体系结结构互联网计算机网络内网（业务专网）逻辑隔离物理隔离信息收收集、、发布布，公公众服服务内部业业务处处理办公系系统办公系系统电子政政务外外网等级保保护基基本要要求（（二、、三级级）技术要要求物理安安全：：物理位位置选选择、、物理理访问问控制制、防防盗和和防破破坏、、防雷雷击、、防火火、防防水、、防潮潮湿、、防静静电、、电力力保障障、电电磁防防护网络安安全：：结构安安全和和网段段划分分、网网络访访问控控制、、拨号号访问问控制制、网网络安安全审审计、、边界界完整整性检检测、、网络络入侵侵防范范、网网络设备防防护、、恶意意代码码防范范主机系系统安安全：：身份鉴鉴别、、自主主访问问控制制、强制访访问控控制、安全全审计计、系系统保保护、、剩余余信息息保护护、入侵防防范、恶意意代码码防范、、资源源控制制应用安安全：：身份鉴鉴别、、访问问控制制、安安全审审计、、剩余余信息息保护护、通通信保保密性性、通通信完完整性性、抗抗抵赖赖、软软件容容错、、资源源控制制数据安安全：数据完完整性性、数数据保保密性性、数数据备备份与与恢复复管理要要求安全管管理机机构：：岗位设设置、、人员员配置置、授授权与与审批批、沟沟通与与合作作、审审核与与检查查安全管管理制制度：管理制制度、、制定定与发发布、、评审审与修修订人员安安全管管理：人员录录用、、人员员离岗岗、人人员考考核、、安全全意识识教育育与培培训、、第三三方人人员管管理系统建建设管管理：系统定定级、、系统统备案案、安安全方方案设设计、、产品品采购购、自自行软软件研研发、、外包包软件件开发发、工工程实实施、、工程程验收收系统运运维管管理：环境管管理、、资产产管理理、介介质管管理、、设备备管理理、监监控管管理、、网络络安全全管理理、系系统安安全管管理、、恶意意代码码防范范管理、、密码码管理理、变变更管管理、、备份份与恢恢复管管理、、安全全事件件管理理、应应急预预案管管理信息安安全技技术物理安安全：物理理位置置选择择、物物理访访问控控制、、防盗盗和防防破坏坏、防防雷击击、防防火、、防水水、防防潮湿湿、防防静电电、电电力保保障、、电磁磁防护护网络安安全：结构安安全和和网段段划分分、网网络访访问控控制、、拨号号访问问控制制、网网络安安全审审计、、边界界完整整性检检测、、网络络入侵侵防范范、网网络设设备防防护、、恶意意代码码防范范主机系系统安安全：身份鉴鉴别、、自主主访问问控制制、强制访访问控控制、安全全审计计、系系统保保护、、剩余余信息息保护护、入侵防防范、恶意意代码码防范范、资资源控控制应用安安全：身份鉴鉴别、、访问问控制制、安安全审审计、、剩余余信息息保护护、通通信保保密性性、通通信完完整性性、抗抗抵赖赖、软软件容容错、、资源源控制制数据安安全：数据完完整性性、数数据保保密性性、数数据备备份与与恢复复结构安安全和和网段段划分分网络设设备的的业务务处理理能力力应具具备冗冗余空空间，，要求求满足足业务务高峰峰期需需要；；设计和和绘制制与当当前运运行情情况相相符的的网络络拓扑扑结构构图；；根据机机构业业务的的特点点，在在满足足业务务高峰峰期需需要的的基础础上，，合理理设计计网络络带宽宽；在业务务终端端与业业务服服务器器之间间进行行路由由控制制建立立安全全的访访问路路径；；根据各各部门门的工工作职职能、、重要要性、、所涉涉及信信息的的重要要程度度等因因素，，划分分不同同的子子网或或网段段，并并按照照方便便管理理和控控制的的原则则为各各子网网、网网段分分配地地址段段；重要网网段应应采取取网络络层地地址与与数据据链路路层地地址绑绑定措措施，，防止止地址址欺骗骗；按照对对业务务服务务的重重要次次序来来指定定带宽宽分配配优先先级别别，保保证在在网络络发生生拥堵堵的时时候优优先保保护重重要信信息资资产主主机。。网络安安全访访问控控制根据会会话状状态信信息（（包括括数据据包的的源地地址、、目的的地址址、源源端口口号、、目的的端口口号、、协议议、出出入的的接口口、会会话序序列号号、发发出信信息的的主机机名等等信息息，并并应支支持地地址通通配符符的使使用）），为为数据据流提提供明明确的的允许许/拒拒绝访访问的的能力力；对进出出网络络的信信息内内容进进行过过滤，，实现现对应应用层层HTTP、FTP、TELNET、、SMTP、POP3等等协议议命令令级的的控制制；依据安安全策策略允允许或或者拒拒绝便便携式式和移移动式式设备备的网网络接接入；；在会话话处于于非活活跃一一定时时间或或会话话结束束后终终止网网络连连接；；限制网网络最最大流流量数数及网网络连连接数数。网络安安全访访问控控制网络安安全访访问控控制实实现的的方法法有多多种，，简单单网络络的安安全访访问控控制可可以在在路由由器上上实现现，复复杂的的功能能可以以由主主机甚甚至一一个子子网来来实现现。网络安安全访访问控控制与与防火火墙防火墙墙产品品的初初衷是是实现现网络络之间间的安安全访访问控控制。。防火墙墙是设设置在在内部部网络络与外外部网网络之之间，，实施施访问问控制制策略略的一一个或或一组组系统统，是是访问问控制制机制制在网网络安安全环环境中中的应应用。。防火火墙实实现内内部网网络和和外部部网络络逻辑辑隔离离，通通过限限制网网络互互访来来保护护内部部网络络。防防火墙墙是不不同网网络或或网络络安全全域之之间信信息的的唯一一出入入口，，能根根据制制定的的安全全策略略(允允许、、拒绝绝及监监视等等)控控制出出入网网络的的数据据流，，且本本身具具有较较强的的抗攻攻击能能力。。防火火墙的的目的的就是是在内内部网网络和和外部部网络络连接接之间间建立立一个个安全全控制制点，，允许许、拒拒绝或或重新新定向向经过过防火火墙的的数据据流，，实现现对进进出内内部网网络的的网络络通信信的审审计和和控制制。防火墙墙技术术的局局限性性防火墙墙不能能过滤滤应用用层的的非法法攻击击，如如编码码攻击击防火墙墙对不不通过过它的的连接接无能能为力力，如如内网网攻击击防火墙墙采用用静态态安全全策略略技术术，因因此无无法动动态防防御新新的攻攻击安全审审计网络安安全审审计主机安安全审审计网络安安全审审计对网络络系统统中的的网络络设备备运行行状况况、网网络流流量、、用户户行为为等进进行全全面的的监测测、记记录；；对于每每一个个事件件，其其审计计记录录应包包括：：事件件的日日期和和时间间、用用户、、事件件类型型、事事件是是否成成功，，及其其他与与审计计相关关的信信息；；安全审审计应应可以以根据据记录录数据据进行行分析析，并并生成成审计计报表表；安全审审计应应可以以对特特定事事件，，提供供指定定方式式的实实时报报警；；审计记记录应应受到到保护护避免免受到到未预预期的的删除除、修修改或或覆盖盖等。。网络安安全审审计网络安安全审审计管管理通通过对对网络络中流流动的的数据据进行行审计计分析析，能能够监监控到到内部部网络络中的的外网网访问问行为为，如如邮件件、MSN/QQ聊聊天、、Web访访问、、网络络游戏戏、文文件传传输、、在线线电影影频道道等等等行为为；能能够实实现对对所监监控网网络进进行基基于业业务的的带宽宽分配配、流流量限限制等等。尤尤其针针对网网络中中的BT、、电驴驴、迅迅雷等等p2p的的文件件传输输行为为能有有效地地进行行控制制，以以控制制非业业务网网络行行为所所占用用的带带宽资资源，，从而而保证证正常常业务务顺畅畅进行行。主机安安全审审计安全审审计应应覆盖盖到服服务器器和客客户端端上的的每个个操作作系统统用户户和数数据库库用户户；安全审审计应应记录录系统统内重重要的的安全全相关关事件件，包包括重重要用用户行行为、、系统统资源源的异异常使使用和和重要要系统统命令令的使使用；；安全相相关事事件的的记录录应包包括日日期和和时间间、类类型、、主体体标识识、客客体标标识、、事件件的结结果等等；安全审审计应应可以以根据据记录录数据据进行行分析析，并并生成成审计计报表表；安全审审计应应可以以对特特定事事件，，提供供指定定方式式的实实时报报警；；审计进进程应应受到到保护护避免免受到到未预预期的的中断断；审计记记录应应受到到保护护避免免受到到未预预期的的删除除、修修改或或覆盖盖等。。边界完完整性性检测测能够检检测内内部网网络中中出现现的内内部用用户未未通过过准许许私自自联到到外部部网络络的行行为（（即““非法法外联联”行行为））；能够对对非授授权设设备私私自联联到网网络的的行为为进行行检查查，并并准确确定出出位置置，对对其进进行有有效阻阻断；；能够对内内部网络络用户私私自联到到外部网网络的行行为进行行检测后后准确定定出位置置，并对对其进行行有效阻阻断。恶意代码码防范在网络边边界及核核心业务务网段处处对恶意意代码进进行检测测和清除除维护恶意意代码库库的升级级和检测测系统的的更新支持恶意意代码防防范的统统一管理理恶意代码码防范防病毒网网关（互互联网病病毒防护护）--网络层服务器系系统病毒毒防护终端（微微机）病病毒防护护防病毒网网关（病病毒防火火墙）在网关上上安装病病毒过滤滤程序，，对网络络流量进进行全面面扫描，，并通过过识别表表示存在在恶意代代码的病病毒模式式，检测测出恶意意代码。。利用对对流经网网关的HTTP、FTP、SMTP协议的的流量进进行扫描描，可以以在第一一时间发发现病毒毒、阻塞塞病毒，，不让病病毒传播播到网络络中来。。不仅如如此，还还可以通通过内容容过滤来来对网络络流量中中不符合合网络策策略的内内容进行行阻断，，如非法法网站、、透露机机密的邮邮件等。。服务器系统统病毒防护护根据服务器器端系统平平台的实际际情况，在在各种服务务器系统(如文件服服务器、主主域/备份份域服务器器、邮件服服务器、DNS服务务器等)上上安装相应应的防计算算机病毒产产品。特别别是邮件系系统极易传传播病毒，，因此，要要在邮件服服务器上安安装专门的的防护软件件，实时扫扫描接收和和发送的电电子邮件。。终端（桌面面）病毒防防护根据网络终终端平台实实际情况，，分别选用用相应的客客户端防病病毒软件。。客户端防防病毒软件件应该与服服务器端防防病毒软件件相配合，，统一管理理防病毒策策略和防病病毒软件的的升级更新新。保护计算机机的第一个个步骤就是是确保操作作系统是最最新的，特特别是对于于微软windows操作系系统。其次次，必须为为系统安装装防病毒软软件，并且且经常下载载更新以确确保能够抵抵抗最新的的病毒。另另外，防病病毒软件最最好能够实实时扫描来来自互联网网的电子邮邮件和文件件以便能够够及时阻止止病毒的入入侵。最后后，最好同同时为系统统安装网络络防火墙，，它们可以以阻止对计计算机的未未授权访问问和使用。。入侵防范网络入侵防防范Network-BasedIntrusionDetectionSystem主机入侵防防范Host-BasedIntrusionDetectionSystem网络入侵防防范在网络边界界处应监视视以下攻击击行为：端端口扫描、、强力攻击击、木马后后门攻击、、拒绝服务务攻击、缓缓冲区溢出出攻击、IP碎片攻攻击、网络络蠕虫攻击击等入侵事事件的发生生；当检测到入入侵事件时时，应记录录入侵的源源IP、攻攻击的类型型、攻击的的目的、攻攻击的时间间，并在发发生严重入入侵事件时时提供报警警。网络入侵防防范工作原原理收集网络中中传输的数数据包及相相关网络会会话根据预定义义的设置，，进行必要要的数据过过滤及缩略略，从而提提高检测、、分析的效效率。根据定义的的安全策略略，进行检检测/分析析。一旦检测到到违反安全全策略的行行为或者事事件，进行行报警及响响应。入侵检测技技术的局限限性入侵检测通通过抓取数数据报文对对其分析，，并与攻击击规则样本本进行比较较发现攻击击行为通过特殊的的编码可以以绕过入侵侵检测的侦侦测（漏报报）需要不断的的跟踪新的的攻击模式式并更新攻攻击样本容易把正常常的访问识识别为入侵侵行为（误误报）网络入侵防防御(IPS)面临临的挑战单点故障性能“瓶颈颈”增加网络延延迟降低网络效效率误报和漏报报主机入侵防防范进行主机运运行监视，，包括监视视主机的CPU、硬硬盘、内存存、网络等等资源的使使用情况；；设定资源报报警域值，，以便在资资源使用超超过规定数数值时发出出报警；进行特定进进程监控，，限制操作作人员运行行非法进程程；进行主机账账户监控，，限制对重重要账户的的添加和更更改；检测各种已已知的入侵侵行为，记记录入侵的的源IP、、攻击的类类型、攻击击的目的、、攻击的时时间，并在在发生严重重入侵事件件时提供报报警；能够检测重重要程序完完整性受到到破坏，并并在检测到到完整性错错误时采取取必要的恢恢复措施。。主机入侵防防范工作原原理根据系统内内部的审计计数据根据预定义义的设置，，进行必要要的数据过过滤及缩略略，从而提提高检测、、分析的效效率。根据定义的的安全策略略，进行检检测/分析析。一旦检测到到违反安全全策略的行行为或者事事件，进行行报警及响响应。强制访问控控制对重要信息息资源和访访问重要信信息资源的的所有主体体设置敏感感标记；强制访问控控制的覆盖盖范围应包包括与重要要信息资源源直接相关关的所有主主体、客体体及它们之之间的操作作；强制访问控控制的粒度度应达到主主体为用户户级，客体体为文件、、数据库表表级。主机系统强强制访问控控制主机操作系系统采用自自主访问控控制脆弱的认证证体系明显的系统统安全漏洞洞来自内部的的攻击或误误操作来自外部的的网络攻击击操作系统安安全加固产产品主动防御、、全面防护护操作系统的的可信改造造访问控制监视列表XOdata2data1访问请求访问请求数据访问请求监视操作系统安全内核操作系统安安全加固产产品技术背背景-操作系统可可信改造可信计算机机系统评测测标准(TCSEC)国家信息化化等级标准准要求重构与应用用的抉择操作系统安安全加固技技术（ReinforcementOperatingSystemTechnique）服务器系统统加固产品品特点数据备份和和恢复提供自动机机制对重要要信息进行行本地和异异地备份提供恢复重重要信息的的功能；提供重要网网络设备、、通信线路路和服务器器的硬件冗冗余；提供重要业业务系统的的本地系统统级热备份份。信息安全管管理安全管理机机构岗位设置、、人员配置置、授权与与审批、沟沟通与合作作、审核与与检查安全管理制制度管理制度、、制定与发发布、评审审与修订人员安全管管理人员录用、、人员离岗岗、人员考考核、安全全意识教育育与培训、、第三方人人员管理系统建设管管理系统定级、、系统备案案、安全方方案设计、、产品采购购、自行软软件研发、、外包软件件开发、工工程实施、、工程验收收系统运维管管理环境管理、、资产管理理、介质管管理、设备备管理、监监控管理、、网络安全全管理、系系统安全管管理、恶意意代码防范范管理、密密码管理、、变更管理理、备份与与恢复管理理、安全事事件管理、、应急预案案管理安全管理机机构岗位设置人员配置授权与审批批沟通与合作作审核与检查查安全管理机机构--岗位设置设立信息安安全管理工工作的职能能部门，设设立安全主主管人、安安全管理各各个方面的的负责人，，定义各负负责人的职职责；设立系统管管理人员、、网络管理理人员、安安全管理人人员岗位，，定义各个个工作岗位位的职责；；成立指导和和管理信息息安全工作作的委员会会或领导小小组，其最最高领导应应由单位主主管领导委委任或授权权；制定文件，，明确安全全管理机构构各个部门门和岗位的的职责、分分工和技能能要求。安全管理机机构--人员配备配备一定数数量的系统统管理人员员、网络管管理人员、、安全管理理人员等；；配备专职安安全管理人人员不可兼兼任；关键岗位应应定期轮岗岗。安全管理机机构--授权与审批批授权审批部部门及批准准人，对关关键活动进进行审批；；列表说明须须审批的事事项、审批批部门和可可批准人；；建立各审批批事项的审审批程序，，按照审批批程序执行行审批过程程；建立关键活活动的双重重审批制度度；不再适用的的权限应及及时取消授授权；定期审查、、更新需授授权和审批批的项目；；记录授权过过程并保存存授权文档档。安全管理机机构--沟通与合作作加强各类管管理人员和和组织内部部机构之间间的合作与与沟通，定定期或不定定期召开协协调会议，，共同协助助处理信息息安全问题题；信息安全职职能部门应应定期或不不定期召集集相关部门门和人员召召开安全工工作会议，，协调安全全工作的实实施；信息安全领领导小组或或者安全管管理委员会会定期召开开例会，对对信息安全全工作进行行指导、决决策；加强与兄弟弟单位、公公安机关、、电信公司司的合作与与沟通，以以便在发生生安全事件件时能够得得到及时的的支持；加强与供应应商、业界界专家、专专业的安全全公司、安安全组织的的合作与沟沟通，获取取信息安全全的最新发发展动态，，当发生紧紧急事件的的时候能够够及时得到到支持和帮帮助；文件说明外外联单位、、合作内容容和联系方方式；聘请信息安安全专家作作为常年的的安全顾问问，指导信信息安全建建设，参与与安全规划划和安全评评审等。安全管理机机构--审核与检查查由安全管理理人员定期期进行安全全检查，检检查内容包包括用户账账号情况、、系统漏洞洞情况、系系统审计情情况等；由安全管理理部门组织织相关人员员定期进行行全面检查查，检查内内容包括现现有安全技技术措施的的有效性、、安全配置置与安全策策略的一致致性、安全全管理制度度的执行情情况等；由安全管理理部门组织织相关人员员定期分析析、评审异异常行为的的审计记录录，发现可可疑行为,形成审计计分析报告告，并采取取必要的应应对措施；；制定安全检检查表格，，实施安全全检查，汇汇总安全检检查数据，，形成安全全检查报告告，并对安安全检查结结果进行通通报；制定安全审审核和安全全检查制度度，规范安安全审核和和安全检查查工作，定定期按照程程序进行安安全审核和和安全检查查活动。安全管理制制度管理制度制定与发布布评审与修订订安全管理制制度--管理制度制定信息安安全工作的的总体方针针、政策性性文件和安安全策略等等，说明机机构安全工工作的总体体目标、范范围、方针针、原则、、责任等；；对安全管理理活动中的的各类管理理内容建立立安全管理理制度，以以规范安全全管理活动动，约束人人员的行为为方式；对要求管理理人员或操操作人员执执行的日常常管理操作作，建立操操作规程，，以规范操操作行为，，防止操作作失误；形成由安全全政策、安安全策略、、管理制度度、操作规规程等构成成的全面的的信息安全全管理制度度体系；由安全管理理职能部门门定期组织织相关部门门和相关人人员对安全全管理制度度体系的合合理性和适适用性进行行审定。安全管理制制度--制定与发布布在信息安全全领导小组组的负责下下，组织相相关人员制制定；保证安全管管理制度具具有统一的的格式风格格，并进行行版本控制制；组织相关人人员对制定定的安全管管理制度进进行论证和和审定；安全管理制制度应经过过管理层签签发后按照照一定的程程序以文件件形式发布布；安全管理制制度应注明明发布范围围，并对收收发文进行行登记。安全管理制制度--评审与修订订定期对安全全管理制度度进行评审审和修订，，对存在不不足或需要要改进的安安全管理制制度进行修修订；当发生重大大安全事故故、出现新新的安全漏漏洞以及技技术基础结结构发生变变更时，应应对安全管管理制度进进行检查、、审定和修修订；每个制度文文档应有相相应负责人人或负责部部门，负责责对明确需需要修订的的制度文档档，进行修订和和维护。人员安全管管理人员录用人员离岗人员考核安全意识教教育与培训训第三方人员员管理人员安全管管理--人员录用保证被录用用人具备基基本的专业业技术水平平和安全管管理知识；；对被录用人人的身份、、背景、专专业资格和和资质进行行审查；对被录用人人所具备的的技术技能能进行考核核；对被录用人人说明其角角色和职责责；签署保密协协议；对从事关键键岗位的人人员应从内内部人员选选拔，并定定期进行信信用审查；；对从事关键键岗位的人人员应签署署岗位安全全协议。人员安全管管理--人员离岗立即终止由由于各种原原因即将离离岗的员工工的所有访访问权限；；取回各种身身份证件、、钥匙、徽徽章等以及及机构提供供的软硬件件设备；经机构人事事部门办理理严格的调调离手续，，并承诺调调离后的保保密义务后后方可离开开。人员安全管管理--人员考核对所有人员员进行全面面、严格的的安全审查查；定期对各个个岗位的人人员进行安安全技能及及安全认知知的考核；；对考核结果果进行记录录并保存；；对违背安全全策略和规规定的人员员进行惩戒戒。人员安全管管理--安全意识教教育与培训训对各类人员员进行安全全意识教育育；告知人员相相关的安全全责任和惩惩戒措施；；制定安全教教育和培训训计划，对对信息安全全基础知识识、岗位操操作规程等等进行培训训；针对不同岗岗位制定不不同培训计计划；对安全教育育和培训的的情况和结结果进行记记录并归档档保存。人员安全管管理--第三方人员员管理第三方人员员应在访问问前与机构构签署安全全责任合同同书或保密密协议；对重要区域域的访问，，须提出书书面申请，，批准后由由专人全程程陪同或监监督，并记记录备案；；对第三方人人员允许访访问的区域域、系统、、设备、信信息等内容容应进行书书面的规定定，并按照照规定执行行。系统建设管管理系统定级系统备案安全方案设设计产品采购自行软件研研发外包软件开开发工程实施工程验收系统交付系统建设管管理--系统定级明确信息系系统划分的的方法确定信息系系统的安全全保护等级级以书面的形形式定义安安全保护等等级的信息息系统的属属性，包括括使命、业业务、网络络、硬件、、软件、数数据、边界界、人员等等以书面的形形式说明确确定一个信信息系统为为某个安全全保护等级级的方法和和理由组织相关部部门和有关关安全技术术专家对信信息系统的的定级结果果的合理性性和正确性性进行论证证和审定确保信息系系统的定级级结果经过过相关部门门的批准系统建设管管理--系统备案将系统定级级、系统属属性等材料料指定专门门的人员或或部门负责责管理，并并控制这些些材料的使使用将系统等级级和系统属属性等资料料报系统主主管部门备备案将系统等级级、系统属属性、等级级划分理由由及其他要要求的备案案材料报相相应公安机机关备案系统建设管管理--安全方案设设计根据系统的的安全级别别选择基本本安全措施施，依据风风险评估的的结果补充充和调整安安全措施指定和授权权专门的部部门对信息息系统的安安全建设进进行总体规规划，制定定近期和远远期的安全全建设工作作计划根据信息系系统的等级级划分情况况，统一考考虑安全保保障体系的的总体安全全策略、安安全技术框框架、安全全管理策略略、总体建建设规划和和详细设计计方案，并并形成配套套文件组织相关部部门和有关关安全技术术专家对总总体安全策策略、安全全技术框架架、安全管管理策略、、总体建设设规划、详详细设计方方案等相关关配套文件件的合理性性和正确性性进行论证证和审定确保总体安安全策略、、安全技术术框架、安安全管理策策略、总体体建设规划划、详细设设计方案等等文件必须须经过批准准，才能正正式实施根据安全测测评、安全全评估的结结果定期调调整和修订订总体安全全策略、安安全技术框框架、安全全管理策略略、总体建建设规划、、详细设计计方案等相相关配套文文件系统建设管管理--产品采购确保安全产产品的使用用符合国家家的有关规规定确保密码产产品的使用用符合国家家密码主管管部门的要要求指定或授权权专门的部部门负责产产品的采购购制定产品采采购方面的的管理制度度明确说明明采购过程程的控制方方法和人员员行为准则则预先对产品品进行选型型测试，确确定产品的的候选范围围，并定期期审定和更更新候选产产品名单系统建设管管理--自行软件研研发确保开发环环境与实际际运行环境境物理分开开；确保系统开开发文档由由专人负责责保管，系系统开发文文档的使用用受到控制制；制定开发方方面的管理理制度，明确说明开开发过程的的控制方法法和人员行行为准则；；确保开发人人员和测试试人员的分分离，测试试数据和测测试结果受受到控制；；确保提供软软件设计的的相关文档档和使用指指南；确保对程序序资源库的的修改、更更新、发布布进行授权权和批准。。系统建设管管理--外包软件开开发与软件开发发单位签订订协议，明明确知识产产权的归属属和安全方方面的要求求；根据协议的的要求检测测软件质量量；在软件安装装之前检测测软件包中中可能存在在的恶意代代码；要求开发单单位提供技技术培训和和服务承诺诺；要求开发单单位提供软软件设计的的相关文档档和使用指指南。系统建设管管理--工程实施与工程实施施单位签订订与安全相相关的协议议，约束工工程实施单单位的行为为；指定或授权权专门的人人员或部门门负责工程程实施过程程的管理；；制定详细的的工程实施施方案控制制实施过程程，并要求求工程实施施单位能正正式地执行行安全工程程过程；制定工程实实施方面的的管理制度度明确说明明实施过程程的控制方方法和人员员行为准则则。系统建设管管理--工程验收对系统进行行安全性测测试验收；；在测试验收收前根据设设计方案或或合同要求求等制订测测试验收方方案，测试试验收过程程中详细记记录测试验验收结果，，形成测试试验收报告告；委托公正的的第三方测测试单位对对系统进行行测试，并并出具测试试报告；制定系统测测试验收方方面的管理理制度，明明确说明系系统测试验验收的控制制方法和人人员行为准准则；指定或授权权专门的部部门负责系系统测试验验收的管理理，并按照照管理制度度的要求完完成系统测测试验收工工作；组织相关部部门和相关关人员，对对系统测试试验收报告告进行审定定，没有疑疑问后由双双方签字。。系统建设管管理--系统交付明确系统的的交接手续续，并按照照交接手续续完成交接接工作；由系统建设设方完成对对委托建设设方的运维维技术人员员的培训；；由系统建设设方提交系系统建设过过程中的文文档和指导导用户进行行系统运行行维护的文文档；由系统建设设方进行服服务承诺，，并提交服服务承诺书书，确保对对系统运行行维护的支支持；制定系统交交付方面的的管理制度度，明确说明系系统交付的的控制方法法和人员行行为准则；；指定或授权权专门的部部门负责系系统交付的的管理工作作，并按照照管理制度度的要求完完成系统交交付工作。。系统运维管管理环境管理资产管理介质管理设备管理监控管理网络安全管管理系统安全管管理恶意代码防防范管理密码管理变更管理备份与恢复复管理安全事件管管理应急预案管管理系统运维管管理--环境管理对机房供配配电、空调调、温湿度度控制等设设施指定专专人或专门门的部门定定期进行维维护管理；；配备机房安安全管理人人员，对机机房的出入入、服务器器的开机或或关机等工工作进行管管理；建立机房安安全管理制制度，对有有关机房物物理访问，，物品带进进、带出机机房和机房房环境安全全等方面作作出规定；；加强对办公公环境的保保密性管理理，如工作作人员调离离办公室应应立即交还还该办公室室钥匙和不不在办公区区接待来访访人员等；；有指定的部部门负责机机房安全，，并配置电电子门禁系系统，对机机房来访人人员实行登登记记录和和电子记录录双重备案案管理；对办公环境境的人员行行为，如工工作人员离离开座位应应确保终端端计算机退退出登录状状态和桌面面上没有包包含敏感信信息的纸档档文件等作作出规定。。系统运维管管理--资产管理建立资产安安全管理制制度，规定定信息系统统资产管理理的责任人人员或责任任部门，并并规范资产产管理和使使用的行为为；编制并保存存与信息系系统相关的的资产、资资产所属关关系、安全全级别和所所处位置等等信息的资资产清单；；根据资产的的重要程度度对资产进进行定性赋赋值和标识识管理，根根据资产的的价值选择择相应的管管理措施；；规定信息分分类与标识识的原则和和方法，并并对信息的的使用、存存储和传输输作出规定定。系统运维管管理--介质管理建立介质安安全管理制制度，对介介质的存放放环境、使使用、维护护和销毁等等方面作出出规定；有介质的归归档和查询询记录，并并对存档介介质的目录录清单定期期盘点；对于需要送送出维修或或销毁的介介质，应首首先清除介介质中的敏敏感数据，，防止信息息的非法泄泄漏；根据数据备备份的需要要对某些介介质实行异异地存储，，存储地的的环境要求求和管理方方法应与本本地相同；；根据所承载载数据和软软件的重要要程度对介介质进行分分类和标识识管理，并并实行存储储环境专人人管理；对介质的物物理传输过过程中人员员选择、打打包、交付付等情况进进行控制；；对存储介质质的使用过过程、送出出维修以及及销毁进行行严格的管管理，保密密性较高的的信息存储储介质未经经批准不得得自行销毁毁；必要时应对对重要介质质数据和软软件采取加加密存储，，对带出工工作环境的的存储介质质进行内容容加密和监监控管理；；对存放在介介质库中的的介质定期期进行完整整性和可用用性检查，，确认其数数据或软件件没有受到到损坏或丢丢失。系统运维管管理--设备管理对信息系统统相关的各各种设备、、线路等指指定专人或或专门的部部门定期进进行维护管管理；对信息系统统的各种软软硬件设备备的选型、、采购、发发放或领用用等过程建建立基于申申报、审批批和专人负负责的管理理制度；对终端计算算机、工作作站、便携携机、系统统和网络等等设备的操操作和使用用进行规范范化管理；；对带离机房房或办公地地点的信息息处理设备备进行控制制；按操作规程程实现服务务器的启动动/停止、、加电/断断电等操作作，加强对对服务器操操作的日志志文件管理理和监控管管理，并对对其定期进进行检查；；建立配套设设施、软硬硬件维护方方面的管理理制度，对对软硬件维维护进行有有效的管理理，包括明明确维护人人员的责任任、涉外维维修和服务务的审批、、维修过程程的监督控控制等；在安全管理理机构统一一安全策略略下对服务务器进行系系统配置和和服务设定定，并实施施配置管理理。系统运维维管理--监控管理理进行主机机运行监监视，包包括监视视主机的的CPU、硬盘盘、内存存和网络络等资源源的使用用情况；；对分散或或集中的的安全管管理系统统的访问问授权、、操作记记录、日日志等方方面进行行有效管管理；严格管理理运行过过程文档档，其中中包括责责任书、、授权书书、许可可证、各各类策略略文档、、事故报报告处理理文档、、安全配配置文档档、系统统各类日日志等，，并确保保文档的的完整性性和一致致性。系统运维维管理--网络安全全管理指定专人人对网络络进行管管理，负负责运行行日志、、网络监监控记录录的日常常维护和和报警信信息分析析和处理理工作；；根据厂家家提供的的软件升升级版本本对网络络设备进进行更新新，并在在更新前前对现有有的重要要文件进进行备份份；进行网络络系统漏漏洞扫描描，对发发现网络络系统安安全漏洞洞进行及及时的修修补；应应保证所所有与外外部系统统连接均均应得到到授权和和批准；；建立网络络安全管管理制度度，对网网络安全全配置、、网络用用户以及及日志等等方面作作出规定定；对网络设设备的安安全策略略、授权权访问、、最小服服务、升升级与打打补丁、、维护记记录、日日志以及及配置文文件的生生成、备备份、变变更审批批、符合合性检查查等方面面做出具具体要求求；规定网络络审计日日志的保保存时间间以便为为可能的的安全事事件调查查提供支支持；明确各类类用户的的责任、、义务和和风险，，并按照照机构制制定的审审查和批批准程序序建立用用户和分分配权限限，定期期检查用用户实际际权限与与分配权权限的符符合性；；对日志的的备份、、授权访访问、处处理、保保留时间间等方面面做出具具体规定定，使用用统一的的网络时时间，以以确保日日志记录录的准确确；通过身份份鉴别、、访问控控制等严严格的规规定限制制远程管管理账户户的操作作权限和和登录行行为；定期检查查违反规规定拨号号上网或或其他违违反网络络安全策策略行为为。系统运维维管理--系统安全全管理指定专人人对系统统进行管管理，删删除或者者禁用不不使用的的系统缺缺省账户户；制定系统统安全管管理制度度，对系系统安全全配置、、系统帐帐户以及及审计日日志等方方面作出出规定；；对能够使使用系统统工具的的人员及及数量进进行限制制和控制制；定期安装装系统的的最新补补丁程序序，并根根据厂家家提供的的可能危危害计算算机的漏漏洞进行行及时修修补，并并在安装装系统补补丁前对对现有的的重要文文件进行行备份；；根据业务务需求和和系统安安全分析析确定系系统的访访问控制制策略，，系统访访问控制制策略用用于控制制分配信信息系统统、文件件及服务务的访问问权限；；对系统账账户进行行分类管管理，权权限设定定应当遵遵循最小小授权要要求；对系统的的安全策策略、授授权访问问、最小小服务、、升级与与打补丁丁、维护护记录、、日志以以及配置置文件的的生成、、备份、、变更审审批、符符合性检检查等方方面做出出具体要要求；规定系统统审计日日志的保保存时间间以便为为可能的的安全事事件调查查提供支支持；进行系统统漏洞扫扫描，对对发现的的系统安安全漏洞洞进行及及时的修修补；明确各类类用户的的责任、、义务和和风险，，对系统统账户的的登记造造册、用用户名分分配、初初始口令令分配、、用户权权限及其其审批程程序、系系统资源源分配、、注销等等作出规规定；对于账户户安全管管理的执执行情况况进行检检查和监监督，定定期审计计和分析析用户账账户的使使用情况况，对发发现的问问题和异异常情况况进行相相关处理理。系统运维维管理--恶意意代码防防范管理理提高所有有用户的的防病毒毒意识，，告知及及时升级级防病毒毒软件；；在读取移移动存储储设备(如软盘盘、移动动硬盘、、光盘)上的数数据以及及网络上上接收文文件或邮邮件之前前，先进进行病毒毒检查，，对外来来计算机机或存储储设备接接入网络络系统之之前也要要进行病病毒检查查；指定专人人对网络络和主机机进行恶恶意代码码检测并并保存检检测记录录；建立恶意意代码防防范管理理制度，，对防恶恶意代码码软件的的授权使使用、恶恶意代码码库升级级、定期期汇报等等作出明明确管理理规定；；建立恶意意代码集集中防护护的安全全管理中中心，确确保整个个网络统统一配置置、统一一升级、、统一控控制；定期检查查信息系系统内各各种产品品的恶意意代码库库的升级级情况并并进行记记录，对对主机防防病毒产产品、防防病毒网网关和邮邮件防病病毒网关关上截获获的危险险病毒或或恶意代代码进行行及时分分析处理理，并形形成书面面的报表表和总结结汇报。。系统运维维管理--密码管理理建立密码码使用管管理制度度;密码算法法和密钥钥使用应应符合国国家密码码管理规规定。系统运维维管理--变更管理理确认系统统中将发发生的变变更，并并制定变变更方案案；建立变更更管理制制度，重重要系统统变更前前，应向向主管领领导申请请，变更更方案经经过评审审、审批批后方可可实施变变更；系统变更更情况应应向所有有相关人人员通告告；应建立变变更控制制的申报报和审批批文件化化程序，，变更影影响分析析应文档档化，变变更实施施过程应应记录，，所有文文档记录录应妥善善保存；；中止变更更并从失失败变更更中恢复复程序应应文档化化，应明明确过程程控制方方法和人人员职责责，必要要时恢复复过程应应经过演演练。系统运维维管理--备份份与恢复复管理识别需要要定期备备份的重重要业务务信息、、系统数数据及软软件系统统等；规定备份份信息的的备份方方式（如如增量备备份或全全备份等等）、备备份频度度（如每每日或每每周等））、存储储介质、、保存期期等；根据数据据的重要要性和数数据对系系统运行行的影响响，制定定数据的的备份策策略和恢恢复策略略，备份份策略应应指明备备份数据据的放置置场所、、文件命命名规则则、介质质替换频频率和将将数据离离站运输输的方法法；指定相相应的的负责责人定定期维维护和和检查查备份份及冗冗余设设备的的状况况，确确保需需要接接入系系统时时能够够正常常运行行；根据设设备备备份方方式，，规定定备份份及冗冗余设设备的的安装装、配配置和和启动动的流流程；；建立控控制数数据备备份和和恢复复过程程的程程序，，备份份过程程应记记录，，所有有文件件和记记录应