信息安全管理实施案例-课件

信息安全管理实施案例信息安全管理实施案例116.1案例一企业内网安全管理案例16.1.1企业基本情况1．企业基本情况企业名称：北京曲美家具集团有限公司。企业地址：北京市朝阳区来广营西路93号。公司网址：qumei。邮编：10008516.1案例一企业内网安全管理案例16.1.1企业基本216.1.1企业基本情况2．公司介绍北京曲美家具集团有限公司创建于1987年，经过20余年的发展，已发展成为集设计、生产、销售于一体的大型、规范化家具集团，现为中国家具协会副理事长单位，是中国家具行业的领军企业。曲美集团本着“道德为本，能力为先”的理念，不断引进高水平的专业管理人才，拥有一支高效务实的团队。16.1.1企业基本情况2．公司介绍316.1.2信息化应用总体现状与规划1．信息化应用现状目前曲美拥有如下信息化系统：曲美家具制造ERP系统、曲美家具商业ERP系统、多项电子商务平台、集团OA系统、CHINASEC可信网络安全平台。商业ERP系统为曲美集团商业管理水平的提高起到了卓越的贡献。实现了集团对全国各店的直接管控。曲美集团的信息管理系统具备了从销售预知到送货后的客户反馈的管理模式。16.1.2信息化应用总体现状与规划1．信息化应用现状416.1.2信息化应用总体现状与规划2．信息化规划目前曲美集团考虑完善如下的信息化建设：（1）商业ERP系统的深入推广；（2）加强制造ERP系统对质量管理环节的管控支持、细化绩效考核系统。16.1.2信息化应用总体现状与规划516.1.3内网安全管理1．安全需求分析（1）北京曲美集团内网安全管理现状北京曲美集团为中型企业，公司计算机数量多、网络设施完善，分散在各个区域之间。在进行信息网络建设的时候，对安全性做了成熟的考虑，但是主要基于传统的网络安全，主要是边界防护设备、灾难备份、病毒防护等。随着分散在各个内网主机和服务器上的有价值的信息越来越多，内网安全和保密成为信息中心不得不重视的问题；16.1.3内网安全管理1．安全需求分析616.1.3内网安全管理另外区域的分散对于技术人员管理起来非常不方便，一旦计算机出了一点问题，都要到现场处理；还有办公部门内部人员数量众多，所属部门，职责和权限各不相同，如果某个人员访问了其权限以外的信息资源，如重要计算机，服务器等，将会对内网的信息安全构成极大的威胁。16.1.3内网安全管理716.1.3内网安全管理（2）网络中存在的隐患在网络的日常运行中，存在如下安全隐患：·员工可能通过U盘或者移动硬盘将数据复制出去，造成有意或无意的信息泄漏问题。·员工可能将文件打印带出办公区的问题。·员工可能将笔记本电脑带出公司，从而造成知识产权泄密问题。·网络中共享信息的无授权访问、以及服务器的无授权连接。16.1.3内网安全管理（2）网络中存在的隐患816.1.3内网安全管理·业务信息终端计算机相互之间的非加密通信。·业务信息终端计算机中的非加密存储·业务信息网络中的计算机无安全域的划分。·系统终端有非授权人员的登录情况。·非信任计算机的非法接入业务信息网络的问题。·在工作中处理一些与工作无关的事情（如：玩游戏、看小说、听音乐等）·集团分部不能做到统一的管理等。16.1.3内网安全管理·业务信息终端计算机相互之间的非916.1.3内网安全管理2．解决方案（1）设计原则根据信息中心内网的规模和管理情况，本解决方案根据以下原则进行信息中心内网安全管理系统的设计：①系统应该统一规划，分步实施，实施各个阶段应该保持良好的衔接；②系统与应用相关性应该尽可能低，支持应用系统的升级和新应用的扩展；③系统的选型必须是基于现有的成熟产品和系统，具有可靠的稳定性；16.1.3内网安全管理2．解决方案1016.1.3内网安全管理④系统应具有良好的可管理性和可维护性，有统一的管理中心；⑤系统必须具有良好的易用性和兼容性，不会改变业务系统的主要结构，也不会对系统的操作人员带来过多的习惯改变；⑥系统应该符合国家制定的相关安全管理规范，取得相关资质。16.1.3内网安全管理④系统应具有良好的可管理性和可维1116.1.3内网安全管理（2）分域管理①虚拟保密子网划分通过保密子网的划分，可以在保障网络统一维护的前提下，对信息中心内部不同的部门等实现有效的数据隔离，通过保密子网，还可以有效防止非法外连或者非法接入。不同保密子网（VCN）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。16.1.3内网安全管理（2）分域管理1216.1.3内网安全管理②移动存储设备管理Chinasec可信网络保密系统可以实现对移动存储设备的有效管理。管理员可以设定没有注册的移动存储设备（U盘或者移动硬盘等）默认的使用策略，可选策略包括禁用（没有注册的磁盘禁止使用）、只读（可以将没注册磁盘数据拷入到VCN网内的计算机，但不能拷出数据）或者加密读写。16.1.3内网安全管理②移动存储设备管理1316.1.3内网安全管理③用户注册内网安全管理平台对用户进行集中管理。用户通过网络申请获得合法的数字证书（载体为配发的硬件USB令牌）后，可以远程注册到平台用户认证服务器上。该注册过程由系统客户端代理自动完成，用户只需要将自己的USB令牌插入计算机，并输入正确的PIN码，该用户令牌即会自动注册到安全支撑平台的用户认证服务器上。16.1.3内网安全管理③用户注册1416.1.3内网安全管理④权限管理用户注册成功后，管理员必须为用户赋予相应权限，以使用户获得在内部网络中的使用权。权限管理的内容包括计算机登录权限和服务器访问权限等。如果用户具有特殊权限或者是一个权限的部门，则需要进行相应的权限设置，从而完成用户的授权管理工作。16.1.3内网安全管理1516.1.3内网安全管理⑤身份认证内网安全管理平台的身份认证系统采用Chinasec可信网络认证系统进行集中的认证。（3）主机监控①实时监控实时远程监视和控制客户端计算机的状态，这些状态包括：安装的应用程序、服务、驱动以及他们的运行状态；16.1.3内网安全管理⑤身份认证1616.1.3内网安全管理②外设监控外设监控策略运行管理员针对每台计算机进行外设端口使用的授权，比如允许或者禁止USB存储设备的使用等。这些端口和设备类型包括USB存储设备、USB普通设备、红外、串口、并口（打印端口）、键盘鼠标、光驱、软驱和1394端口等。16.1.3内网安全管理1716.1.3内网安全管理③应用监控应用监控提供了管理员集中授权管理客户端应用的方法。管理员可以黑名单或者白名单的方式授权，并且可以基于进程名称、服务名称或者窗口名称进行管理。自动记录计算机上的文件操作记录，包括创建、删除和复制等操作，并记录用户名、文件名和相应的时间等。16.1.3内网安全管理③应用监控1816.1.3内网安全管理④网络监控可以根据IP地址、网络端口和数据流向等设定客户端计算机或者用户访问的权限，以白名单或者黑名单的方式工作。例如发现蠕虫病毒，可以及时全网统一封锁相应的传播端口，从而有效控制该类型病毒的破坏效果。16.1.3内网安全管理④网络监控1916.1.3内网安全管理3．方案效果（1）实现了有效的高强度用户身份认证，并在此基础上实现了有效的资源集中授权管理，保护内网终端的安全。通过Chinasec可信网络认证系统（TIS），基于数字证书技术，为每个用户发放一个代表用户身份的硬件USB令牌。每个令牌内置运算芯片，具有不可复制性，结合PIN码访问控制，具有锁定功能，安全强度高。16.1.3内网安全管理3．方案效果2016.1.3内网安全管理管理员可以指定某一个用户只能使用某一台或者某几台计算机，或者该用户能够访问那些研究所内部的服务器；管理员也可以指定某一台计算机只能由那几个用户使用。如果需要变更用户的权限，仅需要管理员在控制台进行简单的授权更改即可。16.1.3内网安全管理管理员可以指定某一个用户只能使用某2116.1.3内网安全管理（2）有效实现了内网安全保密，对网络和移动存储两个主要数据交换途径进行了有效的管理控制。通过Chinasec可信网络保密系统，可以根据需要将信息中心内部网络按照业务群体分成不同的虚拟保密子网（VCN）。同一个VCN内的计算机可以通过网络或者移动存储设备进行正常的数据交换，但是如果处于不同VCN之间的计算机要进行数据交换，则需要管理员的授权。16.1.3内网安全管理（2）有效实现了内网安全保密，对网2216.1.3内网安全管理这些保密措施使用了透明的数据加密和解密处理技术，对用户和应用程序都是不可见的，不改变用户的计算机使用习惯。在同一个VCN之间计算机通信，每两台计算机直接的数据传输都使用了独特的密钥进行加密，所以可以有效防止恶意的Sniffer之类的网络监听软件。16.1.3内网安全管理这些保密措施使用了透明的数据加密和2316.1.3内网安全管理（3）实现了灵活有效的外设和应用管理，并可以结合用户进行授权。可以对计算机所有通用的外设进行管理，不仅仅局限于常见的外设端口（如USB、红外、串并口、光驱软驱、打印机等），计算机所有的设备都可以根据黑白名单和设备关键字进行控制。对应用程序也可以进行有效的授权管理，允许或者禁止使用某种应用程序的执行。16.1.3内网安全管理（3）实现了灵活有效的外设和应用管2416.1.3内网安全管理（4）内网服务器访问认证通过使用安全网关设备将内网运行的服务器统一管理起来，只有经过认证的用户才有权利访问服务器上面的资源，保证了内网服务器数据安全性。16.1.3内网安全管理2516.1.3内网安全管理（5）提供详细的审计信息，并提供分日期查询功能能够实时查看客户端的所有状态，包括应用程序安装运行情况、设备安装使用情况以及用户桌面能够详细记录用户文件操作信息，包括文件的创建、删除、重命名等操作。能够记录用户的违规行为。能够记录用户每次登陆系统的信息。16.1.3内网安全管理（5）提供详细的审计信息，并提供分2616.2案例二信息安全管理体系构建实例16.2.1企业背景IBAS公司成立于1978年，是世界公认的数据修改、销毁和计算机犯罪取证领域的领导者，集团总部位于挪威，目前在全球10多个国家和地区拥有分支机构和完善的营销与服务支持网络。16.2案例二信息安全管理体系构建实例16.2.1企业2716.2案例二信息安全管理体系构建实例16.2.2客户需求鉴于数据销毁和恢复业务的高敏感性，客户对于服务商在服务过程中保护客户隐私，防止敏感信息泄露方面的安全性和信誉度普遍存在不同程度的担忧，这不仅仅是领先的专业技术和市场知名度所能涵盖的，更重要的是企业如何体现对客户信息的安全保障水平。16.2案例二信息安全管理体系构建实例16.2.2客户2816.2.2客户需求IBAS香港希望通过BS7799项目的实施，建立起符合安全管理国际标准和业务运作要求的信息安全管理体系，获得权威机构的资质认证，从而在提高业务安全管理水平的同时，增强客户对IBAS专业安全服务的信心和品牌知名度。16.2.2客户需求IBAS香港希望通过BS7799项目的2916.2.3实施过程表16-1给出了IBAS信息安全管理体系建设项目的规划时间表，包括准备、设计、体系运行及复查和审计4个阶段，遵循BS7799的PDCA过程模型。(表见16－1书P264)16.2.3实施过程表16-1给出了IBAS信息安全管理体3016.2.3实施过程BS7799的两部分（BS7799分为两个部分:BS7799-1,《信息安全管理实施规则》;BS7799-2《信息安全管理体系规范》）分别给出了组织安全管理体系的要求和最佳参考实践，但距离实际操作仍留下许多空白，这给安全顾问公司提供了价值发挥的空间。在项目实施过程中，主要的难点如下。16.2.3实施过程3116.2.3实施过程1．如何确定ISMS的范围ISMS范围的正确确定是整个ISMS建设过程的基础和成败关键。仅就认证目的而言，企业可以选择任何部门和系统，但显然只有与业务目标一致的范围定义才有助于体现安全管理对于核心业务的促进作用。16.2.3实施过程1．如何确定ISMS的范围3216.2.3实施过程在本项目中，最终选择了企业的核心业务系统作为此次认证的范围，其ISMS边界包括数据安全实验室及所有与“数据销毁和数据恢复服务”相关的信息资产，从而确保了BS7799实施与预期目标的一致性。2．如何进行风险评估风险评估被公认为ISMS实施过程最关键和难以操作的环节，因此，BS7799的实施并不限定客户使用什么风险评估方法。通过本项目，可以总结以下几点。16.2.3实施过程在本项目中，最终选择了企业的核心业务系3316.2.3实施过程（1）风险评估成功与否的关键首先不在于技术问题，而在于良好的客户沟通和会议组织技巧，包括让管理者和业务人员理解风险评估的重要性和方法，予以必要的配合和支持，并通过高效的会议组织，获得较全面的和客观的调查反馈信息。（2）应避免风险评估仅限于IT部门和安全专家的参与。风险评估既然服务于企业的业务目标，就应当得到业务部门的支持，16.2.3实施过程（1）风险评估成功与否的关键首先不在于3416.2.3实施过程事实上，只有业务部的人员最理解需要保护什么，保护的程度如何，担心哪些安全问题，发生过什么安全事件，是否值得以特定成本实施安全控制而降低某项风险。因此，在一开始就应把业务骨干纳入到风险评估小组，通过培训让所有成员理解风险评估的目的、组织流程和方法。16.2.3实施过程3516.2.3实施过程（3）风险评估应始终围绕企业的目标和方针进行，比如说，在评估资产和威胁的影响时，都要进行业务影响分析，其中制定的参考指标就应参考企业安全目标。当发生各成员评估结果不一致的情况时，项目经理也应参照安全目标的定义进行裁决。16.2.3实施过程（3）风险评估应始终围绕企业的目标和方3616.2.3实施过程（4）成功的风险评估还要避免片面性、主观性，避免与漏洞扫描或渗透测试混为一谈。客户可能认为只有后者才是值得尊重的专业服务，但事实上风险不仅来自技术弱点，还包括组织弱点，如业务流程、人员和资产管理方向的问题等。16.2.3实施过程（4）成功的风险评估还要避免片面性、主3716.2.3实施过程此外，完整的风险评估应涵盖物理和逻辑两方面的因素，本项目就很明显地体现了这点。即使是IBAS这样的大型公司，也存在一些物理方面的技术弱点，如客户介质在交递、保管、处理和返还等环节的安全隐患，以及安全实验室的实物与环境安全问题等。16.2.3实施过程此外，完整的风险评估应涵盖物理和逻辑两3816.2.3实施过程（5）风险评估的好坏不局限于采用定性或定量的风险评估方法，而在于能否为安全控制提供足够的决策参考依据。如果一定要对资产价值、安全威胁和弱点，以提供更好的财务决策，不仅可能导致实施进度失控，而且可能因为缺乏足够的参考标准和过于繁复的过程而导致不可操作。16.2.3实施过程3916.2.3实施过程3．如何发挥人的主观能动性人才是安全管理体系的灵魂，而不是没有生命力的产品或文档体系。安全管理体系的良好运作，依赖于制度和组织机制，更依赖于各种角色人员的安全意识和对安全方针的理解与遵守程度。所有这些，需要有效的培训和管理层的支持。办好培训，其实有很多方式，最好的方式是案例分析，其次是高层动员。16.2.3实施过程3．如何发挥人的主观能动性4016.2.3实施过程在本案例中，由于客户缺乏安全策略开发的能力，安全顾问帮助公司开发了完整的安全方针手册，这些成果最终通过高层批准成为企业制度的一部分。在接下来的实施阶段，首先要进行员工培训，然后根据安全控制实施计划逐条落实相关的措施。16.2.3实施过程4116.2.3实施过程在评审阶段，由于安全顾问公司派出的独立审计员预先对已建立的文件体系和实施成果进行了检查，提出了评审意见和不符合项的纠正措施，然后帮助IBAS进行了改善，因此，正式外审顺利获得通过。16.2.3实施过程在评审阶段，由于安全顾问公司派出的独立4216.2.4实施效果通过实施BS7799，IBAS获得了以下方面的成功和收益。（1）建立了完整的文件化的信息安全管理体系，（2）进一步明确了安全管理对于业务促进的重要作用，提高了安全管理的整体效率。（3）企业安全管理从“无序、零散、被动”的风险补救行为转变为“系统、科学、连贯、主动”的风险驾驭状态。16.2.4实施效果通过实施BS7799，IBAS获得了以4316.2.4实施效果（4）通过把BS7799的要求引入业务流程，现有的业务运作更加安全规范，减少了流程和操作过程带来的安全风险；另外，完善的资产管理、增强的物理环境安全以及业务连续性计划的制定、模拟和定期演练，极大提高了企业对突发事件和外部威胁的风险防范能力。16.2.4实施效果4416.2.4实施效果（5）通过BS7799认证，意味着企业对安全风险的管理能力获得国际权威机构的认可，有助于消除客户对于服务过程中隐私和敏感数据泄密的担忧，从而巩固在数据安全服务领域的专业形象和市场号召力。16.2.4实施效果4516.2.5经验总结BS7799信息安全管理体系的实施，最大意义不在于显著改善企业的安全风险水平，而在于让企业拥有可控的风险管理架构、方法和保障落实机制。16.2.5经验总结4616.3案例三信息安全风险评估之资产评估案例实施信息安全风险评估过程，是对资产、威胁、脆弱性、潜在影响和现有安全措施进行识别、分析和评价，然后综合这些风险要素的评估结果，得出风险的评估结果。资产是风险的第一评估要素，其他要素的评估都是以资产为前提的。本节将给出一个具体的示例，阐述在信息安全风险评估中，如何进行资产评估。16.3案例三信息安全风险评估之资产评估案例实施4716.3.1资产识别方法研究信息资产作为信息系统的构成元素，分布十分广泛；不同信息资产的功能、重要程度也互不相同。这一部分的主要工作是在评估实施方案确定的范围之内，按照评估方案约定的方式，进行如下四项工作。（1）回顾评估范围之内的业务回顾这些信息的主要目的是：帮助资产识别小组对其所评估的业务和应用系统有一个大致了解，为后续的资产识别活动准备。16.3.1资产识别方法研究信息资产作为信息系统的构成元素4816.3.1资产识别方法研究（2）识别信息资产，进行合理分类资产分类的目的是降低后续分析和赋值活动的工作量。（3）确定每类信息资产的安全需求在对资产进行合理分类之后，便可对每个资产类别进行安全需求分析（从机密性、完整性、可用性三个方面进行。（4）为每类资产的重要性赋值在上述安全需求分析的基础上，按照一定方法，确定资产的价值或重要程度等级。16.3.1资产识别方法研究4916.3.2资产赋值方法研究对资产进行赋值不仅需要考虑它本身的财物价值，还需要考虑他的损失可能会对业务造成的影响。更重要的是要考虑资产的安全状况，即资产的机密性、完整性、可用性等安全属性，对组织信息安全性的影响程度。16.3.2资产赋值方法研究对资产进行赋值不仅需要考虑它本5016.3.2资产赋值方法研究1．机密性赋值根据资产在机密性上的不同要求，将其分为5个不同的等级，分别对应资产在机密性缺失时对整个组织的影响。表16-2提供了一种机密性赋值的参考。16.3.2资产赋值方法研究1．机密性赋值51赋值标识定义5很高包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害4高包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害3中等组织的一般性秘密，其泄露会使组织的安全和利益受到损害2低仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害1很低可对社会公开的信息、公用的信息处理设备和系统资源等表16-2资产机密性赋值表赋值标识定义5很高包含组织最重要的秘密，关系未来发展的前途命5216.3.2资产赋值方法研究2．完整性赋值根据资产在完整性上的不同要求，将其分为5个不同的等级，分别对应资产在完整性缺失时对整个组织的影响。表16-3提供了一种完整性赋值的参考。16.3.2资产赋值方法研究53赋值标识定义5很高完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，损失难以弥补4高完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，损失较难弥补3中等完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但损失可以弥补2低完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，损失容易弥补1很低完整性价值非常低，未经授权的修改或破坏会对组织造成影响可以忽略，对业务冲击可以忽略表16-3资产完整性赋值表赋值标识定义5很高完整性价值非常关键，未经授权的修改或破坏会5416.3.2资产赋值方法研究3．可用性赋值根据资产在可用性上的不同要求，将其分为5个不同的等级，分别对应资产在可用性缺失时对整个组织的影响。表16-4提供了一种可用性赋值的参考。16.3.2资产赋值方法研究55赋值标识定义5很高可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断4高可用性价值非常高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小于10分钟3中等可用性价值较高，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30分钟2低可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于60分钟1很低可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25%表16-4资产可用性赋值表赋值标识定义5很高可用性价值非常高，合法使用者对信息及信息系5616.3.2资产赋值方法研究

4．资产重要性等级资产价值应依据资产在机密性、完整性、可用性上的赋值等级，经过综合评定得出。综合评定方法有两种：（1）选择对资产机密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果。16.3.2资产赋值方法研究5716.3.2资产赋值方法研究（2）根据资产的机密性、完整性、可用性的不同等级对其赋值进行加权计算得到资产的最终赋值结果。因此，通常资产赋值也可以划分为5个等级（如表16-5所示）。评估者可以根据资产赋值的结果，确定重要资产的范围，并围绕重要资产，进行下一步的风险评估。16.3.2资产赋值方法研究（2）根据资产的机密性、完整性58赋值标识描述5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失4高重要，其安全属性破坏后可能对组织造成比较严重的损失3中等比较重要，其安全属性破坏后可能对组织造成中等程度的损失2低不太重要，其安全属性破坏后可能对组织造成较低的损失1很低不重要，其安全属性破坏后可能对组织造成很小的损失，甚至忽略不计表16-5资产等级及含意描述赋值标识描述5很高非常重要，其安全属性破坏后可能对组织造成非5916.3.3应用举例本节将按照上面的方法和步骤，对一个电子邮件系统进行资产评估，完成从业务识别到资产识别，最后完成对资产识别的整个过程。1．网络拓扑结构该系统为一个电子邮件系统，服务器软件版本为SendMail8.9.3，该系统使用电子邮件系统作为信息传递与共享的工具和手段，网络拓扑结构如图16-1所示。16.3.3应用举例本节将按照上面的方法和步骤，对一个电子60图16-1Mail系统网络拓扑结构示意图图16-1Mail系统网络拓扑结构示意图6116.3.3应用举例2．业务识别该系统采用以电子邮件作为统一入口的设计思想，电子邮件信箱作为发文、收文、信息服务、档案管理、会议管理等业务的统一“门户”。因此电子邮件系统作为本系统的通信基础设施，为各种业务提供通用的通信平台。16.3.3应用举例2．业务识别6216.3.3应用举例3．资产识别与分类对该电子邮件系统风险评估中进行的资产识别的资产，主要分为硬件资产、文档和数据、人员、管理制度等，其中着重针对硬件资产进行风险评估，人员主要分析其安全职责，IT网络服务和软件结合其设计的硬件资产进行综合评估。下面列出具体各类资产清单。硬件资产清单表（表16-6）：16.3.3应用举例3．资产识别与分类63资产编号资产名称责任人资产描述ASSET_01MailServerAMail服务器，软件版本为SendMailv8.9.3ASSET_02FireWall_01B防火墙，软件版本为IPTablesv1.2.11ASSET_03Switch_01B骨干交换机ASSET_04PC_01C用户终端ASSET_05PC_02D用户终端表16-6硬件资产清单资产编号资产名称责任人资产描述ASSET_01MailSe64文档和数据资产表（表16-7）：资产编号资产名称责任人资产描述ASSET_06人员档案E机构人员档案数据ASSET_07电子文档数据EOA系统中的电子文件表16-7文档和数据资产清单文档和数据资产表（表16-7）：资产编号资产名称责任人资产描65制度资产清单表（表16-8）：资产编号资产名称责任人资产描述ASSET_08安全管理制度E机房安全管理制度等ASSET_09备份制度E系统备份制度表16-8制度资产清单制度资产清单表（表16-8）：资产编号资产名称责任人资产描述66人员资产清单表（表16-9）：资产编号资产名称责任人资产描述ASSET_10王伟A系统管理员ASSET_11陈明B网络管理员ASSET_12赵彬B普通用户ASSET_13李玲D普通用户ASSET_14吴弘E档案和数据管理员，制度实施者表16-9人员资产清单人员资产清单表（表16-9）：资产编号资产名称责任人资产描述6716.3.3应用举例4．安全需求分析评估方和被评估方都要参与进来，采用座谈会或调查问卷的方式，双方一同分析各个资产类别在其业务或应用系统中的位置以及所发挥的作用，分析每个资产类别在机密性、完整性、可用性等方面的要求。下面以ASSET_01MailServer为例，列举出它的人工访谈表格（见下表16-10）：16.3.3应用举例4．安全需求分析68资产识别活动信息开始时间2019-7-2结束时间2019-7-4访谈者A访谈对象及说明系统管理员地点说明640记录信息所属类别硬件资产资产名称MailServer资产编号ASSET_01IP地址59.64.156.193物理位置机房功能描述接收和发送电子邮件机密性要求很高完整性要求很高可用性要求很高重要程度很高安全控制措施防火墙负责人A备注资产识别活动信息开始时间2019-7-2结束时间2019-76916.3.3应用举例5．资产赋值三个属性赋值分为5个等级，分别对应了该项信息资产的机密性、完整性和可用性的不同程度的影响，根据资产赋值一节中对三个属性赋值的依据和标准，得到的CIA三性等级如下表16-11所示。16.3.3应用举例5．资产赋值70资产编号资产名称机密性完整性可用性ASSET_01MailServer555ASSET_02FairWall_01555ASSET_03Switch_01555ASSET_04PC_01222ASSET_05PC_02222ASSET_06人员档案552ASSET_07电子文档数据553ASSET_08安全管理制度144ASSET_09备份制度144ASSET_10A532ASSET_11B532ASSET_12C132ASSET_13D132ASSET_14E132资产编号资产名称机密性完整性可用性ASSET_01Mail7116.3.3应用举例资产价值应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出，根据本系统的业务特点，采取相乘法决定资产的价值，计算公式如下，其中：v表示资产价值，x表示机密性，y表示完整性，z表示可用性。16.3.3应用举例资产价值应依据资产在机密性、完整性和可7216.3.3应用举例根据上面的计算公式可以计算出资产的价值，得到本系统资产的价值清单如表16-12所示。16.3.3应用举例73资产编号资产名称机密性完整性可用性资产价值ASSET_01MailServer5555ASSET_02FairWall_015555ASSET_03Switch_015555ASSET_04PC_012222ASSET_05PC_022222ASSET_06人员档案5523.2ASSET_07电子文档数据5533.9ASSET_08安全管理制度1442.8表16-12资产价值表资产编号资产名称机密性完整性可用性资产价值ASSET_01M74ASSET_09备份制度1442.8ASSET_10A(人)5322.8ASSET_11B5322.8ASSET_12C1322.4ASSET_13D1322.4ASSET_14E1322.8表16-12资产价值表ASSET_09备份制度1442.8ASSET_10A(人)7516.3.3应用举例为与上述安全属性的赋值相对应，根据最终赋值将资产划分为5级，如下表16-13所示。16.3.3应用举例76资产价值资产等级资产等级值描述4.2﹤x≤5很高5非常重要，其安全属性破坏后可能对组织造成非常严重的损失3.4﹤x≤4.2高4重要，其安全属性破坏后可能对组织造成比较严重的损失2.6﹤x≤3.4中等3比较重要，其安全属性破坏后可能对组织造成中等程度的损失1.8﹤x≤2.6低2不太重要，其安全属性破坏后可能对组织造成较低的损失1﹤x≤1.8很低1不重要，其安全属性破坏后可能对组织造成很小的损失，甚至忽略不计资产价值资产等级资产等级值描述4.2﹤x≤5很高5非常重要，7716.3.3应用举例根据上述分析可得到表16-14所示的本系统资产等级价值表。16.3.3应用举例78资产编号资产名称资产价值资产等级资产等级值ASSET_01MailServer5很高5ASSET_02FairWall_015很高5ASSET_03Switch_015很高5ASSET_04PC_012低2ASSET_05PC_022低2ASSET_06人员档案3.2中等3ASSET_07电子文档数据3.9高4ASSET_08安全管理制度2.8中等3ASSET_09备份制度2.8中等3ASSET_10A2.8中等3ASSET_11B2.8中等3ASSET_12C2.4低2ASSET_13D2.4低2ASSET_14E2.8中等3资产编号资产名称资产价值资产等级资产等级值ASSET_01M7916.3.4总结在风险评估中需要对资产的价值进行识别，因为价值不同将导致风险值不同。风险评估中资产的价值不是以资产的经济价值来衡量，而是以资产的机密性、完整性和可用性等安全属性为基础进行衡量。资产在机密性、完整性、可用性三个属性上的要求不同则资产的最终价值也不同。16.3.4总结在风险评估中需要对资产的价值进行识别，因为8016.3.4总结在资产赋值的过程中，需要解决的关键问题是对资产的赋值，本节中采取分别对资产的三个维度进行的赋值方法，最后算出权值。资产识别范围的划定以及资产赋值的准确与否直接影响着风险评估最终结果的准确程度，在信息安全风险评估中起着举足轻重的作用。16.3.4总结在资产赋值的过程中，需要解决的关键问题是对8116.4案例四安全等级保护建设案例16.4.1金融行业等级保护建设案例解析信息系统安全等级保护制度（以下简称“等级保护”）作为信息安全系统分级分类保护的一项国家标准，对于完善信息安全法规和标准体系，提高安全建设的整体水平，增强信息系统安全保护的整体性、针对性和时效性具有非常重要的意义。16.4案例四安全等级保护建设案例16.4.1金融行业8216.4.1金融行业等级保护建设案例解析1．信息系统安全等级保护建设的必要性国家相关部门一直非常重视信息系统的等级保护工作，颁布了一系列相关条例，如国务院颁布的《中华人民共和国计算机信息系统安全保护条例》，公安部等四部委联合签发的《关于信息安全等级保护工作的实施意见》(公通字[2019]66号)、《信息安全等级保护管理办法(试行)》(公通字[2019]7号)，16.4.1金融行业等级保护建设案例解析1．信息系统安全等8316.4.1金融行业等级保护建设案例解析中国长城资产管理公司(以下简称“公司”)，作为国有独资金融企业，在业务高速发展的同时一直非常重视信息安全体系建设，早期已经部署了“老三样”，即网络防病毒、防火墙和网络入侵检测，对保障业务系统的安全正常运转起到了重要作用。16.4.1金融行业等级保护建设案例解析8416.4.1金融行业等级保护建设案例解析公司综合经营管理系统经过四期建设，实现了数据集中和管理集中，为公司收购、管理与处置政策性不良资产以及商业化经营等业务的顺利开展提供了完整的业务操作平台。16.4.1金融行业等级保护建设案例解析8516.4.1金融行业等级保护建设案例解析2．确定综合经营管理系统的保护级别根据《信息系统安全等级保护定级指南》中对信息系统的要求，考虑到综合经营管理系统是公司的核心业务系统，一旦受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，因此，将保护级别定为3级，并形成了等级保护定级报告，这在资产管理公司里属于首家。16.4.1金融行业等级保护建设案例解析8616.4.1金融行业等级保护建设案例解析3．建设目标在近年的《信息系统安全等级保护基本要求(报批稿)》中的3级基本要求中明确规定需要建立“监控管理和安全管理中心”，这说明公司的等级保护平台建设走在了行业的前头，为相关行业的等级保护测评工作提供了宝贵的经验。（1）总体目标建设的总体目标是实现国家对信息系统实行等级保护的政策要求，利用平台实现风险管理从“可知到可识到可知识”的良性循环。16.4.1金融行业等级保护建设案例解析3．建设目标8716.4.1金融行业等级保护建设案例解析（2）具体目标平台建设的具体目标包括：①建立信息系统风险监控及等级保护平台，将平台作为维护和管理等级保护测评结果的有力工具。②能够对公司信息系统的风险进行实时监控。③有效贯彻公安部信息系统等级保护规范。④协助公司进一步提升信息安全水平，保障业务的良好运行。⑤利用平台实践“可知-可识-可知识”的风险管理方法论。16.4.1金融行业等级保护建设案例解析（2）具体目标8816.4.1金融行业等级保护建设案例解析4．系统特点和成效目前，借助启明星辰公司提供的信息安全等级保护平台，公司可以通过IP资产与业务域管理、信息安全事件管理、IP资产脆弱性管理等模块实现信息安全事件的集中响应和处理，并高效整合各种安全设备和系统。长城资产公司信息系统风险监控与等级保护平台建设完成后主要取得了两大成效。16.4.1金融行业等级保护建设案例解析4．系统特点和成效8916.4.1金融行业等级保护建设案例解析第一，根据等级保护的3级基本要求，公司有选择地部署了入侵检测防御系统、多功能安全网关、漏洞扫描系统等，通过平台实现的对异构系统的统一事件收集、存储和管理，该平台跟等级保护要求具有很高的符合度，在很大程度上满足了等级保护3级基本要求。16.4.1金融行业等级保护建设案例解析第一，根据等级保护9016.4.1金融行业等级保护建设案例解析第二，平台进行风险管理的过程和结果是“可知-可识-可知识”风险管理方法论的最佳实践。通过平台可以及时发现风险，然后才能进一步识别风险，得到关键资产和业务域的高风险清单，之后利用已有知识或借助外援降低风险到可以接受的水平，最后将成功经验入库，作为以后进行风险管理的参考，这样就完成了对风险的螺旋式上升管理。16.4.1金融行业等级保护建设案例解析第二，平台进行风险9116.4.1金融行业等级保护建设案例解析5．总结信息系统等级保护将是我国重点行业将来建设信息安全保障体系，进行风险管理的重要参考依据。启明星辰承建的长城资产信息系统风险监控与等级保护平台，将国家等级保护要求融入平台建设实践，结合自身特点，进行了有益尝试。16.4.1金融行业等级保护建设案例解析5．总结9216.4.2市级信息安全等级保护定级工作实施案例本节以马鞍山市信息安全等级保护定级工作实施方案为例，介绍政府一级信息安全等级保护工作的建设情况。1．指导思想根据《信息安全等级保护管理办法》（公通字2019第43号）和《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2019]861号）的要求，结合马鞍山市实际，制定如下实施方案。16.4.2市级信息安全等级保护定级工作实施案例9316.4.2市级信息安全等级保护定级工作实施案例2．工作目标落实信息安全规划、建设、评估、运行、维护等各个环节的等级保护制度，逐步建立起信息安全风险评估、信息安全产品认证、信息安全应急协调机制等制度，进一步提高马鞍山市信息安全的保障能力和防护水平，切实保护马鞍山市基础信息网络和重要信息系统的安全。16.4.2市级信息安全等级保护定级工作实施案例9416.4.2市级信息安全等级保护定级工作实施案例3．职责分工（1）市公安局依法对运营、使用信息系统的单位的信息安全等级保护工作实施监督管理，督促、指导信息安全等级保护工作。（2）市信息产业办公室在自己的职责范围内指导、协调全市信息安全等级保护工作。16.4.2市级信息安全等级保护定级工作实施案例3．职责分9516.4.2市级信息安全等级保护定级工作实施案例（3）保密部门按照国家有关规定和技术标准，对涉及国家秘密的信息系统的设计实施等工作进行监督、检查、指导；督促、指导涉及国家秘密的信息安全等级保护工作。16.4.2市级信息安全等级保护定级工作实施案例（3）保密9616.4.2市级信息安全等级保护定级工作实施案例（4）密码管理部门加强对涉及密码管理的信息安全等级保护工作的监督、检查和指导，查处信息安全等级保护工作中违反密码管理的行为和事件。（5）财政部门负责信息安全等级保护工作所需的经费保障，并列入年度财政预算。16.4.2市级信息安全等级保护定级工作实施案例（4）密码9716.4.2市级信息安全等级保护定级工作实施案例4．定级范围（1）电信、广电行业的公用通信网、广播电视传输网等基础信息网络。（2）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安等重要信息系统。（3）市（地）级以上党政机关的重要网站和办公信息系统。（4）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。16.4.2市级信息安全等级保护定级工作实施案例4．定级范9816.4.2市级信息安全等级保护定级工作实施案例5．实施步骤（1）准备阶段①组织领导成立等级保护工作协调领导小组，成员单位分别是公安局、市信息产业办公室、机要局和保密局。等级保护工作协调领导小组构成：组长由一位市公安局副局长担任；领导小组成员由市信息产业办公室主任，市机要局副局长，市保密局副局长组成。16.4.2市级信息安全等级保护定级工作实施案例5．实施步9916.4.2市级信息安全等级保护定级工作实施案例领导小组下设办公室，市公安局网监支队支队长任办公室主任，办公室抽调各成员单位的同志参加，成员单位如下：市信息产业办公室，市机要局，市保密局，市公安局。16.4.2市级信息安全等级保护定级工作实施案例10016.4.2市级信息安全等级保护定级工作实施案例②宣传动员等级保护工作协调领导小组要积极利用广播、电视等媒体，多角度地开展国家信息安全等级保护制度的宣传，积极组织市政府门户网站和各子网站，建立和完善信息安全等级保护制度的宣传网页、专栏。16.4.2市级信息安全等级保护定级工作实施案例10116.4.2市级信息安全等级保护定级工作实施案例（2）摸底调查阶段各行业主管部门、运营使用单位要组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况。16.4.2市级信息安全等级保护定级工作实施案例（2）摸底10216.4.2市级信息安全等级保护定级工作实施案例（3）初步定级阶段各信息系统主管部门和运营使用单位要按照《管理办法》和《信息系统安全等级保护定级指南》，初步确定定级对象的安全保护等级，起草定级报告。16.4.2市级信息安全等级保护定级工作实施案例（3）初步10316.4.2市级信息安全等级保护定级工作实施案例（4）评审审批阶段初步确定信息系统安全保护等级后，可以聘请专家进行评审。对拟确定为第四级以上信息系统的，由运营使用单位或主管部门请国家信息安全保护等级专家评审委员会评审。运营使用单位或主管部门参照评审意见最后确定信息系统安全保护等级，形成定级报告。16.4.2市级信息安全等级保护定级工作实施案例（4）评审10416.4.2市级信息安全等级保护定级工作实施案例（5）备案阶段根据《管理办法》，信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到马鞍山市政府网站下载《信息系统安全等级保护备案表》和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到市公安局网监支队办理备案手续，提交有关备案材料及电子数据文件。16.4.2市级信息安全等级保护定级工作实施案例（5）备案10516.4.2市级信息安全等级保护定级工作实施案例（6）备案管理阶段公安机关和国家保密工作部门负责受理备案并进行备案管理。信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，应当通知备案单位予以纠正。发现定级不准的，应当通知运营使用单位或其主管部门重新审核确定。16.4.2市级信息安全等级保护定级工作实施案例（6）备案10616.4.2市级信息安全等级保护定级工作实施案例6．工作要求（1）统一思想，提高认识各部门要清醒地看到，马鞍山市的信息安全保障工作尚处于起步阶段，信息安全意识和安全防范能力薄弱，信息安全滞后于信息化发展；信息系统安全建设和管理的目标不明确；信息安全保障工作的重点不突出；信息安全监督管理缺乏依据和标准，监管措施有待到位，监管体系尚待完善。为此，各部门要把思想统一到维护国家安全和社会稳定上来，进一步提高对信息安全等级保护工作重要性和紧迫性的认识。16.4.2市级信息安全等级保护定级工作实施案例6．工作要10716.4.2市级信息安全等级保护定级工作实施案例（2）加强领导，落实职责各信息系统运营、使用单位主要负责人是信息安全等级保护工作第一责任人，负责对此项工作的组织协调，并指定专门部门或专门人员从事信息安全等级保护工作，各单位要根据各自职责制订工作方案。16.4.2市级信息安全等级保护定级工作实施案例10816.4.2市级信息安全等级保护定级工作实施案例（3）强化措施，确保实效为切实贯彻落实信息安全等级保护制度，要严格按照预定工作方案定人员、定岗位、定职责，做到措施到位、行动到位，提高信息安全保障能力与水平。各信息系统运营、使用单位的主管部门要给予足够的人力、资金支持，切实把信息系统安全等级保护工作落到实处。16.4.2市级信息安全等级保护定级工作实施案例（3）强化10916.4.2市级信息安全等级保护定级工作实施案例（4）加强协调，提高效率各信息安全等级保护工作领导小组成员单位要整合力量，密切配合，互通信息，加强监管，建立健全信息安全等级保护工作的协作机制，在政策宣传、基础调查、等级评测、定级建设、验收备案等方面充分发挥组织、指导、监管作用，进一步提高工作效率和水平，确保等级保护工作顺利、有效实施。各级主管部门要从维护国家安全和社会稳定的战略高度，强力推进信息系统等级保护工作，为促进马鞍山市信息化发展提供坚实保障。16.4.2市级信息安全等级保护定级工作实施案例（4）加强110本章小结本章首先通过实例介绍了企业内网安全管理情况。读者通过学习可了解到内网通常会存在哪些安全隐患，应采取怎样的安全控制措施，从而知道内网安全管理的重要性。接下来以实例介绍了如何构建信息安全管理体系。本章小结111小结读者通过学习可了解到信息安全管理体系的实施，最大意义不在于显著改善企业的安全风险水平，而在于让企业拥有可控的风险管理架构、方法和保障落实机制。正是因为拥有这套机制，才确保企业在不断变化的安全风险环境中，始终能够通过科学的方法和持续的改进，达到管理者可接受的安全风险水平。小结读者通过学习可了解到信息安全管理体系的实施，最大意义不112小结然后以实例介绍了在信息安全风险评估中如何进行资产评估。通过学习可以明确风险评估中资产的价值不是以资产的经济价值来衡量，而是以资产的机密性、完整性和可用性等安全属性为基础进行衡量。资产在机密性、完整性、可用性三个属性上的要求不同则资产的最终价值也不同。最后以实例介绍了如何进行信息安全等级保护工作建设。小结然后以实例介绍了在信息安全风险评估中如何进行资产评估。113小结通过学习可以了解到，要将安全等级保护工作运用到信息安全管理实践当中去，首先必须领导重视，各级机构必须在相关领导的正确指挥下，密切配合、协同工作，才能确保这一工作顺利、有效的实施。当然本章介绍的实例均是针对某些特定对象的，在实际运用中还需要从具体的安全需求出发，结合标准来实施信息安全管理。小结通过学习可以了解到，要将安全等级保护工作运用到信息安全管114谢谢！供娄浪颓蓝辣袄驹靴锯澜互慌仲写绎衰斡染圾明将呆则孰盆瘸砒腥悉漠堑脊髓灰质炎(讲课2019)脊髓灰质炎(讲课2019)谢谢！供娄浪颓蓝辣袄驹靴锯澜互慌仲写绎衰斡染圾明将呆则孰盆瘸115信息安全管理实施案例信息安全管理实施案例11616.1案例一企业内网安全管理案例16.1.1企业基本情况1．企业基本情况企业名称：北京曲美家具集团有限公司。企业地址：北京市朝阳区来广营西路93号。公司网址：qumei。邮编：10008516.1案例一企业内网安全管理案例16.1.1企业基本11716.1.1企业基本情况2．公司介绍北京曲美家具集团有限公司创建于1987年，经过20余年的发展，已发展成为集设计、生产、销售于一体的大型、规范化家具集团，现为中国家具协会副理事长单位，是中国家具行业的领军企业。曲美集团本着“道德为本，能力为先”的理念，不断引进高水平的专业管理人才，拥有一支高效务实的团队。16.1.1企业基本情况2．公司介绍11816.1.2信息化应用总体现状与规划1．信息化应用现状目前曲美拥有如下信息化系统：曲美家具制造ERP系统、曲美家具商业ERP系统、多项电子商务平台、集团OA系统、CHINASEC可信网络安全平台。商业ERP系统为曲美集团商业管理水平的提高起到了卓越的贡献。实现了集团对全国各店的直接管控。曲美集团的信息管理系统具备了从销售预知到送货后的客户反馈的管理模式。16.1.2信息化应用总体现状与规划1．信息化应用现状11916.1.2信息化应用总体现状与规划2．信息化规划目前曲美集团考虑完善如下的信息化建设：（1）商业ERP系统的深入推广；（2）加强制造ERP系统对质量管理环节的管控支持、细化绩效考核系统。16.1.2信息化应用总体现状与规划12016.1.3内网安全管理1．安全需求分析（1）北京曲美集团内网安全管理现状北京曲美集团为中型企业，公司计算机数量多、网络设施完善，分散在各个区域之间。在进行信息网络建设的时候，对安全性做了成熟的考虑，但是主要基于传统的网络安全，主要是边界防护设备、灾难备份、病毒防护等。随着分散在各个内网主机和服务器上的有价值的信息越来越多，内网安全和保密成为信息中心不得不重视的问题；16.1.3内网安全管理1．安全需求分析12116.1.3内网安全管理另外区域的分散对于技术人员管理起来非常不方便，一旦计算机出了一点问题，都要到现场处理；还有办公部门内部人员数量众多，所属部门，职责和权限各不相同，如果某个人员访问了其权限以外的信息资源，如重要计算机，服务器等，将会对内网的信息安全构成极大的威胁。16.1.3内网安全管理12216.1.3内网安全管理（2）网络中存在的隐患在网络的日常运行中，存在如下安全隐患：·员工可能通过U盘或者移动硬盘将数据复制出去，造成有意或无意的信息泄漏问题。·员工可能将文件打印带出办公区的问题。·员工可能将笔记本电脑带出公司，从而造成知识产权泄密问题。·网络中共享信息的无授权访问、以及服务器的无授权连接。16.1.3内网安全管理（2）网络中存在的隐患12316.1.3内网安全管理·业务信息终端计算机相互之间的非加密通信。·业务信息终端计算机中的非加密存储·业务信息网络中的计算机无安全域的划分。·系统终端有非授权人员的登录情况。·非信任计算机的非法接入业务信息网络的问题。·在工作中处理一些与工作无关的事情（如：玩游戏、看小说、听音乐等）·集团分部不能做到统一的管理等。16.1.3内网安全管理·业务信息终端计算机相互之间的非12416.1.3内网安全管理2．解决方案（1）设计原则根据信息中心内网的规模和管理情况，本解决方案根据以下原则进行信息中心内网安全管理系统的设计：①系统应该统一规划，分步实施，实施各个阶段应该保持良好的衔接；②系统与应用相关性应该尽可能低，支持应用系统的升级和新应用的扩展；③系统的选型必须是基于现有的成熟产品和系统，具有可靠的稳定性；16.1.3内网安全管理2．解决方案12516.1.3内网安全管理④系统应具有良好的可管理性和可维护性，有统一的管理中心；⑤系统必须具有良好的易用性和兼容性，不会改变业务系统的主要结构，也不会对系统的操作人员带来过多的习惯改变；⑥系统应该符合国家制定的相关安全管理规范，取得相关资质。16.1.3内网安全管理④系统应具有良好的可管理性和可维12616.1.3内网安全管理（2）分域管理①虚拟保密子网划分通过保密子网的划分，可以在保障网络统一维护的前提下，对信息中心内部不同的部门等实现有效的数据隔离，通过保密子网，还可以有效防止非法外连或者非法接入。不同保密子网（VCN）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。16.1.3内网安全管理（2）分域管理12716.1.3内网安全管理②移动存储设备管理Chinasec可信网络保密系统可以实现对移动存储设备的有效管理。管理员可以设定没有注册的移动存储设备（U盘或者移动硬盘等）默认的使用策略，可选策略包括禁用（没有注册的磁盘禁止使用）、只读（可以将没注册磁盘数据拷入到VCN网内的计算机，但不能拷出数据）或者加密读写。16.1.3内网安全管理②移动存储设备管理12816.1.3内网安全管理③用户注册内网安全管理平台对用户进行集中管理。用户通过网络申请获得合法的数字证书（载体为配发的硬件USB令牌）后，可以远程注册到平台用户认证服务器上。该注册过程由系统客户端代理自动完成，用户只需要将自己的USB令牌插入计算机，并输入正确的PIN码，该用户令牌即会自动注册到安全支撑平台的用户认证服务器上。16.1.3内网安全管理③用户注册12916.1.3内网安全管理④权限管理用户注册成功后，管理员必须为用户赋予相应权限，以使用户获得在内部网络中的使用权。权限管理的内容包括计算机登录权限和服务器访问权限等。如果用户具有特殊权限或者是一个权限的部门，则需要进行相应的权限设置，从而完成用户的授权管理工作。16.1.3内网安全管理13016.1.3内网安全管理⑤身份认证内网安全管理平台的身份认证系统采用Chinasec可信网络认证系统进行集中的认证。（3）主机监控①实时监控实时远程监视和控制客户端计算机的状态，这些状态包括：安装的应用程序、服务、驱动以及他们的运行状态；16.1.3内网安全管理⑤身份认证13116.1.3内网安全管理②外设监控外设监控策略运行管理员针对每台计算机进行外设端口使用的授权，比如允许或者禁止USB存储设备的使用等。这些端口和设备类型包括USB存储设备、USB普通设备、红外、串口、并口（打印端口）、键盘鼠标、光驱、软驱和1394端口等。16.1.3内网安全管理13216.1.3内网安全管理③应用监控应用监控提供了管理员集中授权管理客户端应用的方法。管理员可以黑名单或者白名单的方式授权，并且可以基于进程名称、服务名称或者窗口名称进行管理。自动记录计算机上的文件操作记录，包括创建、删除和复制等操作，并记录用户名、文件名和相应的时间等。16.1.3内网安全管理③应用监控13316.1.3内网安全管理④网络监控可以根据IP地址、网络端口和数据流向等设定客户端计算机或者用户访问的权限，以白名单或者黑名单的方式工作。例如发现蠕虫病毒，可以及时全网统一封锁相应的传播端口，从而有效控制该类型病毒的破坏效果。16.1.3内网安全管理④网络监控13416.1.3内网安全管理3．方案效果（1）实现了有效的高强度用户身份认证，并在此基础上实现了有效的资源集中授权管理，保护内网终端的安全。通过Chinasec可信网络认证系统（TIS），基于数字证书技术，为每个用户发放一个代表用户身份的硬件USB令牌。每个令牌内置运算芯片，具有不可复制性，结合PIN码访问控制，具有锁定功能，安全强度高。16.1.3内网安全管理3．方案效果13516.1.3内网安全管理管理员可以指定某一个用户只能使用某一台或者某几台计算机，或者该用户能够访问那些研究所内部的服务器；管理员也可以指定某一台计算机只能由那几个用户使用。如果需要变更用户的权限，仅需要管理员在控制台进行简单的授权更改即可。16.1.3内网安全管理管理员可以指定某一个用户只能使用某13616.1.3内网安全管理（2）有效实现了内网安全保密，对网络和移动存储两个主要数据交换途径进行了有效的管理控制。通过Chinasec可信网络保密系统，可以根据需要将信息中心内部网络按照业务群体分成不同的虚拟保密子网（VCN