安全规划课件

目录安全需求、理念和实施思路安全建设目标2.1安全不违规2.2攻击进不来2.3信息拿不走2.4特权不滥用安全措施总结与计划管理层批准事项业务安全需求安全挑战核心数据不外泄，保证内部系统和数据安全核心数据泄露核心数据损坏核心数据可用合作伙伴间信息交互信息窃取非授权访问安全智能的产品车联网易被入侵整车接口易被入侵安全稳定的服务安全事件处理不当不及时无法发现攻击行为汽车生产合规汽车行业安全须遵从多种行业要求法律法规要求遵从网络安全法、等级保护、刑法第九条、密码法、个人信息保护法等法律法规上市公司要求SOX中关于信息安全方面的要求作为美国上市企业必须满足资本市场的要求，按时、全面、系统地建立符合SOX404的内控体系。塞班斯法案涉及到公司治理、内部控制、财务报告、管理流程、信息系统、法律责任等各个方面。SOX法案规定，上市公司的内控管理必须切实做到保护财务数据、维护系统安全、保护客户数据免遭盗窃与破坏，以提高公司披露的准确性和可靠性。企业需求法规要求当前安全的迫切需求要求建立：弱点管理和安全符合性检查系统要求：安全事件监控与审计系统要求建立：数据保护系统建立弱点管理和安全符合性检查系统，全面持续收集企业IT系统内的安全弱点信息、安全策略的符合性状况，保障系统安全。建立安全事件监控与审计系统，及时发现对于企业IT系统和数据的非法访问以及事后审计能力，获得企业风险状况的动态视图。建立数据保护平台，对客户数据、企业财务数据等企业敏感数据在其生命周期内的保密性、可用性和完整性提供保护。人-安全意识-安全行为-安全文化技术信息安全风险和信息安全事件的发现/控制/保护/审计制度数据资产分类分级数据安全制度和流程

1.安全制度（Policy）：明确定义组织责任、策略要求、流程固化，构建信息安全建设的体系和运营基础。2.安全技术（Technology）：对标信息安全建设最佳实践模型，定位出公司在信息安全技术架构中的薄弱环节；分析技术系统部署优先级及关联性，确保关键信息安全风险的可发现，可控制，和可追溯审计。3.安全意识（People）：采用教育和惩戒结合的方式，促进员工的信息安全意识，行为和文化的形成。信息安全建设工作，不是仅靠技术系统上线就可完成，而是融合的管理和技术两方面的投入，进而改变员工的思想、行为和企业安全文化的一个持续过程。信息安全建设理念信息安全规划原则信息安全实施思路信息安全技术驱动完善基础设施安全，部署先进的信息安全运维工具，加强信息安全工具联动发挥作用事件驱动

静态的、局部的、事后补救的被动式信息安全管理模式信息安全管理驱动建立正式的信息安全组织、完善的信息安全策略、标准及流程，提升员工信息安全意识技术与管理相结合信息安全的技术手段由管理制度和标准来支持，对环境的变化作主动的适应和调整，建立动态的、全面的、预防为主的主动式信息安全管理模式整体规划、分步实施原则全面保障原则同步建设原则技术与管理并重原则使IT能力成为公司全球化核心竞争力的重要支撑以业务为中心，优先支持业务流程和业务系统需求，提高业务运营效率支持管理和决策，保证企业信息及数据的安全性（机密性、完整性、可用性）建立高效的IT系统和IT服务IT战略IT愿景IT建设原则

信息安全实施思路目录安全需求、理念和实施思路安全建设目标2.1安全不违规2.2攻击进不来2.3信息拿不走2.4特权不滥用安全措施总结与计划管理层批准事项二、信息安全建设目标防止特权用户利用运维权限窃取或破坏防止特权用户误操作导致系统故障遵从国内外法律法规的要求防范外部攻击导致系统瘫痪防范外部攻击导致数据泄漏或破坏防范员工无意泄密防范员工故意泄密防范外来人员窃取1.安全不违规2.“攻击”进不来4.特权不滥用3.信息拿不走涉密员工网络黑客特权用户监管机构公司信息安全建设目标应包括“人防+技防”，全面降低信息安全风险，最终实现企业合规经营目标。2.1“安全不违规”管理措施法律法规条目化：

梳理合规要求（网络安全法、刑法第九条、密码法、SOX）等法律法规信息安全管理要求差距分析：

结合考虑IT管理、系统开发、基础设施、生产运行、综合管理等进行差距分析，设计安全管理体系管理体系建设：

依据国际标准ISO27001建设信息安全管理体系，制定信息安全管理制度、流程、规范等技术体系建设：

采取必要的安全技术手段，实施安全控制措施，逐步建立完善信息安全技术体系，满足安全合规的相关要求安全意识全员培训：

信息安全意识持续教育、安全能力逐步提升实施策略第九条网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。2.2“攻击进不来”实施策略管理措施漏洞管理：

定义漏洞管理策略，执行漏洞管理机制，

将漏洞管理纳入日常管理运维机制。邮件安全：

加强垃圾邮件、钓鱼网站、木马邮件的鉴

别能力，通过持续的安全教育和培训，加

强人员安全防护意识。技术措施网络安全域划分：

将网络划分互联网区、DMZ、内部区域、内

部核心区等，做好安全防护策略网络准入：

建立网络准入控制系统，实现终端接入认

证、违规报警漏洞扫描：

对主机、操作系统、中间件、数据库、应

用等进行安全漏洞扫描并进行安全加固代码审计+渗透测试：

使用工具检查程序源代码和应用程序是否

存在安全缺陷，提供代码缺陷引发的安全

问题修订措施和建议邮件安全网关：

部署邮件安全网关拦截垃圾邮件、木马邮

件及钓鱼网站现状非法端口外部入侵病毒攻击内部用户垃圾邮件生产服务器测试服务器对外服务器公司信息安全边界2.3“信息拿不走”实施策略管理措施制度建设

编制《数据资产安全管理办法》等相关制

度，对华人运通数据进行分类、分级，明

确数据安全管理职责，制定数据操作流程资产识别：

梳理数据资产，建立完善华人运通数据资

产清单并持续更新技术措施企业云盘：

通过使用企业云盘的方式将分散在终端的

非结构化数据在企业云盘上进行集中存储，

统一管理和文件共享交互数据防泄密DLP

部署数据防泄密DLP工具监控和阻拦所有禁

止传输到安全边界外的敏感数据，防范数

据泄露硬盘加密

通过客户端、服务器硬盘加密方式，防止

拆除硬盘后可直接读取、拷贝数据，绕过 DLP防护措施共享文件30%企业云盘100%现状公司信息安全边界终端通道网络访问通道外部邮箱登陆通道USB蓝牙光盘特殊网站微信外部云盘QQ邮箱163邮箱数据备份系统数据用户数据用户数据用户数据用户数据分散数据70%邮箱正常网站合作伙伴FTP服务器2.4“特权不滥用”实施策略管理措施账号策略：

定义账号权限管理策略并定期开展账号权限审查严格禁止共享账号策略特权账号密码分段保存策略密码复杂度策略密码错误次数锁定策略强制定期改密策略禁止密码自动保存策略技术措施统一账号管理平台：建立统一账号管理平台对系统账号权限统一集中管控。在终端、应用层分别实现身份认证和识别，即统一管理、统一认证、授权和安全审计堡垒机;部署集中运维及审系统，内外部用户利用堡垒机作为统一运维平台，避免用户直接访问服务器进而对服务器做破坏性工作。现状公司信息安全边界内部员工驻场供应商出差员工外部供应商加密通道服务器应用系统特权员工统一账号管理平台堡垒机目录安全需求、理念和实施思路安全建设目标2.1安全不违规2.2攻击进不来2.3信息拿不走2.4特权不滥用安全措施总结与计划管理层批准事项NO类别项目名称描述涉及范围实现目标预算优先级1管理安全组织结构优化优化信息安全组织明确职责全体安全不违规2建立信息安全制度体系建立信息安全管理制度规范与技术标准建立信息安全制度体系建立信息安全管理制度规范与技术标准全体安全不违规3信息安全培训针对安全管理人员和安全技术人员，定期开展专项安全意识培训、安全技能提升培训等；通过定期的安全宣传（如宣传图片、宣传专题活动），逐步提高人员安全意识全体安全不违规4技术

数据防泄密DLP采购部署数据防泄漏工具监控和阻拦所有传输到安全边界外的重要和敏感数据全体信息拿不走5统一账号管理平台采购统一账号管理平台，实现账号、权限和统一管理、认证、审计全体、第三方特权不滥用6漏洞扫描软件采购扫描软件，对操作系统、中间件、数据库进行漏洞扫描并加固测试团队、运维团队攻击进不来7堡垒机内外部用户利用堡垒机作为统一运维平台，避免用户直接访问服务器进而对服务器做破坏性工作运维团队特权不滥用8企业云盘通过企业云盘的方式集中存放与管理分散在客户端的数据全体信息拿不走9网络准入实现终端接入认证、违规报警，可实时管理终端接入状态，检测网络流量，监控各种网络行为，对违规行为及时报警和阻断全体、第三方攻击进不来10代码仓库实现源代码集中、构建、版本控制、发布和源代码的安全管理开发团队信息拿不走11邮件安全网关利用安全邮件网关拦截垃圾邮件、木马邮件及钓鱼网站全体攻击进不来12网络安全域划分网络划分互联网区、DMZ、内部区域、内部核心区等，实现不同区域的安全访问控制全体攻击进不来代码审计+渗透测试使用漏洞工具扫描应用系统源代码和应用程序是否存在安全缺陷或“后门”程序等，并提供安全问题修订措施和建议，跟踪整改软件开发攻击进不来13代码审计+渗透测试使用漏洞工具扫描应用系统源代码和应用程序是否存在安全缺陷或“后门”程序等，并提供安全问题修订措施和建议，跟踪整改软件开发攻击进不来安全措施总结与计划项目实施计划2019年4月2019年6月2019年8月2019年9月2019年10月2019年11月2019年12月安全不违规信息安全培训统一账号管理平台企业云盘代码仓库堡垒机信息安全管理体系制度流程编写数据防泄漏DLP网络安全域划分网络准入邮件安全网关攻击进不来信息拿不走特权不滥用2019年7月2019年5月漏洞扫描软件安全组织结构优化信息安全检查、体系运行有效性测量、管理评审、持续改进代码审计

渗透测试代码审计

渗透测试代码审计

渗透测试目录安全需求、理念和实施思路安全建设目标2.1安全不违规2.2攻击进不来2.3信息拿不走2.4特权不滥用安全措施总结与计划管理层批准事项项目1-信息安全委员会职责项目2-建立信息安全制度体系信息安全管理策略通过工作讨论会，将培训、知识传递、现状分析和改进结合为一体，共同确认出可执行的制度和流程一级文件：为信息安全的原则、方针和总则，是整个体系的纲领性文件。定义了信息安全管理目标、工作原则等内容；二级文件：主要为信息安全各领域的制度、管理办法，是一级文件的具体阐述，为相关领域信息安全工作提供更具体的控制和指导；三级文件：针对一级、二级文件所提出的原则、要求，规定如何达到这些要求的程序文件，如实施细则、规范、指引、指南、规定等；四级文件：依据一级文件、二级文件、三级文件的规范与要求而制作的操作说明、操作记录和相关表单文件等。一阶二阶三阶表单、记录文件安全方针、策略安全原则标准、指南、流程制度层级制（修）订协助批准适用范围一阶安全部门信息安全委员会公司二阶安全部门信息安全委员会公司三阶主要责任部门安全部门制订部门负责人制订范围内项目2-体系文件目录L1：信息安全方针L2人力资源安全管理办法L3机房安全管理规范L3软件开发安全管理规范数据安全管理规范L3机房人员进出管理规范L2信息安全组织管理办法L1：信息安全策略L3员工信息安全守则L3第三方人员安全管理规范L3人员离职转岗管理规范L2访问控制管理办法L2密钥安全管理办法（暂不适用）L2信息资产管理办法数据分类分级管理规范L2物理与环境安全管理办法L2操作安全管理办法L2通信安全管理办法L2信息系统建设安全管理办法L3软件测试安全管理规范L3软件编码规范L2法律法规符合性管理办法L2供应商安全管理办法L2IT业务连续性管理管理办法L2信息安全事件管理办法L4进出记录、表单软件正版化管理规范L4变更记录、表单L3变更管理规范L3软件测试规范L3漏洞安全管理规范项目3-信息安全培训项目4-数据防泄密DLP如何防止数据泄露是信息安全工作的重大课题1敏感数据发现按预先配置的策略扫描敏感数据，了解敏感数据存在哪些位置。敏感数据监控识别数据所有者监控数据的使用过程，这些数据是如何被使用的，被谁使用。敏感数据保护阻止违规使用的行为，防止数据丢失。数据防泄漏两大方式2终端防泄漏终端DLP主要依赖于运行于桌面、笔记本电脑、服务器、AppleOS的设备上的软件客户端。该客户端提供可见性，并且在有需要的时候，对数据进行控制网络防泄漏网络DLP，通常称为无代理DLP，提供网络流量的可见性并可以对流量进行控制。检查物理机或虚拟机的所有流量，如：邮件、网络、即时通讯，然后可以执行强制的数据策略。部署则是通过物理设备或者虚拟机，然后配置网络流量通过其进行检查DLP邮件审批用户USB蓝牙光盘打印离线用户DLP监控、阻断DLP监控、阻断用户用户用户DLP监控、阻断网络DLP终端DLP外部云盘外部邮箱网站应用内部邮箱Outlook邮件DLP存储发现DLPDLP共享存储数据发现DLP审批、阻断DLP报表展示管理员数据库云存储文件系统SharePoint云存储①管理员员工③最终客户供应商经销商②长期外包PRHRMSPDMBOMSRMTDMERPQMS知识库源码库构件库云盘文档库OAMES统一身份认证管理平台（IDM）内部用户目录统一身份认证和单点登录统一授权管理用户账号生命周期管理用户访问行为异常事件行为账号管理行为账号申请行为安全审计用户身份信息统一存储外部用户目录最终客户目录中央用户目录项目5-统一账号管理平台应用系统）用户项目6-漏洞扫描软件高风险漏洞成为企业安全的最大隐患1针对操作系统的攻击内容包括病毒、后门程序、勒索软件、权限提升等针对数据库或业务系统黑客有目的的针对公网的业务系统和地址进行的远程攻击内部网络安全性内部网络被渗透攻击的最主要方式就是漏洞利用。漏洞管理的挑战2漏洞数量全球漏洞数量都在快速增长，内部需要监控和追踪的漏洞超10万。漏洞的风险病毒、后门程序的传播都和漏洞相关。针对性的黑客攻击黑客攻击往往和漏洞相关，有针对性的渗透往往因为漏洞才会成功漏洞管理工作缺失的后果3影响内部业务，黑客远程攻击和渗透成功，合规需求不满足，主管部门的压力和监管部门的责罚、……漏洞扫描和管理的需求漏洞管理流程：资产发现和分组：发现IT基础架构中的所有目标系统和设备，并合理分组，划分责任人漏洞扫描：设定需要的评估策略，完成漏洞评估和扫描，可以支持自动的周期性扫描风险分析和降低：分析高风险漏洞，完成高危漏洞的修补报告及合规：生成需要的各类汇报报告，满足各类合规需求。活跃漏洞数量：100000+漏洞带来整体安全问题操作系统12345商业软件开源和免费软件各类应用系统防火墙、交换机等设备漏洞管理也是合规需求漏洞管理是信息安全合规的基础12345等级化保护BSISOX法案网络安全法ISO27001IT运维人员所面临的问题1如何通过等保、SOX、ISO27001如何确定共享帐号的操作如何提升IT运维响应效率如何管理海量帐号/密码等资产如何完整审计数据库操作如何针对RDP和Xwindow审计如何规避IT运维过程中的误操作如何保证IT运维过程中的安全………………需求分析2分散管理，松散权限控制，无过程、无状态、无时间点；没有统一的用户操作管理机制；没有监控审计操作过程。IT运维人员拥有后台IT系统的权限过高帐号，同一个管理员账号多人拥有，发生误操作无法定位自然人；针对异常操作以及危害范围，无法控制和审计。无法根据用户限制访问核心主机系统；管理员需要记住多个需要管理IT系统的账户；第三方公司及人员众多，第三方IT运维误操作时，无法准确操作人定位。多点访问,帐号交叉使用12多种方式访问,分散式管理IT运维需求——运维现状为什么使用堡垒机？公安部88号令、《中华人民共和国网络安全法》、《信息安全等级保护管理办法》、公安部151号令等，企业配置相应的堡垒机有助于快速通过等保测试，达到合规要求。堡垒机能给公司带来什么？运维过程中所存在的事前身份不确定、授权不清晰，事中操作不透明、过程不可控，事后结果无法审计、责任不明确等一系列问题，均可通过堡垒机来解决。项目7-堡垒机项目8-企业云盘设计数模算法软件产品物料人员组织个人电脑分散文档Office文档PDF文件多媒体文件应用程序终端防控DLP杀毒磁盘加密文件加密数据中心集中管控PDMBOMOATFSSRMERP已建未建企业云盘设计数模产品物料算法软件人员组织数字资产集中管控财务数据供应商数据知识中心工程文档过程文档共享文件夹FTP统一身份管理员工驻场供应商实习生出差员工外部合作伙伴外部共享计划备份监控防火墙项目实施统一身份管理IDM平台企业文档知识中心企业共享云盘统一管理员工，驻场供应商，外部供应商，短期合同工的实名用户身份信息，分配用户资源访问权限，进行访问控制，使得用户身份信息、授权信息、身份认证和访问控制机制规范化、标准化，真正做到4A（账户Account、认证Authentication、授权Authorization、审计Audit）统一，全面控制企业安全风险。将工程项目文档，流程规章制度，企业知识Knowhow聚集起来，形成组织的知识库，在部门、团队间进行信息共享和协同编辑。使得文档的发布，访问权限设定，历史版本控制以及知识内容的检索规范化。PC笔记本手机/pad将任何文件和文件夹同步到共享云盘，设置访问权限，合法用户随时可以访问到最新文件，可以通过邮件或URL链接分享文件给内外部用户，外部用户通过专属外部共享区域访问文件内容，取代共享文件夹，U盘，移动硬盘和FTP。数据集中策略项目9-网络准入接入网络的终端和使用人合规性不受控1接入网络的用户（人）是谁？怎么接入的？接入网络的终端是公司的么？在哪个位置接入？终端的操作系统？补丁情况？终端的安全情况？4大盲点2终端设备不明使用人员不明终端安全不明接入方式不明网络准入3网络准入控制是指对网络的边界进行保护，对接入网络的终端和终端的使用人进行合规性检查，只允许合法的、值得信任的终端设备接入网络，而不允许其他设备接入。功能口用户身份认证从接入层对访问的用户进行最小授权控制，根据用户身份严格控制用户对内部网络访问范围，确保企业内网资源安全口终端完整性检查通过身份认证的用户还必须通过终端完整性检查，查看连入系统的补丁、放病毒等功能是否已及时升级，是否具有潜在安全隐患口终端安全隔离与修补对通过身份认证但不满足安全检查的终端不予以网络接入，并强制引导至隔离修复区，提示用户安装有关补丁、杀毒软件、配置操作系统有关安全设置等。口非法终端网络阻断能及时发现并组织未授权终端对内网资源的访问，降低非法终端对内网进行攻击、窃密等安全威胁，从而确保内部网络的安全网络准入控制受益威胁控制减少终端感染减轻IT查毒负担增强网络复原力细粒度访问控制减少安全事故放敏感数据泄露行业规范遵从提高安全性满足安全审计需要提高运维效率便捷的访客网络设备自动识别和监控网络准入实现的功能目的：有效阻截外界入侵和垃圾邮件，隔离所有可疑内容，全面保护企业电子邮件系统的安全垃圾邮件成为网络安全的最大威胁1恶意垃圾邮件内容包括色情、暴力、安全威胁等电子邮件广告性质的垃圾邮件广告性质的垃圾邮件由合法组织大量寄送的广告邮件来自朋友的垃圾邮件认识的使用者寄送内容包含笑话、网站链接等无企业价值的信息垃圾邮件带来很多不安全因素2病毒和木马80%以上病毒通过邮件传播,其中70%通过垃圾邮件传播。后门程序后门程序占到恶意代码的21.7%,傀儡程序BOT四处流窜。间谍软件间谍软件已经占到了与Internet连接电脑的80%垃圾邮件对企业的不利因素3影响正常业务开展、影响企业生产效率、丢失业务机会、信息泄密、信任诈骗、……垃圾邮件趋势选择反垃圾邮件产品的原则功能全面、准确度高辩识率(垃圾邮件辩识的百分比)误判率(被删除或隔离的正常邮件百分比)漏判率(被当成正常邮件的垃圾邮件百分比)高效率、可快捷部署，具备良好的易用性和可管理性产品的可靠性，持续的服务项目10-邮件安全网关项目11-网络安全域划分信息系统现状组网方式随意性强，缺乏统一规划，扩展性差网络区域之间边界不清晰，互联互通没有统一控制规范业务系统各自为政，与外网存在多个出口，无法统一管理安全防护策略不统一，安全防护手段部署原则不明确对访问关键业务的相对不可信终端缺乏有效控制导致的问题无法有效隔离不同业务领域，跨业务领域的非授权互访难于发现和控制无法有效控制入侵和网络病毒的发作区域和影响不能及时发现安全事件和响应第三方维护人员没有访问控制和授权合作伙伴的身份无法准确认证关键服务器、信息资产缺乏重点防护安全域防护把复杂的系统的安全保护问题，分解为更小、结构化的区域的安全保护问题。按照“统一防护、重点把守、纵深防御”的原则，实现对系统的分域、分级的安全保护一般服务区计算环境核心区重要服务区计算环境域互联网接入区外联网接入区内联网接入区内部网接入区边界接入域骨干区汇聚区接入区网络基础设施域安全系统网管系统其他支撑系统支撑性设施域项目12-代码审计1源代码审计方法收益提高代码质量发现应用风险点避免损失提高安全技能

目的：通过源代码静态分析工具扫描、分析，发现应用程序编码过程中造成的安全漏洞，对导致安全漏洞的错误代码进行人工定位和验证，并提供代码修订措施和建议。以功能为主，忽略安全的重要性缺乏完全适用的安全设计开发流程

开发者缺乏安全开发经验企业应用安全主要依赖于发现问题和修复问题，主要原因有三：2源代码审计内容IT安全建议事项建立公司级健全的信息安全组织，各部门设立信息安全专员，定期参加公司信息安全培训，并负责监督各部门信息安全违规行为，公司信息安全部门月度发布信息安全管理简报

公司IT设备统一归口管理，财务部及采购部配合执行，业务部门自主购买IT设备的申请不予受理，避免由于设备标准不一造成的信息安全管理漏洞

修订公司电脑配备标准，不再全员发放移动笔记本，部分无强移动办公需求的岗位配发台式机

，Mac电脑原则上不予发放（特殊岗位需报执委会同意），避免由于苹果系统封闭的原因，导致部分安全策略失效

研发部门互联网服务关闭，按需进行审批，并经信息安全确认联网设备无信息安全风险及软件license法规风险后，进行开放公司数据统一存储、备份管理，核心敏感岗位个人终端数据进行备份

设备终端（终端屏幕及打印机）进行水印控制，避免拍照及打印方式泄密全公司企业微信等即时通讯类工具禁止文件传输，所有文件传输通过邮件及企业云盘进行交互华人运通员工信息安全工作要点每个人都是信息安全的主体，都有责任保证公司信息安全除了自己要保护公司信息安全，也要教导他人保护公司信息安全在公司没有技术手段的情况下，员工也应自觉保护公司信息安全熟读公司发布的信息安全制度，遵照制度中的条例行事工作中除了考虑工作效率，也要考虑是否注意到了信息安全发现不正常的人和事，及时通知IT信息安全部门，避免公司损失123456信息安全框架设计信息安全方针信息安全组织人力资源安全资产管理访问控制密码学物理环境安全操作安全通信安全系统获取开发、维护供应商管理信息安全事件业务连续性的信息安全方面符合性ISMSCHECK检