信息安全等级保护安全建设整改简介课件

信息安全等级保护

安全建设整改简介一、信息安全等级保护安全建设整改简介二、案例分享目录信息安全等级保护建设整改工作目的：

信息系统运营使用单位在做好信息系统安全等级保护定级备案工作基础上，按照国家有关规定和标准规范要求，开展信息安全等级保护安全建设整改工作。通过落实安全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益。信息系统安全管理建设信息系统安全技术建设开展信息系统安全自查和等级测评信息系统安全保护现状分析信息系统安全建设整改工作规划和工作部署确定安全策略，制定安全建设整改方案物理安全网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理工作流程规划和部署分析现状编写方案开展整改工作安全自查和等级测评

选择基本安全措施评估特殊风险

安全保

护等级信息系统基本保护要求的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4第五级S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5工具扫描人工分析渗透测试调研访谈调查现状，分析风险和差距规划和部署分析现状编写方案开展整改工作安全自查和等级测评电力供应电磁防护物理机房Internet互联网区应用存储区办公网区办公终端应用存储服务器互联网服务器邮件网站信息服务决策支持安全审计身份鉴别访问控制结构安全访问控制身份鉴别安全审计访问控制入侵防范存储数据传输数据处理数据备份和恢复完整性保密性调查现状，分析风险和差距应用层SQL注入身份冒用溢出攻击数据窃取传输窃听数据重放主机层弱口令系统漏洞病毒入侵资源占用黑客攻击网络层带宽资源滥用非法接入非法外联区域混乱协议攻击中间人攻击信息泄露物理层断电物理攻击非法进出盗窃火灾数据层篡改非法访问丢失泄露不可用计算环境区域边界网络通信安全管理缺乏组织缺乏流程人员安全意识不足缺乏过程控制缺乏专业技能缺乏安全监控管理不到位调查现状，分析风险和差距方案概述背景、编写依据、定位和目标、设计思路、技术路线信息系统定级及基本情况信息系统情况、等级情况、网络及安全措施情况信息与网络安全需求分析风险分析、等保差距分析、总体安全需求安全保障体系框架保护对象与安全域、安全保障体系框架总体安全方针和策略信息安全方针、总体安全策略安全管理体系设计组织、制度、人员安全建设安全技术体系设计物理、安全区域边界、安全网络通信、安全计算环境安全运行体系设计建设安全管理、运维安全管理安全管理中心设计安全工作管理、安全运维管理、统一技术管理、三员管理项目实施总体计划第一阶段、第二阶段、本期实施产品及总体拓扑确定框架，制定整改方案规划和部署分析现状编写方案开展整改工作安全自查和等级测评结合实际，部署实施安全措施规划和部署分析现状编写开展整改工作测评等级保基本要求与安全产品对应关系等级保护要求控制要求等保三级所需产品实现机制物理安全位置、物理访问控制、防盗、防破坏、防雷击、防火、防潮、防静电、温湿度控制、电力供应、电磁防护门禁监控报警系统避雷装置消防水敏感检测仪防静电设施双路供电电磁屏蔽机房建设物理安全策略网络安全结构安全带宽管理、SSLVPN/IPSecVPN路由器、交换机、负载均衡

网络、安全集成

安全域网络安全策略

网络安全配置实施（限制IP地址）访问控制防火墙、IPS/IDS安全审计网络安全审计日志审计边界完整性检查终端安全管理

入侵防范IDS

恶意代码防范防病毒系统、防病毒网关

网络设备防护

网络设备安全配置参考安全产品对照（参考）等级保基本要求与安全产品对应关系等级保护要求控制要求等保三级所需产品实现机制主机安全身份鉴别主机核心防护

包括数据库安全访问控制主机核心防护主机、数据库安全加固安全审计

终端、服务器、数据审计系统

剩余信息保护数据库审计系统入侵防范

主机核心防护、主机入侵检测

恶意代码防范

防病毒资源控制网管系统应用安全身份鉴别动态令牌、CA应用开发编码规范、安全编码应用安全功能

安全审计应用系统日志审计访问控制、剩余信息保护通信完整性、通信保密性、抗抵赖、软件容错、资源控制主要功能需要应用系统开发商解决数据与备份安全数据完整性防篡改异地备份和恢复策略数据保密性

SSH、VPN、MD5等备份和恢复

异地备份参考安全产品对照（参考）信息安全领导小组信息安全主管（部门）安全管理员安全审计员系统管理员网络管理员数据库管理员决策、监督应用系统管理员管理执行落实信息安全责任制建立安全组织（举例）方针策略信息安全工作的纲领性文件。

制度办法在安全策略的指导下，制定的各项安全管理和技术制度、办法和准则，用来规范各部门处室安全管理工作。流程细则细化的实施细则、管理技术标准等内容，用来支撑第二层对应的制度与管理办法的有效实施。记录表单记录活动实行以符合等级1,2,和3的文件要求的客观证据，阐明所取得的结果或提供完成活动的证据运行记录方针策略实施细则与流程制度与管理办法编写安全管理制度信息安全体系框架信息安全管理体系信息安全技术体系信息安全运行体系组织机构人员安全制度标准抗抵赖标识鉴别审计访问控制通信保护威胁检测弱点加固备份恢复数据保护密码技术决策-管理-执行-监督资源管理状态检测防恶技术物理技术意识-技能-职称-培训-考核方针策略-制度规范-流程表单监控监测内容安全日常运行管理配置管理变更管理问题管理事件管理风险管理监督检查介质管理环境管理应急响应运行监控审计安全管理中心制定发布评审修订录用离岗考核教育人员授权沟通检查岗位物理网络主机应用数据系统建设系统运维安全计算环境安全区域边界安全网络通信安全工作管理安全保护对象定级备案设计开发实施测试验收交付服务商信息安全体系安全目标、总体安全策略抗抵赖标识鉴别弱点加固密码技术状态检测防恶技术监控监测内容安全测评检查统一技术管理安全运维管理系统管理安全管理审计管理三级系统整改示例案例分享基础类《计算机信息系统安全保护等级划分准则》GB17859-1999《信息系统安全等级保护实施指南》GB/TCCCC-CCCC报批稿

应用类定级：《信息系统安全保护定级指南》GB/T22240-2008建设：《信息系统安全等级保护基本要求》GB/T22239-2008

《信息系统通用安全技术要求》GB/T20271-2006《信息系统等级保护安全设计技术要求》测评：《信息系统安全等级保护测评要求》GB/TDDDD-DDDD报批稿

《信息系统安全等级保护测评过程指南》管理：《信息系统安全管理要求》GB/T20269-2006《信息系统安全工程管理要求》GB/T20282-2006等级保护标准等级保护－－实施过程信息系统定级安全总体规划安全设计与实施安全运行维护信息系统终止安全等级测评安全整改设计安全要求整改安全等级整改局部调整等级变更能力、措施和要求安全保护能力基本安全要求等保3级的信息系统基本技术措施基本管理措施具备包含包含满足满足实现等级保护基本安全要求某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理三级系统的控制点及要求项指标类技术/管理层面类数量项数量S类(3级)A类(3级)G类(3级)小计小计安全技术物理安全1181032网络安全106733主机安全313732应用安全522931数据安全21038安全管理安全管理制度N/A311安全管理机构520人员安全管理516系统建设管理1145系统运维管理1360合

计73（类）290（项）三级系统安全保护要求—物理安全物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。物理安全具体包括：10个控制点物理位置的选择（G）、物理访问控制（G）、防盗窃和防破坏（G）、防雷击（G)、防火（G）、防水和防潮（G）、防静电（G）、温湿度控制（G）、电力供应（A）、电磁防护（S）物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控制分区域管理在机房中的活动电子门禁防盗窃和防破坏存放位置、标记标识监控报警系统防雷击建筑防雷、机房接地设备防雷防火灭火设备、自动报警自动消防系统区域隔离措施防静电关键设备主要设备防静电地板电力供应稳定电压、短期供应主要设备冗余/并行线路备用供电系统电磁防护线缆隔离接地防干扰电磁屏蔽防水和防潮温湿度控制物理安全的整改要点物理位置选择物理访问控制防盗窃和防破坏防雷击、防火、防水和防潮、防静电、温湿度控制电力供应电磁防护三级系统安全保护要求—网络安全网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等。网络安全具体包括：7个控制点

结构安全(G)、访问控制(G)、安全审计(G)、边界完整性检查(A)、入侵防范(G)、恶意代码防范(G)、网络设备防护(G)结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备（用户、网段）应用层协议过滤拨号访问限制会话终止安全审计日志记录审计报表边界完整性检查内部的非法联出非授权设备私自外联网络安全的整改要点子网/网段控制核心网络带宽整体网络带宽重要网段部署路由控制带宽分配优先级端口控制最大流量数及最大连接数防止地址欺骗审计记录的保护定位及阻断入侵防范检测常见攻击记录、报警恶意代码防范网络边界处防范网络设备防护基本的登录鉴别组合鉴别技术特权用户的权限分离结构安全访问控制安全审计增加违规外联检测阻断产品边界完整性检查入侵防范增加网关型防毒墙产品恶意代码防范网络设备特别配置服务网络设备防护增加网络安全审计产品三级系统安全保护要求—主机安全主机系统安全是包括服务器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的安全。主机安全具体包括：7个控制点身份鉴别(S)、访问控制(S)、安全审计(G)、剩余信息保护(S)、入侵防范(G)、恶意代码防范(G)、资源控制(A)身份鉴别基本的身份鉴别访问控制安全策略管理用户的权限分离特权用户的权限分离安全审计服务器基本运行情况审计审计报表剩余信息保护空间释放及信息清除主机安全的整改要点组合鉴别技术敏感标记的设置及操作审计记录的保护入侵防范最小安装原则重要服务器：检测、记录、报警恶意代码防范主机与网络的防范产品不同资源控制监视重要服务器最小服务水平的检测及报警重要客户端的审计升级服务器重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限制身份鉴别访问控制安全审计增加身份认证系统剩余信息保护入侵防范访问控制策略配置服务主机入侵防范策略配置服务恶意代码防范资源控制网管软件和主机配置服务三级系统安全保护要求—应用安全应用系统的安全就是保护系统的各种应用程序安全运行。包括基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等。应用安全具体包括：9个控制点身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）身份鉴别基本的身份鉴别访问控制安全策略最小授权原则安全审计运行情况审计（用户级）审计报表剩余信息保护空间释放及信息清除应用安全的整改要点组合鉴别技术敏感标记的设置及操作审计过程的保护通信完整性校验码技术密码技术软件容错自动保护功能资源控制资源分配限制、资源分配优先级最小服务水平的检测及报警数据有效性检验、部分运行保护对用户会话数及系统最大并发会话数的限制审计记录的保护通信保密性初始化验证整个报文及会话过程加密敏感信息加密抗抵赖身份鉴别访问控制安全审计应用软件本身配置或升级剩余信息保护通信完整性访问控制策略配置服务通信保密性抗抵赖软件容错资源控制系统审计配置服务增加通讯加密手段建立统一的CA中心可通过配置服务达到部分要求三级系统安全保护要求—数据安全与备份恢复数据安全主要是保护用户数据、系统数据、业务数据的保护。将对数据造成的损害降至最小。备份恢复也是防止数据被破坏后无法恢复的重要手段，主要包括数据备份、硬件冗余和异地实时备份。数据安全和备份恢复具体包括：3个控制点

数据完整性（S）、数据保密性（S）、备份和恢复（A）数据完整性鉴别数据传输的完整性备份和恢复重要数据的备份数据安全及备份恢复的整改要点各类数据传输及存储异地备份网络冗余、硬件冗余本地完全备份硬件冗余检测和恢复数据保密性鉴别数据存储的保密性各类数据的传输及存储每天1次备份介质场外存放数据完整性数据保密性备份与恢复建立统一的CA中心增加通讯加密手段管理要求方面的整改36管理制度管理机构人员管理系统建设管理系统运维管理环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理信息系统三级系统安全保护要求—安全管理制度安全管理制度包括信息安全工作的总体方针、策略、规范各种安全管理活动的管理制度以及管理人员或操作人员日常操作的操作规程。安全管理制度具体包括：3个控制点

管理制度、制定和发布、评审和修订整改要点：形成信息安全管理制度体系、统一发布、定期修订等三级系统安全保护要求—安全管理机构安全管理机构主要是在单位的内部结构上建立一整套从单位最高管理层（董事会）到执行管理层以及业务运营层的管理结构来约束和保证各项安全管理措施的执行。安全管理机构具体包括：5个控制点岗位设置、人员配备、授权和审批、沟通和合作、审核和检查整改要点：信息安全领导小组与职能部门、专职安全员、定期全面安全检查、定期协调会议、外部沟通与合作等三级系统安全保护要求—人员安全