信息安全等级保护（三级）建设方案

网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第1页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第1页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第2页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第2页。TOC\o"1-3"\h\u第一章 项目概述 81.1 项目概述 81.2 项目建设背景 81.2.1 法律要求 91.2.2 政策要求 111.3 项目建设目标及内容 111.3.1 项目建设目标 111.3.2 建设内容 12第二章 现状与差距分析 132.1 现状概述 132.1.1 信息系统现状 132.2 现状与差距分析 162.2.1 物理安全现状与差距分析 162.2.2 网络安全现状与差距分析 252.2.3 主机安全现状与差距分析 382.2.4 应用安全现状与差距分析 502.2.5 数据安全现状与差距分析 622.2.6 安全管理现状与差距分析 652.3 安全技术需求 702.3.1 物理和环境安全需求 702.3.2 网络和通信安全需求 72网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第3页。2.3.3 设备和计算安全需求 74网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第3页。2.3.4 应用和数据安全需求 752.4 安全管理需求 762.4.1 安全策略和管理制度 762.4.2 安全管理机构和人员 772.4.3 安全建设管理 782.4.4 安全运维管理 792.5 综合整改建议 802.5.1 技术措施综合整改建议 802.5.2 安全管理综合整改建议 96第三章 安全建设目标 98第四章 方案总体设计 994.1 方案设计原则 994.1.1 分区分域防护原则 994.1.2 均衡性保护原则 1004.1.3 技术与管理相结合 1004.1.4 动态调整与可扩展 1004.1.5 网络安全三同步原则 1004.2 方案设计思路 101第五章 安全整体规划 1035.1 建设指导 1035.1.1 指导原则 1035.1.2 安全防护体系设计整体架构 104网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第4页。5.2 安全技术规划 106网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第4页。5.2.1 安全建设规划拓朴图 1065.2.2 安全设备功能 1075.3 建设目标规划 114第六章 安全策略和方针设计 1156.1 总体安全方针和策略设计 1166.1.1 总体安全方针设计 1166.1.2 总体安全策略设计 1166.2 安全策略具体设计 1186.2.1 物理和环境安全策略 1186.2.2 网络和通信安全策略 1196.2.3 设备和计算安全策略 1216.2.4 应用和数据安全策略 122第七章 整体安全建设设计 1237.1 物理和环境安全建设 1237.1.1 机房场地的选择 1237.1.2 机房出入控制 1247.1.3 防盗窃和防破坏 1247.1.4 防雷击 1247.1.5 防火 1247.1.6 防水和防潮 1257.1.7 防静电 1257.1.8 温湿度控制 125网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第5页。7.1.9 电力供应 125网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第5页。7.1.10 电磁防护 1267.2 安全技术体系设计方案 1267.2.1 安全计算环境防护设计 1267.2.2 安全区域边界防护设计 1317.2.3 安全通信网络防护设计 1367.2.4 安全管理中心设计 1377.3 安全管理体系设计方案 1387.3.1 安全策略和管理制度设计 1387.3.2 安全管理机构和人员管理设计 1407.3.3 安全建设管理 1417.3.4 安全运维管理 141第八章 安全防护部署设计方案 1528.1 异常流量及抗DDoS攻击系统 1528.1.1 产品特性 1528.1.2 产品部署 1588.2 下一代防火墙/UTM系统 1588.2.1 产品特性 1588.2.2 产品部署 1628.3 应用交付控制系统 1638.3.1 产品特性 1638.3.2 产品部署 1678.4 入侵防御系统 167网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第6页。8.4.1 产品特性 167网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第6页。8.4.2 产品部署 1698.5 VPN综合安全网关 1698.5.1 产品特性 1698.5.2 产品部署 1758.6 入侵检测系统 1758.6.1 产品特性 1758.6.2 产品部署 1768.7 APT攻击检测系统 1768.7.1 产品特性 1768.7.2 产品部署 1818.8 无线安全管理系统 1818.8.1 产品特性 1818.8.2 产品部署 1838.9 终端安全管理系统 1838.9.1 产品特性 1838.9.2 产品部署 1858.10 漏洞扫描系统 1868.10.1 产品特性 1868.10.2 产品部署 1888.11 Web应用安全防护系统 1888.11.1 产品特性 1888.11.2 产品部署 190网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第7页。8.12 主机安全加固系统 191网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第7页。8.13 安全运维网关 1918.13.1 产品特性 1918.13.2 产品部署 1958.14 安全配置核查系统 1958.14.1 产品特性 1958.14.2 产品部署 1998.15 网络管理监控系统 1998.16 安全审计系统 1998.16.1 Web应用审计 1998.16.2 数据库审计 2038.16.3 综合日志审计 2098.17 综合安全管理平台 2118.17.1 产品特性 2118.17.2 产品部署 2238.18 专业安全服务 2248.18.1 安全风险评估 2248.18.2 渗透测试服务 2258.18.3 安全加固服务 2268.18.4 代码审计服务 2278.18.5 应急处理服务 228第九章 方案与等保要求对应 230第十章 工程建设 235网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第8页。10.1 工程一期建设 235网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第8页。10.1.1 区域划分 23510.1.2 网络环境改造 23610.1.3 网络边界安全加固 23610.1.4 网络及安全设备部署 23710.1.5 安全管理体系建设服务 27210.1.6 安全加固服务 29010.1.7 应急预案和应急演练 29810.1.8 安全等保认证协助服务 29810.2 工程二期建设 29910.2.1 安全运维管理平台（soc） 29910.2.2 APT高级威胁分析平台 303第十一章 方案预估效果 30511.1 工程预期效果 306

网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第9页。项目概述网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第9页。项目概述某单位是人民政府的职能部门，贯彻执行国家有关机关事务工作的方针政策，拟订省机关事务工作的政策、规划和规章制度并组织实施，负责省机关事务的管理、保障、服务工作。在面对现在越来越严重的网络安全态势下，某单位积极响应国家相关政策法规，积极开展信息安全等级保护建设。对自有网络安全态势进行自我核查，补齐等保短板，履行安全保护义务。项目目标：打造一个可信、可管、可控、可视的安全网络环境，更好的为机关各部门及领导者和公务人员提供工作和生活条件，更好的保障各项行政活动正常进行。项目建设背景机关后勤管理工作因为其政府内部服务的特殊性，一直比较少地为社会公众所关注或重视。机关后勤管理包括对物资、财务、环境、生活以及各种服务项目在内的事务工作的管理，是行政机关办公室管理的重要一环，为机关各部门以及领导者和公务人员提供工作和生活条件，是保障各项行政活动正常进行的物质基础。随着这几年地区经济的高速发展和政府行政职能分配管理的需要，使机关事务管理工作的管理范围和管理对象也相应的扩展和增加，管理工作变得十分繁重。尤其是在新增的一些业务管理网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第10页。工作方面，如对政府机关单位固定资产的管理、房屋出租、分配的管理等，同时，随着这几年国家对资产管理的重视，信息化建设从原来注重财务管理信息化逐渐向国有资产管理信息化发展，作为机关事务管理的机构，正承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态势环境下，开展机关事务管理的信息化建设与信息安全建设网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第10页。法律要求在2017年6月1日颁发的《中华人民共和国网络安全法》中明确规定了法律层面的网络安全。具体如下：“没有网络安全，就没有国家安全”，《网络安全法》第二十一条明确规定“国家实行网络安全等级保护制度”。各网络运营者应当按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、安全检查等工作。除此之外，《网络安全法》中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;采取监测、记录网络运行状态、网络安全事件的技术措施，留存不少于六个月的相关网络日志;采取数据分类、重要数据备份和加密等措施。未履行上述网络安全保护义务网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第11页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第11页。漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。容灾备份：第三十四条第三项规定，关键信息基础设施单位对重要系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备份的会被依照此条款责令改正。应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安全事件应急预案，并定期进行演练。没有网络安全事件预案的，或者没有定期演练的，会被依照此条进行责令改正。安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第12页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第12页。政策要求为切实加强门户网站安全管理和防护，保障网站安全稳定运行，国家非常重视，陆续颁布以下文件：《关于加强党政机关网站安全管理的通知》（中网办发文〔2014〕1号）、《关于做好党政机关网站开办审核、资格复核和网站标识管理工作的通知》（中央编办发〔2014〕69号），公安部、中央网信办、中编办、工信部等四部门《关于印发〈党政机关、事业单位和国有企业互联网网站安全专项整治行动方案〉的通知》（公信安〔2015〕2562号）项目建设目标及内容项目建设目标依据国家信息安全等级保护相关指导规范，对某单位信息系统、基础设施和骨干网络按照等保三级进行安全建设规划，对安全建设进行统一规划和设备选型，实现方案合理、组网简单、扩容灵活、标准统一、经济适用的建设目标。依据信息安全等级保护三级标准，按照“统一规划、统一标准、重点明确、合理建设”的基本原则，在物理安全、网络安全、主机安全、应用安全、数据安全等几个方面进行安全规划与建设，确保“网络建设合规、安全防护到位”。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第13页。方案目标是让某单位的骨干网络、相关应用系统达到安全等级保护第三级要求。经过建设后使整体网络形成一套完善的安全防护体系，提升整体信息安全防护能力网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第13页。建设内容本项目以某单位骨干网络、信息系统等级保护建设为主线，以让相关信息系统达到安全等级保护第三级要求。借助网络产品、安全产品、安全服务、管理制度等手段，建立全网的安全防控管理服务体系，从而全面提高某单位的工作效率，提升信息化运用水平。建设内容包括某单位内网骨干网络、基础设施和信息系统等。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第14页。现状与差距分析网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第14页。现状概述信息系统现状本次项目中某单位外网项目中涉及的设备有：服务器≥4台网络设备若干路由器、交换机、ap安全设备有：1台防火墙（过保）、WAF（过保）、2台ips（dmz区前IPS已过保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系统、360天擎终端杀毒（只具有杀毒模块）存储设备：火星舱容灾备份网络系统现状某单位的网络系统整体构架采用三层层次化模型网络架构，即由核心层、汇聚层和接入层组成。网络现状：核心层：核心层是网络的高速交换主干，对整个网络的连通起到至关重要的作用。某单位内网核心，由1台DPX安全业务网关组成。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第15页。汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站接入核心层前先做汇聚，以减轻核心层设备的负荷。某单位内网中，由迪普和H3C交换机作为内网的有线汇聚和内网的无线网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第15页。接入层：接入层向本地网段提供工作站接入。某单位内网网络中，由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入。在DPX核心交换机上划分VLAN和网关，整体网络中部署了防病毒网关、IPS、UAG、DDI、数据容灾备份系统。OA系统连接至无线汇聚交换机。其他各系统旁路至核心交换机上。安全现状：在整体网络中部署有相应的安全设备做安全防护，但部分安全设备过保，整体网络安全防护体系不够完善、区域划分不合理，现状拓扑图如下：图表SEQ图表\*ARABIC1现状拓扑图主机系统现状某单位的业务系统OA、文件交换箱等，部署于多台服务器上。服务器为机架式服务器和塔式服务器，固定于标准机柜与固网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第16页。定位置，并进行标识区分。服务器操作系统全都采用微软的WindowsServer系列操作系统。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第16页。某单位办公终端约为300台，win7为主，XP系统占少数，主机系统没有进行过定期更新补丁，安装有360天擎杀毒软件网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第17页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第17页。某单位的应用系统主要为以下业务系统：OA、文件交换箱等。也包含一些其他的办公软件。现状与差距分析物理安全现状与差距分析某单位机房建设过程中参照B级机房标准参考进行统一规划，存在的物理安全隐患较少。但仍需参照以下标准进行核查、整改；根据信息安全等级保护（第三级）中对物理安全相关项（防火、防雷、防水、防磁及电力供应等）存在些许差距。详见下表差距分析。图表SEQ图表\*ARABIC2物理安全现状序号要求指标项是否符合现状分析备注1物理位置的选择（G3）本项要求包括：a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；符合要求满足b)机房场地应避免设在建筑物的网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第18页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第18页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第19页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第19页。满足2物理访问控制（G3）本项要求包括：a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；不符合要求不满足无相关记录b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；不符合要求不满足有监控，但是没有申请和审批流程c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第20页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第20页。依据业务系统进行了机柜间的区域区分，但未在重要区域前设置物理隔离装置。在重要区域前设置物理隔离装置。d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。符合要求基本满足3防盗窃和防破坏（G3）本项要求包括：a)应将主要设备放置在机房内；符合要求满足b)应将设备或主要部件进行固定，并设置明显的不易除去的标记；符合要求满足c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；不符合要求不满足有部分线缆架设在半空中d)应对介质分类标识，存储在介质库或档案室中；符合要求满足e)应利用光、电等技术设置机房防盗报警系统；符合要求满足f)应对机房设置监控报警系统。符合要求满足4防雷击（G3）本项要求包括：a)机房建筑应设置避雷装置；符合要求满足b)应设置防雷保安器，防止感应雷；符合要求满足c)机房应设置交流电源地线。符合要求满足网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第21页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第21页。防火（G3）本项要求包括：a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；基本符合要求安装有气体灭火装置b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；符合要求满足c)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。不符合要求不满足6防水和防潮（G3）本项要求包括：a)水管安装，不得穿过机房屋顶和活动地板下；符合要求满足b)应采取措施防止雨水通过机房网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第22页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第22页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第23页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第23页。满足c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；符合要求满足d)应安装对水敏感的检测仪表或组件，对机房进行防水检测和报警。符合要求满足7防静电（G3）本项要求包括：a)主要设备应采用必要的接地防静电措施；符合要求满足b)机房应采用防静电地板。符合要求满足8温湿度控制（G3）本项要求包括：机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。符合要求安装有动力环境监控系统，建议机房日常温度控制在10～28℃，湿度30～70%。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第24页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第24页。电力供应（A3）本项要求包括：a)应在机房供电线路上配置稳压器和过电压防护设备；基本符合要求满足b)应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求；符合要求设置UPS电池供电，并至少保证断电时主要设备在满负荷情况下4小时的正常运行。c)应设置冗余或并行的电力电缆线路为计算机系统供电；不符合要求只有一条出口线，极容易出现单点故障增加线缆，做到冗余d)应建立备用供电系统。符合要求满足10电磁防护（S3）本项要求包括：a)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；符合要求满足b)电源线和通信线缆应隔离铺设，避免互相干扰；符合要求满足c)应对关键设备和磁介质实施电磁屏蔽。符合要求满足网络安全等保三级建设整改方案网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第25页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第26页。网络安全现状与差距分析网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第26页。由于某单位前期已经行相关安全建设，仍有相关安全防护建设不到位，主要表现出以下问题点：网络结构基本清晰，但细节规划不合理；新增移动接入链路，面对日益突增的网络安全事件缺乏有效防御手段及应急机制；骨干网络架构规划不合理，核心交换区无冗余，安全防护区域划分不明晰，不能对不同区域间防护措施、技术手段进行统一规划，不同区域对恶意攻击的防范能力不一。详见下表差距分析：图表SEQ图表\*ARABIC3网络安全现状序号要求指标项是否符合差距分析备注1结构安全（G3）本项要求包括：a)应保证主要网络设备的业务处理能力具备冗余空间，满足网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第27页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第27页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第28页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第28页。域网核心交换设备均采用单链路、单设备，无冗余空间，一旦出现设备故障则会出现单点故障，无法有效保障对外开放的业务安全稳定的运行。域网核心设备至少有二台，采用多链路b)应保证网络各个部分的带宽满足业务高峰期需要；符合要求满足c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；符合要求满足d)应绘制与当前运行情况相符的网络拓扑结构图；不符合要求暂无拓扑图我们会在工程结束后重新绘制网络拓扑图。e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；基本符合要求整体网络结构中已按照需求进行子网划分。但使用中存在混乱，没有按规定使用。待本次项目建设进行梳理、严格限制f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；基本符合要求满足网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第29页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第29页。访问控制（G3）本项要求包括：a)应在网络边界部署访问控制设备，启用访问控制功能；不符合要求仅在dmz区部署防火墙且防火墙已过保，其他区域未部署访问控制设备建议在互联网出口与服务器区前部署防火墙进边界隔离与访问控制b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；符合要求满足c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第30页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第30页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第31页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第31页。满足d)应在会话处于非活跃一定时间或会话结束后终止网络连接；符合要求满足e)应限制网络最大流量数及网络连接数；不符合要求未部署流量控制设备，无法根据所承载的业务和带宽的实际情况确定网络最大流量数和网络连接数并进行管理。部署上网行为管理及流控f)重要网段应采取技术手段防止地址欺骗；不符合要求未部署访问控制设备的区域无法采用包过滤或传输控制协议，进行边界访问控制，防止地址欺骗，应对网络中的广播、组播进行必要的控制。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第32页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第32页。g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；不符合要求没有在服务器区前和网络出口设置防火墙、认证网关或授权管理系统，可对单个用户的访问进行策略控制。新增2台防火墙实现不同安全域之间的访问控制h)应限制具有拨号访问权限的用户数量。不符合要求不涉及3安全审计（G3）本项要求包括：a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；不符合要求有上网行为管理设备（过保），但是并没有办法对网络设备运行状况日志记录，而部署综合安全日志审计系统可对来自不同厂商的安全设备、网络设备、主机、操作系统、数据库系统、用户业务系统的日志、警报等信息汇集到审计中网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第33页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第33页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第34页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第34页。b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；符合要求满足c)应能够根据记录数据进行分析，并生成审计报表；不符合要求不满足部署日志审计系统d)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。符合要求满足安全审计日志记录要求保存至少半年以上。4边界完整性检查（S3）本项要求包括：a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；不符合要求可通终端管理系统或ARP绑定技术手段实现可采用终端管理系统等手段进行管理控制b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。不符合要求可采用终端管理系统等手段进行管理控制5入侵防范（G3）本项要求包括：a)应在网络边界处监视以下攻击行为：端口网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第35页。扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第35页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第36页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第36页。出口处部署有IPS入侵防御b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警基本符合要求落实安全审计系统报警功能。6恶意代码防范（G3）本项要求包括：a)应在网络边界处对恶意代码进行检测和清除；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第37页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第37页。满足b)应维护恶意代码库的升级和检测系统的更新。符合要求7网络设备防护（G3）本项要求包括：a)应对登录网络设备的用户进行身份鉴别；不符合要求没有指定专人进行维护。通过密码和用户名进行身份鉴别，同时也没有部署堡垒主机。可以指定专人维护网络设备，并通过用户名和密码进行身份鉴别，同时也可以部署堡垒主机b)应对网络设备的管理员登录地址进行限制；不符合要求对管理员登陆地址没有限制。增添堡垒机设备，这样可以有效对远程用户进行管理。c)网络设备用户的标识应唯一；不符合要求网络设备没有唯一的标示。重新对设备进行标示。d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；不符合要求主要网络设备未对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；增设堡垒机e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；不符合要求密码没有定期更换，复杂度不够用户口令应12位以上，数字和字母组成，至少3个月更换一次。f)应具有登录失败处理功能，可采取结束会话、限制非法网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第38页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第38页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第39页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第39页。当一次登录密码错误次数超过6次，应能自动关闭并告警。g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；不符合要求传输中进行加密，可以使用IPsecVPN技术h)应实现设备特权用户的权限分离。不符合要求网络管理员、系统管理员和安全审计员分开，并按职责分工限制各自权限，但无技术手段控制。部署堡垒机控制用户权限主机安全现状与差距分析某单位内网主机终端已部署终端杀毒软件。终端主机安全现状差距分析，如下：图表SEQ图表\*ARABIC4主机安全现状序号要求指标项是否符合差距分析备注1身份鉴别（S3）本项要求包括：a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；基本符合要求没有严格通过账号密码限制操作系统和数据库系统的用户登陆，进行身份标识和鉴别；b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第40页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第40页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第41页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第41页。不满足系统管理员的登录身份标识唯一，口令12位以上，且数字和字母大小写组合，每半年应更改一次。c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；符合要求当登录次数错误超过6次，应自动退出并告警。d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；不符合要求没有采用IPSecVPN对传输加密的方法来保证远程管理安全可靠。采用IPSecVPN部署e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。不符合要求不满足f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。不符合要求采用用户名密码的鉴别技术对管理员进行身份鉴别。部署堡垒机网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第42页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第42页。访问控制（S3）本项要求包括：a)应启用访问控制功能，依据安全策略控制用户对资源的访问；不符合要求不满足b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；不符合要求因只设置了一个管理员账号，也未通过技术手段控制授予所需要的最小权限。部署堡垒机，将网络管理员、系统管理员和安全审计员分离，通过技术手段控制授予所需要的最小权限。c)应实现操作系统和数据库系统特权用户的权限分离；不符合要求还是未修改的默认口令修改口令d)应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；不符合要求不满足e)应及时删除多余的、过期的帐户，避免共享帐户的存在。基本符合要求因只一个账户，不存在多余的账户f)应对重要信息资源设置敏感标记；不符合要求未对重要服务器部署服务器加固系统，采取安全加固措网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第43页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第43页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第44页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第44页。g)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；不符合要求不满足网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第45页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第45页。安全审计（G3）本项要求包括：a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；不符合要求未部署数据库审计系统，无法对服务器和重要客户端上的每个操作系统用户和数据库用户进行审计。部署日志审计系统和数据库审计系统b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；不符合要求未部署数据库审计系统，无法对重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件进行审计。部署日志审计系统和数据库审计系统c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；不符合要求未部署数据库审计系统，无法对数据库进行审计。部署日志审计系统和数据库审计系统d)应能够根据记录数据进行分析，并生成审计报表；不符合要求未部署数据库审计系统，无法对异常行为实时告警。部署日志审计系统和数据库审计系统e)应保护审计进程，避免受到未预期的中断；不符合要求未部署数据库审计系统。部署日志审计系统和数据库审计系统f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。不符合要求未部署数据库审计系统。（审计记录至少应保存半年。）部署日志审计系统和数据库审计系统4剩余信息保护（S3）本项要求包括：a)应保证操作系统和数据库系统用户的鉴别网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第46页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第46页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第47页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第47页。不满足b)应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。不符合要求可在终端Windows操作系统未启用“关机前清除虚拟内存页面”功能项。在终端Windows操作系统启用“关机前清除虚拟内存页面”功能项。5入侵防范（G3）本项要求包括：a)应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；符合要求已有ips入侵防御系统b)应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；不符合要求未定期使用完整性检查工具或脚本对服务器的重要程序和文件进行检查。定期使用完整性检查工具或脚本对服务器的重要程序和文件进行检查。c)操作系统应遵循最小安装的原则，仅安装网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第48页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第48页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第49页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第49页。未通过技术手段保持系统补丁及时得到更新。增加终端管理软件模块。6恶意代码防范（G3）本项要求包括：a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；符合要求满足，安装了360天擎b)主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；符合要求满足，安装了360天擎c)应支持防恶意代码的统一管理。符合要求满足，安装了360天擎7资源控制（A3）本项要求包括：a)应通过设定终端接入方式、网络地址范围等条件限制终端登录；不符合要求通过账号密码限制终端登录。通过增设堡垒机对终端接入进行管理。b)应根据安全策略设置登录终端的操作超时锁定；不符合要求未部署终端管理系统对登录终端进行管理。部署终端管理系统对登录终端进行管理。c)应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第50页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第50页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第51页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第51页。没有网络管理系统可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。d)应限制单个用户对系统资源的最大或最小使用限度；不符合要求没有网络管理系统可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。e)应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。不符合要求不能进行报警可通过增加网络管理系统对重要服务器进行监视并对服务器的运行状况异常实时告警。应用安全现状与差距分析某单位应用系统根据国家信息安全等级保护（第三级）标准在对应用系统安全进行分析时，发现应用系统涉及到应用系统的运行稳定以及业务数据的安全可靠，故而安全防护技术手段如下：以业务系统自身通过代码查错、规则设置、权限细化等方法为主要手段，来满足信息系统安全等级保护（第三级）中应用安全部分标准项（如身份鉴别、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等）的要求部分标准项（如身份鉴别、访问控制、安全审计、通信保密性等）除可通过应用系统进行安全加强外，也可通过设备进行技术防护详见下表差距分析：图表SEQ图表\*ARABIC5应用安全现状序号要求指标项是否符合差距分析备注网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第52页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第52页。身份鉴别（S3）本项要求包括：a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；不符合要求未采用技术手段，提供专用的登录控制模块对登录用户的身份进行标识和鉴别。增设堡垒机，通过堡垒机用户登陆进行身份识别和鉴别。b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；符合要求c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第53页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第53页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第54页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第54页。d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；符合要求e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。基本符合要求2访问控制（S3）本项要求包括：a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；符合要求b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；符合要求c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；符合要求d)应授予不同帐户为完成各自承担任务所需的最小网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第55页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第55页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第56页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第56页。e)应具有对重要信息资源设置敏感标记的功能；不合要求对重要服务器部署服务器加固系统，采取安全加固措施，并设置敏感标记。f)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；不合要求服务器加固系统有实现文件强制访问控制、注册表强制访问控制、进程强制访问控制、程序授权控制、网络级访问控制等功能。3安全审计（G3）本项要求包括：a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；基本符合要求部署了安全审计系统,对应用系统每个用户的安全事件进行记录审计。b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；基本符合要求未部署安全管理系统部署了安全审计系统c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第57页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第57页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第58页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第58页。部署了安全审计系统d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。基本符合要求部署了安全审计系统4剩余信息保护（S3）本项要求包括：a)应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第59页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第59页。在终端Windows操作系统中未启用“不显示上次登录名”功能项。可在终端Windows操作系统启用“不显示上次登录名”功能项。b)应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。不符合要求在终端Windows操作系统中未启用“关机前清除虚拟内存页面”功能项。在终端Windows操作系统中未启用“关机前清除虚拟内存页面”功能项。5通信完整性（S3）本项要求包括：应采用密码技术保证通信过程中数据的完整性。符合要求在应用软件编程中，对通信的保密性提出要求。6通信保密性（S3）本项要求包括：a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；符合要求在应用软件编程中，对通信的保密性提出要求。b)应对通信过程中的整个报文或会话过程进行加密。符合要求应用软件中应有此功能7抗抵赖（G3）本项要求包括：a)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；符合要求应用软件有此项功能。b)应具有在请求的情况下为数据网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第60页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第60页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第61页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第61页。应用软件有此项功能。8软件容错（A3）本项要求包括：a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；符合要求应用软件有此项功能。b)应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。符合要求应用软件提供断点保护和恢复功能。9资源控制（A3）本项要求包括：a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；符合要求如果通信双方中有一方在10分钟内未作任何响应，应自动结束会话，释放网络连接。b)应能够对系统的最大并发会话连接数进行限制；符合要求应当提供系统的实际要求，设定最大并发会话连接数。c)应能够对单个帐户的多重并发会话进行限制；符合要求满足d)应能够对一个时间段内可能的网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第62页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第62页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第63页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第63页。应当业务应用系统和实际需要设定。e)应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；符合要求满足f)应能够对系统服务水平降低到预先规定的最小值进行检测和报警；不符合要求不满足后期建议部署网管运维软件g)应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。符合要求在系统中应可根据用户的权限设定服务等级及优先级，并保证优先级用户首先使用系统资源的权力。数据安全现状与差距分析信息系统的安全核心是数据的安全，某单位网络中有全局正常运行信息的数据，一旦数据出现被盗取、被篡改、被删除，小则造成小范围的某单位业务受影响，大则将对全局办公、经济利益或社会形象造成不可弥补的损失。一旦出现意外，数据的还原、恢复显得尤为重要。目前某单位对数据的备份主要采用维护工程师定期进行手动备份和数据被备份一体机的方式，备份范围包含业务关键数据，且是备份在本地。可能会出现以下情况：出现极端自然灾害，数据存储介质出现损坏，数据损坏后无法恢复；详见下表差距分析：图表SEQ图表\*ARABIC6数据安全现状序号要求指标项是否符合差距分析备注1数据完整性（S3）本项要求包括：a)应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第64页。到完整性错误时采取必要网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第64页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第65页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第65页。数据备份一体机应带有此功能b)应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。基本符合要求数据备份一体机应带有此功能2数据保密性（S3）本项要求包括：a)应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；基本符合要求数据备份一体机应带有此功能b)应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。基本符合要求数据备份一体机应带有此功能3备份和恢复（A3）本项要求包括：a)应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；符合要求满足部署服务器数据备份系统。b)应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；不符合要求不满足有本地备份一体机，后期建议完善异地备份机制。c)应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；符合要求满足d)应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。符合要求满足网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第66页。安全管理现状与差距分析网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第66页。某单位在日常的运行维护管理中，根据自身的情况有制定一些安全管理制度并执行，但没有进行系统而规范的制度文件体系建设，以及相应制度执行记录归档保存。根据等级保护管理安全要求，仍有部分制度需要进行完善。管理制度建议如下表：图表SEQ图表\*ARABIC7安全管理现状类别管理内容制度包括的主要内容现状分析备注网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第67页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第67页。资产安全管理对信息系统相关的资产清单、分类与标识、使用、转移、废弃等做出规定。不满足对信息系统相关的资产清单、分类与标识、使用、转移、废弃等做出规定。机房安全管理对进出机房的人员和设备，机房监控、机房值班、机房环境保障等做出规定。不满足对进出机房的人员和设备，机房监控、机房值班、机房环境保障等做出规定。设备安全管理对设备的放置、使用、维护、维修、报废等做出规定。不满足对设备的放置、使用、维护、维修、报废等做出规定。介质安全管理对介质的归档、存放、使用、销毁等做出规定。不满足对介质的归档、存放、使用、销毁等做出规定。网络网络安全管理对网络及安全设备的操作、配置、日志记录和监控等做出规定。不满足对网络及安全设备的操作、配置、日志记录和监控等做出规定。系统系统安全管理对服务器和数据库等的操作、配置、日志记录和监控等做出规定。不满足对服务器和数据库等的操作、配置、日志记录和监控等做出规定。应用数据安全管理对信息系统数据保存、备份、使用等做出规定。不满足对信息系统数据保存、备网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第68页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第68页。病毒防护管理对病毒防护系统的管理、使用和升级等做出规定不满足对病毒防护系统的管理、使用和升级等做出规定终端计算机管理对终端计算机的日常使用、软件安装，入网、维修、报废等做出规定。不满足对终端计算机的日常使用、软件安装，入网、维修、报废等做出规定。便携计算机管理对便携计算机的使用、密码保护、入网、文件存储、维修等做出规定。不满足对便携计算机的使用、密码保护、入网、文件存储、维修等做出规定。移动存储介质管理对移动存储介质的使用、管理、维修等做出规定。不满足对移动存储介质的使用、管理、维修等做出规定。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第69页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第69页。项目安全审核对信息化项目安全需求、安全保障方案及保护等级等做出规定。不满足对信息化项目安全需求、安全保障方案及保护等级等做出规定。系统开发安全管理对开发环境、代码安全、上线测试、开发人员保密责任等做出规定。不满足对开发环境、代码安全、上线测试、开发人员保密责任等做出规定。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第70页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第70页。机构和人员管理对设立安全管理机构、机构职能、人员职责及管理，如重要岗位保密责任、人员离岗离职等方面做出规定。不满足对设立安全管理机构、机构职能、人员职责及管理，如重要岗位保密责任、人员离岗离职等方面做出规定。运行维护管理对日常运行维护的流程、操作等做出规定。不满足对日常运行维护的流程、操作等做出规定。用户管理对普通业务用户、重要业务用户、特权用户（网络、系统、安全管理员）的审批、权限、安全要求等做出规定。不满足对普通业务用户、重要业务用户、特权用户（网络、系统、安全管理员）的审批、权限、安全要求等做出规定。密码管理对信息系统中使用的密码强度、变更和保存等做出规定。不满足对信息系统中使用的密码强度、变更和保存等做出规定。应急管理对应急计划、处理、实施、演练等做出规定。不满足对应急计划、处理、实施、演练等做出规定。变更管理对信息系统的变更申报、审批流程以及实施等做出规定。不满足对信息系统的变更申报、审批流程以及实网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第71页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第71页。网络安全检查对网络安全检查流程、工作内容等做出规定。不满足对网络安全检查流程、工作内容等做出规定。eq\o\ac(○,注)：以上制度体系仅供参考，请结合某单位实际情况进行制定，建议相关制度文件以红头文件发布并归档保存，对制度执行过程中形成的相关记录需定期归档保存。安全技术需求物理和环境安全需求物理和环境安全主要影响因素包括机房环境、机柜、电源、服务器、网络设备和其他设备的物理环境。该层面为基础设施和业务应用系统提供了一个生成、处理、存储和传输数据的物理环境。具体安全需求如下：由于机房容易遭受雷击、地震和台风等自然灾难威胁，需要通过对物理位置进行选择，及采取防雷击措施等来解决雷击、地震和台风等威胁带来的问题；由于机房容易遭受水患和火灾等灾害威胁，需要采取防水、防潮、防火措施来解决水患和火灾等威胁带来的安全威胁；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第72页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第72页。由于机房电压波动影响，需要合理设计电力供应系统来解决因电压波动带来的安全威胁；针对机房供电系统故障，需要合理设计电力供应系统，如：购买UPS系统、建立发电机机房，铺设双电力供电电缆来保障电力的供应，来解决因供电系统故障带来的安全威胁；针对机房容易遭受静电、设备寄生耦合干扰和外界电磁干扰，需要采取防静电和电磁防护措施来解决静电、设备寄生耦合干扰和外界电磁干扰带来的安全威胁；针对机房容易遭受强电磁场、强震动源、强噪声源等污染，需要通过对物理位置的选择、采取适当的电磁防护措施，来解决强电磁场、强震动源、强噪声源等污染带来的安全隐患；针对利用非法手段进入机房内部盗窃、破坏等安全威胁，需要通过进行环境管理、采取物理访问控制策略、实施防网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第73页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第73页。针对利用工具捕捉电磁泄漏的信号，导致信息泄露的安全威胁，需要通过采取防电磁措施，来解决电磁泄漏带来的安全问题。网络和通信安全需求网络和通信层指利用网络设备、安全设备、服务器、通信线路以及接入链路等设备或部件共同建成的、可以用于在本地或远程传输数据的网络环境。具体安全需求如下：针对网络架构设计不合理而影响业务通信或传输问题，需要通过优化设计、安全域改造完成。针对利用通用安全协议、算法、软件等缺陷获取信息或破坏通信完整性和保密性，需要通过数据加密技术、数据校验技术来保障。针对内部人员未授权违规连接外部网络，或者外部人员未经许可随意接入内部网络而引发的安全风险，以及因使用无线网络传输的移动终端而带来的安全接入风险等问题，网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第74页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第74页。针对通过分布式拒绝服务攻击恶意地消耗网络、操作系统和应用系统资源，导致拒绝服务或服务停止的安全风险，需要通过抗DDoS攻击防护、服务器主机资源优化、入侵检测与防范、网络结构调整与优化等手段来解决。针对攻击者越权访问文件、数据或其他资源，需要通过访问控制、身份鉴别等技术来解决。针对利用网络协议、操作系统或应用系统存在的漏洞进行恶意攻击（如碎片重组，协议端口重定位等），需通过网络入侵检测、恶意代码防范等技术措施来解决。针对利用网络结构设计缺陷旁路安全策略，未授权访问网络，需通过访问控制、身份鉴别、网络结构优化和调整等综合方法解决。针对众多网络设备、安全设备、通信线路等基础设施环境不能有效、统一监测、分析，以及集中安全策略分发、漏洞补丁升级等安全管理问题，需要通过集中安全管控机制来解决。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第75页。设备和计算安全需求网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第75页。设备和计算安全包括各类网络设备、服务器、管理终端和其他办公设备系统层的安全风险。主要涵盖两个方面，一是来自系统本身的脆弱性风险；另一个是来自用户登录帐号、权限等系统使用、配置和管理等风险。具体如下：针对用户帐号权限设置不合理、帐号暴力破解等等安全风险，需要通过帐号管理、身份鉴别、访问控制等技术手段解决。针对在网页浏览、文档传递、介质拷贝或文件下载、邮件收发时而遭受恶意代码攻击的安全风险，需通过恶意代码防范技术手段解决。针对操作用户对系统错误配置或更改而引起的安全风险，需通过安全配置核查、终端安全管控等技术手段解决。针对设备系统自身安全漏洞而引起被攻击利用的安全风险，需要通过漏洞扫描技术、安全加固服务等手段解决。针对通过恶意代码或木马程序对主机、网络设备或应用系统进行攻击的安全威胁，需通过恶意代码防护、入侵检测、身份鉴别、访问控制、安全审计等技术手段解决。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第76页。应用和数据安全需求网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第76页。应用和数据安全涉及业务应用系统及重要数据传输、存储的安全问题。具体安全需求如下：针对利用各种工具获取应用系统身份鉴别数据，进行分析获得鉴别内容，从而未授权访问、使用应用软件、文件和数据的安全风险，需要采用两种或两种以上鉴别方式来，可通过应用系统开发或第三方辅助系统来保证对应用系统登录鉴别安全；针对应用系统缺陷、接口设计等导致被恶意攻击利用、数据丢失或运行中断而影响服务连续性的安全风险，需要通过对产品采购、自行软件开发、外包软件和测试验收进行流程管理，同时保证应用软件具备自我容错能力；针对应用系统过度使用内存、CPU等系统资源，需要对应用软件进行实时的监控管理，同时对系统资源进行管控来解决；针对由于应用系统存储数据而引发的数据损毁、丢失等数据安全问题，需通过本地数据备份和异地容灾备份等手段来解决；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第77页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第77页。安全管理需求安全策略和管理制度安全策略和管理制度涉及安全方针、总体安全策略、安全管理制度、审批流程管理和安全检查管理等方面。其安全需求如下：需要制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等；需要建立安全管理制度，对管理活动进行制度化管理，制定相应的制定和发布制度；需要对安全管理制度进行评审和修订，不断完善、健全安全制度；需要建立相应的审批部门，进行相关工作的审批和授权；需要建立协调机制，就信息安全相关的业务进行协调处理；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第78页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第78页。需要建立恰当的联络渠道，进行沟通和合作，进行事件的有效处理；需要建立审核和检查的制度，对安全策略的正确性和安全措施的合理性进行审核和检查；需要建立备案管理制度，对系统的定级进行备案；需要建立产品采购，系统测试和验收制度，确保安全产品的可信度和产品质量；安全管理机构和人员安全管理机构和人员管理涉及安全部门设置、人员岗位设置、人员安全管理等方面。其安全需求如下：需要建立专门安全职能部门，设置安全管理岗位，配备安全管理人员、网络管理人员、系统管理人员；需要对人员的录用进行必要的管理，确保人员录用的安全；需要对人员离岗进行有效的管理，确保人员离岗不会带来安全问题；网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第79页。网络安全等保三级建设整改方案-网络安全等级保护第三级建设整改方案全文共307页，当前为第79页。需要对人员进行安全意识的教育和培训，提高人员的安全意识；需要对第三方人员进行严格控制，确保第三方人员访问的安全。安全建设管理安全建设管理涉及安全方案设计、安全集成建设、变更控制管理、工程质量管理，以及应急事件处置等方面。其安全需求如下：需