某单位信息安全等级保护建设方案-V12

某化工厂开展安全检杳的方案

XXXXXX

信息安全等级保护（三级）建设项目

设计方案

页脚内容

某化工厂开展安全检杳的方案

二一八年二月

页脚内容

文档控制

文档名称：

XXXXXX

信息安全等保保护建设（三级）设计方案

提交方XXXXX机股份有限公司

提交日期Xxxxx

版本信息

日期版本撰写者审核者描述

2月28日V1.0初稿

3月1日VI.1修订

3月7日V1.2修订

本文档版权归xxxxxx股份有限公司所有，未经XXXX有限公司允许，木文档里的任

何内容都不得被用来宣传和传播。未经xxxx有限公司书面批准，文档或任何类似的资讯

都不允许被发布。

页脚内容

某化工厂开展安全检杳的方案

2.2.5数据安全现状与差距分析......................

2.2.6安全管理现状与差距分析....................4.4

2.3综合整改建议......................................48

2.3.1技术措施综合整改建议.........................8

2.3.2安全管理综合整改建议.......................57

第三章安全建设目标........................................58

第四章安全整体规划.......................................6.0

4.1建设指导..........................................60

4.1.1指导原则....................................60

4.1.2安全防护体系设计整体架构.....................

4.2安全技术规划......................................63

4.2.1安全建设规划拓朴图.........................6.3

4.2.2安全设备功能................................64

4.3建设目标规划......................................70

第五章工程建设............................................72

5.1工程一期建设......................................72

5.1,1区域划分....................................72

页脚内容

某化工厂开展安全检杳的方案

5.1.2网络环境改造.............................................

5.1.3网络边界安全加固.........................................

5.1.4网络及安全设备部署.......................................

5.1.5安全管理体系建设服务.....................10.&........

5.1.6安全加固服务.............................L2.6........

5.1.7应急预案和应急演练......................1.3.4........

5.1.8安全等保认证协助服务...................13.4........

5.2工程二期建设...................................L3.5........

5.2.1安全运维管理平台(soc)...............135........

5.2.2APT高级威胁分析平台......................13.9........

5.3产品》青单.......................................................

第六章方案预算.........................................................

第七章方案预估效果...................................1.4.2.......

7.1工程预期效果....................................1.4.2.......

页脚内容

某化工厂开展安全检杳的方案

图表目录

图表1现状拓扑图11

图表2物理安全现状13

图表3网络安全现状19

图表4主机安全现状27

图表5应用安全现状34

图表6数据安全现状41

图表7安全管理现状44

图表8综合技术措施整改建议表格48

图表9综合安全管理体系整改建议表格57

图表10安全保障体系图61

图表11安全建设规划拓扑图63

图表12建设规划71

图表13信息安全组织架构示意图115

图表14安全管理制度规划示意图121

图表15产品清单表141

图表16方案预算表141

页脚内容

某化工厂开展安全检杳的方案

第一章项目概述

1.1项目概述

XXXXXX是人民政府的职能部门，贯彻执行国家有关机关事务工作的方针政策,

拟订省机关事务工作的政策、规划和规章制度并组织实施，负责省机关事务的管

理、保障、服务工作。

在面对现在越来越严重的网络安全态势下，XXXXXX积极响应国家相关政策法

规，积极开展信息安全等级保护建设。对自有网络安全态势进行自我核查，补齐

等保短板，履行安全保护义务。

项目目标：打造一个可信、可管、可控、可视的安全网络环境，更好的为机

关各部门及领导者和公务人员提供工作和生活条件，更好的保障各项行政活动正

常进行。

1.2项目建设背景

机关后勤管理工作因为其政府内部服务的特殊性，一直比较少地为社会公众

所关注或重视。机关后勤管理包括对物资、财务、环境、生活以及各种服务项目

在内的事务工作的管理，是行政机关办公室管理的重要一环，为机关各部门以及

页脚内容

某化工厂开展安全检杳的方案

领导者和公务人员提供工作和生活条件，是保障各项行政活动正常进行的物质基

础。

随着这几年地区经济的高速发展和政府行政职能分配管理的需要，使机关事

务管理工作的管理范围和管理对象也相应的扩展和增力口，管理工作变得十分繁重。

尤其是在新增的一些业务管理工作方面，如对政府机关单位固定资产的管理、房

屋出租、分配的管理等，同时，随着这几年国家对资产管理的重视，信息化建设

从原来注重财务管理信息化逐渐向国有资产管理信息化发展，作为机关事务管理

的机构，正承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态

势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个社会和国家

发展的必然趋势。

1.2.1法律要求

在2017年6月1日颁发的《中华人民共和国网络安全法》中明确规定了法律

层面的网络安全。具体如下：

“没有网络安全，就没有国家安全”，《网络安全法》第二十一条明确规定

“国家实行网络安全等级保护制度”。各网络运营者应当按照要求，开展网络安

全等级保护的定级备案、等级测评、安全建设、安全检查等工作。除此之外，《网

络安全法》中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等

对以下方面做了详细规定：

页脚内容

某化工厂开展安全检杳的方案

网络日志留存：第二十一条还规定，网络运营者应当制定内部安全

管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采

取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;

采取监测、记录网络运行状态、网络安全事件的技术措施，留存不少于

六个月的相关网络日志;采取数据分类、重要数据备份和加密等措施。未

履行上述网络安全保护义务的，会被依照此条款责令整改，拒不改正或

者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接

负责的主管人员处五千元以上五万元以下罚款。

漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应

急预案，及时处置系统漏洞、计算机病毒、慨络攻击、网络侵入等安全

风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补

救措施，并按照规定向有关主管部门报告。没有网络安全事件应急预案

的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不

恰当的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等

后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千

元以上五万元以下罚款。

容灾备份：第三十四条第三项规定，关键信息基础设施单位对重要

系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备份的

会被依照此条款责令改正。

页脚内容

某化工厂开展安全检杳的方案

应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安

全事件应急预案，并定期进行演练。没有网络安全事件预案的，或者没有定期演

练的，会被依照此条进行责令改正。

安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者

委托网络安全服务机沟对其网络的安全性和可能存在的风险每年至少进行一次检

测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护

工作的部门。每年没有进行安全检测评估的单位要被责令改正。

1.2.2政策要求

为切实加强门户网站安全管理和防护，保障网站安全稳定运行，国家非常重

视，陆续颁布以下文件：《关于加强党政机关网站安全管理的通知》（中网办发文

（2014）1号）、《关于做好党政机关网站开办审核、资格复核和网站标识管理工

作的通知》（中央编办发（2014）69号），公安部、中央网信办、中编办、工信部

等四部门《关于印发〈党政机关、事业单位和国有企业互联网网站安全专项整治

行动方案〉的通知》（公信安（2015）2562号）

1.3项目建设目标及内容

1.3.1项目建设目标

依据国家信息安全等级保护相关指导规范，对XXXXXX信息系统、基础设施和

骨干网络按照等保三级进行安全建设规划，对安全建设进行统一规划和设备选型,

实现方案合理、组网简单、扩容灵活、标准统一、经济适用的建设目标。

页脚内容

某化工厂开展安全检杳的方案

依据信息安全等级保护三级标准，按照“统一规划、统一标准、重点明确、

合理建设”的基本原则，在物理安全、网络安全、主机安全、应用安全、数据安

全等几个方面进行安全规划与建设，确保“网络建设合规、安全防护到位”。

方案目标是让XXXXXX的骨干网络、相关应用系统达到安全等级保护第三级要

求。经过建设后使整体网络形成•套完善的安全防护体系，提升整体信息安全防

护能力。

1.3.2建设内容

本项目以xxxxxx骨干网络、信息系统等级保护建设为主线，以让相关信息系

统达到安全等级保护第三级要求。借助网络产品、安全产品、安全服务、管理制

度等手段，建立全网的安全防控管理服务体系，从而全面提高xxxxxx的工作效率,

提升信息化运用水平。

建设内容包括xxxxxx内网骨干网络、基础设施和信息系统等。

页脚内容

某化工厂开展安全检杳的方案

第二章现状与差距分析

2.1现状概述

2.1.1信息系统现状

本次项目中XXXXXX外网项目中涉及的设备有：

1）服务器》4台

2）网络设备若干路由器、交换机、ap

3）安全设备有：1台防火墙（过保）、WAF（过保）、2台ips（dmz区前IPS已过

保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系统、360天擎终端杀

毒（只具有杀毒模块）

4）存储设备：火星舱容灾备份

2.1.1.1网络系统现状

XXXXXX的网络系统整体构架采用三层层次化模型网络架构，即由核心层、汇

聚层和接入层组成。

网络现状：

核心、层：核心、层是网络的高速交换主干，对整个网络的连通起到至关重

要的作用。XXXXXX内网核心，由1台DPX安全业务网关组成。

页脚内容

某化工厂开展安全检杳的方案

汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站接入核心层

前先做汇聚，以减轻核心层设备的负荷。xxxxxx内网中，由迪普和H3c交换机作

为内网的有线汇聚和内网的无线汇聚交换机。

接入层：接入层向本地网段提供工作站接入。xxxxxx内网网络中，由各种品

牌的交换机作为终端前端接入交换机，为各区域提供接入。

在DPX核心交换机上划分VLAN和网关，整体网络中部署了防病毒网关、

IPS、UAG、DDL数据容灾备份系统。0A系统连接至无线汇聚交换机°其他各系统

旁路至核心、交换机上。

安全现状：

在整体网络中部署有相应的安全设备做安全防护，但部分安全设备过保，整

体网络安全防护体系不够完善、区域划分不合理，现状拓扑图如下：

图表1现状拓扑图

2.1.1.2主机系统现状

xxxxxx的业务系统0A、文件交换箱等，部署于多台服务器上。

服务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置，并进行标识

区分。服务器操作系统全都采用微软的WindowsServer

系列操作系统。

xxxxxx办公终端约为300台，win7为主，XP系统占少数，主

机系统没有进行过定期更新补丁，安装有360天擎杀毒软件

页脚内容

某化工厂开展安全检杳的方案

2.1.1.3应用系统现状

xxxxxx的应用系统主要为以下业务系统：0A、文件交换箱等。也包含一些

其他的办公软件。

2.2现状与差距分析

2.2.1物理安全现状与差距分析

xxxxxx机房建设过程中参照B级机房标准参考进行统一规划，存在的物理

安全隐患较少。但仍需参照以下标准进行核查、整改；根据信息安全等级保护

（第三级）中对物理安全相关项（防火、防雷、防水、防磁及电力供应等）存在

些许差距。详见下表差距分析。

图表2物理安全现状

序是否

现状分析备注

号要求指标项

符合

物埋位置的选择（G3）

本项要求包括：

a）机房和办公场地应

符合要

满足

选择在具有防震、防风和防

求

雨等能力的建筑内；

b）机房场地应避免设

符合要

在建筑物的高层或地F

满足

求

室，以及用水设备的下层或

隔壁。

物理访问控制（G3）2

本项要求包括：

页脚内容

某化工厂开展安全检杳的方案

序是否

现状分析备注

号要求指标项

符合

a）机房出入口应安排

不符合无相关记

不满足

专人值守，控制、鉴别和记

要求录

录进入的人员；

b）需进入机房的来访

有监控，

不符合

人员应经过申请和审批流

不满足但是没有申请和

要求

程，并限制和监控其活动范

审批流程

围；

c）应对机房划分区域

依据业务系统进行

进行管理.，区域和区域之间在重要区

基本符了机柜间的区域区分，但

设置物理隔离装置，在域前设置物理隔

合要求未在重要区域前设置物理

重要区域前设置交付或安装离装置。

隔离装置。

等过渡区域：

d）重要区域应配置电

符合要

子门禁系统，控制、鉴别和

基本满足

求

记录进入的人员。

防盗窃和防破坎（G3）

本项要求包括：

a）应将主要设备放置符合要

满足

在机房内：求

b）应将设备或主要部

3

符合要

件进行固定，并设置明显

满足

的不易除去的标记；求

页脚内容

某化工厂开展安全检杳的方案

C）应将通信线缆铺设

不符合有部分线

在隐蔽处，可铺设在地下不满足

要求缆架设在半空中

或管道中；

页脚内容

某化工厂开展安全检杳的方案

序是否

现状分析备注

号要求指标项

符合

d）应对介质分类标

符合要

识，存储在介质库或档案满足

求

室中；

e）应利用光、电等技

符合要

术设置机房防盗报警系满足

求

统；

f）应对机房设置监控符合要

满足

报警系统。求

防雷击（G3）

本项要求包括：

a）机房建筑应设置避符合要

满足

雷装置：求

1

b）应设置防雷保安符合要

满足

器，防止感应雷；求

C）机房应设置交流电符合要

满足

源地线。求

防火（G3）

本项要求包括：

a）机房应设置火灾自

基本符安装有气体灭火装

动消防系统，能够自利检测

合要求置

火情、自动报警，并自动火

火；

b）机房及相关的工作

符合要

满足

房间和辅助房应采用具有耐

求

火等级的建筑材料；

页脚内容

某化工厂开展安全检杳的方案

序是否

现状分析备注

号要求指标项

符合

C）机房应采取区域隔

不符合

不满足

离防火措施，将重要设备与

要求

其他设备隔离开。

防水和防潮（G3）

本项要求包括：

a）水管安装，不得穿

符合要

过机房屋顶和活动地板满足

求

下；

b）应采取措施防止雨

符合要

满足

水通过机房窗户、屋顶和墙

求

壁渗透；

c）应采取措施防止机

符合要

满足

房内水蒸气结露和地下积水

求

的转移与渗透：

d）应安装对水敏感的

符合要

满足

检测仪表或组件，对机房进

求

行防水检测和报警。

防静电（G3）

本项要求包括：

a）主要设备应采用必符合要

7

满足

要的接地防静电措施：求

b）机房应采用防静电符合要

满足

地板。求

温湿度控制（G3）8

本项要求包括：

页脚内容

某化工厂开展安全检杳的方案

序是否

现状分析备注

号要求指标项

符合

机房应设置温、湿度安装有动力环境监控

自动调节设施，使机房温、符合要系统，建议机房日常温度

湿度的变化在设备运行所允求控制在10〜28P,湿度30

许的范围之内。〜70%.

电力供应（A3）

本项要求包括：

a）应在机房供电线路

基本符

上配置稳压器和过电压防满足

合要求

护设备；

b）应提供短期的备用设置UPS电池供电，

电力供应，至少满足主要设符合要并至少保证断电时主要设

求

备在断电情况下的正常运行备在满负荷情况下4小时的

要求：正常运行。

c）应设置冗余或并行

不符合只有一条出口线，增加线

的电力电缆线路为计算机

要求极容易出现单点故障缆，做到冗余

系统供电；

符合要

）应建立备用供电系

d满足

求

纬

电磁防护（S3）

本项要求包括：

a）应米用接地方式防

1

符合要

止外界电磁干扰和设备寄

0满足

生耦合干扰；求

b）电源线和通信线缆符合要

满足

应隔离铺设，避免互相干求

页脚内容

某化工厂开展安全检杳的方案

序是否

现状分析备注

号要求指标项

符合

扰；

C）应对关键设备和磁符合要

满足

介质实施电磁屏蔽。求

页脚内容

某化工厂开展安全检杳的方案

2.2.2网络安全现状与差距分析

由于xxxxxx前期已经行相关安全建设，仍有相关安全防护建设不到位，主

要表现出以下问题点：

1.网络结构基本清晰，但细节规划不合理；

2.新增移动接入链路，

3.面对日益突增的网络安全事件缺乏有效防御手段及应急机制；

4.骨干网络架构规划不合理，核心交换区无冗余，安全防护区域划分不

明晰，不能对不同区域间防护措施、技术手段进行统一规划，不同区

域对恶意攻击的防范能力不一。

详见下表差距分析：

图表3网络安全现状

序是否

差距分析备注

号要求指标项

符合

结由安全（G3）

本项要求包括：

域网核心交换设

a）应保证主要网络备均采用单链路、单设

1

备，无冗余空间，一旦

设备的业务处理能力具备不符合域网核心设备至

出现设备故障则会出现

冗余空间，满足业务高峰要求少有二台，夹用多链路

单点故障，无法有效保

期需要：

障对外开放的业务安全

稳定的运

页脚内容

某化工厂开展安全检杳的方案

序是否

差距分析备注

号要求指标项

符合

行。

b）应保证网络各个

符合要

部分的带宽满足业务高峰满足

求

期需要：

C）应在业务终端与

符合要

业务服务器之间进行路由

满足

求

控制建立安全的访问路

径：

d）应绘制与当前运

我们会在工程结

不符合

行情况相符的网络拓扑结暂无拓扑图束后重新绘制网络拓扑

要求

构图；图。

e）应根据各部门的

整体网络结构中

工作职能、重要性和所涉

已按照需求进行子网划

及信息的重要程度等因

基本符分。但使用中存在混舌L,

素，划分不同的子网或网

合要求没有按规定使用。

段，并按照方便管理和控

待本次项目建设进行梳

制的原则为各子网、网段

理、严格限制

分配地址段；

页脚内容

某化工厂开展安全检杳的方案

序是否

差距分析备注

号要求指标项

符合

f）应避免将重要网

段部署在网络边界处且直

基本符

满足

接连接外部信息系统，重

合要求

要网段与其他网段之间采

取可靠的技术隔离手段；

访问控制（G3）

本项要求包括：

a）应在网络边奥部仅在dmz区部署建议在互联网出

不符合

署访问控制设备，启用访防火墙且防火墙已过口与服务器区前部署防

要求

间控制功能；保，其他区域未部署访火墙进边界隔离与访问控

问控制设备制

b）应能根据会诒状

态信息为数据流提供明确符合要

满足

的允许/拒绝访问的能求

力，控制粒度为端口级；

c）应对进出网络的

信息内容进行过滤，实现

符合要

对应用层HTTP、FTP、

满足

求

TELNET、SMTP、POP3

等协议命令级的控制；

d）应在会话处于非

符合要

活跃•定时间或会话结束满足

求

后终止网络连接：

e）应限制网络最大不符合未部署流量控制部署上网行为管

页脚内容

某化工厂开展安全检杳的方案

序是否

差距分析备注

号要求指标项

符合

流量数及网络连接数；要求理及流控

设备，无法根据所承载

的业务和带宽的实际情

况确定网络最大流量数

和网络连接数并进行管

理。

未部署访问控制

设备的区域无法采用包

过滤或传输控制协议，实现重要网段地

f）重要网段应采取不符合

进行边界访问控制，防址进行有效保护防止地

要求

技术手段防止地址欺骗；止地址欺骗，应对网络址欺骗。

中的广播、组播进行必

要的控制。

没有在服务器区

g）应按用户和系统

前和网络出口设置防火新增2台防火墙

之间的允许访问规则，决

不符合

墙、认证网关或授权管实现不同安全域之间的

定允许或拒绝用户对受控

要求

理系统，可对单个用户访问控制

系统进行资源访问，控制

的访问进行策略控制。

粒度为单个用户；

h）应限制具有拨号不符合

不涉及

访问权限的用户数量。要求

安全审计（G3）

本项要求包括：

3

a）应对网络系统中不符合有上网行为管理部署综合日志审

的网络设备运行状况、网要求设备（过保），但是计系统可对及自不同厂

页脚内容

某化工厂开展安全检杳的方案

序是否

差距分析备注

号要求指标项

符合

络流量、用户行为等进行

并没有办法对网络设备商的安全设备、网络设

日志记录；

运行状况H志记录，而备、主机、操作系统、数

部署综合安全F1志审计据库系统、用户业务系统

系统可对来自不同厂商的日志、警报等信息汇集

的安全设备、网络设到审计中心，实现综合安

备、主机、操作系统、全审计。

数据库系统、用户业务

系统的日志、警报等信

息汇集到审计中心，实

现综合安全审计。

b）审计记录应包

括：事件的日期和时间、

符合要

用户、事件类型、事件是满足

求

否成功及其他与审计相关

的信息；

c）应能够根据记录

不符合部署日志审计系

数据进行分析，并生成审不满足

要求统

计报表；

d）应对审计记录进安全审计日志记录要求保

符合要

满足

行保护，避免受到未预期存至少半年以上。

求

的涮除、修M或柏盖等,

边界完整性检专（S3）

4

本项要求包括：

页脚内容