信息安全等级保护(樊山)

1、信息安全等级保护 -为信息保驾护航,樊山,信息安全等级保护的目的,国际上计算机犯罪正以每年100%的速度增长。在Internet网上的黑客攻击事件也以每年10倍的速度在增长;计算机病毒从1998年发现首例以来,增长的速度呈几何级数。 据美国审计总署资料：世界上120余个国家已经或正在研究进入计算机网络的手段。1995年，入侵美国国防部计算机网络的事件多达25万次，其中65%（16.25万次）获得了成功。欧美等国金融机构的计算机网络被入侵的比例高达77%，我国近几年来计算机犯罪也以30%的速度在增长。国内90%以上的电子商务网站存在严重的安全漏洞。,信息安全等级保护的目的,信息安全等级保护实施步

2、骤,信息系统安全保护等级的划分与保护,信息系统安全保护等级的确定,备案和备案审核,信息系统安全建设整改、等级测评,备案审核,信息安全等级保护实施步骤,信息网络系统,系统1,系统2,系统3,系统4,受影响的客体 公民、法人和其他组织的合法权益； 社会秩序、公共利益；国家安全,侵害的程度 一般损害 严重损害 特别严重损害,信息安全等级保护测评方法和意义,等级测评和自查要求。 管理办法第十四条规定，信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据信息系统安全等级保护测评要求等技术标准，定期对信息系统安全等级状况开展等级测评。 第三级信息系统应当每年至少进行一

3、次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。 经测评或者自查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位应当制定方案进行整改。,信息安全等级保护测评方法和意义,信息系统安全等级保护测评要求,安全技术测评,安全管理测评,物理安全 网络安全 主机系统安全 应用安全 数据安全,安全管理机构 安全管理制度 人员安全管理 系统建设管理 系统运维管理,信息安全等级保护测评方法和意义,案例： 系统简述： 某省政府网站系统ZFWZ，用于发布政务公开信息、地方行政法规和管理措施、领导讲话、政府办事流程、新闻发布、政府公告、举报投诉、省内

4、经济形势介绍、电子表单下载等信息，服务对象主要是省内企业和市民。,信息安全等级保护测评方法和意义,ZFWZ系统等级确定过程： ZFWZ系统是省政府对社会办公的窗口，其中发布的信息内容代表政府形象和体现政府的社会管理和社会服务职能，因此该信息安全被破坏可能对社会秩序造成一定影响； 由于省政府网站的访问量并不很大，信息被篡改可能造成的不良社会影响不会很大，因此对社会秩序的侵害程度为一般损害；,信息安全等级保护测评方法和意义,3.查表知ZFWZ系统的业务信息安全保护等级为第二级，如下表所示。,信息安全等级保护测评方法和意义,4. ZFWZ系统为省内企业和市民提供政府信息查询和下载服务，其系统服务如果

5、不可用侵害的不是省政府本身的利益，而是公众获取公开信息的公众利益； 5.但由于没有必须通过网络才能够执行的办事流程，ZFWZ系统对服务实时性和服务质量要求不高，政务服务工作主要通过网络之外完成，网络仅提供相关信息和表单下载，网站不能提供服务对市民办事影响不大；,信息安全等级保护测评方法和意义,6.查表知ZFWZ系统的业务服务安全保护等级为第二级，如下表所示： 7. ZFWZ系统的安全保护等级为第二级。,信息安全等级保护测评方法和意义,测评实施 一、确定资产与边界（范围） 1、操作系统,信息安全等级保护测评方法和意义,2、网络设备,信息安全等级保护测评方法和意义,二、测评项目 安全技术测评包括：

6、物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面。 1、物理安全 物理位置的选择、物理访问控制、防盗窃和防破环、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护 测试方法：访谈、检查。,信息安全等级保护测评方法和意义,2、网络安全 结构安全与网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护,信息安全等级保护测评方法和意义,路由器/交换机 网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期需要； 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 应对进出网络的信息内容进行过滤，实现对应用层

7、协议命令级的控制； 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录； 安全审计应可以对特定事件提供指定方式的实时报警； 应对登录网络设备的用户进行身份鉴别； 应具有登录失败处理功能，如：结束会话、限制非法登录次数，当网络登录连接超时，自动退出； 测试方法：命令检查、配置界面、日志报表检查。,信息安全等级保护测评方法和意义,防火墙 应设计和绘制与当前运行情况相符的网络拓扑结构图； 应能根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用），为数据流提供明确的允许/拒绝访问的

8、能力； 应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制； 对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；,信息安全等级保护测评方法和意义,安全审计应可以根据记录数据进行分析，并生成审计报表； 安全审计应可以对特定事件，提供指定方式的实时报警； 审计记录应受到保护避免受到未预期的删除、修改或覆盖； 应在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生； 应对登录网络设备的用户进行身份鉴

9、别； 应对网络设备的管理员登录地址进行限制； 测试方法：命令检查、配置界面、日志报表检查。,信息安全等级保护测评方法和意义,3、主机系统安全 身份鉴别、自主访问控制、安全审计、系统保护、剩余信息保护、恶意代码防范、资源控制 4、应用安全 身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、软件容错、资源控制、代码安全 5、数据安全 数据完整性、数据保密性、数据备份和恢复,信息安全等级保护测评方法和意义,安全管理测评 安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面。 1、安全管理机构 岗位设置、人员配备、授权和审批、沟通和合作、审

10、核和检查 2、安全管理制度 管理制度、制定和发布、评审和修订 3、人员安全管理 人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人员访问管理,信息安全等级保护测评方法和意义,4、系统建设管理 系统定级、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、安全服务商选择 5、 系统运维管理 环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理,信息安全等级保护测评方法和意义,人员访谈 测试内容：针对组织内的安全管理人员、安全员、安全主管、工作人员、关键活

11、动批准人、管理人员（负责定期评审、修订和日常维护的人员）、机房值守人员、人事负责人、人事工作人员、审计员、网络管理员、文档管理员、物理安全负责人、系统管理员、系统建设负责人、系统运维负责人、资产管理员等不同类型岗位的人员访谈 测试方法：访谈相关人员 文档检查 测试内容：安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面的文档检查 测试方法 : 查看相关文件,信息安全等级保护测评方法和意义,信息安全等级保护测评方法和意义,信息安全等级保护测评方法和意义,在本次系统测评项目中需要配合的工作如下： 提供组织结构及人员职责分配表 提供系统网络管理员名单 提供各业务系统相应管理员

12、名单 填写信息系统安全需求调查表和信息系统基本信息调查报告 提供自评审计报告 提供系统各种业务应用网络拓扑和说明 提供安全管理制度、操作规程等相关文档，并配合管理测评的访谈、检查,信息安全等级保护测评方法和意义,提供被评估系统的设备、软件清单 协调系统相关人员填写调查表 对各业务系统的流程进行介绍 提供本地和远程测评系统的访问权限 为工具扫描测评提供适当的网络环境和权限 需要目标网络管理员对系统整体测评的配合 现场检查测试后在系统运行情况验证记录表上签字确认 相关人员协助评估，回答有关调查问卷和问题，参加确认协调会，对每一阶段测评结果书面确认 提供合适的会议室及办公环境供交流使用,建设信息安全的万里长城,2001年中美黑客大战 中美黑客大战升级两天之内700多家网站被黑 5月2日，红客联盟公布被黑美国站点的网站上，被“攻陷”的美国站点已