1、网络安全等级保护安全建设网络安全等级保护安全建设 -重要行业重要行业网络网络安全等级保护建设案例安全等级保护建设案例 目 录 一、重要行业信息化基本情况简介 二、网络安全等级保护建设思路 三、网络安全等级保护实践案例 四、建设实践经验小结 政府网络和信息系统建设 电子政务内外网建设 网站建设 重要信息系统建设 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。 电子政务外网【国家信息中心组织建设，政府使用，非涉
2、密网络，符合国家等级保护要求】 应用场景： 政务信息采集；政务信息传输；政府垂直性电子政务应用； 建设方提供安全环境，安全防护措施 访问场景： 政府单位国家-省-市-县的内部用户 各个政府单位之间的数据交互，统一的政务服务 主要威胁： 数据越权访问、信息泄漏、非法访问、病毒、木马、APT 政府电子政务网络的应用和威胁 电子政务内网【涉密网络、物理隔离，符合国家分级保护要求】 应用场景： 设计国家秘密的业务应用 各项安全控制严格按照涉密要求执行 主要威胁： 信息泄漏、数据丢失、数据越权访问、非法访问、病毒、木马 电磁泄漏、物理安全、社会工程 政府电子政务网络的应用和威胁 电子政务专网【政府自建，
3、非涉密网络，符合国家等级保护要求】 应用场景： 电子政务业务信息的采集、传输、使用、存储等，垂直性电子政务应用； 自建数据中心、安全防护措施 访问场景： 政府单位国家-省-市-县的内部用户 各种外部接入访问，来自其他单位的数据交互，与内网之间数据交互 主要威胁： 数据越权访问、信息泄漏、非法访问、病毒、木马、APT 自身的安全控制执行力度不够、策略失效、业务漏洞引发风险 政府电子政务网络的应用和威胁 金融、能源网络和信息系统 互联网【移动互联网、办公、企业ERP系统等】 业务内网【数据中心、灾备中心、核心业务等】 生产、工业控制网络【调度、生产】 报表平台基础系统CIF统一额度抵质押品管理管理
4、信息系统外联系统管理会计CRMALMIRB绩效考核数据仓库(DW,DM,ODS)总帐业务处理系统资金财富管理现金管理国际业务基金托管票据债券代理衍生品企业年金信贷登记咨询系统人民币帐户管理系统外币帐户管理系统Dealing3000MUREXSWIFTCFETS(本外币)信贷管理个人外汇买卖贷款支付结算卡系统存款EAI数据总线MBFE网银ATM/POS电话银行柜台代收付票据交换证券代销中央国债综合业务系统财务管理人力资源央行征信系统个人结售汇系统银行银行IT系统架构系统架构 示示 例例示示 例例示示 例例示示 例例通讯服务器通讯服务器 发电发电 用电用电 输电输电 变电变电 配电配电 RTU R
5、TU RTU 数据采集和传输数据采集和传输 应用服务器应用服务器 电电 网网 调调 度度 系统示意图 50.0Hz 49.8 50.2 发发 电电 用用 电电 示示 例例示示 例例示示 例例示示 例例安全建设与信息化发展相融合 目 录 一、重要行业信息化基本情况简介 二、网络安全等级保护建设思路 三、网络安全等级保护实践案例 四、建设实践经验小结 思路1：需求驱动，加固改造，缺什么补什么； 思路2：进行总体安全建设整改规划，系统化、体系化设计思路； 网络安全等级保护建设思路 思路1：以某网站为例安全建设 示示 例例示示 例例示示 例例示示 例例差距分析（基本要求+风险） 选择基本安全措施 评估
6、特殊风险 差距分析 编制方案 策略设计 措施实施 安全保护等级安全保护等级 安全需求类安全需求类 第一级第一级 L(1，1) 第二级第二级 L(1，2)，L(2，2)，L(2，1) 第三级第三级 L(1，3)，L(2，3)，L(3，3)，L(3，2)，L(3，1) 第四级第四级 L(1，4)，L(2，4)，L(3，4)，L(4，4)，L(4，3)，L(4，2)，L(4，1) 第五级第五级 L(1，5)，L(2，5)，L(3，5)，L(4，5)，L(5，5)，L(5，4)，L(5，3)，L(5，2)，L(5，1) 系统的安全保护等级：系统的安全保护等级： L (业务信息安全保护等级，系统服务安全
7、保护等级业务信息安全保护等级，系统服务安全保护等级) =Max(业务信息安全保护等级，系统服务安全保护等级业务信息安全保护等级，系统服务安全保护等级) 安全保护安全保护等级等级 基本基本保护要求的组合保护要求的组合 第一级第一级 S1A1G1 第二级第二级 S1A2G2，S2A2G2，S2A1G2 第三级第三级 S1A3G3 ， S2A3G3 ， S3A3G3 ， S3A2G3 ，S3A1G3 第四级第四级 S1A4G4 ， S2A4G4 ， S3A4G4 ， S4A4G4 ，S4A3G4，S4A2G4，S4A1G4 第五级第五级 S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A
8、5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5 应用层 SQL注入注入 身份身份 冒用冒用 溢出溢出 攻击攻击 数据数据窃取窃取 传输传输 窃听窃听 数据数据重放重放 主机层 弱口弱口令令 系统系统漏洞漏洞 病毒病毒入侵入侵 资源资源占用占用 黑客黑客攻击攻击 网络层 带宽带宽资源资源滥用滥用 非法非法接入接入 非法非法外联外联 区域区域混乱混乱 协议协议攻击攻击 中间中间人攻人攻击击 信息信息泄露泄露 物理层 断电断电 物理物理攻击攻击 非法非法进出进出 盗窃盗窃 火灾火灾 数据层 篡改篡改 非法非法访问访问 丢失丢失 泄露泄露 不可不可用用 计计算算环环境境 边边界界 网网
9、络络通通信信 安全管理 缺乏组织缺乏组织 缺乏流程缺乏流程 人员安全人员安全意识不足意识不足 缺乏过程控制缺乏过程控制 缺乏专业技能缺乏专业技能 缺乏安全监控缺乏安全监控 管理不到位管理不到位 风险评估 攻击思路与操作攻击思路与操作 预攻击阶段预攻击阶段 攻击阶段攻击阶段 后攻击阶段后攻击阶段 常规信息获取常规信息获取 漏洞扫描漏洞扫描 搜索引擎搜索引擎 社会工程学社会工程学 缓冲区溢出缓冲区溢出 口令猜测口令猜测 应用攻击应用攻击 特洛伊木马特洛伊木马 嗅探嗅探 密码破解密码破解 信息收集信息收集 端口扫描端口扫描 系统扫描系统扫描 应用扫描应用扫描 远程溢出远程溢出 本地溢出本地溢出 SQ
10、L注入注入 跨站脚本跨站脚本 CGI漏洞漏洞 WEBSHELL 系统后门系统后门 Rootkit 网页木马网页木马 渗透测试 主要安全问题（例） 非工作时间出故障，应急响应不够迅速非工作时间出故障，应急响应不够迅速 缺乏对数据安全的考虑，备份数据的保护措施弱缺乏对数据安全的考虑，备份数据的保护措施弱 防篡改系统防护能力差防篡改系统防护能力差 对主机及其应用防护较少对主机及其应用防护较少 网络结构简单，安全架构不完整网络结构简单，安全架构不完整 应用程序和组件安全待加强 SQL注入 跨站漏洞 链接注入 应用关键风险应用关键风险 20 安全技术解决方案计算环境保护 信息采编子系统信息采编子系统 安
11、管子系统安管子系统 信息审核及监管子系统信息审核及监管子系统 冗灾子系统冗灾子系统 Internet WEB 网页防篡改系统网页防篡改系统 防病毒系统防病毒系统 入侵检测系统入侵检测系统 入侵检测系统入侵检测系统 入侵检测系统入侵检测系统 信息发布子系统信息发布子系统 安全扫描系统安全扫描系统 示示 例例示示 例例示示 例例示示 例例安全技术解决方案边界保护 信息发布子系统信息发布子系统 信息采编子系统信息采编子系统 安管子系统安管子系统 信息审核及监管子系统信息审核及监管子系统 冗灾子系统冗灾子系统 Internet 在信息发布子系统边界在信息发布子系统边界部署防部署防DOS攻击系统攻击系统
12、 在各网络边界部署双在各网络边界部署双机热备防火墙系统机热备防火墙系统 示示 例例示示 例例示示 例例示示 例例安全技术解决方案支撑性基础设施 信息采编子系统信息采编子系统 安管子系统安管子系统 信息审核及监管子系统信息审核及监管子系统 冗灾子系统冗灾子系统 Internet WEB 建立基于建立基于PKIPKI的的CACA中心中心 安全管理中心安全管理中心 信息发布子系统信息发布子系统 示示 例例示示 例例示示 例例示示 例例安全技术解决方案数据备份 信息发布子系统信息发布子系统 信息采编子系统信息采编子系统 安管子系统安管子系统 信息审核及监管子系统信息审核及监管子系统 冗灾子系统冗灾子系
13、统 Internet SAN SAN 盘盘 阵阵 盘盘 阵阵 集中数据备份系统集中数据备份系统 在各子系统分别建立数据备份系统在各子系统分别建立数据备份系统 同时建立异地冗灾系统同时建立异地冗灾系统 示示 例例示示 例例示示 例例示示 例例思路2：系统化、体系化安全建设 安全管理中心安全管理中心安全管理中心安全管理中心风险管理体系风险管理体系安全管理体系安全管理体系安全技术体系安全技术体系网络信任体系网络信任体系国家信息安全等级保护政策标准体系国家信息安全等级保护政策标准体系国家网络安全法律法规政策体系国家网络安全法律法规政策体系网络安全战略规划目标网络安全战略规划目标网络安全战略规划目标网络
14、安全战略规划目标通信网络通信网络区域边界区域边界计算环境计算环境组织管理组织管理机制建设机制建设安全监测安全监测通报预警通报预警应急处置应急处置态势感知态势感知能力建设能力建设国家信息安全等级保护制度国家信息安全等级保护制度技术检测技术检测安全可控安全可控队伍建设队伍建设教育培训教育培训经费保障经费保障安全规划安全规划网络安全综合防御体系网络安全综合防御体系网络基础设施网络基础设施、信息系统信息系统、大数据大数据、物联网物联网云平台云平台、工控系统工控系统、移动互联网移动互联网、智能设备等智能设备等等级保护对象等级保护对象总体安全策略总体安全策略定级备案定级备案安全建设安全建设等级测评等级测评
15、安全整改安全整改监督检查监督检查举例1：某部安全体系设计 管理体系管理体系 技术体系技术体系 运行体系运行体系 安全管安全管 理中心理中心 安全计算环境安全计算环境 安全区域边界安全区域边界 安全网络边界安全网络边界 信息安全体系框架 信息信息安全安全管理管理体系体系 信息信息安全安全技术技术体系体系 信息信息安全安全运行运行体系体系 组织机构组织机构 人员安全人员安全 制度标准制度标准 抗抵赖抗抵赖 标识标识鉴别鉴别 审计审计 访问控制访问控制 通信保护通信保护 威胁检测威胁检测 弱点加固弱点加固 备份恢复备份恢复 数据数据保护保护 密码技术密码技术 决策决策-管理管理-执行执行-监督监督
16、资源资源管理管理 状态检测状态检测 防恶技术防恶技术 物理技术物理技术 意识意识-技能技能-职称职称-培训培训-考核考核 方针策略方针策略-制度规范制度规范-流程表单流程表单 监控监测监控监测 内容安全内容安全 日常运行管理日常运行管理 配置配置管理管理 变更变更管理管理 问题问题管理管理 事件事件管理管理 风险风险管理管理 监督监督检查检查 介质介质管理管理 环境环境管理管理 应急应急响应响应 运行运行监控监控 审计审计 安全管理中安全管理中心心 制定制定 发布发布 评审评审 修订修订 录用录用 离岗离岗 考核考核 教育教育 人员人员 授权授权 沟通沟通 检查检查 岗位岗位 物理 网络 主机
17、 应用 数据 系系统统建建设设 系系统统运运维维 安全计算环境安全计算环境 安全区域边界安全区域边界 安全网络通信安全网络通信 安安全全工工作作管管理理 安全保护对象安全保护对象 定级定级备案备案 设计设计开发开发 实施实施测试测试 验收验收交付交付 服务服务商商 信息安全体系信息安全体系 安全目标、总体安全策略安全目标、总体安全策略 抗抵赖抗抵赖 标识标识鉴别鉴别 弱点加固弱点加固 密码技术密码技术 状态检测状态检测 防恶技术防恶技术 监控监测监控监测 内容安全内容安全 测评测评检查检查 统统一一技技术术管管理理 安安全全运运维维管管理理 示示 例例示示 例例示示 例例示示 例例整体建设效果
18、 信息安全组织信息安全组织 健全安全组织健全安全组织 加强人员管理加强人员管理 提高安全意识提高安全意识 信息安全制度信息安全制度 文件化方针、策略、要求、流程、规范文件化方针、策略、要求、流程、规范 执行过程记录化执行过程记录化 信息安全运行信息安全运行 以风险管理的理念和持以风险管理的理念和持续改进的模式为基础，续改进的模式为基础，涵盖系统运维和系统建涵盖系统运维和系统建设两大体系的安全管理设两大体系的安全管理运行。运行。 信息安全技术信息安全技术 多层次（数据、应用、系统、网络和物理）多层次（数据、应用、系统、网络和物理） 全方位（认证、授权、审计、备份、恢复）全方位（认证、授权、审计、
19、备份、恢复） 身份身份 认证认证 访问访问 控制控制 监控监控 审计审计 备份备份 恢复恢复 内容内容 安全安全 四级制度 三级制度 二级制度 一级制度 方针、策略方针、策略 制度、规范、流程制度、规范、流程 指南、细则、指导书指南、细则、指导书 记录、表单记录、表单 组织组织 意识意识 制定制定 遵从遵从 指导指导 支持支持 使用使用 岗位职责流程岗位职责流程 举例2：某金融依据等级保护设计安全保障体系框架 示示 例例示示 例例示示 例例示示 例例信息安全技术身份认证数据安全数据机密性保护数据恢复访问控制内容安全监控审计备份恢复数据防泄漏数据存储介质安全数据备份应用安全用户名密码数字证书CA
20、应用程序访问控制数据库安全防护应用系统内置的授权管理系统安全系统安全内容的访问控制操作系统的安全特性网络安全物理安全IC卡监控摄像物理环境监控信息安全组织与人员管理信息安全组织架构信息安全角色与职责人员安全管理第三方安全管理安全教育与培训合作与沟通信息安全制度安全方针与准则安全标准与规范安全指南与细则信息安全运行信息安全治理安全战略规划安全合规遵从安全风险管理数据及文档安全管理物理环境安全管理设备管理网络安全管理系统安全管理安全监控恶意代码防范管理密码管理变更管理业务连续性管理响应与恢复信息安全审计项目立项安全管理产品采购与使用外包软件安全控制安全需求分析安全方案设计供应商选择自行软件开发实施
21、安全控制系统安全检测和验收交付和运行防篡改技术加密技术SSLPKIWEB防护技术源代码安全控制应用系统日志监控数据库安全审计应用程序、数据库的备份与复制统一信任平台用户名密码数字证书CA用户名密码数字证书CA一次性口令文件加密技术主机入侵防护HIPS主机恶意代码防范系统完整性审计系统安全审计主机安全扫描加固远程数据与日志备份本地数据与日志备份安全运营中心（日志审计、关联分析、结果呈现）链路、设备冗余磁盘阵列的数据备份防火墙VPN安全域网络接入控制统一威胁管理访问控制列表流量清洗Voip防护技术传输安全防病毒网关网络入侵防护NIPS防垃圾邮件网络安全扫描网络行为监控网络入侵检测协议分析网络设备监
22、控生物特征机房安全介质安全建筑安全灾备中心办公环境安全系统运维安全管理系统建设安全管理文档权限管理 安全保障框架 治理 组织 制度 技术 运行 举例2：某金融依据等级保护设计安全保障体系框架 示示 例例示示 例例示示 例例示示 例例密密 码码 术术 备备份份 与与 容容灾灾 标标识识 与与 鉴鉴别别 系系统统 保保护护 检检测测 监监控控 访访问问 控控制制 审审计计 跟跟踪踪 数据安全数据安全 信息安全技术控制信息安全技术控制 人人 员员 第第三三方方访访问问 系系统统建建设设 系系统统运运维维 物物理理环环境境 信息安全运作控制信息安全运作控制 信息系统等级划分信息系统等级划分 信息安全控
23、制信息安全控制 信息安全服务架构信息安全服务架构 威胁与脆弱性威胁与脆弱性 管理服务管理服务 容灾备份容灾备份服务服务 安全信息与安全信息与 事件管理服务事件管理服务 身份及访问控身份及访问控制管理服务制管理服务 IT IT基础设施安全架构基础设施安全架构 网络安全模型网络安全模型 应用安全架构应用安全架构 应用安全开发模型应用安全开发模型 信息安全技术信息安全技术 信息安全管理信息安全管理 信息安全信息安全组织组织 信息安全意识提升信息安全意识提升、 技能培训和专业教育技能培训和专业教育 信息安全监督检查和改进信息安全监督检查和改进 响应响应 恢复恢复 运行运行 监控监控 控制控制 实施实施
24、 需求需求 分析分析 信息安全风险管理信息安全风险管理 信息安全流程信息安全流程 实施细则和实施细则和 操作规程操作规程 管理办法管理办法 标准规范标准规范 信息安全制度信息安全制度 角色模型角色模型 领导角色领导角色 协调角色协调角色 分析角色分析角色 运行角色运行角色 信息安全管理架构为推广和落实信息安全控信息安全管理架构为推广和落实信息安全控制架构建立了管理环境和流程基础制架构建立了管理环境和流程基础。信息安信息安全控制本身也是信息安全风险管理的成果全控制本身也是信息安全风险管理的成果。 信息安全管理架构是实现信息安全技术架构的保信息安全管理架构是实现信息安全技术架构的保障障。信息安全技
25、术架构实现的信息安全基础设施信息安全技术架构实现的信息安全基础设施和服务反过来支持信息安全流程的改进和优化和服务反过来支持信息安全流程的改进和优化。 信息安全控制信息安全控制对信息安全技对信息安全技术提出要求术提出要求。信息安全技术信息安全技术是信息安全技是信息安全技术控制的物质术控制的物质实现实现。 举例3：某企业依据等级保护设计安全体系框架 示示 例例示示 例例示示 例例示示 例例1、安全建设要点 依据信息系统安全等级保护基本要求 参照信息系统等级保护安全设计技术要求 引入“安全域”的概念，强化访问控制 安全技术控制策略 安全管理控制策略 第一级系统安全保护环境第一级安全通信网络第一级安全
26、区域边界第一级安全计算环境第二级系统安全保护环境第二级安全管理中心第二级安全通信网络第二级安全区域边界第二级安全计算环境第三级系统安全保护环境第三级安全管理中心第三级安全通信网络第三级安全区域边界第三级安全计算环境第四级系统安全保护环境第四级安全管理中心第四级安全通信网络第四级安全区域边界第四级安全计算环境第五级系统安全保护环境第五级安全管理中心第五级安全通信网络第五级安全区域边界第五级安全计算环境 定级系统互联跨定级系统安全管理中心/安全互联部件2、安全域划分（参考） 网络的层次划分方法网络的层次划分方法 电子政务内网电子政务内网 电子政务外网电子政务外网 业务专网（广域网）业务专网（广域网
27、） 互联网互联网 安全域的宏观划分安全域的宏观划分 安全计算域安全计算域 安全用户域安全用户域 安全网络域安全网络域 （接入域、交换域、核（接入域、交换域、核心域）心域） 2、安全域划分（参考） 按照应用的通信过程划分：按照应用的通信过程划分： 接入区接入区 交换区交换区 用户区用户区 服务器区服务器区 管理区管理区 按照业务数据的流转路径按照业务数据的流转路径划分划分 存储区存储区 前置区前置区 终端区终端区 备份区备份区 总部服务器总部服务器 核心交换核心交换 路由器路由器 广域网广域网 路由器路由器 备份服务器备份服务器 路由器路由器 终端终端 2、打好“安全域”地基，可有效促进安全控制
28、策略设计和措施实施 实施统一的访问控制策略 实施统一的安全监测审计策略 实施统一的安全控制策略 “确保信息和信息系统的可用性、完整性、可认证性、保密性和不可确保信息和信息系统的可用性、完整性、可认证性、保密性和不可否认性的保护和防范活动。它包括了以综合保护、检测、反应能力否认性的保护和防范活动。它包括了以综合保护、检测、反应能力来提供信息系统的恢复。”来提供信息系统的恢复。” -1996年美国国防部（年美国国防部（ DoD）国防部令）国防部令S-3600.1 3、信息安全保障体系模型参考1 IATF信息安全保障体系结构模型信息安全保障体系结构模型 ITIT服务规划和实施服务规划和实施 业业务务
29、 技技术术 业务管理业务管理 服务管理服务管理 服务支持服务支持 服务提供服务提供 ITIT基础架构基础架构 安全管理安全管理 应用管理应用管理 相关方相关方 信息安全信息安全 要求和期望要求和期望 相关方相关方 管理的管理的 信息安全信息安全 建立建立ISMSISMS 实施实施和和 运作运作ISMSISMS 维护维护和和 改进改进ISMSISMS 监控和监控和 评审评审ISMS 计划计划 PLAN 开发开发、维护维护 和改进循环和改进循环 检查检查CHECK 实施实施 DO 改进改进 ACTION 3、信息安全保障体系模型参考2 PDR安全保障体系结构模型安全保障体系结构模型 3、信息安全保
30、障体系模型参考3 3、信息安全保障体系模型参考3 WPDRRC信息安全保障体系结构模型信息安全保障体系结构模型 我国我国“ “八六三八六三” ”信息安全专家信息安全专家组提出的适合中国国情的信组提出的适合中国国情的信息系统安全保障体系建设模息系统安全保障体系建设模型型，WPDRRCWPDRRC模型有模型有6 6个环个环节和节和3 3大要素大要素。6 6个环节包括个环节包括预警预警（WW）、）、保护保护（P P）、）、检测检测（D D）、）、响应响应（R R）、）、恢恢复复（R R）和反击和反击（C C），它们它们具有较强的时序性和动态性具有较强的时序性和动态性，能够较好地反映出信息系统能够较好
31、地反映出信息系统安全保障体系的预警能力安全保障体系的预警能力、保护能力保护能力、检测能力检测能力、响应响应能力能力、恢复能力和反击能力恢复能力和反击能力。3 3大要素包括人员大要素包括人员、策略和策略和技术技术，人员是核心人员是核心，策略是策略是桥梁桥梁，技术是保证技术是保证 3、信息安全保障体系模型参考4 1. “防御能力” 是指一系列策略集、产品和服务可以用于防御攻击。其关键目标是通过减少被攻击面来提升攻击门槛，并在受影响前拦截攻击动作。 2. “检测能力”用于发现那些逃过防御网络的攻击，其关键目标是降低威胁的“停留时间”以减少威胁造成的损害。检测能力非常关键，因为企业应该假设自己已处在被
32、攻击状态中。 3. “响应能力”用于高效调查和修复检测功能(或外部服务)发现的问题，以提供入侵取证和攻击来源分析，并产生新的预防措施以避免未来时间发生。 4. “预测能力”使安全企业可从外部监控黑客行动，主动预测针对现有系统和数据的新型攻击，主动评估风险并确定优先级。威胁情报将反馈到防御和检测环节，从而构成整个处理流程的闭环。 第一级：防护 第二级：防护、检测 第三级：策略、防护、检测、恢复 第四级：策略、防护、检测、恢复、响应 4、注意网络安全等级保护能力建设 5、形成分阶段工作或项目规划 根据安全现状分析和总体架构设计根据安全现状分析和总体架构设计，在合理设计项目的基础上在合理设计项目的基
33、础上，进行项目的依赖关系和优先级分析进行项目的依赖关系和优先级分析，从而得出项目群实施蓝图从而得出项目群实施蓝图。 项目依赖关系项目依赖关系 信息安全项目群实施蓝图信息安全项目群实施蓝图 项目重要性项目重要性 项目输入输项目输入输出关系出关系 项目紧迫性项目紧迫性 项目优先级项目优先级 项目重要性项目重要性实实施施紧紧迫迫性性中中高高ISTIST- -2 2网络安全域实网络安全域实施施高高ISCISC - -1 1信息安全制度与信息安全制度与标准完善标准完善ISCISC - -2 2基础设施安全基础设施安全配置规范开发配置规范开发ISMISM - -3 3风险评估能力风险评估能力建设建设ISM
34、ISM - -2 2信息安全运行信息安全运行能力建设能力建设ISMISM - -1 1信息安全组织信息安全组织完善完善ISTIST- -1 1身份管理与认证身份管理与认证ISTIST- -5 5信息安全运行信息安全运行中心中心ISCISC - -3 3应用系统安全应用系统安全合规性实施合规性实施较较高高较高较高ISTIST- -4 4系统灾难恢复系统灾难恢复ISTIST- -3 3桌面安全管理桌面安全管理编号编号项目项目ISM-1 信息安全组织完善ISM-2信息安全运行能力建设ISM-3 风险评估能力建设4 44 44 4ISC-2基础设施安全配置规范开发3ISC-3应用系统安全合规性实施IS
35、T-1身份管理与认证IST-2网络安全域实施IST-3桌面安全管理IST-4系统灾难恢复IST-5信息安全运行中心4 45 55 51 12 23 36 63 31 12 21 12 23 34 41 12 23 34 423 33 33 315 553 31 11 12 22 26 62 2ISC-1信息安全制度与标准完善1 12 21 13 31 12 2Q2Q3Q2Q120112010Q2Q3Q4Q4Q1Q4Q3Q4Q1200720082009Q1Q2Q3Q4Q1Q2Q36、等保对照安全产品选择（参考） 等级保基本要求与等级保基本要求与安全产品对应安全产品对应关系关系 等级保护要求等级保
36、护要求 控制要求控制要求 等保三级所需产品等保三级所需产品 实现机制（其他措施）实现机制（其他措施） 物理安全 位置、物理访问控制、防盗、防破坏、防雷击、防火、防潮、防静电、温湿度控制、电力供应、电磁防护 门禁 监控报警系统 避雷装置 消防 水敏感检测仪 防静电设施 双路供电 UPS、备用发电系统 电磁屏蔽 机房建设 区域划分、边界隔离、进出访问控制策略等 网络安全 结构安全 带宽管理、SSLVPN/IPSecVPN 路由器、交换机、负载均衡 网络、安全集成 安全域 网络安全策略 网络安全配置实施（限制IP地址） 访问控制 防火墙、IPS/IDS 安全审计 网络安全审计 日志审计 边界完整性检
37、查 终端安全管理 入侵防范 IDS 恶意代码防范 防病毒系统、防病毒网关 网络设备防护 网络设备安全配置 三级：三级： 7373个控制点个控制点 290290控制项控制项 6、等保对照安全产品选择（参考） 等级保基本要求与等级保基本要求与安全产品对应安全产品对应关系关系 等级保护要求等级保护要求 控制要求控制要求 等保三级所需产品等保三级所需产品 实现机制（其他措施）实现机制（其他措施） 主机安全 身份鉴别 主机核心防护 包括数据库安全 访问控制 主机核心防护 主机、数据库安全加固 安全审计 终端、服务器、数据审计系统 剩余信息保护 数据库审计系统（NBA） 入侵防范 主机核心防护、主机入侵检
38、测 恶意代码防范 防病毒 资源控制 网管系统 应用安全 身份鉴别 动态令牌、CA 应用开发 编码规范、安全编码 应用安全功能 安全审计 应用系统日志审计 访问控制、剩余信息保护 通信完整性、通信保密性、 抗抵赖、软件容错、资源控制 主要功能需要应用系统开发商解决 数据与备份安全 数据完整性 网页防篡改 异地备份和恢复策略 数据保密性 SSH、VPN、MD5等 备份和恢复 异地备份 公有云 安全 私有云 管控 大数据 安全分析 威胁通知 云WAF 抗DDoS CDN加速 漏洞扫描 舆情监控 日志存储 日志分析 数据对比 攻击溯源 网络取证 Web攻击防护 CC攻击防护 业务可用性监控 内网流量监
39、控 服务器安全加固 6、产品选择结合新技术（参考） 7、安全管理体系建立和落实 安全管理体系 安全管理目标和安全策略 各类安全管理制度、规范 各类安全操作规程 各类操作过程记录表格 安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理共计X个管理制度 安全产品配置、运维规范共计X个技术规范 相关配套表格X个 一级一级 二级二级 三级三级 四级四级 安全管理机构安全管理机构 岗位说明书 岗位说明书 岗位说明书 岗位说明书 安全组织体系文件 安全组织体系文件 安全检查管理规定 安全检查管理规定 安全管理制度安全管理制度 安全方针 安全方针 安全策略 安全策略 安全管理制度体系文件
40、安全管理制度体系文件 安全管理制度编写及维护规范 安全管理制度编写及维护规范 保密安全管理规定 人员安全人员安全 人员安全管理规定 人员安全管理规定 人员安全管理规定 人员安全管理规定 安全考核管理规定 安全考核管理规定 安全培训教育管理规定 安全培训教育管理规定 安全培训教育管理规定 第三人员安全管理规定 第三人员安全管理规定 第三人员安全管理规定 系统建设管理系统建设管理 等级保护安全管理规范 等级保护安全管理规范 等级保护安全管理规范 等级保护安全管理规范 风险评估管理规范 风险评估管理规范 风险评估管理规范 风险评估管理规范 软件开发管理规定 软件开发管理规定 软件开发管理规定 软件开
41、发管理规定 IT外包管理规定 IT外包管理规定 IT外包管理规定 IT外包管理规定 工程安全管理规定 工程安全管理规定 产品采购安全管理规定 产品采购安全管理规定 产品采购安全管理规定 服务商安全管理规定 服务商安全管理规定 服务商安全管理规定 服务商安全管理规定 运维管理运维管理 机房管理制度 机房管理制度 机房管理制度 机房管理制度 办公环境安全管理规定 办公环境安全管理规定 办公环境安全管理规定 资产安全管理制度 资产安全管理制度 资产安全管理制度 设备安全管理规定 设备安全管理规定 设备安全管理规定 设备安全管理规定 介质安全管理规定 介质安全管理规定 介质安全管理规定 介质安全管理规
42、定 运行维护安全管理规范 运行维护安全管理规范 运行维护安全管理规范 运行维护安全管理规范 网络安全管理规定 网络安全管理规定 网络安全管理规定 网络安全管理规定 系统安全管理规定 系统安全管理规定 系统安全管理规定 系统安全管理规定 防病毒安全管理规定 防病毒安全管理规定 防病毒安全管理规定 防病毒安全管理规定 密码使用管理制度 密码使用管理制度 密码使用管理制度 密码使用管理制度 变更管理制度 变更管理制度 变更管理制度 变更管理制度 备份与恢复管理规定 备份与恢复管理规定 备份与恢复管理规定 备份与恢复管理规定 安全事件管理制度 安全事件管理制度 安全事件管理制度 安全事件管理制度 应急
43、预案管理制度 应急预案管理制度 应急预案管理制度 业务风险控制业务风险控制 业务业务 应用应用 主机主机 组件组件 应用平台应用平台 网络网络 业务安全需求业务安全需求 安全功能实现安全功能实现 数据库数据库 功能组件功能组件 支撑安全支撑安全 功能实现功能实现 安全安全 软件环境软件环境 安全边界安全边界 安全传输通道安全传输通道 业务业务风险风险 保护保护策略策略 信息信息系统系统 保护保护策略策略 整体整体 保护保护策略策略 程序程序安全安全 组件组件安全安全 主机安全主机安全 网络安全网络安全 8、设计和落实整体安全策略 “一个中心、三重防护”为指导思想，进行整体设计 重点突出安全计算
44、环境设计、安全区域边界设计和安全通信网络设计三个环节，加强安全管理中心建设（信息系统等级保护安全设计技术要求） 实现基于安全策略模型和标记的强制访问控制以及增强的系统审计机制 强化信息维护和系统维护人员终端的现有操作系统的安全机制，增加强制访问控制，防止非授权用户访问和授权用户越权访问 8、强化访问控制策略 8、落实控制策略（纵深防御） 业务用户业务用户登录界面登录界面/帐号帐号/验证验证 管理员登管理员登录界面录界面/帐帐号号/验证验证 数据库帐数据库帐号号/验证验证 组件调用组件调用协议协议/帐号帐号/验证验证 系统运行系统运行服务帐号服务帐号/验证验证 网络访问网络访问控制控制 目 录
45、一、重要行业信息化基本情况简介 二、网络安全等级保护建设思路 三、网络安全等级保护实践案例 四、建设实践经验小结 某工程同步落实国家等级保护某工程同步落实国家等级保护工作实践案例分享工作实践案例分享 确保安全 业务业务 安全安全 适度适度安全安全 整体整体安全安全 法法律律法法规规 政政策策要要求求 国国家家标标准准 国国际际标标准准 如何把安全落实到工程中的各环节 业务安全业务安全 安全保障框架安全保障框架 业务系统安全业务系统安全 安全策略安全策略 应用平台及应用平台及组件安全组件安全 主机系主机系统安全统安全 系统管理系统管理 安全产品安全产品 网络基础设施网络基础设施安全安全 网络管理
46、网络管理 ? 理则不乱 理则不乱 “结构化”分析 业务业务 应用应用 组件组件 主机主机 网络网络 系统架构层视角系统架构层视角 安全架构视角安全架构视角 业务系统视角业务系统视角 落实等级保护政策要求，分析安全风险 与等级保护三级基本要求比较-技术 051015202530354045物理安全网络安全主机安全应用安全数据安全图表标题图表标题控制要求（满足）控制要求（不完全满足）等级保护安全技术基本要求 物理安全物理安全 网络安全网络安全 主机安全主机安全 应用安全应用安全 数据安全数据安全 物理位置的物理位置的选择选择 物理物理访问控访问控制制 防盗窃和防防盗窃和防破坏破坏 防雷击防雷击 防
47、火防火 防水和防潮防水和防潮 防静电防静电 温湿度控制温湿度控制 电力供应电力供应 电磁防护电磁防护 结构安全结构安全 访问控制访问控制 安全审计安全审计 边界完整性边界完整性检查检查 入侵防范入侵防范 恶意代码防恶意代码防范范 网络设备防网络设备防护护 身份鉴别身份鉴别 访问控制访问控制 安全审计安全审计 剩余信息保剩余信息保护护 入侵防范入侵防范 恶意代码防恶意代码防范范 资源控制资源控制 身份鉴别身份鉴别 访问控制访问控制 安全审计安全审计 剩余信息保剩余信息保护护 抗抵赖抗抵赖 通信完整性通信完整性 通信保密性通信保密性 软件容错软件容错 资源控制资源控制 数据完整性数据完整性 数据保
48、密性数据保密性 备份和恢复备份和恢复 访问控制访问控制 身份鉴别身份鉴别 访问控制访问控制 备份和恢复备份和恢复 与等级保护三级基本要求比较-管理 020406080安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理控制项控制要求（满足）等级保护安全管理基本要求 安全管理制度安全管理制度 安全管理机构安全管理机构 人员安全管理人员安全管理 系统建设系统建设管理管理 系统运维系统运维管理管理 管理制度管理制度 制定和发布制定和发布 评审和修订评审和修订 沟通和合作沟通和合作 审核和检查审核和检查 授权和审批授权和审批 岗位设置岗位设置 人员配备人员配备 安全意识教安全意识教育和培训育和
49、培训 外部人员访外部人员访问管理问管理 人员考核人员考核 人员录用人员录用 人员离岗人员离岗 外包软件开外包软件开发发 工程实施工程实施 测试验收测试验收 系统交付系统交付 产品采购和产品采购和使用使用 系统定级系统定级 安全方案设安全方案设计计 自行软件开自行软件开发发 系统备案系统备案 环境管理环境管理 资产管理资产管理 介质管理介质管理 等级测评等级测评 安全安全服务服务商选商选择择 网络安全管网络安全管理理 系统安全管系统安全管理理 恶意代码防恶意代码防范管理范管理 设备管理设备管理 监控管理和安监控管理和安全管理中心全管理中心 密码管理密码管理 变更管理变更管理 备份与恢复备份与恢复
50、管理管理 安全事件处安全事件处置置 应急预案管应急预案管理理 信息安全管理关键风险 组织 制度 人员 建设 运维 管理制度所覆盖的管理内容不全面，管理制度所覆盖的管理内容不全面，整整个网络的安全规范内缺乏一套整的安全策个网络的安全规范内缺乏一套整的安全策略、监控和防范管理制度，在制度方面缺略、监控和防范管理制度，在制度方面缺乏必要的约束乏必要的约束 信息安全组织职责界定不清楚，人员具信息安全组织职责界定不清楚，人员具有一定安全意识，但未与本职工作相结合有一定安全意识，但未与本职工作相结合 未执行安全技能及安全认知的考核未执行安全技能及安全认知的考核 没有对安全教育和培训进行书面规定，没有对安全
