三级等保安全建设专项方案.docx

目录 TOC \o 1-3 \h \z \u 三级等保安全设计思路 2 1、?保护对象框架 2 2、?整体保障框架 2 3?、安全措施框架 3 4、?安全区域划分 4 5、?安全措施选择 5 6、需求分析 6 6.1、?系统现状 6 6.2、?现有措施 6 6.3?具体需求 6 6.3.1?等级保护技术需求 6 6.3.2?等级保护管理需求 7 7、安全策略 7 7.1?总体安全策略 7 7.2?具体安全策略 8 8、?安全解决方案 8 8.1?安全技术体系 8 8.1.1?安全防护系统 8 8.2?安全管理体系 8 9、安全服务 8 9.1?风险评估服务 9 9.2?管理监控服务 9 9.3?管理咨询服务 9 9.4?安全培训服务 9 9.5?安全集成服务 9 10、?方案总结 10 11、产品选型 11 三级等保安全设计思绪 1、?保护对象框架 ? 保护对象是对信息系统从安全角度抽象后描述方法，是信息系统内含有相同安全保护需求一组信息资产组合。? 依据信息系统功效特征、安全价值和面临威胁相同性，信息系统保护对象可分为计算区域、区域边界、网络基础设施、安全方法四类。具体内容略。? 建立了各层保护对象以后，应根据保护对象所属信息系统或子系统安全等级，对每一个保护对象明确保护要求、布署适用保护方法。 ? 保护对象框架示意图以下： ?图1.?保护对象框架示意图 2、?整体保障框架 就安全保障技术而言，在体系框架层次进行有效组织，理清保护范围、保护等级和安全方法关系，建立合理整体框架结构，是对制订具体等级保护方案关键指导。 依据中办发[20XX]27号文件，“坚持主动防御、综合防范方针，全方面提升提升信息安全防护能力”是国家信息保障工作总体要求之一。“主动防御、综合防范” 是指导等级保护整体保障战略方针。 信息安全保障包含技术和管理两个相互紧密关联要素。信息安全不仅仅取决于信息安全技术，技术只是一个基础，安全管理是使安全技术有效发挥作用，从而达成安全保障目标关键确保。 安全保障不是单个步骤、单一层面上问题处理，必需是全方位地、多层次地从技术、管理等方面进行全方面安全设计和建设，主动防御、综合防范”战略要求信息系统整体保障综合采取覆盖安全保障各个步骤防护、检测、响应和恢复等多个安全方法和手段，对系统进行动态、综合保护，在攻击者成功地破坏了某个保护方法情况下，其它保护方法仍然能够有效地对系统进行保护，以抵御不停出现安全威胁和风险，确保系统长久稳定可靠运行。 整体保障框架建设应在国家和地方、行业相关安全政策、法规、标准、要求指导下，制订可具体操作安全策略，并在充足利用信息安全基础设施基础上，构建信息系统安全技术体系、安全管理体系，形成集防护、检测、响应、恢复于一体安全保障体系，从而实现物理安全、网络安全、系统安全、数据安全、应用安全和管理安全，以满足信息系统全方位安全保护需求。同时，因为安全动态性，还需要建立安全风险评定机制，在安全风险评定基础上，调整和完善安全策略，改善安全方法，以适应新安全需求，满足安全等级保护要求，确保长久、稳定、可靠运行。整体保障框架示意图以下： ? ?图2.?整体保障框架示意图 3?、安全方法框架 ? 安全方法框架是根据结构化原理描述安全方法组合。本方案安全方法框架是依据“主动防御、综合防范”方针，和“管理和技术并重”标准进行设计。 安全方法框架包含安全技术方法、安全管理方法两大部分。安全技术方法包含安全防护系统（物理防护、边界防护、监控检测、安全审计和应急恢复等子系统）和安全支撑系统（安全运行平台、网络管理系统和网络信任系统）。 安全技术方法、安全管理方法各部分之间关系是人（安全机构和人员），根据规则（安全管理制度），使用技术工具（安全技术）进行操作（系统建设和系统运维）。 ? 安全方法框架示意图以下： ? 图3.?安全方法框架示意图 ? 4、?安全区域划分 不一样信息系统业务特征、安全需求和等级、使用对象、面正确威胁和风险各不相同。怎样确保系统安全性是一个巨大挑战，对信息系统划分安全区域，进行层次化、相关键保护是有确保系统和信息安全有效手段。 按数据分类分区域分等级保护，就是按数据分类进行分级，按数据分布进行区域划分，依据区域中数据分类确定该区域安全风险等级。目标是把一个大规模复杂系统安全问题，分解为更小区域安全保护问题。这是实现大规模复杂信息系统安全等级保护有效方法。 伴随安全区域方法发展，发觉力图用一个大一统方法和结构去描述一个复杂网络环境是很困难，即使描述出来其可操作性也值得怀疑。所以，……提出了“同构性简化方法