信息安全等级保护(三级)建设方案.docxVIP

信息安全等级保护(三级)建设方案

信息安全等级保护（三级）建设方案

信息安全等级保护（三级）建设方案

信息安全等级保护（三级）建设方案

目录

信息安全等级保护（三级）建设方案

1.前言

1.1概述

随着互联网金融的快速发展，金融机构对信息系统的依赖程过活益增高，信息安全的题目也越来越突出。同时，因为利益的驱使，针对金融机构的安全要挟越来越多，特别是涉及民生与金融相干的单位，收到攻击的次数日渐频繁，相干单位必需加强自身的信息安全保障事情，建立美满的安全机制来抵御外来和内涵的信息安全要挟。为提升我国重要信息系统整体信息安全管理程度和抗风险本领。国家公安部、必威体育官网网址局、XXX、国务院信息化领导小组办公室于2007年结合颁布861号文件《关于展开天下重要信息系统安全等级保护定级事情的通知》和《信息安全等级保护管理举措》，要求涉及国计民生的信息系统应达到一定的安全等级，按照文件精神和等级划分的准绳，涉及到当局机关、金融等核心信息系统，构筑至少应达到三级或以上防护要求。

互联网金融行业是关系经济、社会稳定等的重要单位，等级保护制度的确立和实施，无疑对互联网金融单位加快自身信息安全建议具有前瞻性、系统性的指导意义。从国家层面上看，在重点行业、单位推行等级保护制度是关系到国家信息安全的大事，为确保重要行业和单位的等级保护信息系统顺利开展实施，同时出台了一系列政策文件来规范、指导和推动风险评估工作的进行，等级保护也积极响应各种标准和政策，以保障重点行业信息系统安全。

1.2相干政策及标准

国家相关部门对等级保护安全要求相当重视，相继出台多个信息安全相关指导意见与法规，主要有：

《中华人民共和国计算机信息系统安全等级保护条例》（国务院147号令）

《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安

〔2010〕303）

《GB/T-2008信息安全技术信息系统安全等级保护基本要求》

《GB/T—2007信息安全技术信息安全风险评估规范》

《GB-1999信息系统安全等级保护测评准则》

其中，目前等级保护等保主要安全依据，主要参照《GB-1999信息系统安全等级保护测评准则》和《GB/T-2008信息安全技术信息系统安全等级保护基本要求》，本

信息安全等级保护（三级）建设方案

方案亦主要依据这两个标准，以其他要求为辅，来建立本技术方案。

信息安全等级保护（三级）建设方案

2.现状及需求分析

2.1.现状分析

xx核心业务系统为互联网客户提供在线业务以及线下业务支持。通过该系统平台，实现互联网金融业务信息全面融合、集中管理、内部管理的流程化、标准化和信息化，为xx管理工作提供全面的系统支持。该系统定级为安全保护等级三级，通过第三方测评、整体分析与风险分析，xx业务系统中存在与国家等级保护三级标准要求不符合项。

2.2.需求分析

为了满足达到国家GB/T-2008《信息手艺信息系统安全等级保护基本要求》相应的等级保护本领要求，xx业务管理系统启动等级保护安全整改事情，以加强系统的安全防护本领，有用抵御内部和内部要挟，为切实达到国家及行业信息安全等级保护相应要求，使xx业务管理系统在现有运行环境下风险可控，能够为xx客户及内部各部分供给安全、稳定的业务服务。

本次方案结合初步检查报告，由于xx业务系统只采用防护墙进行安全防护措施，针对安全运维管理、应用层安全防护、第三方日志审计、管理制度等方面的薄弱之处，建议部署相关安全防护设备，结合安全管理制度，将满足相应的等级保护防护能力。

1、安全防护：安全防护设计收集安全、主机安全等多个测评内容，针对所发觉的安全题目风险中，如收集边境未部署防恶意代码设备,可通过对重点系统的收集边境部署相应的安全防护设备来进行办理。

二、审计分析：审计分析在三级等级保护要求中，占据重要地位，涉及收集安全、主机安全、应用安全等诸多环节，xx业务系统在第三方审计相干建设上缺乏需求手段，并且对部分重要系统的安全现状难以了解，加强系统安全检测本领，和审计分析本领十分需求。

三、安全运维：安全运维管理涉及收集安全、主机安全、安全运维管理，在所发觉安全题目风险中，对近程设备进行双因子认证，实现特权用户分离，对收集用户的接入拜候掌握，敏锐资本的拜候掌握等，可通过加强安全运维管理和部署相应管理设备加以办理。

四、管理制度:管理制度的完善，在等级保护建设中具有非常重要的意义，通过第三方专业人员的现场指导、协助管理制度的完善、弥补安全管理制度中的不足，从管理制度整体协助满足等级保护的相关要求。

信息安全等级保护（三级）建设方案

3.等保三级建设总体规划

按照现有安全形势特性，针对三级等级保护的各项要求，需针对收集边境安全、日志集中审计、安全运维、合规性自查四个层面进行建设，挑选典型安全系统构建。

3.1.收集边境安全建设

在网络边