系统安全保障方案.docxVIP

PAGE114

系统安全保障方案

概述

依据《中华人民共和国网络安全法》、《信息系统安全保护管理办法》等国家相关信息安全政策和法规，结合本项目的实际情况，本项目的系统定级拟定三级，同时我司考虑到系统中存在着大量非公开信息，如何保护这些信息的机密性和完整性、以及系统的持续服务能力尤为重要，我司针对本项目系统建设安全保障部分进行信息安全策略、信息安全管理、信息安全技术和信息安全运营，如图所示：

信息安全的四个领域

其中，信息安全策略包括信息安全的战略和信息安全的政策和标准，而信息安全管理、信息安全运营和信息安全技术则是“企业-人-系统”的三元关系：

管理是企业管理的行为（包括安全意识、组织结构和审计监督）；

运营是日常管理的行为（包括运营流程和对象管理）；

技术是信息系统的行为（包括安全服务和安全基础设施）。

可以概述为：信息安全是在管理机制下，通过运营机制借助技术手段实现的。

信息安全运营是信息安全管理和信息安全技术手段在日常工作中的执行，是信息安全工作的关键，即“七分管理，三分技术，运行贯穿始终”。

信息安全策略

我司秉承着满足本项目需求的安全设计目标，结合先进的信息安全技术，设计一套科学合理的安全保障体系，形成有效的安全防护能力、隐患发现能力、应急反应能力和系统恢复能力，从物理、网络、系统、应用和管理等方面保证“信息化系统”安全、高效、可靠运行，保证信息的机密性、完整性、可用性和操作的不可否认性，避免各种潜在的威胁。

信息安全战略

我司信息安全策略是信息安全保障体系的核心，是信息安全工作的原则、宗旨、指导，为信息安全工作指明了方向。信息安全工作是针对各信息系统中存在的信息安全风险而开展的。

我司针对本次项目信息安全战略的制定坚持3大原则：

1、为业务发展提供支持和保障

信息安全工作的最终目标是要为业务发展提供必要的保障和支持。

2、在信息技术战略规划的基础上制定

信息技术远景规划报告是现行的信息技术工作开展的最高指导性文件，而信息技术又是信息安全工作开展的必不可少的重要基础，因此信息安全战略必须在其信息技术规划的基础上制定。

3、遵从风险管理的理念

信息安全是风险管理中的一个特殊的课题。信息安全战略的制定也必须在风险管理的原则下，从风险的角度看待信息安全问题，以风险防范、风险控制的方法开展信息安全工作。

信息安全政策标准体系

信息安全政策与标准体系是信息安全管理、运营、技术体系标准化、制度化后形成的一整套信息安全的管理规定，其体系框架可以分为横向和纵向两个维度，如图示：

信息安全政策标准体系框架

纵向是制度/规定的层次化结构，分为信息安全政策、信息安全标准与规范、信息安全指南和细则三个层面。通过信息安全政策、信息安全标准与规范、信息安全指南和细则将信息安全战略逐步细化、落实，指导的信息安全工作：

信息安全政策是在信息安全战略下提出的各信息安全领域的工作目标；是从整个管理的高度提出的信息安全工作的方向和原则；是其下信息安全标准与规范、信息安全指南与细则的指导纲领。

信息安全标准与规范是在信息安全政策的思想指导下，制定的信息安全管理制度。其中信息安全标准是针对信息安全的管理和技术标准，是指导性的，不具强制效力。而信息安全规范则是针对信息安全工作开展中的管理规定，具有强制效力，必须遵守。

信息安全指南与细则是为了贯彻、落实信息安全标准与规范而制定的，信息安全标准与规范与具体情况相结合的详细规定。

横向是信息安全对象。根据针对对象的不同，在纵向的每个层次中应当分别制定相应的政策、标准或规范等，图中只是给出了一些示例。

信息安全管理体系

信息安全管理体系是信息安全保障体系的一个重要组成部分。信息安全管理体系框架是从管理的层面出发，按照多层防护的思想，为实现信息安全战略而搭建的。

信息安全管理体系的三层防护结构如图：

信息安全管理的三层防护结构

认知——宣传教育

员工在信息安全方面的自我约束、自我控制，是信息安全管理体系的第一个层次。认知是信息安全管理控制的基础，实际工作中大部分的信息安全控制需要依靠员工的主观能动性。

组织——管理控制

信息安全管理控制是信息安全管理体系的第二个层次，其目的主要是通过完善组织架构，明确不同安全组织、不同安全角色的定位和职责以及相互关系，对信息安全风险进行控制管理。这里包含了“管理”和“监控”两方面的含义，特别是对专职的信息安全管理部门而言，“监控”是极其重要的职责。

管理控制的落实需要通过认知和审计工作进行保障和监督，同时它又是信息安全认知和审计工作开展的重要对象。

审计——二次监督

审计监督是内部风险控制的重要组成部分。内部审计是内部控制的一种自我监督机制。信息安全审计一般是在信息安全管理控制的基础上，由内部相对独立的专职部门对信息安全管理控制的效果进行监督。为与管理控制中的“监控”职能区别，通常