醫(yī)院網(wǎng)絡(luò)安全加固拓?fù)浞治龌谛畔踩燃?jí)保護(hù)基本要求優(yōu)化設(shè)計(jì)2015/4/22第一部分、 信息安全加固拓?fù)淇傮w分析本方案通過(guò)全景方式對(duì)某人民醫(yī)院網(wǎng)絡(luò)拓?fù)溥M(jìn)行展現(xiàn)?；诘燃?jí)保護(hù)測(cè)評(píng)的信息安全問(wèn)題和安全測(cè)評(píng)工程師給出的信息安全加固方案,形成下圖：醫(yī)院內(nèi)網(wǎng)醫(yī)院內(nèi)網(wǎng)主要承載了某人民醫(yī)院內(nèi)部重要的業(yè)務(wù)系統(tǒng)，相對(duì)于醫(yī)院外網(wǎng)安全性要高，根據(jù)現(xiàn)狀分析，當(dāng)前具有兩個(gè)網(wǎng)絡(luò)出口，目前已經(jīng)部署了防火墻進(jìn)行安全防護(hù)。考慮醫(yī)院主要的被測(cè)系統(tǒng)的等級(jí)保護(hù)要求我們建議部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)、堡壘機(jī)和入侵防御系統(tǒng)，進(jìn)行必要的綜合審計(jì)、運(yùn)維與安全防護(hù)。數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)旁路端口鏡像部署在三級(jí)系統(tǒng)核心或匯聚交換機(jī)上，主要對(duì)三級(jí)業(yè)務(wù)系統(tǒng)的各種數(shù)據(jù)庫(kù)操作進(jìn)行實(shí)施審計(jì)和記錄。堡壘機(jī)系統(tǒng)旁路部署在內(nèi)網(wǎng)核心交換上，主要是針對(duì)全醫(yī)院所有的網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備及安全設(shè)備進(jìn)行運(yùn)維審計(jì)，要是實(shí)現(xiàn)預(yù)期目標(biāo)必須要和防火墻或 ACL 配合。在內(nèi)網(wǎng)邊界防火墻下部署入侵防御系統(tǒng)。數(shù)據(jù)交換區(qū)當(dāng)前由于某人民醫(yī)院內(nèi)外網(wǎng)絡(luò)之間需要進(jìn)行數(shù)據(jù)通訊， 建立一個(gè)數(shù)據(jù)交換區(qū)域，數(shù)據(jù)交換區(qū)域通過(guò)防火墻進(jìn)行兩個(gè)區(qū)域之間的隔離和安全防護(hù)。從信息安全角度，我們不建議內(nèi)外網(wǎng)絡(luò)之間進(jìn)行直接區(qū)域打通，如有必要應(yīng)當(dāng)實(shí)現(xiàn)物理隔離。個(gè)人建議采用數(shù)據(jù)交換應(yīng)該通過(guò) VPN 等方式實(shí)現(xiàn)，每個(gè)區(qū)域應(yīng)當(dāng)有自己的管理系統(tǒng)，內(nèi)網(wǎng)防病毒系統(tǒng)應(yīng)當(dāng)離線(xiàn)病毒定義升級(jí)等措施。如果現(xiàn)狀無(wú)法改變，我們建議數(shù)據(jù)交換區(qū)應(yīng)當(dāng)提高信息安全防護(hù)級(jí)別，主要從單一訪(fǎng)問(wèn)控制延伸至應(yīng)用層防護(hù)、入侵防御、惡意代碼防護(hù)等綜合安全措施。因此我們采用下一代安全網(wǎng)關(guān)或網(wǎng)閘這類(lèi)安全設(shè)備，加強(qiáng)兩大區(qū)域之間的安全防護(hù)。該防火墻要執(zhí)行嚴(yán)格的安全策略。醫(yī)院外網(wǎng)醫(yī)院外網(wǎng)主要承載了醫(yī)院辦公互聯(lián)網(wǎng)訪(fǎng)問(wèn)， 對(duì)外提供業(yè)務(wù)等服務(wù)。由于面向互聯(lián)網(wǎng)，因此該區(qū)域面臨較高的信息威脅和隱患，主要包括病毒惡意代碼、網(wǎng)絡(luò)攻擊、黑客入侵、數(shù)據(jù)外泄等風(fēng)險(xiǎn)?，F(xiàn)狀是單一的防火墻進(jìn)行安全防護(hù)，我們建議某人民醫(yī)院首先應(yīng)當(dāng)對(duì)業(yè)務(wù)分級(jí)保護(hù)，重新規(guī)劃 DMZ 區(qū)，主要放置對(duì)外的各業(yè)務(wù) WEB 服務(wù)器。重點(diǎn)加強(qiáng)網(wǎng)絡(luò)邊界和 DMZ區(qū)域安全防護(hù)，如在和互聯(lián)網(wǎng)邊界透明/路由部署抗 Ddos 系統(tǒng)，防火墻系統(tǒng)（路由模式）、入侵防御系統(tǒng)和防病毒。DMZ經(jīng)過(guò) WAF(應(yīng)用層防火墻)進(jìn)行過(guò)濾，保障對(duì)外業(yè)務(wù)的應(yīng)用安全。第二部分、 需求分析與產(chǎn)品功能介紹2.1 抗 Ddos 系統(tǒng) 需求分析 拒絕服務(wù)攻擊（ DoS, Denial of Service）是指利用各種服務(wù)請(qǐng)求耗盡被攻擊網(wǎng)絡(luò)的系統(tǒng)資源，從而使被攻擊網(wǎng)絡(luò)無(wú)法處理合法用戶(hù)的請(qǐng)求。而隨著僵尸網(wǎng)絡(luò)的興起，同時(shí)由于攻擊方法簡(jiǎn)單、影響較大、難以追查等特點(diǎn)，又使得分布式拒絕服務(wù)攻擊（ DDoS， Distributed Denial of Service）得到快速壯大和日益泛濫。 成千上萬(wàn)主機(jī)組成的僵尸網(wǎng)絡(luò)為 DDoS 攻擊提供了所需的帶寬和主機(jī)，形成了規(guī)模 巨大的攻擊和網(wǎng)絡(luò)流量，對(duì)醫(yī)院出口網(wǎng)絡(luò)造成了極大的危害。 主要危害：醫(yī)院上網(wǎng)緩慢、網(wǎng)站或者掛號(hào)系統(tǒng)無(wú)法訪(fǎng)問(wèn)、出口設(shè)備宕機(jī)，網(wǎng)絡(luò)停止服務(wù)。 產(chǎn)品功能 探針式流量檢測(cè)： Detector 通過(guò) DFI 分析的方式，發(fā)現(xiàn)網(wǎng)絡(luò)中的異常流量并給出告警，支持主流的流量分析技術(shù)包括 Netflow、 cFlow、 sFlow、 NetStream 等。同時(shí)也支持鏡像流量進(jìn)行 Flow 轉(zhuǎn)化，可以滿(mǎn)足各種網(wǎng)絡(luò)環(huán)境的流量分析需求。 手術(shù)式 DDoS 清洗：對(duì)漏洞型、流量型、應(yīng)用型等各種 DDOS 攻擊進(jìn)行清洗，并將清洗完后的干凈流量回注到網(wǎng)絡(luò)。 強(qiáng)勁的處理性能：采用 MIPS 多核處理平臺(tái)，單機(jī)最大同時(shí)支持 64 個(gè) vCPU 并行工作，清洗能力強(qiáng)，穩(wěn)定性高。2.2 入侵防御系統(tǒng) 需求分析 隨著網(wǎng)絡(luò)的飛速發(fā)展，以蠕蟲(chóng)、病毒、木馬、間諜軟件、黑客攻擊為代表的 應(yīng)用層攻擊層出不窮。傳統(tǒng)的基于網(wǎng)絡(luò)層的防護(hù)只能針對(duì)報(bào)文頭進(jìn)行檢查和規(guī)則匹配，而大量應(yīng)用層攻擊都隱藏在正常報(bào)文中，甚至是跨越幾個(gè)報(bào)文，因此僅僅分析單個(gè)報(bào)文頭意義不大。由于業(yè)務(wù)需要，網(wǎng)絡(luò)連接互聯(lián)網(wǎng)，業(yè)務(wù)或辦公數(shù)據(jù)在網(wǎng)絡(luò)上傳輸，而網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)都不同程度存在一些安全漏洞，攻擊者可以利用存在的漏洞進(jìn)行破壞，可能引起數(shù)據(jù)破壞、業(yè)務(wù)中斷甚至系統(tǒng)宕機(jī)，嚴(yán)重影響醫(yī)院網(wǎng)絡(luò)信息系統(tǒng)的正常運(yùn)行。在醫(yī)院網(wǎng)絡(luò)中，防火墻作為安全保障體系的第一道防線(xiàn)，防御黑客攻擊。但作為工作在三層以下的訪(fǎng)問(wèn)控制設(shè)備，防火墻無(wú)法檢測(cè)或攔截嵌入到普通流量中的惡意攻擊代碼，比如針對(duì) WEB 服務(wù)的 Code Red 蠕蟲(chóng)等。而且有些主動(dòng)或被動(dòng) 的攻擊行為是來(lái)自防火墻內(nèi)部的，防火墻無(wú)法發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)中的攻擊行為。因此，如何識(shí)別醫(yī)院網(wǎng)絡(luò)中的攻擊行為成為了當(dāng)務(wù)之急。主要功能NIPS 是網(wǎng)絡(luò)入侵防護(hù)系統(tǒng)產(chǎn)品內(nèi)置先進(jìn)的 Web 信譽(yù)機(jī)制，同時(shí)具備深度入侵防護(hù)、精細(xì)流量控制，以及全面用戶(hù)上網(wǎng)行為監(jiān)管等多項(xiàng)功能，能夠?yàn)橛脩?hù)提 供深度攻擊防御入侵防御系統(tǒng)可以對(duì)網(wǎng)絡(luò)蠕蟲(chóng)、間諜軟件、溢出攻擊、數(shù)據(jù)庫(kù)攻擊等多種深層攻擊行為進(jìn)行主動(dòng)阻斷。并在漏洞庫(kù)的基礎(chǔ)上，集成了專(zhuān)業(yè)病毒庫(kù)和應(yīng)用協(xié)議庫(kù)，是針對(duì)系統(tǒng)漏洞、協(xié)議弱點(diǎn)、病毒蠕蟲(chóng)、黑客攻擊、網(wǎng)頁(yè)篡改、間諜軟件、惡意攻擊、流量異常等威脅的一體化應(yīng)用層深度防御平臺(tái)。部署簡(jiǎn)單、 即插即用，配合應(yīng)用 Bypass 等高可靠性設(shè)計(jì)，可滿(mǎn)足各種復(fù)雜網(wǎng)絡(luò)環(huán)境對(duì)應(yīng)用層安全防護(hù)的高性能、高可靠和易管理的需求，是應(yīng)用層安全保障的最佳選擇。2.3 WAF（應(yīng)用層防護(hù)墻） 需求分析 WEB 應(yīng)用安全問(wèn)題本質(zhì)上源于軟件質(zhì)量問(wèn)題，但WEB 應(yīng)用相較傳統(tǒng)的軟件，具有其獨(dú)特性。WEB 應(yīng)用往往是某個(gè)機(jī)構(gòu)所獨(dú)有的應(yīng)用，對(duì)其存在的漏洞，已知的通用漏洞簽名缺乏有效性；WEB需要頻繁地變更以滿(mǎn)足業(yè)務(wù)目標(biāo)，從而使 得很難維持有序的開(kāi)發(fā)周期；基于 Web 的應(yīng)用日益增多，SQL 注入、跨站腳本、網(wǎng)頁(yè)掛馬等各種攻擊手段使得 Web 應(yīng)用處于高風(fēng)險(xiǎn)的環(huán)境中，傳統(tǒng)安全設(shè)備無(wú)法對(duì) Web 應(yīng)用提供細(xì)粒度的有效防護(hù)。主要功能Web 應(yīng)用防火墻（簡(jiǎn)稱(chēng) WAF），專(zhuān)注于保護(hù) Web 應(yīng)用和 Web 服務(wù)，并將 成熟的DDoS 攻擊抵御機(jī)制整合在一起， WAF 提供針對(duì) OWASP Top 10、LOIC、HOIC 的全面防御，為 Web 安全保駕護(hù)航。u 降低數(shù)據(jù)泄露風(fēng)險(xiǎn)SQL注入防護(hù)、HTTP協(xié)議防護(hù)、Web 漏洞攻擊防護(hù)、信息安全防護(hù)（狀態(tài)碼過(guò)濾/ 偽裝）、Web 內(nèi)容安全防護(hù)u 支撐 Web 服務(wù)可用性HTTP Flood 防護(hù)、TCP Flood 防護(hù)u 控制惡意訪(fǎng)問(wèn)URL訪(fǎng)問(wèn)控制文件非法下載/上傳防護(hù)盜鏈防護(hù)爬蟲(chóng)防護(hù)u 保護(hù) Web 客戶(hù)端CSRF 防護(hù) XSS 防護(hù) Cookie 安全（加密/簽名）2.4 堡壘機(jī)系統(tǒng) 需求分析隨著信息化進(jìn)程不斷深入，醫(yī)院的業(yè)務(wù)系統(tǒng)變得日益復(fù)雜，由員工或者外部維護(hù)人員違規(guī)操作導(dǎo)致的安全問(wèn)題變得日益突出起來(lái)。防火墻、防病毒、入侵檢系統(tǒng)等常規(guī)的安全產(chǎn)品可以解決一部分安全問(wèn)題，但對(duì)于內(nèi)部人員的違規(guī)操作 卻無(wú)能為力。越來(lái)越多的會(huì)將非核心業(yè)務(wù)外包給設(shè)備商或者其他專(zhuān)業(yè)代維公司。如何有效地監(jiān)控設(shè)備廠(chǎng)商和代維人員的操作行為,并進(jìn)行嚴(yán)格的審計(jì)是醫(yī)院面臨的一個(gè)關(guān)鍵問(wèn)題。主要功能堡壘機(jī)是針對(duì)業(yè)務(wù)環(huán)境下的用戶(hù)運(yùn)維操作進(jìn)行控制和審計(jì)的合規(guī)性管控系統(tǒng)。它通過(guò)對(duì)自然人身份以及資源、資源賬號(hào)的集中管理建立“自然人資源 資源賬號(hào)”對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)自然人對(duì)資源的統(tǒng)一授權(quán)，同時(shí)，對(duì)授權(quán)人員的運(yùn)維操作進(jìn)行記錄、分析、展現(xiàn)，以幫助內(nèi)控工作事前規(guī)劃預(yù)防、事中實(shí)時(shí)監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報(bào)告、事故追蹤回放，加強(qiáng)內(nèi)部業(yè)務(wù)操作行為監(jiān)管、避免核心資產(chǎn)（服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等）損失、保障業(yè)務(wù)系統(tǒng)的正常運(yùn)營(yíng)。對(duì)單位的業(yè)務(wù)系統(tǒng)來(lái)說(shuō)，真正重要的核心信息資產(chǎn)往往存放在少數(shù)幾個(gè)關(guān)鍵 系統(tǒng)上，通過(guò)使用堡壘機(jī)，能夠加強(qiáng)對(duì)這些關(guān)鍵系統(tǒng)的訪(fǎng)問(wèn)控制與審計(jì)，從而有效地減少核心信息資產(chǎn)的破壞和泄漏。能夠?qū)\(yùn)維人員維護(hù)過(guò)程的全面跟蹤、控制、記錄、回放；支持細(xì)粒度配置運(yùn)維人員的訪(fǎng)問(wèn)權(quán)限，實(shí)時(shí)阻斷違規(guī)、越權(quán)的 訪(fǎng)問(wèn)行為，同時(shí)提供維護(hù)人員操作的全過(guò)程的記錄與報(bào)告；系統(tǒng)支持對(duì)加密與圖形協(xié)議進(jìn)行審計(jì)，消除了傳統(tǒng)行為審計(jì)系統(tǒng)中的審計(jì)盲點(diǎn)，是IT系統(tǒng)內(nèi)部控制最有力的支撐平臺(tái)之一。2.5 數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)需求分析 數(shù)據(jù)庫(kù)系統(tǒng)作為信息的聚集體，是計(jì)算機(jī)信息系統(tǒng)的核心部件，其安全性至關(guān)重要，關(guān)系到醫(yī)院興衰、成敗。因此，如何有效地保證數(shù)據(jù)庫(kù)系統(tǒng)的安全，實(shí)現(xiàn)數(shù)據(jù)的保密性、完整性和有效性，已經(jīng)成為業(yè)界人士探索研究的重要課題之一。 對(duì)醫(yī)院重要的業(yè)務(wù)應(yīng)用系統(tǒng)或者網(wǎng)絡(luò)基礎(chǔ)設(shè)施，相應(yīng)地具備如下需求中的部分或者全部：1、需要滿(mǎn)足各種合規(guī)要求，比如等級(jí)保護(hù)、分級(jí)保護(hù)等要求； 2、需要對(duì)重要/關(guān)鍵數(shù)據(jù)的訪(fǎng)問(wèn)進(jìn)行審計(jì)；3、希望有效地控制數(shù)據(jù)庫(kù)操作風(fēng)險(xiǎn)； 4、需要進(jìn)行事后追查，但缺乏數(shù)據(jù)記錄與追查方法。主要功能數(shù)據(jù)庫(kù)安全審計(jì)系統(tǒng)主要用于監(jiān)視并記錄對(duì)數(shù)據(jù)庫(kù)服務(wù)器的各類(lèi)操作行為，通過(guò)對(duì)網(wǎng)絡(luò)數(shù)據(jù)的分析，實(shí)時(shí)地、智能地解析對(duì)數(shù)據(jù)庫(kù)服務(wù)器的各種操作，并記入審計(jì)數(shù)據(jù)庫(kù)中以便日后進(jìn)行查詢(xún)、分析、過(guò)濾，實(shí)現(xiàn)對(duì)目標(biāo)數(shù)據(jù)庫(kù)系統(tǒng)的用戶(hù)操作的監(jiān)控和審計(jì)。數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)通結(jié)合各類(lèi)法令法規(guī)（如等級(jí)保護(hù)、分級(jí)保護(hù)、 醫(yī)院內(nèi)控等）對(duì)數(shù)據(jù)庫(kù)安全的要求，自主研發(fā)的業(yè)界首創(chuàng)細(xì)粒度審計(jì)、雙向?qū)徲?jì)、全方位風(fēng)險(xiǎn)控制的數(shù)據(jù)庫(kù)安全審計(jì)產(chǎn)品?？蓭椭t(yī)院帶來(lái)如下價(jià)值點(diǎn)：l 全面記錄數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)行為，識(shí)別越權(quán)操作等違規(guī)行為，并完成追蹤溯源l 跟蹤敏感數(shù)據(jù)訪(fǎng)問(wèn)行為軌跡，建立訪(fǎng)問(wèn)行為模型，發(fā)現(xiàn)敏感數(shù)據(jù)泄漏l 檢測(cè)數(shù)據(jù)庫(kù)配置弱點(diǎn)、發(fā)現(xiàn) SQL 注入等漏洞、提供解決建議l 為數(shù)據(jù)庫(kù)安全管理與性能優(yōu)化提供決策依據(jù)l 提供符合法律法規(guī)的報(bào)告，滿(mǎn)足等級(jí)保護(hù)、醫(yī)院內(nèi)控等審計(jì)要求；2.6 下一代安全網(wǎng)關(guān)主要面向數(shù)據(jù)交換區(qū)進(jìn)行訪(fǎng)問(wèn)控制和綜合安全防護(hù)。下一代防火墻可精確識(shí)別數(shù)千種網(wǎng)絡(luò)應(yīng)用，并提供詳盡的應(yīng)用風(fēng)險(xiǎn)分析和靈活的策略管控。結(jié)合用戶(hù)識(shí)別、內(nèi)容識(shí)別，下一代防火墻可為用戶(hù)提供可視化及精細(xì)化的應(yīng)用安全管理。同時(shí)，下一代防火墻內(nèi)置了先進(jìn)的威脅檢測(cè)引擎及專(zhuān)業(yè)的WEB服務(wù)器防護(hù)功能，能夠抵御包括病毒、木馬、SQL 注入、XSS 跨站腳本、CC攻擊在內(nèi)的各種網(wǎng)絡(luò)攻擊，有效保護(hù)用戶(hù)網(wǎng)絡(luò)健康及WEB服務(wù)器安全?；谌⑿熊浻布軜?gòu)實(shí)現(xiàn)的“一次解包、并行檢測(cè)”，下一代防火墻在具備全面安全防護(hù)的同時(shí)，更為用戶(hù)提供高性能的應(yīng)用安全防護(hù)。 優(yōu)化的攻擊識(shí)別算法。能夠有效抵御如 SYN Flood、UDP Flood、HTTP Flood 等 DoS/DDoS 攻擊，保障網(wǎng)絡(luò)與應(yīng)用系統(tǒng)的安全可用性。 專(zhuān)業(yè) Web 攻擊防護(hù)功能。支持 SQL 注入、跨站腳本、CC攻擊等檢測(cè)與過(guò)濾，避免 Web 服務(wù)器遭受攻擊破壞； 支持外鏈檢查和目錄訪(fǎng)問(wèn)控制，防止 Web Shell 和敏感信息泄露，避免網(wǎng)頁(yè)篡改與掛馬，滿(mǎn)足用戶(hù) Web 服務(wù)器深層次安全 防護(hù)需求。 高性能的病毒過(guò)濾。領(lǐng)先的基于流掃描技術(shù)的檢測(cè)引擎可實(shí)現(xiàn)低延時(shí)的 高性能過(guò)濾。支持對(duì) HTTP、FTP 及各種郵件傳輸協(xié)議流量和壓縮文件（ zip， gzip， rar 等）中病毒的查殺，提供近 100萬(wàn)條實(shí)時(shí)更新的病毒特征庫(kù)。 超過(guò) 2000 萬(wàn)條分類(lèi)庫(kù)的 URL 過(guò)濾功能?？蓭椭W(wǎng)絡(luò)管理員輕松實(shí)現(xiàn)網(wǎng)頁(yè) 瀏覽訪(fǎng)問(wèn)控制，避免惡意 URL 帶來(lái)的威脅滲入。基于多核硬件架構(gòu)及“一次解包，并行檢測(cè)”技術(shù)，下一代防火墻在開(kāi)啟多 種威脅防護(hù)功能時(shí)，仍可為用戶(hù)提供業(yè)界領(lǐng)先綜合安全性能。第三部分、安全服務(wù)與公司介紹 信息安全服務(wù)是信息安全工作重要補(bǔ)充，單純的安全設(shè)備是無(wú)法解決企業(yè)面臨的信息安全問(wèn)題，山東新潮依靠專(zhuān)業(yè)的信息安全團(tuán)隊(duì)幫助企業(yè)設(shè)計(jì)好企業(yè)網(wǎng)絡(luò)安全架構(gòu)、幫助企業(yè)加固信息安全產(chǎn)品，幫助企業(yè)發(fā)現(xiàn)潛在的信息安全隱患，在發(fā)生突發(fā)安全事件，第一時(shí)間提供技術(shù)支撐與應(yīng)用響應(yīng)。 3.1 重要業(yè)務(wù)系統(tǒng)或研發(fā)網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估服務(wù)風(fēng)險(xiǎn)評(píng)估是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。并為防范和化解信息安全風(fēng)險(xiǎn)，或者將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地為保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。風(fēng)險(xiǎn)評(píng)估流程將主要參考信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范（ GB/T 20984-2007）， 通過(guò)現(xiàn)場(chǎng)調(diào)查、現(xiàn)場(chǎng)測(cè)試、交流訪(fǎng)談、分析研究等方式找出重要業(yè)務(wù)系統(tǒng)或研發(fā)網(wǎng)絡(luò)存在的脆弱性、面臨的威脅，以及威脅發(fā)生的可能性、造成的影響，最終確定信息系統(tǒng)面臨的風(fēng)險(xiǎn)，并給出安全加固建議。3.2 等級(jí)保護(hù)測(cè)評(píng)服務(wù)等級(jí)保護(hù)制度是一項(xiàng)國(guó)家信息安全基本制度。等級(jí)保護(hù)的開(kāi)展主要包括定級(jí)、備案、整改、測(cè)評(píng)和檢查五個(gè)步驟。等級(jí)保護(hù)測(cè)評(píng)工作的開(kāi)展主要針對(duì)被測(cè)信息系統(tǒng)的技術(shù)和管理兩個(gè)方面展開(kāi)測(cè)評(píng)，技術(shù)部分包括物理安全、網(wǎng)絡(luò)安全、主機(jī) 安全、數(shù)據(jù)安全、應(yīng)用安全；管理方面包括安全管理機(jī)構(gòu)、安全管理制度、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理和人員安全管理五個(gè)方面?，F(xiàn)場(chǎng)測(cè)評(píng)主要包括人員訪(fǎng)談、文檔審查、策略配置檢查、工具測(cè)試和實(shí)地察看等五個(gè)方面，并詳細(xì)記錄結(jié)果。信息安全等級(jí)保護(hù)建設(shè)就是要根據(jù)國(guó)家標(biāo)準(zhǔn)和安全要求，逐步發(fā)現(xiàn)現(xiàn)有的信息系統(tǒng)存在的安全差距和風(fēng)險(xiǎn)隱患。把各種安全問(wèn)題在爆發(fā)之前進(jìn)行有效的加固與完善。從而在整體上提高企業(yè)信息系統(tǒng)的業(yè)務(wù)連續(xù)性。實(shí)施信息安全等級(jí)保護(hù)，能夠有效地提高信息和信息系統(tǒng)安全建設(shè)的整體水平，有利于在信息化建設(shè)過(guò)程中同步建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相協(xié)調(diào)有利于為信息系統(tǒng)安全建設(shè)和管理提供系統(tǒng)性、針對(duì)性、可行性的指導(dǎo)和服務(wù)，有效控制信息安全建設(shè)成本；有利于優(yōu)化信息安全資源的配置，對(duì)信息系統(tǒng)分級(jí)實(shí)施保護(hù)，重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國(guó)家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)的安全；有利于明確加強(qiáng)信息安全管理建設(shè)。3.3 信息安全意識(shí)或?qū)ｎ}培訓(xùn)服務(wù)信息安全培訓(xùn)是成本最低、最有效利用現(xiàn)有技術(shù)和資源的、效果最快最顯著的信息安全管理措施。作為專(zhuān)業(yè)的信息安全咨詢(xún)服務(wù)提供者，我們提供的信息安全培訓(xùn)是針對(duì)客戶(hù)不同層次的安全需求而定制的，是全面融合了技術(shù)和管理要素的專(zhuān)業(yè)的培訓(xùn)服務(wù)。借助各項(xiàng)培訓(xùn)課程，我們的專(zhuān)業(yè)培訓(xùn)人員將向客戶(hù)傳授從一般性的安全意識(shí)、到具體的安全攻防操作、再到高級(jí)的信息安全管理在內(nèi)的全方位的安全知識(shí)和技能，從而提升客戶(hù)在信息安全實(shí)踐當(dāng)中“人”這個(gè)決定因素的關(guān)鍵作用，為有效的信息安全提供保障。我們主要為用戶(hù)提供如下培訓(xùn)服務(wù)：安全意識(shí)培訓(xùn)：面向組織的一般員工、非技術(shù)人員以及所有信息系統(tǒng)的用戶(hù)，目的是提高整個(gè)組織普遍的安全意識(shí)和人員安全防護(hù)能力，使組織員工充分了解既定的安全策略，并能夠切實(shí)執(zhí)行；安全技術(shù)培訓(xùn)：面向組織的網(wǎng)絡(luò)和系統(tǒng)管理員、安全專(zhuān)職人員、技術(shù)開(kāi)發(fā)人員等，目的是讓其掌握基本的安全攻防技術(shù)，提升其安全技術(shù)操作水平，培養(yǎng)解決安全問(wèn)題和杜絕安全隱患的技能；安全管理培訓(xùn)：面向組織的管理職能和信息系統(tǒng)、信息安全管理人員，目的是提升組織整體的信息安全管理水平和能力，幫助組織有效建立信息安全管 理體系；資質(zhì)認(rèn)證培訓(xùn)：向客戶(hù)提供國(guó)內(nèi)外最頂尖信息安全相關(guān)認(rèn)證考試的輔導(dǎo)培訓(xùn)，幫助客戶(hù)順利通過(guò)考試并獲得各類(lèi)信息安全資質(zhì)認(rèn)證；安全職業(yè)教育：面向在信息安全領(lǐng)域?qū)で舐殬I(yè)發(fā)展的人員，通過(guò)較為長(zhǎng)期的系統(tǒng)化學(xué)習(xí)，幫助其具備信息安全從業(yè)所需的基本知識(shí)和特定技能，以滿(mǎn)足信息安全相關(guān)職位最普遍的要求。除此之外，我們還可以根據(jù)客戶(hù)的特殊需求，制定符合客戶(hù)自身特點(diǎn)的培訓(xùn)方案，定制培訓(xùn)內(nèi)容，編寫(xiě)培訓(xùn)計(jì)劃，提供相關(guān)教材，并最終考核培訓(xùn)效果。3.4 公司介紹山東新潮信息技術(shù)有限公司成立于 2000 年，