1信息安全系統(tǒng)設(shè)計(jì) 41.1等保標(biāo)準(zhǔn) 41.2系統(tǒng)定級(jí) 41.3安全設(shè)計(jì)原則 51.4安全總體架構(gòu)設(shè)計(jì) 61.5用戶層安全設(shè)計(jì) 71.5.1PC終端安全設(shè)計(jì) 71.5.2移動(dòng)端安全設(shè)計(jì) 71.6區(qū)域邊界安全設(shè)計(jì) 71.6.1網(wǎng)絡(luò)區(qū)域劃分和隔離設(shè)計(jì) 71.6.2訪問控制設(shè)計(jì) 81.6.3網(wǎng)絡(luò)攻擊監(jiān)測(cè) 91.6.4網(wǎng)絡(luò)層攻擊防護(hù) 1.6.5網(wǎng)絡(luò)及安全設(shè)備運(yùn)維管理安全 1.6.6網(wǎng)絡(luò)層安全審計(jì) 1.7計(jì)算環(huán)境安全設(shè)計(jì) 1.8設(shè)備安全設(shè)計(jì) 1.8.1應(yīng)用安全設(shè)計(jì) 1.8.2數(shù)據(jù)安全設(shè)計(jì) 1.8.3主機(jī)安全設(shè)計(jì) 1.8.4通信網(wǎng)絡(luò)安全設(shè)計(jì) 1.8.5資源層安全設(shè)計(jì) 1.9安全管理中心設(shè)計(jì) 1.9.1安全管理制度 1.9.2安全管理機(jī)構(gòu) 1.9.3人員安全管理 1.9.4安全規(guī)范管理 1.9.5系統(tǒng)建設(shè)管理 1.9.6系統(tǒng)運(yùn)維管理 261.10安全運(yùn)營體系設(shè)計(jì) 281.10.1三同步工作 1.10.2安全評(píng)估工作 301.10.3網(wǎng)絡(luò)安全應(yīng)急響應(yīng) 1.11云計(jì)算安全擴(kuò)展設(shè)計(jì) 321.11.1安全物理環(huán)境 1.11.2安全區(qū)域邊界 321.11.3安全計(jì)算環(huán)境 321.11.4安全運(yùn)維管理 1.12移動(dòng)互聯(lián)安全擴(kuò)展設(shè)計(jì) 1.12.1安全物理環(huán)境 1.12.2安全區(qū)域邊界 1.12.3安全計(jì)算環(huán)境 1.12.4安全運(yùn)維管理 351.13部署方案 2平臺(tái)安全可控設(shè)計(jì) 2.1國產(chǎn)化軟件適配 2.2應(yīng)用級(jí)災(zāi)備 2.3國產(chǎn)密碼 2.3.1物理層面 2.3.2網(wǎng)絡(luò)層面 2.3.3應(yīng)用和數(shù)據(jù)層面 2.3.4終端 2.3.5商用密碼產(chǎn)品清單 1.1等保標(biāo)準(zhǔn)圖5-18:信息安全結(jié)構(gòu)圖1.2系統(tǒng)定級(jí)受侵害的客體一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第三級(jí)第二級(jí)第三級(jí)第四級(jí)國家安全第三級(jí)第四級(jí)第五級(jí)進(jìn)行防護(hù).(4)技術(shù)產(chǎn)品應(yīng)用原則。安全系統(tǒng)盡可能采用標(biāo)準(zhǔn)化或具有成熟理論基智慧市容環(huán)境衛(wèi)生管理信息系統(tǒng)依托智慧城管政務(wù)云部署,總體安全架構(gòu)如互聯(lián)網(wǎng)區(qū)和政務(wù)外網(wǎng)區(qū)部署的業(yè)務(wù)分別劃入互聯(lián)網(wǎng)安全域和政務(wù)外網(wǎng)安全全要求》,有效滿足互聯(lián)網(wǎng)區(qū)業(yè)務(wù)系統(tǒng)和政務(wù)外網(wǎng)業(yè)基于網(wǎng)絡(luò)安全等級(jí)保護(hù)(三級(jí))的要求，結(jié)合業(yè)務(wù)特點(diǎn)進(jìn)行安全域細(xì)粒度劃安全域劃分及安全部署如下所示：政務(wù)外網(wǎng)政務(wù)外網(wǎng)訪問控制策略除了互聯(lián)網(wǎng)區(qū)和政務(wù)外網(wǎng)區(qū)在網(wǎng)閘上部署生效之外,主要在位1.互聯(lián)網(wǎng)發(fā)起的訪問僅允許到達(dá)互聯(lián)網(wǎng)對(duì)外服務(wù)域的開放服務(wù)端口(如5.電子政務(wù)外網(wǎng)發(fā)起的訪問僅允許到達(dá)數(shù)據(jù)交換區(qū)的開放服務(wù)端口(如1.6.3網(wǎng)絡(luò)攻擊監(jiān)測(cè)部署本地抗DDOS設(shè)備，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)異發(fā)現(xiàn)和阻斷防護(hù)；互聯(lián)網(wǎng)傳入內(nèi)部網(wǎng)絡(luò)；在安全管理區(qū)部署日志集中存儲(chǔ)與審計(jì)系統(tǒng),集中存儲(chǔ)入交換機(jī)鏡像流量監(jiān)視并記錄對(duì)數(shù)據(jù)庫服務(wù)器的各類操作于6個(gè)月。1.7計(jì)算環(huán)境安全設(shè)計(jì)1.8設(shè)備安全設(shè)計(jì)1.8.1應(yīng)用安全設(shè)計(jì)威脅隱患類型防護(hù)措施項(xiàng)設(shè)計(jì)非授權(quán)訪問應(yīng)用身份鑒別應(yīng)用層非法訪問訪問控制業(yè)務(wù)惡意操作安全審計(jì)威脅隱患類型防護(hù)措施項(xiàng)設(shè)計(jì)資源控制剩余信息保護(hù)中間人攻擊(交易)數(shù)據(jù)篡改中間人攻擊信息系統(tǒng)密碼應(yīng)用數(shù)據(jù)破壞公民個(gè)人信息泄露個(gè)人信息保護(hù)1.8.2數(shù)據(jù)安全設(shè)計(jì)威脅隱患類型防護(hù)措施項(xiàng)設(shè)計(jì)剩余信息保護(hù)威脅隱患類型防護(hù)措施項(xiàng)設(shè)計(jì)中間人攻擊信息系統(tǒng)密碼應(yīng)用數(shù)據(jù)破壞公民個(gè)人信息泄露個(gè)人信息保護(hù)>數(shù)據(jù)產(chǎn)生日期偏移取整：********12:30:45->********12:00:00,舍棄1.8.4通信網(wǎng)絡(luò)安全設(shè)計(jì)威脅隱患類型防護(hù)措施項(xiàng)設(shè)計(jì)設(shè)備和線路故障網(wǎng)絡(luò)架構(gòu)安全中間人攻擊網(wǎng)絡(luò)數(shù)據(jù)泄露通信傳輸加密信息系統(tǒng)密碼應(yīng)用網(wǎng)絡(luò)安全運(yùn)營決策失效平臺(tái)業(yè)務(wù)的影響；務(wù)出口區(qū)串聯(lián)至網(wǎng)絡(luò)的IPS(入侵防護(hù))等設(shè)備應(yīng)當(dāng)具備BYPASS功能，避免網(wǎng)環(huán)境衛(wèi)生管理信息系統(tǒng)面臨的各類物理環(huán)境威脅，梳理如防護(hù)應(yīng)對(duì)措施如威脅隱患類型防護(hù)要求項(xiàng)防護(hù)措施項(xiàng)設(shè)計(jì)氣象災(zāi)害物理位置的b)機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物的頂層或地下室，制a)機(jī)房出入口應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的防盜竊和防b)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；c)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)或設(shè)置有專人值守的視威脅隱患類型防護(hù)要求項(xiàng)防護(hù)措施項(xiàng)設(shè)計(jì)雷電災(zāi)害防雷擊a)將各類機(jī)柜、設(shè)施和設(shè)備等通過接地系統(tǒng)安全接地；b)應(yīng)采取措施防止感應(yīng)雷，例如設(shè)置防雷保安器火災(zāi)防火警，并自動(dòng)滅火；b)機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐c)應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置隔離防火電氣水害防水和防潮a)水管安裝，不得穿過機(jī)房屋頂和活動(dòng)地板下；b)應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋c)采取措施防止機(jī)房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；靜電危害防靜電a)安裝防靜電地板并采用必要的接地防靜電措施；b)采取措施防止靜電的產(chǎn)生，例如采用靜電消除溫濕度異常溫濕度控制電力中斷電力供應(yīng)b)提供短期的備用電力供應(yīng)，至少滿足設(shè)備在斷常運(yùn)行要求；c)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電；電磁干擾和泄漏電磁防護(hù)a)電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；1.9安全管理中心設(shè)計(jì)本項(xiàng)目作為政務(wù)服務(wù)應(yīng)用的承載體,嚴(yán)格按照國家1.9.5系統(tǒng)建設(shè)管理1.10安全運(yùn)營體系設(shè)計(jì)展要求整合后，參照國際IT服務(wù)管理標(biāo)準(zhǔn)ISO****0及最佳實(shí)踐ITIL,根據(jù)平安全運(yùn)維組織體系是實(shí)施安全運(yùn)維的核心，通過安全運(yùn)維組織體系的建設(shè)同步運(yùn)行，在信息化建設(shè)的過程中，要同步落實(shí)如下工作：測(cè)評(píng)等工作確項(xiàng)目成員的職責(zé)分工；1.10.2安全評(píng)估工作1.10.3網(wǎng)絡(luò)安全應(yīng)急響應(yīng)應(yīng)急響應(yīng)流程包括如下內(nèi)容：3.總結(jié)階段3.總結(jié)階段機(jī)制安全計(jì)算環(huán)境身份鑒別安全審計(jì)惡意代碼規(guī)范甚于信息保護(hù)1.11.4安全運(yùn)維管理1.12移動(dòng)互聯(lián)安全擴(kuò)展設(shè)計(jì)1.12.1安全物理環(huán)境建設(shè)內(nèi)容下特性：態(tài)勢(shì)總覽、主機(jī)加固(10節(jié)點(diǎn))、虛擬防火墻(100M)、日志審計(jì)(500G)、漏洞掃描(每月一次)、Web套12.3國產(chǎn)密碼2.3.1物理層面2.3.3應(yīng)用和數(shù)據(jù)層面PKI基礎(chǔ)設(shè)施，將時(shí)間可信功能從應(yīng)用系統(tǒng)中獨(dú)立出來，解決對(duì)時(shí)間可信的安務(wù)，同時(shí)具備安全可靠的密鑰管理機(jī)制。具采用終端密碼產(chǎn)品USBKEY、數(shù)字證書、國密瀏覽器，完成信源加密(應(yīng)用系統(tǒng)客戶端的信息加密、信息傳輸完整性保護(hù))、信道加密(基于國密的SSL加密鏈路)。編號(hào)設(shè)備類型供商國密門禁部署在政務(wù)云中心(水土)云服務(wù)商2網(wǎng)絡(luò)層面國密VPN網(wǎng)關(guān)部署在政務(wù)云中心(水土云服務(wù)商編號(hào)設(shè)備類型設(shè)備/服務(wù)提供商3應(yīng)用和數(shù)據(jù)國密簽名驗(yàn)簽部署在政務(wù)云中心(水土)云服務(wù)商4應(yīng)用和數(shù)據(jù)國