網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0保障體系規(guī)劃方案【前言】本文內(nèi)容為信息安全技術(shù)體系、運(yùn)維體系、管理體系的評(píng)估和規(guī)劃，是信息安全保障體系的主體。一、概述1.1引言本文基于對(duì)XX公司信息安全風(fēng)險(xiǎn)評(píng)估總體規(guī)劃的分析，提出XX公司信息安全技術(shù)工作的總體規(guī)劃、目標(biāo)以及基本原則，并在此基礎(chǔ)上從信息安全保障體系的視角描繪了未來的信息安全總體架構(gòu)。本文內(nèi)容為信息安全技術(shù)體系、運(yùn)維體系、管理體系的評(píng)估和規(guī)劃，是信息安全保障體系的主體。1.2背景1.2.1XX行業(yè)相關(guān)要求國家XX行業(yè)總局一直以來十分重視信息安全管理工作，先后下發(fā)了涉及保密計(jì)算機(jī)運(yùn)行、等級(jí)保護(hù)定級(jí)等多個(gè)文件，下發(fā)了《XX行業(yè)信息安全保障體系建設(shè)指南》，指南從技術(shù)、管理、運(yùn)維三個(gè)方面對(duì)安全保障提出了建議，如下圖所示。1.2.2國家等級(jí)保護(hù)要求等級(jí)保護(hù)工作作為我國信息安全保障工作中的一項(xiàng)基本制度，對(duì)提高基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全防護(hù)水平有著重要作用，在《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中對(duì)信息安全管理和信息安全技術(shù)也提出了要求，如下圖所示。圖1_2等?；疽罂蚣軋D1.2.3三個(gè)體系自身業(yè)務(wù)要求在國家數(shù)字XX行業(yè)政策的引導(dǎo)下，近年來信息系統(tǒng)建設(shè)日趨完善，業(yè)務(wù)系統(tǒng)對(duì)信息系統(tǒng)的依賴程度逐漸增加，信息系統(tǒng)的重要性也逐漸提高，其安全保障就成為了重點(diǎn)。信息系統(tǒng)的重要組成部分包括MES系統(tǒng)、ERP系統(tǒng)、網(wǎng)站系統(tǒng)、工商協(xié)同營銷系統(tǒng)、LIMS系統(tǒng)、OA系統(tǒng)及生產(chǎn)系統(tǒng)等。企業(yè)生產(chǎn)已經(jīng)高度依賴于企業(yè)的信息化和各信息系統(tǒng)。

信息系統(tǒng)現(xiàn)階段還無法達(dá)到完全的自動(dòng)化和智能化運(yùn)行。因此需要各級(jí)技術(shù)人員對(duì)信息系統(tǒng)進(jìn)行運(yùn)行和維護(hù)。

在整個(gè)信息系統(tǒng)運(yùn)行的過程中，起主導(dǎo)作用的仍然是人，是各級(jí)管理員。設(shè)備的作用仍然僅僅停留在執(zhí)行層面。因此信息系統(tǒng)的穩(wěn)定運(yùn)行的決定因素始終都在于人員的操作。

信息安全運(yùn)維體系的作用是在安全管理體系和安全技術(shù)體系的運(yùn)行過程中，發(fā)現(xiàn)和糾正各類安全保障措施存在的問題和不足，保證它們穩(wěn)定可靠運(yùn)行，有效執(zhí)行安全策略規(guī)定的目標(biāo)和原則。

當(dāng)運(yùn)行維護(hù)過程中發(fā)現(xiàn)目前的信息安全保障體系不能滿足本單位信息化建設(shè)的需要時(shí)，就可以對(duì)保障體系進(jìn)行新的規(guī)劃和設(shè)計(jì)。從而使新的保障體系能夠適應(yīng)企業(yè)不斷發(fā)展和變化的安全需求。這也仍遵循和完善了PDCA原則。1.3三個(gè)體系規(guī)劃目標(biāo)1.3.1安全技術(shù)和安全運(yùn)維體系規(guī)劃目標(biāo)建立技術(shù)體系的目的是通過使用安全產(chǎn)品和技術(shù)，支撐和實(shí)現(xiàn)安全策略，達(dá)到信息系統(tǒng)的保密、完整、可用等安全目標(biāo)。按照P2DR2模型，行業(yè)信息安全技術(shù)體系涉及信息安全防護(hù)、檢測(cè)、響應(yīng)和恢復(fù)四個(gè)方面的內(nèi)容：1、防護(hù)：通過訪問控制、信息系統(tǒng)完整性保護(hù)、系統(tǒng)與通信保護(hù)、物理與環(huán)境保護(hù)等安全控制措施，使信息系統(tǒng)具備比較完善的抵抗攻擊破壞的能力。2、檢測(cè)：通過采取入侵檢測(cè)、漏洞掃描、安全審計(jì)等技術(shù)手段，對(duì)信息系統(tǒng)運(yùn)行狀態(tài)和操作行為進(jìn)行監(jiān)控和記錄，對(duì)信息系統(tǒng)的脆弱性以及面臨的威脅進(jìn)行評(píng)估，及時(shí)發(fā)現(xiàn)安全隱患和入侵行為并發(fā)出告警。3、響應(yīng)：通過事件監(jiān)控和處理工具等技術(shù)措施，提高應(yīng)急處理和事件響應(yīng)能力，保證在安全事件發(fā)生后能夠及時(shí)進(jìn)行分析、定位、跟蹤、排除和取證。4、恢復(fù)：通過建立信息系統(tǒng)備份和恢復(fù)機(jī)制，保證在安全事件發(fā)生后及時(shí)有效地進(jìn)行信息系統(tǒng)設(shè)施和重要數(shù)據(jù)的恢復(fù)。1.3.2安全管理體系規(guī)目標(biāo)本次項(xiàng)目通過風(fēng)險(xiǎn)評(píng)估對(duì)XX公司自身安全管理現(xiàn)狀進(jìn)行全面了解后，對(duì)信息安全管理整體提出以下目標(biāo)：健全信息安全管理組織，建立信息安全專業(yè)服務(wù)團(tuán)隊(duì)，建立完善的信息安全風(fēng)險(xiǎn)管理流程，完善信息安全制度與標(biāo)準(zhǔn)，建立規(guī)范化的流程。1.4技術(shù)及運(yùn)維體系規(guī)劃參考模型及標(biāo)準(zhǔn)1.4.1參考模型目前安全模型已經(jīng)從以前的被動(dòng)保護(hù)轉(zhuǎn)到了現(xiàn)在的主動(dòng)防御，強(qiáng)調(diào)整個(gè)生命周期的防御和恢復(fù)。PDR模型就是最早提出的體現(xiàn)這樣一種思想的安全模型。所謂PDR模型指的就是基于防護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Reaction）的安全模型。上個(gè)世紀(jì)90年代末，ANS聯(lián)盟在PDR模型的基礎(chǔ)上建立了新的P2DR模型。該模型是可量化、可由數(shù)學(xué)證明、基于時(shí)間的、以PDR為核心的安全模型。這里P2DR2是策略（Policy）、防護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Response）、恢復(fù)（Recovery）的縮寫。策略（Policy）策略是P2DR模型的核心，所有的防護(hù)、檢測(cè)、響應(yīng)都是依據(jù)策略。它描述了系統(tǒng)中哪些資源要得到保護(hù)，以及如何實(shí)現(xiàn)對(duì)它們的保護(hù)等。防護(hù)（Protection）防護(hù)是主動(dòng)防御的防御部分，系統(tǒng)的安全最終是依靠防護(hù)來實(shí)現(xiàn)的。防護(hù)的對(duì)象涵蓋了系統(tǒng)的全部，防護(hù)手段也因此多種多樣。檢測(cè)（Detection）檢測(cè)是動(dòng)態(tài)響應(yīng)和加強(qiáng)防護(hù)的依據(jù)。通過不間斷的檢測(cè)網(wǎng)絡(luò)和系統(tǒng)，來發(fā)現(xiàn)威脅。響應(yīng)（Response）響應(yīng)是主動(dòng)防御的實(shí)現(xiàn)。根據(jù)策略以及檢測(cè)到的情況動(dòng)態(tài)的調(diào)整防護(hù)，達(dá)到主動(dòng)防御的目的。隨著技術(shù)的進(jìn)步，人們?cè)赑2DR模型以后又提出了APPDRR模型，即在P2DR模型中加入恢復(fù)（Recovery）手段。這樣一旦系統(tǒng)安全事故發(fā)生了，也能恢復(fù)系統(tǒng)功能和數(shù)據(jù)，恢復(fù)系統(tǒng)的正常運(yùn)行。1.4.2參考標(biāo)準(zhǔn)主要參考標(biāo)準(zhǔn)：《信息保障技術(shù)框架v3.1》（IATF）

美國國家安全局《信息系統(tǒng)安全管理指南》（ISO13335）

國際標(biāo)準(zhǔn)化組織《信息安全風(fēng)險(xiǎn)評(píng)估指南》（國標(biāo)審議稿）中華人民共和國質(zhì)監(jiān)總局其它參考標(biāo)準(zhǔn)：AS/NZS4360:1999

風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)ISO/IEC17799:2005/BS7799Part1ISO/IEC27001:2005/BS7799Part2ISO/IEC15408（CC）GB17859-1999等級(jí)保護(hù)實(shí)施意見（公通字[2004]66號(hào)）《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》GB17859行業(yè)參考標(biāo)準(zhǔn)：《XX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》1.5管理體系規(guī)劃參考模型及標(biāo)準(zhǔn)1.5.1國家信息安全標(biāo)準(zhǔn)、指南1.

GB/T20274—2006信息系統(tǒng)安全保障評(píng)估框架2.

GB/T19715.1—2005信息技術(shù)—信息技術(shù)安全管理指南第1部分：信息技術(shù)安全概念和模型3.

GB/T19715.2—2005信息技術(shù)—信息技術(shù)安全管理指南第2部分：管理和規(guī)劃信息技術(shù)安全4.

GB/T19716—2005信息技術(shù)—信息安全管理實(shí)用規(guī)則1.5.2國際信息安全標(biāo)準(zhǔn)1.

ISO/IEC27001:2005信息安全技術(shù)信息系統(tǒng)安全管理要求2.

ISO/IEC13335—1:2004信息技術(shù)信息技術(shù)安全管理指南第1部分：信息技術(shù)安全概念和模型3.

ISO/IECTR15443—1:2005信息技術(shù)安全保障框架第一部分概述和框架4.

ISO/IECTR15443—2:2005信息技術(shù)安全保障框架第二部分保障方法5.

ISO/IECWD15443—3信息技術(shù)安全保障框架第三部分保障方法分析6.

ISO/IECPDTR19791:2004

信息技術(shù)安全技術(shù)運(yùn)行系統(tǒng)安全評(píng)估二、技術(shù)體系建設(shè)規(guī)劃2.1技術(shù)保障體系規(guī)劃2.1.1設(shè)計(jì)原則技術(shù)保障體系的規(guī)劃遵循一下原則：先進(jìn)性原則采用的技術(shù)和形成的規(guī)范，在路線上應(yīng)與當(dāng)前世界的主流發(fā)展趨勢(shì)相一致，保證依據(jù)規(guī)范建成的XX公司網(wǎng)絡(luò)安全系統(tǒng)具有先進(jìn)性和可持續(xù)發(fā)展性。實(shí)用性原則具備多層次、多角度、全方位、立體化的安全保護(hù)功能。各種安全技術(shù)措施盡顯其長(zhǎng)，相互補(bǔ)充。當(dāng)某一種或某一層保護(hù)失效時(shí)，其它仍可起到保護(hù)作用。可靠性原則加強(qiáng)網(wǎng)絡(luò)安全產(chǎn)品的集中管理，保證關(guān)鍵網(wǎng)絡(luò)安全設(shè)備的冷熱備份，避免骨干傳輸線路的單點(diǎn)連接，保證系統(tǒng)7*24小時(shí)不間斷可靠運(yùn)行。可操作性原則根據(jù)XX公司風(fēng)險(xiǎn)評(píng)估結(jié)果，制定出各具特色、有較強(qiáng)針對(duì)性和可操作性的網(wǎng)絡(luò)安全技術(shù)保障規(guī)劃，適用于XX公司信息安全的規(guī)劃、建設(shè)、運(yùn)行、維護(hù)和管理?？蓴U(kuò)展性原則規(guī)范應(yīng)具有良好的可擴(kuò)展性，能適應(yīng)安全技術(shù)的快速發(fā)展和更新，能隨著網(wǎng)絡(luò)安全需求的變化而變化，網(wǎng)絡(luò)安全保護(hù)周期應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期相同步，充分保證投資的效益。2.1.2技術(shù)路線分級(jí)保護(hù)的思想遵照《XX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》、《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》的要求，結(jié)合XX公司網(wǎng)絡(luò)應(yīng)用實(shí)際，XX公司網(wǎng)絡(luò)的信息安全防護(hù)措施需要滿足安全等級(jí)保護(hù)要求，必須按照確定的安全策略，整體實(shí)施安全保護(hù)。分層保護(hù)的思想按照XX公司業(yè)務(wù)承載網(wǎng)絡(luò)的核心層、接入（匯聚）層、接入局域網(wǎng)三個(gè)層次，根據(jù)確定的安全策略，規(guī)范設(shè)置相應(yīng)的安全防護(hù)、檢測(cè)、響應(yīng)功能，利用虛擬專用網(wǎng)絡(luò)（例如MPLSVPN、IPSecVPN、SSLVPN）、公鑰基礎(chǔ)設(shè)施/授權(quán)管理基礎(chǔ)設(shè)施（PKI/PMI）、防火墻、在線入侵抵御、入侵檢測(cè)、防病毒、強(qiáng)審計(jì)、冷熱備份、線路冗余等多種安全技術(shù)和產(chǎn)品，進(jìn)行全方位的安全保護(hù)。分域保護(hù)的思想控制大型網(wǎng)絡(luò)安全的另一種思想是把網(wǎng)絡(luò)劃分成不同的邏輯網(wǎng)絡(luò)安全域，每一個(gè)網(wǎng)絡(luò)安全域由所定義的安全邊界來保護(hù)。綜合考慮信息性質(zhì)、使用主體等要素，XX公司網(wǎng)絡(luò)劃分為計(jì)算域、支撐域、接入域、基礎(chǔ)設(shè)施域四種類型安全域。通過在相連的兩個(gè)網(wǎng)絡(luò)之間采用訪問控制措施來進(jìn)行網(wǎng)絡(luò)的隔離和連接服務(wù)。其中，隔離安全服務(wù)包括身份認(rèn)證、訪問控制、抗抵賴和強(qiáng)審計(jì)等；連接安全服務(wù)包括傳輸過程中的保密、完整和可用等。動(dòng)態(tài)安全的思想動(dòng)態(tài)網(wǎng)絡(luò)安全的思想，一方面是要安全體系具備良好的動(dòng)態(tài)適應(yīng)性和可擴(kuò)展性。威脅和風(fēng)險(xiǎn)是在不斷變化的，安全體系也應(yīng)當(dāng)根據(jù)新的風(fēng)險(xiǎn)的引入或風(fēng)險(xiǎn)累積到一定程度后，適時(shí)進(jìn)行策略調(diào)整和體系完善；另一方面是在方案的制定和產(chǎn)品的選取中，注重方案和產(chǎn)品的自愈、自適應(yīng)功能，在遭遇攻擊時(shí)，具有一定的自動(dòng)恢復(fù)和應(yīng)急能力。2.2信息安全保障技術(shù)體系規(guī)劃2.2.1安全域劃分及網(wǎng)絡(luò)改造安全域劃分及網(wǎng)絡(luò)改造是系統(tǒng)化安全建設(shè)的基礎(chǔ)性工作，也是層次化立體化防御以及落實(shí)安全管理政策，制定合理安全管理制度的基礎(chǔ)。此過程保證在網(wǎng)絡(luò)基礎(chǔ)層面實(shí)現(xiàn)系統(tǒng)的安全防御。2.2.1.1目標(biāo)規(guī)劃的理論依據(jù)安全域簡(jiǎn)介安全域是指同一系統(tǒng)內(nèi)有相同的安全保護(hù)需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)，相同的網(wǎng)絡(luò)安全域共享一樣的安全策略。相對(duì)以上安全域的定義，廣義的安全域概念是指：具有相同和相似的安全要求和策略的IT要素的集合。這些IT要素包括但不僅限于：物理環(huán)境、策略和流程、業(yè)務(wù)和使命、人和組織、網(wǎng)絡(luò)區(qū)域、主機(jī)和系統(tǒng)……總體架構(gòu)如下圖所示：安全域的劃分如下：圖2_1安全與總體框架本次建議的劃分方法是立體的，即：各個(gè)域之間不是簡(jiǎn)單的相交或隔離關(guān)系，而是在網(wǎng)絡(luò)和管理上有不同的層次。網(wǎng)絡(luò)基礎(chǔ)設(shè)施域是所有域的基礎(chǔ)，包括所有的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)通訊支撐設(shè)施域。網(wǎng)絡(luò)基礎(chǔ)設(shè)施域分為骨干區(qū)、匯集區(qū)和接入?yún)^(qū)。支撐設(shè)施域是其他上層域需要公共使用的部分，主要包括：安全系統(tǒng)、網(wǎng)管系統(tǒng)和其他支撐系統(tǒng)等。計(jì)算域主要是各類的服務(wù)器、數(shù)據(jù)庫等，主要分為一般服務(wù)區(qū)、重要服務(wù)區(qū)和核心區(qū)。邊界接入域是各類接入的設(shè)備和終端以及業(yè)務(wù)系統(tǒng)邊界，按照接入類型分為：互聯(lián)網(wǎng)接入、外聯(lián)網(wǎng)接入、內(nèi)聯(lián)網(wǎng)接入和內(nèi)網(wǎng)接入。2.2.1.2建設(shè)規(guī)劃內(nèi)容邊界接入域邊界接入域的劃分邊界接入域的劃分，根據(jù)XX公司公司的實(shí)際情況，相對(duì)于ISO13335定義的接入類型，分別有如下對(duì)應(yīng)關(guān)系：邊界接入域威脅分析由于邊界接入域是XX公司公司信息系統(tǒng)中與外部相連的邊界，因此主要威脅有：黑客攻擊（外部入侵）惡意代碼（病毒蠕蟲）越權(quán)（非授權(quán)接入）終端違規(guī)操作……針對(duì)邊界接入域的主要威脅，相應(yīng)的防護(hù)手段有：訪問控制（如防火墻）用于應(yīng)對(duì)外部攻擊遠(yuǎn)程接入管理（如VPN）用于應(yīng)對(duì)非授權(quán)接入入侵檢測(cè)與防御（IDS&IPS）用于應(yīng)對(duì)外部入侵和蠕蟲病毒惡意代碼防護(hù)（防病毒）用于應(yīng)對(duì)蠕蟲病毒終端管理（注入控制、補(bǔ)丁管理、資產(chǎn)管理等）對(duì)終端進(jìn)行合規(guī)管理計(jì)算域計(jì)算域的劃分

計(jì)算域是各類應(yīng)用服務(wù)、中間件、大機(jī)、數(shù)據(jù)庫等局域計(jì)算設(shè)備的集合，根據(jù)計(jì)算環(huán)境的行為不同和所受威脅不同，分為以下三個(gè)區(qū)：一般服務(wù)區(qū)用于存放防護(hù)級(jí)別較低（資產(chǎn)級(jí)別小于等于3），需直接對(duì)外提供服務(wù)的信息資產(chǎn)，如辦公服務(wù)器等，一般服務(wù)區(qū)與外界有直接連接，同時(shí)不能夠訪問核心區(qū)（避免被作為攻擊核心區(qū)的跳板）；重要服務(wù)區(qū)重要服務(wù)區(qū)用于存放級(jí)別較高（資產(chǎn)級(jí)別大于3），不需要直接對(duì)外提供服務(wù)的信息資產(chǎn)，如前置機(jī)等，重要服務(wù)區(qū)一般通過一般服務(wù)區(qū)與外界連接，并可以直接訪問核心區(qū)；核心區(qū)核心區(qū)用于存放級(jí)別非常高（資產(chǎn)級(jí)別大于等于4）的信息資產(chǎn)，如核心數(shù)據(jù)庫等，外部對(duì)核心區(qū)的訪問需要通過重要服務(wù)區(qū)跳轉(zhuǎn)。計(jì)算域的劃分參見下圖：圖2_3計(jì)算域劃分圖計(jì)算域威脅分析由于計(jì)算域處于信息系統(tǒng)的內(nèi)部，因此主要威脅有：內(nèi)部人員越權(quán)和濫用內(nèi)部人員操作失誤軟硬件故障內(nèi)部人員篡改數(shù)據(jù)內(nèi)部人員抵賴行為對(duì)外服務(wù)系統(tǒng)遭受攻擊及非法入侵針對(duì)計(jì)算域主要是內(nèi)部威脅的特點(diǎn)，主要采取以下防護(hù)手段：應(yīng)用和業(yè)務(wù)開發(fā)維護(hù)安全基于應(yīng)用的審計(jì)身份認(rèn)證與行為審計(jì)同時(shí)也輔助以其他的防護(hù)手段：對(duì)網(wǎng)絡(luò)異常行為的檢測(cè)對(duì)信息資產(chǎn)的訪問控制支撐設(shè)施域支撐設(shè)施域的劃分如上圖所示，將網(wǎng)絡(luò)管理、安全管理和業(yè)務(wù)運(yùn)維（業(yè)務(wù)操作監(jiān)控）放置在獨(dú)立的安全域中，不僅能夠有效的保護(hù)上述三個(gè)高級(jí)別信息系統(tǒng)，同時(shí)在突發(fā)事件中也有利于保障后備通訊能力。其中，安全設(shè)備、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)操作監(jiān)控的管理端口都應(yīng)該處于獨(dú)立的管理VLAN中，如果條件允許，還應(yīng)該分別劃分安全VLAN、網(wǎng)管VLAN和業(yè)務(wù)管理VLAN。支撐設(shè)施域的威脅分析支撐設(shè)施域是跨越多個(gè)業(yè)務(wù)系統(tǒng)和地域的，它的保密級(jí)別和完整性要求較高，對(duì)可用性的要求略低，主要的威脅有：網(wǎng)絡(luò)傳輸泄密（如網(wǎng)絡(luò)管理人員在網(wǎng)絡(luò)設(shè)備上竊聽業(yè)務(wù)數(shù)據(jù)）非授權(quán)訪問和濫用（如業(yè)務(wù)操作人員越權(quán)操作其他業(yè)務(wù)系統(tǒng)）內(nèi)部人員抵賴（如對(duì)誤操作進(jìn)行抵賴等）針對(duì)支撐設(shè)施域的威脅特點(diǎn)和級(jí)別，應(yīng)采取以下防護(hù)措施：帶外管理和網(wǎng)絡(luò)加密身份認(rèn)證和訪問控制審計(jì)和檢測(cè)網(wǎng)絡(luò)基礎(chǔ)設(shè)施域網(wǎng)絡(luò)基礎(chǔ)設(shè)施域的劃分網(wǎng)絡(luò)基礎(chǔ)設(shè)施域的威脅分析主要威脅有：網(wǎng)絡(luò)設(shè)備故障網(wǎng)絡(luò)泄密物理環(huán)境威脅相應(yīng)的防護(hù)措施為：通過備份、冗余確?；A(chǔ)網(wǎng)絡(luò)的可用性通過網(wǎng)絡(luò)傳輸加密確?；A(chǔ)網(wǎng)絡(luò)的保密性通過基于網(wǎng)絡(luò)的認(rèn)證確保基礎(chǔ)網(wǎng)絡(luò)的完整性2.2.2現(xiàn)有信息技術(shù)體系描述XX公司現(xiàn)有網(wǎng)絡(luò)拓?fù)鋁X公司網(wǎng)絡(luò)結(jié)構(gòu)脆弱性評(píng)估2.2.2.1網(wǎng)絡(luò)結(jié)構(gòu)層次不清晰當(dāng)前網(wǎng)絡(luò)骨干區(qū)域，基本形成以兩臺(tái)C6509為核心，多臺(tái)C2970/C2950等為接入的架構(gòu)，網(wǎng)絡(luò)骨干設(shè)備性能優(yōu)異，擴(kuò)展能力較強(qiáng)。但部分區(qū)域仍然存在結(jié)構(gòu)層次不清晰、不合理之處。遠(yuǎn)程接入?yún)^(qū)域，包括XXX單位通過專線直接接入到核心交換機(jī)C6509上，其它的上聯(lián)國家局、XX公司局等專線鏈路也直接接入到核心交換機(jī)C6509上，除國家局配置有防火墻外，其它連接均未經(jīng)過任何匯聚或訪問控制設(shè)備。核心交換機(jī)C6509同時(shí)兼具上述多條專線接入設(shè)備的任務(wù)，網(wǎng)絡(luò)邏輯層次結(jié)構(gòu)較為模糊。2.2.2.2網(wǎng)絡(luò)單點(diǎn)故障當(dāng)前網(wǎng)絡(luò)核心層為冗余設(shè)備，下聯(lián)接入層交換為冗余線路，其它對(duì)外連接均為單設(shè)備和單線路連接，存在網(wǎng)絡(luò)單點(diǎn)故障隱患。各遠(yuǎn)程接入鏈路均為一條電信專線，沒有其它冗余的廣域網(wǎng)鏈路，存在遠(yuǎn)程接入鏈路單點(diǎn)故障。外網(wǎng)服務(wù)器區(qū)的Web和Mail服務(wù)器的互聯(lián)網(wǎng)連接和訪問均為單線路，存在單點(diǎn)故障。2.2.2.3網(wǎng)絡(luò)安全域劃分不明公司大多數(shù)內(nèi)網(wǎng)服務(wù)器系統(tǒng)分布在XX網(wǎng)段，沒有進(jìn)一步的VLAN劃分及其它防護(hù)措施的隔離。ERP、協(xié)同辦公、營銷等重要系統(tǒng)混雜在一起，與其它服務(wù)器都部署在同一個(gè)區(qū)域，非常不利于隔離防護(hù)及后期的安全規(guī)劃建設(shè)。下屬車間存在生產(chǎn)網(wǎng)與辦公網(wǎng)絡(luò)混用的情況。各生產(chǎn)網(wǎng)與辦公網(wǎng)未嚴(yán)格隔離，未整合邊界，未實(shí)施集中安全防護(hù)。業(yè)務(wù)維護(hù)人員、網(wǎng)絡(luò)管理人員、安全管理人員以及第三方運(yùn)維人員，未劃分專門的管理支撐域。當(dāng)前主要根據(jù)辦公物理位置，各自接入到辦公網(wǎng)中，未與普通辦公人員網(wǎng)絡(luò)區(qū)域隔離。遠(yuǎn)程接入?yún)^(qū)域，根據(jù)對(duì)端可信度及管理職責(zé)等，可以劃分為四類:國家XX行業(yè)；省商業(yè)公司鏈路；XXX單位接入;當(dāng)前未進(jìn)行分類隔離，統(tǒng)一安全策略。2.2.2.4部分節(jié)點(diǎn)區(qū)域缺乏必要安全防護(hù)措施內(nèi)部終端用戶訪問內(nèi)部服務(wù)器、互聯(lián)網(wǎng)絡(luò)沒有有效的控制行為；能夠訪問互聯(lián)網(wǎng)的終端不能有效控制訪問帶寬并進(jìn)行行為審計(jì)。遠(yuǎn)程接入XXX單位專線直接接入到核心交換機(jī)Cisco3845上，兩端均未部署防火墻實(shí)施訪問控制。XXX單位用戶可以任意訪問到總部網(wǎng)絡(luò)，任意訪問內(nèi)網(wǎng)服務(wù)器。全網(wǎng)缺乏一套集中的安全運(yùn)營管理中心，當(dāng)前網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)及業(yè)務(wù)系統(tǒng)的日志及安全運(yùn)行狀況監(jiān)控，僅由各自維護(hù)人員手工操作，直接登錄設(shè)備檢查分析。內(nèi)網(wǎng)服務(wù)器區(qū)、生產(chǎn)服務(wù)器區(qū)缺乏業(yè)務(wù)審計(jì)設(shè)備，無法記錄關(guān)鍵的業(yè)務(wù)、維護(hù)操作行為。2.2.2.5現(xiàn)有的安全技術(shù)防護(hù)手段

在互聯(lián)網(wǎng)出口部署了防火墻兩臺(tái)，同時(shí)設(shè)置訪問規(guī)則對(duì)Web服務(wù)器和內(nèi)網(wǎng)用戶對(duì)互聯(lián)網(wǎng)的訪問進(jìn)行網(wǎng)絡(luò)層控制；在核心交換機(jī)上部署了入侵檢測(cè)系統(tǒng)，對(duì)核心交換上的數(shù)據(jù)信息進(jìn)行入侵行為的檢測(cè)；在郵件系統(tǒng)部署了防垃圾郵件系統(tǒng)，可對(duì)垃圾郵件進(jìn)行過濾；內(nèi)網(wǎng)部署了趨勢(shì)的網(wǎng)絡(luò)防病毒系統(tǒng)，內(nèi)網(wǎng)部署了內(nèi)網(wǎng)管理系統(tǒng)，可對(duì)內(nèi)部網(wǎng)絡(luò)終端進(jìn)行接入管理、主機(jī)維護(hù)管理、補(bǔ)丁管理、主機(jī)行為審計(jì)等。2.3技術(shù)體系規(guī)劃主要內(nèi)容2.3.1網(wǎng)絡(luò)安全域改造建設(shè)規(guī)劃改造建議說明：新增管理支撐域，作為整個(gè)網(wǎng)絡(luò)的設(shè)備和系統(tǒng)管理中心。新增匯聚層網(wǎng)絡(luò)設(shè)施域，部署四臺(tái)三層交換機(jī)，核心部件采用冗余配置，作為整個(gè)網(wǎng)絡(luò)的匯聚層，這樣既便于接入?yún)^(qū)和服務(wù)區(qū)的訪問控制，又將生產(chǎn)區(qū)和辦公區(qū)進(jìn)行了區(qū)分，并分擔(dān)了核心交換機(jī)的負(fù)擔(dān)。在核心交換和新增的匯聚交換間部署防火墻進(jìn)行服務(wù)域的訪問控制；將原有的服務(wù)器使用VLAN方式劃分為核心服務(wù)域和一般服務(wù)域；更換互聯(lián)網(wǎng)出口防火墻為安全網(wǎng)關(guān)，采用雙機(jī)冗余方式部署，并啟用IPS檢測(cè)、AV檢測(cè)功能，為對(duì)外提供服務(wù)的WEB和MAIL服務(wù)器制定保護(hù)策略；在互聯(lián)網(wǎng)安全網(wǎng)關(guān)后增加上網(wǎng)行為管理系統(tǒng)，采用雙機(jī)冗余方式部署，對(duì)訪問互聯(lián)網(wǎng)的流量和訪問進(jìn)行控制和審計(jì)；將互聯(lián)網(wǎng)出口替換下的防火墻部署到單獨(dú)劃分的財(cái)務(wù)服務(wù)域前端，進(jìn)行必要的訪問控制保護(hù)；將XXX單位連接線路由原來的連接核心C6509改為連接新增加的匯聚層防火墻上，增加外部訪問的訪問控制。2.3.2網(wǎng)絡(luò)安全設(shè)備建設(shè)規(guī)劃網(wǎng)絡(luò)安全設(shè)備分為邊界保護(hù)類，入侵檢測(cè)/防御類，終端保護(hù)等多種。網(wǎng)絡(luò)安全產(chǎn)品的類型是由網(wǎng)絡(luò)安全技術(shù)決定的，為了實(shí)現(xiàn)全面的安全防護(hù)，以不同的實(shí)體出現(xiàn)的安全設(shè)備要在技術(shù)上覆蓋所有的安全領(lǐng)域，也就是所有安全設(shè)備功能的總和在技術(shù)層面應(yīng)該能夠防御目前網(wǎng)絡(luò)環(huán)境下所有安全威脅的總和。安全產(chǎn)品雖然不是安全防護(hù)體系的決定因素，卻是安全防御體系的基石。是實(shí)現(xiàn)系統(tǒng)化全方位網(wǎng)絡(luò)安全防護(hù)的必要條件。在充分分析目前XX公司已經(jīng)部署的網(wǎng)絡(luò)安全設(shè)備的前提下，又結(jié)合了風(fēng)險(xiǎn)評(píng)估的結(jié)果，以及安全域劃分和網(wǎng)絡(luò)改造的具體需求，得出了最終需要新增的網(wǎng)絡(luò)安全設(shè)備需求。此過程保證在設(shè)備層面實(shí)現(xiàn)安全技術(shù)體系。部署完成后，XX公司所有安全設(shè)備防護(hù)功能的總和在技術(shù)層面上將能夠滿足防護(hù)和應(yīng)對(duì)目前已知安全威脅。同時(shí)滿足《XX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》中在技術(shù)體系建設(shè)方面對(duì)網(wǎng)絡(luò)安全部分的要求。結(jié)合規(guī)劃的安全域，在新的安全環(huán)境下，規(guī)劃的安全設(shè)備部署示意圖如下：2.3.2.1防火墻設(shè)備部署位置防火墻部署在核心層和匯聚層之間。如下圖所示。安全功能防火墻系統(tǒng)是進(jìn)行安全域邊界防護(hù)的有效手段。需要部署防火墻將網(wǎng)絡(luò)分割成不同安全區(qū)域，并對(duì)核心業(yè)務(wù)系統(tǒng)形成縱深保護(hù)體系。在新增的匯聚網(wǎng)絡(luò)層和核心網(wǎng)絡(luò)層之間冗余部署四臺(tái)防火墻設(shè)備，實(shí)現(xiàn)生產(chǎn)接入域、辦公接入域和其他區(qū)域訪問的控制，生產(chǎn)接入域和辦公接入域之間的訪問控制。通過此次安全域的劃分和網(wǎng)絡(luò)改造，使防火墻主要可以起到如下幾類作用：限制各個(gè)接入網(wǎng)絡(luò)對(duì)網(wǎng)絡(luò)設(shè)備的訪問。限制接入網(wǎng)絡(luò)穿過的源。限制接入網(wǎng)絡(luò)能訪問的目的。限制接入網(wǎng)絡(luò)穿過的應(yīng)用端口。限制能提供的應(yīng)用端口。2.3.2.2安全網(wǎng)關(guān)設(shè)備部署位置一體化安全網(wǎng)關(guān)部署在互聯(lián)網(wǎng)出口處，做互聯(lián)網(wǎng)邊界綜合防護(hù)。如下圖所示。實(shí)現(xiàn)安全功能：訪問控制IP地址過濾、MAC地址過濾、IP＋MAC綁定、用戶認(rèn)證、流量整形、連接數(shù)控制等IPS防御體系通過繼承的IPS功能，精確抵御黑客攻擊、蠕蟲、木馬、后門；抑制間諜軟件、灰色軟件、網(wǎng)絡(luò)釣魚的泛濫；并可有效防止拒絕服務(wù)攻擊。網(wǎng)絡(luò)防病毒能夠有效抵御文件感染病毒、宏病毒、腳本病毒、蠕蟲、木馬、惡意軟件、灰色軟件等。抗DoS攻擊采用特征控制和異?？刂葡嘟Y(jié)合的手段，有效保障抗拒絕服務(wù)攻擊的準(zhǔn)確性和全面性，阻斷絕大多數(shù)的DoS攻擊行為。2.3.2.3上網(wǎng)行為管理設(shè)備部署位置上網(wǎng)行為管理部署在互聯(lián)網(wǎng)出口處。如下圖所示。安全功能：P2P流量控制對(duì)P2P的應(yīng)用加以控制，例如提供最大帶寬限制、保證帶寬、帶寬租借、應(yīng)用優(yōu)先級(jí)等一系列帶寬管理功能，最終可實(shí)現(xiàn)禁止使用P2P軟件或限制P2P軟件的可用帶寬，從而達(dá)到控制P2P流量的目標(biāo)，將寶貴的、有限的帶寬資源保留給組織中關(guān)鍵的應(yīng)用和業(yè)務(wù)。服務(wù)分級(jí)服務(wù)分級(jí)是一種帶寬管理的理解方式。也可以理解為某種程度上QoS。針對(duì)不同訪問需求的用戶也可以進(jìn)行服務(wù)的分級(jí)處理，對(duì)帶寬要求高的人員可以獲得較多的帶寬，從而保證其訪問的需求。關(guān)鍵應(yīng)用保障目前XX公司在應(yīng)用方面已經(jīng)建立基于互聯(lián)網(wǎng)的Web和Mail系統(tǒng)，需要在應(yīng)用層加以優(yōu)先保證。上網(wǎng)行為管理設(shè)備可以基于應(yīng)用的重要程度進(jìn)行帶寬資源的合理分配，從而保證重要的、時(shí)效性高的應(yīng)用能夠獲得較多的帶寬，最終能夠保障關(guān)鍵應(yīng)用的正常運(yùn)行。2.3.2.4業(yè)務(wù)安全審計(jì)設(shè)備部署位置網(wǎng)絡(luò)安全審計(jì)設(shè)備主要部署在核心業(yè)務(wù)區(qū)域，按照XX公司安全域的規(guī)劃，需要部署業(yè)務(wù)審計(jì)系統(tǒng)的位置為服務(wù)域（核心服務(wù)域+一般服務(wù)域），生產(chǎn)服務(wù)域（卷包中控、物流中控、制絲中控、動(dòng)力中控），重點(diǎn)審計(jì)內(nèi)容是人為通過網(wǎng)絡(luò)對(duì)各服務(wù)器系統(tǒng)、數(shù)據(jù)的訪問行為審計(jì)和控制，部署示意圖如下：服務(wù)域?qū)徲?jì)系統(tǒng)部署示意圖生產(chǎn)服務(wù)域?qū)徲?jì)系統(tǒng)部署示意圖安全功能滿足合規(guī)要求目前，越來越多的單位面臨一種或者幾種合規(guī)性要求。XX公司面也面臨著合規(guī)性的要求。一是等級(jí)保護(hù)的要求；二是行業(yè)規(guī)范的要求。在國煙辦的147號(hào)文件中，明確要求部署網(wǎng)絡(luò)審計(jì)設(shè)備。有效減少核心信息資產(chǎn)的破壞和泄漏對(duì)企業(yè)的業(yè)務(wù)系統(tǒng)來說，真正重要的核心信息資產(chǎn)往往存放在少數(shù)幾個(gè)關(guān)鍵系統(tǒng)上（如數(shù)據(jù)庫服務(wù)器、應(yīng)用服務(wù)器等），通過使用網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，能夠加強(qiáng)對(duì)這些關(guān)鍵系統(tǒng)的審計(jì)，從而有效地減少對(duì)核心信息資產(chǎn)的破壞和泄漏。追蹤溯源，便于事后追查原因與界定責(zé)任一個(gè)單位里負(fù)責(zé)運(yùn)維的部門通常擁有目標(biāo)系統(tǒng)或者網(wǎng)絡(luò)設(shè)備的最高權(quán)限（例如掌握DBA帳號(hào)的口令），因而也承擔(dān)著很高的風(fēng)險(xiǎn)（誤操作或者是個(gè)別人員的惡意破壞）。由于目標(biāo)系統(tǒng)不能區(qū)別不同人員使用同一個(gè)帳號(hào)進(jìn)行維護(hù)操作，所以不能界定維護(hù)人員的真實(shí)身份。試用網(wǎng)絡(luò)安全審計(jì)系統(tǒng)提供基于角色的審計(jì)，能夠有效地區(qū)分不同維護(hù)人員的身份，便于事后追查原因與界定責(zé)任。直觀掌握業(yè)務(wù)系統(tǒng)運(yùn)行的安全狀況業(yè)務(wù)系統(tǒng)的正常運(yùn)行需要一個(gè)安全、穩(wěn)定的網(wǎng)絡(luò)環(huán)境。對(duì)管理部門來說，網(wǎng)絡(luò)環(huán)境的安全狀況事關(guān)重大。網(wǎng)絡(luò)安全審計(jì)系統(tǒng)提供業(yè)務(wù)流量監(jiān)控與審計(jì)事件統(tǒng)計(jì)分析功能，能夠直觀地反映網(wǎng)絡(luò)環(huán)境的安全狀況。實(shí)現(xiàn)獨(dú)立審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制從內(nèi)控的角度來看，IT系統(tǒng)的使用權(quán)、管理權(quán)與監(jiān)督權(quán)必須三權(quán)分立。網(wǎng)絡(luò)安全審計(jì)系統(tǒng)基于網(wǎng)絡(luò)旁路監(jiān)聽的方式實(shí)現(xiàn)獨(dú)立的審計(jì)與三權(quán)分立，完善了IT內(nèi)控機(jī)制。2.3.2.5漏洞掃描設(shè)備部署位置漏洞掃描系統(tǒng)部署在管理支撐域，通過一個(gè)二層接入交換機(jī)接入到核心交換機(jī)，示意圖如下圖所示：安全功能通過對(duì)網(wǎng)絡(luò)設(shè)備，操作系統(tǒng)，應(yīng)用系統(tǒng)的掃描，有效了解系統(tǒng)弱點(diǎn)，為實(shí)施安全防護(hù)方案和制定安全管理策略提供依據(jù)和參考。制定周期性掃描計(jì)劃，實(shí)現(xiàn)周期性的安全自評(píng)，為有效的風(fēng)險(xiǎn)管理提供參考和支持。2.3.3CA認(rèn)證體系建設(shè)2.3.3.1現(xiàn)狀XX公司目前暫無CA認(rèn)證系統(tǒng)，但按照國家總局的統(tǒng)一建設(shè)要求，已經(jīng)將CA認(rèn)證系統(tǒng)作為即將開始的項(xiàng)目。2.3.3.2建設(shè)規(guī)劃目標(biāo)通過建設(shè)CA認(rèn)證體系，為業(yè)務(wù)應(yīng)用系統(tǒng)提供穩(wěn)定可靠的信息安全服務(wù)，切實(shí)保障系統(tǒng)使用人員身份的真實(shí)性、信息傳輸?shù)谋Ｃ苄浴?shù)據(jù)交換的完整性、發(fā)送信息的不可否認(rèn)性，為信息化建設(shè)和發(fā)展奠定安全基礎(chǔ)。2.3.3.3建設(shè)規(guī)劃內(nèi)容CA認(rèn)證體系平臺(tái)建設(shè)按照《XX行業(yè)行業(yè)CA認(rèn)證體系建設(shè)方案》規(guī)范，XX公司行業(yè)CA認(rèn)證體系項(xiàng)目由數(shù)字證書簽發(fā)服務(wù)平臺(tái)標(biāo)準(zhǔn)版、數(shù)字證書應(yīng)用支撐平臺(tái)和數(shù)字證書系綜合監(jiān)管平臺(tái)組成，本次建設(shè)的企業(yè)級(jí)數(shù)字證書簽發(fā)服務(wù)平臺(tái)標(biāo)準(zhǔn)版，主要建設(shè)內(nèi)容包括CA、RA、KMC系統(tǒng)；數(shù)字證書應(yīng)用支撐服務(wù)平臺(tái)，主要建設(shè)內(nèi)容包括：簽名服務(wù)器、SSL安全代理服務(wù)器、身份認(rèn)證系統(tǒng)、時(shí)間戳服務(wù)器；數(shù)字證書綜合監(jiān)管平臺(tái)，主要建設(shè)內(nèi)容包括：數(shù)字證書備案系統(tǒng)、數(shù)字證書安全審計(jì)系統(tǒng)。CA認(rèn)證體系應(yīng)用建設(shè)應(yīng)用系統(tǒng)身份認(rèn)證利用CA認(rèn)證體系同現(xiàn)有應(yīng)用系統(tǒng)的身份認(rèn)證方式相結(jié)合，針對(duì)重要業(yè)務(wù)系統(tǒng)或重要崗位，進(jìn)行身份驗(yàn)證，保留登錄記錄，落實(shí)責(zé)任，方便管理。

綜合應(yīng)用平臺(tái)單點(diǎn)登錄對(duì)已建設(shè)的信息系統(tǒng)進(jìn)行整合和數(shù)據(jù)交流，并提供統(tǒng)一身份驗(yàn)證平臺(tái)，實(shí)行信息門戶單點(diǎn)登錄。CA認(rèn)證體系建設(shè)和該平臺(tái)相結(jié)合，使單點(diǎn)登錄系統(tǒng)更安全，并便于管理。遠(yuǎn)程VPN訪問身份認(rèn)證由于營銷人員等分布全國各地，需要遠(yuǎn)程訪問公司服務(wù)器。CA認(rèn)證系統(tǒng)和VPN遠(yuǎn)程訪問控制相結(jié)合，更能保障身份唯一性，并大幅提高互聯(lián)網(wǎng)訪問的安全性。2.3.4數(shù)據(jù)安全保障2.3.4.1建設(shè)規(guī)劃目標(biāo)知識(shí)產(chǎn)權(quán)保障通過部署電子文檔安全系統(tǒng)，使得企業(yè)成為電子數(shù)據(jù)的真正所有者，保證企業(yè)知識(shí)產(chǎn)權(quán)。有效提高企業(yè)在市場(chǎng)上的競(jìng)爭(zhēng)力。電子文檔管理流程優(yōu)化通過部署電子文檔安全系統(tǒng)，優(yōu)化文檔安全管理工作的效率，從前需要人工審核的部門由計(jì)算機(jī)網(wǎng)絡(luò)取代，提高了工作效率。同時(shí)，在服務(wù)器上備份所有的文件審查日志。數(shù)據(jù)的完整性、可靠性都得到了極大的提升，也減免了傳統(tǒng)的紙質(zhì)備份保密資料給企業(yè)帶來的成本。

2.3.4.2建設(shè)規(guī)劃內(nèi)容建議部署結(jié)構(gòu)在進(jìn)行文檔保護(hù)系統(tǒng)部署結(jié)構(gòu)時(shí)，考慮到必須保證業(yè)務(wù)的高可用性。因此，采用了雙服務(wù)端熱備設(shè)計(jì)，此舉能夠保證，在一臺(tái)服務(wù)器出現(xiàn)故障的時(shí)候，另一臺(tái)會(huì)接管故障服務(wù)器的工作，保證業(yè)務(wù)的可用性。建議權(quán)限劃分建議根據(jù)XX公司用戶角色不同，初步將用戶權(quán)限規(guī)劃為如下：針對(duì)不同的用戶，可以隨時(shí)靈活的變更權(quán)限，保證安全性和易用性兩不誤。系統(tǒng)使用在正常使用的過程中，最終用戶一般感受不到電子文檔的存在，除非用戶需要：將文件解密；帶電腦離開公司的網(wǎng)絡(luò)環(huán)境；希望產(chǎn)生的文檔不加密；需要把機(jī)密文檔中的文字復(fù)制到特定的網(wǎng)站。2.3.5終端安全管理XX公司現(xiàn)已經(jīng)部署了一套綜合的終端安全管理系統(tǒng)，實(shí)現(xiàn)了對(duì)網(wǎng)絡(luò)終端進(jìn)行主動(dòng)的管理和控制、補(bǔ)丁分發(fā)、強(qiáng)制安全策略、遠(yuǎn)程幫助等主要功能。通過該系統(tǒng)，實(shí)現(xiàn)終端主動(dòng)防護(hù)能力和有效的管理，形成整體的安全準(zhǔn)入控制體系。2.3.6備份與恢復(fù)2.3.6.1現(xiàn)狀目前XX公司還沒與建立起行之有效的備份與恢復(fù)機(jī)制。在網(wǎng)絡(luò)層，系統(tǒng)層，應(yīng)用層都涉及到備份與恢復(fù)的問題。網(wǎng)絡(luò)層的備份主要指的設(shè)備和線路的冗余。在安全域劃分網(wǎng)絡(luò)改造中已經(jīng)涉及并考慮的了線路的冗余問題。2.3.6.2外網(wǎng)通信線路冗余按照相關(guān)文件的要求，在XX行業(yè)技術(shù)體系要求中需要建立通信線路冗余。主要是體現(xiàn)在兩個(gè)方面：互聯(lián)網(wǎng)公共出口的線路冗余。通常做法是選擇兩家以上的運(yùn)營商同時(shí)接入互聯(lián)網(wǎng)，增加冗余，降低通訊鏈路故障風(fēng)險(xiǎn)。公司內(nèi)部廣域網(wǎng)的線路冗余，比如和國家局或者天水煙廠之間的通訊鏈接。通常是租用的SDH專線。可以考慮增加VPN線路作為冗余。在專線故障的時(shí)候啟用VPN線路應(yīng)急。2.3.7安全運(yùn)營中心建設(shè)目前XX公司還未建立安全運(yùn)行中心。建立安全運(yùn)營管理中心，使得XX公司的網(wǎng)絡(luò)安全管理機(jī)構(gòu)能及時(shí)準(zhǔn)確地獲知整個(gè)網(wǎng)絡(luò)安全體系的效果和現(xiàn)狀，并且?guī)椭M(jìn)行正確的決策分析。通過安全運(yùn)營管理中心，將不同位置、不同資產(chǎn)（主機(jī)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等）中分散且海量的安全信息進(jìn)行范式化、匯總、過濾和關(guān)聯(lián)分析，形成基于資產(chǎn)/域的統(tǒng)一等級(jí)的威脅與風(fēng)險(xiǎn)管理，并依托安全知識(shí)庫和工作流程驅(qū)動(dòng)對(duì)威脅與風(fēng)險(xiǎn)進(jìn)行響應(yīng)和處理。2.3.8周期性風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)管理2.3.8.1項(xiàng)目目標(biāo)通過周期性的風(fēng)險(xiǎn)評(píng)估，發(fā)現(xiàn)信息系統(tǒng)存在的安全隱患，以維持公司的整體信息安全水平；通過周期性的安全加固增強(qiáng)主機(jī)的安全性，減小由于主機(jī)漏洞而導(dǎo)致的安全風(fēng)險(xiǎn)。2.3.8.2項(xiàng)目?jī)?nèi)容XX公司的業(yè)務(wù)系統(tǒng)長(zhǎng)期穩(wěn)定安全地運(yùn)行，是XX公司能夠提供優(yōu)質(zhì)服務(wù)的保障。由于信息安全的動(dòng)態(tài)性特點(diǎn)，信息安全工作是一個(gè)持續(xù)的、長(zhǎng)期的工作，建議XX公司每年定期請(qǐng)安全顧問進(jìn)行安全風(fēng)險(xiǎn)評(píng)估。通過專業(yè)、持續(xù)的安全服務(wù)來解決信息系統(tǒng)日常運(yùn)行維護(hù)中的安全問題，降低安全風(fēng)險(xiǎn)、提高信息系統(tǒng)安全水平。風(fēng)險(xiǎn)評(píng)估的范圍為XX公司的整個(gè)信息系統(tǒng)。安全風(fēng)險(xiǎn)評(píng)估服務(wù)包括但不限于以下對(duì)象：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。給出風(fēng)險(xiǎn)評(píng)估報(bào)告和安全現(xiàn)狀報(bào)告，系統(tǒng)風(fēng)險(xiǎn)修正措施以及系統(tǒng)安全指導(dǎo)性架構(gòu)。此項(xiàng)服務(wù)可以幫助XX公司了解自身網(wǎng)絡(luò)安全現(xiàn)狀，并根據(jù)報(bào)告和建議進(jìn)行投資預(yù)算。本次已進(jìn)行的風(fēng)險(xiǎn)評(píng)估是實(shí)現(xiàn)XX公司信息安全風(fēng)險(xiǎn)管理的重要組成部分。周期性的風(fēng)險(xiǎn)評(píng)估是實(shí)現(xiàn)P2DR2安全模型的重要機(jī)制和組成部分。建議每年對(duì)XX公司的網(wǎng)絡(luò)系統(tǒng)進(jìn)行一次安全風(fēng)險(xiǎn)評(píng)估，由于XX公司的網(wǎng)絡(luò)安全工作目前剛起步，許多工作剛開始，整個(gè)XX公司缺乏相關(guān)的經(jīng)驗(yàn)，建議XX公司在三到五年內(nèi)，聘請(qǐng)一家較有經(jīng)驗(yàn)的網(wǎng)絡(luò)安全公司，每年為XX公司提供一次網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)評(píng)估服務(wù)。三、運(yùn)維體系建設(shè)規(guī)劃3.1風(fēng)險(xiǎn)評(píng)估及安全加固3.1.1風(fēng)險(xiǎn)評(píng)估此次XX公司安全項(xiàng)目本身已經(jīng)包含信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估部分。詳細(xì)信息參見風(fēng)險(xiǎn)評(píng)估各部分輸出文檔。3.1.2安全加固風(fēng)險(xiǎn)評(píng)估是安全加固的前提，風(fēng)險(xiǎn)評(píng)估依據(jù)資產(chǎn)，威脅，脆弱性的分析得到信息系統(tǒng)各部分面臨的安全風(fēng)險(xiǎn)。安全加固則是依據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，為了降低系統(tǒng)風(fēng)險(xiǎn)所采取的措施之一。通過對(duì)當(dāng)前系統(tǒng)進(jìn)行加固操作，修補(bǔ)主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、應(yīng)用和中間件存在的弱點(diǎn)，可以全面提高設(shè)備的安全性。降低系統(tǒng)運(yùn)行風(fēng)險(xiǎn)。3.2信息安全運(yùn)維體系建設(shè)規(guī)劃3.2.1機(jī)房安全規(guī)劃制定詳細(xì)的機(jī)房環(huán)境維護(hù)管理流程，安排專門人員進(jìn)行機(jī)房環(huán)境的定期維護(hù)管理，并做好相關(guān)的記錄和檢查；將現(xiàn)有的機(jī)房安全管理制度制作標(biāo)牌懸掛機(jī)房?jī)?nèi)，并監(jiān)督執(zhí)行；安排機(jī)房安全管理人員，并制作標(biāo)牌懸掛機(jī)房?jī)?nèi)。3.2.2資產(chǎn)和設(shè)備安全3.2.2.1資產(chǎn)管理對(duì)現(xiàn)有資產(chǎn)管理制度進(jìn)行修訂，增加安全管理內(nèi)容；通過一定的服務(wù)活動(dòng)更新資產(chǎn)清單，并增加資產(chǎn)編號(hào)的標(biāo)示標(biāo)牌；通過安全評(píng)估活動(dòng)增加資產(chǎn)定性賦值，完善現(xiàn)有資產(chǎn)管理表格。3.2.2.2介質(zhì)管理介質(zhì)管理在XX公司的“信息安全保密管理規(guī)定”中已經(jīng)有明確的規(guī)定，后續(xù)工作為加強(qiáng)管理的執(zhí)行；對(duì)于移動(dòng)備份介質(zhì)的存放和管理可在“信息安全保密管理規(guī)定”進(jìn)行一定的修訂，確保明確明晰；對(duì)于介質(zhì)維修和銷毀的規(guī)定，可在“信息安全保密管理規(guī)定”進(jìn)行一定的修訂，確保明確明晰。3.2.2.3設(shè)備管理部署專用設(shè)備和軟件系統(tǒng)，對(duì)設(shè)備操作使用進(jìn)行有效的監(jiān)管。3.2.3網(wǎng)絡(luò)和系統(tǒng)安全管理3.2.3.1網(wǎng)絡(luò)安全管理部署網(wǎng)絡(luò)漏洞掃描系統(tǒng)，并制定掃描管理規(guī)范，定期對(duì)網(wǎng)絡(luò)和服務(wù)系統(tǒng)進(jìn)行掃描，并生成檢查報(bào)告；在現(xiàn)有管理的規(guī)范上，細(xì)化管理流程包含服務(wù)變更、授權(quán)訪問等形成系統(tǒng)的申請(qǐng)、審批、核查流程；在現(xiàn)有管理規(guī)范的基礎(chǔ)上，結(jié)合后期網(wǎng)絡(luò)整改的需求制定專門的網(wǎng)絡(luò)安全管理規(guī)范；根據(jù)網(wǎng)絡(luò)和各業(yè)務(wù)系統(tǒng)的實(shí)際情況，補(bǔ)充詳細(xì)的管理流程對(duì)安全策略、授權(quán)訪問、最小服務(wù)、升級(jí)與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面進(jìn)行管理；部署安全運(yùn)維管理系統(tǒng)和業(yè)務(wù)審計(jì)系統(tǒng)收集各種日志信息，并集中進(jìn)行存儲(chǔ)、管理和分析，為事件處理提供有力支持；通過按照國家局身份認(rèn)證系統(tǒng)建設(shè)規(guī)范和計(jì)劃，建設(shè)XX公司的身份認(rèn)證系統(tǒng)，實(shí)現(xiàn)身份認(rèn)證和授權(quán)管理的補(bǔ)充；建議部署內(nèi)網(wǎng)NTP服務(wù)器，并配置所有系統(tǒng)使用NTP服務(wù)器進(jìn)行時(shí)間校驗(yàn)和更新；按照國家局身份認(rèn)證系統(tǒng)的規(guī)范進(jìn)行建設(shè)，可根據(jù)身份認(rèn)證系統(tǒng)的建設(shè)進(jìn)行訪問用戶的身份認(rèn)證和授權(quán)；3.2.3.2系統(tǒng)安全管理服務(wù)器補(bǔ)丁采取謹(jǐn)慎處理，建議聘請(qǐng)專業(yè)安全公司協(xié)同應(yīng)用系統(tǒng)開發(fā)廠商對(duì)漏洞修補(bǔ)對(duì)業(yè)務(wù)系統(tǒng)的影響進(jìn)行評(píng)估后，對(duì)能夠修補(bǔ)的補(bǔ)丁進(jìn)行修正，不能修補(bǔ)的補(bǔ)丁漏洞通過網(wǎng)絡(luò)訪問控制、入侵防御等技術(shù)手段將風(fēng)險(xiǎn)控制到可接受范圍內(nèi)；在網(wǎng)絡(luò)訪問控制方面采用訪問控制、入侵防御、業(yè)務(wù)審計(jì)、終端管理相結(jié)合的技術(shù)手段實(shí)現(xiàn)從網(wǎng)絡(luò)層到應(yīng)用層的綜合防護(hù)；系統(tǒng)自身的管理通過系統(tǒng)管理員進(jìn)行，訪問系統(tǒng)應(yīng)用的帳號(hào)均分配了合適的訪問權(quán)限；部署漏洞掃描系統(tǒng)，定期對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行必要的檢查；細(xì)化各類用戶的責(zé)任、義務(wù)和風(fēng)險(xiǎn)，對(duì)系統(tǒng)帳戶的登記造冊(cè)、用戶名分配、初始口令分配、用戶權(quán)限及其審批程序、系統(tǒng)資源分配、注銷等做出一定規(guī)定，并形成有效可行的流程；部署安全運(yùn)維管理系統(tǒng)和業(yè)務(wù)審計(jì)系統(tǒng)，對(duì)系統(tǒng)自身的各項(xiàng)操作信息進(jìn)行審計(jì)和管理，使之符合于對(duì)應(yīng)的安全管理規(guī)定。3.2.4監(jiān)控管理和安全管理中心建議部署安全運(yùn)維管理中心，收集設(shè)備完整的各項(xiàng)資源使用信息、訪問授權(quán)、操作記錄、日志信息等并進(jìn)行綜合分析；建議部署的安全運(yùn)維管理中心與已經(jīng)部署的IT運(yùn)維管理系統(tǒng)進(jìn)行接口處理，將安全運(yùn)維管理中心的安全事件處理自動(dòng)發(fā)送IT運(yùn)維管理中心進(jìn)行規(guī)范處理管理。3.2.5備份與恢復(fù)需要制定專門的數(shù)據(jù)備份管理流程，對(duì)備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、存儲(chǔ)介質(zhì)、保存期、放置場(chǎng)所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒ǖ冗M(jìn)行詳細(xì)規(guī)定；將執(zhí)行恢復(fù)程序，檢查和測(cè)試備份介質(zhì)的有效性的檢查驗(yàn)證工作變?yōu)槎ㄆ陂_展工作；3.2.6惡意代碼防范策劃全員安全培訓(xùn)，增強(qiáng)惡意代碼的防范意識(shí)；建議新增網(wǎng)關(guān)防病毒系統(tǒng)，與現(xiàn)有網(wǎng)絡(luò)版防病毒系統(tǒng)形成立體防護(hù)；建議制定單獨(dú)的惡意代碼管理規(guī)范。3.2.7變更管理增強(qiáng)變更檔案管理。3.2.8信息安全事件管理在原有檢測(cè)系統(tǒng)的基礎(chǔ)上，增加安全事件高風(fēng)險(xiǎn)節(jié)點(diǎn)的入侵防御手段和安全防護(hù)；建設(shè)安全運(yùn)維管理平臺(tái)，對(duì)安全事件和事故的處理進(jìn)行集中管理和分析處理；同時(shí)與現(xiàn)有的信息管理系統(tǒng)進(jìn)行有效的整合，將信息管理、信息安全管理進(jìn)行有效的結(jié)合；對(duì)已經(jīng)制定的各項(xiàng)事件處理流程，編制培訓(xùn)和演練計(jì)劃。應(yīng)急預(yù)案的培訓(xùn)和演練事件建議每一年舉辦一次。制定并執(zhí)行。明確的計(jì)劃要求，對(duì)應(yīng)急預(yù)案進(jìn)行定期審查和根據(jù)實(shí)際情況更新的內(nèi)容，更新完成后及時(shí)進(jìn)行培訓(xùn)和演練。3.2.9密碼管理按照國家局的相關(guān)要求進(jìn)行XX公司的CA體系建設(shè)；參考CA建設(shè)內(nèi)容、相關(guān)要求和自身實(shí)際情況，制定專項(xiàng)的密碼管理?xiàng)l款或規(guī)定。四、管理體系建設(shè)規(guī)劃4.1體系建設(shè)4.1.1建設(shè)思路一個(gè)信息安全項(xiàng)目和驅(qū)動(dòng)因素會(huì)涉及六項(xiàng)主要輸入：業(yè)務(wù)需求安全必須與業(yè)務(wù)需求相結(jié)合，這些需求與XX公司的業(yè)務(wù)戰(zhàn)略、目的和目標(biāo)，以及公司（在互聯(lián)網(wǎng)上）經(jīng)營業(yè)務(wù)的方式相聯(lián)系；有效的安全將支持和確保公司業(yè)務(wù)的成功。合規(guī)需求任何公司都有一些必須遵從的法律法規(guī)，這些規(guī)定可能是行業(yè)相關(guān)的或者具體規(guī)定公司經(jīng)營的，例如，XX公司必須遵循國家等級(jí)保護(hù)的規(guī)定，同時(shí)要遵循國家XX行業(yè)局的相關(guān)規(guī)定。威脅企業(yè)必須了解其信息和業(yè)務(wù)所面臨的內(nèi)外部威脅。對(duì)XX公司可能這些威脅來自于病毒對(duì)業(yè)務(wù)的破壞或拒絕服務(wù)的攻擊，或主機(jī)網(wǎng)絡(luò)癱瘓，以及內(nèi)外部人員的誤操作等。威脅也可能是無意的，但也會(huì)破壞業(yè)務(wù)的運(yùn)營，如辦公室火災(zāi)或者一些計(jì)算機(jī)設(shè)備損壞。后果了解安全事件的后果是至關(guān)重要的。如若不能理解公司是如何應(yīng)用信息的，就不可能針對(duì)重大風(fēng)險(xiǎn)做出有效的安全控制計(jì)劃。必須平衡實(shí)施安全控制的成本和所保護(hù)的資產(chǎn)的價(jià)值。安全治理安全項(xiàng)目的治理定義了，誰將控制以及誰對(duì)妥善保護(hù)公司信息資產(chǎn)負(fù)有責(zé)任。治理將定義安全組織模式并對(duì)安全項(xiàng)目績(jī)效和價(jià)值進(jìn)行評(píng)估。4.1.2規(guī)劃內(nèi)容本文安全管理體系規(guī)劃內(nèi)容從以下幾個(gè)方面考慮。安全管理體系規(guī)劃內(nèi)容圖4.2信息阿全管理體系現(xiàn)狀4.2.1現(xiàn)狀XX公司在信息系統(tǒng)建設(shè)過程中意識(shí)到信息安全的重要性，在安全技術(shù)方面不斷完善技術(shù)體系，安全管理方面也采取了相應(yīng)的措施，在人員、制度和流程上都有所體現(xiàn)：明確信息系統(tǒng)各部分以及各重要應(yīng)用系統(tǒng)的管理員和職責(zé)，具體如下：網(wǎng)絡(luò)管理員數(shù)據(jù)庫管理員ERP管理員MES管理員OA管理員輔助系統(tǒng)管理員營銷系統(tǒng)管理員自動(dòng)化系統(tǒng)管理員服務(wù)器硬件管理員服務(wù)器維護(hù)管理員4.2.2問題根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，結(jié)合相關(guān)調(diào)研材料，目前XX公司信息安全管理現(xiàn)狀如下：缺乏信息安全方針由于安全目標(biāo)方針不明確，導(dǎo)致全員不能清晰領(lǐng)悟安全的重要性，安全思想不能得到有效貫徹落實(shí)，對(duì)于安全建設(shè)還抱有可有可無的思想狀態(tài)。安全管理策略制度不完善缺乏系統(tǒng)開發(fā)安全規(guī)范，可能會(huì)存在項(xiàng)目過程文檔、內(nèi)部敏感信息外流的風(fēng)險(xiǎn)，以及系統(tǒng)漏洞被非法利用，如網(wǎng)站遭到數(shù)據(jù)庫注入攻擊，系統(tǒng)維護(hù)人員直接訪問數(shù)據(jù)庫導(dǎo)致系統(tǒng)重要數(shù)據(jù)被破壞。無符合性相應(yīng)的文檔規(guī)范，安全產(chǎn)品部署不符合目前等級(jí)保護(hù)的相關(guān)要求，對(duì)重要系統(tǒng)今后的正常運(yùn)行產(chǎn)生一定障礙。人員安全管理不規(guī)范人員管理不規(guī)范導(dǎo)致內(nèi)部人員無意失誤、惡意破壞系統(tǒng)及被非法利用；對(duì)第三方人員的訪問無管理流程規(guī)范，會(huì)導(dǎo)致第三方人員的惡意破壞或誤操作；終端人員的誤操作或惡意嘗試會(huì)涉及到全網(wǎng)機(jī)器，導(dǎo)致整個(gè)公司的正常業(yè)務(wù)運(yùn)作。如果按下圖管理成熟度模型評(píng)價(jià)XX公司的管理體系應(yīng)該處在2左右，即大多數(shù)過程能遵循固定的模式。4.3管理體系建設(shè)規(guī)劃4.3.1信息安全最高方針信息安全最高方針是為信息安全提供管理指導(dǎo)和支持，并與業(yè)務(wù)要求和相關(guān)的法律法規(guī)保持一致；是管理層正式發(fā)布的總體意圖與方向，管理者應(yīng)根據(jù)業(yè)務(wù)目標(biāo)制定清晰的方針方向，并通過在整個(gè)組織中頒發(fā)和維護(hù)信息安全方針來表明對(duì)信息安全的支持和承諾。最高方針事例：為保護(hù)公司的信息資產(chǎn)（包括軟硬件設(shè)施、數(shù)據(jù)、信息的安全）免于因外在的威脅或內(nèi)部人員不當(dāng)?shù)墓芾碓馐苄姑?、破壞或遺失，保障各項(xiàng)生產(chǎn)、經(jīng)營管理工作正常有序的開展。貫宣口號(hào)事例：建立安全理念

建設(shè)安全文化

堅(jiān)持以人為本

認(rèn)識(shí)安全效益建議：信息安全方針文檔應(yīng)經(jīng)過管理層的批準(zhǔn)，并傳達(dá)給所有員工和外部相關(guān)方。4.3.2風(fēng)險(xiǎn)管理建議：在信息系統(tǒng)的建設(shè)、運(yùn)單位、變更過程中引入風(fēng)險(xiǎn)管理。對(duì)實(shí)施風(fēng)險(xiǎn)管理的信息系統(tǒng)中的信息資產(chǎn)進(jìn)單位識(shí)別。應(yīng)該識(shí)別受保護(hù)的信息資產(chǎn)所面臨的威脅和信息系統(tǒng)所存在的脆弱性。對(duì)信息系統(tǒng)已采取的控制措施進(jìn)行識(shí)別，并對(duì)控制措施的有效性進(jìn)行確認(rèn)。應(yīng)該根據(jù)安全事件發(fā)生的可能性和影響程度，評(píng)估風(fēng)險(xiǎn)，確定風(fēng)險(xiǎn)等級(jí)。應(yīng)該選擇恰當(dāng)?shù)目刂拼胧?，并?shí)施這些措施以降低信息系統(tǒng)安全風(fēng)險(xiǎn)。建立相應(yīng)的制度保證風(fēng)險(xiǎn)管理的落實(shí)及維護(hù)。4.3.3組織與人員安全組織和人員是信息安全工作的重要支撐，建立有效的安全組織機(jī)構(gòu)和相應(yīng)的人員是做好XX公司信息安全工作的必要條件。4.3.3.1組織結(jié)構(gòu)建議：XX公司需要建立以廠領(lǐng)導(dǎo)為最高領(lǐng)導(dǎo)的信息安全領(lǐng)導(dǎo)小組，對(duì)XX公司信息系統(tǒng)的安全負(fù)有領(lǐng)導(dǎo)責(zé)任。該組織結(jié)構(gòu)能夠滿足XX公司安全組織需求，但需要加強(qiáng)其職能。對(duì)上述組織結(jié)構(gòu)中人員進(jìn)行明確角色劃分，并明確其任務(wù)分工，列入職位說明書里。4.3.3.2信息安全職責(zé)建議：應(yīng)在信息安全領(lǐng)導(dǎo)小組中設(shè)立信息安全運(yùn)行的不同崗位，如網(wǎng)絡(luò)管理員、數(shù)據(jù)庫系統(tǒng)管理員、操作系統(tǒng)管理員、業(yè)務(wù)系統(tǒng)管理員等。明確規(guī)定信息系統(tǒng)安全管理過程中人員配備及職責(zé)。應(yīng)該建立與加強(qiáng)與外部其它組織間的安全協(xié)作。應(yīng)貫徹工作崗位中角色分離的原則，互斥、不兼容的職能角色必須分離。必須制定公司員工的安全使用原則，明確員工，尤其是信息系統(tǒng)相關(guān)人員、敏感信息處理人員的錄用、考核、轉(zhuǎn)職、離職等的安全要求。XX公司在管理員設(shè)置以及人員方面較好的滿足了信息安全職責(zé)劃分的要求。但是仍然需要在管理員角色管理，用工人員制度方面有所加強(qiáng)。4.3.3.3人員安全管理建議：制定《員工信息安全手冊(cè)》，作為唯一針對(duì)全公司的信息安全操作手冊(cè)。對(duì)《員工信息安全手冊(cè)》進(jìn)行宣傳推廣。主要手段：郵件、內(nèi)網(wǎng)論壇、集中培訓(xùn)宣講?！秵T工信息安全手冊(cè)》執(zhí)行情況檢查與改進(jìn)4.3.3.4信息安全培訓(xùn)建議：應(yīng)建立長(zhǎng)期有效的信息安全培訓(xùn)機(jī)制，對(duì)員工進(jìn)行相關(guān)的安全培訓(xùn),增強(qiáng)安全意識(shí)、提高安全技能。員工上崗前，應(yīng)進(jìn)行崗位信息安全培訓(xùn)，并簽署信息安全保密協(xié)議。在崗位發(fā)生變動(dòng)時(shí)，及時(shí)調(diào)整信息系統(tǒng)操作權(quán)限。信息安全政策與標(biāo)準(zhǔn)發(fā)生重大調(diào)整、新建和升級(jí)的信息系統(tǒng)投入使用前，開展必要的安全培訓(xùn)，明確相關(guān)調(diào)整和變更所帶來的信息安全權(quán)限和責(zé)任的變化。4.3.3.5信息安全檢查與考核建議：應(yīng)定期進(jìn)行信息安全檢查與考核，包括信息安全政策與標(biāo)準(zhǔn)的培訓(xùn)與執(zhí)行情況、重大信息安全事件及整改措施落實(shí)情況、現(xiàn)有信息安全措施的有效性、信息安全技術(shù)指標(biāo)完成情況。制定正式的安全獎(jiǎng)懲條例，處罰和獎(jiǎng)勵(lì)必須分明。4.3.4信息資產(chǎn)管理信息資產(chǎn)是指同信息系統(tǒng)相關(guān)的對(duì)XX公司有價(jià)值的事物，如計(jì)算機(jī)硬件和軟件、數(shù)據(jù)庫、服務(wù)和文檔等。本章適用于XX公司所有部門。4.3.4.1

信息資產(chǎn)的分類分級(jí)建議：為了保證信息資產(chǎn)得到適當(dāng)?shù)谋Ｗo(hù)，應(yīng)該對(duì)信息分類分級(jí)，指明其保護(hù)級(jí)別。信息資產(chǎn)鑒別和分類是整個(gè)XX公司信息安全管理的基礎(chǔ)，這樣才能夠真正知道要保護(hù)的對(duì)象。涉密（是指涉及國家秘密）信息資產(chǎn)應(yīng)按辦公室涉密信息資產(chǎn)規(guī)定進(jìn)行管理。涉及企業(yè)秘密的資產(chǎn)信息，應(yīng)按辦公廳機(jī)密信息分類方法和制度，根據(jù)機(jī)密程度和商業(yè)重要程度對(duì)數(shù)據(jù)和信息進(jìn)行分類。4.3.4.2資產(chǎn)的標(biāo)識(shí)建議：對(duì)所有識(shí)別出并進(jìn)行分類的信息資產(chǎn)，應(yīng)當(dāng)建立資產(chǎn)目錄并進(jìn)行標(biāo)識(shí)，標(biāo)識(shí)方法可采用有形標(biāo)簽和電子標(biāo)簽。將信息資產(chǎn)分為不同的安全防護(hù)等級(jí)，有助于“應(yīng)級(jí)而異”地規(guī)劃、設(shè)計(jì)、實(shí)施相關(guān)的信息資產(chǎn)安全管理和保護(hù)措施，從而更有效地保障信息資產(chǎn)的機(jī)密性、完整性和可用性。4.3.4.3信息資產(chǎn)的管理建議：根據(jù)業(yè)務(wù)、組織、人員等變化定期審查信息資產(chǎn)的歸屬類別，并更新其歸屬類別。應(yīng)建立信息資產(chǎn)的物理存放、淘汰、報(bào)廢等管理規(guī)定。應(yīng)對(duì)各類信息資產(chǎn)設(shè)立責(zé)任人，明確安全責(zé)任。4.3.4.4信息資產(chǎn)的審計(jì)和執(zhí)行建議：各部門領(lǐng)導(dǎo)及信息資產(chǎn)管理員應(yīng)當(dāng)對(duì)本部門各類信息資產(chǎn)進(jìn)行有效監(jiān)督和管理，對(duì)違反管理規(guī)定的行為要及時(shí)指正，對(duì)嚴(yán)重違反者要立即上報(bào)；安全領(lǐng)導(dǎo)小組應(yīng)當(dāng)定期/不定期組織對(duì)各個(gè)部門的信息資產(chǎn)的安全狀態(tài)進(jìn)行審計(jì)，對(duì)違反管理規(guī)定的情況要通報(bào)批評(píng)；對(duì)嚴(yán)重違反規(guī)定