年4月19日電網(wǎng)信息安全平臺(tái)等級(jí)保護(hù)模塊安全技術(shù)架構(gòu)規(guī)劃方案文檔僅供參考，不當(dāng)之處，請(qǐng)聯(lián)系改正。XX電網(wǎng)信息安全平臺(tái)等級(jí)保護(hù)模塊安全技術(shù)架構(gòu)規(guī)劃方案

目錄第1章 信息安全背景 1051.1綜述 1051.2XX電網(wǎng)現(xiàn)狀概況 105第2章 XX電網(wǎng)工作方法說明 1072.1工作方法流程 1072.2參考標(biāo)準(zhǔn) 1092.3工作方法參考 1102.3.1 ESA企業(yè)安全架構(gòu)模型 1102.3.2 企業(yè)安全架構(gòu)技術(shù)方法 111第3章 XX電網(wǎng)安全技術(shù)目標(biāo) 1123.1安全需求總結(jié) 1123.1.1技術(shù)風(fēng)險(xiǎn)需求 1123.1.2南方電網(wǎng)考核需求 1153.1.3國家等保需求 1163.2安全技術(shù)目標(biāo) 1163.3安全技術(shù)架構(gòu)設(shè)計(jì)原則 117第4章 XX電網(wǎng)安全技術(shù)功能服務(wù)組件框架 1184.1安全技術(shù)功能服務(wù)組件目錄定義 1184.2安全技術(shù)功能服務(wù)組件定義 1194.2.1身份與信任管理目錄 1194.2.2訪問控制目錄 1234.2.3信息流控制目錄 1254.2.4完整性控制目錄 1294.2.5安全審計(jì)管理目錄 134第5章 XX電網(wǎng)安全技術(shù)功能服務(wù)組件部署設(shè)計(jì) 1385.1網(wǎng)絡(luò)安全區(qū)域劃分 1385.1.1省公司網(wǎng)絡(luò)區(qū)域 1405.1.2地區(qū)供電局網(wǎng)絡(luò)區(qū)域 1425.2XX電網(wǎng)安全技術(shù)部署設(shè)計(jì) 1435.2.1管理信息大區(qū)網(wǎng)絡(luò)區(qū)域安全技術(shù)部署設(shè)計(jì) 1435.2.2省公司網(wǎng)絡(luò)安全技術(shù)部署設(shè)計(jì) 1455.2.3地區(qū)網(wǎng)絡(luò)安全技術(shù)部署設(shè)計(jì) 156第6章 XX電網(wǎng)安全技術(shù)建設(shè)規(guī)劃 1576.1項(xiàng)目一集中用戶管理、身份認(rèn)證及授權(quán)平臺(tái) 1576.1.1安全現(xiàn)狀 1576.1.2項(xiàng)目目標(biāo) 1576.1.3項(xiàng)目范圍 1586.1.4項(xiàng)目?jī)?nèi)容 1586.1.5平臺(tái)接口要求 1676.1.6項(xiàng)目實(shí)施要點(diǎn) 1716.1.7項(xiàng)目周期和推進(jìn)步驟 1726.2項(xiàng)目二終端安全管理及域管理 1736.2.1安全現(xiàn)狀 1736.2.2項(xiàng)目目標(biāo) 1746.2.3項(xiàng)目范圍 1746.2.4項(xiàng)目?jī)?nèi)容 1746.2.5項(xiàng)目實(shí)施要點(diǎn) 1916.2.6項(xiàng)目周期和推進(jìn)步驟 1926.3項(xiàng)目三網(wǎng)絡(luò)安全優(yōu)化 1936.3.1安全現(xiàn)狀 1936.3.2項(xiàng)目目標(biāo) 1936.3.3項(xiàng)目范圍 1936.3.4項(xiàng)目?jī)?nèi)容 1936.3.5項(xiàng)目實(shí)施要點(diǎn) 2116.3.6項(xiàng)目周期與推進(jìn)步驟 2116.4項(xiàng)目四應(yīng)用安全改進(jìn) 2126.4.1安全現(xiàn)狀 2126.4.2項(xiàng)目目標(biāo) 2136.4.3項(xiàng)目范圍 2136.4.4項(xiàng)目?jī)?nèi)容 2136.4.5項(xiàng)目實(shí)施要點(diǎn) 2196.4.6項(xiàng)目實(shí)施規(guī)劃 2196.5項(xiàng)目五主機(jī)及設(shè)備安全 2206.5.1安全現(xiàn)狀 2206.5.2項(xiàng)目目標(biāo) 2216.5.3項(xiàng)目范圍 2216.5.4項(xiàng)目?jī)?nèi)容 2226.5.5項(xiàng)目實(shí)施要點(diǎn) 2286.5.6項(xiàng)目周期和推進(jìn)步驟 2286.6項(xiàng)目六統(tǒng)一安全事件與日志監(jiān)控中心 2306.6.1項(xiàng)目目標(biāo) 2306.6.2項(xiàng)目范圍 2316.6.3項(xiàng)目?jī)?nèi)容 2316.6.4項(xiàng)目實(shí)施要點(diǎn) 2496.6.5項(xiàng)目周期和推進(jìn)步驟 2496.7項(xiàng)目七電子文檔安全 2516.7.1項(xiàng)目目標(biāo) 2516.7.2項(xiàng)目范圍 2526.7.3項(xiàng)目?jī)?nèi)容 2526.7.4項(xiàng)目實(shí)施要點(diǎn) 2536.7.5項(xiàng)目周期和推進(jìn)步驟 2546.8項(xiàng)目八安全策略體系完善與推廣 2546.8.1項(xiàng)目目標(biāo) 2546.8.2項(xiàng)目?jī)?nèi)容 2556.8.3項(xiàng)目周期和推進(jìn)步驟 256信息安全背景1.1綜述XX電網(wǎng)公司（以下簡(jiǎn)稱“XX電網(wǎng)”）是中國南方電網(wǎng)有限責(zé)任公司（以下簡(jiǎn)稱“南方電網(wǎng)”）下屬的全資子公司，負(fù)責(zé)XX省內(nèi)的電網(wǎng)規(guī)劃、建設(shè)、運(yùn)行、管理和電力銷售。公司直屬單位22個(gè)，并對(duì)全省88個(gè)縣（市、區(qū)）供電（電力）局（公司）進(jìn)行直管或代管。XX電網(wǎng)深入踐行南方電網(wǎng)方略，立足于XX水火互濟(jì)的能源優(yōu)勢(shì)，依托南方電網(wǎng)一體化平臺(tái)，著眼于省內(nèi)外電力市場(chǎng)發(fā)展前景，努力實(shí)施“西電東送”戰(zhàn)略，以提高供電可靠率為總抓手，以創(chuàng)先為載體，促增長(zhǎng)、抓建設(shè)、強(qiáng)基礎(chǔ)，做強(qiáng)做優(yōu)，實(shí)現(xiàn)科學(xué)發(fā)展。隨著業(yè)務(wù)對(duì)信息系統(tǒng)的依賴性越來越高，XX電網(wǎng)IT的有序管理與運(yùn)維將成為業(yè)務(wù)有序運(yùn)行的前提。因此，XX電網(wǎng)信息安全著眼于：確保國民經(jīng)濟(jì)發(fā)展確保社會(huì)和諧穩(wěn)定確保南方電網(wǎng)的“對(duì)中央負(fù)責(zé)、為南方五省區(qū)服務(wù)”宗旨的實(shí)現(xiàn)確保XX電網(wǎng)信息化對(duì)公司生產(chǎn)、經(jīng)營(yíng)、服務(wù)及企業(yè)管理與決策的支撐為實(shí)現(xiàn)上述目標(biāo)，在技術(shù)建設(shè)方面，項(xiàng)目組參考ISO15408（CC）、等保等相關(guān)標(biāo)準(zhǔn)，以及IBM的企業(yè)信息安全框架模型（ESA）、企業(yè)安全技術(shù)架構(gòu)方法（MASS），制定XX電網(wǎng)信息安全技術(shù)體系規(guī)劃，滿足未來5年XX電網(wǎng)信息安全技術(shù)需求。1.2XX電網(wǎng)現(xiàn)狀概況信息系統(tǒng)建設(shè)現(xiàn)狀概況XX電網(wǎng)的信息化建設(shè)在《XX電網(wǎng)十一五信息發(fā)展規(guī)劃》、《XX電網(wǎng)信息安全咨詢規(guī)劃》的指導(dǎo)下，完全遵循“統(tǒng)一領(lǐng)導(dǎo)、統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一組織開發(fā)”的四統(tǒng)一原則有序進(jìn)行。當(dāng)前，XX電網(wǎng)已經(jīng)實(shí)現(xiàn)四統(tǒng)一建設(shè)的信息系統(tǒng)共17個(gè)，涵蓋了生產(chǎn)、營(yíng)銷、財(cái)務(wù)、人事等八大主營(yíng)業(yè)務(wù)，覆蓋了公司及所屬供電局和綜合單位共計(jì)23家單位，信息系統(tǒng)的在線運(yùn)行，支撐了企業(yè)的生產(chǎn)、經(jīng)營(yíng)、服務(wù)及管理過程。信息安全現(xiàn)狀概況XX電網(wǎng)在信息安全方面做了大量的工作，先后部署了IT資源管理系統(tǒng)、網(wǎng)絡(luò)防病毒系統(tǒng)、PKI/CA系統(tǒng)、網(wǎng)頁防篡改系統(tǒng)、上網(wǎng)行為管理系統(tǒng)等多種技術(shù)手段，并實(shí)現(xiàn)了XX電網(wǎng)統(tǒng)一互聯(lián)網(wǎng)出口，具備了較為完善安全防護(hù)能力。伴隨著中國電力需求的高速發(fā)展，電力信息化建設(shè)也進(jìn)入了快速發(fā)展階段，國家、企業(yè)對(duì)信息安全的要求不斷提高，XX電網(wǎng)已有的信息安全技術(shù)手段不能滿足信息安全技術(shù)不斷發(fā)展的要求，主要體現(xiàn)在信息安全基礎(chǔ)設(shè)施缺乏系統(tǒng)化優(yōu)化整合，信息安全管理自動(dòng)化水平存在差距，網(wǎng)絡(luò)信息安全監(jiān)管缺乏完整的技術(shù)手段。XX電網(wǎng)工作方法說明 項(xiàng)目組參考了ISO15408等國際安全標(biāo)準(zhǔn)，進(jìn)行了安全技術(shù)架構(gòu)規(guī)劃，總體工作思路如下圖所示，具有三個(gè)要點(diǎn)：統(tǒng)一遵循企業(yè)信息安全架構(gòu)模型（ESA），采用成熟的架構(gòu)化方法來規(guī)劃XX電網(wǎng)的安全技術(shù)架構(gòu)；基于IBM的規(guī)范化的架構(gòu)規(guī)劃方法（MASS），根據(jù)企業(yè)的業(yè)務(wù)需求來確定所需具備的信息安全技術(shù)能力，完成安全技術(shù)功能服務(wù)組件框架定義與部署設(shè)計(jì)；在安全技術(shù)功能服務(wù)組件定義和服務(wù)組件運(yùn)行部署設(shè)計(jì)確定的基礎(chǔ)上，根據(jù)XX電網(wǎng)的安全技術(shù)現(xiàn)狀，提出5年的安全建設(shè)規(guī)劃。圖STYLEREF1\s2SEQ圖\*ARABIC\s11安全技術(shù)架構(gòu)規(guī)劃總體工作思路2.1工作方法流程本項(xiàng)目采用的信息安全技術(shù)體系架構(gòu)規(guī)劃方法如圖2-2所示。圖STYLEREF1\s2SEQ圖\*ARABIC\s12信息安全技術(shù)體系架構(gòu)規(guī)劃方法圖如圖2-3所示，本項(xiàng)目工作流程由六個(gè)步驟組成，分別是安全需求梳理，安全技術(shù)架構(gòu)功能服務(wù)組件框架確定，網(wǎng)絡(luò)安全域確定，安全技術(shù)功能服務(wù)組件運(yùn)行部署，安全技術(shù)建設(shè)項(xiàng)目規(guī)劃和安全技術(shù)建設(shè)階段規(guī)劃。圖STYLEREF1\s2SEQ圖\*ARABIC\s13工作方法流程圖步驟一安全需求梳理，在本項(xiàng)目中，我們將從近期XX電網(wǎng)信息安全技術(shù)風(fēng)險(xiǎn)需求、安全管理策略需求、南方電網(wǎng)公司考核需求、國家等保需求等角度來總結(jié)和梳理信息安全技術(shù)建設(shè)的要求，并在此基礎(chǔ)上總結(jié)安全技術(shù)目標(biāo)和安全技術(shù)架構(gòu)設(shè)計(jì)原則。步驟二安全技術(shù)架構(gòu)功能服務(wù)組件框架（靜態(tài)模型），在步驟一工作的基礎(chǔ)上，制定XX電網(wǎng)的安全技術(shù)架構(gòu)功能框架，它由一系列的安全技術(shù)功能服務(wù)組件所構(gòu)成，每個(gè)安全技術(shù)功能服務(wù)組件的選擇都是基于信息安全技術(shù)建設(shè)的需求，這些安全技術(shù)功能服務(wù)組件的實(shí)現(xiàn)，能夠形成獨(dú)立安全服務(wù)平臺(tái)，用于實(shí)現(xiàn)XX電網(wǎng)的安全技術(shù)目標(biāo)。步驟三網(wǎng)絡(luò)安全域梳理，步驟二確定了安全技術(shù)功能服務(wù)組件的靜態(tài)模型，在此基礎(chǔ)上，步驟三需要對(duì)XX電網(wǎng)的網(wǎng)絡(luò)部署環(huán)境進(jìn)行安全域梳理，為安全技術(shù)功能服務(wù)組件在網(wǎng)絡(luò)環(huán)境中的動(dòng)態(tài)運(yùn)行部署打下基礎(chǔ)。步驟四運(yùn)行部署設(shè)計(jì)（動(dòng)態(tài)模型），步驟四是為了確立安全技術(shù)功能服務(wù)組件在XX電網(wǎng)網(wǎng)絡(luò)環(huán)境下的動(dòng)態(tài)運(yùn)行部署，在步驟三網(wǎng)絡(luò)安全域梳理的基礎(chǔ)上，根據(jù)每個(gè)安全域的風(fēng)險(xiǎn)點(diǎn)分析，提出安全防范要點(diǎn)，明確安全技術(shù)功能服務(wù)組件在不同安全域的運(yùn)行部署要求。步驟五安全技術(shù)建設(shè)項(xiàng)目規(guī)劃，總結(jié)XX電網(wǎng)的安全技術(shù)體系建設(shè)規(guī)劃的工作重點(diǎn)，定義安全技術(shù)建設(shè)項(xiàng)目。每個(gè)識(shí)別出XX電網(wǎng)需要進(jìn)行建設(shè)的安全技術(shù)項(xiàng)目，都是為了建設(shè)XX電網(wǎng)的安全技術(shù)服務(wù)平臺(tái)。經(jīng)過一系列項(xiàng)目建設(shè)來實(shí)現(xiàn)XX電網(wǎng)安全技術(shù)架構(gòu)的構(gòu)建。步驟六安全技術(shù)建設(shè)階段規(guī)劃，在每個(gè)安全技術(shù)項(xiàng)目定義明確的基礎(chǔ)上，分析每個(gè)項(xiàng)目建設(shè)的輕重緩急，整理出符合XX電網(wǎng)實(shí)際的安全建設(shè)階段劃分，為今后5年的信息安全技術(shù)建設(shè)規(guī)劃提供建議。2.2參考標(biāo)準(zhǔn)ISO/IEC15408：“信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則（簡(jiǎn)稱CC），國際標(biāo)準(zhǔn)化組織在現(xiàn)有多種評(píng)估準(zhǔn)則的基礎(chǔ)上，統(tǒng)一形成的。，中國將ISO/IEC15408直接引入為國家標(biāo)準(zhǔn)，命名為GB/T18336。ISO/IEC27001：《信息技術(shù)、安全技術(shù)、信息安全管理體系要求》ISO/IEC27002：《信息技術(shù)、安全技術(shù)、信息安全管理實(shí)用規(guī)則》。2.3工作方法參考ESA企業(yè)安全架構(gòu)模型下圖是IBM的ESA（企業(yè)安全架構(gòu)模型），該模型首先要求根據(jù)企業(yè)的發(fā)展目標(biāo)和業(yè)務(wù)特點(diǎn)，制定企業(yè)的信息安全目標(biāo)與建設(shè)原則，從而保證信息安全策略與業(yè)務(wù)需求是一致的；隨即根據(jù)信息安全目標(biāo)和原則，制定企業(yè)的信息安全方針，方針承上啟下，為后續(xù)的體系規(guī)劃明確方向；在明確信息安全建設(shè)目標(biāo)和方針的基礎(chǔ)上，兩條腿走路，建立信息安全管理體系和信息安全技術(shù)體系。圖STYLEREF1\s2SEQ圖\*ARABIC\s14IBM企業(yè)信息安全架構(gòu)模型（ESA）ESA的優(yōu)點(diǎn)如下：ESA在企業(yè)全方位考慮安全防務(wù)，確保企業(yè)的安全策略與業(yè)務(wù)需求的一致性在企業(yè)內(nèi)確保一致安全方案，按照安全參考模式（成熟的方案）提供功能，少走彎路經(jīng)過共享安全架構(gòu)的部件，達(dá)到方案實(shí)施費(fèi)用的減少，避免重復(fù)投資經(jīng)過共享安全架構(gòu)的部件，達(dá)到方案實(shí)施時(shí)間的減少企業(yè)安全架構(gòu)技術(shù)方法企業(yè)安全架構(gòu)方法論（MethodforArchitectingSecureSolution-MASS）的目的在于幫助安全咨詢顧問和架構(gòu)師在復(fù)雜的環(huán)境中設(shè)計(jì)滿足安全需求的、全面的企業(yè)安全技術(shù)架構(gòu)。因此，在本次項(xiàng)目中，項(xiàng)目組將使用該方法論，規(guī)劃XX電網(wǎng)信息安全技術(shù)架構(gòu)。MASS方法論對(duì)ISO/IEC15408-2“通用規(guī)范（CommonCriteria）”進(jìn)行提煉，總結(jié)出易于管理的五個(gè)安全域，覆蓋了企業(yè)所有安全技術(shù)需求。在本項(xiàng)目中，利用這些安全域?yàn)閄X電網(wǎng)搭建安全架構(gòu)。這五個(gè)安全域是身份與信任管理、訪問控制、信息流控制、完整性管理、安全審計(jì)管理。圖2-5展示了MASS的安全域組成關(guān)系，它們相互依存并分別運(yùn)作，共同構(gòu)成一個(gè)完整，全面和與企業(yè)業(yè)務(wù)需求緊密相關(guān)的安全架構(gòu)。圖STYLEREF1\s2SEQ圖\*ARABIC\s15MASS安全域組成關(guān)系XX電網(wǎng)安全技術(shù)目標(biāo)經(jīng)過現(xiàn)狀需求梳理及分析，形成XX電網(wǎng)安全技術(shù)目標(biāo)和安全技術(shù)架構(gòu)設(shè)計(jì)原則。3.1安全需求總結(jié)為了全面掌握XX電網(wǎng)的安全技術(shù)需求，我們從XX電網(wǎng)信息安全技術(shù)風(fēng)險(xiǎn)需求、安全管理策略需求、南方電網(wǎng)公司考核需求、國家等保需求等多個(gè)方面來總結(jié)和梳理信息安全技術(shù)建設(shè)的要求。3.1.1技術(shù)風(fēng)險(xiǎn)需求安全技術(shù)風(fēng)險(xiǎn)需求，主要依據(jù)XX電網(wǎng)安全技術(shù)風(fēng)險(xiǎn)評(píng)估發(fā)現(xiàn)的風(fēng)險(xiǎn)現(xiàn)狀。我們對(duì)近期關(guān)鍵的安全技術(shù)風(fēng)險(xiǎn)評(píng)估報(bào)告結(jié)果分析總結(jié)，形成XX電網(wǎng)技術(shù)風(fēng)險(xiǎn)需求，如下為國家測(cè)評(píng)中心對(duì)XX電網(wǎng)進(jìn)行評(píng)估輸出的風(fēng)險(xiǎn)評(píng)估報(bào)告內(nèi)容：圖STYLEREF1\s3SEQ圖\*ARABIC\s11風(fēng)險(xiǎn)等級(jí)分布安全弱點(diǎn)前10排名列表標(biāo)識(shí)脆弱性等級(jí)V34應(yīng)用系統(tǒng)存在SQL注入安全漏洞、校驗(yàn)機(jī)制不足存在的文件上傳、登錄用戶弱口令等安全漏洞，導(dǎo)致應(yīng)用系統(tǒng)面臨的安全風(fēng)險(xiǎn)較大5V35軟件自身存在的安全隱患最終導(dǎo)致應(yīng)用系統(tǒng)可被輕易滲透5V36部分工作人員安全意識(shí)不強(qiáng)，以及用戶名/密碼在系統(tǒng)之間的通用性，都為應(yīng)用系統(tǒng)的安全運(yùn)行埋下了隱患5V24數(shù)據(jù)庫存在較多默認(rèn)賬戶名和默認(rèn)密碼5V2數(shù)據(jù)庫補(bǔ)丁未及時(shí)更新，存在多種類型的安全漏洞5V20沒有采用加密或其它保護(hù)措施實(shí)現(xiàn)鑒別信息的存儲(chǔ)保密性5V15操作系統(tǒng)存在嚴(yán)重的操作系統(tǒng)和應(yīng)用軟件漏洞5V10防火墻策略控制粒度較粗5V2對(duì)外出口過多，邊界防護(hù)策略統(tǒng)一難度較大4V32客戶端防病毒軟件病毒庫更新不夠及時(shí)或存在管理盲區(qū)4根據(jù)對(duì)評(píng)估結(jié)果以及XX電網(wǎng)現(xiàn)狀的分析和核實(shí)，安全技術(shù)風(fēng)險(xiǎn)總結(jié)如下：1．主機(jī)系統(tǒng)安全需求，經(jīng)過評(píng)估發(fā)現(xiàn)主機(jī)系統(tǒng)存在較多的安全漏洞，如補(bǔ)丁不全、缺乏賬號(hào)與口令策略、未進(jìn)行安全配置等，安全技術(shù)體系需全面提高各主機(jī)系統(tǒng)安全性，以保障業(yè)務(wù)系統(tǒng)支撐平臺(tái)自身的信息安全。2．網(wǎng)絡(luò)安全需求：網(wǎng)絡(luò)未進(jìn)行安全區(qū)域劃分、區(qū)域內(nèi)部的缺乏安全控制策略，網(wǎng)絡(luò)安全防護(hù)措施尚未完善。網(wǎng)絡(luò)安全建設(shè)需實(shí)現(xiàn)網(wǎng)絡(luò)信息安全事件的全方面控制。3．應(yīng)用系統(tǒng)安全需求：應(yīng)用系統(tǒng)用戶賬號(hào)管理、認(rèn)證、授權(quán)、審計(jì)等均缺乏相應(yīng)的技術(shù)支持，同時(shí)，經(jīng)過風(fēng)險(xiǎn)評(píng)估與滲透測(cè)試發(fā)現(xiàn)部分應(yīng)用系統(tǒng)存在漏洞，并能成功入侵，應(yīng)用安全需解決當(dāng)前各應(yīng)用系統(tǒng)存在的安全問題，并為應(yīng)用系統(tǒng)運(yùn)行與管理提供方便，結(jié)合南方電網(wǎng)要求，逐步實(shí)現(xiàn)應(yīng)用系統(tǒng)的集中用戶、身份認(rèn)證和授權(quán)管理，為應(yīng)用系統(tǒng)統(tǒng)一、集中管理提供基礎(chǔ)。4．?dāng)?shù)據(jù)庫需求，數(shù)據(jù)庫賬號(hào)及數(shù)據(jù)庫管理賬號(hào)無法進(jìn)行有效監(jiān)控與管理、審計(jì)，需建立數(shù)據(jù)安全管理與審計(jì)系統(tǒng)，提高對(duì)數(shù)據(jù)庫系統(tǒng)的安全。5．終端安全需求：缺乏桌面安全管理、準(zhǔn)入控制機(jī)制、補(bǔ)丁管理和AD域管理，安全技術(shù)體系需建立終端安全機(jī)制，提高終端安全防護(hù)能力。6．安全事件管理與監(jiān)控：當(dāng)前XX電網(wǎng)還沒有集中的安全事件監(jiān)控與管理平臺(tái)，導(dǎo)致安全運(yùn)維自動(dòng)化程度不高，需建立統(tǒng)一的信息安全事件管理與監(jiān)控平臺(tái)，其功能包括安全事件統(tǒng)一管理、審計(jì)統(tǒng)一審計(jì)等。管理策略需求XX電網(wǎng)提出了“建立健全信息安全體系，實(shí)現(xiàn)信息安全自主管理，自主執(zhí)行的常態(tài)化機(jī)制”的要求，針對(duì)下列信息安全管理策略需求，梳理并提出如下安全技術(shù)需求。安全管理策略需求安全技術(shù)需求設(shè)備安全：定義信息處理設(shè)施，并實(shí)施完整可控的管理授權(quán)過程建立統(tǒng)一用戶管理與授權(quán)管理機(jī)制定期評(píng)估：定期識(shí)別和評(píng)估XX電網(wǎng)面臨的信息安全風(fēng)險(xiǎn)，并采取恰當(dāng)措施予以處理加強(qiáng)安全弱點(diǎn)管理全生命周期管理：做好信息系統(tǒng)生命周期各階段的安全控制加強(qiáng)安全基線管理，實(shí)施安全符合性檢查惡意代碼防護(hù)：防范病毒與各種惡意軟件的入侵持續(xù)完善防病毒機(jī)制控制對(duì)內(nèi)外部網(wǎng)絡(luò)服務(wù)的訪問，保護(hù)網(wǎng)絡(luò)化服務(wù)的安全性與可靠性，防止重要信息泄漏實(shí)施網(wǎng)絡(luò)安全域劃分加強(qiáng)邊界防護(hù)網(wǎng)絡(luò)安全管理：應(yīng)對(duì)用戶口令和權(quán)限進(jìn)行嚴(yán)格管理，防止對(duì)系統(tǒng)的非授權(quán)訪問建立統(tǒng)一的用戶管理與授權(quán)管理機(jī)制安全事件管理：采取有效的安全事件管理機(jī)制，明確安全責(zé)任，建立對(duì)信息安全事件的報(bào)告及響應(yīng)流程建立統(tǒng)一安全事件監(jiān)測(cè)與管理機(jī)制監(jiān)督與審核：建立有效的審核機(jī)制，加強(qiáng)對(duì)信息安全各項(xiàng)工作的監(jiān)督與審核建立綜合安全審計(jì)機(jī)制XX電網(wǎng)安全技術(shù)體系圍繞本信息安全管理策略進(jìn)行規(guī)劃，從技術(shù)方面支持XX電網(wǎng)信息安全策略，有效保障安全策略的執(zhí)行與落實(shí)。3.1.2南方電網(wǎng)考核需求南方電網(wǎng)考核需求，主要依據(jù)南方電網(wǎng)公司的安全工作指導(dǎo)意見和考核要求。南方電網(wǎng)為深入貫徹落實(shí)《關(guān)于加強(qiáng)中央企業(yè)信息化工作的指導(dǎo)意見》，出臺(tái)了關(guān)于信息化工作評(píng)價(jià)的相關(guān)辦法，其中關(guān)于信息安全防護(hù)水平的評(píng)價(jià)指標(biāo)如下：信息安全防護(hù)水平評(píng)價(jià)指標(biāo)安全技術(shù)需求統(tǒng)一的安全管理制定總體安全防護(hù)體系框架，作為信息安全工作開展的總體指導(dǎo)，并根據(jù)總體要求開展信息安全工作。建立XX電網(wǎng)信息安全技術(shù)框架，從技術(shù)方面規(guī)范與指導(dǎo)XX電網(wǎng)信息安全建設(shè)。信息安全風(fēng)險(xiǎn)評(píng)估制定《網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》，并定期開展信息安全風(fēng)險(xiǎn)評(píng)估。制定《網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》文檔，并在安全技術(shù)框架中，引入信息安全漏洞評(píng)估系統(tǒng)，為信息安全風(fēng)險(xiǎn)評(píng)估提供條件與基礎(chǔ)，有效支持公司信息安全風(fēng)險(xiǎn)評(píng)估工作。信息安全等級(jí)保護(hù)按照南方電網(wǎng)公司《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》、《信息系統(tǒng)安全等級(jí)評(píng)測(cè)準(zhǔn)則》文件，進(jìn)行信息安全等級(jí)防護(hù)。信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南對(duì)信息安全技術(shù)保護(hù)提出了具體的要求，信息安全技術(shù)體系規(guī)劃中，須符合并滿足保護(hù)要求。信息安全事件I類信息安全事件不得發(fā)生，II級(jí)信息安全事件不得超過2起，III級(jí)信息安全事件不得超過4起；不得發(fā)生隱瞞、緩報(bào)、謊報(bào)等情況。為有效對(duì)XX電網(wǎng)信息安全事件管理，建立全面、統(tǒng)一的安全事件管理系統(tǒng)，對(duì)內(nèi)部信息安全進(jìn)行集中監(jiān)控與處理。3.1.3國家等保需求國家等保需求，主要依據(jù)國家有關(guān)部門頒布的信息安全等級(jí)保護(hù)的要求。，《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[]27號(hào)）明確指出“實(shí)行信息安全等級(jí)保護(hù)”，“抓緊建立信息安全等級(jí)保護(hù)制度，制定信息安全等級(jí)保護(hù)的管理辦法和技術(shù)指南”；9月公安部會(huì)同國家保密局、國家密碼管理局和國務(wù)院信息辦聯(lián)合出臺(tái)了《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》（公通字[]66號(hào)），明確了信息安全等級(jí)保護(hù)制度的原則和基本內(nèi)容，以及信息安全等級(jí)保護(hù)工作的職責(zé)分工、工作實(shí)施的要求等；電監(jiān)信息〔〕34號(hào)《關(guān)于開展電力行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知》明確為貫徹落實(shí)公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室《關(guān)于印發(fā)<信息安全等級(jí)保護(hù)管理辦法>的通知》（公通字〔〕43號(hào)）和《關(guān)于開展全國重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知》（公信安〔〕861號(hào)）要求，提高電力行業(yè)網(wǎng)絡(luò)和信息系統(tǒng)的信息安全保護(hù)能力和水平，對(duì)在電力行業(yè)組織開展信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作。電網(wǎng)信息安全建設(shè)從業(yè)務(wù)需求建設(shè)已轉(zhuǎn)向遵循相關(guān)法規(guī)與要求建設(shè)。為電網(wǎng)信息安全建設(shè)提供的目標(biāo)與要求。本信息安全技術(shù)體系規(guī)劃，以遵從國家等保要求為出發(fā)點(diǎn)，結(jié)合XX電網(wǎng)實(shí)際情況進(jìn)行安安技術(shù)體系規(guī)劃，安全技術(shù)體系達(dá)到“遵從性、適應(yīng)性、有效性”。3.2安全技術(shù)目標(biāo)經(jīng)過對(duì)XX電網(wǎng)安全需求的總結(jié)分析，我們明確安全技術(shù)架構(gòu)規(guī)劃的技術(shù)目標(biāo)是對(duì)XX電網(wǎng)重要的IT資源，包括信息數(shù)據(jù)、應(yīng)用系統(tǒng)、主機(jī)系統(tǒng)、終端系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)，提供綜合化、體系化的安全防護(hù)：完善縱深防護(hù)的網(wǎng)絡(luò)安全技術(shù)機(jī)制，提升XX電網(wǎng)網(wǎng)絡(luò)安全防護(hù)能力，為應(yīng)用系統(tǒng)運(yùn)行及數(shù)據(jù)傳輸提供安全保障；以應(yīng)用安全風(fēng)險(xiǎn)為導(dǎo)向，加強(qiáng)應(yīng)用系統(tǒng)安全防護(hù)能力，經(jīng)過對(duì)應(yīng)用安全改進(jìn)，建設(shè)用戶賬號(hào)與認(rèn)證授權(quán)的統(tǒng)一管理，建設(shè)數(shù)據(jù)庫、中間件、主機(jī)等支撐平臺(tái)安全基線管理、加強(qiáng)安全審計(jì)，降低應(yīng)用系統(tǒng)的綜合安全風(fēng)險(xiǎn)，實(shí)現(xiàn)對(duì)業(yè)務(wù)管理工作的有力支持；加強(qiáng)桌面終端用戶業(yè)務(wù)辦公的安全保障機(jī)制，提高公司對(duì)桌面終端系統(tǒng)的安全控制，經(jīng)過強(qiáng)化桌面終端安全管理，建設(shè)桌面終端的安全準(zhǔn)入控制機(jī)制，加強(qiáng)終端信息數(shù)據(jù)安全保護(hù)，為XX電網(wǎng)內(nèi)部用戶的業(yè)務(wù)辦公提供安全環(huán)境；加強(qiáng)對(duì)公司信息資產(chǎn)的安全保護(hù)，形成事前防御、事中監(jiān)控、事后追溯的安全機(jī)制，經(jīng)過關(guān)鍵信息資產(chǎn)的安全弱點(diǎn)管理，信息安全事件的統(tǒng)一閉環(huán)管理，有效的提高安全風(fēng)險(xiǎn)綜合防范的能力。3.3安全技術(shù)架構(gòu)設(shè)計(jì)原則在安全技術(shù)架構(gòu)規(guī)劃設(shè)計(jì)過程中，需要遵循以下的原則：統(tǒng)一性安全技術(shù)手段的建設(shè)應(yīng)綜合分析公司整體安全需求，實(shí)現(xiàn)安全服務(wù)平臺(tái)化、統(tǒng)一化。綜合性應(yīng)從外到內(nèi)、從點(diǎn)到面、從源頭控制到事后恢復(fù)，進(jìn)行綜合性的整體預(yù)防與控制。先進(jìn)性具有前瞻性，考慮安全技術(shù)的發(fā)展趨勢(shì)，滿足業(yè)務(wù)未來發(fā)展的需求。合規(guī)性符合國家信息安全保障體系的總體要求，符合電監(jiān)會(huì)、南方電網(wǎng)公司等上級(jí)部門的相關(guān)管理要求。可持續(xù)性滿足信息系統(tǒng)全生命周期管理的安全保障要求，為信息系統(tǒng)提供持續(xù)的安全保障。平衡性安全技術(shù)的使用不能以影響業(yè)務(wù)系統(tǒng)正常運(yùn)行、降低員工的工作效率為代價(jià)，安全技術(shù)規(guī)劃要考慮安全要求與業(yè)務(wù)要求平衡性。XX電網(wǎng)安全技術(shù)功能服務(wù)組件框架根據(jù)對(duì)XX電網(wǎng)信息安全技術(shù)需求的總結(jié)，參考IBM企業(yè)安全技術(shù)架構(gòu)方法，提出XX電網(wǎng)安全技術(shù)架構(gòu)框架。安全技術(shù)架構(gòu)框架覆蓋了XX電網(wǎng)未來5年所需要的安全技術(shù)功能服務(wù)組件。每個(gè)定義的安全技術(shù)功能服務(wù)組件，都能夠形成獨(dú)立安全服務(wù)平臺(tái)，用于實(shí)現(xiàn)XX電網(wǎng)的安全技術(shù)目標(biāo)。安全技術(shù)功能服務(wù)組件框架同時(shí)也是XX電網(wǎng)的安全技術(shù)功能服務(wù)組件庫，便于XX電網(wǎng)的安全技術(shù)人員從組件庫中選取所需的安全服務(wù)組件，以規(guī)范一致的方式來進(jìn)行的安全技術(shù)解決方案設(shè)計(jì)。圖STYLEREF1\s4SEQ圖\*ARABIC\s11安全技術(shù)功能服務(wù)組件框架4.1安全技術(shù)功能服務(wù)組件目錄定義與安全架構(gòu)方法模型中的五個(gè)安全域相對(duì)應(yīng)，定義了五個(gè)安全技術(shù)功能服務(wù)組件目錄，分別是身份與信任管理目錄、訪問控制目錄、信息流控制目錄、完整性控制目錄和安全審計(jì)管理目錄。以下是每個(gè)安全服務(wù)組件目錄的定義。身份與信任管理目錄該目錄定義了身份和信任管理方面的功能服務(wù)組件，它們能夠?qū)ζ髽I(yè)范圍內(nèi)的用戶身份的識(shí)別、驗(yàn)證進(jìn)行管理控制，提供對(duì)用戶身份和信任憑證生命周期的管理。在本目錄中包含的安全服務(wù)組件有集中用戶管理、企業(yè)用戶目錄和數(shù)字證書服務(wù)。訪問控制目錄該目錄定義了對(duì)IT資源（包括網(wǎng)絡(luò)資源、平臺(tái)系統(tǒng)資源、應(yīng)用系統(tǒng)資源、數(shù)據(jù)資源等）進(jìn)行訪問控制的功能服務(wù)組件，它們負(fù)責(zé)企業(yè)范圍內(nèi)的IT資源訪問的管理控制。在本目錄中包含的安全服務(wù)組件有集中身份認(rèn)證及單點(diǎn)登錄、訪問授權(quán)、終端準(zhǔn)入控制、遠(yuǎn)程訪問控制。信息流控制目錄該目錄定義了對(duì)網(wǎng)絡(luò)信息流進(jìn)行安全控制的功能服務(wù)組件，它們負(fù)責(zé)對(duì)企業(yè)范圍內(nèi)的信息流進(jìn)行把關(guān)控制，保證信息流的機(jī)密保護(hù)、完整準(zhǔn)確和合理可達(dá)。在本目錄中包含的安全服務(wù)組件有入侵檢測(cè)/防御、邊界信息流控制、信息流內(nèi)容檢測(cè)過濾、拒絕服務(wù)攻擊防護(hù)。完整性控制目錄該目錄定義了保障IT實(shí)體（包括網(wǎng)絡(luò)、平臺(tái)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)等）完整性的功能服務(wù)組件，它們負(fù)責(zé)對(duì)企業(yè)范圍內(nèi)IT實(shí)體正確、完整、可靠運(yùn)行提供管理控制。在本目錄中包含的安全服務(wù)組件有網(wǎng)頁防篡改、信息防泄露、防病毒服務(wù)、桌面終端管理、可用性保障。安全審計(jì)管理目錄該目錄定義了對(duì)安全審計(jì)管理的功能服務(wù)組件，它們負(fù)責(zé)對(duì)企業(yè)范圍內(nèi)的IT安全事件進(jìn)行記錄和監(jiān)控，保證IT安全事件的可追溯和及時(shí)響應(yīng)。在本目錄中包含的安全服務(wù)組件有統(tǒng)一安全事件監(jiān)控管理、綜合安全日志審計(jì)、操作過程審計(jì)、安全符合性檢查和安全弱點(diǎn)管理。4.2安全技術(shù)功能服務(wù)組件定義4.2.1身份與信任管理目錄身份與信任管理目錄包含以下的安全技術(shù)功能服務(wù)組件。每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。統(tǒng)一用戶管理服務(wù)名稱 版本歸屬統(tǒng)一用戶管理服務(wù)1.0身份與信任管理描述統(tǒng)一用戶管理服務(wù)能夠?yàn)槠髽I(yè)用戶提供集中統(tǒng)一的用戶賬號(hào)管理服務(wù)，管理企業(yè)用戶使用各種企業(yè)IT系統(tǒng)時(shí)的用戶賬號(hào)。本服務(wù)有利于降低用戶管理的成本，有利于強(qiáng)化用戶賬號(hào)安全策略實(shí)施。關(guān)鍵服務(wù)統(tǒng)一用戶管理服務(wù)應(yīng)該為XX電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：組織管理，實(shí)現(xiàn)對(duì)XX電網(wǎng)組織結(jié)構(gòu)的管理，使得企業(yè)能夠按照自身情況以部門或者地域進(jìn)行組織結(jié)構(gòu)的定義，管理內(nèi)部用戶在XX電網(wǎng)的組織結(jié)構(gòu)的分布；賬號(hào)管理，實(shí)現(xiàn)對(duì)XX電網(wǎng)所有內(nèi)部用戶自然人身份的主賬號(hào)的管理，包括創(chuàng)立，激活、中止，廢除、修改和刪除，以及主賬號(hào)與用戶在目標(biāo)IT系統(tǒng)的賬號(hào)的關(guān)聯(lián)同步管理；用戶審批管理，實(shí)現(xiàn)對(duì)XX電網(wǎng)用戶賬號(hào)建立、變動(dòng)的審批管理；角色管理，定義和管理在XX電網(wǎng)企業(yè)用戶的工作崗位/角色，提高企業(yè)用戶管理的效率和靈活性。經(jīng)過角色定義，能夠?qū)⒛愁惤巧筒煌繕?biāo)系統(tǒng)上的賬號(hào)進(jìn)行對(duì)應(yīng)，實(shí)現(xiàn)基于角色的企業(yè)用戶管理；基于角色的訪問管理：經(jīng)過角色定義，能夠?qū)⒛愁惤巧湍繕?biāo)系統(tǒng)上的資源進(jìn)行對(duì)應(yīng)，支持基于角色的訪問授權(quán)。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)未建立統(tǒng)一的企業(yè)用戶管理機(jī)制，大多數(shù)應(yīng)用系統(tǒng)在賬號(hào)管理方面采用了豎井式的建設(shè)，未使用統(tǒng)一的企業(yè)用戶目錄，獨(dú)立管理自身的賬號(hào)。企業(yè)用戶目錄服務(wù)名稱版本歸屬企業(yè)用戶目錄服務(wù)1.0身份與信任管理描述企業(yè)用戶目錄管理能夠?yàn)槠髽I(yè)用戶該提供集中的用戶基礎(chǔ)數(shù)據(jù)信息管理和存儲(chǔ)服務(wù)。關(guān)鍵服務(wù)企業(yè)用戶目錄管理服務(wù)應(yīng)該為XX電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：企業(yè)用戶目錄：實(shí)現(xiàn)將XX電網(wǎng)所有用戶信息存儲(chǔ)在企業(yè)用戶目錄，企業(yè)用戶目錄設(shè)計(jì)需要反映出XX電網(wǎng)的組織結(jié)構(gòu)；一般來講，企業(yè)用戶目錄的設(shè)計(jì)應(yīng)該具備高效處理的扁平結(jié)構(gòu)。其中企業(yè)用戶目錄中對(duì)用戶的標(biāo)識(shí)能夠?yàn)閱T工工號(hào)、郵件地址、HR系統(tǒng)中員工編號(hào)等。信任憑證安全存儲(chǔ)：實(shí)現(xiàn)所有用戶的敏感的信任憑證信息的安全存儲(chǔ)，建議采用不可逆的加密算法實(shí)現(xiàn)對(duì)敏感的信任憑證的加密存儲(chǔ)。目錄整合與數(shù)據(jù)同步：實(shí)現(xiàn)XX電網(wǎng)企業(yè)用戶目錄的良好整合功能，能夠整合企業(yè)已有系統(tǒng)的非規(guī)范用戶信息，實(shí)現(xiàn)與已有系統(tǒng)的用戶信息的同步。其中目錄整合須建立企業(yè)用戶目錄系統(tǒng)與其它系統(tǒng)間的用戶信息對(duì)應(yīng)關(guān)系；雙方數(shù)據(jù)的同步接口將遵循該對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)一次性或定期的數(shù)據(jù)同步。目錄復(fù)制與恢復(fù)：實(shí)現(xiàn)企業(yè)用戶目錄的復(fù)制與恢復(fù)，有效保障用戶目錄信息的高可用性。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)沒有統(tǒng)一的企業(yè)用戶目錄機(jī)制。數(shù)字證書服務(wù)名稱版本歸屬數(shù)字證書服務(wù)1.0身份與信任管理描述數(shù)字證書服務(wù)是一種增強(qiáng)性的用戶信任憑證服務(wù)，該服務(wù)提供企業(yè)用戶和應(yīng)用的數(shù)字證書的管理和驗(yàn)證。關(guān)鍵服務(wù)數(shù)字證書系統(tǒng)是加強(qiáng)XX電網(wǎng)應(yīng)用安全的重要手段，需要采用可靠的方式，實(shí)現(xiàn)聯(lián)網(wǎng)應(yīng)用用戶的強(qiáng)身份鑒別和認(rèn)證，支持網(wǎng)絡(luò)應(yīng)用的信息傳輸保護(hù)，提高業(yè)務(wù)應(yīng)用的抗抵賴性。數(shù)字證書服務(wù)應(yīng)該為XX電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：證書策略管理：根據(jù)企業(yè)的安全策略，設(shè)定數(shù)字證書的策略，使得證書的管理滿足企業(yè)的業(yè)務(wù)安全要求；證書申請(qǐng)：系統(tǒng)接受用戶輸入的信息并提供一系列證書模塊，供用戶根據(jù)自己的需要選擇并申請(qǐng)，系統(tǒng)驗(yàn)證用戶信息，如果成功，系統(tǒng)向用戶返回下載證書所需的憑證。證書簽發(fā)：根據(jù)證書策略，對(duì)于經(jīng)過審核的證書申請(qǐng)，生成數(shù)字證書；并將簽發(fā)成功的證書發(fā)布到LDAP，或企業(yè)用戶目錄中。證書下載：驗(yàn)證用戶的下載憑證，對(duì)驗(yàn)證經(jīng)過的用戶，提供證書下載服務(wù)。證書驗(yàn)證：向企業(yè)的用戶或者應(yīng)用提供統(tǒng)一的證書有效性驗(yàn)證；證書撤銷：根據(jù)企業(yè)證書策略，對(duì)不安全的證書實(shí)行撤銷，撤銷后證書將失效。證書更新：根據(jù)企業(yè)證書策略，對(duì)正在使用中的證書進(jìn)行有效期等更新。證書凍結(jié)：根據(jù)企業(yè)證書策略，能夠?qū)Χ唐趦?nèi)不會(huì)使用的證書進(jìn)行凍結(jié)操作，在凍結(jié)期內(nèi)證書被限定不可使用。被凍結(jié)的證書可經(jīng)過解凍操作恢復(fù)使用。證書解凍：相對(duì)于證書凍結(jié)操作，此功能將凍結(jié)的證書解凍，使得證書能夠重新使用。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)的大部分應(yīng)用系統(tǒng)已經(jīng)實(shí)現(xiàn)與數(shù)字證書身份認(rèn)證系統(tǒng)的接口改造，初步實(shí)現(xiàn)了系統(tǒng)安全登錄，下一步將不斷強(qiáng)化數(shù)字證書的應(yīng)用，完全取消用戶名/口令，統(tǒng)一采用數(shù)字證書登錄系統(tǒng)。4.2.2訪問控制目錄訪問控制目錄包含以下的安全技術(shù)功能服務(wù)組件。每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。集中身份認(rèn)證及單點(diǎn)登陸服務(wù)名稱版本歸屬集中身份認(rèn)證及單點(diǎn)登陸服務(wù)1.0訪問控制描述集中身份認(rèn)證及單點(diǎn)登錄服務(wù)是以集中的方式，實(shí)現(xiàn)企業(yè)用戶對(duì)應(yīng)用系統(tǒng)和平臺(tái)設(shè)備的訪問進(jìn)行單點(diǎn)登錄和集中身份認(rèn)證。關(guān)鍵服務(wù)集中身份認(rèn)證及單點(diǎn)登錄服務(wù)應(yīng)該為XX電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：訪問集中認(rèn)證：經(jīng)過對(duì)訪問者的身份信任憑證的集中檢驗(yàn)來核實(shí)身份的正確性；支持多種認(rèn)證機(jī)制：能夠支持多種信任憑證認(rèn)證機(jī)制，例如密碼、一次性口令、證書等；單點(diǎn)認(rèn)證：用戶只需要經(jīng)過集中認(rèn)證服務(wù)的驗(yàn)證，不必在企業(yè)的應(yīng)用和平臺(tái)進(jìn)行重復(fù)驗(yàn)證。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)的IT系統(tǒng)，包括應(yīng)用、操作系統(tǒng)、數(shù)據(jù)庫和網(wǎng)絡(luò)設(shè)備，各系統(tǒng)獨(dú)立進(jìn)行用戶身份認(rèn)證，均沒有采用集中身份認(rèn)證機(jī)制，未建立統(tǒng)一單點(diǎn)登錄機(jī)制。終端安全準(zhǔn)入名稱 版本歸屬終端安全準(zhǔn)入1.0訪問控制描述終端安全準(zhǔn)入服務(wù)提供對(duì)接入企業(yè)網(wǎng)絡(luò)的合法合規(guī)終端的檢查，只允許經(jīng)過合法身份檢查、而且達(dá)到安全合規(guī)要求的終端接入內(nèi)部網(wǎng)絡(luò)。關(guān)鍵服務(wù)終端安全準(zhǔn)入服務(wù)提供以下的關(guān)鍵安全服務(wù)：終端合法身份認(rèn)證：對(duì)登錄終端的合法性進(jìn)行確認(rèn)，經(jīng)過檢查終端的合法唯一標(biāo)識(shí)，以及終端用戶的合法身份檢查，禁止非法終端接入內(nèi)部網(wǎng)絡(luò)，此功能的實(shí)現(xiàn)需要結(jié)合身份與信任管理目錄中的服務(wù)平臺(tái)終端安全合規(guī)檢查：對(duì)接入內(nèi)部網(wǎng)絡(luò)的合法終端的安全合規(guī)進(jìn)行檢驗(yàn)，禁止不合規(guī)的終端接入內(nèi)部網(wǎng)絡(luò)不合規(guī)終端安全修補(bǔ)：對(duì)合法但不合規(guī)的終端，提供安全修補(bǔ)的服務(wù)，此功能需要結(jié)合補(bǔ)丁管理服務(wù)及桌面終端管理服務(wù)。當(dāng)前實(shí)施情況當(dāng)前XX電網(wǎng)正在做終端安全準(zhǔn)入的研究，尚未實(shí)施終端安全準(zhǔn)入技術(shù)工具。訪問授權(quán)服務(wù)名稱 版本歸屬訪問授權(quán)服務(wù)1.0訪問控制描述訪問授權(quán)服務(wù)是以集中的方式對(duì)企業(yè)用戶訪問應(yīng)用或平臺(tái)的資源的權(quán)限進(jìn)行檢驗(yàn)。關(guān)鍵服務(wù)訪問授權(quán)服務(wù)能夠提供以下的功能：訪問授權(quán)驗(yàn)證：用戶經(jīng)過身份認(rèn)證后，需要對(duì)用戶訪問資源的權(quán)限進(jìn)行檢驗(yàn)，以確定用戶是否能夠訪問目標(biāo)資源訪問權(quán)限策略管理：根據(jù)業(yè)務(wù)安全要求，對(duì)用戶的訪問策略進(jìn)行設(shè)置，包括訪問訪問主體、對(duì)象資源、訪問時(shí)間等；實(shí)現(xiàn)將訪問授權(quán)策略數(shù)據(jù)的存儲(chǔ)和管理；資源對(duì)象管理：對(duì)應(yīng)用或平臺(tái)的資源進(jìn)行細(xì)粒度對(duì)象的管理訪問請(qǐng)求管理：根據(jù)業(yè)務(wù)安全要求，對(duì)用戶的訪問資源請(qǐng)求進(jìn)行控制，配合訪問策略管理服務(wù)，實(shí)現(xiàn)進(jìn)行的細(xì)致的資源訪問控制當(dāng)前實(shí)施情況當(dāng)前尚未結(jié)合單點(diǎn)登錄系統(tǒng)、集中用戶管理系統(tǒng)實(shí)現(xiàn)統(tǒng)一訪問授權(quán)管理。遠(yuǎn)程安全接入服務(wù)名稱版本歸屬遠(yuǎn)程安全接入服務(wù)1.0信息流控制描述遠(yuǎn)程安全接入服務(wù)是在公共互聯(lián)網(wǎng)絡(luò)上，建立虛擬的安全通道，保證遠(yuǎn)程接入的用戶或分支機(jī)構(gòu)與XX電網(wǎng)內(nèi)網(wǎng)之間的安全連接。關(guān)鍵服務(wù)需要經(jīng)過本服務(wù)提供XX電網(wǎng)的用戶或分支機(jī)構(gòu)經(jīng)過互聯(lián)網(wǎng)安全接入內(nèi)部網(wǎng)絡(luò)，實(shí)現(xiàn)辦公和業(yè)務(wù)工作。遠(yuǎn)程安全接入服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：支持用戶以各種互聯(lián)網(wǎng)接入方式，在互聯(lián)網(wǎng)絡(luò)之上建立安全傳輸通道連接XX電網(wǎng)內(nèi)網(wǎng)采用加密算法實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)臋C(jī)密性采用摘要算法實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)耐暾圆捎脭?shù)字證書實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)牟豢煞裾J(rèn)性對(duì)用戶的遠(yuǎn)程接入實(shí)現(xiàn)認(rèn)證、授權(quán)和審計(jì)當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)各單位自行建立遠(yuǎn)程安全接入服務(wù)，支持用戶從外網(wǎng)（如互聯(lián)網(wǎng)）安全、可控的接入內(nèi)部網(wǎng)絡(luò)。4.2.3信息流控制目錄信息流控制目錄包含以下的安全技術(shù)功能服務(wù)組件。每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。信息流內(nèi)容檢測(cè)過濾服務(wù)名稱版本歸屬信息流內(nèi)容檢測(cè)過濾服務(wù)1.0信息流控制積木塊編號(hào)描述信息流內(nèi)容過濾服務(wù)對(duì)網(wǎng)絡(luò)信息數(shù)據(jù)流的3-7層的內(nèi)容檢測(cè)，檢測(cè)過濾來自互聯(lián)網(wǎng)的惡意代碼、垃圾郵件等，過濾進(jìn)出網(wǎng)絡(luò)的不安全信息內(nèi)容關(guān)鍵服務(wù)信息內(nèi)容檢測(cè)服務(wù)能夠提供以下的功能：網(wǎng)關(guān)防惡意軟件，檢測(cè)HTTP,FTP,SMTP,POP3,IMAP,P2P,IM等協(xié)議之上的病毒，過濾間諜軟件、木馬、欺詐、鍵盤記錄器等軟件。反垃圾郵件，經(jīng)過黑名單、病毒檢查、用戶定義規(guī)則、垃圾郵件指紋以及貝葉斯統(tǒng)計(jì)分析等，對(duì)垃圾郵件進(jìn)行判定，并予以投遞、隔離或阻斷處理。用戶行為管理：邊界應(yīng)用控制與過濾方案具備URL過濾、關(guān)鍵字過濾、內(nèi)容過濾等多種訪問控制策略，控制非法應(yīng)用、過濾非法網(wǎng)站、規(guī)范用戶上網(wǎng)行為，避免企業(yè)關(guān)鍵信息外泄。記錄用戶應(yīng)用訪問信息，輸出審計(jì)報(bào)告；流量管理：可精確識(shí)別BT、電驢、迅雷、MSN、QQ、YahooMessenger、PPLive等近百種P2P/IM應(yīng)用，可基于時(shí)間、用戶、區(qū)域、應(yīng)用協(xié)議，經(jīng)過告警、限速、阻斷等手段進(jìn)行靈活控制，保證網(wǎng)速的正常和業(yè)務(wù)不被影響；流量統(tǒng)計(jì)：基于通用流量統(tǒng)計(jì)模型，提供基于用戶、應(yīng)用、時(shí)間段、源/目的IP等豐富的業(yè)務(wù)流量統(tǒng)計(jì)信息日志。能夠?qū)I(yè)務(wù)組以及某個(gè)業(yè)務(wù)下的所有子業(yè)務(wù)的流量趨勢(shì)、業(yè)務(wù)帶寬占用趨勢(shì)以及業(yè)務(wù)流量分布等各種流量信息進(jìn)行統(tǒng)計(jì)分析并生成日志。流量信息包括上下行雙向流量；流量整形，經(jīng)過限流、放行、阻斷、干擾以及告警等的帶寬管理方法，實(shí)現(xiàn)基于用戶、應(yīng)用、時(shí)間段以及源/目的IP等精細(xì)的帶寬控制，合理分配網(wǎng)絡(luò)帶寬。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)統(tǒng)一出口平臺(tái)部署了流量控制設(shè)備實(shí)現(xiàn)流量控制、統(tǒng)計(jì)和整形。郵件系統(tǒng)內(nèi)置了防垃圾郵件模塊和防病毒模塊。各局域網(wǎng)與統(tǒng)一互聯(lián)網(wǎng)平臺(tái)之間都部署了上網(wǎng)行為管理設(shè)備。入侵檢測(cè)/防御服務(wù)名稱版本歸屬入侵檢測(cè)防護(hù)服務(wù)1.0信息流控制描述該服務(wù)組件提供對(duì)網(wǎng)絡(luò)數(shù)據(jù)流檢測(cè)，對(duì)符合攻擊特征的數(shù)據(jù)流給予丟棄。關(guān)鍵服務(wù)網(wǎng)絡(luò)入侵檢測(cè)/防御能夠提供以下的功能：經(jīng)過狀態(tài)檢測(cè)、特征值檢測(cè)、異常行為分析，實(shí)現(xiàn)入侵的檢測(cè)和防御WEB攻擊過濾：可保護(hù)Web應(yīng)用免遭日益增多的應(yīng)用層攻擊，如緩沖區(qū)溢出、SQL注入、跨站點(diǎn)腳本攻擊等入侵檢測(cè)/防御：在需要重點(diǎn)保護(hù)的安全域，部署網(wǎng)絡(luò)入侵檢測(cè)與防御系統(tǒng)，對(duì)網(wǎng)絡(luò)流量實(shí)時(shí)檢查，進(jìn)行模式匹配和行為監(jiān)控。一旦發(fā)現(xiàn)攻擊行為即經(jīng)過入侵檢測(cè)控制臺(tái)進(jìn)行報(bào)警，必要時(shí)，阻斷網(wǎng)絡(luò)攻擊連接。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)統(tǒng)一互聯(lián)網(wǎng)出口平臺(tái)及省網(wǎng)DC區(qū)出口部署了網(wǎng)絡(luò)入侵檢測(cè)/防御設(shè)備。邊界信息流控制服務(wù)名稱版本歸屬邊界信息流控制服務(wù)1.0信息流控制積木塊編號(hào)描述邊界信息流控制服務(wù)是指在不同安全級(jí)別的網(wǎng)絡(luò)區(qū)域的安全邊界上，針對(duì)網(wǎng)絡(luò)區(qū)域之間的數(shù)據(jù)流訪問實(shí)現(xiàn)訪問控制。關(guān)鍵服務(wù)需要經(jīng)過邊界信息流控制服務(wù)是加強(qiáng)XX電網(wǎng)不同安全級(jí)別的網(wǎng)絡(luò)區(qū)域之間信息流訪問的安全控制，保護(hù)IT系統(tǒng)訪問安全。邊界信息流控制服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全服務(wù)：過濾進(jìn)出的TCP/IP數(shù)據(jù)包。管理進(jìn)出網(wǎng)絡(luò)的訪問行為。封堵被禁止的業(yè)務(wù)。實(shí)現(xiàn)網(wǎng)絡(luò)地址翻譯?；跁?huì)話狀態(tài)檢測(cè)和TCP/IP動(dòng)態(tài)端口進(jìn)行數(shù)據(jù)流控制。將所有跨越邊界的會(huì)話通信分為兩段，實(shí)現(xiàn)數(shù)據(jù)流的中轉(zhuǎn)。對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)、告警和阻斷。記錄進(jìn)出網(wǎng)絡(luò)的訪問信息。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)統(tǒng)一互聯(lián)網(wǎng)出口平臺(tái)及各局域網(wǎng)都部署了防火墻或者ACL機(jī)制來實(shí)現(xiàn)安全隔離。防火墻基本采用高可靠冗余熱備結(jié)構(gòu)。拒絕服務(wù)攻擊防護(hù)服務(wù)名稱版本歸屬拒絕服務(wù)攻擊防護(hù)服務(wù)1.0信息流控制描述拒絕服務(wù)攻擊防護(hù)服務(wù)是防止由于來自Internet的DDoS攻擊導(dǎo)致內(nèi)部業(yè)務(wù)系統(tǒng)不可用。關(guān)鍵服務(wù)需要經(jīng)過本服務(wù)是加強(qiáng)XX電網(wǎng)互聯(lián)網(wǎng)應(yīng)用服務(wù)可用性的安全保護(hù)，抵御來自互聯(lián)網(wǎng)的拒絕服務(wù)攻擊。拒絕服務(wù)攻擊防護(hù)服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：流量檢測(cè)功能：采用基于行為模式異常的檢測(cè)，從背景流量中識(shí)別攻擊流量。流量清洗，將可疑流量過濾，分流出“干凈”流量，將其重新注入網(wǎng)絡(luò)中。當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)已在統(tǒng)一互聯(lián)網(wǎng)出口平臺(tái)部署了具有拒絕服務(wù)攻擊防護(hù)功能的設(shè)備。4.2.4完整性控制目錄完整性控制目錄包含以下的安全技術(shù)功能服務(wù)組件。每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。網(wǎng)頁防篡改服務(wù)名稱版本歸屬網(wǎng)頁防篡改服務(wù)1.0完整性控制描述網(wǎng)頁防篡改服務(wù)提供對(duì)企業(yè)對(duì)外服務(wù)的網(wǎng)站系統(tǒng)的完整性保護(hù)，防止系統(tǒng)文件被非法篡改。關(guān)鍵服務(wù)網(wǎng)頁防篡改服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：阻斷非法進(jìn)程對(duì)受保護(hù)文件的寫操作；基于事件觸發(fā)機(jī)制，實(shí)時(shí)發(fā)現(xiàn)受保護(hù)文件的任何非授權(quán)變更；依據(jù)數(shù)字指紋技術(shù)，驗(yàn)證所有對(duì)外發(fā)布文件的合法性，確保非法發(fā)布網(wǎng)頁無法發(fā)布；提供受保護(hù)文件/目錄自動(dòng)備份；提供文件備份服務(wù)，自動(dòng)從備份服務(wù)器恢復(fù)這些被改動(dòng)的文件、文件夾。當(dāng)前實(shí)施情況已實(shí)施網(wǎng)頁防篡改產(chǎn)品，能夠?qū)o態(tài)頁面進(jìn)行保護(hù)。信息防泄露服務(wù)名稱版本歸屬信息防泄露服務(wù)1.0完整性控制描述機(jī)密文檔防泄露服務(wù)提供對(duì)數(shù)據(jù)庫加密服務(wù)和的電子文檔安全保護(hù)服務(wù)。關(guān)鍵服務(wù)電子文檔安全保護(hù)服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：文檔加密：受保護(hù)的文檔不能以明文的形式存放在客戶端或者服務(wù)器上，所有受保護(hù)的文檔在存儲(chǔ)時(shí)都應(yīng)經(jīng)過加密處理，文檔在網(wǎng)絡(luò)上傳輸時(shí)也應(yīng)是加密的。文檔解密：根據(jù)文檔安全策略，對(duì)加密的文檔提供安全解密；文檔授權(quán)與訪問控制：只有經(jīng)過系統(tǒng)授權(quán)的用戶才能訪問文檔，對(duì)用戶訪問文檔的方式根據(jù)制定好授權(quán)策略進(jìn)行控制，如閱覽、打印、復(fù)制、修改等；支持離線保護(hù)功能：?jiǎn)T工在外地出差工作時(shí)，需要使用大量的加密文檔進(jìn)行工作，因此，要保證受保護(hù)的加密文檔在離開內(nèi)網(wǎng)時(shí)還能處于受保護(hù)的狀態(tài)，保證文檔的安全性。數(shù)據(jù)庫加密服務(wù)提供以下的功能：數(shù)據(jù)庫加密設(shè)置:根據(jù)敏感性要求設(shè)置數(shù)據(jù)表的列加密，而不是對(duì)數(shù)據(jù)表全部數(shù)據(jù)加密。數(shù)據(jù)存儲(chǔ)加密：采用成熟加密技術(shù)對(duì)敏感數(shù)據(jù)加密存儲(chǔ)，并采用校驗(yàn)措施來防止數(shù)據(jù)非授權(quán)修改數(shù)據(jù)通信加密：數(shù)據(jù)庫訪問采用通信加密，防數(shù)據(jù)重放或篡改訪問授權(quán)：需要對(duì)機(jī)密數(shù)據(jù)的訪問者進(jìn)行身份和授權(quán)驗(yàn)證加密密鑰保護(hù)：對(duì)密鑰提供管理和安全存儲(chǔ)，避免密鑰被非法獲取當(dāng)前實(shí)施情況當(dāng)前部分關(guān)鍵系統(tǒng)采用數(shù)據(jù)庫加密方式保護(hù)信息數(shù)據(jù)。未實(shí)施電子文檔安全保護(hù)產(chǎn)品防病毒服務(wù)名稱版本歸屬防病毒服務(wù)1.0完整性控制積木塊編號(hào)描述惡意代碼防護(hù)服務(wù)是檢測(cè)、監(jiān)控和殺除惡意代碼，保護(hù)應(yīng)用系統(tǒng)和平臺(tái)系統(tǒng)（主機(jī)系統(tǒng)、終端系統(tǒng)等）的安全。關(guān)鍵服務(wù)惡意代碼服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：策略管理：以集中的方式管理XX電網(wǎng)的PC服務(wù)器系統(tǒng)和Desktop終端的惡意代碼防范策略掃描引擎和代碼庫更新：持續(xù)更新掃描引擎和惡意代碼特征庫，并自動(dòng)提供給服務(wù)器和終端系統(tǒng)惡意代碼掃描、清除：對(duì)主機(jī)系統(tǒng)或終端檢查并清除惡意代碼；系統(tǒng)惡意代碼實(shí)時(shí)保護(hù)：對(duì)主機(jī)系統(tǒng)和終端進(jìn)行實(shí)時(shí)性的監(jiān)控，一旦發(fā)現(xiàn)惡意代碼行為及時(shí)告警并攔截；網(wǎng)絡(luò)惡意代碼實(shí)時(shí)保護(hù)：對(duì)網(wǎng)絡(luò)層的惡意代碼流進(jìn)行實(shí)時(shí)監(jiān)測(cè)，及時(shí)過濾惡意代碼流并告警。當(dāng)前實(shí)施情況XX電網(wǎng)省中心的部署了統(tǒng)一企業(yè)版終端防病毒系統(tǒng)，防病毒管理中心部署在內(nèi)網(wǎng)服務(wù)器網(wǎng)段，客戶端防病毒軟件覆蓋內(nèi)部所有的電腦終端?？捎眯员Ｕ戏?wù)名稱 版本歸屬可用性保障服務(wù)1.0完整性控制描述可用性保障服務(wù)組件能夠支持應(yīng)用或系統(tǒng)平臺(tái)發(fā)生運(yùn)行失敗和中斷時(shí)能夠及時(shí)修復(fù)，或部分的應(yīng)用或系統(tǒng)平臺(tái)發(fā)生運(yùn)行失敗時(shí)企業(yè)能夠繼續(xù)可靠的提供IT系統(tǒng)服務(wù)。關(guān)鍵服務(wù)可用性保障服務(wù)組件提供以下的關(guān)鍵安全服務(wù)：當(dāng)IT系統(tǒng)發(fā)生運(yùn)行失敗和運(yùn)行中斷時(shí)，支持經(jīng)過修復(fù)的方式，即歸檔備份和恢復(fù)，使得系統(tǒng)從上次的狀態(tài)點(diǎn)重新開始操作。當(dāng)IT系統(tǒng)發(fā)生運(yùn)行問題時(shí)，支持經(jīng)過高可靠的方式，例如熱備份、在線備份等，使得系統(tǒng)能夠不影響業(yè)務(wù)的繼續(xù)運(yùn)行。在應(yīng)用系統(tǒng)層面，經(jīng)過數(shù)據(jù)備份與恢復(fù)、系統(tǒng)回退等機(jī)制，確保應(yīng)用系統(tǒng)操作失敗、業(yè)務(wù)系統(tǒng)意外中斷時(shí)，能夠自動(dòng)恢復(fù)到正常運(yùn)行狀態(tài)。在系統(tǒng)層面，對(duì)于系統(tǒng)服務(wù)器和數(shù)據(jù)庫服務(wù)器等，根據(jù)其業(yè)務(wù)重要性，一般均需采取雙機(jī)/多機(jī)熱備份、或部署負(fù)載均衡設(shè)備等機(jī)制，從而實(shí)現(xiàn)系統(tǒng)層重要服務(wù)器的高可用性。在數(shù)據(jù)層面，重要的數(shù)據(jù)庫系統(tǒng)，應(yīng)采用數(shù)據(jù)備份機(jī)制，定期備份業(yè)務(wù)數(shù)據(jù)，實(shí)現(xiàn)數(shù)據(jù)的高可用性。在網(wǎng)絡(luò)層面，重要的網(wǎng)絡(luò)設(shè)備，如邊緣防火墻、核心交換機(jī)、路由器等設(shè)備，應(yīng)采取雙機(jī)或多機(jī)負(fù)載均衡的機(jī)制，實(shí)現(xiàn)網(wǎng)絡(luò)的高可用性。當(dāng)前實(shí)施情況當(dāng)前XX電網(wǎng)關(guān)鍵系統(tǒng)和設(shè)備采用了雙機(jī)/多機(jī)備份的高可用結(jié)構(gòu)，重要數(shù)據(jù)庫系統(tǒng)采用了數(shù)據(jù)備份機(jī)制保證數(shù)據(jù)的可用性安全。XX電網(wǎng)已經(jīng)啟動(dòng)異地容災(zāi)項(xiàng)目。桌面終端管理名稱 版本歸屬桌面終端管理1.0完整性控制描述桌面終端管理服務(wù)提供對(duì)XX電網(wǎng)內(nèi)部網(wǎng)絡(luò)的終端系統(tǒng)的安全管理，包括對(duì)內(nèi)部終端提供統(tǒng)一的安全合規(guī)策略檢查，提供操作系統(tǒng)/軟件補(bǔ)丁分發(fā)，軟件進(jìn)程控制和審計(jì)，非法外聯(lián)外設(shè)管理和控制等關(guān)鍵服務(wù)桌面終端管理服務(wù)提供以下的關(guān)鍵安全服務(wù)：終端安全漏洞檢查：提供終端桌面系統(tǒng)的安全合規(guī)性策略檢查和評(píng)估，并對(duì)發(fā)現(xiàn)的終端系統(tǒng)的漏洞提供漏洞修復(fù)指引。用戶行為控制：提供實(shí)時(shí)監(jiān)控終端行為，包括網(wǎng)絡(luò)行為、軟件使用行為、文件拷貝行為及移動(dòng)介質(zhì)使用行為等；軟件進(jìn)程安全管理：經(jīng)過白名單、黑名單方式定義違禁軟件，這些違禁軟件被運(yùn)行時(shí)會(huì)發(fā)生告警事件，或者直接被禁止運(yùn)行。非法外聯(lián)外設(shè)控制：控制終端在規(guī)定網(wǎng)絡(luò)場(chǎng)景（如接入內(nèi)部網(wǎng)絡(luò)）禁止自行建立外部網(wǎng)絡(luò)連接，禁止使用非授權(quán)的外部設(shè)備以及移動(dòng)存儲(chǔ)設(shè)備補(bǔ)丁管理：對(duì)系統(tǒng)/軟件提供補(bǔ)丁庫管理，并提供補(bǔ)丁下載的服務(wù)。補(bǔ)丁管理服務(wù)包括補(bǔ)丁庫升級(jí)、補(bǔ)丁測(cè)試、補(bǔ)丁分發(fā)、補(bǔ)丁安裝等功能；軟件分發(fā)：提供桌面終端的統(tǒng)一軟件分發(fā)，軟件下發(fā)后需要獲取軟件下發(fā)整體情況，用以及時(shí)調(diào)整軟件下發(fā)策略；遠(yuǎn)程維護(hù)和管理：提供管理員遠(yuǎn)程監(jiān)視或者遠(yuǎn)程協(xié)助的功能，管理員能夠?qū)Πl(fā)生問題的桌面終端提供遠(yuǎn)程維護(hù)，協(xié)助終端用戶解決問題。當(dāng)前實(shí)施情況已實(shí)施桌面終端管理系統(tǒng)，但功能未全面應(yīng)用，部分安全功能還未實(shí)現(xiàn)4.2.5安全審計(jì)管理目錄安全審計(jì)管理目錄包含以下的安全技術(shù)功能服務(wù)組件。每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。統(tǒng)一安全事件管理名稱版本歸屬統(tǒng)一安全事件管理1.0安全審計(jì)管理描述本服務(wù)是負(fù)責(zé)對(duì)XX電網(wǎng)企業(yè)范圍內(nèi)的IT系統(tǒng)（網(wǎng)絡(luò)、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫及業(yè)務(wù)系統(tǒng)）的事件進(jìn)行采集、過濾、綜合關(guān)聯(lián)分析和監(jiān)控，及時(shí)發(fā)現(xiàn)安全事件，保證IT安全事件的可追溯和及時(shí)響應(yīng)。關(guān)鍵服務(wù)本服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：事件生成與收集：收集從操作系統(tǒng)平臺(tái)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)以及其它安全服務(wù)產(chǎn)生的審計(jì)事件和數(shù)據(jù)過濾與標(biāo)準(zhǔn)化：定義規(guī)則過濾特定的事件，以及將所獲得數(shù)據(jù)加以標(biāo)準(zhǔn)化，使之符合統(tǒng)一的事件格式規(guī)范事件存儲(chǔ)：將審計(jì)事件加以集中保存，并提供訪問控制和完整性保護(hù)以禁止未經(jīng)授權(quán)的用戶讀取、復(fù)制、修改和刪除審計(jì)事件日志事件分析與告警：實(shí)時(shí)分析所收集的各類事件信息，發(fā)現(xiàn)并經(jīng)過關(guān)聯(lián)性分析定位各種潛在的可能發(fā)生的真實(shí)安全事件，如入侵、攻擊、蠕蟲爆發(fā)等，產(chǎn)生告警；提供事后審計(jì)分析功能，基于不同審計(jì)需求進(jìn)行分析審計(jì)策略：管理控制審計(jì)報(bào)告和告警產(chǎn)生的策略，定義事件分析所依據(jù)的規(guī)則審計(jì)報(bào)告：依照審計(jì)需求生成各類審計(jì)報(bào)告，提供管理層和/或IT運(yùn)維人員使用當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)已經(jīng)部署了部分安全事件監(jiān)控平臺(tái)，但未形成XX電網(wǎng)的安全事件統(tǒng)一監(jiān)控中心。綜合安全日志審計(jì)名稱版本歸屬綜合安全日志審計(jì)1.0安全審計(jì)管理描述綜合安全日志審計(jì)服務(wù)是負(fù)責(zé)對(duì)XX電網(wǎng)企業(yè)范圍內(nèi)的IT系統(tǒng)的安全日志記錄進(jìn)行分析監(jiān)控，實(shí)現(xiàn)包括主機(jī)、網(wǎng)絡(luò)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)多個(gè)層面的安全審計(jì)。關(guān)鍵服務(wù)綜合安全日志審計(jì)服務(wù)應(yīng)該為XX電網(wǎng)提供以下的安全功能：支持多層面的IT系統(tǒng)審計(jì)：包括主機(jī)審計(jì)、數(shù)據(jù)庫審計(jì)、網(wǎng)絡(luò)設(shè)備審計(jì)、應(yīng)用審計(jì)；支持對(duì)來自不同IT系統(tǒng)日志的自動(dòng)采集、標(biāo)準(zhǔn)化、索引和集中存儲(chǔ)；支持安全審計(jì)策略的制定，根據(jù)安全審計(jì)策略進(jìn)行審計(jì)日志的自動(dòng)搜尋；支持審計(jì)人員快速根據(jù)審計(jì)目標(biāo)進(jìn)行集中日志庫的深度分析，產(chǎn)生詳細(xì)審計(jì)報(bào)告當(dāng)前實(shí)施情況當(dāng)前，XX電網(wǎng)省中心未部署IT系統(tǒng)的日志安全審計(jì)服務(wù)，統(tǒng)一對(duì)應(yīng)用系統(tǒng)、主機(jī)系統(tǒng)、設(shè)備的安全事件進(jìn)行綜合分析和告警。操作過程審計(jì)名稱 版本歸屬操作過程審計(jì)1.0安全審計(jì)管理描述操作過程審計(jì)用以針對(duì)各類用戶的操作行為進(jìn)行實(shí)時(shí)審計(jì)與告警，在事后分析時(shí)能夠操作回放，如：基于網(wǎng)絡(luò)的操作審計(jì)系統(tǒng)，基于統(tǒng)一訪問控制入口的操作審計(jì)系統(tǒng)；關(guān)鍵服務(wù)操作過程審計(jì)服務(wù)是針對(duì)用戶操作進(jìn)行專項(xiàng)審計(jì)，即針對(duì)用戶一次登錄某一應(yīng)用或系統(tǒng)后所進(jìn)行操作進(jìn)行實(shí)時(shí)審計(jì)，并依照預(yù)先定義的規(guī)則在用戶執(zhí)行未授權(quán)操作時(shí)產(chǎn)生實(shí)時(shí)告警。在安全事件發(fā)生后可回放特定用戶在相關(guān)應(yīng)用或設(shè)備指定時(shí)間段內(nèi)的操作。當(dāng)前實(shí)施情況XX電網(wǎng)還未實(shí)施該功能控制措施或產(chǎn)品。安全符合性檢查服務(wù)名稱 版本歸屬安全符合性檢查服務(wù)1.0安全審計(jì)管理描述安全符合性檢查服務(wù)提供IT系統(tǒng)（主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、終端系統(tǒng)等）的安全標(biāo)準(zhǔn)符合性檢查。關(guān)鍵服務(wù)符合性檢查服務(wù)能夠提供以下的功能：企業(yè)IT系統(tǒng)安全符合性策略管理：根據(jù)企業(yè)安全策略的要求，定義并存儲(chǔ)IT系統(tǒng)的安全配置標(biāo)準(zhǔn)；經(jīng)過策略管理，建立和修改企業(yè)IT系統(tǒng)與安全標(biāo)準(zhǔn)的符合性策略；企業(yè)IT系統(tǒng)安全符合性檢查：檢查IT系統(tǒng)的安全配置，對(duì)照安全標(biāo)準(zhǔn)作出比較，發(fā)現(xiàn)不符合安全標(biāo)準(zhǔn)的問題，給出安全修正建議報(bào)告；當(dāng)前實(shí)施情況XX電網(wǎng)還未實(shí)施該功能的控制措施。安全弱點(diǎn)管理服務(wù)名稱 版本歸屬安全弱點(diǎn)管理服務(wù)1.0安全審計(jì)管理描述該服務(wù)組件能夠?qū)崿F(xiàn)對(duì)應(yīng)用系統(tǒng)和平臺(tái)系統(tǒng)（主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、終端系統(tǒng)等）存在的安全弱點(diǎn)，并對(duì)發(fā)現(xiàn)的弱點(diǎn)進(jìn)行管理。關(guān)鍵服務(wù)服務(wù)可提供以下的功能：弱點(diǎn)庫維護(hù)：定義并存儲(chǔ)各類通用IT系統(tǒng)的弱點(diǎn)庫弱點(diǎn)庫升級(jí)：從權(quán)威的弱點(diǎn)管理機(jī)構(gòu)或產(chǎn)品廠家升級(jí)最新的弱點(diǎn)庫掃描策略維護(hù)：定義并存儲(chǔ)企業(yè)的IT設(shè)備掃描策略，包括掃描時(shí)間、并發(fā)掃描進(jìn)程、掃描強(qiáng)度等弱點(diǎn)掃描：選擇掃描策略，執(zhí)行弱點(diǎn)掃描，獲取并存儲(chǔ)每次發(fā)現(xiàn)的IT系統(tǒng)存在的安全弱點(diǎn)，形成弱點(diǎn)列表弱點(diǎn)分析與管理：對(duì)掃描發(fā)現(xiàn)的弱點(diǎn)結(jié)果進(jìn)行分類分析，給出弱點(diǎn)影響范圍、影響程度、修補(bǔ)建議等；對(duì)于發(fā)現(xiàn)弱點(diǎn)進(jìn)行多緯度的分析，包括時(shí)間、設(shè)備等維度，給出弱點(diǎn)發(fā)展趨勢(shì)報(bào)告。當(dāng)前實(shí)施情況XX電網(wǎng)還未實(shí)施該功能的控制措施。XX電網(wǎng)安全技術(shù)功能服務(wù)組件部署設(shè)計(jì)XX電網(wǎng)的安全技術(shù)功能服務(wù)組件部署設(shè)計(jì)的目的，是在安全技術(shù)功能服務(wù)組件靜態(tài)模型確定的基礎(chǔ)上，根據(jù)企業(yè)的實(shí)際物理環(huán)境進(jìn)行動(dòng)態(tài)的服務(wù)組件的部署設(shè)計(jì)。在本項(xiàng)目中，我們針對(duì)XX電網(wǎng)管理信息大區(qū)進(jìn)行了網(wǎng)絡(luò)安全區(qū)域的劃分，結(jié)合XX電網(wǎng)當(dāng)前的安全技術(shù)現(xiàn)狀，基于每個(gè)安全區(qū)域的風(fēng)險(xiǎn)控制要點(diǎn)，給出安全技術(shù)功能服務(wù)組件在網(wǎng)絡(luò)環(huán)境中的部署設(shè)計(jì)。圖STYLEREF1\s5SEQ圖\*ARABIC\s11安全技術(shù)功能服務(wù)組件部署設(shè)計(jì)方法5.1網(wǎng)絡(luò)安全區(qū)域劃分隨著南方電網(wǎng)信息化戰(zhàn)略的不斷深化和XX電網(wǎng)信息化不斷發(fā)展，為實(shí)現(xiàn)集中化、標(biāo)準(zhǔn)化、現(xiàn)代化的信息化發(fā)展目標(biāo)，XX電網(wǎng)主營(yíng)業(yè)務(wù)系統(tǒng)正逐步實(shí)現(xiàn)全省大集中。因此，管理信息大區(qū)網(wǎng)絡(luò)必須為未來的信息化發(fā)展提供強(qiáng)有力的支撐。為保障管理信息大區(qū)網(wǎng)絡(luò)的高可用性、高可靠性、高安全性，必須進(jìn)行網(wǎng)絡(luò)結(jié)構(gòu)調(diào)整和安全區(qū)域劃分。安全區(qū)域定義是網(wǎng)絡(luò)安全域劃分的關(guān)鍵，網(wǎng)絡(luò)區(qū)域過多會(huì)造成設(shè)備費(fèi)用增加，同時(shí)不利于管理，而區(qū)域定義與劃分過少，會(huì)使網(wǎng)絡(luò)區(qū)域劃分不清晰，造成區(qū)域劃分不合理而未達(dá)到預(yù)期效果。另外，區(qū)域定義為將來網(wǎng)絡(luò)的擴(kuò)展提供標(biāo)準(zhǔn)，因此，XX電網(wǎng)網(wǎng)絡(luò)區(qū)域定義，應(yīng)基于網(wǎng)絡(luò)現(xiàn)狀情況，充分考慮未來網(wǎng)絡(luò)及業(yè)務(wù)發(fā)展需求，對(duì)區(qū)域進(jìn)行適當(dāng)?shù)亩x與劃分。根據(jù)XX電網(wǎng)管理信息大區(qū)業(yè)務(wù)部署模式的變化以及安全防護(hù)需求，對(duì)XX電網(wǎng)網(wǎng)絡(luò)進(jìn)行了結(jié)構(gòu)調(diào)整和安全區(qū)域劃分，用于指導(dǎo)未來的網(wǎng)絡(luò)建設(shè)和安全部署，形成XX電網(wǎng)網(wǎng)絡(luò)安全區(qū)域規(guī)劃圖，如圖5-2所示。圖STYLEREF1\s5SEQ圖\*ARABIC\s12XX電網(wǎng)網(wǎng)絡(luò)安全區(qū)域規(guī)劃圖XX電網(wǎng)網(wǎng)絡(luò)安全區(qū)域規(guī)劃圖說明了在省公司局域網(wǎng)、省綜合數(shù)據(jù)網(wǎng)、地區(qū)供電局局域網(wǎng)、地區(qū)綜合數(shù)據(jù)網(wǎng)、縣供電局網(wǎng)絡(luò)的網(wǎng)絡(luò)調(diào)整基礎(chǔ)上，進(jìn)行網(wǎng)絡(luò)安全區(qū)域劃分。在以下章節(jié)對(duì)XX電網(wǎng)公司省公司局域網(wǎng)絡(luò)和地市供電局局域網(wǎng)絡(luò)的安全區(qū)域具體劃分進(jìn)行進(jìn)一步說明。5.1.1省公司網(wǎng)絡(luò)區(qū)域XX電網(wǎng)省公司網(wǎng)絡(luò)區(qū)域以省綜合數(shù)據(jù)網(wǎng)為核心，安全區(qū)域劃分梳理情況如下：圖STYLEREF1\s5SEQ圖\*ARABIC\s13省公司網(wǎng)絡(luò)安全區(qū)域省公司網(wǎng)絡(luò)區(qū)域各區(qū)域說明如下：核心層 該區(qū)域?yàn)閄X電網(wǎng)數(shù)據(jù)中心網(wǎng)絡(luò)核心通道，提供數(shù)據(jù)中心網(wǎng)絡(luò)互連互通，在網(wǎng)絡(luò)三層結(jié)構(gòu)中為核心層。核心層為數(shù)據(jù)中心網(wǎng)絡(luò)的骨干，承接各區(qū)域之間的信息交換。因此，核心層設(shè)計(jì)需采用兩臺(tái)高性能交換機(jī)，滿足整體網(wǎng)絡(luò)中業(yè)務(wù)數(shù)據(jù)高速轉(zhuǎn)發(fā)要求。數(shù)據(jù)運(yùn)行區(qū)部署XX電網(wǎng)業(yè)務(wù)系統(tǒng)服務(wù)器的區(qū)域，提供所有內(nèi)部用戶訪問，全省集中及省公司本部的應(yīng)用系統(tǒng)均部署在該區(qū)域內(nèi)。運(yùn)行管理區(qū)為內(nèi)部公共服務(wù)與安全管理區(qū)域，內(nèi)部各種公共服務(wù)、系統(tǒng)管理、安全管理等設(shè)備或系統(tǒng)均放置在本區(qū)域內(nèi)，該區(qū)域與其它各區(qū)域需通信。運(yùn)行管理區(qū)內(nèi)部根據(jù)應(yīng)用功能不同劃分為兩個(gè)區(qū)：公共服務(wù)區(qū)：主要為內(nèi)網(wǎng)提供公共服務(wù)的集中部署區(qū)，包括DNS、DHCP、CA等，該區(qū)域與各區(qū)域之間均有連接。安全管理區(qū)：為內(nèi)網(wǎng)所有安全設(shè)備、系統(tǒng)管理設(shè)備集中存放區(qū)，包括日志分析系統(tǒng)、準(zhǔn)入控制管理系統(tǒng)、平臺(tái)監(jiān)控系統(tǒng)、入侵檢測(cè)/防御控制管理系統(tǒng)等。省綜合數(shù)據(jù)網(wǎng)負(fù)責(zé)省公司本部、綜合單位、調(diào)通局、各地區(qū)綜合數(shù)據(jù)網(wǎng)集中接入的區(qū)域，該區(qū)域主要提供XX電網(wǎng)各單位內(nèi)部信息交互及使用互聯(lián)網(wǎng)資源的訪問通道?；ヂ?lián)網(wǎng)平臺(tái)區(qū)域XX電網(wǎng)公司統(tǒng)一互聯(lián)網(wǎng)出口區(qū)域，提供公司內(nèi)部訪問互聯(lián)網(wǎng)平臺(tái)?；ヂ?lián)網(wǎng)DMZ區(qū)XX電網(wǎng)互聯(lián)網(wǎng)DMZ區(qū)分為兩個(gè)功能區(qū)，應(yīng)用區(qū)和內(nèi)部共享區(qū)。第三方接入?yún)^(qū)與第三方合作伙伴（如銀行）專線集中接入?yún)^(qū)。第三方DMZ第三方合作伙伴（如銀行）業(yè)務(wù)前置機(jī)集中接入?yún)^(qū)，為保護(hù)公司與第三方合作伙伴的信息交換。運(yùn)營(yíng)商專線接入運(yùn)營(yíng)商專線集中接入?yún)^(qū)。運(yùn)營(yíng)商專線DMZ專業(yè)系統(tǒng)（如PDA服務(wù)器、短信平臺(tái)服務(wù)器）集中接入?yún)^(qū)。本部辦公區(qū)本部局域網(wǎng)辦公用戶接入?yún)^(qū)。調(diào)通局接入?yún)^(qū)調(diào)通局接入?yún)^(qū)，提供調(diào)通區(qū)用戶接入，以及調(diào)通局業(yè)務(wù)系統(tǒng)部署。綜合單位接入?yún)^(qū)綜合單位各自接入?yún)^(qū)域，提供綜合單位用戶接入，以及綜合單位的業(yè)務(wù)系統(tǒng)部署。5.1.2地區(qū)供電局網(wǎng)絡(luò)區(qū)域地區(qū)供電局網(wǎng)絡(luò)區(qū)域以地區(qū)綜合數(shù)據(jù)網(wǎng)為核心，其區(qū)域劃分應(yīng)參考省公司網(wǎng)絡(luò)區(qū)域劃分方法，并結(jié)合各地區(qū)供電局網(wǎng)絡(luò)特點(diǎn)進(jìn)行劃分。實(shí)現(xiàn)地區(qū)供電局網(wǎng)絡(luò)區(qū)域化、標(biāo)準(zhǔn)化。地區(qū)供電局網(wǎng)絡(luò)區(qū)域劃分如下圖：圖STYLEREF1\s5SEQ圖\*ARABIC\s14地區(qū)供電局局域網(wǎng)區(qū)域地區(qū)核心層該區(qū)域?yàn)榈貐^(qū)供電局網(wǎng)絡(luò)核心通道，提供地區(qū)供電局網(wǎng)絡(luò)互連互通。地區(qū)數(shù)據(jù)運(yùn)行區(qū)部署地區(qū)供電局業(yè)務(wù)系統(tǒng)服務(wù)器的區(qū)域，提供供電局內(nèi)部用戶訪問。地區(qū)運(yùn)行管理區(qū)為供電局內(nèi)部公共服務(wù)與管理系統(tǒng)集中部署區(qū)域，供電局內(nèi)部各種公共服務(wù)、IT運(yùn)行管理系統(tǒng)、IT安全系統(tǒng)等均部署在本區(qū)域中。地區(qū)綜合數(shù)據(jù)網(wǎng)負(fù)責(zé)供電局各單位、地區(qū)各縣局網(wǎng)絡(luò)集中接入的區(qū)域，該區(qū)域主要提供地區(qū)各單位信息交互及使用互聯(lián)網(wǎng)資源的訪問通道。地區(qū)辦公區(qū)為供電局辦公用戶接入?yún)^(qū)。第三產(chǎn)接入?yún)^(qū)為供電局各第三產(chǎn)公司網(wǎng)絡(luò)集中接入?yún)^(qū)。各縣局接入?yún)^(qū)縣級(jí)供電局接入?yún)^(qū)。地區(qū)第三方接入與第三方合作伙伴（如銀行）專線集中接入?yún)^(qū)。地區(qū)第三方DMZ第三方合作伙伴（如銀行）業(yè)務(wù)前置機(jī)集中接入?yún)^(qū)，為保護(hù)公司與第三方合作伙伴的信息交換。地區(qū)運(yùn)營(yíng)商專線接入運(yùn)營(yíng)商專線集中接入?yún)^(qū)。運(yùn)營(yíng)商專線DMZ專業(yè)系統(tǒng)（如PDA服務(wù)器、短信平臺(tái)服務(wù)器）集中接入?yún)^(qū)。5.2XX電網(wǎng)安全技術(shù)部署設(shè)計(jì)5.2.1管理信息大區(qū)網(wǎng)絡(luò)區(qū)域安全技術(shù)部署設(shè)計(jì)網(wǎng)絡(luò)安全區(qū)域劃分后，需針對(duì)各區(qū)域的安全防護(hù)需求，進(jìn)行安全技術(shù)服務(wù)組件部署，實(shí)現(xiàn)各區(qū)域內(nèi)安全防護(hù)，有效保護(hù)區(qū)域內(nèi)的信息資產(chǎn)安全。經(jīng)過安全技術(shù)部署設(shè)計(jì)，XX電網(wǎng)信息安全實(shí)現(xiàn)如下目標(biāo)：“分區(qū)控制、整體預(yù)防”：經(jīng)過在各區(qū)域部署不同的安全技術(shù)功能服務(wù)組件，提高對(duì)本區(qū)域的安全防護(hù)與控制。同時(shí)利用統(tǒng)一安全事件與日志監(jiān)控系統(tǒng)將所有區(qū)域內(nèi)的安全事件與日志進(jìn)行集中收集、分析與監(jiān)控。實(shí)現(xiàn)全網(wǎng)安全事件的集中監(jiān)控，及時(shí)響應(yīng)任何區(qū)域發(fā)生信息安全事件?！胺诸惐Ｗo(hù)、綜合治理”：經(jīng)過對(duì)網(wǎng)絡(luò)、主機(jī)、數(shù)據(jù)庫、應(yīng)用等方面的安全技術(shù)組件的部署，加強(qiáng)信息安全防護(hù)與控制。同時(shí)合理應(yīng)用如防護(hù)、控制、檢測(cè)、恢復(fù)、審計(jì)等各種安全技術(shù)，使公司信息安全實(shí)現(xiàn)綜合治理。“管理集中化、部署標(biāo)準(zhǔn)化”：在網(wǎng)絡(luò)區(qū)域定義的基礎(chǔ)上，經(jīng)過安全技術(shù)功能服務(wù)組件的定義和部署設(shè)計(jì)，逐漸形成規(guī)范的XX電網(wǎng)信息安全技術(shù)體系，為后期XX電網(wǎng)的安全技術(shù)發(fā)展提供指導(dǎo)，有利于XX電網(wǎng)整體信息安全發(fā)展。同時(shí)，隨著安全技術(shù)標(biāo)準(zhǔn)化的逐步實(shí)施，為XX電網(wǎng)信息安全集中管理提供有利條件。以下為省公司網(wǎng)絡(luò)安全技術(shù)部署設(shè)計(jì)示意圖，支撐性服務(wù)組件全部部署在運(yùn)行管理區(qū)，防護(hù)技術(shù)服務(wù)組件部署在相應(yīng)的各個(gè)區(qū)域中：圖STYLEREF1\s5SEQ圖\*ARABIC\s15省公司網(wǎng)絡(luò)安全部署設(shè)計(jì)示意圖5.2.2省公司網(wǎng)絡(luò)安全技術(shù)部署設(shè)計(jì)數(shù)據(jù)運(yùn)行區(qū)數(shù)據(jù)運(yùn)行區(qū)為省公司高安全性區(qū)域，該區(qū)域部署公司的各業(yè)務(wù)系統(tǒng)，為保護(hù)各業(yè)務(wù)系統(tǒng)運(yùn)行與數(shù)據(jù)安全，需根據(jù)區(qū)域風(fēng)險(xiǎn)特征部署相應(yīng)的安全技術(shù)服務(wù)組件。區(qū)域風(fēng)險(xiǎn)特征：計(jì)算機(jī)病毒、蠕蟲等惡意代碼攻擊可能會(huì)造成業(yè)務(wù)系統(tǒng)安全問題（例如服務(wù)質(zhì)量下降或中斷、業(yè)務(wù)數(shù)據(jù)泄漏或完整性破壞等）；主機(jī)系統(tǒng)安全漏洞被利用可能會(huì)造成業(yè)務(wù)系統(tǒng)運(yùn)行受影響或主機(jī)系統(tǒng)內(nèi)部信息資產(chǎn)受損失；數(shù)據(jù)庫層面的安全漏洞被利用可能會(huì)造成數(shù)據(jù)損失；業(yè)務(wù)系統(tǒng)的安全弱點(diǎn)被利用可能會(huì)造成業(yè)務(wù)系統(tǒng)機(jī)密性或完整性破壞；非授權(quán)訪問可能會(huì)造成數(shù)據(jù)完整性、機(jī)密性損失；惡意操作可能會(huì)造成業(yè)務(wù)系統(tǒng)運(yùn)行影響或中斷；誤操作可能會(huì)造成數(shù)據(jù)損失或業(yè)務(wù)系統(tǒng)運(yùn)行影響；賬號(hào)與口令泄露或破解可能會(huì)造成業(yè)務(wù)系統(tǒng)被非授權(quán)使用而產(chǎn)生業(yè)務(wù)數(shù)據(jù)損失；內(nèi)部惡意者攻擊，造成數(shù)據(jù)損失或應(yīng)用系統(tǒng)運(yùn)行影響；設(shè)備維護(hù)與管理不規(guī)范，造成管理賬戶、權(quán)限分配不合理，監(jiān)控不到位，而引發(fā)信息安全事件。針對(duì)性防護(hù)要點(diǎn)：數(shù)據(jù)運(yùn)行區(qū)內(nèi)的所有IT設(shè)備安全基線應(yīng)與業(yè)務(wù)安全需求保持一致，并不斷提高；應(yīng)建立主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應(yīng)用系統(tǒng)安全保護(hù)措施，定期評(píng)估安全弱點(diǎn)，定期檢查安全符合性狀況，確保各IT系統(tǒng)運(yùn)行安全；應(yīng)建立網(wǎng)絡(luò)信息流控制手段，控制內(nèi)網(wǎng)用戶對(duì)業(yè)務(wù)應(yīng)用授權(quán)訪問；應(yīng)建立安全控制手段，對(duì)管理員等超級(jí)權(quán)限用戶進(jìn)行有效管理與控制，并對(duì)其操作行為進(jìn)行審計(jì)，確保用戶與權(quán)限分配與相關(guān)策略保持一致；建立有效應(yīng)用系統(tǒng)的用戶身份識(shí)別、授權(quán)、認(rèn)證、審計(jì)等集中管控機(jī)制，提高公司對(duì)應(yīng)用系統(tǒng)安全管理；應(yīng)建立統(tǒng)一安全事件監(jiān)控管理機(jī)制，對(duì)區(qū)域內(nèi)部各IT系統(tǒng)進(jìn)行7*24小時(shí)監(jiān)控，確保安全事件能及時(shí)發(fā)現(xiàn)，及時(shí)處理；數(shù)據(jù)運(yùn)行區(qū)安全技術(shù)功能部署：數(shù)據(jù)運(yùn)行區(qū)安全技術(shù)防護(hù)數(shù)據(jù)運(yùn)行區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)入侵檢測(cè)/防御服務(wù)統(tǒng)一用戶管理服務(wù)邊界信息流控制服務(wù)企業(yè)用戶目錄服務(wù)安全符合性檢查服務(wù)數(shù)字證書服務(wù)弱點(diǎn)管理服務(wù)集中身份認(rèn)證及單點(diǎn)登錄服務(wù)操作過程審計(jì)統(tǒng)一安全事件管理綜合安全日志審計(jì)服務(wù)運(yùn)行管理區(qū)運(yùn)行管理區(qū)為公司高安全性區(qū)域，該區(qū)域部署安全產(chǎn)品或安全管理系統(tǒng)，該區(qū)域?qū)舅袇^(qū)域進(jìn)行管理與通信，其安全級(jí)別與數(shù)據(jù)運(yùn)行區(qū)相同，為公司重點(diǎn)安全保護(hù)區(qū)域。區(qū)域風(fēng)險(xiǎn)特征：運(yùn)行管理區(qū)的關(guān)鍵設(shè)備或管理系統(tǒng)被非授權(quán)訪問，可能會(huì)嚴(yán)重危害全網(wǎng)安全；安全管理設(shè)備、安全管理系統(tǒng)存在安全漏洞，可能會(huì)被利用而引發(fā)安全事件；安全事件發(fā)生后，無法迅速發(fā)現(xiàn)并及時(shí)響應(yīng)，可能造成安全風(fēng)險(xiǎn)失控。針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)邊界安全控制，控制非授權(quán)網(wǎng)絡(luò)訪問；應(yīng)提高運(yùn)行管理區(qū)系統(tǒng)設(shè)備的集中賬號(hào)管理、權(quán)限、審計(jì)，加強(qiáng)系統(tǒng)設(shè)備的賬號(hào)與口令保護(hù)；應(yīng)對(duì)運(yùn)行管理區(qū)內(nèi)部各IT系統(tǒng)進(jìn)行安全監(jiān)控；應(yīng)對(duì)IT設(shè)備系統(tǒng)安全配置進(jìn)行符合性定期檢查；應(yīng)對(duì)管理人員或特權(quán)用戶在設(shè)備系統(tǒng)的操作進(jìn)行操作審計(jì)；定期進(jìn)行安全評(píng)估與安全符合性檢查。安全技術(shù)功能部署：運(yùn)行管理區(qū)安全技術(shù)防護(hù)運(yùn)行管理區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一用戶管理服務(wù)安全符合性檢查服務(wù)企業(yè)用戶目錄服務(wù)弱點(diǎn)管理服務(wù)數(shù)字證書服務(wù)綜合安全日志審計(jì)服務(wù)集中身份認(rèn)證及單點(diǎn)登錄服務(wù)入侵檢測(cè)/防御服務(wù)操作過程審計(jì)統(tǒng)一安全事件管理終端安全準(zhǔn)入防病毒系統(tǒng)桌面終端管理核心層核心層為數(shù)據(jù)中心核心交換區(qū)，負(fù)責(zé)所有數(shù)據(jù)中心網(wǎng)絡(luò)信息交換與傳輸通道。區(qū)域風(fēng)險(xiǎn)特征：可用性風(fēng)險(xiǎn)，由于設(shè)備或鏈路、設(shè)備性能問題造成網(wǎng)絡(luò)中斷；非授權(quán)訪問，核心層設(shè)備被非授權(quán)訪問，造成配置文件完整性破壞，影響網(wǎng)絡(luò)運(yùn)行。針對(duì)性防護(hù)要點(diǎn)：應(yīng)確保核心層設(shè)備、鏈路、設(shè)備性能滿足網(wǎng)絡(luò)高可用性要求；應(yīng)對(duì)設(shè)備的訪問采用可靠的認(rèn)證方式。應(yīng)對(duì)設(shè)備操作配置進(jìn)行審計(jì)應(yīng)對(duì)設(shè)備安全事件實(shí)時(shí)監(jiān)控應(yīng)進(jìn)行IT設(shè)備安全基線配置與維護(hù)；安全技術(shù)功能部署：核心層安全技術(shù)防護(hù)核心層防護(hù)技術(shù)公共安全支撐技術(shù)綜合安全日志審計(jì)服務(wù)統(tǒng)一安全事件管理數(shù)字證書服務(wù)集中身份認(rèn)證及單點(diǎn)登錄服務(wù)操作過程審計(jì)系統(tǒng)基線本部辦公區(qū)本部辦公區(qū)：省公司所有辦公用戶終端接入?yún)^(qū)，該區(qū)域內(nèi)包括公司辦公終端、第三方辦公終端。區(qū)域風(fēng)險(xiǎn)特征：計(jì)算機(jī)病毒攻擊可能會(huì)造成終端數(shù)據(jù)資產(chǎn)損失或日常辦公效率下降；蠕蟲攻擊可能會(huì)造成網(wǎng)絡(luò)或應(yīng)用系統(tǒng)無法提供服務(wù)；其它惡意代碼入侵可能會(huì)造成終端非授權(quán)控制，進(jìn)而對(duì)內(nèi)部發(fā)起攻擊；非法終端接入辦公區(qū)可能會(huì)造成外部入侵風(fēng)險(xiǎn)；重要部門機(jī)密泄漏；非法軟件安裝可能會(huì)導(dǎo)致版權(quán)訴訟；個(gè)人終端非授權(quán)使用造成信息資產(chǎn)泄露或損失。針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)桌面終端安全控制，包括補(bǔ)丁管理、防病毒、準(zhǔn)入控制安全手段；針對(duì)關(guān)鍵部門機(jī)密文檔進(jìn)行加密；應(yīng)建立域管理系統(tǒng)，規(guī)范內(nèi)部安全終端管理；定期進(jìn)行終端安全弱點(diǎn)檢查；應(yīng)建立終端用戶上網(wǎng)行為檢查和內(nèi)容過濾。安全技術(shù)功能部署：辦公區(qū)安全技術(shù)防護(hù)辦公區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)終端安全準(zhǔn)入信息流內(nèi)容檢測(cè)過濾服務(wù)防病毒系統(tǒng)弱點(diǎn)管理服務(wù)桌面終端管理信息防泄露服務(wù)（重要部門

機(jī)密文檔加密）企業(yè)用戶目錄服務(wù)終端安全準(zhǔn)入代理數(shù)字證書服務(wù)防病毒系統(tǒng)代理桌面終端管理代理省綜合數(shù)據(jù)網(wǎng)區(qū)域風(fēng)險(xiǎn)特征：計(jì)算機(jī)病毒或蠕蟲攻擊阻塞綜合數(shù)據(jù)網(wǎng)通信，造成綜合數(shù)據(jù)網(wǎng)服務(wù)中斷或傳輸質(zhì)量下降；各供電局或接入單位非有效信息傳輸?shù)骄C合數(shù)據(jù)網(wǎng)，造成網(wǎng)絡(luò)資源浪費(fèi)或經(jīng)過綜合數(shù)據(jù)網(wǎng)將信息擴(kuò)散到其它公司；設(shè)備性能不足可能會(huì)影響數(shù)據(jù)轉(zhuǎn)發(fā)；設(shè)備配置完整性破壞可能造成網(wǎng)絡(luò)服務(wù)影響；設(shè)備在操作與配置過程中可能會(huì)引發(fā)安全風(fēng)險(xiǎn)，造成網(wǎng)絡(luò)中斷。針對(duì)性防護(hù)要點(diǎn)：對(duì)綜合數(shù)據(jù)網(wǎng)設(shè)備進(jìn)行實(shí)時(shí)監(jiān)控，全面掌握設(shè)備及網(wǎng)絡(luò)運(yùn)行狀態(tài)；采用嚴(yán)格的訪問控制措施控制信息傳輸；加強(qiáng)綜合數(shù)據(jù)網(wǎng)設(shè)備賬號(hào)與認(rèn)證管理；應(yīng)進(jìn)行IT設(shè)備安全基線配置與維護(hù)；建立綜合數(shù)據(jù)網(wǎng)設(shè)備的操作審計(jì)措施。安全技術(shù)功能部署：省綜合數(shù)據(jù)網(wǎng)區(qū)安全技術(shù)防護(hù)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一安全事件管理綜合安全日志審計(jì)服務(wù)綜合安全審計(jì)操作過程審計(jì)企業(yè)用戶目錄服務(wù)數(shù)字證書服務(wù)調(diào)通局區(qū)區(qū)域風(fēng)險(xiǎn)特征：計(jì)算機(jī)病毒攻擊可能會(huì)造成終端數(shù)據(jù)資產(chǎn)損失或日常辦公效率下降；蠕蟲攻擊可能會(huì)造成網(wǎng)絡(luò)阻塞，影響正常訪問業(yè)務(wù)系統(tǒng)；木馬惡意代碼入侵可能會(huì)造成終端非授權(quán)控制，進(jìn)而對(duì)內(nèi)部發(fā)起攻擊；非法終端接入辦公區(qū)可能會(huì)引起外部入侵風(fēng)險(xiǎn)；重要部門機(jī)密信息泄漏；非法軟件安裝可能會(huì)導(dǎo)致版權(quán)訴訟；個(gè)人終端非授權(quán)使用造成信息資產(chǎn)泄露或損失；主機(jī)系統(tǒng)安全漏洞被利用可能會(huì)造成業(yè)務(wù)系統(tǒng)運(yùn)行受影響或主機(jī)系統(tǒng)內(nèi)部信息資產(chǎn)受損失；非授權(quán)訪問可能會(huì)造成數(shù)據(jù)完整性、機(jī)密性損失；賬號(hào)與口令泄密或破解可能會(huì)造成業(yè)務(wù)系統(tǒng)被非授權(quán)使用而產(chǎn)生業(yè)務(wù)損失。；設(shè)備維護(hù)與管理不規(guī)范，造成管理賬戶、權(quán)限分配不合理，監(jiān)控不到位，而引發(fā)信息安全事件。針對(duì)性防護(hù)要點(diǎn)： 應(yīng)加強(qiáng)桌面終端安全控制，包括補(bǔ)丁管理、防病毒、準(zhǔn)入控制安全手段； 針對(duì)關(guān)鍵部門數(shù)據(jù)應(yīng)進(jìn)行加密應(yīng)建立域管理系統(tǒng)，規(guī)范內(nèi)部安全終端管理；定期進(jìn)行終端安全弱點(diǎn)檢查。應(yīng)建立主機(jī)系統(tǒng)、應(yīng)用系統(tǒng)安全保護(hù)措施，定期評(píng)估安全弱點(diǎn)，定期檢查安全符合性狀況，確保各IT系統(tǒng)運(yùn)行安全；應(yīng)建立安全控制手段，對(duì)管理員等超級(jí)權(quán)限用戶進(jìn)行有效管理與控制，并對(duì)其操作行為進(jìn)行審計(jì)，確保用戶與權(quán)限分配與相關(guān)策略保持一致；建立有效應(yīng)用系統(tǒng)的用戶身份識(shí)別、授權(quán)、認(rèn)證、審計(jì)等集中管控機(jī)制，提高公司對(duì)應(yīng)用系統(tǒng)安全管理；應(yīng)建立統(tǒng)一安全事件監(jiān)控管理機(jī)制，對(duì)區(qū)域內(nèi)部各IT系統(tǒng)進(jìn)行7*24小時(shí)監(jiān)控，確保安全事件能及時(shí)發(fā)現(xiàn)，及時(shí)處理；安全技術(shù)功能部署：調(diào)通局區(qū)安全技術(shù)防護(hù)調(diào)通局區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)終端安全準(zhǔn)入弱點(diǎn)管理服務(wù)防病毒系統(tǒng)信息防泄露服務(wù)（重要部門文檔加密）桌面終端管理綜合安全日志審計(jì)服務(wù)企業(yè)用戶目錄服務(wù)信息流內(nèi)容檢測(cè)過濾服務(wù)數(shù)字證書服務(wù)終端安全準(zhǔn)入代理統(tǒng)一安全事件管理防病毒系統(tǒng)代理統(tǒng)一用戶管理服務(wù)桌面終端管理代理綜合單位接入?yún)^(qū)區(qū)域風(fēng)險(xiǎn)特征：計(jì)算機(jī)病毒攻擊可能會(huì)造成終端數(shù)據(jù)資產(chǎn)損失或日常辦公效率下降；蠕蟲攻擊可能會(huì)造成網(wǎng)絡(luò)或應(yīng)用系統(tǒng)無法提供服務(wù)；其它惡意代碼入侵可能會(huì)造成終端非授權(quán)控制，進(jìn)而對(duì)內(nèi)部發(fā)起攻擊；非法終端接入辦公區(qū)可能會(huì)外部入侵風(fēng)險(xiǎn)；重要部門機(jī)密泄漏；非法軟件安裝可能會(huì)導(dǎo)致版權(quán)訴訟；個(gè)人終端非授權(quán)使用造成信息資產(chǎn)泄露或損失；針對(duì)性防護(hù)要點(diǎn)： 應(yīng)加強(qiáng)桌面終端安全控制，包括補(bǔ)丁管理、防病毒、準(zhǔn)入控制安全手段； 針對(duì)關(guān)鍵部門數(shù)據(jù)應(yīng)進(jìn)行加密應(yīng)建立域管理系統(tǒng)，規(guī)范內(nèi)部安全終端管理；定期進(jìn)行終端安全合規(guī)性檢查。應(yīng)建立終端用戶上網(wǎng)行為檢查和內(nèi)容過濾。安全技術(shù)功能部署：調(diào)通局區(qū)安全技術(shù)防護(hù)綜合單位接入?yún)^(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)終端安全準(zhǔn)入信息流內(nèi)容檢測(cè)過濾服務(wù)防病毒系統(tǒng)弱點(diǎn)管理服務(wù)桌面終端管理信息防泄露服務(wù)（重要部門

機(jī)密文檔加密）企業(yè)用戶目錄服務(wù)終端安全準(zhǔn)入代理數(shù)字證書服務(wù)防病毒系統(tǒng)代理桌面終端管理代理互聯(lián)網(wǎng)平臺(tái)區(qū)區(qū)域風(fēng)險(xiǎn)特征：外部惡意攻擊者攻擊造成互聯(lián)網(wǎng)平臺(tái)無法提供服務(wù)；網(wǎng)絡(luò)資源不當(dāng)使用可能會(huì)造成正常業(yè)務(wù)系統(tǒng)受影響；計(jì)算機(jī)病毒或惡意代碼傳入可能會(huì)造成內(nèi)部信息資產(chǎn)受損。針對(duì)性防護(hù)要點(diǎn)： 應(yīng)加強(qiáng)網(wǎng)絡(luò)邊界控制 互聯(lián)網(wǎng)流量的應(yīng)進(jìn)行控制與審計(jì) 應(yīng)提供網(wǎng)絡(luò)拒絕服務(wù)防護(hù)應(yīng)對(duì)互聯(lián)網(wǎng)平臺(tái)各IT系統(tǒng)進(jìn)行安全監(jiān)控，應(yīng)對(duì)設(shè)備的各種操作進(jìn)行審計(jì)；應(yīng)對(duì)網(wǎng)絡(luò)數(shù)據(jù)傳輸進(jìn)行安全檢測(cè)。應(yīng)進(jìn)行IT設(shè)備安全基線配置與維護(hù)；安全技術(shù)功能部署：互聯(lián)網(wǎng)接入?yún)^(qū)安全技術(shù)防護(hù)互聯(lián)網(wǎng)接入?yún)^(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一安全事件管理服務(wù)入侵檢測(cè)/防御服務(wù)操作過程審計(jì)綜合安全日志審計(jì)服務(wù)系統(tǒng)基線拒絕服務(wù)攻擊服務(wù)信息流內(nèi)容檢測(cè)過濾服務(wù)互聯(lián)網(wǎng)DMZ區(qū)區(qū)域風(fēng)險(xiǎn)特征：來自外部惡意攻擊可能會(huì)造成對(duì)外服務(wù)中斷或數(shù)據(jù)資產(chǎn)損失；對(duì)外服務(wù)網(wǎng)站完整性被破壞可能會(huì)造成公司形象受損，或服務(wù)無法提供；設(shè)備賬號(hào)/口令攻擊可能會(huì)造成設(shè)備非授權(quán)控制；設(shè)備非授權(quán)訪問/使用可能會(huì)造成信息資產(chǎn)損失；計(jì)算機(jī)病毒或惡意代碼攻擊可能會(huì)造成服務(wù)無法提供或數(shù)據(jù)資產(chǎn)損失；針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)邊界控制；應(yīng)加強(qiáng)內(nèi)容安全控制；應(yīng)提高設(shè)備賬號(hào)與口令管理；應(yīng)對(duì)區(qū)域內(nèi)應(yīng)用系統(tǒng)訪問進(jìn)行監(jiān)控與審計(jì)；應(yīng)定期安全評(píng)估與符合性檢查；應(yīng)對(duì)各設(shè)備進(jìn)行基線維護(hù)；應(yīng)對(duì)區(qū)域內(nèi)部IT設(shè)備進(jìn)行安全監(jiān)控與事件監(jiān)控。安全技術(shù)功能部署：互聯(lián)網(wǎng)DMZ安全技術(shù)防護(hù)互聯(lián)網(wǎng)DMZ區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)入侵檢測(cè)/防御服務(wù)統(tǒng)一安全事件管理邊界信息流控制服務(wù)操作過程審計(jì)網(wǎng)頁防篡改服務(wù)系統(tǒng)基線遠(yuǎn)程安全接入服務(wù)終端安全準(zhǔn)入綜合安全日志審計(jì)服務(wù)防病毒系統(tǒng)弱點(diǎn)管理服務(wù)補(bǔ)丁管理安全符合性檢查桌面終端管理0第三方接入?yún)^(qū)第三方接入?yún)^(qū)為銀行鏈路的集中接入，所有與銀行鏈路均集中在該區(qū)域，提供統(tǒng)一的安全保護(hù)措施。區(qū)域風(fēng)險(xiǎn)特征：非法信息傳輸，造成信息泄露或產(chǎn)生攻擊行為；設(shè)備無法規(guī)范管理而產(chǎn)生完整性破壞，導(dǎo)致安全風(fēng)險(xiǎn)。針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)邊界安全控制；應(yīng)進(jìn)行IT設(shè)備安全基線配置與維護(hù)；安全技術(shù)功能部署：第三方接入?yún)^(qū)安全技術(shù)防護(hù)第三方接入?yún)^(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一安全事件管理服務(wù)系統(tǒng)基線1第三方DMZ區(qū)第三方DMZ區(qū)主要存放與銀行進(jìn)行數(shù)據(jù)交換的前置機(jī)。區(qū)域風(fēng)險(xiǎn)特征：非法信息傳輸，造成信息泄露；網(wǎng)絡(luò)攻擊行為可能會(huì)造成應(yīng)用系統(tǒng)影響；設(shè)備管理不規(guī)范造成賬號(hào)與權(quán)限分配不合理而產(chǎn)生人為風(fēng)險(xiǎn)。針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)邊界安全控制；應(yīng)加強(qiáng)主機(jī)系統(tǒng)安全防護(hù)；應(yīng)對(duì)規(guī)范設(shè)備管理與操作。應(yīng)進(jìn)行IT設(shè)備安全基線配置與維護(hù)；安全技術(shù)功能部署：互聯(lián)網(wǎng)DMZ安全技術(shù)防護(hù)互聯(lián)網(wǎng)DMZ區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一安全事件管理綜合安全日志審計(jì)服務(wù)操作過程審計(jì)入侵檢測(cè)/防御服務(wù)系統(tǒng)基線2運(yùn)營(yíng)商專線接入?yún)^(qū)域風(fēng)險(xiǎn)特征：非法信息傳輸，造成信息泄露或產(chǎn)生攻擊行為，影響內(nèi)部網(wǎng)絡(luò)安全；設(shè)備配置完整性破壞，導(dǎo)致安全風(fēng)險(xiǎn)。針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)邊界安全控制應(yīng)加強(qiáng)設(shè)備管理與操作審計(jì)；應(yīng)對(duì)設(shè)備進(jìn)行安全基線配置，并保持更新；安全技術(shù)功能部署：運(yùn)營(yíng)商接入?yún)^(qū)安全技術(shù)防護(hù)運(yùn)營(yíng)商接入?yún)^(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一安全事件管理服務(wù)操作過程審計(jì)系統(tǒng)基線3運(yùn)營(yíng)商專線DMZ區(qū)區(qū)域風(fēng)險(xiǎn)特征：非法信息傳輸，造成信息泄露或產(chǎn)生攻擊行為，影響內(nèi)部網(wǎng)絡(luò)；網(wǎng)絡(luò)攻擊行為造成應(yīng)用系統(tǒng)影響；非法攻擊可能會(huì)造成信息在交換過程被泄露或篡改；設(shè)備管理不規(guī)范可能會(huì)造成賬號(hào)與權(quán)限分配不合理而產(chǎn)生人為風(fēng)險(xiǎn)。針對(duì)性防護(hù)要點(diǎn)：應(yīng)加強(qiáng)邊界安全控制；應(yīng)規(guī)范設(shè)備管理、操作、審計(jì)。應(yīng)進(jìn)行IT設(shè)備安全基線配置與維護(hù)；應(yīng)加強(qiáng)主機(jī)系統(tǒng)安全防護(hù)安全技術(shù)功能部署：運(yùn)營(yíng)商DMZ安全技術(shù)防護(hù)運(yùn)營(yíng)商DMZ區(qū)防護(hù)技術(shù)公共安全支撐技術(shù)邊界信息流控制服務(wù)統(tǒng)一安全事件管理綜合安全日志審計(jì)服務(wù)操作過程審計(jì)系統(tǒng)基線5.2.3地區(qū)網(wǎng)絡(luò)安全技術(shù)部署設(shè)計(jì)為實(shí)現(xiàn)XX電網(wǎng)安全體系的統(tǒng)一化、標(biāo)準(zhǔn)化，各供電局安全技術(shù)部署應(yīng)參考省公司的部署方式，并在部署設(shè)備和系統(tǒng)的選擇上與省公司保持一致。如果安全技術(shù)服務(wù)由省公司統(tǒng)一提供，則地區(qū)供電局無需獨(dú)立部署。XX電網(wǎng)安全技術(shù)建設(shè)規(guī)劃基于XX電網(wǎng)安全建設(shè)需要，在安全技術(shù)功能服務(wù)組件框架定義和安全技術(shù)功能服務(wù)組件部署設(shè)計(jì)的基礎(chǔ)上，從XX電網(wǎng)的安全實(shí)際出發(fā)，提出5年的安全建設(shè)規(guī)劃。項(xiàng)目組定義了在未來5年內(nèi)實(shí)現(xiàn)的8大安全建設(shè)項(xiàng)目。經(jīng)過這些安全建設(shè)項(xiàng)目，搭建安全技術(shù)服務(wù)平臺(tái)，逐步實(shí)現(xiàn)XX電網(wǎng)安全技術(shù)體系架構(gòu)的構(gòu)建，最終達(dá)成XX電網(wǎng)的安全技術(shù)目標(biāo)，保障XX電網(wǎng)的業(yè)務(wù)發(fā)展。6.1項(xiàng)目一集中用戶管理、身份認(rèn)證及授權(quán)平臺(tái)6.1.1安全現(xiàn)狀當(dāng)前XX電網(wǎng)在已有數(shù)字證書系統(tǒng)基礎(chǔ)上，實(shí)現(xiàn)了部分系統(tǒng)的強(qiáng)身份認(rèn)證改造，但尚未建設(shè)統(tǒng)一集中用戶管理平臺(tái)集中身份認(rèn)證及授權(quán)平臺(tái)。6.1.2項(xiàng)目目標(biāo)隨著電網(wǎng)業(yè)務(wù)的快速發(fā)展，業(yè)務(wù)系統(tǒng)逐步從分散模式走向全省大集中模式，IT設(shè)施集中整合已經(jīng)成為發(fā)展趨勢(shì)，賬號(hào)統(tǒng)一管理、認(rèn)證集中和授權(quán)集中是系統(tǒng)大集中整合的重要基礎(chǔ)。