大型制造企业等级保护安全建设整改方案

大型制造企业等级保护安全建设整改方案

第1章项目概述

1.1 项目目标

1.2 项目范围

1.3 整改依据

第 2 章安全整改原则

第 3 章系统现状分析

3.1 系统定级情况说明

3.2 业务系统说明

3.3 安全定级情况

第 4 章现网安全风险分析4.1 网络安全风险

4.1.1 互联网出口未采用冗余架构

4.1.2 缺少安全防护功能

4.1.3 弱资源控制

4.1.4 弱设备安全

4.1.5 弱安全审计

4.1.6 缺少安全管理中心

4.2 主机安全风险

4.2.1 存在高风险安全漏洞

4.2.2 弱身份鉴别能力

4.2.3 弱访问控制能力

4.2.4 弱安全审计能力

4.2.5 缺少入侵防范能力

4.2.6 缺少恶意代码防范能力

4.2.7 缺少资源控制能力

4.3 应用安全风险

4.3.1 存在高风险安全漏洞

4.3.2 弱身份鉴别能力

4.3.3 未进行传输加密

4.3.4 缺少资源控制能力

4.4 数据安全和备份恢复风险

4.4.1 缺少数据完整性和数据保密性能力4.5管理安全风险

4.5.1 缺少维护手册和用户操作规程

4.5.2 缺少执行记录和审批记录文件

4.5.3 缺少管理体系评审和修订

4.5.4 缺少总体建设规划和详细设计方案

4.5.5 工程验收和交付缺少部分环节

4.5.6 未定期进行应急演练

4.5.7 未定期进行安全评估和安全加固

4.5.8 缺少安全管理中心

第 5 章安全需求分析

5.1 安全计算环境需求分析

5.2 安全区域边界需求分析

5.3 安全通信网络需求分析

5.4 安全管理中心需求分析

第 6 章总体安全设计

6.1 总体设计目标

6.2 总体安全体系设计

6.3 安全域划分说明

第 7 章详细方案技术设计7.1 物理和环境安全保障

7.1.1、供配电系统

7.1.2、防雷接地

7.1.3、消防报警及自动灭火

7.1.4、门禁

7.1.5、保安监控

7.1.6、一体化的安保系统集成

7.2 网络边界安全管控

7.2.1网络安全域设计

7.2.2 制定访问控制策略

7.2.3 网络安全防护管理

7.3 终端主机安全管理

7.4 核心应用系统安全保护

7.5 数据安全建设

第 8 章详细方案管理设计

8.1 总体安全方针与安全策略

8.2 安全策略和管理制度

8.3 安全管理机构和人员

8.4 安全建设管理

8.5 安全运维管理

8.5.1 、环境和资产安全管理制度

8.5.4 、集中安全管理制度

8.5.3 、日常运行维护制度

8.5.5 、事件处置与应急响应制度

8.5.6 、灾难备份制度

8.5.7 、安全监测制度

8.5.8 、其他制度

8.6 安全管理制度汇总

第 9 章项目实施

9.1 项目工程组织架构

9.2 项目实施管理计划

9.2.1 总体考虑

9.2.2 项目启动阶段

9.2.3 项目实施规划阶段

9.2.4 项目实施阶段

9.2.5 项目收尾阶段

9.2.6 项目评估验收阶段

9.3 工程质量管理

9.3.1 组建健全有效、职责明确的项目组织机构

9.3.2 制订详细、切实的工程技术指导书

9.3.3 制订详细的工程进度计划

9.3.4 基于实施计划的严格工程进度管理

9.3.5 高效合理的资源调配与管理

9.3.6 必要的工程协调会

9.3.7 工程和技术文档的管理

第 10 章安全运维服务

10.1 定期安全巡检

10.1.1、日志获取

10.1.2、事件确认

10.1.3、专家分析

10.2 定期安全检查

10.3 新业务上线检查

10.4 安全通告与预警

10.5 应急响应服务

第1章项目概述

XX 大型制造型企业是国内一家大型从事制造型出口贸易的大型综合企业集团，为了落实国家及集团的信息安全等级保护制度，提高信息系统的安全防护水平，细化各项信息网络安全工作措施，提升网络与信息系统工作的效率，增强信息系统的应急处置能力，确保信息系统安全稳定运行，集团参照国家等级保护标准的要求，找出系统现有安全措施的差距，为安全整改建设提供依据。

本方案针对 XX 大型制造型企业网络信息系统的安全问题，进行安全整改加固建议。

1.1 项目目标

本方案将通过对集团网络信息系统的安全现状进行分析工作，参照国家信息系统等级保护要求，找出信息系统与安全等级保护要求之间的差距，给出相应的整改意见，推动网络信息系统安全整改工作的进行。

根据 XX 大型制造型企业集团信息系统目前实际情况，综合考虑信息系统现有的安全防护措施，存在的问题和薄弱环节，提供完善的安全整改方案，提高信息系统的安全防护水平，完善安全管理制度体系。

资产是企业网络安全的最终评估对象。在一个全面的企业网络安全中，风险的所有重要因素都紧紧围绕着资产为中心，威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身的脆弱性使