信息安全保障体系与总体框架
信息安全工作的总体方针和安全策略
信息安全工作总体方针和安全策略第一章总则第二章第一条为加强和规范技术部及各部门信息系统安全工作，提高技术部信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，制定本文档。
第二条本文档的目的是为技术部信息系统安全管理提供一个总体的策略性架构文件。
该文件将指导技术部信息系统的安全管理体系的建立。
安全管理体系的建立是为技术部信息系统的安全管理工作提供参照，以实现技术部统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第三章适用范围第四章第三条本文档适用于技术部信息系统资产和信息技术人员的安全管理和指导，适用于指导公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于公司安全管理体系中安全管理措施的选择。
第五章引用标准及参考文件第六章第四条本文档的编制参照了以下国家、中心的标准和文件第五条一《中华人民共和国计算机信息系统安全保护条例》第六条二《关于信息安全等级保护建设的实施指导意见》信息运安〔2009〕27 号第七条三《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-2008四《信息安全技术信息系统安全管理要求》GB/T 20269—2006 五《信息系统等级保护安全建设技术方案设计要求》报批稿六《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号第七章总体方针第八条企业信息服务平台系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
第八章总体目标第九章第九条信息系统安全总体目标是确保企业信息服务平台系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止中心对外服务中断和由此造成的系统运行事故。
信息安全保障体系与总体框架
1、信息与网络安全的重要性及严峻性（Cont.）
我国信息化建设需要的大量基础设备依靠国外引进，无法保证我们的安全利 用和有效监控。因此，解决我国的信息安全问题不能依靠外国，只能走独立 自主的发展道路。 目前我国信息与网络安全的防护能力处于发展的初级阶段，许多应用系统处 于不设防状态。要用我国自己的安全设备加强信息与网络的安全性，需要大 力发展基于自主技术的信息安全产业，而自主技术的发展又必须从信息与网 络安全的基础研究着手，全面提高创新能力。
基本策略
适度集中、控制风险 突出重点、分级保护 统筹规划、分步实施
人民银行信息系统网络结构
人民银行信息系统网络规划为涉密网、业 务网和互联网三大类，即总体安全框架“ 三纵三横两平台一端”中 “三纵”所指的 内容。如图所示：
第三方网络
涉密网
(涉密信息传输)
物理 隔离
业务网
内联网 金融卫星网 支付清算网
主讲内容
信息安全保障体系与总体框架
信息安全防护技术与应用分析
信息安全等级保护策略
信息安全保障体系与 总体框架
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型人民银行 Nhomakorabea息安全总体技术架构
1、信息与网络安全的重要性及严峻性
信息是社会发展的重要战略资源。国际上围绕信息的获取、使用和控制 的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点， 各国都给以极大的关注与投入。 网络信息安全已成为急待解决、影响国家大局和长远利益的重大关键问 题，它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是 对抗霸权主义、抵御信息侵略的重要屏障，信息安全保障能力是21世纪 综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界 各国在奋力攀登的制高点。 网络信息安全问题如果解决不好将全方位地危及我国的政治、军事、经 济、文化、社会生活的各个方面，使国家处于信息战和高度经济金融风 险的威胁之中。
信息安全体系结构.doc
1.1基本概念1.1.1体系结构:是系统整体体系结构的描述的一部分，应该包括一组相互依赖、协作的安全功能相关元素的最高层描述与配置，这些元素共同实施系统的安全策略。
1.1.2信息安全体系结构1.1.3信息安全保障：是人类利用技术和经验来实现信息安全的一个过程。
1.2三要素1.2.1人：包括信息安全保障目标的实现过程中的所有有关人员。
1.2.2技术：用于提供信息安全服务和实现安全保障目标的技术。
1.2.3管理：对实现信息安全保障目标有责任的有管人员具有的管理职能。
1.2.4三者的相互关系：在实现信息安全保障目标的过程中，三个要素相辅相成，缺一不可。
1.2.5作为一个信息安全工作者，应该遵循哪些道徳规范？1、不可使用计算机去做伤害他人的事2、不要干扰他人使用计算机的工作3、不要窥视他人的计算机文件4、不要使用计算机进行偷窃。
5、不要使用计算机来承担为证6、不要使用没有付款的专用软件。
第2章信息安全体系结构规划与设计2.1网络与信息系统总体结构初步分析2.2信息安全需求分析2.2.1物理安全：从外界环境、基础设施、运行硬件、介质等方而为信息系统安全运行提供基本的底层支持和保障。
安全需求主要包括：物理位程的选择、物理访问控制、防盗窃和防破坏、防雷电、防火、防静电。
2.2.2系统安全：提供安全的操作系统和安全的数据库管理系统，以实现操作系统和数拯库管理系统的安全运行。
安全需求包括：操作系统、数据库系统、服务器安全需求、基于主机的入侵检测、基于主机的漏洞扫描、基于主机的恶意代码的检测与防范、基于主机的文件完整性检验、容灾、备份与恢复。
2.2.3网络安全：为信息系统能够在安全的网络坏境中运行提供支持。
安全需求包括：信息传输安全需求（VPN、无线局域网、微博与卫星通信）、网络边界防护安全需求、网络上的检测与响应安全需求。
2.2.4数据安全：目的：实现数据的机密性、完整性、可控性、不可否认性，并进行数据备份和恢复。
01-信息安全总体方针和安全策略指引
01-信息安全总体方针和安全策略指引XXX公司信息安全总体方针和安全策略指引第一章总则第一条为了进一步深入贯彻落实国家政策文件要求，加强公司信息安全管理工作，切实提高公司信息系统安全保障能力，特制定本指引。
第二条本指引适合于公司。
第三条公司信息安全管理遵循如下原则：(一) 主要领导负责原则：公司主要领导负责信息安全管理工作，统筹规划信息安全管理目标和策略，建立信息安全保障队伍并合理配置资源；(二) 全员参与原则：公司全员参与信息系统的安全管理工作，将信息安全与本职工作相结合，相互协同工作，认真落实信息安全管理要求，共同保障信息系统安全；(三) 合规性原则：信息安全管理制度遵循国际信息安全管理标准，以国家信息安全法律、法规、标准、规范为根本依据，全面符合相关主管部门和公司的各类要求。
(四) 监督制约原则：信息系统安全管理组织结构、组织职责、岗位职责、工作流程层面、执行层面建立相互监督制约机制，降低因缺乏约束而产生的安全风险。
(五) 规范化原则：通过建立规范化的工作流程，在执行层面对信息系统安全工作进行合理控制，降低由于工作随意性而产生的安全风险，同时提升信息安全管理制度的可操作性。
(六) 持续改进原则：通过不断的持续改进，每年组织公司管理层对制度的全面性、适用性和有效性进行论证和审定，并进行版本修订。
第四条本指引适用于公司全体人员。
第二章信息安全保障框架及目标第五条参照国内外相关标准，并结合公司已有网络与信息安全体系建设的实际情况，最终形成依托于安全保护对象为基础，纵向建立安全管理体系、安全技术体系、安全运行体系和安全管理中心的“三个体系，一个中心，三重防护”的安全保障体系框架。
(一) “三个体系”：信息安全管理体系、信息安全技术体系和信息安全运行体系，把信息安全标准的控制点和公司实际情况相结合形成相适应的体系结构框架；(二) “一个中心”：信息安全管理中心，实现“自动、平台化”的安全工作管理、统一技术管理和安全运维管理；(三) “三重防护”：安全计算环境防护措施、安全区域边界防护措施和安全网络通信防护措施，把安全技术控制措施与安全保护对象相结合。
国家信息安全保障体系建设任重而道远
２ 明确 了加强信息安全保障工作的主要原则 ．
立足国情 ，以我为主 ，坚持管理与技术并重 ；正确处
理 安全 与发展 的关 系 ，以安全保发展 ，在发 展中求安全 ；统
需要进一步完善 和加 强我国信息安全保 障体系建设
２０ ０ ４年 ，党 的十六 届四 中全会 《 决定 》提出 ：针 对传
信息安全工作的实践经验和理论研究说明需要加强 以下几个方
面的工作 ，进一步完善我国的信 息安全 保障体 系 ： １ 明确信 息安全等级保护 是我国信息安全 工作的基本制 ．
度；
典 型的是关 于信 息安全产 品和信息技 术产 品安全管理工 作 。信息 安全产 品和信 息技术产 品安全 管理包 括市场准入 、 产 品安全性 的质量验证 等多方面 。质 量认证只是信 息安全产 品和信 息技术产 品安全 管理 的手段之 一 ，并且不能直接 代替 产 品的市场准入 。比如 ，有的国 家在 非强制性认证 的同时在
一
２０ 年关于信 息安全保障体 系总体框架 的研究明确了信息 ０２ 安全保障 的基本 环节 、保障体 系的组成要素和体系建设 的基
本 要求 以及 必须完成 的若干 重要 工作 。 其总体 框架可 以总结 为 ：从 保护 、检测 、反应 、恢复 、
３ 规划了信息安全保 障主要的九方面 工作 。 ．
九个方面的工作可 以分为四类：
（ １）实行 信 息 安全 等 级保 护
抓紧建立信 息 安全 等级保 护制度 。
（ ２）建 立健 全信 息安 全 责任 制
反制 、预警 等环 节着 手 ，依靠 组织 管理 、基 础设施 、技术
保 证 、产业 发展 、人 才队伍 、环境 建设等要 素 ，形 成国家 、 部 门行业等全社 会的安全 防护 能力 、隐患发现能 力、应 急反 应 能力和信 息对 抗能 力 。
企业信息安全总体规划方案
XXXXX公司信息安全建设规划建议书YYYY科技有限公司201X年XX月目录第1章综述 (3)1。
1概述 (3)1。
2现状分析 (4)1。
3设计目标 (7)第2章信息安全总体规划 (9)2。
1设计目标、依据及原则 (9)2。
1.1设计目标 (9)2。
1.2设计依据 (9)2.1。
3设计原则 (10)2。
2总体信息安全规划方案 (11)2.2.1信息安全管理体系 (11)2。
2.2分阶段建设策略 (15)第3章分阶段安全建设规划 (16)3。
1规划原则 (16)3.2安全基础框架设计 (17)第4章初期规划 (18)4。
1建设目标 (18)4。
2建立信息安全管理体系 (18)4。
3建立安全管理组织 (20)第5章中期规划 (22)5.1建设目标 (22)5.2建立基础保障体系 (22)5。
3建立监控审计体系 (22)5.4建立应急响应体系 (24)5。
5建立灾难备份与恢复体系 (28)第6章三期规划 (31)6。
1建设目标 (31)6。
2建立服务保障体系 (31)6.3保持和改进ISMS (32)第7章总结 (33)7。
1综述 (33)7。
2效果预期 (33)7。
3后期 (33)第1章综述1.1概述信息技术革命和经济全球化的发展，使企业间的竞争已经转为技术和信息的竞争,随着企业的业务的快速增长、企业信息系统规模的不断扩大，企业对信息技术的依赖性也越来越强，企业是否能长期生存、企业的业务是否能高效的运作也越来越依赖于是否有一个稳定、安全的信息系统和数据资产。
因此，确保信息系统稳定、安全的运行，保证企业知识资产的安全,已经成为现代企业发展创新的必然要求，信息安全能力已成为企业核心竞争力的重要部分。
企业高度重视客户及生产信息，生产资料，设计文档,知识产权之安全防护。
而终端,服务器作为信息数据的载体，是信息安全防护的首要目标.与此同时，随着企业业务领域的扩展和规模的快速扩张，为了满足企业发展和业务需要,企业的IT生产和支撑支撑系统也进行了相应规模的建设和扩展，为了满足生产的高速发展,市场的大力扩张，企业决定在近期进行信息安全系统系统的调研建设，因此随着IT系统规模的扩大和应用的复杂化，相关的信息安全风险也随之而来，比如病毒、蠕虫、垃圾邮件、间谍软件、流氓软件、数据截获、嗅探、监听、肆意泛滥，内部机密数据泄漏、办公系统受到影响等等，因此为了保证企业业务正常运营、制卡系统的高效安全的运行，不因各种安全威胁的破坏而中断，信息安全建设不可或缺，信息安全建设必然应该和当前的信息化建设进行统一全局考虑，应该在相关的重要信息化建设中进行安全前置的考虑和规划，避免安全防护措施的遗漏,安全防护的滞后造成的重大安全事件的发生。
互联网信息化系统安全保障方案
(1) (1) (2) (3) (3) (3) (4) (5) (9) (10) (10) (10) (11) (11) (11) (11) (11) (12) (12) (13) (13) (13)数据玉泉系统运行在网络系统上，依托内外网向系统相关人员提供相关信息与服务，系统中存在着大量非公开信息，如何保护这些信息的机密性和完整性、以及系统的持续服务能力尤其重要，是信息化系统建设中必须认真解决的问题。
数据玉泉系统使用中国电信股分有限公司云计算分公司服务器。
中国电信股分有限公司云计算分公司是中国电信旗下的专业公司，集约化发展包括互联网数据中心(IDC)、内容分发网络(CDN)等在内的云计算业务和大数据服务。
中国电信股分有限公司云计算分公司在网络安全方面有丰富的实战经验，获得了国家信息安全测评信息技术产品安全测评证书及27001信息安全管理体系认证证书等一系列网络安全方面的证书(见 8 章附件)。
信息化系统安全总体目标是：结合当前信息安全技术的发展水平，设计一套科学合理的安全保障体系，形成有效的安全防护能力、隐患发现能力、应急反应能力和系统恢复能力，从物理、网络、系统、应用和管理等方面保证“信息化系统”安全、高效、可靠运行，保证信息的机密性、完整性、可用性和操作的不可否认性，避免各种潜在的威胁。
具体的安全目标是：1)、具有灵便、方便、有效的用户管理机制、身份认证机制和授权管理机制，保证关键业务操作的可控性和不可否认性。
确保合法用户合法使用系统资源；2)、能及时发现和阻断各种攻击行为，特殊是防止 DoS/DDoS 等恶意攻击，确保信息化系统不受到攻击；3) 、确保信息化系统运行环境的安全，确保主机资源安全，及时发现系统和数据库的安全漏洞，以有效避免黑客攻击的发生，做到防患于未然；4) 、确保信息化系统不被病毒感染、传播和发作，阻挠不怀好意的 Java、ActiveX 小程序等攻击网络系统；5) 、具有与信息化系统相适应的信息安全保护机制，确保数据在存储、传输过程中的完整性和敏感数据的机密性；6)、拥有完善的安全管理保障体系，具有有效的应急处理和灾难恢复机制,确保突发事件后能迅速恢复系统；7)、制定相关有安全要求和规范。
信息化项目安全及应急保障方案
信息化项目安全及应急保障方案一、信息系统安全设计方案7.5.1.1、项目背景概述1.项目建设背景近年来随着信息化建设的加快，业务和信息化也结合越来越紧密，在给政务服务带来巨大便捷的同时，也给信息安全管理带来了严峻的挑战，因此，必须提高信息安全集中监管的能力和水平，从而减少业务应用信息系统的运营风险。
依据国家《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》、《信息系统安全保护等级定级指南》等相关标准，结合大连市信息化建设的实际情况，开展信息系统安全等级保护建设。
2.项目范围根据国家标准化管理委员会发布的中华人民共和国国家标准《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）中对信息系统安全共划分5个等级：第一级：应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。
第二级：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。
第三级：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
第四级：应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。
根据本次项目工程建设要求以及上级单位和网安办对网络系统安全要求，按照第三级安全监督保护级的要求进行建设。
4电子政务信息安全保障
第四章电子政务信息安全保障学习目标：掌握基本概念并了解电子政务信息安全威胁评估及保障体系学习重点及难点：电子政务信息安全保障体系4。
1信息安全及安全保障概述4。
1.1信息安全内涵信息安全就是包含了信息环境、信息网络和通信基础设施、数据、信息内容、媒体、信息应用等多个方面的安全。
4.1。
2信息安全基本特征（1)真实性(2）可靠性（3)完整性（4）保密性(5）可用性（6）不可篡改性4。
1。
3信息安全的目标信息安全的目标就是要通过技术手段和有效的管理来确保政务信息系统的安全性，集中表现为对信息安全的保护以及对系统安全的保护.可用性目标完整性目标保密性目标可记账性目标保障性目标4。
1。
4信息安全建设原则(1）先进性原则（2）可扩展原则（3）可行性原则（4)标准化原则（5)技术管理与管理相结合原则4.1.5信息安全保障体系架构电子政务安全管理的两个层次：国家层面的管理,就是立法和制定相关的技术标准，由执法机关来监督实施电子政务系统使用单位的安全管理，过程为安全风险评估→建立管理体系管理体系具体内容：1、建立电子政务的技术保障体系2、建立电子政务运行管理体系3、建立社会服务体系4、建设电子政务基础设施体系加里·麦金农“史上最黑黑客”2001年至2002年一年间，英国人加里·麦金农非法侵入美国军方及宇航局的53处电脑网络, 令美国军方电脑网络遭受到有史以来最严重的侵入，他也因此成为“世界头号军事黑客”。
在两年间，麦金农利用黑客技术侵入了美国五角大楼、美宇航局、约翰逊航天中心以及美陆、海、空三军网络系统.江西40家网站2007年遭黑客攻击七成为政府网站江西省计算机用户协会向社会发布公告，2007年1¡ª8月份，江西至少有40家网站遭黑客恶意入侵与攻击。
据了解，40家被黑客入侵的网站中，七成为各级政府所属的相关部门网站，计算机用户协会因此希望各用户单位采取措施及时防范。
记者看到，这些被黑客入侵的网站七成以上是各级政府部门的，这些网站要么被黑客篡改首页，要么被增加了页面。
信息安全方针及安全策略制度
信息安全方针及安全策略制度目录1.适用范围 (1)2.信息安全总体方针 (1)3.信息安全总体目标 (1)4.信息安全工作原则 (2)5.信息安全体系框架 (2)6.主要安全策略 (2)L适用范围作为网络系统信息安全管理的纲领性文件，本文件用于指导建立并实施信息安全管理体系的行动准则，适用于网络系统的相关各项日常安全管理。
2.信息安全总体方针“积极参与明确责任预防为主快速响应风险管控持续改进”是的信息安全总体方针。
具体阐述如下：（1）在技术部的领导下，全面贯彻国家关于信息安全工作的相关指导性文件精神，在内部建立可持续改进的信息安全管理体系。
（2）全员参与信息安全管理体系建设，落实信息安全管理责任制，建立和完善各项信息安全管理制度，使得信息安全管理有章可循。
（3）通过定期的信息安全宣传、教育与培训，不断提高所有人员的信息安全意识及能力。
（4）推行预防为主的信息安全积极防御理念，同时对所发生的信息安全事件进行快速、有序地响应。
（5）贯彻风险管理的理念，定期对系统进行风险评估和控制，将信息安全风险控制在可接受的水平。
（6）持续改进信息安全各项工作，保障网络系统安全畅通与可控，保障所开发和维护信息系统的安全稳定，为社会公众提供安全可靠的招投标比选服务。
3.信息安全总体目标（1）按照等级保护三级要求，对生产网系统进行建设和运维。
（2）建立信息化资产目录（包括软件、硬件、数据信息等）。
（3）建立健全并持续改进安全管理体系。
（4）编制完成网络和信息安全事件总体应急预案，并组织应急演练。
（5）每年至少开展一次由第三方机构主导的信息安全风险评估，同时单位内部定期进行自评估，保障信息系统的安全。
（6）每年至少组织一次全范围的信息安全管理制度宣传贯彻。
4 .信息安全工作原则结合实际情况，信息安全工作的开展过程中，基本工作原则为：（1）以自身为主，坚持技术与管理并重。
（2）正确处理安全与发展的关系，以安全保发展，在发展中求安全。
信息安全保障概述
保密性：确保信息没有非授权的泄漏，不 被非授权的个人、组织和计算机程序使用 完整性：确保信息没有遭到篡改和破坏 可用性：确保拥有授权的用户或程序可以 及时、正常使用信息
完整性 （Integrity） 8
秘密 保密性
（Confidentiality）
可用性 （Availability）
为什么会有信息安全问题？
信息安全保障概述
中国信息安全测评中心
课程内容
信息安全保 障概述
信息安全保障 框架
国家信息安全 政策法规
信息安全保障框架基础知识 信息安全保障基本实践 重点法律法规解读 重点政策解读
2
知识体：信息安全保障框架
知识域：安全保障框架基础知识
理解信息安全的基本概念 理解信息安全保障的意义和内涵； 了解信息安全保障工作的总体思路和基本实践方法。
因为有病毒吗？ • 因为有黑客吗？
• 因为有漏洞吗？
这些都是原因， 但没有说到根源
9
信息系统安全问题产生的根源与环节
内因 复杂性导致脆弱性：过程复杂，结构复杂，使用复杂
外因 对手: 威胁与破坏
10
内在复杂——过程
信息系统理论 • 冯-诺伊曼机，在程序与数据的区分上没有确定性的原则
22
信息安全保障发展历史
第一次定义：在2019年美国国防部DoD指令5-3600.1（ DoDD 5-3600.1）中，美国信息安全界第一次给出了信息 安全保障的标准化定义
现在：信息安全保障的概念已逐渐被全世界信息安全领域 所接受。
中国：中办发27号文《国家信息化领导小组关于加强信息 安全保障工作的意见》，是信息安全保障工作的纲领性文 件
知识域：信息安全保障基本实践
信息系统安全保障体系规划方案
信息系统安全保障体系规划方案目录1.概述 (4)1.1.引言 (4)1.2.背景 (4)1.2.1.公司行业相关要求 (4)1.2.2.国家等级保护要求 (5)1.2.3.三个体系自身业务要求 (5)1.3.三个体系规划目标 (6)1.3.1.安全技术和安全运维体系规划目标 (6)1.3.2.安全管理体系规划目标 (6)1.4.技术及运维体系规划参考模型及标准 (8)1.4.1.参考模型 (8)1.4.2.参考标准 (10)1.5.管理体系规划参考模型及标准 (11)1.5.1.国家信息安全标准、指南 (11)1.5.2.国际信息安全标准 (11)1.5.3.行业规范 (11)2.技术体系建设规划 (12)2.1.技术保障体系规划 (12)2.1.1.设计原则 (12)2.1.2.技术路线 (13)2.2.信息安全保障技术体系规划 (14)2.2.1.安全域划分及网络改造 (14)2.2.2.现有信息技术体系描述 (23)2.3.技术体系规划主要内容 (28)2.3.1.网络安全域改造建设规划 (28)2.3.2.网络安全设备建设规划 (31)2.3.3.CA认证体系建设 (39)2.3.4.数据安全保障 (41)2.3.5.终端安全管理 (44)2.3.6.备份与恢复 (45)2.3.7.安全运营中心建设 (46)2.3.8.周期性风险评估及风险管理 (47)2.4.技术体系建设实施规划 (48)2.4.1.安全建设阶段 (48)2.4.2.建设项目规划 (49)3.运维体系建设规划 (50)3.1.风险评估及安全加固 (50)3.1.1.风险评估 (50)3.1.2.安全加固 (50)3.2.信息安全运维体系建设规划 (50)3.2.1.机房安全规划 (50)3.2.2.资产和设备安全 (51)3.2.3.网络和系统安全管理 (54)3.2.4.监控管理和安全管理中心 (59)3.2.5.备份与恢复 (60)3.2.6.恶意代码防范 (61)3.2.7.变更管理 (62)3.2.8.信息安全事件管理 (63)3.2.9.密码管理 (66)3.3.运维体系建设实施规划 (66)3.3.1.安全建设阶段 (66)3.3.2.建设项目规划 (67)4.管理体系建设规划 (68)4.1.体系建设 (68)4.1.1.建设思路 (68)4.1.2.规划内容 (69)4.2.信息安全管理体系现状 (70)4.2.1.现状 (70)4.2.2.问题 (72)4.3.管理体系建设规划 (73)4.3.1.信息安全最高方针 (73)4.3.2.风险管理 (74)4.3.3.组织与人员安全 (74)4.3.4.信息资产管理 (77)4.3.5.网络安全管理 (89)4.3.6.桌面安全管理 (91)4.3.7.服务器管理 (91)4.3.8.第三方安全管理 (93)4.3.9.系统开发维护安全管理 (94)4.3.10.业务连续性管理 (96)4.3.11.项目安全建设管理 (98)4.3.12.物理环境安全 (100)4.4.管理体系建设规划 (101)4.4.1.项目规划 (101)4.4.2.总结 (102)1.概述1.1.引言本文档基于对公司信息安全风险评估总体规划的分析，提出公司工业信息安全技术工作的总体规划、目标以及基本原则，并在此基础上从信息安全保障体系的视角描绘了未来的信息安全总体架构。
信息安全管理体系建设方案
信息安全管理体系建设方案在当今数字化的时代，信息已成为企业和组织最宝贵的资产之一。
然而，随着信息技术的飞速发展和广泛应用，信息安全问题也日益凸显。
为了保护企业的信息资产，确保业务的连续性和稳定性，建立一套完善的信息安全管理体系至关重要。
一、信息安全管理体系建设的目标信息安全管理体系建设的总体目标是通过建立一整套科学、合理、有效的信息安全管理框架和流程，确保企业的信息资产得到充分保护，降低信息安全风险，提高企业的竞争力和声誉。
具体目标包括：1、确保信息的保密性、完整性和可用性，防止信息被未经授权的访问、篡改或泄露。
2、满足法律法规和行业规范的要求，避免因信息安全问题而导致的法律责任。
3、提高员工的信息安全意识和技能，形成良好的信息安全文化。
4、建立有效的信息安全事件应急响应机制，能够快速、有效地处理各类信息安全事件。
二、信息安全管理体系建设的原则1、风险管理原则信息安全管理体系的建设应以风险管理为核心，通过对信息资产的风险评估，确定信息安全的需求和控制措施，将信息安全风险控制在可接受的水平。
2、全员参与原则信息安全不仅仅是信息技术部门的责任，而是需要全体员工的共同参与。
因此，在信息安全管理体系建设过程中，应充分调动全体员工的积极性，提高员工的信息安全意识和责任感。
3、持续改进原则信息安全管理体系是一个动态的、不断发展的过程。
应定期对信息安全管理体系进行评估和审核，发现问题及时改进，以适应企业业务发展和信息技术变化的需求。
4、合规性原则信息安全管理体系的建设应符合国家法律法规、行业规范和标准的要求，确保企业的信息安全管理活动合法合规。
三、信息安全管理体系建设的步骤1、现状评估对企业现有的信息系统、业务流程、组织架构、人员管理等方面进行全面的调研和评估，了解企业当前的信息安全状况，找出存在的信息安全风险和薄弱环节。
2、规划设计根据现状评估的结果，结合企业的发展战略和信息安全目标，制定信息安全管理体系的总体框架和详细规划，包括信息安全策略、组织架构、管理流程、技术措施等。
《北京市电子政务技术总体框架(试行)》
第一章总体技术框架模型北京市电子政务的总体技术框架模型如图1．1所示，主要包括网络基础设施层、信息资源层、应用基础支撑平台层、应用层、门户层、访问渠道、信息安全保障体系和标准规范与管理体系。
服务对象主要包括企业、公众、政府和公务员。
图1.1：北京市电子政务技术总体框架图1、网络基础设施层在模型中处于最底层，是支撑北京市电子政务和“数字北京”的重要基础设施，包括市级、区县级有线专网和无线专网，以及公众网。
2、信息资源层构建于网络基础设施层之上，并为上层的应用基础支撑平台层提供各种信息资源，主要包括共享信息资源、目录资源及各部门业务信息资源。
3、应用基础支撑平台层在整个模型中承担着承上启下的关键作用，处于应用层和信息资源层之间。
4、应用层是在应用基础支撑平台层基础上构建的各种电子政务应用系统，主要包括职能部门的行业应用系统、跨领域综合性应用系统以及面向领导决策的综合性决策支持系统等。
5、门户层是整个电子政务系统面向最终用户的统一入口，是各类用户获取所需服务的主要入口和交互界面，由首都之窗和政务专网门户组成。
6、访问渠道是指用户访问电子政务门户的方式与途径，用户可以通过手机、电话、互联网、信息亭、电视等渠道进行访问，实现任何时间、任何地点的多渠道访问。
7、电子政务标准规范包括专用于电子政务的标准规范和综合现有信息技术的标准规范两大部分，它是确保电子政务应用系统设计、建设和运行符合相关标准的保障体系，在模型的各层都有相应的标准规范。
8、管理体系是确保电子政务应用系统得以顺利建设和正常运行的保障体系，包括模型巾各层的建设管理和运营管理。
9、信息安全保障体系是确保电子政务安全运行的保障体系。
信息安全贯穿于电子政务的各个层面。
第二章网络基础设施一、网络结构北京市电子政务的网络基础设施包括有线政务专网、无线政务专网和公众网等。
l、有线政务专网有线政务专网分为政务内网和政务外网两部分。
其中，政务内网与政务外网之间是物理隔离：有线政务专网和公众网络之间是逻辑隔离。
1、信息系统总体安全方针
长春XXXXX有限公司信息系统总体安全方针信息科2021年5月信息系统总体安全方针第一章. 总则第一条为了进一步深入贯彻落实国家《关于加强信息安全保障工作的意见》（中办[2003]27号文件）、《信息安全等级保护管理办法》（公通字[2007]43号）等政策文件要求，加强XXXX信息安全建设与管理工作，切实提高对信息系统的安全保障能力，特制定本方针。
第二条本方针适用于XXXX负责的信息系统。
第二章. 安全使命第三条安全使命是保障信息系统安全、稳定、持续运行，为XXXX信息化提供可持续发展的信息网络安全技术和管理支撑。
一、信息安全必须为业务和信息系统服务，脱离业务和信息系统的安全也就失去了其真正的意义。
保证实现业务服务和信息系统正常运行，进而使信息系统安全、稳定并且持续运行，就成为了信息安全保障体系建设的最根本使命。
二、电子政务创新能力成为向服务型政府转变过程中的重要手段。
业务创新背后离不开信息安全技术的支撑。
运用信息安全技术和管理支撑电子政务创新的能力将会成为信息系统的业务趋向安全保障的使命。
第三章. 安全目标第四条安全目标是保证信息系统的机密性、完整性和可用性，确保整体达到信息系统第三级安全保护等级。
一、机密性是使信息和网络资源不泄露给未授权的个人、实体、进程，或不被其利用。
二、完整性是指保护信息和网络资源的准备和完整。
三、可用性是已授权实体一旦需要访问信息和网络资源就可访问和使用。
四、XXXX的安全建设应达到国家重要信息系统的相关保护要求，总体实现信息系统三级安全保护等级。
第四章. 信息安全责任机构和职责第五条信息安全是XXXX所有工作人员必须共同承担的责任，应建立由信息安全领导小组和信息安全工作组共同构建的安全管理机构，信息安全组织机构如下图所示。
第六条信息安全领导小组是信息安全工作的最高领导决策机构，负责XXXX 信息安全工作的宏观管理。
职责是：(一)贯彻执行国家关于信息安全工作的方针、政策，组织落实信息安全体系建设工作的目标、方针、政策。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型 人民银行信息安全总体技术架构
2、信息安全保证技术框架(IATF) 信息安全保证技术框架(IATF) 信息安全保证技术框架（ 信息安全保证技术框架（Information Assurance Technical Framework：IATF ： 个部分： ）将计算机信息系统分4个部分： 将计算机信息系统分 个部分
7个信息安全管理属性 个信息安全管理属性
目标性Focus 目标性 执行性Execution 执行性 效益性Cost-effective 效益性 时效性Time-bound 时效性 适应性Adaptive 适应性 全局性Coherence 全局性 合规性Compliance 合规性
参考： 参考：人民银行的描述 重大应用系统业务工作的连续可用性 业务工作责任的不可否认性 业务数据和信息的真实完整性 涉及国际秘密和行业敏感信息的保密性 什么人、可以访问什么资源、 什么人、可以访问什么资源、有什么权限 、以及控制授权范围内的信息流向及行为 方式等的可控性
ห้องสมุดไป่ตู้
信息安全保证技术框架(IATF) 2.2 信息安全保证技术框架(IATF)
区域边界
区域是指在单一安全策略管理下、 区域是指在单一安全策略管理下、通过网络连接起来的计算设备的 集合 区域边界是区域与外部网络发生信息交换的部分 区域边界确保进入的信息不会影响区域内资源的安全，而离开的信 区域边界确保进入的信息不会影响区域内资源的安全， 息是经过合法授权的
终端用户工作站 web服务 服务 应用 文件 DNS服务 服务 目录服务等
信息安全相关机构
主管部门
公安部 国家保密局 国家密码管理局 安全部 中国工业和信息化部安全协调司
第三方测评认证机构
公安部计算机信息系统安全产品质量检验中心 国家保密局涉密信息系统安全保密测评中心 国家密码管理局商用密码检测中心 中国信息安全测评中心 解放军测评中心 中国信息安全认证中心
2、信息安全保证技术框架(IATF) 信息安全保证技术框架(IATF) 信息安全保证技术框架（ 信息安全保证技术框架（Information Assurance Technical Framework：IATF ： 个部分： ）将计算机信息系统分4个部分： 将计算机信息系统分 个部分
本地计算环境 区域边界 网络和基础设施 支撑基础设施
人民银行信息系统网络结构
人民银行信息系统网络规划为涉密网、业 务网和互联网三大类，即总体安全框架“ 三纵三横两平台一端”中 “三纵”所指的 内容。如图所示：
第三方网络
涉密网
(涉密信息传输 涉密信息传输) 涉密信息传输
物理 隔离
其中包括在网络节点间（ 其中包括在网络节点间（如路由器和交换 传递信息的传输部件（ 卫星， 机）传递信息的传输部件（如：卫星，微 光纤等）， ），以及其他重要的网络基础 波，光纤等），以及其他重要的网络基础 设施组件如网络管理组件、 设施组件如网络管理组件、域名服务器及 目录服务组件等
2、信息安全保证技术框架(IATF) 信息安全保证技术框架(IATF) 信息安全保证技术框架（ 信息安全保证技术框架（Information Assurance Technical Framework：IATF ： 个部分： ）将计算机信息系统分4个部分： 将计算机信息系统分 个部分
本地计算环境 区域边界 网络和基础设施 支撑基础设施
信息安全保证技术框架(IATF) 2.4 信息安全保证技术框架(IATF) 对网络和基础设施的安全要求主要是
鉴别 访问控制 机密性 完整性 抗抵赖性 可用性
信息安全保证技术框架(IATF) 2.4 信息安全保证技术框架(IATF) 支撑基础设施提供了一个IA机制在网络、 支撑基础设施提供了一个 机制在网络、 机制在网络 区域及计算环境内进行安全管理、 区域及计算环境内进行安全管理、提供安 全服务所使用的基础 主要为以下内容提供安全服务： 主要为以下内容提供安全服务：
国家及行业重要性的政策性及技术性文件
中办[2003]27号文件：国家信息化领导小组关于加强信息 号文件： 中办 号文件 安全保障工作的意见； 安全保障工作的意见； 公信安[2007]861号文件 关于开展全国重要信息系统安全 号文件:关于开展全国重要信息系统安全 公信安 号文件 等级保护定级工作的通知； 等级保护定级工作的通知； 国保[2005]16号文件：关于印发《涉及国家秘密的信息系 号文件： 国保 号文件 关于印发《 统等级保护管理办法》 颁布《 统等级保护管理办法》；颁布《涉及国家秘密的信息系统 等级保护技术要求》国家保密标准的通知； 等级保护技术要求》国家保密标准的通知； 公通字[2004]66号文件：《关于信息安全等级保护工作的 号文件： 公通字 号文件 实施意见》 实施意见》； 2005年9月国信办：《电子政务等级保护实施指南》； 月国信办： 电子政务等级保护实施指南》 年 月国信办 公通字[2006]7号文件：《信息安全等级保护管理办法》 号文件： 信息安全等级保护管理办法》 公通字 号文件 试行； 试行； 信息安全风险评估指南》 年元月； 《信息安全风险评估指南》：2006年元月； 年元月 信息安全等级保护信息系统运行安全管理要求》 《信息安全等级保护信息系统运行安全管理要求》。
当前我国的信息与网络安全研究处于忙于封堵现有信息系统的安全漏 洞，以致宏观安全体系研究上的投入严重不足，这样做是不能从根本 上解决问题的，急需从安全体系结构整体的高度开展强有力的研究工 作，从而能够为解决我国的信息与网络安全提供一个整体的理论指导 和基础构件的支撑，并为信息与网络安全的工程奠定坚实的基础，推 动我国信息安全产业的发展。
1、信息与网络安全的重要性及严峻性（Cont.）
我国信息化建设需要的大量基础设备依靠国外引进，无法保证我们的安全利 我国信息化建设需要的大量基础设备依靠国外引进， 用和有效监控。因此，解决我国的信息安全问题不能依靠外国， 用和有效监控。因此，解决我国的信息安全问题不能依靠外国，只能走独立 自主的发展道路。 自主的发展道路。 目前我国信息与网络安全的防护能力处于发展的初级阶段， 目前我国信息与网络安全的防护能力处于发展的初级阶段，许多应用系统处 于不设防状态。要用我国自己的安全设备加强信息与网络的安全性， 于不设防状态。要用我国自己的安全设备加强信息与网络的安全性，需要大 力发展基于自主技术的信息安全产业， 力发展基于自主技术的信息安全产业，而自主技术的发展又必须从信息与网 络安全的基础研究着手，全面提高创新能力。 络安全的基础研究着手，全面提高创新能力。
安全目标： 安全目标：安全属性和安全管理属性
7个信息安全属性 个信息安全属性
保密性Confidentiality 保密性 完整性Integrity 完整性 可用性Availability 可用性 真实性Authenticity 真实性 不可否认性Non不可否认性 Reputation 可追究性 Accountability 可控性Controllability 可控性
主讲内容
信息安全保障体系与总体框架
信息安全防护技术与应用分析
信息安全等级保护策略
信息安全保障体系与 总体框架
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型 人民银行信息安全总体技术架构
1、信息与网络安全的重要性及严峻性
信息是社会发展的重要战略资源。国际上围绕信息的获取、 信息是社会发展的重要战略资源。国际上围绕信息的获取、使用和控制 的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点， 的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点， 各国都给以极大的关注与投入。 各国都给以极大的关注与投入。 网络信息安全已成为急待解决、 网络信息安全已成为急待解决、影响国家大局和长远利益的重大关键问 它不但是发挥信息革命带来的高效率、高效益的有力保证， 题，它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是 对抗霸权主义、抵御信息侵略的重要屏障，信息安全保障能力是21世纪 对抗霸权主义、抵御信息侵略的重要屏障，信息安全保障能力是21世纪 21 综合国力、经济竞争实力和生存能力的重要组成部分， 综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界 各国在奋力攀登的制高点。 各国在奋力攀登的制高点。 网络信息安全问题如果解决不好将全方位地危及我国的政治、军事、 网络信息安全问题如果解决不好将全方位地危及我国的政治、军事、经 文化、社会生活的各个方面， 济、文化、社会生活的各个方面，使国家处于信息战和高度经济金融风 险的威胁之中。 险的威胁之中。
信息安全相关机构（Cont.） 信息安全相关机构（Cont.）
行业协会
中国信息产业商会 信息安全产业分会 – 依托单位：中国信息安全测评中 心 中国信息协会 信息安全专业委员会
• 秘书处设在国家信息中心信息安全研究与服务中心。
中国互联网协会 网络与信息安全工作委员会
• 秘书处设在国家计算机网络应急技术处理协调中心
M_6: 评价和决策模型和方法
阐述信息安全的评价和决策方法，如：风险评估等
M_7: 工程模型和方法
体现了信息安全的基于过程的工程方法，比如PDCA等
M_3: 信息安全属性 经典的安全目标（属性） 经典的安全目标（属性）- CIA
Confidentiality 保密性 Integrity 完整性 Availability 可用性
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型 人民银行信息安全总体技术架构
思考信息安全问题的7 思考信息安全问题的7大模型 M_1: 整体定位模型和方法 M_2: 信息体系架构 M_3: 信息安全属性概念 M_4: 管理模型和方法 M_5: 技术功能模型和方法 M_6: 评价和决策模型和方法 M_7: 工程模型和方法