某国土资源局信息安全等级保护建设方案

某市国土资源局核心业务系统信息安全等级保护建设方案

目录

1方案背景 (1)

2方案编制目的 (1)

3方案目标 (2)

4建设方案编制依据 (3)

5网络与信息安全设计整体原则 (3)

5.1可靠性 (3)

5.2实用性 (4)

5.3先进性 (4)

5.4安全性 (4)

5.5可扩展性 (4)

5.6可管理性 (4)

6网络设计说明 (5)

7等级保护基本要求层级结构 (5)

7.1技术要求 (6)

7.2管理要求 (7)

7.3等级保护的安全保障体系框架 (7)

7.3.1安全策略体系 (7)

7.3.2安全管理体系 (8)

7.3.3安全技术体系 (8)

8信息安全技术体系建设内容 (10)

9信息系统安全管理体系结构 (13)

9.1安全管理制度 (13)

9.1.1确定安全方针 (13)

9.1.2制定安全策略 (13)

9.1.3策略审查评估 (14)

9.2组织管理 (14)

9.2.1建立交流机制 (14)

9.2.2安全责任划分 (15)

9.2.3不同组织间的合作 (16)

9.3人员管理 (16)

9.3.1人员安全 (16)

9.3.2职位与职责设置 (17)

9.3.3信息安全的教育与培训 (18)

10项目清单与预算 (18)

11等级保护三级建设成效 (23)

12等级保护相关项目成功案例 (23)

13XX集成公司等级保护服务优势和特色 (24)

1方案背景

国土资源信息是国家的基础性、战略性信息，是服务国家经济社会、保证国家可持续发展的重要资源；国土资源信息系统是国土资源信息有效合理利用的重要保障。随着国土资源信息化建设的飞速发展，网络的覆盖面以及应用的范围不断扩展，数据资源越来越丰富，信息系统应用不断深化，信息化技术和管理业务的融合程度越来越高，在国土资源遥感监测“一张图”、电子政务平台、综合监管平台和共享服务平台的框架体系下，将全面实现网上办公、网上审批、网上交易和网上服务。国土资源信息和信息系统的基础性、全局性、战略性的作用日益突显，这对保障国土资源信息和信息系统安全稳定运行提出了急迫的需求和更高的要求。

信息安全等级保护是我国信息安全保障的基本制度、基本策略、基本方法，是促进信息化发展、维护国家信息安全的根本保障。开展国土资源信息安全等级保护工作，是解决国土资源信息安全面临的威胁和存在的主要问题的重要手段，是对非涉密重要信息系统进行安全保障的重大措施，能够有效地保护国土资源信息和信息系统的安全，对促进国土资源信息化健康有序发展有着特别重要意义。

2方案编制目的

为贯彻落实国家信息安全等级保护制度，规范和指导国土资源行业开展信息安全等级保护工作，有效保护国土资源信息和信息系统的安全，国土资源部发布了《国土资源部信息化工作办公室关于国土资源信息安全等级保护工作的指导意见》国土资信办发〔2012〕6号，根据指导意见，同时依照国家《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》、《信息系统安全保护等级定级指南》、《关于印发〈国土资源信息系统安全等级保护定级工作方案〉的通知》（国土资信办发〔2007〕14号）等标准和要求，对某市国土资源局的核心业务系统（如国土资源信息系统、电子政务系统、国土资源门户网站系统涉及矿业权市场、土地交易市场等）进行等级保护定级，按信息系统编制定级报告和定级备案表，并指导某市国土资源局信息人员将定级材料提交当地公安机关备案。同时，根据《信息系统安全等级保护测评要求》和《信息系统安全等级保护测评过程指南》等标准，制订某市国土资源局信息安全等级保护建设方案，同时力争在2015年底前，完成核心业务系统的安全建设整改和测评工作。

3方案目标

通过为满足物理安全、网络安全、主机安全、应用安全、数据安全五个方面基本技术要求进行技术体系建设；为满足安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面基本管理要求进行管理体系建设。使得某市国土资源局核心业务系统的等级保护建设方案最终既可以满足等级保护的相关要求，又能够全方面为某市国土资源局的业务系统提供立体、纵深的安全保障防御体系，保证信息系统整体的安全保护能力。

本次等级保护整改建设将完成以下目标：

1、以某市国土资源局的核心业务系统（如国土资源信息系统、电子政务系统、国土资

源门户网站系统涉及矿业权市场、土地交易市场等）现有基础设施，建设并完成满足等级保护三级系统基本要求，确保某市国土资源局的整体信息化建设符合相关要求并迈向新的台阶。

2、建立完善的安全技术防护体系。根据信息安全等级保护的要求，建立满足三级要求

的安全技术防护体系。

3、建立安全管理组织机构。成立信息安全工作组，网络办负责人为安全责任人，拟定

实施医院信息系统安全等级保护的具体方案，并制定相应的岗位责任制，确保信息安全等级保护工作顺利实施。

4、建立健全信息系统安全管理制度。根据信息安全等级保护的要求，制定各项信息系

统安全管理制度，对安全管理人员或操作人员执行的重要管理操作建立操作规程和执行记录文档。

5、持续信息安全意识与培训教育。统一国土资源行业信息安全等级保护标准与要求，

加强信息安全意识，提高国土资源信息安全保护能力。应每年至少开展一次信息安全培训，及时了解信息安全发展方向和最新动态，提升全员信息安全防护意识，规范信息安全操作行为，提高信息安全管理人员和技术人员的管理水平和技术能力。

6、制定保障医疗活动不中断的应急预案。应急预案是安全等级保护的重要组成部分，

按可能出现问题的不同情形制定相应的应急措施，在系统出现故障和意外且无法短时间恢复的情况下能确保医疗活动持续进行。