XX公司信息系统安全保障体系规划方案

XX公司信息系统

安全保障体系规划方案

目录

1.1.引言 (4)

1.2.背景 (4)

1.2.1.XX行业相关要求 (4)

1.2.2.国家等级保护要求 (5)

1.2.3.三个体系自身业务要求 (5)

1.3.三个体系规划目标 (6)

1.3.1.安全技术和安全运维体系规划目标 (6)

1.3.2.安全管理体系规划目标 (6)

1.4.技术及运维体系规划参考模型及标准 (7)

1.4.1.参考模型 (7)

1.4.2.参考标准 (8)

1.5.管理体系规划参考模型及标准 (9)

1.5.1.国家信息安全标准、指南 (9)

1.5.2.国际信息安全标准 (9)

2.技术体系建设规划 (9)

2.1.技术保障体系规划 (9)

2.1.1.设计原则 (9)

2.1.2.技术路线 (10)

2.2.信息安全保障技术体系规划 (11)

2.2.1.安全域划分及网络改造 (11)

2.2.2.现有信息技术体系描述 (19)

2.3.技术体系规划主要内容 (22)

2.3.1.网络安全域改造建设规划 (22)

2.3.2.网络安全设备建设规划 (23)

2.3.3.安全网关设备 (25)

2.3.4.业务安全审计设备 (28)

2.3.5.CA认证体系建设 (31)

2.3.6.现状 (31)

2.3.7.建设规划目标 (31)

2.3.8.数据安全保障 (33)

2.3.9.终端安全管理 (35)

2.3.10.备份与恢复 (36)

2.3.11.安全运营中心建设 (37)

2.3.12.周期性风险评估及风险管理 (37)

3.运维体系建设规划 (38)

3.1.风险评估及安全加固 (38)

3.1.1.风险评估 (38)

3.1.2.安全加固 (38)

3.2.信息安全运维体系建设规划 (38)

3.2.1.机房安全规划 (38)

3.2.2.资产和设备安全 (39)

3.2.3.网络和系统安全管理 (40)

3.2.4.监控管理和安全管理中心 (41)

3.2.5.备份与恢复 (42)

3.2.6.恶意代码防范 (42)

3.2.7.变更管理 (42)

3.2.8.信息安全事件管理 (42)

3.2.9.密码管理 (43)

4.管理体系建设规划 (43)

4.1.体系建设 (43)

4.1.1.建设思路 (43)

4.1.2.规划内容 (44)

4.2.信息安全管理体系现状 (45)

4.2.1.现状 (45)

4.2.2.问题 (46)

4.3.管理体系建设规划 (47)

4.3.1.信息安全最高方针 (47)

4.3.2.风险管理 (48)

4.3.3.组织与人员安全 (48)

4.3.4.信息资产管理 (50)

4.3.5.网络安全管理 (52)

4.3.6.桌面安全管理 (52)

4.3.7.服务器管理 (53)

4.3.8.第三方安全管理 (53)

4.3.9.系统开发维护安全管理 (53)

4.3.10.业务连续性管理 (53)

4.3.11.项目安全建设管理 (54)

4.3.12.物理环境安全 (54)

4.4.管理体系建设规划 (55)

4.4.1.项目规划 (55)

4.4.2.总结 (55)

概述

1.1.引言

本文档基于对XX公司信息安全风险评估总体规划的分析，提出XX公司信息安全技术工作的总体规划、目标以及基本原则，并在此基础上从信息安全保障体系的视角描绘了未来的信息安全总体架构。

本文档内容为信息安全技术体系、运维体系、管理体系的评估和规划，是信息安全保障体系的主体。

1.2.背景

1.2.1.XX行业相关要求

国家XX行业总局一直以来十分重视信息安全管理工作，先后下发了涉及保密计算机运行、等级保护定级等多个文件，在2008年下发了147号文《XX行业行业信息安全保障体系建设指南》，指南从技术、管理、运维三个方面对安全保障提出了建议，如下图所示。

图 1_1行业信息安全保障体系框架

1.2.2.国家等级保护要求

等级保护工作作为我国信息安全保障工作中的一项基本制度，对提高基础网络和重要信息系统安全防护水平有着重要作用，在《信息系统安全等级保护基本要求》中对信息安全管理和信息安全技术也提出了要求，如下图所示。

图 1_2等保基本要求框架图

1.2.3.三个体系自身业务要求

在国家数字XX行业政策的引导下，近年来信息系统建设日趋完善，尤其是随着国家局统一建设的一号工程的上线，业务系统对信息系统的依赖程度逐渐增加，信息系统的重要性也逐渐提高，其安全保障就成为了重点。此外，除了一号工程外，信息系统的重要组成部分还有MES系统、ERP系统、网站系统、工商协同营销系统、LIMS系统、OA系统及生产系统等。企业生产已经高度依赖于企业的信息化和各信息系统。

信息系统现阶段还无法达到完全的自动化和智能化运行。因此需要各级技术人员对信息系统进行运行和维护。在整个信息系统运行的过程中，起主导作用的仍然是人，是各级管理员。设备的作用仍然仅仅停留在执行层面。因此信息系统的稳定运行的决定因素始终都在于人员的操作。信息安全运维体系的作用是在安全管理体系和安全技术体系的运行过程中，发现和纠正各类安全保障措施存在的问题和不足，保证它们稳定可靠运行，有效执行安全策略规定的目标和原则。当