天融信等保方案

B6
A4:中间业 务服务器区
A10:地市级中间 业务服务器区
A9:核心业务 前置区
N3
A14:网点联 机主机区
N5
N1
A2:渠道业
务服务器区
B5
省行生产网
开发网 B13
A5：网管区
B7 A11:联机业 务主机区
地市行生产网
B12
A15:办
公网区
网点
B2
A6:辅助决 B14 策系统区
N2
A12:OA服
• 以可信的理念和技术作支撑
总体解决方案－TopSec等级保护体系
• 遵照国家等级保护制度、满足客户实际需求，采用等级化、 体系化相结合的方法，为客户建设一套覆盖全面、重点突 出、节约成本、持续运行的安全保障体系。
• 实施后状态：一套持续运行、涵盖所有安全内容的安全保 障体系，是企业或组织安全工作所追求的最终目标
运 行
监控审计
全程 网全统网一监控和审计平台
中 心
终端安全
终防端病管毒理、和补防丁病和毒终集端中管管理理平平台台
物理安全
终端集管中理机和房防与病物毒理集环中境管安理全平台
基础设施安全
需求分析－4
1. 标准中从“单个系统”出发，但实际工作是从组织整体 出发，整体考虑所有系统 a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平
三级 区域
二级 区域
一级 区域
网络基 础设施
边界
政
中央节点
务
外
网
保护对象框架-政府行业
直属节点
政 务 专 网
政 务 内 网
保护对象框架－银行业
互联网
总行办公网 区域
总行生产网 区域
ATM/ POS
第三方合 作伙伴区
第三方合
作伙伴区 B10
B4 A1:核心业 务服务器区
A3:国际业 B1 务服务器区
需求分析－5
1. 标准中从“单个系统”出发，但实际工作是从组织整 体出发，整体考虑所有系统
a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平
2. 在建立长效机制方面考虑较少，难以做到可持续运行、 发展和完善
安全预警
监控、审计 安全现状
安全运行 维护
提出规范、要求 考核和检查
省级层面
制定企业或 部门级体系
跟踪、定期审核 安全建设工作
弱点评估
系统加固
安全事件处理
落实规范、要求 制定运维作业计划
系统层面
按要求开展工作
申请立项 提供项目安全说明
按要求进行 安全建设工作
按要求进行 建设
应急响应计划
设备安全维护 系统安全维护
最先作为“适度 安全”的工作思 路提出
总结成一种安全工 作的方法和原则
确认为国家信息安 全的基本制度，安 全工作的根本方法
形成等级保护的基 本理论框架，制定 了方法，过程和标 准
等级保护基本需求
• 政策要求－符合等级保护的要求
– 系统定级 – 系统符合《基本要求》中相应级别的指标 – 符合《测评准则》中的要求
a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 需求：准确地进行大系统的分解和描述，反映实际特
性和差异性安全要求 方法：引入保护对象框架设计方法
保护对象框架－电信行业
通信交换网
交换生产系统
通
GSM,3G
信
生
产
网
网管数据采集
位置服务
OMC
环境动 力系统
交换IP网
彩铃
智能网 LSTP
话务计费采集
话务网管
传输网管
BOSS核心
数据业务网
新数据业务
STK OTA
菜市口 IDC
A-GPS 企信通
望京IDC 企邮通
DSMP
实验室
门户 网站
移动 地址薄 BJ1860
集团业务 接入平台
CMNet
核心数据业务
GPRS WAP
短信
彩信 VoIP
WLAN
UM邮 箱
NAS
安全体系设计方法
组织战略和业务目标 组织总体信息安全目标
结构体
安全要求
安全措施
结构化分解原则： •从组织总体目标出发 •充分覆盖，互不重叠，不可再细分
安全体系的组成
安
全
保护对象
问
框架
题
界定和分解
安全对策 框架
映射
综合
安全体系
需求分析－2
1. 标准中从“单个系统”出发，但实际工作是从 组织整体出发，整体考虑所有系统
B9
务器区域
N4
A7:OA服 务器区域
省行办公网
A8:办公工 作站区域
B8 A13:办公工 作站区域
地市行办公网
互联网 B3
互联网
B11
三级 区域
二级 区域
一级 区域
第三方接口
网络基 础设施
边界 B
需求分析－3
1. 标准中从“单个系统”出发，但实际工作是从 组织整体出发，整体考虑所有系统
a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平 需求：统一规划，集中建设，避免重复和分散，降低
天融信等级保护解决方案 －TopSec等级保护体系
天融信安全服务总监 田野 Tian_ye@topsec.com.cn
等级保护的政策文件
2003年9月 中办国办颁发 《关于加强信息安 全保障工作的意见》 中办发[2003]27号
2004年11月
四部委会签
《关于信息安全等 级保护工作的实施 意见》
公通字[2004]66号
成本，提高建设水平 方法：引入安全平台的设计与建设方法
安全平台
•平台定义：为系统提供互操作性及其服务的环境
认证授权
统一身统份一认鉴证别与认授证权平管台理平台
数据安全
第三数方据统备一份安与全冗接灾入平平台台
加密
第三方应统用一加安密全平接台入平台
安
应用安全
全 管
理
网络安全
终端安管 全理域和防网病络毒访集问中控管制理平平台台
3. 管理难度太大，管理成本高 需求：需要高水平、自动化的安全管理工具 方法：引入安全管理平台
安全运维工作过程
正常工作流程－自上而下 异常工作流程－自下而上
计划 安全目标 安全规划
安全控制要求
执行 安全实施
日常运行维护
检查 安全现状
安全现状和目标之 间的差距
改进 安全工作考核 加强安全措施
调整安全控制要求
省级 3
信息 安全 保障
体系
监控
弱点 风险识别
威胁
风险分析 风险
事件/响应
事件关联
事件告警
处理/解决
工单管理
应急响应
总结
报告审计 数据分析总结
保护对象 计算区域
边界
网络基础设施
资产管理
需求分析总结
• 符合等级保护制度与标准 • 引入体系设计方法
–引入保护对象框架设计方法 –引入安全平台的设计与建设方法 –建立安全运行体系
正常到异常
总结 事件分析和总结
报告、数据分析
处理
安全工单
应急响应
响应
安全告警 事件关联
监控
安全事件
资产、业务、网络 的安全风险
异常到正常
流程内循环
安全管理中心框架
总部级计划/决策
总部级安全目标
安全体系框架
策略
运作
组织人员
技术
规划
策略
运作
组织人员
技术
省级计划/决策
省级安全目标
规划 策略
组织
运作 技术
定制
分等级的 保护对象框架
分等级的 安全目标
安全要求与对策框架
策略体系 组织体系 技术体系 运作体系
等级化 安全体系
体系建设 和运行
等级保护体系安全措施框架
安全策略体系
管理制度
信息安全政策
组织职责
技术标准规范
安全组织体系
安全 组织
人员 职责
教育 培训
人员 安全
安全技术体系
身份 认证
加固
访问 控制
监控
定级阶段
规划设计阶段
安全实施/实现阶段
安全运行管理阶段
系 子 子 安定
统 系 系 全级
调 统 统 等结
查 划 边 级果
和 分 界 确文
描 述
/
分 解
确 定
定
档 化
等安安 级全全 化总建 风体设 险设规 评计划 估
安安安测管管人 安
全全全试理理员 全
方产控与机制配 建
案品制验构度置 设
设采集收的的和 过
• 实际需求－适应客户实际情况
–适应业务特性与安全要求的差异性 –可工程化实施
基本安全要求中的各级指标
某级系统 基本要求
技术要求
管理要求
物网主应数 理络机用据 安安安安安 全全全全全
安 安 人系 系 全 全 员统 统 管 管 安建 运 理 理 全设 维 机 制 管管 管 构 度 理理 理
等级保护的生命周期
总部级安全建设 省级安全建设
安全运行维护 策略管理
存储
发布
运作管理
预警 变更
审批 备案
组织管理
岗位 权限
补丁管理
通告 下载
病毒管理
通告 下载
配置管理
变更 备案
帐号口令
申请 审批
信息安全保障体系
安全要求
策略
运作
组织人员
技术
安全措施
策略
运作
组织人员
技术
省级 1
信息 安全 保障 体系
省级 2
信息 安全 保障 体系
数据计费 采集
IP网管
IDC网管
核心支撑系统
Internet
业 务 支 撑 网
IT支撑 网
EOMS
信令集中 监控
客服中 心
一级经 营分析
一级 BOSS
DSS
BOSS监控
CMnet监控
CRM
ON-DEM
MDCN
KM
OA
ODS
营销主厅
用户资料 电子化
MIS
郊县分公司
非核心支撑系统
USD
MDCN
办公系统
Internet
2005年9月 国信办文件 《 关于转发《电 子政务信息安全等 级保护实施指南》 的通知 》 国信办[2004]25号
2005年 公安部标准 《基本要求》 《定级指南》 《实施指南》 《测评准则》
2006年1月
四部委会签
《 关于印发《信 息安全等级保护管 理办法的通知 》
公通字[2006]7号
北京
北京政府第 9号令
地处北京 的各部委
各行业
技术支持单位： 定级、测评
北北北京京京测测测评评评中中中心心心
北北北京京京研研研究究究一一一所所所
服务实施单位：
咨询、实施、产 品、运维
安安安全全全厂厂厂商商商、、、服服服务务务商商商
安安安全全全厂厂厂商商商、、、服服服务务务商商商
等级保护的政策文件与技术演进
2003年9月 中办国办颁发 《关于加强信息安全保 障工作的意见》
计购成
设建岗 程
置设位 的
培管
训理
操变安安安监
作更全全全督
管管状事评检
理理态件估查
和和监处和
控控控置持
制制
和续
应改
急进
预
案
信息系统等级保护实施生命周期内的主要活动
等级保护实施中需要解决的问题
1. 标准中从“单个系统”出发，但实际工作是从 组织整体出发，整体考虑所有系统
a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平
（中办发[2003]27号）
2004年11月 四部委会签 《关于信息安全等级保 护工作的实施意见》 （公通字[2004]66号）
2005年9月 国信办文件 《 关于转发《电子政 务信息安全等级保护实 施指南》的通知 》 （国信办[2004]25号）
2005年 公安部标准 《等级保护安全要求》 《等级保护定级指南》 《等级保护实施指南》 《等级保护测评准则》
浙江
浙江省人民 政府令
云南
云南省人民 政府第130 号令
国家级政策文件
国家级技术标准
国家级政策文件 地方政策文件
等级保护的管理结构－北京为例
政策、宏观管 理、协调
管理职能： 监管和测评
电子政务领域 国家信息办
北北北京京京信信信息息息办办办
北京市属 的电子政
务系统
其他行业领域
公安部网监局
北北北京京京公公公安安安局局局网网网监监监处处处
安全管理员
安全技术员
信息安全办公室
部门安全管理员 成员
公司层面
成果－安全策略体系
信息安全方针
信息安全体系
Hale Waihona Puke Baidu
管理规定
工作流程
安全组织人员职责
技术规范
部门层面 部门安全工作管理办法
部门安全组织人员职责
2. 在建立长效机制方面考虑较少，难以做到可持 续运行、发展和完善
3. 管理难度太大，管理成本高
需求分析－1
问题1：标准中从“单个系统”出发，但实际工作 是从组织整体出发，整体考虑所有系统
a) 各系统单独保护，将冲突和割裂，形成信息孤岛
需求：从组织整体出发，综合考核所有系统 方法：引入体系设计方法
• 特质：
– 等级化：突出重点，节省成本，满足不同行业、不同发展阶段、 不同层次的要求
– 整体性：结构化，内容全面，可持续发展和完善，持续运行 – 针对性：针对实际情况，符合业务特性和发展战略
等级保护体系设计方法
客户的信息资产
整体 安全目标
5级
基 本
4级
安 全
3级
要 2级
求
1级
定级
分解
国家规定 的各等级 安全要求
加密
审核 跟踪
防恶意 代码
备份 恢复
安
全
安全体系建设
运 行
体
项目建设安全管理 系
安全风险管理 与控制
安全运行与维护
成果－安全组织体系
信息安全领导小组
业务部门负责人 成员
主管领导（主管安全） 领导小组组长
安全部门负责人 工作组组长
管理部门负责人 成员
部门安全管理员 成员
信息安全工作组
安全办公室负责人 负责人
2. 在建立长效机制方面考虑较少，难以做到可持续运行、 发展和完善
需求：建立长效机制，建立可持续运行、发展和完善的体系 方法：建立安全运行体系
安全运行体系
安全体系 的建设
项目建设 安全管理
总部层面
制定总体 安全体系
安全目标 安全要求
提出安全 规范、要求
根据要求 评估建设
安全风险 管理
定期评估 安全现状