等级保护建设培训

虚拟化分区：节省投资
在一套物理资源上，采用VPN技术为多个业务系统虚拟出隔离的IT环境
虚拟化分区具有独立的逻辑资源：带宽、计算、策略数、管理员、QoS
数据中心 广域网 数据中心 广域网 数据中心 广域网
办公分区
生产分区 虚拟化分区
Internet分区
数据中心
广域网
物理资源
目录
等级保护政策介绍和建设思路 等保建设方案统一规划 区域划分方法
CDP 计算 存储 远程灾备 通信
以信息的三种状态为基础，针对等保物理、网络、系统、应用、数据技术方 面要求和安全管理要求，划分出可分步实施的局域网、广域网、数据中心、 安全管理中心等模块。
技术与管理并重
技术建设
漏洞监控，脆弱性管理 集中策略部署管理 行为监控/异常流量监控 安全事件集中采集监控 病毒集中采集监控 威胁定位，响应管理 安全审计工具 风险评估工具 安全区域划分，目标制定 符合法规要求 持续改进、优化、预防
借梯上楼
方法： 在现有IT架构中收集证据， 不满足的地方适当修补 优点： 改造工作资金投入小 缺点： IT架构越补越复杂，最后 补不胜补 等保满足时间点不可预期 对象： 已经采用其他安全体系标 准的IT系统，例如运营商
查漏补缺
等级保护建设流程建议
分区分域统一规划
数据 中心 广域 网 局域 网
应用 安全
•针对评估 过程中发 现的不满 足等保要 求的地方 进行整改
•评测机构 •对系统进 依据等级 行周期性 要求，对 的检查， 系统是否 以确定系 满足要求 统依然满 进行评测， 足等级保 并给出结 护的要求 论
目录
等级保护政策介绍和建设思路 等级保护政策介绍 等级保护政策与技术解读
等级保护建设思路探讨
信息安全等级保护制度
信息安全等级保护（以下简称等保）是指对国家秘密信息、
法人和其他组织及公民的专有信息以及公开信息和存储、传 输、处理这些信息的信息系统分等级实行安全保护，对信息 系统中使用的信息安全产品实行按等级管理，对信息系统中
发生的信息安全事件分等级响应、处置。
等保的5个监管等级
合法权益 对象 等级 社会秩序和 公共利益 国家安全 严重 损害 严重 损害 特别严 重损害 严重 损害 特别严 重损害
网络 网络、主机、应用 网络、主机、应用 网络、主机、应用 网络、主机、应用 网络、主机、应用 网络、数据 网络、主机、应用 物理
√
√
√ √
√
√ √ √
√
√ √ √ √ √
√
√
√ √ √ √ √ √
√ √ √ √
不同等级保护技术措施要求
不同等级保护技术措施要求
等级保护管理要求
安全管理制度
信息安全管理的前提
二级 系统 一级 系统
0 10 20 34 32
37 36
管理要求：
管理活动控制点的增加，每个 控制点具体管理要求的增多
40
28
20 30
管理活动的能力逐步加强，借
鉴能力成熟度模型（CMM）
管理要求条数
技术要求条数
等级保护技术要求归纳
13个核心技术要求
身份鉴别和自主访问 控制
强制访问控制 安全审计
目录
等级保护政策介绍和建设思路 等保建设方案统一规划 区域划分方法
分域设计方案
等保分步实施实践
分区分域方法
横向分区，纵向分域
按照等保要求，业务系统需要保持边界完整性，横向分区保持业务系统隔离
纵向根据业务系统的不同角色，划分为数据中心/广域网/局域网
虚拟分区，灵活节约
总体来看，各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度 以及在遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。
一级具有15个技术目标，16个管理目标； 二级具有29个技术目标，25个管理目标； 三级具有36个技术目标，27个管理目标； 四级具有41个技术目标，28个管理目标。
物 理 安 全
网 络 安 全
系 统 安 全
应 用 安 全
数 据 安 全
等保不同级别的保护能力的区别
各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度以及在
遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。 技术要求：
四级 系统
37 40
安全要求的增加
安全要求的增强
三级 系统
过程 方法
安全 控制 设计 安全 方案
流程 方法 安全 测评
监管 流程 监督 管理
应急 预案 运行 维护 暂不 考虑
确定 系统 等级
确定 安全 需求
安全 建设
启动
采购/开发
实施
运行/维护
废弃
等级保护建设的一般过程
定级
评估
整改
评测
监管
•确定系统 或者子系 统的安全 等级
•依据等级 要求，对 现有技术 和管理手 段的进行 评估，并 给出改进 建议
数 据 安 全
主 机 安 全
Baidu Nhomakorabea
网 络 安 全
物 理 安 全
分责运维
安全管理中心 应急联动 局域网加固 全网审计 广域网改造 数据中心安全
分步建设
关于统一规划三点建议
分区分域为基础
整个IT系统的安全基础在于信息资产的有序排列，排列方法即
根据业务对资产分区分域，并针对性地实施安全策略。
分模块设计，便于分步建设
SSL
局域网
局域网
IPSec
广域网
广域网
通过分区，各业务系统具有独立的IT环境 保持边界完整，满足业务之间隔离需求 每套业务系统具有独立资源，更好满足业务连续性要求 分区隔离的方法 网络改造进行物理隔离，例如涉密内网与其他业务系统 结合应用类型采用IPSec或者SSL实现业务系统虚拟划分
技术要求的变化包括：
安全要求的增加 安全要求的增强
管理要求的变化包括：
管理活动控制点的增加，每个控制点具体管理要求的增多 管理活动的能力逐步加强，借鉴能力成熟度模型（CMM）
等级保护定义的信息安全建设过程
等级保护工作对应完整的信息安全建设生命周期
定级 指南 等级 特殊 需求 需求 基本 要求 产品 使用 选 型 测评 准则 监督 管理 应急 响应
损害
一般 系统 重要 系统 极端重 要系统 一级
损害
损害
√
二级
三级
√
√
√ √
四级
五级
√
√
√
☆ 等保采用分系统定级的方法，当拥有多个信息系统时，需要分别进行定级，并 分别进行保护。
☆ 在五个监管等级中，三级与四级系统为监管的重点，也是建设的重点。
决定等级的主要因素分析
基于业务的重要性和依赖性分析关键要素，确定业务数据安全性和业务 处理连续性要求。 业务重要性
分域设计方案
等保分步实施实践
等保分域设计方案
数据中心对内服务域 网络与安全管理域 补丁与特征库 升级服务域 涉密内网办公域
GAP
NGAF SSL / NGAF / AD
数据中心核心交换域
网络核心 交换域
NGAF
非涉密内网办公域
NGAF NGAF
数据中心对外服务域
广域网域
第二级安全管理中心
第三级安全管理中心
第四级安全管理中心
第五级安全管理中心
定级系统互联
安全互联部件
跨定级系统安全管理中心
公安部《信息系统等级保护安全设计技术要求》 设计要求从安全威胁角度的划分，高度抽象了安全关注的场景。
等保模块化设计框架
安全 管理
数据 中心 基础 网络
安全监控 安全审计
应用 安全 系统 安全
信息安全等级保护建设
培训目的
了解等保政策与技术要求 我司产品如何与等保要求对应关系
目录
等级保护政策介绍和建设思路 等保建设方案统一规划 等保项目注意事项
目录
等级保护政策介绍和建设思路 等级保护政策介绍 等级保护政策解读
等级保护建设思路探讨
等保建设方案统一规划 等保项目注意事项
信息安全工作中，等保给予用户明确的目标，帮助用户更 清晰的认识安全薄弱环节。 没有100%的安全，适度安全的核心思想让用户达到投资/ 收益最佳比。
系统保护要求 四级 三级 二级 一级 安全基线 安全基线 安全基线 系统重要程度
等保基本保护要求框架
某级要求 技术要求 安 全 管 理 制 度 安 全 管 理 机 构 管理要求 人 员 安 全 管 理 系 统 建 设 管 理 系 统 运 维 管 理
涉及层面
网络、主机、应用
主机 网络、主机、应用
涉及1级 涉及2级 涉及3级 涉及4 系统 系统 系统 级系统
√ √ √
√ √ √
√
√ √
完整性和保密性保护
边界保护 资源控制 入侵防范和恶意代码 防范 可信路径设置 系统防渗透措施 安全管理平台设置 备份与恢复 密码技术应用 环境与设施安全
网络、应用、数据
等级保护建设思路探讨
等保建设方案统一规划 等保分步实施实践
建设思路：主动应对，借梯上楼
等保建设中常见的两种应对思路：借梯上楼是主动的改造思路。 对于大多数IT系统，建议采用“借梯上楼”的方法，优化IT架构，满足等保
方法： 以等保为契机，统一进行 安全规划和建设，加强整 个系统的信息安全 优点： 重整优化IT基础架构 有计划地满足等保 缺点： 改造工作资金投入较大 对象： 没有针对某安全体系标准 进行重整过的
在分区分域基础上，统一规划，同时针对每个区域模块化设 计，每区域可独立实施，方便后期分步建设。
注重技术支撑管理
规划方案中，管理的方便性做为统一规划的重点 “三分技术，七分管理”，通过技术手段，可以减少管理的 工作量，让管理制度更好的落地。
公安部《等级保护设计要求》
第一级系统 安全保护环境 第 一 级 安 全 计 算 环 境 第 一 级 安 全 区 域 边 界 第 一 级 安 全 通 信 网 络 第 二 级 安 全 计 算 环 境 第二级系统 安全保护环境 第 二 级 安 全 区 域 边 界 第 二 级 安 全 通 信 网 络 第 三 级 安 全 计 算 环 境 第三级系统 安全保护环境 第 三 级 安 全 区 域 边 / 界 第 三 级 安 全 通 信 网 络 第 四 级 安 全 计 算 环 境 第四级系统 安全保护环境 第 四 级 安 全 区 域 边 界 第 四 级 安 全 通 信 网 络 第 五 级 安 全 计 算 环 境 第五级系统 安全保护环境 第 五 级 安 全 区 域 边 界 第 五 级 安 全 通 信 网 络
管理建设
安全管理机构建设 安全管理制度完善 应急响应流程制定、演练 人员培训
重技术、轻管理，或者是重管理、轻技术都是不可取的
分责运维：技术支撑管理
技术体系
物理 安全
网络 安全
主机 安全
应用 安全
数据 安全
行为审计 安全监控 身份认证 权限控制 ...... 数据备份恢复
管 理 体 系
通过技术手段，减轻运维中的工作量和复杂度，让管理制度更好落地
业务依赖性
信息系统所属类型
业务数据类别 信息系统服务范围 业务处理的自动化程度
业务数据安全性
业务处理连续性
根据业务数据安全性和业务处理连续性要求确定安全保护等级。 业务数据安全性 信息系统安全保护等级 业务处理连续性
☆ 从等保的定级要求可以看出，等保关注的重点在于业务的可靠性和信息保密性。
不同级别之间保护能力的区别
局域网
终端
广域网
数据 中心
数据
按照业务访问流程，将整个网络划分为三个域：数据中心、广域
网、局域网
域之间进行严格的访问控制，针对攻击进行全面防范 域内包含多个业务的情况下，通过分区的方法进行隔离
分区：保持业务系统的独立性
业务 A
业务 B 业务 C
局域网
广域网
数据 中心 数据 中心 数据 中心
等保建设方案统一规划 等保分步实施实践
等保的地位和作用
是信息安全工作的基本制度；
是信息安全工作的基本国策；
是信息安全工作的基本方法；
是保护信息化、维护国家信息安全的根本保障， 是国家意志的体现；
是开展信息安全工作的抓手，也是灵魂。
——摘自公安部的领导讲话
等保核心思想：适度安全
安全管理机构
信息安全管理的基础
系统运维管理
信息安全管理的核心
安全管理
人员安全管理
信息安全管理的保障
系统建设管理
围绕安全建设的设计、 采购、实施，不断完善 信息安全
安全管理的目标是让管理制度切实落地，日常运维是最繁杂的工作。
目录
等级保护政策介绍和建设思路 等级保护政策介绍 等级保护政策解读
多业务系统共用一套物理网络，虚拟分区保障业务系统隔离的同时，节省投 资，在增加/变更业务系统时灵活方便
横向虚拟分区
一级 业务 二级 业务 三级 业务 三级 业务 四级 业务 四级 业务
纵 向 分 域
数据中 心域
广域网 安全域
局域网 安全域
分域：控制业务访问流程
终端认证 行为控制 行为审计 链路安全 攻击防范 广域网优化 权限控制 攻击防范 资源控制 数据备份