信息系统安全规划建议书

信息系统安全规划建议书

信息系统安全规划建议书

信息系统安全规划建议书

文档控制

一 文档信息

文档名称 保密级别 文档管理编号 制作人 复审人 扩散范围

×××信息系统安全规划建议书 秘密 ××项目相关人员 项目编号 管理人 制作日期 复审日期 2006.3.23 2006.3.31 二版本控制

版本 提交日期 修改者 版本描述 V1.0

2006.3.31 初稿 三 分发说明

鉴于本文档介绍了＃＃＃实施信息系统安全规划及其他安全服务的主要思

路和方法，为保障＃＃＃的利益，建议×××采取可信的渠道分发本文档，要求如下：

? 由负责信息安全的专职机构统一规定可获取本文档的授权人员。未经专

职机构允许，授权人员不得将本文档（包括复制件）传递给他人。 ? 专职机构应规定获取本文档的途径，包括以纸面文本形式下发，以电子

版方式分发，以电子邮件的方式传递等。对各种分发途径应采取密封或者加密的保密方式。

? 专职机构应及时将本文档的版本变更情况通知给授权人员。对变更内容

的分发也应遵循以上所有要求。

信息系统安全规划建议书

目录

一 文档信息 ........................................................................................................................................ 2 二版本控制 .......................................................................................................................................... 2 三 分发说明 ........................................................................................................................................ 2 1 前言 .............................................................................................................................................. 10 1.1 1.2 2 背景介绍 ............................................................................................................................ 10 目标和范围 ....................................................................................................................... 10

安全现状和需求分析 ............................................................................................................ 14 2.1 安全现状 ............................................................................................................................ 14 2.1.1 ×××信息系统安全构成要素 .................................................................................. 14 2.2 ××信息系统面临的威胁 ............................................................................................... 17 2.2.1 威胁的来源 ............................................................................................................... 18 2.2.2 威胁的方法 ............................................................................................................... 19 2.3 ××系统信息安全风险分析 .......................................................................................... 21 2.3.1 物理层面的安全风险 ............................................................................................ 21 2.3.2 网络层面的安全风险 ............................................................................................ 22 2.3.3 系统层面的安全风险 ............................................................................................ 24 2.3.4 应用层面的安全风险 ............................................................................................ 26 2.3.5 管理层面的安全风险 ............................................................................................ 28 2.4 安全体系需求分析 ......................................................................................................... 30 2.4.1 建设安全基础设施的需求 .................................................................................. 30 2.4.2 信息和网络安全级别划分的需求 .................................................................... 30 2.4.3 信息安全策略需求 ................................................................................................. 30 2.4.4 安全组织保障需求 ................................................................................................. 31 2.4.5 信息安全管理需求 ................................................................................................. 32 2.4.6 信息安全标准与规范需求 .................................................................................. 32 2.4.7 物理安全需求 .......................................................................................................... 33 2.4.8 网络安全需求 .......................................................................................................... 34 2.4.9 系统安全需求 .......................................................................................................... 35 2.4.10 数据库系统安全需求 ............................................................................................ 36 2.4.11 应用安全需求 .......................................................................................................... 38 2.4.12 运行安全需求 .......................................................................................................... 38

3 安全设计的依据 ...................................................................................................................... 41 3.1 依据的标准和规范 ......................................................................................................... 41 3.2 依据《计算机信息系统安全保护等级划分准则》 ........................................... 43 3.3 参照《国家27号文件精神》 .................................................................................... 43 3.4 参照《信息保障技术框架》 ...................................................................................... 44 3.4.1 安全方法论模型...................................................................................................... 44

信息系统安全规划建议书

3.4.2 4 逻辑结构模型 .......................................................................................................... 44

安全规划思路和体系结构 ................................................................................................... 45 4.1 规划原则和目标 .............................................................................................................. 45 4.1.1 安全设计原则 .......................................................................................................... 45 4.1.2 安全设计目标 .......................................................................................................... 46 4.1.3 安全设计策略 .......................................................................................................... 46 4.2 规划思路 ............................................................................................................................ 48 4.3 安全总体体系结构 ......................................................................................................... 52 4.3.1 信息安全总体体系 ................................................................................................. 52 4.3.2 安全模型的分层安全保护 .................................................................................. 53 4.3.3 安全机制和服务...................................................................................................... 55 4.3.4 安全管理 .................................................................................................................... 56 4.4 安全等级保护的要求 .................................................................................................... 59 4.5 安全等级管理要求 ......................................................................................................... 59 4.5.1 第一级 一般管理要求 .......................................................................................... 59 4.5.2 第二级 重要管理要求 .......................................................................................... 60 4.5.3 第三级 关键管理要求 .......................................................................................... 65 4.6 等级安全域的设计 ......................................................................................................... 68 4.6.1 安全域的概念 .......................................................................................................... 68 4.6.2 安全域设计的原则 ................................................................................................. 68 4.6.3 安全域的设计 .......................................................................................................... 69 4.7 ×××信息资产的分级和分类 ................................................................................. 70 4.7.1 应用系统业务安全级别划分 .............................................................................. 71 4.7.2 信息和数据安全级别划分 .................................................................................. 71 4.7.3 服务器安全级别划分 ............................................................................................ 72 4.7.4 操作系统安全级别划分 ....................................................................................... 72 4.7.5 数据库管理系统安全级别划分 ......................................................................... 73 4.7.6 网络节点安全级别划分 ....................................................................................... 73 4.7.7 机房安全级别划分 ................................................................................................. 74 4.7.8 介质安全级别划分 ................................................................................................. 74 4.7.9 安全设施的安全级别 ............................................................................................ 75

5 信息系统安全管理体系 ........................................................................................................ 76 5.1 概述 ...................................................................................................................................... 76 5.2 安全组织管理 ................................................................................................................... 78 5.2.1 安全组织体系 .......................................................................................................... 79 5.2.2 人员安全管理 .......................................................................................................... 82 5.3 安全管理策略 ................................................................................................................... 86 5.3.1 安全策略规划 .......................................................................................................... 86 5.3.2 物理环境和设备安全 ............................................................................................ 90 5.3.3 运行及维护安全...................................................................................................... 98 5.3.4 业务应用安全 ........................................................................................................ 106 5.3.5 系统规划与开发安全 .......................................................................................... 109 5.3.6 信息安全应急管理 ............................................................................................... 114

信息系统安全规划建议书

5.4 系统安全运作管理 ....................................................................................................... 117 5.4.1 系统安全生命周期 ............................................................................................... 117 5.4.2 系统安全风险评估 ............................................................................................... 118 5.4.3 系统的安全规划和验证 ..................................................................................... 118 5.4.4 日常运维和操作.................................................................................................... 118 5.4.5 安全集中管理 ........................................................................................................ 120 5.5 安全管理规章制度完善 .............................................................................................. 122 5.5.1 安全管理制度范围 ............................................................................................... 122 5.5.2 安全管理规章制度的制定和评审 .................................................................. 125 5.5.3 安全管理规章制度的实施和监督 .................................................................. 126 5.5.4 安全管理规章制度要点 ..................................................................................... 128 5.6 安全体系建设管理保障 .............................................................................................. 131 5.6.1 领导重视 .................................................................................................................. 131 5.6.2 规范管理 .................................................................................................................. 131 5.6.3 信息安全保障组织体系 ..................................................................................... 132 5.6.4 信息安全队伍的建设 .......................................................................................... 132 5.6.5 资金保证 .................................................................................................................. 132 6 网络与系统安全体系 .......................................................................................................... 133 6.1 目标 .................................................................................................................................... 133 6.2 原则 .................................................................................................................................... 133 6.3 总体架构 .......................................................................................................................... 133 6.4 边界确认和安全域划分 .............................................................................................. 133 6.5 骨干网安全 ..................................................................................................................... 134 6.5.1 骨干网传输安全.................................................................................................... 134 6.5.2 流量与带宽控制.................................................................................................... 135 6.5.3 改善措施 .................................................................................................................. 135 6.6 边界防护 .......................................................................................................................... 135 6.6.1 对外信息发布系统的防护 ................................................................................ 135 6.6.2 下属省局接入控制 ............................................................................................... 137 6.6.3 第三方网络接入控制 .......................................................................................... 139 6.6.4 业务系统的防护.................................................................................................... 141 6.7 计算环境安全 ................................................................................................................. 143 6.7.1 主机和数据库安全 ............................................................................................... 143 6.7.2 网络设备安全 ........................................................................................................ 145 6.7.3 安全管理平台 ........................................................................................................ 147 6.7.4 用户环境安全 ........................................................................................................ 148 6.8 备份系统 .......................................................................................................................... 152 6.8.1 线路备份 .................................................................................................................. 152 6.8.2 设备备份 .................................................................................................................. 152 6.8.3 系统备份 .................................................................................................................. 152 6.8.4 应用数据的备份方案 .......................................................................................... 152 6.9 数据容灾备份 ................................................................................................................. 154 6.9.1 灾难备份和灾难恢复中心建设需求 ............................................................. 155

百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说综合文库信息系统安全规划建议书在线全文阅读。