等保三级系统整改示例PPT课件

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,Click to edit Master title style,三级系统整改示例,世博前后的等保目标,杜绝由信息安全造成的群体事件,关键信息系统不能中断,防止办公系统信息泄露等负面事件,世博前后的等保对策,常态化,的信息安全保障，提高自身免疫能力,规定动作结合自选动作，全面进行,整改加固和应急演练,技术要在,服务,上深化，管理要在,细节,上落实,建立全市层面的专家团队及,技术保障队伍,等级保护世博信息安全保障,Before 2005,中华人民共和国计算机信息系统安全保护条例,（,1994,年 国务院,147,号令）,国家信息化领导小组关于加强信息安全保障工作的意见,（中办发,200327,号）,关于信息安全等级保护工作的,实施意见,（公通字,200466,号）,2007,信息安全等级保护,管理办法,（公通字,200743,号）,关于开展全国重要信息系统安全,等级保护定级工作,的通知,（公信安,2007861,号）,上海市：沪公发,2007319,号,上海市迎世博信息安全保障两年行动计划,2009,2009,年信息安全等级保护工作内容及具体要求,（公信安,2009232,号）,关于组织开展,2009,年度本市重要信息系统,等级保护工作,的通知,（沪公发,2009187,号）沪公发,2009173,号、沪密局,200939,号、。,等级保护政策推进过程,基础类,计算机信息系统安全保护,等级划分准则,GB 17859-1999,信息系统安全等级保护,实施指南,GB/T CCCC-CCCC,报批稿,应用类,定级：,信息系统安全保护,等级定级指南,GB/T 22240-2008,建设：,信息系统安全等级保护,基本要求,GB/T 22239-2008,信息系统通用安全技术要求,GB/T 20271-2006,信息系统等级保护安全设计技术要求,测评：,信息系统安全等级保护,测评要求, GB/T DDDD-DDDD,报批稿,信息系统安全等级保护测评过程指南,管理：,信息系统安全管理要求,GB/T 20269-2006,信息系统安全工程管理要求,GB/T 20282-2006,等级保护十大核心标准,等级保护完全实施过程,信息系统定级,安全总体规划,安全设计与实施,安全运行维护,信息系统终止,安全等级测评,信息系统备案,安全整改设计,等级符合性检查,应急预案及演练,安全要求整改,安全等级整改,局部调整,等级变更,能力、措施和要求,安全保护能力,基本安全要求,等保,3,级的信息系统,基本技术措施,基本管理措施,具备,包含,包含,满足,满足,实现,等级保护基本安全要求,某级系统,物理安全,技术要求,管理要求,基本要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,三级系统的控制类及控制项,指标类,技术,/,管理,层面,类数量,项数量,S,类,(3,级,),A,类,(3,级,),G,类,(3,级,),小计,小计,安全技术,物理安全,1,1,8,10,32,网络安全,1,0,6,7,33,主机安全,3,1,3,7,32,应用安全,5,2,2,9,31,数据安全,2,1,0,3,8,安全管理,安全管理制度,N/A,3,11,安全管理机构,5,20,人员安全管理,5,16,系统建设管理,11,45,系统运维管理,13,60,合,计,73,（类）,290,（项）,三级系统安全保护要求,物理安全,物理安全主要涉及的方面包括,环境,安全（防火、防水、防雷击等）,设备,和,介质,的防盗窃防破坏等方面。,物理安全具体包括：,10,个控制点,物理位置的选择（,G,）、 物理访问控制（,G,）、,防盗窃和防破坏（,G,）、 防雷击（,G),、,防火（,G,）、防水和防潮（,G,） 、防静电（,G,） 、温湿度控制（,G,）、电力供应（,A,）、,电磁防护（,S,）,物理位置的选择,基本防护能力,高层、地下室,物理访问控制,基本出入控制,分区域管理,在机房中的活动,电子门禁,防盗窃和防破坏,存放位置、标记标识,监控报警系统,防雷击,建筑防雷、机房接地,设备防雷,防火,灭火设备、自动报警,自动消防系统,区域隔离措施,防,静电,关键设备,主要设备,防静电地板,电力供应,稳定电压、短期供应,主要设备,冗余,/,并行线路,备用供电系统,电磁防护,线缆隔离,接地防干扰,电磁屏蔽,防水和防潮,温湿度控制,物理安全的整改要点,物理位置选择,物理访问控制,防盗窃和防破坏,防雷击、防火、防水和防潮、防静电、温湿度控制,电力供应,电磁防护,不做硬性要求,三级系统安全保护要求,网络安全,网络安全主要关注的方面包括：,网络结构、网络边界以及网络设备,自身安全等。,网络安全具体包括：,7,个控制点,结构安全,(G),、访问控制,(G),、安全审计,(G),、,边界完整性检查,(A),、入侵防范,(G),、,恶意代码防范,(G),、网络设备防护,(G),结构安全,关键设备冗余空间,主要设备冗余空间,访问控制,访问控制设备（用户、网段）,应用层协议过滤,拨号访问限制,会话终止,安全审计,日志记录,审计报表,边界完整性检查,内部的非法联出,非授权设备私自外联,网络安全的整改要点,子网,/,网段控制,核心网络带宽,整体网络带宽,重要网段部署,路由控制,带宽分配优先级,端口控制,最大流量数及最大连接数,防止地址欺骗,审计记录的保护,定位及阻断,入侵防范,检测常见攻击,记录、报警,恶意代码防范,网络边界处防范,网络设备防护,基本的登录鉴别,组合鉴别技术,特权用户的权限分离,结构安全,访问控制,安全审计,增加违规外联检测阻断产品,边界完整性检查,入侵防范,增加网关型防毒墙产品,恶意代码防范,网络设备特别配置服务,网络设备防护,增加网络安全审计产品,三级系统安全保护要求,主机安全,主机系统安全是包括,服务器、终端,/,工作站,等在内的计算机设备在,操作系统及数据库系统,层面的安全。,主机安全具体包括：,7,个控制点,身份鉴别,(S),、访问控制,(S),、安全审计,(G),、,剩余信息保护,(S),、入侵防范,(G),、,恶意代码防范,(G),、资源控制,(A),身份鉴别,基本的身份鉴别,访问控制,安全策略,管理用户的权限分离,特权用户的权限分离,安全审计,服务器基本运行情况审计,审计报表,剩余信息保护,空间释放及信息清除,主机安全的整改要点,组合鉴别技术,敏感标记的设置及操作,审计记录的保护,入侵防范,最小安装原则,重要服务器：检测、记录、报警,恶意代码防范,主机与网络的防范产品不同,资源控制,监视重要服务器,最小服务水平的检测及报警,重要客户端的审计,升级服务器,重要程序完整性,防恶意代码软件、代码库统一管理,对用户会话数及终端登录的限制,身份鉴别,访问控制,安全审计,增加身份认证系统,剩余信息保护,入侵防范,访问控制策略配置服务,比较超前较难实现,主机入侵防范策略配置服务,恶意代码防范,资源控制,网管软件和主机配置服务,三级系统安全保护要求,应用安全,应用系统的安全就是保护系统的各种,应用程序,安全运行。包括,基本应用,，如：消息发送、,web,浏览等；,业务应用,，如：电子商务、电子政务等。,应用安全具体包括：,9,个控制点,身份鉴别（,S,）、访问控制（,S,）、安全审计 （,G,）、剩余信息保护（,S,）、通信完整性（,S,）、,通信保密性（,S,）、抗抵赖（,G,）、软件容错（,A,）、资源控制（,A,）,身份鉴别,基本的身份鉴别,访问控制,安全策略,最小授权原则,安全审计,运行情况审计（用户级）,审计报表,剩余信息保护,空间释放及信息清除,应用安全的整改要点,组合鉴别技术,敏感标记的设置及操作,审计过程的保护,通信完整性,校验码技术,密码技术,软件容错,自动保护功能,资源控制,资源分配限制、资源分配优先级,最小服务水平的检测及报警,数据有效性检验、部分运行保护,对用户会话数及 系统最大并发会话数的限制,审计记录的保护,通信保密性,初始化验证,整个报文及会话过程加密,敏感信息加密,抗抵赖,身份鉴别,访问控制,安全审计,应用软件本身配置或升级,剩余信息保护,通信完整性,访问控制策略配置服务,通信保密性,抗抵赖,软件容错,资源控制,系统审计配置服务,比较超前较难实现,增加通讯加密手段,建立统一的,CA,中心,比较超前较难实现,可通过配置服务达到部分要求,三级系统安全保护要求,数据安全与备份恢复,数据安全主要是保护,用户数据、系统数据、业务数据,的保护。将对数据造成的损害降至最小。,备份恢复也是防止数据被破坏后无法恢复的重要手段，主要包括,数据备份、硬件冗余和异地实时备份,。,数据安全和备份恢复具体包括：,3,个控制点,数据完整性（,S,）、数据保密性（,S,）、,备份和恢复（,A,）,数据完整性,鉴别数据传输的完整性,备份和恢复,重要数据的备份,数据安全及备份恢复的整改要点,各类数据传输及存储,异地备份,网络冗余、硬件冗余,本地完全备份,硬件冗余,检测和恢复,数据保密性,鉴别数据存储的保密性,各类数据的传输及存储,每天,1,次,备份介质场外存放,数据完整性,数据保密性,备份与恢复,建立统一的,CA,中心,增加通讯加密手段,仅世博相关单位,管理要求方面的整改,24,管理制度,管理机构,人员管理,系统建设管理,系统运维管理,环境管理、,资产管理、,介质管理、,设备管理、,监控管理和安全管理中心、,网络安全管理、,系统安全管理、,恶意代码防范管理、,密码管理、,变更管理、,备份与恢复管理、,安全事件处置、,应急预案管理,信息,系统,三级系统安全保护要求,安全管理制度,安全管理制度包括信息安全工作的,总体方针、策略、规范,各种安全管理活动的,管理制度,以及管理人员或操作人员日常操作的,操作规程,。,安全管理制度具体包括：,3,个控制点,管理制度、制定和发布、评审和修订,整改要点：,形成信息安全管理制度体系、,统一发布、定期修订等,三级系统安全保护要求,安全管理机构,安全管理机构主要是在单位的内部结构上建立一整套从单位,最高管理层,（董事会）到,执行管理层,以及,业务运营层,的管理结构来约束和保证各项安全管理措施的执行。,安全管理机构具体包括：,5,个控制点,岗位设置、人员配备、授权和审批、,沟通和合作、审核和检查,整改要点：,信息安全领导小组与职能部门、专职安全员、定期全面安全检查、定期协调会议、外部沟通与合作等,三级系统安全保护要求,人员安全管理,对人员安全的管理，主要涉及两方面： 对,内部人员,的安全管理和对,外部人员,的安全管理。,人员安全管理具体包括：,5,个控制点,人员录用、人员离岗、人员考核、,安全意识教育及培训、外部人员访问管理,整改要点：,全员保密协议、关键岗位人员管理、针对不同岗位的培训计划、外部人员访问管理,三级系统安全保护要求,系统建设管理,系统建设管理分别从,定级、设计建设实施、验收交付、测评,等方面考虑，关注各项安全管理活动。,系统建设管理具体包括：,11,个控制点,系统定级、安全方案设计、产品采购和使用、,自行软件开发、外包软件开发、工程实施、,测试验收、系统交付、系统备案、等级测评、,安全服务商选择,整改要点：,系统定级的论证、总体规划、产品选型测试、开发过程的人员控制、工程实施制度化、第三方委托测试、运行起,30,天内备案、每年进行,1,次等级测评、安全服务商的选择,三级系统安全保护要求,系统运维管理,系统运维管理涉及,日常管理、变更管理、制度化管理、安全事件处置、应急预案管理和安管中心,等。,系统运维管理具体包括：,13,个控制点,环境管理、资产管理、介质管理、设备管理、,监控管理和安全管理中心、网络安全管理、,系统安全管理、恶意代码防范管理、密码管理、,变更管理、备份与恢复管理、安全事件处置、,应急预案管理,整改要点：,办公环境保密性、资产的标识和分类管理、介质,/,设备,/,系统,/,网络,/,密码,/,备份与恢复的制度化管理、建立安全管理中心、安全事件分类分级响应、 应急预案的演练和审查,