等级保护三级建设方案讲课讲稿Word格式.docx
- 文档编号:13684863
- 上传时间:2022-10-12
- 格式:DOCX
- 页数:26
- 大小:152.43KB
等级保护三级建设方案讲课讲稿Word格式.docx
《等级保护三级建设方案讲课讲稿Word格式.docx》由会员分享,可在线阅读,更多相关《等级保护三级建设方案讲课讲稿Word格式.docx(26页珍藏版)》请在冰豆网上搜索。
整个安全保障体系各部分既有机结合,又相互支撑。
之间的关系可以理解为“构建安全管理机构,制定完善的安全管理制度及安全策略,由相关人员,利用技术工手段及相关工具,进行系统建设和运行维护。
”
根据等级化安全保障体系的设计思路,等级保护的设计与实施通过以下步骤进行:
1.系统识别与定级:
确定保护对象,通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。
通过此步骤充分了解系统状况,包括系统业务流程和功能模块,以及确定系统的等级,为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。
2.安全域设计:
根据第一步的结果,通过分析系统业务流程、功能模块,根据安全域划分原则设计系统安全域架构。
通过安全域设计将系统分解为多个层次,为下一步安全保障体系框架设计提供基础框架。
3.确定安全域安全要求:
参照国家相关等级保护安全要求,设计不同安全域的安全要求。
通过安全域适用安全等级选择方法确定系统各区域等级,明确各安全域所需采用的安全指标。
4.评估现状:
根据各等级的安全要求确定各等级的评估内容,根据国家相关风险评估方法,对系统各层次安全域进行有针对性的等级风险评估。
并找出系统安全现状与等级要求的差距,形成完整准确的按需防御的安全需求。
通过等级风险评估,可以明确各层次安全域相应等级的安全差距,为下一步安全技术解决方案设计和安全管理建设提供依据。
5.安全保障体系方案设计:
根据安全域框架,设计系统各个层次的安全保障体系框架以及具体方案。
包括:
各层次的安全保障体系框架形成系统整体的安全保障体系框架;
详细安全技术设计、安全管理设计。
6.安全建设:
根据方案设计内容逐步进行安全建设,满足方案设计做要符合的安全需求,满足等级保护相应等级的基本要求,实现按需防御。
7.持续安全运维:
通过安全预警、安全监控、安全加固、安全审计、应急响应等,从事前、事中、事后三个方面进行安全运行维护,确保系统的持续安全,满足持续性按需防御的安全需求。
通过如上步骤,系统可以形成整体的等级化的安全保障体系,同时根据安全术建设和安全管理建设,保障系统整体的安全。
而应该特别注意的是:
等级保护不是一个项目,它应该是一个不断循环的过程,所以通过整个安全项目、安全服务的实施,来保证用户等级保护的建设能够持续的运行,能够使整个系统随着环境的变化达到持续的安全。
3方案参照标准
●GB/T21052-2007信息安全等级保护信息系统物理安全技术要求
●信息安全技术信息系统安全等级保护基本要求
●信息安全技术信息系统安全保护等级定级指南(报批中)
●信息安全技术信息安全等级保护实施指南(报批中)
●信息安全技术信息系统安全等级保护测评指南
●GB/T20271-2006信息安全技术信息系统通用安全技术要求
●GB/T20270-2006信息安全技术网络基础安全技术要求
●GB/T20984-2007信息安全技术信息安全风险评估规范
●GB/T20269-2006信息安全技术信息系统安全管理要求
●GB/T20281-2006信息安全技术防火墙技术要求与测试评价方法
●GB/T20275-2006信息安全技术入侵检测系统技术要求和测试评价方法
●GB/T20278-2006信息安全技术网络脆弱性扫描产品技术要求
●GB/T20277-2006信息安全技术网络脆弱性扫描产品测试评价方法
●GB/T20279-2006信息安全技术网络端设备隔离部件技术要求
●GB/T20280-2006信息安全技术网络端设备隔离部件测试评价方法
等。
4信息系统定级备案
4.1信息系统定级
确定信息系统安全保护等级的一般流程如下:
●识别单位基本信息
了解单位基本信息有助于判断单位的职能特点,单位所在行业及单位在行业所处的地位和所用,由此判断单位主要信息系统的宏观定位。
●识别业务种类、流程和服务
应重点了解定级对象信息系统中不同业务系统提供的服务在影响履行单位职能方面具体方式和程度,影响的区域范围、用户人数、业务量的具体数据以及对本单位以外机构或个人的影响等方面。
这些具体数据即可以为主管部门制定定级指导意见提供参照,也可以作为主管部门审批定级结果的重要依据。
●识别信息
调查了解定级对象信息系统所处理的信息,了解单位对信息的三个安全属性的需求,了解不同业务数据在其保密性、完整性和可用性被破坏后在单位职能、单位资金、单位信誉、人身安全等方面可能对国家、社会、本单位造成的影响,对影响程度的描述应尽可能量化。
●识别网络结构和边界
调查了解定级对象信息系统所在单位的整体网络状况、安全防护和外部连接情况,目的是了解信息系统所处的单位内部网络环境和外部环境特点,以及该信息系统的网络安全保护与单位内部网络环境的安全保护的关系。
识别主要的软硬件设备
●调查了解与定级对象信息系统相关的服务器、网络、终端、存储设备以及安全设备等,设备所在网段,在系统中的功能和作用。
调查设备的位置和作用主要就是发现不同信息系统在设备使用方面的共用程度。
●识别用户类型和分布
调查了解各系统的管理用户和一般用户,内部用户和外部用户,本地用户和远程用户等类型,了解用户或用户群的数量分布,判断系统服务中断或系统信息被破坏可能影响的范围和程度。
●根据信息安全等级矩阵表,形成定级结果
业务信息安全等级矩阵表
业务信息安全被破坏时所侵害的客体
对相应客体的侵害程度
一般损害
严重损害
特别严重损害
公民、法人和其他组织的合法权益
第一级
第二级
社会秩序、公共利益
第三级
第四级
国家安全
第五级
系统服务安全等级矩阵表
系统服务安全被破坏时所侵害的客体
根据上述定级流程,朔州市交警队各主要系统定级结果为:
3级
4.1.1定级结果
序号
系统名称
保护等级
1.
执行查看系统
3
2.
数字法院系统
4.2信息系统备案
依据《信息系统安全等级保护定级指南》,确定信息系统的等级后,准备定级备案表和定级报告,协助用户单位向所在地区的公安机关办理备案手续。
第二级以上信息系统,在安全保护等级确定后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
运营使用单位或主管部门在备案时应填写《信息系统安全等级保护备案表》(以下简称《备案表》)提交有关备案材料及电子数据文件。
定级工作的结果是以备案完成为标志。
受理备案的公安机关要公布备案受理地点、备案联系方式等。
在受理备案时,应对提交的备案材料进行完整性审核和定级准确性审核。
对符合等级保护要求的,应颁发信息系统安全等级保护备案证明。
发现定级不准的,通知备案单位重新审核确定。
5系统安全需求分析
信息安全是指信息网络的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,信息服务不中断,信息安全包括了保密性、完整性、可用性等特性,本方案将朔州市交警队公共服务平台从信息安全方面展开需求分析,使系统达到:
在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难,以及其他相当危害程度的威胁所造成的主要资源损害,能够发现安全漏洞和安全事件,在系统遭受损害后,能够较快恢复绝大部分功能。
随着信息化建设的不断推进,网络安全成为业务开展过程最重要的一环,对安全的特殊需求实际上就是要合理地解决网络开放性与安全性之间的矛盾。
在确保单位信息畅通的基础上,有效阻止非法访问和攻击对系统的破坏。
安全风险特征主要取决于两个方面:
一是其资产价值,二是其运行环境。
安全风险主要来自网络、主机、应用和数据四个方面,从朔州市交警队当前网络整体安全角度出发,需要重点关注如下几个方面的安全建设:
◆终端感染木马、病毒
病毒、木马、蠕虫仍是局外网面临的最为迫切的安全防护需求,病毒木马蠕虫对终端的危害可能导致终端系统瘫痪、终端被控制、终端存储的信息被窃取、终端被引导访问钓鱼网站、终端成为僵尸网络甚至于终端被控制之后形成跳板攻击危害到终端具有权限访问的各类服务器。
◆终端系统漏洞
终端感染病毒、木马、蠕虫等威胁是终端面临的主要威胁之一。
而终端系统层面的漏洞被利用,会导致终端更严重的风险,比如终端被控制成为黑客攻击的跳板,或者终端成为僵尸网络的一部分,随时有可能发起针对内网的攻击。
◆APT攻击不断渗透
随着“火焰”蠕虫的爆发,高级持续性威胁(APT攻击)受到业内的关注。
APT被称为高级持续性威胁,它是对特定目标进行长期、持续性网络入侵的攻击形式。
在发动攻击之前,黑客会对攻击对象的业务流程和目标系统进行精确的情报收集,主动挖掘被攻击对象各种业务系统和应用程序的漏洞,并利用这些漏洞进入单位网络内部窃取所需的信息、产生特定的破坏。
互联网出口往往是APT攻击切入的第一扇门,他们往往容易被黑客渗透之后对内网发起横向转移的攻击导致敏感信息被窃取、系统被控制所有行为都暴露在黑客的视野里。
◆系统漏洞风险问题
黑客利用服务器操作系统漏洞、应用软件漏洞通过缓冲区溢出、恶意蠕虫、病毒等漏洞攻击,获取服务器权限、使服务器瘫痪导致服务器、存储等资源被攻击的问题。
◆应用层攻击问题
根据Gartner的统计报告显示,信息安全攻击有75%都是发生在Web应用层,针对web的攻击往往隐藏在大量的正常业务访问的行为中,传统的安全设备在应用层攻击防护上存在严重不足。
◆敏感信息泄漏问题
这类安全问题主要利用web攻击、系统漏洞攻击等攻击手段操作后台数据库,导致数据库中储存的用户资料、身份证信息、账户信息、信用卡信息、联系方式等敏感信息被攻击者获取,从而产生巨大的经济损失。
◆带宽效率风险
随着互联网的普及,朔州市交警队的业务大多依托于互联网开展。
但是在单
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 三级 建设 方案 讲课 讲稿