信息安全审计系统项目可研0118.docx
- 文档编号:9151587
- 上传时间:2023-02-03
- 格式:DOCX
- 页数:12
- 大小:248.04KB
信息安全审计系统项目可研0118.docx
《信息安全审计系统项目可研0118.docx》由会员分享,可在线阅读,更多相关《信息安全审计系统项目可研0118.docx(12页珍藏版)》请在冰豆网上搜索。
信息安全审计系统项目可研0118
信息安全审计系统项目立项可研报告
XX公司信息通信分公司
1概述
1.1项目背景
XX公司在《贵网十一五信息发展规划》的指导下,遵循“统一领导、统一规划、统一标准、统一组织开发”四统一原则,已经建设18个信息系统,涵盖生产、营销等八大类系统,覆盖了23家公司属供电局和综合单位,有力地支撑了企业的生产、经营、服务及管理过程。
同时,也初步形成了管理制度加技术手段配套的信息安全保障体系。
但伴随着信息系统的增加,安全技术措施的增强,安全产品的不断增多,内外部审计和监管的加强,安全管理的难度与复杂度显著增加。
1.2可研依据
《XX公司信息安全咨询规划》
《电力二次系统安全防护方案》(电监会5号令)
《XX公司信息安全保障体系》
《中央企业信息化水平评价暂行办法》
《XX公司“十二五”信息化规划》
《信息安全等级保护管理办法》
“基于ISO27001国际标准的XX公司信息安全管理体系应用研究”项目研究成果
ISO27001、ISO27002等安全管理标准和实践
1.3目标
项目的长期目标是建设一个集事先管理、事中监控和事后追溯和应急为一体的安全管理平台,该平台作为IT集中运维监控平台的四大子平台之一,能够满足公司的安全管理、安全监控、安全运维、内外部合规以及国际安全标准的审核等要求,实现主动的安全防御、实时的安全监控和事后的安全审计,逐步实现安全工作可视化、可量化和统一事件管理。
本期的项目目标对安全系统、网络和主机设备的日志信息(采集范围为全省安全系统设备;省综合数据网骨干网络设备和本部及地区供电局局域网核心、汇聚设备;省公司本部机房主机、数据库、中间件等设备)进行采集、范式化、归并、安全传输、存储和关联分析,实现安全事件的集中监测与违规行为的集中审计。
信息安全审计系统作为IT集中运维监控子模块在后台进行统一安全事件管理和集中审计,并通过已建成的IT集中运维监控系统统一展现模块集中展现。
主要目标具体体现如下:
(1)建立集中的信息安全审计系统,落地XX公司信息安全架构模型五个安全域(身份与信任管理、访问控制、信息流控制、完整性控制、安全审计管理)中安全审计管理的具体功能服务组件,对全省集中的业务系统、网络设备、安全设备的操作进行审计,及时发现违规操作,为后续的纠正与预防措施的实施提供参考依据,有力支撑安全技术架构的完善及优化。
(2)建立集中的信息安全事件监测系统,对安全系统产生的IT安全事件进行采集、关联分析和实时预警,保证安全事件的可追溯和及时响应。
(3)针对信息防范重点,设计有针对性的UseCase,通过自动化手段,深度分析信息安全事件和操作日志,为决策层和管理层提供有效安全分析报表,为IT集中运维监控平台提供有力支撑。
1.4项目范围
XX公司本部及所属地区供电局
2现状及业务需求分析
2.1现状分析
随着企业信息化快速发展,为实现主动和深度的安全保障,XX公司部署了一系列安全产品,如防火墙、IDS、防病毒、上网行为审计、操作审计等多种技术手段,各系统从不同角度产生大量的安全信息,技术人员很难有足够的时间与手段从海量信息中发现真正的安全事件。
另一方面安全威胁在快速变化,内外部合规监管日趋频繁与严格,而公司又没有足够的技术人员来应对这方面的需求。
总体来看存在自动化不高、集中度和关联度不够而导致的信息安全防护与审计机制不能最大化的发挥效力,管理和运维效率不高、效果不好的问题。
2.2需求分析
针对XX公司现状,存在以下需求:
(1)改善安全管理效果、提升运维效率的要求
安全审计平台通过自动化的方式发现安全问题、满足审计要求、自动判别分析安全事件,可以极大的改善安全管理效果、提升运维效率。
(2)最大化的发挥安全机制效力的要求
安全审计平台通过日志过滤、标准化和关联分析,能够解决事件窗口众多、格式迥异、缺乏关联的问题,从海量的信息发现真正的问题,促进各安全机制的协同工作。
(3)集中系统有助于对公司的安全状况进行全面了解,及时响应
目前孤立的技术系统无法呈现出整体的安全状况,对于事件的检测和报告还仅局限于单个的安全事件本身,而不是整合成为整体威胁的剖面视图,导致安全管理人员对于企业的整体安全状况缺乏及时全面把握。
(4)推进安全管理工作的可视化和可量化的要求
XX公司的安全管理工作将逐渐向可视化和可量化的方向发展,而该平台的建设是一个基础。
3项目可行性、必要性分析
3.1项目必要性
(1)解决安全管理效果问题
全省防火墙、IPS、防病毒、上网行为审计、网页防篡改系统等产生大量信息,安全管理员无法阅读和追踪隐藏在海量信息中的真正的安全威胁。
(2)解决安全运维效率问题
不同设备、系统、数据库产生的信息格式各自不同,目前这些系统的管理和监控都自成体系,缺乏有效工具将混乱的信息统一格式、关联分析,比如单个防火墙、单个IPS的报警,不能说明系统是否遭受攻击,攻击的程度和影响到底如何,采用关联分析之后,通过多个数据源的数据挖掘和分析,将提高报警的准确性和提高处理问题的效率。
(3)解决主管部门和监管要求
国家等级保护、电监会、国资委等监管和主管部门也要求公司要有集中的安全管控与审计系统,对安全信息的集中收集、存储、关联分析,实现统一的安全事件的异常操作识别、非授权访问、黑客入侵判断等现象,发现安全隐患,并给予告警,可以为网络、系统与应用安全管理人员及高层管理人员提供一个监督、检查当前信息系统运行状况的有效手段。
3.2项目可行性
(1)在系统建设方面,电力行业内外许多同类系统已经实施完成和正在实施,本项目可从中借鉴已有的成功经验,汲取失败的教训,这将使项目少走弯路。
另外,本系统已经过部分的用例场景分析和论证,对于本项目的成功实施,奠定了良好基础;
(2)在支撑团队方面,经过多年安全咨询和系统集成项目建设和洗礼,一方面XX公司锻炼了一支精通业务、熟悉安全、集成、掌握技术规划、管理和维护人才;另一方面业界在同类系统的建设中也存在一批拥有成熟的方法论和良好落地能力的供应商,在需求分析、概要设计、详细设计、定制开发、系统的部署与运维等方面有丰富的经验,这将保证本项目工程建设的顺利进行的重要条件;
4技术方案
4.1建设模式分析
因本项目关联的安全运维系统为大集中建设,能为本项目建设系统的数据采集、分析提供稳定可靠的支撑,项目拟采用大集中方式建设。
4.2系统总体架构
该平台总体架构是三层分布式结构,主要由事件收集引擎、关联分析引擎和事件数据库、安全审计portal组成。
事件收集引擎:
负责收集和处理来自于多种厂商的设备的数据,设备包括:
路由器、防火墙、防病毒、入侵检测系统、电子邮件日志、访问控制、VPN、端点准入和域管理、防DoS攻击设备、操作系统日志等等。
事件收集引擎通过SNMP、Syslog、文件、API(比如OPSEC)或直接连接设备的数据库等多种方式收集数据。
关联分析引擎:
负责实现管理、关联分析、过滤和处理企业中所有发生的安全事件,它位于整体解决方案的中央,作为控制台、事件数据库和事件收集引擎之间的连接。
关联分析引擎负责从事件收集引擎收集并根据关联策略实时处理安全事件,然后这些数据被送到其余组件,比如控制台,并以一种标准化的格式存储在数据库中。
事件数据库:
集中存储所有收集的事件,以及所有安全管理配置信息,比如系统用户、组、许可、定义的规则、域、资产、报告、显示和参数选择等。
安全审计portal:
配置系统、展示企业安全状况,提供知识库管理、安全策略管理、安全预警管理,提供GUI和Web两种控制台。
它提供集中实时查看XX公司信息安全事件、审计报告、深入调查分析以及对事件的及时响应的能力。
4.3系统技术架构
系统的技术架构如下:
4.4系统功能架构
5实施方案
5.1项目实施建议
项目建设的主要阶段包括需求调研、设计、实施和运维4个部分:
5.2相关配套建设
本系统建设新增的设备将安装于XX公司省公司信息机房,根据目前机房的负荷情况机房配置电源和传输设备可满足本期工程建设的需求。
6投资分析
项目总费用
828
828
预算支出科目
金额(万元)
计算根据及理由
项目费用
硬件设备费用
200
2台数据库小型机、8台应用服务器、磁盘阵列存储10T
系统软件费用
270
4cpu数据库4×25=100万
审计平台软件:
1、日志与事件采集部件20万
2、日志与事件范式化、过滤处理部件20万
3、日志与事件关联分析部件20万
4、日志与事件配置与管理控制台部件20万
5、日志与系统展现WEB部件10万
6、系统license0.2×400=80万
项目开发费用
240
1、定制安全事件监控UseCase2×20=40万
2、定制信息过滤分析规则20万
3、定制审计关联分析规则20万
4、定制报表模板及报表数据采集源20万
5、定制与堡垒机对接接口10万
6、定制与IT运维平台对接接口10万
7、定制IT服务管理平台对接接口10万
8、定制集中展现平台对接接口10万
9、定制省集中业务系统对接接口10万
10、定制上网行为审计系统对接接口10万
11、定制网页防篡改系统对接接口10万
12、定制互联网集中管理平台对接接口10万
13、定制网络与服务管理平台对接接口10万
14、定制防病毒系统对接接口10万
15、定制端点准入及AD域管理对接接口10万
16、定制各类防火墙对接接口20万
17、定制其他安全接口10万
实施费用
40
1、系统各部件对接配置20万
2、系统整体功能联调10万
3、系统参数配置10万
监理、咨询费
50
1、信息安全审计平台架构设计10万
2、审计平台与外系统接口设计10万
3、标准制定费用5万
4、项目监理25万
维护费用
培训费用
20
1、初级培训10人,5天
2、中级培训5人,5天
资料费
8
1、产品使用手册
2、系统安装手册
3、系统使用手册
4、系统培训教材
差旅费
其他费用
项目费用合计
828
7项目效益及实施风险与应对保障
7.1效益分析
7.1.1社会效益
电力系统是国家安全和国民经济的基础设施,是为社会和人民生活服务的公用事业,其安全性直接影响到社会稳定和经济运行,信息安全审计系统的建设可有效的进行集中安全事件管理和及时控制和处置。
避免因此带来的政治风险和经济风险。
作为XX公司承担的南网试点项目,该系统对电力行业建立自动化和智能化的安全防护体系具有重要意义,也是响应国家关于智能电网建设的重要行动。
7.1.2管理效益
该系统的建成将极大的提升XX公司内部的安全管理效率、效果,满足集团、电监会和国资委的监管要求,以及内外审和其他相关机构的响应要求
7.1.3经济效益
IT系统的投资收益,难以直接根据业务收入进行预测。
项目建成后可实现对安全事件的集中有效管控和提升应急响应速度,防止安全事件造成的经济损失扩大化。
7.2建设风险及对策
本系统是定位为一个内部管理使用的安全系统,在行业内外有已有多个成功案例,在技术、预算、项目团队、法律等方面基本不存在大的风险。
可能存在的项目过程中的小问题有:
(1)项目的预期与实际的效果有差距
对策:
在项目开始通过双方的密切配合,充分的调研和论证,制定一个双方认可的合理的项目目标,同时要选择成熟的产品工具和容纳多种产品标准的范式库和有落地能力及运维经验的供应商以保证安全审计平台能够达到项目目标。
(2)项目的范围不可控
对策:
通过良好的项目管理来控制。
7.3实施保障措施
(1)人员保障:
XX公司已经为该系统的建设计划组织了项目团队来配合实施,包括项目总协调人、项目牵头负责人、系统间的协调人员以及多个具体参与实施的人员。
(2)资金和时间:
XX公司已经有资金来源来支持项目预算,并对项目的时间计划进行了安排和预留。
8结论
综合以上分析,本项目社会效益评价可行,管理效益评价可行,项目经济评价可行,项目风险可控,具备建设条件。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 审计 系统 项目 0118
![提示](https://static.bdocx.com/images/bang_tan.gif)