信息安全等级保护安全建设项目方案

信息系统安全等级保护安全建设项目

技术方案

目录

1项目理解 (6)

1.1项目背景 (6)

1.2项目范围 (6)

1.3项目目标 (7)

1.4项目建设原则 (7)

2项目建设思路和技术路线 (8)

2.1项目建设思路 (8)

2.2项目技术路线 (8)

2.3项目建设技术方法引用 (10)

2.3.1可控安全理念 (10)

2.3.2风险管理设计方法 (10)

2.3.3体系化设计方法 (13)

2.3.4等级化设计方法 (14)

2.3.5自上而下和自下而上相结合的设计方法 (15)

2.4项目实施整体策略 (16)

3项目建设依据 (18)

4云安全风险与需求分析 (20)

4.1云安全的基本安全需求 (20)

4.1.1CSA云计算关键领域安全指南V2.1 (20)

4.1.2传统信息系统的基本安全需求 (21)

4.1.3云安全与传统安全的差异 (22)

4.2XX信息系统云计算平台安全技术需求分析 (23)

4.2.1物理安全风险与需求分析 (24)

4.2.2计算环境安全风险与需求分析 (25)

4.2.3区域边界安全风险与需求分析 (25)

4.2.4通信网络安全风险与需求分析 (25)

4.2.5虚拟化技术的安全风险与需求分析 (25)

4.3云安全管理需求分析 (26)

5等级保护安全建设方案设计 (28)

5.1现状调研与分析 (28)

5.1.1工作定位 (28)

5.1.2参考标准 (28)

5.1.3阶段性输入 (29)

5.1.4工作方法与流程 (29)

5.1.5技术实现 (30)

5.1.5.1业务流程分析方法 (30)

5.1.5.2安全风险评估方法 (30)

5.1.5.3安全需求分析方法 (34)

5.1.5.4安全风险评估工具 (34)

5.1.6阶段性输出 (35)

5.2等级保护建设与方案设计 (35)

5.2.1工作定位 (35)

5.2.2参考标准 (36)

5.2.3阶段性输入 (36)

5.2.4工作方法与流程 (36)

5.2.5技术实现 (38)

5.2.5.1SWOT分析方法 (38)

5.2.5.2体系设计方法 (39)

5.2.5.3等级保护的多重防护设计方法 (39)

5.2.6安全保障体系设计框架 (40)

5.2.7网络架构设计与安全区域规划 (42)

5.2.8阶段性输出 (43)

5.3建设实施 (43)

5.3.1工作定位 (43)

5.3.2参考标准 (44)

5.3.3阶段性输入 (44)

5.3.4技术实现 (44)

5.3.4.1信息安全管理体系建设 (44)

5.3.4.2信息安全技术体系建设 (45)

5.3.4.2.1安全计算环境 (46)

5.3.4.2.2安全区域边界防护 (46)

5.3.4.2.3安全网络通信防护 (47)

5.3.4.3系统安全配置和加固 (47)

5.3.4.3.1安全加固原则 (48)

5.3.4.3.2安全加固流程 (49)

5.3.4.3.3安全加固质量保证 (50)

5.3.4.4安全产品集成与实施 (50)

5.3.5安全保障措施 (51)

5.3.6阶段性输出 (51)

5.4协助等级保护测评 (52)

5.4.1工作定位 (52)

5.4.2参考标准 (52)

5.4.3阶段性输入 (52)

5.4.4工作方法与流程 (52)

5.4.4.1测评方法 (53)

5.4.4.2测评内容 (54)

6整体方案建议 (55)

6.1三级等保方案设计图 (56)

6.2安全产品部署说明 (57)

6.3安全体系设计 (59)

6.3.1物理安全设计 (59)

6.3.2主机与应用安全（计算环境安全设计） (59)

6.3.2.1身份鉴别 (59)

6.3.2.2访问控制 (60)

6.3.2.3系统安全审计 (60)

6.3.2.4入侵防范 (61)

6.3.2.5主机恶意代码防范 (61)

6.3.2.6软件容错 (61)

6.3.2.7数据完整性与保密性 (61)

6.3.2.8备份与恢复 (62)

6.3.2.9资源控制 (62)

6.3.2.10客体安全重用 (63)

6.3.2.11抗抵赖 (63)

6.3.3区域边界安全设计 (63)

6.3.3.1边界访问控制 (63)

6.3.3.2安全隔离网闸 (63)

6.3.3.3流量控制 (64)

6.3.4边界完整性检查 (64)

6.3.4.1边界入侵防御 (64)

6.3.4.2边界安全审计 (64)

6.3.4.3网页防篡改 (65)

6.3.4.4边界恶意代码防范 (65)

6.3.5通信网络安全设计 (65)

6.3.5.1网络结构安全 (65)

6.3.5.2网络安全审计 (66)

6.3.5.3网络设备防护 (66)

6.3.5.4通信完整性 (66)

6.3.5.5通信保密性 (67)

6.3.5.6网络可信接入 (67)

6.3.6系统管理 (67)

6.3.7审计管理 (68)

6.3.8运维及应用监管 (68)

6.3.9安全管理体系 (68)

6.3.10安全运维服务 (68)

6.4信息安全产品选型及配置清单 (69)

6.4.1产品选型建议 (69)

6.4.2产品选型要求 (70)

6.5信息安全建设配置清单 (70)

6.5.1现有系统安全产品推荐配置清单（二级） (70)

6.5.2现有系统安全产品推荐配置清单（三级） (71)

1项目理解

1.1项目背景

信息安全等级保护是国家信息系统安全保障工作的基本制度和基本国策，是国家对基础信息网络和重要信息系统实施重点保护的关键措施。按照国家有关主管部门的要求，XX信息系统部分项目已开展过等级保护相关工作。如全球一体化项目系统已在开展信息安全等级保护建设与等级保护测评工作，我公司将在现有新建的应用系统中，进行总体安全架构和安全服务工作。

1.2项目范围

XX信息系统开展信息安全等级保护工作的网络系统有两个，一个是外网，一个是业务专网，两个网络彼此物理隔离，外网与互联网逻辑隔离。通讯业务专网和外网整体定为三级。本项目的具体范围见下表。

表格11应用系统定级情况列表

序号系统名称等级用户数量使用频度建设情况

设计三级框架，但先1.对外系统S2A2G2 社会用户实时

达到二级建设水平

设计三级框架，但先2.对内系统S2A1G2 省市通讯实时

达到二级建设水平

设计三级框架，但先3.对内系统S2A2G2 内部各级通讯实时

达到二级建设水平

设计三级框架，但先4.内部系统S3A3G3 部内用户阶段性频繁

达到二级建设水平

1.3项目目标

根据国家信息安全等级保护相关政策要求，对XX信息系统信息系统进行整体等级保护建设工作，并通过测评机构的等级保护测评，最终通过公安部的备案认可。通过本次项目实现以下目标：

1.按照《信息安全等级保护建设方案》，协助XX信息系统在安全管理机

构、安全管理制度、人员安全管理、系统建设管理、系统运维建设管理

等方面进行完善和提高。

2.符合等级保护政策要求，通过建设，使XX信息系统部在安全管理制度

建设和安全技术措施建设都符合国家等级保护标准和要求，所有三级网

络和应用系统均通过等级保护测评。

1.4项目建设原则

我公司在项目实施过程中，将遵循以下原则：

●符合性原则：项目建设要符合国家等级保护政策和标准规范要求，通过

专业等级保护测评机构的测评，并到公安部门及上级主管单位完成备案；

●适度安全原则：安全防护工作的根本性原则，安全防护工作应根据重要

信息系统的安全等级，平衡效益与成本，采取适度的安全技术和管理措

施；

●可控性原则：相关的项目组人员应具备可靠的职业素质和专业素质；项

目实施过程中技术工具的使用可控，避免引入新的风险；项目过程可控

性：要对整个安全防护项目进行科学的项目管理，实现项目过程的可控

性；

●最小影响原则：从项目管理层面和技术管理层面，项目的实施过程对信

息系统正常运行的影响降低到最低限度，以确保日常业务的正常运行；

●保密性原则：相关安全防护工作人员应签署协议，承诺对所进行的安全

防护工作保密，确保不泄露重要信息系统安全防护工作的重要和敏感信

息。

2项目建设思路和技术路线

2.1项目建设思路

本期项目的建设思路是以建立一套“XX信息系统信息安全体系”为主线，即能够切实满足“业务需求”和“风险控制需求”，又能够落实“电子政务”和“等级保护”等国家政策要求，并能够参照国内外标准和最佳实践，把“自下而上”和“自上而下”的设计方法相结合，最终符合项目建设目标的实施方法。

图示：21项目建设思路示意图

2.2项目技术路线

根据目前国内外安全理论和标准发展状态，开展XX信息系统信息安全等级保护安全建设工作主要采用以下技术方法：

●风险评估方法：采用风险评估的方法进行现状调研和需求分析，本技术

方法符合GB/T 20984-2007《信息安全技术信息安全风险评估规范》中

的总体要求；

●体系化设计方法：采用结构化设计方法，运用问题管理的方式（结合风

险评估的结论），引用《信息安全保障技术框架》（IATF）中的信息安

全保障的深度防御战略模型，做好安全保障体系框架设计工作；

●等级化设计方法：根据国家等级保护策略，结合信息系统的安全保护等

级，设计支撑体系框架的安全目标和安全要求，基本要求和技术方法符

合国家等级保护相关标准，包括《基本要求》和《设计要求》，在具体

设计过程中，满足等级保护的各项控制点；

●PDCA管理方法：根据ISO27001信息安全管理体系中提出的PDCA循

环的风险控制方法，导入到本次工程的信息安全管理工作中，指导本次

工程信息安全管理体系建设。

根据这些技术方法，本项目在实施过程中的总体技术路线采用的是一套“可控安全保障体系”的设计、实施和运维的综合建设方法，如下图所示：

图示：22项目技术路线示意图

在本期项目可以采用可控安全保障体系的设计思路和方法，以“风险管理”为核心，采用等级化、体系化设计方法，能够达到最终的“可控”效果的保障体系，该体系在设计过程中会充分结合国内外的各项标准和最佳实践，同时符合国内政策法规要求，以业务系统为驱动和出发点，适应于信息安全其动态性、整体性和相对性的特点。

该体系具备如下特征：

●在满足本期项目整体安全需求的基础上，确保整体安全可控；

●能够实现本期项目整体安全目标，符合国家等级保护技术和管理要求；

●需要结合风险评估、风险处置等一系列风险管理相关的方法。

●通过本技术路线和技术方案，在安全层面有效监督与控制整个建设、建

设、测评过程。

2.3项目建设技术方法引用

2.3.1可控安全理念

“可控安全”来自于对于管理的一种状态描述，在管理学当中强调并指出管理的体现是效果，管理的过程是执行。而对于“可控安全”来说，恰恰适当地反映了安全管理的效果，既体现了没有绝对的安全，也把握了安全所应达到的一种状态。具体到可控安全理论中，重点是以六个可控要素和整个可控安全的动态管理过程进行体现，如下图所示：

图示：23可控安全模型

在整个体系设计的过程中，所有相关的安全目标、具体实现过程以及最终的衡量标准，都会通过安全效果进行综合描述，尤其是在安全保障总体规划中和安全管理体系中加以综合体现。

2.3.2风险管理设计方法

风险管理（Risk Management）旨在对潜在机会和不利影响进行有效管理的

文化、程序和结构。风险管理是良好管理的一个组成部分，它用一种将损失减小到最低程度而使商业机会达到最大限度的方式，对与机构的任何活动、功能和过程相关的风险进行环境建立、鉴定、分析、评价、处理、监控和信息交流。风险管理既是为了发现商业机会，同样也是为了避免或减轻损失。风险管理过程（Risk Management Process）是指系统地将管理方针、程序和实施应用于风险的环境建立、鉴定、分析、评价、处理、监控和信息交流等任务。

在信息安全的领域，同样适用于风险管理的理念和方法论。在当前信息技术得到普遍应用，并且很多成为关键业务系统的环境下，机构和组织的信息安全风险很大，而且普遍缺乏有效的控制和管理，但过度的风险管理，无疑会导致大量的金钱和人力的花费、和对工作效率的严重降低。所以，如何适度和有效地进行信息安全的风险的管理和控制，成为了一项迫切和重要的任务。

图示：24风险管理与成本投入示意图

一般来说，安全风险的降低（即安全水平的提升）和相应的开销不是线性的关系，如图所示。在较高的安全水平上面，获得微小的提高可能需要的巨大开销，甚至开销超出了所保护资产的价值。经过精细的资产评估和风险评估，就可以在投资提升安全降低风险、承受风险、转移风险等做出正确的选择。

在国际标准ISO13335中，安全模型如下图所示，特点是以风险为核心。

图示：25ISO13335风险管理模型

在国际标准ISO15408中，安全模型如下图所示，其特点是强调了模型的对抗性和动态性。

图示：26ISO15408风险管理模型

可以看出，这两个安全模型非常类似，核心要素都是资产、弱点、威胁、风险、安全措施等，各要素之间的关系也基本类似，只是描述和关注的角度不同。

我公司在本次项目中采用国家GB20984中的信息安全风险评估模型，并提起其中的关键要素建立风险分析的最终方法，如下图所示：

图示：27风险分析模型

2.3.3体系化设计方法

一个完整的信息安全体系应该是安全管理和安全技术实施的结合，两者缺一不可。为了实现对信息系统的多层保护，真正达到信息安全保障的目标，国外安全保障理论也在不断的发展之中，美国国家安全局从1998年以来开展了信息安全保障技术框架（IATF）的研究工作，并在2000年10月发布了IATF 3.1版本，在IATF中提出信息安全保障的深度防御战略模型，将防御体系分为策略、组织、技术和操作四个要素，强调在安全体系中进行多层保护。安全机制的实现应具有以下相对固定的模式，即“组织（或人）在安全策略下借助于一定的安全技术手段进行持续的运作”。

因此本项目信息安全保障体系从横向看，主要包含安全管理和安全技术两个方面的要素，在采用各种安全技术控制措施的同时，必须制订层次化的安全策略，完善安全管理组织机构和人员配备，提高安全管理人员的安全意识和技术水平，完善各种安全策略和安全机制，利用多种安全技术实施和安全管理实现对计算机系统的多层保护，减小它受到攻击的可能性，防范安全事件的发生，提高对安全事件的反应处理能力，并在安全事件发生时尽量减少事件造成的损失。

其次，为了使信息安全体系更有针对性，在构建时还必须考虑信息安全本身的特点：动态性、相对性和整体性。

信息安全的动态性指的是信息系统中存在的各种安全风险处于不断的变化之中，从内因看，信息系统本身就在变化和发展之中，信息系统中设备的更新、操作系统或者应用系统的升级、系统设置的变化、业务的变化等要素都可能导致

新的安全风险的出现。从外因看，各种软硬件系统的安全漏洞不断的被发现、各种攻击手段在不断在发展，这些都可能使得今天还处于相对安全状态的信息系统在明天就出现了新的安全风险。

信息系统安全的相对性指的是信息安全的目标实现总是相对的，由于成本以及实际业务需求的约束，任何的安全解决方案都不可能解决所有的安全问题，百分之百安全的信息系统是不存在的，不管安全管理和安全技术实施多完善，安全问题总会在某个情况下发生。信息安全的这个属性表明安全应急计划、安全检测、应急响应和灾难恢复等都应该是安全保障体系中的重要环节。

信息安全的整体性指的是信息安全是一个整体的目标，正如木桶的装水容量取决于最短的木块一样，一个信息系统的安全水平也取决于防御最薄弱的环节。因此，均衡应该是信息安全保障体系的一个重要原则，这包括体系中安全管理和安全技术实施、体系中各个安全环节、各个保护对象的防御措施等方面的均衡，以实现整体的信息安全目标。

2.3.4等级化设计方法

面对严峻的形势和严重的问题，如何解决我国信息安全问题，是摆在我国政府、企业、公民面前的重大关键问题。美国及西方发达国家为了抵御信息网络的脆弱性和安全威胁，制定了一系列强化信息网络安全建设的政策和标准，其中一个很重要思想就是按照安全保护强度划分不同的安全等级，以指导不同领域的信息安全工作。经过我国信息安全领域有关部门和专家学者的多年研究，在借鉴国外先进经验和结合我国国情的基础上，提出了等级保护的策略来解决我国信息网络安全问题，即针对信息系统建设和使用单位根据其单位的重要程度、信息系统承载业务的重要程度、信息内容的重要程度、系统遭到攻击破坏后造成的危害程度等安全需求以及安全成本等因素，依据国家规定的等级划分标准设定其保护等级，自主进行信息系统安全建设和安全管理，提高安全保护的科学性、整体性、实用性。2003年，中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》中，已将信息安全等级保护作为国家信息安全保障工作的重中之重，要求各级党委、人民政府认真组织贯彻落实。《意见》中明确指出，信息化发展的不同阶段和不同的信息系统，有着不同的安全需求，必