银行网络安全建设方案书

XXX银行生产网络安全规划建议书

2006年6月

目录

1项目情况概述 (3)

2网络结构调整与安全域划分 (5)

3XXX银行网络需求分析 (7)

3.1网上银行安全风险和安全需求 (8)

3.2生产业务网络安全风险和安全需求 (9)

4总体安全技术框架建议 (11)

4.1网络层安全建议 (11)

4.2系统层安全建议 (13)

4.3管理层安全建议 (14)

5详细网络架构及产品部署建议 (15)

5.1网上银行安全建议 (15)

5.2省联社生产网安全建议 (17)

5.3地市联社生产网安全建议 (19)

5.4区县联社生产网安全建议 (19)

5.5全行网络防病毒系统建议 (20)

5.6网络安全管理平台建议 (21)

5.6.1部署网络安全管理平台的必要性 (21)

5.6.2网络安全管理平台部署建议 (22)

5.7建立专业的安全服务体系建议 (23)

5.7.1现状调查和风险评估 (24)

5.7.2安全策略制定及方案设计 (24)

5.7.3安全应急响应方案 (25)

6安全规划总结 (28)

7产品配置清单 (29)

1项目情况概述

Xxx银行网络是一个正在进行改造的省级银行网络。整个网络随着业务的不断扩展和应用的增加，已经形成了一个横纵联系，错综复杂的网络。从纵向来看，目前XXX银行网络分为四层，第一层为省联社网络，第二层为地市联社网络，第三层为县（区）联社网络，第四层为分理处网络。

从横向来看，省及各地市的银行网络都按照应用划分为办公子网、生产子网和外联网络三个大子网。而在省中心网上，还包括网上银行、测试子网和MIS子网三个单独的子网。其整个网络的结构示意图如下：

图1.1 XXX银行网络结构示意图

XXX银行网络是一个正在新建的网络，目前业务系统刚刚上线运行，还没有进行信息安全方面的建设。而对于XXX银行网络来说，生产网是网络中最重要的部分，所有的应用也业务系统都部署在生产网上。一旦生产网出现问题，造成的损失和影响将是不可估量的。因此现在急需解决生产网的安全问题。

本次对XXX银行网络的安全规划仅限于生产网以及与生产网安全相关的网络部分，因此下面我们着重对XXX银行的生产网构架做一个详细描述。

（一）省联社生产网络

省联社网络生产网络是全行信息系统的核心，业务系统、网上银行系统及管理系统都集中在信

息中心。

省联社网络生产网络负责与人行及其他单位中间业务的连接。

省联社网络生产网络负责建立和维护网上银行。

省联社网络生产网络中包含MIS系统和测试系统。

操作系统主要有：OS/400、AIX、Linux、Windows，以及其它设备的专用系统。

数据库系统包括：DB2、INFORMIX、SYBASE、ORACLE等。

业务应用包括：

生产业务：

一线业务：与客户直接关联的业务，如ATM、POS、柜员终端等

二线业务：不直接与客户相关的业务，如管理流程、公文轮流转、监督、决策等，为一线业务的支撑。

（二）地市联社生产网络

地市联社生产网络是二级网络，通过两条互为备份的专线与省联社中心网络互连。

操作系统主要有：UNIX、WINDOWS。

（三）区（县）联社生产网络

区（县）联社生产网络是三级网络，通过2M SDH/或者10M光纤以太网（ISDN备份）等方式与管辖支行的网络连接。

操作系统主要有：UNIX、WINDOWS。

（四）分理处生产网

分理处是四级网络，各个分理处通过2M SDH或者ISDN等方式与管辖区（县）联社的网络连接。

由于区县联社及分理处的网络目前还处在组网的初级阶段，网络构造简单且还没有能力进行完善的网络安全建设和管理，因此本次规划主要是对省及地市联社的网络安全部分。当把省及地市部分的网络建成一个比较完善的安全防护体系之后，再逐步的将安全措施和手段应用于下层的区县联社及分理处。从而实现整个网络的重点防护、分步实施策略。

2网络结构调整与安全域划分

对于XXX银行生产网络来说，首要的一点就是应该根据国家有关部门对相关规定，将整个生产网络进行网络结构的优化和安全域的划分，从结构上实现对安全等级化保护。

根据《中国人民银行计算机安全管理暂行规定（试行）》的相关要求：

“第六十一条内联网上的所有计算机设备，不得直接或间接地与国际互联网相联接，必须实现与国际互联网的物理隔离。”

“第七十五条计算机信息系统的开发环境和现场应当与生产环境和现场隔离。”

因此我们有必要对现有网络环境进行改造，以将生产业务网络（包括一线业务和二线业务）与具有互联网连接的办公网络之间区分开来，通过强有力的安全控制机制最大化实现生产系统与其他业务系统之间的隔离。同时，对XXX银行所有信息资源进行安全分级，根据不同业务和应用类型划分不同安全等级的安全域，并分别进行不同等级的隔离和保护。

初步规划将省联社生产网络划分成多个具备不同安全等级的区域，参考公安部发布的《信息系统安全保护等级定级指南》，我们对安全区域划分和定级的建议如下：

对于各地市、区县联社和各营业网点也需要将生产业务和办公业务严格区分开，并进行逻辑隔离，确保生产区域具有较高安全级别。

由于部分办公业务用户需要访问生产业务中的特定数据，而部分生产应用也需要访问办公网中的特定数据，因此无法做到生产、办公之间彻底的物理隔离，建议在各级联社信息中心提供生产网与办公网之间的连接，并采用逻辑隔离手段进行控制，对于营业网点，由于作隔离投入太大，可暂时不考虑隔离。

改造后的总体逻辑结构如图所示：

图2.1 XXX银行网络安全结构示意图

网络改造后，全行办公系统将统一互联网出口，所有办公终端只允许在通信行为可控的情况下才能通过信息中心办公网络的互联网出口访问外界网络，生产业务服务器和终端不允许采取任何手段直接访问互联网或通过办公网间接访问互联网。

网上银行因业务需要必须连接互联网，但只允许互联网用户对网银门户网站的访问以及认证用户对网银WEB服务器的访问，生产业务服务器和终端不允许采取任何手段直接访问互联网或通过网银网络间接访问互联网。

3XXX银行网络需求分析

随着XXX银行金融信息化的发展，信息系统已经成为银行赖以生存和发展的基本条件。相应地，银行信息系统的安全问题也越来越突出，银行信息系统的安全问题主要包括两个方面：一是来自外界对银行系统的非法侵入，对信息系统的蓄意破坏和盗窃、篡改信息行为；二是来自银行内部员工故意或无意的对信息系统管理的违反。银行信息系统正在面临着严峻的挑战。

银行进行安全建设、加强安全管理已经成为当务之急，其必要性正在随着银行业务和信息系统如下的发展趋势而更加凸出：

银行的关键业务系统层次丰富，操作环节多，风险也相对比较明显；

随着电子银行和中间业务的广泛开展，银行的网络与Internet和其他组织机构的网络互联程度越来越高，使原本相对封闭的网络越来越开放，从而将外部网络的风险引入到银行内部网络；

随着银行业务集中化的趋势，银行业务系统对可靠性和无间断运行的要求也越来越高；

随着WTO的到来和外资银行的进入，银行业竞争日益激烈，新的金融产品不断推出，从而使银行的应用系统处于快速的变化过程中，对银行的安全管理提出了更高的要求。

中国国内各家银行也已经开始进行信息安体系建设，其中最主要的措施就是采购了大量安全产品，包括防火墙、入侵检测系统、防病毒和身份认证系统等。这些安全产品在很大程度上提高了银行信息系统的安全水平，对保护银行信息安全起到了一定作用。但是它们并没有从根本上降低安全风险，缓解安全问题，这主要是因为：

●信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的

全部是片面的。安全产品的功能相对比较狭窄，往往用于解决一类安全问题，因此仅仅通过部署安全产品很难完全覆盖银行信息安全问题；

●信息安全问题不是静态的，它总是随着银行策略、组织架构、信息系统和操作流程的改变而改

变。部署安全产品是一种静态的解决办法。一般来说，在产品安装和配置后较长一段时间内，它们都无法动态调整以适应安全问题的变化。

所以，银行界的有识之士都意识到应从根本上改变应对信息安全问题的思路，建立更加全面的安全保障体系，在安全产品的辅助下，通过管理手段体系化地保障信息系统安全。

下面我们将通过分析XXX银行改造后的网络结构下可能面临的安全问题，对XXX银行（主要是生产网）目前的安全需求进行总体分析。根据实际项目进度安排，我们将分别对网上银行系统、生产业务系统进行分析。

3.1 网上银行安全风险和安全需求

针对目前最常见的互联网攻击类型以及国内外网上银行系统通常面临的安全威胁，结合XXX银行的

实际情况，我们认为在XXX银行网上银行网络可能面临的安全风险和对应的安全需求如下：

3.2 生产业务网络安全风险和安全需求

对于生产业务网络而言，可能存在的安全风险和对应的安全需求如下：

4总体安全技术框架建议

根据对XXX银行网络系统安全需求分析，我们提出了由多种安全技术和多层防护措施构成的一整套安全技术方案，具体包括：在网络层划分安全域，部署防火墙系统、防拒绝服务攻击系统、入侵检测系统、入侵防御系统和漏洞扫描系统；在系统层部署病毒防范系统，提供系统安全评估和加固建议；在管理层制订安全管理策略，部署安全信息管理和分析系统，建立安全管理中心。

具体建议如下：

4.1 网络层安全建议

1．网络访问控制

●划分安全域

为了提高银行网络的安全性和可靠性，在省联社总部、各地市联社、各区县联社、分理处对不同系统划分不同安全域。

●访问控制措施

对安全等级较高的安全域，在其边界部署防火墙，对安全等级较低的安全域的边界则可以使用VLAN或访问控制列表来代替。

根据对XXX银行整体网络的区域划分，我们将在不同安全域边界采用不同的访问控制措施：

◆在生产网与办公网之间采用防火墙提供访问控制，只允许业务相关的访问，拒绝其他所有访

问；

◆在生产网与网上银行网络之间采用防火墙提供访问控制，只允许业务相关的访问，拒绝其他

所有访问；

◆在生产网与相关单位网络之间采用防火墙提供访问控制，只允许业务相关的访问，拒绝其他

所有访问；

◆在网上银行网络与互联网之间采用防火墙提供访问控制，除允许互联网用户访问网银门户网

站、允许互联网认证用户访问网银WEB及允许网银WEB服务器/SSL加速器访问互联网上的

CFCA之外，拒绝其他所有访问；

◆在生产网的生产区域（一线业务）与其他区域之间采用防火墙提供访问控制，只允许业务相

关的访问，拒绝其他所有访问；

◆在生产网的其他各区域之间利用三层交换机划分虚拟子网及进行简单包过滤，做到较简单的

访问控制；

2．防拒绝服务攻击

在网上银行系统与Internet出口边界处，配备抗DoS攻击网关系统，以抵御来自互联网的各种拒绝服务攻击和分布式拒绝服务攻击。

3．网络入侵检测

在网上银行系统和总行业务网络系统中部署入侵检测系统，实时检测、分析网络上的通讯数据流，尤其是对进出安全域边界或进出存放有涉密信息的关键网段、服务器主机的通讯数据流进行监控，及时发现违规行为和异常行为并进行处理。网络入侵检测系统可实现如下功能：

?网络信息包嗅探。以旁路监听方式秘密运行，使攻击者无法感知到。黑客常常在没有觉察的情

况下被抓获，因为他们不知道他们一直受到密切监视。

?网络访问监控。根据实际业务需要定制相关规则，可以定义哪些主机或网段可以或不可以访问

网络上的特定资源，可以定义访问时间段，对特定的非法访问行为或除特定合法访问行为之外的所有访问行为进行监控，一旦发现违规行为则根据事先定义的响应策略进行报警、阻断或联动的相应，以保证只有授权用户才可以访问特定网络资源。

?应用层攻击特征检测。提供详尽、细粒度的应用协议分析技术，实现应用层攻击检测，可自动

检测网络实时数据流中符合特征的攻击行为，系统维护一个强大的攻击特征库，用户可以定期更新，确保能够检测到最新的攻击事件。

?蠕虫检测。实时跟踪当前最新的蠕虫事件，针对已经发现的蠕虫攻击及时提供相关事件规则。

系统维护一个强大的蠕虫特征库，用户可以定期更新，确保能够检测到最新的蠕虫事件。对于存在系统漏洞但尚未发现相关蠕虫事件的情况，通过分析漏洞来提供相关的入侵事件规则，最大限度地解决蠕虫发现滞后的问题。

?可疑网络活动检测。即异常检测，包括通过对在特定时间间隔内超流量、超连接的数据包进行

检测等方式，实现对DoS、扫描等攻击事件的检测。

?检测隐藏在SSL加密通讯中的攻击。通过解码基于SSL加密的通讯数据，分析、检测基于SSL

加密通讯的攻击行为，从而可以保护提供SSL加密访问的网银WEB服务器的安全性。

?日志审计。提供入侵日志和网络流量日志记录和综合分析功能，并提供详细的分析报告，使网

络管理员可以跟踪用户、应用程序等对网络的使用情况，帮助管理员改进网络安全策略的规划，并提供更精确的网络安全控制。通过详尽的审计记录，可以在系统遭到恶意攻击后，提供证据以提起法律诉讼。

?多网段同时监控。入侵探测器支持多个网络监听口，可以连接到多个网段中进行实时监控，我

们也可以在不同的网段分别部署多个探测引擎，管理员可以通过集中的管理控制台对探测器上传的信息进行统一查看，通过管理器进行综合分析，并生成报表。

4．入侵防御系统

在生产网与网上银行网络之间、办公网与互联网之间分别部署入侵防御系统，对外界网络黑客利用防火墙为合法的用户访问而开放的端口穿透防火墙对内网发起的各种高级、复杂的攻击行为进行检测和阻断。IPS系统工作在第二层到第七层，通常使用特征匹配和异常分析的方法来识别各种网络攻击行为，因其是以在线串联方式部署的，对检测到的各种攻击行为均可直接阻断并生成日志报告和报警信息。

5．漏洞扫描系统

在生产网上部署一套漏洞扫描系统，定期对整个网络，特别是关键主机及网络设备进行漏洞扫描。这样才能及时发现网络中存在的漏洞和弱点，及时根据漏洞扫描系统提出的解决方案进行系统加固或安全策略调整。以实现防患于未然的目的。同时得到的扫描日志还可以提供给安全管理中心，作为对整个网络健康状况评估的一部分，使得管理员能够机制准确的把握网络的运行状况。

4.2 系统层安全建议

6．病毒防范系统

在XXX银行网络系统可能的病毒攻击点或通道中部署全方位的病毒防范系统，包括在网上银行互联网出口、网上银行区域与业务区域之间、办公区域的互联网出口处部署网关级防病毒设备，在整个网络中的所有WINDOWS服务器和客户端计算机上部署相应平台的网络版防病毒软件并配置防病毒系统管理中心对所有主机上的防病毒软件进行集中管理、监控、统一升级、集中查杀毒。

4.3 管理层安全建议

7．综合安全管理平台和安全运营中心

部署一套有效的网络安全管理体系，采用集中的安全管理平台，来对全网进行统一的安全管理和网络管理，同时借助专业的第三方服务，在安全管理平台的基础上建立XXX银行安全运营中心，对XXX银行安全保障体系的建设起到推动作用，确保XXX银行信息网络信息系统内部不发生安全事件、少发生安全事件或者发生安全事件时能够及时处理减少由于安全事件带来的损失。

根据XXX银行的网络结构和区域划分，我们将分别针对网上银行、省和地市生产业务网络进行安全体系设计。

5详细网络架构及产品部署建议

5.1 网上银行安全建议

网上银行的安全防护方案具体设计如下：

1、在网银区域与Internet之间插入一套抗DoS攻击系统，对来自互联网的DDoS攻击流量进行清除，同时保证正常访问流量的通过。

2、网银区域与Internet之间设置一套防火墙系统（外层防火墙），采用双机热备结构，通过二层交换机连接抗DoS攻击设备，将网银WEB服务器保护在防火墙的一个单独的安全区域中，并通过两台三层交换机连接内部网络。外层防火墙的主要作用是控制来自外网的访问，只允许授权用户访问网银服务的特定IP和端口，并通过NAT屏蔽服务器真实地址。防火墙采用透明工作模式。三层交换机提供缺省网关和局域网路由功能。

3、使用一台网络入侵检测设备，提供双引擎，分别连接到网银WEB区域和网银DB区域的两台交换机上进行监控，对网络上传输的敏感数据包（包括SSL加密数据）进行深层分析，可有效地发现防火墙无法识别的特殊的应用层攻击行为。

4、网银WEB区域与后台数据库/应用服务器区域及信息中心网络之间设置一套防火墙系统（内层防火墙），一方面控制网银WEB服务区与后台APP服务区之间的访问，只允许来自网银WEB区服务器发起的特定访问，禁止其他一切数据通讯；另一方面控制网银DB/APP服务区与内部生产区域之间的访问，只允许应用相关的特定访问，禁止其他一切数据通讯；采用与外部防火墙异构的防火墙产品，即使攻击者成功获得外墙的控制权，也不能轻易攻入业务网络。

5、在内层防火墙与内网核心交换机之间串联一组UTM设备，启用IPS功能和防病毒功能，抵御来自互联网及网银区域的病毒、蠕虫、恶意代码及其他攻击，双机热备。

部署方式如下图所示：

图5.1 网上银行安全解决方案部署图

5.2 省联社生产网安全建议

1、将信息中心按不同业务划分多个网络区域。

2、总行管理中心网络与核心交换机之间不署一套防火墙系统，提供安全控制。对管理区域的访问进行行为控制。

3、总行生产业务网络与企业客户、协作单位网络的互联出口采用一套双机防火墙系统提供安全控制，对来自外单位网络的访问行为进行控制。

4、在总行生产业务网络与办公业务网络核心交换机之间设置一套双机防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行控制，同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问请求。

5、采用千兆IDS设备，分别连接到总行生产网两台核心交换机上，监视和防范内网上的违规访问行为，主要监听进出生产区域及来自办公网、下级单位和协作单位的流量。

6、各地市生产网到总行生产网之间采用一套双机防火墙系统提供安全控制。对来自各分支机构网络的访问行为进行控制。

7、区县生产网、分理处等营业网点分别通过上级联社生产网的转发实现对总部数据中心系统的访问。

8、网上银行网络与生产网络之间的访问通过两台互备的UTM设备进行监控。

网络结构及安全设备部署方式如下图：

图5.2 省联社生产网安全解决方案部署图

5.3 地市联社生产网安全建议

1、地市联社生产业务网络与企业客户、协作单位网络的互联出口采用一套双机防火墙系统提供安全控制，对来自外单位网络的访问行为进行控制。

2、在地市生产业务网络与办公业务网络核心交换机之间设置一套双机防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行控制，同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问请求。

3、采用IDS设备，分别连接到地市生产网两台核心交换机上，监视和防范内网上的违规访问行为，主要监听进出生产区域及来自办公网、下级单位和协作单位的流量。

4、各地市生产网到总行生产网以及区县生产网、分理处等营业网点之间采用一套双机防火墙系统提供安全控制。对来自总行和各分支机构网络的访问行为进行控制。

网络结构及安全设备部署方式如下图：

图5.3 地市联社生产网安全解决方案部署图

5.4 区县联社生产网安全建议

1、区县联社生产业务网络与办公业务网络核心交换机之间设置一套防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行控制，同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问请求。

2、各区县联社生产网到上级分行生产网以及分理处等营业网点之间采用一套双机防火墙系统提供

安全控制。对来自上级分行和各分支机构网络的访问行为进行控制。

网络结构及安全设备部署方式如下图：

图5.4 区县联社生产网安全解决方案部署图

5.5 全行网络防病毒系统建议

具体的部署建议如下：

1、在XXX银行各级单位所有Windows服务器上部署服务器防毒系统，确保服务器系统不会成为病毒驻留的平台，提高整个服务器系统的高可靠性；

2、在XXX银行各级单位所有Windows客户端上部署客户端防毒系统，一方面增强客户端的防毒能力，另一方面保证客户端不为因为病毒问题而带给管理员极大的工作量；

3、防病毒系统采用集中和分布相结合的管理模式，总行办公网服务器区域中设置一台防病毒管理中心服务器，提供集中的策略制定和下发，管理总行办公网的所有防病毒客户端；生产网运行管理区域中设置一台防病毒管理分中心服务器，管理生产网的所有防病毒客户端（包括总部、支行、网点），以及与上级管理中心进行通信；各管辖支行办公网中分别设置一台防病毒管理分中心服务器，管理本网的所有防病毒客户端，以及与上级管理中心进行通信；这样做的好处是防止了因软件或策略下发时带来的带宽消耗和减小安全隐患；

4、办公网防病毒管理中心服务器定期从互联网进行升级，生产网防病毒管理分中心服务器、各支行防病毒管理分中心服务器均从管理中心服务器获得升级码；各防毒服务器负责向所管辖范围内所有防病毒客户端分发升级码。

5、在XXX银行各互联网出口处，生产网络与网银网络之间分别部署病毒过滤网关（通过UTM设备实现），消除来自互联网的病毒威胁。

5.6 网络安全管理平台建议

5.6.1部署网络安全管理平台的必要性

传统安全技术和产品集成的有如下缺点：

?需要大量人为参与的判断。

比如一个报警事件是否准确需要人为的判断。

?存在信息淹没的可能性

大量安全产品的报警信息导致管理员无法一一察看和分析，从而导致信息淹没。

同时大量的垃圾报警信息，也加重了管理员的工作负担，导致管理员容易疏忽很多真正有用的信息，这也导致信息淹没。

?需要专业安全人员的分析

大多数安全产品对报警事件的语言描述都是专业安全技术性的描述，对管理员的专业技能要求很高。

?需要安全维护人员高度的责任心的协助

管理员需要积极主动的去查看各类安全产品的报警信息，才能及时地发现安全事件，并着手去解决。

?止步于安全事件的报警，而没有完善的事件处理监督考核措施

传统的安全产品集成在向管理员报告安全事件后，安全系统的功用便宣告结束，后续的所有的工作完全依靠管理员去完成，管理员是否去解决这些安全问题，无从考据和监控。

应该说，传统的安全产品和技术的集成只能够部分的实现安全的“可见性”和“可控性”。

出于上述原因，我们认为在未来的信息安全建设中，综合安全监控和管理平台将倍受尊崇，真正让安全建设做到完善的“可见、可控、可管理”。

而对于XXX银行来说，我们必须在网络内部署大量的安全产品。因此，我们急需一个真正的综合性安全管理平台来使得整个网络的安全建设实现可见、可控和可管理。

集成安全监控管理技术的优点：

?延伸了传统安全产品集成的功能，充分让每一条有效的安全报警信息得到完善的分析和处理；

?融合网络管理、安全管理、运维管理思想于一体，充分发挥各类安全技术的功效；

?实现安全事件的闭环管理，最强有力的实现安全管理的技术辅助手段。

5.6.2网络安全管理平台部署建议

对于XXX银行网络来说，我们应该本着重点防护，分步实施的策略来进行我们的安全建设。因此我们应该首先将省联社网络建设成为一个高度安全，高度可管理的安全网络。我们建议在第一阶段只在省中心部署一套网络安全管理平台。当这套安全管理平台成功运行并积累一定经验后，可以很灵活的扩展到各个地市以及更低一级的网络中去。

我们所部署的网络安全管理平台应该具备以下一些功能：

◆管理对象

被监控管理的目标包括：网络系统、服务器主机、数据库、安全产品、业务应用。按照不同的KBP关键业务点来划分进行资产管理。

◆运维管理

网络安全的最重要目标就是保障系统的安全、可靠的运行，也就是保障业务的连续运行，这也是我们所熟知的安全三性中的可用性。对系统进行基于业务的监控管理，包括：资产管理、流程管理、知识管理等。

◆网络管理

网络系统作为业务应用的载体，对其的监控管理也非常重要，我们采用网管技术对网络系统进行监控管理。内容包括：拓扑展示、设备发现、管理工具

◆安全管理

网络安全运行管理中心的核心内容，从安全策略管理、事件管理、脆弱性管理、风险管理、配置管理等方面，实现安全管理。

◆输出

通过报表、报警、工单的方式，得出相应的输出。包括：KBDP视图、资产报表、风险报告、安全状态、趋势分析、脆弱性报告、知识库、专家建议等。

5.7 建立专业的安全服务体系建议

在前面的管理层安全建议中我们已经提出，应该“借助专业的第三方服务，在安全管理平台的基础上建立XXX银行安全运营中心，对XXX银行安全保障体系的建设起到推动作用，确保XXX银行信息网络信息系统内部不发生安全事件、少发生安全事件或者发生安全事件时能够及时处理减少由于安全事件带来的损失”。

专业的安全服务是建立一个能够持续运行，动态更新的网络安全体系的技术保障。和关键环节。

信息安全建设工程建议书

信息网络安全功能的增强信息安全状况的全面改善信息安全建设的

效果检验

微弱风险

逐步积累

图5.5 动态信息安全体系建设过程

动态信息安全体系建设是一个周期性的循环过程，每个建设周期都是以安全策略为核心，以风

险评估为开端，通过需求确认、网络安全功能建设、完善信息安全管理/策略、风险复审、风险积累

的过程，建立信息安全体系。

对于现阶段的XXX 银行网络来说，我们建议通过以下的步骤来实现这个动态的信息安全体系建

设过程。

5.7.1 现状调查和风险评估

现状调查和风险评估是建立安全农行计算机安全体系的基础和关键，在整个XXX 银行网络安全

建设项目过程中，现状调查和风险评估的工作量占了很大比例，现状调查和风险评估的深度直接影

响安全体系能否与XXX 银行实际情况相一致且具有可操作性。

现状调查和风险评估的主要目标包括对XXX 银行计算机系统进行全面的现状调查、建立保护对

象框架和根据保护对象框架进行风险评估。

? 全面的现状调查

全面现状调查是本项目十分关键的步骤，现状调查的广度和深度将对保护对象框架的建立和风

险评估带来非常十分重要的作用。在全面现状调查中，XXX 银行的计算机系统的场所、环境、网络、

网络设备、主机、操作系统、数据库、中间件、应用软件、业务流程、管理制度和组织机构将得到

全面的调研。

? 风险评估

风险评估的目的是了解XXX 银行计算机系统的安全现状，以便在安全体系的实施过程进行需求

分析和解决方案设计。风险评估过程包括对XXX 银行计算机系统的资产安全价值、弱点严重性、威

胁可能性和现有安全措施等进行估值，并通过这些因素计算风险值。