XX政府等保建设规划_20150309
三级等保系统建设方案
三级等保系统建设方案一、为啥要搞三级等保。
咱先唠唠为啥要整这个三级等保系统。
现在这网络世界啊，就像个超级大的江湖，啥人都有，啥危险都藏着。
咱的系统里可能存着好多重要的东西呢，像公司机密啦、用户的隐私信息啦，就跟宝藏似的。
要是没有个厉害的保护措施，那些个黑客啊、不法分子啊，就跟闻到肉味的狼一样，分分钟想扑上来把咱的宝藏抢走或者搞破坏。
所以呢，三级等保就像是给咱们的系统穿上一套超级坚固又智能的盔甲，让那些坏蛋没办法轻易得逞。
二、三级等保都有啥要求。
1. 安全物理环境。
咱先说这机房的事儿。
机房就像是系统的家，得找个安全的地儿。
不能在那种容易发洪水、地震或者老是有雷劈的地方。
机房的建筑得结实，门啊得是那种防火防盗的，还得有门禁系统，不是谁想进就能进的，就像家里不能随便让陌生人串门一样。
供电也得稳稳当当的。
要是突然断电，系统可能就歇菜了，数据也可能丢了。
所以得有备用电源，像UPS（不间断电源）这种，就像给系统备了个充电宝，断电了也能撑一会儿。
温度和湿度也得合适。
太热了机器会中暑，太冷了可能会冻感冒，湿度太大还容易生锈发霉。
所以得有空调、除湿设备啥的，让机房里的环境舒舒服服的，就像人住在适宜温度和湿度的房子里一样。
2. 安全通信网络。
网络得安全可靠。
就像咱们走在路上得有个安全的通道一样。
网络要有防火墙，这防火墙就像个门卫，把那些坏流量都挡在外面。
而且网络得加密，就像咱写信的时候用密码写一样，别人截获了也看不懂。
网络设备得有备份。
要是一个路由器突然坏了，不能让整个网络就瘫痪了呀。
所以得有备用的网络设备，随时能顶上，就像球队里有替补队员一样。
3. 安全区域边界。
要划分不同的安全区域。
就像把房子分成客厅、卧室、厨房一样，不同的区域有不同的功能和安全级别。
在不同区域之间要有访问控制，不能让不该进来的人或者流量乱窜。
入侵检测和防范也不能少。
得能发现那些偷偷摸摸想越界的坏家伙，就像在边界上装了个报警器，一有动静就响。
4. 安全计算环境。
等保建设工作计划范文大全
等保建设工作计划范文大全一、背景介绍随着信息技术的不断发展和应用，网络安全问题越来越受到重视。
在保障国家信息安全和促进网络经济发展方面，信息系统等级保护（以下简称等保）已经成为一项重要的工作。
等保建设是指依据国家有关法律法规和标准规范，通过采取技术、管理和组织等多种措施，确保信息系统安全可靠的过程。
制定等保建设工作计划，对于保障信息系统安全，保护国家安全和社会稳定，促进网络经济发展有着重要的意义。
二、等保建设目标1. 确保信息系统安全可靠，提升信息系统抗风险能力。
2. 促进信息系统与信息技术的融合发展，提升信息系统运行效率。
3. 保障国家信息安全和社会稳定，维护国家利益和公民权益。
4. 提升公司形象，增强竞争实力，推动公司健康发展。
三、等保建设工作计划1. 制定等保建设规划（1）明确等保建设目标，确定等保建设时间节点和阶段目标。
（2）全面评估当前信息系统的安全状况和存在的风险，确定等保建设的重点和难点。
（3）综合考虑国家有关法律法规和标准规范，制定公司等保建设的具体政策和措施。
2. 落实等保管理措施（1）建立健全信息系统安全管理制度，明确各级责任人和操作程序。
（2）加强信息系统安全意识培训，提升全员信息安全保护意识。
（3）强化运维管理，确保信息系统的正常运行和稳定性。
3. 加强信息系统安全防护（1）建立完善的网络安全防护体系，包括网络拦截、防火墙、入侵检测等设备。
（2）加密关键数据和信息，确保数据的安全性和完整性。
（3）加强对外部网络攻击的防范和应对能力，随时保护信息系统不受恶意破坏和攻击。
4. 提升信息系统运行效率（1）优化信息系统架构和技术方案，提高系统的可用性和稳定性。
（2）采用先进的技术手段，提升系统的处理能力和响应速度。
（3）建立完善的应急预案和备份措施，确保系统在突发情况下的恢复能力。
5. 完善信息系统监测和审计（1）建立信息系统的实时监测和审计机制，对系统进行全面的监控和审计。
（2）定期对系统进行安全检查和漏洞修复，确保系统的安全性和稳定性。
等保项目实施方案
等保项目实施方案1. 引言在当今信息化时代，信息安全问题日益引发人们的关注。
为此，本文将就等保项目的实施方案进行探讨，以确保组织的信息系统安全可靠。
2. 等保项目概述2.1 目标本项目旨在确保组织的信息系统满足国家等级保护要求，提高系统的安全性和稳定性，并建立一套完善的信息安全管理体系。
2.2 背景随着信息技术的迅猛发展，安全威胁呈现多样化、复杂化的趋势。
鉴于此，国家制定了等级保护制度，并要求各类关键信息基础设施单位进行等保认证，以提高信息系统的安全性。
3. 项目实施步骤3.1 筹备阶段3.1.1 项目启动成立项目团队，确定项目经理和项目组成员，并制定项目管理计划。
3.1.2 项目背景调研对组织的信息系统进行全面调研，分析系统的安全性问题和存在的风险。
3.1.3 现状评估根据调研结果，评估当前信息系统的安全水平，确定改进的重点和目标。
3.2 等保实施阶段3.2.1 安全需求规划根据等保要求，制定相应的安全需求规划，包括安全策略、安全目标和安全控制措施等。
3.2.2 安全架构设计基于安全需求规划，设计信息系统的安全架构，包括网络安全、主机安全、应用安全和数据安全等方面的设计。
3.2.3 安全控制措施实施根据安全架构设计，实施各项安全控制措施，包括访问控制、身份认证和加密等技术手段。
3.2.4 安全培训与意识提升开展相关的安全培训，提高员工的安全意识和技能水平，加强信息安全文化的建设。
3.2.5 安全测试与评估对信息系统进行全面的安全测试和评估，发现潜在的安全漏洞，并及时修复和改进。
3.3 项目总结与验收3.3.1 项目总结总结项目实施过程中的经验教训，形成项目总结报告，为后续的等保工作提供参考。
3.3.2 项目验收对等保项目进行验收，确保项目达到预期的安全目标和要求。
4. 项目资源与进度管理4.1 项目资源管理合理分配项目人力、物力和财力资源，确保项目的可持续发展。
4.2 项目进度管理制定详细的项目进度计划，并通过项目管理工具进行跟踪和控制，确保项目按时交付。
等保项目实施方案
等保项目实施方案一、项目概述本实施方案旨在确保等级保护（等保）项目的顺利实施和运行，为维护信息系统安全提供强有力的保障。
在项目实施过程中，我们将遵循相关政策与法规，并根据实际情况进行详细策划和实施。
该方案涵盖了项目目标、范围、组织架构、实施计划、风险管理等方面的内容。
二、项目目标1. 确保信息系统的机密性、完整性和可用性。
2. 提升系统抗攻击的能力。
3. 符合国家等级保护相关要求。
三、项目范围本项目将覆盖以下关键领域：1. 基础设施保护：包括网络设备、服务器、防火墙等设备的安全保护。
2. 风险评估与管理：对系统进行全面的风险评估，制定相应的风险管理策略。
3. 访问控制与身份验证：建立完善的用户身份验证体系，确保系统只对合法用户可用。
4. 安全审计与监控：建立安全审计机制，全面监控系统运行情况，及时发现并应对安全事件。
5. 数据保护与备份：制定数据安全策略，实施数据备份和灾备方案。
四、组织架构1. 项目发起人：负责项目的发起与监督，并提供必要的资源支持。
2. 项目经理：负责项目的整体策划、协调和执行，监控项目进展和风险管理。
3. 项目团队成员：分别负责项目的不同模块，协同工作，确保项目的顺利实施。
4. 项目顾问：提供专业指导和建议，确保项目按照最佳实践进行实施。
五、实施计划1. 确定项目目标与要求，并制定详细的实施计划。
2. 项目启动会议，明确责任分工和工作计划。
3. 进行系统详细评估，获取系统的现状和存在的安全问题。
4. 制定安全策略、政策和控制措施，并进行实施。
5. 建立安全审计机制，确保系统运行符合安全要求。
6. 进行系统二次评估，验证安全控制措施的有效性。
7. 完善系统安全文档，包括策略、手册等，并进行培训。
8. 统计项目实施结果，进行总结和反馈，提出改进措施。
六、风险管理1. 根据风险评估结果，制定相应的风险应对策略。
2. 安排专人负责系统安全，及时发现和解决可能存在的风险。
3. 建立应急预案，对可能发生的安全事件进行预警和处理。
等保四级建设方案
等保四级建设方案等保四级建设方案简介近年来，随着信息技术的飞速发展，网络安全成为了一个全球性的重要问题。
为了保护我国的信息安全，国家互联网信息办公室推出了等保四级建设方案。
本文将对该方案进行简要介绍。
1. 背景随着互联网技术的普及，各行各业都离不开信息化的支持，而这也使得网络安全问题日益突出。
鉴于此，国家互联网信息办公室提出了等保四级建设方案，以提升我国的信息安全水平，保护用户的隐私和权益。
2. 等保四级建设目标等保四级建设方案旨在通过制定一系列安全技术标准和措施，提高网络安全的等级和保护水平。
具体目标包括：确保信息系统的可信度、完整性和可用性；防范各类安全威胁和攻击行为；维护用户数据的机密性和隐私；确保国家重要信息基础设施的安全运行等。
3. 建设内容（1）加强网络安全基础设施建设：包括完善网络硬件设备和软件的安全性能，加强入侵检测和防范系统的建设等。
（2）强化数据保护和隐私保护：加密技术的应用将是保护用户数据和隐私的关键。
建立和完善数据备份和恢复系统，确保数据不丢失。
（3）加强网络安全监控与防护：建立全面的安全事件监控系统，及时发现和应对各类安全事件。
增强防御能力，提供有效的应急响应措施。
4. 建设步骤等保四级建设方案的实施是一个分阶段、有计划的过程。
一般包括以下几个步骤：（1）风险评估和安全需求分析：对目标系统进行全面的风险评估和安全需求分析，明确系统面临的安全威胁和建设要求。
（2）制定安全方案和技术标准：根据评估结果，制定相应的安全方案和技术标准，确保建设过程中的安全性。
（3）建设和实施安全措施：根据方案和标准，进行安全设备和系统的建设和配置，确保系统的安全运行。
（4）安全审查和监测：在建设完成后，进行安全审查，发现和修复潜在的安全风险。
建立有效的监测系统，及时排除安全问题。
5. 建设方案的意义等保四级建设方案的实施对于提升我国网络信息安全的能力具有重要意义。
首先，它能够有效保护用户的数据和隐私，维护用户的合法权益。
等保测评建设方案
等保测评建设方案一、为啥要搞等保测评呢？咱就说啊，现在这个网络世界，那是相当复杂。
各种信息飞来飞去，就像在一个超级大的集市里，啥人都有，啥东西都卖。
咱们的系统里存着那么多重要的数据，就好比是集市里最珍贵的宝贝，要是没有点保护措施，那可就危险喽。
等保测评就像是给咱们的系统请了个超级保镖，这个保镖呢，按照国家规定的标准来检查系统是不是足够安全，哪里有漏洞就赶紧补上，这样咱们才能放心大胆地在网络世界里玩耍，不用担心宝贝被偷走或者被破坏。
二、咱们现在的情况是啥样的呢？1. 系统大概情况。
咱们有几个主要的业务系统，就像一个个小城堡。
有的城堡是对外提供服务的，就像开着门做生意的店铺，很多用户都能进来逛；还有的城堡是内部自己用的，就像自家的小仓库，只有自己人能进去。
这些城堡呢，建筑结构（系统架构）各有不同，用的材料（技术框架）也不太一样，有些是新盖的，用的都是时髦的材料，有些是老房子，虽然也坚固，但是可能有些地方不符合现在的安全潮流了。
2. 安全方面的问题。
咱们目前就像穿着有几个小破洞的衣服，虽然还能遮体，但是风一吹就凉飕飕的，不太安全。
比如说，有的城堡大门（登录界面）的锁不太结实，可能被一些不怀好意的人轻易撬开；还有些地方的围墙（网络边界防护）有点矮，外人很容易就翻进来了。
另外，城堡里面的一些通道（数据传输通道）没有什么保护措施，就像在野外的小路一样，数据在上面走很容易被打劫。
三、等保测评建设的目标。
1. 合规性目标。
咱得按照国家定的等保标准来，就像学生得按照学校的规章制度一样。
这个标准就像一把尺子，量一量咱们的系统到底安不安全。
通过等保测评，拿到合规的证明，就像好学生拿到了奖状，这样咱们在网络世界里就是个遵纪守法的好公民了。
2. 安全性提升目标。
不仅仅是为了那张奖状，更重要的是让咱们的城堡真正坚固起来。
要把大门的锁换成超级牢固的那种，围墙加高加厚，还得在通道上安排些卫士（加密等措施）。
不管是外面来的大坏蛋，还是内部可能出的小叛徒，都别想轻易破坏咱们的系统或者偷走数据。
等保项目实施方案
等保项目实施方案一、项目背景随着信息技术的飞速发展，信息系统在企业、政府和社会各个领域的应用日益广泛。
然而，信息安全问题也日益凸显，网络攻击、数据泄露等安全事件频发，给企业和社会带来了巨大的损失。
为了保障信息系统的安全稳定运行，提高信息安全防护能力，根据国家相关法律法规和标准要求，我们启动了本次等保项目。
二、项目目标本等保项目的目标是对信息系统进行全面的安全评估和整改，使其达到国家规定的相应等级保护要求，确保信息系统的安全性、完整性和可用性，保护企业的核心业务和数据资产，降低信息安全风险。
三、项目范围本次等保项目涵盖了企业内部的核心业务系统，包括但不限于办公自动化系统、财务管理系统、客户关系管理系统等。
四、项目团队及职责1、项目经理负责整个项目的规划、协调和推进。
与相关部门和人员沟通协调，解决项目中的问题。
2、安全评估小组对信息系统进行全面的安全评估，包括漏洞扫描、渗透测试等。
编写安全评估报告，提出整改建议。
3、安全整改小组根据安全评估报告的建议，对信息系统进行安全整改。
负责整改方案的实施和验证。
4、技术支持小组为项目提供技术支持，解决技术难题。
负责对新的安全技术和产品进行选型和测试。
5、质量控制小组对项目的各个环节进行质量控制和监督。
审核项目文档和成果，确保项目质量符合要求。
五、项目进度安排1、项目启动阶段（第 1 周）成立项目团队，明确职责分工。
制定项目计划和实施方案。
2、安全评估阶段（第 2-3 周）对信息系统进行全面的安全评估。
编写安全评估报告。
3、整改方案制定阶段（第 4 周）根据安全评估报告，制定详细的整改方案。
4、安全整改阶段（第 5-7 周）按照整改方案实施整改。
对整改效果进行验证和测试。
5、项目验收阶段（第 8 周）整理项目文档，准备验收材料。
组织项目验收。
六、安全评估流程1、信息收集收集信息系统的相关资料，包括网络拓扑结构、系统架构、业务流程等。
2、漏洞扫描使用专业的漏洞扫描工具对信息系统进行扫描，发现系统中的漏洞和安全隐患。
三级等保建设方案
三级等保建设方案背景在信息化时代，保护信息系统的安全至关重要。
为了确保我国信息系统的安全性，国家制定了一系列等级保护标准。
其中，三级等保标准被广泛应用于各个领域的信息系统。
目标本方案旨在满足三级等保标准，确保信息系统的安全性。
具体目标包括：1. 建立健全的信息安全管理体系；2. 实施各项安全技术措施，确保信息系统的安全性；3. 完善应急响应机制，提高系统对突发事件的应对能力；4. 提供相关培训和意识教育，提升员工的信息安全意识。
三级等保实施步骤步骤一：信息安全管理体系建立1. 成立信息安全管理委员会，负责制定和审核信息安全策略；2. 制定信息安全管理制度，确保信息管理的规范性和有效性；3. 进行信息资产的分类、评估和等级划分；4. 建立合适的信息安全组织架构，明确责任和权限。
步骤二：安全技术措施实施1. 制定基础设施安全策略，包括网络安全、系统安全、数据库安全等；2. 实施访问控制措施，确保只有授权人员可以访问敏感信息；3. 部署入侵检测和防御系统，及时发现和应对安全威胁；4. 加强数据加密和密钥管理，保护敏感数据的安全性。
步骤三：应急响应机制完善1. 制定应急响应计划，详细记录各类安全事件的处理措施；2. 建立安全事件报告和响应流程，确保信息系统的及时恢复；3. 定期进行安全演练，测试应急响应能力；4. 收集和分析安全事件的信息，改进安全防护策略。
步骤四：培训和意识教育1. 开展信息安全培训，包括基础知识、操作规范等方面；2. 定期组织安全意识教育活动，增强员工的安全意识；3. 发放安全宣传资料，提供实用的安全提示和建议；4. 设立信息安全咨询渠道，解答员工的安全疑问。
总结三级等保建设方案旨在确保信息系统的安全性，满足国家相关标准要求。
通过建立信息安全管理体系、实施安全技术措施、完善应急响应机制和提升员工的安全意识，可以有效减少信息系统安全风险，提高系统运行的稳定性和可靠性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
带病运行
风险分析
启明星辰公司简介
目录
基于等保的建设方案综述 XX政府网络安全建设子项分述 安全设备配置清单
信息系统安全等级保护
基本要求 技术要求 管理要求
物 理 安 全
ቤተ መጻሕፍቲ ባይዱ
网 络 安 全
主 机 安 全
应 用 安 全
数 据 安 全
安 全 管 理 机 构
安 全 管 理 制 度
人 员 安 全 管 理
系 统 建 设 管 理
扩大安全关注范围， 涉及应用安全
2007
2009
受邀加入微软MAPP 成立核心技术研究院
2010
2011
2012
技术研究能力领先
启明星辰公司专利 日志管理 漏洞攻击 网络攻击 恶意代码 垃圾邮件 木马 蠕虫 SQL注入 1 1 2 11 1 1 2 4 模式匹配 ddos 拓扑发现 P2P 风险评估 聚类 入侵检测 病毒检测 15 3 2 8 5 1 27 3
DR HZAH
TM
标准制定
• • • 参与了IDS、IPS、UTM、审计 类安全产品的国家标准制定 参与了国家信息安全等级保护 标准制定 受聘国家信息安全等级保护安 全建设指导专家委员会 ......
LM
XSS
协议解析 异常流量 关联分析 爬虫
4
13 3 3 2
云计算
垃圾邮件 Web安全 漏洞扫描
12
• 针对业务系统主机，可通过对操作系统人工加固的方式， 来提升服务器的抗攻击能力，保障服务器的安全性：
系 统 运 维 管 理
网络安全-结构安全
• 基本要求：
根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划 分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段 分配地址段（G2） 避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网 段与其他网段之间采取可靠的技术隔离手段（G3）
• 面对越来越广泛的基于应用层内容的攻击行为，需要采用入侵
检测系统和入侵防御系统，及时识别网络中发生的入侵行为并
实时报警并且进行有效拦截防护。
网络安全-入侵防范（内网）
IPS
IPS
IDS
2015/7/25
网络安全-入侵防范（外网）
IPS
2015/7/25
网络安全-入侵防范
• 入侵检测系统
采用旁路的形式部署在网络中； 能够监视计算机系统或网络中发生的事件，寻找网络入侵行为； 提供告警、全网检测；
• 《关于开展信息安全等级保护安全建设整改工作的指导意见(公信安
[2009]1429号)》 • 《关于开展全国重要信息系统安全等级保护定级工作的通知（公信安
[2007]861号）》
• 《信息安全等级保护管理办法（公通字[2007]43号)》 • 《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知 （发改高技[2008]2071号）》 • 《信息安全等级保护备案实施细则（公信安[2007]1360号）》
【企业愿景】
【愿景】
提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础
设施的安全性和生产效能，成为中国最具主导地位的企业级网络安全供应商，稳步迈入国际网
络安全领导企业行列。
接受两代领导人接见与首肯
江泽民、李岚清、曾庆红等 党和国家领导人亲切视察启明星辰公司
胡锦涛总书记亲切接见 启明星辰公司CEO严望佳博士
6、综合评定对客 体的侵害程度
社会秩序、公共利益
第二级
第三级
第四级 4、业务信息安全 保护等级 7、系统服务安全 保护等级
国家安全
第三级
第四级
第五级
8、定级对象的安全 保护等级
XX政府等级保护定级建议
原则上，政府行业信息安全保护等级不超三级，以下重要信息系统保护等级不低于 第三级：
（1）跨省全国联网运行的信息系统； （2）省级应用系统和数据中心； （3）内网的核心业务信息系统； （4）其他经过信息安全技术专家委员会评定为三级的系统。
XX政府等保建设规划方案
启明星辰
启明星辰公司简介
目录
基于等保的建设方案综述 XX政府安全建设子项分述 安全设备配置清单
启明星辰
【简介】
启明星辰公司成立于1996年，是由留美博士严望佳女士创建的拥有完全自主知识产权的网络
安全高科技企业。是国内最具实力的网络安全产品、可信安全管理平台、专业安全服务与解决方案 的综合提供商。
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，
控制粒度为端口级 （G2） 应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、 TELNET、SMTP、POP3等协议命令级的控制（G3）
网络安全-访问控制（内网）
防火墙
防火墙
防火墙
防火墙
网络安全-访问控制（外网）
WAF
支撑性设施域（网络管理和安全管理）
以安全域为基础进行技术体系建设
第四步 进行实施整改
建 成 后 的 等 级 保 护 体 系
组织体系
安全组织设置和岗位职责
等级保护管理体系
策略体系
安全策略体系设计 安全策略与流程推广实施
运作体系
安全体系推广与落实 项目建设的安全管理 安全风险管理与控制 日常安全运行与维护
第二步：评估并确定防护强度
等级差距评估/预测评 物理弱点评估 主机系统弱点评估 网络配置弱点评估 渗透测试 应用系统弱点评估 整合技术要求
等级保护 技术要求
工具扫描评估
代码分析
数据弱点评估
分等级的 技术措施
等级保护 管理要求
组织体系安全评估 整合管理要求
调查问卷与人工访谈
业务流程安全评估 管理运维安全评估
2 10 3
发现的CVE漏洞占亚洲2/3 国家漏洞库占60%以上
•
139项公开专利
超过同类厂商专利数总和
IDS、SOC、审计等产品 市场占有率第一
国家及行业标准制定
启明星辰公司简介
目录
基于等保的建设方案综述 XX政府安全建设子项分述 安全设备配置清单
公安部及省厅等保建设文件
• 《关于信息安全等级保护工作的实施意见（公通字[2004]66号）》
系统分类
序号 1 2 3 4
信息系统类别 网站 面向内部管理的信息系统 面向公众服务的信息系统 基础支撑系统 信息系统类别
说明
如：协同办公、政府资源管理等
如：信息平台、机房、基础网络等
系统分级
序号
建议定级 三级
三级 三级 三级
1
2 3 4
网站
面向内部管理的信息系统 面向公众服务的信息系统 基础支撑系统
网络安全-安全审计（内网）
运维 审计 安管 平台
网络安全-安全审计（外网）
上网行为 管理
2015/7/25
网络安全-安全审计
• 在内网安全管理区部署运维审计系统：
实现信息系统的运维权限管理 实现运维行为细粒度审计 日志存储、报表分析
• 在内网安全管理区部署安全管理平台：
日志统一格式存储、监控 对设备状态、安全审计等事项集中管理 安全事件及时响应
分等级的 管理措施
第三步：规划设计方案
依据等级保护测评结果，结合现状 和需求，提出体系设计要求 根据体系设计要求，以ISO27001和安全域理论基础 制定安全整改方案，落实建设方案 安全整改实施
安全 策略
边界接入域
计算环境域
管理 制度 操作 规程
以ISO27001标准进行管理体系设计
网络基础设施域
UTM
防病毒 网关
UTM
防病毒 网关
2015/7/25
信息系统安全等级保护
基本要求 技术要求 管理要求
物 理 安 全
网 络 安 全
主 机 安 全
应 用 安 全
数 据 安 全
安 全 管 理 机 构
安 全 管 理 制 度
人 员 安 全 管 理
系 统 建 设 管 理
系 统 运 维 管 理
主机安全-入侵防范
安全域划分步骤
调研和访谈
业务描述
网络描述
了解现状
业务分析
网络结构 分析
业务单元划分
网络结构现状
综合分析
综合分析
威胁分析
安全域划分 边界整合
安全域规划
安全域部署 方案
XX政府内网信息网络安全域划分
XX政府外网网络安全域规划
2015/7/25
网络安全-访问控制
• 基本要求：
应在网络边界部署访问控制设备，启用访问控制功能（G2）
第一步
对相应客体的侵害程度 业务信息安全或系统服 务安全被破坏时受 侵害的客体 一般损害 严重损害
进行系统定级
1、确定定级对象
特别严重损 害
2、确定业务信息安 全受到破坏时所侵 害的客体
5、确定系统服务安 全受到破坏时所侵 害的客体
公民、法人和其他组织 的合法权益
第一级
第二级
第二级
3、综合评定对客 体的侵害程度
安 全 管 理 运 行 中 心
全程全网监控和审计平台 统一监控与审计管理
应用及数据安全
网络及主机安全
等级保护技术体系
第五步 进行等级测评
第一次测评 (现状测评)
第二次测评 (符合性测评)
第三次测评 (监督性测评)
合格 某级 信息系统 定级 基本保护 整改 测评
达到基本的 安全保护
测评
存在缺陷项
标准《定级指南》 GB/T 22240-2008 标准《基本要求》 GB/T 22239-2008
部署需求同内网
注：防火墙需过业务流分析，使用ANY-ANY，是不符合等保要求的！