包2-建设方案.doc

1、- 1 -包 2-建设方案第一章 项目概述3、项目建设方案编制依据1）互联网+政务服务技术体系建设指南2）政务信息资源类规范、标准3）国家、省级、行业建设规范 中办200327 号文件（关于转发国家信息化领导小组关于加强信息安全保障工作的意见的通知） 公通字200466 号文件（关于印发信息安全等级保护工作的实施意见的通知） 公通字200743 号文件（关于印发信息安全等级保护管理办法的通知） 公信安2009 1429关于开展信息安全等级保护安全建设整改工作的指导意见 GB 17859-1999 计算机信息系统安全保护等级划分准则 GB/T 25058-2010 信息安全技术 信息系统安全等级

2、保护实施指南 GB/T 22240-2008 信息安全技术 信息系统安全保护等级定级指南 GB/T 20270-2006 信息安全技术 网络基础安全技术要求- 2 - GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求 GB/T 20272-2006 信息安全技术 操作系统安全技术要求 GB/T 20273-2006 信息安全技术 数据库管理系统通用安全技术要求 GA/T671-2006 信息安全技术 终端计算机系统安全等级技术要求 GA/T 709-2007 信息安全技术 信息系统安全等级保护基本模型 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本

3、要求 GB/T20269-2006 信息系统安全管理要求 ISO/IEC 27001 信息系统安全管理体系标准 GBT 25070-2010 信息系统等级保护安全设计技术要求 GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求 国土资源部信息化工作办公室关于国土资源信息安全等级保护工作的指导意见 关于印发国土资源信息系统安全等级保护定级工作方案的通知 （国土资信办发200714 号） 国土资源部信息化工作办公室关于国土资源信息安全等级保护工作的指导意见国土资信办发20126 号- 3 - 关于开展全国重要信息系统安全等级保护定级工作的通知 （公通字2007861 号）

4、信息安全等级保护密码管理办法 信息安全等级保护商用密码技术要求4、项目概况4.1 项目背景信息安全等级保护是我国信息安全保障的基本制度、基本策略、基本方法，是促进信息化发展、维护国家信息安全的根本保障。开展国土资源信息安全等级保护工作，是解决国土资源信息安全面临的威胁和存在的主要问题的重要手段，是对非涉密重要信息系统进行安全保障的重大措施，能够有效地保护国土资源信息和信息系统的安全，对促进国土资源信息化健康有序发展有着特别重要意义。目前马鞍山市国土资源局核心业务系统国土“一张图”及综合监管平台已完成信息安全等级保护备案工作，并已制定信息安全建设整改方案进行整改，下一步将开展信息安全等级保护测评

5、工作。4.2 建设目标通过对目标系统在安全技术及管理方面的测评，对系统的安全技术状态及安全管理状况做出判断，给出目标系- 4 -统在安全技术及安全管理方面与其相应安全等级保护要求之间的符合性结论。测评结论作为委托方进一步完善系统安全策略及安全技术防护措施依据。4.3 部门业务需求说明对已定级的信息系统开展等级保护测评服务。4.4 项目建设的意义和必要性国土资源部先后出台了国土资源部信息化工作办公室关于国土资源信息安全等级保护工作的指导意见 、 关于印发国土资源信息系统安全等级保护定级工作方案的通知 （国土资信办发200714 号） 、 国土资源部信息化工作办公室关于国土资源信息安全等级保护工作

6、的指导意见国土资信办发（20126 号）等系列文件，对加强国土资源信息系统的信息安全以及实施等级保护均做出了明确要求。加强“一张图”及综合监管平台信息安全等级保护建设，提高信息系统安全防护能力，使其达到对应等级保护要求，既是落实上级主管部门的文件要求，也是为全市国土资源管理工作信息安全得到保障基础。- 5 -第 2 章 信息化现状分析1、现有信息系统装备和信息化应用状况1.1 软件建设序号 名称 提供商 软件功能概述建设日期使用情况1国土资源“一张图”及综合监管平台南京国图 2013 年 正常1.2 硬件建设序号名称数量品牌型号硬件配置情况采购日期使用情况1 服务器 1浪潮NF5240M3 E

7、5-2630/32G 2012 年服务器虚拟化2服务器1浪潮NF5280M4 E5-2630/32G 2013 年服务器虚拟化3服务器1浪潮NF5280M3 E5-2620/32G 2012 年服务器虚拟化4服务器1浪潮NF5280M3 E5-2620/32G 2012 年服务器虚拟化5服务器1浪潮NF5280M4 E5-2620/32G 2013 年服务器虚拟化6服务器1浪潮NF5280M4 E5-2620/32G 2013 年服务器虚拟化7服务器1浪潮NF8560M2 E7-4820/64G 2013 年服务器虚拟化8服务器1浪潮NF8560M2 E7-4820/64G 2013 年服务器

8、虚拟化9 服务器 1 浪潮 E7-4820/64G 2013 年 服务器- 6 -NF8560M2 虚拟化10服务器1浪潮NF8560M2 E7-4820/64G 2013 年服务器虚拟化11服务器1浪潮NF5280M3 E5-2620/32G 2012 年服务器虚拟化12服务器1浪潮NF5280M3 E5-2620/32G 2012 年服务器虚拟化13服务器1浪潮NF5280M3 E5-2620/32G 2012 年服务器虚拟化14服务器1浪潮NF5280M3 E5-2620/32G 2012 年服务器虚拟化15 服务器 2华为 5885H V3 E7-4830/256G 2017 年虚拟化

9、平台管理主机16 存储 1 1 AS520G 21.8T 2016 年 100%17 存储 2 1 AS500G 23.63T 2013 年 100%18 存储 1 1 AS500G 12.71T 2012 年房产数据19 存储 2 1 AS500G 14.52T 2012 年房产数据20 防火墙 2 USG657010 核 CPU，4G 内存，8 个千兆电器和 4 个千兆光口。2017 年一张图系统21文档安全网关 1防水坝数据防泄漏系统41000M； 可 扩 展 光口 ;MTBF80,000；2017 年 一张图系统22终端安全管理系统1防水坝数据防泄漏系统2017 年 一张图系统23安全

10、审计系统 1天玥 OSM-3300标 准 机 架 式 设 备 ， 配置 6 个 千 兆 电 口 和 1 个 接 口 板 扩 展 插 槽 ；设 备 自 带 内 部 存 储 容量 1T2017 年 一张图系统24数据库审计系统1天玥GE1500ER2U 机 架 设 备 ， 存 储空 间2000G； 配 置 6 个 电口 和 4 个 千 兆 多 模2017 年 一张图系统- 7 -光 口 ，25 网闸 1 光闸 II 型14 个 10/100M/1000M RJ-45 接 口 （ 千 兆 电 口 ） ,12 个 SFP 光 口 ， 管 理 口 ： 4 个 Console 口 ；2017 年 一张图系

11、统1.3 网络建设已有电信 100M 光纤 3 条。1.4 基础环境建设序号 面积 空调 UPS 网管 监控 气体灭火 建设日期 使用情况1 80平方 2 1 1 4 4 2010 年 正常2 1 2017 年 正常2、信息系统装备和应用目前存在的主要问题马鞍山市国土“一张图”及综合监管平台是马鞍山市国土局的重要信息系统，是国土局的各项业务工作正常开展的基础保障。 “一张图”及综合监管平台自建设以来，未曾按照信息安全等级保护要求开展信息安全等级保护测评。- 8 -第三章 测评方案1、测评实施原则 符合性原则：应符合国家信息安全等级保护制度及相关法律法规，指出防范的方针和保护的原则。 标准性原则

12、：方案设计、实施与信息安全体系的构建应依据国内、国际的相关标准进行。 规范性原则：项目实施应由专业的等级测评师依照规范的操作流程进行，在实施之前将详细量化出每项测评内容，对操作过程和结果提供规范的记录，以便于项目的跟踪和控制。 可控性原则：项目实施的方法和过程要在双方认可的范围之内，实施进度要按照进度表进度的安排，保证项目实施的可控性。 整体性原则：安全体系设计的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患。 最小影响原则：项目实施工作应尽可能小的影响网络和信息系统的正常运行，不能对信息系统的运行和业务的正常提供产生显著影响。- 9 - 保密原则：对项目实施过

13、程获得的数据和结果严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据和结果进行任何侵害测评委托单位利益的行为。2、测评范围本次测评系统为国土资源管理“一张图”及综合监管平台。3、测评内容对该平台进行十个安全层面的等级保护安全测评（物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理） 。信息系统安全等级保护测评包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基

14、础。安全控制测评使用测评单元方式组织，分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面上的安全控制测评；安全管理测评包括：安全管理机- 10 -构、安全管理制度、人员安全管理、系统建设管理和系统运维管理五个方面的安全控制测评。具体见下图：图 1 安全控制测评图示系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关。在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，分析评估安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性。信息系统等级保护整体测评的层次关系如下图所示: