1、1XX 公司信息安全建设规划建议书昆明睿哲科技有限公司2013 年 11 月2目录第 1 章 综述 .31.1 概述 .31.2 现状分析 .41.3 设计目标 .8第 2 章 信息安全总体规划 .102.1 设计目标、依据及原则 .102.1.1 设计目标 .102.1.2 设计依据 .102.1.3 设计原则 .112.2 总体信息安全规划方案 .122.2.1 信息安全管理体系 .122.2.2 分阶段建设策略 .18第 3 章 分阶段安全建设规划 .203.1 规划原则 .203.2 安全基础框架设计 .21第 4 章 初期规划 .234.1 建设目标 .234.2 建立信息安全管理体
2、系 .234.3 建立安全管理组织 .25第 5 章 中期规划 .285.1 建设目标 .285.2 建立基础保障体系 .285.3 建立监控审计体系 .285.4 建立应急响应体系 .305.5 建立灾难备份与恢复体系 .34第 6 章 三期规划 .376.1 建设目标 .376.2 建立服务保障体系 .376.3 保持和改进 ISMS .38第 7 章 总结 .397.1 综述 .397.2 效果预期 .397.3 后期 .393第 1 章 综 述1.1 概 述信息技术革命和经济全球化的发展，使企业间的竞争已经转为技术和信息的竞争，随着企业的业务的快速增长、企业信息系统规模的不断扩大，企业
3、对信息技术的依赖性也越来越强，企业是否能长期生存、企业的业务是否能高效的运作也越来越依赖于是否有一个稳定、安全的信息系统和数据资产。因此，确保信息系统稳定、安全的运行，保证企业知识资产的安全，已经成为现代企业发展创新的必然要求，信息安全能力已成为企业核心竞争力的重要部分。企业高度重视客户及生产信息，生产资料，设计文档，知识产权之安全防护。而终端，服务器作为信息数据的载体，是信息安全防护的首要目标。与此同时，随着企业业务领域的扩展和规模的快速扩张，为了满足企业发展和业务需要，企业的 IT 生产和支撑支撑系统也进行了相应规模的建设和扩展，为了满足生产的高速发展，市场的大力扩张，企业决定在近期进行信
4、息安全系统系统的调研建设，因此随着 IT 系统规模的扩大和应用的复杂化，相关的信息安全风险也随之而来，比如病毒、蠕虫、垃圾邮件、间谍软件、流氓软件、数据截获、嗅探、监听、肆意泛滥，内部机密数据泄漏、办公系统受到影响等等，因此为了保证企业业务正常运营、制卡系统的高效安全的运行，不因各种安全威胁的破坏而中断，信息安全建设不可或缺，信息安全建设必然应该和当前的信息化建设进行统一全局考虑， 应该在相关的重要信息化建设中进行安全前置的考虑和规划，避免安全防护措施的遗漏，安全防护的滞后造成的重大安全事件的发生。 。4本次企业信息安全体系建设规划主要考虑采用各种被证明是行之有效的各种信息安全产品和技术，帮助
5、企业建设一个主动、高效、全面的信息安全防御体系，降低信息安全风险，更好的为企业生产和运营服务。1.2 现 状 分 析目前企业已经在前期进行了部分信息安全的建设，包括终端上的一部分防病毒，网络边界处的基本防火墙等安全软件和设备，在很大程度上已经对外部威胁能有一个基本的防护能力，但是如今的安全威胁和攻击手段日新月异，层出不穷，各种高危零日漏洞不断被攻击者挖掘出来，攻击的目标越来越有针对性，目前的企业所面临的全球安全威胁呈现如下几个新的趋势： 恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防：如何防范未知威胁，抵御不同攻击手段和攻击途径带来的信息安全冲击? 高级、有针对性的高危持续性攻
6、击 APT 已蔓延至各类规模企业：如何阻止不同的攻击手段？不仅仅是防病毒！需要服务器，终端，网络，数据等各方面多层次的防护，增加威胁防范能力 复杂混乱的应用与外接设备环境：如何确保应用和设备的准入控制？ 繁琐枯燥的系统维护和安全管理：如何更有效利用有限的信息人力资源？ 工具带来的新问题：如何保证安全策略的强制要求，统一管理和实施效果？ 终端接入不受控：如何确保终端满足制定的终端安全策略-终端准入控制 网页式攻击(Web-based Attack) 已成为最主流的攻击手法：如何确保访问可靠网站？ 内外部有意无意的信息泄露将严重影响企业的声誉和重大经济损失5从目前大多数企业的信息安全建设来看，针对
7、以上的目前主流的新形势的信息威胁，企业在安全建设上还面临安全防护需要进一步依靠国际先进技术增强主动防御，纵深防御的能力，目前大多数企业在安全防护上还有如下的欠缺：1.2.1 目前信息安全存在的问题在信息系统安全评估中我们对网络设备、主机系统、数据库系统、应用系统、网络扫描、安全管理等等方面进行了安全评估，发现主要有如下的问题：网络设备安全：访问控制问题 网络设备安全漏洞 设备配置安全系统安全： 补丁问题 运行服务问题 安全策略问题 弱口令问题 默认共享问题 防病毒情况6应用安全： exchange 邮件系统的版本问题 apache、iis、weblogic 的安全配置问题 serv-U 的版本
8、问题 radmin 远程管理的安全问题数据安全： 数据库补丁问题 Oracle 数据库默认帐号问题 Oracle 数据库弱口令问题 Oracle 数据库默认配置问题 Mssql 数据库默认有威胁的存储过程问题网络区域安全： 市局政务外网安全措施完善 市局与分局的访问控制问题 分局政务外网安全措施加强安全管理： 没有建立安全管理组织 没有制定总体的安全策略 没有落实各个部门信息安全的责任人 缺少安全管理文档通过安全评估中的安全修复过程，我们对上述大部分的的安全问题进行了修补，但是依然存在残余的风险，主要是数据安全（已安排升级计划） 、网络区域安全和安全管理方面的问题。 所以当前信息安全存在的问题
9、，主要表现在如下的几个方面：1. 在政务外网中，市局建立了基本的安全体系，但是还需要进一步的完善，例 如政务外网总出口有单点故障的隐患、门户网站有被撰改的隐患。另外分局并没有实施任何的防护措施，存在被黑客入侵的安全隐患；2. 在政务内网中，市局和分局之间没有做访问控制，存在蠕虫病毒相互扩散的 可能。另外，如果黑客入侵了分局的政务内网后，可能进一步的向市局进行渗透攻击。3. 原有的信息安全组织没有实施起来，没有制定安全总体策略；没有落实信息 安全责任人。导致信息安全管理没有能够自上而下的下发策略和制度，信息安全管理没有落到实处。74. 通过安全评估，建立了基本的安全管理制度；但是这些安全管理制度
10、还没有 落实到日常工作中，并且可能在实际的操作中根据实际的情况做一些修改。5. 没有成立安全应急小组，没有相应的应急事件预案；缺少安全事件应急处理 流程与规范，也没有对安全事件的处理过程做记录归档。6. 没有建立数据备份与恢复制度；应该对备份的数据做恢复演练，保证备份数 据的有效性和可用性，在出现数据故障的时候能够及时的进行恢复操作。7. 目前市局与分局之间的政务内网是租用天威的网络而没有其它的备用线路。 万一租用的天威网络发生故障将可能导致市局与分局之间的政务内网网络中断。通过信息安全风险评估，对发现的关于操作系统、数据库系统、网络设备、应用系统等等方面的漏洞，并且由于当时信息安全管理中并没
11、有规范的安全管理制度，也是出现操作系统、数据库系统、网络设备、应用系统等漏洞的原因之一。为了达到对安全风险的长期有效的管理，我们建议建设 ISMS（信息安全管理体系） ，对安全风险通过 PDCA 模型，输出为可管理的安全风险。1.2.2 常见的信息系统面临的风险和威胁大致如下：根据目前的安全威胁，企业的信息安全面临的问题是信息安全仅作为后台数据的保障前端业务应用和后端数据库信息安全等级不高信息安全只是建立在简单的“封、堵”上，不利提升工作效率和协同办公因此，对于企业来说，在新的 IT 环境下，需要就如下的安全考虑，根据合理的规划进行分期建设。业务模式正在发生改变，生产、研发等系统的实施，信息安
12、全应全面面向应用，信息安全须前置，以适应业务的安全要求。8用户终端的多样化也应保持足够的安全。数据集中化管控和网络融合后所需的安全要求。数据中心业务分区模块化管理及灾备应急机制1.3设 计 目 标为企业设计完善的信息安全管理体系，增强企业信息系统抵御安全风险的能力，为企业生产及销售业务的健康发展提供强大的保障。1.通过对企业各 IT 系统的风险分析，了解企业信息系统的安全现状和存在的各种安全风险，明确未来的安全建设需求。2.完成安全管理体系规划设计，涵盖安全管理的各个方面，设计合理的建设流程，满足中长期的安全管理要求。提供如下安全管理项目： 人员管理 规划制订和建设流程规划 安全运维管理及资产
13、管理3.完成安全技术体系规划设计，设计有前瞻性的安全解决方案，在进行成本/效益分析的基础上，选用主流的安全技术和产品，建设主动、全面、高效的技术防御体系，将企业面临的各种风险控制在可以接受的范围之内。针对整体安全规划计划，在接下来的几年内分期建设，最终满足如下安全防护需求： 网络边界安全防护 安全管理策略 关键业务服务器的系统加固，入侵防护，关键文件监控和系统防护 网络和服务器安全防护及安全基线检查与漏洞检测 增强终端综合安全防护9 强化内部人员上网行为管理 建设机密数据防泄漏和数据加密，磁盘加密 网络信任和加密技术防护 建设，强化容灾和备份管理4.加强企业内部的 IT 控制与审计，确保 IT
14、 与法律、法规，上级监管单位的要求相符合，比如： 需要满足国家信息系统安全系统的安全检查要求 需要满足国家信息系统安全等级保护基本要求10第 2 章 信 息 安 全 总 体 规 划2.1 设 计 目 标 、 依 据 及 原 则2.1.1 设 计 目 标电子政务网是深圳市电子政务业务的承载和体现，是电子政务的重要应用，存储着的重要的数据资源，流动着经济建设和社会生活中重要的数据信息。所以必须从硬件设施、软件系统、安全管理几方面，加强安全保障体系的建设，为电子政务应用提供安全可靠的运行环境。2.1.2 设 计 依 据国家信息化领导小组关于我国电子政务建设指导意见国家信息化领导小组关于加强信息安全保障工作的意见电子政务总体框架电子政务信息安全保障技术框架电子政务信息安全等级保护实施指南信息安全等级保护管理办法信息技术安全技术信息技术安全性评估准则计算机信息系统安全保护等级划分准则电子计算机场地通用规范计算机场地安全要求计算机信息系统安全保密测评指南同时在评定其信息资产的价值等级时，也将参考ISO17799/BS7799/ISO15408/ISO13335/ISO7498-2 等国际标准。电子政务网将依据信息价值的保密性影响、信息价值完整性影响、信息价值的可用性影响等多个方面，来对信息资产的价值等级进行划分为五级，第一级为最低级，第五级为最高级。
