1、XX 市 XX 学院等级保护（三级）建设方案2017 年 1 月目录一、工程概况 .4二、需求分析 .41、建设背景 .52、建设目标 .5三、设计原则及依据 .71、设计原则 .72、设计依据 .8四、方案整体设计 .91、信息系统定级 .91、等级保护完全实施过程 .112、能力、措施和要求 .113、基本安全要求 .124、系统的控制类和控制项 .125、物理安全保护要求 .136、网络安全保护要求 .147、主机安全保护要求 .148、应用安全保护要求 .159、数据安全与备份恢复 .1610、安全管理制度 .1711、安全管理机构 .1712、人员安全管理 .1813、系统建设管理
2、.1814、系统运维管理 .192、等级保护建设流程 .202、网络系统现状分析 .211、网络架构 .222、可能存在的风险 .233、等保三级对网络的要求 .241、结构安全 .242、访问控制 .253、安全审计 .254、边界完整性检查 .255、入侵防范 .266、恶意代码防范 .267、网络设备防护 .264、现状对比与整改方案 .261、 现状对比 .272、控制点整改措施 .303、详细整改方案 .324、设备部署方案 .34五、产品选型 .381、选型建议 .382、选型要求 .393、设备选型清单 .39六、公司介绍 .40一、工程概况信息安全等级保护是对信息和信息载体按照
3、重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作XX 市 XX 学院是 2008 年元月，经自治区人民政府批准，国家教育部备案的公办全日制高等职业技术院校。学院以高等职业教育为主，同时兼有中等职业教育职能。学院开拓办学思路，加大投入，改善办学条件，拓宽就业渠道，内引外联，确立了面向社会、服务市场，重在培养学生的创新精神和实践能力的办学宗旨。学院本着让学生既成才，又成人的原则，优化人才培养模式，狠抓教育教学质量，增强学生实践动手能力，注重对学生加强德育和行为
4、规范教育，为企业和社会培养具有全面素质和综合职业能力的应用型专门人才。学院雄厚的师资力量、先进的教学设备、严格的日常管理、完善的文体设施、优质的后勤服务以及宽敞洁净的学生公寓和食堂，为广大师生提供了优美、舒适、理想的学习、生活和工作环境。信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整
5、体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。二、需求分析为了保障国家关键基础设施和信息的安全，结合我国的基本国情，制定了等级保护制度。并将等级保护制度作为国家信息安全保障工作的基本制度、基本国策，促进信息化、维护国家信息安全的根本保障。1、建设背景随着我国学校信息化建设的逐步深入，学校教务工作对信息系统依赖的程度越来越高，教育信息化建设中大量的信息资源，成为学校成熟的业务展示和应用平台，在未来的教育信息化规划中占有非常重要的地位。从安全性上分析，高校业务应用和网络系统日益复杂，外部攻击、
6、内部资源滥用、木马和病毒等不安全因素越来越显著，信息化安全是业务应用发展需要关注的核心和重点。为贯彻落实国家信息安全等级保护制度，规范和指导全国教育信息安全等级保护工作，国家教委教办厅函200980 文件发出 “关于开展信息系统安全等级保护工作的通知” ；教育部教育管理信息中心发布教育信息系统安全等级保护工作方案 ；教育部办公厅印发关于开展教育系统信息安全等级保护工作专项检查的通知 （教办厅函2010 80 号） 。XX 市 XX 学院的网络系统在近几年逐步完善，作为一个现代化的教学机构网络, 除了要满足高效的内部自动化办公需求以外,还应对外界的通讯保证畅通。结合学校的“校务管理” 、 “教学
7、科研” 、 “招生就业” 、 “综合服务”等业务信息平台，要求网络必须能够满足数据、语音、图像等综合业务的传输要求，所以在这样的网络上应运用多种设备和先进技术来保证系统的正常运作和稳定的效率。同时学校的网络系统中内部及外部的访问量巨大，访问人员比较复杂，所以如何保证学校网络系统中的数据安全问题尤为重要。在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。2、建设目标本次 XX
8、 市 XX 学院业务系统等级保护安全建设的主要目标是：按照等级保护要求，结合实际业务系统，对学院核心业务系统进行充分调研及详细分析，将学院核心业务系统系统建设成为一个及满足业务需要，又符合等级保护三级系统要求的业务平台。 建设一套符合国家政策要求、覆盖全面、重点突出、持续运行的信息安全保障体系，达到国内一流的信息安全保障水平，支撑和保障信息系统和业务的安全稳定运行。该体系覆盖信息系统安全所要求的各项内容，符合信息系统的业务特性和发展战略，满足学院信息安全要求。本方案的安全措施框架是依据“积极防御、综合防范”的方针，以及“管理与技术并重”的原则，并结合等级保护基本要求进行设计。技术体系：网络层面
9、：关注安全域划分、访问控制、抗拒绝服务攻击，针对区域边界采取防火墙进行隔离，并在隔离后的各个安全区域边界执行严格的访问控制，防止非法访问；利用漏洞管理系统、网络安全审计等网络安全产品，为客户构建严密、专业的网络安全保障体系。应用层面：WEB 应用防火墙能够对 WEB 应用漏洞进行预先扫描，同时具备对 SQL 注入、跨站脚本等通过应用层的入侵动作实时阻断，并结合网页防篡改子系统，真正达到双重层面的“网页防篡改”效果。数据层面，数据库将被隐藏在安全区域，同时通过专业的安全加固服务对数据库进行安全评估和配置，对数据库的访问权限进行严格设定，最大限度保证数据库安全。同时，利用 SAN、远程数据备份系统
10、有效保护重要数据信息的健康度。管理体系：在安全管理体系的设计中，我们借助丰富的安全咨询经验和对等级保护管理要求的清晰理解，为用户量身定做符合实际的、可操作的安全管理体系。安全服务体系：风险评估服务：评估和分析在网络上存在的安全技术分析，分析业务运作和管理方面存在的安全缺陷，调查系统现有的安全控制措施，评价用户的业务安全风险承担能力；安全监控服务：通过资深的安全专家对各种安全事件的日志、记录实时监控与分析，发现各种潜在的危险，并提供及时的修补和防御措施建议；渗透测试服务：利用网络安全扫描器、专用安全测试工具和专业的安全工程师的人工经验对网络中的核心服务器及重要的网络设备进行非破坏性质的模拟黑客攻
11、击，目的是侵入系统并获取机密信息并将入侵的过程和细节产生报告给用户；应急响应服务：针对信息系统危机状况的紧急响应、分析、解决问题的服务，当信息系统发生意外的突发安全事件时，可以提供紧急的救援措施。方案收益实施信息安全等级保护建设工作可以为高校信息化建设实现如下收益： 有利于提高信息和信息系统安全建设的整体水平； 有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设协调发展； 有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本； 有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障重要信息系统的安全； 有利于明确信息安全责任
12、，加强信息安全管理； 有利于推动信息安全的发展三、设计原则及依据1、设计原则根据学院的要求和国家有关法规的要求，本系统方案设计遵循性能先进、质量可靠、经济实用的原则，为实现学院等级保护管理奠定了基础。 全面保障：信息安全风险的控制需要多角度、多层次，从各个环节入手，全面的保障。 整体规划，分步实施：对信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。 同步规划、同步建设、同步运行：安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给业务系统带来危害。 适度安全：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性的平衡点。 内外并重：
13、安全工作需要做到内外并重，在防范外部威胁的同时，加强规范内部人员行为和访问控制、监控和审计能力。 标准化管理要规范化、标准化，以保证在能源行业庞大而多层次的组织体系中有效的控制风险。 技术与管理并重：网络与信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。2、设计依据根据学院现有情况，本次方案的设计严格按照现行中华人民共和国以及内蒙古自治区与行业的工程建设标准、规范的要求执行。在后期设计或实施过程中，如国家有新法规、规范颁布，应以新颁布的法规规范为准。本方案执行下列有关技术标准、规范、规程但不限于以下技术标准
14、、规范、规程。 计算机信息系统安全等级保护划分准则 （GB 17859-1999） 信息系统安全等级保护实施指南 （GB/T 25058-2010） 信息系统安全保护等级定级指南 （GB/T 22240-2008） 信息系统安全等级保护基本要求 （GB/T 22239-2008） 信息系统通用安全技术要求 （GB/T 20271-2006） 信息系统等级保护安全设计技术要求 （GB/T 25070-2010） 信息系统安全等级保护测评要求 （GB/T 28448-2012） 信息系统安全等级保护测评过程指南 （GB/T 28449-2012） 信息系统安全管理要求 （GB/T 20269-20
15、06） 信息系统安全工程管理要求 （GB/T 20282-2006） 信息系统物理安全技术要求 （GB/T 21052-2007） 网络基础安全技术要求 （GB/T 20270-2006） 信息系统通用安全技术要求 （GB/T 20271-2006） 操作系统安全技术要求 （GB/T 20272-2006） 数据库管理系统安全技术要求 （GB/T 20273-2006） 信息安全风险评估规范 （GB/T 20984-2007） 信息安全事件管理指南 （GB/T 20985-2007） 信息安全事件分类分级指南 （GB/Z 20986-2007） 信息系统灾难恢复规范 （GB/T 20988-2
16、007）四、方案整体设计1、信息系统定级确定信息系统安全保护等级的流程如下： 识别单位基本信息 了解单位基本信息有助于判断单位的职能特点，单位所在行业及单位在行业所处的地位和所用，由此判断单位主要信息系统的宏观定位。 识别业务种类、流程和服务 应重点了解定级对象信息系统中不同业务系统提供的服务在影响履行单位职能方面具体方式和程度，影响的区域范围、用户人数、业务量的具体数据以及对本单位以外机构或个人的影响等方面。这些具体数据即可以为主管部门制定定级指导意见提供参照，也可以作为主管部门审批定级结果的重要依据。 识别信息 调查了解定级对象信息系统所处理的信息，了解单位对信息的三个安全属性的需求，了解
17、不同业务数据在其保密性、完整性和可用性被破坏后在单位职能、单位资金、单位信誉、人身安全等方面可能对国家、社会、本单位造成的影响，对影响程度的描述应尽可能量化。 识别网络结构和边界 调查了解定级对象信息系统所在单位的整体网络状况、安全防护和外部连接情况，目的是了解信息系统所处的单位内部网络环境和外部环境特点，以及该信息系统的网络安全保护与单位内部网络环境的安全保护的关系。 识别主要的软硬件设备调查了解与定级对象信息系统相关的服务器、网络、终端、存储设备以及安全设备等，设备所在网段，在系统中的功能和作用。调查设备的位置和作用主要就是发现不同信息系统在设备使用方面的共用程度。 识别用户类型和分布调查了解各系统的管理用户和一般用户，内部用户和外部用户，本地用户和远程用户等类型，了解用户或用户群的数量分布，判断系统服务中断或系统信息被破坏可能影响的范围和程度。 根据信息安全等级矩阵表，形成定级结果
