金融行业等级测评指引介绍

《金融行业信息系统信息安全等级保护实施指引》介绍金融标准化宣贯材料之十一实施指引与其他标准的关联性分析金融行业信息系统等保基本要求细则行业内通用建设\实施措施调研《信息系统等级保护安全设计技术要求》GB/T25070—2010金融行业等保实施指引人行已发布的信息安全标准规范金融行业已发布的信息安全标准规范《信息系统安全等级保护基本要求》GB/T22239—2008实施指引知识要点一、实施指引整体介绍二、实施指引体系方法及架构设计三、实施指引详细内容介绍一、实施指引整体介绍《金融行业信息系统信息安全等级保护实施指引》（简称“实施指引”）规范制定的目的是在满足金融行业信息安全发展需要，同时符合国家等级保护基本要求和设计技术要求，为金融行业的信息安全建设提供方法论、具体的建设措施及技术指导。本实施指引依据国家《信息系统安全等级保护基本要求》和《信息系统等级保护安全设计技术要求》标准，结合金融行业特点，对不同等级的应用系统进行具体要求，以保障将国家等级保护要求行业化，具体化，提高金融行业重要网络和信息系统信息安全防护水平。根据金融行业特点本实施指引补充细化国家《信息系统安全等级保护基本要求》（GB/T22239-2008）二级、三级、四级要求项（第四章保护要求中加粗要求项），并新增追加金融行业增强安全保护类（F类），F类要求作为金融行业的增强性安全要求分布在S、A、G类的要求中。一、实施指引整体介绍等级保护要求按应用系统保护的侧重点不同，将其基础控制点分为三类：信息安全类（S类）关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改。如，自主访问控制，该控制点主要关注的是防止未授权的访问系统，进而造成数据的修改或泄漏。至于对保证业务的正常连续运行并没有直接的影响。服务保证类（A类）关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用。如，数据的备份和恢复，该控制点很好的体现了对业务正常运行的保护。通过对数据进行备份，在发生安全事件后能够及时的进行恢复，从而保证了业务的正常运行。通用安全保护类（G类）既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。大多数技术类安全要求都属于此类，保护的重点既是为了保证业务能够正常运行，同时数据要安全。如，物理访问控制，该控制点主要是防止非授权人员物理访问系统主要工作环境，由于进入工作环境可能导致的后果既可能包括系统无法正常运行（如，损坏某台重要服务器），也可能窃取某些重要数据。因此，它保护的重点二者兼而有之。一、实施指引整体介绍根据金融行业特点和要求加入增强安全要求：金融行业增强安全保护类（F类）——根据金融行业业务特点提出的特殊安全要求。F类要求作为金融行业的增强性安全要求分布在S、A、G类的要求中。根据定级系统服务保证性等级选择相应等级的系统服务保证类（A类）基本安全要求；根据业务信息安全性等级选择相应等级的业务信息安全类（S类）基本安全要求。金融行业重要的非涉密信息系统是由二级系统、三级系统、四级系统组成。网络一般由办公网、业务网和互联网组成，办公网为涉密网，三网均为单独的网络系统，彼此物理隔离。本实施指引为业务网、互联网及网内信息系统提出安全要求和建议措施。一、实施指引整体介绍规范分三大部分体系化方法及架构设计细化落实等保的具体要求具体的等保实施措施一、实施指引整体介绍实施指引目录背景、目的、引用文件介绍指引编制的依据和设计思路体系化的方法论及架构设计1.细化落实等保的具体要求2.金融行业增强保护类（F）实施指引知识要点一、实施指引整体介绍二、实施指引体系方法及架构设计三、实施指引详细内容介绍接入层安全汇聚层安全中间件系统安全数据层安全入安全物理安全网络安全主机安全应用安全数据安全安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理基本管理要求基本技术要求一级二级三级四级五级不同安全保护等级等级保护基本要求二、实施指引体系方法及架构设计等级保护安全设计技术要求二、实施指引体系方法及架构设计金融行业网络结构与联网机构关系示意图二、实施指引体系方法及架构设计总行的纵深防御设计二、实施指引体系方法及架构设计计算环境域通信网络区域边界接入子域服务子域内联广域网城市金融网内部区域边界外部区域边界对外系统接入子域用户接入子域对内系统接入子域对内服务子域对外服务子域二、实施指引体系方法及架构设计用户接入域存在的风险未授权用户非法接入病毒、木马在内网迅速传播用户操作风险非授权文件的随意拷贝与打印用户接入域防范重点及应对措施统一用户权限管理引入统一的防病毒管理机制用户区域划分VLAN引入系统变更管理引入防数据泄漏系统AAA技术（Authentication认证,Authorization授权,Audit审计）针对安全域的特点进行风险分析二、实施指引体系方法及架构设计概念和内容子域的划分原则和要求结构要求网络设备关联关系VLAN划分设备要求网络设备安全设备服务器设备系统要求应用要求数据要求针对每个安全域及子域提出相应设计要求二、实施指引体系方法及架构设计结构安全防护建设措施设备安全防护建设措施网络设备安全防护建设措施安全设备安全防护建设措施服务器设备安全防护建设措施系统要求应用安全防护建设措施数据安全防护建设措施针对每个安全域及子域提出相应设计要求二、实施指引体系方法及架构设计计算环境是对定级系统的信息进行存储、处理及实施安全策略的相关部件，计算环境安全是信息系统安全保护的核心与基础。计算环境安全指通过终端、服务器操作系统、上层应用系统和数据库的安全机制与服务，保障应用业务处理全过程的安全。通过在操作系统核心层设置以强制访问控制为主体的系统安全机制，形成严密的安全保护环境，通过对用户行为的控制，有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性，从而为业务应用系统的正常运行和免遭恶意破坏提供支撑和保障。计算环境域防护主要针对信息系统的主机安全、应用安全及数据安全。计算环境二、实施指引体系方法及架构设计计算环境包含接入域，交换域和服务域：接入域根据金融行业的业务特点和接入关系而细分出的安全域，是应用系统防范的第一道屏障。根据接入的不同可分为对内系统接入域、对外系统接入域和用户接入域三个部分。对内系统接入子域——部署与内部机构互联的网络设施以及相关应用服务设施且不对外部机构提供服务。该子域物理上分布在总行、各分行、营业管理部、省会（首府）城市中心支行、副省级城市中心支行和地市中心支行等。对外系统接入子域——部署与外部机构互联的网络设施以及相关应用服务设施。该子域物理上分布在总行、营业管理部、省会（首府）城市中心支行、副省级城市中心支行和地市中心支行（外部接入中转子域）。用户接入子域——部署内部各类桌面终端，该子域物理上分布在总行、各分行、营业管理部、省会（首府）城市中心支行、副省级城市中心支行、地市中心支行和县支行、以及各直属单位。二、实施指引体系方法及架构设计计算环境：服务域服务域将应用系统的层次架构与服务设施类别相结合，服务域划分为以下两个子域：对外服务子域——部署为外部机构提供服务的信息系统业务服务设施，划分为资金类服务和信息类服务两个二级子域，二级子域可根据信息系统类别进一步划分三级子域。外部服务子域只与基础服务平台、对外资源产生逻辑访问关系。其中对外资源部署为外部机构提供服务的信息系统资源服务设施（主要包括数据库服务器、存储系统）。对外资源设施为外部业务服务对内服务子域——部署为内部提供服务的信息系统业务服务设施，划分为决策类服务、业务类服务和办公类服务等三个二级子域，二级子域可根据信息系统类别进一步划分三级子域。内部服务子域只与基础服务平台、对内资源产生逻辑访问关系。其中对内资源部署为内部提供服务的信息系统资源服务设施（主要包括数据库服务器、存储系统）。对内资源服务设施只为对内业务服务设施提供数据资源服务，是纵深防御体系重点防护的IT核心资产。二、实施指引体系方法及架构设计区域边界是定级系统的安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件。区域边界安全指通过对进入和流出应用环境的信息流进行安全检查和访问控制，确保不会有违背系统安全策略的信息流经过边界。区域边界是物理网络分区与边界整合的分析依据，同时还是用户或外联应用接入计算环境域前重要的应用接入点，区域边界暴露在安全体系框架的最外面，是风险点集中的域，是安全防护的重点域。区域边界防护主要针对信息系统的网络安全。由于不同系统之间存在业务互联和数据互联，因此不同系统间会存在安全级别、安全风险不同的情况。区域边界作为定级系统的安全计算环境边界，必须确保具有不同级别系统之间的可信互连机制。互连机制必须基于较高级别系统或安全域的安全防护要求设置访问控制策略以及其他安全策略，可采用网络安全隔离技术或部署信息交换系统(比如前置系统等)实现，通过对不同级别的系统之间的可信互联进行严格约束来保证不会出现因高级别系统与低级别系统之间防护差异而导致的安全漏洞。区域边界通信网络是定级系统安全计算环境之间进行信息传输及实施安全策略的相关部件，通信网络安全指通信网络设备通过对通信双方进行可信鉴别验证，建立安全通道，并实施数据传输保护，确保其在传输过程中不会被窃听、篡改和破坏。通信网络包括互联网、城市金融网、内联广域网以及计算环境内部的交换域。通信网络防护主要针对信息系统的网络安全。二、实施指引体系方法及架构设计通讯网络支撑设施是对安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理，支撑设施实施对计算环境、区域边界和通信网络统一的安全策略管理，确保系统配置完整可信，划分用户操作权限，实施全程审计追踪。从功能上可细分为系统管理、安全管理和综合审计管理，各管理员职责和权利明确，三权分立，相互制约。支撑设施实施指引知识要点一、实施指引整体介绍二、实施指引体系方法及架构设计三、实施指引等级要求介绍通过本章节的介绍，能够了解实施指引的结构特点、描述方式和内容形成的技术思路，从而能够正确了解各等级的标准要求并掌握不同等级要求的差异，为正确运用标准打下良好基础。三、实施指引等级要求介绍目的等级要求内容1.保护模型介绍2.逐级增强的特点技术措施特点一级系统防护二级系统防护/监测三级系统策略/防护/监测/恢复四级系统策略/防护/监测/恢复/响应三、要求介绍—等级要求内容—保护模型介绍管理措施特点一级系统计划和跟踪（主要制度）二级系统计划/跟踪/良好定义三级系统充分定义/统一策略/制度体系四级系统持续改进/充分定义/统一策略/制度体系三、要求介绍—等级要求内容—保护模型介绍一级系统通信/边界（基本）二级系统通信/边界/内部（关键设备）三级系统通信/边界/内部（主要设备）四级系统通信/边界/内部/基础设施（所有设备）覆盖范围特点三、要求介绍—等级要求内容—保护模型介绍模型应用………………某级系统技术要求管理要求类控制点要求项类控制点要求项实施指引要求三、要求介绍—等级要求内容—保护模型介绍类介绍技术要求网络安全物理安全主机安全实施指引要求应用安全数据安全及备份恢复管理要求安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理三、要求介绍—等级要求内容—保护模型介绍控制点要求项类控制点要求项三、要求介绍—等级要求内容—保护模型介绍保留要求项细化补充项增强保护类三、要求介绍—等级要求内容—保护模型介绍覆盖范围特点控制点标注：业务信息安全相关要求（标记为S）身份鉴别访问控制数据的完整性数据的保密性系统服务保证相关要求（标记为A）电力供应软件容错备份与恢复资源控制通用安全保护要求（标记为G）管理要求和大部分技术要求技术要求（3种标注）管理要求（统属G）三、要求介绍—等级要求内容—保护模型介绍二级基本要求：在一级基本要求的基础上，技术方面，二级要求在控制点上增加了物理位置的选择、防静电、电磁防护、网络安全审计、网络入侵防