应用系统安全平台项目技术方案格式标准

项目技术方案文件编号：INFOSEC/QR-SE-18记录编号：INFOSEC/T-质量管理体系文件项目技术方案第2页共7页文档修订记录修订号日期内容作者注：对该文件内容增加、删除或修改均需填写此修订记录，详细记载修订信息，以保证其可追溯性。质量管理体系文件项目技术方案第3页共7页Xx项目技术方案1.概述概述项目内容、目标，招标方和投票方简介。2.设计原则2.1符合国家有关规定的原则符合国密局《商用密码管理条例》有关规定；符合公安部计算机系统安全等级有关规定符合《中华人民共和国计算机信息系统安全保护条例》有关规定。符合《关于维护网络安全和信息安全的决议》的有关规定。符合《计算机信息系统保密管理暂行规定》的有关规定。符合《涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法》的有关规定。符合《计算机信息网络国际联网安全保护管理办法》的有关规定。符合《计算机信息系统安全保护等级划分准则》（GB17859-1999）的有关规定。2.2整体安全原则PKI系统是各种业务应用的安全基础，因此PKI系统的设计必须从一个完整的安全体系结构出发，综合考虑PKI系统及其相关的各种实体和环节，综合使用不同层次的不同的安全手段，为用户PKI系统提供全方位的安全管理和安全服务。2.3标准化、开放性原则用户PKI系统所提供的安全基础设施在设计和实现上必须遵循一系列的国际、国内技术和行业标准，这样才能保证它所服务的实体之间能够安全地互联互通，不会造成互操作问题。2.4高可用、可靠、健壮性原则PKI体系功能强大、标准众多，信安世纪公司根据用户PKI系统的安全应用需求本着实用、高效的原则有选择地设计和部署。安全技术在不断发展，业务应质量管理体系文件项目技术方案第4页共7页用对安全的需求也会产生变化，系统的安全设计必须能适应这种变化；在系统实施过程中，系统的结构、配置也会发生这样或那样的变化。信安世纪公司在安全系统设计上做到了层次性、模块化的结构，既能够根据需求进行灵活配置，同时也使系统具有可扩展能力。2.5高效、系统易用、互操作原则PKI系统的基础平台成熟稳定可靠，能够提供不间断的服务，所选用的产品均具有强的健壮性，差错处理能力和抗干扰能力强。2.6需求、风险、成本平衡折衷原则系统所选用的产品容易使用，方便操作员和用户操作；便于系统兼容，方便和其他系统互通互连；系统设计遵循模块化设计的原则，具有良好的可伸缩性。2.7技术与管理相结合原则用户PKI系统是业务应用的安全基础，其自身也存在着被攻击的风险，理论上其自身的设计要做到绝对安全，但是随着安全等级的提高，所付出的成本也会呈级数级增长。鉴于这种情况，在设计PKI系统自身的安全时，要排除脱离实际的安全需求、夸大的安全风险，在安全需求、安全风险和安全成本之间进行平衡和折衷。2.8技术与管理相结合原则从以往发生的信息安全事件的统计结果可以看出，安全管理在信息安全的实现比安全技术起着更重要的作用。作为信息安全的基础设施之一，PKI系统的设计与实现是社会大环境下的一个系统工程，单靠技术或管理都不可能实现，必须从社会系统工程的角度综合考虑，在安全技术实现的基础上配合必要的运行管理机制、安全规章制度建设。3.PKI/CA安全基础设施3.1PKI系统总体结构介绍PKI基础设施规划、体系结构及系统部署方案。3.2PKI系统功能设计介绍PKI系统体系结构、基本功能和运行环境。质量管理体系文件项目技术方案第5页共7页3.3系统性能设计结合用户性能需求介绍性能实现方案，如可靠性、开放性、实用性、易用性、可扩展性等。3.4系统安全设计根据项目情况可以从物理安全、产品安全、数据库安全等方面介绍安全性。4.PKI应用支撑平台结合用户需求介绍PKI产品的工作原理、主要功能、使用方式及技术优势。5.与应用系统的整合介绍PKI系统如何与客户现有应用系统协调工作服务于客户。6.第三方产品介绍项目中用到的第三方产品，具体功能及性能描述可以以附件形式存在。7.PKI/CA系统软硬件配置各功能组件硬件配置及软件配置，同时考虑了冷备用机和数据备份系统用机。7.1硬件配置区域类型配置数量备注服务器磁盘阵列台式机磁带机加密机质量管理体系文件项目技术方案第6页共7页7.2软件配置类型名称指标数量备注操作系统数据库应用服务器目录服务器8.项目管理及验收方案8.1项目实施管理8.2项目实施计划8.3项目验收9.技术培训方案9.1培训方式9.1.1现场安装调试培训项目组成员及运行维护人员参与生产系统的安装调试，在此过程中熟悉PKI系统各组成部分的安装及配置过程，然后在信安世纪公司项目实施人员的指导下安装测试系统。质量管理体系文件项目技术方案第7页共7页9.1.2集中授课式培训信安世纪公司提供的集中授课式的培训有：培训名称培训方式培训时间（天）参加人数（人）地点公钥基础设施（PKI）讲授认证中心系统管理讲授/动手实验应用安全开发接口讲授/动手实验最终用户使用讲授/动手实验9.1.3集中授课式培训介绍时间：培训对象：培训描述：培训内容：预备基础：10.技术服务撰稿人：日期：批准人：日期：