9-网络安全等级保护安全技术建设整改-20190111-CGY-V1

网络安全等级保护培训安全技术建设整改陈广勇公安部信息安全等级保护评估中心目录2安全建设整改概述31安全技术建设整改（安全通用要求部分）32安全技术建设整改（安全扩展要求部分）33一、安全建设整改概述3等级保护5个规定动作：一是：系统定级（运营使用单位）二是：系统备案（公安机关，运营使用单位）三是：建设整改（运营使用单位）四是：等级测评（测评机构）五是：监督检查（公安机关）等级保护主要工作4网络安全等级保护工作流程5安全建设整改目的达到相应等级的基本保护水平满足自身需求的安全保护能力基本需求特殊需求6安全建设整改的目的达到相应等级的基本保护水平基本需求第三级安全保护能力应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。7安全建设整改工作阶段启动阶段工作部署规划设计定级备案方案设计建设实施建设实施等级测评运行维护安全运维工作部署定级备案差距分析整改设计整改实施等保测评定期测评定期测评废弃阶段废弃阶段废弃阶段等级保护对象生命周期新建系统等保建设已有系统等保建设8安全建设整改环节1.《中华人民共和国网络安全法》，2017年6月1日2.《关键信息基础设施安全保护条例》，即将颁布3.《网络安全等级保护条例》，征求意见稿4.《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）涉及的主要政策文件9安全建设整改环节1.《信息安全技术网络安全等级保护基本要求》GB/T22239-20192.《信息安全技术网络安全等级保护测评要求》GB/T289448-20193.《信息安全技术网络安全等级保护安全设计技术要求》GB25070-20194.《信息安全技术网络安全等级保护实施指南》GB/T25058-2019涉及的主要技术标准和规范10安全建设整改基本流程安全管理建设安全技术建设开展安全自查和等级测评等级保护对象安全保护现状分析网络安全建设整改工作规划和工作部署确定安全策略，制定安全建设整改方案安全物理环境安全通信网络安全区域边界安全计算环境安全管理中心安全管理制度安全管理人员安全建设管理安全运维管理安全管理机构11安全技术建设整改基本流程开展安全自查和等级测评确定安全策略，开展总体技术方案设计等级保护对象安全保护技术现状分析开展安全建设整改方案论证和评审安全技术建设安全物理环境安全通信网络安全区域边界安全计算环境安全管理中心其他安全技术要求开展安全建设整改方案详细设计建设并落实安全技术措施工程实施及验收12新建信息系统的安全建设根据其安全保护等级的相应基本要求，结合其特殊安全需求，自项目立项之初，同步开展安全建设方案规划设计和系统集成实施工作。已有信息系统的安全整改（含在建系统）根据等级测评结果，结合其特殊安全需求，有针对性的从安全通信网络、安全区域边界、安全计算环境和安全管理中心等方面进行安全技术整改实施工作。新建或已建信息系统二、安全技术建设整改（安全通用要求部分）141.信息化现状分析2.安全保护现状分析3.安全需求论证确认差距分析总体规划详细设计工程实施1.商务招投标2.安全集成3.工程验收4.试运行5.等级测评1.公用共享部分分析2.技术体系架构设计3.管理体系架构设计4.纵深防御架构设计5.分步实施内容规划1.安全物理环境设计2.安全通信网络设计3.安全区域边界设计4.安全计算环境设计5.安全管理中心设计6.其他安全技术设计151.安全差距分析1.1等级保护对象现在分析1.2安全保护现状分析1.3安全需求论证确认2.建设整改方案设计2.1设计总体安全技术方案2.2安全技术方案详细设计2.2.1物理机房安全设计2.2.2安全通信网络设计2.2.3安全区域边界设计安全技术建设整改主要内容2.2.4安全计算环境设计2.2.5安全管理中心设计2.2.6其他安全技术设计2.3技术方案论证和备案3.工程实施要点3.1工程实施和管理3.2工程监理和验收3.3等级测评4.安全建设整改要素161.了解掌握等级保护对象的数量和等级；2.所处的网络区域以及所承载的业务应用情况；3.分析边界、构成和相互关联情况；4.采用新技术情况（云大物移工）；5.分析网络结构、内部区域、区域边界以及软硬件资源等。1-1.1等级保护对象现状分析171-1.2安全保护现状分析在开展安全技术建设整改之前，应通过开展安全保护技术现状分析，查找等级保护对象安全保护技术建设整改需要解决的问题，明确其安全保护技术建设整改的需求。18基本安全需求分析方法第1步，根据其等级从《基本要求》中选择相应等级的基本安全要求；第2步，根据定级过程中确定业务信息安全保护等级和系统服务安全保护等级，确定该信息系统的安全需求类；第3步，根据系统所面临的威胁特点调整安全要求。1-1.3安全需求分析-基本安全需求分析191-1.3安全需求分析-特殊安全需求分析通过对等级保护对象重要资产特殊保护要求的分析，确定超出相应等级保护基本要求的部分或具有特殊安全保护要求的部分，采用需求分析/风险分析的方法，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的必要性，提出等级保护对象的特殊安全保护需求。20什么是特殊安全需求第1种情况：等级保护相应等级的基本要求中某些方面的安全施所达到的安全保护不能满足本单位安全保护需求，需要更强的保护。第2种情况：由于等级保护对象的业务需求、应用模式具有特殊性，面临的威胁具有特殊性，基本要求没有提供所需要的保护措施，例如广电行业播控系统的数据交换，基本要求中没有提出，行业提出更高的安全保护需求，需要作为特殊需求。1-1.3安全需求分析-特殊安全需求分析21安全需求分析工作完成后，将等级保护对象的安全管理需求与安全技术需求综合形成安全需求报告。组织专家对安全需求进行评审论证，形成评审论证意见。1-1.3安全需求论证和确定221-1.3安全需求分析总结安全需求分析应包含以下内容：1.等级保护对象描述2.安全管理状况3.安全技术状况4.存在的不足和可能的风险5.安全需求描述232-2.1总体安全技术方案设计-基本方法思路总体安全设计的基本方法是将复杂信息系统进行简化，提取共性形成模型，针对模型要素结合相应等级的保护能力和安全需求提出安全策略和安全措施要求，指导信息系统中各个组织、各个安全类和各个对象安全策略和安全措施的具体实现。242-2.1总体安全技术方案设计-要点引入等级保护概念，安全防护设计思路有所不同：1.在设计思路上应突出对等级较高对象的重点保护。2.满足等级保护要求不意味着各等保对象独立实施保护，而应本着优化资源配置的原则，合理布局，构建纵深防御体系。3.要合理处置队形之间的互连问题，因此必须在总体安全设计中规定相应的安全策略。4.如何在同一个组织机构的管理控制下，根据不同等级的系统需要满足不同的安全管理要求。252-2.1总体安全技术方案设计-要点依据《信息安全技术网络安全等级保护基本要求》依据《信息安全技术网络安全等级保护测评要求》参照《信息安全技术网络安全等级保护安全设计技术要求》引入“纵深防御”的概念，强化多层防御引入“安全区域”的概念，强化访问控制262-2.1整改过程-总体规划（总体设计）1.系统构成情况分析2.安全保护现状分析3.安全需求论证确认差距分析总体规划详细设计工程实施1.商务招投标2.安全集成3.工程验收4.试运行5.等级测评1.公用共享部分分析2.等保体系架构设计3.纵深防御架构设计4.管理体系架构设计5.分步实施内容规划1.安全物理环境设计2.安全通信网络设计3.安全区域边界设计4.安全计算环境设计5.安全管理中心设计6.其他安全技术设计从安全物理环境、安全通信网络、安全区域边界安全、安全计算环境和安全管理中心等方面进行设计；先从网络架构上考虑从外到内的保护，再从内部层次上考虑从下到上的保护，形成纵深防御战略对比不同级别的等级保护对象对预警能力、保护能力、监测能力、响应能力、恢复能力的要求，从外到内、从各个层次实现相关能力的安全机制和措施，避免缺失某类安全机制和措施272-2.1总体安全技术框架-举例网络基础平台用户区三级区安全管理中心互联网下级部门网络层面：边界防护入侵防范访问控制病毒防护安全审计……应用层面：身份鉴别访问控制安全审计数据完整资源控制数据保密……主机层面：身份鉴别冗余备份安全审计访问控制入侵防范……病毒防护二级区对外服务区28总体技术框架举例核心通讯支撑平台Internet广域网接入区（与民政广域网连接的网络设备和安全设备）各省厅局域网互联网接入区（与Internet连接的网络设备和安全设备）DMZDMZ服务器区(包含低保系统Web服务器等)DMZ数据存储区(包含低保系统网站数据库等)用户区（包含民政部终端及与核心通讯区连接的网络设备和安全设备）安全管理中心（对低保系统服务器进行集中审计、管理、病毒升级、补丁升级等）数据存储区（包含三级服务器区和二级服务器区的数据库服务器）服务器区二级服务器区（包含民政部统计信息系统和民政部管理信息系统）三级服务器区（包含低保系统的应用服务器）29安全通用要求分类30安全通信网络技术要求管理要求基本要求安全区域边界安全计算环境安全管理中心安全管理制度安全管理机构安全管理人员安全建设管理安全物理环境安全运维管理1、安全物理环境31物理位置选择安全物理环境物理访问控制防水和防潮防静电电力供应电磁防护防盗窃和防破坏防雷击防火温湿度控制从安全管理措施和安全技术措施两方面对所涉及到的主机房、辅助机房和办公环境等进行物理安全设计。设计内容包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应及电磁防护等方面。对采用的安全技术设施或安全技术措施的物理部署、物理尺寸、功能指标、性能指标等内容提出具体设计参数。1、安全物理环境32对于不同安全保护等级的子系统各自独立使用机房或独立使用某个部分（区域）的情况，其独立部分可根据不同安全保护等级的要求和需求独立设计。对不同安全保护等级子系统共用机房或共用某些部分（区域）的情况，其共用部分按照最高原则进行设计，即按照最高级别的要求和需求进行设计。1、安全物理环境33依据《基本要求》中的“安全物理环境安全”内容，可能涉及以下机房基础设施：①电子门禁系统②机房监控系统③防盗报警系统④防感应雷措施⑤火灾自动检测、报警和灭火⑥温湿度自动调控⑦UPS、备用发电系统⑧屏蔽机柜、机房⑨其他1、安全物理环境341、安全物理环境物理位置选择：第一级：无此方面要求。第二级：要求选择时主要考虑建筑物具有基本防护自然条件的能力，对建筑物的楼层以及周围环境也提出了要求。第三级：与第二级要求相同。第四级：与第二级要求相同。351、安全物理环境-物理位置选择36GB/T22239-2008GB/T22239-2018a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。a)机房场地应选择在具有防震、防风和防雨等能力的建筑内；（改写）b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。（改写）1、安全物理环境物理访问控制：第一级：要求专人值守或配置电子门禁系统，对机房进出进行控制鉴别、鉴别和记录。第二级：与第一级要求相同。第三级：要求配置电子门禁系统，对机房进出进行控制鉴别、鉴别和记录。第四级：除第三级要求外，进一步强化了进出机房的控制，要求在重要区域配置第二道电子门禁系统。371、安全物理环境-物理访问控制38GB/T22239-2008GB/T22239-2018a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；（删除）b)需进入机房的来访人员