您好,欢迎访问三七文档
当前位置:首页 > 商业/管理/HR > 质量控制/管理 > 金保工程二期信息安全保障体系设计
金保工程二期信息安全保障体系设计人力资源和社会保障部信息中心信息安全管理处许华光2013.8大纲1.信息安全保障体系框架体系框架结构图金保二期安全保障建设内容2.基础安全防护系统设计3.电子认证体系设计4.信息安全管理工作21.1体系框架结构图31.2金保二期安全保障建设内容基础安全防护系统(含信息安全管理和服务体系)电子认证和应用安全支撑系统信息安全管理体系和信息安全服务体系物理安全设施——机房环境设计灾难备份系统——网络系统设计4大纲1.信息安全保障体系框架2.基础安全防护系统设计建设目标主要建设内容基本建设策略安全现状和需求分析基础安全防护总体架构3.电子认证体系设计4.测算说明5安全域总体结构省市安全防护策略信息安全管理体系信息安全服务体系产品选型策略2.1建设目标1套体系、2个重点、3个全面、4项机制1套综合安全防护体系:包括技术和管理两方面,外防和内控兼顾,以纵深防御、分等级分区域保护为核心的综合安全防护体系。2个重点:应用安全和数据安全两方面重点问题。3个全面:部省市人力资源社会保障2级以上信息系统全面通过等级保护测评,防火墙、入侵检测和防护系统、网络监控和审计系统等边界防护系统全面部署到网络互联边界,数据访问控制和审计功能全面配置到核心业务区域的重要系统。4项工作管理机制:信息安全风险评估和测评机制、信息安全检查机制、信息安全通报和应急处理协调机制、信息安全综合管理和监督机制。62.2主要建设内容落实等级保护:省级达到80%以上,市级达到75%以上。优化安全结构:优化网络结构,合理划分网络安全防护边界和安全区域,实现纵深防御、区域访问控制和有效安全隔离。严格控制边界:按照互联部门业务数据和用户属性分类规划统一的数据交换区,实现网络互联出入口的集中防护和监控。完善各项审计:建立重要信息系统、重要网络区域的安全监控和审计机制。强化互联网防护:加强面向互联网业务信息系统的安全防护和监控,建立网站防渗透、防篡改、防信息泄露和安全监测审计机制。强化数据安全:加强关键业务数据的防丢失、防泄露和防篡改。构建统一安管平台:建立和完善信息安全监控平台和安全审计平台。在部、省、市各级人力资源社会保障网络系统部署统一信息安全监控平台和安全审计平台。规范管理:建立和完善安全管理机制和组织体系,建立健全信息安全应急处理协调机制、安全通报机制和制度化专业化的检查机制,提高对网络安全事件应对和防范能力。72.3基本建设策略统筹规划,协同防护合规设计,补差优化体系防护,注重均衡机制并举,完善体系82.4安全现状和需求分析信息安全态势组织化网络攻击事件频增(政治和经济目的)Sql注入、APT等典型攻击行为和木马植入广泛使用,信息泄露等安全事件突出信息安全漏洞数量多遍布广、危害重信息系统性和结构性隐患突出,行业系统性风险上升外网边界防护脆弱,易成“跳板”危及专网等内部网络安全新技术新应用引发新风险情况(大数据、云计算和移动互联网)等级保护工作开展情况梳理重要信息系统定级备案完成率整改完成率测评完成率金保一期信息安全建设情况基础安全防护安全管理规范92.4安全现状和需求分析信息安全政策要求基本法规政策文件:《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》(国发[2012]23号)……等级保护文件:《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》(发改高技[2008]2071号)……网络信任体系文件:《关于印发〈电子政务电子认证服务管理办法〉的通知》(国密局发[2009]7号)其他安全管理工作文件信息系统定级分析业务信息安全特性:信息量规模、信息来源、业务信息安全属性(保密性/完整性/可用性)、最大影响程度。系统服务安全特性:系统分布结构、访问系统用户范围、系统服务对象规模、系统服务的实时性、最大影响程度。等保基本要求差距分析信息安全风险分析金保一期安全建设主要问题核心和重要资产分析信息系统脆弱性和威胁分析102.4安全现状和需求分析主要问题信息安全建设规划不足,资金投入不到位。信息安全保障体系建设不全面,多数等级保护基本要求项不符合,甚至部分等级保护信息安全控制点完全不符合。新技术、新业务的推广应用,信息安全形势日趋严峻,以及金保工程二期建设涉及诸多系统的整合集中、新建和改扩建,网络系统朝着“广、大、深、远”的方向发展,都将带来新的信息安全风险。安全防护技术机制配备不均衡,安全域结构欠合理,数据安全和应用安全方面比较薄弱,安全监控和预警能力严重不足,同时网路安全和物理安全方面也存在很多问题。信息安全等级保护工作刚刚起步,尚有很多地方未完成系统的定级工作,有些地方也只是刚刚开展等级保护安全整改,多数未开展风险评估和等级保护测评工作。信息安全管理制度仍然不健全,日常安全运维流程不完善,管理相对粗放,风险处置方面存在隐患,安全责任没有完全层层落实,重技术轻管理。112.4安全现状和需求分析核心和重要资产分析信息系统资产名称社会保险业务监测信息——监测分析信息类信息资产分类数据库和数据文件源生信息系统和途径原始产生传输、处理和存储的信息系统纵向应用支撑平台、社会保险业务监测系统/相应服务器信息资产的生命期定期信息量规模十亿条以上信息敏感性高安全属性机密性高完整性中可用性高生命周期保护需求信息传递保护√信息传递保护√信息销毁要求√122.4安全现状和需求分析脆弱性和风险分析网络层、系统层、应用层等管理方面新技术发展的风险分析信息系统威胁分析威胁源威胁描述威胁分类威害程度132.5基础安全防护总体架构14网络安全子域安全域服务器子域网络和安全管理子域终端接入子域等保3级服务器子域等保2级服务器子域公众服务网综合业务域●●●●公共服务域●●业务专网核心业务域●●●●资源交换域●●2.6安全域总体结构2网、4域、3子域2网:业务专网和公众服务网。4域:公共服务域和综合业务域(公众服务网)(协同和)资源交换域、核心业务域(业务专网)3子域:安全域下又划分服务器子域、网络和安全管理子域、终端接入子域。服务器子域:关键业务(等保3级)子域、一般业务(等保2级)子域人力资源社会保障网络、安全域和安全子域关系表152.6安全域总体结构安全域划分162.7省市安全防护策略总体安全防护控制要求依据安全域结构划分,结合网络系统和安全建设现状。采用“一个中心、三重防护”和“纵深防御体系”的设计思路,从计算环境、区域边界、网络通信和统一安全监控管理等几方面设计。重点以等级保护3级为防护要求基线,部分防护环节根据威胁和脆弱程度会适当高于或低于等级保护3级基本要求提出。172.7省市安全防护策略计算环境安全防护策略序号安全防护机制部署策略保护对象和范围1主机安全加固系统公众服务网和业务专网中的重要服务器、门户网站和公共服务系统关键服务器上部署主机安全加固系统。1.公众服务网和业务专网中的重要服务器。2.特别是公共服务域的WEB网站服务器。2服务器系统安全加固服务根据安全评估和漏洞扫描结果,以及安全加固规范对公众服务网和业务专网的服务器实施手工加固服务公众服务网和业务专网中新增服务器上运行的操作系统、数据库、中间件和WEB服务软件等通用应用软件平台。3服务器补丁管理系统公众服务网和业务专网的网络安全管理域各部署1套服务器补丁管理系统,对网络中的服务器进行补丁审核和自动更新。公众服务网和业务专网中Windows平台服务器。4数据库监测和加固安全组件公众服务网和业务专网重要应用系统的数据库系统(如ORACLE)增加专用安全组件公众服务网和业务专网重要应用系统数据库服务器。5双因素认证系统公众服务网和业务专网的网络安全管理域各部署1套双因素认证系统,按服务器系统管理员和运行维护人员数量配备令牌。公众服务网和业务专网中的服务器。182.7省市安全防护策略计算环境安全防护策略(续表)序号安全防护机制部署策略保护对象和范围6漏洞扫描和评估系统利用已配备的1套漏洞扫描和评估系统,增加漏洞扫描许可数。公众服务网和业务专网中的服务器。7网站系统代码审计和渗透测试服务对公众服务网公共服务域的网站系统进行一次代码安全审计,定期实施外围渗透性测试。公众服务网公共服务域网站系统8主页防篡改系统利用公众服务网已配备的1套主页防篡改系统,增加被保护网站服务器许可数。公众服务网公共服务域网站9防病毒系统利用公众服务网和业务专网已配备的2套防病毒系统,增加病毒防护节点许可数并升级病毒防护引擎和功能。公众服务网和业务专网中的服务器和终端计算机。10终端安全管理系统部署1套终端安全管理系统。公众服务网终端计算机192.7省市安全防护策略区域边界安全防护策略202.7省市安全防护策略区域边界安全防护策略序号边界类型主要威胁数据交换方式要求可用性要求主要防护措施1边界1-1(互联网接入外边界)1.越权访问2.蠕虫、病毒和黑客等攻击和入侵3.流量型、资源耗尽型和应用层DDoS攻击4.针对Web系统的SQL注入、XSS跨站脚本等攻击实时冗余结构1.防火墙系统2.抗拒绝服务系统3.入侵防御系统4.入侵检测系统5.网络综合审计系统6.网络数据包日志系统7.WEB应用安全防护系统2边界1-2(互联网接入内边界)1.越权访问实时冗余结构1.防火墙系统(与边界1-1防火墙双重异构)3边界2(其它网络互联边界)1.越权访问2.蠕虫、病毒和黑客等攻击和入侵实时/非实时冗余/非冗余结构1.防火墙系统2.入侵防御系统3.网络综合审计系统212.7省市安全防护策略区域边界安全防护策略(续表)序号边界类型主要威胁数据交换方式要求可用性要求主要防护措施4边界3(网间隔离边界)1.越权访问2.基于通用网络协议的攻击实时冗余结构1.网络安全隔离与信息交换产品2.网络综合审计系统5边界4(应用服务边界)1.越权访问2.蠕虫、病毒和黑客等攻击和入侵实时冗余结构1.入侵检测系统2.数据库审计系统3.运维安全审计控制系统(堡垒机)4.基于交换机VLANACL控制6边界5(终端接入边界)1.越权访问2.非法外联3.非法内联4.蠕虫、病毒和间谍软件等攻击和入侵实时非冗余结构1.终端安全管理系统2.基于交换机VLANACL控制7内边界1.越权访问实时/非实时冗余/非冗余结构1.基于交换机VLANACL控制222.7省市安全防护策略网络通信安全防护策略序号安全防护机制部署策略保护对象和范围1电子认证应用安全支撑业务专网重要应用系统服务器安装配置证书应用安全中间件和密码设备。互联网和与相关单位互联配备认证网关、数字签名服务器。此防护机制在电子认证系统和应用安全平台中设计。业务专网重要应用系统,互联网公共服务系统和邮件系统,与相关单位互联应用系统。2SSLVPN在基于互联网和与相关互联的部分重要应用系统前。基于互联网部分公共服务系统和与相关互联的部分重要系统。3网络安全设备安全评估和加固服务根据对业务专网、互联网出口和与相关单位互联网络和安全设备的安全评估和漏洞扫描结果,以及部安全加固规范对网络通信的设备实施手工加固服务。业务专网、互联网出口和与相关单位互联网络和安全设备。232.7省市安全防护策略网络通信安全防护策略(续表)序号安全防护机制部署策略保护对象和范围4网络和安全设备的审计在业务专网、基于互联网和与相关单位交换互联通信链路上收集和配置网络安全事件审计,分别集中到网络管理和安全管理平台的综合日志系统中。业务专网、互联网出口和与相关单位互联网络和安全设备。5网络通信结构性冗余在业务专网、基于互联网和部分重要相关单位互联通信链路采用冗余的结构化设计。此部分设计在网络系统中考虑。业务专网、互联网出口和与相关单位互联网络通信设施的可用性。242.7省市安全防护策略统一安全监控管理信息资产集中管理设备状态实时监控异常状况及时预警故障根源快速定位安全事件统一存储、监控分析252.7省市安全防护策略省市基础安全防护部署结构262.8信息安全管理体系2
本文标题:金保工程二期信息安全保障体系设计
链接地址:https://www.777doc.com/doc-5540997 .html