网络安全体系建设方案

网络安全体系建设方案（2018）编制：审核：批准：2018-xx-xx目录1安全体系发布令..........................................................................................................................22安全体系设计..............................................................................................................................32.1总体策略...........................................................................................................................42.1.1安全方针................................................................................................................42.1.2安全目标................................................................................................................42.1.3总体策略................................................................................................................42.1.4实施原则................................................................................................................42.2安全管理体系...................................................................................................................42.2.1组织机构................................................................................................................52.2.2人员安全................................................................................................................52.2.3制度流程................................................................................................................52.3安全技术体系...................................................................................................................62.3.1物理安全................................................................................................................62.3.2网络安全................................................................................................................82.3.3主机安全..............................................................................................................112.4.4终端安全..............................................................................................................142.4.5应用安全..............................................................................................................152.4.6数据安全..............................................................................................................182.4安全运行体系.................................................................................................................192.4.1系统建设..............................................................................................................192.4.2系统运维..............................................................................................................231安全体系发布令根据《网络安全法》《信息安全等级保护管理办法》的相关规范及指导要求，参照GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系要求》，为进一步加强公司运营系统及办公系统的安全运行及防护，避免公司核心业务系统及日常办公系统遭受到病毒、木马、黑客攻击等网络安全威胁，防止因网络安全事件（系统中断、数据丢失、敏感信息泄密）导致公司和客户的损失，制定本网络安全体系。本网络安全体系是公司的法规性文件，是指导公司各部门建立并实施信息安全管理、技术、运行体系的纲领和行动准则，用于贯彻公司的网络安全管理方针、目标，实现网络安全体系有效运行、持续改进，体现公司对社会的承诺，现正式批准发布，自2018年XX月XX日起实施。全体员工必须严格按照本网络安全体系的要求，自觉遵循信息安全管理方针，贯彻实施本安全体系的各项要求，努力实现公司信息安全管理方针和目标。总经理：批准日期：2018-xx-xx2安全体系设计公司整体安全体系包括安全方针、目标及策略，分为信息安全管理、技术、运行三大体系，通过安全工作管理、统一技术管理、安全运维管理三部分管理工作，实施具体的系统管理、安全管理及审计管理，来达到对计算环境、区域边界、网络通信的安全保障。2.1总体策略2.1.1安全方针强化意识、规范行为、数据保密、信息完整。2.1.2安全目标信息网络的硬件、软件及其系统中的数据受到保护，电子文件能够永久保存而不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。2.1.3总体策略公司运营环境及运营系统需满足国家行业的规范要求，并实施三级等级保护及风险管理；公司办公环境及办公系统满足通用信息化系统的运行要求，并实施二级等级保护；公司自主（或外包）研发的网络安全软硬件产品必须符合相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可对外销售。2.1.4实施原则谁主管谁负责、分级保护、技术与管理并重、全员参与、持续改进。2.2安全管理体系安全管理体系主要涉及组织机构、人员安全、制度标准三个方面的安全需求和控制措施。2.2.1组织机构分别建立安全管理机构和安全管理岗位的职责文件，对安全管理机构和网络安全负责人的职责进行明确，确定网络安全负责人，落实网络安全保护责任；建立信息发布、变更、审批等流程和制度类文件，增强制度的有效性；建立安全审核和检查的相关制度及报告方式。目前公司设立了安全管理机构委员会，在岗位、人员、授权、沟通、检查各个环节进行决策、管理和监督，委员会由公司副总经理领导，成员包括各部门分管总监。2.2.2人员安全对人员的录用、离岗、考核、培训、安全意识教育等方面应通过制度和操作程序进行明确，并对违反信息安全要求的相关人员进行惩罚。根据可信雇员管理策略对所有人员进行安全背景审查、可信度鉴别和聘用，并签署安全保密协议；对人员离职需要有严格的管理程序，及时取消相应权限、清理物品并完成相关工作交接；将安全管理规范执行情况纳入日常绩效考核；定期对全体人员进行网络安全教育、技术培训和技能考核。2.2.3制度流程按照公司文件管理的有关规定制定、审定、发布、和修订内部安全管理制度和操作规程，管理制度在发布前应经过公司安全委员会审批通过，对制度的评审工作应列入年度信息化安全工作会议。应建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。同时为保证制度的严密性和持续性，各制度流程将会根据系统运营实际情况定期或不定期进行修订，修订的审批、发布流程与新增完全相同，将报安全委员会审批通过后实施。2.3安全技术体系安全技术体系主要包括：物理安全、网络安全、主机安全、终端安全、应用安全、数据安全六个方面的安全需求和控制措施。2.3.1物理安全1.电磁屏蔽应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；电源线和通信线缆应隔离铺设，避免互相干扰；应对关键设备和磁介质实施电磁屏蔽；2.物理分层机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；机房出入口应安排专人值守，控制、鉴别和记录进入的人员；需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；3.门禁控制重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员；对于核心区的访问需要“刷卡+指纹”才能进入；4.入侵报警应利用光、电等技术设置机房防盗报警、监控报警系统；机房内部应部署物理侵入报警系统，在通道处安装红外及微波移动监测感应器，应将入侵报警接入门禁系统，以便实现自动关门设防、开门撤防，若机房有非法物理侵入，将触发入侵报警，通知安全监控室值班人员；5.视频监控机房应部署视频监控系统，监控机房各个区域，并实时录像保存，对重要区域需采用两个摄像头监控拍摄，防止单点故障，重要区域的录像要求保存一年以上；6.电力冗余应在机房供电线路上配置稳压器和过电压防护设备；应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求；应设置冗余或并行的电力电缆线路为计算机系统供电；应建立备用供电系统。2.3.2网络安全1.结构安全应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；应保证网络各个部分的带宽满足业务高峰期需要；应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；应绘制与当前运行情况相符的网络拓扑结构图；应根据各部门的工作职能、重要性和所涉及信息的重要程度等