等级保护建设培训（PPT65页)

信息安全等级保护建设了解等保政策与技术要求我司产品如何与等保要求对应关系培训目的等级保护政策介绍和建设思路等保建设方案统一规划等保项目注意事项目录等级保护政策介绍和建设思路等级保护政策介绍等级保护政策解读等级保护建设思路探讨等保建设方案统一规划等保项目注意事项目录信息安全等级保护制度信息安全等级保护（以下简称等保）是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。等保的5个监管等级对象等级合法权益社会秩序和公共利益国家安全损害严重损害损害严重损害特别严重损害损害严重损害特别严重损害一般系统一级√二级√√重要系统三级√√四级√√极端重要系统五级√☆等保采用分系统定级的方法，当拥有多个信息系统时，需要分别进行定级，并分别进行保护。☆在五个监管等级中，三级与四级系统为监管的重点，也是建设的重点。决定等级的主要因素分析信息系统所属类型业务数据类别信息系统服务范围业务处理的自动化程度业务重要性业务数据安全性业务处理连续性业务依赖性基于业务的重要性和依赖性分析关键要素，确定业务数据安全性和业务处理连续性要求。业务数据安全性业务处理连续性信息系统安全保护等级根据业务数据安全性和业务处理连续性要求确定安全保护等级。☆从等保的定级要求可以看出，等保关注的重点在于业务的可靠性和信息保密性。不同级别之间保护能力的区别总体来看，各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度以及在遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。一级具有15个技术目标，16个管理目标；二级具有29个技术目标，25个管理目标；三级具有36个技术目标，27个管理目标；四级具有41个技术目标，28个管理目标。技术要求的变化包括：安全要求的增加安全要求的增强管理要求的变化包括：管理活动控制点的增加，每个控制点具体管理要求的增多管理活动的能力逐步加强，借鉴能力成熟度模型（CMM）安全控制定级指南过程方法确定系统等级启动采购/开发实施运行/维护废弃确定安全需求设计安全方案安全建设安全测评监督管理运行维护暂不考虑特殊需求等级需求基本要求产品使用选型监督管理测评准则流程方法监管流程应急预案应急响应等级保护定义的信息安全建设过程等级保护工作对应完整的信息安全建设生命周期等级保护建设的一般过程整改评估定级评测•确定系统或者子系统的安全等级•依据等级要求，对现有技术和管理手段的进行评估，并给出改进建议•针对评估过程中发现的不满足等保要求的地方进行整改•评测机构依据等级要求，对系统是否满足要求进行评测，并给出结论监管•对系统进行周期性的检查，以确定系统依然满足等级保护的要求等级保护政策介绍和建设思路等级保护政策介绍等级保护政策与技术解读等级保护建设思路探讨等保建设方案统一规划等保分步实施实践目录等保的地位和作用是信息安全工作的基本制度；是信息安全工作的基本国策；是信息安全工作的基本方法；是保护信息化、维护国家信息安全的根本保障，是国家意志的体现；是开展信息安全工作的抓手，也是灵魂。——摘自公安部的领导讲话等保核心思想：适度安全信息安全工作中，等保给予用户明确的目标，帮助用户更清晰的认识安全薄弱环节。没有100%的安全，适度安全的核心思想让用户达到投资/收益最佳比。系统重要程度系统保护要求安全基线安全基线安全基线一级二级三级四级等保基本保护要求框架物理安全安全管理制度网络安全系统安全应用安全数据安全安全管理机构人员安全管理系统建设管理系统运维管理技术要求管理要求某级要求等保不同级别的保护能力的区别各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度以及在遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。技术要求：安全要求的增加安全要求的增强管理要求：管理活动控制点的增加，每个控制点具体管理要求的增多管理活动的能力逐步加强，借鉴能力成熟度模型（CMM）010203040一级系统二级系统三级系统四级系统2032364028343737管理要求条数技术要求条数等级保护技术要求归纳13个核心技术要求涉及层面涉及1级系统涉及2级系统涉及3级系统涉及4级系统身份鉴别和自主访问控制网络、主机、应用√√√√强制访问控制主机√√安全审计网络、主机、应用√√√完整性和保密性保护网络、应用、数据√√√√边界保护网络√√√资源控制网络、主机、应用√√√入侵防范和恶意代码防范网络、主机、应用√√√√可信路径设置网络、主机、应用√系统防渗透措施网络、主机、应用√安全管理平台设置网络、主机、应用√√备份与恢复网络、数据√√密码技术应用网络、主机、应用√√环境与设施安全物理√√√√不同等级保护技术措施要求不同等级保护技术措施要求等级保护管理要求安全管理制度信息安全管理的前提安全管理机构信息安全管理的基础人员安全管理信息安全管理的保障系统建设管理围绕安全建设的设计、采购、实施，不断完善信息安全系统运维管理信息安全管理的核心安全管理安全管理的目标是让管理制度切实落地，日常运维是最繁杂的工作。等级保护政策介绍和建设思路等级保护政策介绍等级保护政策解读等级保护建设思路探讨等保建设方案统一规划等保分步实施实践目录建设思路：主动应对，借梯上楼借梯上楼方法：以等保为契机，统一进行安全规划和建设，加强整个系统的信息安全优点：重整优化IT基础架构有计划地满足等保缺点：改造工作资金投入较大对象：没有针对某安全体系标准进行重整过的查漏补缺方法：在现有IT架构中收集证据，不满足的地方适当修补优点：改造工作资金投入小缺点：IT架构越补越复杂，最后补不胜补等保满足时间点不可预期对象：已经采用其他安全体系标准的IT系统，例如运营商等保建设中常见的两种应对思路：借梯上楼是主动的改造思路。对于大多数IT系统，建议采用“借梯上楼”的方法，优化IT架构，满足等保分责运维等级保护建设流程建议广域网改造数据中心安全局域网加固全网审计安全管理中心应急联动分步建设数据中心广域网局域网数据安全应用安全主机安全网络安全物理安全分区分域统一规划关于统一规划三点建议分区分域为基础-整个IT系统的安全基础在于信息资产的有序排列，排列方法即根据业务对资产分区分域，并针对性地实施安全策略。分模块设计，便于分步建设-在分区分域基础上，统一规划，同时针对每个区域模块化设计，每区域可独立实施，方便后期分步建设。注重技术支撑管理-规划方案中，管理的方便性做为统一规划的重点-“三分技术，七分管理”，通过技术手段，可以减少管理的工作量，让管理制度更好的落地。公安部《等级保护设计要求》第一级系统安全保护环境第一级安全通信网络第一级安全区域边界第一级安全计算环境第二级系统安全保护环境第二级安全管理中心第二级安全通信网络第二级安全区域边界第二级安全计算环境第三级系统安全保护环境第三级安全管理中心第三级安全通信网络第三级安全区域边界第三级安全计算环境第四级系统安全保护环境第四级安全管理中心第四级安全通信网络第四级安全区域边界第四级安全计算环境第五级系统安全保护环境第五级安全管理中心第五级安全通信网络第五级安全区域边界第五级安全计算环境定级系统互联跨定级系统安全管理中心/安全互联部件公安部《信息系统等级保护安全设计技术要求》设计要求从安全威胁角度的划分，高度抽象了安全关注的场景。等保模块化设计框架基础网络数据中心安全管理计算存储通信安全监控安全审计CDP远程灾备应用安全系统安全以信息的三种状态为基础，针对等保物理、网络、系统、应用、数据技术方面要求和安全管理要求，划分出可分步实施的局域网、广域网、数据中心、安全管理中心等模块。技术建设漏洞监控，脆弱性管理集中策略部署管理行为监控/异常流量监控安全事件集中采集监控病毒集中采集监控安全审计工具风险评估工具威胁定位，响应管理管理建设安全管理机构建设安全管理制度完善应急响应流程制定、演练人员培训安全区域划分，目标制定符合法规要求持续改进、优化、预防重技术、轻管理，或者是重管理、轻技术都是不可取的技术与管理并重分责运维：技术支撑管理行为审计安全监控身份认证权限控制......数据备份恢复技术体系管理体系网络安全主机安全应用安全数据安全物理安全通过技术手段，减轻运维中的工作量和复杂度，让管理制度更好落地等级保护政策介绍和建设思路等保建设方案统一规划区域划分方法分域设计方案等保分步实施实践目录分区分域方法横向分区，纵向分域按照等保要求，业务系统需要保持边界完整性，横向分区保持业务系统隔离纵向根据业务系统的不同角色，划分为数据中心/广域网/局域网虚拟分区，灵活节约多业务系统共用一套物理网络，虚拟分区保障业务系统隔离的同时，节省投资，在增加/变更业务系统时灵活方便四级业务四级业务二级业务一级业务数据中心域广域网安全域局域网安全域纵向分域横向虚拟分区三级业务三级业务分域：控制业务访问流程按照业务访问流程，将整个网络划分为三个域：数据中心、广域网、局域网域之间进行严格的访问控制，针对攻击进行全面防范域内包含多个业务的情况下，通过分区的方法进行隔离权限控制攻击防范资源控制链路安全攻击防范广域网优化局域网广域网数据中心终端数据数据备份行为控制行为审计终端认证分区：保持业务系统的独立性通过分区，各业务系统具有独立的IT环境保持边界完整，满足业务之间隔离需求每套业务系统具有独立资源，更好满足业务连续性要求分区隔离的方法网络改造进行物理隔离，例如涉密内网与其他业务系统结合应用类型采用IPSec或者SSL实现业务系统虚拟划分局域网广域网数据中心局域网广域网数据中心局域网广域网数据中心业务A业务B业务CIPSecSSL生产分区物理资源办公分区Internet分区虚拟化分区在一套物理资源上，采用VPN技术为多个业务系统虚拟出隔离的IT环境虚拟化分区具有独立的逻辑资源：带宽、计算、策略数、管理员、QoS虚拟化分区：节省投资数据中心广域网数据中心广域网数据中心广域网数据中心广域网等级保护政策介绍和建设思路等保建设方案统一规划区域划分方法分域设计方案等保分步实施实践目录数据中心对内服务域非涉密内网办公域Internet外联域网络核心交换域分支广域网域数据中心核心交换域数据中心对外服务域补丁与特征库升级服务域网络与安全管理域涉密内网办公域异地灾备中心VPN路由器SGInternetAD等保分域设计方案SSL/NGAF/ADMPLS数据中心区域图例局域网区域广域网区域安全管理中心GAPWOCNGAFBMNGAFADInternetNGAFNGAFNGAFNGAFWOCNGAF金融行业某政府行业基础网络：拓扑/路由/资源共享智能安全数据灾难回复与备份IP智能管理中心(IMC)战略与决策广域网络局域交换接入网络互联网安全服务无线服务存储服务计算服务应急指挥服务语音视讯服务IP网络存储IP监控IP集合通信三大业务平台：情报信息综合应用、警用地理信息应用、警务综合信息系统8大信息资源库全国人口基本信息全国出入境人员信息全国机动车驾驶人信息全国警员基本信息全国在逃人员信息全国违法犯罪人员信息全国被盗抢汽车信息全国安全重点单位信息一类应用系统信息中心应急指挥中心协作沟通平台风险隐患检测防控指挥调度应急保障视频监控系统摄像系统显示系统编码器视频管理系统智能分析模数互控解码器应急评估预警预测会议电视系统电话通信系统通信自动化系统全国边防前台查询系统全国公民出国境管理信息系统全国境外人员管理信息系统全国在逃人员信息系统全国重大刑事案件信息系统全国现场指纹远程传输系统全国法轮功邪教组织重点人员。。。。公安外事管理信息系统公安部国有资产管理信息系统公安信息网远程教育系统公安部机关电子政务系统公安信息化标准动态发布维护系统公安档案信息管理系统机要文件交换自动化管理系统。。。。二三类应用系统应急综合应用平台等级保护政策介绍