本文內容為信息安全技術體系、運維體系、管理體系的評估和規劃，是信息安全保障體系的主體。

一、 概述

1.1引言

本文基於對XX公司信息安全風險評估總體規劃的分析，提出XX公司信息安全技術工作的總體規劃、目標以及基本原則，並在此基礎上從信息安全保障體系的視角描繪了未來的信息安全總體架構。

本文內容為信息安全技術體系、運維體系、管理體系的評估和規劃，是信息安全保障體系的主體。

1.2 背景

1.2.1

XX行業相關要求

國家XX行業總局一直以來十分重視信息安全管理工作，先後下發了涉及保密計算機運行、等級保護定級等多個文件，下發了《XX行業信息安全保障體系建設指南》，指南從技術、管理、運維三個方面對安全保障提出了建議，如下圖所示。

圖 1_1行業信息安全保障體系框架

1.2.2

國家等級保護要求

等級保護工作作為我國信息安全保障工作中的一項基本制度，對提高基礎網絡和重要信息系統安全防護水平有著重要作用，在《信息系統安全等級保護基本要求》中對信息安全管理和信息安全技術也提出了要求，如下圖所示。

圖 1_2等保基本要求框架圖

1.2.3

三個體系自身業務要求

在國家數字XX行業政策的引導下，近年來信息系統建設日趨完善，業務系統對信息系統的依賴程度逐漸增加，信息系統的重要性也逐漸提高，其安全保障就成為了重點。信息系統的重要組成部分包括MES系統、ERP系統、網站系統、工商協同營銷系統、LIMS系統、OA系統及生產系統等。企業生產已經高度依賴於企業的信息化和各信息系統。

信息系統現階段還無法達到完全的自動化和智能化運行。因此需要各級技術人員對信息系統進行運行和維護。

在整個信息系統運行的過程中，起主導作用的仍然是人，是各級管理員。設備的作用仍然僅僅停留在執行層面。因此信息系統的穩定運行的決定因素始終都在於人員的操作。

信息安全運維體系的作用是在安全管理體系和安全技術體系的運行過程中，發現和糾正各類安全保障措施存在的問題和不足，保證它們穩定可靠運行，有效執行安全策略規定的目標和原則。

當運行維護過程中發現目前的信息安全保障體系不能滿足本單位信息化建設的需要時，就可以對保障體系進行新的規劃和設計。從而使新的保障體系能夠適應企業不斷髮展和變化的安全需求。這也仍遵循和完善了PDCA原則。

1.3三個體系規劃目標

1.3.1

建立技術體系的目的是通過使用安全產品和技術，支撐和實現安全策略，達到信息系統的保密、完整、可用等安全目標。按照P2DR2模型，行業信息安全技術體系涉及信息安全防護、檢測、響應和恢復四個方面的內容：

1、防護：通過訪問控制、信息系統完整性保護、系統與通信保護、物理與環境保護等安全控制措施，使信息系統具備比較完善的抵抗攻擊破壞的能力。

2、檢測：通過採取入侵檢測、漏洞掃描、安全審計等技術手段，對信息系統運行狀態和操作行為進行監控和記錄，對信息系統的脆弱性以及面臨的威脅進行評估，及時發現安全隱患和入侵行為併發出告警。

3、響應：通過事件監控和處理工具等技術措施，提高應急處理和事件響應能力，保證在安全事件發生後能夠及時進行分析、定位、跟蹤、排除和取證。

4、恢復：通過建立信息系統備份和恢復機制，保證在安全事件發生後及時有效地進行信息系統設施和重要數據的恢復。

1.3.2

安全管理體系規劃目標

本次項目通過風險評估對XX公司自身安全管理現狀進行全面瞭解後，對信息安全管理整體提出以下目標：健全信息安全管理組織，建立信息安全專業服務團隊，建立完善的信息安全風險管理流程，完善信息安全制度與標準，建立規範化的流程。

1.4技術及運維體系規劃參考模型及標準

1.4.1

參考模型

目前安全模型已經從以前的被動保護轉到了現在的主動防禦，強調整個生命週期的防禦和恢復。PDR模型就是最早提出的體現這樣一種思想的安全模型。所謂PDR模型指的就是基於防護（Protection）、檢測（Detection）、響應（Reaction）的安全模型。上個世紀90年代末，ANS聯盟在PDR模型的基礎上建立了新的P2DR模型。該模型是可量化、可由數學證明、基於時間的、以PDR為核心的安全模型。這裡P2DR2是策略（Policy）、防護（Protection）、檢測（Detection）、響應（Response）、恢復（Recovery）的縮寫。

策略（Policy）

策略是P2DR模型的核心，所有的防護、檢測、響應都是依據策略。它描述了系統中哪些資源要得到保護，以及如何實現對它們的保護等。

防護（Protection）

防護是主動防禦的防禦部分，系統的安全最終是依靠防護來實現的。防護的對象涵蓋了系統的全部，防護手段也因此多種多樣。

檢測（Detection）

檢測是動態響應和加強防護的依據。通過不間斷的檢測網絡和系統，來發現威脅。

響應（Response）

響應是主動防禦的實現。根據策略以及檢測到的情況動態的調整防護，達到主動防禦的目的。

隨著技術的進步，人們在P2DR模型以後又提出了APPDRR模型，即在P2DR模型中加入恢復（Recovery）手段。這樣一旦系統安全事故發生了，也能恢復系統功能和數據，恢復系統的正常運行。

1.4.2

參考標準

主要參考標準：

《信息保障技術框架v3.1》（IATF） 美國國家安全局

《信息系統安全管理指南》（ISO 13335） 國際標準化組織

《信息安全風險評估指南》（國標審議稿）中華人民共和國質監總局

其它參考標準：

AS/NZS 4360: 1999 風險管理標準

ISO/IEC 17799:2005 /BS7799 Part 1

ISO/IEC 27001:2005 /BS7799 Part 2

ISO/IEC 15408（CC）

GB17859-1999

等級保護實施意見（公通字[2004]66號）

《計算機信息系統安全保護等級劃分準則》GB 17859

行業參考標準：

《XX行業行業信息安全保障體系建設指南》

1.5管理體系規劃參考模型及標準

1.5.1

國家信息安全標準、指南

1. GB/T 20274—2006 信息系統安全保障評估框架

2. GB/T 19715.1—2005 信息技術—信息技術安全管理指南第1部分：信息技術安全概念和模型

3. GB/T 19715.2—2005 信息技術—信息技術安全管理指南第2部分：管理和規劃信息技術安全

4. GB/T 19716—2005 信息技術—信息安全管理實用規則

1.5.2

國際信息安全標準

1. ISO/IEC 27001:2005信息安全技術 信息系統安全管理要求

2. ISO/IEC 13335—1: 2004 信息技術 信息技術安全管理指南 第1部分：信息技術安全概念和模型

3. ISO/IEC TR 15443—1: 2005 信息技術安全保障框架 第一部分 概述和框架

4. ISO/IEC TR 15443—2: 2005信息技術安全保障框架 第二部分 保障方法

5. ISO/IEC WD 15443—3 信息技術安全保障框架 第三部分 保障方法分析

6. ISO/IEC PDTR 19791: 2004 信息技術 安全技術 運行系統安全評估

二、 技術體系建設規劃

2.1技術保障體系規劃

2.2.1

設計原則

技術保障體系的規劃遵循一下原則：

先進性原則

採用的技術和形成的規範，在路線上應與當前世界的主流發展趨勢相一致，保證依據規範建成的XX公司網絡安全系統具有先進性和可持續發展性。

實用性原則

具備多層次、多角度、全方位、立體化的安全保護功能。各種安全技術措施盡顯其長，相互補充。當某一種或某一層保護失效時，其它仍可起到保護作用。

可靠性原則

加強網絡安全產品的集中管理，保證關鍵網絡安全設備的冷熱備份，避免骨幹傳輸線路的單點連接，保證系統7*24小時不間斷可靠運行。

可操作性原則

根據XX公司風險評估結果，制定出各具特色、有較強針對性和可操作性的網絡安全技術保障規劃，適用於XX公司信息安全的規劃、建設、運行、維護和管理。

可擴展性原則

規範應具有良好的可擴展性，能適應安全技術的快速發展和更新，能隨著網絡安全需求的變化而變化，網絡安全保護週期應與整個網絡的工作週期相同步，充分保證投資的效益。

2.1.2

技術路線

分級保護的思想

遵照《XX行業行業信息安全保障體系建設指南》、《關於信息安全等級保護工作的實施意見》的要求，結合XX公司網絡應用實際，XX公司網絡的信息安全防護措施需要滿足安全等級保護要求，必須按照確定的安全策略，整體實施安全保護。

分層保護的思想

按照XX公司業務承載網絡的核心層、接入（匯聚）層、接入局域網三個層次，根據確定的安全策略，規範設置相應的安全防護、檢測、響應功能，利用虛擬專用網絡（例如MPLS VPN、IPSec VPN、SSL VPN）、公鑰基礎設施/授權管理基礎設施（PKI/PMI）、防火牆、在線入侵抵禦、入侵檢測、防病毒、強審計、冷熱備份、線路冗餘等多種安全技術和產品，進行全方位的安全保護。

分域保護的思想

控制大型網絡安全的另一種思想是把網絡劃分成不同的邏輯網絡安全域，每一個網絡安全域由所定義的安全邊界來保護。綜合考慮信息性質、使用主體等要素，XX公司網絡劃分為計算域、支撐域、接入域、基礎設施域四種類型安全域。

通過在相連的兩個網絡之間採用訪問控制措施來進行網絡的隔離和連接服務。其中，隔離安全服務包括身份認證、訪問控制、抗抵賴和強審計等；連接安全服務包括傳輸過程中的保密、完整和可用等。

動態安全的思想

動態網絡安全的思想，一方面是要安全體系具備良好的動態適應性和可擴展性。威脅和風險是在不斷變化的，安全體系也應當根據新的風險的引入或風險累積到一定程度後，適時進行策略調整和體系完善；另一方面是在方案的制定和產品的選取中，注重方案和產品的自愈、自適應功能，在遭遇攻擊時，具有一定的自動恢復和應急能力。

2.2信息安全保障技術體系規劃

2.2.1

安全域劃分及網絡改造

安全域劃分及網絡改造是系統化安全建設的基礎性工作，也是層次化立體化防禦以及落實安全管理政策，制定合理安全管理制度的基礎。此過程保證在網絡基礎層面實現系統的安全防禦。

目標規劃的理論依據

安全域簡介

安全域是指同一系統內有相同的安全保護需求，相互信任，並具有相同的安全訪問控制和邊界控制策略的子網或網絡，相同的網絡安全域共享一樣的安全策略。

相對以上安全域的定義，廣義的安全域概念是指：具有相同和相似的安全要求和策略的IT要素的集合。這些IT要素包括但不僅限於：物理環境、策略和流程、業務和使命、人和組織、網絡區域、主機和系統……

總體架構

如下圖所示：安全域的劃分如下：

圖 2_1安全與總體框架

本次建議的劃分方法是立體的，即：各個域之間不是簡單的相交或隔離關係，而是在網絡和管理上有不同的層次。

網絡基礎設施域是所有域的基礎，包括所有的網絡設備和網絡通訊支撐設施域。

網絡基礎設施域分為骨幹區、彙集區和接入區。

支撐設施域是其他上層域需要公共使用的部分，主要包括：安全系統、網管系統和其他支撐系統等。

計算域主要是各類的服務器、數據庫等，主要分為一般服務區、重要服務區和核心區。

邊界接入域是各類接入的設備和終端以及業務系統邊界，按照接入類型分為：互聯網接入、外聯網接入、內聯網接入和內網接入。

圖 2_1安全域立體結構圖

建設規劃內容

一、邊界接入域

邊界接入域的劃分，根據XX公司公司的實際情況，相對於ISO 13335定義的接入類型，分別有如下對應關係：

ISO 13335

實際情況

組織單獨控制的連接

內部網接入（終端接入，如辦公網）；業務邊界（如核心服務邊界）

公共網絡的連接

互聯網接入（如Web和郵件服務器的外部接入，辦公網的Internet接入等）

不同組織間的連接

外聯網接入（如各個部門間的接入等）

組織內的異地連接

內聯網接入（如XXX單位接入等其他部門等通過專網接入）

組織內人員從外部接入

遠程接入（如移動辦公和遠程維護）

邊界接入域威脅分析

由於邊界接入域是XX公司公司信息系統中與外部相連的邊界，因此主要威脅有：

黑客攻擊（外部入侵）

惡意代碼（病毒蠕蟲）

終端違規操作

……

針對邊界接入域的主要威脅，相應的防護手段有：

訪問控制（如防火牆）用於應對外部攻擊

遠程接入管理（如VPN）用於應對非授權接入

入侵檢測與防禦（IDS&IPS）用於應對外部入侵和蠕蟲病毒

惡意代碼防護（防病毒）用於應對蠕蟲病毒

終端管理（注入控制、補丁管理、資產管理等）對終端進行合規管理

二、計算域

計算域的劃分

計算域是各類應用服務、中間件、大機、數據庫等局域計算設備的集合，根據計算環境的行為不同和所受威脅不同，分為以下三個區：

一般服務區

用於存放防護級別較低（資產級別小於等於3），需直接對外提供服務的信息資產，如辦公服務器等，一般服務區與外界有直接連接，同時不能夠訪問核心區（避免被作為攻擊核心區的跳板）；

重要服務區

重要服務區用於存放級別較高（資產級別大於3），不需要直接對外提供服務的信息資產，如前置機等，重要服務區一般通過一般服務區與外界連接，並可以直接訪問核心區；

核心區

核心區用於存放級別非常高（資產級別大於等於4）的信息資產，如核心數據庫等，外部對核心區的訪問需要通過重要服務區跳轉。

計算域的劃分參見下圖：

圖 2_3計算域劃分圖

計算域威脅分析

由於計算域處於信息系統的內部，因此主要威脅有：

內部人員越權和濫用

內部人員操作失誤

軟硬件故障

內部人員篡改數據

內部人員抵賴行為

對外服務系統遭受攻擊及非法入侵

針對計算域主要是內部威脅的特點，主要採取以下防護手段：

應用和業務開發維護安全

基於應用的審計

身份認證與行為審計

同時也輔助以其他的防護手段：

對網絡異常行為的檢測

對信息資產的訪問控制

三、支撐設施域

支撐設施域的劃分

圖 2_4支撐基礎設施域劃分圖

如上圖所示，將網絡管理、安全管理和業務運維（業務操作監控）放置在獨立的安全域中，不僅能夠有效的保護上述三個高級別信息系統，同時在突發事件中也有利於保障後備通訊能力。

其中，安全設備、網絡設備、業務操作監控的管理端口都應該處於獨立的管理VLAN中，如果條件允許，還應該分別劃分安全VLAN、網管VLAN和業務管理VLAN。

支撐設施域的威脅分析

支撐設施域是跨越多個業務系統和地域的，它的保密級別和完整性要求較高，對可用性的要求略低，主要的威脅有：

網絡傳輸洩密（如網絡管理人員在網絡設備上竊聽業務數據）

非授權訪問和濫用（如業務操作人員越權操作其他業務系統）

內部人員抵賴（如對誤操作進行抵賴等）

針對支撐設施域的威脅特點和級別，應採取以下防護措施：

帶外管理和網絡加密

身份認證和訪問控制

審計和檢測

四、網絡基礎設施域

網絡基礎設施域的劃分

圖 2_5網絡基礎設施域劃分圖

網絡基礎設施域的威脅分析

主要威脅有：

網絡設備故障

網絡洩密

物理環境威脅

相應的防護措施為：

通過備份、冗餘確保基礎網絡的可用性

通過網絡傳輸加密確保基礎網絡的保密性

通過基於網絡的認證確保基礎網絡的完整性

現有信息技術體系描述

XX公司現有網絡拓撲

XX公司網絡結構脆弱性評估

1、網絡結構層次不清晰

當前網絡骨幹區域，基本形成以兩臺C6509為核心，多臺C2970/C2950等為接入的架構，網絡骨幹設備性能優異，擴展能力較強。但部分區域仍然存在結構層次不清晰、不合理之處。

遠程接入區域，包括XXX單位通過專線直接接入到核心交換機C6509上，其它的上聯國家局、XX公司局等專線鏈路也直接接入到核心交換機C6509上，除國家局配置有防火牆外，其它連接均未經過任何匯聚或訪問控制設備。核心交換機C6509同時兼具上述多條專線接入設備的任務，網絡邏輯層次結構較為模糊。

2、網絡單點故障

當前網絡核心層為冗餘設備，下聯接入層交換為冗餘線路，其它對外連接均為單設備和單線路連接，存在網絡單點故障隱患。

各遠程接入鏈路均為一條電信專線，沒有其它冗餘的廣域網鏈路，存在遠程接入鏈路單點故障。

外網服務器區的Web和Mail服務器的互聯網連接和訪問均為單線路，存在單點故障。

3、網絡安全域劃分不明

公司大多數內網服務器系統分佈在XX網段，沒有進一步的VLAN劃分及其它防護措施的隔離。

ERP、協同辦公、營銷等重要系統混雜在一起，與其它服務器都部署在同一個區域，非常不利於隔離防護及後期的安全規劃建設。

下屬車間存在生產網與辦公網絡混用的情況。各生產網與辦公網未嚴格隔離，未整合邊界，未實施集中安全防護。

業務維護人員、網絡管理人員、安全管理人員以及第三方運維人員，未劃分專門的管理支撐域。當前主要根據辦公物理位置，各自接入到辦公網中，未與普通辦公人員網絡區域隔離。

遠程接入區域，根據對端可信度及管理職責等，可以劃分為四類，1、國家XX行業；2、省商業公司鏈路；3、XXX單位接入。當前未進行分類隔離，統一安全策略。

4、部分節點區域缺乏必要安全防護措施

內部終端用戶訪問內部服務器、互聯網絡沒有有效的控制行為；能夠訪問互聯網的終端不能有效控制訪問帶寬並進行行為審計。

遠程接入XXX單位專線直接接入到核心交換機Cisco3845上，兩端均未部署防火牆實施訪問控制。XXX單位用戶可以任意訪問到總部網絡，任意訪問內網服務器。

全網缺乏一套集中的安全運營管理中心，當前網絡設備、安全設備、主機及業務系統的日誌及安全運行狀況監控，僅由各自維護人員手工操作，直接登錄設備檢查分析。

內網服務器區、生產服務器區缺乏業務審計設備，無法記錄關鍵的業務、維護操作行為。

5、現有的安全技術防護手段

在互聯網出口部署了防火牆兩臺，同時設置訪問規則對Web服務器和內網用戶對互聯網的訪問進行網絡層控制；

在核心交換機上部署了入侵檢測系統，對核心交換上的數據信息進行入侵行為的檢測；

在郵件系統部署了防垃圾郵件系統，可對垃圾郵件進行過濾；

內網部署了趨勢的網絡防病毒系統，

內網部署了內網管理系統，可對內部網絡終端進行接入管理、主機維護管理、補丁管理、主機行為審計等。

2.3技術體系規劃主要內容

2.3.1

網絡安全域改造建設規劃

改造建議說明：

1、 新增管理支撐域，作為整個網絡的設備和系統管理中心。

2、 新增匯聚層網絡設施域，部署四臺三層交換機，核心部件採用冗餘配置，作為整個網絡的匯聚層，這樣既便於接入區和服務區的訪問控制，又將生產區和辦公區進行了區分，並分擔了核心交換機的負擔。

3、 在核心交換和新增的匯聚交換間部署防火牆進行服務域的訪問控制；

4、 將原有的服務器使用VLAN方式劃分為核心服務域和一般服務域；

5、 更換互聯網出口防火牆為安全網關，採用雙機冗餘方式部署，並啟用IPS檢測、AV檢測功能，為對外提供服務的WEB和MAIL服務器制定保護策略；

6、 在互聯網安全網關後增加上網行為管理系統，採用雙機冗餘方式部署，對訪問互聯網的流量和訪問進行控制和審計；

7、 將互聯網出口替換下的防火牆部署到單獨劃分的財務服務域前端，進行必要的訪問控制保護；

8、 將XXX單位連接線路由原來的連接核心C6509改為連接新增加的匯聚層防火牆上，增加外部訪問的訪問控制。

2.3.2

網絡安全設備建設規劃

網絡安全設備分為邊界保護類，入侵檢測/防禦類，終端保護等多種。

網絡安全產品的類型是由網絡安全技術決定的，為了實現全面的安全防護，以不同的實體出現的安全設備要在技術上覆蓋所有的安全領域，也就是所有安全設備功能的總和在技術層面應該能夠防禦目前網絡環境下所有安全威脅的總和。

安全產品雖然不是安全防護體系的決定因素，卻是安全防禦體系的基石。是實現系統化全方位網絡安全防護的必要條件。

在充分分析目前XX公司已經部署的網絡安全設備的前提下，又結合了風險評估的結果，以及安全域劃分和網絡改造的具體需求，得出了最終需要新增的網絡安全設備需求。

此過程保證在設備層面實現安全技術體系。部署完成後，XX公司所有安全設備防護功能的總和在技術層面上將能夠滿足防護和應對目前已知安全威脅。同時滿足《XX行業行業信息安全保障體系建設指南》中在技術體系建設方面對網絡安全部分的要求。

結合規劃的安全域，在新的安全環境下，規劃的安全設備部署示意圖如下：

一、防火牆設備

部署位置

防火牆部署在核心層和匯聚層之間。如下圖所示。

安全功能

防火牆系統是進行安全域邊界防護的有效手段。需要部署防火牆將網絡分割成不同安全區域，並對核心業務系統形成縱深保護體系。在新增的匯聚網絡層和核心網絡層之間冗餘部署四臺防火牆設備，實現生產接入域、辦公接入域和其他區域訪問的控制，生產接入域和辦公接入域之間的訪問控制。通過此次安全域的劃分和網絡改造，使防火牆主要可以起到如下幾類作用：

限制各個接入網絡對網絡設備的訪問。

限制接入網絡穿過的源。

限制接入網絡能訪問的目的。

限制接入網絡穿過的應用端口。

限制能提供的應用端口。

二、安全網關設備

部署位置

一體化安全網關部署在互聯網出口處，做互聯網邊界綜合防護。如下圖所示。

實現安全功能：

訪問控制

IP地址過濾、MAC地址過濾、IP＋MAC綁定、用戶認證、流量整形、連接數控制等

IPS防禦體系

通過繼承的IPS功能，精確抵禦黑客攻擊、蠕蟲、木馬、後門；抑制間諜軟件、灰色軟件、網絡釣魚的泛濫；並可有效防止拒絕服務攻擊。

網絡防病毒

能夠有效抵禦文件感染病毒、宏病毒、腳本病毒、蠕蟲、木馬、惡意軟件、灰色軟件等。

抗DoS攻擊

採用特徵控制和異常控制相結合的手段，有效保障抗拒絕服務攻擊的準確性和全面性，阻斷絕大多數的DoS攻擊行為。

三、上網行為管理設備

部署位置

上網行為管理部署在互聯網出口處。如下圖所示。

安全功能：

P2P流量控制

對P2P的應用加以控制，例如提供最大帶寬限制、保證帶寬、帶寬租借、應用優先級等一系列帶寬管理功能，最終可實現禁止使用P2P軟件或限制P2P軟件的可用帶寬，從而達到控制P2P流量的目標，將寶貴的、有限的帶寬資源保留給組織中關鍵的應用和業務。

服務分級

服務分級是一種帶寬管理的理解方式。也可以理解為某種程度上QoS。針對不同訪問需求的用戶也可以進行服務的分級處理，對帶寬要求高的人員可以獲得較多的帶寬，從而保證其訪問的需求。

關鍵應用保障

目前XX公司在應用方面已經建立基於互聯網的Web和Mail系統，需要在應用層加以優先保證。上網行為管理設備可以基於應用的重要程度進行帶寬資源的合理分配，從而保證重要的、時效性高的應用能夠獲得較多的帶寬，最終能夠保障關鍵應用的正常運行。

四、業務安全審計設備

部署位置

網絡安全審計設備主要部署在核心業務區域，按照XX公司安全域的規劃，需要部署業務審計系統的位置為服務域（核心服務域+一般服務域），生產服務域（捲包中控、物流中控、制絲中控、動力中控），重點審計內容是人為通過網絡對各服務器系統、數據的訪問行為審計和控制，部署示意圖如下：

服務域審計系統部署示意圖

生產服務域審計系統部署示意圖

安全功能

滿足合規要求

目前，越來越多的單位面臨一種或者幾種合規性要求。XX公司面也面臨著合規性的要求。一是等級保護的要求；二是行業規範的要求。在國煙辦的147號文件中，明確要求部署網絡審計設備。

有效減少核心信息資產的破壞和洩漏

對企業的業務系統來說，真正重要的核心信息資產往往存放在少數幾個關鍵系統上（如數據庫服務器、應用服務器等），通過使用網絡安全審計系統，能夠加強對這些關鍵系統的審計，從而有效地減少對核心信息資產的破壞和洩漏。

追蹤溯源，便於事後追查原因與界定責任

一個單位裡負責運維的部門通常擁有目標系統或者網絡設備的最高權限（例如掌握DBA帳號的口令），因而也承擔著很高的風險（誤操作或者是個別人員的惡意破壞）。由於目標系統不能區別不同人員使用同一個帳號進行維護操作，所以不能界定維護人員的真實身份。試用網絡安全審計系統提供基於角色的審計，能夠有效地區分不同維護人員的身份，便於事後追查原因與界定責任。

直觀掌握業務系統運行的安全狀況

業務系統的正常運行需要一個安全、穩定的網絡環境。對管理部門來說，網絡環境的安全狀況事關重大。網絡安全審計系統提供業務流量監控與審計事件統計分析功能，能夠直觀地反映網絡環境的安全狀況。

實現獨立審計與三權分立，完善IT內控機制

從內控的角度來看，IT系統的使用權、管理權與監督權必須三權分立。網絡安全審計系統基於網絡旁路監聽的方式實現獨立的審計與三權分立，完善了IT內控機制。

五、漏洞掃描設備

部署位置

漏洞掃描系統部署在管理支撐域，通過一個二層接入交換機接入到核心交換機，示意圖如下圖所示：

安全功能

通過對網絡設備，操作系統，應用系統的掃描，有效瞭解系統弱點，為實施安全防護方案和制定安全管理策略提供依據和參考。

制定週期性掃描計劃，實現週期性的安全自評，為有效的風險管理提供參考和支持。

2.3.3

CA認證體系建設

現狀

XX公司目前暫無CA認證系統，但按照國家總局的統一建設要求，已經將CA認證系統作為即將開始的項目。

建設規劃目標

通過建設CA認證體系，為業務應用系統提供穩定可靠的信息安全服務，切實保障系統使用人員身份的真實性、信息傳輸的保密性、數據交換的完整性、發送信息的不可否認性，為信息化建設和發展奠定安全基礎。

建設規劃內容

按照《XX行業行業CA認證體系建設方案》規範，XX公司行業CA認證體系項目由數字證書籤發服務平臺標準版、數字證書應用支撐平臺和數字證書系綜合監管平臺組成，

本次建設的企業級數字證書籤發服務平臺標準版，主要建設內容包括CA、RA、KMC系統；數字證書應用支撐服務平臺，主要建設內容包括：簽名服務器、SSL安全代理服務器、身份認證系統、時間戳服務器；數字證書綜合監管平臺，主要建設內容包括：數字證書備案系統、數字證書安全審計系統。

CA認證體系應用建設

1、 應用系統身份認證

利用CA認證體系同現有應用系統的身份認證方式相結合，針對重要業務系統或重要崗位，進行身份驗證，保留登錄記錄，落實責任，方便管理。

2、 綜合應用平臺單點登錄

對已建設的信息系統進行整合和數據交流，並提供統一身份驗證平臺，實行信息門戶單點登錄。CA認證體系建設和該平臺相結合，使單點登錄系統更安全，並便於管理。

3、 遠程VPN訪問身份認證

由於營銷人員等分佈全國各地，需要遠程訪問公司服務器。CA認證系統和VPN遠程訪問控制相結合，更能保障身份唯一性，並大幅提高互聯網訪問的安全性。

2.3.4

數據安全保障

1、知識產權保障

通過部署電子文檔安全系統，使得企業成為電子數據的真正所有者，保證企業知識產權。有效提高企業在市場上的競爭力。

2、電子文檔管理流程優化

通過部署電子文檔安全系統，優化文檔安全管理工作的效率，從前需要人工審核的部門由計算機網絡取代，提高了工作效率。同時，在服務器上備份所有的文件審查日誌。數據的完整性、可靠性都得到了極大的提升，也減免了傳統的紙質備份保密資料給企業帶來的成本。

二、建設規劃內容

1、建議部署結構

在進行文檔保護系統部署結構時，考慮到必須保證業務的高可用性。因此，採用了雙服務端熱備設計，此舉能夠保證，在一臺服務器出現故障的時候，另一臺會接管故障服務器的工作，保證業務的可用性。

2、建議權限劃分

建議根據XX公司用戶角色不同，初步將用戶權限規劃為如下：

離線功能

加解密功能

日誌記錄

用途

○

○

●

記錄對文件的操作

○

●

●

普通辦公PC

●

●

●

辦公筆記本電腦（出差）

●

可選

●

家用筆記本電腦

●

可選

○

家用PC（員工在家辦公）

○

○

○

僅閱讀之用

針對不同的用戶，可以隨時靈活的變更權限，保證安全性和易用性兩不誤。

3、系統使用

在正常使用的過程中，最終用戶一般感受不到電子文檔的存在，除非用戶需要：

將文件解密；

帶電腦離開公司的網絡環境；

希望產生的文檔不加密；

需要把機密文檔中的文字複製到特定的網站。

2.3.5

終端安全管理

XX公司現已經部署了一套綜合的終端安全管理系統，實現了對網絡終端進行主動的管理和控制、補丁分發、強制安全策略、遠程幫助等主要功能。通過該系統，實現終端主動防護能力和有效的管理，形成整體的安全准入控制體系。

2.3.6

備份與恢復

現狀

目前XX公司還沒與建立起行之有效的備份與恢復機制。在網絡層，系統層，應用層都涉及到備份與恢復的問題。網絡層的備份主要指的設備和線路的冗餘。在安全域劃分網絡改造中已經涉及並考慮的了線路的冗餘問題。

外網通信線路冗餘

按照相關文件的要求，在XX行業技術體系要求中需要建立通信線路冗餘。主要是體現在兩個方面：

互聯網公共出口的線路冗餘。通常做法是選擇兩家以上的運營商同時接入互聯網，增加冗餘，降低通訊鏈路故障風險。

公司內部廣域網的線路冗餘，比如和國家局或者天水煙廠之間的通訊鏈接。通常是租用的SDH專線。可以考慮增加VPN線路作為冗餘。在專線故障的時候啟用VPN線路應急。

2.3.7

安全運營中心建設

目前XX公司還未建立安全運行中心。建立安全運營管理中心，使得XX公司的網絡安全管理機構能及時準確地獲知整個網絡安全體系的效果和現狀，並且幫助進行正確的決策分析。

通過安全運營管理中心，將不同位置、不同資產（主機、網絡設備和安全設備等）中分散且海量的安全信息進行範式化、彙總、過濾和關聯分析，形成基於資產/域的統一等級的威脅與風險管理，並依託安全知識庫和工作流程驅動對威脅與風險進行響應和處理。

2.3.8

週期性風險評估及風險管理

通過週期性的風險評估，發現信息系統存在的安全隱患，以維持公司的整體信息安全水平；

通過週期性的安全加固增強主機的安全性，減小由於主機漏洞而導致的安全風險。

項目內容

XX公司的業務系統長期穩定安全地運行，是XX公司能夠提供優質服務的保障。

由於信息安全的動態性特點，信息安全工作是一個持續的、長期的工作，建議XX公司每年定期請安全顧問進行安全風險評估。通過專業、持續的安全服務來解決信息系統日常運行維護中的安全問題，降低安全風險、提高信息系統安全水平。

風險評估的範圍為XX公司的整個信息系統。

安全風險評估服務包括但不限於以下對象：物理環境、網絡結構、網絡服務、主機系統、數據、應用系統、安全系統、安全相關人員、處理流程、安全管理制度、安全策略。

給出風險評估報告和安全現狀報告，系統風險修正措施以及系統安全指導性架構。此項服務可以幫助XX公司瞭解自身網絡安全現狀，並根據報告和建議進行投資預算。

本次已進行的風險評估是實現XX公司信息安全風險管理的重要組成部分。週期性的風險評估是實現P2DR2安全模型的重要機制和組成部分。

建議每年對XX公司的網絡系統進行一次安全風險評估，由於XX公司的網絡安全工作目前剛起步，許多工作剛開始，整個XX公司缺乏相關的經驗，建議XX公司在三到五年內，聘請一家較有經驗的網絡安全公司，每年為XX公司提供一次網絡安全的風險評估服務。

3. 運維體系建設規劃

3.1風險評估及安全加固

3.1.1

風險評估

此次XX公司安全項目本身已經包含信息系統風險評估部分。詳細信息參見風險評估各部分輸出文檔。

3.1.2

安全加固

風險評估是安全加固的前提，風險評估依據資產，威脅，脆弱性的分析得到信息系統各部分面臨的安全風險。安全加固則是依據風險評估的結果，為了降低系統風險所採取的措施之一。

通過對當前系統進行加固操作，修補主機系統、網絡設備、數據庫、應用和中間件存在的弱點，可以全面提高設備的安全性。降低系統運行風險。

3.2信息安全運維體系建設規劃

3.2.1

機房安全規劃

制定詳細的機房環境維護管理流程，安排專門人員進行機房環境的定期維護管理，並做好相關的記錄和檢查；

將現有的機房安全管理制度製作標牌懸掛機房內，並監督執行；

安排機房安全管理人員，並製作標牌懸掛機房內。

3.2.2

資產和設備安全

資產管理

對現有資產管理制度進行修訂，增加安全管理內容；

通過一定的服務活動更新資產清單，並增加資產編號的標示標牌；

通過安全評估活動增加資產定性賦值，完善現有資產管理表格。

介質管理

介質管理在XX公司的“信息安全保密管理規定”中已經有明確的規定，後續工作為加強管理的執行；

對於移動備份介質的存放和管理可在“信息安全保密管理規定”進行一定的修訂，確保明確明晰；

對於介質維修和銷燬的規定，可在“信息安全保密管理規定”進行一定的修訂，確保明確明晰。

設備管理

部署專用設備和軟件系統，對設備操作使用進行有效的監管。

3.2.3

網絡和系統安全管理

一、網絡安全管理

1、部署網絡漏洞掃描系統，並制定掃描管理規範，定期對網絡和服務系統進行掃描，並生成檢查報告；

2、在現有管理的規範上，細化管理流程包含服務變更、授權訪問等形成系統的申請、審批、核查流程；

3、在現有管理規範的基礎上，結合後期網絡整改的需求制定專門的網絡安全管理規範；

4、根據網絡和各業務系統的實際情況，補充詳細的管理流程對安全策略、授權訪問、最小服務、升級與打補丁、維護記錄、日誌以及配置文件的生成、備份、變更審批、符合性檢查等方面進行管理；

5、部署安全運維管理系統和業務審計系統收集各種日誌信息，並集中進行存儲、管理和分析，為事件處理提供有力支持；

6、通過按照國家局身份認證系統建設規範和計劃，建設XX公司的身份認證系統，實現身份認證和授權管理的補充；

建議部署內網NTP服務器，並配置所有系統使用NTP服務器進行時間校驗和更新；

7、按照國家局身份認證系統的規範進行建設，可根據身份認證系統的建設進行訪問用戶的身份認證和授權；

二、系統安全管理

1、服務器補丁採取謹慎處理，建議聘請專業安全公司協同應用系統開發廠商對漏洞修補對業務系統的影響進行評估後，對能夠修補的補丁進行修正，不能修補的補丁漏洞通過網絡訪問控制、入侵防禦等技術手段將風險控制到可接受範圍內；

2、在網絡訪問控制方面採用訪問控制、入侵防禦、業務審計、終端管理相結合的技術手段實現從網絡層到應用層的綜合防護；

3、系統自身的管理通過系統管理員進行，訪問系統應用的帳號均分配了合適的訪問權限；

4、部署漏洞掃描系統，定期對業務系統進行必要的檢查；

5、細化各類用戶的責任、義務和風險，對系統帳戶的登記造冊、用戶名分配、初始口令分配、用戶權限及其審批程序、系統資源分配、註銷等做出一定規定，並形成有效可行的流程；

6、部署安全運維管理系統和業務審計系統，對系統自身的各項操作信息進行審計和管理，使之符合於對應的安全管理規定。

3.2.4

監控管理和安全管理中心

建議部署安全運維管理中心，收集設備完整的各項資源使用信息、訪問授權、操作記錄、日誌信息等並進行綜合分析；

建議部署的安全運維管理中心與已經部署的IT運維管理系統進行接口處理，將安全運維管理中心的安全事件處理自動發送IT運維管理中心進行規範處理管理。

3.2.5

備份與恢復

1、需要制定專門的數據備份管理流程，對備份方式（如增量備份或全備份等）、備份頻度（如每日或每週等）、存儲介質、保存期、放置場所、文件命名規則、介質替換頻率和將數據離站運輸的方法等進行詳細規定；

2、將執行恢復程序，檢查和測試備份介質的有效性的檢查驗證工作變為定期開展工作；

3.2.6

惡意代碼防範

1、策劃全員安全培訓，增強惡意代碼的防範意識；

2、建議新增網關防病毒系統，與現有網絡版防病毒系統形成立體防護；

3、建議制定單獨的惡意代碼管理規範。

3.2.7

變更管理

增強變更檔案管理。

3.2.8

信息安全事件管理

1、在原有檢測系統的基礎上，增加安全事件高風險節點的入侵防禦手段和安全防護；

2、建設安全運維管理平臺，對安全事件和事故的處理進行集中管理和分析處理；同時與現有的信息管理系統進行有效的整合，將信息管理、信息安全管理進行有效的結合；

3、對已經制定的各項事件處理流程，編制培訓和演練計劃。

應急預案的培訓和演練事件建議每一年舉辦一次。制定並執行4、明確的計劃要求，對應急預案進行定期審查和根據實際情況更新的內容，更新完成後及時進行培訓和演練。

3.2.9

密碼管理

按照國家局的相關要求進行XX公司的CA體系建設；

參考CA建設內容、相關要求和自身實際情況，制定專項的密碼管理條款或規定。

4. 管理體系建設規劃

4.1體系建設

4.1.1

建設思路

一個信息安全項目和驅動因素會涉及六項主要輸入：

業務需求

安全必須與業務需求相結合，這些需求與XX公司的業務戰略、目的和目標，以及公司（在互聯網上）經營業務的方式相聯繫；有效的安全將支持和確保公司業務的成功。

合規需求

任何公司都有一些必須遵從的法律法規，這些規定可能是行業相關的或者具體規定公司經營的，例如，XX公司必須遵循國家等級保護的規定，同時要遵循國家XX行業局的相關規定。

威脅

企業必須瞭解其信息和業務所面臨的內外部威脅。對XX公司可能這些威脅來自於病毒對業務的破壞或拒絕服務的攻擊，或主機網絡癱瘓，以及內外部人員的誤操作等。威脅也可能是無意的，但也會破壞業務的運營，如辦公室火災或者一些計算機設備損壞。

後果

瞭解安全事件的後果是至關重要的。如若不能理解公司是如何應用信息的，就不可能針對重大風險做出有效的安全控制計劃。必須平衡實施安全控制的成本和所保護的資產的價值。

安全治理

安全項目的治理定義了，誰將控制以及誰對妥善保護公司信息資產負有責任。治理將定義安全組織模式並對安全項目績效和價值進行評估。

安全管理規劃思路

4.1.2

規劃內容

本文安全管理體系規劃內容從以下幾個方面考慮。

安全管理體系規劃內容圖

4.2信息安全管理體系現狀

4.2.1

現狀

XX公司在信息系統建設過程中意識到信息安全的重要性，在安全技術方面不斷完善技術體系，安全管理方面也採取了相應的措施，在人員、制度和流程上都有所體現：

明確信息系統各部分以及各重要應用系統的管理員和職責，具體如下：

網絡管理員

數據庫管理員

ERP管理員

MES管理員

OA管理員

輔助系統管理員

營銷系統管理員

自動化系統管理員

服務器硬件管理員

服務器維護管理員

4.2.2

問題

根據風險評估的結果，結合相關調研材料，目前XX公司信息安全管理現狀如下：

缺乏信息安全方針

由於安全目標方針不明確，導致全員不能清晰領悟安全的重要性，安全思想不能得到有效貫徹落實，對於安全建設還抱有可有可無的思想狀態。

缺乏系統開發安全規範，可能會存在項目過程文檔、內部敏感信息外流的風險，以及系統漏洞被非法利用，如網站遭到數據庫注入攻擊，系統維護人員直接訪問數據庫導致系統重要數據被破壞。

無符合性相應的文檔規範，安全產品部署不符合目前等級保護的相關要求，對重要系統今後的正常運行產生一定障礙。

人員安全管理不規範

人員管理不規範導致內部人員無意失誤、惡意破壞系統及被非法利用；

對第三方人員的訪問無管理流程規範，會導致第三方人員的惡意破壞或誤操作；

終端人員的誤操作或惡意嘗試會涉及到全網機器，導致整個公司的正常業務運作。

如果按下圖管理成熟度模型評價XX公司的管理體系應該處在2左右，即大多數過程能遵循固定的模式。

成熟度模型

4.3管理體系建設規劃

4.3.1

信息安全最高方針

信息安全最高方針是為信息安全提供管理指導和支持，並與業務要求和相關的法律法規保持一致；是管理層正式發佈的總體意圖與方向，管理者應根據業務目標制定清晰的方針方向，並通過在整個組織中頒發和維護信息安全方針來表明對信息安全的支持和承諾。

最高方針事例：

為保護公司的信息資產（包括軟硬件設施、數據、信息的安全）免於因外在的威脅或內部人員不當的管理遭受洩密、破壞或遺失，保障各項生產、經營管理工作正常有序的開展。

貫宣口號事例：

建立安全理念 建設安全文化 堅持以人為本 認識安全效益

建議：信息安全方針文檔應經過管理層的批准，並傳達給所有員工和外部相關方。

4.3.2

風險管理

建議：

1、在信息系統的建設、運單位、變更過程中引入風險管理。

2、對實施風險管理的信息系統中的信息資產進單位識別。

3、應該識別受保護的信息資產所面臨的威脅和信息系統所存在的脆弱性。

4、對信息系統已採取的控制措施進行識別，並對控制措施的有效性進行確認。

5、應該根據安全事件發生的可能性和影響程度，評估風險，確定風險等級。

6、應該選擇恰當的控制措施，並實施這些措施以降低信息系統安全風險。

7、建立相應的制度保證風險管理的落實及維護。

4.3.3

組織與人員安全

組織和人員是信息安全工作的重要支撐，建立有效的安全組織機構和相應的人員是做好XX公司信息安全工作的必要條件。

一、組織結構

建議：

1、XX公司需要建立以廠領導為最高領導的信息安全領導小組，對XX公司信息系統的安全負有領導責任。

2、該組織結構能夠滿足XX公司安全組織需求，但需要加強其職能。

3、對上述組織結構中人員進行明確角色劃分，並明確其任務分工，列入職位說明書裡。

二、信息安全職責

建議：

1、應在信息安全領導小組中設立信息安全運行的不同崗位，如網絡管理員、數據庫系統管理員、操作系統管理員、業務系統管理員等。

2、明確規定信息系統安全管理過程中人員配備及職責。

3、應該建立與加強與外部其它組織間的安全協作。

4、應貫徹工作崗位中角色分離的原則，互斥、不兼容的職能角色必須分離。

5、必須制定公司員工的安全使用原則，明確員工，尤其是信息系統相關人員、敏感信息處理人員的錄用、考核、轉職、離職等的安全要求。

XX公司在管理員設置以及人員方面較好的滿足了信息安全職責劃分的要求。但是仍然需要在管理員角色管理，用工人員制度方面有所加強。

三、人員安全管理

建議：

1、制定《員工信息安全手冊》，作為唯一針對全公司的信息安全操作手冊。

2、 對《員工信息安全手冊》進行宣傳推廣。主要手段：郵件、內網論壇、集中培訓宣講。

3、《員工信息安全手冊》執行情況檢查與改進

四、信息安全培訓

建議：

1、 應建立長期有效的信息安全培訓機制，對員工進行相關的安全培訓, 增強安全意識、提高安全技能。

2、員工上崗前，應進行崗位信息安全培訓，並簽署信息安全保密協議。在崗位發生變動時，及時調整信息系統操作權限。

3、信息安全政策與標準發生重大調整、新建和升級的信息系統投入使用前，開展必要的安全培訓，明確相關調整和變更所帶來的信息安全權限和責任的變化。

五、信息安全檢查與考核

建議：

1、應定期進行信息安全檢查與考核，包括信息安全政策與標準的培訓與執行情況、重大信息安全事件及整改措施落實情況、現有信息安全措施的有效性、信息安全技術指標完成情況。

2、 制定正式的安全獎懲條例，處罰和獎勵必須分明。

4.3.4

信息資產管理

信息資產是指同信息系統相關的對XX公司有價值的事物，如計算機硬件和軟件、數據庫、服務和文檔等。

本章適用於XX公司所有部門。

信息資產的分類分級

建議：

1、為了保證信息資產得到適當的保護，應該對信息分類分級，指明其保護級別。信息資產鑑別和分類是整個XX公司信息安全管理的基礎，這樣才能夠真正知道要保護的對象。

2、涉密（是指涉及國家秘密）信息資產應按辦公室涉密信息資產規定進行管理。

3、涉及企業秘密的資產信息，應按辦公廳機密信息分類方法和制度，根據機密程度和商業重要程度對數據和信息進行分類。

信息資產的標識

建議：

1、對所有識別出並進行分類的信息資產，應當建立資產目錄並進行標識，標識方法可採用有形標籤和電子標籤。

2、將信息資產分為不同的安全防護等級，有助於“應級而異”地規劃、設計、實施相關的信息資產安全管理和保護措施，從而更有效地保障信息資產的機密性、完整性和可用性。

信息資產的管理

建議：

1、根據業務、組織、人員等變化定期審查信息資產的歸屬類別，並更新其歸屬類別。

2、應建立信息資產的物理存放、淘汰、報廢等管理規定。

3、應對各類信息資產設立責任人，明確安全責任。

信息資產的審計和執行

建議：

1、各部門領導及信息資產管理員應當對本部門各類信息資產進行有效監督和管理，對違反管理規定的行為要及時指正，對嚴重違反者要立即上報；

2、安全領導小組應當定期/不定期組織對各個部門的信息資產的安全狀態進行審計，對違反管理規定的情況要通報批評；

3、對嚴重違反規定，可能或者己經造成重大損失的情況要立即彙報上級安全指導委員會。

4.3.5

網絡安全管理

XX公司已經制定了《計算機網絡管理規定》，各部門除了需要嚴格按照該規定執行外，還應該增加下列內容：網絡基礎的管理，網絡運行的管理，無線網絡管理.

4.3.6

桌面安全管理

終端用戶行為管理

建議：

1、應制定終端用戶行為管理規範，嚴格控制用戶的日常操作，並儘量避免應一臺終端出現問題導致全網受影響。

2、在操作之前，所有對主機及系統的訪問都必須向用戶提供示警信息。

3、必須要求通過安全的登錄程序登錄主機及系統。

4、用戶必須具有唯一的個人身份標識，保證對主機及系統的所有活動都可以追溯到責任者。

5、對於員工違反安全策略和安全流程，制定相應的紀律處分規定進行處罰。

桌面防病毒管理

建議：

1、制定防病毒的管理制度和操作指南。

2、設立專門的管理員負責防病毒的管理工作。

3、如遇病毒安全事故，則按照信息安全事件響應。

4、應在全網範圍內建立多層次的防病毒體系，要使用國家規定的、服務技術支持優秀、具有計算機使用系統安全專用產品銷售許可證的網絡防病毒產品。各部門對防病毒軟件的部署應該做到統一規劃，統一部署，統一管理。

4.3.7

服務器管理

1、服務器系統是指承載重要業務的服務器，其安全管理不同於普通桌面系統，其它全管理不僅針對自身操作系統，還包括業務系統。

2、應制定服務器系統安全管理規範，對服務器的軟件安裝、主機操作系統、服務器補丁/升級及變更等各方面進行管理。

3、XX公司已經制定了《服務器管理規定》，用於加強對服務器的管理。各部門除了要嚴格執行《服務器管理規定》所述各項規定外，還需要進一步細化，遵守下述服務器安全管理規定：軟件安裝安全管理，服務器系統安全管理，服務器補丁/升級安全管理，變更管理。

4.3.8

第三方安全管理

由於XX公司業務系統較多，有很多系統是委託第三方機構進行開發或者代維，XX公司不能直接管理第三方，所以可能面臨著很大的威脅。

此章節適用於與第三方機構及人員活動的各部門。

建立第三方安全管理的規範和制度，並要求其嚴格遵守。嚴格控制第三方對XX公司信息系統的訪問，並在合同中規定其安全責任和安全控制要求，以維護第三方訪問的安全性。

4.3.9

系統開發維護安全管理

XX公司信息化建設步伐很快，新的系統陸續在開發，如果開發過程中的安全管理做好可避免系統運行後因應用系統漏洞而受到威脅。

本章適用於涉及信息系統開發維護的所有部門。

應建立系統開發維護管理規範，對系統開發過程及維護過程進行嚴格管理。

4.3.10

業務連續性管理

業務連續性管理是確認影響業務發展的關鍵性因素及其可能面臨的威脅。並由此而擬定一系列計劃與步驟用來確保企業無論處於何種狀況下，這些關鍵因素的作用都能正常而持續地發揮作用，應對可能發生的衝擊及對企業運作造成的威脅，確保業務的連續穩定連續運行。通常在企業信息安全工作裡，業務連續性是指應急響應和災難恢復工作。

XX公司已經建立了《信息安全事故響應預案》，各部門除了要嚴格遵守和執行上述預案外，還應該從風險管理的角度的出發，多方面考慮業務連續性的要求，細化應急響應工作內容。，具體要求：建立應急響應小組，制定應急響應計劃，信息安全事件的報告和應急處理，建立應急信息庫，應急恢復演練和測試。

4.3.11

項目安全建設管理

項目安全建設管理是指從可行性研究、立項、招投標、合同到設計、施工等各個環節按照法律法規、工程建設相關管理規定為依據在信息安全方面進行的管理。

此章節適用於進行建立IT相關項目的各部門。

應結合公司相關工程建設管理規範對項目整個過程建立安全管理規範，包括項目設計安全管理，項目施工安全管理，項目試運行安全管理，項目驗收安全管理.

4.3.12

物理環境安全

物理環境安全不僅包括機房，還包括工作環境等區域，應針對這些區域進行安全管理。

此章適用於XX公司所有部門。

物理環境安全包括物理區域劃分，物理訪問控制，物理設備安全管理，物理文檔安全管理，

4.4管理體系建設規劃

4.4.1

項目規劃

通過本規劃中的建設項目達到等級保護和國家局安全保障體系建設指南的相關管理基本要求。具體規劃項目內容如下：

類別

基本要求

項目編號

建設項目

管理

安全管理機構

ISM-1

信息安全組織建立

安全管理制度

ISM-2

信息安全制度完善

人員安全管理

ISM-3

人員安全能力建設

系統建設管理

ISP-4

第三方運維管理

ISP-3

信息安全建設過程完善

制度評審

ISM-4

信息安全制度評審

運維

流程規範

ISP-2

網絡安全流程規範完善

ISP-1

系統運維規範建設

風險評估

ISM-5

風險評估能力建設

採購與實施過程管理

ISP-3

信息安全建設過程完善

日常維護

ISP-5

配置管理規範建設

ISP-2

網絡安全流程規範完善

應急與事件響應

ISP-6

應急響應能力建設

備註：ISM：Information Security Management，信息安全管理

ISP：information Security Procedure，信息安全流程

規劃項目內容表

4.4.2

總結

通過上述安全管理體系的建設，可以使XX公司的安全管理水平達到一個新的高度，滿足現實安全需求的要求，同時也滿足合規性的相關要求。隨著XX公司信息安全技術體系，管理體系運維體系的相繼建設，XX公司的信息系統將大大提高安全防護能力，並且在制度上能夠保證安全措施的落實，從而極大的提高了系統的安全性。

閱讀更多 思恆科技 的文章

關鍵字: 美好，一直在身邊 設計 市