企业信息安全总体规划方案Word格式文档下载.docx
《企业信息安全总体规划方案Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《企业信息安全总体规划方案Word格式文档下载.docx（28页珍藏版）》请在冰豆网上搜索。
目前企业已经在前期进行了部分信息安全的建设，包括终端上的一部分防病毒，网络边界处的基本防火墙等安全软件和设备，在很大程度上已经对外部威胁能有一个基本的防护能力，但是如今的安全威胁和攻击手段日新月异，层出不穷，各种高危零日漏洞不断被攻击者挖掘出来，攻击的目标越来越有针对性，目前的企业所面临的全球安全威胁呈现如下几个新的趋势：
●恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防：
如何防范未知威胁，抵御不同攻击手段和攻击途径带来的信息安全冲击?
●高级、有针对性的高危持续性攻击APT已蔓延至各类规模企业：
如何阻止不同的攻击手段？
不仅仅是防病毒！
需要服务器，终端，网络，数据等各方面多层次的防护，增加威胁防范能力
●复杂混乱的应用与外接设备环境：
如何确保应用和设备的准入控制？
●繁琐枯燥的系统维护和安全管理：
如何更有效利用有限的信息人力资源？
●工具带来的新问题：
如何保证安全策略的强制要求，统一管理和实施效果？
●终端接入不受控：
如何确保终端满足制定的终端安全策略-终端准入控制
●网页式攻击（Web-basedAttack）已成为最主流的攻击手法：
如何确保访问可靠网站？
●内外部有意无意的信息泄露将严重影响企业的声誉和重大经济损失
从目前大多数企业的信息安全建设来看，针对以上的目前主流的新形势的信息威胁，企业在安全建设上还面临安全防护需要进一步依靠国际先进技术增强主动防御，纵深防御的能力，目前大多数企业在安全防护上还有如下的欠缺：
1.2.1目前信息安全存在的问题
在信息系统安全评估中我们对网络设备、主机系统、数据库系统、应用系统、网络扫描、安全管理等等方面进行了安全评估，发现主要有如下的问题：
网络设备安全：
访问控制问题
网络设备安全漏洞
设备配置安全
系统安全：
补丁问题
运行服务问题
安全策略问题
弱口令问题
默认共享问题
防病毒情况
应用安全：
exchange邮件系统的版本问题
apache、iis、weblogic的安全配置问题
serv-U的版本问题
radmin远程管理的安全问题
数据安全：
数据库补丁问题
Oracle数据库默认帐号问题
Oracle数据库弱口令问题
Oracle数据库默认配置问题
Mssql数据库默认有威胁的存储过程问题
网络区域安全：
市局政务外网安全措施完善
市局与分局的访问控制问题
分局政务外网安全措施加强
安全管理：
没有建立安全管理组织
没有制定总体的安全策略
没有落实各个部门信息安全的责任人
缺少安全管理文档
通过安全评估中的安全修复过程，我们对上述大部分的的安全问题进行了修补，但是依然存在残余的风险，主要是数据安全（已安排升级计划）、网络区域安全和安全管理方面的问题。
所以当前信息安全存在的问题，主要表现在如下的几个方面：
1.在政务外网中，市局建立了基本的安全体系，但是还需要进一步的完善，例如政务外网总出口有单点故障的隐患、门户网站有被撰改的隐患。
另外分局并没有实施任何的防护措施，存在被黑客入侵的安全隐患；
2.在政务内网中，市局和分局之间没有做访问控制，存在蠕虫病毒相互扩散的可能。
另外，如果黑客入侵了分局的政务内网后，可能进一步的向市局进行渗透攻击。
3.原有的信息安全组织没有实施起来，没有制定安全总体策略；
没有落实信息安全责任人。
导致信息安全管理没有能够自上而下的下发策略和制度，信息安全管理没有落到实处。
4.通过安全评估，建立了基本的安全管理制度；
但是这些安全管理制度还没有落实到日常工作中，并且可能在实际的操作中根据实际的情况做一些修改。
5.没有成立安全应急小组，没有相应的应急事件预案；
缺少安全事件应急处理流程与规范，也没有对安全事件的处理过程做记录归档。
6.没有建立数据备份与恢复制度；
应该对备份的数据做恢复演练，保证备份数据的有效性和可用性，在出现数据故障的时候能够及时的进行恢复操作。
7.目前市局与分局之间的政务内网是租用天威的网络而没有其它的备用线路。
万一租用的天威网络发生故障将可能导致市局与分局之间的政务内网网络中断。
通过信息安全风险评估，对发现的关于操作系统、数据库系统、网络设备、应用系统等等方面的漏洞，并且由于当时信息安全管理中并没有规范的安全管理制度，也是出现操作系统、数据库系统、网络设备、应用系统等漏洞的原因之一。
为了达到对安全风险的长期有效的管理，我们建议建设ISMS（信息安全管理体系），对安全风险通过PDCA模型，输出为可管理的安全风险。
1.2.2常见的信息系统面临的风险和威胁大致如下：
根据目前的安全威胁，企业的信息安全面临的问题是
v信息安全仅作为后台数据的保障
v前端业务应用和后端数据库信息安全等级不高
v信息安全只是建立在简单的“封、堵”上，不利提升工作效率和协同办公
因此，对于企业来说，在新的IT环境下，需要就如下的安全考虑，根据合理的规划进行分期建设。
v业务模式正在发生改变，生产、研发等系统的实施，信息安全应全面面向应用，信息安全须前置，以适应业务的安全要求。
v用户终端的多样化也应保持足够的安全。
v数据集中化管控和网络融合后所需的安全要求。
v数据中心业务分区模块化管理及灾备应急机制
1.3设计目标
为企业设计完善的信息安全管理体系，增强企业信息系统抵御安全风险的能力，为企业生产及销售业务的健康发展提供强大的保障。
1.通过对企业各IT系统的风险分析，了解企业信息系统的安全现状和存在的各种安全风险，明确未来的安全建设需求。
2.完成安全管理体系规划设计，涵盖安全管理的各个方面，设计合理的建设流程，满足中长期的安全管理要求。
提供如下安全管理项目：
Ø
人员管理
规划制订和建设流程规划
安全运维管理及资产管理
3.完成安全技术体系规划设计，设计有前瞻性的安全解决方案，在进行成本/效益分析的基础上，选用主流的安全技术和产品，建设主动、全面、高效的技术防御体系，将企业面临的各种风险控制在可以接受的范围之内。
针对整体安全规划计划，在接下来的几年内分期建设，最终满足如下安全防护需求：
网络边界安全防护
安全管理策略
关键业务服务器的系统加固，入侵防护，关键文件监控和系统防护
网络和服务器安全防护及安全基线检查与漏洞检测
增强终端综合安全防护
强化内部人员上网行为管理
建设机密数据防泄漏和数据加密，磁盘加密
网络信任和加密技术防护
建设，强化容灾和备份管理
4.加强企业内部的IT控制与审计，确保IT与法律、法规，上级监管单位的要求相符合，比如：
需要满足国家信息系统安全系统的安全检查要求
需要满足国家《信息系统安全等级保护基本要求》
第2章信息安全总体规划
2.1设计目标、依据及原则
2.1.1设计目标
电子政务网是深圳市电子政务业务的承载和体现，是电子政务的重要应用，存储着的重要的数据资源，流动着经济建设和社会生活中重要的数据信息。
所以必须从硬件设施、软件系统、安全管理几方面，加强安全保障体系的建设，为电子政务应用提供安全可靠的运行环境。
2.1.2设计依据
《国家信息化领导小组关于我国电子政务建设指导意见》
《国家信息化领导小组关于加强信息安全保障工作的意见》
《电子政务总体框架》
《电子政务信息安全保障技术框架》
《电子政务信息安全等级保护实施指南》
《信息安全等级保护管理办法》
《信息技术安全技术信息技术安全性评估准则》
《计算机信息系统安全保护等级划分准则》
《电子计算机场地通用规范》
《计算机场地安全要求》
《计算机信息系统安全保密测评指南》
同时在评定其信息资产的价值等级时，也将参考ISO17799/BS7799/ISO15408/ISO13335/ISO7498-2等国际标准。
电子政务网将依据信息价值的保密性影响、信息价值完整性影响、信息价值的可用性影响等多个方面，来对信息资产的价值等级进行划分为五级，第一级为最低级，第五级为最高级。
2.1.3设计原则
电子政务网安全系统在整体设计过程中应遵循如下的原则：
需求、风险、代价平衡的原则：
对任何信息系统，绝对安全难以达到，也不一定是必要的，安全保障体系设计要正确处理需求、风险与代价的关系，做到安全性与可用性相容，做到技术上可实现，组织上可执行。
分级保护原则：
以应用为主导，科学划分网络安全防护与业务安全保护的安全等级，并依据安全等级进行安全建设和管理，保证服务的有效性和快捷性。
最小特权原则：
整个系统中的任何主体和客体不应具有超出执行任务所需权力以外的权力。
标准化与一致性原则：
电子政务网是一个庞大的系统工程，其安全保障体系的设计必须遵循一系列的标准，这样才能确保各个分系统的一致性，使整个电子政务网安全地互联互通、信息共享。
多重保护原则：
任何安全措施都不是绝对安全的，都可能被攻破。
但是建立一个多重保护系统，各层保护相互补充，当一层被攻破时，其他层仍可保护系统的安全。
整体性和统一性原则：
一个大型网络系统的各个环节，包括设备、软件、数据、人员等，在网络安全中的地位和影响作用，只有从系统整体的角度去统一看待、分析，才可能实现有效、可行的安全保护。
技术与管理相结合原则：
电子政务网是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。
因此在考虑安全保障体系时，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。
统筹规划，分步实施原则：
由于政策规定、服务需求的不明朗，环境、时间的变化，安全防护与攻击手段的进步，在一个比较全面的安全体系下，可以根据网络的实际需要，先建立基本的的安全保障体系，保证基本的、必须的安全性。
随着今后网络应用和复杂程度的变化，调整或增强安全防护
升级会员 