【正文】 理規(guī)范和技術標準進行自主保護。整體安全區(qū)域劃分為兩層，其中，第一層保護對象包括3個計算環(huán)境（省網(wǎng)管中心、省直單位、地市節(jié)點），3個區(qū)域邊界和3個網(wǎng)絡基礎設施；第二層保護對象包括11個計算環(huán)境（省網(wǎng)管中心5個、省直單位4個、地市級節(jié)2個）。 市級接入節(jié)點單位接入網(wǎng)絡安全域劃分示意圖如下： 某省電子政務外網(wǎng)安全域總體劃分示意圖在總體區(qū)域劃分的基礎上，本方案建議可采用按照網(wǎng)絡區(qū)域劃分的方式，進一步的區(qū)域細分，首先根據(jù)行政級別劃分的原則，從地域上（也是根據(jù)信息進行系統(tǒng)的服務范圍上）將某省電子政務外網(wǎng)劃分為省、市兩級平臺，形成省網(wǎng)管中心、省直廳局、地市節(jié)點共3個計算環(huán)境；然后按照不同區(qū)域內信息系統(tǒng)的類型進行劃分（這里我們劃分為機關辦公區(qū)域、服務器區(qū)域、網(wǎng)絡管理區(qū)域和數(shù)據(jù)中心區(qū)域等）。 電子政務外網(wǎng)區(qū)域劃分對于某省電子政務外網(wǎng)，參考公安部等級保護實施指南，應當將其劃分為若干子系統(tǒng)進行定級，并根據(jù)定級結果，結合子系統(tǒng)的實際狀態(tài)進行安全保障的設計。本期將選擇省政府辦公廳、省發(fā)改委等相關部門做試點，在試點應用獲得成功后，再向全省推廣；電子郵件系統(tǒng)電子郵件作為信息互動的基礎工具，可滿足政府辦公最基本的通信需求，并能夠很好地和其他應用服務結合起來，組成更為強大的辦公自動化系統(tǒng)，是電子政務的得力助手。互聯(lián)網(wǎng)訪問區(qū)互聯(lián)網(wǎng)訪問區(qū)位于核心網(wǎng)絡的邊緣，連接互聯(lián)網(wǎng)，支持地市單位公務員進行上網(wǎng)查詢等處理。由于互聯(lián)網(wǎng)的開放性，省直單位信息網(wǎng)絡面臨較高的安全威脅，因此如何防范互聯(lián)網(wǎng)的攻擊行為，也是本方案要考慮的因素之一。兩臺廣域核心路由器通過省城域網(wǎng)橫向連接省網(wǎng)管中心（省電子政務外網(wǎng)平臺）。實現(xiàn)互聯(lián)網(wǎng)上公眾用戶、企業(yè)、移動辦公用戶對省電子政務外網(wǎng)的訪問，同時也通過互聯(lián)網(wǎng)實現(xiàn)電子政務外網(wǎng)各直屬單位公務員上網(wǎng)、電子郵件以及門戶網(wǎng)站等服務。數(shù)據(jù)服務區(qū)數(shù)據(jù)服務區(qū)提供省電子政務外網(wǎng)的數(shù)據(jù)服務，所有核心業(yè)務和數(shù)據(jù)的存儲和訪問，所有外網(wǎng)內部各應用服務器和管理服務器、業(yè)務核心設備均部署在此。本期方案的規(guī)劃范圍是以省網(wǎng)管中心為主，結合等級保護的思想，對網(wǎng)管中心進行分區(qū)分級的保護，確保系統(tǒng)能夠有效支撐各類應用系統(tǒng)。實用性原則在確保信息系統(tǒng)性能和安全的前提下，充分利用資源，講究實效，避免重復和盲目投資，積極采用國家法律法規(guī)允許的、成熟的先進技術和專業(yè)安全服務，運用科學的經(jīng)營管理方法，降低成本，保障安全運行。由于信息系統(tǒng)的應用類型、范圍等條件的變化及其他原因，安全保護等級需要變更的，應當根據(jù)等級保護的管理規(guī)范和技術標準的要求，重新確定信息系統(tǒng)的安全保護等級，根據(jù)信息系統(tǒng)安全保護等級的調整情況，重新實施安全保護。 安全管理體系，包括：按照國家安全保障體系建設標準，建設省級安全管理中心(SOC)；以《國家電子政務外網(wǎng)安全標準指南》為標準貫徹執(zhí)行國家已有安全法規(guī)標準，同時制訂符合我省政務外網(wǎng)自身特點和要求的有關規(guī)定和技術規(guī)范。該標準要求各組織建立并運行一套經(jīng)過驗證的信息安全管理體系，用于解決如下問題：資產的保管、組織的風險管理、管理標的和管理辦法、要求達到的安全程度等。因此在某省電子政務建設的規(guī)劃階段中，信息安全保障系統(tǒng)的建設被提到很高的高度，信息安全保障系統(tǒng)的規(guī)劃和設計的到某省電子政務領導的高度重視；中央辦公廳、國務院辦公廳于2003年9月頒布的中辦[2003]27號文件（關于轉發(fā)《國家信息化領導小組關于加強信息安全保障工作的意見》的通知），文件中提出了關于加強信息安全保障工作的“積極防御，綜合防范”的八字方針，以及實行信息安全等級保護的要求，指出“信息化發(fā)展的不同階段和不同的信息系統(tǒng)有著不同的安全需求，必須從實際出發(fā)，綜合平衡安全成本和風險，優(yōu)化信息安全資源的配置，確保重點”。國家高度重視電子政務安全保障問題，2003年中辦國辦聯(lián)合發(fā)布了[2003]27號文件（關于轉發(fā)《國家信息化領導小組關于加強信息安全保障工作的意見》的通知），文件中提出了關于加強信息安全保障工作的“積極防御，綜合防范”的八字方針，以及實行信息安全等級保護的要求；2004年公安部、保密局、國密辦以及國信辦聯(lián)合發(fā)布了公通字[2004]66號文件（《關于信息安全等級保護工作的實施意見》），確認等級保護是國家信息安全的基本制度，也是電子政務安全工作的根本方法；2005年國信辦發(fā)布了25號文件（關于轉發(fā)《電子政務信息系統(tǒng)信息安全等級保護實施指南》的通知），對信息系統(tǒng)等級保護的實施過程進行了定義，包括信息系統(tǒng)等級保護的定級、信息系統(tǒng)等級保護的安全規(guī)劃和設計、安全措施的實施、等級評估以及等級保護的運行改進，這些方法可作為電子政務等級保護體系的過程指導；同年公安部也陸續(xù)發(fā)布了《等級保護實施指南》、《等級保護定級指南》、《等級保護基本要求》和《等級保護測評指南》，提出了等級保護的定級方法、實施辦法，并對不同等級需要達到的安全能力要求進行了詳細定義，同時對系統(tǒng)保護能力等級測評指出了具體的指標；這些標準的提出形成等級保護的基本理論框架，制定了方法、過程和標準；2006年為全面推進等級保護工作的開展，公安部、國信辦在年初下發(fā)了《關于開展信息系統(tǒng)安全等級保護基礎調查工作的通知》，從2006年1月10日到2006年4月10日，分三個階段對國家重要的基礎信息系統(tǒng)進行摸底，為等級保護相關標準的制定提供了有力的參考依據(jù)；2007年公安部、保密局、國密辦和國信辦聯(lián)合發(fā)布了[2007]43號文件《信息安全等級保護管理辦法》，提出了等級保護的推進和管理的辦法；2007年7月公安部、保密局、國密辦以及國信辦聯(lián)合發(fā)布公信安[2007]861號文件《關于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》，標志等級保護進入實質階段?！皟删W(wǎng)一站四庫十二系統(tǒng)”的內容是：“兩網(wǎng)”指政務內網(wǎng)和政務外網(wǎng)兩個基礎平臺；“一站”指政府門戶網(wǎng)站；“四庫”指人口信息數(shù)據(jù)庫、法人單位信息數(shù)據(jù)庫、自然資源和空間地理信息數(shù)據(jù)庫以及宏觀經(jīng)濟信息數(shù)據(jù)庫；“十二系統(tǒng)”大體可分為三個層次：辦公業(yè)務資源系統(tǒng)和宏觀經(jīng)濟管理系統(tǒng)，將在決策、穩(wěn)定經(jīng)濟環(huán)境方面起主要作用；金稅、金關、金財、金融監(jiān)管（銀行、證監(jiān)和保監(jiān)）和金審共五個系統(tǒng)主要服務于政府收支的監(jiān)管；金盾、金保（社會保障）、金農、金水（水利）和金質（市場監(jiān)管）共五個系統(tǒng)則重點保障社會穩(wěn)定的國民經(jīng)濟發(fā)展的持續(xù)。網(wǎng)絡新業(yè)務的不斷興起，為國內政府部門日常辦公提供了極大的便利，通過政府網(wǎng)上辦公系統(tǒng)、網(wǎng)上視頻會議系統(tǒng)、電話語音系統(tǒng)、互動式政府網(wǎng)站系統(tǒng)、門戶型政府網(wǎng)站系統(tǒng)等應用，極大地提高了政府部門的辦公效率。在黨十六大報告中明確指出，以信息化帶動工業(yè)化，加快國民經(jīng)濟結構的戰(zhàn)略性調整，實現(xiàn)社會生產力的跨越式發(fā)展，是電子政務建設的首要任務。伴隨網(wǎng)絡技術的發(fā)展，網(wǎng)上應用的豐富，同時也帶來了一系列的安全問題，如網(wǎng)絡黑客、網(wǎng)絡犯罪、病毒爆發(fā)等等，這些問題嚴重制約了電子政務信息化建設的步伐，成為系統(tǒng)建設重點考慮的環(huán)節(jié)。某省電子政務外網(wǎng)是中辦發(fā)[2002]17號、[2006]18號文件確定并由國家發(fā)改委[2004]2135號文件批復立項的國家項目，是國家電子政務外網(wǎng)的省級節(jié)點，2007年初在某省發(fā)改委的指導下，某省網(wǎng)管中心規(guī)劃了“某省電子政務的可研報告”，根據(jù)規(guī)劃，某省電子政務網(wǎng)絡將建成覆蓋省、市兩級的政務處理平臺，建立數(shù)據(jù)傳輸?shù)幕A通道；建成省政務外網(wǎng)網(wǎng)管中心；建成省政務外網(wǎng)應用支撐平臺；建設全省電子政務系統(tǒng)信息交換共享平臺；啟動部分應用系統(tǒng)的建設；建設與國家電子政務外網(wǎng)統(tǒng)一的安全保障體系。因此，在某省電子政務系統(tǒng)的建設中，等級化保護是安全保障系統(tǒng)的設計原則，信息安全風險評估工作成為等級化保護方案設計的前提。 參考標準匯總安全要素遵循標準指導思想中辦[2002]17號文件（關于轉發(fā)《國家信息化領導小組關于我國電子政務建設指導意見》的通知）中辦發(fā)[2006]18號文件《轉發(fā)〈國家信息化領導小組關于推進國家電子政務網(wǎng)絡建設的意見〉的通知》中辦[2003]27號文件（關于轉發(fā)《國家信息化領導小組關于加強信息安全保障工作的意見》的通知）等級保護公安部發(fā)布的《信息系統(tǒng)安全等級保護實施指南》（報批稿）系統(tǒng)定級公安部發(fā)布的《信息系統(tǒng)安全等級保護定級指南》（報批稿）方案規(guī)劃公安部發(fā)布的《信息系統(tǒng)安全等級保護基本要求》（報批稿）公安部發(fā)布的《信息系統(tǒng)安全等級保護測評準則》（報批稿）安全管理BS77991 信息安全管理實施細則BS77992 信息安全管理體系規(guī)范 方案規(guī)劃范圍本方案的規(guī)劃范圍以省政務外網(wǎng)一期工程為主，以省政務外網(wǎng)網(wǎng)管中心為重點，覆蓋聯(lián)通的省委、省政府、省人大、省政協(xié)的XX個廳局單位；以及XX個地市單位和XX個縣級單位，根據(jù)國家電子政務外網(wǎng)安全保障體系的規(guī)劃，某省電子政務外網(wǎng)安全體系包括如下三個方面的內容：216。 方案設計原則根據(jù)國家相關政策和標準，本次規(guī)劃與設計工作將嚴格遵循以下的建設原則：自主保護原則信息系統(tǒng)運營、使用單位及其主管部門按照國家相關法規(guī)和標準，自主確定信息系統(tǒng)的安全保護等級，自行組織實施安全保護。標準型原則某省電子政務外網(wǎng)是進行政務處理的信息系統(tǒng)，信息系統(tǒng)受到破壞會對省政府甚至國家的安全利益有直接影響，因此本方案在設計和規(guī)劃的過程中，將嚴格遵守國家相關政策和標準，特別是國家電子政務外網(wǎng)的安全保障體系建設規(guī)劃，進行全面的設計。2 區(qū)域劃分與定級建議 電子政務外網(wǎng)建設情況某省電子政務外網(wǎng)總體框架從縱向上劃分為省政務外網(wǎng)平臺、省直廳局網(wǎng)絡平臺、地市政務外網(wǎng)平臺；橫向上劃分為政務外網(wǎng)數(shù)據(jù)中心、政務外網(wǎng)門戶網(wǎng)站和互聯(lián)網(wǎng)訪問用戶。省網(wǎng)管中心及外聯(lián)系統(tǒng)的布局示意如下： 省網(wǎng)管中心網(wǎng)絡部署示意圖省網(wǎng)管中心包括四個部分：核心交換區(qū)核心交換區(qū)是核心網(wǎng)絡的中心區(qū)域，也是全省電子政務外網(wǎng)的總核心，根據(jù)規(guī)劃，在此主要部署兩臺高性能核心路由交換機，采用全交叉結構，和兩臺廣域核心路由器采用冗余鏈路，共同構成核心路由交換架構，連接數(shù)據(jù)服務區(qū)和互聯(lián)網(wǎng)訪問區(qū)。數(shù)據(jù)服務區(qū)部署兩臺千兆高端路由交換機，接入各業(yè)務核心設備、服務器等，同時在該區(qū)域部署了數(shù)據(jù)存儲與備份中心，提升系統(tǒng)的容錯容災能力。由于互聯(lián)網(wǎng)的開放性，使實行省政務業(yè)務的重要組成某省電子政務外網(wǎng)面臨很高的安全威脅，因此如何防范互聯(lián)網(wǎng)的攻擊行為，也是本方案要考慮的因素之一。核心交換區(qū)同時承載省直單位本地局域網(wǎng)的接入，在核心交換機上擴展接入交換機，連接到省直單位的訪問終端設備。 地市單位地市單位主要指建設在市政府的電子政務外網(wǎng)節(jié)點，其網(wǎng)絡結構相對簡單，可表示如下：省網(wǎng)管中心包括三個部分：核心交換區(qū)核心交換區(qū)是地市單位信息網(wǎng)絡的中心區(qū)域，針對地市網(wǎng)絡在核心交換區(qū)主要部署一臺高性能核心路由交換機，連接訪問終端和應用服務區(qū)。由于互聯(lián)網(wǎng)的開放性，地市單位信息網(wǎng)絡面臨較高的安全威脅。本期在省網(wǎng)管中心建設規(guī)劃的電子郵件系統(tǒng)將提供給全省公務員使用，實現(xiàn)便捷的信息交換；網(wǎng)上審批系統(tǒng)行政審批是行政機關依法對社會和經(jīng)濟事務實行監(jiān)督管理的重要手段。參考國家電子政務外網(wǎng)的安全域劃分原則和方法，對某省電子政務外網(wǎng)（一期工程）從總體上可將安全域作如下方式劃分：216。省級平臺包括省網(wǎng)管中心和省直單位，省網(wǎng)管中心某省電子政務外網(wǎng)的核心區(qū)域，所有的數(shù)據(jù)均在這里存儲、訪問、交換，同時也是連接國家外網(wǎng)、省級城域網(wǎng)、省市廣域網(wǎng)、互聯(lián)網(wǎng)等不同網(wǎng)絡的樞紐，因此我們將其單獨作為一個區(qū)域進行考慮；省直單位則包括省發(fā)改委、省社會勞動保障局、省財政廳、省民政廳、省國土局、省公安廳、省法院、省檢察院等省直屬廳局部門，這些單位接入省電子政務外網(wǎng)平臺，實現(xiàn)橫向的信息共享與聯(lián)合辦公，實現(xiàn)便捷的公文信息交換等業(yè)務；地市則包括11個節(jié)點，與各地市的電子政務外網(wǎng)平臺連接，各地市委辦局可通過垂直的電子政務外網(wǎng)實現(xiàn)縱向的信息共享與公文交換，11個節(jié)點相互獨立，形成11個安全區(qū)域。匯總起來，對于某省電子政務外網(wǎng)，其安全區(qū)域總體可劃分為以下兩個層面，共11個安全區(qū)域，5套網(wǎng)絡基礎設施。在總體定級的基礎上，根據(jù)公安部的定級辦法，針對某省電子政務外網(wǎng)的各個安全區(qū)域，建議按照以下的方式進行細化的定級。匯總以上定級建議，XX省電子政務保護對象可按照以下進行定級：第一層保護對象第二層保護對象定級建議技術要求選擇計算環(huán)境省網(wǎng)管中心數(shù)據(jù)中心服務器區(qū)3S3A3G3數(shù)據(jù)存儲備份區(qū)3S3A2G3應用服務器區(qū)2S2A2G2網(wǎng)管業(yè)務區(qū)2S2A2G2門戶網(wǎng)站區(qū)2S2A2G2機關辦公區(qū)1S1A1G1省直單位數(shù)據(jù)中心服務器區(qū)3S3A3G3應用服務器區(qū)2S2A2G2網(wǎng)管業(yè)務區(qū)2S2A2G2機關辦公區(qū)1S1A1G1地市級節(jié)點應用服務器區(qū)2S2A2G2機關辦公區(qū)1S1A1G1下面我們將根據(jù)對某省政務外網(wǎng)的總體定級情況，參考公安部各個級別信息系統(tǒng)的技術要求，對各個區(qū)域進行安全措施的規(guī)劃和設計。 物理訪問控制（G3）：某省電子政務三級系統(tǒng)運行的機房出入口應安排專人值守，控制、鑒別和記錄進入的人員；需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設置物理隔離裝置，在重要區(qū)域前設置交付或安裝等過渡區(qū)域；重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。 防雷擊（G3）：某省電子政務系統(tǒng)三級信息系統(tǒng)運行的機房建筑應設置避雷裝置；應設置防雷保安器，防止感應雷；機房應設置交流電源地線。216。216。216。216。216。216。216。216。216。216。216。216。216。216。216。216。216。 針對二級信息系統(tǒng)的安全技術要求 物理安全技術要求對于某省電子政務系統(tǒng)，二級信息系統(tǒng)的物理安全要求包括：對出入物理環(huán)境進行基本的控制，對進入后的活動也要控制；物理環(huán)境方面，需要加強各方面的防護，采取比一級信息系統(tǒng)更細的要求來多方面進行防護，具體包括：216。 防盜竊和防破壞（G2）：應將主要設備放置在物理受限的范圍內；應對設備或主要部件進行固定，并設置明顯的無法除去的標記；應將通信線纜鋪設在隱蔽處，如鋪設在地下或管道中等；應對介質分類標識，存儲在介質庫或檔案室中；應安裝必要的防盜報警設施，以防進入機房的盜竊和破壞行為。 防火（G