【正文】 系統(tǒng)的應(yīng)用化。 安全性保護(hù)某市國土資源局網(wǎng)絡(luò)系統(tǒng)的可用性，保護(hù)網(wǎng)絡(luò)系統(tǒng)服務(wù)的連續(xù)性，防范網(wǎng)絡(luò)資源的非法訪問及非授權(quán)訪問，防范入侵者的惡意攻擊與破壞，保護(hù)信息通過網(wǎng)上傳輸過程中的機(jī)密性、完整性，防范病毒的侵害；達(dá)到“進(jìn)不來，拿不走，看不懂，改不了，跑不了”的安全目標(biāo)。整個網(wǎng)絡(luò)系統(tǒng)應(yīng)具有很高的安全可靠性，必須滿足一年365天24小時連續(xù)運(yùn)行的要求：主用通信線路發(fā)生故障時，網(wǎng)絡(luò)設(shè)備可以快速自動地切換到備份鏈路上；當(dāng)主用通信線路恢復(fù)時，業(yè)務(wù)又可以及時切換回來；實(shí)現(xiàn)核心設(shè)備在線冗余備份，確保核心設(shè)備單點(diǎn)故障時提供的業(yè)務(wù)和服務(wù)不中斷。4 建設(shè)方案編制依據(jù)l 《GB178591999 計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》l 《GB/T 222392008 信息系統(tǒng)安全等級保護(hù)基本要求》l 《GB/T 222402008 信息系統(tǒng)安全等級保護(hù)定級指南》l 《信息系統(tǒng)安全等級保護(hù)實(shí)施指南（國標(biāo)報批稿）》 l 《信息系統(tǒng)安全等級保護(hù)測評要求（國標(biāo)報批稿）》l 《GB/T 209842007 信息安全風(fēng)險評估規(guī)范》l 《信息安全管理體系要求 ISO/IEC 27001》l 《信息技術(shù)—安全技術(shù)—信息安全管理實(shí)踐規(guī)范ISO/IEC 27002》l 《關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知》（公通字〔2007〕861號l 《關(guān)于印發(fā)〈國土資源信息系統(tǒng)安全等級保護(hù)定級工作方案〉的通知》（國土資信辦發(fā)〔2007〕14號）l 《國土資源部信息化工作辦公室關(guān)于國土資源信息安全等級保護(hù)工作的指導(dǎo)意見》國土資信辦發(fā)〔2012〕6號5 網(wǎng)絡(luò)與信息安全設(shè)計整體原則按照“統(tǒng)一規(guī)劃和統(tǒng)一標(biāo)準(zhǔn)”進(jìn)行整體性規(guī)劃，對整個網(wǎng)絡(luò)和信息安全規(guī)劃本著可靠性、實(shí)用性、先進(jìn)性、安全性、可擴(kuò)展性和可管理性方面來考慮。統(tǒng)一國土資源行業(yè)信息安全等級保護(hù)標(biāo)準(zhǔn)與要求，加強(qiáng)信息安全意識，提高國土資源信息安全保護(hù)能力。成立信息安全工作組，網(wǎng)絡(luò)辦負(fù)責(zé)人為安全責(zé)任人，擬定實(shí)施醫(yī)院信息系統(tǒng)安全等級保護(hù)的具體方案，并制定相應(yīng)的崗位責(zé)任制，確保信息安全等級保護(hù)工作順利實(shí)施。本次等級保護(hù)整改建設(shè)將完成以下目標(biāo)： 以某市國土資源局的核心業(yè)務(wù)系統(tǒng)（如國土資源信息系統(tǒng)、電子政務(wù)系統(tǒng)、國土資源門戶網(wǎng)站系統(tǒng)涉及礦業(yè)權(quán)市場、土地交易市場等）現(xiàn)有基礎(chǔ)設(shè)施，建設(shè)并完成滿足等級保護(hù)三級系統(tǒng)基本要求，確保某市國土資源局的整體信息化建設(shè)符合相關(guān)要求并邁向新的臺階。2 方案編制目的為貫徹落實(shí)國家信息安全等級保護(hù)制度，規(guī)范和指導(dǎo)國土資源行業(yè)開展信息安全等級保護(hù)工作，有效保護(hù)國土資源信息和信息系統(tǒng)的安全，國土資源部發(fā)布了《國土資源部信息化工作辦公室關(guān)于國土資源信息安全等級保護(hù)工作的指導(dǎo)意見》國土資信辦發(fā)〔2012〕6號，根據(jù)指導(dǎo)意見，同時依照國家《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》、《信息系統(tǒng)安全等級保護(hù)基本要求》、《信息系統(tǒng)安全保護(hù)等級定級指南》、《關(guān)于印發(fā)〈國土資源信息系統(tǒng)安全等級保護(hù)定級工作方案〉的通知》（國土資信辦發(fā)〔2007〕14號）等標(biāo)準(zhǔn)和要求，對某市國土資源局的核心業(yè)務(wù)系統(tǒng)（如國土資源信息系統(tǒng)、電子政務(wù)系統(tǒng)、國土資源門戶網(wǎng)站系統(tǒng)涉及礦業(yè)權(quán)市場、土地交易市場等）進(jìn)行等級保護(hù)定級，按信息系統(tǒng)編制定級報告和定級備案表，并指導(dǎo)某市國土資源局信息人員將定級材料提交當(dāng)?shù)毓矙C(jī)關(guān)備案。隨著國土資源信息化建設(shè)的飛速發(fā)展，網(wǎng)絡(luò)的覆蓋面以及應(yīng)用的范圍不斷擴(kuò)展，數(shù)據(jù)資源越來越豐富，信息系統(tǒng)應(yīng)用不斷深化，信息化技術(shù)和管理業(yè)務(wù)的融合程度越來越高，在國土資源遙感監(jiān)測“一張圖”、電子政務(wù)平臺、綜合監(jiān)管平臺和共享服務(wù)平臺的框架體系下，將全面實(shí)現(xiàn)網(wǎng)上辦公、網(wǎng)上審批、網(wǎng)上交易和網(wǎng)上服務(wù)。國土資源信息和信息系統(tǒng)的基礎(chǔ)性、全局性、戰(zhàn)略性的作用日益突顯，這對保障國土資源信息和信息系統(tǒng)安全穩(wěn)定運(yùn)行提出了急迫的需求和更高的要求。同時，根據(jù)《信息系統(tǒng)安全等級保護(hù)測評要求》和《信息系統(tǒng)安全等級保護(hù)測評過程指南》等標(biāo)準(zhǔn)，制訂某市國土資源局信息安全等級保護(hù)建設(shè)方案，同時力爭在2015年底前，完成核心業(yè)務(wù)系統(tǒng)的安全建設(shè)整改和測評工作。 建立完善的安全技術(shù)防護(hù)體系。 建立健全信息系統(tǒng)安全管理制度。應(yīng)每年至少開展一次信息安全培訓(xùn)，及時了解信息安全發(fā)展方向和最新動態(tài)，提升全員信息安全防護(hù)意識，規(guī)范信息安全操作行為，提高信息安全管理人員和技術(shù)人員的管理水平和技術(shù)能力。1.2. 可靠性為保證某市國土資源局各項(xiàng)業(yè)務(wù)應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性，盡量避免系統(tǒng)的單點(diǎn)故障。 實(shí)用性采用先進(jìn)的網(wǎng)絡(luò)技術(shù)以適應(yīng)更高的數(shù)據(jù)、多媒體信息的傳輸需要，但是不過分追求最新技術(shù)，取得穩(wěn)定性、成熟性和新技術(shù)的統(tǒng)一，從而保證網(wǎng)絡(luò)的高可用性。信息安全的建設(shè)內(nèi)容將符合銀監(jiān)會相關(guān)信息安全的技術(shù)要求，保障某市國土資源局核心生產(chǎn)網(wǎng)絡(luò)及信息系統(tǒng)的安全。如何在現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)上為各種應(yīng)用系統(tǒng)提供具有特性化的服務(wù)成為某市國土資源局建設(shè)網(wǎng)絡(luò)的指導(dǎo)思想。 三級業(yè)務(wù)域216。包括：機(jī)房場地的選擇；機(jī)房或重要區(qū)域的物理訪問控制；防盜竊和防破壞；防雷擊；防火；防水和防潮；防靜電；溫濕度控制；電力供應(yīng)；電磁防護(hù)等。包括：用戶身份鑒別；操作訪問控制；安全審計；剩余信息保護(hù)；主機(jī)入侵防范和惡意代碼防范等。 管理要求管理要求包括安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理幾個方面。系統(tǒng)建設(shè)管理：包括系統(tǒng)定級；安全方案設(shè)計；產(chǎn)品采購和使用；自行軟件開發(fā)；外包軟件開發(fā)；工程實(shí)施；測試驗(yàn)收；系統(tǒng)交付；系統(tǒng)備案；等級測評；安全服務(wù)商選擇。2. 在業(yè)務(wù)服務(wù)器區(qū)邊界的訪問必須通過安全設(shè)備如防火墻和安全網(wǎng)關(guān)進(jìn)行訪問控制、入侵防范。5. 在核心交換機(jī)部署1臺多監(jiān)聽口的網(wǎng)絡(luò)審計系統(tǒng), 網(wǎng)絡(luò)審計系統(tǒng)設(shè)備可直接接入交換機(jī)上設(shè)置的鏡像端口，對進(jìn)入數(shù)據(jù)中心安全區(qū)域的網(wǎng)絡(luò)流量進(jìn)行全面審計、分析和監(jiān)控，及時發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)違規(guī)行為，便于安全事件進(jìn)行定位分析，事后追查取證。堡壘機(jī)架設(shè)在用戶終端與核心業(yè)務(wù)系統(tǒng)之間，以協(xié)議代理的方式為用戶提供服務(wù)，并能將所有代理的信息記錄下來，支持Telnet、FTP、SSH、RDP（Windows Terminal）、Xwindows、VNC等協(xié)議的記錄和回放。安全產(chǎn)品平臺上的管理系統(tǒng)能夠集成多廠家的安全設(shè)備、軟件，簡潔直觀，能實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備和主機(jī)設(shè)備的性能管理、故障管理，在此的基礎(chǔ)上，結(jié)合資源信息和使用者信息，達(dá)到資源管理和運(yùn)維管理的目的。同時有效利用交換機(jī)的控制策略，限制蠕蟲病毒在骨干網(wǎng)絡(luò)中的傳播，提高整體網(wǎng)絡(luò)的穩(wěn)定性。原則上要采用最小允許的訪問控制策略，并且在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接。 制定安全策略形成某市國土資源局高層次的安全策略文件，說明安全工作的主要策略，包括安全組織機(jī)構(gòu)劃分策略、業(yè)務(wù)系統(tǒng)分級策略、數(shù)據(jù)信息分級策略、子系統(tǒng)互連策略、信息流控制策略、備份與恢復(fù)策略、應(yīng)急計劃和響應(yīng)策略、運(yùn)行管理策略、身份鑒別策略、信息完整性策略、系統(tǒng)性能安全檢測策略、安全審計策略等。至少應(yīng)包括以下指導(dǎo)原則： 1. 信息安全的定義、其總體目標(biāo)及范圍以及安全作為保障信息共享的機(jī)制所具有的重要性；2. 陳述信息安全的管理意圖、支持目標(biāo)以及指導(dǎo)原則；3. 簡要說明安全策略、原則、標(biāo)準(zhǔn)以及需要遵守的各項(xiàng)規(guī)定。 組織管理應(yīng)該建立某市國土資源局管理框架，在某市國土資源局內(nèi)部開展和控制信息安全的管理實(shí)施。應(yīng)該鼓勵采用跨學(xué)科跨范圍的信息安全方法，例如，讓管理人員、員工、行政人員、應(yīng)用程序設(shè)計人員、審計人員以及安全人員和專家協(xié)同工作，讓他們參與保險和風(fēng)險管理的工作。該機(jī)制可以作為目前管理機(jī)構(gòu)的一個日常工作。 安全責(zé)任劃分應(yīng)該明確組織內(nèi)部信息資產(chǎn)和執(zhí)行具體安全程序步驟的責(zé)任。但是，資源管理以及實(shí)施控制措施仍由各個管理人員負(fù)責(zé)。一定要明確說明各個管理人員所負(fù)責(zé)的范圍；特別是要明確以下范圍。 不同組織間的合作與監(jiān)管單位、直屬管理單位、信息服務(wù)提供商和通信運(yùn)營商等等簽署的合同應(yīng)保證：在發(fā)生安全事故時，能迅速采取行動并獲得建議。如果某崗位（第一次職位分派或升職）需要某人進(jìn)行信息的處理，特別是要處理敏感信息（如財務(wù)信息或特別的機(jī)要信息等），相關(guān)部門應(yīng)檢查這名員工的信譽(yù)。管理層應(yīng)該評估新的和沒有經(jīng)驗(yàn)的員工訪問敏感系統(tǒng)所需的授權(quán)，是否需要監(jiān)督。保密協(xié)議應(yīng)在更改雇傭條款或合同時檢查，特別是當(dāng)員工快要離開機(jī)構(gòu)或合同快到期時。 職位與職責(zé)設(shè)置應(yīng)成立信息安全管理委員會，該委員會是信息安全工作的最高權(quán)力機(jī)構(gòu)，全面負(fù)責(zé)信息安全管理工作,并依托現(xiàn)有的組織架構(gòu)，建立信息安全管理體系，明確各部門在維護(hù)和保障單位信息安全管理工作中的職責(zé)和流程，保障系統(tǒng)安全。3. 各單位部門和下屬單位職責(zé)各部門和分單位應(yīng)明確一名主要負(fù)責(zé)人員（以下簡稱“主管負(fù)責(zé)人”）作為本單位信息安全工作的第一責(zé)任人，全面負(fù)責(zé)本部門或本分單位的信息安全工作的執(zhí)行和落實(shí)，主管負(fù)