【正文】 為了保證系統(tǒng)功能如預期的一樣，實施針對安裝、升級軟硬件的控制。人是保證計算機系統(tǒng)和有價值的信息資源的安全性的至關重要的因 素。與適當?shù)墓ぞ吆统绦蚪Y合，審計跟蹤可以提供完善的統(tǒng)計信息，這種方法可以重構事件、察覺入侵、發(fā)現(xiàn)問題?！暗栏咭怀?，魔高一丈”，隨著信息安全研究的深入發(fā)展，各種新的威脅層出不窮，要解決這些新的安全威脅，就需要更完善的安全技術。主要適用于國家最重要核心部門的專用信息系統(tǒng)。既保護系統(tǒng)的安全，又保護信息的安全。主要適用于國家 基礎信息網(wǎng)絡、行業(yè)級信息系統(tǒng)、政府機關信息系統(tǒng)、國家重點工程和大型國有企業(yè)的信息系統(tǒng)等。 要求從信息系統(tǒng)的硬件系統(tǒng)、操作系統(tǒng)、網(wǎng)絡系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的層面采取技術和管理措施，使得公民法人和社會組織對自己所創(chuàng)建的一般信息系統(tǒng)按照國家標準自主進行安全保護，既保護系統(tǒng)的安全性又保護系統(tǒng)的信息安全性，采用身份簽別，自主訪問控制，數(shù)據(jù)完整性等安全機制，提供每一個用戶具有對自身所創(chuàng)建的數(shù)據(jù)信息進行安全保護的能力，在系統(tǒng)安全方面，要求有基本的系統(tǒng)安全運行知識，以便提供有效的系統(tǒng)服務，在信息安全方面，重點是保護數(shù)據(jù)信息和系統(tǒng)信息的完整性不受破壞，同時為用戶提供基本的自主信息保護能力，在安全性保證 方面要求安全機制具有基本的自身安全保護，安全的設計，實現(xiàn)及管理，在安全管理方面，應進行基本的安全管理，建立必要的規(guī)章和制度，做到分工明確，責任落實，從而確保系統(tǒng)所設置的各種安全功能能夠發(fā)揮其應有的作 14 用，在技術上具有物理、系統(tǒng)、網(wǎng)絡、應用和管理五個層面的自主信息安全保護能力，能夠為安全運行和信息安全保護提供基本的支持，從而保證基本安全的系統(tǒng)服務，保障用戶的數(shù)據(jù)信息和系統(tǒng)信息的完整性不受破壞。系統(tǒng)投入運行后，需要定期進行安 全檢測、評估、加固，需要定期對相關人員進行培訓，并且必要時啟動應急預案；籍此維持系統(tǒng)具備相應的安全保障能力。 確定可能性 分析不同種類威脅利用不同種類弱點對資產(chǎn)造成破壞的可能性。 資產(chǎn)威脅成功利用資產(chǎn)弱點造成的損失對應安全事件造成的影響。 9 風險管理的 設計思路 參考 BS7799， 信息安全保障體系建設的核心是風險評估與管理。 需求、風險、代價平衡的原則 信息系統(tǒng)的安全是相對的，不存在零風險。有的放矢，重點突出應用系統(tǒng)安全，網(wǎng)絡環(huán)境與邊界的信 息安全保障和安全管理，形成包括本地計算環(huán)境、邊界、網(wǎng)絡基礎設施和支撐性基礎設施在內(nèi)的縱深防御體系。 在建設 過程中 ，可以實施信息犯罪取證設備、信息系統(tǒng)審計設 備等 。 5 因此，要重點做好以下幾方面的工作，同時也是本方案需要解決的問題： 1. 解決信息系統(tǒng)涉密數(shù)據(jù)的加密問題，特別是重要信息的多級安全保護，采用數(shù)字簽名和各種安全審計手段，解決關鍵操作的抗抵賴問題 ； 2. 解決 網(wǎng)絡 系統(tǒng) 全網(wǎng)絡 范圍內(nèi)的身份鑒別問題 ； 3. 解決信息分類訪問控制和分組共享（即什么人可以訪問什么信息和哪些人可以共享哪些信息）問題，實現(xiàn)全系統(tǒng)的訪問控制 ； 4. 解決 網(wǎng)絡 系統(tǒng)安全可靠傳輸問題，其中安全指保密性、完整性、抗否認性等，防止信息的泄密、丟失和被篡改，可靠指容災備份及保證系統(tǒng)通信網(wǎng)絡的健壯性等； 5. 解決內(nèi)外系統(tǒng)間的入侵檢測、信息過濾（防止有害信息的傳播）、網(wǎng)絡隔離問題； 6. 解決內(nèi)部人員濫用權力，有意犯罪，越權訪問機密信息或惡意篡改等問題； 7. 解決內(nèi)外黑客針對網(wǎng)絡基礎設施、 主機系統(tǒng)和應用服務的各種攻擊所造成的網(wǎng)絡或系統(tǒng)不可用、信息泄密、數(shù)據(jù)篡改所帶來的問題； 8. 解決信息的備份和系統(tǒng)的病毒防范等問題； 9. 解決系統(tǒng)安全運行的管理問題； 6 第 三 章 總體設計思路 總體安全目標 在保證物理安全與網(wǎng)絡運行安全的基礎上，加強信息安全管理，確保信息在產(chǎn)生、存儲、傳輸和處理過程中的保密、完整、抗抵賴和可用。 4． 由于管理制度不夠完善或制度不能被嚴格執(zhí)行，造成網(wǎng)絡不安全。 安全威脅分析 信息系統(tǒng)面臨的威脅是指影響系統(tǒng)中信息的機密性、完整性、抗否認性、可用性、可控性和可審計性等的來自系統(tǒng)外部和內(nèi)部的威脅。 外子網(wǎng) ： 外子網(wǎng)包括行情發(fā)布服務器和股民自助委托的工作站，經(jīng)紀業(yè)務 3 中的信息發(fā)布、實時分析等活動也在外子網(wǎng)中處理完成。 行情服務系統(tǒng)主要負責與滬、深兩交易所衛(wèi)星通訊，發(fā)送委托，接收回報，揭示實時行情、資訊信息，以及運行證券技術分析軟件。 信息 系統(tǒng)安全問題應該從管理和技術兩個 方面 去著手解決 。 證券 公司的 交易系統(tǒng)既要處理瞬息萬變的行情、交易數(shù)據(jù) ， 又要負責托管存儲和處理股民的資金、股份資料 。 XXX公司 網(wǎng)絡 信息安全保障 體系 總體 方案 XXXX年 XX月 i 目 錄 第一章 前言 .................................................................................................................. 1 第二章 網(wǎng)絡系統(tǒng)的風險評估與安全需求分析 .......................................................... 2 網(wǎng)絡系統(tǒng)描述 .................................................................................................. 2 信息系統(tǒng)的安全風險分析 .............................................................................. 3 安全脆弱性分析 .................................................................................... 3 安全威脅分析 ........................................................................................ 3 信息系統(tǒng)的安全需求分析 .............................................................................. 4 第三章 總體設計思路 .................................................................................................. 6 總體安全目標 .................................................................................................. 6 指導思想 .......................................................................................................... 7 設計原則 .......................................................................................................... 8 風險管理的設計思路 ...................................................................................... 9 風險評估 ................................................................................................ 9 風險評價 .............................................................................................. 12 安全系統(tǒng)等級劃分 ........................................................................................ 13 安全系統(tǒng)等級劃分依據(jù) ...................................................................... 13 安全等級的劃分 .................................................................................. 17 安全技術保障的等級化 ...................................................................... 17 安全組織保障的等級化 ...................................................................... 20 安全運行保障的等級化 ...................................................................... 22 技術規(guī)范與標準 ............................................................................................ 24 第四章 安全保障體系設計 ........................................................................................ 24 安全體系結構模型 ........................................................................................ 24 安全體系框架 ................................................................................................ 26 安全體系總體框架 .............................................................................. 26 信息安全基礎平臺 .............................................................................. 28 信息安全基礎設施建設 ................................................................................ 28 證書管理系統(tǒng) ...................................................................................... 28 ii 證書管理系統(tǒng)的功能要求 ..................................................... 28 證書管理系統(tǒng)體系架構 ......................................................... 29 集中監(jiān)控與審計系統(tǒng)建設 .................................................................. 30 集中密鑰管理系統(tǒng)建設 ...................................................................... 32 身份認證與訪問控制系統(tǒng)建設 ........................................................... 34 身份認證系統(tǒng) ......................................................................... 34 訪問控制系統(tǒng) ......................................................................... 35 終端安全防護 ....................................................................................... 39 信息安全防護體系 ........................................................................................ 40 物理安全 .............................................................................................. 40 安全網(wǎng)絡結構 ................