【正文】 09852007 信息安全事件管理指南GB/T209862007 信息安全事件分類分級(jí)指南GB/T209882007 信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范方案設(shè)計(jì)GB/T250702010 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求等保測評(píng)GB/T284482012 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求GB/T284492012 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)過程指南. 方案設(shè)計(jì)原則針對(duì)本次項(xiàng)目，等級(jí)保護(hù)整改方案的設(shè)計(jì)和實(shí)施將遵循以下原則：n 保密性原則：我司對(duì)安全服務(wù)的實(shí)施過程和結(jié)果將嚴(yán)格保密，在未經(jīng)用戶方授權(quán)的情況下不會(huì)泄露給任何單位和個(gè)人，不會(huì)利用此數(shù)據(jù)進(jìn)行任何侵害客戶權(quán)益的行為； n 標(biāo)準(zhǔn)性原則：服務(wù)設(shè)計(jì)和實(shí)施的全過程均依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準(zhǔn)進(jìn)行；根據(jù)等級(jí)保護(hù)二級(jí)基本要求，進(jìn)行分等級(jí)分安全域進(jìn)行安全設(shè)計(jì)和安全建設(shè)。學(xué)校OA系統(tǒng)：目前學(xué)校舊OA系統(tǒng)準(zhǔn)備停用，并且已經(jīng)開發(fā)和準(zhǔn)備上線新的業(yè)務(wù)系統(tǒng)，新的業(yè)務(wù)系統(tǒng)目前準(zhǔn)備對(duì)公網(wǎng)直接公開訪問，因此涉及到的能夠訪問到業(yè)務(wù)系統(tǒng)的規(guī)模比較大，而且整個(gè)網(wǎng)絡(luò)相對(duì)會(huì)比較復(fù)雜、流量多變，所以系統(tǒng)任有較多不足，在本次建設(shè)過程中應(yīng)該加強(qiáng)安全建設(shè)，系統(tǒng)自身和運(yùn)行環(huán)境均存在一定的安全風(fēng)險(xiǎn)，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護(hù)體系和措施。. 應(yīng)用安全需求分析通信完整性和保密性：該信息系統(tǒng)無法實(shí)現(xiàn)對(duì)邊界的訪問控制，需要部署SSL VPN等安全設(shè)備來實(shí)現(xiàn)?？刂坪凸芾恚?duì)系統(tǒng)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對(duì)這些操作進(jìn)行審計(jì)。因此，依照等級(jí)保護(hù)在身份鑒別，訪問控制（包括強(qiáng)制訪問控制）、網(wǎng)絡(luò)行為控制（包括上網(wǎng)控制、違規(guī)外聯(lián)的控制）、應(yīng)用安全、數(shù)據(jù)安全、安全審計(jì)等方面的技術(shù)要求，可充分結(jié)合可信計(jì)算技術(shù)和主動(dòng)防御技術(shù)的先進(jìn)性和安全性，提出一個(gè)基于可信計(jì)算和主動(dòng)防御的終端安全保護(hù)體系模型，以實(shí)現(xiàn)從應(yīng)用層、系統(tǒng)層、核心層三個(gè)方面對(duì)計(jì)算環(huán)境的全面防護(hù)。在本項(xiàng)目中，將嚴(yán)格按照信息系統(tǒng)的重要性和網(wǎng)絡(luò)使用的邏輯特性劃分安全域，將劃分如下確定的安全域：l 互聯(lián)網(wǎng)出口域，該區(qū)域說明如下：l 專網(wǎng)出口域，該區(qū)域說明如下：主要承載互聯(lián)網(wǎng)出口，出口主干需要部署相應(yīng)的安全邊界產(chǎn)品。. 網(wǎng)頁防篡改技術(shù)學(xué)校網(wǎng)站承載了學(xué)校等重要職責(zé)，暴露在互聯(lián)網(wǎng)上，隨時(shí)會(huì)面臨網(wǎng)頁被篡改及黑客攻擊的危險(xiǎn)，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用網(wǎng)頁防篡改功能非常有必要。部署設(shè)計(jì)：數(shù)據(jù)庫審計(jì)部署于數(shù)據(jù)庫前端交換機(jī)上，通過端口鏡像收集信息。維護(hù)人員對(duì)網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器系統(tǒng)進(jìn)行遠(yuǎn)程維護(hù)時(shí)，首先以 Web 方式登錄運(yùn)維審計(jì)系統(tǒng)，然后通過運(yùn)維審計(jì)系統(tǒng)上展現(xiàn)的訪問資源列表直接訪問授權(quán)資源?？傮w安全方針與安全策略的作用在于統(tǒng)一對(duì)信息安全工作的認(rèn)識(shí)，規(guī)定信息安全的基本架構(gòu)，明確信息安全的根本目標(biāo)和原則。制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對(duì)收發(fā)文進(jìn)行登記。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中人員安全管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。設(shè)備和介質(zhì)安全管理制度明確配套設(shè)施、軟硬件設(shè)備管理、維護(hù)的責(zé)任部門或責(zé)任人，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護(hù)和維修等過程進(jìn)行控制，對(duì)介質(zhì)的存放、使用、維護(hù)和銷毀等方面作出規(guī)定，加強(qiáng)對(duì)涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控制。落實(shí)安全事件報(bào)告制度，第二級(jí)以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時(shí)，運(yùn)營使用單位按照相應(yīng)預(yù)案開展應(yīng)急處置，并及時(shí)向受理備案的公安機(jī)關(guān)報(bào)告。其他制度對(duì)系統(tǒng)運(yùn)行維護(hù)過程中的其它活動(dòng)，如系統(tǒng)變更、密碼使用等進(jìn)行控制和管理。. 漏洞掃描利用業(yè)界領(lǐng)先的多種掃描工具檢查整個(gè)網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的主機(jī)系統(tǒng)與數(shù)據(jù)庫系統(tǒng)的漏洞情況，并用人工對(duì)掃描結(jié)果進(jìn)行誤報(bào)分析，結(jié)果整理。. 系統(tǒng)測評(píng)服務(wù)為用戶選擇滿足國家要求的測評(píng)機(jī)構(gòu)（在本省等包辦推薦目錄下且在本省備案的測評(píng)機(jī)構(gòu)），完成對(duì)用戶單位信息系統(tǒng)的等級(jí)保護(hù)測評(píng)。通過遠(yuǎn)程滲透測試全面檢測信息系統(tǒng)清單中的系統(tǒng)（網(wǎng)站）直接暴露在互聯(lián)網(wǎng)上的安全隱患，并提供實(shí)際可行的安全修復(fù)建議。. 安全管理制度匯總制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項(xiàng)制度、措施的落實(shí)情況，并不斷完善。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息安全事件分類分級(jí)指南》和《信息安全事件管理指南》等。日常運(yùn)行維護(hù)制度明確網(wǎng)絡(luò)、系統(tǒng)日常運(yùn)行維護(hù)的責(zé)任部門或責(zé)任人，對(duì)運(yùn)行管理中的日常操作、賬號(hào)管理、安全配置、日志管理、補(bǔ)丁升級(jí)、口令更新等過程進(jìn)行控制和管理；制訂設(shè)備操作管理、業(yè)務(wù)應(yīng)用操作管理、變更控制和重用管理、信息交換管理相應(yīng)的管理制度；制定與信息系統(tǒng)安全管理相配套的規(guī)范和操作規(guī)程并落實(shí)執(zhí)行；正確實(shí)施為信息系統(tǒng)可靠運(yùn)行而采取的各種檢測、監(jiān)控、審計(jì)、分析、備份及容錯(cuò)等方法和措施，對(duì)運(yùn)行安全進(jìn)行監(jiān)督檢查。具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)建設(shè)管理。. 安全管理機(jī)構(gòu)根據(jù)基本要求設(shè)置安全管理機(jī)構(gòu)的組織形式和運(yùn)作方式，明確崗位職責(zé)；設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，根據(jù)要求進(jìn)行人員配備，配備專職安全員；成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。我方為用戶方設(shè)計(jì)的總體安全方針與安全策略將具備以下特性：n 安全策略緊緊圍繞行業(yè)的發(fā)展戰(zhàn)略，符合用戶方實(shí)際的信息安全需求，能保障與促進(jìn)信息化建設(shè)的順利進(jìn)行，避免理想化與不可操作性。部署設(shè)計(jì)軟件客戶端部署在內(nèi)外防服務(wù)器上面，通過管理區(qū)域防病毒升級(jí)服務(wù)器對(duì)病毒規(guī)則庫進(jìn)行升級(jí)。n 各IT系統(tǒng)獨(dú)立管理，風(fēng)險(xiǎn)分散在各系統(tǒng)中，各個(gè)擊破困難大，這種管理方式造成了業(yè)務(wù)管理和安全之間的失衡。因此，建議在二期部署一套專業(yè)的鏈路負(fù)載均衡設(shè)備非常有必要。l 安全管理域，該區(qū)域說明如下：主要承載網(wǎng)絡(luò)管理先關(guān)設(shè)備，比如網(wǎng)管系統(tǒng)，防病毒升級(jí)服務(wù)器等。該系統(tǒng)應(yīng)可以實(shí)現(xiàn)以下功能：信息層的自主和強(qiáng)制訪問控制、防范SQL注入攻擊和跨站攻擊、抗DoS/DDoS攻擊端口掃描、數(shù)據(jù)包過濾、網(wǎng)絡(luò)地址換、安全審計(jì)等。審計(jì)管理實(shí)現(xiàn)對(duì)系統(tǒng)各個(gè)組成部分的安全審計(jì)機(jī)制進(jìn)行集中管理，包括根據(jù)安全審計(jì)策略對(duì)審計(jì)記錄進(jìn)行分類；提供按時(shí)間段開啟和關(guān)閉相應(yīng)類型的安全審計(jì)機(jī)制；對(duì)各類審計(jì)記錄進(jìn)行存儲(chǔ)、管理和查詢等；對(duì)審計(jì)記錄應(yīng)進(jìn)行分析，根據(jù)分析結(jié)果進(jìn)行處理。同時(shí)，該信息系統(tǒng)沒有實(shí)現(xiàn)對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，建議部署雙鏈路確保設(shè)備冗余。防web攻擊和網(wǎng)頁防篡改：該信息系統(tǒng)無法實(shí)現(xiàn)對(duì)邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實(shí)現(xiàn)。n 體系化原則：在體系設(shè)計(jì)、建設(shè)中，深信服充分考慮到各個(gè)層面的安全風(fēng)險(xiǎn)，構(gòu)建完整的立體安全防護(hù)體系。建立健全信息系統(tǒng)安全管理制度。信息安全等級(jí)保護(hù)（二級(jí)）建設(shè)方案