【文章內(nèi)容簡介】 用階段包括：基于等級保護的安全保護題寫的整體設(shè)計、建設(shè)、運行、維護分階段，是整個體系的主體部分。下面的方案以最常見的定級為 二級的系統(tǒng)進行詳細敘述?；诘燃壉Ｗo的安全防護體系方案一般可分為 9個章節(jié)，其中包括：前沿、方案概況、安全需求分析、總體安全設(shè)計、安全建設(shè)項目規(guī)劃、安全方案詳細設(shè)計、系統(tǒng)產(chǎn)品性能要求及選型、項目實施與工程管理、安全運行維護與服務(wù)。 第一章，前言。在本章中主要介紹用戶電子政務(wù)外網(wǎng)的業(yè)務(wù)情況，其中包括系統(tǒng)的背景敘述。 第二章，方案概述。在本章中主要闡述方案的背景、設(shè)計目標、設(shè)計原則和設(shè)計思想、說明對等級保護的需求，安全保護體系的主要建設(shè)內(nèi)容等。 第三章，安全需求分析。本章包括技術(shù)層次面安全需求分析和管理層面安全需 求分析。根據(jù)等級保護的基本要求，技術(shù)層面安全需求分析。根據(jù)等級保護基本要求，技術(shù)層面安全需求分析按照五個方面：物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全和數(shù)據(jù)恢復(fù)。管理層面的安全需求分析按照安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理方面進行分析。 第四章，總體安全設(shè)計。對一個組織的任務(wù)、業(yè)務(wù)運作異常關(guān)鍵的信息都是由信息基礎(chǔ)設(shè)施負責處理、存儲和傳輸。信息基礎(chǔ)設(shè)施對這些信息的保護需要通過“信息保障”完成。信息保障提出了目前信息基礎(chǔ)設(shè)施的整套安全要求。信息保障依賴人、操作和技術(shù)來實 現(xiàn)組織任務(wù)、業(yè)務(wù)運作。穩(wěn)定的信息保證體系意味著信息保證的政策、步驟、技術(shù)與機制在整個組織的信息基礎(chǔ)設(shè)施的所有層面上均得以實施。在制定安全策略中，依據(jù)的 IATF信息保障技術(shù)框架定義了對該電子政務(wù)外網(wǎng)系統(tǒng)進行信息保障的過程，以及該系統(tǒng)中硬件和軟件部件的安全要求。遵循這些原則就可以對信息基礎(chǔ)設(shè)施進行名為“深度防御戰(zhàn)略” 14 的多層防護。信息安全可用性策略是用戶電子政務(wù)外網(wǎng)信息系統(tǒng)安全保護體系的核心。根據(jù)實際情況提出恰當?shù)冒踩呗?。一個全面的安全策略將有助于方案的設(shè)計，實施和執(zhí)行。在本章節(jié)中首先完成等級化安全模型、總體安 全策略，進而完成核心的安全技術(shù)策略設(shè)計、安全管理策略設(shè)計。 第五章，安全建設(shè)項目規(guī)劃。在本章主要完成整個用戶電子政務(wù)外網(wǎng)安全保護體系建設(shè)項目的整體進度計劃以及各自項目的時間安排。 第六章，安全方案詳細設(shè)計。本章為安全技術(shù)措施設(shè)計和安全管理措施設(shè)計兩部分，并最終形成安全保護體系實施的預(yù)期效果（蜘蛛圖）。在安全技術(shù)措施設(shè)計中包括：物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)。 第七章，系統(tǒng)產(chǎn)品性能要求及選型。在本章中對用戶電子政務(wù)外網(wǎng)安全保護體系中選用的產(chǎn)品按照實際需要完成對性能指標的定量要求以及 選型定型。 第八章，項目實施與工程管理。采取工程化的項目管理方法進行嚴格、科學(xué)和有效的項目控制和管理。從組織管理和技術(shù)管理兩個方面對項目實施嚴格規(guī)范和有效管理。在項目實施中按照 SSECMM 的要求，即系統(tǒng)按安全工程能力成熟模型，精心工程實施。不斷提高工程的質(zhì)量與可用性，降低工程的實施成本。 SSECMM 給出了信息系統(tǒng)工程建設(shè)需要考慮的關(guān)鍵過程保障域，可能知道工程從單一的安全設(shè)備設(shè)置轉(zhuǎn)向系統(tǒng)的剞劂整個工程的分先評估、安全策略形成、安全方案提出、實施和生命期控制等問題。根據(jù) SSECMM，將整個項目所做的工作 分為項目啟動準備、項目實施改進、項目完成跟蹤，時需審核和改進以確保建設(shè)的項目能符合設(shè)計的方案。 第九章，安全運行維護與服務(wù)。主張為用戶電子政務(wù)外網(wǎng)系統(tǒng)提供生名周期的服務(wù)。電子政務(wù)外網(wǎng)信息系統(tǒng)的整體性進行考慮，以營運的業(yè)務(wù)流程為眼點，運用信息系統(tǒng)安全工程技術(shù)理論、工具和方法，通過專業(yè)，客觀的風(fēng)險分析，在保證電子政務(wù)外網(wǎng)信息系統(tǒng)應(yīng)用效率和投資收益比例恰當?shù)那疤嵯拢档涂蛻舻男畔⑾到y(tǒng)運行風(fēng)險，確?？蛻粜畔⑾到y(tǒng)發(fā)揮其價值。嚴格遵循國家網(wǎng)絡(luò)安全主管部門有關(guān)規(guī)定以及國際安全服務(wù)標準，以 ITSM 15 為目標、 ITIL為指導(dǎo)，由 專業(yè)從事網(wǎng)絡(luò)服務(wù)和安全服務(wù)的專家小組提供服務(wù)，同時對安全管理員進行安全培訓(xùn)。在系統(tǒng)種植階段遵照以下流程： “信息轉(zhuǎn)移、暫存和清除過程”是在信息系統(tǒng)中止處理過程中，對于可能會在另外的信息系統(tǒng)中使用的信息采取適當?shù)姆椒▽⑵浒踩霓D(zhuǎn)移或暫存到可以恢復(fù)的介質(zhì)中，確保將來可繼續(xù)使用，同時采用安全的方法清除要終止的信息系統(tǒng)的信息?！霸O(shè)備遷移或廢棄過程”是確保信息系統(tǒng)中之后，遷移或廢棄的設(shè)備內(nèi)不包括敏感信息，對設(shè)備的處理方式應(yīng)符合國家相關(guān)部門的要求。“存儲介質(zhì)的清除或銷毀過程”是通過采用合理的方式計算機介質(zhì)（包括磁帶、磁 盤、打印結(jié)果和文檔）進行信息清除或銷毀處理，防止介質(zhì)內(nèi)的敏感信息泄露。通過講不同的電子政務(wù)外網(wǎng)系統(tǒng)進行的個性處理，導(dǎo)入上述三個基本等級保護的安全保護體系建設(shè)過程，將可以得到完整的安全基于等級保護的安全體系建設(shè)方案，并指導(dǎo)基于等級保護的安全的電子政務(wù)外網(wǎng)系統(tǒng)。 電子政務(wù)等級保護實施措施 周密部署，精心組織 為有效貫徹落實國家信息安全等級保護制度，在總基礎(chǔ)調(diào)查和試點工作基礎(chǔ)上，根據(jù)《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》等相關(guān)規(guī)定， 2021 年 11 月13 日，電子政務(wù)外網(wǎng)工程辦召開等級工作 啟動會，正式啟動國家電子政務(wù)外網(wǎng)安全等級的定級保護工作。 為確保信息系統(tǒng)等級保護工作順利進行，外網(wǎng)工程辦領(lǐng)導(dǎo)高度重視，專門成立了有個主要業(yè)務(wù)部門負責人為成員的等級保護工作小組，全面負責工作的規(guī)劃、協(xié)調(diào)和指導(dǎo)，確定了外網(wǎng)工程版安全組為等級保護工作的牽頭部門，各部門分工協(xié)作。同時，為確保系統(tǒng)劃分和定級工作的準確性， 2021 年 11月 22日外網(wǎng)工程辦專門邀請專家，對定級工作進行專項指導(dǎo)。 積極做好定級各項工作 信息安全等級保護工作政策性強、技術(shù)要求高，時間有非常緊迫，為此，政務(wù)外網(wǎng)工程辦從 3 個方面抓好等級保護前 期準備工作：一是積極參加公安部組織的等級保護培訓(xùn)，領(lǐng)會與理解開展信息等級保護目的、意義與技術(shù)要求，系統(tǒng)的掌握信息安全等級保護的基礎(chǔ)知識、實施過程、頂級方法步驟和備案流程。二是多次組織人員開展內(nèi)部討論和交流，使人員較全面的了解等級保護的意義、基礎(chǔ)知識核定級方法。三是開展工程辦各組的業(yè)務(wù)應(yīng)用摸底調(diào)查，摸清系統(tǒng)的系統(tǒng)機構(gòu)、業(yè)務(wù)類型和應(yīng)用范圍，并匯總整理政務(wù)外網(wǎng)各組成域的相關(guān)概況。 科學(xué)準確定級 在開展政務(wù)外網(wǎng)定級工作的過程中突出重點，全面分析政務(wù)外網(wǎng)網(wǎng)絡(luò)基礎(chǔ)平臺的特 16 點，力求準確劃定定級范圍和定級對象。在此基礎(chǔ) 上，依據(jù)《信息安全等級保護管理辦法》，確定政務(wù)外網(wǎng)各組成組子系統(tǒng)（網(wǎng)絡(luò)域）的安全保護等級。 劃定定級對象。根據(jù)《信息系統(tǒng)安全等級保護定級指南》，外網(wǎng)工程辦多次組織技術(shù)和業(yè)務(wù)骨干召開專題會議討論信息系統(tǒng)劃分問題，提出了較為科學(xué)合理的信息系統(tǒng)劃分方案。 組織專家自評把關(guān)。根據(jù)等級保護評審的標準與要求，專家們對信息系統(tǒng)劃分和定級報告進行內(nèi)部評審，并給出了內(nèi)部評審意見。根據(jù)專家意見重新修訂并整理了等級保護定級報告及其相關(guān)材料。 此外，在頂級過程中，外網(wǎng)工程辦積極與公安部門等級保護主管部門進行溝通，并竟由相關(guān)專家確定 定級對象與等級保護方案后，整理好了所有定級材料，準備下一步的正式評審。 定級對象和結(jié)果 根據(jù)政務(wù)外網(wǎng)作為基礎(chǔ)網(wǎng)絡(luò)平臺的特性，以及其接入系統(tǒng)的不同業(yè)務(wù)類型，政務(wù)外網(wǎng)按管理邊界劃分為中央政務(wù)外網(wǎng)、地方政務(wù)外網(wǎng)兩類管理域。中央政務(wù)外網(wǎng)按業(yè)務(wù)邊界劃分功能區(qū)，即公用網(wǎng)絡(luò)平臺區(qū)、專用 VPN 網(wǎng)絡(luò)區(qū)以及互聯(lián)網(wǎng)接入?yún)^(qū)，在各功能區(qū)內(nèi)又根據(jù)業(yè)務(wù)類型和系統(tǒng)服務(wù)的不同，確定了多個業(yè)務(wù)系統(tǒng)，主要有安全管理系統(tǒng)、應(yīng)用平臺系統(tǒng)、網(wǎng)絡(luò)管理系統(tǒng)、郵件系統(tǒng)、 VPN 業(yè)務(wù)、互聯(lián)網(wǎng)數(shù)據(jù)中心等六個系統(tǒng)作為本次等級保護定級工作的定級對象，分別予以定級 （確定等級結(jié)果如下表所示）。 表 國家電子政務(wù)外網(wǎng)業(yè)務(wù)信息系統(tǒng)定級對象和結(jié)果 17 第五章 基于等級保護的電子政務(wù)安全度量 本章針對安全管理的量化問題，建立了信息安全管理度量的層次結(jié)構(gòu)模型，確定了信息安全管理度量要素及度量指標，設(shè)計了相應(yīng)的度量方法及輔助調(diào)查工具 —— 度量核查表。 信息安全度量現(xiàn)狀 信息安全“三分技術(shù)，七分管理”的思想目前已經(jīng)被廣泛接受，然而，在實際的安全實踐中，安全管理依然被人們忽視。導(dǎo)致這種局面的一個重要原因是安全管理的有效型難以度量。相對于安全技術(shù)，安全管理涉及到更多的領(lǐng)域， 包含眾多的非量化的難以測量的因素，如規(guī)章制度度的制定和培訓(xùn)、管理措施的落實、財政預(yù)算的支持等。因此，信息安全管理有效的度量繁雜乃至瑣碎，難度很大。具體實施過程中，對安全管理的度量主要依靠操作人員進行，度量的準確性往往依賴于操作人員的實踐經(jīng)驗、對相關(guān)標準的理解程度等。這些主觀因素往往導(dǎo)致度量結(jié)果不夠準確，不能真實反映安全管理上的弱點，也就不能有針對性的進行改進，從而降低了度量結(jié)果的可信度，進而影響甚至誤導(dǎo)信息安全的改進過程。 管理學(xué)上有如下原則：不能被測量的行為是不能被管理的。如何對安全管理進行有效的量化度量 ，根據(jù)量化的度量結(jié)果進一步指導(dǎo)安全管理，提高信息安全能力和水平，目前已經(jīng)成為信息安全領(lǐng)域的一個研究熱點。 2021 年 7 月， NIST 發(fā)布了 SP80055《信息技術(shù)系統(tǒng)安全度量指南》。該標準對安全管理度量定義如下：一種工具，被設(shè)計用來通過收集、分析和報告與性能相關(guān)的數(shù)據(jù)，以輔助決策、改善性能和可審計性?！缎畔⒓夹g(shù)系統(tǒng)安全度量指南》中結(jié)合 NIST SP80026《信息技術(shù)系統(tǒng)安全自我評估導(dǎo)則》中的安全控制目標和技術(shù)方法，對角色責任、度量定義、度量類型、度量開發(fā)和實施方法、度量項目的實施過程都做了描述，同時以附 件形式給出了 17 種度量的模板。 SC27N4474:WD 27004(ISO/IEC27004 草案 )《信息安全管理度量機制和測量措施》中規(guī)定了測量項以及組織可能用于促進對 ISMS 管理的測量技術(shù)，該模型使用客觀信息來監(jiān)督和評審 ISMS 以及孔子措施的性能。 我國信息安全管理標準的研究比較落后。不僅已經(jīng)制定的少量標準大多沿用國際標準，而且很少直接參與到國際信息安全標準的制定當中，致使無法在國際標準的制定中體現(xiàn)我國國家利益，也只能加了參照國際標準制定相應(yīng)國內(nèi)標準是的困難。目前在信息安全 18 管理度量標準方面的主要工作向是 積極跟蹤國際信息安全管理度量方法和技術(shù)標準化的動態(tài)，系統(tǒng)研究信息安全度量方法和測量技術(shù)，抓緊制定相應(yīng)的國內(nèi)安全管理度量標準，為我國信息安全管理體系建設(shè)提供基礎(chǔ)技術(shù)保障。 基于等級保護的安全管理度量方法的設(shè)計 安全管理度量的成功實施需要解決若干個關(guān)鍵問題。 （ 1）度量要素、度量指標的選取 （ 2）度量結(jié)果的量化 度量要素是評判信息安全管理是否有效的組成因素，所有度量要素的合理表現(xiàn)，就能構(gòu)呈現(xiàn)出信息安全管理的效果。 度量指標是為考察各個度量要素而設(shè)計的核查項，單個的度量指標是安全管理的最小度量單位。通過對 某度量要素所包含的若干指標的核查結(jié)果，能夠?qū)υ摱攘恳剡M行評估。 度量要素、度量指標的選取時前提條件，它為安全管理度量的實施準備工具。如果度量要素、度量指標集合不完備、不合理，將導(dǎo)致度量結(jié)果出現(xiàn)較大的偏差，進而影響信息安全管理目標的實現(xiàn) 。而量化則是對安全管理度量的進一步加工處理，以便從中發(fā)現(xiàn)問題，總計規(guī)律。 國家計算機等級保護標準 GB17859 根據(jù)《計算機信息系統(tǒng)安全保護等級劃分準則》（ GB17859），我國的信息安全劃分為五個級別，即用戶自主保護級、系統(tǒng)審計保護級、安全標記保護級、結(jié)構(gòu)化保護級、訪問 驗證保護級。五個級別以第一級用戶自主保護級為基礎(chǔ)，每級對信息安全的保護方法一步增強，保護范圍進一步擴大。 GB17859 給出了對計算機信息系統(tǒng)實施五級保護的原則，并對各個級別的具體實施要求進行了目標上的闡述，但其本身并沒有提供如何評估某級別安全保護目標是否現(xiàn)得定量化指標。所以根據(jù) GB17859 的實施要求有針對性的提出一個安全管理度量方法十分必要。 度量要素的選取 ISO/IEC17799 確立的信息安全管理體系目前在國際上已經(jīng)成為通行的信息安全管理體系，它包含了安全方針的擬定、安全責任的歸屬、風(fēng)險的評估與 確定、強化安全參數(shù)及存取的控制，提供了 10 大管理方面， 36 個管理目標， 127重安全控制供用戶選擇和使用。標準自公布以來，被多個國家政府機構(gòu)及其他單位組織采用，受到良好的效果。 為保證度量的全面性與合理性，以 ISO/IEC17799 中的安全控制措施作為安全管理的度量要素，以保證能夠完成整覆蓋信息安全管理的各個環(huán)節(jié)。同時為每個度量要素設(shè)計了相應(yīng)的度量指標（核查問題）集合，這樣就首先構(gòu)造了一個安全管理度量要素的全集，以及一個度量指標的全集，其中，單個的度量指標是安全管理的最小度量單位。但在實際操 19 作中，由于各個信息 系統(tǒng)對于安全的要求不同，需要對個度量要素全集和度量指標全集進一步裁剪以符合實際情況。以國家計算機等級保護標準 G17859 為依據(jù)，根據(jù)組織的信息系統(tǒng)所劃分的安全等級，從度量要素全集合度量指標全集中提取相應(yīng)的度量要素子集、度量指標子集。安全管理度量的層次結(jié)構(gòu)如下圖所示： 如上圖所示，度量要素包含若干個度量指標，即度量該要素的核查問題。度量指標是最小的測量單位，可以分別從規(guī)章制度、落實證據(jù)兩個方面進行設(shè)計。 （ 1）管理制度包括技術(shù)開發(fā)文檔、管理制度、操作規(guī)程以及其他與系統(tǒng)運行、維護、安全相關(guān)的所有文檔。 （ 2）落實證據(jù)包括會議紀要、各種登記表、值班日志、故障記錄、出入登記表等紙當文件，也包括對安全管理負責人、系統(tǒng)維護者、企業(yè)關(guān)公等的調(diào)查詢問結(jié)