【文章內(nèi)容簡介】 要相結(jié)合， 分階段完成商密網(wǎng)的整體建設(shè)。充分評估系統(tǒng)風(fēng)險，以解決基本風(fēng)險為安全防護需求，逐步完善商密網(wǎng) 安全保障體系 建設(shè) 。在保證應(yīng)用需求的基礎(chǔ)上， 各接入單位采用按需接入的方式， 逐步拓展商密網(wǎng)規(guī)模，最終實現(xiàn)商密網(wǎng)對 XXXX 內(nèi)所有商密內(nèi)網(wǎng)的完全覆蓋；在保證基本安全的基礎(chǔ) 上，根據(jù)風(fēng)險需求與應(yīng)用情況，不斷完善商密網(wǎng)安全建設(shè)，最終建立起全面、可持續(xù)發(fā)展的商密網(wǎng)信息安全保障體系 。 四、 建設(shè)依據(jù) 基礎(chǔ)類標(biāo)準(zhǔn) ? 《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》（ GB178591999） ? 《信息系統(tǒng)安全等級保護基本要求》（ GB/T222392020）。 應(yīng)用類標(biāo)準(zhǔn) ? 《信息系統(tǒng)安全保護等級定級指南》（ GB/T222402020） ? 《信息系統(tǒng)安全等級保護實施指南》（信安字 [2020]10 號） 商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 5 ? 《信息系統(tǒng)通用安全技術(shù)要求》（ GB/T202712020） ? 《信 息系統(tǒng)等級 保護安全 設(shè)計技術(shù)要 求》（信安 秘字[2020]059） ? 《信息系統(tǒng)安全管理要求》（ GB/T202692020） ? 《信息系統(tǒng)安全工程管理要求》（ GB/T202822020） ? 《信息系統(tǒng)物理安全技術(shù)要求》（ GB/T210522020） ? 《網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》（ GB/T202702020） ? 《信息系統(tǒng)安全等級保護體系框架》（ GA/T7082020） ? 《信息系統(tǒng)安全等級保護基本模型》）（ GA/T7092020） ? 《信息系統(tǒng)安全等級保護基本配置》（ GA/T7102020） 其他類標(biāo)準(zhǔn) ? 《信息安全風(fēng)險評估規(guī)范》（ GB/T209842020） ? 《信息安全事件管理指南》（ GB/Z209852020） ? 《信息安全事件分類分級指南》（ GB/Z209862020） ? 《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》（ GB/T 209882020） 信息安全框架 ? 開放系統(tǒng)安全框架（ ISO 101811) ? 鑒別框架 (ISO 101812) ? 訪問控制框架 (ISO 101813) ? 抗抵賴框架 (ISO l01814) 商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 6 ? 完整性框架 (ISO 1018l5) ? 保密性框架 (ISO l018l6) ? 安全審計框架 (ISO 1018l7) ? 管理框架 (ISO 74984) ? 安全保證框架 (ISO /IEC WD l5443:1999) 五、 建設(shè)規(guī)劃 商密網(wǎng)建設(shè)涵蓋 XXXX 內(nèi)部各單位， 總體建設(shè)上需要完成 XXXX 商密網(wǎng)的整體建設(shè)，實現(xiàn)北京中心和上海中心的建設(shè)布局，結(jié)合管理與運維需求建立網(wǎng)絡(luò)安全管理平臺，綜合考慮應(yīng)用管理需求建立統(tǒng)一身份認(rèn)證與訪問控制平臺并完成基于虛擬化技術(shù)的應(yīng)用服務(wù)支撐平臺。在集中建設(shè)的同時，通過制定網(wǎng)絡(luò)建設(shè)與管理指南規(guī)范 商密接入網(wǎng) 的建設(shè)與改造工作。 商密網(wǎng)網(wǎng)絡(luò)建設(shè) 結(jié)合 XXXX 商密網(wǎng)應(yīng)用與標(biāo)準(zhǔn)要求，綜合考慮成本與信息安全，完成商密網(wǎng)的整體規(guī)劃與建設(shè)。 實 現(xiàn) XXXX 總部和下屬企業(yè)的商密 網(wǎng)的連通，為 XXXX 總部層面的業(yè)務(wù)應(yīng)用系統(tǒng)提供一個安全、可靠、高效、可管理、可擴展的網(wǎng)絡(luò)通信環(huán)境。 各單位商密網(wǎng)絡(luò)需要根據(jù)統(tǒng)一的安全規(guī)范要求進行網(wǎng)絡(luò)安全改造，根據(jù)應(yīng)用需要進行商密網(wǎng)的接入。 商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 7 商密網(wǎng)基礎(chǔ)平臺建設(shè) 根據(jù)商密網(wǎng)統(tǒng)一管理、統(tǒng)一運維的需求，建設(shè)商密網(wǎng)基礎(chǔ)平臺，支持 根據(jù) XXXX 部署，在北京總部和上?？偛拷ㄔO(shè)商密網(wǎng)應(yīng)用與管理中心，搭建 XXXX 級應(yīng)用系統(tǒng)為商密網(wǎng)全體接入用戶服務(wù)，建設(shè)統(tǒng)一的安全管理平臺實現(xiàn)對商密網(wǎng)的整體管理。 商密網(wǎng)應(yīng)用建設(shè) 根據(jù) XXXX 統(tǒng)一管控與信息集中需求，建 設(shè) XXXX 級商密網(wǎng)應(yīng)用。充分考慮應(yīng)用系統(tǒng)的覆蓋范圍與功能性能需求，建設(shè)基礎(chǔ)支撐平臺，合理分配系統(tǒng)資源。保證應(yīng)用系統(tǒng)穩(wěn)定運行并接受商密網(wǎng)的統(tǒng)一安全管理。 商密網(wǎng)安全體系建設(shè) 建設(shè)商密網(wǎng)安全防護體系，保證商密網(wǎng)上運行的業(yè)務(wù)應(yīng)用系統(tǒng)及其數(shù)據(jù)的安全保密性，使商密網(wǎng)達到國家信息系統(tǒng)安全等級保護第三級信息系統(tǒng)的標(biāo)準(zhǔn)，為商密網(wǎng)提供一個安全、可靠、穩(wěn)定的運行環(huán)境。 六、 商密網(wǎng)網(wǎng)絡(luò)建設(shè) 網(wǎng)絡(luò)通信平臺設(shè)計目標(biāo) 網(wǎng)絡(luò)通信平臺的設(shè)計目標(biāo)是利用 Inter 技術(shù)和標(biāo)準(zhǔn)，實現(xiàn)XXXX 總部 和下屬企業(yè)的 商密 局域網(wǎng)的連通，為 XXXX 總部 層面的 業(yè)務(wù)應(yīng)用系統(tǒng)提供一個安全、可靠、高效、可管理、可擴展的網(wǎng)絡(luò)通信環(huán)境。 商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 8 方案 簡述 商密網(wǎng)網(wǎng)絡(luò)建設(shè) 以互聯(lián)網(wǎng)為基礎(chǔ)，充分利用 互聯(lián)網(wǎng)現(xiàn)有的路由環(huán)境，實現(xiàn)各個接入網(wǎng)絡(luò)之間的互聯(lián)互通。各個接入網(wǎng)絡(luò)相互對等，通過 VPN 方案建立起來的虛擬網(wǎng)絡(luò)進行接入網(wǎng)絡(luò)之間的信息通訊。 采用國家密碼管理部門認(rèn)可的 SM1 商密加密算法對網(wǎng)絡(luò)通訊數(shù)據(jù)進行加密。確保通訊數(shù)據(jù)在公網(wǎng)傳輸過程中的有效保密。 網(wǎng)絡(luò)通信平臺結(jié)構(gòu) 網(wǎng)絡(luò)層次結(jié)構(gòu) 商密網(wǎng)采用平級 結(jié)構(gòu)，如 圖 1 所示。 互 聯(lián) 網(wǎng)下 屬 企 業(yè)網(wǎng) 絡(luò)下 屬 企 業(yè)網(wǎng) 絡(luò)下 屬 企 業(yè)網(wǎng) 絡(luò)管 理 中 心 應(yīng) 用 中 心 、數(shù) 據(jù) 中 心 圖 1 網(wǎng)絡(luò)層次結(jié)構(gòu) 網(wǎng)絡(luò)冗余設(shè)計 考慮 XXXX 的應(yīng)用中心、數(shù)據(jù)中心和管理中心對網(wǎng)絡(luò)構(gòu)架與服務(wù)提供的核心地位 ，出現(xiàn)故障對整個網(wǎng)絡(luò)的影響比較大。因此， 需要在中心引入多條不同提供商的鏈路，充分考慮南北網(wǎng)絡(luò)特點以及各企業(yè)商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 9 接入網(wǎng)絡(luò)供應(yīng)商情況。確保各企業(yè)能夠通過高速鏈路連入到整個商密網(wǎng)。多條鏈路通過路由器或加密設(shè)備本身實現(xiàn)路由負載均衡，確保出現(xiàn)個別鏈路故障的情況下，中心仍舊能夠?qū)ο聦俅瑥S提供網(wǎng)絡(luò)服務(wù) 。 網(wǎng)絡(luò)線路及帶寬選擇 商密網(wǎng)網(wǎng)絡(luò)線路 選擇充分考慮應(yīng)用的需求以及建設(shè)成本，以優(yōu)質(zhì)互聯(lián)網(wǎng) 專線作為主要的網(wǎng) 絡(luò)通訊線路 。 在 XXXX 中心，建立由多條供應(yīng)商鏈路組合而成的 100M 出口帶寬。各企業(yè)根據(jù)對商密網(wǎng)應(yīng)用的需求，建立 10M~100M 互聯(lián)網(wǎng)出口 帶寬。 商密接入網(wǎng) 改造 商密接入網(wǎng) 是商密網(wǎng)的主要組成部分，各企業(yè)需要根據(jù)商密網(wǎng)接入要求以及自身應(yīng)用需求，對自身的 商密接入網(wǎng) 進行改造與建設(shè)。 對于沒有商密內(nèi)網(wǎng)的企業(yè)，需要根據(jù)商密使用需求，進行 商密接入網(wǎng) 的建設(shè)。對于已有商密內(nèi)網(wǎng)的企業(yè)，需要根據(jù) 商密接入網(wǎng) 建設(shè)規(guī)范進行改造，使之達到 XXXX 對 商密接入網(wǎng) 的統(tǒng)一安全防護與管理需求。確保在接入 XXXX 商密網(wǎng)后，不會對 XXXX 商密網(wǎng)造成影響 ，并能夠納入到 XXXX 商密網(wǎng)的整體管理中。 各 商密接入網(wǎng) 需要達到國家信息系統(tǒng)安全等級保護標(biāo)準(zhǔn)對第三級信息系統(tǒng)的要求，通過主管部門的安全檢測，滿足商密網(wǎng)的安全管理要求后，才允許接入商密網(wǎng)。 網(wǎng)絡(luò)建設(shè) 目前，部分企業(yè)沒有建設(shè)非涉密辦公網(wǎng)絡(luò)。為保證商密網(wǎng)到這些單位的延伸，需要根據(jù)企業(yè)接入的需求進行 商密接入網(wǎng) 的建設(shè)。需要商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 10 建設(shè) 商密接入網(wǎng) 的企業(yè)主要包括如下類型： ? 企業(yè)內(nèi)以建立了內(nèi)部網(wǎng)絡(luò)，但為涉密信息系統(tǒng)。沒有其他的網(wǎng)絡(luò)布線。 ? 企業(yè)建立了與互聯(lián)網(wǎng)連接的網(wǎng)絡(luò)，用于互聯(lián)網(wǎng)信息的使用與檢索。未建立辦公內(nèi)網(wǎng)。 ? 企業(yè)目前沒有建立成規(guī)模的網(wǎng)絡(luò)。 對于以涉密信息系統(tǒng)為主體的企業(yè)，需要充分評估涉密信息系統(tǒng)的需求，在確保涉密信息系統(tǒng)規(guī)模符合工作需要的同時，調(diào)整涉密信息系統(tǒng)范圍。改造已有網(wǎng)絡(luò)布線，在保證隔離要求的情況下形成內(nèi)網(wǎng)網(wǎng)絡(luò)基礎(chǔ)。 對于建立了外網(wǎng)的企業(yè)，需要根據(jù)需求進行網(wǎng)絡(luò)的調(diào)整，縮小互聯(lián)網(wǎng)范圍，建立辦公內(nèi)網(wǎng)。 未 建立規(guī)模網(wǎng)絡(luò)的企業(yè)，需要根據(jù)辦公需求進行網(wǎng)絡(luò)設(shè)計，完成綜合布線，建立辦公內(nèi)網(wǎng)。 網(wǎng)絡(luò)結(jié)構(gòu)改造 已有 商密接入網(wǎng) 的企業(yè)，在 商密接入網(wǎng) 接入商密網(wǎng)前，要進行必要的網(wǎng)絡(luò)結(jié)構(gòu)調(diào)整。根據(jù) 商密接入網(wǎng) 建設(shè)規(guī)范要求，按照職能對網(wǎng) 絡(luò)進行安全域的劃分，通過邏輯隔離設(shè)備和邊界安全控制設(shè)備進行隔離和數(shù)據(jù)控制。根據(jù)應(yīng)用部署的需求，制定細致的安全訪問控制策略。 北京總部商密接入網(wǎng)建設(shè) 北京總部目前沒有商密網(wǎng)絡(luò) ，主要網(wǎng)絡(luò)節(jié)點均為涉密信息系統(tǒng)節(jié)商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 11 點。作為商密網(wǎng)重要接入單位，需要在北京總部進行商密接入網(wǎng)的建設(shè)。規(guī)劃在現(xiàn)有布線條件基礎(chǔ)上，充分利用空閑布線以及互聯(lián)網(wǎng)布線，根據(jù) XXXX 商密使用需求，建立商密接入網(wǎng)。形成外網(wǎng)、商密網(wǎng)、涉密網(wǎng)并行的局面。在后續(xù)的建設(shè)中，根據(jù)商密使用需求，在保證涉密工作正常開展的前提下，適度調(diào)整商密網(wǎng)和涉密網(wǎng)規(guī)模，采用變換網(wǎng)絡(luò)點 性質(zhì)以及增加布線點的方法，保證商密接入網(wǎng)的規(guī)模符合北京總部的使用需求。 基礎(chǔ) 接入 設(shè)備 方案 為接入到網(wǎng)絡(luò)中，每個 商密接入網(wǎng) 的 XXXX 接入 區(qū)域 需要具備以下三個功能： a) 加密功能：實現(xiàn)符合國家密碼管理部門要求的 SM1 商密算法的鏈路加密。 b) 路由功能：實現(xiàn)平級網(wǎng)絡(luò)內(nèi)部的互聯(lián)互通。 c) 訪問控制功能：實現(xiàn)基于多級管理要求的網(wǎng)絡(luò)及應(yīng)用通訊訪問控制。 在實際接入設(shè)計中，可以根據(jù) 投資的情況以及網(wǎng)絡(luò)冗余設(shè)計的需求，建立多種設(shè)備組合的接入防護區(qū)域 。 其中最簡單方案為部署具有 SM1 商密算法的具備防火墻功能的百兆 網(wǎng)絡(luò)加密設(shè)備，實現(xiàn)加密、路 由、訪問控制的全功能處理。該方案投資較小，設(shè)備簡單， 基本可以滿足需求， 但設(shè)備壓力較大，單點故障的風(fēng)險較大。 對于接入單位來講，除了采用簡單方案以外，根據(jù)網(wǎng)絡(luò)需求，可商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 12 以考慮部署路由器加加密機或加密機加防火墻的組合方式。分別加強網(wǎng)絡(luò)冗余能力和訪問控制能力。 對于重要的 網(wǎng)絡(luò)、管理、數(shù)據(jù) 中心，建議部署專用的路由設(shè)備，對多條接入寬帶進行整合， 實現(xiàn)多接入 多冗余的 網(wǎng)絡(luò)路由 。部署千兆加密機實現(xiàn)高速的信息加密。部署防火墻設(shè)備，實現(xiàn)細粒度的網(wǎng)絡(luò)控制。 IP 地址和域名規(guī)劃 為保證業(yè)務(wù)應(yīng)用系統(tǒng)能夠在商密網(wǎng)上正常、穩(wěn)定地運行，需要對商密網(wǎng)使用的 IP地址和域名進行統(tǒng)一規(guī)劃。 建立一個統(tǒng)一的 VPN 虛地址網(wǎng)段，所有的服務(wù)提供均通過鏡像的虛地址提供服務(wù)，所有的接入網(wǎng)均通過分配好的虛地址連入到整個商密網(wǎng)。對商密網(wǎng)的訪問通過對虛地址的路由實現(xiàn)。 由于各企業(yè)的信息化建設(shè)水平不同，有的已經(jīng)有了非常成熟的應(yīng)用，更換 IP 地址和域名可能會對其現(xiàn)有的業(yè)務(wù)應(yīng)用系統(tǒng)產(chǎn)生較大的影響。因此， 采用以下 IP地址和域名管理辦法： 1） 確定一套完整的 IP 地址和域名規(guī)劃方案，包括廣域網(wǎng)通信平臺的 虛擬 網(wǎng)段及各企業(yè)接入網(wǎng)的 IP 地址分配 建議 方案。 2） 虛擬網(wǎng)段 的 IP 地址和域名按照 XXXX 規(guī)劃 方案統(tǒng)一配置。 3） 內(nèi)部辦公網(wǎng)段的 IP 地址和域名可以按照 XXXX 規(guī)劃方案配置，也可以采用目前正在使用中的 IP 地址和域名。 內(nèi)部辦公網(wǎng)段 IP 地址可以分為用于在商密網(wǎng)上進行相互溝通的共享 IP 地址和用于獲取商密網(wǎng)服務(wù)的企業(yè)內(nèi)部網(wǎng)絡(luò)地址。商密網(wǎng)建設(shè)規(guī)劃方案（初稿） 13 在 VPN 設(shè)備上對共享 IP 地址進行 NAT 映射，根據(jù)規(guī)定映射到規(guī)定中分配的虛擬網(wǎng)段中，對企業(yè)內(nèi)部網(wǎng)絡(luò)地址，則保持現(xiàn)狀，并建立到虛擬網(wǎng)段的路由，實現(xiàn)對整個商密網(wǎng)的訪問。 路由設(shè)計 本方案充分采用互聯(lián)網(wǎng)的路由功能，同時在中心建立多路由的負載均衡體系，通過域名轉(zhuǎn)換以及路由均衡實現(xiàn)網(wǎng)絡(luò)的多冗余設(shè)計。 通信平臺安全 通信 線路安全 通信線路安全是指商密網(wǎng)運行的物理通信線路的安全，要考慮線路的可用性和保密性。 由于物理線路的保護需要由電信商來實施，因此我們建議采取以下措施來加強通信線路的安全： 1） 采用冗余線路設(shè)計， 通過組合線路貸款或 租用備用的通信線路，提高網(wǎng)絡(luò)通信平臺的可用性。