【文章內(nèi)容簡介】 那些引發(fā)或可能引發(fā)本地小范圍破壞的安全問題應該就地解決，以避免加重整個政務網(wǎng)絡的安全風險。災難備份與恢復體系針對下面的這個個問題，通過建立災難備份與恢復體系來解決。1. 沒有建立數(shù)據(jù)備份與恢復制度；應該對備份的數(shù)據(jù)做恢復演練，保證備份數(shù)據(jù)的有效性和可用性，在出現(xiàn)數(shù)據(jù)故障的時候能夠及時的進行恢復操作。2. 目前市局與分局之間的政務內(nèi)網(wǎng)是租用天威的網(wǎng)絡而沒有其它的備用線路。萬一租用的天威網(wǎng)絡發(fā)生故障將可能導致市局與分局之間的政務內(nèi)網(wǎng)網(wǎng)絡中斷。為了保證深圳市政務網(wǎng)的正常運行，抵抗包括地震、火災、水災等自然災難， 以及戰(zhàn)爭、恐怖襲擊、網(wǎng)絡攻擊、設(shè)備系統(tǒng)故障和人為破壞等無法預料的突發(fā)事件造成的損害，因此應該建立一個災難備份與恢復體系。在這個體系里主要包括下面三個部分：政務內(nèi)網(wǎng)線路的冗余備份、主機服務器的系統(tǒng)備份與恢復、數(shù)據(jù)庫系統(tǒng)的備份與恢復。在上面策劃建立ISMS的過程中，我們提出了根據(jù)當前信息安全問題處理的解決方案，包括：216。 建立基礎(chǔ)保障體系216。 建立信息監(jiān)控與審計體系216。 建立應急服務體系216。 建立災難備份與恢復體系上述的四個安全體系將在這個階段進行實施。通過專業(yè)的安全評估來檢查信息安全問題是否得到了有效的管理。同時建立服務與保障體系來保障系統(tǒng)的正常運行。服務保障是指保護和防御信息及信息系統(tǒng)，確保其可用性、完整性、保密性、可控性、不可否認性等特性。服務保障體系則包括：風險評估、軟硬件升級、設(shè)備安全巡檢、設(shè)備日常維護等等。216。 根據(jù)安全事件處理經(jīng)驗教訓和安全風險評估的結(jié)果，對信息安全管理策略進行修改，對信息安全管理范圍進行調(diào)整。216。 總結(jié)從其它組織或組織自身的安全經(jīng)驗得到的教訓。216。 確保改進活動達到了預期的目的。安全風險長期存在，并不斷變化，這導致安全保障建設(shè)沒辦法一步到位。所以必須對安全保障建設(shè)分階段實施。工程實施的漸進性、逐步性，根據(jù)先后緩急，初步將安全實施計劃分為以下四個階段：第一階段：策劃建立ISMS 建立信息安全管理系統(tǒng) 建立安全管理組織并落實各個部門信息安全責任人 根據(jù)當前信息安全的問題制定解決方案第二階段：實施和運行ISMS 根據(jù)當前信息安全的問題解決方案進行安全實施，包括： 建立基礎(chǔ)保障體系 建立監(jiān)控審計體系 建立應急響應體系 建立災難備份與恢復體系第三階段：檢查監(jiān)視和評審ISMS 通過建立服務保障體系中的信息風險安全評估、設(shè)備巡檢等評審當前信息安全問題的處理情況第四階段：保持和改進ISMS 根據(jù)安全事件處理經(jīng)驗教訓和安全風險評估的結(jié)果，對信息安全管理策略進行修改，對信息安全管理范圍進行調(diào)整。第3章 分階段安全建設(shè)規(guī)劃傳統(tǒng)的安全設(shè)計理念基本上仍處于忙于封堵現(xiàn)有系統(tǒng)漏洞的階段，有人形象的稱之為“修修補補”或“圍、追、堵、截”，基于這樣的設(shè)計理念建成的安全體系只能是局部的、被動的安全，而無法提供整體的、主動的安全；同時也缺乏有效的管理和監(jiān)控手段，使得信息安全狀況令人擔憂，表現(xiàn)在病毒、蠕蟲層出不窮、系統(tǒng)漏洞眾多，另外經(jīng)過很多國際權(quán)威機構(gòu)的調(diào)查，內(nèi)部發(fā)生的安全事件占全部安全事件的70％甚至更多，比如內(nèi)部的誤用和嗅探、攻擊等濫用行為，都因為缺乏有效的監(jiān)控和管理而不能及時發(fā)現(xiàn)，也給網(wǎng)絡的安全帶來巨大挑戰(zhàn)；安全是一個整體，任何一部分的薄弱都會使得整體的安全防御能力大打折扣，不但使得組織重金建設(shè)的邊界安全防御體系失去作用，同時還會嚴重影響組織業(yè)務的正常運營，從經(jīng)濟、法律、聲譽等多方面對企業(yè)造成負面影響。新的安全形勢下需要新的思維和新的解決方案。安全是一個整體的、動態(tài)的過程，需要全面深入的考慮，那種頭痛醫(yī)頭、腳痛醫(yī)腳的方法已無法滿足用戶日益復雜的安全需求，要解決這些問題，歸根結(jié)底取決于信息安全保障體系的建設(shè)。“企業(yè)面對的是一個以信息為核心的世界”信息是企業(yè)的核心，規(guī)劃開始前，這一點必須要有清晰認識，我們可以從三個層面來看：216。 基礎(chǔ)架構(gòu)層面：包括終端、服務器、存儲、網(wǎng)絡在內(nèi)的基礎(chǔ)設(shè)施，乃至數(shù)據(jù)中心和容災中心，這些都是信息數(shù)據(jù)的產(chǎn)生、存儲、傳輸、處理的載體，圍繞信息處理和流轉(zhuǎn)所搭建的基礎(chǔ)設(shè)施，同時也是IT系統(tǒng)和管理人員為保證信息和數(shù)據(jù)的安全、可用的最基礎(chǔ)和重要的管理對象；216。 信息為核心層面：信息和數(shù)據(jù)是整個企業(yè)業(yè)務運行中最為核心的部分，所有的業(yè)務運轉(zhuǎn)都圍繞著信息而進行，而信息的保障、安全存儲流轉(zhuǎn)都是信息保護所關(guān)注的重點；216。 安全治理層面：為了保障信息的安全，不能僅僅停留在單獨建設(shè)的分散的安全上，最終安全的目標是要實現(xiàn)安全的治理，安全的目標則是為企業(yè)定制打造所需的技術(shù)運維、技術(shù)管理體系，幫助企業(yè)提升整體安全管理水平。 規(guī)劃原則IT管理的基礎(chǔ)、核心和重點內(nèi)容，應該有相應的信息安全建設(shè)和保障內(nèi)容與之配套，因此以信息為核心的IT管理視角，也同樣是當前進行信息安全規(guī)劃的出發(fā)點。為此，我們規(guī)劃企業(yè)的整體安全的時候，應遵循如下原則：216。 整體規(guī)劃，應對變化安全建設(shè)規(guī)劃要有相對完整和全面的框架結(jié)構(gòu)，能應對當前安全威脅的變化趨勢。216。 立足現(xiàn)有，提升能力在現(xiàn)有IT建設(shè)基礎(chǔ)上，完善安全基礎(chǔ)架構(gòu)建設(shè)，通過優(yōu)化和調(diào)整挖掘潛力，提升整體安全保障能力。216。 著眼信息，重點防范以安全治理為工作目標，著重提升安全整體水平，對目前企業(yè)和主管部門關(guān)注的，以及法律法規(guī)要求的內(nèi)容進行重點關(guān)注。 安全基礎(chǔ)框架設(shè)計明確了本次規(guī)劃的目標，我們就可以進一步確立一個針對企業(yè)信息安全建設(shè)的工作框架附圖1. 安全工作總體框架上述總體框架中，通過基礎(chǔ)架構(gòu)安全、信息安全、安全治理三個層次的工作內(nèi)容，來達成我們的總體規(guī)劃目標；通過技術(shù)、管理、運維三大支撐體系為支柱，實現(xiàn)企業(yè)在安全體系建設(shè)、法規(guī)遵從與落實、安全風險管控和安全高效管理四個信息安全主體目標的不斷治理和改善。第4章 初期規(guī)劃 建設(shè)目標216。 建立信息安全管理體系216。 建立安全管理組織并落實各個部門信息安全責任人216。 根據(jù)當前信息安全的問題制定解決方案 建立信息安全管理體系信息安全管理系統(tǒng)的規(guī)范，詳細說明了建立、實施和維護信息安全管理系統(tǒng)（ISMS）的要求，指出實施組織需遵循某一風險評估來鑒定最適宜的控制對象，并對自己的需求采取適當?shù)目刂?。下面將介紹應該如何建立信息安全管理體系的步驟，如下圖所示：圖1 建立信息安全管理體系的步驟1)定義信息安全策略 信息安全策略是組織信息安全的最高方針，需要根據(jù)內(nèi)各個部門的實際情況，分別制訂不同的信息安全策略。例如，開發(fā)部、數(shù)據(jù)部、系統(tǒng)都分別有一個信息安全策略，適用于其部門內(nèi)所有員工。信息安全策略應該簡單明了、通俗易懂，并形成書面文件，發(fā)給內(nèi)的所有成員。同時要對所有相關(guān)員工進行信息安全策略的培訓，對信息安全負有特殊責任的人員要進行特殊的培訓，以使信息安全方針真正植根于內(nèi)所有員工的腦海并落實到實際工作中。 在安全管理文檔的制定中，我們對如下的文檔進行了定義：《安全管理文檔業(yè)務系統(tǒng)軟件安全技術(shù)標準》《安全管理文檔網(wǎng)絡信息發(fā)布制度》《安全管理文檔通用網(wǎng)絡服務安全標準》《安全管理文檔網(wǎng)絡連接策略和標準》《安全管理文檔郵件系統(tǒng)安全管理標準》《安全管理文檔用戶單位用戶帳號和口令管理規(guī)程》《安全管理文檔信息管理人員的安全手冊》《安全管理文檔用戶單位信息系統(tǒng)安全策略》《安全管理文檔機房管理制度》《安全管理文檔系統(tǒng)管理員手冊》《安全管理文檔安全事件處理流程》《安全管理文檔病毒防治管理規(guī)定》《安全管理文檔網(wǎng)絡管理員手冊》《安全管理文檔備份和恢復管理制度》(2)定義ISMS（信息安全管理系統(tǒng)）的范圍ISMS（信息安全管理系統(tǒng)）的范圍確定需要重點進行信息安全管理的領(lǐng)域，需要根據(jù)自己的實際情況，在整個范圍內(nèi)、或者在個別部門或領(lǐng)域構(gòu)架ISMS。在本階段，應將劃分成不同的信息安全控制領(lǐng)域，以易于對有不同需求的領(lǐng)域進行適當?shù)男畔踩芾怼?3)進行信息安全風險評估信息安全風險評估的復雜程度將取決于風險的復雜程度和受保護資產(chǎn)的敏感程度，所采用的評估措施應該與組織對信息資產(chǎn)風險的保護需求相一致。風險評估主要對ISMS范圍內(nèi)的信息資產(chǎn)進行鑒定和估價，然后對信息資產(chǎn)面對的各種威脅和脆弱性進行評估，同時對已存在的或規(guī)劃的安全管制措施進行鑒定。風險評估主要依賴于信息和系統(tǒng)的性質(zhì)、使用信息的目的、所采用的系統(tǒng)環(huán)境等因素，在進行信息資產(chǎn)風險評估時，需要將直接后果和潛在后果一并考慮。(4)信息安全風險管理根據(jù)風險評估的結(jié)果進行相應的風險管理。信息安全風險管理主要包括以下幾種措施：降低風險：在考慮轉(zhuǎn)嫁風險前，應首先考慮采取措施降低風險；避免風險：有些風險很容易避免，例如通過采用不同的技術(shù)、更改操作流程、采用簡單的技術(shù)措施等；轉(zhuǎn)嫁風險：通常只有當風險不能被降低或避免、且被第三方（被轉(zhuǎn)嫁方）接受時才被采用。一般用于那些低概率、但一旦風險發(fā)生時會對產(chǎn)生重大影響的風