【文章內容簡介】 ISO 27001:20xx 已經成為世界上應用最廣泛與典型的信息安全管理標準。 目前國家已經等同采用該國際標準成為國家標準《信息技術 安全技術 信息安全管理體系要求》（ GB/T 2208020xx）。它 詳細說明了建立、實施和維護信息安全管理體系的要求，指出實施機構應該遵循的風險評估標準。 ? 《 信息技術 安全技術 信息安全管理實用規(guī)則》 （ ISO/IEC 27002:20xx） 信息安全管理使用規(guī)則 ISO27002:20xx 綜合了信息安全管理方面優(yōu)秀的控制措施，為組織在信息安全方面提供建議性指南 。目前我國已經等同采用了 ISO 27002:20xx 國際標準，成為了國家標準《信息技術 安全技術 信息安全管理實用規(guī)則》（ GB/T 2208120xx）。 在本項目中，對于內網終端安全管理體系的設計與建設，也應遵循和參考上述兩個信息安全管理體系的實踐和要求。 ? 《江蘇省地方稅務系統(tǒng)工作人員信息安全手冊》 該手冊結合江蘇地稅工作實際，立足地稅干部的日常應用，從增強全員信息安全意識出發(fā)， 提出了“ 四禁止”、“三不準”、“三必須”的要求。通過強化技術手段，安裝內網外聯(lián)監(jiān)控、外網內聯(lián)監(jiān)控等等系統(tǒng)來提高稅務系統(tǒng)技術防護能力。 ? 其它有關法律法規(guī)和規(guī)范制度要求 13 4 項目建設原則 對于本項目， 面對 數萬臺計算機終端這一個 龐大、復雜的 內網終端安全管理系統(tǒng)建設，構建穩(wěn)固、完整的技術 防護和管理 平臺是實現(xiàn)信息系統(tǒng)安全、穩(wěn)定運行的關鍵，而這也是設計的難點。 因此，在設計和建設本項目時，應該首先 以保證應用系統(tǒng)安全運行為前提 ，確保系統(tǒng)自身的 安全可靠性和安全管理提升的可持續(xù)性， 遵循一體化建設原則 。此外， 本系統(tǒng)還將主要遵循統(tǒng)一規(guī) 劃、分步實施、立足現(xiàn)狀、節(jié)省投資、科學規(guī)范、嚴謹管理的原則進行安全體系的整體設計和實施，并要充分考慮到合規(guī)性、系統(tǒng)化、完整性、可擴展性等 。 合規(guī)性原則 任何行業(yè)信息系統(tǒng)的安全建設除了滿足自身行業(yè)信息化和行業(yè)運營的發(fā)展之外，也必須按照國家、行業(yè)的相關法律法規(guī)的要求下進行。因此，對于本項目，必須在國家相關法律法規(guī)的要求下進行，而且必須合規(guī)、合法，不能偏離國家、行業(yè)相關法律法規(guī)和安全標準。 安全風險與建設投入平衡原則 任何網絡的絕對安全都是難以達到的?也不一定是必要的，必須考慮安全需求、安全風險與安全建設代 價之間的平衡。對于本系統(tǒng)而言，要進行實際的研究，并對網絡面臨的威脅及可能承擔的風險進行分析?然后確定本系統(tǒng)的安全策略。 綜合性、整體性原則 應運用系統(tǒng)工程的觀點、方法、分析網絡的安全及具體的措施。安全措施可以包括：行政法律手段、各種管理制度 (人員審查、工作流等 )以及專業(yè)技術措施。14 一個較好的安全措施往往是多種方法適當綜合的應用結果。 總之，不同的安全措施的代價、效果對不同的網絡并不完全相同。在本項目中，應根據確定的安全策略制定出合理的內網終端安全防護設計體系結構和內網終端安全管理體系建設結構。 一致性原則 一致性原則是指網絡安全問題應存在于整個網絡的工作周期?必須與終端安全管理的需求相一致?系統(tǒng)設計及實施計劃、網絡驗證、驗收、運行等?都要滿足安全管理的內容及措施。 因此，在本項目建設的初期就要考慮相應的內網終端安全管理體系對策，不僅較為容易地進行內網終端安全設計與建設，而且也會節(jié)省項目建設成本。 易操作性原則 任何 安全措施需要人為去完成，如果措施過于復雜，對人 員 的要求過高，本身就降低了安全性。 因此，對于本系統(tǒng)的設計與建設必須圍繞符合易于操作、易于使用、易于管理和易于維護的“四易”原則。 無縫接入 原則 安全 系統(tǒng) 的 部署 、運行 和應用 應不改變 現(xiàn)有 網絡的拓撲結構，對網絡內的用戶應是透明的，不可見的 。 同時，安全 系統(tǒng) 的運行應該不會對網絡傳輸造成通信“ 瓶頸 ” 和對其他應用產生影響 。 因此，本系統(tǒng)中涉及的安全技術和產品應盡量遵循無縫接入原則，不應輕易改變網絡結構和業(yè)務系統(tǒng)的配置。 系統(tǒng)的各個基礎功能模塊應盡可能地實現(xiàn)可選擇性地獨立應用。 保護原有投資的原則 在進行本項目內網終端安全體系建設時，應充分考慮原有的安全投資，要充分利用系統(tǒng)中已有的建設基礎，然后進行相應的體系設計與建設。 15 綜合治理 原則 在本項目中，內網終端系統(tǒng) 的安全 保護 同樣也絕不僅僅是一個技術問題，各種安全技術應該與運行管理機制、人員的思想教育與技術培訓、安全法律法規(guī)建設相結合，從社會系統(tǒng)工程的角度綜合考慮。 16 5 項目建設預期效果 預期效果 通過在全省全行業(yè)內網中部署內網終端安全管理系統(tǒng)，將構建出一個完整的覆蓋至全省全行業(yè)（省局－地市，含區(qū)縣）辦公內網的內網終端安全管理體系。建立全新的內網終端安全管理理念，構建一個可集中管理的內網終端安全管理平臺，保證行業(yè)內網終端的安全性。示例如下： ? 對目前行業(yè)內存在的所有安全風險做到可知、可管和可控，從內網終端的狀態(tài)、行為、事件三個方 面進行防御。在加強安全管理的同時，提供安全預警機制，針對所有安全事件采集出的數據進行統(tǒng)計分析，并按照不同的安全等級，加以預警，形成安全規(guī)范－行為管理－行為分析－安全預警－安全規(guī)范一整套的管理流程；將在內網終端安全管理過程中遇到的問題進行積累，并吸收歸納形成經驗庫，在全省，直至全行業(yè)進行推廣和應用。 ? 通過統(tǒng)一實施部署內網終端安全管理系統(tǒng)，江蘇全省地稅行業(yè)內網將在風險事件管理、終端安全加固、終端安全管理三個方面實現(xiàn)全面的安全防護，杜絕各類安全事件的發(fā)生。對系統(tǒng)審計的信息通過統(tǒng)一的管理平臺能夠進行展示、統(tǒng)計、分析 ，并根據不同的風險等級加以歸類，以供管理員評估當前內網的風險態(tài)勢。 ? 對于重要風險優(yōu)先進行解決，能從源頭上對所有風險進行識別和防范，即使不能完全避免某些風險，也應當能夠主動管控的方式降低這些風險的級別、減少風險發(fā)生的次數。 ? 通過終端安全防護平臺對終端的系統(tǒng)自身類、基礎管理類、運行安全管理類及信息安全管理類的功能進行控制，而在終端安全管理平臺上對安全防護平臺處理的審計信息和報警記錄進行各種所需的匯總展示、歷史分析，并通過各種技術展現(xiàn)方式將這些信息進行推送服務。 最終，通過終端安全管理平臺所展示的信息能夠根據風險 級別進行分類展17 現(xiàn)，危險級別高的信息將在最前端提醒管理員及時處理，對于所有的風險的處理都能產生記錄，具體如處理管理員名、處理時間、是否處理等信息都能夠清晰可見。 尚存隱患 本次項目的要求本著從全方位的角度對整個行業(yè)內網終端安全管理存在的問題進行設計和構架，盡量解決考慮到的所有風險，但并不能代表完全杜絕安全隱患必須明確說明，及時提供相關信息和處理建議。 18 6 現(xiàn)有產品功能要求 本項目中的招標產品是需要各廠商基于現(xiàn)有產品基礎上經過二次開發(fā)進行功能完善，因此要求各廠商現(xiàn)有產品應具備以下列舉功能 ， 并要求在投標現(xiàn)場進行演 示 。 以下內容必須提供可完整說明現(xiàn)有產品的總體設計及實現(xiàn)功能的相關文檔資料。 序號 功能分類 功能名稱 對現(xiàn)有產品功能的具體要求 現(xiàn)有產品具備的功能 滿足情況 說明 1 準入控制 未授權終端準入管理 系統(tǒng)能發(fā)現(xiàn)并阻止未授權終端接入內網；允許未授權終端進入訪客區(qū)，只能使用有限的網絡資源。 2 授權未注冊終端強制安裝客戶端程序管理 未通過準入認證的授權終端能自動進入待安裝客戶端程序的區(qū)域，在該區(qū)域內系統(tǒng)能夠強制其安裝系統(tǒng)的客戶端程序。 3 授權已注冊終端準入管理 已授權的終端能夠自動進 行準入認證，通過認證后接入內網，接受系統(tǒng)的管控。 4 授權已注冊終端安全檢測管理 系統(tǒng)能對已接入內網的終端進行安全檢測，包括檢測系統(tǒng)漏洞、殺毒軟件病毒庫版本、木馬檢測等，對不符合安全檢測標準的終端能及時隔離其與內網的連接，終端自動轉入修復區(qū)進行相應的安全修復。 5 準入系統(tǒng)實施部署適應性 準入系統(tǒng)能在多種網絡環(huán)境中部署實施，包括在網絡設備全部或部分支持 協(xié)議的環(huán)境下都能實現(xiàn)對單個終端的準入控制功能。 用戶準入控制 根據不同的用戶類型進入不同的訪問區(qū)域；準入用戶可自行 注銷登錄，長時間無操作應強制注銷登錄 快速撤消 具備在緊急情況下快速撤銷 19 或恢復準入控制 或恢復本地網絡準入控制功能，確保網絡或系統(tǒng)在遭遇嚴重故障時，保障正常工作不受影響。 分級認證和雙機熱備 認證服務器設置雙機熱備，在緊急情況下由上級認證服務器進行認證 6 桌面管理 黑白名單管理 系統(tǒng)能夠自定義終端上禁止或只允許運行的進程、軟件的名單。 7 違規(guī)外聯(lián)管理 系統(tǒng)能及時發(fā)現(xiàn)終端在任何情況 意環(huán)境 下違規(guī)接入除內網以外其他任意網絡的行為，并能對違規(guī)行為進行取證，同時能及時阻斷其 與違規(guī)網絡的連接。 8 進程管理 系統(tǒng)能監(jiān)控終端進程運行的情況，自動禁止非法進程、強制運行必須運行的進程，并能對終端的違規(guī)行為進行審計。 9 終端服務管理 系統(tǒng)能自動監(jiān)控終端的服務運行情況，自動禁用違規(guī)服務、強制啟用必須開啟的服務等，并能對違規(guī)行為進行審計。 10 軟件管理 系統(tǒng)能對終端安裝的軟件情況進行統(tǒng)計和監(jiān)控，自動統(tǒng)計終端安裝的各類軟件，通過黑白名單對應用軟件進行管控。 11 外設端口管理 系統(tǒng)能對終端外設及各類硬件接口進行管理，禁用違規(guī)外設端口，強制啟用必須開 啟的外設端口等。 12 終端流量管理 系統(tǒng)能夠對終端流量進行管理，統(tǒng)計流量異常的終端，并能控制終端流量。 13 安全策略及注冊表項管理 系統(tǒng)能夠監(jiān)控終端的本地安全策略管理及對注冊表項、鍵的各類操作，同時對于一些重要或敏感的注冊表項、鍵值具有保護功能。 14 終端安全管理查詢統(tǒng)計 系統(tǒng)的管理端能夠及時查詢終端實時的各類信息，包括運行的進程、服務開啟禁用情 20 況、終端各類日志情況、運行資源等，并能根據需要及時管控終端。 桌面行為審計 對終端的各類行為進行審計 終 端發(fā)現(xiàn) 可以在短時間內發(fā)現(xiàn)私接入網的設備 ,不論此設備是否安裝防火墻或安裝準入軟件 15 資產管理 硬件資產統(tǒng)計 系統(tǒng)能自動采集終端的硬件信息，并能統(tǒng)計所有終端的硬件資產信息。 16 硬件資產變更管理 系統(tǒng)能及時發(fā)現(xiàn)并審計終端的硬件變更信息。 17 軟件資產統(tǒng)計 系統(tǒng)能自動采集終端的軟件信息，并能統(tǒng)計所有終端的軟件資產信息。 18 軟件資產變化管理 系統(tǒng)能及時發(fā)現(xiàn)并審計終端的軟件變更信息。 漏洞掃描及補丁管理 漏洞掃描 對終端進行漏洞掃描，發(fā)現(xiàn)系 統(tǒng)漏洞 19 補丁自動分發(fā) 能夠自動檢測終端已安裝和未安裝補丁，針對未安裝補丁終端能夠自動分發(fā)并安裝。補丁下載和安裝要求支持前臺和后臺的選擇。根據補丁的重要性強制安裝補丁和選擇性安裝補丁。 20 補丁手動分發(fā) 能夠對單個或多個補丁進行選擇性的分發(fā)。補丁下載和安裝要求支持前臺和后臺的選擇。 21 補丁導入 能夠支持補丁增量更新導入 22 補丁測試 能夠對下載的補丁首先進行完整性和安全性測試，再進行大范圍分發(fā)。 23 已安裝補丁統(tǒng)計 能夠統(tǒng)計各個終端已安裝哪些補丁及安裝補丁數。 24 未安裝補丁統(tǒng)計 能夠統(tǒng)計各個終端未安裝哪些補丁及未安裝補丁數。 25 補丁安全級別統(tǒng)計 能夠對于已安裝補丁和未安裝補丁的終端按照補丁的重要性級別進行百分比統(tǒng)計。 26 移動存儲管理 移動存儲介質登記 對每一個在內網中使用的存儲介質必須進行登記和認證， 21 及認證 并進行認證控制 移動存儲介質控制 能夠對移動存儲介質的使用方式進行控制（禁止、只讀、讀寫）。 27 移動存儲介質接入控制（授權） 授權的移動存儲介質不能在非授權終端或非授權區(qū)域使用。 28 移動存儲介質接入控制（非授權） 非授權移動存儲介質不能在授權終端或授權區(qū)域內使用。 29 移動存儲介質分級管理 能夠實現(xiàn)分級權限控制，對移動存儲介質進行分區(qū)管理 30 移動存儲介質操作統(tǒng)計 能夠對所有類型的移動存儲介質在終端上所有操作進行審計，包括接入、拔出。 31 移動存儲介質授權審計 能夠對移動存儲介質的授權過程進行審計。 32 統(tǒng)計報表 能夠生成詳細的報表，支持報 表的導出。 33 文檔加密管理 電子文檔使用權限控制 能夠對電子文檔使用時的讀