【導(dǎo)讀】信息安全保障體系總體方案

　　

【正文】 理措施，提供在政府部門的強(qiáng)制監(jiān)督和檢查下，信息系統(tǒng)主管部門和運(yùn)營使用單位，按照國家標(biāo)準(zhǔn)和安全需求，嚴(yán)格落實各頂保護(hù)措施，對國家重要部門的專用信息系統(tǒng)，政府機(jī)關(guān)重要信息系統(tǒng)等，進(jìn)行強(qiáng)制安全保護(hù)。既保護(hù)系統(tǒng)的安全，又保護(hù)信息的安全。在第三級的安全基礎(chǔ)上，要求將自主訪問控制和強(qiáng)制訪問控制，擴(kuò)展到了系統(tǒng)的所有主體客體，從整體上對信息系統(tǒng)進(jìn)行強(qiáng)制性安全保護(hù)，包括對在網(wǎng)絡(luò)系統(tǒng)中傳輸?shù)男畔⒑蛷倪吔巛斎胼敵鰯?shù)據(jù)的控制，相應(yīng)的其他安全要求，比如數(shù)據(jù)存儲保護(hù)和傳輸保護(hù)， 也應(yīng)有所增強(qiáng)，對于用戶初始登陸和鑒別，通過安全子系統(tǒng)提供的與登陸的用戶之間的可信路徑來完成，本級強(qiáng)調(diào)通過結(jié)構(gòu)化設(shè)計方法，使其所具有的安全功能具有更高的安全強(qiáng)度，使設(shè)計與實現(xiàn)能夠更充分的測試更完整的復(fù)審，使系統(tǒng)具有相當(dāng)?shù)目節(jié)B透能力，并通過對隱蔽信道的 16 分析等安全措施，增強(qiáng)系統(tǒng)的安全性，在系統(tǒng)安全方面，要求有更高程度的系統(tǒng)安全性運(yùn)行的支持，以便提供所需要的系統(tǒng)服務(wù)。在信息安全方面，對數(shù)據(jù)信息和系統(tǒng)信息的保密性、完整性、可用性、可控性和不可否認(rèn)性等方面均有更高的要求。需要有更高強(qiáng)度的密碼系統(tǒng)支持的保密性、完整性和抗 抵賴性，在安全性保證方面，要求安全機(jī)制具有更高的自身安全防護(hù)，保護(hù)，安全的設(shè)計實現(xiàn)與管理。在安全管理方面，要求具有嚴(yán)格的安全管理措施，設(shè)置安全管理中心，建立必要的安全管理機(jī)構(gòu)，按要求配備各類管理人員，健全各項安全管理的規(guī)章制度，對各類人員進(jìn)行不同層次要求的安全培訓(xùn)等等，從而確保系統(tǒng)所設(shè)置的各種安全功能發(fā)揮其應(yīng)有的作用，對于某些從技術(shù)上，還不能實現(xiàn)的安全要求，通過增強(qiáng)安全管理的方法，或通過物理隔離的方法來實現(xiàn)。 第五級：?？乇Ｗo(hù)級 遭受破壞后，會對國家安全和利益造成特別嚴(yán)重?fù)p壞的信息系統(tǒng)。 由信息系統(tǒng)的主管部 門和主管部門或所有者，根據(jù)安全需求，對信息系統(tǒng)進(jìn)行專門控制和保護(hù)措施。由政府職能部門予以協(xié)助。主要適用于國家最重要核心部門的專用信息系統(tǒng)。 要求從組成信息系統(tǒng)的硬件、操作系統(tǒng)、網(wǎng)絡(luò)和數(shù)據(jù)庫管理系統(tǒng)等層面，采取技術(shù)和管理措施，提供在政府職能部門的協(xié)助下根據(jù)信息系統(tǒng)的主管部門和使用單位的安全需求，對國家最重要核心部門的專用信息系統(tǒng)進(jìn)行?？匦缘陌踩Ｗo(hù)，既保護(hù)系統(tǒng)的安全性又保護(hù)信息的安全性。在第四級的安全基礎(chǔ)上，提出了可信恢復(fù)的要求，以及要求用戶在登陸時建立它與用戶之間的可信路徑，并在邏輯上與其它通信路徑相隔離，本 級重點強(qiáng)調(diào)的是訪問監(jiān)控器的本身可驗證性，要求訪問監(jiān)控器仲裁主體對客體的所有訪問，要求訪問監(jiān)控器本身是抗纂改的，而且必須足夠有效，能夠分析和測試，并從系統(tǒng)工程角度將其復(fù)雜性降低到最小程度。在系統(tǒng)安全方面，要求有最高程度的系統(tǒng)安全運(yùn)行知識，以便提供所需要的系統(tǒng)服務(wù)。在信息安全方面，對數(shù)據(jù)信息和系統(tǒng)信息的保密性、完整性、可用性、可控性和不可否認(rèn)性等方面具有最高的要求，需要有最高強(qiáng)度的密碼系統(tǒng)支持的保密性、完整性和抗抵賴性機(jī)制，在安全性保證方面，要求安全機(jī)制具有最高的自身安全性防護(hù)，安全的設(shè)計、實現(xiàn)與管理。在安全管 理方面，要求具有最嚴(yán)格的安全管理措施，設(shè)置安全管理中心，建立必要的安全管理機(jī)構(gòu)，按照要求 17 配備各類管理人員，健全各項安全管理的規(guī)章制度，對各類人員進(jìn)行不同層次要求的安全培訓(xùn)而且是強(qiáng)化培訓(xùn)，從而確保系統(tǒng)所設(shè)置的各種安全功能發(fā)揮其應(yīng)有的作用，對于某些從技術(shù)上，還不能實現(xiàn)的安全要求，通過增強(qiáng)安全管理的方法，或者通過物理隔離的方法加以實現(xiàn)。 安全等級的劃分 針對用戶各信息系統(tǒng)已制定的安全級別，在設(shè)計相應(yīng)的保障 系統(tǒng) 時，嚴(yán)格遵守標(biāo)準(zhǔn)性原則，總體上遵守 GB 17859 和 GA/T 390。對物理安全，遵守 GA/T 390；對操作系統(tǒng)安全，遵守 GA/T 388；對數(shù)據(jù)庫安全，遵守 GA/T 389；對網(wǎng)絡(luò)安全遵守 GA/T 387；對管理安全遵守 GA/T 391；對渉密系統(tǒng)安全遵守《涉及國家秘密的計算機(jī)信息系統(tǒng)保密技術(shù)要求》和《涉及國家秘密的計算機(jī)信息系統(tǒng)安全保密方案設(shè)計指南》；信息系統(tǒng)內(nèi)的 IT 產(chǎn)品認(rèn)證要求，原則上如下表所示： 安全級別 產(chǎn)品認(rèn)證級別 自主保護(hù) 不低于 EAL2 指導(dǎo)保護(hù) 不低于 EAL3 監(jiān)督保護(hù) 不低于 EAL4 強(qiáng)制保護(hù) 不低于 EAL5 專控保護(hù) 不低于 EAL6 安全技 術(shù)保障的等級化 安全技術(shù)保障，是高技術(shù)的對抗。“道高一尺，魔高一丈”，隨著信息安全研究的深入發(fā)展，各種新的威脅層出不窮，要解決這些新的安全威脅，就需要更完善的安全技術(shù)。技術(shù)保障體系注重信息系統(tǒng)執(zhí)行的安全控制。技術(shù)控制針對未授權(quán)的訪問或誤用提供自動保護(hù)，發(fā)現(xiàn)違背安全策略的行為，并滿足應(yīng)用程序和數(shù)據(jù)的安全需求。 安全技術(shù)保障主要包括身份識別和驗證，邏輯訪問控制、審計跟蹤和密碼 18 機(jī)制等。身份識別與驗證防止未授權(quán)的人（或未授權(quán)程序）進(jìn)入信息技術(shù)系統(tǒng)。訪問控制要求系統(tǒng)能鑒別和區(qū)分不同的用戶。邏輯訪問控制是基于系統(tǒng)的機(jī)制 ，用于指定誰或者什么可以訪問特定的系統(tǒng)資源、允許的處理和功能。審計跟蹤通過應(yīng)用程序和使用者的操作情況保留了系統(tǒng)操作的記錄。與適當(dāng)?shù)墓ぞ吆统绦蚪Y(jié)合，審計跟蹤可以提供完善的統(tǒng)計信息，這種方法可以重構(gòu)事件、察覺入侵、發(fā)現(xiàn)問題。 1 級保障體系： ? 確保每個用戶都通過口令或設(shè)備來認(rèn)證 ? 建立用戶權(quán)限表 ? 對系統(tǒng)中的默認(rèn)口令進(jìn)行更改 ? 采用程序保證口令策略的執(zhí)行 ? 完善邏輯訪問控制 ? 完善系統(tǒng)訪問控制機(jī)制 ? 對系統(tǒng)內(nèi)重要服務(wù)器進(jìn)行評估、加固。 ? 完善網(wǎng)絡(luò)訪問控制 ? 對網(wǎng)絡(luò)設(shè)備進(jìn)行評估、加固 ? 限制不安全的協(xié)議的使用 ? 如果有接入服務(wù)器，監(jiān) 視其撥入連接 ? 部署 /合理調(diào)整防火墻或安全網(wǎng)關(guān) ? 對防火墻或安全網(wǎng)關(guān)的檢測規(guī)則進(jìn)行評估優(yōu)化 2 級保障體系： 包括 1 級保障體系的所有過程，另外包括： ? 建立審計跟蹤機(jī)制 ? 加強(qiáng)針對審計數(shù)據(jù)的訪問控制 ? 使用網(wǎng)絡(luò)入侵檢測 /防御產(chǎn)品 ? 重要服務(wù)器使用主機(jī)入侵檢測 /防御產(chǎn)品保護(hù) 19 ? 使其支持用戶行為回溯 ? 對口令制度和更改周期做強(qiáng)制要求 ? 建立安全的口令分發(fā)機(jī)制 ? 使用安全的協(xié)議 /算法進(jìn)行口令的傳輸和存儲 ? 部署系統(tǒng)日志服務(wù)器（或日志中心） ? 建立 /完善傳輸敏感數(shù)據(jù)的強(qiáng)加密措施 ? 建立 /完善安全的加密傳輸通道（ VPN等） ? 采取技術(shù)手段保障 便攜式計算機(jī)的安全接入 3 級保障體系： 包括 2 級保障體系的所有過程，另外包括： ? 建立 CA中心 ? 建立數(shù)字簽名機(jī)制 ? 建立密鑰生成、分發(fā)、存儲、使用、銷毀、歸檔的流程 ? 使用技術(shù)手段實現(xiàn)強(qiáng)制訪問控制 ? 使用技術(shù)手段實現(xiàn)特權(quán)分離 ? 使用技術(shù)手段實現(xiàn)安全事件統(tǒng)一管理 ? 部署網(wǎng)絡(luò)取證設(shè)備 /記錄設(shè)備 4 級保障體系： 包括 3 級保障體系的所有過程，另外： ? 必要的物理隔離 ? 防電磁泄漏設(shè)施 5 級保障體系： 包括 4 級保障體系的所有過程 20 安全組織保障的等級化 組織保障主要著眼于信息技術(shù)系統(tǒng)以及信息技術(shù)系統(tǒng)的安全風(fēng)險管理，通常是管理層強(qiáng)調(diào)的必須關(guān)注的管理措施、技巧、方法和程序。 科學(xué)的管理是使安全技術(shù)、安全策略轉(zhuǎn)化為安全保障能力的必要條件。“三分技術(shù)、七分管理”，可以從一個側(cè)面看到安全組織管理的重要性。統(tǒng)計表明，由于組織管理方面出現(xiàn)問題而導(dǎo)致的風(fēng)險，其數(shù)量遠(yuǎn)多于、危害遠(yuǎn)大于由于技術(shù)方面出現(xiàn)問題而導(dǎo)致的風(fēng)險。 組織保障主要包括風(fēng)險管理、安全控制核查、安全意識、教育和培訓(xùn)等。風(fēng)險管理是指對安全風(fēng)險進(jìn)行評估，采取措施降低風(fēng)險至可接受的水平，并努力將風(fēng)險維持在可接受水平的過程。人是保證計算機(jī)系統(tǒng)和有價值的信息資源的安全性的至關(guān)重要的因 素。安全意識、教育和培訓(xùn)通過提高保護(hù)系統(tǒng)資源的意識來增強(qiáng)系統(tǒng)安全性。另外，培訓(xùn)的技巧和知識可使系統(tǒng)用戶更安全的完成他們的工作且掌握深層次的知識。 1 級保障體系： ? 建立定期風(fēng)險評估制度 ? 建立威脅源列表 ? 維護(hù)脆弱性列表 ? 建立風(fēng)險信息庫 ? 明確可接受的安全級別 ? 進(jìn)行業(yè)務(wù)風(fēng)險分析 ? 研究系統(tǒng)可接受的風(fēng)險水平 ? 基本的安全教育、培訓(xùn)，保證系統(tǒng)用戶有基本的安全技術(shù)能力和意識 2 級保障體系： 包括 1 級保障體系的所有過程，另外： 21 ? 建立安全控制核查機(jī)制 ? 建立周期性網(wǎng)絡(luò)脆弱性掃描機(jī)制 ? 建立關(guān)鍵服務(wù)器周期性脆弱性掃描機(jī)制 ? 建立周 期性網(wǎng)絡(luò)設(shè)備策略分析機(jī)制 ? 建立周期性滲透測試分析機(jī)制 ? 常規(guī)的安全教育、培訓(xùn)，保證系統(tǒng)用戶有良好的安全技術(shù)能力和意識 ? 系統(tǒng)用戶應(yīng)通過一定的安全資質(zhì)認(rèn)證 3 級保障體系： 包括 2 級保障體系的所有過程，另外： ? 使用組織手段實現(xiàn)強(qiáng)制訪問控制，特權(quán)分離 ? 完善的安全教育、培訓(xùn)，保證系統(tǒng)用戶有非常強(qiáng)的安全技術(shù)能力和安全意識 ? 系統(tǒng)用戶應(yīng)通過嚴(yán)格的安全資質(zhì)認(rèn)證（例如 CISO、 CISE等） ? 建立專門的信息系統(tǒng)安全管理機(jī)構(gòu) 4 級保障體系： 包括 3 級保障體系的所有過程，另外： ? 強(qiáng)化管理，彌補(bǔ)技術(shù)保障和策略保障的不足 ? 強(qiáng)化安全 教育、培訓(xùn) 5 級保障體系： 包括 4 級保障體系的所有過程，另外： 使安全意識融入組織文化 22 安全運(yùn)行保障的等級化 安全運(yùn)作保障體系是維持信息系統(tǒng)正常運(yùn)作的保障措施。安全運(yùn)作保障體系主要集中在基礎(chǔ)應(yīng)用過程和人員（與系統(tǒng)相對而言）的操作執(zhí)行，用于增強(qiáng)信息系統(tǒng)的安全性，要求技術(shù)專家的支持，并且依賴安全策略和管理行為來實現(xiàn)。 安全運(yùn)行保障主要包括物理安全、環(huán)境安全、輸入輸出控制、軟硬件維護(hù)、數(shù)據(jù)完整性、緊急響應(yīng)能力等。 物理安全和環(huán)境安全防范與物理環(huán)境相關(guān)的威脅，保護(hù)系統(tǒng)、建筑以及相關(guān)的基礎(chǔ)構(gòu)造。輸入輸出 控制包括從用戶支持部門到存儲、處理和銷毀媒質(zhì)等等。為了保證系統(tǒng)功能如預(yù)期的一樣，實施針對安裝、升級軟硬件的控制。數(shù)據(jù)完整性控制被用來保護(hù)數(shù)據(jù)避免遭受有意或無意的破壞并保證系統(tǒng)信息的特性和完整性達(dá)到期望。緊急響應(yīng)指系統(tǒng)對緊急事件的處理、恢復(fù)能力。 1 級保障體系： ? 實施物理安全控制，使用警衛(wèi)、標(biāo)志牌、訪問令牌、生物識別等訪問控制設(shè)備 ? 部署 UPS ? 部署防火機(jī)制，編寫防火指南 ? 部署 /完善殺毒軟件（網(wǎng)絡(luò)防毒、主機(jī)防毒、郵件病毒網(wǎng)關(guān)等等） ? 建立病毒庫定期升級機(jī)制 ? 采取措施保證病毒掃描自動進(jìn)行、及時進(jìn)行 2 級保障體系 ： 包括 1 級保障體系的所有過程，另外： ? 部署備用發(fā)電機(jī) ? 建立敏感媒質(zhì)授權(quán)訪問機(jī)制 ? 實施針對移動和便攜系統(tǒng)的保護(hù) ? 建立對已打印出的信息的保護(hù)機(jī)制 ? 限制對系統(tǒng)軟硬件的訪問 23 ? 對系統(tǒng)內(nèi)人員使用的程序進(jìn)行限制和控制 ? 啟用系統(tǒng)內(nèi)操作系統(tǒng)的安全性機(jī)制 ? 建立軟件升級機(jī)制，保證系統(tǒng)內(nèi)軟件是最新的，不含有已公開的不可接受的脆弱性 ? 建立更換軟件的申請、批準(zhǔn)流程 ? 建立軟件分發(fā)流程 ? 建立版本控制系統(tǒng) ? 實施措施保證軟件和系統(tǒng)只向外提供必要的功能 ? 建立軟件補(bǔ)丁管理機(jī)制 ? 建立備份、恢復(fù)流程 ? 采取措施保證數(shù)據(jù)完整性和確認(rèn)性 ? 采用完整性校驗 工具保障系統(tǒng)數(shù)據(jù)完整性 ? 部署網(wǎng)絡(luò)（系統(tǒng)）監(jiān)控系統(tǒng) ? 建立緊急響應(yīng)流程 ? 獲得專業(yè)的安全事件緊急響應(yīng)隊伍的支持 ? 建立安全事件報告流程 ? 制定并完善業(yè)務(wù)持續(xù)性計劃 ? 部署抗拒絕服務(wù)攻擊產(chǎn)品 3 級保障體系： 包括 2 級保障體系的所有過程，另外： ? 部署物理訪問監(jiān)視設(shè)施 ? 對物理傳輸鏈路進(jìn)行完善保護(hù) ? 建立安全專家咨詢機(jī)制 ? 建立機(jī)制保證媒質(zhì)在重新使用前或廢棄后，其攜帶的信息完全被清除 ? 建設(shè)緊急響應(yīng)中心 24 4 級保障體系： 包括 3 級保障體系的所有過程 5 級保障體系： 包括 4 級保障體系的所有過程 技術(shù)規(guī)范與標(biāo)準(zhǔn) 本方案設(shè)計 過程中所依據(jù)的技術(shù)規(guī)范與技術(shù)標(biāo)準(zhǔn)為： ● CC(信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準(zhǔn)則 GB/T 183362020) ● ISO 17799（信息安全管理標(biāo)準(zhǔn)） ● 《證券經(jīng)營機(jī)構(gòu)營業(yè)部信息系統(tǒng)技術(shù)管理規(guī)范》 （ 證監(jiān)信字［ 1998］ 2 號 ） ● BS 7799 ● ISO 13335 ● ISSE（信息安全系統(tǒng)工程） ● TCSEC(可信計算機(jī)安全評估準(zhǔn)則 ) ● GB 178591999（ 計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則 ） ● 國家標(biāo)準(zhǔn) GB50173－ 93《電子計算機(jī)機(jī)房設(shè)計規(guī)范》 ● 國家標(biāo)準(zhǔn) GB2887－ 89《計算 站場地技術(shù)條件》 ● 國家標(biāo)準(zhǔn) GB9361－ 88《計算站場地安全要求》 第 四 章 安全保障體系設(shè)計 安全體系結(jié)構(gòu)模型 一個 完善 的信息保障體系應(yīng)該 圍繞信息安全策略，針對 IATF 信息保障框架中分析的三個要素：人員、技術(shù)、運(yùn)行，實現(xiàn) PDRR 安全模型設(shè)計的 4 個環(huán)節(jié)：防護(hù)、檢測、響應(yīng)和恢復(fù)，如圖 所示。 25 信 息 安 全 策 略法 律 法