【正文】 概述 ........................................................................................................117. 課程介紹 ................................................................................................117. 培訓(xùn)建議 ................................................................................................118第十四章 X 財(cái)政網(wǎng)絡(luò)安全工程集成及服務(wù)費(fèi)預(yù)算 ........................................119附件：A 服務(wù)承諾書 .........................................................................................120X 省財(cái)政系統(tǒng)網(wǎng)絡(luò)安全項(xiàng)目 北京市太極華青信息系統(tǒng)有限公司 10 Taiji Huaqing Informationamp。System Co.,Ltd第一章 引言. 編寫目的為了保證 XX 省政府財(cái)政管理信息系統(tǒng)安全系統(tǒng)建設(shè)項(xiàng)目能夠順利實(shí)施，使用戶和開發(fā)者雙方對(duì) XX 省政府財(cái)政管理信息系統(tǒng)安全系統(tǒng)建設(shè)項(xiàng)目有一個(gè)共同的理解，特編寫《XX 省政府財(cái)政管理信息系統(tǒng)安全系統(tǒng)總體設(shè)計(jì)框架方案》 ，以將現(xiàn)有的需求文字化，定義整個(gè)系統(tǒng)的邊界和資源狀況，同時(shí)對(duì)需求進(jìn)行概括性分析和方案的指導(dǎo)性框架設(shè)計(jì)，作為后續(xù)設(shè)計(jì)的基礎(chǔ)，指導(dǎo)詳細(xì)設(shè)計(jì)工作的正常進(jìn)行，幫助系統(tǒng)的管理、分析、設(shè)計(jì)、施工、測試人員了解本項(xiàng)目。. 背景 政府財(cái)政管理信息系統(tǒng)(以下在必要時(shí)簡稱 GFMIS)是利用先進(jìn)的信息技術(shù),支持以預(yù)算編制、國庫集中收付和宏觀經(jīng)濟(jì)預(yù)測為核心應(yīng)用的政府財(cái)政管理綜合信息系統(tǒng)。政府財(cái)政管理信息系統(tǒng)覆蓋各級(jí)政府財(cái)政管理部門和財(cái)政資金使用部門,全面支持部門預(yù)算管理、國庫單一帳戶集中收付、宏觀經(jīng)濟(jì)預(yù)測和辦公自動(dòng)化等方面的應(yīng)用需求。為了支撐部門預(yù)算管理和國庫集中收付制度改革,按照建立我國公共財(cái)政體系框架的總體要求,建設(shè)先進(jìn)的政府財(cái)政管理信息系統(tǒng),有利于預(yù)算管理的規(guī)范化,提高國庫資金的使用效率,提高政府財(cái)政管理決策的科學(xué)性,增大財(cái)政管理的透明度,有利于加強(qiáng)廉政建設(shè)。. 設(shè)計(jì)框架說明本安全設(shè)計(jì)框架的制定，是依據(jù) XX 省財(cái)政系統(tǒng)的普遍性而制定的，一個(gè)切合實(shí)際的安全框架是一個(gè)以需求為基礎(chǔ)，以策略為核心的過程，所以，本版本的安全設(shè)計(jì)框架，是一個(gè)根據(jù)客戶業(yè)務(wù)發(fā)展需求的安全設(shè)計(jì)框架，同時(shí)，在安全框架的設(shè)計(jì)過程中，我們嚴(yán)格按照相關(guān)的法律、法規(guī)和財(cái)政部針對(duì)安全的X 省財(cái)政系統(tǒng)網(wǎng)絡(luò)安全項(xiàng)目 北京市太極華青信息系統(tǒng)有限公司 11 Taiji Huaqing Informationamp。System Co.,Ltd指導(dǎo)方針而制定的。在財(cái)政部的統(tǒng)一規(guī)劃和領(lǐng)導(dǎo)下，隨著各省系統(tǒng)建設(shè)工作的基本完成，面對(duì)建成后系統(tǒng)的復(fù)雜多樣性，如何保障系統(tǒng)的運(yùn)行質(zhì)量，保證和提高財(cái)政部門為各國庫預(yù)算單位的服務(wù)質(zhì)量，成為一個(gè)非常迫切的任務(wù)，因此需要建立一個(gè)安全系統(tǒng)保障財(cái)政系統(tǒng)的安全可靠運(yùn)行。為了便于您閱讀和理解本安全設(shè)計(jì)框架，我們將本總體安全設(shè)計(jì)框架的寫作思路給您已簡要的闡述：作為一個(gè)整體安全解決框架，我們首先從安全的發(fā)展趨勢和財(cái)政 GFMISNet系統(tǒng)進(jìn)行闡述，通過財(cái)政 GFMISNet 系統(tǒng)普遍性的風(fēng)險(xiǎn)及脆弱性框架分析后，得到的《系統(tǒng)風(fēng)險(xiǎn)及脆弱性框架性分析報(bào)告》 ，再根據(jù) X 財(cái)政對(duì)安全的整體發(fā)展需求，制定符合實(shí)際的整體安全框架性設(shè)計(jì)。在得到 X 財(cái)政安全整體發(fā)展需求后，我們根據(jù)財(cái)政部對(duì)省級(jí) GFMISNet 的總體要求和建設(shè)原則，制定了符合 X 財(cái)政安全的 MPPDRR 深層多邊安全防御體系和安全模型，在以后的系統(tǒng)安全建設(shè)過程中，將以此動(dòng)態(tài)安全模型為總體框架的指導(dǎo)思想進(jìn)行系統(tǒng)設(shè)計(jì)。在總體安全模型和需求確定后，我們要針對(duì)以上內(nèi)容，制定安全策略和安全管理制度，安全策略的制定是指導(dǎo)我們通過使用什么安全技術(shù)手段和安全工具進(jìn)行規(guī)避安全風(fēng)險(xiǎn)和實(shí)現(xiàn)安全需求的方法。此安全策略包括技術(shù)、管理等多方面的內(nèi)容。作為專業(yè)化的集成、安全服務(wù)公司，將簡要介紹華青公司安全服務(wù)的特點(diǎn)、組件及安全保障組織結(jié)構(gòu)。. 系統(tǒng)設(shè)計(jì)思想和原則. 設(shè)計(jì)思想我們以“財(cái)政 GFMIS 安全總體標(biāo)準(zhǔn)”文件為 X 財(cái)政安全總體設(shè)計(jì)框架的設(shè)計(jì)思想。它是財(cái)政部在“政府財(cái)政管理信息系統(tǒng)（GFMIS）技術(shù)標(biāo)準(zhǔn)”的基礎(chǔ)上形成的。旨在為以預(yù)算編制、國庫統(tǒng)一支付和宏觀經(jīng)濟(jì)預(yù)測為主的政府財(cái)政業(yè)務(wù)得以可靠、持續(xù)、不間斷和安全地運(yùn)轉(zhuǎn)提供系統(tǒng)的技術(shù)規(guī)范。本標(biāo)準(zhǔn)規(guī)定的信息安全措施將有效的保護(hù)政府財(cái)政管理信息系統(tǒng)的關(guān)鍵業(yè)務(wù)信息、保護(hù)處理、存儲(chǔ)與傳輸這些信息的軟、硬件設(shè)備和財(cái)政部的信息，以達(dá)到有效抗擊敵對(duì)國家和組織、國內(nèi)外犯罪集團(tuán)、黑客等有意破壞以及系統(tǒng)運(yùn)行過程中產(chǎn)生的無敵X 省財(cái)政系統(tǒng)網(wǎng)絡(luò)安全項(xiàng)目 北京市太極華青信息系統(tǒng)有限公司 12 Taiji Huaqing Informationamp。System Co.,Ltd意的偶然性錯(cuò)誤。依據(jù) GFMIS 系統(tǒng)建設(shè)的目標(biāo)， “按照統(tǒng)一領(lǐng)導(dǎo)、統(tǒng)一安全規(guī)劃、統(tǒng)一系統(tǒng)安全平臺(tái)、統(tǒng)一安全技術(shù)標(biāo)準(zhǔn)、統(tǒng)一組織和按集中化原則建立數(shù)據(jù)處理中心”的指導(dǎo)思想制定該安全總體框架設(shè)計(jì)方案，它是 X 財(cái)政系統(tǒng)安全建設(shè)的標(biāo)準(zhǔn)和指南。. 設(shè)計(jì)原則. 總體原則? 綜合原則綜合利用各種信息安全技術(shù)、安全原則、安全標(biāo)準(zhǔn)、安全實(shí)踐以及安全機(jī)制，以形成和維護(hù)整個(gè)政府財(cái)政管理信息系統(tǒng)的縱深防御體系；? 系統(tǒng)安全建設(shè)與系統(tǒng)建設(shè)同步進(jìn)行原則計(jì)算機(jī)信息系統(tǒng)的建設(shè)應(yīng)當(dāng)與系統(tǒng)的安全建設(shè)同步進(jìn)行，其好處使不僅使系統(tǒng)的安全設(shè)計(jì)更加有效，同時(shí)，也會(huì)減少安全系統(tǒng)的建設(shè)投資；? 標(biāo)準(zhǔn)化原則在進(jìn)行 GFMIS 系統(tǒng)設(shè)計(jì)過程中，采用統(tǒng)一的數(shù)據(jù)庫平臺(tái)、統(tǒng)一的通訊平臺(tái)、統(tǒng)一的加密平臺(tái)。財(cái)政業(yè)務(wù)應(yīng)用系統(tǒng)采用財(cái)政部制定的統(tǒng)一編碼體系、用用軟件開發(fā)采用統(tǒng)一數(shù)據(jù)字典，保證數(shù)據(jù)格式一致性等；? 可擴(kuò)充性、可升級(jí)性原則隨著系統(tǒng)應(yīng)用時(shí)間的增長，系統(tǒng)配置會(huì)發(fā)生變化，應(yīng)用也會(huì)發(fā)生變化和擴(kuò)充，需要安全設(shè)備也能適應(yīng)這種變化；? 配比原則系統(tǒng)采用的安全控制的成本應(yīng)該與信息篡改、拒絕服務(wù)和信息漏洞導(dǎo)致的風(fēng)險(xiǎn)平衡，即 GFMISNet 的安全建設(shè)的經(jīng)費(fèi)是合理的；? 嚴(yán)格執(zhí)行標(biāo)準(zhǔn)和遵守國家相關(guān)規(guī)定原則華青公司在進(jìn)行安全解決方案的制定過程中，除了采用國際、國家、行業(yè)標(biāo)準(zhǔn)外，系統(tǒng)安全建設(shè)還遵循了國家有關(guān)管理部門的一些規(guī)定、指南和要求；X 省財(cái)政系統(tǒng)網(wǎng)絡(luò)安全項(xiàng)目 北京市太極華青信息系統(tǒng)有限公司 13 Taiji Huaqing Informationamp。System Co.,Ltd? 動(dòng)態(tài)原則任何安全系統(tǒng)都不可能提供一勞永逸的安全保障，隨著技術(shù)的發(fā)展，安全問題也層出不窮，因此，華青公司提供的安全服務(wù)，是根據(jù)華青公司“MPPDRR 動(dòng)態(tài)安全防護(hù)模型動(dòng)態(tài)安全防護(hù)模型”的理論指導(dǎo)下，為客戶進(jìn)行安全服務(wù)的，使客戶的安全隨著客戶業(yè)務(wù)發(fā)展不斷的更新、完善；? 綜合性原則安全僅僅靠技術(shù)上來保障是遠(yuǎn)遠(yuǎn)不夠的，它是一個(gè)系統(tǒng)工程，還涉及管理，制度法規(guī)，環(huán)境等諸多方面。因此，華青公司的安全服務(wù)，同樣也是在“MPPDRR 動(dòng)態(tài)安全防護(hù)模型動(dòng)態(tài)安全防護(hù)模型”下進(jìn)行的，我們的安全服務(wù)，包括安全體系中的諸多方面和內(nèi)容，力求做到最好；? 性價(jià)比原則華青公司在進(jìn)行安全服務(wù)的同時(shí)，通過運(yùn)用多種技術(shù)手段，發(fā)現(xiàn)客戶的安全隱患，并根據(jù)“MPPDRR 動(dòng)態(tài)安全防護(hù)模型動(dòng)態(tài)安全防護(hù)模型”，制定符合客戶實(shí)際情況的安全方案，而方案的制定，因?yàn)槭且罁?jù)“MPPDRR 動(dòng)態(tài)安全防護(hù)模型動(dòng)態(tài)安全防護(hù)模型”，也避免了安全設(shè)備的堆砌現(xiàn)象，使安全方案達(dá)到最大的安全性價(jià)比。避免出現(xiàn)投入 100 萬元的安全保護(hù)資金去保護(hù) 50 萬元的系統(tǒng)；? 風(fēng)險(xiǎn)排序原則華青公司在進(jìn)行安全服務(wù)的同時(shí)，會(huì)根據(jù)用戶已有安全風(fēng)險(xiǎn)和漏洞的種類，級(jí)別，進(jìn)行風(fēng)險(xiǎn)的優(yōu)先級(jí)排序，分析出高、中、低風(fēng)險(xiǎn)，在合理投資下優(yōu)先解決高風(fēng)險(xiǎn)漏洞。避免了安全風(fēng)險(xiǎn)解決方案的的一刀切現(xiàn)象和大而全現(xiàn)象，從而使得有限的安全投資下，得到最大化的安全防范；? 需求、風(fēng)險(xiǎn)、代價(jià)平衡分析的的原則對(duì)任一網(wǎng)絡(luò)，絕對(duì)安全難以達(dá)到，也不一定是必要的。對(duì)一個(gè)網(wǎng)絡(luò)要進(jìn)行實(shí)際的研究(包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等)，并對(duì)網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定系統(tǒng)的安全策略；X 省財(cái)政系統(tǒng)網(wǎng)絡(luò)安全項(xiàng)目 北京市太極華青信息系統(tǒng)有限公司 14 Taiji Huaqing Informationamp。System Co.,Ltd? 綜合性、整體性原則