【正文】 /IEC TR 15443—2: 2005信息技術(shù)安全保障框架 第二部分 保障方法5. ISO/IEC WD 15443—3 信息技術(shù)安全保障框架 第三部分 保障方法分析6. ISO/IEC PDTR 19791: 2004 信息技術(shù) 安全技術(shù) 運(yùn)行系統(tǒng)安全評(píng)估. 行業(yè)規(guī)范1. 《數(shù)字XXXX行業(yè)發(fā)展綱要》2. 《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》（國(guó)煙辦綜〔2008〕147號(hào)）3. 《XXXX行業(yè)行業(yè)計(jì)算機(jī)網(wǎng)絡(luò)和信息安全技術(shù)與管理規(guī)范》(國(guó)煙法[2003]17號(hào))4. 《XXXX行業(yè)行業(yè)計(jì)算機(jī)網(wǎng)絡(luò)建設(shè)技術(shù)與管理規(guī)范》(國(guó)煙辦綜[2006]312號(hào))5. 《XXXX行業(yè)行業(yè)CA認(rèn)證體系的建設(shè)方案》（國(guó)煙辦綜〔2008〕116號(hào)）2. 技術(shù)體系建設(shè)規(guī)劃. 技術(shù)保障體系規(guī)劃. 設(shè)計(jì)原則技術(shù)保障體系的規(guī)劃遵循一下原則：n 先進(jìn)性原則采用的技術(shù)和形成的規(guī)范，在路線上應(yīng)與當(dāng)前世界的主流發(fā)展趨勢(shì)相一致，保證依據(jù)規(guī)范建成的XXXX公司工業(yè)網(wǎng)絡(luò)安全系統(tǒng)具有先進(jìn)性和可持續(xù)發(fā)展性。 等級(jí)保護(hù)實(shí)施意見（公通字[2004]66號(hào)）216。 ISO/IEC 15408（CC）216。 ISO/IEC 17799:2005 /BS7799 Part 1216。 《信息安全風(fēng)險(xiǎn)評(píng)估指南》（國(guó)標(biāo)審議稿）中華人民共和國(guó)質(zhì)監(jiān)總局其它參考標(biāo)準(zhǔn)：216。 《》（IATF） 美國(guó)國(guó)家安全局216。這樣一旦系統(tǒng)安全事故發(fā)生了，也能恢復(fù)系統(tǒng)功能和數(shù)據(jù)，恢復(fù)系統(tǒng)的正常運(yùn)行。顯然Et越小表示系統(tǒng)越安全，當(dāng)Et≤0時(shí)，可以認(rèn)為系統(tǒng)是安全的。 暴露時(shí)間Et：表示系統(tǒng)處于不安全狀態(tài)的時(shí)間。而安全事件的事后處理（如恢復(fù)、總結(jié)等）不納入事件響應(yīng)的范疇之內(nèi)。 響應(yīng)時(shí)間Rt：表示從檢測(cè)到系統(tǒng)漏洞或監(jiān)控到非法攻擊到系統(tǒng)啟動(dòng)處理措施的時(shí)間。改進(jìn)檢測(cè)算法和設(shè)計(jì)可縮短Dt。216。高的入侵能力和相對(duì)弱的防護(hù)能力可以使得防護(hù)時(shí)間Pt縮短。 防護(hù)時(shí)間Pt：表示從入侵開始到侵入系統(tǒng)的時(shí)間。我們可以通過定義下列時(shí)間量來描述P2DR模型的時(shí)間特性。根據(jù)策略以及檢測(cè)到的情況動(dòng)態(tài)的調(diào)整防護(hù)，達(dá)到主動(dòng)防御的目的。216。 檢測(cè)（Detection）檢測(cè)是動(dòng)態(tài)響應(yīng)和加強(qiáng)防護(hù)的依據(jù)。防護(hù)的對(duì)象涵蓋了系統(tǒng)的全部，防護(hù)手段也因此多種多樣。216。 策略（Policy）策略是P2DR模型的核心，所有的防護(hù)、檢測(cè)、響應(yīng)都是依據(jù)策略。如下圖所示。該模型是可量化、可由數(shù)學(xué)證明、基于時(shí)間的、以PDR為核心的安全模型。所謂PDR模型指的就是基于防護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Reaction）的安全模型。. 技術(shù)及運(yùn)維體系規(guī)劃參考模型及標(biāo)準(zhǔn). 參考模型目前安全模型已經(jīng)從以前的被動(dòng)保護(hù)轉(zhuǎn)到了現(xiàn)在的主動(dòng)防御，強(qiáng)調(diào)整個(gè)生命周期的防御和恢復(fù)。XXXX公司工業(yè)需要有計(jì)劃的逐步建立一套完整的，可操作的信息安全制度與標(biāo)準(zhǔn)，并通過對(duì)執(zhí)行效果的持續(xù)跟蹤，不斷完善，以形成一套真正符合XXXX公司工業(yè)需求、完整有效的信息安全制度與標(biāo)準(zhǔn)，為信息安全工作的開展提供依據(jù)和指導(dǎo)。例如在信息安全管理制度的上，沒有依據(jù)《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》或者是ISMS體系建設(shè)等標(biāo)準(zhǔn)和規(guī)范制定，從而使管理規(guī)定缺乏系統(tǒng)性。. 完善信息安全制度與標(biāo)準(zhǔn)信息安全制度與標(biāo)準(zhǔn)是信息安全工作在管理、控制、技術(shù)等方面制度化、標(biāo)準(zhǔn)化后形成的一整套文件。. 建立完善的信息安全風(fēng)險(xiǎn)管理流程作為XXXX公司工業(yè)信息安全保障體系的基本理念之一，信息安全風(fēng)險(xiǎn)管理的實(shí)現(xiàn)需要建立完善的流程，XXXX公司工業(yè)將建立針對(duì)信息安全風(fēng)險(xiǎn)的全程管理能力和信息安全管理持續(xù)改進(jìn)能力，將信息安全的管理由針對(duì)結(jié)果的管理變成針對(duì)過程的管理。信息安全團(tuán)隊(duì)建設(shè)的關(guān)鍵在于人才培養(yǎng)和服務(wù)團(tuán)隊(duì)的設(shè)立。信息安全管理組織的健全需要明確角色模型，在此基礎(chǔ)上設(shè)計(jì)信息安全崗位職責(zé)和匯報(bào)關(guān)系，充分考慮XXXX公司工業(yè)與下屬單位的組織模式和特點(diǎn)，做到信息安全職責(zé)分工明確合理、責(zé)任落實(shí)到位。4) 恢復(fù)：通過建立信息系統(tǒng)備份和恢復(fù)機(jī)制，保證在安全事件發(fā)生后及時(shí)有效地進(jìn)行信息系統(tǒng)設(shè)施和重要數(shù)據(jù)的恢復(fù)。2) 檢測(cè)：通過采取入侵檢測(cè)、漏洞掃描、安全審計(jì)等技術(shù)手段，對(duì)信息系統(tǒng)運(yùn)行狀態(tài)和操作行為進(jìn)行監(jiān)控和記錄，對(duì)信息系統(tǒng)的脆弱性以及面臨的威脅進(jìn)行評(píng)估，及時(shí)發(fā)現(xiàn)安全隱患和入侵行為并發(fā)出告警。. 三個(gè)體系規(guī)劃目標(biāo). 安全技術(shù)和安全運(yùn)維體系規(guī)劃目標(biāo)建立技術(shù)體系的目的是通過使用安全產(chǎn)品和技術(shù)，支撐和實(shí)現(xiàn)安全策略，達(dá)到信息系統(tǒng)的保密、完整、可用等安全目標(biāo)。從而使新的保障體系能夠適應(yīng)企業(yè)不斷發(fā)展和變化的安全需求。信息安全運(yùn)維體系的作用是在安全管理體系和安全技術(shù)體系的運(yùn)行過程中，發(fā)現(xiàn)和糾正各類安全保障措施存在的問題和不足，保證它們穩(wěn)定可靠運(yùn)行，有效執(zhí)行安全策略規(guī)定的目標(biāo)和原則。設(shè)備的作用仍然僅僅停留在執(zhí)行層面。因此需要各級(jí)技術(shù)人員對(duì)信息系統(tǒng)進(jìn)行運(yùn)行和維護(hù)。企業(yè)生產(chǎn)已經(jīng)高度依賴于企業(yè)的信息化和各信息系統(tǒng)。圖 1_2等?；疽罂蚣軋D. 三個(gè)體系自身業(yè)務(wù)要求在國(guó)家數(shù)字XXXX行業(yè)政策的引導(dǎo)下，近年來信息系統(tǒng)建設(shè)日趨完善，尤其是隨著國(guó)家局統(tǒng)一建設(shè)的一號(hào)工程的上線，業(yè)務(wù)系統(tǒng)對(duì)信息系統(tǒng)的依賴程度逐漸增加，信息系統(tǒng)的重要性也逐漸提高，其安全保障就成為了重點(diǎn)。. 背景. XXXX行業(yè)行業(yè)相關(guān)要求國(guó)家XXXX行業(yè)總局一直以來十分重視信息安全管理工作，先后下發(fā)了涉及保密計(jì)算機(jī)運(yùn)行、等級(jí)保護(hù)定級(jí)等多個(gè)文件，在2008年下發(fā)了147號(hào)文《XXXX行業(yè)行業(yè)信息安全保障體系建設(shè)指南》，指南從技術(shù)、管理、運(yùn)維三個(gè)方面對(duì)安全保障提出了建議，如下圖所示。XXXXXXXXXXXXX信息系統(tǒng)安全保障體系規(guī)劃方案XXXXXXXXXXXX信息系統(tǒng)安全保障體系規(guī)劃方案文檔信息文檔名稱XXXXXXXXXXXX信息系統(tǒng)安全保障體系規(guī)劃方案保密級(jí)別商業(yè)秘密文檔編號(hào)制作人制作日期復(fù)審人復(fù)審日期復(fù)審日期分發(fā)控制讀者文檔權(quán)限與文檔的主要關(guān)系創(chuàng)建、修改、讀取負(fù)責(zé)編制、修改、審核本技術(shù)方案XXXXXXXXXXXX閱讀版本控制時(shí)間版本說明修改人文檔初始化修改完善132目 錄1. 概述 5. 引言 5. 背景 5. XXXX行業(yè)行業(yè)相關(guān)要求 5. 國(guó)家等級(jí)保護(hù)要求 6. 三個(gè)體系自身業(yè)務(wù)要求 7. 三個(gè)體系規(guī)劃目標(biāo) 7. 安全技術(shù)和安全運(yùn)維體系規(guī)劃目標(biāo) 7. 安全管理體系規(guī)劃目標(biāo) 8. 技術(shù)及運(yùn)維體系規(guī)劃參考模型及標(biāo)準(zhǔn) 10. 參考模型 10. 參考標(biāo)準(zhǔn) 12. 管理體系規(guī)劃參考模型及標(biāo)準(zhǔn) 12. 國(guó)家信息安全標(biāo)準(zhǔn)、指南 12. 國(guó)際信息安全標(biāo)準(zhǔn) 13. 行業(yè)規(guī)范 132. 技術(shù)體系建設(shè)規(guī)劃 14. 技術(shù)保障體系規(guī)劃 14. 設(shè)計(jì)原則 14. 技術(shù)路線 14. 信息安全保障技術(shù)體系規(guī)劃 15. 安全域劃分及網(wǎng)絡(luò)改造 15. 現(xiàn)有信息技術(shù)體系描述 24. 技術(shù)體系規(guī)劃主要內(nèi)容 29. 網(wǎng)絡(luò)安全域改造建設(shè)規(guī)劃 29. 網(wǎng)絡(luò)安全設(shè)備建設(shè)規(guī)劃 32. CA認(rèn)證體系建設(shè) 40. 數(shù)據(jù)安全保障 42. 終端安全管理 45. 備份與恢復(fù) 46. 安全運(yùn)營(yíng)中心建設(shè) 47. 周期性風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)管理 48. 技術(shù)體系建設(shè)實(shí)施規(guī)劃 49. 安全建設(shè)階段 49. 建設(shè)項(xiàng)目規(guī)劃 503. 運(yùn)維體系建設(shè)規(guī)劃 51. 風(fēng)險(xiǎn)評(píng)估及安全加固 51. 風(fēng)險(xiǎn)評(píng)估 51. 安全加固 51. 信息安全運(yùn)維體系建設(shè)規(guī)劃 51. 機(jī)房安全規(guī)劃 51. 資產(chǎn)和設(shè)備安全 52. 網(wǎng)絡(luò)和系統(tǒng)安全管理 55. 監(jiān)控管理和安全管理中心 60. 備份與恢復(fù) 61. 惡意代碼防范 62. 變更管理 63. 信息安全事件管理 64. 密碼管理 67. 運(yùn)維體系建設(shè)實(shí)施規(guī)劃 68. 安全建設(shè)階段 68. 建設(shè)項(xiàng)目規(guī)劃 684. 管理體系建設(shè)規(guī)劃 70. 體系建設(shè) 70. 建設(shè)思路 70. 規(guī)劃內(nèi)容 71. 信息安全管理體系現(xiàn)狀 72. 現(xiàn)狀 72. 問題 74. 管理體系建設(shè)規(guī)劃 75. 信息安全最高方針 75. 風(fēng)險(xiǎn)管理 76. 組織與人員安全 76. 信息資產(chǎn)管理 79. 網(wǎng)絡(luò)安全管理 91. 桌面安全管理 93. 服務(wù)器管理 93. 第三方安全管理 95. 系統(tǒng)開發(fā)維護(hù)安全管理 97. 業(yè)務(wù)連續(xù)性管理 98. 項(xiàng)目安全建設(shè)管理 100. 物理環(huán)境安全 102. 管理體系建設(shè)規(guī)劃 103. 項(xiàng)目規(guī)劃 103. 總結(jié) 1041. 概述. 引言本文檔基于對(duì)XXXX公司（以下簡(jiǎn)稱“XXXX公司工業(yè)”）信息安全風(fēng)險(xiǎn)評(píng)估總體規(guī)劃的分析，提出XXXX公司工業(yè)信息安全技術(shù)工作的總體規(guī)劃、目標(biāo)以及基本原則，并在此基礎(chǔ)上從信息安全保障體系的視角描繪了未來的信息安全總體架構(gòu)。本文檔內(nèi)容為信息安全技術(shù)體系、運(yùn)維體系、管理體系的評(píng)估和規(guī)劃，是信息安全保障體系的主體。圖 1_1行業(yè)信息安全保障體系框架. 國(guó)家等級(jí)保護(hù)要求等級(jí)保護(hù)工作作為我國(guó)信息安全保障工作中的一項(xiàng)基本制度，對(duì)提高基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全防護(hù)水平有著重要作用，國(guó)家XXXX行業(yè)專賣局在2008年8月下發(fā)了國(guó)煙辦綜[2008]358號(hào)文《國(guó)家XXXX行業(yè)專賣局辦公室關(guān)于做好XXXX行業(yè)行業(yè)信息系統(tǒng)安全等級(jí)定級(jí)工作的通知》，而在《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中對(duì)信息安全管理和信息安全技術(shù)也提出了要求，如下圖所示。此外，除了一號(hào)工程外，信息系統(tǒng)的重要組成部分還有MES系統(tǒng)、ERP系統(tǒng)、網(wǎng)站系統(tǒng)、工商協(xié)同營(yíng)銷系統(tǒng)、LIMS系統(tǒng)、OA系統(tǒng)及生產(chǎn)系統(tǒng)（卷包中控系統(tǒng)、物流中控系統(tǒng)、制絲中控系統(tǒng)、動(dòng)力中控系統(tǒng)）等。信息系統(tǒng)現(xiàn)階段還無法達(dá)到完全的自動(dòng)化和智能化運(yùn)行。在整個(gè)信息系統(tǒng)運(yùn)行的過程中，起主導(dǎo)作用的仍然是人，是各級(jí)管理員。因此信息系統(tǒng)的穩(wěn)定運(yùn)行的決定因素始終都在于人員的操作。當(dāng)運(yùn)行維護(hù)過程中發(fā)現(xiàn)目前的信息安全保障體系不能滿足本單位信息化建設(shè)的需要時(shí)，就可以對(duì)保障體系進(jìn)行新的規(guī)劃和設(shè)計(jì)。這也仍遵循和完善了PDCA原則。按照P2DR2模型，行業(yè)信息安全技術(shù)體系涉及信息安全防護(hù)、檢測(cè)、響應(yīng)和恢復(fù)四個(gè)方面的內(nèi)容：1) 防護(hù)：通過訪問控制、信息系統(tǒng)完整性保護(hù)、系統(tǒng)與通信保護(hù)、物理與環(huán)境保護(hù)等安全控制措施，使信息系統(tǒng)具備比較完善的抵抗攻擊破壞的能力。3) 響應(yīng)：通過事件監(jiān)控和處理工具等技術(shù)措施，提高應(yīng)急處理和事件響應(yīng)能力，保證在安全事件發(fā)生后能夠及時(shí)進(jìn)行分析、定位、跟蹤、排除和取證。. 安全管理體系規(guī)劃目標(biāo)本次項(xiàng)目通過風(fēng)險(xiǎn)評(píng)估對(duì)XXXX公司工業(yè)自身安全管理現(xiàn)狀進(jìn)行全面了解后，對(duì)信息安全管理整體提出以下目標(biāo)：. 健全信息安全管理組織建立全面、完整、有效的信息安全保障體系，必須健全、完善信息安全管理組織，這是XXXX公司工業(yè)信息安全保障體系建立的首要任務(wù)。. 建立信息安全專業(yè)服務(wù)團(tuán)隊(duì)隨著XXXX公司工業(yè)信息化的推進(jìn)，XXXX公司工業(yè)需要有一支擁有各種專業(yè)技能的團(tuán)隊(duì)提供身份認(rèn)證、安全監(jiān)控、威脅和弱點(diǎn)管理、風(fēng)險(xiǎn)評(píng)估等信息安全服務(wù)。XXXX公司工業(yè)將在明確信息安全服務(wù)團(tuán)隊(duì)設(shè)立方案的基礎(chǔ)上制定人才培養(yǎng)計(jì)劃，逐步培養(yǎng)在信息安全各個(gè)領(lǐng)域的專業(yè)技術(shù)人才，在35年的時(shí)間內(nèi)建立起一支高素質(zhì)的，能夠滿足XXXX公司工業(yè)信息安全需求的專業(yè)服務(wù)團(tuán)隊(duì)。XXXX公司工業(yè)信息安全風(fēng)險(xiǎn)管理流程需要覆蓋需求分析、控制實(shí)施、運(yùn)行監(jiān)控、響應(yīng)恢復(fù)四個(gè)環(huán)節(jié)，識(shí)別相應(yīng)的信息安全風(fēng)險(xiǎn)管理核心流程，并進(jìn)行流程設(shè)計(jì)和實(shí)施。XXXX公司工業(yè)已經(jīng)制定并發(fā)布執(zhí)行了一些信息安全相關(guān)的制度和標(biāo)準(zhǔn)，但是在完整性、針對(duì)性、可用性和執(zhí)行效果方面都有較大的改進(jìn)空間。在前期調(diào)研中，發(fā)現(xiàn)只有《系統(tǒng)支持和維護(hù)管理控制程序》、《信息設(shè)備及軟件控制程序》等少量管理文檔，不足以滿足XXXX公司工業(yè)對(duì)整個(gè)信息系統(tǒng)安全管理的需求。. 建立規(guī)范化的流程隨著信息化建設(shè)的推進(jìn)，XXXX公司工業(yè)需要建設(shè)越來越多的應(yīng)用系統(tǒng)，這些系統(tǒng)目前日常維護(hù)工作基本依靠系統(tǒng)維護(hù)人員的經(jīng)驗(yàn)，因此逐步建立專業(yè)化的信息安全服務(wù)和規(guī)范化的流程成為信息安全保障體系建立的重要目標(biāo)之一。PDR模型就是最早提出的體現(xiàn)這樣一種思想的安全模型。上個(gè)世紀(jì)90年代末，ANS聯(lián)盟在PDR模型的基礎(chǔ)上建立了新的P2DR模型。這里P2DR2是策略（Policy）、防護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Response）、恢復(fù)（Recovery）的縮寫。ProtectionDetectionResponseRecoveryPolicy圖 1_2 P2DR2模型216。它描述了系統(tǒng)中哪些資源要得到保護(hù)，以及如何實(shí)現(xiàn)對(duì)它們的保護(hù)等。 防護(hù)（Protection）防護(hù)是主動(dòng)防御的防御部分，系統(tǒng)的安全最終是依靠防護(hù)來實(shí)現(xiàn)的。216。通過不間斷的檢測(cè)網(wǎng)絡(luò)和系統(tǒng)，來發(fā)現(xiàn)威脅。 響應(yīng)（Response）響應(yīng)是主動(dòng)防御的實(shí)現(xiàn)。信息系統(tǒng)的安全是基于時(shí)間特性的，P2DR安全模型的特點(diǎn)就在于動(dòng)態(tài)性和基于時(shí)間的特性。216。防護(hù)時(shí)間由兩方面共同決定：①入侵能力，②防護(hù)能力。顯然防護(hù)時(shí)間越長(zhǎng)系統(tǒng)越安全。 檢測(cè)時(shí)間Dt：表示檢測(cè)系統(tǒng)發(fā)現(xiàn)系統(tǒng)的安全隱患和潛在攻擊檢測(cè)的時(shí)間。216。一個(gè)監(jiān)控系統(tǒng)的響應(yīng)可能包括見識(shí)、切換、跟蹤、報(bào)警、反擊等內(nèi)容。216?？梢远xEt＝Dt＋Rt－Pt。隨著技術(shù)的進(jìn)步，人們?cè)赑2DR模型以后又提出了APPDRR模型，即在P2DR模型中加入恢復(fù)（Recovery）手段。. 參考標(biāo)準(zhǔn)主要參考標(biāo)準(zhǔn)：216。 《信息系統(tǒng)安全管理指南》（ISO 13335） 國(guó)際標(biāo)準(zhǔn)化組織216。 AS/NZS 4360: 1999 風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)216。 ISO/IEC 27001:2005 /BS7799 Part 2216。 GB178591999216。 《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》GB 17859行業(yè)參考標(biāo)準(zhǔn)：216。n 實(shí)用性原則具備多層次、多角度、全方位、