【正文】 衡點。 ? “整體 規(guī)劃，分步實施”原則：需要對 煙草公司 信息安全建設(shè)進(jìn)行整體規(guī)劃，分步實施，逐步建立完善的信息安全體系。 ? “三分技術(shù)、七分管理”原則： 煙草公司 信息安全不是單純的技術(shù)問題，需要在采用安全技術(shù)和產(chǎn)品的同時，重視安全管理，不斷完善各類安全管理規(guī)章制度和操作規(guī)程，全面提高安全管理水平。 通過系統(tǒng)化的安全技術(shù)和安全管理建設(shè)， 自治區(qū)煙草公司 逐步形成安全管理規(guī)范和安全體系架構(gòu)，逐步有機(jī)的融合安全技術(shù)和安全管理，使 自治區(qū)煙草公 司的安全建設(shè)逐漸成熟，為整個業(yè)務(wù)的正常運行提供強(qiáng)有力的支持和保障。 9）沒有統(tǒng)一的審計和響應(yīng)機(jī)制，即便是發(fā)生攻擊事件無法快速定位到源頭，并進(jìn)行針對性的解決。 7）沒有一個統(tǒng)一的員工身份管理系統(tǒng)，無法做到各類內(nèi)部權(quán)限的細(xì)分，以及信息安全的加密以及事前、事中、事后的審計。無法有效的對 煙草公司 網(wǎng)絡(luò)進(jìn)行準(zhǔn)入控制，致使網(wǎng)絡(luò)接入存在一定的風(fēng)險。 4）內(nèi)部 信息 系統(tǒng)所存在的安全漏洞和隱患，不能及時發(fā)現(xiàn)；對于網(wǎng)絡(luò)而言，內(nèi)外網(wǎng)互連私接的情況不能進(jìn)行有效監(jiān)控。 3）安全域劃分不清晰，網(wǎng)絡(luò) 安全邊界防護(hù)采取的技術(shù)比較單一 。 自治區(qū)煙草安全規(guī)劃方案 建議書 2 2 自治區(qū)煙草公司 業(yè)務(wù)網(wǎng)絡(luò)現(xiàn)狀及需求分析 自治區(qū)煙草公司 業(yè)務(wù)網(wǎng)絡(luò)是全省業(yè)務(wù) 辦公與 通信的基礎(chǔ)和支撐平臺，整個信息系統(tǒng) 目前 存在諸多安全隱患： 1）沒有一個完整的信息安全體系，不能對 煙草公司 信息安全程度進(jìn)行有效評估。 自治區(qū)煙草安全規(guī)劃方案 建議書 I 自治區(qū)煙草公司 信息安全 建設(shè) 規(guī)劃 建議書 新疆志冠 信息技術(shù)有限公司 目 錄 1 概述 .......................................................................................................................... 1 2 自治區(qū)煙草公司業(yè)務(wù)網(wǎng)絡(luò)現(xiàn)狀及需求分析 ................................................................. 2 3 信息安全規(guī)劃思路 ..................................................................................................... 3 信息安全目標(biāo)和工作思路 ................................................................................... 3 信息安全建設(shè)主要任務(wù) ....................................................................................... 3 4 第一階 段 迫切階段 ................................................................................................... 7 加強(qiáng)區(qū)公司與地州公司的邊界訪問控制 .............................................................. 7 解決區(qū)公司的網(wǎng)頁安全問題 ................................................................................ 7 提升入侵防御能力 .............................................................................................. 7 加強(qiáng)對區(qū)公司、地州終端的桌面管理能力 ........................................................... 8 解決 VPN系統(tǒng)的更新并且有效過渡的問題 ......................................................... 9 提升區(qū)公司及 地州公司對網(wǎng)絡(luò)可管理的能力 ....................................................... 9 加強(qiáng)對上網(wǎng)行為審計的能力 ................................................................................ 9 5 第二階段信息安全建設(shè)方案 .....................................................................................11 建設(shè)原則 ...........................................................................................................11 遵照的標(biāo)準(zhǔn)或規(guī)范 ............................................................................................ 12 安全建設(shè)的思路和方法 ..................................................................................... 13 安全域建設(shè) ...................................................................................................... 13 安全域基本概念 ........................................................................................ 14 安全域劃分的原則 ..................................................................................... 14 安全域理論 ............................................................................................... 17 統(tǒng)一認(rèn)證授權(quán)系統(tǒng)技術(shù)方案 .............................................................................. 22 自治區(qū)煙草公司網(wǎng)絡(luò)安全評估 .......................................................................... 31 6 第三階段信息安全建設(shè)方案 .................................................................................... 61 建設(shè)內(nèi)容 .......................................................................................................... 61 建設(shè)需求 .......................................................................................................... 61 4A統(tǒng)一管理平臺建設(shè)方案 ............................................................................... 61 統(tǒng)一日志審計子系統(tǒng)技術(shù)方案 ................................................................... 63 功能概述 ................................................................................................... 63 安全日志采集 ............................................................................................ 64 安全日志多維分析 ..................................................................................... 64 安全日志實時展現(xiàn) ..................................................................................... 65 報表分析 ................................................................................................... 67 審計策略配置 ............................................................................................ 69 系統(tǒng)平臺和應(yīng)用系統(tǒng)安全建設(shè)方案 ................................................................... 70 認(rèn)證、授權(quán)與行為審計的基本概念 ............................................................ 70 認(rèn)證、授權(quán)與行為審計 體系的建設(shè)原則 ..................................................... 70 實施效果 ................................................................................................... 71 綜合信息安全支撐平臺的概念 .......................................................................... 72 綜合安全支撐平臺的建設(shè)原 則 ................................................................... 73 實施效果 ................................................................................................... 73 7 第四階段信息安全建設(shè)方案 .................................................................................... 77 建設(shè)內(nèi)容 .......................................................................................................... 77 建設(shè)方案 .......................................................................................................... 77 信息安全管理體系規(guī)劃制定 .............................................................................. 77 自治區(qū)煙草公司信息安全體系規(guī)劃建議 ..................................................... 79 安全策略體系 ............................................................................................ 80 三年規(guī)劃建設(shè)任務(wù) ..................................................................................... 82 自治區(qū)煙草安全規(guī)劃方案 建議書 1 1 概述 煙草行業(yè)信息安全保障體系是行業(yè)信息化健康發(fā)展的基礎(chǔ)和保障，是行業(yè)各級數(shù)據(jù)中心的重要組成部分。為推進(jìn)行業(yè)信息安全保障體系建設(shè)，提高信息安全管理水平和保障能力， 自治區(qū)煙草公司 結(jié)合本單位實際情況