xx信息系統(tǒng)安全防護(hù)方案-在線瀏覽
2024-12-29 10:52本頁面
【正文】 ............................ 18 辦公類終端 ................................................................................................. 19 其他業(yè)務(wù)終端 ............................................................................................. 20 1 3 系統(tǒng) 概述 系統(tǒng)概 覽 本次 XX 系統(tǒng) 需強(qiáng)化信息安全防護(hù)，落實(shí)信息安全法相關(guān)規(guī)定，滿足國(guó)家、國(guó)網(wǎng)公司的信息安全相關(guān)要求，不發(fā)生各類信息安全事件，保證研發(fā)的軟件在安全防護(hù)方面達(dá)到國(guó)家信息化安全等級(jí)保護(hù)的相關(guān)要求，保障數(shù)據(jù)和業(yè)務(wù)安全。以下沒有特別說明，均特指 XX 系統(tǒng) 建設(shè)的方案和內(nèi)容。 由于本系統(tǒng)的服務(wù)器部署在 XX 公司現(xiàn)有的數(shù)據(jù)中心機(jī)房，完全滿足三級(jí)系統(tǒng)的物理安全防護(hù)需求。因此本方案不再對(duì)此進(jìn)行描述。 責(zé)任主體 XX 單位 負(fù)責(zé)組織系統(tǒng)建設(shè)、制定系統(tǒng)安全防護(hù)技術(shù)措施及系統(tǒng)、網(wǎng)絡(luò)、主機(jī)、辦公類終端的安全運(yùn)維管理 。 防護(hù)目標(biāo) （ 1）保障系統(tǒng)安全可靠運(yùn)行，滿足國(guó)家信息安全保護(hù)要求； （ 2）確保系統(tǒng)數(shù)據(jù)安全可靠接入公司信息網(wǎng)絡(luò)，保證系統(tǒng)數(shù)據(jù)不被篡改； （ 3）保障系統(tǒng)與其他系統(tǒng)之間數(shù)據(jù)交互和存儲(chǔ)的機(jī)密性、完整性和安全性，對(duì)數(shù)據(jù)訪問進(jìn)行嚴(yán)格的控制，防止越權(quán)或?yàn)E用； （ 4）保障系統(tǒng)應(yīng)用安全，杜絕仿冒用戶、敏感信息泄露、非授權(quán)訪問、病毒攻擊等。 （ 1）物理層防護(hù)。 （ 2）網(wǎng)絡(luò)層防護(hù)。 （ 3）系統(tǒng)層防護(hù)。 （ 4）數(shù)據(jù)層防護(hù)。 （ 5）應(yīng)用層防護(hù)。 （ 6）安全管理規(guī)范。 物理安全 物理安全防護(hù)的主要目的是使服務(wù)器、網(wǎng)絡(luò)設(shè)備、信息系統(tǒng)設(shè)備和存儲(chǔ)介質(zhì)免受物理環(huán)境損害、自然災(zāi)害以及人為的操作失誤和惡意損害等。 ? 機(jī)房所在的建筑物具有防震、防風(fēng)和防雨等自然災(zāi)害的能力。 ? 機(jī)房出入口通道，機(jī)房的安全出口，不少于兩個(gè)（總部）。 ? 按照設(shè)備機(jī)房、人員操作間劃分機(jī)房物理區(qū)域；按網(wǎng)絡(luò)、主機(jī)、存儲(chǔ)的設(shè)備類別放置不同機(jī)柜。機(jī)房門禁 IC 卡 7 安全要求 是否遵從/不涉及 實(shí)現(xiàn)方式及措施 具有不同權(quán)限。 (總部 ) 防盜竊和防破壞 遵從 ? 主要設(shè)備放置在機(jī)房?jī)?nèi)。 ? 電力線纜、通信線纜采用架空橋架走線。 ? 機(jī)房關(guān)鍵區(qū)域安裝視頻攝像頭、紅外線感應(yīng)裝置。 ? 機(jī)房設(shè)置交流電源地線。（總部） 防火 遵從 ? 機(jī)房采用火災(zāi)溫感煙感報(bào)警系統(tǒng)，配備七氟丙烷自動(dòng)氣體滅火裝置。（總部） ? 設(shè)置重點(diǎn)防火區(qū)域，實(shí)施隔離防火。 ? 在關(guān)鍵節(jié)點(diǎn)部署漏水檢測(cè)設(shè)備。 防靜電 遵從 ? 機(jī)房均鋪設(shè)了防靜電地板。 ? 機(jī)房采用靜電消除器防止靜電產(chǎn)生。（總部） 溫度、濕度控制 遵從 ? 采用精密空調(diào)對(duì)溫濕度進(jìn)行自動(dòng)控制，溫度控制在 22177。 電力供應(yīng) 遵從 ? 在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備，電力控制在 10%以內(nèi)的波動(dòng)范圍，并采用穩(wěn)壓器和過電保護(hù)裝置控制電力波動(dòng)。 ? 設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電 。（總部） 電磁防護(hù) 遵從 ? 采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾。 ? 對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。 邊界類型 邊界描述 數(shù)據(jù)流分析 信息內(nèi)網(wǎng)橫向域間邊界 信息內(nèi)網(wǎng)網(wǎng)站與其他專業(yè)系統(tǒng)之間的邊界 ? 數(shù)據(jù)類型：指標(biāo)信息 ? 數(shù)據(jù)格式： XML 格式 ? 數(shù)據(jù)流向：?jiǎn)蜗蛄鲃?dòng) ? 實(shí)時(shí)性：定時(shí)傳輸 信息內(nèi)網(wǎng)縱向域間邊界 信息內(nèi)網(wǎng)省公司、地市公司之間的系統(tǒng)邊界 ? 數(shù)據(jù)類型：新聞數(shù)據(jù) ? 數(shù)據(jù)格式： XML 格式 ? 數(shù)據(jù)流向：雙向流動(dòng) ? 實(shí)時(shí)性：實(shí)時(shí)傳輸 邊界安全 邊界類型 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 信息內(nèi)網(wǎng)第三方邊界 ? 網(wǎng)絡(luò)訪問控制 ? 網(wǎng)絡(luò)入侵檢測(cè) ? 日志記錄與審計(jì) 不涉及 無 9 邊界類型 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 對(duì)于采用無線通道或第三方線路接入公司內(nèi)網(wǎng)應(yīng)遵循： ? 接入終端身份認(rèn)證 ? 終端安全準(zhǔn)入 ? 數(shù)據(jù)安全交換 ? 業(yè)務(wù)訪問控制 不涉及 無 信息外網(wǎng)第三方邊界 ? 網(wǎng)絡(luò)訪問控制 ? 網(wǎng)絡(luò)入 侵檢測(cè) ? 日志記錄與審計(jì) 不涉及 無 ? 對(duì)外發(fā)布服務(wù)的web 頁面內(nèi)容安全、病毒防范 不涉及 無 遠(yuǎn)程辦公及系統(tǒng)遠(yuǎn)程維護(hù)要求： ? 設(shè)備采用安全接入方式 ? 遠(yuǎn)程用戶接入身份認(rèn)證 不涉及 無 信息內(nèi)網(wǎng)橫向域邊界 ? 網(wǎng)絡(luò)訪問控制 ? 網(wǎng)絡(luò)入侵檢測(cè) 不涉及 無 信息內(nèi)外網(wǎng)邊界 ? 邏輯強(qiáng)隔離 ? 網(wǎng)絡(luò)入侵檢測(cè) 不涉及 無 信息內(nèi)網(wǎng)縱向邊界 ? 網(wǎng)絡(luò)訪問控制 ? 網(wǎng)絡(luò)入侵檢測(cè) ? 邊界流量監(jiān)測(cè) 不涉及 無 10 應(yīng)用安全 本系統(tǒng)的應(yīng)用層安全是從系統(tǒng)應(yīng)用層面確保信息被安全地傳輸和使用，在本層采用的手段通常有：身份認(rèn)證、授權(quán)、輸入輸出驗(yàn)證、配置管理、 會(huì) 話管理、加密技術(shù)、參數(shù)操作、異常管理等。 輸入輸出驗(yàn)證 遵從 ? 系統(tǒng)通過過濾器對(duì) URL 的請(qǐng)求參數(shù)以及表單的 GET、 POST等數(shù)據(jù)中包含 javascript 腳本等非法字符進(jìn)行過濾； ? 輸入輸出策略方面提供 GET 數(shù)據(jù)、 POST 數(shù)據(jù)驗(yàn)證格式，其余由 WEBSERVICE 框架驗(yàn)證； ? 對(duì)輸入內(nèi)容進(jìn)行規(guī)范化處理后再進(jìn)行驗(yàn)證，如文件路徑、 URL 地址等； 11 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 ? 在服務(wù)器端和客戶端都進(jìn)行輸入驗(yàn)證； ? 系統(tǒng)業(yè)務(wù)功能基于一定的正則表達(dá)式進(jìn)行輸入驗(yàn)證，以滿足不同場(chǎng)景的需要； ? 系統(tǒng)對(duì)用戶登錄等過程中的輸入進(jìn)行特殊字符的檢測(cè)，包括：?jiǎn)我?hào)、 1= or等，防止 SQL 注入攻擊。 會(huì)話管理 遵從 ? 當(dāng)?shù)卿洺晒笄宄f的 會(huì)話創(chuàng)建新會(huì)話； ? 用戶登錄成功后創(chuàng)建新的會(huì)話，會(huì)話 ID以隨機(jī) 36位 GUID保存在系統(tǒng)中，綁定當(dāng)前 IP地址、機(jī)器名等信息； ? 將會(huì)話認(rèn)證信息和會(huì)話有效期等會(huì)話數(shù)據(jù)保存在服務(wù)端，避免非法訪問，并進(jìn)行嚴(yán)格的輸入數(shù)據(jù)驗(yàn)證，避免非法篡改
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1