信息安全等級(jí)保護(hù)（二級(jí)）建設(shè)方案
目錄
1.項(xiàng)目概述
1.1.項(xiàng)目建設(shè)目標(biāo)
1.2.項(xiàng)目參考標(biāo)準(zhǔn)
1.3.方案設(shè)計(jì)原則
2.系統(tǒng)現(xiàn)狀分析
2.1.系統(tǒng)定級(jí)情況說明
2.2.業(yè)務(wù)系統(tǒng)說明
2.3.網(wǎng)絡(luò)結(jié)構(gòu)說明
3.安全需求分析
3.1.物理安全需求分析
3.2.網(wǎng)絡(luò)安全需求分析
3.3.主機(jī)安全需求分析
3.4.應(yīng)用安全需求分析
3.5.數(shù)據(jù)安全需求分析
3.6.安全管理制度需求分析
4.總體方案設(shè)計(jì)
4.1.總體設(shè)計(jì)目標(biāo)
4.2.總體安全體系設(shè)計(jì)
4.3.總體網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)
4.4.安全域劃分說明
5.詳細(xì)方案設(shè)計(jì)技術(shù)部分
5.1.物理安全
5.2.網(wǎng)絡(luò)安全
5.2.1.安全域邊界隔離技術(shù)
5.2.2.入侵防范技術(shù)
5.2.3.網(wǎng)頁防篡改技術(shù)
5.2.4.鏈路負(fù)載均衡技術(shù)
5.2.5.網(wǎng)絡(luò)安全審計(jì)
5.3.主機(jī)安全
5.3.1.數(shù)據(jù)庫安全審計(jì)
5.3.2.運(yùn)維堡壘主機(jī)
5.3.3.主機(jī)防病毒技術(shù)
5.4.應(yīng)用安全
6.詳細(xì)方案設(shè)計(jì)管理部分
6.1.總體安全方針與安全策略
6.2.信息安全管理制度
6.3.安全管理機(jī)構(gòu)
6.4.人員安全管理
6.5.系統(tǒng)建設(shè)管理
6.6.系統(tǒng)運(yùn)維管理
6.7.安全管理制度匯總
7.咨詢服務(wù)和系統(tǒng)測(cè)評(píng)
7.1.系統(tǒng)定級(jí)服務(wù)
7.2.風(fēng)險(xiǎn)評(píng)估和安全加固服務(wù)
7.2.1.漏洞掃描
7.2.2.滲透測(cè)試
7.2.3.配置核查
7.2.4.安全加固
7.2.5.安全管理制度編寫
7.2.6.安全培訓(xùn)
7.3.系統(tǒng)測(cè)評(píng)服務(wù)
8.項(xiàng)目預(yù)算與配置清單
8.1.項(xiàng)目預(yù)算一期（等保二級(jí)基本要求）
8.2.利舊安全設(shè)備使用說明
1. 項(xiàng)目概述
1.1. 項(xiàng)目建設(shè)目標(biāo)
為了進(jìn)一步貫徹落實(shí)教育行業(yè)信息安全等級(jí)保護(hù)制度，推進(jìn)學(xué)校信息安全等級(jí)保護(hù)工作，依照國家《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》、《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》等標(biāo)準(zhǔn)，對(duì)學(xué)校的網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行等級(jí)保護(hù)定級(jí)，按信息系統(tǒng)逐個(gè)編制定級(jí)報(bào)告和定級(jí)備案表，并指導(dǎo)學(xué)校信息化人員將定級(jí)材料提交當(dāng)?shù)毓矙C(jī)關(guān)備案。
本方案中，通過為滿足物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全五個(gè)方面基本技術(shù)要求進(jìn)行技術(shù)體系建設(shè)；為滿足安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理五個(gè)方面基本管理要求進(jìn)行管理體系建設(shè)。使得學(xué)校信息系統(tǒng)的等級(jí)保護(hù)建設(shè)方案最終既可以滿足等級(jí)保護(hù)的相關(guān)要求，又能夠全方面為學(xué)校的業(yè)務(wù)系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力。
本項(xiàng)目建設(shè)將完成以下目標(biāo)：
1、以學(xué)校信息系統(tǒng)現(xiàn)有基礎(chǔ)設(shè)施，建設(shè)并完成滿足等級(jí)保護(hù)二級(jí)系統(tǒng)基本要求的信息系統(tǒng)，確保學(xué)校的整體信息化建設(shè)符合相關(guān)要求。
2、建立安全管理組織機(jī)構(gòu)。成立信息安全工作組，學(xué)校負(fù)責(zé)人為安全責(zé)任人，擬定實(shí)施信息系統(tǒng)安全等級(jí)保護(hù)的具體方案，并制定相應(yīng)的崗位責(zé)任制，確保信息安全等級(jí)保護(hù)工作順利實(shí)施。
3、建立完善的安全技術(shù)防護(hù)體系。根據(jù)信息安全等級(jí)保護(hù)的要求，建立滿足二級(jí)要求的安全技術(shù)防護(hù)體系。
4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級(jí)保護(hù)的要求，制定各項(xiàng)信息系統(tǒng)安全管理制度，對(duì)安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程和執(zhí)行記錄文檔。
5、制定學(xué)校信息系統(tǒng)不中斷的應(yīng)急預(yù)案。應(yīng)急預(yù)案是安全等級(jí)保護(hù)的重要組成部分，按可能出現(xiàn)問題的不同情形制定相應(yīng)的應(yīng)急措施，在系統(tǒng)出現(xiàn)故障和意外且無法短時(shí)間恢復(fù)的情況下能確保生產(chǎn)活動(dòng)持續(xù)進(jìn)行。
6、安全培訓(xùn)：為學(xué)校信息化技術(shù)人員提供信息安全相關(guān)專業(yè)技術(shù)知識(shí)培訓(xùn)。
1.2. 項(xiàng)目參考標(biāo)準(zhǔn)
我司遵循國家信息安全等級(jí)保護(hù)指南等最新安全標(biāo)準(zhǔn)以及開展各項(xiàng)服務(wù)工作，配合學(xué)校的等級(jí)保護(hù)測(cè)評(píng)工作。本項(xiàng)目建設(shè)參考依據(jù)：
1.3. 方案設(shè)計(jì)原則
針對(duì)本次項(xiàng)目，等級(jí)保護(hù)整改方案的設(shè)計(jì)和實(shí)施將遵循以下原則：
保密性原則：我司對(duì)安全服務(wù)的實(shí)施過程和結(jié)果將嚴(yán)格保密，在未經(jīng)用戶方授權(quán)的情況下不會(huì)泄露給任何單位和個(gè)人，不會(huì)利用此數(shù)據(jù)進(jìn)行任何侵害客戶權(quán)益的行為；
標(biāo)準(zhǔn)性原則：服務(wù)設(shè)計(jì)和實(shí)施的全過程均依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準(zhǔn)進(jìn)行；根據(jù)等級(jí)保護(hù)二級(jí)基本要求，進(jìn)行分等級(jí)分安全域進(jìn)行安全設(shè)計(jì)和安全建設(shè)。
規(guī)范性原則：我司在各項(xiàng)安全服務(wù)工作中的過程和文檔，都具有很好的規(guī)范性（《南寧市學(xué)家科技有限公司安全服務(wù)實(shí)施規(guī)范》），可以便于項(xiàng)目的跟蹤和控制；
可控性原則：服務(wù)所使用的工具、方法和過程都會(huì)在深信服與用戶方雙方認(rèn)可的范圍之內(nèi)，服務(wù)進(jìn)度遵守進(jìn)度表的安排，保證雙方對(duì)服務(wù)工作的可控性；
整體性原則：服務(wù)的范圍和內(nèi)容整體全面，涉及的IT運(yùn)行的各個(gè)層面，避免由于遺漏造成未來的安全隱患；
最小影響原則：服務(wù)工作盡可能小的影響信息系統(tǒng)的正常運(yùn)行，不會(huì)對(duì)現(xiàn)有業(yè)務(wù)造成顯著影響。
體系化原則：在體系設(shè)計(jì)、建設(shè)中，深信服充分考慮到各個(gè)層面的安全風(fēng)險(xiǎn)，構(gòu)建完整的立體安全防護(hù)體系。
先進(jìn)性原則：為滿足后續(xù)不斷增長的業(yè)務(wù)需求、對(duì)安全產(chǎn)品、安全技術(shù)都充分考慮前瞻性要求，采用先進(jìn)、成熟的安全產(chǎn)品、技術(shù)和先進(jìn)的管理方法。
分步驟原則：根據(jù)用戶方要求，對(duì)用戶方安全保障體系進(jìn)行分期、分步驟的有序部署。
服務(wù)細(xì)致化原則：在項(xiàng)目咨詢、建設(shè)過程中深信服將充分結(jié)合自身的專業(yè)技術(shù)經(jīng)驗(yàn)與行業(yè)經(jīng)驗(yàn)相結(jié)合，結(jié)合用戶方的實(shí)際信息系統(tǒng)量身定做才可以保障其信息系統(tǒng)安全穩(wěn)定的運(yùn)行。
2. 系統(tǒng)現(xiàn)狀分析
2.1. 系統(tǒng)定級(jí)情況說明
學(xué)校綜合考慮了學(xué)校信息系統(tǒng)、學(xué)校信息系統(tǒng)的業(yè)務(wù)信息和系統(tǒng)服務(wù)類型，以及其受到破壞時(shí)可能受到侵害的客體以及受侵害的程度，經(jīng)學(xué)校省公安廳的批準(zhǔn)，已將學(xué)校系統(tǒng)等級(jí)定為等級(jí)保護(hù)第二級(jí)（S2A2G2），整體網(wǎng)絡(luò)信息化平臺(tái)按照二級(jí)進(jìn)行建設(shè)。
2.2. 業(yè)務(wù)系統(tǒng)說明
學(xué)校本次參加整改的共有X個(gè)信息系統(tǒng)，分別是學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)、學(xué)校系統(tǒng)，具體情況介紹如下：
學(xué)校門戶網(wǎng)站系統(tǒng)：2012年門戶網(wǎng)站（網(wǎng)絡(luò)版）歷經(jīng)系統(tǒng)開發(fā)、模擬測(cè)試、網(wǎng)絡(luò)、硬件設(shè)備安裝部署，在試點(diǎn)和實(shí)施過程當(dāng)中發(fā)現(xiàn)系統(tǒng)仍有不足之處，需要對(duì)系統(tǒng)進(jìn)行深入完善和改進(jìn)，主要考慮到由于門戶網(wǎng)站（網(wǎng)絡(luò)版）作為學(xué)校集中部署的網(wǎng)絡(luò)化重要業(yè)務(wù)系統(tǒng)，其具有應(yīng)用面廣、用戶規(guī)模大，并涉及到學(xué)校對(duì)互聯(lián)網(wǎng)形象，以及基于公眾網(wǎng)上部署的特性，因此系統(tǒng)自身和運(yùn)行環(huán)境均存在一定的安全風(fēng)險(xiǎn)，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護(hù)體系和措施。
學(xué)校OA系統(tǒng)：目前學(xué)校舊OA系統(tǒng)準(zhǔn)備停用，并且已經(jīng)開發(fā)和準(zhǔn)備上線新的業(yè)務(wù)系統(tǒng)，新的業(yè)務(wù)系統(tǒng)目前準(zhǔn)備對(duì)公網(wǎng)直接公開訪問，因此涉及到的能夠訪問到業(yè)務(wù)系統(tǒng)的規(guī)模比較大，而且整個(gè)網(wǎng)絡(luò)相對(duì)會(huì)比較復(fù)雜、流量多變，所以系統(tǒng)任有較多不足，在本次建設(shè)過程中應(yīng)該加強(qiáng)安全建設(shè)，系統(tǒng)自身和運(yùn)行環(huán)境均存在一定的安全風(fēng)險(xiǎn)，在數(shù)據(jù)傳輸、安全加密、網(wǎng)絡(luò)監(jiān)控、防入侵等方面的必須要建立一套更有效更完善的安全保護(hù)體系和措施。
2.3. 網(wǎng)絡(luò)結(jié)構(gòu)說明
學(xué)校信息系統(tǒng)網(wǎng)絡(luò)拓?fù)鋱D現(xiàn)狀如下：
3. 安全需求分析
3.1. 物理安全需求分析
目前在機(jī)房建設(shè)方面還存在如下問題：
1、 物理訪問控制；
2、 防雷擊；
3、 防火墻；
4、 防水防潮；
5、 溫濕度控制；
3.2. 網(wǎng)絡(luò)安全需求分析
邊界入侵防范：該信息系統(tǒng)無法實(shí)現(xiàn)對(duì)邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實(shí)現(xiàn)。
防web攻擊和網(wǎng)頁防篡改：該信息系統(tǒng)無法實(shí)現(xiàn)對(duì)邊界的訪問控制，需要部署下一代署防火墻等安全設(shè)備來實(shí)現(xiàn)。
安全域邊界安全審計(jì)：該信息系統(tǒng)無法實(shí)現(xiàn)對(duì)邊界的訪問控制，需要部署署網(wǎng)絡(luò)安全審計(jì)等安全設(shè)備來實(shí)現(xiàn)。
3.3. 主機(jī)安全需求分析
主機(jī)防病毒：該信息系統(tǒng)缺少主機(jī)防病毒的相關(guān)安全策略，需要配置網(wǎng)絡(luò)版主機(jī)防病毒系統(tǒng)，從而實(shí)現(xiàn)對(duì)全網(wǎng)主機(jī)的惡意代碼防范。
數(shù)據(jù)庫審計(jì)：該信息系統(tǒng)缺少針對(duì)數(shù)據(jù)的審計(jì)設(shè)備，不能很好的滿足主機(jī)安全審計(jì)的要求，需要部署專業(yè)的數(shù)據(jù)庫審計(jì)設(shè)備。
運(yùn)維堡壘機(jī)：該該信息系統(tǒng)無法實(shí)現(xiàn)管理員對(duì)網(wǎng)絡(luò)設(shè)備和服務(wù)器進(jìn)行管理時(shí)的雙因素認(rèn)證，需要部署堡壘機(jī)來實(shí)現(xiàn)。
漏洞掃描：需要部署漏洞掃描實(shí)現(xiàn)對(duì)全網(wǎng)漏洞的掃描。
3.4. 應(yīng)用安全需求分析
通信完整性和保密性：該信息系統(tǒng)無法實(shí)現(xiàn)對(duì)邊界的訪問控制，需要部署SSL VPN等安全設(shè)備來實(shí)現(xiàn)。
3.5. 數(shù)據(jù)安全需求分析
備份與恢復(fù)：該該信息系統(tǒng)沒有完善的數(shù)據(jù)備份與恢復(fù)方案，需要制定相關(guān)策略。同時(shí)，該信息系統(tǒng)沒有實(shí)現(xiàn)對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，建議部署雙鏈路確保設(shè)備冗余。
3.6. 安全管理制度需求分析
根據(jù)前期差距分析結(jié)果，該單位還欠缺較多安全管理制度，需要后續(xù)補(bǔ)充。
4. 總體方案設(shè)計(jì)
4.1. 總體設(shè)計(jì)目標(biāo)
學(xué)校的安全等級(jí)保護(hù)整改方案設(shè)計(jì)的總體目標(biāo)是依據(jù)國家等級(jí)保護(hù)的有關(guān)標(biāo)準(zhǔn)和規(guī)范，結(jié)合學(xué)校信息系統(tǒng)的現(xiàn)狀，對(duì)其進(jìn)行重新規(guī)劃和合規(guī)性整改，為其建立一個(gè)完整的安全保障體系，有效保障其系統(tǒng)業(yè)務(wù)的正常開展，保護(hù)敏感數(shù)據(jù)信息的安全，保證學(xué)校信息系統(tǒng)的安全防護(hù)能力達(dá)到《信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中第二級(jí)的相關(guān)技術(shù)和管理要求。
4.2. 總體安全體系設(shè)計(jì)
本項(xiàng)目提出的等級(jí)保護(hù)體系模型，必須依照國家等級(jí)保護(hù)的相關(guān)要求，利用密碼、代碼驗(yàn)證、可信接入控制等核心技術(shù)，在“一個(gè)中心三重防御”的框架下實(shí)現(xiàn)對(duì)信息系統(tǒng)的全面防護(hù)。整個(gè)體系模型如下圖所示：
安全管理中心
安全管理中心是整個(gè)等級(jí)保護(hù)體系中對(duì)信息系統(tǒng)進(jìn)行集中安全管理的平臺(tái)，是信息系統(tǒng)做到可測(cè)、可控、可管理的必要手段和措施。依照GB/T25070-2010 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求中對(duì)安全管理中心的要求，一個(gè)符合基于可信計(jì)算和主動(dòng)防御的等級(jí)保護(hù)體系模型的安全管理中心應(yīng)至少包含以下三個(gè)部分：
系統(tǒng)管理
實(shí)現(xiàn)對(duì)系統(tǒng)資源和運(yùn)行的配置。控制和管理，并對(duì)系統(tǒng)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對(duì)這些操作進(jìn)行審計(jì)。
安全管理
實(shí)現(xiàn)對(duì)系統(tǒng)中的主體、客體進(jìn)行統(tǒng)一標(biāo)記，對(duì)主體進(jìn)行授權(quán)，配置一致的安全策略，確保標(biāo)記、授權(quán)和安全策略的數(shù)據(jù)完整性，并對(duì)安全管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全管理操作，并進(jìn)行審計(jì)。
審計(jì)管理
實(shí)現(xiàn)對(duì)系統(tǒng)各個(gè)組成部分的安全審計(jì)機(jī)制進(jìn)行集中管理，包括根據(jù)安全審計(jì)策略對(duì)審計(jì)記錄進(jìn)行分類；提供按時(shí)間段開啟和關(guān)閉相應(yīng)類型的安全審計(jì)機(jī)制；對(duì)各類審計(jì)記錄進(jìn)行存儲(chǔ)、管理和查詢等；對(duì)審計(jì)記錄應(yīng)進(jìn)行分析，根據(jù)分析結(jié)果進(jìn)行處理。此外，對(duì)安全審計(jì)員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全審計(jì)操作。
此外，安全管理中心應(yīng)做到技術(shù)與管理并重，加強(qiáng)在安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等方面的管理力度，規(guī)范安全管理操作規(guī)程，建立完善的安全管理制度集。
安全計(jì)算環(huán)境
參照基于可信計(jì)算和主動(dòng)防御的等級(jí)保護(hù)模型，安全計(jì)算環(huán)境可劃分成節(jié)點(diǎn)和典型應(yīng)用兩個(gè)子系統(tǒng)。在解決方案中，這兩個(gè)子系統(tǒng)都將通過終端安全保護(hù)體系的建立來實(shí)現(xiàn)。
信息安全事故的源頭主要集中在用戶終端，要實(shí)現(xiàn)一個(gè)可信的、安全的計(jì)算環(huán)境，就必須從終端安全抓起。因此，依照等級(jí)保護(hù)在身份鑒別，訪問控制（包括強(qiáng)制訪問控制）、網(wǎng)絡(luò)行為控制（包括上網(wǎng)控制、違規(guī)外聯(lián)的控制）、應(yīng)用安全、數(shù)據(jù)安全、安全審計(jì)等方面的技術(shù)要求，可充分結(jié)合可信計(jì)算技術(shù)和主動(dòng)防御技術(shù)的先進(jìn)性和安全性，提出一個(gè)基于可信計(jì)算和主動(dòng)防御的終端安全保護(hù)體系模型，以實(shí)現(xiàn)從應(yīng)用層、系統(tǒng)層、核心層三個(gè)方面對(duì)計(jì)算環(huán)境的全面防護(hù)。
安全區(qū)域邊界
為保護(hù)邊界安全，本解決方案針對(duì)構(gòu)建一個(gè)安全的區(qū)域邊界提出的解決手段是在被保護(hù)的信息邊界部署一個(gè)“應(yīng)用訪問控制系統(tǒng)”。該系統(tǒng)應(yīng)可以實(shí)現(xiàn)以下功能：信息層的自主和強(qiáng)制訪問控制、防范SQL注入攻擊和跨站攻擊、抗DoS/DDoS攻擊端口掃描、數(shù)據(jù)包過濾、網(wǎng)絡(luò)地址換、安全審計(jì)等。由于國內(nèi)外在這一方面的相關(guān)技術(shù)非常成熟，因此，在本次系統(tǒng)整改總體設(shè)計(jì)中更多的是考慮如何將防火墻、防病毒網(wǎng)關(guān)、網(wǎng)絡(luò)安全審計(jì)系統(tǒng)、IDS、IPS、網(wǎng)管系統(tǒng)等有機(jī)地結(jié)合在一起，實(shí)現(xiàn)協(xié)同防護(hù)和聯(lián)動(dòng)處理。
此外，對(duì)于不同安全等級(jí)信息系統(tǒng)之間的互連邊界，可根據(jù)依照信息流向的高低，部署防火墻或安全隔離與信息交換系統(tǒng)，并配置相應(yīng)的安全策略以實(shí)現(xiàn)對(duì)信息流向的控制。
安全通信網(wǎng)絡(luò)
目前，在通信網(wǎng)絡(luò)安全方面，采用密碼等核心技術(shù)實(shí)現(xiàn)的各類VPN都可以很有效的解決這類問題，達(dá)到在滿足等級(jí)保護(hù)相關(guān)要求的同時(shí)，可靈活提高通信網(wǎng)絡(luò)安全性的效果。
4.3. 總體網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)
學(xué)校網(wǎng)絡(luò)架構(gòu)整體設(shè)計(jì)如下：
4.4. 安全域劃分說明
安全域的劃分是網(wǎng)絡(luò)防護(hù)的基礎(chǔ)，事實(shí)上每一個(gè)安全邊界所包含的區(qū)域都形成了一個(gè)安全域。這些區(qū)域具有不同的使命，具有不同的功能，分域保護(hù)的框架為明確各個(gè)域的安全等級(jí)奠定了基礎(chǔ)，保證了信息流在交換過程中的安全性。
在本項(xiàng)目中，將嚴(yán)格按照信息系統(tǒng)的重要性和網(wǎng)絡(luò)使用的邏輯特性劃分安全域，將劃分如下確定的安全域：
l 互聯(lián)網(wǎng)出口域，該區(qū)域說明如下：
l 專網(wǎng)出口域，該區(qū)域說明如下：主要承載互聯(lián)網(wǎng)出口，出口主干需要部署相應(yīng)的安全邊界產(chǎn)品。
l 終端接入域，該區(qū)域說明如下：主要是無線和有線終端接入；
l 對(duì)外服務(wù)器域，該區(qū)域說明如下：該區(qū)域主要承載對(duì)外發(fā)布服務(wù)器，比如學(xué)校的網(wǎng)站；
l 內(nèi)部服務(wù)器域，該區(qū)域說明如下：主要承載對(duì)內(nèi)的服務(wù)器和存儲(chǔ)，比如OA和學(xué)校專業(yè)先關(guān)零時(shí)性的試驗(yàn)服務(wù)器。
l 安全管理域，該區(qū)域說明如下：主要承載網(wǎng)絡(luò)管理先關(guān)設(shè)備，比如網(wǎng)管系統(tǒng)，防病毒升級(jí)服務(wù)器等。
5. 詳細(xì)方案設(shè)計(jì)技術(shù)部分
5.1. 物理安全
根據(jù)GB/T25070-2010 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求中物理安全的要求，應(yīng)從以下方面進(jìn)行整改：
5.2. 網(wǎng)絡(luò)安全
5.2.1. 安全域邊界隔離技術(shù)
根據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》，應(yīng)該在學(xué)校各安全域的邊界處部署防火墻設(shè)備，保證跨安全域的訪問都通過防火墻進(jìn)行控制管理。因此，在互聯(lián)網(wǎng)出口域邊界部署下一代防火墻，在內(nèi)網(wǎng)服務(wù)器區(qū)域邊界部署WEB應(yīng)用防火墻。
5.2.2. 入侵防范技術(shù)
根據(jù)等級(jí)保護(hù)基本要求，二級(jí)業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處實(shí)現(xiàn)入侵防范功能，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用入侵防御模塊非常有必要。二級(jí)業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處部署網(wǎng)絡(luò)層防病毒設(shè)備，并保證與主機(jī)層防病毒實(shí)現(xiàn)病毒庫的異構(gòu)。因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用防病毒模塊非常有必要。
5.2.3. 網(wǎng)頁防篡改技術(shù)
學(xué)校網(wǎng)站承載了學(xué)校等重要職責(zé)，暴露在互聯(lián)網(wǎng)上，隨時(shí)會(huì)面臨網(wǎng)頁被篡改及黑客攻擊的危險(xiǎn)，因此，在互聯(lián)網(wǎng)出口的下一代防火墻上啟用網(wǎng)頁防篡改功能非常有必要。
5.2.4. 鏈路負(fù)載均衡技術(shù)
根據(jù)等級(jí)保護(hù)基本要求，二級(jí)業(yè)務(wù)系統(tǒng)應(yīng)該在互聯(lián)網(wǎng)出口處進(jìn)行優(yōu)化控制，保證用戶訪問選擇最優(yōu)的鏈路。因此，建議在二期部署一套專業(yè)的鏈路負(fù)載均衡設(shè)備非常有必要。
5.2.5. 網(wǎng)絡(luò)安全審計(jì)
針對(duì)用戶訪問業(yè)務(wù)系統(tǒng)帶給我們的困擾以及諸多的安全隱患，必須部署一套日志審計(jì)系統(tǒng)利用實(shí)時(shí)跟蹤分析技術(shù)，從發(fā)起者、訪問時(shí)間、訪問對(duì)象、訪問方法、使用頻率各個(gè)角度，提供豐富的統(tǒng)計(jì)分析報(bào)告，幫助用戶在統(tǒng)一管理互聯(lián)網(wǎng)訪問日志的同時(shí)，及時(shí)發(fā)現(xiàn)安全隱患，協(xié)助優(yōu)化網(wǎng)絡(luò)資源的使用。
根據(jù)公安部等級(jí)保護(hù)基本要求，所有信息系統(tǒng)都需要部署日志審計(jì)系統(tǒng)，并保存3個(gè)月的日志，學(xué)校擁有龐大的網(wǎng)絡(luò)海量的數(shù)據(jù)交換，目前還沒有部署日志審計(jì)系統(tǒng)。因此，建議在二期部署一套日志審計(jì)系統(tǒng)對(duì)全網(wǎng)行為進(jìn)行監(jiān)控、日志進(jìn)行記錄。
部署設(shè)計(jì)：
日志審計(jì)系統(tǒng)旁路部署在核心交換上，實(shí)現(xiàn)全網(wǎng)的網(wǎng)絡(luò)行為的統(tǒng)一審計(jì)，收集網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)系統(tǒng)等設(shè)備的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等日志信息，并對(duì)收集到的日志信息進(jìn)行分類和關(guān)聯(lián)分析，并可根據(jù)審計(jì)人員的操作要求生成統(tǒng)計(jì)報(bào)表，方便查詢和生成報(bào)告，為網(wǎng)絡(luò)事件追溯提供證據(jù)。
5.3. 主機(jī)安全
5.3.1. 數(shù)據(jù)庫安全審計(jì)
建議在二期部署數(shù)據(jù)庫審計(jì)系統(tǒng)，實(shí)現(xiàn)對(duì)用戶行為、用戶事件及系統(tǒng)狀態(tài)加以審計(jì)，范圍覆蓋到每個(gè)用戶，從而把握數(shù)據(jù)庫系統(tǒng)的整體安全。
部署設(shè)計(jì)：
數(shù)據(jù)庫審計(jì)部署于數(shù)據(jù)庫前端交換機(jī)上，通過端口鏡像收集信息。
5.3.2. 運(yùn)維堡壘主機(jī)
對(duì)運(yùn)維的管理現(xiàn)狀進(jìn)行分析，我們認(rèn)為造成這種不安全現(xiàn)狀的原因是多方面的，總結(jié)起來主要有以下幾點(diǎn)：
各IT系統(tǒng)獨(dú)立的帳戶管理體系造成身份管理的換亂，而身份的唯一性又恰恰是認(rèn)證、授權(quán)、審計(jì)的依據(jù)和前提，因此身份的混亂實(shí)際上造成設(shè)備訪問的混亂。
各IT系統(tǒng)獨(dú)立管理，風(fēng)險(xiǎn)分散在各系統(tǒng)中，各個(gè)擊破困難大，這種管理方式造成了業(yè)務(wù)管理和安全之間的失衡。
核心服務(wù)器或設(shè)備的物理安全和臨機(jī)訪問安全通過門禁系統(tǒng)和錄像系統(tǒng)得以較好的解決，但是對(duì)他們的網(wǎng)絡(luò)訪問缺少控制或欠缺控制力度，在帳號(hào)、密碼、認(rèn)證、授權(quán)、審計(jì)等各方面缺乏有效的集中管理技術(shù)手段。
目前，學(xué)校使用數(shù)量眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器主機(jī)來提供基礎(chǔ)網(wǎng)絡(luò)服務(wù)、運(yùn)行關(guān)鍵業(yè)務(wù)、數(shù)據(jù)庫應(yīng)用、ERP和協(xié)同工作群件等服務(wù)。由于設(shè)備和服務(wù)器眾多，系統(tǒng)管理員壓力太大等因素，越權(quán)訪問、誤操作、濫用、惡意破壞等情況時(shí)有發(fā)生，這嚴(yán)重影響信息系統(tǒng)的運(yùn)行效能，另外黑客的惡意訪問也有可能獲取系統(tǒng)權(quán)限，闖入部門內(nèi)部網(wǎng)絡(luò)，造成不可估量的損失。如何提高系統(tǒng)運(yùn)維管理水平，跟蹤服務(wù)器上用戶的操作行為，防止黑客的入侵和破壞，提供控制和審計(jì)依據(jù)，降低運(yùn)維成本，滿足相關(guān)標(biāo)準(zhǔn)要求，越來越成為信息系統(tǒng)關(guān)心的問題，因此建議在學(xué)校二期安全建設(shè)有必要部署一套運(yùn)維堡壘主機(jī)來實(shí)現(xiàn)賬戶的安全維護(hù)。
部署設(shè)計(jì)：
運(yùn)維審計(jì)系統(tǒng)部署在安全管理域，通過交換機(jī)的訪問控制策略限定只能由堡壘主機(jī)內(nèi)控管理平臺(tái)直接訪問服務(wù)器的遠(yuǎn)程維護(hù)端口。維護(hù)人員對(duì)網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器系統(tǒng)進(jìn)行遠(yuǎn)程維護(hù)時(shí)，首先以 Web 方式登錄運(yùn)維審計(jì)系統(tǒng)，然后通過運(yùn)維審計(jì)系統(tǒng)上展現(xiàn)的訪問資源列表直接訪問授權(quán)資源。
5.3.3. 主機(jī)防病毒技術(shù)
學(xué)校目前網(wǎng)絡(luò)內(nèi)所有終端使用免費(fèi)的殺毒軟件，基本滿足等級(jí)保護(hù)二級(jí)的要求，但是現(xiàn)在主要服務(wù)器并沒有部署專業(yè)的殺毒軟件，建議第一期部署殺毒軟件。
部署設(shè)計(jì)
軟件客戶端部署在內(nèi)外防服務(wù)器上面，通過管理區(qū)域防病毒升級(jí)服務(wù)器對(duì)病毒規(guī)則庫進(jìn)行升級(jí)。
5.4. 應(yīng)用安全
根據(jù)等級(jí)保護(hù)的要求，二級(jí)業(yè)務(wù)系統(tǒng)必須加密傳輸，因此需要部署SSL VPN技術(shù)實(shí)現(xiàn)應(yīng)用系統(tǒng)遠(yuǎn)程訪問的加密，如果后期OA系統(tǒng)需要實(shí)現(xiàn)出差老師或則在外網(wǎng)的人能夠訪問需要上SSL VPN設(shè)備。
部署設(shè)計(jì)：
SSL VPN旁路部署于核心交換機(jī)上。
6. 詳細(xì)方案設(shè)計(jì)管理部分
安全管理體系的作用是通過建立健全組織機(jī)構(gòu)、規(guī)章制度，以及通過人員安全管理、安全教育與培訓(xùn)和各項(xiàng)管理制度的有效執(zhí)行，來落實(shí)人員職責(zé)，確定行為規(guī)范，保證技術(shù)措施真正發(fā)揮效用，與技術(shù)體系共同保障安全策略的有效貫徹和落實(shí)。信息安全管理體系主要包括組織機(jī)構(gòu)、規(guī)章制度、人員安全、安全教育和培訓(xùn)等四個(gè)方面內(nèi)容。
6.1. 總體安全方針與安全策略
總體安全方針與安全策略是指導(dǎo)用戶方所有信息安全工作的綱領(lǐng)性文件，是信息安全決策機(jī)構(gòu)對(duì)信息安全工作的決策和意圖的表述。總體安全方針與安全策略的作用在于統(tǒng)一對(duì)信息安全工作的認(rèn)識(shí)，規(guī)定信息安全的基本架構(gòu)，明確信息安全的根本目標(biāo)和原則。本次項(xiàng)目中深信服將協(xié)助用戶方確定安全管理體系的層次及建立方式，明確各層次在安全管理體系中的職責(zé)以及安全策略，建立具有高可操作性的考核體系，以加強(qiáng)安全策略及各項(xiàng)管理制度的可落實(shí)性。
我方為用戶方設(shè)計(jì)的總體安全方針與安全策略將具備以下特性：
安全策略緊緊圍繞行業(yè)的發(fā)展戰(zhàn)略，符合用戶方實(shí)際的信息安全需求，能保障與促進(jìn)信息化建設(shè)的順利進(jìn)行，避免理想化與不可操作性。
總體安全方針與安全策略中將明確闡述用戶方所有信息化建設(shè)項(xiàng)目在規(guī)劃設(shè)計(jì)、開發(fā)建設(shè)、運(yùn)行維護(hù)和變更廢棄等各階段，應(yīng)遵循的總體原則和要求。
安全策略在經(jīng)過用戶方信息安全決策機(jī)構(gòu)批準(zhǔn)之后，將具備指導(dǎo)和規(guī)范信息安全工作的效力。
安全策略中將規(guī)定其自身的時(shí)效性，當(dāng)信息系統(tǒng)運(yùn)行環(huán)境發(fā)生重大變化時(shí)，我方將協(xié)助用戶方及時(shí)對(duì)總體安全策略進(jìn)行必要的調(diào)整，并將調(diào)整后的策略提交用戶方信息安全決策機(jī)構(gòu)批準(zhǔn)。
6.2. 信息安全管理制度
根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。從安全策略主文檔中規(guī)定的安全各個(gè)方面所應(yīng)遵守的原則方法和指導(dǎo)性策略引出的具體管理規(guī)定、管理辦法和實(shí)施辦法，是具有可操作性，且必須得到有效推行和實(shí)施的制度。
制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對(duì)收發(fā)文進(jìn)行登記。
信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定，定期或不定期對(duì)安全管理制度進(jìn)行評(píng)審和修訂，修訂不足及進(jìn)行改進(jìn)。
6.3. 安全管理機(jī)構(gòu)
根據(jù)基本要求設(shè)置安全管理機(jī)構(gòu)的組織形式和運(yùn)作方式，明確崗位職責(zé)；
設(shè)置安全管理崗位，設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，根據(jù)要求進(jìn)行人員配備，配備專職安全員；成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。
建立授權(quán)與審批制度；
建立內(nèi)外部溝通合作渠道；
定期進(jìn)行全面安全檢查，特別是系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等。
6.4. 人員安全管理
人員安全管理主要包括人員錄用、離崗、考核、教育培訓(xùn)等內(nèi)容。
一般單位都有統(tǒng)一的人事管理部門負(fù)責(zé)人員管理，這里的人員安全管理主要指對(duì)關(guān)鍵崗位人員進(jìn)行的以安全為核心的管理，例如對(duì)關(guān)鍵崗位的人員采取在錄用或上崗前進(jìn)行全面、嚴(yán)格的安全審查和技能考核，與關(guān)鍵崗位人員簽署保密協(xié)議，對(duì)離崗人員撤銷系統(tǒng)帳戶和相關(guān)權(quán)限等措施。
只有注重對(duì)安全管理人員的培養(yǎng)，提高其安全防范意識(shí)，才能做到安全有效的防范，因此需要對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。培訓(xùn)的內(nèi)容包括單位的信息安全方針、信息安全方面的基礎(chǔ)知識(shí)、安全技術(shù)、安全標(biāo)準(zhǔn)、崗位操作規(guī)程、最新的工作流程、相關(guān)的安全責(zé)任要求、法律責(zé)任和懲戒措施等。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中人員安全管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。
6.5. 系統(tǒng)建設(shè)管理
系統(tǒng)建設(shè)管理的重點(diǎn)是與系統(tǒng)建設(shè)活動(dòng)相關(guān)的過程管理，由于主要的建設(shè)活動(dòng)是由服務(wù)方，如集成方、開發(fā)方、測(cè)評(píng)方、安全服務(wù)方等完成，運(yùn)營使用單位人員的主要工作是對(duì)之進(jìn)行管理，應(yīng)制定系統(tǒng)建設(shè)相關(guān)的管理制度，明確系統(tǒng)定級(jí)備案、方案設(shè)計(jì)、產(chǎn)品采購使用、軟件開發(fā)、工程實(shí)施、驗(yàn)收交付、等級(jí)測(cè)評(píng)、安全服務(wù)等活動(dòng)的管理責(zé)任部門、具體的管理內(nèi)容和控制方法，并按照管理制度落實(shí)各項(xiàng)管理措施，完整保存相關(guān)的管理記錄和過程文檔。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)建設(shè)管理。
6.6. 系統(tǒng)運(yùn)維管理
8、 環(huán)境和資產(chǎn)安全管理制度
環(huán)境包括計(jì)算機(jī)、網(wǎng)絡(luò)機(jī)房環(huán)境以及設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，明確環(huán)境安全管理的責(zé)任部門或責(zé)任人，加強(qiáng)對(duì)人員出入、來訪人員的控制，對(duì)有關(guān)物理訪問、物品進(jìn)出和環(huán)境安全等方面作出規(guī)定。對(duì)重要區(qū)域設(shè)置門禁控制手段，或使用視頻監(jiān)控等措施。
資產(chǎn)包括介質(zhì)、設(shè)備、設(shè)施、數(shù)據(jù)、軟件、文檔等，資產(chǎn)管理不等同于設(shè)備物資管理，而是從安全和信息系統(tǒng)角度對(duì)資產(chǎn)進(jìn)行管理，將資產(chǎn)作為信息系統(tǒng)的組成部分，按其在信息系統(tǒng)中的作用進(jìn)行管理。應(yīng)明確資產(chǎn)安全管理的責(zé)任部門或責(zé)任人，對(duì)資產(chǎn)進(jìn)行分類、標(biāo)識(shí)，編制與信息系統(tǒng)相關(guān)的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。
2、設(shè)備和介質(zhì)安全管理制度
明確配套設(shè)施、軟硬件設(shè)備管理、維護(hù)的責(zé)任部門或責(zé)任人，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護(hù)和維修等過程進(jìn)行控制，對(duì)介質(zhì)的存放、使用、維護(hù)和銷毀等方面作出規(guī)定，加強(qiáng)對(duì)涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控制。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。
3、日常運(yùn)行維護(hù)制度
明確網(wǎng)絡(luò)、系統(tǒng)日常運(yùn)行維護(hù)的責(zé)任部門或責(zé)任人，對(duì)運(yùn)行管理中的日常操作、賬號(hào)管理、安全配置、日志管理、補(bǔ)丁升級(jí)、口令更新等過程進(jìn)行控制和管理；制訂設(shè)備操作管理、業(yè)務(wù)應(yīng)用操作管理、變更控制和重用管理、信息交換管理相應(yīng)的管理制度；制定與信息系統(tǒng)安全管理相配套的規(guī)范和操作規(guī)程并落實(shí)執(zhí)行；正確實(shí)施為信息系統(tǒng)可靠運(yùn)行而采取的各種檢測(cè)、監(jiān)控、審計(jì)、分析、備份及容錯(cuò)等方法和措施，對(duì)運(yùn)行安全進(jìn)行監(jiān)督檢查。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。
4、集中安全管理制度
第二級(jí)以上信息系統(tǒng)應(yīng)按照統(tǒng)一的安全策略、安全管理要求，統(tǒng)一管理信息系統(tǒng)的安全運(yùn)行，進(jìn)行安全機(jī)制的配置與管理，對(duì)設(shè)備安全配置、惡意代碼、補(bǔ)丁升級(jí)、安全審計(jì)等進(jìn)行管理，對(duì)與安全有關(guān)的信息進(jìn)行匯集與分析，對(duì)安全機(jī)制進(jìn)行集中管理。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》和《信息系統(tǒng)安全管理要求》等。
8、 事件處置與應(yīng)急響應(yīng)制度
按照國家有關(guān)標(biāo)準(zhǔn)規(guī)定，確定信息安全事件的等級(jí)。結(jié)合信息系統(tǒng)安全保護(hù)等級(jí)，制定信息安全事件分級(jí)應(yīng)急處置預(yù)案，明確應(yīng)急處置策略，落實(shí)應(yīng)急指揮部門、執(zhí)行部門和技術(shù)支撐部門，建立應(yīng)急協(xié)調(diào)機(jī)制。落實(shí)安全事件報(bào)告制度，第二級(jí)以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時(shí)，運(yùn)營使用單位按照相應(yīng)預(yù)案開展應(yīng)急處置，并及時(shí)向受理備案的公安機(jī)關(guān)報(bào)告。組織應(yīng)急技術(shù)支撐力量和專家隊(duì)伍，按照應(yīng)急預(yù)案定期組織開展應(yīng)急演練。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理，同時(shí)可以參照《信息安全事件分類分級(jí)指南》和《信息安全事件管理指南》等。
8、 災(zāi)難備份制度
要對(duì)第二級(jí)以上信息系統(tǒng)采取災(zāi)難備份措施，防止重大事故、事件發(fā)生。識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等，制定數(shù)據(jù)的備份策略和恢復(fù)策略，建立備份與恢復(fù)管理相關(guān)的安全管理制度。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理和《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》。
8、 安全監(jiān)測(cè)制度
開展信息系統(tǒng)實(shí)時(shí)安全監(jiān)測(cè)，實(shí)現(xiàn)對(duì)物理環(huán)境、通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備、用戶行為和業(yè)務(wù)應(yīng)用等的監(jiān)測(cè)和報(bào)警，及時(shí)發(fā)現(xiàn)設(shè)備故障、病毒入侵、黑客攻擊、誤用和誤操作等安全事件，以便及時(shí)對(duì)安全事件進(jìn)行響應(yīng)與處置。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中系統(tǒng)運(yùn)維管理。
8、其他制度
對(duì)系統(tǒng)運(yùn)行維護(hù)過程中的其它活動(dòng)，如系統(tǒng)變更、密碼使用等進(jìn)行控制和管理。按國家密碼管理部門的規(guī)定，對(duì)信息系統(tǒng)中密碼算法和密鑰的使用進(jìn)行分級(jí)管理。
6.7. 安全管理制度匯總
制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項(xiàng)制度、措施的落實(shí)情況，并不斷完善。定期對(duì)信息系統(tǒng)安全狀況進(jìn)行自查，第二級(jí)系統(tǒng)每兩年自查一次，第三級(jí)信息系統(tǒng)每年自查一次，第四級(jí)信息系統(tǒng)每半年自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級(jí)要求的，應(yīng)當(dāng)進(jìn)一步開展整改。
具體依據(jù)標(biāo)準(zhǔn)《基本要求》中安全管理機(jī)構(gòu)，同時(shí)可以參照《信息系統(tǒng)安全管理要求》等。最終提交安全制度包括但不限于以下內(nèi)容：
總體安全策略（組織、流程、策略、技術(shù)）
崗位安全責(zé)任制度
第三方安全管理制度
系統(tǒng)日常安全管理工作制度
系統(tǒng)安全評(píng)估管理辦法
機(jī)房建設(shè)運(yùn)行標(biāo)準(zhǔn)
安全區(qū)域劃分及管理規(guī)定
管理信息區(qū)域網(wǎng)管制度
系統(tǒng)建設(shè)管理制度
設(shè)備入網(wǎng)安全管理制度
系統(tǒng)軟件和補(bǔ)丁管理制度
備份與恢復(fù)管理制度
賬號(hào)和口令及權(quán)限管理制度
介質(zhì)管理
加密技術(shù)使用管理辦法
應(yīng)急預(yù)案管理制度
安全事件報(bào)告和處置管理制度
安全審計(jì)管理
7. 咨詢服務(wù)和系統(tǒng)測(cè)評(píng)
7.1. 系統(tǒng)定級(jí)服務(wù)
協(xié)助用戶單位，依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》，確定信息系統(tǒng)的安全保護(hù)等級(jí)，準(zhǔn)備定級(jí)備案表和定級(jí)報(bào)告，協(xié)助用戶單位向所在地區(qū)的公安機(jī)關(guān)辦理備案手續(xù)。
7.2. 風(fēng)險(xiǎn)評(píng)估和安全加固服務(wù)
通過漏洞掃描、配置核查和滲透測(cè)試等技術(shù)手段發(fā)現(xiàn)系統(tǒng)中的漏洞，這些漏洞不能由安全設(shè)備解決，只能有安全加固解決。
7.2.1. 漏洞掃描
利用業(yè)界領(lǐng)先的多種掃描工具檢查整個(gè)網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的主機(jī)系統(tǒng)與數(shù)據(jù)庫系統(tǒng)的漏洞情況，并用人工對(duì)掃描結(jié)果進(jìn)行誤報(bào)分析，結(jié)果整理。目標(biāo)是發(fā)掘網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的安全漏洞，包括但不局限于：操作系統(tǒng)漏洞、網(wǎng)絡(luò)設(shè)備漏洞、中間件漏洞、數(shù)據(jù)庫漏洞、脆弱賬戶等，并提出漏洞修補(bǔ)建議
7.2.2. 滲透測(cè)試
模擬黑客的真實(shí)攻擊方法對(duì)系統(tǒng)和網(wǎng)絡(luò)進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試，旨在發(fā)現(xiàn)目標(biāo)系統(tǒng)這里，所有的滲透測(cè)試行為將在客戶的書面明確授權(quán)和監(jiān)督下進(jìn)行。通過遠(yuǎn)程滲透測(cè)試全面檢測(cè)信息系統(tǒng)清單中的系統(tǒng)（網(wǎng)站）直接暴露在互聯(lián)網(wǎng)上的安全隱患，并提供實(shí)際可行的安全修復(fù)建議。
7.2.3. 配置核查
通過配置核查工具和安全專家人工檢查想結(jié)合的方式，逐項(xiàng)檢查系統(tǒng)的各項(xiàng)配置和運(yùn)行狀態(tài)，評(píng)估對(duì)象應(yīng)包括各主機(jī)的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)庫，并出具評(píng)估報(bào)告。
7.2.4. 安全加固
根據(jù)漏洞掃描、配置核查和滲透測(cè)試的結(jié)果，對(duì)用戶單位提供安全加固建議（包括主機(jī)安全加固、網(wǎng)絡(luò)設(shè)備安全加固服務(wù)、安全設(shè)備安全加固優(yōu)化服務(wù)、數(shù)據(jù)庫系統(tǒng)安全加固服務(wù)、管理制度完善），并對(duì)具體的安全加固提供指導(dǎo)咨詢。
主機(jī)安全加固
主要對(duì)用戶單位所有主機(jī)系統(tǒng)（含虛擬機(jī)）進(jìn)行安全加固，內(nèi)容如下:
檢查主機(jī)系統(tǒng)的補(bǔ)丁管理；
賬號(hào)及口令策略；
網(wǎng)絡(luò)與服務(wù)
文件系統(tǒng)；
日志審核；
防火墻策略；
系統(tǒng)鉤子；
木馬、后門及rookit；
安全性增強(qiáng)；
網(wǎng)絡(luò)安全加固
主要對(duì)用戶單位所涉及的網(wǎng)絡(luò)設(shè)備進(jìn)行安全加固，內(nèi)容如下:
網(wǎng)絡(luò)設(shè)備的補(bǔ)丁管理及版本；
賬號(hào)及口令策略；
訪問控制；
網(wǎng)絡(luò)與服務(wù)；
日志審核
信息安全設(shè)備加固
安全設(shè)備是否配置最優(yōu)，實(shí)現(xiàn)其最優(yōu)功能和性能，保證網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行、是否存在漏洞或后門、自身的保護(hù)機(jī)制是否實(shí)現(xiàn)、檢查安全設(shè)備的補(bǔ)丁管理、賬號(hào)及口令策略、訪問控制、網(wǎng)絡(luò)與服務(wù)、日志審核，主要內(nèi)容如下：
關(guān)閉不必要系統(tǒng)服務(wù)
開啟系統(tǒng)各項(xiàng)審計(jì)功能
配置賬號(hào)、組策略
配置注冊(cè)表相應(yīng)的安全項(xiàng)
配置文件系統(tǒng)的權(quán)限
評(píng)估新補(bǔ)丁對(duì)操作系統(tǒng)及應(yīng)用系統(tǒng)的影響，在不影響系統(tǒng)正常使用的情況下，升級(jí)系統(tǒng)補(bǔ)丁
升級(jí)防病毒軟件的版本
數(shù)據(jù)庫系統(tǒng)安全加固
數(shù)據(jù)庫系統(tǒng)主要從系統(tǒng)版本、用戶賬號(hào)、口令管理、傳輸情況、文件系統(tǒng)、日志審核等方面進(jìn)行安全加固，主要內(nèi)容如下：
數(shù)據(jù)庫組件安裝優(yōu)化
適度應(yīng)用數(shù)據(jù)庫補(bǔ)丁程序
數(shù)據(jù)庫服務(wù)運(yùn)行權(quán)限改善
清理數(shù)據(jù)庫默認(rèn)配置無用賬號(hào)
改善程序包權(quán)限設(shè)置
改善登錄認(rèn)證方式設(shè)置
改善傳輸加密協(xié)議配置
設(shè)置客戶端連接IP限制策略
禁用Extproc功能
清理不必要的存儲(chǔ)過程
增強(qiáng)數(shù)據(jù)庫日志審計(jì)功能
7.2.5. 安全管理制度編寫
為用戶單位完成編寫信息安全管理制度，并保障該制度適合客戶方的需求，以及便于落地。具體制度詳細(xì)見詳細(xì)方案設(shè)計(jì)管理部分。
7.2.6. 安全培訓(xùn)
根據(jù)用戶單位要求，除了提供產(chǎn)品方面培訓(xùn)，將著重定制化與日常工作相關(guān)的安全培訓(xùn),具體的培訓(xùn)內(nèi)容將根據(jù)客戶提出的要求具體執(zhí)行。
7.3. 系統(tǒng)測(cè)評(píng)服務(wù)
為用戶選擇滿足國家要求的測(cè)評(píng)機(jī)構(gòu)（在本省等包辦推薦目錄下且在本省備案的測(cè)評(píng)機(jī)構(gòu)），完成對(duì)用戶單位信息系統(tǒng)的等級(jí)保護(hù)測(cè)評(píng)。
8. 項(xiàng)目預(yù)算與配置清單
8.1. 項(xiàng)目預(yù)算一期（等保二級(jí)基本要求）
請(qǐng)參照附表
8.2. 利舊安全設(shè)備使用說明
