等保三級系統(tǒng)加固及測評關(guān)鍵點

1、信息信息系統(tǒng)安全系統(tǒng)安全 加固加固 日期：日期：2016年年9月月 廣西廣西金普威信息系統(tǒng)有限公司金普威信息系統(tǒng)有限公司 nBefore 2005Before 2005 中華人民共和國計算機信息系統(tǒng)安全保護條例中華人民共和國計算機信息系統(tǒng)安全保護條例（1994年 國務(wù)院147號令） 國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見（中辦發(fā)200327號） 關(guān)于信息安全等級保護工作的關(guān)于信息安全等級保護工作的（公通字200466號） n20072007 信息安全等級保護信息安全等級保護（公通字200743號） 關(guān)于開展全國重要信息系統(tǒng)安全關(guān)于開展全

2、國重要信息系統(tǒng)安全的通知的通知 （公信安2007861號）上海市：滬公發(fā)2007319號 上海市迎世博信息安全保障兩年行動計劃上海市迎世博信息安全保障兩年行動計劃 n20092009 20092009年信息安全等級保護工作內(nèi)容及具體要求年信息安全等級保護工作內(nèi)容及具體要求（公信安（公信安20092322009232號）號） 關(guān)于組織開展關(guān)于組織開展20092009年度本市重要信息系統(tǒng)年度本市重要信息系統(tǒng)的通知的通知 （滬公發(fā)2009187號）滬公發(fā)2009173號、滬密局200939號、。 等級保護政策推進過程 n基礎(chǔ)類基礎(chǔ)類 n應用類應用類 信息系統(tǒng)通用安全技術(shù)要求GB/T 20271-20

3、06 信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求 信息系統(tǒng)安全等級保護測評過程指南 信息系統(tǒng)安全管理要求GB/T 20269-2006 信息系統(tǒng)安全工程管理要求GB/T 20282-2006 等級保護十大核心標準 等級保護完全實施過程 信息系統(tǒng)定級信息系統(tǒng)定級 安全總體規(guī)劃安全總體規(guī)劃 安全設(shè)計與實施安全設(shè)計與實施 安全運行維護安全運行維護 信息系統(tǒng)終止信息系統(tǒng)終止 安全等級測評安全等級測評 信息系統(tǒng)備案信息系統(tǒng)備案 安全整改設(shè)計安全整改設(shè)計 等級符合性檢查等級符合性檢查 應急預案及演練應急預案及演練 安全要求整改 安全等級整改 局部調(diào)整 等級變更 安全保護能力 基本安全要求 等保3級的信息系統(tǒng) 基本技

4、術(shù)措施基本管理措施 具備 包含包含 滿足滿足 實現(xiàn) 某級系統(tǒng) 物理安全 技術(shù)要求管理要求 基本要求 網(wǎng)絡(luò)安全 主機安全 應用安全 數(shù)據(jù)安全 安全管理機構(gòu) 安全管理制度 人員安全管理 系統(tǒng)建設(shè)管理 系統(tǒng)運維管理 指標類指標類 技術(shù)技術(shù)/管理管理層面層面 類數(shù)量類數(shù)量項數(shù)量項數(shù)量 S S類類 (3(3級級) A A類類 (3(3級級) G G類類 (3(3級級) 小計小計小計小計 安全技術(shù) 物理安全1181032 網(wǎng)絡(luò)安全106733 主機安全313732 應用安全522931 數(shù)據(jù)安全21038 安全管理 安全管理制度 N/A 311 安全管理機構(gòu)520 人員安全管理516 系統(tǒng)建設(shè)管理1145

5、 系統(tǒng)運維管理1360 合 計 物理安全主要涉及的方面包括環(huán)境環(huán)境安全（防火、 防水、防雷擊等）設(shè)備設(shè)備和介質(zhì)介質(zhì)的防盜竊防破壞等 方面。 物理安全具體包括：1010個控制點個控制點 物理位置的選擇（G）、 物理訪問控制（G）、 防盜竊和防破壞（G）、 防雷擊（G)、 防火（G）、防水和防潮（G） 、防靜電 （G） 、溫濕度控制（G）、電力供應（A）、 電磁防護（S） 物理位置的選擇物理位置的選擇 基本防護能力 高層、地下室高層、地下室 物理訪問控制物理訪問控制 基本出入控制 分區(qū)域管理分區(qū)域管理 在機房中的活動 電子門禁電子門禁 防盜竊和防破壞防盜竊和防破壞 存放位置、標記標識 監(jiān)控報警系統(tǒng)

6、監(jiān)控報警系統(tǒng) 防雷擊防雷擊 建筑防雷、機房接地 設(shè)備防雷設(shè)備防雷 防火防火 滅火設(shè)備、自動報警 自動消防系統(tǒng)自動消防系統(tǒng)區(qū)域隔離措施區(qū)域隔離措施 防防靜電靜電 關(guān)鍵設(shè)備 主要設(shè)備主要設(shè)備防靜電地板防靜電地板 電力供應電力供應 穩(wěn)定電壓、短期供應 主要設(shè)備主要設(shè)備冗余冗余/并行線路并行線路 備用供電系統(tǒng)備用供電系統(tǒng) 電磁防護電磁防護 線纜隔離 接地防干擾接地防干擾 電磁屏蔽電磁屏蔽 防水和防潮防水和防潮溫濕度控制溫濕度控制 物理安全的整改要點 物理位置選擇物理訪問控制防盜竊和防破壞 防雷擊、防火、防水和防潮、防靜電、溫濕度控制 電力供應 電磁防護 不做硬 性要求 網(wǎng)絡(luò)安全主要關(guān)注的方面包括：網(wǎng)絡(luò)

7、結(jié)構(gòu)、網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng) 絡(luò)邊界以及網(wǎng)絡(luò)設(shè)備絡(luò)邊界以及網(wǎng)絡(luò)設(shè)備自身安全等。 網(wǎng)絡(luò)安全具體包括：7 7個控制點個控制點 結(jié)構(gòu)安全(G)、訪問控制(G)、安全審計(G)、 邊界完整性檢查(A)、入侵防范(G)、 惡意代碼防范(G)、網(wǎng)絡(luò)設(shè)備防護(G) 結(jié)構(gòu)安全結(jié)構(gòu)安全 關(guān)鍵設(shè)備冗余空間主要設(shè)備冗余空間主要設(shè)備冗余空間 訪問控制訪問控制 訪問控制設(shè)備（用戶、網(wǎng)段） 應用層協(xié)議過濾應用層協(xié)議過濾 撥號訪問限制 會話終止會話終止 安全審計安全審計 日志記錄 審計報表審計報表 邊界完整性檢查邊界完整性檢查 內(nèi)部的非法聯(lián)出 非授權(quán)設(shè)備私自外聯(lián)非授權(quán)設(shè)備私自外聯(lián) 網(wǎng)絡(luò)安全的整改要點 子網(wǎng)/網(wǎng)段控制 核心網(wǎng)絡(luò)帶寬整

8、體網(wǎng)絡(luò)帶寬整體網(wǎng)絡(luò)帶寬 重要網(wǎng)段部署重要網(wǎng)段部署 路由控制路由控制 帶寬分配優(yōu)先級帶寬分配優(yōu)先級 端口控制端口控制 最大流量數(shù)及最大連接數(shù)最大流量數(shù)及最大連接數(shù) 防止地址欺騙防止地址欺騙 審計記錄的保護審計記錄的保護 定位及阻斷定位及阻斷 入侵防范入侵防范 檢測常見攻擊 記錄、報警記錄、報警 惡意代碼防范惡意代碼防范網(wǎng)絡(luò)邊界處防范網(wǎng)絡(luò)邊界處防范 網(wǎng)絡(luò)設(shè)備防護網(wǎng)絡(luò)設(shè)備防護 基本的登錄鑒別 組合鑒別技術(shù)組合鑒別技術(shù)特權(quán)用戶的權(quán)限分離特權(quán)用戶的權(quán)限分離 結(jié)構(gòu)安全訪問控制安全審計邊界完整性檢查入侵防范 惡意代碼防范網(wǎng)絡(luò)設(shè)備防護 主機系統(tǒng)安全是包括服務(wù)器、終端服務(wù)器、終端/ /工作站工作站等在 內(nèi)的計算

9、機設(shè)備在操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)層面 的安全。 主機安全具體包括：7 7個控制點個控制點 身份鑒別(S)、訪問控制(S)、安全審計(G)、 剩余信息保護(S)、入侵防范(G)、 惡意代碼防范(G)、資源控制(A) 身份鑒別身份鑒別 基本的身份鑒別 訪問控制訪問控制 安全策略管理用戶的權(quán)限分離管理用戶的權(quán)限分離 特權(quán)用戶的權(quán)限分離 安全審計安全審計 服務(wù)器基本運行情況審計 審計報表審計報表 剩余信息保護剩余信息保護空間釋放及信息清除空間釋放及信息清除 主機安全的整改要點 組合鑒別技術(shù)組合鑒別技術(shù) 敏感標記的設(shè)置及操作敏感標記的設(shè)置及操作 審計記錄的保護審計記錄的保護 入侵防范入侵

10、防范 最小安裝原則重要服務(wù)器：檢測、記錄、報警重要服務(wù)器：檢測、記錄、報警 惡意代碼防范惡意代碼防范主機與網(wǎng)絡(luò)的防范產(chǎn)品不同主機與網(wǎng)絡(luò)的防范產(chǎn)品不同 資源控制資源控制 監(jiān)視重要服務(wù)器監(jiān)視重要服務(wù)器 最小服務(wù)水平的檢測及報警最小服務(wù)水平的檢測及報警 重要客戶端的審計重要客戶端的審計 升級服務(wù)器重要程序完整性重要程序完整性 防惡意代碼軟件、代碼庫統(tǒng)一管理 對用戶會話數(shù)及終端登錄的限制 身份鑒別訪問控制安全審計剩余信息保護入侵防范 比較超前 較難實現(xiàn) 惡意代碼防范資源控制 應用系統(tǒng)的安全就是保護系統(tǒng)的各種應用程序應用程序安全 運行。包括基本應用基本應用，如：消息發(fā)送、web瀏覽等； 業(yè)務(wù)應用業(yè)務(wù)應用

11、，如：電子商務(wù)、電子政務(wù)等。 應用安全具體包括：9 9個控制點個控制點 身份鑒別（S）、訪問控制（S）、安全審計 （G）、剩余信息保護（S）、通信完整性（S）、 通信保密性（S）、抗抵賴（G）、軟件容錯（A）、 資源控制（A） 身份鑒別身份鑒別 基本的身份鑒別 訪問控制訪問控制 安全策略 最小授權(quán)原則 安全審計安全審計 運行情況審計（用戶級） 審計報表審計報表 剩余信息保護剩余信息保護空間釋放及信息清除空間釋放及信息清除 應用安全的整改要點 組合鑒別技術(shù)組合鑒別技術(shù) 敏感標記的設(shè)置及操作敏感標記的設(shè)置及操作 審計過程的保護審計過程的保護 通信完整性通信完整性 校驗碼技術(shù) 密碼技術(shù)密碼技術(shù) 軟件

12、容錯軟件容錯自動保護功能自動保護功能 資源控制資源控制 資源分配限制、資源分配優(yōu)先級資源分配限制、資源分配優(yōu)先級 最小服務(wù)水平的檢測及報警最小服務(wù)水平的檢測及報警 數(shù)據(jù)有效性檢驗、部分運行保護 對用戶會話數(shù)及 系統(tǒng)最大并發(fā)會話數(shù)的限制 審計記錄的保護 通信保密性通信保密性 初始化驗證 整個報文及會話過程加密整個報文及會話過程加密 敏感信息加密 抗抵賴抗抵賴 身份鑒別訪問控制安全審計剩余信息保護通信完整性通信保密性 抗抵賴軟件容錯資源控制 比較超前 較難實現(xiàn) 比較超前 較難實現(xiàn) 可通過配置 服務(wù)達到部 分要求 數(shù)據(jù)安全主要是保護用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè)用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè) 務(wù)數(shù)據(jù)務(wù)數(shù)據(jù)的保護。將

13、對數(shù)據(jù)造成的損害降至最小。 備份恢復也是防止數(shù)據(jù)被破壞后無法恢復的重 要手段，主要包括數(shù)據(jù)備份、硬件冗余和異地數(shù)據(jù)備份、硬件冗余和異地 實時備份實時備份。 數(shù)據(jù)安全和備份恢復具體包括：3 3個控制點個控制點 數(shù)據(jù)完整性（S）、數(shù)據(jù)保密性（S）、 備份和恢復（A） 數(shù)據(jù)完整性數(shù)據(jù)完整性 鑒別數(shù)據(jù)傳輸?shù)耐暾?備份和恢復備份和恢復 重要數(shù)據(jù)的備份 數(shù)據(jù)安全及備份恢復的整改要點 各類數(shù)據(jù)傳輸及存儲各類數(shù)據(jù)傳輸及存儲 異地備份異地備份 網(wǎng)絡(luò)冗余、硬件冗余網(wǎng)絡(luò)冗余、硬件冗余 本地完全備份本地完全備份 硬件冗余 檢測和恢復檢測和恢復 數(shù)據(jù)保密性數(shù)據(jù)保密性 鑒別數(shù)據(jù)存儲的保密性 各類數(shù)據(jù)的傳輸及存儲各類數(shù)據(jù)

14、的傳輸及存儲 每天每天1次次 備份介質(zhì)場外存放備份介質(zhì)場外存放 數(shù)據(jù)完整性數(shù)據(jù)保密性備份與恢復 僅世博相 關(guān)單位 23 管理制度管理制度 管理機構(gòu)管理機構(gòu) 人員管理人員管理 系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理 系統(tǒng)運維管理系統(tǒng)運維管理 環(huán)境管理、 資產(chǎn)管理、 介質(zhì)管理、 設(shè)備管理、 監(jiān)控管理和安全管理 中心、 網(wǎng)絡(luò)安全管理、 系統(tǒng)安全管理、 惡意代碼防范管理、 密碼管理、 變更管理、 備份與恢復管理、 安全事件處置、 應急預案管理 信息 系統(tǒng) 安全管理制度包括信息安全工作的總體方針、總體方針、 策略、規(guī)范策略、規(guī)范各種安全管理活動的管理制度管理制度以及 管理人員或操作人員日常操作的操作規(guī)程操作規(guī)程。 安

15、全管理制度具體包括：3 3個控制點個控制點 管理制度、制定和發(fā)布、評審和修訂 整改要點：整改要點：形成信息安全管理制度體系、 統(tǒng)一發(fā)布、定期修訂等 安全管理機構(gòu)主要是在單位的內(nèi)部結(jié)構(gòu)上建 立一整套從單位最高管理層最高管理層（董事會）到執(zhí)執(zhí) 行管理層行管理層以及業(yè)務(wù)運營層業(yè)務(wù)運營層的管理結(jié)構(gòu)來約束 和保證各項安全管理措施的執(zhí)行。 安全管理機構(gòu)具體包括：5 5個控制點個控制點 崗位設(shè)置、人員配備、授權(quán)和審批、 溝通和合作、審核和檢查 整改要點：整改要點：信息安全領(lǐng)導小組與職能部門、 專職安全員、定期全面安全檢查、定期協(xié)調(diào) 會議、外部溝通與合作等 對人員安全的管理，主要涉及兩方面： 對內(nèi)部內(nèi)部 人員

16、人員的安全管理和對外部人員外部人員的安全管理。 人員安全管理具體包括：5 5個控制點個控制點 人員錄用、人員離崗、人員考核、 安全意識教育及培訓、外部人員訪問管理 整改要點：整改要點：全員保密協(xié)議、關(guān)鍵崗位人員管理、 針對不同崗位的培訓計劃、外部人員訪問管理 系統(tǒng)建設(shè)管理分別從定級、設(shè)計建設(shè)實施、驗收交付、定級、設(shè)計建設(shè)實施、驗收交付、 測評測評等方面考慮，關(guān)注各項安全管理活動。 系統(tǒng)建設(shè)管理具體包括：1111個控制點個控制點 系統(tǒng)定級、安全方案設(shè)計、產(chǎn)品采購和使用、 自行軟件開發(fā)、外包軟件開發(fā)、工程實施、 測試驗收、系統(tǒng)交付、系統(tǒng)備案、等級測評、 安全服務(wù)商選擇 整改要點：整改要點：系統(tǒng)定級

17、的論證、總體規(guī)劃、產(chǎn)品選型測試、 開發(fā)過程的人員控制、工程實施制度化、第三方委托測 試、運行起30 天內(nèi)備案、每年進行1次等級測評、安全 服務(wù)商的選擇 系統(tǒng)運維管理涉及日常管理、變更管理、制度化管理、日常管理、變更管理、制度化管理、 安全事件處置、應急預案管理和安管中心安全事件處置、應急預案管理和安管中心等。 系統(tǒng)運維管理具體包括：1313個控制點個控制點 環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、 監(jiān)控管理和安全管理中心、網(wǎng)絡(luò)安全管理、 系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、 變更管理、備份與恢復管理、安全事件處置、 應急預案管理 整改要點：整改要點：辦公環(huán)境保密性、資產(chǎn)的標識和分類管理、 介質(zhì)/設(shè)備/系統(tǒng)/網(wǎng)絡(luò)/密碼/備份與恢復的制度化管理、 建立安全管理中心、安全事件分類分級響應、 應急預案的演練和審查 不滿足項分布, 物理 安全, 2, 11% 不滿足項分布, 網(wǎng)絡(luò) 安全, 3, 17% 不滿足項分布, 主機 安全, 4, 22