社會管理服務(wù)信息平臺項目信安全等級保護設(shè)計方案

1、鳳翔縣社會管理服務(wù)信息平臺項目信息系統(tǒng)信息安全等級保護設(shè)計方案第 PAGE 132 頁 共 NUMPAGES 132 頁鳳翔縣社會管理服務(wù)信息平臺項目信息系統(tǒng)信息安全等級保護設(shè)計方案西安鼎藍通訊技術(shù)有限公司2013年6月目 錄 TOC o 1-3 h z u HYPERLINK l _Toc364501199 1前言 PAGEREF _Toc364501199 h 6 HYPERLINK l _Toc364501200 2設(shè)計方案概述 PAGEREF _Toc364501200 h 7 HYPERLINK l _Toc364501201 2.1編制背景 PAGEREF _Toc36450120

2、1 h 7 HYPERLINK l _Toc364501202 2.2編制目的 PAGEREF _Toc364501202 h 7 HYPERLINK l _Toc364501203 2.3建設(shè)內(nèi)容 PAGEREF _Toc364501203 h 7 HYPERLINK l _Toc364501204 3系統(tǒng)建設(shè)情況描述 PAGEREF _Toc364501204 h 8 HYPERLINK l _Toc364501205 3.1物理環(huán)境分析 PAGEREF _Toc364501205 h 8 HYPERLINK l _Toc364501206 3.2網(wǎng)絡(luò)架構(gòu)描述 PAGEREF _Toc36

3、4501206 h 8 HYPERLINK l _Toc364501207 3.3外網(wǎng)應(yīng)用系統(tǒng)分析 PAGEREF _Toc364501207 h 9 HYPERLINK l _Toc364501208 3.3.1百姓網(wǎng)站系統(tǒng) PAGEREF _Toc364501208 h 9 HYPERLINK l _Toc364501209 3.4網(wǎng)絡(luò)設(shè)備情況 PAGEREF _Toc364501209 h 10 HYPERLINK l _Toc364501210 3.5服務(wù)器設(shè)備情況 PAGEREF _Toc364501210 h 10 HYPERLINK l _Toc364501211 3.6安全設(shè)備

4、情況 PAGEREF _Toc364501211 h 11 HYPERLINK l _Toc364501212 3.6.1防火墻系統(tǒng) PAGEREF _Toc364501212 h 11 HYPERLINK l _Toc364501213 3.6.2網(wǎng)絡(luò)入侵防御系統(tǒng) PAGEREF _Toc364501213 h 11 HYPERLINK l _Toc364501214 3.6.3網(wǎng)絡(luò)入侵檢測系統(tǒng) PAGEREF _Toc364501214 h 12 HYPERLINK l _Toc364501215 3.6.4網(wǎng)絡(luò)行為審計系統(tǒng) PAGEREF _Toc364501215 h 12 HYPER

5、LINK l _Toc364501216 3.6.5終端安全管理系統(tǒng) PAGEREF _Toc364501216 h 12 HYPERLINK l _Toc364501217 3.6.6終端防病毒 PAGEREF _Toc364501217 h 12 HYPERLINK l _Toc364501218 4外網(wǎng)安全需求分析 PAGEREF _Toc364501218 h 13 HYPERLINK l _Toc364501219 4.1系統(tǒng)定級建議 PAGEREF _Toc364501219 h 13 HYPERLINK l _Toc364501220 4.1.1確定定級對象 PAGEREF _T

6、oc364501220 h 13 HYPERLINK l _Toc364501221 4.1.2確定系統(tǒng)等級 PAGEREF _Toc364501221 h 14 HYPERLINK l _Toc364501222 4.2外網(wǎng)安全風(fēng)險分析 PAGEREF _Toc364501222 h 25 HYPERLINK l _Toc364501223 4.2.1物理安全風(fēng)險 PAGEREF _Toc364501223 h 25 HYPERLINK l _Toc364501224 4.2.2網(wǎng)絡(luò)安全風(fēng)險 PAGEREF _Toc364501224 h 26 HYPERLINK l _Toc3645012

7、25 4.2.3主機安全風(fēng)險 PAGEREF _Toc364501225 h 28 HYPERLINK l _Toc364501226 4.2.4應(yīng)用安全風(fēng)險 PAGEREF _Toc364501226 h 30 HYPERLINK l _Toc364501227 4.2.5數(shù)據(jù)安全風(fēng)險 PAGEREF _Toc364501227 h 32 HYPERLINK l _Toc364501228 4.2.6管理風(fēng)險 PAGEREF _Toc364501228 h 33 HYPERLINK l _Toc364501229 4.3安全需求分析 PAGEREF _Toc364501229 h 35 HY

8、PERLINK l _Toc364501230 4.3.1符合等級保護技術(shù)要求的需求 PAGEREF _Toc364501230 h 35 HYPERLINK l _Toc364501231 4.3.2符合等級保護管理要求的需求 PAGEREF _Toc364501231 h 40 HYPERLINK l _Toc364501232 4.3.3符合自身安全防護的需求 PAGEREF _Toc364501232 h 49 HYPERLINK l _Toc364501233 5外網(wǎng)總體方案設(shè)計 PAGEREF _Toc364501233 h 52 HYPERLINK l _Toc364501234

9、 5.1設(shè)計目的 PAGEREF _Toc364501234 h 52 HYPERLINK l _Toc364501235 5.2設(shè)計原則 PAGEREF _Toc364501235 h 52 HYPERLINK l _Toc364501236 5.3設(shè)計參考標準 PAGEREF _Toc364501236 h 54 HYPERLINK l _Toc364501237 5.3.1信息系統(tǒng)安全等級保護標準和規(guī)范 PAGEREF _Toc364501237 h 55 HYPERLINK l _Toc364501238 5.3.2其他信息安全標準和規(guī)范 PAGEREF _Toc364501238 h

10、 55 HYPERLINK l _Toc364501239 5.4總體安全方案設(shè)計概述 PAGEREF _Toc364501239 h 56 HYPERLINK l _Toc364501240 5.4.1構(gòu)建分域的控制體系 PAGEREF _Toc364501240 h 56 HYPERLINK l _Toc364501241 5.4.2構(gòu)建縱深的防御體系 PAGEREF _Toc364501241 h 57 HYPERLINK l _Toc364501242 5.4.3保證一致的安全強度 PAGEREF _Toc364501242 h 57 HYPERLINK l _Toc364501243

11、 5.5分域保護框架建立 PAGEREF _Toc364501243 h 57 HYPERLINK l _Toc364501244 5.5.1等級保護中對網(wǎng)絡(luò)結(jié)構(gòu)安全的要求和實現(xiàn) PAGEREF _Toc364501244 h 57 HYPERLINK l _Toc364501245 5.5.2安全域的定義 PAGEREF _Toc364501245 h 58 HYPERLINK l _Toc364501246 5.5.3安全域劃分的原則 PAGEREF _Toc364501246 h 59 HYPERLINK l _Toc364501247 5.5.4外網(wǎng)安全域劃分 PAGEREF _Toc

12、364501247 h 59 HYPERLINK l _Toc364501248 5.5.5外網(wǎng)域控制原則 PAGEREF _Toc364501248 h 61 HYPERLINK l _Toc364501249 5.5.6外網(wǎng)VLAN劃分建議 PAGEREF _Toc364501249 h 62 HYPERLINK l _Toc364501250 5.6確定分域框架下的保護強度 PAGEREF _Toc364501250 h 64 HYPERLINK l _Toc364501251 5.7外網(wǎng)總體安全策略設(shè)計 PAGEREF _Toc364501251 h 65 HYPERLINK l _T

13、oc364501252 5.7.1物理安全策略 PAGEREF _Toc364501252 h 65 HYPERLINK l _Toc364501253 5.7.2網(wǎng)絡(luò)安全策略 PAGEREF _Toc364501253 h 66 HYPERLINK l _Toc364501254 5.7.3系統(tǒng)安全策略 PAGEREF _Toc364501254 h 67 HYPERLINK l _Toc364501255 5.7.4應(yīng)用安全策略 PAGEREF _Toc364501255 h 68 HYPERLINK l _Toc364501256 5.7.5安全管理策略 PAGEREF _Toc3645

14、01256 h 68 HYPERLINK l _Toc364501257 5.8外網(wǎng)基于分域保護的總體設(shè)計 PAGEREF _Toc364501257 h 69 HYPERLINK l _Toc364501258 6外網(wǎng)安全技術(shù)方案詳細設(shè)計 PAGEREF _Toc364501258 h 69 HYPERLINK l _Toc364501259 6.1外網(wǎng)的物理安全設(shè)計 PAGEREF _Toc364501259 h 69 HYPERLINK l _Toc364501260 6.1.1等保對物理安全防護的技術(shù)要求 PAGEREF _Toc364501260 h 69 HYPERLINK l _

15、Toc364501261 6.1.2對物理安全防護的技術(shù)實現(xiàn) PAGEREF _Toc364501261 h 71 HYPERLINK l _Toc364501262 6.2外網(wǎng)的網(wǎng)絡(luò)安全設(shè)計 PAGEREF _Toc364501262 h 74 HYPERLINK l _Toc364501263 6.2.1網(wǎng)絡(luò)訪問控制 PAGEREF _Toc364501263 h 74 HYPERLINK l _Toc364501264 6.2.2網(wǎng)絡(luò)入侵防護 PAGEREF _Toc364501264 h 79 HYPERLINK l _Toc364501265 6.2.3網(wǎng)絡(luò)安全審計 PAGEREF

16、_Toc364501265 h 84 HYPERLINK l _Toc364501266 6.2.4其他網(wǎng)絡(luò)安全設(shè)計 PAGEREF _Toc364501266 h 86 HYPERLINK l _Toc364501267 6.3外網(wǎng)的主機安全設(shè)計 PAGEREF _Toc364501267 h 90 HYPERLINK l _Toc364501268 6.3.1系統(tǒng)主機及終端惡意代碼防范 PAGEREF _Toc364501268 h 90 HYPERLINK l _Toc364501269 6.3.2外網(wǎng)終端桌面安全管理系統(tǒng) PAGEREF _Toc364501269 h 93 HYPER

17、LINK l _Toc364501270 6.3.3其他主機安全設(shè)計 PAGEREF _Toc364501270 h 96 HYPERLINK l _Toc364501271 6.4外網(wǎng)的應(yīng)用安全設(shè)計 PAGEREF _Toc364501271 h 104 HYPERLINK l _Toc364501272 6.4.1等保對應(yīng)用安全防護的技術(shù)要求 PAGEREF _Toc364501272 h 104 HYPERLINK l _Toc364501273 6.4.2對應(yīng)用安全防護的技術(shù)實現(xiàn) PAGEREF _Toc364501273 h 108 HYPERLINK l _Toc364501274

18、 6.4.3網(wǎng)頁防篡改系統(tǒng)部署 PAGEREF _Toc364501274 h 111 HYPERLINK l _Toc364501275 6.4.4網(wǎng)頁防篡改系統(tǒng)策略設(shè)計 PAGEREF _Toc364501275 h 112 HYPERLINK l _Toc364501276 6.5外網(wǎng)的數(shù)據(jù)安全及備份恢復(fù)設(shè)計 PAGEREF _Toc364501276 h 113 HYPERLINK l _Toc364501277 6.5.1等保對數(shù)據(jù)安全及備份恢復(fù)的技術(shù)要求 PAGEREF _Toc364501277 h 113 HYPERLINK l _Toc364501278 6.5.2對數(shù)據(jù)安全

19、及備份恢復(fù)的技術(shù)實現(xiàn) PAGEREF _Toc364501278 h 114 HYPERLINK l _Toc364501279 6.5.3數(shù)據(jù)庫安全加固措施 PAGEREF _Toc364501279 h 115 HYPERLINK l _Toc364501280 6.6安全管理平臺設(shè)計 PAGEREF _Toc364501280 h 118 HYPERLINK l _Toc364501281 6.6.1安全管理中心的主要作用 PAGEREF _Toc364501281 h 118 HYPERLINK l _Toc364501282 6.6.2安全管理中心的部署方式 PAGEREF _Toc

20、364501282 h 120 HYPERLINK l _Toc364501283 6.6.3安全管理中心的功能設(shè)計 PAGEREF _Toc364501283 h 120 HYPERLINK l _Toc364501284 7安全管理方案詳細設(shè)計 PAGEREF _Toc364501284 h 123 HYPERLINK l _Toc364501285 8安全建設(shè)方案 PAGEREF _Toc364501285 h 123 HYPERLINK l _Toc364501286 8.1等級保護總體建設(shè)過程 PAGEREF _Toc364501286 h 123 HYPERLINK l _Toc3

21、64501287 8.2等級保護工程實施規(guī)劃 PAGEREF _Toc364501287 h 125 HYPERLINK l _Toc364501288 8.2.1階段一：實現(xiàn)基本的安全部署 PAGEREF _Toc364501288 h 125 HYPERLINK l _Toc364501289 8.2.2階段二：實現(xiàn)全面的安全部署 PAGEREF _Toc364501289 h 126 HYPERLINK l _Toc364501290 8.2.3階段三：實現(xiàn)全面的安全優(yōu)化 PAGEREF _Toc364501290 h 127 HYPERLINK l _Toc364501291 9鳳翔縣

22、社會管理服務(wù)信息平臺項目安全建設(shè)措施匯總 PAGEREF _Toc364501291 h 128前言國家XX局是政府職能單位，負責(zé)制定XXX發(fā)展的戰(zhàn)略、方針和政策，組織和管理XXX工作的實施，監(jiān)督管理XXX工作的執(zhí)行，參與開展XXX教育，組織開展ZZZ資源的保護、開發(fā)和利用，負責(zé)XXX文化的繼承發(fā)展，負責(zé)XXX技術(shù)成果的推廣應(yīng)用，負責(zé)XXX的國際推廣、應(yīng)用和傳播工作。國家XX局自身非常重視信息化建設(shè)，從2001年就開始建設(shè)當(dāng)前運行的網(wǎng)絡(luò)系統(tǒng)，分為三個網(wǎng)絡(luò)，分別是內(nèi)網(wǎng)、外網(wǎng)和國辦專網(wǎng)。網(wǎng)絡(luò)及信息化的建設(shè)為國家XX局的發(fā)展，提升國家XX局業(yè)務(wù)處理效率，降低國家XX局管理成本起到了關(guān)鍵的作用。伴隨著

23、信息系統(tǒng)的快速發(fā)展，信息系統(tǒng)所面臨的安全威脅日益復(fù)雜，用戶對信息安全系統(tǒng)的需求與日俱增。同樣對于國家XX局，各層領(lǐng)導(dǎo)對安全工作非常重視，從建設(shè)初始逐年加大在安全建設(shè)方面的投資，進行了一系列的安全組織、制度、管理和技術(shù)方面的安全建設(shè)工作。目前國家XX局部署了防火墻、防病毒、終端安全管理等安全產(chǎn)品，為國家XX局信息網(wǎng)絡(luò)的安全防護起到了積極的作用。從外部環(huán)境來看，信息安全已經(jīng)成為近幾年信息化建設(shè)的熱點話題，如何保障信息系統(tǒng)的安全已經(jīng)成為國家關(guān)注的焦點，從27號文件開始，國家陸續(xù)出臺了一系列的安全政策和標準，提出了以“適度安全、分級保護”為核心的等級保護建設(shè)思路，公安部、保密局、國密辦以及國信辦陸續(xù)出

24、臺政策，要求國內(nèi)重要的信息系統(tǒng)應(yīng)按照等級保護的辦法和要求，進行相關(guān)安全防護系統(tǒng)的建設(shè)，并于2007年啟動了等級保護的定級備案工作，并于2009年底開始啟動等級保護的安全建設(shè)整改工作。等級保護針對信息安全系統(tǒng)建設(shè)的過程，提出了具體的管理辦法和實施指南，并對信息安全系統(tǒng)提出了技術(shù)和管理方面的建設(shè)要求。為了盡快落實國家等級保護制度的相關(guān)要求，并進一步提升自身的安全防護能力，國家XX局在新辦公樓建設(shè)工程的網(wǎng)絡(luò)集成建設(shè)項目中同步進行非涉密網(wǎng)絡(luò)的（分內(nèi)、外兩個網(wǎng)絡(luò)）等級保護建設(shè)方案規(guī)劃工作。設(shè)計方案概述編制背景鳳翔縣社會管理服務(wù)信息平臺項目(以下簡稱：“社管平臺”)是鳳翔縣電子政務(wù)系統(tǒng)的重要組成部分。經(jīng)過

25、前期的準備和前期建設(shè)對外網(wǎng)信息系統(tǒng)的依賴程度增加，信息安全問題也日漸凸現(xiàn)。社管平臺安全體系是鳳翔縣電子政務(wù)網(wǎng)的重要組成部分，是鳳翔縣今年在建的重要項目，它是一個包含技術(shù)（物理、網(wǎng)絡(luò)、主機、應(yīng)用和數(shù)據(jù)等五個技術(shù)層面）和管理（制度、機構(gòu)、人員、建設(shè)和運維等五個管理層面）兩大方面，通過技術(shù)保障和規(guī)章制度建立起來的可靠有效的安全體系。為了貫徹客戶對社管平臺系統(tǒng)安全保障工作的要求以及等級化保護“堅持積極防御、綜合防范”的方針，全面提高信息安全防護能力，外網(wǎng)建設(shè)需要進行整體安全體系規(guī)劃設(shè)計，全面提高信息安全防護能力，創(chuàng)建安全健康的網(wǎng)絡(luò)環(huán)境，保護客戶利益，促進日常工作信息化的深入發(fā)展。本文將主要闡述和針對平

26、臺安全西安鼎藍通訊技術(shù)有限公司對的信息系統(tǒng)安全等級保護建設(shè)的規(guī)劃設(shè)計，內(nèi)網(wǎng)的建設(shè)方案另外單獨設(shè)計。（此方案不包括合同外的硬件建設(shè)）編制目的本方案針對鳳翔縣縣政府電子城管的外網(wǎng)網(wǎng)絡(luò)環(huán)境和應(yīng)用系統(tǒng)為基礎(chǔ)，分析社管平臺的安全建設(shè)需求，結(jié)合國家等級保護的建設(shè)規(guī)范和技術(shù)要求而編制，為鳳翔縣外網(wǎng)信息安全的符合性建設(shè)提供指導(dǎo)。建設(shè)內(nèi)容項目的主要建設(shè)內(nèi)容是建立鳳翔縣社會管理服務(wù)信息平臺項目的總體信息安全等級保護體系，根據(jù)等保要求，鳳翔縣社會管理服務(wù)信息平臺項目的信息安全體系建設(shè)將包括以下幾個方面：物理安全設(shè)計網(wǎng)絡(luò)安全設(shè)計主機安全設(shè)計應(yīng)用安全設(shè)計數(shù)據(jù)安全及備份恢復(fù)安全管理機構(gòu)規(guī)劃安全管理制度規(guī)劃人員安全規(guī)劃系統(tǒng)

27、建設(shè)規(guī)劃系統(tǒng)運維規(guī)劃系統(tǒng)建設(shè)情況描述物理環(huán)境分析鳳翔縣社會管理服務(wù)信息平臺，機房位于縣政府電子政務(wù)機房的4層。機房內(nèi)進行了區(qū)域劃分管理個區(qū)域配置了電子門禁系統(tǒng)，能夠控制、鑒別和記錄進入的人員。鳳翔縣社會管理服務(wù)信息平臺項目信息系統(tǒng)的主要網(wǎng)絡(luò)設(shè)備、服務(wù)器及安全設(shè)備均部署在外網(wǎng)機房中。機房內(nèi)所有線纜均采用隱蔽走線方式，并對主要部件進行了固定和標記。機房配備了防盜報警系統(tǒng)和監(jiān)控報警系統(tǒng)。辦公樓內(nèi)提供了交流地線。采用了具有耐火等級的建筑材料，并設(shè)置了滅火設(shè)備，安裝了自動消防系統(tǒng)。機房采用了恒溫恒濕空調(diào)，能夠有效控制機房內(nèi)溫濕度。網(wǎng)絡(luò)架構(gòu)描述鳳翔縣社會管理服務(wù)信息平臺項目與互聯(lián)網(wǎng)相連，主要承載了外網(wǎng)辦公

28、系統(tǒng)、政府網(wǎng)站、數(shù)據(jù)上傳等業(yè)務(wù)。鳳翔縣社會管理服務(wù)信息平臺項目核心為一臺高性能防火墻，下聯(lián)樓層接入服安全管理服務(wù)器，外聯(lián)互聯(lián)網(wǎng)出口路由器；接入交換機向下連接信息點，即終端計算機。鳳翔縣社會管理服務(wù)信息平臺項目鏈路情況如下：服務(wù)器與樓層接入交換機之間采用千兆光纖鏈路；樓層交換機采用百兆雙絞線鏈路下聯(lián)終端計算機；核心交換機與服務(wù)器交換機之間采用千兆光纖鏈路，服務(wù)器交換機與所有服務(wù)器之間采用千兆雙絞線鏈路；核心交換機與互聯(lián)網(wǎng)邊界路由器之間采用百兆雙絞線鏈路，路由器出口連接千兆光纖鏈路，實際出口帶寬為10M；托管機房的鏈路均有托管機房管理單位。鳳翔縣社會管理服務(wù)信息平臺項目設(shè)備部署情況如下：防火墻、服

29、務(wù)器。外網(wǎng)信息點分布情況如下表所示：鳳翔縣社會管理服務(wù)信息平臺項目本次實際使用的信息點數(shù)量為50個。外網(wǎng)應(yīng)用系統(tǒng)分析鳳翔縣社會管理服務(wù)信息平臺項目目前主要的系統(tǒng)為百姓網(wǎng)系統(tǒng)、社會管理信息服務(wù)平臺，社區(qū)民生服務(wù)平臺，三維GIS地理信息平臺，數(shù)據(jù)交換平臺，社會管理指揮中心平臺，信息交換系統(tǒng)。百姓網(wǎng)站系統(tǒng)百姓網(wǎng)站系統(tǒng)始建于13年，內(nèi)容豐富完善，已經(jīng)成為鳳翔縣社會管理服務(wù)信息平臺項目信息系統(tǒng)的重要組成部分，是縣政府進行信息發(fā)布、以及與社會公眾互動交流的平臺。網(wǎng)站提供權(quán)威、準確、全面、快速的信息服務(wù)、業(yè)務(wù)申請及公眾互動功能，起到政令快速發(fā)布、下情及時上達的作用。網(wǎng)站主要由機構(gòu)介紹、政務(wù)公開、公眾參與、政

30、府服務(wù)、文化交流、醫(yī)療質(zhì)量監(jiān)測等模塊組成。該系統(tǒng)部署在托管機房的HP 服務(wù)器上，通過互聯(lián)網(wǎng)供局機關(guān)內(nèi)部人員、系統(tǒng)工作人員和社會公眾瀏覽查詢以及互動交流。為保障政府網(wǎng)站系統(tǒng)的安全性，使用了入侵防御系統(tǒng)和網(wǎng)頁防篡改系統(tǒng)形成邊界保護和內(nèi)容防護。社管平臺系統(tǒng)由一臺臺服務(wù)器組成。服務(wù)器端軟件基于MYSQL數(shù)據(jù)庫以及Java平臺開發(fā)，數(shù)據(jù)庫與網(wǎng)站服務(wù)器安裝部署在同一臺HP服務(wù)器上。社管平臺的安全維護工作人員通過客戶端訪問登陸后臺、維護信息及數(shù)據(jù)。網(wǎng)絡(luò)設(shè)備情況鳳翔縣社會管理服務(wù)信息平臺項目的網(wǎng)絡(luò)設(shè)備有服務(wù)器、防火墻，服務(wù)器區(qū)域，均采用IBM的設(shè)備。服務(wù)器采用IBM品牌，數(shù)量為一臺，部署在電子政務(wù)機房具體情況

31、如下：各辦公室的終端計算機。服務(wù)器設(shè)備情況鳳翔縣社會管理服務(wù)信息平臺項目服務(wù)器包括應(yīng)用系統(tǒng)服務(wù)器和安全管理服務(wù)器。兩者同時進行。二、安全管理服務(wù)器包括：IBM網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)服務(wù)器網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)安裝在一臺機架式服務(wù)器上，設(shè)備型號為HP DL165，操作系統(tǒng)為WINDOWS 2000 Server，服務(wù)器的管理認證方式為用戶名/口令方式；利用WINDOWS自帶的口令加密方式進行保護；在管理上服務(wù)器采取高強度口令，刪除或禁用無關(guān)帳號，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現(xiàn)場相結(jié)合的方式，有專人負責(zé)相關(guān)工作。瑞星網(wǎng)絡(luò)版防病毒系統(tǒng)安裝在一臺機架式服務(wù)器上，設(shè)備型號為

32、HP DL165，操作系統(tǒng)為WINDOWS 2003 Server，服務(wù)器的管理認證方式為用戶名/口令方式；利用WINDOWS自帶的口令加密方式進行保護；在管理上服務(wù)器采取高強度口令，刪除或禁用無關(guān)帳號，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現(xiàn)場相結(jié)合的方式，有專人負責(zé)相關(guān)工作。網(wǎng)絡(luò)入侵檢測設(shè)備管理服務(wù)器網(wǎng)絡(luò)入侵檢測設(shè)備管理系統(tǒng)安裝在一臺機架式服務(wù)器上，設(shè)備型號為HP DL165，操作系統(tǒng)為WINDOWS 2003 Server，服務(wù)器的管理認證方式為用戶名/口令方式；利用WINDOWS自帶的口令加密方式進行保護；在管理上服務(wù)器采取高強度口令，刪除或禁用無關(guān)帳號

33、，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現(xiàn)場相結(jié)合的方式，有專人負責(zé)相關(guān)工作。安全設(shè)備情況社管平臺網(wǎng)絡(luò)中廣泛使用的安全設(shè)備有兩大類，一是面向網(wǎng)絡(luò)安全類的防火墻、入侵防御、入侵檢測、網(wǎng)絡(luò)審計類安全設(shè)備；二是面向終端的終端安全管理系統(tǒng)以及防病毒軟件類，以及為網(wǎng)站提供防護的網(wǎng)頁防篡改軟件，安全設(shè)備的配置情況為：防火墻系統(tǒng)鳳翔縣社會管理服務(wù)信息平臺項目的防火墻系統(tǒng)采用了天融信公司的千兆獵豹系列防火墻NGFW4000-UF（TG-5464）和CISCO公司的PIX515，數(shù)量各為一臺。兩臺防火墻分別部署在對外服務(wù)區(qū)域邊界和互聯(lián)網(wǎng)出口邊界，分別對區(qū)域之間的訪問執(zhí)行嚴格的訪問

34、控制策略，以有效保護重要的信息系統(tǒng)資源。 網(wǎng)絡(luò)入侵防御系統(tǒng)鳳翔縣社會管理服務(wù)信息平臺項目的網(wǎng)絡(luò)入侵防御系統(tǒng)采用了天融信公司的千兆網(wǎng)絡(luò)入侵防御系統(tǒng)TopIDP，數(shù)量為一臺，部署在托管機房托管區(qū)域的互聯(lián)網(wǎng)出口，重點抵御互聯(lián)網(wǎng)對托管區(qū)域內(nèi)部重要服務(wù)器的攻擊行為，尤其是要能夠?qū)崟r發(fā)現(xiàn)和抵御惡意用戶對重要的服務(wù)器系統(tǒng)進行的非法訪問、惡意攻擊及蠕蟲傳播等行為并及時進行阻斷和報警。網(wǎng)絡(luò)入侵防御系統(tǒng)的升級，可以通過互聯(lián)網(wǎng)接入?yún)^(qū)域進行在線升級。網(wǎng)絡(luò)入侵檢測系統(tǒng)鳳翔縣社會管理服務(wù)信息平臺項目的網(wǎng)絡(luò)入侵檢測系統(tǒng)采用了啟明星辰公司的千兆網(wǎng)絡(luò)入侵檢測系統(tǒng)天闐NS2200，部署在核心交換機上，重點監(jiān)測網(wǎng)絡(luò)用戶對重要服務(wù)器

35、的訪問行為，尤其是要能夠?qū)崟r發(fā)現(xiàn)惡意用戶對重要的服務(wù)器系統(tǒng)進行的非法訪問、惡意攻擊及蠕蟲傳播等行為并及時進行報警和采取一定的響應(yīng)操作。外網(wǎng)網(wǎng)絡(luò)入侵檢測系統(tǒng)的升級，可以通過互聯(lián)網(wǎng)接入?yún)^(qū)域進行在線升級。網(wǎng)絡(luò)行為審計系統(tǒng)鳳翔縣社會管理服務(wù)信息平臺項目的網(wǎng)絡(luò)行為審計系統(tǒng)采用了天融信公司的千兆網(wǎng)絡(luò)安全審計系統(tǒng)TopAudit（TA-507-WATCH），部署在核心交換機上，對網(wǎng)絡(luò)中的流量做全面的監(jiān)控與審計策略，以有效保護重要數(shù)據(jù)的安全性，并為事后取證提供支持。終端安全管理系統(tǒng)鳳翔縣社會管理服務(wù)信息平臺項目的終端安全管理產(chǎn)品采用了北信源公司的內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)，客戶端部署在所有外網(wǎng)的終端設(shè)備上，管

36、理服務(wù)器部署在外網(wǎng)的安全管理區(qū)域。外網(wǎng)終端安全管理系統(tǒng)的升級可以通過互聯(lián)網(wǎng)接入?yún)^(qū)域進行在線升級。終端防病毒鳳翔縣社會管理服務(wù)信息平臺項目防病毒系統(tǒng)采用了瑞星公司的網(wǎng)絡(luò)版防病毒軟件，部署在所有終端和服務(wù)器上，防病毒服務(wù)器在部署安全管理區(qū)域，為全網(wǎng)提供病毒升級和監(jiān)控管理能力。防病毒服務(wù)器的升級，可以通過互聯(lián)網(wǎng)接入?yún)^(qū)域進行在線升級。外網(wǎng)安全需求分析系統(tǒng)定級建議信息系統(tǒng)定級是進行等級保護設(shè)計的首要環(huán)節(jié)，根據(jù)國家信息安全等級保護實施指南，信息系統(tǒng)定級階段的目標是信息系統(tǒng)運營、使用單位按照國家有關(guān)管理規(guī)范和GB/T 222402008，確定信息系統(tǒng)的安全保護等級，信息系統(tǒng)運營、使用單位有主管部門的，應(yīng)當(dāng)經(jīng)

37、主管部門審核批準。國家XX局信息安全等級保護的總體思路是：以自身的信息系統(tǒng)特點為核心，結(jié)合國家相關(guān)標準要求，根據(jù)XX局實際業(yè)務(wù)需求，和對實際業(yè)務(wù)的影響來劃分安全等級，在確定定級方面更重視系統(tǒng)對XX局業(yè)務(wù)開展的影響性而確定等級，目的只是為體現(xiàn)對不同等級的信息系統(tǒng)，如何加強保護措施方面。而不是根據(jù)國家標準，嚴格地評估信息系統(tǒng)受到破壞后的影響范圍和影響程度而確定。確定定級對象根據(jù)公安部的信息安全等級保護定級指南指出作為定級對象的信息系統(tǒng)應(yīng)具有如下基本特征：具有唯一確定的安全責(zé)任單位作為定級對象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。如果一個單位的某個下級單位負責(zé)信息系統(tǒng)安全建設(shè)、運行維護等過程的全

38、部安全責(zé)任，則這個下級單位可以成為信息系統(tǒng)的安全責(zé)任單位；如果一個單位中的不同下級單位分別承擔(dān)信息系統(tǒng)不同方面的安全責(zé)任，則該信息系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級單位共同所屬的單位。具有信息系統(tǒng)的基本要素作為定級對象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備、設(shè)施按照一定的應(yīng)用目標和規(guī)則組合而成的有形實體。應(yīng)避免將某個單一的系統(tǒng)組件，如服務(wù)器、終端、網(wǎng)絡(luò)設(shè)備等作為定級對象。承載單一或相對獨立的業(yè)務(wù)應(yīng)用定級對象承載“單一”的業(yè)務(wù)應(yīng)用是指該業(yè)務(wù)應(yīng)用的業(yè)務(wù)流程獨立，且與其他業(yè)務(wù)應(yīng)用沒有數(shù)據(jù)交換，且獨享所有信息處理設(shè)備。定級對象承載“相對獨立”的業(yè)務(wù)應(yīng)用是指其業(yè)務(wù)應(yīng)用的主要業(yè)務(wù)流程獨立，同時與其他業(yè)務(wù)應(yīng)用有少

39、量的數(shù)據(jù)交換，定級對象可能會與其他業(yè)務(wù)應(yīng)用共享一些設(shè)備，尤其是網(wǎng)絡(luò)傳輸設(shè)備。對于鳳翔縣社會管理服務(wù)信息平臺項目，根據(jù)承載業(yè)務(wù)的獨立性，以業(yè)務(wù)系統(tǒng)為核心來劃分定級對象，并針對不同的業(yè)務(wù)系統(tǒng)來設(shè)計保護措施，確定的保護對象分別為：政府網(wǎng)站系統(tǒng)、電子政務(wù)信息交換系統(tǒng)、“十一五”重點YYY系統(tǒng)和繼續(xù)教育管理系統(tǒng)。此外，鳳翔縣社會管理服務(wù)信息平臺項目中還包括了安全管理區(qū)域的安全管理系統(tǒng)和終端辦公區(qū)域的終端系統(tǒng)，由于鳳翔縣社會管理服務(wù)信息平臺項目未來還會增加其他信息系統(tǒng)，而這些終端及安全管理設(shè)備會與多個系統(tǒng)相連，無法做到不同的信息系統(tǒng)使用專用的設(shè)備，因此建議將安全管理系統(tǒng)和終端系統(tǒng)劃分為其他的信息系統(tǒng)，不作

40、為定級對象，但在安全管理服務(wù)器區(qū)域、終端區(qū)域和服務(wù)器區(qū)域間建立邊界保護，并通過身份鑒別和訪問控制等措施加以控制。確定系統(tǒng)等級政府網(wǎng)站系統(tǒng)一、國家XX局政府網(wǎng)站系統(tǒng)描述政府網(wǎng)站系統(tǒng)是國家XX局進行信息發(fā)布、XXX信息查詢以及與社會公眾互動交流的平臺。網(wǎng)站提供權(quán)威、準確、全面、快速的信息服務(wù)和公眾互動功能，起到政令快速發(fā)布、下情及時上達的作用。網(wǎng)站主要由機構(gòu)介紹、政務(wù)公開、公眾參與、XXX服務(wù)、XXX文化、醫(yī)療質(zhì)量監(jiān)測等模塊組成。政府網(wǎng)站系統(tǒng)部署在托管機房的HP 服務(wù)器上，通過互聯(lián)網(wǎng)供局機關(guān)內(nèi)部人員、全國XXX系統(tǒng)工作人員和社會公眾瀏覽查詢以及互動交流。為保障政府網(wǎng)站系統(tǒng)的安全性，使用了入侵防御系

41、統(tǒng)和網(wǎng)頁防篡改系統(tǒng)形成邊界保護和內(nèi)容防護。政府網(wǎng)站系統(tǒng)由兩臺服務(wù)器組成，一主一備。服務(wù)器端軟件基于SQL2000數(shù)據(jù)庫以及ASP.net平臺開發(fā)，數(shù)據(jù)庫與網(wǎng)站服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家XX局信息辦的網(wǎng)站維護工作人員通過遠程訪問登陸后臺、維護信息及數(shù)據(jù)。國家XX局信息辦承擔(dān)著政府網(wǎng)站系統(tǒng)的安全保護責(zé)任。二、國家XX局政府網(wǎng)站系統(tǒng)安全保護等級確定國家XX局政府網(wǎng)站系統(tǒng)受到破壞時，對信息安全的危害方式表現(xiàn)為對其業(yè)務(wù)信息安全的破壞和對信息系統(tǒng)服務(wù)的破壞。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標

42、。由于業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全受到破壞所侵害的客體和對客體的侵害程度可能會有所不同，在定級過程中，分別從業(yè)務(wù)信息安全和信息系統(tǒng)服務(wù)安全兩方面評定對客體的侵害程度，確定定級對象的安全保護等級。（一）業(yè)務(wù)信息安全保護等級的確定1、業(yè)務(wù)信息描述政府網(wǎng)站系統(tǒng)主要處理的業(yè)務(wù)信息為國家XX局對外公開的機構(gòu)介紹、政務(wù)公開、公眾參與、XXX服務(wù)、XXX文化、醫(yī)療質(zhì)量監(jiān)測等信息。2、業(yè)務(wù)信息受到破壞時所侵害客體的確定國家XX局政府網(wǎng)站系統(tǒng)是面向社會公眾提供XXX信息服務(wù)，并且作為對外信息發(fā)布的窗口，因此其業(yè)務(wù)信息安全受到破壞時所侵害的客體是社會秩序和公共利益，影響社會成員使用XXX相關(guān)公共設(shè)施、獲取XXX公開

43、信息資源、接受XXX相關(guān)服務(wù)等，以及其他影響公共利益的事項。3、信息受到破壞后對侵害客體侵害程度的確定國家XX局政府網(wǎng)站系統(tǒng)業(yè)務(wù)信息安全受到破壞時，國家XX局的工作職能受到嚴重影響，嚴重影響其信息獲取服務(wù)和信息發(fā)布，會對國家XX局公信度造成負面影響，同時會造成較大范圍的社會不良影響。因此確定其侵害程度為嚴重損害。4、業(yè)務(wù)信息安全等級的確定業(yè)務(wù)信息安全受到破壞時，受到影響的客體是社會秩序、和公共利益。侵害程度為嚴重損害，根據(jù)表1，確定該系統(tǒng)的信息安全保護等級為第三級。業(yè)務(wù)信息安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社

44、會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表1 業(yè)務(wù)信息安全保護等級矩陣表（二）系統(tǒng)服務(wù)安全保護等級的確定1、系統(tǒng)服務(wù)描述國家XX局政府網(wǎng)站的服務(wù)范圍包括內(nèi)部工作人員、外部社會公眾、以及國內(nèi)的XXX相關(guān)機構(gòu)，主要作為XXX信息查詢以及對外信息發(fā)布的平臺。2、系統(tǒng)服務(wù)受到破壞時所侵害客體的確定國家XX局政府網(wǎng)站系統(tǒng)是面向內(nèi)部工作人員、外部社會公眾、以及國內(nèi)的XXX相關(guān)機構(gòu)，提供XXX行業(yè)的信息查詢服務(wù)，并且作為對外信息發(fā)布的窗口，因此其信息系統(tǒng)服務(wù)安全受到破壞時所侵害的客體是社會秩序和公共利益，影響社會成員使用XXX相關(guān)公共設(shè)施、獲取XXX公開信息資源、接受XXX相關(guān)信息服務(wù)等

45、，以及其他影響公共利益的事項。3、系統(tǒng)服務(wù)受到破壞后對侵害客體的侵害程度國家XX局政府網(wǎng)站系統(tǒng)信息系統(tǒng)服務(wù)安全受到破壞時，將會影響國家XX局內(nèi)部工作人員、外部社會公眾及國內(nèi)XXX相關(guān)機構(gòu)對系統(tǒng)的使用，影響各項XXX信息查詢工作、信息發(fā)布工作的順利完成。因此確定其侵害程度為一般損害。4、系統(tǒng)服務(wù)安全等級的確定信息系統(tǒng)服務(wù)安全受到破壞時，受到影響的客體是社會秩序和公共利益。侵害程度為一般損害，根據(jù)表2，確定該系統(tǒng)的系統(tǒng)服務(wù)安全保護等級為第二級。系統(tǒng)服務(wù)安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三

46、級第四級國家安全第三級第四級第五級表2 系統(tǒng)服務(wù)安全保護等級矩陣表（三）安全保護等級的確定信息系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級較高者決定。根據(jù)表3，最終確定該系統(tǒng)的安全保護等級為第三級。信息系統(tǒng)名稱安全保護等級業(yè)務(wù)信息安全等級系統(tǒng)服務(wù)安全等級國家XX局政府網(wǎng)站系統(tǒng)第三級第三級第二級表3 系統(tǒng)安全保護等級矩陣表最終確定的政府網(wǎng)站系統(tǒng)保護強度為3級，且對應(yīng)等級保護要求選擇措施為：S3A2G3電子政務(wù)信息交換系統(tǒng)一、國家XX局電子政務(wù)信息交換系統(tǒng)描述電子政務(wù)信息交換系統(tǒng)承擔(dān)著國家XX局與下屬XXX局進行電子公文交換的任務(wù)。電子政務(wù)信息交換系統(tǒng)部署在國家XX局機房的HP 服務(wù)器上

47、，通過外網(wǎng)局域網(wǎng)供醫(yī)藥管理局局機關(guān)外網(wǎng)用戶訪問，通過互聯(lián)網(wǎng)供下屬XXX局用戶訪問。電子政務(wù)信息交換系統(tǒng)由一臺服務(wù)器組成，服務(wù)器端軟件基于SQL2000數(shù)據(jù)庫以及ASP.net平臺開發(fā)，數(shù)據(jù)庫與系統(tǒng)服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家XX局的管理維護工作人員通過網(wǎng)絡(luò)登陸后臺、維護信息及數(shù)據(jù)。國家XX局信息辦承擔(dān)著電子政務(wù)信息交換系統(tǒng)的安全保護責(zé)任。二、國家XX局電子政務(wù)信息交換系統(tǒng)安全保護等級確定國家XX局電子政務(wù)信息交換系統(tǒng)受到破壞時，對信息安全的危害方式表現(xiàn)為對其業(yè)務(wù)信息安全的破壞和對信息系統(tǒng)服務(wù)的破壞。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信

48、息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標。由于業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全受到破壞所侵害的客體和對客體的侵害程度可能會有所不同，在定級過程中，分別從業(yè)務(wù)信息安全和信息系統(tǒng)服務(wù)安全兩方面評定對客體的侵害程度，確定定級對象的安全保護等級。（一）業(yè)務(wù)信息安全保護等級的確定1、業(yè)務(wù)信息描述該系統(tǒng)的主要業(yè)務(wù)信息為國家XX局和下屬XXX局之間交互的電子公文數(shù)據(jù)。2、業(yè)務(wù)信息受到破壞時所侵害客體的確定該系統(tǒng)為國家XX局及下屬XXX局提供服務(wù)，主要承擔(dān)著國家XX局系統(tǒng)內(nèi)部的電子公文交換任務(wù)。當(dāng)信息系統(tǒng)受到破壞時，將嚴重影響國家XX局正常工作的開展，因此，所侵害的客體為公民、法人和其他組織的合法權(quán)益類

49、。3、業(yè)務(wù)信息受到破壞后對侵害客體侵害程度的確定該信息系統(tǒng)受到破壞時，可能會導(dǎo)致國家XX局與各省XX局交互的電子公文和信息的泄漏和篡改，將會嚴重影響國家XX局政務(wù)信息辦公交換工作的順利開展，造成業(yè)務(wù)能力下降。根據(jù)系統(tǒng)的重要性，確定其侵害程度為嚴重損害。4、業(yè)務(wù)信息安全等級的確定業(yè)務(wù)信息安全受到破壞時，受到影響的客體是公民、法人和其他組織的合法權(quán)益類。侵害程度為嚴重損害，根據(jù)表1，確定該系統(tǒng)的業(yè)務(wù)信息安全保護等級為第二級。業(yè)務(wù)信息安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三

50、級第四級第五級表1 業(yè)務(wù)信息安全保護等級矩陣表（二）系統(tǒng)服務(wù)安全保護等級的確定1、系統(tǒng)服務(wù)描述該系統(tǒng)主要為國家XX局與下屬XXX局之間提供電子公文交換服務(wù)。2、系統(tǒng)服務(wù)受到破壞時所侵害客體的確定該系統(tǒng)為國家XX局電子公文交換的業(yè)務(wù)系統(tǒng)，受到破壞時將影響國家XX局電子公文交換工作，因此，所侵害的客體為社會秩序和公共利益類。3、系統(tǒng)服務(wù)受到破壞后對侵害客體侵害程度的確定該系統(tǒng)為國家XX局電子公文交換的業(yè)務(wù)系統(tǒng)，當(dāng)遭到破壞時將對國家XX局電子公文交換工作的順利進行造成一定的損害。根據(jù)系統(tǒng)的重要性，確定其侵害程度為一般損害。4、系統(tǒng)服務(wù)安全等級的確定信息系統(tǒng)服務(wù)安全受到破壞時，受到影響的客體是社會秩序

51、、公共利益類。侵害程度為一般損害，根據(jù)表2，確定該系統(tǒng)的信息系統(tǒng)服務(wù)安全保護等級為第二級。系統(tǒng)服務(wù)安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表2 系統(tǒng)服務(wù)安全保護等級矩陣表（三）安全保護等級的確定信息系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級較高者決定。根據(jù)表3，最終確定該系統(tǒng)的安全保護等級為第二級。信信息系統(tǒng)名稱安安全保護等級業(yè)業(yè)務(wù)信息安全等級系系統(tǒng)服務(wù)安全等級國國家XX局電子政務(wù)信息交換系統(tǒng)第二級第二級第二級表3 系統(tǒng)安全保護等級矩陣表通過

52、上述的分析過程，最終確定電子政務(wù)信息交換系統(tǒng)的定級為2級，且對應(yīng)等級保護要求選擇措施為：S2A2G2“十一五”重點YYY系統(tǒng)一、國家XX局“十一五”重點YYY系統(tǒng)描述“十一五”重點YYY系統(tǒng)承擔(dān)著為社會公眾提供全國范圍內(nèi)重點YYYSSS信息和TTT信息的查詢服務(wù)工作?！笆晃濉敝攸cYYY系統(tǒng)部署在國家XX局機房的HP 服務(wù)器上，通過外網(wǎng)局域網(wǎng)供醫(yī)藥管理局局機關(guān)外網(wǎng)用戶訪問，通過互聯(lián)網(wǎng)供社會公眾訪問?！笆晃濉敝攸cYYY系統(tǒng)由一臺服務(wù)器組成，服務(wù)器端軟件基于SQL2000數(shù)據(jù)庫以及.net平臺開發(fā)，數(shù)據(jù)庫與系統(tǒng)服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家XX局的管理維護工作人員通過網(wǎng)絡(luò)登陸后臺、維護

53、信息及數(shù)據(jù)。國家XX局信息辦承擔(dān)著“十一五”重點YYY系統(tǒng)的安全保護責(zé)任。二、國家XX局“十一五”重點YYY系統(tǒng)安全保護等級確定國家XX局“十一五”重點YYY系統(tǒng)受到破壞時，對信息安全的危害方式表現(xiàn)為對其業(yè)務(wù)信息安全的破壞和對信息系統(tǒng)服務(wù)的破壞。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標。由于業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全受到破壞所侵害的客體和對客體的侵害程度可能會有所不同，在定級過程中，分別從業(yè)務(wù)信息安全和信息系統(tǒng)服務(wù)安全兩方面評定對客體的侵害程度，確定定級對象的安全保護等級。（一）業(yè)務(wù)信息安全保護等級

54、的確定1、業(yè)務(wù)信息描述該系統(tǒng)的主要業(yè)務(wù)信息為國家XX局“十一五”重點YYY項目的SSS信息和TTT信息。2、業(yè)務(wù)信息受到破壞時所侵害客體的確定該系統(tǒng)為社會公眾提供服務(wù)，主要承擔(dān)著社會公眾對全國范圍內(nèi)重點YYYSSS信息和TTT信息的查詢服務(wù)工作。當(dāng)信息系統(tǒng)受到破壞時，將主要影響社會公眾對重點信息的獲取和使用，并影響國家XX局相關(guān)職能的正常履行，因此，所侵害的客體為社會秩序和公共利益類。3、業(yè)務(wù)信息受到破壞后對侵害客體侵害程度的確定該信息系統(tǒng)受到破壞時，可能會導(dǎo)致國家XX局“十一五”重點YYY系統(tǒng)信息被破壞或篡改，將會影響國家XX局相關(guān)職能的正常履行，并影響社會公眾對“十一五”重點YYY系統(tǒng)信息

55、的查詢和使用。因此確定其侵害程度為一般損害。4、業(yè)務(wù)信息安全等級的確定業(yè)務(wù)信息安全受到破壞時，受到影響的客體是社會秩序、公共利益類。侵害程度為一般損害，根據(jù)表1，確定該系統(tǒng)的業(yè)務(wù)信息安全保護等級為第二級。業(yè)務(wù)信息安全被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表1 業(yè)務(wù)信息安全保護等級矩陣表（二）系統(tǒng)服務(wù)安全保護等級的確定1、系統(tǒng)服務(wù)描述該系統(tǒng)主要為社會公眾提供“十一五”重點YYY項目的SSS信息和TTT信息的查詢服務(wù)。2、系統(tǒng)服務(wù)受到破壞時所侵害客體的確定該系

56、統(tǒng)為國家XX局“十一五”重點YYY服務(wù)信息的業(yè)務(wù)系統(tǒng)，受到破壞時將影響國家XX局該項服務(wù)工作的開展，因此，所侵害的客體為社會秩序和公共利益類。3、系統(tǒng)服務(wù)受到破壞后對侵害客體侵害程度的確定該系統(tǒng)為國家XX局“十一五”重點YYY服務(wù)信息的業(yè)務(wù)系統(tǒng)，當(dāng)遭到破壞時將對國家XX局該項服務(wù)工作的順利開展，為社會公眾及時獲取相關(guān)信息造成一定的損害。根據(jù)系統(tǒng)的重要性，確定其侵害程度為一般損害。4、系統(tǒng)服務(wù)安全等級的確定信息系統(tǒng)服務(wù)安全受到破壞時，受到影響的客體是社會秩序、公共利益類。侵害程度為一般損害，根據(jù)表2，確定該系統(tǒng)的信息系統(tǒng)服務(wù)安全保護等級為第二級。系統(tǒng)服務(wù)安全被破壞時所侵害的客體對相應(yīng)客體的侵害程

57、度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級表2 系統(tǒng)服務(wù)安全保護等級矩陣表（三）安全保護等級的確定信息系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級較高者決定。根據(jù)表3，最終確定該系統(tǒng)的安全保護等級為第二級。信息系統(tǒng)名稱安全保護等級業(yè)務(wù)信息安全等級系統(tǒng)服務(wù)安全等級國家XX局”十一五”重點YYY系統(tǒng)第二級第二級第二級表3 系統(tǒng)安全保護等級矩陣表通過上述的分析過程，最終確定十一五”重點YYY系統(tǒng)的定級為2級，且對應(yīng)等級保護要求選擇措施為：S2A2G2繼續(xù)教育管理系統(tǒng)一、國家XX局繼續(xù)教育管理系

58、統(tǒng)描述繼續(xù)教育管理系統(tǒng)承擔(dān)著全國XXX行業(yè)繼續(xù)教育及培訓(xùn)項目的申報、審核和備案任務(wù)，同時提供學(xué)分證書查詢服務(wù)。繼續(xù)教育管理系統(tǒng)部署在國家XX局機房的HP 服務(wù)器上，通過外網(wǎng)局域網(wǎng)供醫(yī)藥管理局局機關(guān)外網(wǎng)用戶訪問，通過互聯(lián)網(wǎng)供全國XXX繼續(xù)教育及培訓(xùn)項目的申報單位、管理單位及社會公眾訪問。繼續(xù)教育管理系統(tǒng)由一臺服務(wù)器組成，服務(wù)器端軟件基于MYSQL數(shù)據(jù)庫以及ASP.net平臺開發(fā)，數(shù)據(jù)庫與系統(tǒng)服務(wù)器安裝部署在同一臺HP服務(wù)器上。國家XX局的維護工作人員通過網(wǎng)絡(luò)登陸后臺、維護信息及數(shù)據(jù)。國家XX局信息辦承擔(dān)著繼續(xù)教育管理系統(tǒng)的安全保護責(zé)任。二、國家XX局繼續(xù)教育管理系統(tǒng)安全保護等級確定國家XX局繼續(xù)

59、教育管理系統(tǒng)受到破壞時，對信息安全的危害方式表現(xiàn)為對其業(yè)務(wù)信息安全的破壞和對信息系統(tǒng)服務(wù)的破壞。其中信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性等；系統(tǒng)服務(wù)安全是指確保信息系統(tǒng)可以及時、有效地提供服務(wù)，以完成預(yù)定的業(yè)務(wù)目標。由于業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全受到破壞所侵害的客體和對客體的侵害程度可能會有所不同，在定級過程中，分別從業(yè)務(wù)信息安全和信息系統(tǒng)服務(wù)安全兩方面評定對客體的侵害程度，確定定級對象的安全保護等級。（一）業(yè)務(wù)信息安全保護等級的確定1、業(yè)務(wù)信息描述該系統(tǒng)的主要業(yè)務(wù)信息包括XXX繼續(xù)教育及培訓(xùn)項目申報、審核和備案信息，以及學(xué)分、證書信息數(shù)據(jù)。2、業(yè)務(wù)信息受到破壞時所侵害客體的

60、確定該系統(tǒng)為XXX繼續(xù)教育相關(guān)機構(gòu)及社會公眾提供服務(wù)，主要承擔(dān)著全國XXX行業(yè)繼續(xù)教育及培訓(xùn)項目的申報、審核和備案任務(wù)，同時提供學(xué)分證書查詢服務(wù)。當(dāng)信息系統(tǒng)受到破壞時，將主要影響申報和查詢工作，因此，所侵害的客體為社會秩序和公共利益類。3、業(yè)務(wù)信息受到破壞后對侵害客體侵害程度的確定該信息系統(tǒng)受到破壞時，可能會導(dǎo)致國家XXX行業(yè)繼續(xù)教育及培訓(xùn)申報數(shù)據(jù)及學(xué)分、證書信息的泄漏和篡改，影響國家XXX行業(yè)繼續(xù)教育管理工作的有序開展。根據(jù)系統(tǒng)的重要性，確定其侵害程度為一般損害。4、業(yè)務(wù)信息安全等級的確定業(yè)務(wù)信息安全受到破壞時，受到影響的客體是社會秩序、公共利益類。侵害程度為一般損害，根據(jù)表1，確定該系統(tǒng)的