信息安全基礎知識課件

信息安全基礎知識信息安全基礎知識112/31/20222目錄一、信息安全基礎知識二、證券行業(yè)面臨的安全威脅

三、公司安全防護體系四、公司信息安全標準12/27/20222目錄一、信息安全基礎知識一、信息安全基礎知識信息安全發(fā)展史信息安全的內涵信息系統(tǒng)安全保障體系的基本內容等級保護有關背景情況介紹12/31/20223一、信息安全基礎知識信息安全發(fā)展史12/27/20223信息安全發(fā)展史初級階段：通信保密階段上世紀八十年代前，人們認為信息安全就是通信保密，采用的保障措施就是加密和基于計算機規(guī)則的訪問控制中級階段：計算機系統(tǒng)安全階段(靜態(tài)信息防護)本世紀前，對主機安全的關注及網絡攻擊的防護是信息安全的核心內容現階段：信息安全保障階段人們關心的是信息及信息系統(tǒng)的保障，如何建立完整的保障體系，以便保障信息及信息系統(tǒng)的正常運行12/31/20224信息安全發(fā)展史初級階段：通信保密階段12/27/20224初級階段——通信保密40～70年代重點是通過密碼技術解決通信保密，保證數據的保密性與完整性主要安全威脅是搭線竊聽、密碼學分析主要保護措施是加密重要標志：1949年shannon發(fā)表的《保密通信的信息原理》1977年美國國家標準局公布的數據加密標準（DES），對稱算法1976年由Diffie、Hellman提出公鑰密碼體制，非對稱算法12/31/20225初級階段——通信保密40～70年代12/27/20225中級階段——計算機系統(tǒng)安全70～80年代重點是確保計算機系統(tǒng)中硬件、軟件及正在處理、存儲、傳輸信息的機密性、完整性和可控性主要安全威脅擴展到非法訪問、惡意代碼、弱口令等主要保護措施是安全操作系統(tǒng)涉及技術（TCB）主要標志1985年美國國防部公布的可信計算機系統(tǒng)評估準則（TCSEC)12/31/20226中級階段——計算機系統(tǒng)安全70～80年代12/27/2022TCSEC標準系列TCSEC系列標準 需要采取的各類硬件、軟件本身具備一定的安全強度需要由軟硬件組成的系統(tǒng)具備一定的安全程度 為了評價對“信息的安全”的保護程度，需要對產品的安全強度、系統(tǒng)的安全強度進行評估。主要表現為：產品安全強度分級：A1B1B2B3C1C2D112/31/20227TCSEC標準系列TCSEC系列標準12/27/20227現階段——信息安全保障重點需要保護信息，確保信息在產生、存儲、處理、傳輸過程中及信息系統(tǒng)不被破壞，確保合法用戶的服務和限制非授權用戶的服務，以及必要的防御攻擊的措施。強調信息的保密性、完整性、可用性主要安全威脅是人為破壞、網絡入侵、病毒破壞、信息對抗主要保護措施包括防火墻、防病毒軟件、漏洞掃描、入侵檢測、PKI、VPN等特點：涉及與信息系統(tǒng)相關的各類要素。12/31/20228現階段——信息安全保障重點需要保護信息，確保信息在產生、存儲現階段——信息安全保障提出了“信息安全保障”的概念和要求，是一種立體的保障12/31/20229現階段——信息安全保障提出了“信息安全保障”的概念和要求，是信息安全的內涵信息安全經典模型（CIA模型）C保密性ConfidentialityI完整性IntegrityA可用性Availability12/31/202210信息安全的內涵信息安全經典模型（CIA模型）C保密性I完整性信息安全的內涵保密性（C）保證沒有經過授權的用戶、實體或進程無法竊取信息泄密的表現形式組織信息給未授權的人獲取系統(tǒng)被未授權的人進入個人信息被不相關的人獲知12/31/202211信息安全的內涵保密性（C）12/27/202211信息安全的內涵完整性（I）保證沒有經過授權的用戶不能改變或者刪除信息，從而信息在傳送的過程中不會被偶然或故意破壞，保持信息的完整、統(tǒng)一保護信息及處理方法的準確性和完備性；不因人為的因素改變原有的內容，保證不被非法改動和銷毀。分成系統(tǒng)完整性數據完整性12/31/202212信息安全的內涵完整性（I）12/27/202212信息安全的內涵可用性（A）保證合法用戶的正常請求能及時、正確、安全地得到服務或回應,確保授權使用者需要時能夠訪問信息及相關資產當授權用戶要求時，即可使用信息和相關資產不因系統(tǒng)故障或誤操作使資源丟失對響應時間有一定要求，并且在局部故障下實現持續(xù)運行分成系統(tǒng)通信可用性系統(tǒng)的可用性數據的可用性12/31/202213信息安全的內涵可用性（A）12/27/202213信息安全的內涵隨著信息技術、安全技術以及信息化應用的不斷發(fā)展，信息安全的定義在某些領域已有所拓展，在原來三性的基礎上，增加了：可控性和不可否認性可控性：對信息和信息系統(tǒng)實施安全監(jiān)控管理，防止為非法者所用。規(guī)模較大的信息系統(tǒng)已建成或著手建設實現“大集中”安全管理方式的安全監(jiān)管中心不可否認性：保證信息行為人不能否認自己的行為，比較常見的應用是：使用數字簽名實現交易操作的抗抵賴（不可否認）12/31/202214信息安全的內涵隨著信息技術、安全技術以及信息化應用的不斷發(fā)展信息安全指保護信息和信息系統(tǒng)不被未經授權的訪問、使用、泄露、中斷、修改和破壞，為信息和信息系統(tǒng)提供保密性、完整性、可用性、可控性和不可否認性。信息安全保障是保證信息與信息系統(tǒng)的保密性、完整性、可用性、可控性和不可否認性的信息安全保護和防御過程。它要求加強對信息和信息系統(tǒng)的保護，加強對信息安全事件和各種脆弱性的檢測，提高應急反應能力和系統(tǒng)恢復能力。信息安全保障體系是實施信息安全保障的法制、組織管理和技術等層面有機結合的整體，是信息社會國家安全的基本組成部分，是保證國家信息化順利進行的基礎。幾個基本概念12/31/202215信息安全指保護信息和信息系統(tǒng)不被未經授權的訪問、使用、泄露、信息系統(tǒng)安全保障體系的基本內容12/31/202216信息系統(tǒng)安全保障體系的基本內容12/27/202216

信息安全保障中的幾個概念信息技術系統(tǒng)： 作為信息系統(tǒng)一部分的執(zhí)行組織機構信息功能的用于采集、創(chuàng)建、通信、計算、分發(fā)、處理、存儲和/或控制數據或信息的計算機硬件、軟件和/或固件的任何組合。信息系統(tǒng)信息系統(tǒng)用于采集、處理、存儲、傳輸、分發(fā)和部署信息的整個基礎設施、組織結構、人員和組件的總和。信息系統(tǒng)是在信息技術系統(tǒng)的基礎上，綜合考慮了人員、管理等系統(tǒng)綜合運行環(huán)境的一個整體。12/31/202217信息安全保障中的幾個概念信息技術系統(tǒng)：12/27/2022信息安全保障的含義信息安全保障的對象：

整個信息系統(tǒng)！12/31/202218信息安全保障的含義信息安全保障的對象：12/27/20221信息系統(tǒng)安全保障模型Pt代表防護時間；或者理解為入侵者攻擊安全目標所花費的時間。Dt代表從入侵者開始發(fā)動入侵開始，系統(tǒng)能夠檢測到入侵行為所花費的時間。Rt代表從發(fā)現入侵行為開始，系統(tǒng)能夠做出足夠的響應。公式：Pt>Dt+Rt。重點：防護時間大于檢測時間加上響應時間，那么系統(tǒng)是安全的。P2DR模型12/31/202219信息系統(tǒng)安全保障模型Pt代表防護時間；或者理解為入侵者攻擊安信息系統(tǒng)安全保障模型實時監(jiān)測應急響應災難恢復風險評估安全策略安全防護P2DR3模型12/31/202220信息系統(tǒng)安全保障模型實時監(jiān)測應急響應災難恢復風險評估安全策略信息系統(tǒng)安全保障模型要素之一安全策略根據風險評估的結果來設計系統(tǒng)安全的整體保障方案按照等級保護的要求，確定系統(tǒng)的防護等級根據信息安全保障強度，合理劃分網絡與系統(tǒng)中不同的信息安全域按照分級、分域、分層的思想確定相應的防護措施12/31/202221信息系統(tǒng)安全保障模型要素之一安全策略12/27/202221安全策略的重要性

ISO9000質量管理ISO27000安全管理12/31/202222安全策略的重要性ISO9000質量管理安全策略各種細化的安全策略1、身份鑒別策略 5、安全管理策略2、訪問控制策略 6、安全傳輸策略3、數據加密策略 7、備份恢復策略4、安全審計策略 等等。。。12/31/202223安全策略各種細化的安全策略12/27/202223信息系統(tǒng)安全保障模型要素之二安全防護在統(tǒng)一的安全策略的指導下，進行有針對性的防護：使用網閘進行物理隔離使用防火墻對外部進行訪問控制使用入侵檢測分析網內的數據包使用安全審計監(jiān)控記錄用戶的行為操作采用認證技術對用戶進行身份鑒別（PKI）部署防病毒軟件來防范惡意代碼的傳播使用漏洞掃描技術對系統(tǒng)進行安全加固使用防水墻防止內部信息的泄漏采用防篡改軟件保障網頁安全采用容錯軟件來保障系統(tǒng)的高可用性12/31/202224信息系統(tǒng)安全保障模型要素之二安全防護12/27/202224防火墻防火墻技術的基本功能控制信息的出入保護內部網絡免遭某些基于路由的攻擊對網絡存取和訪問進行監(jiān)控審計防止內部網絡信息的泄漏防火墻技術的其他功能強化網絡安全策略隱藏內部網絡結構細節(jié)保密通信功能12/31/202225防火墻防火墻技術的基本功能12/27/202225身份鑒別身份驗證（Identification）是用戶向系統(tǒng)出示自己身份證明的過程?？诹钫J證、數字證書認證是比較普遍采用的身份驗證方式提供的內容：你有什么？你知道什么？你是什么？一是只有該主體了解的秘密，如口令、密鑰二是主體攜帶的物品，如智能卡和令牌卡三是只有該主體具有的獨一無二的特征或能力，如指紋、聲音、視網膜或簽字等鑒別的方式：口令、數字證書、Keberos、動態(tài)密碼12/31/202226身份鑒別身份驗證（Identification）是用戶向系統(tǒng)身份鑒別兩種高安全強度的鑒別機制智能卡：訪問不但需要口令，也需要使用物理智能卡。在允許其進入系統(tǒng)之前檢查是否允許其訪問系統(tǒng)智能卡大小形如信用卡，一般由微處理器、存儲器及輸入、輸出設施構成。微處理器可計算該卡的一個唯一數（ID）和其它數據的加密形式為防止智能卡遺失或被竊，許多系統(tǒng)需要卡和身份識別碼（PIN）同時使用生物特征鑒別：利用個人特征進行鑒別，具有很高的安全性。目前已有的設備包括：視網膜掃描儀、聲音驗證設備、手型識別器12/31/202227身份鑒別兩種高安全強度的鑒別機制12/27/202227安全審計根據審計對象，安全審計可以分成三個層次網絡層安全審計系統(tǒng)安全審計信息內容安全審計，屬高層審計安全審計的主要功能通過事后的安全審計來檢測和調查安全策略執(zhí)行的情況以及安全遭到破壞的情況監(jiān)督可疑用戶，取消可疑用戶的權限，調用更強的保護機制，去掉或修復故障網絡以及系統(tǒng)的某個或某些失效部件12/31/202228安全審計根據審計對象，安全審計可以分成三個層次12/27/2安全審計網絡的安全審計在網絡的邊界設置信息審計系統(tǒng)，通過對進出網絡通信內容的還原、備份與審計，可在一定程度上防止網內機密信息的流出和網外不良信息的流入，并為網上泄密事件的追查提供有力的技術手段同時根據系統(tǒng)設定的規(guī)則，對違規(guī)行為進行智能分析和判斷并對其采取相應的動作例如：防火墻、入侵檢測的審計功能。12/31/202229安全審計網絡的安全審計12/27/202229安全審計系統(tǒng)的安全審計：主要是利用各種操作系統(tǒng)和應用軟件系統(tǒng)的審計功能實現。包括用戶訪問時間操作記錄系統(tǒng)運行信息資源占用系統(tǒng)事件12/31/202230安全審計系統(tǒng)的安全審計：主要是利用各種操作系統(tǒng)和應用軟件系統(tǒng)安全審計內容的安全審計通過定義的審計規(guī)則，如關鍵字、語句等，對信息的內容進行審核根據審計規(guī)則，監(jiān)視、記錄或阻斷通信的內容如郵件審查，對所有郵件及附件內容進行控制。12/31/202231安全審計內容的安全審計12/27/202231PKI公共密鑰體系公共密鑰基礎設施（PublicKeyInfrastructure）是應用公鑰概念和公鑰密碼技術提供信息安全及信任服務的基礎設施利用PKI/CA可以實現加密傳輸數字認證數字簽名抗抵賴基于非對稱算法12/31/202232PKI公共密鑰體系公共密鑰基礎設施（PublicKeyIPKI公共密鑰體系功能認證（鑒別）我不認識你?。闶钦l？我怎么相信你就是你？－－要是別人冒充你怎么辦授權我能干什么？－－我有什么權利？你能干這個，不能干那個。保密性我與你說話時，別人能不能偷聽？完整性收到的傳真不太清楚？傳送過程中別人篡改過沒有？抗抵賴我收到貨后，不想付款，想抵賴，怎么樣？我將錢寄給你后，你不給發(fā)貨，想抵賴，如何？12/31/202233PKI公共密鑰體系功能12/27/202233PKI公共密鑰體系數字證書：用戶身份的表征數字證書：內容包括用戶的公鑰，用戶姓名及用戶的其他信息數字證書解決了公鑰發(fā)放問題，公鑰的擁有者是身份的象征，對方可以據此驗證身份CA中心對含有公鑰的證書進行數字簽名，使證書無法偽造12/31/202234PKI公共密鑰體系數字證書：用戶身份的表征12/27/202PKI公共密鑰體系驗證數字證書的合法性證書目錄服務B的證書有效性檢查數字簽名驗證12/31/202235PKI公共密鑰體系驗證數字證書的合法性證書目錄服務B的證書有防病毒計算機病毒：編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼計算機病毒的特點影響面廣、危害大。病毒產生速度快（已經出現病毒制造機）數量巨大（已經達到數萬種）傳播速度快（通過Internet）技術手段越來越先進12/31/202236防病毒計算機病毒：編制或者在計算機程序中插入的破壞計算機功能漏洞掃描漏洞掃描，就是對重要網絡信息系統(tǒng)進行檢查，發(fā)現其中可能被攻擊者利用的漏洞。系統(tǒng)安全漏洞掃描是一種事先檢查型安全工具掃描設定網絡內的服務器、路由器、交換機、防火墻等安全設備的漏洞，并可設定模擬攻擊，以測試系統(tǒng)的防御能力從操作系統(tǒng)的角度監(jiān)視專用主機的整個安全性。如password文件，目錄和文件權限，共享文件系統(tǒng)，敏感服務，軟件，系統(tǒng)漏洞等12/31/202237漏洞掃描漏洞掃描，就是對重要網絡信息系統(tǒng)進行檢查，發(fā)現其中可信息系統(tǒng)安全保障模型要素之三實時監(jiān)測安全防護無法百分之百有效網絡與信息系統(tǒng)架構和應用不斷變化新的技術和威脅不斷出現實時監(jiān)測和及時整改才能保障防護措施的長期有效眾多“點”上的實時監(jiān)測信息為“面”上的預警提供信息渠道12/31/202238信息系統(tǒng)安全保障模型要素之三實時監(jiān)測12/27/202238入侵檢測IDS（IntrusionDetectionSystem）就是入侵檢測系統(tǒng)，它通過抓取網絡上的所有報文，分析處理后，報告異常和重要的數據模式和行為模式，使網絡安全管理員清楚地了解網絡上發(fā)生的事件，并能夠采取行動阻止可能的破壞入侵檢測的功能監(jiān)視、分析用戶和系統(tǒng)的行為識別攻擊行為對異常行為進行統(tǒng)計進行審計跟蹤、識別違反安全法規(guī)的行為監(jiān)視、審計、評估系統(tǒng)12/31/202239入侵檢測IDS（IntrusionDetection入侵檢測入侵檢測系統(tǒng)基本組成Sensor：收集系統(tǒng)中表示可能導致資源誤用、不正當訪問和惡意活動的信息,如如抓獲網絡中的所有數據包Scanner：收集系統(tǒng)的靜態(tài)配置信息中可能包括的惡意代碼、訪問控制配置、服務配置、授權配置、帳號策略和已知脆弱性Analyzer：分析器接受傳感器和/掃描器收集的數據，進行信息分析處理，導出有關潛在的、過去的或將來的入侵行為信息12/31/202240入侵檢測入侵檢測系統(tǒng)基本組成Sensor：Scanner：A信息系統(tǒng)安全保障模型要素之四應急響應一旦在實時監(jiān)測中發(fā)現重大問題要進行應急響應及時啟動預案協調相關資源進行有針對性地的響應措施：如事件定性、故障或事件定位、及時隔離、阻斷、甚至對抗等必要時請求外部協助，如專業(yè)服務廠商、信息安全測評中心、計算機病毒防范服務中心、9682000熱線等第三方服務機構直至啟用備份系統(tǒng)12/31/202241信息系統(tǒng)安全保障模型要素之四應急響應12/27/202241信息系統(tǒng)安全保障模型要素之五災難恢復信息安全保障閉環(huán)的最后一道閘門實在不行了啟用備份數據或備用系統(tǒng)各單位要建立多層次立體的災難恢復體系根據系統(tǒng)的重要程度、系統(tǒng)中斷的容忍時間和費效比選取恰當的災難恢復等級在消除單點故障和保障高可用性的基礎上，配置數據恢復手段，并進行異地的災難備份根據系統(tǒng)的災難恢復級別要求，選取市里提供的介質異地存放、數據備份、應用備份等服務方式系統(tǒng)恢復后應及時對系統(tǒng)實施風險評估12/31/202242信息系統(tǒng)安全保障模型要素之五災難恢復12/27/202242信息系統(tǒng)安全保障模型要素之六風險評估：資產+威脅+弱點=風險資產：確定重要資產-CIA三性取向威脅：發(fā)生可能性、可能后果弱點：利用難度、可能后果12/31/202243信息系統(tǒng)安全保障模型要素之六12/27/202243等級保護基本知識介紹12/31/202244等級保護基本知識介紹12/27/20224444等級保護有關背景情況介紹等級保護的政策依據等級保護的關鍵環(huán)節(jié)（流程）等級保護的現實意義等級保護的相關標準《基本要求》核心思想解讀12/31/202245等級保護有關背景情況介紹等級保護的政策依據12/27/202等級保護政策依據《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）公安部、國家保密局、國家密碼管理委員會辦公室、國務院信息化工作辦公室聯合下發(fā)的《關于信息安全等級保護工作的實施意見》（公通字[2004]66號）公安部、國家保密局、國家密碼管理局、國務院信息化工作辦公室聯合下發(fā)的《信息安全等級保護管理辦法》（試行）（公通字[2006]7號）《關于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》（公信安[2007]861號）關于印發(fā)《信息安全等級保護管理辦法》的通知（公通字[2007]43號）12/31/202246等級保護政策依據《國家信息化領導小組關于加強信息安全保障工作等級保護政策依據中辦發(fā)[2003]27號文明確指出“實行信息安全等級保護”。“要重點保護基礎信息網絡和關系國家安全、經濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級保護制度，制定信息安全等級保護的管理辦法和技術指南”。12/31/202247等級保護政策依據中辦發(fā)[2003]27號文12/27/202等級保護政策依據公通字[2004]66號文進一步明確了信息安全等級保護制度的基本內容：一是根據信息和信息系統(tǒng)在國家安全、社會秩序、公共利益、社會生活中的重要程度；遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度；針對信息的保密性、完整性和可用性要求及信息系統(tǒng)必須要達到的基本的安全保護水平等因素，確定信息和信息系統(tǒng)的安全保護等級，共分五級。二是國家通過制定統(tǒng)一的管理規(guī)范和技術標準，組織行政機關、公民、法人和其他組織根據信息和信息系統(tǒng)的不同重要程度開展有針對性的保護工作。國家對不同安全保護級別的信息和信息系統(tǒng)實行不同強度的監(jiān)管政策。三是國家對信息安全產品的使用實行分等級管理。四是信息安全事件實行分等級響應、處置的制度。12/31/202248等級保護政策依據公通字[2004]66號文12/27/202等級保護政策依據公通字[2006]7號文明確了信息安全等級保護的具體要求。為推廣和實施信息安全等級保護提供法律保障。公信安[2007]861號標志著等級保護工作正式推向實施階段。12/31/202249等級保護政策依據公通字[2006]7號文12/27/2022等級保護政策依據公通字[2007]43號文2007.6.22明確主管單位：公安機關負責信息安全等級保護工作的監(jiān)督、檢查、指導。國家保密部門負責等保中保密工作的監(jiān)督、檢查、指導。國家密碼管理部門負責等保中有關密碼工作的監(jiān)督、檢查、指導。確定5個等級，但去掉了[20067號文]“自主保護”、“指導保護”、“監(jiān)督保護”等稱為。12/31/202250等級保護政策依據公通字[2007]43號文2007.6.2等級保護政策依據公通字[2007]43號文五個等級的基本情況第一級：運營、使用單位根據國家管理規(guī)范、技術標準自主防護。第二級：運營、使用單位根據國家管理規(guī)范、技術標準自主防護。國家有關部門進行指導。第三級：自主防護。國家有關部門進行監(jiān)督、檢查。第四級：運營、使用單位根據國家管理規(guī)范、技術標準和業(yè)務專門需求進行保護，國家有關部門進行強制監(jiān)督、檢查。第五級：（略）。12/31/202251等級保護政策依據公通字[2007]43號文12/27/202等級保護政策依據公通字[2007]43號文測評周期要求第三級信息系統(tǒng)應當每年至少進行一次等級測評；第四級信息系統(tǒng)應當每半年至少進行一次等級測評；第五級信息系統(tǒng)應當依據特殊安全需求進行等級測評。自查周期要求第三級信息系統(tǒng)應當每年至少進行一次自查；第四級信息系統(tǒng)應當每半年至少進行一次自查；第五級信息系統(tǒng)應當依據特殊安全需求進行自查。根據測評、自查情況制定整改方案并實施。12/31/202252等級保護政策依據公通字[2007]43號文12/27/202等級保護政策依據公通字[2007]43號文檢查周期要求受理備案的公安機關應當對第三級、第四級信息系統(tǒng)的運營、使用單位的信息安全等級保護工作情況進行檢查。對第三級信息系統(tǒng)每年至少檢查一次；對第四級信息系統(tǒng)每半年至少檢查一次。對第五級信息系統(tǒng)，應當由國家指定的專門部門進行檢查。12/31/202253等級保護政策依據公通字[2007]43號文12/27/202等級保護政策依據公通字[2007]43號文等級保護的檢查內容（一）信息系統(tǒng)安全需求是否發(fā)生變化，原定保護等級是否準確；（二）運營、使用單位安全管理制度、措施的落實情況；（三）運營、使用單位及其主管部門對信息系統(tǒng)安全狀況的檢查情況；（四）系統(tǒng)安全等級測評是否符合要求；（五）信息安全產品使用是否符合要求；（六）信息系統(tǒng)安全整改情況；（七）備案材料與運營、使用單位、信息系統(tǒng)的符合情況；（八）其他應當進行監(jiān)督檢查的事項。12/31/202254等級保護政策依據公通字[2007]43號文12/27/202等級保護政策依據公通字[2007]43號文第三級以上信息系統(tǒng)應當選擇使用符合以下條件的信息安全產品：（一）產品研制、生產單位是由中國公民、法人投資或者國家投資或者控股的，在中華人民共和國境內具有獨立的法人資格；（二）產品的核心技術、關鍵部件具有我國自主知識產權；（三）產品研制、生產單位及其主要業(yè)務、技術人員無犯罪記錄；（四）產品研制、生產單位聲明沒有故意留有或者設置漏洞、后門、木馬等程序和功能；（五）對國家安全、社會秩序、公共利益不構成危害；（六）對已列入信息安全產品認證目錄的，應當取得國家信息安全產品認證機構頒發(fā)的認證證書。12/31/202255等級保護政策依據公通字[2007]43號文12/27/202等級保護政策依據公通字[2007]43號文第三級以上信息系統(tǒng)的安全測評機構應具備的條件：（一）在中華人民共和國境內注冊成立（港澳臺地區(qū)除外）；（二）由中國公民投資、中國法人投資或者國家投資的企事業(yè)單位（港澳臺地區(qū)除外）；（三）從事相關檢測評估工作兩年以上，無違法記錄；（四）工作人員僅限于中國公民；（五）法人及主要業(yè)務、技術人員無犯罪記錄；（六）使用的技術裝備、設施應當符合本辦法對信息安全產品的要求；（七）具有完備的保密管理、項目管理、質量管理、人員管理和培訓教育等安全管理制度；（八）對國家安全、社會秩序、公共利益不構成威脅。12/31/202256等級保護政策依據公通字[2007]43號文12/27/202等級保護政策依據公通字[2007]43號文其他：（一）涉密系統(tǒng)根據BMB17建設，根據BMB22測評；（二）秘密、機密、絕密對應第三、四、五等級。（三）密碼管理根據《商用秘密管理條例》執(zhí)行。12/31/202257等級保護政策依據公通字[2007]43號文12/27/202等級保護工作的主要流程一是定級。二是備案（二級以上信息系統(tǒng)）。三是系統(tǒng)建設、整改（按條件選擇產品）。四是開展等級測評（按條件選擇測評機構）。五是信息安全監(jiān)管部門定期開展監(jiān)督檢查。12/31/202258等級保護工作的主要流程一是定級。12/27/202258等級保護現實意義確保重點：需要通過國家政策、制度來保障有關國計民生、大型活動（如奧運、世博）信息系統(tǒng)的安全。適度防護：由于資金投入、人力資源是有限的，因此要根據不同等級的安全需求進行安全建設與管理，避免過度投入造成的浪費。普及經驗：信息安全工作到底怎樣做，多數單位缺乏辦法、經驗、底數。因此，等級保護吸取了我國多年信息安全技術、管理成敗經驗教訓，科學的規(guī)范了信息安全工作的開展。12/31/202259等級保護現實意義確保重點：需要通過國家政策、制度來保障有關國等級保護相關標準《計算機信息系統(tǒng)安全保護等級劃分準則》（GB17859-1999）《信息安全技術網絡基礎安全技術要求》（GB/T20270-2006）《信息安全技術信息系統(tǒng)通用安全技術要求》GB/T20271-2006）《信息安全技術操作系統(tǒng)安全技術要求》（GB/T20272-2006）《信息安全技術數據庫管理系統(tǒng)安全技術要求》（GB/T20273-2006）《信息安全等級保護基本要求》（GB/T22239-2008）《信息安全等級保護定級指南》（GB/T22240-2008）《信息安全等級保護測評要求》（送審稿）《信息安全技術信息系統(tǒng)等級保護安全設計技術要求》（征求意見）12/31/202260等級保護相關標準《計算機信息系統(tǒng)安全保護等級劃分準則》（GB等級保護核心標準關系的說明系統(tǒng)建設：《信息系統(tǒng)安全等級保護定級指南》確定出系統(tǒng)等級以及業(yè)務信息安全性等級和系統(tǒng)服務安全等級后，需要按照相應等級，根據《信息安全等級保護基本要求》選擇相應等級的安全保護要求進行系統(tǒng)建設實施。系統(tǒng)測評：《信息系統(tǒng)安全等級保護測評要求》是針對《信息安全等級保護基本要求》的具體控制要求開發(fā)的測評要求，旨在強調系統(tǒng)按照《信息安全等級保護基本要求》進行建設完畢后，檢驗系統(tǒng)的各項保護要求是否符合相應等級的基本要求。由上可見，《信息安全等級保護基本要求》在整個標準體系中起著承上啟下的作用。相關技術要求可以作為《信息安全等級保護基本要求》的補充和詳細指導標準。12/31/202261等級保護核心標準關系的說明系統(tǒng)建設：《信息系統(tǒng)安全等級保護定《基本要求》的主要思想及作用

信息系統(tǒng)的定級12/31/202262《基本要求》的主要思想及作用

信息系統(tǒng)的定級12/27/20各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)防護防護/監(jiān)測策略/防護/監(jiān)測/恢復策略/防護/監(jiān)測/恢復/響應12/31/202263各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)防護防各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)通信/邊界（基本）通信/邊界/內部（關鍵設備）通信/邊界/內部（主要設備）通信/邊界/內部/基礎設施（所有設備）12/31/202264各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)通信/各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)計劃和跟蹤（主要制度）計劃和跟蹤（主要制度）良好定義（管理活動制度化）持續(xù)改進（管理活動制度化/及時改進）12/31/202265各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)計劃和構建系統(tǒng)模型_技術模型12/31/202266構建系統(tǒng)模型_技術模型12/27/202266構建系統(tǒng)模型_管理模型12/31/202267構建系統(tǒng)模型_管理模型12/27/20226712/31/202268目錄一、信息安全基礎知識二、證券行業(yè)面臨的安全威脅

三、公司安全防護體系四、公司信息安全標準12/27/202268目錄一、信息安全基礎知識二證券行業(yè)面臨的安全威脅證券盜買盜賣蠕蟲、病毒和木馬惡意攻擊DDoSSQL注入域名攻擊跨站腳本釣魚網站，網絡欺詐……12/31/202269違背公司安全策略非法外聯和內聯安裝盜版軟件未授權訪問卸載指定殺毒軟件訪問掛馬網站口令明文傳輸……源程序包含惡意代碼和后門數據無完整性保護文件傳輸和保存不能抗抵賴……二證券行業(yè)面臨的安全威脅證券盜買盜賣12/27/2022612/31/202270目錄一、信息安全基礎知識二、證券行業(yè)面臨的安全威脅

三、公司安全防護體系四、公司信息安全標準12/27/202270目錄一、信息安全基礎知識12/31/202271原因建設安全體系的必要性和迫切性證券行業(yè)信息安全工作是國家信息安全戰(zhàn)略的一個重要組成部分監(jiān)管部門已將業(yè)務資格、分類評價和證券公司信息安全水平已形成掛鉤聯動機制互聯網安全威脅增加，攻擊技術不斷更新，金融網絡犯罪呈團伙化的趨勢公司業(yè)務規(guī)模擴大，系統(tǒng)持續(xù)擴容，創(chuàng)新業(yè)務不斷推出，現有安全防護體系力不從心公司信息化程度不斷提高，業(yè)務部門高度依賴信息技術，遵循統(tǒng)一的信息安全標準是系統(tǒng)開發(fā)和運維的需要信息安全專業(yè)人員占比較低，與其他券商有差距，不符合等保三級對專職安全管理員的要求12/31/20227112/27/202271原因建設安全體系的必要性和迫切性1212/31/202272目標與原則安全防護體系建設目標在保證公司信息系統(tǒng)符合國家有關部門和監(jiān)管部門要求的前提下，確保公司信息系統(tǒng)可以在3-5年內可以抵御黑客、病毒、惡意代碼等各種形式對系統(tǒng)發(fā)起的惡意破壞，特別是能夠對抗大型的、有組織的團體發(fā)起的惡意攻擊，并在威脅發(fā)生后的短時間內恢復絕大部分功能，保障公司業(yè)務的正常平穩(wěn)運行。安全防護體系建設原則積極防御，綜合防范立足實際，適度安全安全防護體系建設思路行業(yè)監(jiān)管要求等級保護策略12/31/20227212/27/202272目標與原則安全防護體系建設目標12/12/31/202273安全防護體系建設框架–

要素安全防護體系四要素安全專項資金安全專業(yè)隊伍安全管理制度安全技術體系12/31/20227312/27/202273安全防護體系建設框架–要素安全防安全防護體系建設內容–組織架構安全管理領導機構信息安全領導小組組長：馮國榮；副組長：杜平；成員：李靜、顧百儉、姜建勤、張磊、陳躍華、談偉軍、郭怡峰安全管理執(zhí)行機構信息安全辦公室主任：郭怡峰；副主任：周姍、陸中兵成員：沈永剛、陸儉、于敬兢、鄭煒、邵斌、崔石、李海文、施華安全防護體系建設內容–組織架構安全管理領導機構7412/31/202275安全防護體系建設內容–安全技術

安全標準安全技術：物理、網絡、主機、應用、數據安全管理：人員、組織、制度、系統(tǒng)建設、系統(tǒng)運維安全指標體系量化公司信息系統(tǒng)現狀考核信息安全工作落實情況完善防范、監(jiān)控和應急手段事前防范：漏洞掃描、安全測試、網關防毒等事中監(jiān)控：安全事件管理中心、入侵檢測、抗DDoS、安全審計等事后應急：操作系統(tǒng)應急預案、網絡攻擊應急預案、防病毒應急預案12/27/202275安全防護體系建設內容–安全技術 12/31/202276安全防護體系建設內容–安全管理信息安全標準（紅皮書）崗位安全職責詳細的操作流程簡潔清晰的報告路徑定期應急演練系統(tǒng)建設過程審核系統(tǒng)運維合規(guī)審核崗位考核和責任追究安全知識宣傳和培訓安全指標體系12/27/202276安全防護體系建設內容–安全管理信息安全防護體系建設內容–安全制度梳理后的制度框架《信息技術系統(tǒng)管理辦法》《電腦類項目管理實施細則》《電腦軟件管理實施細則》《電腦機房建設與運行管理實施細則》《電腦設備管理實施細則》《電子數據管理實施細則》《網絡通訊管理實施細則》《信息技術系統(tǒng)安全管理實施細則》《技術應急指揮分中心突發(fā)事件應急處置預案》《互聯網域名規(guī)劃管理辦法》《營業(yè)部電腦人員管理辦法》《營業(yè)部電腦人員上崗證及日?？己斯芾磙k法》《信托產品“交易系統(tǒng)接入”技術管理暫行辦法》《境外客戶FIX系統(tǒng)對接技術管理辦法》《滬港專線管理辦法》安全防護體系建設內容–安全制度梳理后的制度框架77安全防護體系建設內容–技術標準技術標準與操作規(guī)程《技術白皮書》《技術黃皮書》《技術紅皮書》《技術藍皮書》《技術綠皮書》安全防護體系建設內容–技術標準技術標準與操作規(guī)程7812/31/202279目錄一、信息安全基礎知識二、證券行業(yè)面臨的安全威脅

三、公司安全防護體系四、公司信息安全標準（紅皮書）12/27/202279目錄一、信息安全基礎知識主要內容申銀萬國信息系統(tǒng)物理安全技術要求管理要求基本要求網絡安全主機安全應用安全數據安全安全管理機構安全管理制度人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理12/31/202280主要內容申銀萬國信息系統(tǒng)物理安全技術要求管理要求基本要求網絡不同級別系統(tǒng)控制點的差異安全要求類層面一級二級三級四級技術要求物理安全7101010網絡安全3677主機安全4679應用安全47911數據安全及備份恢復2333管理要求安全管理制度2333安全管理機構4555人員安全管理4555系統(tǒng)建設管理991111系統(tǒng)運維管理9121313合計/48667377級差//187412/31/202281不同級別系統(tǒng)控制點的差異安全要求類層面一級二級三級四級技術要不同級別系統(tǒng)要求項的差異安全要求類層面一級二級三級四級技術要求物理安全9193233網絡安全9183332主機安全6193236應用安全7193136數據安全及備份恢復24811管理要求安全管理制度371114安全管理機構492020人員安全管理7111618系統(tǒng)建設管理20284548系統(tǒng)運維管理18416270合計/85175290318級差//901152812/31/202282不同級別系統(tǒng)要求項的差異安全要求類層面一級二級三級四級技術要等級保護基本要求的具體介紹12/31/202283等級保護基本要求的具體介紹12/27/20228383等級保護物理安全具體要求控制點一級二級三級四級物理位置的選擇***物理訪問控制****防盜竊和防破壞****防雷擊****防火****防水和防潮****防靜電***溫濕度控制****電力供應****電磁防護***合計710101012/31/202284等級保護物理安全具體要求控制點一級二級三級四級物理位置的選擇www.shtec.等級保護物理安全具體要求（一）物理位置選擇機房防震、防風和防雨應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。12/31/202285等級保護物理安全具體要求（一www.shtec.等級保護物理安全具體要求（二）物理訪問控制專人值守申請和審批劃分區(qū)域進行管理配置電子門禁12/31/202286等級保護物理安全具體要求（二www.shtec.等級保護物理安全具體要求（三）防盜竊和防破壞設備或主要部件進行固定設置標記（不易去除）。通信線纜鋪設鋪設在地下或管道中防盜報警12/31/202287等級保護物理安全具體要求（三www.shtec.等級保護物理安全具體要求（四）防雷擊設置避雷裝置；防雷保安器，防止感應雷；設置交流電源地線。12/31/202288等級保護物理安全具體要求（四www.shtec.等級保護物理安全具體要求（五）防火火災自動消防系統(tǒng)；采用耐火建筑材料；區(qū)域隔離防火措施.12/31/202289等級保護物理安全具體要求（五www.shtec.等級保護物理安全具體要求（六）防水和防潮水管不穿過機房屋頂和活動地板下；防止雨水通過機房窗戶、屋頂和墻壁滲透；防止機房內水蒸氣結露和地下積水的轉移與滲透；對機房進行防水檢測和報警。12/31/202290等級保護物理安全具體要求（六www.shtec.等級保護物理安全具體要求（七）防靜電防靜電地板。12/31/202291等級保護物理安全具體要求（七www.shtec.等級保護物理安全具體要求（八）溫濕度控制應設置溫、濕度自動調節(jié)設施，使機房溫、濕度的變化在設備運行所允許的范圍之內（大型的精密空調）12/31/202292等級保護物理安全具體要求（八www.shtec.等級保護物理安全具體要求（九）電力供應供電線路上配置穩(wěn)壓器和過電壓防護設備；提供短期的備用電力供應（UPS設備）；設置并行電力線路為計算機系統(tǒng)供電（2路供電）；應建立備用供電系統(tǒng)（發(fā)電機）。12/31/202293等級保護物理安全具體要求（九www.shtec.等級保護物理安全具體要求（十）電磁防護電源線和通信線纜應隔離鋪設，避免互相干擾；對關鍵設備（泄露）和磁介質（損壞）實施電磁屏蔽。12/31/202294等級保護物理安全具體要求（十www.shtec.等級保護網絡安全具體要求控制點一級二級三級四級結構安全****訪問控制****安全審計***邊界完整性檢查***入侵防范***惡意代碼防范**網絡設備防護****合計367712/31/202295等級保護網絡安全具體要求控制等級保護網絡安全具體要求（一）結構安全主要網絡設備處理能力具備冗余空間（CPU；MEM；I/O）；網絡各個部分的帶寬滿足業(yè)務高峰期需要；安全訪問路徑（可控路由；靜態(tài)路由）；網絡拓撲結構圖(與當前運行情況相符)；劃分子網或網段；重要網段與其他網段之間技術隔離；確定服務重要次序指定帶寬分配優(yōu)先級別。（很難，除非協議不同）12/31/202296等級保護網絡安全具體要求（一）結構安全12/27/20229www.shtec.等級保護網絡安全具體要求（二）訪問控制邊界部署訪問控制設備（FW）數據流控制粒度為端口級；實現命令級（ftp、telnet）的控制；會話終止（非活躍一定時間）；限制網絡最大流量數及網絡連接數；重要網段應采取技術手段防止地址欺騙（MAC地址邦定）；限制具有撥號訪問權限的用戶數量12/31/202297等級保護網絡安全具體要求（二www.shtec.等級保護網絡安全具體要求（三）安全審計記錄網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；能夠根據記錄數據進行分析，并生成審計報表；審計記錄保護，避免刪除、修改或覆蓋等12/31/202298等級保護網絡安全具體要求（三www.shtec.等級保護網絡安全具體要求（四）邊界完整性檢查對非授權設備進行有效阻斷；外聯監(jiān)控12/31/202299等級保護網絡安全具體要求（四www.shtec.等級保護網絡安全具體要求（五）入侵防范在網絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等；記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警。12/31/2022100等級保護網絡安全具體要求（五www.shtec.等級保護網絡安全具體要求（六）惡意代碼防范在網絡邊界處對惡意代碼進行檢測和清除；惡意代碼庫的升級和檢測系統(tǒng)的更新。12/31/2022101等級保護網絡安全具體要求（六www.shtec.等級保護網絡安全具體要求（七）網絡設備防護管理員登錄地址限制兩種或兩種以上組合的鑒別技術口令應有復雜度要求并定期更換登錄失敗處理功能遠程管理加密鑒別信息設備特權用戶的權限分離12/31/2022102等級保護網絡安全具體要求（七www.shtec.等級保護主機安全具體要求控制點一級二級三級四級身份鑒別****安全標記*訪問控制****可信路徑*安全審計***剩余信息保護**入侵防范****惡意代碼防范****資源控制***合計467912/31/2022103等級保護主機安全具體要求控制www.shtec.等級保護主機安全具體要求（一）身份鑒別口令應有復雜度要求并定期更換；登錄失敗處理遠程管理時，加密鑒別信息用戶名具有唯一性（避免多人使用相同帳號）兩種或兩種以上組合的鑒別技術12/31/2022104等級保護主機安全具體要求（一www.shtec.等級保護主機安全具體要求（二）訪問控制角色分配，最小授權原則；特權用戶的權限分離（系統(tǒng)管理員、安全員、審計員）；重命名默認帳戶，修改默認口令；刪除多余的、過期的帳戶。設置敏感標記12/31/2022105等級保護主機安全具體要求（二www.shtec.等級保護主機安全具體要求（三）安全審計范圍覆蓋到每個用戶；審計內容包括重要用戶管理、登錄/登出、非授權訪問等安全相關事件；記錄包括日期、時間、類型、主體標識、客體標識和結果等；根據記錄數據進行分析，并生成審計報表；保護審計記錄，避免刪除、修改或覆蓋等。12/31/2022106等級保護主機安全具體要求（三www.shtec.等級保護主機安全具體要求（四）剩余信息保護鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除；系統(tǒng)內的文件、目錄和數據庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。12/31/2022107等級保護主機安全具體要求（四www.shtec.等級保護主機安全具體要求（五）入侵防范檢測到對重要服務器進行入侵的行為，記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；對重要程序的完整性進行檢測，檢測+恢復措施；遵循最小安裝的原則+保持系統(tǒng)補丁及時得到更新。12/31/2022108等級保護主機安全具體要求（五www.shtec.等級保護主機安全具體要求（六）惡意代碼防范安裝防惡意代碼軟件+更新惡意代碼庫；與網絡防惡意代碼產品不同的惡意代碼庫；統(tǒng)一管理（網絡版）。12/31/2022109等級保護主機安全具體要求（六www.shtec.等級保護主機安全具體要求（七）資源控制設定終端接入方式、網絡地址范圍操作超時鎖定；監(jiān)視服務器的CPU、硬盤、內存、網絡等資源限制單個用戶對系統(tǒng)資源的最大或最小使用限度；對系統(tǒng)的服務水平（CPU、內存、硬盤、I/O）降低到預定最小值進行檢測報警。12/31/2022110等級保護主機安全具體要求（七www.shtec.等級保護應用安全具體要求控制點一級二級三級四級身份鑒別****安全標記*訪問控制****可信路經*安全審計***剩余信息保護**通信完整性****通信保密性***抗抵賴**軟件容錯****資源控制***合計4791112/31/2022111等級保護應用安全具體要求控制www.shtec.等級保護應用安全具體要求（一）身份鑒別采用兩種或兩種以上組合的鑒別技術身份標識唯一和鑒別信息復雜度檢查功能登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出12/31/2022112等級保護應用安全具體要求（一www.shtec.等級保護應用安全具體要求（二）訪問控制訪問控制涵蓋主體、客體、操作限制默認賬戶/角色的訪問權限最小授權，相互制約-系統(tǒng)管理員、系統(tǒng)安全員、系統(tǒng)審計員三權分立敏感標記-介于自主訪問控制與強制訪問控制之間的控制要求12/31/2022113等級保護應用安全具體要求（二www.shtec.等級保護應用安全具體要求（三）安全審計審計涵蓋每個用戶，包括管理員等特權用戶審計功能不能單獨中斷審計日志不能單條刪除、修改審計日志可讀性強，便于分析統(tǒng)計12/31/2022114等級保護應用安全具體要求（三www.shtec.等級保護應用安全具體要求（四）剩余信息保護鑒別信息的存儲空間被釋放或再分配給其他用戶前得到完全清除，主要是存在硬盤、內存（cookie等）文件、目錄和數據庫記錄等資源的存儲空間被釋放或重新分配給其他用戶前得到完全清除（臨時文件等）12/31/2022115等級保護應用安全具體要求（四www.shtec.等級保護應用安全具體要求（五）通信完整性采用密碼技術保證通信過程中數據的完整性。（用HASH算法等保證數據的完整性，但是不符合國密局要求，國產算法連算法也保密）12/31/2022116等級保護應用安全具體要求（五www.shtec.等級保護應用安全具體要求（六）通信保密性應用系統(tǒng)應利用密碼技術進行會話初始化驗證（雙向驗證）強調對整個報文或會話過程進行加密（一般網絡加密可能存在后端明文傳輸的情況）加密卡網絡加密機服務器用戶加密信道明文傳輸12/31/2022117等級保護應用安全具體要求（六www.shtec.等級保護應用安全具體要求（七）抗抵賴提供原發(fā)證據提供接受證據12/31/2022118等級保護應用安全具體要求（七www.shtec.等級保護應用安全具體要求（八）軟件容錯人機接口輸入格式化要求（如身份證一定是數字，15或18位）應提供自動保護功能，當故障發(fā)生時自動保護當前所有狀態(tài)，保證系統(tǒng)能夠進行恢復。（手工恢復）12/31/2022119等級保護應用安全具體要求（八www.shtec.等級保護應用安全具體要求（九）資源控制一段時間內未作任何操作，應能夠自動結束會話；（防止應用D.D.O.S.）限制系統(tǒng)最大并發(fā)會話連接數限制一個時間段內可能的并發(fā)會話連接數限制單個帳戶的多重并發(fā)會話對系統(tǒng)服務水平降低到預先規(guī)定的最小值進行檢測和報警根據優(yōu)先級分配系統(tǒng)資源（查詢、處理沖突時）12/31/2022120等級保護應用安全具體要求（九www.shtec.等級保護數據安全具體要求控制點一級二級三級四級數據完整性****數據保密性***備份和恢復****合計233312/31/2022121等級保護數據安全具體要求控制www.shtec.等級保護數據安全的具體要求（一）數據完整性系統(tǒng)管理數據、鑒別信息和重要業(yè)務數據在傳輸和存儲過程中都要進行完整性檢驗及必要的恢復措施。系統(tǒng)管理數據：配置數據鑒別信息：用于用戶身份鑒別的信息恢復措施：可用手工完成12/31/2022122等級保護數據安全的具體要求（www.shtec.等級保護數據安全的具體要求（二）數據保密性系統(tǒng)管理數據、鑒別信息和重要業(yè)務數據在傳輸和存儲過程中都要采取加密或其他措施。12/31/2022123等級保護數據安全的具體要求（www.shtec.等級保護數據安全的具體要求（三）備份和恢復完全數據備份至少每天一次，備份介質場外存放；應提供異地數據備份功能；采用冗余技術設計網絡拓撲結構，避免關鍵節(jié)點存在單點故障；應提供主要網絡設備、通信線路和數據處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。12/31/2022124等級保護數據安全的具體要求（等級保護管理要求中涉及系統(tǒng)開發(fā)的具體要求

方案設計軟件開發(fā)工程實施測試驗收12/31/2022125等級保護管理要求中涉及系統(tǒng)開發(fā)的具體要求

方案設計12/2125www.shtec.等級保護開發(fā)安全的具體要求（一）方案設計文檔1：系統(tǒng)建設方案、詳細設計方案要求1：方案中提到安全要求文檔2：近期和遠期的安全建設計劃要求2：每個系統(tǒng)均有安全建設計劃12/31/2022126等級保護開發(fā)安全的具體要求（www.shtec.等級保護開發(fā)安全的具體要求（二）自行軟件開發(fā)文檔1：軟件開發(fā)管理制度文檔2：代碼編寫規(guī)范文檔3：軟件設計相關文檔和使用指南要求3：包括《項目立項申請表》、《項目開發(fā)任務書》，《需求分析說明書》、《系統(tǒng)設計說明書》、《系統(tǒng)測試計劃》、《系統(tǒng)測試報告》、《項目投產方案》、《系統(tǒng)操作手冊》等。文檔4：源代碼修改、更新、發(fā)布的授權審批記錄12/31/2022127等級保護開發(fā)安全的具體要求（www.shtec.等級保護開發(fā)安全的具體要求（三）外包軟件開發(fā)文檔1：軟件開發(fā)安全協議（包含保密協議）文檔2：驗收檢測報告要求2：包含功能測試、性能測試、源代碼惡意代碼檢查。文檔3：需求分析說明書、軟件設計說明書、軟件操作手冊、用戶培訓計劃、用戶培訓記錄12/31/2022128等級保護開發(fā)安全的具體要求（www.shtec.等級保護開發(fā)安全的具體要求（四）工程實施文檔1：信息系統(tǒng)工程安全建設方案要求1：項目建設方案（項目管理計劃）其中明確實施方責任、項目時間進度、任務要求、質量控制等。文檔2：工程實施管理制度要求2：針對項目集成單位的管理制度。文檔3：階段性工作報告要求3：項目管理過程中周報、月報、項目總結等。12/31/2022129等級保護開發(fā)安全的具體要求（www.shtec.等級保護開發(fā)安全的具體要求（五）測試驗收及系統(tǒng)交付文檔1：系統(tǒng)測試方案、測試記錄、測試報告、驗收測試管理制度、驗收報告要求1：系統(tǒng)測試包括業(yè)務功能測試、性能測試、安全性測試等。文檔2：系統(tǒng)交付管理制度、系統(tǒng)交付清單、運維技術人員培訓記錄要求2：開發(fā)廠商或交通銀行開發(fā)部人員，對業(yè)務用戶、運維管理人員的培訓。12/31/2022130等級保護開發(fā)安全的具體要求（等級保護管理要求中涉及系統(tǒng)運維的具體要求

環(huán)境管理 資產管理介質管理設備管理監(jiān)控管理網絡安全管理系統(tǒng)安全管理惡意代碼防范密碼管理變更管理備份恢復安全事件處置應急預案管理12/31/2022131等級保護管理要求中涉及系統(tǒng)運維的具體要求

環(huán)境管理 系統(tǒng)安全131www.shtec.等級保護運維安全的具體要求（一）環(huán)境管理文檔1：機房安全管理制度要求1：包括機房物理訪問、物品出入、機房環(huán)境安全等方面。文檔2：機房供配電系統(tǒng)、空調設備、溫濕度控制的維護記錄12/31/2022132等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（二）資產管理文檔1：資產安全管理制度要求1：包括資產管理的責任部門、信息分類和資產標識的方法，信息的使用、存儲、傳輸等方面。文檔2：與信息系統(tǒng)相關的資產清單要求2：資產名稱責任部門、重要程度、所處位置等12/31/2022133等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（三）介質管理文檔1：介質安全管理制度要求1：包括對介質的存放環(huán)境、使用、維護、銷毀等方面。文檔2：介質的歸檔、查詢和借用的記錄、介質定期盤點記錄、介質的送修和銷毀記錄、對于保密性高的介質銷毀需要有領導批準記錄、介質物理傳輸的交接記錄12/31/2022134等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（四）設備管理文檔1：設備管理制度要求1：包括明確設備的選型、采購、領用、發(fā)放維護人員責任、涉外維修和服務的審批、維修過程的監(jiān)控等。文檔2：服務器、網絡設備的操作規(guī)程要求2：覆蓋啟動、停止、加電、斷電等操作文檔3：各種設備、線路的維護記錄要求3：覆蓋備份和冗余設備文檔4：設備帶離機房或辦公環(huán)境的審批記錄12/31/2022135等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（五）監(jiān)控管理文檔1：監(jiān)控記錄、監(jiān)控分析報告要求1：包括通信線路、主機、網絡設備和應用軟件的運行狀況、網絡流量、用戶行為等。12/31/2022136等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（六）網絡安全管理文檔1：網絡設備漏洞掃描報告要求1：覆蓋漏洞的嚴重級別、原因分析、改進意見等。文檔2：網絡設備配置等重要文件備份記錄、報警信息的分析和處理記錄、設備安全策略、服務開啟和關閉的審批記錄、網絡特權用戶的授權記錄、網絡的外聯，與外部系統(tǒng)的連接批準記錄、移動設備接入系統(tǒng)的批準記錄、對違反網絡安全策略行為的檢查記錄等12/31/2022137等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（七）系統(tǒng)安全管理文檔1：系統(tǒng)安全管理制度要求1：包括主機系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面等。文檔2：系統(tǒng)補丁測試記錄、安裝最新補丁前重要文件的備份記錄、主機漏洞掃描報告、主機系統(tǒng)特權用戶的授權記錄、主機設備的操作規(guī)程、主機設備的操作記錄要求2：漏掃報告必須覆蓋漏洞的嚴重級別、原因分析、改進意見等；12/31/2022138等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（八）惡意代碼防范文檔1：惡意代碼防范管理制度要求1：包括防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等。文檔2：網絡和主機惡意代碼的檢測記錄、惡意代碼庫升級記錄、病毒、惡意代碼的分析記錄和報告12/31/2022139等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（九）密碼管理文檔1：密碼使用管理制度要求1：使用符合國家密碼管理規(guī)定的密碼技術和產品12/31/2022140等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（十）變更管理文檔1：變更管理制度、系統(tǒng)變更的申請和審批記錄、系統(tǒng)變更的變更記錄要求1：包括變更前審批、變更過程記錄、變更后通報等文檔2：信息系統(tǒng)變更方案要求2：覆蓋變更原因、變更類型、變更過程、變更影響分析和變更失敗后恢復程序12/31/2022141等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（十一）備份與恢復文檔1：備份與恢復管理制度、備份策略要求1：包括信息的備份方式、備份頻度、存儲介質和保存期限等方面文檔2：備份記錄、備份恢復演練記錄要求2：覆蓋備份時間、備份內容、備份操作、備份介質存放等內容12/31/2022142等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（十二）安全事件處置文檔1：安全事件報告和處置管理制度要求1：明確安全事件定義、安全事件等級劃分、規(guī)定安全事件的現場處理、事件報告流程等管理職責文檔2：信息安全事件記錄和報告要求2：覆蓋事件產生的原因、處理過程、預防措施等內容12/31/2022143等級保護運維安全的具體要求（www.shtec.等級保護運維安全的具體要求（十三）應急預案管理文檔1：應急預案要求1：包括應急預案啟動條件、應急處理流程、系統(tǒng)恢復程序、事后教育和培訓等內容文檔2：應急預案評審記錄、應急預案培訓記錄、應急預案演練記錄12/31/2022144等級保護運維安全的具體要求（公司等級保護落實情況公司等級保護落實情況145等級保護備案情況三級系統(tǒng)：2個核心交易清算系統(tǒng)網上交易系統(tǒng)二級系統(tǒng)：8個其他信息系統(tǒng)、非現場客戶服務系統(tǒng)、網點客戶自助服務系統(tǒng)、機構客戶服務系統(tǒng)、登記結算系統(tǒng)、風險監(jiān)控系統(tǒng)、門戶網站、反洗錢系統(tǒng)等級保護備案情況三級系統(tǒng)：2個146等級保護備案最新情況行業(yè)要求上海證監(jiān)局《關于進一步做好證券期貨業(yè)重要信息系統(tǒng)安全等級保護定級備案工作的通知》（滬證監(jiān)調研字[2009]7號）進展情況已經從上海證監(jiān)局獲得以下系統(tǒng)的審批意見集中交易系統(tǒng)三級（78%）網上交易系統(tǒng)三級(80%)網站系統(tǒng)二級呼叫中心系統(tǒng)二級法人清算系統(tǒng)二級審批意見已經送報上海市等保辦等級保護備案最新情況行業(yè)要求147謝謝!謝謝!148信息安全基礎知識信息安全基礎知識14912/31/2022150目錄一、信息安全基礎知識二、證券行業(yè)面臨的安全威脅

三、公司安全防護體系四、公司信息安全標準12/27/20222目錄一、信息安全基礎知識一、信息安全基礎知識信息安全發(fā)展史信息安全的內涵信息系統(tǒng)安全保障體系的基本內容等級保護有關背景情況介紹12/31/2022151一、信息安全基礎知識信息安全發(fā)展史12/27/20223信息安全發(fā)展史初級階段：通信保密階段上世紀八十年代前，人們認為信息安全就是通信保密，采用的保障措施就是加密和基于計算機規(guī)則的訪問控制中級階段：計算機系統(tǒng)安全階段(靜態(tài)信息防護)本世紀前，對主機安全的關注及網絡攻擊的防護是信息安全的核心內容現階段：信息安全保障階段人們關心的是信息及信息系統(tǒng)的保障，如何建立完整的保障體系，以便保障信息及信息系統(tǒng)的正常運行12/31/2022152信息安全發(fā)展史初級階段：通信保密階段12/27/20224初級階段——通信保密40～70年代重點是通過密碼技術解決通信保密，保證數據的保密性與完整性主要安全威脅是搭線竊聽、密碼學分析主要保護措施是加密重要標志：1949年shannon發(fā)表的《保密通信的信息原理》1977年美國國家標準局公布的數據加密標準（DES），對稱算法1976年由Diffie、Hellman提出公鑰密碼體制，非對稱算法12/31/2022153初級階段——通信保密40～70年代12/27/20225中級階段——計算機系統(tǒng)安全70～80年代重點是確保計算機系統(tǒng)中硬件、軟件及正在處理、存儲、傳輸信息的機密性、完整性和可控性主要安全威脅擴展到非法訪問、惡意代碼、弱口令等主要保護措施是安全操作系統(tǒng)涉及技術（TCB）主要標志1985年美國國防部公布的可信計算機系統(tǒng)評估準則（TCSEC)12/31/2022154中級階段——計算機系統(tǒng)安全70～80年代12/27/2022TCSEC標準系列TCSEC系列標準 需要采取的各類硬件、軟件本身具備一定的安全強度需要由軟硬件組成的系統(tǒng)具備一定的安全程度 為了評價對“信息的安全”的保護程度，需要對產品的安全強度、系統(tǒng)的安全強度進行評估。主要表現為：產品安全強度分級：A1B1B2B3C1C2D112/31/2022155TCSEC標準系列TCSEC系列標準12/27/20227現階段——信息安全保障重點需要保護信息，確保信息在產生、存儲、處理、傳輸過程中及信息系統(tǒng)不被破壞，確保合法用戶的服務和限制非授權用戶的服務，以及必要的防御攻擊的措施。強調信息的保密性、完整性、可用性主要安全威脅是人為破壞、網絡入侵、病毒破壞、信息對抗主要保護措施包括防火墻、防病毒軟件、漏洞掃描、入侵檢測、PKI、VPN等特點：涉及與信息系統(tǒng)相關的各類要素。12/31/2022156現階段——信息安全保障重點需要保護信息，確保信息在產生、存儲現階段——信息安全保障提出了“信息安全保障”的概念和要求，是一種立體的保障12/31/2022157現階段——信息安全保障提出了“信息安全保障”的概念和要求，是信息安全的內涵信息安全經典模型（CIA模型）C保密性ConfidentialityI完整性IntegrityA可用性Availability12/31/2022158信息安全的內涵信息安全經典模型（CIA模型）C保密性I完整性信息安全的內涵保密性（C）保證沒有經過授權的用戶、實體或進程無法竊取信息泄密的表現形式組織信息給未授權的人獲取系統(tǒng)被未授權的人進入個人信息被不相關的人獲知12/31/2022159信息安全的內涵保密性（C）12/27/202211信息安全的內涵完整性（I）保證沒有經過授權的用戶不能改變或者刪除信息，從而信息在傳送的過程中不會被偶然或故意破壞，保持信息的完整、統(tǒng)一保護信息及處理方法的準確性和完備性；不因人為的