XXXX集團(tuán)信息安全建設(shè)整體規(guī)劃

XXX集團(tuán)戰(zhàn)略信息安全建設(shè)整體規(guī)劃目錄一.概述 3二.設(shè)計方法 32.1標(biāo)準(zhǔn)化原則 42.2整體化原則 42.3等級化原則 6三.XXX集團(tuán)信息化和安全現(xiàn)狀分析 8四.XXX集團(tuán)信息安全保障總體框架 124.1總體安全方針 124.1.1安全使命 124.1.2安全目標(biāo) 124.2安全保障框架 13五.XXX集團(tuán)信息安全建設(shè)整體規(guī)劃 145.1信息安全管理體系建設(shè) 145.1.1安全組織建設(shè) 145.1.2安全策略建設(shè) 155.1.3安全運(yùn)維建設(shè) 155.2物理安全建設(shè) 215.3網(wǎng)絡(luò)安全建設(shè) 215.4系統(tǒng)安全建設(shè) 225.5應(yīng)用和數(shù)據(jù)安全建設(shè) 235.6系統(tǒng)和數(shù)據(jù)備份管理 245.7應(yīng)急響應(yīng)管理 245.8災(zāi)難恢復(fù)管理 245.9人員管理和教育培訓(xùn) 24六.XXX集團(tuán)信息安全建設(shè)后的拓?fù)浣Y(jié)構(gòu) 25

一.概述隨著XXX集團(tuán)的發(fā)展，對信息系統(tǒng)的依賴程度也越來越高，信息安全的問題也越來越突出，對計算機(jī)信息安全保障工作也提出了更高的要求。為了有效防范和化解風(fēng)險，保證信息系統(tǒng)平穩(wěn)運(yùn)行和業(yè)務(wù)持續(xù)開展，須建立XXX集團(tuán)的信息安全保障框架，以增強(qiáng)信息安全風(fēng)險防范能力。本方案根據(jù)系統(tǒng)現(xiàn)狀，提出了信息安全的整體規(guī)劃方案，包括XXX集團(tuán)信息安全的宗旨與目標(biāo)，安全保障框架要求，建設(shè)總體策略選擇，具體安全技術(shù)方案等內(nèi)容。本方案的適用于指導(dǎo)XXX集團(tuán)信息系統(tǒng)的信息安全工作，包括管理、建設(shè)和維護(hù)等。適用于各管理職能部門的信息安全管理、建設(shè)和維護(hù)工作。二.設(shè)計方法本文檔編寫的目的在于規(guī)劃XXX集團(tuán)的信息安全建設(shè)內(nèi)容，明確XXX集團(tuán)未來信息安全建設(shè)的方向，并為XXX集團(tuán)從目前的信息安全現(xiàn)狀過度到目標(biāo)信息安全保障框架所涉及的項目優(yōu)先級確定、項目計劃、項目預(yù)算等提供依據(jù)。XXX集團(tuán)安全方案的設(shè)計目標(biāo)是以XXX集團(tuán)IT系統(tǒng)的實際情況和現(xiàn)實問題為基礎(chǔ)，參照國際和國內(nèi)的安全標(biāo)準(zhǔn)和規(guī)范，充分利用成熟的信息安全理論成果，設(shè)計出整體性好、可操作性強(qiáng)，并且融組織、管理和技術(shù)為一體的安全建設(shè)方案。XXX集團(tuán)安全建設(shè)方案可分為安全總體方針、安全組織設(shè)計、安全策略規(guī)劃、安全技術(shù)方案、安全運(yùn)作等幾個方面，主要針對對象是XXX集團(tuán)IT系統(tǒng)，具體涉及網(wǎng)絡(luò)、主機(jī)、應(yīng)用軟件、數(shù)據(jù)庫和業(yè)務(wù)數(shù)據(jù)安全等諸多層次。安全方案設(shè)計的三個原則如下：整體性原則：范圍和內(nèi)容整體全面，包括安全涉及的各個層面（應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、管理制度、人員等），避免由于遺漏造成未來的安全隱患。符合性原則：符合國家27號文件指出的積極防御、綜合防范的方針和等級保護(hù)的原則，符合國家各種安全標(biāo)準(zhǔn)規(guī)范，符合IT內(nèi)控的各種規(guī)范。標(biāo)準(zhǔn)性原則：設(shè)計與實施依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準(zhǔn)進(jìn)行，例如等級保護(hù)標(biāo)準(zhǔn)、、ISO17799標(biāo)準(zhǔn)、ISO13569標(biāo)準(zhǔn)等；2.1標(biāo)準(zhǔn)化原則本項目參考的相關(guān)標(biāo)準(zhǔn)和文檔包括：美國國家安全戰(zhàn)略美國的《保護(hù)網(wǎng)絡(luò)空間的國家戰(zhàn)略》俄羅斯聯(lián)邦信息安全學(xué)說歐洲信息與網(wǎng)絡(luò)安全策略ISO27001ISO15408/CCIATF等級保護(hù)基本要求等級保護(hù)安全技術(shù)設(shè)計要求2.2整體化原則一般地，對安全保障框架的研究主要采用兩種思路，一是“模型化”，它通過將要保護(hù)的對象通過模型的方式表達(dá)，獲取其安全需求；一是“最佳實施”，它通過列舉安全控制來構(gòu)造理想的安全體系。這兩種模型都存在著一定的缺陷，模型化思路的主要難點(diǎn)在于難以完整和準(zhǔn)確地表達(dá)一個信息系統(tǒng)，而最佳實施的主要缺陷是安全控制的不可枚舉性。鑒于這樣一種情況，在設(shè)計XXX集團(tuán)安全保障框架的過程中，我們將兩種思路加以綜合，首先借鑒IATF的思路構(gòu)建XXX集團(tuán)安全保障框架模型。下圖即是IATF安全保障框架模型示意圖。這個示意圖說明了安全保障框架的構(gòu)成。ITIT安全保障框架深度防御戰(zhàn)略人技術(shù)操作保護(hù)網(wǎng)絡(luò)與基礎(chǔ)設(shè)施保護(hù)邊界保護(hù)計算環(huán)境保護(hù)支撐性基礎(chǔ)設(shè)施IATF安全保障框架而后，通過分析具體問題，并結(jié)合最佳實踐設(shè)計安全保障框架，過程如下：界定安全問題的范圍正如前面所提，信息安全問題涉及的范圍很廣，有時甚至和傳統(tǒng)安全問題牽扯在一起。這給解決安全問題帶來了很大的難度。因此要科學(xué)地對待信息安全問題，首先必須明確定義信息安全問題的范圍。對安全問題進(jìn)行結(jié)構(gòu)化分析當(dāng)信息安全問題的范圍已經(jīng)被明確后，它必須按照結(jié)構(gòu)化原理被不斷地細(xì)分。這時整個IT系統(tǒng)已經(jīng)被結(jié)構(gòu)化為多個安全保護(hù)對象，而保護(hù)對象面臨著諸多威脅。設(shè)計安全保障框架根據(jù)現(xiàn)有的各種安全標(biāo)準(zhǔn)和實踐準(zhǔn)則，對XXX集團(tuán)IT系統(tǒng)進(jìn)行安全分析，設(shè)計適合XXX集團(tuán)IT系統(tǒng)的安全對策，形成安全保障框架。對XXX集團(tuán)IT系統(tǒng)面臨的每一項安全威脅都從現(xiàn)有安全標(biāo)準(zhǔn)或者最佳實踐中選擇若干安全對策，注意威脅和安全對策之間是多對多的映射關(guān)系，即每一個威脅對應(yīng)若干個對策，而每一個對策對應(yīng)多個威脅。將所選擇的安全對策進(jìn)行細(xì)化、擴(kuò)展和具體化，就形成XXX集團(tuán)IT系統(tǒng)的安全保障框架。綜上所述，安全保障框架的設(shè)計采用了先分析后綜合的思路，而在這個過程中，威脅分析起了至關(guān)重要的作用。2.3等級化原則2003年，中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)的《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》中，已將信息安全等級保護(hù)作為國家信息安全保障工作的重中之重，要求各級黨委、人民政府認(rèn)真組織貫徹落實?！兑庖姟分忻鞔_指出，信息化發(fā)展的不同階段和不同的信息系統(tǒng)，有著不同的安全需求，必須從實際出發(fā)，綜合平衡安全成本和風(fēng)險，優(yōu)化信息安全資源的配置，確保重點(diǎn)。在國信辦制定的《信息系統(tǒng)安全等級保護(hù)實施指南》中規(guī)定了5個等級，根據(jù)指南中規(guī)定的等級確定方法，將整個信息系統(tǒng)分為不同區(qū)域，首先確定最關(guān)鍵一組區(qū)域的最高等級，其他次級區(qū)域依次確定較低的等級。確認(rèn)等級的依據(jù)一方面根據(jù)國家從國家安全角度的要求，主要還是依據(jù)XXX集團(tuán)自身的安全要求。根據(jù)指南中對5個等級的要求和適用范圍的規(guī)定，XXX集團(tuán)屬于重點(diǎn)國有企業(yè)信息系統(tǒng)，最高等級通常劃分到第三級。安全等級基本描述安全保護(hù)要求第一級適用于一般的IT系統(tǒng)，系統(tǒng)遭到破壞后對機(jī)構(gòu)履行其職能、機(jī)構(gòu)財產(chǎn)、人員造成較小的負(fù)面影響。參照國家標(biāo)準(zhǔn)自主進(jìn)行保護(hù)。第二級適用于處理日常信息和提供一般服務(wù)的IT系統(tǒng)，系統(tǒng)遭到破壞后對機(jī)構(gòu)履行其職能、機(jī)構(gòu)財產(chǎn)、人員造成中等程度的負(fù)面影響。在主管部門的指導(dǎo)下，按照國家標(biāo)準(zhǔn)自主進(jìn)行保護(hù)。第三級適用于處理重要信息和提供重要服務(wù)的IT系統(tǒng)，系統(tǒng)遭到破壞后對機(jī)構(gòu)履行其職能、機(jī)構(gòu)財產(chǎn)、人員造成較大的負(fù)面影響，對國家安全造成一定程度的損害。在主管部門的監(jiān)督下，按國家標(biāo)準(zhǔn)嚴(yán)格落實各項保護(hù)措施進(jìn)行保護(hù)。第四級適用于涉及國家安全、社會秩序、經(jīng)濟(jì)建設(shè)和公共利益的重要IT系統(tǒng)，系統(tǒng)遭到破壞后對機(jī)構(gòu)履行其職能、機(jī)構(gòu)財產(chǎn)、人員造成嚴(yán)重的負(fù)面影響，對國家安全造成較大損害。在主管部門的強(qiáng)制監(jiān)督和檢查下，按國家標(biāo)準(zhǔn)嚴(yán)格落實各項措施進(jìn)行保護(hù)。第五級適用于關(guān)系國家安全、社會秩序、經(jīng)濟(jì)建設(shè)和公共利益的核心系統(tǒng)，系統(tǒng)遭到破壞后對機(jī)構(gòu)履行其職能、機(jī)構(gòu)財產(chǎn)、人員造成極其嚴(yán)重的負(fù)面影響，對國家安全造成嚴(yán)重?fù)p害。根據(jù)安全需求，由主管部門和運(yùn)營單位對IT系統(tǒng)進(jìn)行專門控制和保護(hù)。等級保護(hù)內(nèi)容第一級自主性保護(hù)級是指參照國家標(biāo)準(zhǔn)自主進(jìn)行保護(hù)。主要適用于一般信息系統(tǒng)。第二級指導(dǎo)性保護(hù)級是指在政府職能部門指導(dǎo)下，按照國家標(biāo)準(zhǔn)自主進(jìn)行保護(hù)，主要適用于內(nèi)部信息系統(tǒng)，第三級安全的信息系統(tǒng)具備對信息和系統(tǒng)進(jìn)行比較完整的系統(tǒng)化的安全保護(hù)能力。XXX集團(tuán)的主要系統(tǒng)按照第三級的安全要求管理和建設(shè)。三.XXX集團(tuán)信息化和安全現(xiàn)狀分析XXX集團(tuán)全面采用了ERP,OA,電子商務(wù)，BI商業(yè)智能，MES等信息系統(tǒng)，實施了財務(wù)業(yè)務(wù)一體化、供應(yīng)鏈協(xié)同化、客商管理統(tǒng)一化、用戶與系統(tǒng)集成、信息數(shù)字化的集團(tuán)管理信息化管理；科學(xué)集中深度管控，從根本上解決了公司多產(chǎn)業(yè)、集團(tuán)化、跨地域的管理需求，實現(xiàn)了全集團(tuán)財務(wù)、資金、采購、銷售、物資的集中管控，實現(xiàn)了企業(yè)的管理升級，增強(qiáng)了企業(yè)的執(zhí)行力，推動了公司從科學(xué)化管理向現(xiàn)代化管理邁進(jìn)的步伐。通過全面的信息化實施，全集團(tuán)物流、資金流、信息流集成率達(dá)到90%以上，產(chǎn)品實時庫存準(zhǔn)確率達(dá)99.5%，庫存資金占用率降低12%，資金周轉(zhuǎn)率和存貨周轉(zhuǎn)率提高10%以上。集團(tuán)的發(fā)展戰(zhàn)略提到三個化，“信息化，國際化，金融化”，將信息化放在首位，從顯示的情況來看XXX集團(tuán)對信息化的依賴程度確實也已經(jīng)到了一個比較高的水平，但信息安全的管理體系還不完善，信息安全控制措施較少，拓?fù)淙缡疽鈭D所示：在當(dāng)前XXX集團(tuán)信息系統(tǒng)中，互聯(lián)網(wǎng)出口采用電信100M,聯(lián)通60M雙線路接入，通過鏈路負(fù)載均衡系統(tǒng)實現(xiàn)了從內(nèi)到外的鏈路均衡，通過部署入侵防御模塊實現(xiàn)了對黑客攻擊的主動防范，通過防火墻系統(tǒng)實現(xiàn)了和互聯(lián)網(wǎng)的區(qū)域隔離，通過IPSECVPN系統(tǒng)實現(xiàn)了各分子公司，廠區(qū)與數(shù)據(jù)中心安全連接通道的建立，通過SSLVPN系統(tǒng)實現(xiàn)了外出辦公人員對內(nèi)部業(yè)務(wù)系統(tǒng)（ERP,OA）的安全訪問。對互聯(lián)網(wǎng)公眾發(fā)布了網(wǎng)站系統(tǒng)，展示公司公司形象和產(chǎn)品。通過互聯(lián)網(wǎng)發(fā)布了OA和ERP系統(tǒng)，方便公司員工通過遠(yuǎn)程訪問。通過在多臺刀片機(jī)部署vmware虛擬化系統(tǒng)實現(xiàn)了集團(tuán)的服務(wù)器硬件虛擬化，極大的方便了管理和維護(hù)，并實現(xiàn)了硬件資源利用最大化。通過應(yīng)用和桌面發(fā)布系統(tǒng)實現(xiàn)了業(yè)務(wù)系統(tǒng)虛擬化，用戶可以瘦客戶端直接在云端完成應(yīng)用和桌面的操作，結(jié)合動態(tài)口令牌實現(xiàn)了對業(yè)務(wù)系統(tǒng)的安全訪問。采用兩臺HP小型機(jī)作為數(shù)據(jù)庫服務(wù)器，并通過存儲系統(tǒng)實現(xiàn)核心業(yè)務(wù)數(shù)據(jù)的本地存儲和備份。對終端接入的管理，通過在樓層交換機(jī)設(shè)定mac和端口的綁定策略實現(xiàn)了終端接入的控制，部分單位通過部署H3C的EAD準(zhǔn)入控制系統(tǒng)，實現(xiàn)了對終端接入的準(zhǔn)入控制。在安全管理方面，XXX集團(tuán)制定了基本的安全操作制度和人員安全的管理制度?？傮w來看，XXX集團(tuán)信息系統(tǒng)具有了最基本的安全控制措施和安全管理措施，但在實際運(yùn)行中還存在以下問題需要解決：安全管理制度不全目前尚未建立完整的安全管理體系，安全相關(guān)人員、制度、流程都不全，出現(xiàn)安全事件沒有響應(yīng)的應(yīng)急響應(yīng)預(yù)案和機(jī)制，對業(yè)務(wù)的連續(xù)性也沒有完善的管理機(jī)制。業(yè)務(wù)系統(tǒng)應(yīng)用和數(shù)據(jù)安全問題有兩方面隱患，一方面是終端上缺乏強(qiáng)制控制手段，無法避免員工通過截屏，U盤拷貝，互聯(lián)網(wǎng)外發(fā)等手段外泄信息，并且一旦外泄關(guān)鍵的業(yè)務(wù)數(shù)據(jù)都是明文，對竊密者來說是可讀的可利用的。另一方面，后臺人員對數(shù)據(jù)庫的直接操作繞過了業(yè)務(wù)系統(tǒng)本身的審計機(jī)制，針對這種行為缺乏審計，出現(xiàn)事件后無法追溯。數(shù)據(jù)中心運(yùn)維安全問題雖然對虛擬化系統(tǒng)已經(jīng)采用了運(yùn)維審計技術(shù)，可以對操作系統(tǒng)的訪問進(jìn)行還原，但對于網(wǎng)絡(luò)設(shè)備，安全設(shè)備，非虛擬化的實體機(jī)還有相應(yīng)的審計措施，一旦這些系統(tǒng)出現(xiàn)問題，也沒有辦法進(jìn)行追溯。數(shù)據(jù)中心區(qū)域安全隔離問題目前所有業(yè)務(wù)服務(wù)器和數(shù)據(jù)庫服務(wù)器都在同一個網(wǎng)段，沒有進(jìn)行任何隔離控制措施，一旦一點(diǎn)突破，就權(quán)限突破，存在嚴(yán)重的安全隱患。生產(chǎn)系統(tǒng)安全隔離問題當(dāng)前MES系統(tǒng)和前置機(jī)之間采用的是防火墻技術(shù)實現(xiàn)的隔離，但生產(chǎn)系統(tǒng)和互聯(lián)網(wǎng)需要進(jìn)行嚴(yán)格的物理隔離措施，防火墻只能實現(xiàn)邏輯隔離，并不能真正切斷互聯(lián)網(wǎng)連接，黑客是有能力繞過防火墻系統(tǒng)的訪問控制措施入侵到生產(chǎn)系統(tǒng)進(jìn)行破壞的。網(wǎng)站和對外發(fā)布的業(yè)務(wù)系統(tǒng)的安全問題網(wǎng)站和對外發(fā)布的業(yè)務(wù)系統(tǒng)（ERP,OA）都屬于B/S架構(gòu)，任何人都可以通過開放的http協(xié)議端口訪問系統(tǒng)，現(xiàn)有的防火墻和入侵防御系統(tǒng)無法實現(xiàn)對基于WEB的應(yīng)用內(nèi)容攻擊起到防范作用，黑客可以通過在正常的http協(xié)議中注入攻擊代碼直接對業(yè)務(wù)系統(tǒng)進(jìn)行攻擊，輕者獲取業(yè)務(wù)系統(tǒng)數(shù)據(jù)信息，重者可以直接控制業(yè)務(wù)系統(tǒng)。辦公計算機(jī)的安全沒保障，容易遭到計算機(jī)病毒的感染破壞辦公電腦的數(shù)據(jù)，造成電腦大范圍死機(jī)，網(wǎng)絡(luò)擁塞，公司業(yè)務(wù)無法開展。公司內(nèi)部的防病毒和補(bǔ)丁更新基本處于各自為政的狀態(tài)，一般都是自己根據(jù)個人喜好安裝的五花八門的防病毒軟件，病毒庫更新不及時，經(jīng)常好久也不更新一次，殺毒軟件防病毒能力最重要的就是病毒庫，就像人生病了治病一樣，出現(xiàn)了一種新的病毒，如果沒有針對這種病的特效藥，一旦感染根本抵擋不住。Windows的補(bǔ)丁也不更新，操作系統(tǒng)的補(bǔ)丁就好比人的免疫系統(tǒng)，如果免疫系統(tǒng)出了問題，你用再好的藥也控制不了病毒。U盤使用不能控制，U盤在公司內(nèi)部各電腦之間隨意插拔使用，如果一臺電腦感染了病毒，插上U盤，就把病毒感染到了U盤，U盤再插到別的電腦，別的電腦又中了病毒，這就好比一個得了薩斯病的病人，到處溜達(dá)，勢必造成感染病毒的人越來越多，感染的電腦越來越多。所以一旦出現(xiàn)大規(guī)模蠕蟲病毒爆發(fā)，沒有統(tǒng)一的防護(hù)和控制手段，會出現(xiàn)計算機(jī)死機(jī)，網(wǎng)絡(luò)癱瘓，業(yè)務(wù)系統(tǒng)無法使用，業(yè)務(wù)系統(tǒng)被破壞等問題，公司業(yè)務(wù)就無法開展了。信息系統(tǒng)（網(wǎng)絡(luò)設(shè)備，服務(wù)器，安全設(shè)備，業(yè)務(wù)系統(tǒng)，數(shù)據(jù)庫）自身的安全配置問題和安全漏洞造成的安全問題。信息系統(tǒng)的初始配置都是存在配置上的安全問題，比如密碼的強(qiáng)度，管理員的特權(quán)訪問審計開啟等，就像人天生就缺少對乙肝病毒的免疫細(xì)胞一樣，需要打上乙肝疫苗才能防御乙肝病毒的感染，信息系統(tǒng)也是一樣，如果不能將信息系統(tǒng)的安全配置完善起來，其就有可能被各種安全威脅所侵?jǐn)_。信息系統(tǒng)本身也可能存在各種各樣的漏洞，這些漏洞的存在是造成信息系統(tǒng)被攻擊的主要入口，當(dāng)前沒有針對信息系統(tǒng)的漏洞進(jìn)行定期檢查的手段，就像人如果不定期體檢，就不能發(fā)現(xiàn)身體的安全問題隱患，可能小病變成大病。信息系統(tǒng)的漏洞如果不及時發(fā)現(xiàn)和修補(bǔ)，就會越來越多越來越嚴(yán)重，給信息系統(tǒng)的安全造成極大隱患。無線安全問題無線網(wǎng)絡(luò)的出現(xiàn)使有線網(wǎng)絡(luò)所有做的安全努力都有可能失效，無線技術(shù)已經(jīng)使網(wǎng)絡(luò)的邊界模糊化，一旦被通過無線網(wǎng)絡(luò)滲透到內(nèi)網(wǎng)，就完全繞過了所有的邊界安全控制措施，從而使業(yè)務(wù)系統(tǒng)暴漏在攻擊威脅之下。當(dāng)前XXX集團(tuán)可能面臨如下的無線安全問題：——私接流氓AP。流氓AP通常是內(nèi)部員工有意或無意在內(nèi)部私接AP，從而使外部非法終端接入內(nèi)網(wǎng)，或造成內(nèi)部資料外泄?！獌?nèi)部終端的非法外聯(lián)。內(nèi)部人員可通過WLAN連接其在內(nèi)網(wǎng)周圍私架的AP或者第三方運(yùn)營商AP，從而將內(nèi)部信息外泄?！獰o線網(wǎng)絡(luò)掃描。掃描是攻擊的前期行為，是安全隱患?！獰o線釣魚攻擊。通過偽造信息來搭設(shè)釣魚AP，用于仿冒內(nèi)網(wǎng)合法AP，欺騙無線用戶與其關(guān)聯(lián)，從而獲得合法用戶的信息，包括用戶名、密碼等?！獰o線DoS攻擊。攻擊者通過仿造無線客戶地址大量發(fā)送攻擊報文，使得無線用戶的合法接入遭到破壞，影響網(wǎng)絡(luò)使用?！鞟P攻擊。代理AP的攻擊者通常在客戶端（比如win7）上偽造一個合法AP，欺騙其它終端連接，并以橋接的方式使得合法終端訪問Internet或內(nèi)網(wǎng)。后續(xù)過程中，被欺騙終端數(shù)據(jù)流都將經(jīng)過這個偽造AP，從而造成信息泄漏。數(shù)據(jù)容災(zāi)備份的問題當(dāng)前XXX集團(tuán)采用數(shù)據(jù)大集中的方式，所有核心業(yè)務(wù)數(shù)據(jù)都在數(shù)據(jù)中心，雖然在數(shù)據(jù)中心已經(jīng)采取了本地的備份機(jī)制，可以應(yīng)對數(shù)據(jù)的邏輯損壞，人為破壞，或者物理損壞所帶來的安全問題，但一旦遭遇自然災(zāi)害帶來的毀滅性的損失，就不是本地備份能解決的了。四.XXX集團(tuán)信息安全保障總體框架4.1總體安全方針4.1.1安全使命保障業(yè)務(wù)持續(xù)，促進(jìn)業(yè)務(wù)發(fā)展信息安全必須為業(yè)務(wù)服務(wù)，脫離業(yè)務(wù)的信息安全也就失去了其真正的意義。保證實現(xiàn)業(yè)務(wù)服務(wù)的信息系統(tǒng)正常運(yùn)行，進(jìn)而使XXX集團(tuán)的業(yè)務(wù)持續(xù)開展，就成為了信息安全建設(shè)的最根本使命。業(yè)務(wù)創(chuàng)新能力成為業(yè)務(wù)增值過程中的重要手段。業(yè)務(wù)創(chuàng)新背后離不開信息安全技術(shù)的支撐。運(yùn)用信息安全技術(shù)和管理支撐業(yè)務(wù)創(chuàng)新的能力將會成為XXX集團(tuán)的業(yè)務(wù)趨向安全保障的使命。4.1.2安全目標(biāo)保證信息的機(jī)密性、完整性和可用性（直接目標(biāo)）信息機(jī)密性是指信息僅可讓授權(quán)獲取的人士訪問。信息完整性是指保護(hù)信息和處理方法的準(zhǔn)確和完善。信息可用性是指確保授權(quán)人需要時可以獲取信息和相應(yīng)的資產(chǎn)。信息安全必須保證信息的機(jī)密性、完整性和可用性，這是信息安全建設(shè)的重要目標(biāo)。XXX集團(tuán)信息安全的建設(shè)必須以保證信息的機(jī)密、完整和可用為安全保障戰(zhàn)略目標(biāo)，這是XXX集團(tuán)的需要，是企業(yè)信息化發(fā)展的需要，也是所有用戶的需求。4.2安全保障框架XXX集團(tuán)安全保障主體是構(gòu)筑企業(yè)信息化平臺和服務(wù)的基礎(chǔ)上，其核心是企業(yè)信息化相關(guān)的應(yīng)用系統(tǒng)，安全保障框架所有安全控制都應(yīng)包含為策略、組織、技術(shù)和運(yùn)作四個要素，即每條安全控制，都可以描述為“根據(jù)某某策略，由某某組織（或人員），利用某某技術(shù)，進(jìn)行某某操作”。將安全控制的四要素分別綜合起來，成為策略體系、組織體系、技術(shù)體系和運(yùn)作體系。這四個體系構(gòu)成了安全保障框架。XXX集團(tuán)安全保障框架框架總體示意如下圖所示：XXX集團(tuán)業(yè)務(wù)系統(tǒng)：業(yè)務(wù)系統(tǒng)是XXX集團(tuán)安全保障框架框架的核心，其實現(xiàn)業(yè)務(wù)功能的信息系統(tǒng)安全需求和等級決定了整體安全保障的強(qiáng)度和力度。安全策略體系指導(dǎo)XXX集團(tuán)信息系統(tǒng)設(shè)計、建設(shè)和維護(hù)管理工作的基本依據(jù)，所有相關(guān)人員應(yīng)根據(jù)工作實際情況履行相關(guān)安全策略，制定并遵守相應(yīng)的安全標(biāo)準(zhǔn)、流程和安全制度實施細(xì)則，做好安全標(biāo)準(zhǔn)體系相關(guān)工作。安全組織體系落實信息安全管理機(jī)構(gòu)和人員安全管理部分的相關(guān)內(nèi)容，指導(dǎo)XXX集團(tuán)安全職能的落實、崗位設(shè)置和相關(guān)人員的安全管理。安全技術(shù)體系：落實等級保護(hù)以及信息安全管理體系相關(guān)標(biāo)準(zhǔn)中安全技術(shù)中的所有控制要求，實現(xiàn)物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用和數(shù)據(jù)的所有安全控制項，通常采用安全技術(shù)產(chǎn)品加以實現(xiàn)。安全運(yùn)作體系：貫穿組織、策略和技術(shù)的流程和規(guī)范，是安全工作的關(guān)鍵，落實系統(tǒng)安全建設(shè)和系統(tǒng)安全運(yùn)維管理部分的控制要求，指導(dǎo)XXX集團(tuán)的安全實施和運(yùn)維的具體實現(xiàn)。安全組織、安全策略以及安全運(yùn)作統(tǒng)稱為安全管理體系建設(shè)。五.XXX集團(tuán)信息安全建設(shè)整體規(guī)劃5.1信息安全管理體系建設(shè)5.1.1安全組織建設(shè)XXX集團(tuán)安全管理組織應(yīng)形成由主管領(lǐng)導(dǎo)牽頭的信息安全領(lǐng)導(dǎo)小組、具體信息安全職能部門負(fù)責(zé)日常工作的組織模式。信息安全領(lǐng)導(dǎo)小組職責(zé)信息安全領(lǐng)導(dǎo)小組是由XXX集團(tuán)主管領(lǐng)導(dǎo)牽頭，各部門的負(fù)責(zé)人為組成成員的組織機(jī)構(gòu)，主要負(fù)責(zé)批準(zhǔn)XXX集團(tuán)安全策略、分配安全責(zé)任并協(xié)調(diào)安全策略能夠?qū)嵤?，確保安全管理和建設(shè)有一個明確的方向，從管理層角度對信息安全管理提供支持。信息安全工作組職責(zé)信息安全工作組是由信息技術(shù)部領(lǐng)導(dǎo)牽頭，內(nèi)設(shè)專職的安全管理組織和崗位，負(fù)責(zé)日常具體工作的落實、指導(dǎo)和協(xié)調(diào)。5.1.2安全策略建設(shè)XXX集團(tuán)應(yīng)以ISO27001以及GB/T22239-2008基本管理要求架構(gòu)為信息安全策略架構(gòu)，并根據(jù)XXX集團(tuán)特點(diǎn)進(jìn)行調(diào)整擴(kuò)充，可分為七個方面，包括安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理、系統(tǒng)廢止管理和系統(tǒng)檢查與評估，如圖所示：5.1.3安全運(yùn)維建設(shè)信息系統(tǒng)交付后正式開始支撐各項業(yè)務(wù)系統(tǒng)和日常辦公需要，如何保證信息系統(tǒng)持續(xù)穩(wěn)定安全運(yùn)行是安全運(yùn)維管理的重要工作內(nèi)容。只有保證信息系統(tǒng)日常正常穩(wěn)定運(yùn)行，才能切實發(fā)揮信息系統(tǒng)對XXX集團(tuán)各項業(yè)務(wù)開展和日常辦公的支撐作用和效益。為此本方案設(shè)計了安全運(yùn)維體系涉及到各類日常運(yùn)維操作規(guī)范和流程和安全事件管理與應(yīng)急響應(yīng)流程，構(gòu)成了支撐和落實各項信息安全管理方針和策略的堅實基礎(chǔ)。日常運(yùn)維管理.1環(huán)境管理XXX集團(tuán)所有的服務(wù)器和核心網(wǎng)絡(luò)設(shè)備均按照要求放置在集中的機(jī)房中，為了保證機(jī)房的各項安全資源的穩(wěn)定可靠，制定《機(jī)房安全管理制度》，對以下方面進(jìn)行規(guī)定：機(jī)房電力、空調(diào)、門禁、監(jiān)控等設(shè)備的管理進(jìn)行規(guī)定；規(guī)定進(jìn)出機(jī)房要求和記錄；規(guī)定對機(jī)柜、服務(wù)器、電源等設(shè)備的進(jìn)入、變動和移出等操作；機(jī)房責(zé)任人和日常運(yùn)維職責(zé)內(nèi)容。XXX集團(tuán)基本實現(xiàn)了業(yè)務(wù)工作和日常辦公的信息化和網(wǎng)絡(luò)化，業(yè)務(wù)系統(tǒng)終端和辦公終端分布在各個辦公室，為了防范系統(tǒng)終端的安全風(fēng)險，杜絕從終端對業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)的安全威脅，提升業(yè)務(wù)人員和所有員工的安全意識，制定《辦公室安全管理制度》，對以下方面進(jìn)行規(guī)定：辦公室的信息安全要求；辦公終端信息安全保密要求；辦公終端使用規(guī)范。資產(chǎn)管理信息資產(chǎn)是構(gòu)成網(wǎng)絡(luò)和信息系統(tǒng)的基礎(chǔ)，是系統(tǒng)各種服務(wù)功能實現(xiàn)的提供者和信息存儲的承載者。對資產(chǎn)進(jìn)行管理是一切安全運(yùn)維管理的基礎(chǔ)，XXX集團(tuán)把各類硬件、軟件、數(shù)據(jù)、介質(zhì)、文檔均作為信息資產(chǎn)進(jìn)行管理，制定《資產(chǎn)管理制度》加以規(guī)范，包括以下內(nèi)容：規(guī)定信息分類和識別，不同類別的存放、處理和傳輸?shù)陌踩螅话凑招畔⑾到y(tǒng)制定資產(chǎn)清單，包括責(zé)任人、重要程度、供應(yīng)商、部署位置等信息；資產(chǎn)的申報、領(lǐng)用、維修和報廢流程；要求定期對資產(chǎn)進(jìn)行盤點(diǎn)和安全性審計。資產(chǎn)對備份的要求。網(wǎng)絡(luò)安全管理網(wǎng)絡(luò)作為信息系統(tǒng)的基礎(chǔ)性設(shè)施，為各個業(yè)務(wù)系統(tǒng)和辦公應(yīng)用提供連通和數(shù)據(jù)傳輸，實現(xiàn)信息共享。網(wǎng)絡(luò)對可靠性和安全性具有非常高的要求，XXX集團(tuán)制定《網(wǎng)絡(luò)安全管理制度》對網(wǎng)絡(luò)的架構(gòu)和設(shè)備的安全管理進(jìn)行約定，主要包括以下內(nèi)容：網(wǎng)絡(luò)結(jié)構(gòu)和IP地址分配；網(wǎng)絡(luò)接入安全要求；網(wǎng)絡(luò)設(shè)備操作規(guī)范流程；網(wǎng)絡(luò)設(shè)備安全配置和版本更新要求；網(wǎng)絡(luò)設(shè)備帳戶授權(quán)、驗證和審計要求；網(wǎng)絡(luò)流量和網(wǎng)絡(luò)漏洞的監(jiān)控。為落實網(wǎng)絡(luò)安全管理，將設(shè)計以下若干技術(shù)規(guī)范：《網(wǎng)絡(luò)結(jié)構(gòu)和IP地址管理流程》《網(wǎng)絡(luò)接入安全管理流程》《網(wǎng)絡(luò)設(shè)備安全技術(shù)規(guī)范》《網(wǎng)絡(luò)設(shè)備的維護(hù)流程》系統(tǒng)安全管理將每個業(yè)務(wù)系統(tǒng)作為安全保護(hù)的對象，應(yīng)當(dāng)對每個業(yè)務(wù)系統(tǒng)制定相應(yīng)的安全運(yùn)維流程和規(guī)范，《系統(tǒng)安全管理制度》用于指導(dǎo)如何根據(jù)業(yè)務(wù)安全等級和安全需求來制定相應(yīng)的運(yùn)維流程和規(guī)范。主要包括以下內(nèi)容：應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；系統(tǒng)管理角色分離要求、權(quán)限、責(zé)任分配原則；要求進(jìn)行系統(tǒng)配置管理和變更管理；操作系統(tǒng)安全運(yùn)維流程；數(shù)據(jù)庫安全運(yùn)維流程；應(yīng)用平臺安全運(yùn)維流程；系統(tǒng)安全日志審核要求；系統(tǒng)備份和數(shù)據(jù)備份要求。每個系統(tǒng)管理具體安全管理制度的落實依靠如下相關(guān)支撐技術(shù)規(guī)范和流程：《操作系統(tǒng)安全技術(shù)規(guī)范》；《數(shù)據(jù)庫系統(tǒng)安全技術(shù)規(guī)范》；《應(yīng)用平臺安全技術(shù)規(guī)范》；《應(yīng)用系統(tǒng)操作手冊》；《系統(tǒng)備份和數(shù)據(jù)備份流程》；《系統(tǒng)安全評估和審計流程》；《系統(tǒng)配置清單及變更記錄》；防惡意代碼管理惡意代碼防范是一項全員需要進(jìn)行安全管理工作，因此單獨(dú)制定《防惡意代碼管理制度》指導(dǎo)全體員工防范由于惡意代引起的安全風(fēng)險：規(guī)定全員防惡意代碼的職責(zé)；明確惡意代碼的可能感染源和防范手段；明確惡意代碼的報告流程；防惡意代碼產(chǎn)品的安裝、使用、升級流程；惡意代碼事件的統(tǒng)計、報告流程。監(jiān)控管理和IT門戶系統(tǒng)建立集中的安全監(jiān)控和管理中心相配套的安全監(jiān)控管理制度，對監(jiān)控內(nèi)容、監(jiān)控方式、監(jiān)控記錄集中保存、監(jiān)控記錄審計等進(jìn)行規(guī)范，《安全監(jiān)控管理制度》主要包括以下內(nèi)容：規(guī)定安全監(jiān)控內(nèi)容，包括但不限于通信流量、軟硬件運(yùn)行狀況、用戶行為、漏洞發(fā)布情況、安全設(shè)備報警信息等；安全監(jiān)控的方式和工具；監(jiān)控記錄的審計和分析；可疑事件的報告；密碼管理敏感系統(tǒng)應(yīng)使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品，同時建立密碼管理制度，加強(qiáng)對密碼和加密設(shè)備的管理。按照等級保護(hù)和ISO27001要求建立《密碼使用管理制度》,對一下方面進(jìn)行規(guī)范：密碼復(fù)雜度管理密碼定期修改管理多因素認(rèn)證管理密碼保存管理變更管理信息安全風(fēng)險是“動態(tài)”的主要因素之一，就是網(wǎng)絡(luò)和信息系統(tǒng)是會發(fā)生變化的，為了防范由于網(wǎng)絡(luò)和系統(tǒng)變化對整體安全現(xiàn)狀的影響，規(guī)避變更產(chǎn)生的風(fēng)險，制定《變更管理制度》。對以下方面進(jìn)行規(guī)范：規(guī)范變更管理的范圍；規(guī)范變更流程，制定申報、方案制定、變更審核、審批流程；要求變更過程記錄；進(jìn)行系統(tǒng)變更前備份；要求制定變更失敗恢復(fù)流程和進(jìn)行恢復(fù)測試；備份與恢復(fù)管理為了保證業(yè)務(wù)連續(xù)性，XXX集團(tuán)制定《備份與恢復(fù)管理制度》規(guī)范以下內(nèi)容：規(guī)定系統(tǒng)進(jìn)行安全需求分析時要考慮備份措施要求；對XXX集團(tuán)信息備份級別進(jìn)行定義，確定每個級別的備份方式、備份頻度、存儲介質(zhì)、保存期限及恢復(fù)測試頻次；規(guī)定備份存儲介質(zhì)的放置、命名、管理和離站運(yùn)輸方法。安全事件管理和應(yīng)急響應(yīng)針對出現(xiàn)突發(fā)安全事件應(yīng)當(dāng)制定相應(yīng)的處理流程，針對不同的安全事件制定針對性的應(yīng)急響應(yīng)預(yù)案。主要通過《安全事件管理制度》和《應(yīng)急響應(yīng)預(yù)案管理制度》兩項制度來落實。其中《安全事件管理制度》規(guī)定以下內(nèi)容：安全事件的定義、等級劃分；不同等級安全事件的發(fā)現(xiàn)、報告、分析、處置流程；安全事件的原因分析、記錄處理、經(jīng)驗教訓(xùn)總結(jié)和補(bǔ)救措施的制定流程；要求每個信息系統(tǒng)做好安全事件記錄管理?！稇?yīng)急響應(yīng)預(yù)案管理制度》規(guī)定以下內(nèi)容：要求針對典型事件和重大事件制定相應(yīng)的應(yīng)急響應(yīng)預(yù)案；規(guī)定應(yīng)急響應(yīng)人力、設(shè)備、技術(shù)、財務(wù)等相關(guān)支撐資源；規(guī)定應(yīng)急響應(yīng)預(yù)案的框架和模板；規(guī)定應(yīng)急響應(yīng)預(yù)案的演練和演練流程；5.2物理安全建設(shè)按照國家對于計算機(jī)機(jī)房的相關(guān)建設(shè)標(biāo)準(zhǔn)，制定統(tǒng)一的計算機(jī)機(jī)房建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，對于計算機(jī)機(jī)房建設(shè)中的環(huán)境參數(shù)、保障機(jī)制，以及運(yùn)行過程中的人員訪問控制、監(jiān)控措施等進(jìn)行統(tǒng)一約定，頒布統(tǒng)一的計算機(jī)機(jī)房管理制度，對設(shè)備安全管理、介質(zhì)安全管理、人員安全管理等作出詳細(xì)的規(guī)定。計算機(jī)機(jī)房的建設(shè)必須遵循國家在計算機(jī)機(jī)房場地選擇、環(huán)境安全、布線施工方面的標(biāo)準(zhǔn)，保證物理環(huán)境安全。關(guān)鍵應(yīng)用系統(tǒng)的服務(wù)器主機(jī)和前置機(jī)服務(wù)器、主要的網(wǎng)絡(luò)設(shè)備必須放置于計算機(jī)機(jī)房內(nèi)部的適當(dāng)位置，通過物理訪問控制機(jī)制，保證這些設(shè)備自身的安全性。應(yīng)當(dāng)建立人員出入訪問控制機(jī)制，嚴(yán)格控制人員出入計算機(jī)機(jī)房和其它重要安全區(qū)域，訪問控制機(jī)制還需要能夠提供審計功能，便于檢查和分析。應(yīng)當(dāng)指定專門的部門和人員，負(fù)責(zé)計算機(jī)機(jī)房的建設(shè)和管理工作，建立24小時值班制度。建立計算機(jī)機(jī)房管理制度，對設(shè)備安全管理、介質(zhì)安全管理、人員出入訪問控制管理等做出詳細(xì)的規(guī)定。管理機(jī)構(gòu)應(yīng)當(dāng)定期對計算機(jī)機(jī)房各項安全措施和安全管理制度的有效性和實施狀況進(jìn)行檢查，發(fā)現(xiàn)問題，進(jìn)行改進(jìn)。5.3網(wǎng)絡(luò)安全建設(shè)網(wǎng)絡(luò)安全是信息安全保障的重點(diǎn)，制定統(tǒng)一的網(wǎng)絡(luò)結(jié)構(gòu)技術(shù)標(biāo)準(zhǔn)，對如何劃分內(nèi)部信息系統(tǒng)的安全區(qū)域，安全區(qū)域的邊界采取的隔離措施，進(jìn)行約定，保證內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)、辦公網(wǎng)與業(yè)務(wù)生產(chǎn)網(wǎng),不同業(yè)務(wù)網(wǎng)之間的安全隔離。制定統(tǒng)一的互聯(lián)網(wǎng)接入點(diǎn)、外聯(lián)網(wǎng)接入點(diǎn)的技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，統(tǒng)一約定網(wǎng)絡(luò)邊界接入點(diǎn)的網(wǎng)絡(luò)結(jié)構(gòu)、安全產(chǎn)品的部署模式，保證內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的安全隔離。制定統(tǒng)一的遠(yuǎn)程移動辦公技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，保證遠(yuǎn)程移動辦公接入的安全性。制定統(tǒng)一的無線網(wǎng)絡(luò)接入的安全技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，確保無線接入的安全管理。制定統(tǒng)一的網(wǎng)絡(luò)安全系統(tǒng)建設(shè)標(biāo)準(zhǔn)和管理規(guī)范。針對XXX集團(tuán)的信息安全現(xiàn)狀的分析，當(dāng)前網(wǎng)絡(luò)安全建設(shè)需要解決的問題如下：1.將數(shù)據(jù)中心的業(yè)務(wù)應(yīng)用系統(tǒng)與數(shù)據(jù)庫系統(tǒng)進(jìn)行安全區(qū)域隔離，將業(yè)務(wù)應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)與辦公區(qū)域進(jìn)行安全區(qū)域隔離，保證業(yè)務(wù)應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的安全獨(dú)立性，建議隔離不要采用交換機(jī)本身的ACL控制列表，采用專業(yè)的安全隔離控制系統(tǒng)實現(xiàn)。2.生產(chǎn)廠區(qū)的MES系統(tǒng)與前置機(jī)之間采用防火墻進(jìn)行隔離有技術(shù)上的安全隱患，防火墻隔離還只是邏輯層面的，生產(chǎn)廠區(qū)的MES系統(tǒng)應(yīng)該采取物理隔離措施確保和互聯(lián)網(wǎng)的完全物理隔離，建議更換為物理隔離措施解決。3.針對無線的網(wǎng)絡(luò)安全接入，采取無線射頻識別和阻斷技術(shù)，對私接的流氓AP進(jìn)行識別和阻斷，對通過無線非法外聯(lián)到外部AP的行為進(jìn)行識別阻斷，對冒充合法AP的釣魚AP進(jìn)行識別和阻斷，對很對合法AP進(jìn)行的無線掃描，破解，DDos攻擊，中間人攻擊進(jìn)行識別和阻斷。4.利用針對網(wǎng)絡(luò)設(shè)備的脆弱性掃描技術(shù)和安全基線比對技術(shù)，對網(wǎng)絡(luò)設(shè)備例如交換機(jī)路由器進(jìn)行定期的掃描，及時修補(bǔ)網(wǎng)絡(luò)設(shè)備的漏洞，完善網(wǎng)絡(luò)設(shè)備的安全配置，提升網(wǎng)絡(luò)設(shè)備的安全級別。5.利用運(yùn)維審計技術(shù)，對訪問網(wǎng)絡(luò)設(shè)備和安全設(shè)備的所有操作進(jìn)行記錄，確保所有操作都處于監(jiān)控狀態(tài)，一旦有人非法操作或者惡意操作造成這些系統(tǒng)出現(xiàn)問題的時候可以進(jìn)行預(yù)警和追蹤溯源。5.4系統(tǒng)安全建設(shè)系統(tǒng)安全的工作內(nèi)容包括制定統(tǒng)一的系統(tǒng)安全管理規(guī)范，包括主機(jī)入侵檢測、系統(tǒng)安全漏洞分析和安全策略加固，提升服務(wù)器主機(jī)系統(tǒng)的安全級別。制定統(tǒng)一的網(wǎng)絡(luò)病毒查殺系統(tǒng)的建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，有效抑制計算機(jī)病毒在內(nèi)部網(wǎng)絡(luò)和信息系統(tǒng)中的傳播和蔓延。針對XXX集團(tuán)的信息安全現(xiàn)狀的分析，當(dāng)前系統(tǒng)安全建設(shè)需要解決的問題如下：1.利用針對操作系統(tǒng)的脆弱性掃描技術(shù)和安全基線比對技術(shù)，定期對操作系統(tǒng)的漏洞進(jìn)行檢測和分析，對安全配置進(jìn)行檢查，及時修補(bǔ)漏洞，完善安全配置，提升操作系統(tǒng)的安全級別。2.全網(wǎng)部署可以統(tǒng)一管理的防惡意代碼系統(tǒng)，實現(xiàn)防惡意代碼庫的統(tǒng)一及時升級，防惡意代碼策略的統(tǒng)一定制下發(fā)，惡意代碼的定時統(tǒng)一查殺。3.全網(wǎng)部署可以統(tǒng)一管理的終端安全管理系統(tǒng)，實現(xiàn)對終端軟硬件資產(chǎn)，進(jìn)程，端口，U盤存儲外設(shè)，安全配置，補(bǔ)丁等的統(tǒng)一管理，確保終端電腦有一個安全可控的環(huán)境。4.利用運(yùn)維審計技術(shù)，對訪問操作系統(tǒng)的所有操作進(jìn)行記錄，確保所有操作都處于監(jiān)控狀態(tài)，一旦有人非法操作或者惡意操作造成操作系統(tǒng)出現(xiàn)問題的時候可以進(jìn)行追蹤溯源。5.5應(yīng)用和數(shù)據(jù)安全建設(shè)應(yīng)用安全機(jī)制在應(yīng)用層為業(yè)務(wù)系統(tǒng)提供直接的安全保護(hù)，能夠滿足身份認(rèn)證、用戶授權(quán)，安全訪問控制、數(shù)據(jù)安全使用和傳輸，業(yè)務(wù)安全審計等安全需求。制定統(tǒng)一的身份認(rèn)證、授權(quán)與訪問控制、數(shù)據(jù)加密，業(yè)務(wù)安全審計等應(yīng)用層安全系統(tǒng)的建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，改善業(yè)務(wù)應(yīng)用系統(tǒng)的整體安全性。針對XXX集團(tuán)的信息安全現(xiàn)狀的分析，當(dāng)前應(yīng)用安全建設(shè)需要解決的問題如下：1.利用針對B/S結(jié)構(gòu)的業(yè)務(wù)應(yīng)用系統(tǒng)和數(shù)據(jù)庫的脆弱性掃描技術(shù)和安全基線比對技術(shù)，定期的對其漏洞進(jìn)行檢測和分析，對安全配置進(jìn)行檢查，及時修補(bǔ)漏洞，完善安全配置，提升應(yīng)用系統(tǒng)和數(shù)據(jù)庫的安全級別。2.對訪問B/S結(jié)構(gòu)的業(yè)務(wù)系統(tǒng)的數(shù)據(jù)流進(jìn)行應(yīng)用內(nèi)容安全監(jiān)測，及時發(fā)現(xiàn)針對WEB的攻擊行為并進(jìn)行預(yù)警和阻斷。3.利用數(shù)據(jù)加密技術(shù)，對存儲在電腦上的關(guān)鍵業(yè)務(wù)數(shù)據(jù)和從業(yè)務(wù)系統(tǒng)導(dǎo)出的敏感數(shù)據(jù)進(jìn)行透明加密，首先確保這些數(shù)據(jù)在企業(yè)環(huán)境里是可以透明使用的，然后保證這些數(shù)據(jù)一旦被非授權(quán)帶出企業(yè)網(wǎng)絡(luò)，是不可讀的處于亂碼狀態(tài)，確保數(shù)據(jù)的保密性。4.利用數(shù)據(jù)庫審計技術(shù)，對繞過前端業(yè)務(wù)系統(tǒng)直接訪問數(shù)據(jù)庫進(jìn)行的所有操作進(jìn)行記錄，確保當(dāng)數(shù)據(jù)庫應(yīng)為非法或者無操作而發(fā)生問題的時候能夠進(jìn)行預(yù)警和追蹤溯源。5.6系統(tǒng)和數(shù)據(jù)備份管理系統(tǒng)和數(shù)據(jù)備份是重要的安全保障機(jī)制，為