信息化項目安全及應(yīng)急保障方案

信息化項目安全及應(yīng)急保障方案一、信息系統(tǒng)安全設(shè)計方案7.5.1.1、項目背景概述1.項目建設(shè)背景近年來隨著信息化建設(shè)的加快，業(yè)務(wù)和信息化也結(jié)合越來越緊密，在給政務(wù)服務(wù)帶來巨大便捷的同時，也給信息安全管理帶來了嚴(yán)峻的挑戰(zhàn)，因此，必須提高信息安全集中監(jiān)管的能力和水平，從而減少業(yè)務(wù)應(yīng)用信息系統(tǒng)的運營風(fēng)險。依據(jù)國家《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》、《信息系統(tǒng)安全等級保護基本要求》、《信息系統(tǒng)安全保護等級定級指南》等相關(guān)標(biāo)準(zhǔn)，結(jié)合大連市信息化建設(shè)的實際情況，開展信息系統(tǒng)安全等級保護建設(shè)。2.項目范圍根據(jù)國家標(biāo)準(zhǔn)化管理委員會發(fā)布的中華人民共和國國家標(biāo)準(zhǔn)《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》（GB/T22239-2008）中對信息系統(tǒng)安全共劃分5個等級：第一級：應(yīng)能夠防護系統(tǒng)免受來自個人的、擁有很少資源的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵資源損害，在系統(tǒng)遭到損害后，能夠恢復(fù)部分功能。第二級：應(yīng)能夠防護系統(tǒng)免受來自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的重要資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠在一段時間內(nèi)恢復(fù)部分功能。第三級：應(yīng)能夠在統(tǒng)一安全策略下防護系統(tǒng)免受來自外部有組織的團體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。第四級：應(yīng)能夠在統(tǒng)一安全策略下防護系統(tǒng)免受來自國家級別的、敵對組織的、擁有豐富資源的威脅源發(fā)起的惡意攻擊、嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠迅速恢復(fù)所有功能。根據(jù)本次項目工程建設(shè)要求以及上級單位和網(wǎng)安辦對網(wǎng)絡(luò)系統(tǒng)安全要求，按照第三級安全監(jiān)督保護級的要求進行建設(shè)。3.方案概述3.1方案設(shè)計目標(biāo)通過詳細設(shè)計方案設(shè)計工作實現(xiàn)以下目標(biāo)：1、使安全體系的設(shè)計可以符合政務(wù)服務(wù)實際安全需求，指導(dǎo)解決政務(wù)服務(wù)人員、制度和技術(shù)各個方面的信息安全問題，符合政務(wù)服務(wù)特點的整體信息安全保障體系。2、指導(dǎo)政務(wù)服務(wù)進行整體等級保護建設(shè)工作，促進安全體系的建設(shè)，成功通過國家權(quán)威測評機構(gòu)測評，最終通過公安部的備案認(rèn)可。兩個目標(biāo)在本質(zhì)上是一致的，符合等級保護政策是外在動力，提升政務(wù)服務(wù)信息安全管理水平是內(nèi)在需求，都是在為安全保護體系的建設(shè)做好規(guī)劃和設(shè)計工作。3.2方案設(shè)計依據(jù)本方案根據(jù)國家提出的等級保護管理辦法和實施指南，針對信息系統(tǒng)的特點和安全建設(shè)需求，進行全面的安全保障規(guī)劃，設(shè)計中重點參考的政策和標(biāo)準(zhǔn)包括以下兩個部分：信息系統(tǒng)安全等級保護標(biāo)準(zhǔn)和規(guī)范本方案重點參考以下的的政策和標(biāo)準(zhǔn)：指導(dǎo)思想公通字[2004]66號文件（關(guān)于印發(fā)《信息安全等級保護工作的實施意見》的通知）公通字[2007]43號文件（關(guān)于印發(fā)《信息安全等級保護管理辦法》的通知）等級保護GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則GB/T25058-2010信息系統(tǒng)安全等級保護實施指南GB/T25070-2010信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求系統(tǒng)定級GB/T22240-2008信息安全技術(shù)信息系統(tǒng)安全保護等級定級指南技術(shù)方面GB/T20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T20272-2006信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求GB/T20273-2006信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)通用安全技術(shù)要求GA/T671-2006信息安全技術(shù)

終端計算機系統(tǒng)安全等級技術(shù)要求GA/T709-2007信息安全技術(shù)信息系統(tǒng)安全等級保護基本模型GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求管理方面ISO/IEC27001信息系統(tǒng)安全管理體系標(biāo)準(zhǔn)GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求方案設(shè)計信息系統(tǒng)等級保護安全建設(shè)技術(shù)方案設(shè)計規(guī)范方案架構(gòu)IATF信息保障技術(shù)框架其他信息安全標(biāo)準(zhǔn)和規(guī)范ISO/IEC15408（CC）：《信息技術(shù)安全評估準(zhǔn)則》。該標(biāo)準(zhǔn)歷經(jīng)數(shù)年完成，提出了新的安全模型，是很多信息安全理論的基礎(chǔ)。GB/T18336：等同采用ISO15408ISO/IEC17799/BS7799-1：《信息安全管理體系實施指南》。這是目前世界上最權(quán)威的信息安全管理操作指南，對信息安全工作具有重要指導(dǎo)意義。ISO/IEC13335，第一部分：《IT安全的概念和模型》；第二部分：《IT安全的管理和計劃制定》；第三部分：《IT安全管理技術(shù)》；第四部分：《安全措施的選擇》；第五部分：《網(wǎng)絡(luò)安全管理指南》。GB9361：《計算站場地安全要求》公安部第51號令：《計算機病毒防治管理辦法》《計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》公安部令32號《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》3.3方案設(shè)計原則在方案設(shè)計過程中，將遵循以下原則：符合性原則：方案的設(shè)計要符合國家等級保護政策和標(biāo)準(zhǔn)規(guī)范要求，通過專業(yè)等級保護測評機構(gòu)的測評，并到公安部門完成備案；適度安全原則：安全防護工作的根本性原則，指安全防護工作應(yīng)根據(jù)重要信息系統(tǒng)的安全等級，平衡效益與成本，采取適度的安全技術(shù)和管理措施?？煽匦栽瓌t：指相關(guān)的項目組人員應(yīng)具備可靠的政治素質(zhì)、職業(yè)素質(zhì)和專業(yè)素質(zhì)；要對項目進行科學(xué)的項目管理，實現(xiàn)項目過程的可控性。保密性原則：相關(guān)安全防護工作人員應(yīng)簽署協(xié)議，承諾對所進行的安全防護工作保密，確保不泄露重要信息系統(tǒng)安全防護工作的重要和敏感信息。3.4方案設(shè)計思路根據(jù)國家信息安全等級保護相關(guān)要求，方案中通過分析大連市一網(wǎng)協(xié)同平臺的實際安全需求，結(jié)合業(yè)務(wù)信息的實際特性，并依據(jù)《信息系統(tǒng)安全等級保護基本要求》、《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》等相關(guān)標(biāo)準(zhǔn)，建立了符合大連市一網(wǎng)協(xié)同平臺信息安全保障體系框架，設(shè)計安全保障體系方案，進一步提高大連市一網(wǎng)協(xié)同平臺的安全保障能力和防護水平，確保大連市一網(wǎng)協(xié)同平臺的安全穩(wěn)定運行。1、信息系統(tǒng)風(fēng)險評估和等級保護差距通過采用信息安全風(fēng)險評估的方法，對大連市一網(wǎng)協(xié)同平臺進行全面風(fēng)險分析，在整體網(wǎng)絡(luò)框架基礎(chǔ)上，通過差距分析的方法與等級保護基本要求進行差距分析，形成信息系統(tǒng)等級保護建設(shè)的整體安全需求。2、安全保障體系框架和總體安全策略根據(jù)等級保護的整體保護框架，并結(jié)合大連市一網(wǎng)協(xié)同平臺信息安全保障體系建設(shè)的實際情況，建立符合大連市一網(wǎng)協(xié)同平臺的安全保障體系，分別是安全管理體系、安全技術(shù)體系和安全運行體系，并制定各個體系必要的安全設(shè)計原則和安全策略。3、安全保障體系總體設(shè)計方案結(jié)合大連市一網(wǎng)協(xié)同平臺的實際應(yīng)用情況，設(shè)計具體安全技術(shù)體系控制措施、安全管理體系控制措施和安全運行體系控制措施，其中：（1）安全管理體系的實現(xiàn)依據(jù)《信息系統(tǒng)安全等級保護基本要求》，設(shè)計了大連市一網(wǎng)協(xié)同平臺的信息安全組織機構(gòu)、人員安全管理、安全管理制度、系統(tǒng)建設(shè)管理及系統(tǒng)運維管理等控制措施；（2）安全技術(shù)體系的實現(xiàn)一方面重點落實《信息系統(tǒng)安全等級保護基本要求》，另一方面采用《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》的思路和方法設(shè)計了安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)的控制措施，在框架和控制方面把兩個要求進行了結(jié)合；（3）安全運行體系的實現(xiàn)根據(jù)《信息系統(tǒng)安全等級保護基本要求》，設(shè)計了符合系統(tǒng)全生命周期的安全需求、安全建設(shè)、安全設(shè)計與安全運維的運行體系要求，重點闡述了安全運維體系的框架和控制組成。二、應(yīng)急保障方案我司在接到報修通知后，在30分鐘內(nèi)響應(yīng)。對于影響系統(tǒng)正常運行的嚴(yán)重故障，我司工程師及其它相關(guān)技術(shù)人員必須在2小時內(nèi)趕到現(xiàn)場，查找原因，提出解決方案，并工作直至故障修妥完全恢復(fù)正常服務(wù)為止，一般要求保證系統(tǒng)在24小時之內(nèi)修復(fù)，并提供確保承諾實現(xiàn)的措施。1.無推諉承諾無論由于哪一方產(chǎn)生的問題而使系統(tǒng)發(fā)生不正常情況時，并在得到招標(biāo)方通知后，立即派投標(biāo)產(chǎn)品的工程師到場，使系統(tǒng)盡快恢復(fù)正常。2.7*24小時應(yīng)急處置故障處理服務(wù)是指關(guān)于整個應(yīng)用系統(tǒng)故障的處理，就故障原因作出診斷、排除故障。在本項目維護期內(nèi)，項目維護經(jīng)理以及項目維護副經(jīng)理將提供7×24小時的通訊聯(lián)系方式。為本項目維護一個常設(shè)性的虛擬專家組織。該組織定期對整個IT項目進行了解，對IT環(huán)境進行熟悉，對相關(guān)的配置和文檔定期進行再次熟悉。在發(fā)生突發(fā)事件時，客戶可以在第一時間聯(lián)系經(jīng)理或者副經(jīng)理，以便本公司按照突發(fā)事件的重要程度安排專家組織的專門人員提供現(xiàn)場保障以及后臺支持功能。對于影響系統(tǒng)正常運行的嚴(yán)重故障，投標(biāo)單位工程師及其它相關(guān)技術(shù)人員在2小時內(nèi)趕到現(xiàn)場，查找原因，提出解決方案，并工作直至故障修妥完全恢復(fù)正常服務(wù)為止，保證系統(tǒng)在24小時之內(nèi)修復(fù)3.應(yīng)急響應(yīng)預(yù)案突發(fā)事件進行預(yù)防、監(jiān)控、預(yù)警，對突發(fā)事件進行及時處置，將系統(tǒng)突發(fā)事件造成的影響減到最小，保障信息系統(tǒng)的正常運行，我們制定了應(yīng)急響應(yīng)預(yù)案，具體內(nèi)容如下：3.1事件分級按照突發(fā)事件的可控性、嚴(yán)重程度和影響范圍，原則上按一般（IV級）、較大（III級）、重大（II級）、特別重大（I級）四級啟動響應(yīng)預(yù)案。響應(yīng)等級的判斷標(biāo)準(zhǔn)：等級顏色處置機構(gòu)判斷標(biāo)準(zhǔn)一般（IV級）藍色日常維護小組日常維護小組人員可以獨立處置，影響范圍1-3臺非關(guān)鍵設(shè)備，對業(yè)務(wù)單位基本無影響較大（III級）黃色本單位應(yīng)急響應(yīng)小組本單位應(yīng)急小組可獨立處置，影響3-5臺非關(guān)鍵設(shè)備，對單位業(yè)務(wù)基本無影響重大（II級）橙色本單位應(yīng)急響應(yīng)影響關(guān)鍵設(shè)備或5臺以上非關(guān)鍵設(shè)備，影響單位業(yè)務(wù)效率特別重大（I級）紅色上級應(yīng)急響應(yīng)機構(gòu)關(guān)鍵設(shè)備癱瘓或整個系統(tǒng)癱瘓，業(yè)務(wù)無法開展，可能擴散影響到其他單位3.2組織體系3.2.1領(lǐng)導(dǎo)小組由領(lǐng)導(dǎo)牽頭擔(dān)任領(lǐng)導(dǎo)工作，各部門主任作為領(lǐng)導(dǎo)小組成員，負(fù)責(zé)應(yīng)急處置時的指揮工作。3.2.2日常維護小組作為處置系統(tǒng)突發(fā)事件的責(zé)任主體，承擔(dān)系統(tǒng)的常態(tài)管理工作，主要履行以下職責(zé)：日常維護，事件監(jiān)控；日常系統(tǒng)突發(fā)事件發(fā)現(xiàn)，上報；一般事件處置。3.2.3處置小組處置小組是執(zhí)行預(yù)案、進行各類處置的主體，在預(yù)案啟動時，處置小組往往直接由領(lǐng)導(dǎo)小組、日常維護小組的人員組成，再附加一定的外部資源。3.2.4協(xié)調(diào)機構(gòu)協(xié)調(diào)機構(gòu)是應(yīng)急響應(yīng)組織對外的接口，該機構(gòu)應(yīng)由組織的對外接口人、公關(guān)負(fù)責(zé)人等組成，在應(yīng)急預(yù)案啟動的情況下負(fù)責(zé)對外協(xié)調(diào)資源，對內(nèi)協(xié)調(diào)部門之間的配合處置。3.2.5第三方資源第三方資源主要由系統(tǒng)集成商的人員組成，同時還包括部分外部專家，可以是專業(yè)公司、兼職顧問等應(yīng)急響應(yīng)專業(yè)組織或者個人，在關(guān)鍵時刻提供專業(yè)的建議和幫助。3.3應(yīng)急響應(yīng)報告監(jiān)測利用現(xiàn)有人工和自動監(jiān)控系統(tǒng)相結(jié)合的方式監(jiān)控系統(tǒng)運行狀態(tài)。來自監(jiān)控系統(tǒng)的事件信息應(yīng)當(dāng)由負(fù)責(zé)監(jiān)控系統(tǒng)的人員先進行信息準(zhǔn)確性判斷，當(dāng)監(jiān)控人員判斷確實有以上事件發(fā)生時，應(yīng)立即通知日常維護小組的當(dāng)班人員。信息報告系統(tǒng)的監(jiān)控及運維人員，在工作中發(fā)現(xiàn)異常事件后，經(jīng)過故障檢查確認(rèn)后，應(yīng)當(dāng)立即向日常維護小組的當(dāng)班人員報告。當(dāng)班人員通知日常維護小組成員，立即進行處置。如日常維護小組判斷事件無法獨立處置或1小時內(nèi)無法控制事件影響，需在1小時內(nèi)通知應(yīng)急領(lǐng)導(dǎo)小組，由應(yīng)急領(lǐng)導(dǎo)小組啟動應(yīng)急預(yù)案，協(xié)調(diào)相關(guān)資源進行處置。先期應(yīng)急處置現(xiàn)場調(diào)查應(yīng)急小組當(dāng)班人員接到事件報告之后，應(yīng)迅速通知日常維護小組所有成員，并迅速到達事件發(fā)生的現(xiàn)場，在系統(tǒng)運維人員的協(xié)助下進一步對事件進行調(diào)查。調(diào)查的內(nèi)容包括：故障現(xiàn)象事故影響范圍事故原因持續(xù)時間相關(guān)日志記錄相關(guān)記錄的信息其他相關(guān)信息突發(fā)事件現(xiàn)場調(diào)查表故障現(xiàn)象事件影響范圍事故原因持續(xù)時間相關(guān)日志信息分析判斷結(jié)果調(diào)查人日期事件分析判斷日常維護小組成員經(jīng)過現(xiàn)場調(diào)查之后，確認(rèn)事件，同時也需要對事件產(chǎn)生的后果進行判斷，事件的后果定義為四個級別，分別是：一般、較大、重大、特別重大。根據(jù)事件后果的輕重來決定該事件是否上報，對于一般的事件只需要現(xiàn)場處理和記錄；對于較大的事件應(yīng)當(dāng)上報給本單位的應(yīng)急響應(yīng)領(lǐng)導(dǎo)小組，啟動預(yù)案進行處置。流程圖在發(fā)現(xiàn)系統(tǒng)突發(fā)事件之后，在啟動預(yù)案之前，需要對事件進行簡單的處置。處置的簡單流程如下：分級響應(yīng)一般事件響應(yīng)由維護小組成員根據(jù)現(xiàn)場情況進行現(xiàn)場處置。處置流程和結(jié)果進行記錄備案。較重事件處置成立處置小組日常維護小組將分析結(jié)果上報至應(yīng)急響應(yīng)領(lǐng)導(dǎo)小組之后，對于較大事件，由領(lǐng)導(dǎo)小組決定啟動應(yīng)急預(yù)案，召集應(yīng)急響應(yīng)組織成員成立處置小組來負(fù)責(zé)該次事件的處置。處置小組成員根據(jù)事件具體情況從預(yù)案確定的名單中選取。協(xié)調(diào)資源專家支持由于系統(tǒng)突發(fā)事件的特殊性，需要較多的專業(yè)知識，因此，在處置事件時可能需要專家的指導(dǎo)。當(dāng)預(yù)案啟動后，由協(xié)調(diào)小組的成員負(fù)責(zé)聯(lián)系相關(guān)專家，專家提供相應(yīng)的技術(shù)支持，必要的時候，專家需要到現(xiàn)場進行應(yīng)急響應(yīng)指導(dǎo)。設(shè)備在應(yīng)急響應(yīng)的處理過程中，處置小組應(yīng)有所有設(shè)備、服務(wù)提供商的聯(lián)系表，根據(jù)事件處理的情況與相關(guān)的提供商取得聯(lián)系，必要時需要提供商派人員到現(xiàn)場給予支持。相關(guān)權(quán)限申請執(zhí)行小組在應(yīng)急響應(yīng)過程中，必然會涉及到各個部門，進一步牽涉到相關(guān)職權(quán)和權(quán)限的申請，例如：機房訪問權(quán)限、服務(wù)器操作權(quán)限等。在應(yīng)急響應(yīng)事件處理過程中，處置小組在需要其他網(wǎng)絡(luò)資源訪問和人員配合權(quán)限的時候，由協(xié)調(diào)小組負(fù)責(zé)相關(guān)權(quán)限的申請和人員的調(diào)配。執(zhí)行事件處置處置小組在獲得相應(yīng)的權(quán)限后，可以對事件執(zhí)行處置。處置結(jié)果檢驗當(dāng)處理完畢后，處置小組應(yīng)當(dāng)對處置結(jié)果進行檢驗。故障緩解：繼續(xù)跟蹤其狀態(tài)變化，并對后續(xù)解決方案提供建議。故障消除：關(guān)閉事件并進入下一步程序。處理失?。悍怄i事故范圍，保持跟蹤，注明原因并立即向上級應(yīng)急響應(yīng)。組織報警，請求中心進行處置，提交相應(yīng)報告。重大事件處置重大事件如果能夠獨立處置的，處置流程與較重事件相同。如果需要上級應(yīng)急響應(yīng)組織處置的，流程如下：事件上報將事件上報到主管部門，說明事件的現(xiàn)象、影響范圍、事件造成的損失嚴(yán)重程度等。由上級響應(yīng)組織進行處置在主管部門協(xié)調(diào)處置的過程中，本單位的應(yīng)急響應(yīng)機構(gòu)負(fù)責(zé)提供處置所需的相關(guān)資料，配合整體的處置。特別重大事件處置對于特別重大的事件，中心的應(yīng)急響應(yīng)機構(gòu)無法獨立進行處置，需立刻上報給上級主管部門，由上級協(xié)調(diào)有關(guān)職能單位進行處置。在上級應(yīng)急響應(yīng)組織進行響應(yīng)之前，中心應(yīng)急響應(yīng)小組應(yīng)該采取措施，緩解事件，阻止事件的擴散。響應(yīng)的升級與降級如果突發(fā)事件進一步發(fā)展，有蔓延擴大的趨勢，并且情況復(fù)雜難以控制時，應(yīng)當(dāng)由應(yīng)急領(lǐng)導(dǎo)小組決定，及時提升響應(yīng)級別；如果突發(fā)事件已經(jīng)逐步得到控制，不會進一步擴散，應(yīng)當(dāng)由應(yīng)急領(lǐng)導(dǎo)小組決定，降低響應(yīng)級別。3.4應(yīng)急結(jié)束對于一般事件，維護小組在處置完成后，確認(rèn)事件消除，即可確認(rèn)應(yīng)急過程結(jié)束。對于較重和重大事件，在現(xiàn)場處置結(jié)束后，由處置小組所有成員確認(rèn)事件的處置結(jié)果，確認(rèn)后由本單位應(yīng)急機構(gòu)負(fù)責(zé)人宣布應(yīng)急狀態(tài)的結(jié)束。對于特別重大的事件，在處置結(jié)束后，需由上級應(yīng)急響應(yīng)組織宣布應(yīng)急狀態(tài)的結(jié)束。3.5后期處置3.5.1事件歸檔每次應(yīng)急響應(yīng)結(jié)束后，應(yīng)該將該次事件所有的文檔統(tǒng)一歸檔保存。3.5.2預(yù)案更新在應(yīng)急響應(yīng)結(jié)束后，需根據(jù)應(yīng)急過程中暴露的問題和調(diào)查總結(jié)的結(jié)果，對預(yù)案進行相應(yīng)的更新。3.6常見突發(fā)事件處置方案此方案僅供具體處置時處置小組使用參考，具體處置流程應(yīng)根據(jù)具體事件情況進行適當(dāng)調(diào)整，以適合事件處置的需求。以下以數(shù)據(jù)庫故障處置為例說明產(chǎn)品軟件突發(fā)事件處置方案：3.6.1流程圖3.6.2處置步驟監(jiān)控：依靠自動監(jiān)控系統(tǒng)以及