三级等保安全建设方案.pdf

目录 三级等保安全设计思路 2 1、 保护对象框架 2 2 、 整体保障框架 2 3 、安全措施框架 3 4 、 安全区域划分 4 5 、 安全措施选择 5 6 、需求分析 6 6.1 、 系统现状 6 6.2 、 现有措施 6 6.3 具体需求 6 6.3.1 等级保护技术需求 6 6.3.2 等级保护管理需求 7 7 、安全策略 7 7.1 总体安全策略 7 7.2 具体安全策略 8 8 、 安全解决方案 8 8.1 安全技术体系 8 8.1.1 安全防护系统 8 8.2 安全管理体系 8 9 、安全服务 8 9.1 风险评估服务 9 9.2 管理监控服务 9 9.3 管理咨询服务 9 9.4 安全培训服务 9 9.5 安全集成服务 9 10、 方案总结 10 11、产品选型 11 三级等保安全设计思路 1、 保护对象框架 保护对象是对信息系统从安全角度抽象后的描述方法，是信息系统内具有相似安全保护需求的一组 信息资产的组合。 依据信息系统的功能特性、 安全价值以及面临威胁的相似性， 信息系统保护对象可分为计算区域、 区 域边界、网络基础设施、安全措施四类。具体内容略。 建立了各层的保护对象之后， 应按照保护对象所属信息系统或子系统的安全等级， 对每一个保护对象 明确保护要求、部署适用的保护措施。 保护对象框架的示意图如下： 图 1. 保护对象框架的示意图 2、 整体保障框架 就安全保障技术而言， 在体系框架层次进行有效的组织， 理清保护范围、 保护等级和安全措施的关系， 建立合理的整体框架结构，是对制定具体等级保护方案的重要指导。 根据中办发 [2003]27 号文件， 坚持积极防御、综合防范的方针，全面提高提高信息安全防护能力“ ” 是国家信息保障工作的总体要求之一。 积极防御、综合防范“ ”是指导等级保护整体保障的战略方针。 信息安全保障涉及技术和管理两个相互紧密关联的要素。 信息安全不仅仅取决于信息安全技术， 技术 只是一个基础，安全管理是使安全技术有效发挥作用，从而达到安全保障目标的重要保证。 安全保障不是单个环节、单一层面上问题的解决，必须是全方位地、多层次地从技术、管理等方面进 行全面的安全设计和建设，积极防御、综合防范 ”战略要求信息系统整体保障综合采用覆盖安全保障各个 环节的防护、检测、响应和恢复等多种安全措施和手段，对系统进行动态的、综合的保护，在攻击者成功 地破坏了某个保护措施的情况下， 其它保护措施仍然能够有效地对系统进行保护， 以抵御不断出现的 安全威胁与风险，保证系统长期稳定可靠的运行。 整体保障框架的建设应在国家和地方、行业相关的安全政策、法规、标准、要求的指导下，制订 可具体操作的安全策略，并在充分利用信息安全基础设施的基础上，构建信息系统的安全技术体系、 安全管理体系，形成集防护、检测、响应、恢复于一体的安全保障体系，从而实现物理安全、网络安 全、系统安全、数据安全、应用安全和管理安全，以满足信息系统全方位的安全保护需求。同时，由 于安全的动态性，还需要建立安全风险评估机制，在安全风险评估的基础上，调整和完善安全策略， 改进安全措施，以适应新的安全需求，满足安全等级保护的要求，保证长期、稳定、可靠运行。 整体保障框架的示意图如下： 图 2. 整体保障框架的示意图