企业信息安全解决方案456

企企业业信信息息安安全全解解决决方方案案白白皮皮书书－内部资料，注意保密－Page2of22目录1概述...............................................................................................................................31.1信息安全面临的难题分析...........................................................................................31.2如何实现高效卓越的企业信息安全体系...................................................................41.3信息安全方案特点.......................................................................................................61.3.1设计基本原则...................................................................................................61.3.2建设目标及要求...............................................................................................71.4安全体系基本内容.......................................................................................................81.5安全体系结构建议.......................................................................................................81.6信息安全通用方案.....................................................................................................91.6.1安全系统架构...................................................................................................91.6.2安全管理系统-制度建设................................................................................101.6.3边界防护设计.................................................................................................111.6.4系统安全保护.................................................................................................131.6.5应用系统安全.................................................................................................151.6.6数据安全防护.................................................................................................161.6.7安全保障手段和技术方法要求.....................................................................161.7信息安全专项方案...................................................................................................171.7.14A安全解决方案...........................................................................................171.7.2PKI安全解决方案.........................................................................................21－内部资料，注意保密－Page3of221概述1.1信息安全面临的难题分析网络带给人们很大便利，但互联网是一个面向大众的公开网络，存在安全隐患。网络的安全形势日趋严峻，对很多公司来说，信息安全不仅是挑战技术，更是生存的历练。一般来说，公司关注的安全威胁包括下面几种（按照关注程度从高到低排序）：病毒或蠕虫间谍软件/流氓软件垃圾邮件未经授权的雇员对文件或数据的访问外部人员偷窃客户数据网络钓鱼和域欺骗带有公司数据的可移动设备遗失或失窃知识产权失窃拒绝服务攻击或其他网络攻击僵尸网络对IT资源的远程控制对无线/RFID系统的攻击VoIP入侵公司在安全防范方面进行投资以期获得回报，一般来说，是为了达到几个目的：员工处理安全相关问题的时间减少更好地保护客户数据安全漏洞减少网络宕机时间减少改进对知识产权的保护采取更好的风险管理策略用于处理偶发时间的时间减少－内部资料，注意保密－Page4of22这些年来，一系列财务失败事件的发生加强了人们对企业风险的关注。美国在2002年颁布了《萨班斯-奥克斯利法案》，我国相关部委也发布了有着中国萨班斯法案之称的《企业内部控制基本规范》。内控规范要求企业将内部控制框架纳入企业风险管理框架中，要求企业进行信息化系统落地，要求企业遵从财政部、国资委相关管理条文要求，特别是在战略、财务、法律风险管理信息的搜集、风险评估、风险行为管理等方面，符合深交所、上交所关于上市公司加强内部控制和信息披露方面的要求和控制点。1.2如何实现高效卓越的企业信息安全体系企业需要评估IT安全风险，获得相关建议，降低安全复杂度，并量化安全投资的价值。企业一般以信息化基础架构作为信息安全的切入点，希望防患于未然，将安全嵌入到业务流程和内控制度中，提供更好的整合度，变人工干预为自动化，从而提升管理和监控的效能。企业也认识到，需要与国际安全标准接轨，在内部贯彻ISO27001和ISO2000、ITIL，能更好保证管控制度落地，有效杜绝安全隐患。我们建议，实现高效卓越的企业信息安全体系，可以参考如下过程，同时这也是我公司的信息安全咨询服务流程：－内部资料，注意保密－Page5of221.安全策略2.安全评级3.解决方案4.实施计划5.安全实施6.日常运营和持续改进使命与目标瑞友安全解决方案政策标准找到方向？信息安全策略书现状如何？安全评估报告风险评估报告如何做?专项解决方案怎么做？行动计划、实施规则程序文件、IT规划开始做结果如何？审计、评估、加固、改进...制度建设ISO27001?ISO20000?ITIL?制度执行风险知识库规范的评估流程评估模型、确认模型首先，基于企业自身安全方面的成熟度和企业信息安全需求，结合国家和行业政策标准要求，进行合理评估，制定最佳的安全策略和风险防御计划。在瞬息万变的形势下，企业应从整体角度考虑信息安全的投资和安全保障风险的价值，制定符合自身需求的安全策略和风险防御计划，并随着市场压力的变化和业务目标的调整，不断调整企业自身的应对策略，追求安全能力的动态平衡。企业的治理活动包括设定经营战略和目标,确定风险偏好。制定内部政策和监督绩效;风险管理活动包括识别和评价那些可能会影响目标实现能力的风险,应用风险管理来获得竞争优势和确定风险应对策略和控制活动;遵守活动包括遵照目标经营,确保遵守法律和法规、内部政策与程序以及利益相关者的委托。其次，对企业进行信息安全能力评级，结合各类风险知识库和规范的风险评估流程，从资产调查开始，进行安全管理评估、网络安全评估、应用安全评估、主机安全评估和漏洞测试，进行系统安全等级评价和差距评估。然后，构筑企业的信息安全路线图，寻求安全的解决之道，通过信息安全技术与产品的优化组合，寻求最优解决方案。最后，提出实施计划，进行安全体系实施，形成安全的最佳实践，并在此实践的基础上－内部资料，注意保密－Page6of22进行日常运营和持续改进。在整个安全体系的建立过程中，应重点梳理业务系统相关实施与运维支持相关的制度和流程，以内控管理制度为基础，参考ISO20000及ISO270001相关标准，设计具有一定前瞻性的业务系统内控体系框架；对业务系统关键流程、风险控制、制度及文档体系进行评估，提出内部整改方案，与信息安全解决方案整体考虑，统一实施。在公司控制层上，应形成有效的IT治理架构、IT战略与规划、IT组织与政策等。我公司信息安全解决之道：我公司拥有多年的企业信息化建设的经验，在企业信息安全方面可以提供专业经验和行业知识，能够运用我们的解决方案和专业技术，确定业务和技术的发展趋势并寻求最佳解决方案来帮助客户。我们的咨询团队可以深入了解客户业务，帮助客户实现卓越高效的信息安全。在信息安全的几个领域，我们拥有先进技术或有长期合作的技术领先的公司，我们携手合作，为客户提供最佳的服务。比如，在身份认证和访问管理方面，我们与日本NTTData合作，提出统一用户管理VIM和单点登录（SSO）产品解决方案；在数据安全和隐私方面的保护方面，我们提出DRM数字版权管理解决方案，可以有效防范数据泄密，保证数字产品的授权、加密、阅读、转换等过程中的数字版权保护；在企业安全应用、基础架构安全以及业务的连续性管理方面，我们结合日立公司的系统运行管理软件和桌面管理软件，全面介绍这方面的解决方案。1.3信息安全方案特点1.3.1设计基本原则安全体系建设总体目标是：对企业信息化进行全方位、分层次的安全保护，建立动态信息安全防护体系，实现加强系统的安全，保障网络的畅通及相关应用系统的可靠运行，减少各种安全事件对信息系统的威胁，避免信息安全事件造成的损失。建设系统安全体系应遵循以下原则：整体性原则结构化分析安全问题，做到全面覆盖，突出重点－内部资料，注意保密－Page7of22符合性、标准化与规范化原则依据国家信息安全政策、符合相关法规标准要求。安全体系的整体设计要求基于国际标准和国家颁布的有关标准（比如：等级保护、分级保护、SOX、企业内部控制基本规范等），坚持统一、标准、规范的原则，为未来业务发展奠定良好的基础。针对性原则根据客户组织结构特点，网络特点、业务特点，针对性解决安全问题。可持续性，灵活性与可扩展性原则应满足信息系统全生命周期的持续安全保障要求。安全体系设计必须具有良好的灵活性与可扩展性，能够根据业务不断深入发展的需要，提供技术升级、系统更新的灵活性。在软件升级时不应影响组织的日常办公工作。可管理性与易维护性原则随着公司业务的不断发展，安全管理任务必定会日益繁重，因此系统安全体系的建设必须有良好的可管理性和易维护性。1.3.2建设目标及要求信息安全保障工程建设的总体目标是：切实为信息系统提供可靠的安全服务，增强信息系统安全性，从技术角度防范信息系统安全风险，为促进业务系统效率提供安全保障，实现系统的安全资源共享和相互配合服务，为信息系统数据传输提供安全保障，全面推动信息系统安全在系统中的应用。安全体系建设的具体目标：