等级保护解决方案--田野-天融信安全服务总监

天融信等级保护解决方案－TopSec等级保护体系天融信安全服务总监田野[e-mail]等级保护的政策文件2003年9月中办国办颁发《关于加强信息安全保障工作的意见》中办发[2003]27号2005年9月国信办文件《关于转发《电子政务信息安全等级保护实施指南》的通知》国信办[2004]25号2006年1月四部委会签《关于印发《信息安全等级保护管理办法的通知》公通字[2006]7号2005年公安部标准《基本要求》《定级指南》《实施指南》《测评准则》2004年11月四部委会签《关于信息安全等级保护工作的实施意见》公通字[2004]66号云南云南省人民政府第130号令浙江浙江省人民政府令北京北京政府第9号令国家级政策文件国家级技术标准国家级政策文件地方政策文件等级保护的管理结构－北京为例国家信息办公安部网监局北京信息办北京公安局网监处北京测评中心北京研究一所管理职能：监管和测评技术支持单位：定级、测评安全厂商、服务商安全厂商、服务商服务实施单位：咨询、实施、产品、运维北京信息办北京信息办北京测评中心北京测评中心北京公安局网监处北京公安局网监处北京研究一所北京研究一所安全厂商、服务商安全厂商、服务商安全厂商、服务商安全厂商、服务商政策、宏观管理、协调电子政务领域其他行业领域北京市属的电子政务系统地处北京的各部委各行业等级保护的政策文件与技术演进2003年9月中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号）2004年11月四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）2005年9月国信办文件《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）2005年公安部标准《等级保护安全要求》《等级保护定级指南》《等级保护实施指南》《等级保护测评准则》总结成一种安全工作的方法和原则最先作为“适度安全”的工作思路提出确认为国家信息安全的基本制度，安全工作的根本方法形成等级保护的基本理论框架，制定了方法，过程和标准等级保护基本需求•政策要求－符合等级保护的要求–系统定级–系统符合《基本要求》中相应级别的指标–符合《测评准则》中的要求•实际需求－适应客户实际情况–适应业务特性与安全要求的差异性–可工程化实施基本安全要求中的各级指标某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理等级保护的生命周期信息系统等级保护实施生命周期内的主要活动规划设计阶段安全实施/实现阶段安全运行管理阶段等级化风险评估安全总体设计安全建设规划安全方案设计安全产品采购安全控制集成测试与验收管理机构的设置管理制度的建设人员配置和岗位培训安全建设过程的管理操作管理和控制变更管理和控制安全状态监控安全事件处置和应急预案安全评估和持续改进监督检查定级阶段系统调查和描述子系统划分/分解子系统边界确定安全等级确定定级结果文档化等级保护实施中需要解决的问题1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统a)各系统单独保护，将冲突和割裂，形成信息孤岛b)复杂大系统的分解和差异性安全要求描述很困难c)各系统安全单独建设，将造成分散、重复和低水平2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善3.管理难度太大，管理成本高需求分析－1问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统a)各系统单独保护，将冲突和割裂，形成信息孤岛需求：从组织整体出发，综合考核所有系统方法：引入体系设计方法组织战略和业务目标组织总体信息安全目标安全要求安全措施结构体安全体系设计方法结构化分解原则：•从组织总体目标出发•充分覆盖，互不重叠，不可再细分安全体系的组成安全问题保护对象框架安全对策框架界定和分解映射安全体系综合需求分析－21.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统a)各系统单独保护，将冲突和割裂，形成信息孤岛b)复杂大系统的分解和差异性安全要求描述很困难需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求方法：引入保护对象框架设计方法保护对象框架－电信行业InternetInternet通信交换网数据业务网通信生产网业务支撑网IT支撑网GSM,3G话务计费采集网管数据采集BOSS核心CRMUSDODSBOSS监控营销主厅ON-DEM一级BOSS一级经营分析用户资料电子化客服中心位置服务彩铃LSTP环境动力系统OMC智能网话务网管IP网管IDC网管EOMS传输网管信令集中监控CMnet监控OADSSMISKM郊县分公司MDCNNASWLANUM邮箱彩信短信GPRSWAPVoIPCMNet数据计费采集实验室望京IDCBJ1860门户网站企信通企邮通DSMPA-GPSSTKOTA移动地址薄集团业务接入平台菜市口IDC核心数据业务新数据业务非核心支撑系统办公系统三级区域网络基础设施边界二级区域一级区域核心支撑系统交换生产系统MDCN交换IP网保护对象框架－石油行业保护对象框架-政府行业中央节点直属节点政务外网政务专网政务内网保护对象框架－银行业A1:核心业务服务器区A2:渠道业务服务器区A4:中间业务服务器区总行生产网区域ATM/POS总行办公网区域互联网A7:OA服务器区域A8:办公工作站区域A6:辅助决策系统区第三方合作伙伴区A9:核心业务前置区A10:地市级中间业务服务器区A12:OA服务器区域A13:办公工作站区域A11:联机业务主机区A14:网点联机主机区A15:办公网区互联网N1A5：网管区N3N2第三方合作伙伴区互联网N5N4B2B3B1B6B10B9B7B8A3:国际业务服务器区省行生产网省行办公网地市行生产网地市行办公网网点B5B4B11B12开发网B13B14三级区域网络基础设施边界二级区域一级区域第三方接口B需求分析－31.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统a)各系统单独保护，将冲突和割裂，形成信息孤岛b)复杂大系统的分解和差异性安全要求描述很困难c)各系统安全单独建设，将造成分散、重复和低水平需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平方法：引入安全平台的设计与建设方法终端管理和防病毒集中管理平台集中机房与物理环境安全安全管理运行中心终端管理和防病毒集中管理平台防病毒、补丁和终端管理平台终端安全全程全网监控和审计平台全网统一监控和审计平台终端管理和防病毒集中管理平台安全域和网络访问控制平台基础设施安全网络安全监控审计第三方统一安全接入平台应用加密平台第三方统一安全接入平台统一鉴别认证平台数据备份与冗灾平台统一身份认证与授权管理平台认证授权数据安全加密应用安全安全平台物理安全•平台定义：为系统提供互操作性及其服务的环境需求分析－41.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统a)各系统单独保护，将冲突和割裂，形成信息孤岛b)复杂大系统的分解和差异性安全要求描述很困难c)各系统安全单独建设，将造成分散、重复和低水平2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善需求：建立长效机制，建立可持续运行、发展和完善的体系方法：建立安全运行体系项目建设安全管理安全风险管理安全运行维护安全体系的建设制定企业或部门级体系制定总体安全体系按要求开展工作安全目标安全要求提出安全规范、要求根据要求评估建设跟踪、定期审核安全建设工作按要求进行安全建设工作申请立项提供项目安全说明弱点评估系统加固安全事件处理按要求进行建设应急响应计划定期评估安全现状监控、审计安全现状安全预警提出规范、要求设备安全维护系统安全维护考核和检查落实规范、要求制定运维作业计划总部层面省级层面系统层面安全运行体系需求分析－51.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统a)各系统单独保护，将冲突和割裂，形成信息孤岛b)复杂大系统的分解和差异性安全要求描述很困难c)各系统安全单独建设，将造成分散、重复和低水平2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善3.管理难度太大，管理成本高需求：需要高水平、自动化的安全管理工具方法：引入安全管理平台安全运维工作过程改进加强安全措施调整安全控制要求安全工作考核计划安全目标安全规划安全控制要求执行安全实施日常运行维护检查安全现状安全现状和目标之间的差距监控资产、业务、网络的安全风险安全事件响应事件关联安全告警处理安全工单应急响应总结事件分析和总结报告、数据分析正常到异常异常到正常流程内循环正常工作流程－自上而下异常工作流程－自下而上安全管理中心框架总部级安全目标总部级计划/决策省级安全目标省级计划/决策策略组织人员运作技术安全体系框架策略组织运作技术规划策略组织人员运作技术规划省级1信息安全保障体系信息安全保障体系策略组织人员运作技术安全要求省级2信息安全保障体系省级3信息安全保障体系保护对象边界计算区域网络基础设施资产管理风险识别风险分析弱点威胁风险事件关联事件告警工单管理应急响应报告审计数据分析总结监控事件/响应处理/解决总结策略组织人员运作技术安全措施策略管理运作管理组织管理存储发布预警变更审批备案岗位权限补丁管理病毒管理配置管理帐号口令通告下载通告下载变更备案申请审批安全运行维护总部级安全建设省级安全建设需求分析总结•符合等级保护制度与标准•引入体系设计方法–引入保护对象框架设计方法–引入安全平台的设计与建设方法–建立安全运行体系•以可信的理念和技术作支撑总体解决方案－TopSec等级保护体系•遵照国家等级保护制度、满足客户实际需求，采用等级化、体系化相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。•实施后状态：一套持续运行、涵盖所有安全内容的安全保障体系，是企业或组织安全工作所追求的最终目标•特质：–等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求–整体性：结构化，内容全面，可持续发展和完善，持续运行–针对性：针对实际情况，符合业务特性和发展战略等级保护体系设计方法整体安全目标分等级的保护对象框架体系建设和运行组织体系技术体系运作体系策略体系安全要求与对策框架客户的信息资产定级分解基本安全要求5级4级3级2级1级国家规定的各等级安全要求定制分等级的安全目标等级化安全体系等级保护体系安全措施框架安全策略体系安全技术体系身份认证加密加固审核跟踪访问控制防恶意代码监控备份恢复管理制度组织职责技术标准规范信息安全政策安全组织教育培训人员职责人员安全安全组织体系安全体系建设项目建设安全管理安全风险管理与控制安全运行与维护安全运行体系成果－安全组织体系主管领导（主管安全）领导小组组长信息安全领导小组业务部门负责人成员安全部门负责人工作组组长管理部门负责人成员部门安全管理员成员部门安全管理员成员安全办公室负责人负责人安全管理员安全技术员信息安全工作组信息安全办公室成果－安全策略体系信息安全方针管理规定工作流程安全组织人员职责技术规范信息安全体系公司层面部门安全工作管理办法部门安全组织人员职责部门层面工作表单运行维护计划应急响应计划系统层面终端管理和防病毒集中管理平台集中机房与物理环境安全安全管理运行中心终端管理和防病毒集中管理平台防病毒、补丁和终端管理平台终端安全全程全网监控和审计平台全网统一监控和审计平台终端管理和防病毒集中管理平台安全域和网络访问控制平台设备安全配置与加固基础设施安全各主机网络设备网络安全监控审计第三方统一安全接入平台应用加密平台第三方统一安全接入平台统一鉴别认证平台数据备份与冗灾平台统一身份认证与授权管理平台应用系统安全增强各应用系统认证授权数据安全加密应用安全安全管理平台成果－安全技术体系物理安全可信接入控制平台可信信息交换平台可信监管平台项目建设安全管理安全风险管理安全运行维护安全体系的建设制定企业或部门级体系制定总体安全体系按要求开展工作安全目标安全要求提出安全规范、要求根据要求评估