搜索
等级保护建设思路及H3C解决方案密级：公开杭州华三通信技术有限公司日期：2008年4月15日2信息安全等级保护政策H3C等级保护建设思路H3C等级保护解决方案H3C安全产品线简介3信息安全等级保护政策简介信息安全等级化保护（以下简称等保）定义-等保是指国家通过制订统一的标准，根据信息系统不同重要程度，有针对性开展保护工作，分等级对信息系统进行保护，国家对不同等级的信息系统实行不同强度的监督管理。-等保将信息系统的安全等级分为5级，1级最低，5级最高。目前已经确定等级的为电子政务内网要达到4级保护要求，外网要达到3级保护要求。等保工作的重要性-信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法。……是信息安全保障工作中国家意志的体现。-引自2007年7月20日公安部、国务院信息办等4部门在北京联合召开“全国重要信息系统安全等级保护定级工作电视电话会议”上公安部代表的讲话。4信息安全等级保护政策的发展历程《中华人民共和国计算机信息系统安全保护条例》发布1994199920012004《计算机信息系统安全保护等级划分准则》GB17859-1999发布国家发改委“计算机信息系统安全保护等级评估体系及互联网络电子身份管理与安全保护平台建设项目”（1110）工程实施7月22日，国家信息化领导小组召开了第三次会议，专门讨论了信息安全问题。会议审议通过了《关于加强信息安全保障工作的意见》，并经由中央办公厅、国务院办公厅颁布(中办发【2003】27号文件)公安部、国家保密局、国家密码管理局和国信办联合签发了《关于信息安全等级保护工作的实施意见》（公通字【2004】66号）信息系统安全保护等级定级指南(20051231)信息系统安全等级保护基本要求（20060429）信息系统安全等级保护测评准则（20060429）信息系统安全等级保护实施指南（20060429）2006公安部、国家保密局、国家密码管理局和国信办联合签发了《信息系统安全等级保护管理办法（试行）》（公通字【2006】7号)——2006年3月1日执行20035等级保护的政策文件与技术演进2003年9月中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号）2004年11月四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）2005年9月国信办文件《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）2005年公安部标准《等级保护安全要求》《等级保护定级指南》《等级保护实施指南》《等级保护测评准则》总结成一种安全工作的方法和原则最先作为“适度安全”的工作思路提出确认为国家信息安全的基本制度，安全工作的根本方法形成等级保护的基本理论框架，制定了方法，过程和标准6等级保护的5个监管等级等级合法权益社会秩序和公共利益国家安全损害严重损害损害严重损害特别严重损害损害严重损害特别严重损害一级√二级√√三级√√四级√√五级√7不同级别之间保护能力的区别总体来看，各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度以及在遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。一级具有15个技术目标，16个管理目标；二级具有29个技术目标，25个管理目标；三级具有36个技术目标，27个管理目标；四级具有41个技术目标，28个管理目标。技术要求的变化包括：安全要求的增加安全要求的增强管理要求的变化包括：管理活动控制点的增加，每个控制点具体管理要求的增多管理活动的能力逐步加强，借鉴能力成熟度模型（CMM）8决定等级的主要因素分析信息系统所属类型业务数据类别信息系统服务范围业务处理的自动化程度业务重要性业务数据安全性业务处理连续性业务依赖性基于业务的重要性和依赖性分析关键要素，确定业务数据安全性和业务处理连续性要求。业务数据安全性业务处理连续性信息系统安全保护等级根据业务数据安全性和业务处理连续性要求确定安全保护等级。9安全控制定级指南过程方法确定系统等级启动采购/开发实施运行/维护废弃确定安全需求设计安全方案安全建设安全测评监督管理运行维护暂不考虑特殊需求等级需求基本要求产品使用选型监督管理测评准则流程方法监管流程应急预案应急响应等级保护定义的信息安全建设过程等级保护工作对应完整的信息安全建设生命周期10等保建设主要阶段的详细工作系统定级阶段安全规划设计阶段产品采购和工程实施阶段运行管理和状态监控阶段系统调查和描述子系统划分子系统定级子系统边界设定等级化风险评估分级保护模型化处理安全策略规划安全建设规划安全建设详细方案设计安全产品采购安全控制开发安全控制集成测试与验收安全等级测评运行批准系统备案操作管理和控制配置管理和控制变更管理和控制安全状态监控安全事件处理和应急预案监督和检查持续改进定级结果文档化《等级保护工作的实施指南》中对主要阶段的工作细化11等级保护建设的一般过程整改评估定级评测•确定系统或者子系统的安全等级•依据等级要求，对现有技术和管理手段的进行评估，并给出改进建议•针对评估过程中发现的不满足等保要求的地方进行整改•评测机构依据等级要求，对系统是否满足要求进行评测，并给出结论监管•对系统进行周期性的检查，以确定系统依然满足等级保护的要求12信息安全等级保护政策H3C等级保护建设思路H3C等级保护解决方案H3C安全产品线简介13正确理解等级保护思想系统重要程度系统保护要求安全基线安全基线安全基线一级二级三级四级等级保护思想的基础是分级管理思想。即通过分级管理对不同安全需求的系统进行安全保护，从而实现对整个信息系统的适当的安全保护和管理，避免对系统保护过渡或者保护不足。等级保护的核心是为受管理的系统明确定义所需最低的安全保护能力。这个能力可以认为是一个最基本的安全基线。结论：满足需求的能力基线是最低要求，根据实际业务的需要和发展，信息系统的所有者和使用者有必要自行定义所需的安全基线，并不断修正。14信息安全基线的产生信息安全基线可满足当前信息安全建设需求的各个方面内部需求满足•知识产品保护•机密信息保护•脆弱性保护合规需求满足•等级保护规范•萨班斯方案•行业安全规范信息安全基线Integrity完整性Availability可用性Confidentiality保密性满足当前需求，确保业务的连续性、减少业务损失并且使投资和商务机会获得最大的回报15等级保护技术要求和管理要求分析某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理等级保护的技术要求和管理要求只是具体的目标，而不强调实现的方法。这就强调了信息系统的所有者和使用者在信息安全建设中的主体地位。‐等保的技术要求部分不包含技术框架的搭建，其技术目标的实现也不固定要求对应到某一种或者某一类安全产品中。事实上，具体的安全产品和解决方案可以横跨多个安全要求大项，实现多个安全目标。结论：进行等级保护建设的主体是信息系统的所有者和使用者，由信息系统的所有者和使用者根据自身的特点，自行规划、设计和实现。16H3C等级保护建设思路治理架构等级保护规范ISO27000萨班斯法案法规遵从机密信息保护知识产权保护内部驱动核心计算环境人机交互环境系统外部环境技术框架管理框架以ISO27000系列为基础建立ISMS（InformationSecurityManagementSystem，信息安全管理体系），在符合性方面满足法规遵从要求以统一安全策略为基础，综合运用技术策略与管理策略最佳实践：H3C安全建设方案17ISO27000系列标准具有完整的规范体系，覆盖要求、最佳实践、实施指南、风险管理等各个方面以ISO27000为框架可以指导建设满足等级保护要求的信息安全架构ISO27000系列标准和术语定义ISO27001信息安全管理体系要求ISMSRequirementsISO27002信息安全管理实践准则ISO27003实施指南ISMSImplementationguidelinesISO27004度量指标与衡量ISMSMetricsandmeasurementISO27006灾难恢复和服务指南ISO27005风险管理指南RiskManagement基于ISO27000建立信息安全架构18安全需求随业务需求演进安全滞后业务需求安全满足现状业务需求更新……阻碍安全领先牵引安全IT基础架构业务现状业务发展业务需求是无法超越的，但安全建设是可以先行的19基于PDCA模型推动安全架构演进部门工具企业工具战略工具核心竞争力信息化发展历程数字化IT产品化IT系统化IT集中化IT集成化IT资源化主要矛盾：非授权访问主要矛盾：业务不稳定主要矛盾：资料丢失主要矛盾：跨域访问主要矛盾：动态业务PDCA的演进发起者：系统用户解决方案：主机防病毒发起者：网络管理员解决方案：网络防病毒防火墙系统入侵检测发起者：技术主管解决方案：分域防护入侵抵御终端控制发起者：CIO解决方案：统一规划统一管理风险控制发起者：CEO解决方案：机构战略决策生命周期管理机构内部控制执行计划检查行动安全建设规律安全基线更新安全基线更新安全基线更新安全基线更新20信息安全等级保护政策H3C等级保护建设思路H3C等级保护解决方案H3C安全产品线简介21H3C在等级保护建设过程中能够参与的工作安全控制过程方法确定系统等级安全规划设计实施运行/维护确定安全需求设计安全方案安全建设安全测评运行监控维护响应特殊需求等级需求基本要求产品使用选型系统监控测评准则流程方法监控流程应急预案应急响应PlanDoCheckAction等保建设过程：基于PDCA、遵从公安部信息安全等级保护规范！应急响应评估咨询方案设计周期性检测22H3CSecCare安全服务体系安全三要素人流程技术培训咨询评估安全咨询-以ISO17799/27001、GB/T17859等级保护规范为基础，以安全最佳实践为模板，提供一种切实可行的安全建设的思路。风险评估-以ISO17799/27001、GB/T17859等级保护规范为标准，遵循GB/T20984-2007信息安全风险评估规范，对信息安全建设现状进行评价。安全培训-提供针对CIO/信息主管、主要工程师和一般用户的不同的培训课程，全面提高安全意识和技术能力。应急响应-对信息系统出现的紧急安全事件进行响应，包括电话支持、远程支持以及现场支持等形式。H3CSecCare安全服务体系23网络安全技术体系iSPN局部安全全局安全智能安全端到端安全解决方案X86ASICNPFPGAMulti-core万兆安全平台FW/VPN/UTM/IPS/...EAD/Anti-Virus...数据安全计算安全通信安全SecCenter/SecBlade/ACG...CRMERPOASCMP2PWEB2.0...边界防护数据中心保护行为监管宽带流量清洗宽带流量精细化运营安全托管内网控制远程安全接入......OAAIT应用24远程安全接入边界防护安全统一管理平台内网控制行为监管数据中心保护五大解决方案25SecCenter大型分支SecPath防火墙中小型分支IPSecVPNIPSec+GREVPN移动用户BIMSSSLVPN合作伙伴IPSecVPN内部网InternetVPNManagerSecPath防火墙SecPath防火墙SecPath防火墙SecPath防火墙安全管理平台VPN是成本最低、应用最广泛的接入技术，预计2008年14亿人民币空间--------《计世资讯》H3C远程安全接入解决方案方案描述SecPath系列防火墙：实现大型分支、中小型分支/合作伙伴、移动用户不同安全接入需求SecCenter：实现全网安全统一管理BIMS/VPNManager：实现全网VPN部署和监控。26等保满足性——可满足的一级技术目标O1-6.应具有对传输和存储数据进行完整性检测的能力O1-8.应具有合理使用和控制系统资源的能力O1-9.应具有设计合理、安全网络结构的能力O1-14.应具有对网络、系统和应用