信息平安等級保護與解決方案信息平安等級保護與解決方案信息平安現狀信息平安問題平安事件每年都有上千家政府網站被攻擊平安影響任何網絡都可能遭受入侵信息系統平安等級保護信息系統平安等級保護簡介信息系統平安保護等級劃分信息系統平安保護定級指南等級保護出臺是信息平安開展的需要信息平安等級保護相關文件信息平安等級保護開展歷程信息平安等級保護開展歷程信息平安等級保護指導性文件?信息系統平安等級保護根本要求??信息系統平安等級保護定級指南??信息系統平安等級保護實施指南??信息系統平安等級保護測評準那么?信息系統平安保護等級劃分信息系統平安保護的目標實行等級保護的總體目標是為了統一信息平安保護工作，推進標準化、法制化建設，保障平安，促進開展，完善我國信息平安法規和標準體系，提高我國信息平安和信息系統平安建設的整體水平。信息平安等級保護的對象信息信息系統等級保護工作的三個方面對信息系統分等級實施平安保護;對信息系統中使用的信息平安產品實行分等級管理;對信息系統中發生的信息平安事件分等級響應、處置。決定信息系統重要性的要素信息系統所屬類型，即信息系統資產的平安利益主體信息系統主要處理的業務信息類別----決定信息系統內信息資產的重要性信息系統效勞范圍，包括效勞對象和效勞網絡覆蓋范圍業務對信息系統的依賴程度----決定信息系統所提供效勞的重要性信息系統所屬類型賦值表

信息系統所屬類型舉例賦值信息系統的社會影響屬于一般企事業單位，處理其內部事務的信息系統。1信息系統資產受到破壞會對本單位利益有直接影響。屬于重要行業、重要領域和國家基礎設施，為國計民生、經濟建設等提供重要服務的信息系統，或本身雖屬一般企事業單位，但為黨政或重要信息系統提供支撐服務的信息系統。2信息系統資產受到破壞會對公共利益有直接影響，或對國家安全利益有間接影響。屬于黨政機關，處理國家事務的信息系統。3信息系統資產受到破壞會對國家安全利益有直接影響。業務信息類型賦值表

業務信息類型舉例賦值業務信息的安全影響可以對外公開發布的信息，或不對外發布的單位內部一般信息。1業務信息機密性、完整性或可用性被破壞會對公共利益或本單位經濟利益造成一定損害。法人和其他組織及公民的專有信息，例如內部敏感信息、關鍵技術數據、科技情報、商業秘密等。2業務信息機密性、完整性或可用性被破壞會對公共利益或本單位經濟利益造成嚴重損害。涉及國家安全利益，影響國家經濟建設的信息。3業務信息機密性、完整性或可用性被破壞對國家安全利益和國家經濟建設造成損害。信息系統效勞范圍賦值表信息系統服務范圍舉例賦值服務范圍的影響地區范圍的服務網絡。1信息系統因無法提供服務或無法提供有效服務會對局部范圍的資產造成損害。省級范圍的服務網絡。2信息系統因無法提供服務或無法提供有效服務會對較大范圍的資產造成損害。全國范圍的服務網絡。3信息系統因無法提供服務或無法提供有效服務會對全國范圍的資產造成損害。業務依賴程度賦值表

業務依賴程度舉例賦值業務系統影響業務處理流程的大部分可以通過手工方式或其他方式完成，自動化程度低。1信息系統無法提供服務或無法提供有效服務對單位完成其業務使命影響較小。業務處理流程的部分環節可以通過手工方式或其他方式替代完成，自動化程度中。2信息系統無法提供服務或無法提供有效服務對單位完成其業務使命影響較大。業務處理流程完全依賴信息系統，手工方式無法完成，自動化程度高。3信息系統無法提供服務或無法提供有效服務使單位無法完成其業務使命。信息系統所屬類型業務信息類型信息系統服務范圍業務依賴程度業務信息安全性取值業務服務保證性取值業務服務保證性等級1.賦值選擇調節因子業務子系統安全保護等級2.確定兩個指標等級業務信息安全性等級3確定業務子系統等級信息系統安全保護等級4.確定信息系統等級其它業務子系統。。。業務信息平安性等級矩陣表業務信息類型賦值信息系統所屬類型賦值123112222333344業務效勞保證性取值矩陣表信息系統服務范圍賦值業務依賴程度賦值123112322343344

調節因子取值表信息系統服務的影響程度調節因子k信息系統無法提供服務或無法提供有效服務會造成國家安全利益損失。1.0

k

0.8信息系統無法提供服務或無法提供有效服務會造成較大范圍的公共利益損失。0.8

k

0.5信息系統無法提供服務或無法提供有效服務會造成局部利益損失。0.5

k

0信息系統平安保護等級業務子系統的平安保護等級由業務信息平安性等級和業務效勞保證性等級較高者決定。信息系統的平安保護等級由各業務子系統的最高等級決定。物理層面網絡層面系統層面應用層面管理層面安全管理制度業務處理流程

業務應用系統數據庫應用系統

身份鑒別機制強制訪問控制防火墻入侵檢測系統物理設備安全環境安全信息安全體系信息系統平安體系結構互聯網計算機網絡內網（業務專網）邏輯隔離物理隔離信息收集、發布，公眾效勞內部業務處理辦公系統辦公系統電子政務外網等級保護根本要求〔二、三級〕結構平安和網段劃分網絡設備的業務處理能力應具備冗余空間，要求滿足業務頂峰期需要；設計和繪制與當前運行情況相符的網絡拓撲結構圖；根據機構業務的特點，在滿足業務頂峰期需要的根底上，合理設計網絡帶寬；在業務終端與業務效勞器之間進行路由控制建立平安的訪問路徑；根據各部門的工作職能、重要性、所涉及信息的重要程度等因素，劃分不同的子網或網段，并按照方便管理和控制的原那么為各子網、網段分配地址段；重要網段應采取網絡層地址與數據鏈路層地址綁定措施，防止地址欺騙；按照對業務效勞的重要次序來指定帶寬分配優先級別，保證在網絡發生擁堵的時候優先保護重要信息資產主機。網絡平安訪問控制根據會話狀態信息〔包括數據包的源地址、目的地址、源端口號、目的端口號、協議、出入的接口、會話序列號、發出信息的主機名等信息，并應支持地址通配符的使用〕，為數據流提供明確的允許/拒絕訪問的能力；對進出網絡的信息內容進行過濾，實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制；依據平安策略允許或者拒絕便攜式和移動式設備的網絡接入；在會話處于非活潑一定時間或會話結束后終止網絡連接；限制網絡最大流量數及網絡連接數。網絡平安訪問控制網絡平安訪問控制實現的方法有多種，簡單網絡的平安訪問控制可以在路由器上實現，復雜的功能可以由主機甚至一個子網來實現。平安審計網絡平安審計主機平安審計網絡平安審計對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行全面的監測、記錄；對于每一個事件，其審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功，及其他與審計相關的信息；平安審計應可以根據記錄數據進行分析，并生成審計報表；平安審計應可以對特定事件，提供指定方式的實時報警；審計記錄應受到保護防止受到未預期的刪除、修改或覆蓋等。網絡平安審計主機平安審計平安審計應覆蓋到效勞器和客戶端上的每個操作系統用戶和數據庫用戶；平安審計應記錄系統內重要的平安相關事件，包括重要用戶行為、系統資源的異常使用和重要系統命令的使用；平安相關事件的記錄應包括日期和時間、類型、主體標識、客體標識、事件的結果等；平安審計應可以根據記錄數據進行分析，并生成審計報表；平安審計應可以對特定事件，提供指定方式的實時報警；審計進程應受到保護防止受到未預期的中斷；審計記錄應受到保護防止受到未預期的刪除、修改或覆蓋等。邊界完整性檢測能夠檢測內部網絡中出現的內部用戶未通過準許私自聯到外部網絡的行為〔即“非法外聯〞行為〕；能夠對非授權設備私自聯到網絡的行為進行檢查，并準確定出位置，對其進行有效阻斷；能夠對內部網絡用戶私自聯到外部網絡的行為進行檢測后準確定出位置，并對其進行有效阻斷。惡意代碼防范在網絡邊界及核心業務網段處對惡意代碼進行檢測和去除維護惡意代碼庫的升級和檢測系統的更新支持惡意代碼防范的統一管理惡意代碼防范防病毒網關〔互聯網病毒防護〕--網絡層效勞器系統病毒防護終端〔微機〕病毒防護效勞器系統病毒防護根據效勞器端系統平臺的實際情況，在各種效勞器系統(如文件效勞器、主域/備份域效勞器、郵件效勞器、DNS效勞器等)上安裝相應的防計算機病毒產品。特別是郵件系統極易傳播病毒，因此，要在郵件效勞器上安裝專門的防護軟件，實時掃描接收和發送的電子郵件。終端〔桌面〕病毒防護入侵防范網絡入侵防范

Network-BasedIntrusionDetectionSystem主機入侵防范

Host-BasedIntrusionDetectionSystem網絡入侵防范在網絡邊界處應監視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕效勞攻擊、緩沖區溢出攻擊、IP碎片攻擊、網絡蠕蟲攻擊等入侵事件的發生；當檢測到入侵事件時，應記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發生嚴重入侵事件時提供報警。網絡入侵防范工作原理

收集網絡中傳輸的數據包及相關網絡會話根據預定義的設置，進行必要的數據過濾及縮略，從而提高檢測、分析的效率。根據定義的平安策略，進行檢測/分析。一旦檢測到違反平安策略的行為或者事件，進行報警及響應。入侵檢測通過抓取數據報文對其分析，并與攻擊規那么樣本進行比較發現攻擊行為通過特殊的編碼可以繞過入侵檢測的偵測〔漏報〕需要不斷的跟蹤新的攻擊模式并更新攻擊樣本容易把正常的訪問識別為入侵行為〔誤報〕網絡入侵防御(IPS)面臨的挑戰單點故障性能“瓶頸〞增加網絡延遲降低網絡效率誤報和漏報主機入侵防范進行主機運行監視，包括監視主機的CPU、硬盤、內存、網絡等資源的使用情況；設定資源報警域值，以便在資源使用超過規定數值時發出報警；進行特定進程監控，限制操作人員運行非法進程；進行主機賬戶監控，限制對重要賬戶的添加和更改；檢測各種的入侵行為，記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發生嚴重入侵事件時提供報警；能夠檢測重要程序完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施。主機入侵防范工作原理

根據系統內部的審計數據根據預定義的設置，進行必要的數據過濾及縮略，從而提高檢測、分析的效率。根據定義的平安策略，進行檢測/分析。一旦檢測到違反平安策略的行為或者事件，進行報警及響應。強制訪問控制對重要信息資源和訪問重要信息資源的所有主體設置敏感標記；強制訪問控制的覆蓋范圍應包括與重要信息資源直接相關的所有主體、客體及它們之間的操作；強制訪問控制的粒度應到達主體為用戶級，客體為文件、數據庫表級。主機系統強制訪問控制

主機操作系統采用自主訪問控制脆弱的認證體系明顯的系統平安漏洞來自內部的攻擊或誤操作來自外部的網絡攻擊操作系統平安加固產品主動防御、全面防護操作系統的可信改造訪問控制監視列表XOdata2data1訪問請求訪問請求數據訪問請求監視操作系統安全內核效勞器系統加固產品特點數據備份和恢復提供自動機制對重要信息進行本地和異地備份提供恢復重要信息的功能；提供重要網絡設備、通信線路和效勞器的硬件冗余；提供重要業務系統的本地系統級熱備份。信息平安管理平安管理機構

崗位設置、人員配置、授權與審批、溝通與合作、審核與檢查平安管理制度

管理制度、制定與發布、評審與修訂人員平安管理

人員錄用、人員離崗、人員考核、平安意識教育與培訓、第三方人員管理系統建設管理

系統定級、系統備案、平安方案設計、產品采購、自行軟件研發、外包軟件開發、工程實施、工程驗收系統運維管理

環境管理、資產管理、介質管理、設備管理、監控管理、網絡平安管理、系統平安管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復管理、平安事件管理、應急預案管理平安管理機構崗位設置人員配置授權與審批溝通與合作審核與檢查平安管理機構--崗位設置平安管理機構--人員配備配備一定數量的系統管理人員、網絡管理人員、平安管理人員等；配備專職平安管理人員不可兼任；關鍵崗位應定期輪崗。平安管理機構--授權與審批授權審批部門及批準人，對關鍵活動進行審批；列表說明須審批的事項、審批部門和可批準人；建立各審批事項的審批程序，按照審批程序執行審批過程；建立關鍵活動的雙重審批制度；不再適用的權限應及時取消授權；定期審查、更新需授權和審批的工程；記錄授權過程并保存授權文檔。平安管理機構--溝通與合作平安管理機構--審核與檢查平安管理制度管理制度制定與發布評審與修訂平安管理制度--管理制度平安管理制度--制定與發布在信息平安領導小組的負責下，組織相關人員制定；保證平安管理制度具有統一的格式風格，并進行版本控制；組織相關人員對制定的平安管理制度進行論證和審定；平安管理制度應經過管理層簽發后按照一定的程序以文件形式發布；平安管理制度應注明發布范圍，并對收發文進行登記。平安管理制度--評審與修訂人員平安管理人員錄用人員離崗人員考核平安意識教育與培訓第三方人員管理人員平安管理--人員錄用人員平安管理--人員離崗立即終止由于各種原因即將離崗的員工的所有訪問權限；取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備；經機構人事部門辦理嚴格的調離手續，并承諾調離后的保密義務前方可離開。人員平安管理--人員考核對所有人員進行全面、嚴格的平安審查；定期對各個崗位的人員進行平安技能及平安認知的考核；對考核結果進行記錄并保存；對違背平安策略和規定的人員進行懲戒。人員平安管理

--平安意識教育與培訓對各類人員進行平安意識教育；告知人員相關的平安責任和懲戒措施；制定平安教育和培訓方案，對信息平安根底知識、崗位操作規程等進行培訓；針對不同崗位制定不同培訓方案；對平安教育和培訓的情況和結果進行記錄并歸檔保存。人員平安管理

--第三方人員管理第三方人員應在訪問前與機構簽署平安責任合同書或保密協議；對重要區域的訪問，須提出書面申請，批準后由專人全程陪同或監督，并記錄備案；對第三方人員允許訪問的區域、系統、設備、信息等內容應進行書面的規定，并按照規定執行。系統建設管理系統定級系統備案平安方案設計產品采購自行軟件研發外包軟件開發工程實施工程驗收系統交付系統建設管理--系統定級系統建設管理--系統備案系統建設管理--平安方案設計系統建設管理--產品采購確保平安產品的使用符合國家的有關規定確保密碼產品的使用符合國家密碼主管部門的要求指定或授權專門的部門負責產品的采購制定產品采購方面的管理制度明確說明采購過程的控制方法和人員行為準那么預先對產品進行選型測試，確定產品的候選范圍，并定期審定和更新候選產品名單系統建設管理--自行軟件研發確保開發環境與實際運行環境物理分開；確保系統開發文檔由專人負責保管，系統開發文檔的使用受到控制；制定開發方面的管理制度，明確說明開發過程的控制方法和人員行為準那么；確保開發人員和測試人員的別離，測試數據和測試結果受到控制；確保提供軟件設計的相關文檔和使用指南；確保對程序資源庫的修改、更新、發布進行授權和批準。系統建設管理--外包軟件開發系統建設管理--工程實施與工程實施單位簽訂與平安相關的協議，約束工程實施單位的行為；指定或授權專門的人員或部門負責工程實施過程的管理；制定詳細的工程實施方案控制實施過程，并要求工程實施單位能正式地執行平安工程過程；制定工程實施方面的管理制度明確說明實施過程的控制方法和人員行為準那么。系統建設管理--工程驗收對系統進行平安性測試驗收；在測試驗收前根據設計方案或合同要求等制訂測試驗收方案，測試驗收過程中詳細記錄測試驗收結果，形成測試驗收報告；委托公正的第三方測試單位對系統進行測試，并出具測試報告；制定系統測試驗收方面的管理制度，明確說明系統測試驗收的控制方法和人員行為準那么；指定或授權專門的部門負責系統測試驗收的管理，并按照管理制度的要求完成系統測試驗收工作；組織相關部門和相關人員，對系統測試驗收報告進行審定，沒有疑問后由雙方簽字。系統建設管理--系統交付系統運維管理環境管理資產管理介質管理設備管理監控管理網絡平安管理系統平安管理惡意代碼防范管理密碼管理變更管理備份與恢復管理平安事件管理應急預案管理系統運維管理--環境管理對機房供配電、空調、溫濕度控制等設施指定專人或專門的部門定期進行維護管理；配備機房平安管理人員，對機房的出入、效勞器的開機或關機等工作進行管理；建立機房平安管理制度，對有關機房物理訪問，物品帶進、帶出機房和機房環境平安等方面作出規定；加強對辦公環境的保密性管理，如工作人員調離辦公室應立即交還該辦公室鑰匙和不在辦公區接待來訪人員等；有指定的部門負責機房平安，并配置電子門禁系統，對機房來訪人員實行登記記錄和電子記錄雙重備案管理；對辦公環境的人員行為，如工作人員離開座位應確保終端計算機退出登錄狀態和桌面上沒有包含敏感信息的紙檔文件等作出規定。系統運維管理--資產管理建立資產平安管理制度，規定信息系統資產管理的責任人員或責任部門，并標準資產管理和使用的行為；編制并保存與信息系統相關的資產、資產所屬關系、平安級別和所處位置等信息的資產清單；根據資產的重要程度對資產進行定性賦值和標識管理，根據資產的價值選擇相應的管理措施；規定信息分類與標識的原那么和方法，并對信息的使用、存儲和傳輸作出規定。系統運維管理--介質管理建立介質平安管理制度，對介質的存放環境、使用、維護和銷毀等方面作出規定；有介質的歸檔和查詢記錄，并對存檔介質的目錄清單定期盤點；對于需要送出維修或銷毀的介質，應首先去除介質中的敏感數據，防止信息的非法泄漏；根據數據備份的需要對某些介質實行異地存儲，存儲地的環境要求和管理方法應與本地相同；根據所承載數據和軟件的重要程度對介質進行分類和標識管理，并實行存儲環境專人管理；對介質的物理傳輸過程中人員選擇、打包、交付等情況進行控制；對存儲介質的使用過程、送出維修以及銷毀進行嚴格的管理，保密性較高的信息存儲介質未經批準不得自行銷毀；必要時應對重要介質數據和軟件采取加密存儲，對帶出工作環境的存儲介質進行內容加密和監控管理；對存放在介質庫中的介質定期進行完整性和可用性檢查，確認其數據或軟件沒有受到損壞或喪失。系統運維管理--設備管理對信息系統相關的各種設備、線路等指定專人或專門的部門定期進行維護管理；對信息系統的各種軟硬件設備的選型、采購、發放或領用等過程建立基于申報、審批和專人負責的管理制度；對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行標準化管理；對帶離機房或辦公地點的信息處理設備進行控制；按操作規程實現效勞器的啟動/停止、加電/斷電等操作，加強對效勞器操作的日志文件管理和監控管理，并對其定期進行檢查；建立配套設施、軟硬件維護方面的管理制度，對軟硬件維護進行有效的管理，包括明確維護人員的責任、涉外維修和效勞的審批、維修過程的監督控制等；在平安管理機構統一平安策略下對效勞器進行系統配置和效勞設定，并實施配置管理。系統運維管理--監控管理進行主機運行監視，包括監視主機的CPU、硬盤、內存和網絡等資源的使用情況；對分散或集中的平安管理系統的訪問授權、操作記錄、日志等方面進行有效管理；嚴格管理運行過程文檔，其中包括責任書、授權書、許可證、各類策略文檔、事故報告處理文檔、平安配置文檔、系統各類日志等，并確保文檔的完整性和一致性。系統運維管理--網絡平安管理指定專人對網絡進行管理，負責運行日志、網絡監控記錄的日常維護和報警信息分析和處理工作；根據廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現有的重要文件進行備份；進行網絡系統漏洞掃描，對發現網絡系統平安漏洞進行及時的修補；應保證所有與外部系統連接均應得到授權和批準；建立網絡平安管理制度，對網絡平安配置、網絡用戶以及日志等方面作出規定；對網絡設備的平安策略、授權訪問、最小效勞、升級與打補丁、維護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體要求；規定網絡審計日志的保存時間以便為可能的平安事件調查提供支持；明確各類用戶的責任、義務和風險，并按照機構制定的審查和批準程序建立用戶和分配權限，定期檢查用戶實際權限與分配權限的符合性；對日志的備份、授權訪問、處理、保存時間等方面做出具體規定，使用統一的網絡時間，以確保日志記錄的準確；通過身份鑒別、訪問控制等嚴格的規定限制遠程管理賬戶的操作權限和登錄行為；定期檢查違反規定撥號上網或其他違反網絡平安策略行為。系統運維管理--系統平安管理指定專人對系統進行管理，刪除或者禁用不使用的系統缺省賬戶；制定系統平安管理制度，對系統平安配置、系統帳戶以及審計日志等方面作出規定；對能夠使用系統工具的人員及數量進行限制和控制；定期安裝系統的最新補丁程序，并根據廠家提供的可能危害計算機的漏洞進行及時修補，并在安裝系統補丁前對現有的重要文件進行備份；根據業務需求和系統平安分析確定系統的訪問控制策略，系統訪問控制策略用于控制分配信息系統、文件及效勞的訪問權限；對系統賬戶進行分類管理，權限設定應當遵循最小授權要求；對系統的平安策略、授權訪問、最小效勞、升級與打補丁、維護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體要求；規定系統審計日志的保存時間以便為可能的平安事件調查提供支持；進行系統漏洞掃描，對發現的系統平安漏洞進行及時的修補；明確各類用戶的責任、義務和風險，對系統賬戶的登記造冊、用戶名分配、初始口令分配、用戶權限及其審批程序、系統資源分配、注銷等作出規定；對于賬戶平安管理的執行情況進行檢查和監督，定期審計和分析用戶賬戶的使用情況，對發現的問題和異常情況進行相關處理。系統運維管理--惡意代碼防范管理提高所有用戶的防病毒意識，告知及時升級防病毒軟件；在讀取移動存儲設備(如軟盤、移動硬盤、光盤)上的數據以及網絡上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網絡系統之前也要進行病毒檢查；指定專人對網絡和主機進行惡意代碼檢測并保存檢測記錄；建立惡意代碼防范管理制度，對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等作出明確管理規定；建立惡意代碼集中防護的平安管理中心，確保整個網絡統一配置、統一升級、統一控制；定期檢查信息系統內各種產品的惡意代碼庫的升級情況并進行記錄，對主機防病毒產品、防病毒網關和郵件防病毒網關上截獲的危險病毒或惡意代碼進行及時分析處理，并形成書面的報表和總結匯報。系統運維管理--密碼管理建立密碼使用管理制度;密碼算法和密鑰使用應符合國家密碼管理規定。系統運維管理--變更管理確認系統中將發生的變更，并制定變更方案；建立變更管理制度，重要系統變更前，應向主管領導申請，變更方案經過評審、審批前方可實施變更；系統變更情況應向所有相關人員通告；應建立變更控制的申報和審批文件化程序，變更影響分析應文檔化，變更實施過程應記錄，所有文檔記錄應妥善保存；中止變更并從失敗變更中恢復程序應文檔化，應明確過程控制方法和人員職責，必要時恢復過程應經過演練。系統運維管理--備份與恢復管理識別需要定期備份的重要業務信息、系統數據及軟件系統等；規定備份信息的備份方式〔如增量備份或全備份等〕、備份頻度〔如每日或每周等〕、存儲介質、保存期等；根據數據的重要性和數據對系統運行的影響，制定數據的備份策略和恢復策略，備份策略應指明備份數據的放置場所、文件命名規那么、介質替換頻率和將數據離站運輸的方法；指定相應的負責人定期維護和檢查備份及冗余設備的狀況，確保需要接入系統時能夠正常運行；根據設備備份方式，規定備份及冗余設備的安裝、配置和啟動的流程；建立控制數據備份和恢復過程的程序，備份過程應記錄，所有文件和記錄應妥善保存；根據系統級備份所采用的方式和產品，建立備份設備的安裝、配置、啟動、操作及維護過程控制的程序，記錄設備運行過程狀況，所有文件和記錄應妥善保存；定期執行恢復程序，檢查和測試備份介質的有效性，確保可以在恢復程序規定時間內完成備份恢復。系統運維管理--平安事件管理所有用戶均有責任報告自己發現的平安弱點和可疑事件，但任何情況下用戶均不應嘗試驗證弱點；制定平安事件報告和處置管理制度，規定平安事件的現場處理、事件報告和后期恢復的管理職責；分析信息系統的類型、網絡連接特點和信息系統用戶特點，了解本系統和同類系統已發生的平安事件，識別本系統需要防止發生的平安事件，事件可能來自攻擊、錯誤、故障、事故或災難；根據國家相關管理部門對計算機平安事件等級劃分方法，根據平安事件在本系統產生的影響，將本系統計算機平安事件進行等級劃分；制定平安事件報告和響應處理程序，確定事件的報告流程，響應和處置的范圍、程度，以及處理方法等；在平安事件報告和響應處理過程中，分析和鑒定事件產生的原因，收集證據，記錄處理過程，總結經驗教訓，制定防止再次發生的補救措施，過程形成的所有文件和記錄均應妥善保存；對造成系統中斷和造成信息泄密的平安事件應采用不同的處理程序和報告程序。系統運維管理--應急預案管理信息平安管理制度例如物理環境平安管理標準平安域門禁控制監控與報警人員平安管理設備放置與保護電源管理電纜管理環境管理與維護設備常規管理設備變更管理設備故障處理管理制度和規定物理環境平安管理標準—平安域根據計算機機房內部設備的功能、性質、任務、類型以及重要程度不同，同時為了防止非法進入、危害和干擾，確保內部設備的運行平安和信息平安，應當在計算機機房內部劃分平安域。計算機機房內部的平安域包括主機、網絡、打印、操作、介質、電源、空調等，對于特別重要的平安域，如主機、網絡、介質、主控等，應當設立完全獨立的房間和控制裝置，嚴格控制人員的出入。對于高污染的打印設備，應當遠離主機、介質平安域，并安排專門的環境。物理環境平安管理標準—門禁控制計算機機房是信息處理的重要場所，計算機機房內部的重要區域(如機房大門、主機平安域、網絡設備平安域、介質平安域、主控平安域)必須設置控制人員出入的門禁系統〔如磁卡、IC卡、指紋識別等〕，并建立24小時值班制度。門禁系統按照最小授權原那么，嚴格控制計算機機房及內部各平安域的人員出入。根據進入機房人員的崗位職責，對其實行不同區域的授權。外單位人員因工作需要，必須經批準登記，在專人陪同下，進入計算機機房的指定區域。物理環境平安管理標準—監控與報警物理環境平安管理標準—人員平安管理計算機機房工作崗位屬于關鍵崗位，對機房工作人員除了進行崗位操作和技能培訓外，還必須進行相應的信息平安、職業道德、法律標準的培訓，才能上崗工作。人力資源部門和信息平安管理部門應定期對機房工作人員進行考核，對于不能到達考核標準的人員，應該立即調離。對于機房工作人員，按照其工作崗位職能進行不同級別的授權，嚴格控制人員訪問機房內部區域的權限，確保機房物理環境的平安。物理環境平安管理標準—設備放置與保護物理環境平安管理標準—電源管理計算機機房電源管理包括以下內容：(1)配電系統應當有詳細的配線圖，說明各路電源的電壓、容量、分配和連接的設備。(2)配電柜設備要放置在便于維護的明顯位置，每一個配電開關應標明電源的來源和去向，以便掌握各相線的負載。(3)增加、遷移、變更設備的時候，必須及時修改配線圖。(4)對于要求雙路供電的設備，雙路電源必須來自不同的UPS。物理環境平安管理標準—電纜管理電纜管理包括電源電纜和通信電纜的平安管理，主要包括以下內容：(1)計算機機房內，電源電纜和通信電纜應鋪設在地板下，從不同的線槽鋪設、走線，并通過屏蔽保護以防止干擾，同時還要考慮阻燃、防水、防蟲、防鼠、防腐蝕等保護。(2)根據設備的用電負載合理選用電纜，按色標明相線、零線和地線。(3)對于多路主干通信線路進入計算機機房的情況，應采用不同方向，不同電纜井的入戶方式，以降低外界施工造成通信線路被全面破壞的風險。物理環境平安管理標準—環境管理與維護物理環境平安管理標準—設備常規管理物理環境平安管理標準—設備變更管理物理環境平安管理標準—設備故障處理按照機房環境設備對生產系統造成的影響以及環境設備的修復時間，可以將故障分為兩類：(1)一類故障：包括電源等系統故障。(2)二類故障：空調、通風、發電機、門禁、照明等系統故障。發生一類故障，應及時采取應急措施，如切換到UPS或者啟動發電機供電，同時以最快速度修復。發生二類故障，應在不影響正常生產的情況下，盡快查找故障原因并排除故障。物理環境平安管理標準—管理制度和規定制定嚴密的標準和各項管理制度，包括值班制度、機房管理規定等，并將上述規定張貼于相應的工作區域內。安排專人負責管理制度實施情況的監督和檢查，并處理機房的日常管理事項。終端計算機平安使用標準(1)辦公桌面系統必須安裝防病毒軟件，并且啟動病毒監控和在線自動更新功能。(2)為了防止客戶機在瀏覽互聯網時，被含有惡意代碼的程序所感染，應將IE瀏覽器的平安級別調整為“中〞，并將隱私級別設置為“中高〞。(3)應當安裝操作系統最新的補丁軟件包，彌補操作系統本身存在的平安漏洞，防止被攻擊者或者計算機病毒所利用。終端計算機平安使用標準(4)啟動操作系統的自動更新效勞，操作系統會定期自動升級并安裝最新的補丁程序。(5)應該按照一定的規那么設置桌面系統的登錄密碼，并且定期修改，減少登錄密碼泄露或被破解的可能性。(6)定時去除IE瀏覽器的臨時文件夾，可以防止局部敏感內容的泄露。終端計算機平安使用標準(7)為防止意外情況造成文件損失，注意定期備份重要的文件，并保管好存儲藏份文件的介質。(8)為防止惡意代碼植入系統，預防計算機病毒感染，在收到來歷不明的電子郵件時，應注意不要隨意翻開郵件，并立即予以刪除。(9)禁止在未經授權的情況下，私自修改系統的計算機命名標識和網絡配置。終端計算機平安使用標準(10)禁止任何聯入辦公網絡的桌面系統使用調制解調器撥號上網。(11)禁止在未經授權的情況下，私自安裝任何應用軟件，在獲得授權后，只允許安裝與工作有關的正版應用軟件。(12)禁止訪問互聯網上與工作無關或來歷不明的站點，禁止從互聯網下載與工作無關的文件。網絡平安結構平安和網段劃分網絡訪問控制撥號訪問控制網絡平安審計邊界完整性檢測網絡入侵防范網絡設備防護惡意代碼防范主機系統平安身份鑒別自主訪問控制強制訪問控制平安審計系統保護剩余信息保護入侵防范惡意代碼防范資源控制QQSG網絡效勞控制管理系統

網絡平安審計(硬件)部署在網絡的出入口處，或不同網絡的連接處，以及不同平安管理級別要求的網絡之間。能夠實現全面監測網絡系統的流量狀況，和帶寬使用情況并對其進行控制管理，解決網絡不透明、網絡帶寬被非法占用，網絡業務效勞質量嚴重下降，網上行為無法監管，無法實時監控各種惡意攻擊和網絡數據流等問題。北京博瑞勤公司網絡審計與監控系統

網絡平安審計(軟件)極地銀河終端與內網平安管理系統

主機平安審計桌面平安管理補丁分發管理外設和接口管理平安接入管理外聯監控資產管理漏洞掃描網絡層惡意代碼防范網絡層惡意代碼防范產品包括防病毒網關、防垃圾郵件系統〔或郵件過濾系統〕和網絡防病毒系統。目前市場上流行的產品多為防病毒網關和防垃圾郵件系統二合一產品，如：天融信公司的TopFilter8000和McAfee3000。系統層惡意代碼防范防病毒軟件〔瑞星，諾頓，KILL等〕效勞器系統加固〔SSR〕--惡意代碼防范--入侵防范--強制訪問控制主機系統平安解決方案主機系統強制訪問控制效勞器系統加固〔SSR〕物理層系統層應用層網絡層管理層ROST技術安全水平效勞器系統加固(SSR)滿足主機系統強制訪問控制的要求，從根本上免疫了針對效勞器操作系統的一切惡意攻擊；有效防止內、外網黑客對主機系統的攻擊；從根本上防范沖擊波、振蕩波等蠕蟲類病毒對主機系統的侵擾；防止非法盜取、修改和刪除數據；防止進程〔應用〕被惡意終止；保障操作系統和數據庫系統可信穩定地運行；無需再頻繁地為效勞器操作系統打補丁。網站平安問題網站平安問題網站平安問題

黑客攻擊網絡病毒

Internet

入侵檢測

第二層

防火墻

第一層網站企業級網站效勞器平安解決方案

SSRTMWeb衛士(WindowsIIS)InforGuard企業級網站效勞器平安解決方案

SSRTMWeb衛士(WindowsIIS)SSR?Web衛士

從根本上防御了針對網站程序的一切惡意攻擊；防止了由于惡意攻擊引發的經濟損失；有效的保護了數據及操作系統；保障了業務的連續性、穩定性、平安性及可靠性；防止網站內容被惡意篡改，保障了用戶的公眾形象；不再泄漏網站源碼，知識產權得到了保護，解決了程序開發人員的平安問題，提高了程序開發效率。SSR?Web衛士企業級網站效勞器平安解決方案

InforguardInforGuard在省級政務網絡中的部署InforGuard系統架構Internet網站效勞器InforGuardMA網站實時監控篡改行為檢測和防范InforGuardMC網站文件備份網站實時恢復安全事件報警網站安全維護監控中心InforGuardMT網站遠程維護維護終端安全傳輸Internet網站效勞器實時阻斷核心內嵌事件觸發服務聯動InforGuardMC監控中心SSL平安傳輸InforGuardMT遠程維護SSL安全傳輸網絡管理問題將非法計算機接入網絡