互联网信息化系统安全保障方案
互联网信息化系统 安全保障方案
（版本号：V1.3.2）
德州左宁商贸有限公司
2017年03月份
第 1 页 共 13 页 互联网信息化系统安全保障方案 目 录
互联网信息化系统.................................................................................................................................... 1 安全保障方案............................................................................................................................................ 1 目 录.................................................................................................................................................... 2 1、 保障方案概述.................................................................................................................................... 3 2、 系统安全目标与原则........................................................................................................................ 3
2.1 安全设计目标 ............................................................................................................................. 3 2.2 安全设计原则 ............................................................................................................................. 3 3、 系统安全需求分析............................................................................................................................ 4 4、 系统安全需求框架............................................................................................................................ 9 5、 安全基础设施.................................................................................................................................... 9
5.1 安全隔离措施 ........................................................................................................................... 10 5.2 防病毒系统 ............................................................................................................................... 10 5.3 监控检测系统 ........................................................................................................................... 10 5.4 设备可靠性设计 ....................................................................................................................... 10 5.5 备份恢复系统 ........................................................................................................................... 10 6、 系统应用安全.................................................................................................................................. 11
6.1 身份认证系统 ........................................................................................................................... 11 6.2 用户权限管理 ........................................................................................................................... 11 6.3 信息访问控制 ........................................................................................................................... 12 6.4 系统日志与审计 ....................................................................................................................... 12 6.5 数据完整性 ............................................................................................................................... 12 7、 安全管理体系.................................................................................................................................. 13 8、 其他 ................................................................................................................................................. 13
第 2 页 共 13 页
互联网信息化系统安全保障方案
1、 保障方案概述
信息化系统运行在网络系统上，依托内外网向系统相关人员提供相关信息与服务，系统中存在着大量非公开信息，如何保护这些信息的机密性和完整性、以及系统的持续服务能力尤为重要，是信息化系统建设中必须认真解决的问题。
2、 系统安全目标与原则 2.1 安全设计目标
信息化系统安全总体目标是：结合当前信息安全技术的发展水平，设计一套科学合理的安全保障体系，形成有效的安全防护能力、隐患发现能力、应急反应能力和系统恢复能力，从物理、网络、系统、应用和管理等方面保证“信息化系统”安全、高效、可靠运行，保证信息的机密性、完整性、可用性和操作的不可否认性，避免各种潜在的威胁。具体的安全目标是：
1）、 具有灵活、方便、有效的用户管理机制、身份认证机制和授权管理机制，保证关键业务操作的可控性和不可否认性。确保合法用户合法使用系统资源；
2）、能及时发现和阻断各种攻击行为，特别是防止DoS/DDoS等恶意攻击，确保信息化系统不受到攻击；
3）、确保信息化系统运行环境的安全，确保主机资源安全，及时发现系统和数据库的安全漏洞，以有效避免黑客攻击的发生，做到防患于未然；
4）、确保信息化系统不被病毒感染、传播和发作，阻止不怀好意的Java、ActiveX小程序等攻击网络系统；
5）、具有与信息化系统相适应的信息安全保护机制，确保数据在存储、传输过程中的完整性和敏感数据的机密性；
6）、拥有完善的安全管理保障体系，具有有效的应急处理和灾难恢复机制,确保突发事件后能迅速恢复系统；
7）、制定相关有安全要求和规范。
2.2 安全设计原则
信息化系统安全保障体系设计应遵循如下的原则：
第 3 页 共 13 页
互联网信息化系统安全保障方案 1）、需求、风险、代价平衡的原则：对任何信息系统，绝对安全难以达到，也不一定是必要的，安全保障体系设计要正确处理需求、风险与代价的关系，做到安全性与可用性相容，做到技术上可实现，组织上可执行。
2）、分级保护原则：系统有多种信息和资源，每类信息对保密性、可靠性要求不同。以应用为主导，科学、合理划分信息安全防护等级，并依据安全等级确定安全防护措施。
3）、多重保护原则：任何安全措施都不是绝对安全的，都可能被攻破。建立多重保护系统，各层保护相互补充，提供系统安全性。
4）、整体性和统一性原则：信息化系统安全涉及各个环节，包括设备、软件、数据、人员等，只有从系统整体的角度去统一看待、分析，才可能实现有效、可行的安全保护。
5）、技术与管理相结合原则：信息化系统安全是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此在考虑信息化系统安全保障体系时，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。
6）、统筹规划，分步实施原则：由于政策规定、服务需求的不明朗，环境、时间的变化，安全防护与攻击手段的进步，在一个比较全面的安全体系下，可以根据系统的实际需要，先建立基本的安全保障体系，保证基本的、必须的安全性。随着今后系统应用和复杂程度的变化，调整或增强安全防护力度，保证整个系统最根本的安全需求。
7）动态发展原则：要根据系统安全的变化不断调整安全措施，适应新的系统环境，满足新的系统安全需求。
3、 系统安全需求分析
要保证信息化系统的安全可靠，必须全面分析信息化系统面临的所有威胁。这些威胁虽然有各种各样的存在形式，但其结果是一致的，都将导致对信息或资源的破坏或非法占有，并可能造成严重后果。
信息化系统应考虑以下安全需求，如下表所示。
第 4 页 共 13 页
互联网信息化系统安全保障方案 安全层面 安全需求 安全需求描述 异在容灾主要是预防场地问题带来的数据不可用等突发情况。这些场地问题包括：电力中断、通信线路破坏及异地容灾 战争、地震、火灾、水灾等造成机房毁坏或不可用等。通过异地容系统将这种故障造成的损失减到最小。由IT整体建设考虑。 机房监控机房监控主要是预防盗窃、人为破坏、私自闯入等情况。监控手机房监控 段有门禁系统、监视系统、红外系统等。安全层面安全需求安全需求描述后续项目可利用目前已有机房设施。 物理安全 设备备份 设备备份用于预防关键设备意外损坏。 后续项目中关键服务器、存储系统应有冗余设计。 线路备份主要是预防通信线路意外中线路备份 断。 后续项目中服务器与网络连接，以及网络出口应考虑线路备份。 电源备份电源备份用于预防电源故障电源备份 引起的短时电力中断。后续项目可利用目前已有机房电源设施。 防电磁泄漏用于预防电磁泄漏引起的防电磁泄漏 数据泄漏。防电磁泄漏手段有屏蔽机房、安装干扰器、线路加密等。
第 5 页 共 13 页
系统安全保障方案V1.3.2分析
