承担的风险进行定性与定量的分析和评估。
4、根据以上的定性和定量的评估，结合用户需求和国内外网路安全最新发真趋势，有针对地制定卓越信息集团公司计算机网络系统的安全策略和解决方案，确保该集团计算机网络信息系统安全可靠的运行。
10.4 解决方案设计
零点网络安全公司（公司名为虚构）通过招标，以50万的工程造价得到了该项目的实施权。在解决方案设计中需要包含九方面的内容：公司背景简介、卓越信息集团的安全风险分析、完整网络安全实施方案的设计、实施方案计划、技术支持和服务承诺、产品报价、产品介绍、第三方检测报告和安全技术培训。
一份网络安全设计方案应该包括九个方面：公司背景简介、安全风险分析、解决方案、实施方案、技术支持和服务承诺、产品报价、产品介绍、第三方检测报告和安全技术培训。
10.4.1 公司背景简介
介绍零点网络安全公司的背景需要包括：公司简介、公司人员结构、曾经成功的案例、产品或者服务的许可证或认证。
1、零点网络安全公司简介
零点网络安全公司是1990年成立的并通过ISO9001认证，注册资本1000万。公司主要提供网络安全产品和网络安全解决方案，公司的安全理念是PPDRRM，PPDRRM将给用户带来稳定安全的网络环境，PPDRRM策略覆盖了安全项目中的产品、技术、服务、管理和策略等内容，是一个完善、严密、整体和动态的安全理念。
综合的网络安全策略（Policy），也就是PPDRRM的第一个P，结合用户的网络系统实际情况来实施，包括：环境安全策略、系统安全策略、网络安全策略等。
全面的网络安全保护（Protect），PPDRRM中的第二个P，提供全面的保护措施，包括安全产品和技术，要结合用户网络系统的实际情况来介绍，内容包括防火墙保护、防病毒保护、身份验证保护、入侵检测保护。
连续的安全风险检测（Detect），PPDRRM中的D，通过评估工具、漏洞技术和安全人员，对用户的网络、系统和应用中可能存在的安全风险和威胁，进行全面的检测。
及时的安全事故响应（Response），PPDRRM中的第一个R，对用户的网络、系统和应用可能遇到的安全入侵事件及时做出响应和解决。
迅速的安全灾难恢复（Recovery），PPDRRM中的第二个R，对网页、文件、数据库、网络和系统等遇到破坏时，采用迅速恢复技术。
优质的安全管理服务（Management），PPDRRM中的M，在安全项目中，管理是项目实施是否有效的保证。
2、公司的人员结构
零点网络公司现有管理人员20名，技术人员200名，销售人员400名。其中具有副高级职称以上的有39名，教授或者研究员有12名，院士2人，硕士学位以上人员占所有
人员的49%。是一个只是知识型的高科技公司。
3、成功的案例
这里主要介绍公司以往的成功案例，特别是要指出与用户项目相似的项目，这样使用户相信我们有足够的经验来做好这件事情。
4、产品的许可证或服务的认证
产品的许可证，使不可缺少的材料，因为只有取得了许可证得安全产品，才允许在国内销售。网络安全属于提供服务得公司，通过国际认证大大有利于得到用户得信任。
5、卓越信息集团实施网络安全意义
着重写出，项目完成以后，卓越信息集团公司得系统信息安全能够达到一个怎样得安全保护水平，特别是要结合当前得安全风险和威胁来分析。
10.4.2 安全风险分析
对网络物理结构、网络系统和应用进行风险分析。 1、现有网络物理结构安全分析
详细分析卓越信息集团公司与各分公司得网络结构，包括内部网、外部网和远程网。 2、网络系统安全分析
详细分析卓越信息集团公司与各分公司网络得实际连接、Internet的访问情况、桌面系统的使用情况和主机系统的使用情况，找出可能存在得安全风险
3、网络应用的安全分析
详细分析卓越信息集团公司与各分公司的所有服务系统以及应用系统，找出可能存在的安全风险。
10.4.3 解决方案
解决方案包括五个方面：
1、建立卓越信息集团公司系统信息安全体系结构框架
通过具体分析卓越信息集团公司的具体业务和网络、系统、应用等实际应用情况，初步建立一个整体的安全体系结构框架。
2、技术实施策略
技术实施策略需要从八个方面进行阐述：
（1）网络结构安全：通过上一节的风险分析，找出网络结构可能存在的问题，采用相关的安全产品和技术，解决网络拓扑结构的安全风险和威胁。
（2）主机安全加固：通过上一节的风险分析，找出主机系统可能存在的问题，采用相关的安全产品和技术，解决主机系统的安全风险和威胁。
（3）防病毒：阐述如何实施桌面防病毒、服务器防病毒、邮件防病毒、网关防病毒以及统一的防病毒解决方案。
（4）访问控制：三种基本的访问控制技术为路由器过滤访问控制、防火墙访问控制技术和主机自身访问控制技术。
（5）传输加密：通过采用相关的加密产品和加密技术，保护卓越信息集团公司的信息传输安全，实现信息传输的机密性、完整性和可用性。
（6）身份认证：通过采用相关的身份认证产品和技术，保护重要应用系统的身份认
证，实现信息使用的加密性和可用性。
（7）入侵检测技术：通过采用相关的入侵检测产品和技术，对网络和重要主机系统进行实时的监控。
（8）风险评估：通过采用相关的风险评估工具和技术，对网络和重要的主机系统进行连续的风险和威胁分析。
3、安全管理工具
对安全项目中所用到的安全产品进行集中、统一、安全的管理和培训的产品和技术。 4、紧急响应
制定详细的紧急响应计划，及时的响应用户的网络、系统和应用可能会遭到的破坏。 5、灾难恢复
制定详细的灾难恢复计划，及时的把用户遇到的网络、系统和应用的破坏，恢复到正常状态，并且能够消除产生风险和威胁的根源。
10.4.4 实施方案
实施方案包括：项目管理以及项目质量保证。 1、项目管理
项目管理包括：项目流程、项目管理和项目进度。
（1）项目流程：详细的写出项目的实施流程，以保证项目的顺利实施。
（2）项目管理制度：写出项目的管理制度，主要是保证项目实施的质量，项目管理主要包括人的管理、产品的管理和技术的管理。
（3）项目进度：项目实施的进度表，作为项目实施的时间标准，要全面考虑完成项目所需要的物质条件，计划出一个比较合适的时间进度表。
2、项目质量保证
项目质量保证包括：执行人员的质量职责、项目质量的保证措施和项目验收
（1）执行人员的质量职责：规定项目实施相关人员的职责，如项目经理、技术负责人、技术工程师、后勤人员等，以保证整个安全项目的顺利实施。
（2）项目质量的保证措施：严格制定出保证项目质量的措施，主要的内容会涉及到参与项目的相关人员、项目中所涉及到的安全产品和技术、用户派出支持该项目的相关人员的管理。
（3）项目验收：根据项目的具体情况，与用户确定项目验收的详细事项，包括安全产品、技术、完成情况、达到的安全目等的验收。
10.4.5 技术支持和服务承诺
包括技术支持的内容和技术支持的方式。 1、技术支持的内容
包括安全项目中所包括的产品和技术的服务，提供的技术和服务包括：（1）安装调试项目中所涉及的全部产品和技术。（2）安全产品以及技术文档。（3）提供安全产品和技术的最新信息。（4）服务器内免费产品升级。
2、技术支持方式
安全项目完成以后提供的技术支持服务，内容包括：(1)客户现场24小时支持服务。
（2）客户支持中心热线电话。（3）客户支持中心Email服务。（4）客户支持中心Web服务。
10.4.6 产品报价
项目所涉及到全部产品和服务的报价。
10.4.7 产品介绍
卓越信息集团公司安全项目中所有涉及到的产品介绍，主要是使用户清楚所选择的产品使什么。，不用很详细，但要描述清除。
10.4.8 第三方检测报告
由一个第三方的中立机构，对实施好的网络安全构架进行安全扫描与安全检测，并提供相关的检测报告。
10.4.9 安全技术培训
1、管理人员的安全培训
主要针对公司非技术的管理人员的培训，提高他们对安全的重视程度。主要针对四个方面进行培训。（1）网络系统安全在企业信息系统中的重要性。（2）安全技术能够带来的好处。（3）安全管理能够带来的好处。（4）安全集成和网络系统集成的区别。
2、安全技术基础培训
主要针对网络系统管理员、安全管理相关人员的技术培训，能够增强他们的安全意识，了解基本的安全技术，能够分辨出网络、系统和应用中可能存在的安全问题，并且能够采用的相关的安全技术、产品或服务来防范。培训的内容包括七个方面：（1）系统安全、网络安全和应用安全的概述。（2）系统安全的风险、威胁和漏洞的详细分析。（3）网络安全的风险、威胁和漏洞的详细分析。（4）应用安全的风险、威胁和漏洞的详细分析。（5）安全防范措施的技术和管理。（6）安全产品功能的简单分类。（7）黑客进攻技术、原理和步骤。
3、安全攻防技术培训
对网络系统管理员进行黑客进攻的手段、原理和方法的培训，使他们能够掌握黑客进攻的技术，并能运用到实际的工作中，有能力来保护网络、系统和应用的安全。培训的内容应该包含七个方面：（1）黑客技术的概念。（2）常用的进攻技术。（3）攻击手段演示。（4）安全攻击实验。（5）常用的防范技术。（6）防范手段演示。（7）安全防范实验。
4、Windows 9X/NT/2000/2003的系统安全管理培训
主要针对卓越信息集团公司的网络管理员和系统管理员的系统安全技术培训，详细介绍操作系统的安全风险、安全威胁和安全漏洞等，使网络或系统管理员能够独立配置安全系统，独立维护操作系统的安全。培训内容包括五个方面：（1）操作系统的安全基础。（2）操作系统的安全配置与应用。（3）操作系统网络安全的配置与应用。（4）操作系统的安全风险和威胁。（4）操作系统上流行安全工具的使用。
5、Unix系统的安全管理培训
主要针对卓越信息集团公司网络管理员和系统管理员的系统安全技术培训，详细介绍Unix的安全风险、安全威胁、安全漏洞等，使网络或系统管理员能够独立配置安全系统，独立维护Unix系统的安全。培训的内容包括五个方面：（1）Unix的安全基础。（2）Unix系统的安全配置与应用。（3）Unix网络的安全配置与应用。（4）Unix网络系统的安全风险与威胁。（5）Unix平台上常用安全工具的使用。
6、安全产品的培训
主要针对安全项目中的所用到的安全产品提供培训，培训的内容一般包括以下的四个方面，可以根据实际情况进行删减。（1）安全产品的功能分类，如防火墙、防病毒、入侵检测等。（2）安全产品的基本概念和原理，如防火墙技术、防病毒技术、入侵检测技术等等。（3）各种安全产品在安全项目中的作用、重要性和局限性。（4）安全产品的使用、维护和安全。
小结
本章需要理解网络安全方案的基本概念，在编写网络安全方案的时候需要注意的地方，如何评价网络安全方案的质量。重点掌握如何根据需求写出一份完整的网络安全的解决方案。
课后习题和课程设计
【1】、设计网络安全方案需要注意哪些地方？ 【2】、如何评价一份网络安全的质量？
【3】、网络安全方案框架包含哪些内容？编写的时候需要注意什么？
【4】、进行社会调查，结合实际编写一份完整的网络安全解决方案。（课程设计）
网络安全方案设计
