社會管理服務信息平臺項目信息系統信安全等級保護設計方案(編輯修改稿)

　

【文章內容簡介】 出口連接千兆光纖鏈路，實際出口帶寬為 10M； ? 托管機房的鏈路均有托管機房管理單位。 鳳翔縣社會管理服務信息平臺項目 設備部署情況如下： ? 防火墻 、 服務器。 外 網信息點分布情況如下表所示： 鳳翔縣社會管理服務信息平臺項目 本次實際使用的信息點數量為 50 個。 外網應用系統分析 鳳翔縣社會管理服務信息平臺項目 目前主要的系統為 百姓網系統、 社會管理信息服務平臺 ，社區民生服務平臺 ， 三維 GIS 地理信息平臺 ， 數據交換平臺 ， 社會管理指揮中心平臺 ， 信息交換系統 。 百姓 網站系統 百 姓 網站 系統 始建于 13 年，內容 豐富 完善，已經成為 鳳翔縣社會管理服務信息平臺項目 信息系統的 重要組成部分 ， 是 縣政府進行 信息發布、以及與社會公眾互動交流的平臺。網站提供權威、準確、全面、快速的信息服務、業務申請及公眾互動功能，起到政令快速發布、下情及時上達的作用。網站主要由機構介紹、政務公開、公眾參與、 政府 服務、文化 交流 、醫療質量監測等模塊組成。 該系統 部署在托管機房的 HP 服務器上，通過互聯網供局機關內部人員、鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 10 頁 共 130 頁 系統工作人員和社會公眾瀏覽查詢以及互動交流。為保障政府網站系統的安全性，使用了入侵防御系統和網頁防篡改系 統形成邊界保護和內容防護。 社管平臺系統由一臺臺服務器組成 。服務器端軟件基于 MYSQL 數據庫以及 Java 平臺開發，數據庫與網站服務器安裝部署在同一臺 HP 服務器上。社管平臺的安全維護工作人員通過客戶端 訪問登陸后臺、維護信息及數據。 網絡設備情況 鳳翔縣社會管理服務信息平臺項目 的網絡設備有 服務器 、 防火墻，服務器區域，均采用 IBM 的設備。 ? 服務器 采用 IBM 品牌 ， 數量為一臺， 部署在電子政務 機房 具體情況如下： ? 各辦公室的終端計算機。 服務器設備情況 鳳翔縣社會管理服務信息平臺項目 服務器包括 應用 系統服務器和安全管理服務 器。 兩者同時進行。 二、 安全管理服務器包括： IBM 網絡安全監控系統 服務器 網絡安全監控系統安裝在一臺機架式服務器上，設備型號為 HP DL165，操作系統為 WINDOWS 2020 Server，服務器的管理認證方式為用戶名 /口令方式；利用 WINDOWS 自帶的口令加密方式進行保護；在管理上服務器采取高強度口令，刪除或禁用無關帳號，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現場相結合的方式，有專人負責相關工作。 瑞星網絡版防病毒系統安裝在一臺機架式服務器上，設備型號為 HP DL165，操作系統為 WINDOWS 2020 Server，服務器的管理認證方式為用戶名 /口令方式；利用 WINDOWS 自帶的口令加密方式進行保護；在管理上服務器采取高強度口令，刪除或禁用無關帳號，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現場相結合的方式，有專人負責相關工鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 11 頁 共 130 頁 作。 網絡入侵檢測設備管理服務器 網絡入侵檢測設備管理系統安裝在一臺機架式服務器上，設備型號為 HP DL165，操作系統為 WINDOWS 2020 Server，服務器的管理認證方式為用戶名 /口令方式；利用 WINDOWS 自帶的口令加密方式進行保護；在管理上服務器采取高強度口令，刪除或禁用無關帳號，開啟了日志審計功能，審計重點是用戶登錄日志；管理維護方式采用遠程桌面和現場相結合的方式，有專人負責相關工作。 安全設備情況 社管平臺 網絡中廣泛使用的安全設備有 兩 大類，一是面向網絡安全類的防火墻、 入侵 防御、入侵 檢測、網絡審計 類安全設備；二是面向終端的終端安全管理系統以及防病毒軟件類， 以及為網站提供防護的網頁防篡改軟件， 安全設備的配置情況為： 防火墻系統 鳳翔縣社會管理服務信息平臺項目 的防火墻系統采用了天融信公司的千兆獵豹系列防火 墻 NGFW4000UF（ TG5464） 和 CISCO 公司的 PIX515， 數量 各 為 一臺 。 兩臺防火墻 分別 部署在 對外服務區域邊界和 互聯網出口 邊界 ，分別對區域之間的訪問執行嚴格的訪問控制策略，以有效保護重要的信息系統資源。 網絡入侵防御系統 鳳翔縣社會管理服務信息平臺項目 的網絡入侵防御系統采用了 天融信公司的千兆網絡入侵防御系統 TopIDP，數量為一臺，部署在 托管機房托管區域的 互聯網出口，重點 抵御互聯網對 托管區域 內部 重要服務器的 攻擊 行為，尤其是要能鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 12 頁 共 130 頁 夠實時發現 和抵御 惡意用戶對重要的服務器系統進行的非法訪問、惡意攻 擊及蠕蟲傳播等行為并及時進行 阻斷和報警 。網絡入侵 防御 系統的升級， 可以通過互聯網接入區域進行在線升級。 網絡入侵檢測系統 鳳翔縣社會管理服務信息平臺項目 的網絡入侵檢測系統采用了啟明星辰公司的千兆網絡入侵檢測系統天闐 NS2200，部署在核心交換機上，重點 監測網絡用戶對 重要服務器 的訪問行為，尤其是要能夠實時發現惡意用戶對重要的服務器系統進行的非法訪問、惡意攻擊及蠕蟲傳播等行為并及時進行報警和采取一定的響應操作。 外網 網絡入侵檢測系統的升級， 可以通過互聯網接入區域進行在線升級。 網絡行為審計系統 鳳翔縣社會管理服務信 息平臺項目 的網絡行為審計系統采用了天融信公司的千兆 網絡安全審計系統 TopAudit（ TA507WATCH） ，部署在核心交換機上，對網絡中的流量做全面的監控與審計策略，以有效保護重要數據的安全性，并為事后取證提供支持。 終端安全管理系統 鳳翔縣社會管理服務信息平臺項目 的終端安全管理產品采用了北信源公司的 內網安全及補丁分發管理系統 ，客戶端部署在所有 外 網的終端設備上，管理服務器部署在 外 網的安全管理區域。 外網終端安全管理系統的升級可以通過互聯網接入區域進行在線升級。 終端防病毒 鳳翔縣社會管理服務信息平臺項目 防 病毒系統采用了瑞星公司的網絡版防鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 13 頁 共 130 頁 病毒軟件，部署在所有終端和服務器上，防病毒服務器在部署安全管理區域，為全網提供病毒升級和監控管理能力。防病毒服務器的升級， 可以通過互聯網接入區域進行在線升級 。 4 外網 安全需求分析 系統定級建議 信息系統定級是進行等級保護設計的首要環節，根據國家信息安全等級保護實施指南，信息系統定級 階段的目標是 信息系統 運營 、 使用單位 按照國家 有關管理規范和 GB/T 22240— 2020， 確定 信息系統 的安全 保護 等級， 信息系統 運營 、使用單位有主管部門的， 應當經 主管部門審核批準 。 國家 XX 局 信息安全等 級保護的總體思路是：以自身的信息系統特點為核心，結合國家相關標準要求，根據 XX 局 實際業務需求，和對實際業務的影響來劃分安全等級，在確定定級方面更重視系統對 XX 局 業務開展的影響性而確定等級，目的只是為體現對不同等級的信息系統，如何加強保護措施方面。而不是根據國家標準，嚴格地評估信息系統受到破壞后的影響范圍和影響程度而確定。 確定定級對象 根據公安部的《信息安全等級保護定級指南》指出作為定級對象的信息系統應具有如下基本特征： ? 具有唯一確定的安全責任單位 作為定級對象的信息系統應能夠唯一地確定其安全責任單位。如果 一個單位的某個下級單位負責信息系統安全建設、運行維護等過程的全部安全責任，則這個下級單位可以成為信息系統的安全責任單位；如果一個單位中的不同下級單位分別承擔信息系統不同方面的安全責任，則該信息系統的安全責任單位應是這些下級單位共同所屬的單位。 ? 具有信息系統的基本要素 作為定級對象的信息系統應該是由相關的和配套的設備、設施按照一定的應鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 14 頁 共 130 頁 用目標和規則組合而成的有形實體。應避免將某個單一的系統組件，如服務器、終端、網絡設備等作為定級對象。 ? 承載單一或相對獨立的業務應用 定級對象承載“單一”的業務應用是指該業務應用的 業務流程獨立，且與其他業務應用沒有數據交換，且獨享所有信息處理設備。定級對象承載“相對獨立”的業務應用是指其業務應用的主要業務流程獨立，同時與其他業務應用有少量的數據交換，定級對象可能會與其他業務應用共享一些設備，尤其是網絡傳輸設備。 對于 鳳翔縣社會管理服務信息平臺項目 ，根據承載業務的獨立性，以業務系統為核心來劃分定級對象，并針對不同的業務系統來設計保護措施，確定的保護對象分別為：政府網站系統 、 電子政務信息交換系統 、“十一五”重點 YYY 系統和繼續教育管理系統 。 此外， 鳳翔縣社會管理服務信息平臺項目 中還包 括了安全管理區域的安全管理系統和終端辦公區域的終端系統，由于 鳳翔縣社會管理服務信息平臺項目 未來還會增加其他信息系統，而這些終端及安全管理設備會與多個系統相連，無法做到不同的信息系統使用專用的設備，因此建議將安全管理系統和終端系統劃分為其他的信息系統，不作為定級對象，但在安全管理服務器區域、終端區域和服務器區域間建立邊界保護，并通過身份鑒別和訪問控制等措施加以控制。 確定系統 等級 政府網站系統 一、國家 XX 局 政府網站系統描述 政府網站系統是國家 XX 局 進行信息發布、 XXX 信息查詢以及與社會公眾互動交流的平臺。網 站提供權威、準確、全面、快速的信息服務和公眾互動功能，起到政令快速發布、下情及時上達的作用。網站主要由機構介紹、政務公開、公眾參與、 XXX 服務、 XXX 文化、醫療質量監測等模塊組成。 政府網站系統部署在托管機房的 HP 服務器上，通過互聯網供局機關內部鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 15 頁 共 130 頁 人員、全國 XXX 系統工作人員和社會公眾瀏覽查詢以及互動交流。為保障政府網站系統的安全性，使用了入侵防御系統和網頁防篡改系統形成邊界保護和內容防護。 政府網站系統由兩臺服務器組成，一主一備。服務器端軟件基于 SQL2020數據庫以及 平臺開發，數據庫與網站 服務器安裝部署在同一臺 HP 服務器上。國家 XX 局 信息辦的網站維護工作人員通過遠程訪問登陸后臺、維護信息及數據。 國家 XX 局 信息辦承擔著政府網站系統的安全保護責任。 二、國家 XX 局 政府網站 系統安全保護等級確定 國家 XX 局 政府網站系統受到破壞時，對信息安全的危害方式表現為對其業務信息安全的破壞和對信息系統服務的破壞。其中信息安全是指確保信息系統內信息的保密性、完整性和可用性等；系統服務安全是指確保信息系統可以及時、有效地提供服務，以完成預定的業務目標。 由于業務信息安全和系統服務安全受到破壞所侵害的客體和對客體的 侵害程度可能會有所不同，在定級過程中，分別從業務信息安全和信息系統服務安全兩方面評定對客體的侵害程度，確定定級對象的安全保護等級。 （一）業務信息安全保護等級的確定 業務信息描述 政府網站系統主要處理的業務信息為國家 XX 局 對外公開的機構介紹、政務公開、公眾參與、 XXX 服務、 XXX 文化、醫療質量監測等信息。 業務信息受到破壞時所侵害客體的確定 國家 XX 局 政府網站系統是面向社會公眾提供 XXX 信息服務，并且作為對外信息發布的窗口，因此其業務信息安全受到破壞時所侵害的客體是社會秩序和公共利益，影響社會成員使 用 XXX 相關公共設施、獲取 XXX 公開信息資源、接受 XXX 相關服務等，以及其他影響公共利益的事項。 信息受到破壞后對侵害客體侵害程度的確定 國家 XX 局 政府網站系統業務信息安全受到破壞時，國家 XX 局 的工作職能受到嚴重影響，嚴重影響其信息獲取服務和信息發布，會對國家 XX 局 公信度造成負面影響，同時會造成較大范圍的社會不良影響。因此確定其侵害程度為嚴重鳳翔縣社會管理服務信息平臺項目 信息系統信息安全等級保護設計方案 第 16 頁 共 130 頁 損害。 業務信息安全等級的確定 業務信息安全受到破壞時，受到影響的客體是社會秩序、和公共利益。侵害程度為嚴重損害，根據表 1，確定該系統的信息安全保護等級為第三級 。 業務信息安全被破壞時所侵害的客體 對相應客體的侵害程度 一般損害 嚴重損害 特別嚴重損害 公民、法人和其他組織的合法權益 第一級 第二級 第二級 社會秩序、公共利益 第二級 第三級 第四級 國家安全 第三級 第四級 第五級 表 1 業務信息安全保護等級矩陣表 （二）系統服務安全保護等級的確定 系統服務描述 國家 XX 局 政府網站的服務范圍包括內部工作人員、外部社會公眾、以及國內的 XXX 相關機構，主要作為 XXX 信息查詢以及對外信息發布的平臺。 系統服務受到破壞時所侵害客體的確定