最新信息安全體系建設方案設計免費下載-資料下載頁

　　

【正文】 13）　應急預案管理（G3）本項要求包括：a) 應在統一的應急預案框架下制定不同事件的應急預案，應急預案框架應包括啟動應急預案的條件、應急處理流程、系統恢復流程、事后教育和培訓等內容；b) 應從人力、設備、技術和財務等方面確保應急預案的執行有足夠的資源保障；c) 應對系統相關的人員進行應急預案培訓，應急預案的培訓應至少每年舉辦一次；d) 應定期對應急預案進行演練，根據不同的應急恢復內容，確定演練的周期；e) 應規定應急預案需要定期審查和根據實際情況更新的內容，并按照執行。 實施方案智慧園區面臨的安全威脅是多級別的。智慧園區由很多個分區組成，例如內聯區、外聯區、管理分區、服務器分區、存儲區等。其中，有多個分區由于使用Internet接入，而Internet本身給社會發展帶來巨大推動力的同時，產生大量的網絡安全問題，越來越受到眾多機構、企業的重視。因此，需要運用多種安全策略以實現園區系統的整體安全性。建議從硬件安全、網絡安全、系統軟件安全和安全管理機制幾個層面進行系統的規劃。 硬件安全規劃硬件安全指保護終端設備、網絡設備、服務器等硬件裝備不被破壞。保證物理設備的安全是安全策略的最基本要求。要最大限度地保證物理設備的安全，可以執行以下操作：l 防范終端設備、主機、路由器、交換機等物理運行環境可能存在的安全風險，保證設備放置場所防火、防水、防地震等措施嚴格。l 防范電源故障造成設備斷電以至操作系統引導失敗或數據信息丟失。l 防范設備被盜、被毀造成系統崩潰、數據丟失或信息泄漏。l 防范電磁輻射可能造成數據信息丟失或泄露。l 對于電源、空調等關鍵的輔助設備，要求采取冗余配置。l 關鍵設備設置密碼。 網絡安全規劃網絡的安全是智慧園區安全最基本的保證。這里主要從交換機的安全特性上的使用來保證網絡的安全。包括DHCP Snooping、ARP防攻擊、MAC防攻擊、IP源防攻擊等。這些安全特性工作于OSI模型的鏈路層，可在接入層交換機上部署。 系統軟件安全規劃軟件安全是指華為智慧政府園區各系統軟件的安全，一般通過包括權限管理、日志管理等。l 權限管理系統的應用軟件通過權限設置的功能，為用戶提供了一系列的安全保障，包括：l 角色權限設置可設置每個用戶在系統軟件中的操作權限。用戶的身份通過帳號和密碼的設置來體現，而帳號則和角色相對應，角色則是系統內部許許多多具體權限的組合。用戶使用帳號登錄后，系統會根據帳號調出用戶所對應的角色，確定用戶可選擇的模塊范圍以及在每個模塊中的操作權限。在角色權限設置中，角色可以自定義，一個人員可以對應多個角色。這樣，就可以應用系統方便的定義每個人員的工作權限，并可以隨其工作范圍的變更而進行靈活調整，最大限度滿足用戶的需求。l 組織目錄權限設置園區可以根據自己的需求定義信息存放的目錄結構，然后根據部門、人員、從屬關系對每個文件夾或每條信息、文檔設置權限。這樣，政府所有信息有序存儲，再輔之以嚴格的權限設置，既方便查詢，又防止信息的泄密和失竊，建立起單位的電子信息庫。l 日志管理系統提供關于服務器和系統的日志功能，記錄服務器的各種狀態及用戶操作狀態，有效追蹤非法入侵。 安全管理機制任何網絡僅在技術上是做不到完整的安全的，還需要建立一套科學、嚴密的網絡安全管理機制，提供制度上的保證，將由于內、外部的非法訪問或惡意攻擊造成的損失減少到最小。建議制定的管理機制包括以下內容：l 管理目標采取集中控制、分級管理的模式，建立由專人負責安全事件定期報告和檢查制度，從而在管理上確保全方位、多層次、快速有效的網絡安全防護。l 管理規范根據管理規范內容的重要程度和安全管理的復雜性特點，管理規范應包括技術、人員與組織結構、應急事件、安全響應服務、安全培訓五個方面的內容。l 安全技術規范安全技術規范主要是對工作職責、內容、操作流程所做的規定，從而實現安全防護的程序化和統一化管理l 人員與組織結構安全防護系統能否真正實現最終取決于如何對政務各類人員進行有效的人員配置和組織結構的設定以及檢查監督機制的建立。l 應急事件與響應對出現的黑客攻擊或惡意破壞事件進行及時、有效的報警、切斷、記錄等。制定較為詳細的、可操作性應急事件處理規范是保證系統不受影響的關鍵所在。l 安全培訓為了將安全隱患減少到最低，需要加強對安全知識的普及，讓每一位操作者都成為安全衛士，才能實現真正意義上的全方位的安全 安全管理體系（1） 安全管理組織架構XX高新區智慧園區基礎建設項目是一項技術性強、過程復雜的的咨詢活動，對人員要求和項目組織要求都非常高，為確保本項目順利圓滿完成，確保項目質量并達到預期目標，確保系統平臺和信息數據的安全，使工作和責任更加清晰明確，將針對本項目成立專門的安全體系管理組織，明確職責分工，建立起層次清楚、分工明確的管理機構。（2） 安全管理制度1) 網絡安全策略所謂網絡安全管理策略是指一個網絡中關于安全問題采取的原則，對安全使用的要求，以及如何保護網絡的安全運行，內容如下：216。 根據管理職責確定使用對象，明確確定某一設備配置、使用、授權信息的劃分。216。 確定對每個管理者可以對用戶授予的權限。說明網絡使用的類型限制，定義可接受或不可接受的網絡應用，對網絡管理人員做級別上的限制。所有違反安全策略、破環系統安全的行為都是禁止的。216。 增加管理員的用戶口令、密碼的強度，管理授權范圍盡可能小。216。 網絡安全管理數據信息的保密性必須以制度的形式明確規定。216。 在網絡管理中實行責權利的界定，實現專人專管。216。 制定安全策略被破壞時所采取的策略，首先必須保障對安全問題的隔離和限制，防止破壞的蔓延與擴展，其次對安全問題跟蹤的書面文檔紀錄。216。 本網絡對其它相連網絡的職責。216。 網絡安全策略作為向所有使用者發放的手冊，應注明其解釋權歸屬何方，以免出現不必要的爭端。2) 原則整個系統平臺的網絡信息系統安全管理主要基于三個原則：a) 多人負責原則：每一項與安全有關的活動，都必須有兩人或多人在場。這些人應是系統主管領導指派的，他們忠誠可靠，能勝任此項工作；他們應該簽署工作情況記錄以證明安全工作已得到保障。以下各項是與安全有關的活動：?訪問控制使用證件的發放與回收?信息處理系統使用的媒介發放與回收?處理保密信息?硬件和軟件的維護?系統軟件的設計、實現和修改?重要程序和數據的刪除和銷毀等b) 任期有限原則：對參與管理的人員實現有限任期，如實行輪崗。c) 職責分離原則：在信息處理系統工作的人員不要打聽、了解或參與職責以外的任何與安全有關的事情，除非系統主管領導批準。3) 管理要求信息系統的安全管理部門應根據管理原則和該系統處理數據的保密性，制訂相應的管理制度或采用相應的規范。具體工作是：?根據工作的重要程度，確定該系統的安全等級。?根據確定的安全等級，確定安全管理的范圍。?制訂相應的機房出入管理制度，對于安全等級要求較高的系統，要實行分區控制，限制工作人員出入與己無關的區域。出入管理可采用證件識別或安裝自動識別登記系統，采用磁卡、身份卡等手段，對人員進行識別、登記管理。?制訂嚴格的操作規程，操作規程要根據職責分離和多人負責的原則，各負其責，不能超越自己的管轄范圍。?制訂完備的系統維護制度，對系統進行維護時，應采取數據保護措施，如數據備份等。維護時要首先經主管部門批準，并有安全管理人員在場，故障的原因、維護內容和維護前后的情況要詳細記錄。?制訂應急措施，要制訂系統在緊急情況下，如何盡快恢復的應急措施，使損失減少至最小。?建立人員雇用和解聘制度，對工作調動和離職人員要及時調整相應的授理。4) 人員管理a) 工作人員?禁止與同事共享帳號和密碼；?禁止對系統中的密碼文件運行密碼檢查工具；?未經許可，禁止運行網絡監聽工具；?禁止攻擊別人的帳號；?禁止影響系統中的服務；?禁止未經許可而檢查別人的文件；?禁止隨意下載、安裝、使用未經檢查過的軟件。b) 系統管理員不能隨意在系統中增加帳號，禁止具有業務內容的操作授權。下載軟件使用：?如果系統管理員能夠證實公網上一些軟件的作者、源程序是安全的，這種軟件以在相對重要的計算機系統中使用；?在非常重要的計算機系統中不能使用公網上的軟件。如果必須要使用，只能在檢查過源程序之后，或（如果源程序太大）當這些軟件在知名公司中同樣的計算機系統上使用一年以上，經過安全檢查之后方可使用；?禁止使用盜版軟件及游戲軟件。c) 程序開發人員將開發軟件、發布軟件的環境和數據分開；將安全作為應用程序開發的一個完整組成部分；測試數據不能包含秘密信息；考慮使用比較安全的編程語言；確定與應用程序一起發布的文檔，比如說操作、安裝、管理、安全手冊。5) 密碼管理a) 密碼的內容密碼的字符組成：?要將數字、大寫字母、小寫字母、標點符號混合起來，要易于記憶（不用寫下來），要易于輸入（不易被偷看到）。不宜選擇的密碼：?親戚、朋友、同事、單位等的名字，生日、車牌號、電話號碼；?字典上現有的詞匯；?一串相同的數字或字母；?明顯的鍵盤序列；?所有上面情況的逆序或前后加一個數字。密碼的使用：?不要將密碼寫下來，不要通過電子郵件傳輸；?不要使用缺省設置的密碼；?不要將密碼告訴別人；?如果系統的密碼泄漏了，立即更改；?不要共享超級用戶的口令或用超級用戶直接登錄；?如果可能，不同平臺上的用戶口令要一致。如果用戶只需要記住一個口令就應選擇質量較高的密碼；?所有系統集成商在施工期間設立的缺省密碼在系統投入使用之前都要刪除；?密碼要以加密形式保存，加密算法強度要高；?在輸入時密碼不能顯示出來，“*”最好也不要顯示；?一個用戶不能（從密碼文件中）讀取其它用戶的（加密）密碼；?不能在軟件中放入明文形式的口令。如果可能，在軟件中也不要存放加密后的密碼；?要指定密碼的最短有效期、最長有效期、最短長度；?要指定所允許的口令內容。系統要根據這些規則檢查口令的內容，符合要求才接受；?除了系統管理員外，一般用戶不能改變其它用戶的口令；?如果可能，強制用戶在第一次登錄后改變口令；?在要求較高的情況下可以使用強度更高的認證機制；?如果可能的話，可以使用用戶自己的密碼生成器幫助用戶選擇口令；?要定時（每周一次）運行密碼檢查器來查找強度太弱的口令。b) 登錄策略?用最少的時間、最小的權限來完成其工作；?僅給經過授權的用戶保留帳號；?不要使用guest用戶，如果要用，應該有很強的安全限制；?用戶和組要由系統管理員進行管理，不能由用戶自己管理；?不設置多人共用的帳號；?用戶名和密碼不能在同一次通信中傳輸；?當一個工作人員離開崗位后，其帳號要及時刪除；?15分鐘空閑后系統應該加鎖，并由密碼保護；?用戶應用程序及其系統配置只能由用戶本人可寫，而且不能被他人讀??；?對于用戶違反安全策略的選擇要及時通知；?如果一個用戶帳號（超級用戶除外）在較短的時間內連續登錄失敗（比如說一小時內有20次），暫時禁止此帳號，并通知用戶；?當用戶登錄后要顯示這些信息：?通知用戶潛在的系統安全風險；上一次成功和失敗登錄的時間和地點；?僅在需要的時候才允許登錄功能（比如說在周一到周五的工作時間）；?禁止使用超級用戶的帳號直接登錄，尤其是當有多人同時管理一個系統時；?要能夠對用戶帳號設置過期時間；?如果必須存在公用的帳號，其工作環境要加以嚴格的限制。 安全技術體系（1） 網絡安全方案1) 訪問控制基于網絡的訪問控制主要通過防火墻設備來實現,根據訪問控制規則決定IP包是否通過，防止非授權用戶的訪問。a) 實現策略在訪問控制上可采取兩種實施措施，一種是在路由器上設置訪問控制列表，進行子網間的訪問控制和數據隔離；另一種是利用專門的防火墻達到子網間的訪問控制和數據隔離的目的。需要考慮的策略：?在實現防火墻的功能要求時，綜合考慮網絡安全和性能兩個因素；?骨干網之間的簡單訪問控制，可由路由器實現；?訪問控制安全性要求高的子網，在路由器上進行復雜的訪問控制列表設置，會降低路由器的傳輸性能，應采用專用的防火墻進行安全設置。在防火墻類型上應選擇包過濾型，保證數據的快速可靠傳輸。?用戶邊界子網的防火墻可選擇代理型防火墻，節省公網IP，保證用戶網絡安全?；疽螅?16。 在路由器中的配置：?關閉所有不需要的服務(如finger，echo，chargen等)?關閉IP定向廣播?如果沒有特殊原因，關閉IP源路由功能?在不可信任端網絡的接口上關閉發送“ICMP不可達”信息的功能?如果不是特別需要，不使用路由器上的HTTP服務?如果需要使用SNMP，則盡量要使用版本2以上的SNMP管理協議，如果只能使用SNMP版本1，則一定要限制訪問地址。216。 防火墻的策略和配置必須有完整的文檔；216。 保存詳細的防火墻日志，并考慮在日志服務器上做備份；216。 要定期對防火墻進行檢測；216。 重要的日志項要每天進行檢查；216。 內部對于Internet的訪問要通過防火墻；216。 如果沒有明確指定，規則的缺省配置是禁止；216。 需要提供公共服務的設備建議放在防火墻DMZ區；216。 在防火墻的信任區內，禁止提供沒有認證功能的遠程接入服務。推薦要求：216。 對通過Internet訪問重要服務的用戶可使用高強度的認證機制，如：一次性密碼，挑戰應答等；216。 超級管理員帳號要使用一次性口令機制及加密的通信連接；216。 對使用情況要有統計，并可進行分析；216。 如使用軟件防火墻，用戶不能直接登錄到防火墻的計算機上；216。 內部人員一般不能向Internet提供服務。b) 網絡接入點基本要求：216。 要具有包過濾的防火墻功能，能按照國家的要求依據IP地址、端口號進行過濾；216。 能夠有效地過濾針對主干網絡設備的各種流量，即目標地址為任何主干網