第一篇：信息系統(tǒng)安全建設(shè)整改方案要素

信息系統(tǒng)安全建設(shè)整改方案要素

6信息系統(tǒng)安全建設(shè)整改方案要素

以下整改方案的設(shè)計要素主要是針對單個信息系統(tǒng)的，也可參照進行針對整個單位或多個信息系統(tǒng)的整改方案設(shè)計。

6.1 項目背景

簡述信息系統(tǒng)概況，信息系統(tǒng)在等級保護工作方面的進展情況，例如定級備案情況和安全現(xiàn)狀測評情況。

6.2 開展信息系統(tǒng)安全建設(shè)整改的法規(guī)、政策和技術(shù)依據(jù)。

列舉在建設(shè)整改工作中所依據(jù)的信息安全等級保護有關(guān)法規(guī)、政策、文件和信息安全等級保護技術(shù)標準。

6.3 信息系統(tǒng)安全建設(shè)整改安全需求分析

從技術(shù)和管理兩方面描述信息系統(tǒng)建設(shè)情況、系統(tǒng)應(yīng)用情況及安全建設(shè)情況。結(jié)合安全現(xiàn)狀評估結(jié)果，分析信息系統(tǒng)現(xiàn)有保護狀況與等級保護要求的差距，結(jié)合信息系統(tǒng)的自身安全 需求形成安全建設(shè)整改安全需求。

6.4 信息系統(tǒng)安全等級保護建設(shè)整改技術(shù)方案設(shè)計

根據(jù)安全需求，確定整改技術(shù)方案的設(shè)計原則，建立總體技術(shù)框架結(jié)構(gòu)，可以從物理環(huán)境、通信網(wǎng)絡(luò)、計算環(huán)境、區(qū)域邊界、安全管理中心等方面設(shè)計落實基本技術(shù)要求的物理、網(wǎng) 絡(luò)、系統(tǒng)、應(yīng)用和數(shù)據(jù)的安全要求的技術(shù)路線。

6.5 信息系統(tǒng)安全等級保護建設(shè)整改管理體系設(shè)計

根據(jù)安全需求，確定整改管理體系的建設(shè)原則和指導(dǎo)思想，涉及安全管理策略和安全管理制度體系及其他具體管理措施。

6.6 信息系統(tǒng)安全產(chǎn)品選型及技術(shù)指標

依據(jù)整改技術(shù)設(shè)計，確定設(shè)備選型原則和部署策略，給出各類安全產(chǎn)品的選型指標和部署圖，為設(shè)備采購提供依據(jù)。

6.7 安全建設(shè)整改后信息系統(tǒng)殘余風(fēng)險分析

安全整改可能不能解決所有不符合項目的問題，對于沒有解決的問題，分析其可能的風(fēng)險，提出風(fēng)險規(guī)避措施。

6.8 信息系統(tǒng)安全等級保護整改項目實施計劃

安全整改項目的實施需要制定相應(yīng)的實施計劃，落實項目管理部門和人員，對設(shè)備招標采購、工程實施協(xié)調(diào)、系統(tǒng)部署和測試驗收、人員培訓(xùn)等活動進行規(guī)劃安排。

6.9 信息系統(tǒng)安全等級保護項目預(yù)算

根據(jù)本單位信息化的中長期發(fā)展規(guī)劃和近期的建設(shè)投資預(yù)算，將等級保護安全整改建設(shè)工作納入整體規(guī)劃，可以分期分批、有計劃地實施建設(shè)整改，因此需要對建設(shè)項目進行費用預(yù)算，預(yù)算項目不僅包括安全設(shè)備投入，還應(yīng)根據(jù)需要考慮集成費用、等級測評 費用、服務(wù)費用和運行管理費用等。

第二篇：信息系統(tǒng)安全管理方案

信息系統(tǒng)安全管理方案

信息系統(tǒng)的安全，是指為信息系統(tǒng)建立和采取的技術(shù)和管理的安全保護，保護計算機硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄漏，以保證系統(tǒng)連續(xù)正常運行。信息系統(tǒng)的安全方案是為發(fā)布、管理和保護敏感的信息資源而制定的一級法律、法規(guī)和措施的總和，是對信息資源使用、管理規(guī)則的正式描述，是院內(nèi)所有人員都必須遵守的規(guī)則。信息系統(tǒng)的受到的安全威脅有：操作系統(tǒng)的不安全性、防火墻的不安全性、來自內(nèi)部人員的安全威脅、缺乏有效的監(jiān)督機制和評估網(wǎng)絡(luò)系統(tǒng)的安全性手段、系統(tǒng)不能對病毒有效控制等。

一、機房設(shè)備的物理安全

硬件設(shè)備事故對信息系統(tǒng)危害極大，如電源事故引起的火災(zāi)，機房通風(fēng)散熱不好引起燒毀硬件等，嚴重的可使系統(tǒng)業(yè)務(wù)停頓，造成不可估量的損失；輕的也會使相應(yīng)業(yè)務(wù)混亂，無法正常運轉(zhuǎn)。對系統(tǒng)的管理、看護不善，可使一些不法分子盜竊計算機及網(wǎng)絡(luò)硬件設(shè)備，從中牟利，使企業(yè)和國家財產(chǎn)遭受損失，還破壞了系統(tǒng)的正常運行。因此，信息系統(tǒng)安全首先要保證機房和硬件設(shè)備的安全。要制定嚴格的機房管理制度和保衛(wèi)制度，注意防火、防盜、防雷擊等突發(fā)事件和自然災(zāi)害，采用隔離、防輻射措施實現(xiàn)系統(tǒng)安全運行。

二、管理制度

在制定安全策略的同時，要制定相關(guān)的信息與網(wǎng)絡(luò)安全的技術(shù)標

準與規(guī)范。技術(shù)標準著重從技術(shù)方面規(guī)定與規(guī)范實現(xiàn)安全策略的技術(shù)、機制與安全產(chǎn)品的功能指標要求。管理規(guī)范是從政策組織、人力與流程方面對安全策略的實施進行規(guī)劃。這些標準與規(guī)范是安全策略的技術(shù)保障與管理基礎(chǔ)，沒有一定政策法規(guī)制度保障的安全策略形同一堆廢紙。

要備好國家有關(guān)法規(guī)，如：《中華人民共和國計算機信息系統(tǒng)安全保護條例》、《中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》、《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》、《計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》、《中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定實施辦法》、《商用密碼管理條例》等，做到有據(jù)可查。同時，要制定信息系統(tǒng)及其環(huán)境安全管理的規(guī)則，規(guī)則應(yīng)包含下列內(nèi)容：

１、崗位職責(zé)：包括門衛(wèi)在內(nèi)的值班制度與職責(zé)，管理人員和工程技術(shù)人員的職責(zé)；

２、信息系統(tǒng)的使用規(guī)則，包括各用戶的使用權(quán)限，建立與維護完整的網(wǎng)絡(luò)用戶數(shù)據(jù)庫，嚴格對系統(tǒng)日志進行管理，對公共機房實行精確到人、到機位的登記制度，實現(xiàn)對網(wǎng)絡(luò)客戶、ＩＰ地址、ＭＡＣ地址、服務(wù)帳號的精確管理；

３、軟件管理制度；

４、機房設(shè)備（包括電源、空調(diào)）管理制度；

５、網(wǎng)絡(luò)運行管理制度；

６、硬件維護制度；

７、軟件維護制度；

８、定期安全檢查與教育制度；

９、下屬單位入網(wǎng)行為規(guī)范和安全協(xié)議。

三、網(wǎng)絡(luò)安全

按照網(wǎng)絡(luò)ＯＳＩ七層模型，網(wǎng)絡(luò)系統(tǒng)的安全貫穿與整個七層模型。針對網(wǎng)絡(luò)系統(tǒng)實際運行的ＴＣＰ／ＩＰ協(xié)議，網(wǎng)絡(luò)安全貫穿于信息系統(tǒng)的以下層次：

１、物理層安全：主要防止物理通路的損壞、物理通路的竊聽、對物理通路的攻擊（干擾等）。

２、鏈路層安全：需要保證網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽。主要采用劃分 ＶＬＡＮ、加密通訊（遠程網(wǎng)）等手段。

３、網(wǎng)絡(luò)層安全：需要保證網(wǎng)絡(luò)只給授權(quán)的用戶使用授權(quán)的服務(wù)，保證網(wǎng)絡(luò)路由正確，避免被攔截或監(jiān)聽。

４、操作系統(tǒng)安全：保證客戶資料、操作系統(tǒng)訪問控制的安全，同時能夠?qū)υ摬僮飨到y(tǒng)的應(yīng)用進行審計。

５、應(yīng)用平臺安全：應(yīng)用平臺之建立在網(wǎng)絡(luò)系統(tǒng)上的應(yīng)用軟件服務(wù)器，如數(shù)據(jù)服務(wù)器、電子郵件服務(wù)器、ＷＥＢ服務(wù)器等。其安全通常采用多種技術(shù)（如ＳＳＬ等）來增強應(yīng)用平臺的安全系統(tǒng)。

６、應(yīng)用系統(tǒng)安全：使用應(yīng)用平臺提供的安全服務(wù)來保證基本安全，如通過通訊雙方的認證、審計等手段。

系統(tǒng)安全體系應(yīng)具備以下功能：建立對特等網(wǎng)段、服務(wù)的訪問控制體系；檢查安全漏洞；建立入侵性攻擊監(jiān)控體系；主動進行加密通

訊；建立良好的認證體系；進行良好的備份和恢復(fù)機制；進行多層防御，隱藏內(nèi)部信息并建立安全監(jiān)控中心等。

網(wǎng)絡(luò)安全防范是每一個系統(tǒng)設(shè)計人員和管理人員的重要任務(wù)和職責(zé)。網(wǎng)絡(luò)應(yīng)采用保種控制技術(shù)保證安全訪問而絕對禁止非法者進入，已經(jīng)成為網(wǎng)絡(luò)建設(shè)及安全的重大決策問題。

明確網(wǎng)絡(luò)資源。事實上我們不能確定誰會來攻擊網(wǎng)絡(luò)系統(tǒng)，所以作為網(wǎng)絡(luò)管理員在制定安全策略之初應(yīng)充分了解網(wǎng)絡(luò)結(jié)構(gòu)，了解保護什么，需要什么樣的訪問以及如何協(xié)調(diào)所有的網(wǎng)絡(luò)資源和訪問。

第三篇：信息系統(tǒng)安全

數(shù)字簽名過程 “發(fā)送報文時，發(fā)送方用一個哈希函數(shù)從報文文本中生成報文摘要,然后用自己的私人密鑰對這個摘要進行加密，這個加密后的摘要將作為報文的數(shù)字簽名和報文一起發(fā)送給接收方，接收方首先用與發(fā)送方一樣的哈希函數(shù)從接收到的原始報文中計算出報文摘要，接著再用發(fā)送方的公用密鑰來對報文附加的數(shù)字簽名進行解密，如果這兩個摘要相同、那么接收方就能確認該數(shù)字簽名是發(fā)送方的。

數(shù)字簽名有兩種功效：一是能確定消息確實是由發(fā)送方簽名并發(fā)出來的，因為別人假冒不了發(fā)送方的簽名。二是數(shù)字簽名能確定消息的完整性。因為數(shù)字簽名的特點是它代表了文件的特征，文件如果發(fā)生改變，數(shù)字簽名的值也將發(fā)生變化。不同的文件將得到不同的數(shù)字簽名。一次數(shù)字簽名涉及到一個哈希函數(shù)、發(fā)送者的公鑰、發(fā)送者的私鑰。”這報文鑒別的描述！數(shù)字簽名沒有那么復(fù)雜。數(shù)字簽名： 發(fā)送方用自己的密鑰對報文X進行E運算，生成不可讀取的密文Esk，然后將Esx傳送給接收方，接收方為了核實簽名，用發(fā)送方的密鑰進行D運算，還原報文。

口令攻擊的主要方法

1、社會工程學(xué)(social Engineering)，通過人際交往這一非技術(shù)手段以欺騙、套取的方式來獲得口令。避免此類攻擊的對策是加強用戶意識。

2、猜測攻擊。首先使用口令猜測程序進行攻擊?？诹畈聹y程序往往根據(jù)用戶定義口令的習(xí)慣猜測用戶口令，像名字縮寫、生日、寵物名、部門名等。在詳細了解用戶的社會背景之后，黑客可以列舉出幾百種可能的口令，并在很短的時間內(nèi)就可以完成猜測攻擊。

3、字典攻擊。如果猜測攻擊不成功，入侵者會繼續(xù)擴大攻擊范圍，對所有英文單詞進行嘗試，程序?qū)葱蛉〕鲆粋€又一個的單詞，進行一次又一次嘗試，直到成功。據(jù)有的傳媒報導(dǎo)，對于一個有8萬個英文單詞的集合來說，入侵者不到一分半鐘就可試完。所以，如果用戶的口令不太長或是單詞、短語，那么很快就會被破譯出來。

4、窮舉攻擊。如果字典攻擊仍然不能夠成功，入侵者會采取窮舉攻擊。一般從長度為1的口令開始，按長度遞增進行嘗試攻擊。由于人們往往偏愛簡單易記的口令，窮舉攻擊的成功率很高。如果每千分之一秒檢查一個口令，那么86%的口令可以在一周內(nèi)破譯出來。

5、混合攻擊，結(jié)合了字典攻擊和窮舉攻擊，先字典攻擊，再暴力攻擊。

避免以上四類攻擊的對策是加強口令策略。

6、直接破解系統(tǒng)口令文件。所有的攻擊都不能夠奏效，入侵者會尋找目標主機的安全漏洞和薄弱環(huán)節(jié)，飼機偷走存放系統(tǒng)口令的文件，然后破譯加密的口令，以便冒充合法用戶訪問這臺主機。

7:網(wǎng)絡(luò)嗅探(sniffer)，通過嗅探器在局域網(wǎng)內(nèi)嗅探明文傳輸?shù)目诹钭址?。避免此類攻擊的對策是網(wǎng)絡(luò)傳輸采用加密傳輸?shù)姆绞竭M行。

8:鍵盤記錄，在目標系統(tǒng)中安裝鍵盤記錄后門，記錄操作員輸入的口令字符串，如很多間諜軟件，木馬等都可能會盜取你的口述。

9:其他攻擊方式，中間人攻擊、重放攻擊、生日攻擊、時間攻擊。

避免以上幾類攻擊的對策是加強用戶安全意識，采用安全的密碼系統(tǒng)，注意系統(tǒng)安全，避免感染間諜軟件、木馬等惡意程序。

第四篇：西安市含光中學(xué)網(wǎng)絡(luò)信息系統(tǒng)安全整改方案

西安市含光中學(xué)網(wǎng)絡(luò)信息系統(tǒng)安全整改方案

我校對網(wǎng)絡(luò)信息安全系統(tǒng)工作一直十分重視，成立了專門的領(lǐng)導(dǎo)組，建立健全了網(wǎng)絡(luò)安全保密責(zé)任制和有關(guān)規(guī)章制度，由學(xué)校網(wǎng)絡(luò)管理中心統(tǒng)一管理，各科室負責(zé)各自的網(wǎng)絡(luò)信息安全工作。嚴格落實有關(guān)網(wǎng)絡(luò)信息安全保密方面的各項規(guī)定，采取了多種措施防范安全保密有關(guān)事件的發(fā)生，總體上看，我校網(wǎng)絡(luò)信息安全保密工作做得比較扎實，效果也比較好，近年來未發(fā)現(xiàn)失泄密問題。

一、計算機涉密信息管理情況

今年以來，我校加強組織領(lǐng)導(dǎo)，強化宣傳教育，落實工作責(zé)任，加強日常監(jiān)督檢查，將涉密計算機管理抓在手上。對于計算機磁介質(zhì)（軟盤、U盤、移動硬盤等）的管理，采取專人保管、涉密文件單獨存放，嚴禁攜帶存在涉密內(nèi)容的磁介質(zhì)到上網(wǎng)的計算機上加工、貯存、傳遞處理文件，形成了良好的安全保密環(huán)境。對涉密計算機（含筆記本電腦）實行了與國際互聯(lián)網(wǎng)及其他公共信息網(wǎng)物理隔離，并按照有關(guān)規(guī)定落實了保密措施，到目前為止，未發(fā)生一起計算機失密、泄密事故；其他非涉密計算機（含筆記本電腦）及網(wǎng)絡(luò)使用，也嚴格按照校計算機保密信息系統(tǒng)管理辦法落實了有關(guān)措施，確保了學(xué)校信息安全。

二、計算機和網(wǎng)絡(luò)安全情況

一是網(wǎng)絡(luò)安全方面。我校配備了防病毒軟件、防火墻，采用了強口令密碼、數(shù)據(jù)庫存儲備份、移動存儲設(shè)備管理、數(shù)據(jù)加密等安全防護措施，明確了網(wǎng)絡(luò)安全責(zé)任，強化了網(wǎng)絡(luò)安全工作。

二是信息系統(tǒng)安全方面實行領(lǐng)導(dǎo)審查簽字制度。凡上傳網(wǎng)站的信息，須經(jīng)有關(guān)領(lǐng)導(dǎo)審查簽字后方可上傳；二是開展經(jīng)常性安全檢查，主要對SQL注入攻擊、跨站腳本攻擊、弱口令、操作系統(tǒng)補丁安裝、應(yīng)用程序補丁安裝、防病毒軟件安裝與升級、木馬病毒檢測、端口開放情況、系統(tǒng)管理權(quán)限開放情況、訪問權(quán)限開放情況、網(wǎng)頁篡改情況等進行監(jiān)管，認真做好系統(tǒng)安全日記。

三是日常管理方面切實抓好外網(wǎng)、網(wǎng)站和應(yīng)用軟件“三層管理”，確保“涉密計算機不上網(wǎng)，上網(wǎng)計算機不涉密”，嚴格按照保密要求處理光盤、硬盤、U盤、移動硬盤等管理、維修和銷毀工作。重點抓好“三大安全”排查：一是硬件安全，包括防雷、防火、防盜和電源連接等；二是網(wǎng)絡(luò)安全，包括網(wǎng)絡(luò)結(jié)構(gòu)、安全日志管理、密碼管理、IP管理、互聯(lián)網(wǎng)行為管理等；三是應(yīng)用安全，包括網(wǎng)站、郵件系統(tǒng)、資源庫管理、軟件管理等。

三、硬件設(shè)備使用合理，軟件設(shè)置規(guī)范，設(shè)備運行狀況良好。

我校每臺終端機都安裝了防病毒軟件，系統(tǒng)相關(guān)設(shè)備的應(yīng)用一直采取規(guī)范化管理，硬件設(shè)備的使用符合國家相關(guān)產(chǎn)品質(zhì)量安全規(guī)定，單位硬件的運行環(huán)境符合要求，打印機配件等基本使用設(shè)備原裝產(chǎn)品；防雷地線正常，對于有問題的防雷插座已進行更換，防雷設(shè)備運行基本穩(wěn)定，沒有出現(xiàn)雷擊事故；UPS運轉(zhuǎn)正常。網(wǎng)站系統(tǒng)安全有效，暫未出現(xiàn)任何安全隱患。

四、通訊設(shè)備運轉(zhuǎn)正常

我校網(wǎng)絡(luò)系統(tǒng)的組成結(jié)構(gòu)及其配置合理，并符合有關(guān)的安全規(guī)定；網(wǎng)絡(luò)使用的各種硬件設(shè)備、軟件和網(wǎng)絡(luò)接口也是通過安全檢驗、鑒定合格后才投入使用的，自安裝以來運轉(zhuǎn)基本正常。

五、嚴格管理、規(guī)范設(shè)備維護

我校電腦及其設(shè)備實行“誰使用、誰管理、誰負責(zé)”的管理制度。在管理方面我們一是堅持“制度管人”。二是強化信息安全教育、提高師生算機技能。同時在校開展網(wǎng)絡(luò)安全知識宣傳，使全體人員意識到，計算機安全是學(xué)校安全的組成部分。而且在新形勢下，計算機犯罪還將成為安全保衛(wèi)工作的重要內(nèi)容。在設(shè)備維護方面，專門設(shè)置了網(wǎng)絡(luò)設(shè)備故障登記簿、計算機維護及維修表對于設(shè)備故障和維護情況屬實登記，并及時處理。對外來維護人員，要求有相關(guān)人員陪同，并對其身份和處理情況進行登記，規(guī)范設(shè)備的維護和管理。

六、網(wǎng)站安全

我校對網(wǎng)站安全方面有相關(guān)要求，一是使用專屬權(quán)限密碼鎖登陸后臺；二是上傳文件提前進行病素檢測；三是網(wǎng)站分模塊分權(quán)限進行維護，定期進后臺清理垃圾文件；四是網(wǎng)站更新專人負責(zé)。

七、安全制度制定落實情況

為確保計算機網(wǎng)絡(luò)安全、實行了網(wǎng)絡(luò)專管員制度、計算機安全保密制度、網(wǎng)站安全管理制度、網(wǎng)絡(luò)信息安全突發(fā)事件應(yīng)急預(yù)案等以有效提高管理員的工作效率。同時我校結(jié)合自身情況制定計算機系統(tǒng)安全自查工作制度，做到四個確保：一是系統(tǒng)管理員于每周五定期檢查中心計算機系統(tǒng)，確保無隱患問題；二是制作安全檢查工作記錄，確保工作落實；三是實行領(lǐng)導(dǎo)定期詢問制度，由系統(tǒng)管理員匯報計算機使用情況，確保情況隨時掌握；四是定期組織全校師生學(xué)習(xí)有關(guān)網(wǎng)絡(luò)知識，提高計算機使用水平，確保預(yù)防。

八、安全教育

為保證我校網(wǎng)絡(luò)安全有效地運行，減少病毒侵入，我校就網(wǎng)絡(luò)安全及系統(tǒng)安全的 有關(guān)知識進行了培訓(xùn)。期間，大家對實際工作中遇到的計算機方面的有關(guān)問題進行了詳細的咨詢，并得到了滿意的答復(fù)。

九、自查存在的問題及整改意見

我們在管理過程中發(fā)現(xiàn)了一些管理方面存在的薄弱環(huán)節(jié)，今后我們還要在以下幾個方面進行改進。

（一）對于線路不整齊、暴露的，立即對線路進行限期整改，并做好防鼠、防火安全工作。

（二）加強設(shè)備維護，及時更換和維護好故障設(shè)備。

（三）自查中發(fā)現(xiàn)個別人員計算機安全意識不強。在以后的工作中，我們將繼續(xù)加強計算機安全意識教育和防范技能訓(xùn)練，讓員工充分認識到計算機案件的嚴重性。人防與技防結(jié)合，確實做好單位的網(wǎng)絡(luò)安全工作。

西安市含光中學(xué)

2012年9月17日

第五篇：XX信息系統(tǒng)安全規(guī)劃方案 專題

目錄一文檔信息2二版本控制2三分發(fā)說明2 1前言10 1.1背景介紹10 1.2目標和范圍10 2安全現(xiàn)狀和需求分析14 2.1安全現(xiàn)狀14 2.1.1×信息系統(tǒng)安全構(gòu)成要素14 2.2×信息系統(tǒng)面臨的威脅17 2.2.1威脅的來源18 2.2.2威脅的方法19 2.3×系統(tǒng)信息安全風(fēng)險分析21 2.3.1物理層面的安全風(fēng)險21 2.3.2網(wǎng)絡(luò)層面的安全風(fēng)險22 2.3.3系統(tǒng)層面的安全風(fēng)險24 2.3.4應(yīng)用層面的安全風(fēng)險26 2.3.5管理層面的安全風(fēng)險28 2.4安全體系需求分析30 2.4.1建設(shè)安全基礎(chǔ)設(shè)施的需求30 2.4.2信息和網(wǎng)絡(luò)安全級別劃分的需求30 2.4.3信息安全策略需求30 2.4.4安全組織保障需求31 2.4.5信息安全管理需求32 2.4.6信息安全標準與規(guī)范需求32 2.4.7物理安全需求33 2.4.8網(wǎng)絡(luò)安全需求34 2.4.9系統(tǒng)安全需求35 2.4.10數(shù)據(jù)庫系統(tǒng)安全需求36 2.4.11應(yīng)用安全需求38 2.4.12運行安全需求38 3安全設(shè)計的依據(jù)41 3.1依據(jù)的標準和規(guī)范41 3.2依據(jù)《計算機信息系統(tǒng)安全保護等級劃分準則》43 3.3參照《國家27號文件精神》43 3.4參照《信息保障技術(shù)框架》44 3.4.1安全方法論模型44 3.4.2邏輯結(jié)構(gòu)模型44 4安全規(guī)劃思路和體系結(jié)構(gòu)45 4.1規(guī)劃原則和目標45 4.1.1安全設(shè)計原則45 4.1.2安全設(shè)計目標46 4.1.3安全設(shè)計策略46 4.2規(guī)劃思路48 4.3安全總體體系結(jié)構(gòu)52 4.3.1信息安全總體體系52 4.3.2安全模型的分層安全保護53 4.3.3安全機制和服務(wù)55 4.3.4安全管理56 4.4安全等級保護的要求59 4.5安全等級管理要求59 4.5.1第一級一般管理要求59 4.5.2第二級重要管理要求60 4.5.3第三級關(guān)鍵管理要求65 4.6等級安全域的設(shè)計68 4.6.1安全域的概念68 4.6.2安全域設(shè)計的原則68 4.6.3安全域的設(shè)計69 4.7×信息資產(chǎn)的分級和分類70 4.7.1應(yīng)用系統(tǒng)業(yè)務(wù)安全級別劃分71 4.7.2信息和數(shù)據(jù)安全級別劃分71 4.7.3服務(wù)器安全級別劃分72 4.7.4操作系統(tǒng)安全級別劃分72 4.7.5數(shù)據(jù)庫管理系統(tǒng)安全級別劃分73 4.7.6網(wǎng)絡(luò)節(jié)點安全級別劃分73 4.7.7機房安全級別劃分74 4.7.8介質(zhì)安全級別劃分74 4.7.9安全設(shè)施的安全級別75 5信息系統(tǒng)安全管理體系76 5.1概述76 5.2安全組織管理78 5.2.1安全組織體系79 5.2.2人員安全管理82 5.3安全管理策略86 5.3.1安全策略規(guī)劃86 5.3.2物理環(huán)境和設(shè)備安全90 5.3.3運行及維護安全98 5.3.4業(yè)務(wù)應(yīng)用安全106 5.3.5系統(tǒng)規(guī)劃與開發(fā)安全109 5.3.6信息安全應(yīng)急管理114 5.4系統(tǒng)安全運作管理117 5.4.1系統(tǒng)安全生命周期117 5.4.2系統(tǒng)安全風(fēng)險評估118 5.4.3系統(tǒng)的安全規(guī)劃和驗證118 5.4.4日常運維和操作118 5.4.5安全集中管理120 5.5安全管理規(guī)章制度完善122 5.5.1安全管理制度范圍122 5.5.2安全管理規(guī)章制度的制定和評審125 5.5.3安全管理規(guī)章制度的實施和監(jiān)督126 5.5.4安全管理規(guī)章制度要點128 5.6安全體系建設(shè)管理保障131 5.6.1領(lǐng)導(dǎo)重視131 5.6.2規(guī)范管理131 5.6.3信息安全保障組織體系132 5.6.4信息安全隊伍的建設(shè)132 5.6.5資金保證132 6網(wǎng)絡(luò)與系統(tǒng)安全體系133 6.1目標133 6.2原則133 6.3總體架構(gòu)133 6.4邊界確認和安全域劃分133 6.5骨干網(wǎng)安全134 6.5.1骨干網(wǎng)傳輸安全134 6.5.2流量與帶寬控制135 6.5.3改善措施135 6.6邊界防護135 6.6.1對外信息發(fā)布系統(tǒng)的防護135 6.6.2下屬省局接入控制137 6.6.3第三方網(wǎng)絡(luò)接入控制139 6.6.4業(yè)務(wù)系統(tǒng)的防護141 6.7計算環(huán)境安全143 6.7.1主機和數(shù)據(jù)庫安全143 6.7.2網(wǎng)絡(luò)設(shè)備安全145 6.7.3安全管理平臺147 6.7.4用戶環(huán)境安全148 6.8備份系統(tǒng)152 6.8.1線路備份152 6.8.2設(shè)備備份152 6.8.3系統(tǒng)備份152 6.8.4應(yīng)用數(shù)據(jù)的備份方案152 6.9數(shù)據(jù)容災(zāi)備份154 6.9.1災(zāi)難備份和災(zāi)難恢復(fù)中心建設(shè)需求155 6.9.2災(zāi)難恢復(fù)與災(zāi)難備份中心的現(xiàn)狀155 6.9.3建設(shè)災(zāi)難恢復(fù)與災(zāi)難備份中心的考慮155 7安全基礎(chǔ)設(shè)施157 7.1技術(shù)原理157 7.2×網(wǎng)上系統(tǒng)的安全基礎(chǔ)設(shè)施160 7.2.1網(wǎng)上系統(tǒng)CA系統(tǒng)的部署結(jié)構(gòu)160 7.2.2網(wǎng)上系統(tǒng)證書認證系統(tǒng)配置160 7.2.3網(wǎng)上系統(tǒng)授權(quán)管理系統(tǒng)部署1 61 7.2.4網(wǎng)上系統(tǒng)授權(quán)管理系統(tǒng)配置162 7.3×內(nèi)網(wǎng)系統(tǒng)的安全基礎(chǔ)設(shè)施162 7.3.1系統(tǒng)結(jié)構(gòu)設(shè)計163 7.3.2策略設(shè)計164 7.3.3內(nèi)網(wǎng)CA系統(tǒng)設(shè)計165 7.3.4網(wǎng)絡(luò)結(jié)構(gòu)和具體部署171 7.3.5綜合技術(shù)指標要求172 7.3.6內(nèi)網(wǎng)pKI/CA安全基礎(chǔ)設(shè)施系統(tǒng)配置174 8應(yīng)用系統(tǒng)安全體系176 8.1應(yīng)用支撐平臺176 8.1.1平臺的設(shè)計目標176 8.1.2平臺結(jié)構(gòu)與功能177 8.2應(yīng)用系統(tǒng)安全方案179 8.2.1業(yè)務(wù)系統(tǒng)現(xiàn)狀179 8.2.2業(yè)務(wù)系統(tǒng)安全需求分析181 8.2.3安全改造方案基本原則183 8.2.4安全方案的主要依據(jù)183 8.2.5業(yè)務(wù)系統(tǒng)安全改造策略184 8.2.6內(nèi)網(wǎng)應(yīng)用安全結(jié)構(gòu)設(shè)計187 8.2.7內(nèi)網(wǎng)應(yīng)用安全功能設(shè)計188 8.2.8業(yè)務(wù)系統(tǒng)安全流程設(shè)計190 9安全培訓(xùn)與第三方服務(wù)196 9.1安全培訓(xùn)196 9.1.1信息安全教育與培訓(xùn)的重要意義196 9.1.2信息安全培訓(xùn)對象197 9.1.3培訓(xùn)內(nèi)容分類設(shè)置198 9.1.4×信息安全培訓(xùn)建議202 9.2第三方安全服務(wù)設(shè)計203 9.2.1安全威脅管理203 9.2.2設(shè)計與實施203 9.2.3安全運維支持203 9.2.4安全檢測服務(wù)203 10項目規(guī)劃與投資預(yù)算205 10.1規(guī)劃項目的導(dǎo)出205 10.2項目列表206 10.3項目優(yōu)先級分析207 10.4總體實施計劃209 10.5投資估算211 10.5.1投資估算原則211 10.5.2投資預(yù)算213 10.5.3總投資215僅供參考！目前正需要學(xué)習(xí)，謝謝，看看有沒有幫助很詳細的目錄光看目錄就知道很全面了，感謝分享，XX信息系統(tǒng)安全規(guī)劃方案，規(guī)劃方案《XX信息系統(tǒng)安全規(guī)劃方案》。國盟幣是怎么得到的?是要用錢買?