信息安全等级保护项目计划书doc.docx
- 文档编号:16382500
- 上传时间:2023-07-13
- 格式:DOCX
- 页数:77
- 大小:122.57KB
信息安全等级保护项目计划书doc.docx
《信息安全等级保护项目计划书doc.docx》由会员分享,可在线阅读,更多相关《信息安全等级保护项目计划书doc.docx(77页珍藏版)》请在冰点文库上搜索。
信息安全等级保护项目计划书doc
文档编号:
zzzzzz
xxxxxxxxxx
信息系统等级保护测评项目
项目计划书
授权方:
xxxxxxxxxx
被授权方:
rrrrrr
编制日期:
2016年2月29日
1.概述
1.1项目背景
根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全技术信息系统安全等级保护测评要求》、《信息安全技术信息系统安全等级保护基本要求》、《信
息安全技术信息安全等级保护管理规定》等一系列国家及信息安全技术针对信息系统等级保护颁布的政策法规及文件要求,定级为等级保护二级的信息系统应该每
年至少进行一次等级测评。
目前xxxxxxxxxx信息系统尚未进行过等级保护专业测
评。
为进一步加强xxxxxxxxxx信息系统等级保护工作,按照《信息安全技术信息安全等级保护管理规定》相关规定,计划对xxxxxxxxxx重要的信息系统进行等级保护专业测评。
依据《信息安全等级保护管理办法》(公通字[2007]43号)的相关要求,也为了持续有效提高信息系统的安全防护能力,受xxxxxxxxxx委托我中心计划与2016
年2月29日起对xxxxxxxxxx信息系统实施信息安全等级测评工作,以期通过此次测评发现系统现有安全防护措施的薄弱环节,为下一步的信息系统安全建设整改提供可靠依据,以有效提高xxxxxxxxxx信息系统的安全运行能力。
1.2项目目的
通过对xxxxxxxxxx开展安全测评工作,可以全面、完整地了解当前xxxxxxxxxx的安全状况,分析系统所面临的各种风险。
根据测评结果发现系统存在的安全问题,并对严重的问题提出相应的风险控制策略,并为下一步进行整个系统的信息系统安全建设做前期准备。
对信息系统进行安全等级测评是国家推行等级保护制度的一个重要环节,也是
对信息系统进行安全建设和管理的重要组成部分。
通过对xxxxxxxxxx实施等级测评可以发现信息系统的安全现状与需要达到的安全等级或目标的差异,可以在技术和管理方面进行有针对性的加强和完善,使xxxxxxxxxx安全工作有的放矢。
xxxxxxxxxx可依据等级测评结果,并结合单位的实际情况,区分轻重缓急,制定针对性的安全整改建议,通过安全整改不断提高信息系统的整体安全保护水平。
1.3工作依据
《计算机信息系统安全保护等级划分准则》(GB17859-1999)
《信息安全技术信息系统安全等级保护定级指南》(GB/T22240-2008)
《信息安全技术信息系统安全等级保护基本要求》(GB/T22239-2008)
《信息安全技术信息系统安全等级保护基本要求》
《信息安全技术信息系统安全等级保护测评要求》(GB/T28448-2012)
《信息安全技术信息系统安全等级保护测评过程指南》(GB/T28449-2012)
《信息安全技术信息系统安全等级保护实施指南》(GB/T25058-2010)
《信息安全技术?
信息系统通用安全技术要求》(GB/T20271-2006)
《信息安全技术?
网络基础安全技术要求》(GB/T20270-2006)
《信息安全技术?
操作系统安全技术要求》(GB/T20272-2006)
《信息安全技术?
数据库管理系统安全技术要求》(GB/T20273-2006)
《信息安全技术?
服务器技术要求》(GB/T21028-2007)
《信息安全技术?
终端计算机系统安全等级技术要求》(GA/T671-2006)
《信息安全风险评估规范》(GB/T?
20984-2007)
2.技术思路和工作内容
2.1技术思路
2.1.1测评指标
测评指标暂定选取《信息安全技术信息系统安全等级保护基本要求》中2级系
统基本要求指标,包括《信息安全技术信息系统安全等级保护基本要求》节“技术
要求”中的2级通用指标类(G2),2级业务信息安全性指标类(S2),和2级业务服
务保证类(A2),以及节“管理要求”中的所有要求,安全控制指标如下表:
安全分类
安全子类
测评项数
备注
物理位置
1
测评物理机房所在的外部环境安全性。
的选择
物理访问
2
测评进出机房的审批控制手段以及机房出入口的安
控制
全控制情况。
防盗窃和
5
测评机房内设备和通信线缆的安全性以及监控报警
防破坏
系统建设情况。
防雷击
2
测评建筑防雷和防感应雷的建设情况。
物理安全
防火
1+
测评自动监控防火系统设置情况以及机房材料防火
情况。
防水和防
3
测评机房内水管设置情况、防止结露所采取的措施以
潮
及监控报警系统建设情况。
防静电
1
测评机房防静电所采取的措施。
温湿度控
1+
测评机房温湿度控制措施。
制
电力供应
2
测评电力线路、备用电源以及发电机的配备情况。
电磁防护
1
测评线缆电磁防护手段和设备电磁防护手段。
主要核查:
主要网络设备的处理能力、业务高峰期需
结构安全
4+
求带宽、路由控制、网络拓扑结构图是否一致、子网
划分、技术隔离手段和带宽分配策略。
访问控制
4+
主要核查:
访问控制功能、协议深层检测、网络连接
超时、流量限制和并发连接数限制等等。
安全审计
2
主要核查:
网络设备日志收集、分析和统计以及保护
等等。
网络安全
主要核查:
是否能够对非授权设备私自联到内部网络
边界完整
1
的行为进行检查并准确定位和阻断;是否能够对内部
性检查
网络用户私自联到外部网络的行为进行检查并准确
定位和阻断。
入侵防范
1
主要核查:
部署IDS、IPS系统以及使用情况。
网络设备
主要核查:
用户身份鉴别、管理员登录地址限制、用
6
户标识唯一性、组合鉴别技术、口令策略、登录策略、
防护
远程管理和权限分离。
主要核查:
用户身份鉴别方式、账号与用户对应关系
身份鉴别
5
和密码安全强度,包括账户和口令长度设置情况,口
主机安全
令更改周期等;登录失败处理功能设置情况。
主要核查:
特权用户的权限分离情况;默认账户的访
访问控制
4
问权限;多余和过期的账户的处理情况;管理用户最
小授权原则落实情况。
安全分类
安全子类
测评项数
备注
安全审计
4
主要核查:
安全审计的覆盖范围;记录内容完整性;
审计记录的分析能力;审计记录的保护情况。
主要核查:
重要服务器入侵行为的检测
/报警情况;
入侵防范
1+
重要程序的完整性保护情况;主机资源的使用情况;
操作系统组件安装和补丁升级情况。
恶意代码
主要核查:
系统补丁安装情况;防病毒和恶意代码产
2
品的使用情况及升级情况;核查系统是否有木马程
防范
序。
资源控制
3
主要核查:
终端登录限制方式;重要服务器资源的监
视情况;系统服务水平的核查和报警能力。
主要核查:
用户身份鉴别方式、账号与用户对应关系
身份鉴别
4
和密码安全强度,包括账户和口令长度设置情况,口
令更改周期等;登录失败处理功能设置情况。
主要核查:
特权用户的权限分离情况;默认账户的访
访问控制
4
问权限;多余和过期的账户的处理情况;管理用户最
小授权原则落实情况。
安全审计
3
主要核查:
安全审计的覆盖范围;记录内容完整性;
应用安全
审计记录的分析能力;审计记录的保护情况。
通信完整
1+
主要核查:
密码在传输过程中所采用的技术是否能保
性
证通信过程中数据的完整性。
通信保密
2
主要核查:
通信过程中信息的传递是否加密。
性
软件容错
2
主要核查:
数据的校验功能以及恢复能力。
资源控制
3
主要核查:
终端登录限制方式;重要服务器资源的监
视情况;系统服务水平的核查和报警能力。
数据完整
1+
主要核查:
系统管理数据、鉴别信息和重要业务数据
性
在传输过程中的完整性和恢复措施。
数据安全
数据保密
1
主要核查:
系统管理数据、鉴别信息和重要业务数据
性
的传输保密性和存储保密性。
备份和恢
2
主要核查:
备份策略、介质存放和数据恢复等。
复
管理制度
3+
主要核查:
总体安全策略建设情况;各类安全管理制
度建设情况以及各类系统操作规范建设情况。
安全管理
制定和发
3
主要核查:
安全管理制度制定的责任部门设立情况;
制度
布
安全管理制度的制定过程以及发布方式。
评审和修
1
主要核查:
安全管理制度评审修订时机以及目前安全
订
管理制度修订情况。
安全分类
安全子类
测评项数
备注
岗位设置
2
主要核查:
安全管理岗位设立及职责明确情况。
人员配备
2
主要核查:
安全管理岗位人员配备情况。
授权和审
2
主要核查:
针对重大系统操作的授权和审批情况。
安全管理
批
机构
沟通和合
2
主要核查:
与系统内部以及外部相关部门、单位的日
作
常沟通机制。
审核和检
1
主要核查:
系统安全检查工作规范化程度和落实情
查
况。
人员录用
3+
主要核查:
人员录用过程规范化管理;对录用人员保
密责任的约束方式以及对关键岗位职责约束的方式。
人员离岗
3
主要核查:
人员离岗过程控制;人员离岗的保密承诺
控制。
安全人员
人员考核
1
主要核查:
人员日常技能考核情况以及针对关键岗位
的信用审查情况。
管理
安全意识
教育和培
3+
主要核查:
安全培训计划的制定情况和实施情况。
训
外部人员
1+
主要核查:
对外部人员进入重要区域的审批、控制管
访问管理
理。
系统定级
3
主要核查:
信息系统是否明确其安全保护等级,系统
定级的相关情况。
安全方案
4
主要核查:
系统的信息安全工作的总体规划设计情
设计
况。
产品采购
3
主要核查:
系统中信息安全产品的采购和使用管理措
和使用
施。
系统建设
自行软件
3
主要核查:
系统内自行软件开发工作的管理和控制措
开发
施。
管理
外包软件
主要核查:
外包开发的软件质量,保证外包软件安全
4
开发
可用。
工程实施
2
主要核查:
信息系统工程的实施情况。
测试验收
3
主要核查:
信息系统工程的验收情况。
系统交付
3
主要核查:
信息系统工程的交付情况。
安全服务
3
主要核查:
对系统中相关的安全服务商选择以及服务
商选择
管理措施。
系统运维
环境管理
4
主要核查:
对机房基础设施日常管理情况以及办公环
管理
境的管理。
安全分类
安全子类
测评项数
备注
资产管理
4
主要核查:
对系统资产管理的制度建设情况以及标识
管理。
介质管理
4
主要核查:
对各类介质的传输、使用、存储和销毁等
环节的管理。
设备管理
4
主要核查:
对各类设备日常的使用、操作和维护维修
的管理。
网络安全
6
主要核查:
安全管理制度建设情况以及违规联网检查
管理
情况。
系统安全
6
主要核查:
对系统的访问权限控制、补丁、日常漏洞
管理
扫描以及审计的管理。
恶意代码
3
主要核查:
对恶意代码的检测、分析等防范工作的管
防范管理
理。
密码管理
1
主要核查:
密码使用的制度化建设及落实情况。
变更管理
2
主要核查:
变更活动制度化建设情况以及变更前、变
更中和变更后的规范化管理情况。
备份与恢
3
主要核查:
系统数据的日常备份管理以及系统恢复管
复管理
理。
安全事件
4
主要核查:
安全事件报告和处置的制度建设情况以及
处置
不同安全事件处理过程的规范化管理情况。
应急预案
主要核查:
应急预案制定情况、人力、设备、技术、
2
财务和外部协作等方面的资源保障情况以及对应急
管理
预案的培训和日常演练情况。
2.1.2测评对象选择方法
测评对象的确定采用抽查的方法,即:
抽查信息系统中具有代表性的组件作为测评对象。
并且,在测评对象确定任务中应兼顾工作投入与结果产出两者的平衡关系。
第二级信息系统的等级测评,测评对象种类上基本覆盖,数量进行抽样,重点抽查主要的设备、设施、人员和文档等。
抽查的测评对象种类主要考虑以下几个方面:
1)主机房(包括其环境、设备和设施等)和部分辅机房,应将放置了服务于信息系统的局部(包括整体)或对信息系统的局部(包括整体)安全性起重要作用的设备、设施的辅机房选取作为测评对象;
2)存储被测系统重要数据的介质的存放环境;
3)办公场地;
4)整个系统的网络拓扑结构;
5)安全设备,包括防火墙、入侵检测设备和防病毒网关等;
6)边界网络设备(可能会包含安全设备),包括路由器、防火墙、认证网关和边界接入设备(如楼层交换机)等;
7)对整个信息系统或其局部的安全性起作用的网络互联设备,如核心交换机、汇聚层交换机、路由器等;
8)承载被测系统主要业务或数据的服务器(包括其操作系统和数据库);
9)管理终端和主要业务应用系统终端;
10)业务备份系统;
11)信息安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人;
12)涉及到信息系统安全的所有管理制度和记录。
在本级信息系统测评时,信息系统中配置相同的安全设备、边界网络设备、网
络互联设备、服务器、终端以及备份终端,每类应至少抽查一台作为测评对象。
2.1.3测评方法
现场测评一般包括访谈、文档审查、配置检查、工具测试和实地察看五个方面。
访谈是指测评人员与被测系统有关人员(个人/群体)进行交流、讨论等活动,
获取相关证据,了解有关信息。
文档审查是指检查GB/T22239-2008中规定的必须具有的制度、策略、操作规
程等文档是否齐备,是否有完整的制度执行情况记录以及文件的完整性和这些文件
之间的内部一致性。
实地察看是指根据被测系统的实际情况,测评人员到系统运行现场通过实地的
观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程
序和系统物理环境等方面的安全情况,测评其是否达到了相应等级的安全要求。
配置检查是根据测评结果记录表格内容,利用上机验证的方式检查应用系统、
主机系统、数据库系统以及网络设备的配置是否正确,是否与文档、相关设备和部
件保持一致,对文档审核的内容进行核实(包括日志审计等)。
2.2工作范围内容
最终内容将通过现场需求调研、项目会议等方式与用户方最终确认,预计对
xxxxxxxxxx进行信息安全现状与标准对照的符合性检查和检测。
这些系统既相互独立,又存在着一定的业务关联。
重点测试和评估的区域是位于中心机房的主要设备和其所支撑的网络和应用环境。
等级测评具体测评对
测评对象内容
预抽样数量
象
xxxx研究院
9楼机房、
xxxx
研究
物理安全测评对象
院B0201机房、xxxx研究院6楼
机房
被测评信息系统的网络拓扑结构
安全设备,包括防火墙、入侵检
测设备
边界网络设备(可能会包含安全
设备),包括路由器、防火墙、认
网络安全测评对象
证网关和边界接入设备(如楼层
交换机)等
对整个被测信息系统或其局部的
安全性起作用的网络互联设备,
如核心交换机、汇聚层交换机、
路由器等。
承载被测系统主要业务或数据的
服务器(包括其操作系统和数据
主机安全测评对象
库);管理终端和主要业务应用系
统终端。
能够完成被测系统不同业务使命
应用安全测评对象
的业务应用系统。
信息安全主管人员、各方面的负
责人员、具体负责安全管理的当
管理安全测评对象事人、业务负责人;涉及到信息
系统安全的所有管理制度和记
录。
3.项目实施方案
3.1项目实施过程
项目实施过程共分为四项活动,即测评准备活动、方案编制活动、现场测评活
动、分析与报告编制活动,基本工作流程图如下:
3.2阶段工作产品
1)测评准备活动阶段
任务
输出文档
文档内容
项目启动
项目计划书
项目概述、工作依据、技
术思路、工作内容和项目
组织等
说明被测系统的范围、安
全保护等级、业务情况、
信息收集和分析被测系统基本情况分析报告保护情况、被测系统的管理模式和相关部门及角色
等
选用的测评工具清单;
现场测评授权、交接的文
工具和表单准备打印的各类表单:
现场测评
档名称
授权书、文档交接单
2)方案编制活动阶段
任务
输出文档
文档内容
被测系统的整体结构、边
测评对象确定
测评方案的测评对象部分
界、网络区域、重要节点、
测评对象等
被测系统定级结果、测评
测评指标确定
测评方案的测评指标部分
指标
测评方案的单项测评实施和
单项测评实施内容及系
测评内容确定
系统测评实施部分
统测评实施内容
测评方案的测评实施手册部
各测评对象的测评内容
测评实施手册开发
分
及方法
测评方案编制
测评方案文本
项目概述、测评对象、测
评指标、测试工具接入
点、单项测评实施和系统
测评实施内容、测评实施
手册等
3)现场测评活动阶段
任务
输出文档
文档内容
会议记录、确认的授权委托
工作计划和内容安排,双
现场测评准备
书、更新后的测评计划和测
方人员的协调,被测单位
评程序
应提供的配合
技术安全和管理安全测评的
访谈
访谈结果
测评结果记录或录音
管理安全测评的测评结果记
管理制度和管理执行过
文档审查
录
程文档的符合情况
技术安全测评的网络、主机、
配置检查
检查内容的结果
应用测评结果记录表格
技术安全测评的物理安全和
实地察看
检查内容的结果
管理安全测评结果记录
测评活动中发现的问题、
现场核查中发现的问题汇
问题的证据和证据源、每
测评结果确认
总、证据和证据源记录、被
项检查活动中被测单位
测单位的书面认可文件
配合人员的书面认可
4)分析与报告编制活动阶段
任务
输出文档
文档内容
分析被测系统的安全现
状(各个层面的基本安
等级测评报告的单项测评结
全状况)与标准中相应
单项测评结果判定
果部分
等级的基本要求的符合
情况,给出单项测评结
果
单项测评结果汇总
等级测评报告的单项测评结
汇总统计分析单项测评
分析
果汇总分析部分
结果
分析系统整体安全状况
等级测评报告的系统整体测
系统整体测评分析
及对单项测评结果的修
评分析部分
订情况
等级测评报告的等级测评结
对各项结果进行分析,
综合测评结论形成
论部分
形成测评结论
单项测评记录和结果,
单项测评结果汇总分
测评报告编制
等级测评报告
析,系统整体测评结果
及分析,等级测评结论,
改进建议等
4.项目组织方案
组别分工姓名职责对方配合人员
4.1项目组织结构
质量管理组
项目管理组
管理测评组技术测评组
业务专项配合组
项目管理组:
负责人为双方项目负责人,负责整个项目的工作进展、时间、人员的
安排及双方的协调工作。
管理测评组:
负责管理方面的测评工作,包括:
机构管理、人员管理、制度管理、
建设管理、运维管理。
技术测评组:
对物理、网络安全方面的进行测评,并做好现场记录,负责测评报告
的编写等。
质量监督组:
负责对整个项目的质量监督,包括方案、计划、报告等评审工作,针
对测评工作中的异议问题进行核查解决。
业务专项配合组:
由被测评单位组织,针对被测系统情况给予说明和配合。
4.2人员构成和职责
项目经理
项目管理组商务经理
项目助理
组长
组员
质量管理组
组员
组员
组长
管理测评组
组员
组长
组员
组员
技术测评组组员
组员
组员
组员
业务专项配组长待定
合组组员待定
4.3项目实施计划
阶段工作内容时间计划对方配合内容阶段输出
项目
准备
系统
调查
测评
准备
现场
测评
方案
编制
起草项目计划
评审论证
项目计划分解
评审论证
准备调查表
收集调查结果
调查材料分析整理制定核查方案评审
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 等级 保护 项目 计划书 doc