XXXX集团信息安全建设整体规划Word格式文档下载.docx
- 文档编号:7137220
- 上传时间:2023-05-08
- 格式:DOCX
- 页数:25
- 大小:214.72KB
XXXX集团信息安全建设整体规划Word格式文档下载.docx
《XXXX集团信息安全建设整体规划Word格式文档下载.docx》由会员分享,可在线阅读,更多相关《XXXX集团信息安全建设整体规划Word格式文档下载.docx(25页珍藏版)》请在冰点文库上搜索。
⏹ISO27001
⏹ISO15408/CC
⏹IATF
⏹等级保护基本要求
⏹等级保护安全技术设计要求
2.2整体化原则
一般地,对安全保障框架的研究主要采用两种思路,一是“模型化”,它通过将要保护的对象通过模型的方式表达,获取其安全需求;
一是“最佳实施”,它通过列举安全控制来构造理想的安全体系。
这两种模型都存在着一定的缺陷,模型化思路的主要难点在于难以完整和准确地表达一个信息系统,而最佳实施的主要缺陷是安全控制的不可枚举性。
鉴于这样一种情况,在设计XXX集团安全保障框架的过程中,我们将两种思路加以综合,首先借鉴IATF的思路构建XXX集团安全保障框架模型。
下图即是IATF安全保障框架模型示意图。
这个示意图说明了安全保障框架的构成。
图1IATF安全保障框架
而后,通过分析具体问题,并结合最佳实践设计安全保障框架,过程如下:
⏹界定安全问题的范围
正如前面所提,信息安全问题涉及的范围很广,有时甚至和传统安全问题牵扯在一起。
这给解决安全问题带来了很大的难度。
因此要科学地对待信息安全问题,首先必须明确定义信息安全问题的范围。
⏹对安全问题进行结构化分析
当信息安全问题的范围已经被明确后,它必须按照结构化原理被不断地细分。
这时整个IT系统已经被结构化为多个安全保护对象,而保护对象面临着诸多威胁。
⏹设计安全保障框架
根据现有的各种安全标准和实践准则,对XXX集团IT系统进行安全分析,设计适合XXX集团IT系统的安全对策,形成安全保障框架。
对XXX集团IT系统面临的每一项安全威胁都从现有安全标准或者最佳实践中选择若干安全对策,注意威胁和安全对策之间是多对多的映射关系,即每一个威胁对应若干个对策,而每一个对策对应多个威胁。
将所选择的安全对策进行细化、扩展和具体化,就形成XXX集团IT系统的安全保障框架。
综上所述,安全保障框架的设计采用了先分析后综合的思路,而在这个过程中,威胁分析起了至关重要的作用。
2.3等级化原则
2003年,中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》中,已将信息安全等级保护作为国家信息安全保障工作的重中之重,要求各级党委、人民政府认真组织贯彻落实。
《意见》中明确指出,信息化发展的不同阶段和不同的信息系统,有着不同的安全需求,必须从实际出发,综合平衡安全成本和风险,优化信息安全资源的配置,确保重点。
在国信办制定的《信息系统安全等级保护实施指南》中规定了5个等级,根据指南中规定的等级确定方法,将整个信息系统分为不同区域,首先确定最关键一组区域的最高等级,其他次级区域依次确定较低的等级。
确认等级的依据一方面根据国家从国家安全角度的要求,主要还是依据XXX集团自身的安全要求。
根据指南中对5个等级的要求和适用范围的规定,XXX集团属于重点国有企业信息系统,最高等级通常划分到第三级。
安全等级
基本描述
安全保护要求
第一级
适用于一般的IT系统,系统遭到破坏后对机构履行其职能、机构财产、人员造成较小的负面影响。
参照国家标准自主进行保护。
第二级
适用于处理日常信息和提供一般服务的IT系统,系统遭到破坏后对机构履行其职能、机构财产、人员造成中等程度的负面影响。
在主管部门的指导下,按照国家标准自主进行保护。
第三级
适用于处理重要信息和提供重要服务的IT系统,系统遭到破坏后对机构履行其职能、机构财产、人员造成较大的负面影响,对国家安全造成一定程度的损害。
在主管部门的监督下,按国家标准严格落实各项保护措施进行保护。
第四级
适用于涉及国家安全、社会秩序、经济建设和公共利益的重要IT系统,系统遭到破坏后对机构履行其职能、机构财产、人员造成严重的负面影响,对国家安全造成较大损害。
在主管部门的强制监督和检查下,按国家标准严格落实各项措施进行保护。
第五级
适用于关系国家安全、社会秩序、经济建设和公共利益的核心系统,系统遭到破坏后对机构履行其职能、机构财产、人员造成极其严重的负面影响,对国家安全造成严重损害。
根据安全需求,由主管部门和运营单位对IT系统进行专门控制和保护。
图2等级保护内容
第一级自主性保护级是指参照国家标准自主进行保护。
主要适用于一般信息系统。
第二级指导性保护级是指在政府职能部门指导下,按照国家标准自主进行保护,主要适用于内部信息系统,
第三级安全的信息系统具备对信息和系统进行比较完整的系统化的安全保护能力。
XXX集团的主要系统按照第三级的安全要求管理和建设。
三.XXX集团信息化和安全现状分析
XXX集团全面采用了ERP,OA,电子商务,BI商业智能,MES等信息系统,实施了财务业务一体化、供应链协同化、客商管理统一化、用户与系统集成、信息数字化的集团管理信息化管理;
科学集中深度管控,从根本上解决了公司多产业、集团化、跨地域的管理需求,实现了全集团财务、资金、采购、销售、物资的集中管控,实现了企业的管理升级,增强了企业的执行力,推动了公司从科学化管理向现代化管理迈进的步伐。
通过全面的信息化实施,全集团物流、资金流、信息流集成率达到90%以上,产品实时库存准确率达99.5%,库存资金占用率降低12%,资金周转率和存货周转率提高10%以上。
集团的发展战略提到三个化,“信息化,国际化,金融化”,将信息化放在首位,从显示的情况来看XXX集团对信息化的依赖程度确实也已经到了一个比较高的水平,但信息安全的管理体系还不完善,信息安全控制措施较少,拓扑如示意图所示:
在当前XXX集团信息系统中,互联网出口采用电信100M,联通60M双线路接入,通过链路负载均衡系统实现了从内到外的链路均衡,通过部署入侵防御模块实现了对黑客攻击的主动防范,通过防火墙系统实现了和互联网的区域隔离,通过IPSECVPN系统实现了各分子公司,厂区与数据中心安全连接通道的建立,通过SSLVPN系统实现了外出办公人员对内部业务系统(ERP,OA)的安全访问。
对互联网公众发布了网站系统,展示公司公司形象和产品。
通过互联网发布了OA和ERP系统,方便公司员工通过远程访问。
通过在多台刀片机部署vmware虚拟化系统实现了集团的服务器硬件虚拟化,极大的方便了管理和维护,并实现了硬件资源利用最大化。
通过应用和桌面发布系统实现了业务系统虚拟化,用户可以瘦客户端直接在云端完成应用和桌面的操作,结合动态口令牌实现了对业务系统的安全访问。
采用两台HP小型机作为数据库服务器,并通过存储系统实现核心业务数据的本地存储和备份。
对终端接入的管理,通过在楼层交换机设定mac和端口的绑定策略实现了终端接入的控制,部分单位通过部署H3C的EAD准入控制系统,实现了对终端接入的准入控制。
在安全管理方面,XXX集团制定了基本的安全操作制度和人员安全的管理制度。
总体来看,XXX集团信息系统具有了最基本的安全控制措施和安全管理措施,但在实际运行中还存在以下问题需要解决:
1.安全管理制度不全
目前尚未建立完整的安全管理体系,安全相关人员、制度、流程都不全,出现安全事件没有响应的应急响应预案和机制,对业务的连续性也没有完善的管理机制。
2.业务系统应用和数据安全问题
有两方面隐患,一方面是终端上缺乏强制控制手段,无法避免员工通过截屏,U盘拷贝,互联网外发等手段外泄信息,并且一旦外泄关键的业务数据都是明文,对窃密者来说是可读的可利用的。
另一方面,后台人员对数据库的直接操作绕过了业务系统本身的审计机制,针对这种行为缺乏审计,出现事件后无法追溯。
3.数据中心运维安全问题
虽然对虚拟化系统已经采用了运维审计技术,可以对操作系统的访问进行还原,但对于网络设备,安全设备,非虚拟化的实体机还有相应的审计措施,一旦这些系统出现问题,也没有办法进行追溯。
4.数据中心区域安全隔离问题
目前所有业务服务器和数据库服务器都在同一个网段,没有进行任何隔离控制措施,一旦一点突破,就权限突破,存在严重的安全隐患。
5.生产系统安全隔离问题
当前MES系统和前置机之间采用的是防火墙技术实现的隔离,但生产系统和互联网需要进行严格的物理隔离措施,防火墙只能实现逻辑隔离,并不能真正切断互联网连接,黑客是有能力绕过防火墙系统的访问控制措施入侵到生产系统进行破坏的。
6.网站和对外发布的业务系统的安全问题
网站和对外发布的业务系统(ERP,OA)都属于B/S架构,任何人都可以通过开放的http协议端口访问系统,现有的防火墙和入侵防御系统无法实现对基于WEB的应用内容攻击起到防范作用,黑客可以通过在正常的http协议中注入攻击代码直接对业务系统进行攻击,轻者获取业务系统数据信息,重者可以直接控制业务系统。
7.办公计算机的安全没保障,容易遭到计算机病毒的感染破坏办公电脑的数据,造成电脑大范围死机,网络拥塞,公司业务无法开展。
公司内部的防病毒和补丁更新基本处于各自为政的状态,一般都是自己根据个人喜好安装的五花八门的防病毒软件,病毒库更新不及时,经常好久也不更新一次,杀毒软件防病毒能力最重要的就是病毒库,就像人生病了治病一样,出现了一种新的病毒,如果没有针对这种病的特效药,一旦感染根本抵挡不住。
Windows的补丁也不更新,操作系统的补丁就好比人的免疫系统,如果免疫系统出了问题,你用再好的药也控制不了病毒。
U盘使用不能控制,U盘在公司内部各电脑之间随意插拔使用,如果一台电脑感染了病毒,插上U盘,就把病毒感染到了U盘,U盘再插到别的电脑,别的电脑又中了病毒,这就好比一个得了萨斯病的病人,到处溜达,势必造成感染病毒的人越来越多,感染的电脑越来越多。
所以一旦出现大规模蠕虫病毒爆发,没有统一的防护和控制手段,会出现计算机死机,网络瘫痪,业务系统无法使用,业务系统被破坏等问题,公司业务就无法开展了。
8.信息系统(网络设备,服务器,安全设备,业务系统,数据库)自身的安全配置问题和安全漏洞造成的安全问题。
信息系统的初始配置都是存在配置上的安全问题,比如密码的强度,管理员的特权访问审计开启等,就像人天生就缺少对乙肝病毒的免疫细胞一样,需要打上乙肝疫苗才能防御乙肝病毒的感染,信息系统也是一样,如果不能将信息系统的安全配置完善起来,其就有可能被各种安全威胁所侵扰。
信息系统本身也可能存在各种各样的漏洞,这些漏洞的存在是造成信息系统被攻击的主要入口,当前没有针对信息系统的漏洞进行定期检查的手段,就像人如果不定期体检,就不能发现身体的安全问题隐患,可能小病变成大病。
信息系统的漏洞如果不及时发现和修补,就会越来越多越来越严重,给信息系统的安全造成极大隐患。
9.无线安全问题
无线网络的出现使有线网络所有做的安全努力都有可能失效,无线技术已经使网络的边界模糊化,一旦被通过无线网络渗透到内网,就完全绕过了所有的边界安全控制措施,从而使业务系统暴漏在攻击威胁之下。
当前XXX集团可能面临如下的无线安全问题:
——私接流氓AP。
流氓AP通常是内部员工有意或无意在内部私接AP,从而使外部非法终端接入内网,或造成内部资料外泄。
——内部终端的非法外联。
内部人员可通过WLAN连接其在内网周围私架的AP或者第三方运营商AP,从而将内部信息外泄。
——无线网络扫描。
扫描是攻击的前期行为,是安全隐患。
——无线钓鱼攻击。
通过伪造信息来搭设钓鱼AP,用于仿冒内网合法AP,欺骗无线用户与其关联,从而获得合法用户的信息,包括用户名、密码等。
——无线DoS攻击。
攻击者通过仿造无线客户地址大量发送攻击报文,使得无线用户的合法接入遭到破坏,影响网络使用。
——代理AP攻击。
代理AP的攻击者通常在客户端(比如win7)上伪造一个合法AP,欺骗其它终端连接,并以桥接的方式使得合法终端访问Internet或内网。
后续过程中,被欺骗终端数据流都将经过这个伪造AP,从而造成信息泄漏。
10.数据容灾备份的问题
当前XXX集团采用数据大集中的方式,所有核心业务数据都在数据中心,虽然在数据中心已经采取了本地的备份机制,可以应对数据的逻辑损坏,人为破坏,或者物理损坏所带来的安全问题,但一旦遭遇自然灾害带来的毁灭性的损失,就不是本地备份能解决的了。
四.XXX集团信息安全保障总体框架
4.1总体安全方针
4.1.1安全使命
保障业务持续,促进业务发展
信息安全必须为业务服务,脱离业务的信息安全也就失去了其真正的意义。
保证实现业务服务的信息系统正常运行,进而使XXX集团的业务持续开展,就成为了信息安全建设的最根本使命。
业务创新能力成为业务增值过程中的重要手段。
业务创新背后离不开信息安全技术的支撑。
运用信息安全技术和管理支撑业务创新的能力将会成为XXX集团的业务趋向安全保障的使命。
4.1.2安全目标
保证信息的机密性、完整性和可用性(直接目标)
●信息机密性是指信息仅可让授权获取的人士访问。
●信息完整性是指保护信息和处理方法的准确和完善。
●信息可用性是指确保授权人需要时可以获取信息和相应的资产。
信息安全必须保证信息的机密性、完整性和可用性,这是信息安全建设的重要目标。
XXX集团信息安全的建设必须以保证信息的机密、完整和可用为安全保障战略目标,这是XXX集团的需要,是企业信息化发展的需要,也是所有用户的需求。
4.2安全保障框架
XXX集团安全保障主体是构筑企业信息化平台和服务的基础上,其核心是企业信息化相关的应用系统,安全保障框架所有安全控制都应包含为策略、组织、技术和运作四个要素,即每条安全控制,都可以描述为“根据某某策略,由某某组织(或人员),利用某某技术,进行某某操作”。
将安全控制的四要素分别综合起来,成为策略体系、组织体系、技术体系和运作体系。
这四个体系构成了安全保障框架。
XXX集团安全保障框架框架总体示意如下图所示:
●XXX集团业务系统:
业务系统是XXX集团安全保障框架框架的核心,其实现业务功能的信息系统安全需求和等级决定了整体安全保障的强度和力度。
●安全策略体系
指导XXX集团信息系统设计、建设和维护管理工作的基本依据,所有相关人员应根据工作实际情况履行相关安全策略,制定并遵守相应的安全标准、流程和安全制度实施细则,做好安全标准体系相关工作。
●安全组织体系
落实信息安全管理机构和人员安全管理部分的相关内容,指导XXX集团安全职能的落实、岗位设置和相关人员的安全管理。
●安全技术体系:
落实等级保护以及信息安全管理体系相关标准中安全技术中的所有控制要求,实现物理、网络、主机、应用和数据的所有安全控制项,通常采用安全技术产品加以实现。
●安全运作体系:
贯穿组织、策略和技术的流程和规范,是安全工作的关键,落实系统安全建设和系统安全运维管理部分的控制要求,指导XXX集团的安全实施和运维的具体实现。
●安全组织、安全策略以及安全运作统称为安全管理体系建设。
五.XXX集团信息安全建设整体规划
5.1信息安全管理体系建设
5.1.1安全组织建设
XXX集团安全管理组织应形成由主管领导牵头的信息安全领导小组、具体信息安全职能部门负责日常工作的组织模式。
⏹信息安全领导小组职责
信息安全领导小组是由XXX集团主管领导牵头,各部门的负责人为组成成员的组织机构,主要负责批准XXX集团安全策略、分配安全责任并协调安全策略能够实施,确保安全管理和建设有一个明确的方向,从管理层角度对信息安全管理提供支持。
⏹信息安全工作组职责
信息安全工作组是由信息技术部领导牵头,内设专职的安全管理组织和岗位,负责日常具体工作的落实、指导和协调。
5.1.2安全策略建设
XXX集团应以ISO27001以及GB/T22239-2008基本管理要求架构为信息安全策略架构,并根据XXX集团特点进行调整扩充,可分为七个方面,包括安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理、系统废止管理和系统检查与评估,如图所示:
5.1.3安全运维建设
信息系统交付后正式开始支撑各项业务系统和日常办公需要,如何保证信息系统持续稳定安全运行是安全运维管理的重要工作内容。
只有保证信息系统日常正常稳定运行,才能切实发挥信息系统对XXX集团各项业务开展和日常办公的支撑作用和效益。
为此本方案设计了安全运维体系涉及到各类日常运维操作规范和流程和安全事件管理与应急响应流程,构成了支撑和落实各项信息安全管理方针和策略的坚实基础。
5.1.3.1日常运维管理
5.1.3.1.1环境管理
XXX集团所有的服务器和核心网络设备均按照要求放置在集中的机房中,为了保证机房的各项安全资源的稳定可靠,制定《机房安全管理制度》,对以下方面进行规定:
⏹机房电力、空调、门禁、监控等设备的管理进行规定;
⏹规定进出机房要求和记录;
⏹规定对机柜、服务器、电源等设备的进入、变动和移出等操作;
⏹机房责任人和日常运维职责内容。
XXX集团基本实现了业务工作和日常办公的信息化和网络化,业务系统终端和办公终端分布在各个办公室,为了防范系统终端的安全风险,杜绝从终端对业务系统和网络的安全威胁,提升业务人员和所有员工的安全意识,制定《办公室安全管理制度》,对以下方面进行规定:
⏹办公室的信息安全要求;
⏹办公终端信息安全保密要求;
⏹办公终端使用规范。
5.1.3.2资产管理
信息资产是构成网络和信息系统的基础,是系统各种服务功能实现的提供者和信息存储的承载者。
对资产进行管理是一切安全运维管理的基础,XXX集团把各类硬件、软件、数据、介质、文档均作为信息资产进行管理,制定《资产管理制度》加以规范,包括以下内容:
⏹规定信息分类和识别,不同类别的存放、处理和传输的安全要求;
⏹按照信息系统制定资产清单,包括责任人、重要程度、供应商、部署位置等信息;
⏹资产的申报、领用、维修和报废流程;
⏹要求定期对资产进行盘点和安全性审计。
⏹资产对备份的要求。
5.1.3.3网络安全管理
网络作为信息系统的基础性设施,为各个业务系统和办公应用提供连通和数据传输,实现信息共享。
网络对可靠性和安全性具有非常高的要求,XXX集团制定《网络安全管理制度》对网络的架构和设备的安全管理进行约定,主要包括以下内容:
⏹网络结构和IP地址分配;
⏹网络接入安全要求;
⏹网络设备操作规范流程;
⏹网络设备安全配置和版本更新要求;
⏹网络设备帐户授权、验证和审计要求;
⏹网络流量和网络漏洞的监控。
为落实网络安全管理,将设计以下若干技术规范:
⏹《网络结构和IP地址管理流程》
⏹《网络接入安全管理流程》
⏹《网络设备安全技术规范》
⏹《网络设备的维护流程》
5.1.3.4系统安全管理
将每个业务系统作为安全保护的对象,应当对每个业务系统制定相应的安全运维流程和规范,《系统安全管理制度》用于指导如何根据业务安全等级和安全需求来制定相应的运维流程和规范。
主要包括以下内容:
⏹应根据业务需求和系统安全分析确定系统的访问控制策略;
⏹系统管理角色分离要求、权限、责任分配原则;
⏹要求进行系统配置管理和变更管理;
⏹操作系统安全运维流程;
⏹数据库安全运维流程;
⏹应用平台安全运维流程;
⏹系统安全日志审核要求;
⏹系统备份和数据备份要求。
每个系统管理具体安全管理制度的落实依靠如下相关支撑技术规范和流程:
⏹《操作系统安全技术规范》;
⏹《数据库系统安全技术规范》;
⏹《应用平台安全技术规范》;
⏹《应用系统操作手册》;
⏹《系统备份和数据备份流程》;
⏹《系统安全评估和审计流程》;
⏹《系统配置清单及变更记录》;
5.1.3.5防恶意代码管理
恶意代码防范是一项全员需要进行安全管理工作,因此单独制定《防恶意代码管理制度》指导全体员工防范由于恶意代引起的安全风险:
⏹规定全员防恶意代码的职责;
⏹明确恶意代码的可能感染源和防范手段;
⏹明确恶意代码的报告流程;
⏹防恶意代码产品的安装、使用、升级流程;
⏹恶意代码事件的统计、报告流程。
5.1.3.6监控管理和IT门户系统
建立集中的安全监控和管理中心相配套的安全监控管理制度,对监控内容、监控方式、监控记录集中保存、监控记录审计等进行规范,《安全监控管理制度》主要包括以下内容:
⏹规定安全监控内容,包括但不限于通信流量、软硬件运行状况、用户行为、漏洞发布情况、安全设备报警信息等;
⏹安全监控的方式和工具;
⏹监控记录的审计和分析;
⏹可疑事件的报告;
5.1.3.7密码管理
敏感系统应使用符合国家密码管理规定的密码技术和产品,同时建立密码管理制度,加强对密码和加密设备的管理。
按照等级保护和ISO27001要求建立《密码使用管理制度》,对一下方面进行规范:
⏹密码复杂度管理
⏹密码定期修改管理
⏹多因素认证管理
⏹密码保存管理
5.1.3.8变更管理
信息安全风险是“动态”的主要因素之一,就是网络和信息系统是会发生变化的,为了防范由于网络和系统变化对整体安全现状的影响,规避变更产生的风险,制定《变更管理制度》。
对以下方面进行规范:
⏹规范变更管理的范围;
⏹规范变更流程,制定申报、方案制定、变更审核、审批流程;
⏹要求变更过程记录;
⏹进行系统变更前备份;
⏹要求制定变更失败恢复流程和进行恢复测试;
5.1.3.9备份与恢复管理
为了保证业务连续性,XXX集团制定《备份与恢复管理制度》规范以下内容:
⏹规定系统进行安全需求分析时要考虑备份措施要求;
⏹对XXX集团信息备份级别进行定义,确定每个级别的备份方式、备份频度、存储介质、保存期限及恢复测试频次;
⏹规定备份存储介质的放置、命名、管理和离站运输方法。
5.1.3.2安全事件管理和应急响应
针对出
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- XXXX 集团 信息 安全 建设 整体规划