XX学院等保(三级)设计方案.docx

XX市XX学院等级保护（三级）建设方 案2017年1月目录、工程概况4二、需求分析4.1建设背景5.2、建设目标5.三、设计原则及依据7.1设计原则7.2设计依据8.四、方案整体设计9.1信息系统定级9.1、等级保护完全实施过程 112.能力、措施和要求 1.13、恭本安全要求124.系统的控制类和控制项 125、物理安全保护要求136网络安全保护要求147.主机安全保护要求148,应用安全保护要求159、数据安全与备份恢复1610、安全管理制度1711、安全管理机构1712 人员安全管理1813 系统建设管理1814 系统运维管理192、等级保护建设流程202、网络系统现状分析211、网络架 .ta(ttt212.可能存在的风睑223、等保三级对网络的要求231、结构安全232、访问控制243、安全审计244、边界完整性检查255、入侵防范256、恶意代码防范257、网络设备防护254、现状对比与整改方案261、现状对比262、控制点整改措施293、详细整改方案304、设备部署方案 33五、 产品选型3.51 选型建议352 选型要求353 设备选型清单36六、 公司介绍.3.6一、工程概况信息安全等级保护是对信息和信息载体按照重要慢等级分级别进行保护的 一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息 安全等级保护广义上为涉及到该工作的标准、产品'系统、信息等均依据等级保护思想 的安全工作XX市XX学院是2008年元月，经自治区人民政府批准，国家教育部备窠的公办全 日制高等职业技术院校.学院以高等职业教育为主，同时兼有中等职业教育职能.学院开拓办学思路，加大投入，改善办学条件，拓宽就业亲道，内引外联，确立了 面向社会' 服务市场，重在培养学生的创新精神和实践能力的办学宗旨。学院本着让学生 既成才，又成人的原则，优化人才培养模式，狠抓教育教学质,增强学生实践动手能 力，注筌对学生加强德育和行为规葩教育，为企业和社会培养具有全面素质和烁合职业 爱力的应用型专门人才.学院筮厚的师资力量、先进的教学设备、严格的日常管理、完善的文体设施、优质 的后勤服务以及宽敞洁净的学生公寓和食堂，为广大师生提供了优美、舒适、理想的学 习' 生活和工作环境.信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估 过程.信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方 面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布 在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信 息系统的整体安全功爱与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关.因此，信息系统安全等级测评在安全控制测评的基础上， 还要包括系统整体测评.二、需求分析为了保障国家关谑基础设施和佶息的安全，结合我国的基本国情，制定了等级保妒制度.并将等级保拧制度作为国家信息安全保障工作的基本制度、基本国策,促进信息化、箍护国家信息安全的根本保障。1、建设背景随着我国学校信息化建设的逐步深入，学校教务工作对信息系统依赖的程度越来越 高，教育信息化建设中大量的信息资源，成为学校成熟的业务展示和应用平台，在未来的 教育信息化规划中占有非常圭要的地位.从安全性上分析，高校业务应用和网络系统日益复杂，外部攻击、内部资源滥用、木马和病毒等不安全因素越来 越显著，信息化安全是业务应用发展需要关注的核心和重点。为贯彻落实国家信息安全等级保护制度，规范和指导全国教育信息安全等级保护工 作，国家教委教办厅函200980文件发出关于开展信息系统安全等级保护工作的通 知”；教育部救盲管理信息中心发布£教育信息系统安全等级保护工作方案3 ；教育部办 公斤G印发关于开展教育系统信息安全等级保护工作专项检查的通知（教办厅函2010 80 号）。XX市XX学院的网络系统在近几年逐步完芒，作为一个现代化的教学机构网络， 除了要满足高效的内部自动化办公需求以外，还应对外界的通讯保证畅通.结合学校的 “校务管理”、“教学科研”、“招生就业”、“综合服务”等业务信息平台，要求网络 必须能够满足数据、语音、图像等媒合业务的传箱要求，所以在这样的网络上应运用多种 设备和先进技术来保证系统的正常运作和稳定的效率。同时学校的网络系统中内部及外部的访问量巨大，访问人员比较复杂，所以如何保证学校网络 系坡中的数据安全问Sfi尤为生要.在日新月异的现代化社会进程中，计算机网络几乎延 伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机 信息网络安全的脆弱性和易受攻击性是不容忽视的。由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会 使计算机网络受到威胁.2、建设目标本次XX市XX学院业务系统等级保护安全建设的主要目标是：按照等级保护要求，结合实际业务系统，对学院核心业务系统进行充分调研及详细分析，将学院核心业务系统系统建设成为一个及满足业务需要，又符合等级保护三级系统要求的业务平台，建设一套符合国家政策要求' 覆盖全面、圭点突出、持康运行的信息安全保障体 系，达到国内一流的信息安全保障水平，支撑和保陞信息系统和业务的安全稳定运行。 该体系覆盖信息系统安全所要求的各项内容，符合信息系统的业务特性和发展战略，满足 学院信息安全要求，本方案的安全措施框架是依据“积极防御、综合防晒”的方针，以及“管理与技术 井王”的原则，并结合等级保护基本要求进行设计.技术体系：网络层面：关注安全域划分、访问控制、抗拒绝服务攻击，针对区域边界采 取防火 墙进行隔廊，并在隔离后的各个安全区域边界执行严格的访问控制，防止非法访问；利用 漏洞管理系统, 网络安全审计等网络安全产品，为客户构建严密、专业的网络安全保障体 系.应用层面：WEB应用防火墙能够对WEB应用漏洞进行预先扫描，同时具备对 SQL注入' 跨站脚本等通过应用层的入侵动作实时阻断，并结合网页防篡改子系统，典 正达到双重层面的“网页防篱改”效果.数据层面，数据库将被降藏在安全区域，同时通过专业的安全加固服务对数据库进 行安全评估和配置，对数据库的访问权限进行严格设定.最大限度保证数据库安全，同 时，利用SAN远程数据备份系统有效保护重要数据信息的健康度，管理体系：在安全管理体系的设计中，我们借助丰富的安全咨询经物和对等级保护管理要求的 清晰理解，为用户量身定做符合实际的、可操作的安全管理体系.安全服务体系：风险评估服务：评估和分析在网络上存在的安全技术分析，分析业务运作和管理方 面存在的安全缺陷，调查系统现有的安全控制措施，评价用户的业务安全风险承担能力；安全监控服务：通过费深的安全专家对各种安全事件的日志、记录实时监控与分 析，发现各种潜在的危险，并提供及时的修补和防御措施建议;渗透测试服务：利用网络安全扫描器、专用安全测试工具和专业的安全工程师的人工经验对网络中的核心服务器及重要的网络设备进行非破坏性质的模拟用客攻击，目的是 侵入系统并获取机密信息并将入侵的过程和细节产生报告给用户；应急响应服务：针对信息系统危机状况的紧急响应、分析、解决问题的服务，当信 息系统发生意外的突发安全事件时，可以提供紧急的救援措施.方案收益实施信息安全等级保护建设工作可以为高校信息化建设实现如下收益：有利于提高信息和信息系统安全建设的整体水平；有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设悔调发展；有利于为信息系统安全建设和管理提供系统性' 针对性, 可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源的配2L对信息系统分级实施保护，重点保障也要信息系统的安全；有利于明能信息安全责任，加强信息安全管理；有利于推动信息安全的发展三、设计原则及依据1、设计原则根据学院的要求和国家有关法规的要求，本系统方案设计遵循性能先进、质 量可靠、经济实用的原则，为实现学院等级保护管理更定了基础.全面保障：信息安全风险的控制需要多角度、多层次，从各个环节入手，全面的保障.整体规 划，分步实施：对信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系.同步规划' 同步建设' 同步运行：安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都 可能给业务系烧带来危害.适度安全：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性 的平衡点.内外并组：安全工作需要做到内外并圣，在防葩外部威胁的同时，加强规范内部人员行为和访 问控制、监控和审计转力，标准化管理要规楚化, 标准化，以保证在豌源行业庞大而多层次的组织体系中有效的控制 风哙.技术与管理并支：网络与信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安 全管理，不断完芒各类安全管理规章制度和操作规程，全面提高安全管理水平.2、设计依据根据学院现有情况，本次方案的设计严格按照现行中华人民共和国以及内蒙古自治 区与行业的工程建设标准、规葩的要求执行.在后期设计或实施过程中，如国家有新法 规、规楚颁布，应以新颁布的法规规范为准。本方案执行下列有关技术标准、规范' 规程 但不限于以下技术标准、规葩、规程.计算机信息系统安全等级保护划分准则(GB 17859-1999信息系统安全等级保护实施指南(GB/T 25058-2010信息系统安全保护等级定级指南(GB.T 22240-2008信息系统安全等级保护基本要求(GB/T 22239-2008信息系统通用安全技术要求 (GB/T 20271-2006信息系统等级保护安全设计技术要求(GB/T 25070-2010信息系统安全等级保护测评要求(GB/T 28448-2012信息系统安全等级保护测评过程指南GB" 28449-2012信息系统安全管理要求(GBa 20269-2006信息系统安全工程管理要求(GB/T 20282-2006信息系统物理安全技术要求(GB 21052-2007网络基础安全技术要求(GBrr 20270-2006信息系统通用安全技术要求(GB 20271-2006操作系统安全技术要求(GBrr 20272-2006数据库管理系统安全技术要求(GB/T 20273-2006信息安全风险评估规范(GB" 20984-2007信息安全事件管理指南(GB/T 20985-2007佶息安全事件分类分级指南(G3'Z 20986-2007信息系统灾难恢复规范(GB/T 20988-2007四、方案整体设计1、信息系统定级确定信息系统安全保护等级的流程如下：识别单位基本信息了解单位基本信息有助于判断单位的职能特点，单位所在行业及单位在行业所处的 地位和所用，由此判断单位主要信息系统的宏观定位。识别业务种类' 流程和服务应市点了解定级对象信息系统中不同业务系统提供的服务在影响履行单位职能方面 K体方式和程度，影响的区域范围、用户人数、业务的具体数娓以及对本单位以外机构 或个人的影响等方面