"来源:| |ITIL之家ID: ITILZJ "
微信官方账号的回复:干货，领取58元/套IT管理系统文档。
微信官方账号回复:ITIL教材，并领取最新ITIL4语文教材。
目录
1.导言3
1.1.项目背景3
1.2.安全目标4
1.3.设计范围4
1.4.设计基础4
1.5.设计原则5
2.信息系统分析7
2.1.网络现状描述7
2.2.计算机基础设施的建设
2.3.业务应用系统的现状
2.4.安全分类8
3.安全需求分析9
3.1.等级保护基本需求分析9页
3.1.1.信息系统安全等级保护基本要求说明9
3.1.2.技术安全要求11
3.1.2.1 .物理安全11
3.1.2.2 .网络安全12
3.1.2.3 .主机安全性14
3.1.2.4 .应用安全15
3.1.2.5 .数据安全和备份恢复16
3.1.3.管理安全要求16
3.1.3.1 .安全管理系统16
3.1.3.2 .安全管理组织16
3.1.3.3 .人员安全管理
3.1.3.4 .系统建设管理17
3.1.3.5 .系统运行和维护管理17
3.2.额外/特殊保护需求分析18
3.2.1.重要资产分析18
3.2.2.安全弱点分析18
3.2.3.安全威胁分析20
3.2.4.安全风险分析23
3.2.4.1 .物理安全风险23
3.2.4.2 .网络级别的安全风险23
3.2.4.3 .主机级别的安全风险25
3.2.4.4 .应用层的安全风险26
3.2.4.5 .管理安全风险27
3.2.5.对额外/特殊保护需求的分析28
3.3.安全要求摘要29
3.3.1.安全技术保护29
3.3.1.1 .通信网络安全30
3.3.1.2 .区域边境安全
3.3.1.3 .计算环境安全性31
3.3.1.4 .安全管理中心32
3.3.2.安全管理措施33
3.3.2.1 .安全管理组织34
3.3.2.2 .安全管理系统34
3.3.2.3 .安全操作和维护服务34
4.总体安全设计35
4.1.安全系统框架35
4.2.安全策略系统35
4.3.安全组织体系36
4.3.1.安全组织建设36
4.3.2.人员安全管理37
4.4.安全技术系统38
4.4.1.安全技术体系框架38
4.4.2.安全域划分40
4.4.3.安全技术措施的选择41
4.4.3.1 .区域边境安全保护措施41
4.4.3.2 .通信网络安全保护措施42
4.4.3.3 .计算环境安全保护措施42
4.4.3.4 .安全管理中心46
4.4.4.安全软件和硬件产品的部署48
4.5.安全操作系统50
5.信息安全建设规划51页
5.1.信息安全总体建设流程51页
5.2.信息安全项目实施计划53
5.2.1.阶段1:实施基本安全部署53
5.2.2.阶段2:实现全面的安全部署55
5.2.3.阶段3:实现全面的安全优化56
6.安全产品采购预算56
项目背景
为提高企业竞争力，适应新环境，实现科学管理，融入全球经济，某集团启动了ERP项目，吹响了全面实施信息化管理的号角。ERP是以管理会计为核心的信息系统，对企业资源进行识别和规划，从而获得客户订单，完成加工和交付，最终获得客户付款。也就是说，ERP整合了企业内的所有资源，对采购、生产、成本、库存、配送、运输、财务、人力资源进行规划，从而实现资源的最佳组合，获得最佳效益。ERP系统的合理应用将改变企业运营的面貌，给企业管理带来深刻的变革，但与此同时，集中化的数据处理和多方位、多层次的信息应用也会给某一群体带来新的问题——信息安全。
由于某集团的信息系统安全直接关系到生产、销售、人力资源管理等多项核心业务的顺利开展，信息安全成为集团企业在不断加强企业ERP建设的同时必须着力解决的首要问题。集团领导在建设信息系统的同时，也充分认识到同步建设信息安全保障体系的必要性，决定启动信息安全建设项目，分析和控制信息系统可能面临的风险，全面提升集团信息系统的安全防护能力，尽快打造高效、稳定、安全的网络和系统环境，为即将上线的集团ERP系统保驾护航。
对信息系统进行等级保护是国际上的通行做法。中国还在《国务院关于加强信息安全的意见》中纳入了等级保护制度。对影响国家安全、社会稳定和公共利益的重要部门实施强制监管，根据重要程度将信息系统划分为不同的安全等级，制定并发布了一系列相应的信息安全建设和管理政策和标准。如何根据国家信息安全等级保护制度，更加有效地保护重要领域的信息网络，建立长效安全机制，将是未来我国信息安全建设的重点。作为我国重点国有企业之一，a集团信息系统的重要性不言而喻。根据国家等级保护建设的相关要求和规范，结合自身发展要求和业务应用特点，按照等级标准建立一套符合实际保护的信息安全体系是必要和必要的。
安全目标
本项目建设目标是在国家信息系统安全等级保护相关政策和标准的指导下，结合某集团ERP系统的安全需求分析，通过整体信息安全规划、信息安全管理体系建设、信息安全技术策略设计和信息安全产品集成实施等，全面提升某集团ERP系统的安全性。，从而面对当前和未来的安全威胁。实现全网安全态势的统一管理，更好地保障某集团ERP系统的正常运行，全面提升某集团信息系统的安全防护水平，满足国家信息安全等级保护标准的要求。
通过该项目的实施，将为某集团的信息系统构建一个技术与管理相结合的全方位、多层次、动态发展的深度安全体系。
设计范围
这个项目的设计范围是某集团的ERP系统，重点是集团总部的建设，给各分公司出谋划策。
设计基础
基于集团业务的特殊性，其信息安全系统的建设不仅要满足系统安全可靠运行的要求，还要满足国家和行业的相关政策和要求。我们国家非常重视信息安全，国家相关部门也陆续出台了相应的文件和要求。因此，本项目的建设应符合国务院、公安部、国资委等相关机构的要求，参考国际、国内及行业信息安全标准和规范，对信息安全体系进行全面、深入的规划和设计，确保某集团信息系统安全体系建设的先进性和规范性。
集团信息安全建设应遵循的信息安全政策法规包括:
《中华人民共和国计算机信息系统安全保护条例》、《国家加强信息安全工作领导小组意见》、《信息安全等级保护实施意见》、《信息安全等级保护管理办法》、《信息安全等级保护整改指导意见》、《关于进一步推进中央企业信息安全等级保护工作的通知》，某集团在信息安全建设中应参考的信息安全标准和规范包括:
《计算机信息系统安全保护分级指南》、《信息安全技术信息系统安全等级保护实施指南》、《信息安全技术信息系统安全等级保护分级指南》、《信息安全技术信息系统安全等级保护基本要求》、《信息安全技术信息系统安全管理要求》、《信息安全技术信息系统通用安全技术要求》、《信息系统等级保护安全设计技术要求》其他可供集团ERP系统信息安全建设借鉴的信息安全标准包括:
GB/T 22080-2008信息技术安全管理体系要求GB/T 22081-2008信息技术安全管理实用指南IATF信息技术安全管理ISO/IEC 13335指南信息保障技术框架设计原则
集团信息安全系统建设需要充分考虑长远发展需求，统一规划、统一布局、统一设计、规范标准，根据实际需求和投资额度，突出重点，分步实施，确保系统建设的完整性和投资的有效性。方案设计和项目建设应遵循以下原则:
统一规划、分步实施的原则
在建设信息安全技术体系的过程中，我们将首先从一个完整的网络系统架构出发，全方位、多层次地综合考虑信息网络的各种实体和环节，运用信息系统工程的观点和方法论进行统一的、整体的设计，集中有限的资源解决最紧迫的问题，为后续的安全实施提供基础保障，通过逐步实施实现信息网络系统的安全增强。从解决主要问题入手，随着信息系统应用的发展，逐步改进和完善信息系统建设，充分利用现有资源进行合理整合。
标准化和规范化的原则
信息安全防护体系建设应严格遵循国家和行业相关法律法规和技术规范的要求，从业务、技术、运营管理等方面设计项目的整体建设和实施。，充分体现标准化、规范化。
关键保护原则
根据信息系统的重要性和业务特点，可以划分不同安全保护等级的信息系统，实现不同的安全保护，对涉及核心业务或关键信息资产的信息系统，可以通过集中资源进行优先保护；在本方案的设计中，我们将重点保护某集团总部的网络信息系统，防止来自内部和外部网络的安全威胁。
适度安全原则
任何信息系统都不可能达到绝对的安全。在安全规划过程中，应在安全需求、安全风险和安全成本之间进行平衡和妥协。过高的安全要求必然导致安全成本的快速增加和操作的复杂性。
适度安全也是等级保护建设的初衷。因此，在分级保护设计过程中，一方面要严格遵循基本要求，从网络、主机、应用、数据等方面加强保护措施。，以确保信息系统的保密性、完整性和可用性。另一方面，从综合成本的角度出发，根据信息系统的实际风险提出相应的保护强度，根据保护强度设计和建设安全保护系统，从而有效控制成本。
技术与管理并重的原则
信息安全从来都不是单纯的技术问题。把防止黑客攻击和病毒感染理解为整个信息安全问题是片面的。仅仅通过部署安全产品很难完全覆盖所有的信息安全问题。因此，有必要将技术措施和管理措施结合起来，更有效地保障信息系统的整体安全。
高级形态和成熟原则
建成的安全系统应在设计理念、技术体系和产品选择上实现先进性和成熟性的统一。本方案设计采用了国际国内先进实用的安全技术和产品，选择了当前和未来一定时期内具有代表性和先进性的成熟安全技术，既保证了当前系统的高安全性和可靠性，又满足了系统在长生命周期内的持续可维护性和可扩展性。
动态调整原则
信息安全问题不是一成不变的。信息安全系统的设计和建设必须遵循动态性原则。我们必须适应不断发展的信息技术和不断变化的漏洞，我们必须能够及时和持续地改进和完善系统的安全措施。
经济原则
在项目设计和建设过程中，充分利用现有资源，在可用的前提下充分保证系统建设的经济性，提高投资效率，避免重复建设。
信息系统分析
信息系统分析是确定信息安全系统设计的范围，并根据分析结果划分信息系统和定义安全保护等级。
网络状态描述
目前，集团信息系统主要分布在北京、上海、兰州、长春、武汉、成都等地。各地的信息系统还不完善，信息化的步伐还需要大大加强。
图21集团信息系统分布示意图
计算机基础设施建设
目前，该集团有九个分支机构，包括三个IBM X系列服务器和一个EMC磁盘阵列。服务器上有集团网站，OA系统，用友U8财务系统，久其预算系统。
业务应用系统现状
目前，集团已陆续建立了办公OA、预算系统、邮件系统、生产系统、财务系统等多个信息应用系统。这些制度远远不够一个集团公司的发展。
安全分级情况
信息系统等级是等级保护的首要环节，也是信息系统安全建设整改、等级评估、监督检查等后续工作的重要基础。根据《信息安全等级保护管理办法》，信息系统的安全保护等级应当根据信息系统在国家安全、经济建设和社会生活中的重要程度，以及信息系统遭受破坏后对国家安全、社会秩序、公共利益和公民、法人及其他组织合法权益的危害程度确定。
某集团ERP系统目前分类为三级。
安全需求分析
安全需求的主要基础是合规性需求分析和安全风险评估。通过分析国家级保护标准的要求，确定基本安全要求，通过分析信息系统本身可能存在的安全风险，对基本要求进行必要的特殊/附加要求的补充，从而形成最终的安全建设要求。
等级保护的基本要求分析
合规性要求分析的目标是根据信息系统的安全保护等级，判断信息系统现有安全保护等级与国家等级保护管理规范和技术标准的差距，提出信息系统的基本安全保护要求。由于某集团ERP系统为新建系统，安全建设尚未进行，无法分析同等保护的差距。以下将直接采用等级保护的基本要求作为某集团ERP系统安全建设的基本要求。在此基础上，结合已知安全风险的分析结果，补充附加/特殊安全需求。
信息系统安全等级保护基本要求说明
根据《信息安全等级保护管理办法》的规定，信息系统根据其重要程度和被破坏后对国家安全、社会秩序、公共利益的危害程度，分为五个安全保护等级。不同安全保护级别的信息系统有不同的安全需求。因此对不同等级的信息系统提出了相应的基本安全保护要求，各等级信息系统的安全保护要求构成GB/T22239-2008《信息系统安全等级保护基本要求》。
基本要求分为两类:基本技术要求和基本管理要求。其中，技术需求分为物理安全、网络安全、主机安全、应用安全、数据安全及其备份和恢复五个方面。管理要求分为安全管理制度、安全管理组织、人员安全管理、系统建设管理和系统运维管理五个方面。
技术需求主要包括身份认证、自主访问控制、强制访问控制、安全审计、完整性和机密性保护、边界保护、恶意代码防范、密码技术应用等。，以及物理环境和设施的安全保护要求。技术安全需求与信息系统提供的技术安全机制有关，主要通过在信息系统中部署软件和硬件并正确配置其安全功能来实现。根据保护重点的不同，技术安全需求进一步细分为信息安全需求、服务保障需求和一般安全保护需求。信息安全要求是指保护数据在存储、传输和处理过程中不被泄露、破坏和未经授权的修改；保障类要求是指保障系统持续正常运行，防止系统因未经授权的修改和破坏而无法使用。技术要求的总体框架如下图所示:
图3-1等级保护的基本要求-技术要求
管理要求主要包括确定安全策略，落实信息安全责任制，建立安全组织，加强人员管理、系统建设和运维的安全管理。管理安全需求与信息系统中各个角色的活动有关，主要通过控制各个角色的活动，从政策、制度、规范、流程、记录等方面进行规定来实现。在管理要求上，机房安全管理、网络安全管理、系统运维管理、系统安全风险管理、资产设备管理、数据信息安全管理、用户管理、安全监控、备份恢复管理、应急管理、密码管理、安全审计管理等基本安全管理制度要求。提出了建立岗位和人员管理制度、安全教育培训制度、安全施工整改监督制度和自检制度等要求。管理需求的总体框架如下图所示:
图3-2等级保护的基本要求-管理要求
由于信息系统分为五个安全保护等级，其安全保护能力逐级增加，相应的安全保护需求和措施也逐级增强，体现在两个方面:一是随着信息系统安全等级的提高，安全需求的项数增加；第二，随着信息系统安全等级的提高，同样的安全需求强度也有所增加。比如，三级信息系统基本要求在二级基本要求的基础上，增加了网络恶意代码防范、残留信息保护、不可抵赖等三项技术要求。与此同时，对身份认证、访问控制、安全审计、数据完整性和保密性的要求越来越高；在管理方面，增加了监控管理和安全管理中心两个要求。同时对安全管理体系审核、人员安全和体系建设过程管理提出了进一步的要求。
技术安全要求
下面主要参考基本要求中的三级技术要求，提出某集团ERP系统满足等级保护要求的基本技术要求。
人身安全
1.物理访问控制
重要区域应配备电子门禁系统，以控制、识别和记录进入的人员。
2、防盗和防破坏
机房防盗报警系统应采用光电技术设置；
监控和报警系统应设置在计算机房内。
3.防雷法
应设置防雷装置，防止感应雷。
4.防火
机房应配备自动消防系统，能自动探测火灾、报警并自动灭火；
计算机房及相关工作间和辅助用房应采用耐火等级的建筑材料；
机房内应采取防火措施，将重要设备与其他设备隔离。
5.防水防潮
应安装水敏检测仪器或部件，对机房进行防水检测和报警。
6.抗静电的
主要设备应采取必要的接地防静电措施；
机房应使用防静电地板。
7.温度和湿度控制
机房内应设置温湿度自动调节设施，使机房内的温湿度变化在设备运行允许的范围内。
8.电源
机房供电线路上应设置稳压器和过压保护设备；
应提供短期备用电源，至少满足停电时主要设备的正常运行要求；
应建立备用电源系统。
9.电磁保护
关键设备和磁介质应采用电磁屏蔽。
网络安全性
1.安全性鉴定书
专业安全服务人员应根据相关要求对网络结构和网络设备的安全性进行评估，并根据需要进行适当的加固和提出整改建议。
2.结构安全
应保证主要网络设备的业务处理能力和网络链路的传输带宽有冗余空，以满足业务高峰期的需要。
网络应根据业务类型和重要性划分安全域，重要安全域与其他网段和外部网络之间应采取可靠的技术隔离措施。
应根据业务服务的重要顺序指定带宽分配的优先级，以保证在网络拥塞时优先考虑重要主机的通信带宽。
3.访问控制
应在网络边界部署具有会话状态检测功能的访问控制设备，控制粒度为端口级，可控制单个用户对受控系统资源的访问，过滤进出网络的信息内容，实现对HTTP、FTP、TELNET、SMTP、POP3等应用层协议的命令级控制。
应该限制最大网络流量和网络连接数。
重要网段应采取技术措施防止地址欺骗。
4.安全审计
需要开启网络设备的日志功能，记录网络设备的运行状态、网络流量、用户行为等。审核记录应该包括事件的日期和时间、用户、事件类型、事件是否成功以及其他与审核相关的信息。
能够分析记录的数据并生成审计报告。有必要建立一个安全独立的日志存储系统，以保护审计记录不被非法删除、修改或覆盖。
5.边界完整性检查
要部署非法接入监控系统和非法外联监控系统，检查未经授权的设备连接内网或内网用户私自连接外网的行为，准确确定位置，有效阻断。
6.入侵预防
需要在网络边界部署网络入侵检测机制，检测进出边界的网络数据流，如端口扫描、暴力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等。
检测到攻击时，应记录攻击源IP、攻击类型、攻击目的和攻击时间，严重入侵时应报警。
7、恶意代码防范
需要在网络边界部署网关级的病毒过滤系统，检测和清除恶意代码，并提供升级代码库和更新检测引擎的功能。
8、网络设备保护
需要部署双因素身份认证系统来对网络管理员进行身份认证，并且身份认证信息不应被冒用。远程身份验证过程需要加密保护。分离需要系统权限的用户的权限。
主机安全性
1.安全性鉴定书
专业安全服务人员应根据相关要求对主机操作系统和数据库系统的安全性进行评估，并根据需要进行适当的加固和提供整改建议。
2.识别
需要部署双因素认证系统对操作系统和数据库系统的管理员进行认证，认证信息不得被冒用。远程身份验证过程需要加密保护。
3.访问控制
应在重要信息资源上设置敏感标记，并根据安全策略严格控制用户对带有敏感标记的重要信息资源的操作。
4.安全审计
需要审计服务器操作系统、数据库系统和重要的客户端操作系统的用户行为和系统事件。审核记录应包括日期和时间、类型、主题标识、对象标识、事件结果等。有必要建立一个安全独立的日志存储系统，以保护审计记录不被非法删除、修改或覆盖。
能够分析记录的数据并生成审计报告。
5.入侵预防
需要在重要服务器上部署入侵检测机制，对非法入侵和攻击进行检测、记录和报警，并检测和保护系统中重要程序的完整性。
6.恶意代码防范
应安装网络版防病毒软件，以提供统一管理和更新，并应与网关防病毒系统的代码库异构。
7.资源控制
需要实时监控重要服务器的运行情况，包括监控服务器的CPU、硬盘、内存、网络等资源的使用情况，限制单个用户对系统资源的最大或最小使用限制，并能够在系统的服务水平降低到预设的最小值时进行检测和报警。
应用安全
1.安全性鉴定书
专业安全服务人员应根据相关要求对应用系统的安全性进行评估，并根据需要进行适当的加固和提供整改建议。
2.识别
有必要部署双因素认证系统来认证应用系统的用户，并且认证信息不应该被欺诈性地使用。
3.访问控制
应在重要信息资源上设置敏感标记，并根据安全策略严格控制用户对带有敏感标记的重要信息资源的操作。
4.安全审计
需要对应用系统的用户行为和重要安全事件进行审计，审计记录应包括事件的日期、时间、发起者信息、类型、描述和结果。有必要建立一个安全独立的日志存储系统，以保护审计记录不被非法删除、修改或覆盖。
能够对记录的数据进行统计、查询和分析，并生成审计报告。
5.通信安全的应用
应采用密码技术为通信双方提供会话初始化验证，对重要的通信过程进行加密解密和密钥管理，以保证通信过程中数据的完整性，整个通信消息或会话过程的机密性，以及通信双方数据收发行为的不可否认性。
6.资源控制
需要实时监控应用系统的运行情况，合理设置系统的资源分配，并在系统的服务水平下降到预设的最小值时进行检测和报警。
数据安全和备份恢复
1.数据传输的完整性和保密性
应采用密码技术或其他有效措施，确保系统管理数据、身份信息和重要业务数据在传输过程中的完整性和保密性。
2.数据存储的完整性和保密性
应采取特殊的存储安全措施，确保系统管理数据、身份信息和重要业务数据在存储过程中的完整性和保密性。
3.数据备份和恢复
应建立或完善数据备份和恢复机制，在提供本地备份和恢复功能的基础上，建立远程数据备份机制。
应采用冗余技术设计网络拓扑，以避免关键节点的单点故障。应提供主要网络设备、通信线路和数据处理系统的硬件冗余，以确保系统的高可用性。
https://www.itilzj.com/doc-251246.html全文字版方案下载链接
您需要将其复制到浏览器中才能打开它。
福利
