网络安全等级保护整改方案（三级）

xxx统计局网络安全等级保护改造建议统计局内部信息网站涉及的网络第1章项目概述 41.1项目背景 41.2项目目标 41.3项目建设的主要内容 41.4项目建设依据 51.5项目建设原则 6第2章现状描述 82.1网络结构 82.1.1存在的问题 92.2网络安全 2.2.1边界防护措施不全面 2.2.2未根据重要信息程度划分子网 2.2.3网络边界的完整性 2.2.4入侵防护和恶意代码防护 2.2.5安全审计 2.2.6网络设备防护 2.3计算环境安全 2.4数据备份与恢复 2.5安全服务 第3章等级保护整改建议 3.1三级系统整改建议 3.1.2计算环境安全 3.1.3数据备份与恢复 3.2安全整改后的整体网络拓扑图 3.3安全整改后的新增设备清单 4.1高可靠性 4.3高性能 4.4易管理 第5章安全服务介绍 5.1安全服务 5.1.1信息安全风险评估 5.1.2渗透测试 5.1.3安全加固 5.2安全管理体系 5.2.1管理体系设计原则 5.2.2安全管理体系设计 5.3安全应急预案体系 5.3.2组织与体系 5.3.3预防预警 5.3.4应急响应 5.3.5后期处置 5.3.6保障措施 5.3.7监督管理 第6章整改方案整体清单 6.1整改清单 1.1项目背景网络安全等级保护是国家信息系统安全保障工作的基本制度和基本国策，是国家对基础信息网络和重要信息系统实施重点保护的关键措施。按照网络安全等级保护制度和相关要求，切实提高系统安全保护能力和信息安全管理水平，确保信息系统具有相对应等级的安全防护能力，xxx统计局开展了等级保护相关工作，并邀请测评机构对内部信息网站进行测评。本方案根据测评机构网络安全测评中发现的问题编制本方案，目的是帮助xxx统计局对网络进行整改，提高信息系统的整体安全保护水平，达到网络安全相应等级保护的要求。1.2项目目标发现xxx统计局内部信息网站基础网络中存在的问题，提出相关整改建议，提高信息系统的整体安全保护水平，达到信息安全相应等级保护的要求。并结合当前的实际情况，通过整改后能全方位保障xxx统计局统计专网网络信息资产安全，把控网络安全风险；在发生网络安全事故时能有效避免安全事件发生或能通过相关防护机制减少故障恢复时间和减小影响范围；规避利益损失、名誉损失、政治风险。1.3项目建设的主要内容本次项目建设是对等保测评过程中发现的问题进行安全整改，并适当补充安全防护措施，加强统计局统计专网的安全防护能力。涉及的系统为内部信息网站。针对等保测评分析结果，从物理安全、安全区域边界、安全通信网络、安全计算环境、安全管理中心及管理安全等方面着手，完善管理制度、优化安全策略、调整网络结构、增加必要的软硬件设备或系统。其中，部分等保测评发现的安全风险问题，可以通过修改设备配置、优化其他的整改内容则需要新购软硬件设备或系统进行项目建设才能完成。(一)物理安全建设内容自动气体灭火装置、电子门禁、视频监控、精密空调、其他人工整改项(防水、线缆整理、标签、环境整理等)。(二)网络安全建设内容1)日志审计、运维审计、数据库审计、高级威胁分析平台及统一安全管理护为基础，优化访问控制策略和网络架构；在服务器区域边界处新增WEB应用防火墙，加强服务器区边界和WEB应用层安全防护；新增或利旧核心区域交换机(冷备)解决核心链路单点故障问题。通过利旧统计专网出口的防火墙，开启防病毒及入侵防御功能，增强统计专网出口的安全防护能力。2)安全风险评估、网络安全应急预案及应急演练制定网络安全应急预案并定期演练、定期开展网络安全风险评估(每年至少一次)3)完善统计局内部网络安全组织架构和相关管理制度。此外，信息技术的不断发展决定了网络安全的建设和管理没有终点，将会永远在路上。因此巴中统计局对信息系统安全方面的整改和建设将是一个长期的、持续不断的过程。今后，随着统计局信息化不断发展，以及国家对关键信息基础设施单位的要求、网络安全等级保护测评要求和公安部相关标准规范的不断深化，将会持续进行相应的安全建设和整改。1.4项目建设依据■《信息安全技术网络安全事件应急演练指南》GB/T38645-2020■《信息安全技术网络安全等级保护安全设计技术要求》GBT251.5项目建设原则xxx统计局网络安全等级保护整改后，信息系统应具有标准、稳定、先进和灵活的架构，能按需调整并可持续扩展，为业务系统运行提供安全可靠的业务保障，也能满足未来3-5年内各业务系统的发展需求。系统设计遵循以下总体原则：●安全系统稳定可靠受到不同程度的影响，最严重的网络故障可以造成全部业务系统的瘫痪。因此，要求xxx统计局的网络安全系统设计充分考虑稳定和可靠的性能。●安全设计切合实际信息化建设的安全设计，必须要理解相关业务，方案设计应基于实际，避免投资浪费。同时，网站信息系统信息安全虽有许多共同点，但每个单位的实际情况也可能有很多差异性，照搬照抄和生搬硬套都会脱离实际。因此，xxx统计局信息化建设的安全系统设计可以借鉴其他单位的成功经验，又一定要根据实际情●安全系统扩展灵活目前信息技术发展速度非常快，系统设计既要考虑解决眼前的现实问题，又要考虑未来扩展的需要，只有充分地考虑系统的扩展性才能提高投资的有效性、保证技术体制的连续性、避免重复投资。●安全体系科学完善系统设计应充分考虑到各个层面的安全风险，整体规划构建完整的安全防护体系，又要充分考虑投资、安全动态发展的因素，区分轻重缓急，分步实施，逐步完善。同时，应确保方案中使用的信息安全产品和技术方案在设计和实现的全过程中有具体的措施来充分保证其安全性。●安全措施协同关联建立协同防御体系，设计时所采用的各种安全措施，应充分考虑相互间的关联性，通过综合防护手段，保证安全措施的-致性、有效性，避免一点突破，全●安全管理简单高效充分考虑各级各单位安全管理的长期性、复杂性以及技术力量的不均衡，通过集中高效的安全管理措施，实现安全策略的集中、快速部署，安全运行情况的统管理，安全风险的整体把握。信息化发展的目的是解决业务办公的需要，业务系统的建设是实际业务开展必用的内容，在业务系统建设中优先选用国产品牌，满足自主可控的标准，保障xxX统计局针对内部信息网站面临的主要安全威胁采取了相应的安全机制，基本达到保护信息系统重要资产的作用。其中：在安全物理环境方面，机房建设在政府大楼15楼，具备防震、防雨能力，机柜中的设备均已固定，部分设备设置了明显不易去除的标签。机房地板为防静电地板，且所有机柜均已进行了接地处理。机房已配置1台普通空调对机房内的温度进行控制调节，当前机房温度为18℃。机房已配备UPS备用电源系统，通过UPS实现稳压和过电压防护功能。在断电情况下，UPS的容量可保证系统设备在断电的情况下正常运行4小时。在安全通信网络方面，已绘制与当前拓扑情况相符的拓扑图，重要网络区域未部署在系统边界处，且已在系统边界处部署了防火墙，在防火墙上设置了细粒度的访问控制策略，防止非授权访问。在安全区域边界方面，系统边界划分为统计专网边界。统计专网边界部署了深信服防火墙，并配置了具体的访问控制策略，能够对通过边界的数据流量进行控制，深信服防火墙能够对网络攻击和入侵行为进行报警。在安全计算环境方面，网络设备、安全设备、服务器、数据库、应用系统、管理终端已开启身份鉴别机制并为登录的用户分配相应的账户和权限。已开启安全审计功能，主机、终端都已安装金山终端安全系统V2,并更新病毒库版本到管理区、安全管理区和服务器区；内部运维管理区为整个统计局运维人员及使用统计业务人员的接入区，服务器区部署了内部信息网站，整体网络中在统计专网出口部署了防火墙、在安全管理区部署了VPN设备、终端防病毒系统及内网安全具体拓扑结构示意图如下：华为S1?:扣文换机安全管理区金山终端安全管理系统V2.0北信源内网安全及补丁分发系统深信服AF-320防火墙华为S57o文热机运维管理区科室终淄服务器区图1-xxx统计局网络拓扑图xxX统计局网络整体网络缺乏WEB应用攻击、安全审计、日志留存、新型攻击威胁、攻击行为事后溯源的能力，同时整个网络存在部分区域边界防护不到位、策略粗略等缺陷。具体如下：在安全物理环境方面，机房地板下方均未设置防水堤等、未配备精密空调对机房湿度进行调节、未配备电子门禁、机房配置喷淋消防设施、未配置自动消防系统、机房存在易燃纸箱等。在安全通信网络方面，关键网络设备未冗余、网络设备未采用密码技术进行通信完整性验证、未对系统设备进行可信验证、未对单位业务网和办公网进行分类，能够通过连接单位办公WiFi对统计内网进行连接管理等。在安全区域边界方面，服务器区边界未采取安全防护措施、未对边界设备进统计专网边界深信服防火墙未激活防病毒模块等。在安全计算环境方面，网络设备通过Telnet进行管理、部分设备未开启登录失败处理功能、未重命名默认用户名、未定期对备份数据进行恢复测试、未限制设备的远程管理地址、未对设备进行可信验证等、未配备日志审计系统对设备2.2网络安全等保要求：避免重要网段部署在网络边界处且直接连接外部信息系统。重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；a.服务器区域边界直连核心交换机，无边界防护措施，受到内部攻击时无任何安全防护；系统业务网段和办公网段未进行划分，重要设备易遭受核心接核心接是务器区直连核心与办公网同-网非服务运维管理区o防火墙2.2.2未根据重要信息程度划分子网a.服务器区域的业务系统与办公网均处于一个网段，攻击者可能通过低安全级别的办公终端为跳板向安全级别较高的业务系统发起攻击；等保要求：避免重要网段部署在网络边界处且直接连接外部信息系统。a.能够通过连接单位办公WiFi对统计内网进行连接管理等。b.外部终端可通过连接办公WiFi接入统计专网，造成直接绕过已有的防范措施，直接将内网暴露在互联网。2.2.4入侵防护和恶意代码防护1.应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机2.应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻3.应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。统计专网边界防火墙未开启防病毒功能，缺乏对恶意代码进行检测和清整体专网内未有对新型网络攻击、变种病毒、垃圾邮件的检测和防护机等保要求：应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；保留六个月以上。a.当前网络中网络设备未开启日志记录，也无专业的日志数据审计分析设备，不能对记录数据进行分析，导致无法对实时事件追踪、责任认定以及实施应急响应的依据，同时也无法满足《中华人民共和国网络安全法》中审计信息要有效的存放且留存至少半年以上；b.当前网络中无法对合法人员运维操作进行详细记录，无法细化至操作的每一条指令，而且能够将所有的输出信息全部记录下来，同时运维操作审计记录要具有回放的功能，能够模拟用户的在线操作过程，保证审计人员有据可查。C.无法对内网系统数据库进行活动实时记录，对数据库操作进行细粒度审计，也无法对数据库遭受到的风险行为进行告警，攻击行为进行阻断等等保要求：应通过设定终端接入方式或网络地址范围对通过网络进行管理的身份鉴别信息具有复杂度要求并定期更换；a.未限制登录设备的用户地址，内网任何终端均可登录连接，增加设备被b.当前仅采用数字口令方式对登录用户身份进行鉴别；2.3计算环境安全入侵及恶意代码防范)a.信息网站操作系统口令复杂程度过低，未定期更换系统口令；b.操作系统未启用系统auditd日志审计；操作系统和数据库系统管理员c.操作系统未对登录操作、登录超时、登录行为等进行安全设置。证系统的可用性；提供重要数据的本地数据备份与恢复功能。关键信息基础设施单位对重要系统和数据库进行容灾备份。a.网络中核心关键网络设备无冗余；b.信息网站系统无专业设备指导本地数据实时备份与及时恢复功能；急响应/应急演练服务和重大节假日保护服务。者每年至少组织一次安全风险检测评估，并评估情况和改进措施报相关部门”。a.未定期进行安全风险评估、安全加固、应急演练；第3章等级保护整改建议3.1三级系统整改建议3.1.1网络安全击时无任何安全防护；系统业务网段和办公网段未进行划分，重要设备易遭受网1)服务器区与核心交换机之间部署WEB应用防火墙，将服务器区与xxx统计局办公内网安全隔离。2)将统计局内网系统业务网段和办公网段用VLAN逻辑隔离，并按照方便管理和控制的原则为各网络区域分配地址；能通过低安全级别的办公终端为跳板向安全级别较高的业务系统发起攻击；1)服务器区与核心交换机之间部署WEB应用防火墙，将服务器区与xxx统计局办公内网安全隔离。2)将统计局内网系统业务网段和办公网段用VLAN逻辑隔离，并按照方便管理和控制的原则为各网络区域分配地址；a.能够通过连接单位办公WiFi对统计内网进行连接管理等。b.外部终端可通过连接办公WiFi接入统计专网，造成直接绕过已有的防范措施，直接将内网暴露在互联网。内的连接，通过路由设置、物理隔离、逻辑隔离、严格的访问控制等技术手段对网络架构进行整改；统计专网边界防火墙未开启防病毒功能，缺乏对恶意代码进行检测和清除的1)统计专网边界防火墙进行利旧升级，未开启防病毒功能，并保持病毒库2)在安全运维管理区部署高级威胁分析平台，对网络流量实时采集和监控，采取主动的安全分析，通过邮件检测、文件检测、异常流量分析、web攻击检测分析模块，检测预警已知和未知威胁，通过行为分析模块与事件关联，深度挖掘隐藏在网络中的黑客攻击行为，保障业务安全。审计1.当前网络中网络设备未开启日志记录，也无专业的日志数据审计分析设备，不能对记录数据进行分析，导致无法对实时事件追踪、责任认定以及实施应急响应的依据，同时也无法满足《中华人民共和国网络安全法》中审计信息要有效的2.当前网络中无法对合法人员运维操作进行详细记录，无法细化至操作的每一条指令，而且能够将所有的输出信息全部记录下来，同时运维操作审计记录要具有回放的功能，能够模拟用户的在线操作过程，保证审计人员有据可查。3.无法对内网系统数据库进行活动实时记录，对数据库操作进行细粒度审计，也无法对数据库遭受到的风险行为进行告警，攻击行为进行阻断等功能。。数据库审计系统和堡垒机；实现对全网的网络设备、安全设备、服务器、数据库、主机、运维操作的日志进行统一收集和运维管理；日志审计系统，具备统一分析、查询、统计并生成报表等功能，能快速协助运维人员查询日志，溯源操作。堡垒机可进行多因子的身份认证，确定运维人员的唯一性，可将所有的运维设备进行统一管理，可针对不同的运维人员划分不同的运维权限，对运维操作进行记录回放以追踪溯源。数据库审计系统通过监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；在运维管理区增加堡垒机，所有设备仅允许通过堡垒机登录；堡垒机对登录堡垒机的用户采用两种或两种以上的身份鉴别技术，实现用户的身份鉴别。同时配合堡垒机的定期自动改密功能满足等保要求。a.信息网站操作系统口令复杂程度过低，未定期更换系统口令；b.操作系统未启用系统auditd日志审计；操作系统和数据库系统管理员C.操作系统未对登录操作、登录超时、登录行为等进行安全设置。1.采用人工整改方式对主机安全进行安全整改。存在问题：网络中核心关键网络设备无冗余信息网站系统无专业设备指导本1.在网络中新增或利旧核心交换机，与原有单核心交换机组成双核心(热备或冷备的方式),实现关键网络设备的硬件冗余，增强整体网络的健壮2.在网络中部署容灾备份一体机，利用容灾备份一体机的实时备份功能，对重要数据进行备份，并定期进行业务数据恢复演练，确保重要业务系1.引入第三方专业的安全服务，对网络进行每年一次的安全风险评估、安全加固、安全应急演练。3.2安全整改后的整体网络拓扑图网络接入区安全运维管理区网络接入区(开启防病毒功能(开启防病毒功能业务服务器区★★日志审计业务服务器区内网核心交换区墙万兆链路光纤链路千兆链路运营商专线巴中市统计局网络安全等级保护整改方案3.3安全整改后的新增设备清单序号设备名称用途数量部署位置1机房监控系统和红外报警系统机房视频监控1套机房2电子门禁系统电子门禁1套机房31精密空调精密空调1套1项机房防火墙防病毒功能授权网络安全部分统计专网边界恶意代码防范统计专网出口2核心交换机核心网络设备冗余核心交换区3WEB应用防火墙服务器区前部署；实现服务器边界隔离、访问控制、病毒、入侵防范、web应用入侵防御、防篡改、web攻击防护功能服务器区边界4堡垒机用于管理网络设备、安全设备、服务器及应用，实现设备统一登录管理。安全运维管理区5日志审计通过集中采集信息系统中的系统安全事件、用户访问记录、系统运行日志、系统运行状态安全运维管理区巴中市统计局网络安全等级保护整改方案等各类信息，经过规范化、过滤、归并和告警分析等处理后，以统一格式的日志形式进行集中存储和管理，结合丰富的日志统计汇总及关联分析功能，实现对信息系统日志的全面审计。6数据库审计通过监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。1台安全运维管理区7高级威胁分析平台检测、预警高级威胁、APT攻击1台安全运维管理区8数据容灾备一体机提供实时备份、远程数据备份与恢复功能，支持远程的数据库备份和文件系统备份，支持一对一的灾难备份；多对一的集中式备份。为系统稳定可靠地运行提供安全保障，确保用户数据安全，1台安全运维管理区9安全服务安全风险评估、安全加固、漏洞修复、应急演练1项/巴中市统计局网络安全等级保护整改方案4.1高可靠性当前网络经过等级保护整改后核心骨干网络采用冗余方式部署。在某条线路或设备出现故障时，不会影响到整体业务的正常运行。4.2安全性安全运维管理区、内网办公区；将安全级别相同的设备置于同一个区，并在各个区域之间进行严格的访问控制，可以最大限度的确保网络安全并且不同区域相互核心骨干网仅做数据传输，相关访问控制全部在接入区和网络边界安全设备上进行，保证整个网络系统的高性能。4.4易管理整个网络结构采用模块化设计，所有设备均通过运维管理区进行管理，设备维护安全且简单。巴中市统计局网络安全等级保护整改方案5.1安全服务安全服务是加强网络信息系统安全性，对抗安全攻击而采取的一系列措施。网络安全建设的最终目的是为了解决来自“人”的各种安全威胁，单纯只依靠安全设备，无法动态的抵御真正的安全威胁；安全服务是从黑客攻击方的角度去发现现环境下存在的的网络安全隐患；定期的安全服务可以查漏补缺，补齐网络安全防御体系中短板。安全服务以专业的人员为纽带，通过定期的调整安全策略和修复安全隐患，形成一套动态的安全保障体系，能极大的提升整体的安全防护能力。同时《中华人民共和国网络安全法》第三十八条中指出“运营者每年至少组织一次安全风险检测评估，并评估情况和改进措施报相关部门”,表明网络安全工作常态化，在日常安全工作中引入安全服务确保安全防护机制真实生效，是我们建设网络安全保障体系中不可缺少的重要环节。本次安全服务是对xxx统计局整体网络整改期间、及整改完毕后(合同约定时间内)提供的一系列安全服务。目的是全面提高信息系统的整体安全保护水平，渗透测试、安全加固、应急演练等。本次安全风险评估服务时，主要采用的风险评估模型如图-风险评估模型所弱点后果可能性影响根率资产拥有者威胁来源安全风险评估中要涉及资产、威胁、脆弱性三个基本要素。每个要素有各自的属性，资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度。风险分析的主要内容为：(1)对资产进行识别，并对资产的价值进行赋值；(2)对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；(3)对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；(4)根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；(5)根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件(6)根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。风险评估服务内容本次安全风险评估主要针对xxx统计局的各业务应用服务器、数据库、网络安全进行安全评估，获得应用服务、数据库、网络的安全风险情况。主机安全评估服务主机安全评估的对象包含计算机硬件系统、操作系统及其附带的软件系统(如微软的IIS);主机安全评估不包含非附属于操作系统的软件产品(如微软主机安全包括巴中市统计局网络安全等级保护整改方案用户许可权限帐户锁定设置选项帐号安全管理系统日志受信主机安全安全终端设置系统文件完整性及存取许可安全文件系统安全特性信任域的管理FTP服务器安全邮件系统安全Xwindow安全共享服务安全Proxy服务安全巴中市统计局网络安全等级保护整改方案主机安全服务涉及到BIOS、操作系统的基本配置文件、系统注册表、操作系统附带应用的配置文件，以及补丁等多个方面。主机的评估主要从补丁管理、最小服务原则、最大安全性原则、用户管理、口令管理、日志安全管理以及入侵管理七个方面进行归类处理。工具扫描部分从制定扫描方案开始。首先确定扫描内容，扫描工具和扫描方法。由于一些扫描对系统可能造成影响，因此要进行扫描代价分析(Scanningcostanalysis),提供书面的扫描代价分析报告，并提供紧急处理和恢复措施；通过和客户交流和协商，确定扫描方案。用户确认后，开始进行实际扫描，以发现系统安全漏洞。扫描后，工程师将向用户提供一份双方都认可的系统安全审计人工分析部分由安全专家通过对客户业务应用情况，主机情况的了解来进数据库安全评估概述：完整，全面发现本项目范围内系统数据库的漏洞和安全隐患数据库用户名和密码管理用户权限设置密码策略设置冗余账号的管理通讯安全配置登录认证方式数据的安全巴中市统计局网络安全等级保护整改方案敏感信息的存储方式数据库备份数据库存储介质安全传输加密安全漏洞检查数据库的安全审计登录日志审计操作日志审计考虑到数据库的重要性，数据库评估以人工分析为主，人工分析由安全专家凭据丰富的经验和对客户业务应用情况的了解来进行。工具扫描主要是配合人工分析检查数据库的系统弱口令、安全漏洞等弱点。网络安全评估指对网络中已知或潜在的安全风险、安全隐患，进行探测、识别、控制、消除的全过程。网络脆弱性●数据流●终端主机管理安全巴中市统计局网络安全等级保护整改方案针对网络部分涵盖面多、杂，网络安全评估以人工与工具结合的方式，由安全专家凭据丰富的经验、工具的检测情况和对客户的实际网络情况的了解来进行。工具扫描主要是配合人工分析检查网络的数据流、网络的脆弱性等弱点。渗透测试能够通过识别现有信息系统中的安全问题来帮助xxx统计局了解当前的信息系统安全状况，并以此做针对性的防护措施。全面提升xxx统计局整体网络的安全防护能力，最大程度的减小安全隐患。渗透测试是一种利用模拟黑客攻击的方式，来评估计算机网络系统安全性能的方法。本次渗透测试服务的主要内容是WEB应用漏洞和其他漏洞扫描和一些信息收集。并以渗透测试结果出具渗透测试报告。安全加固是对信息系统中的主机系统(包括主机所运行的应用系统)与网络设备、安全设备的脆弱性进行分析并修补。另外，安全加固也包括了对主机的身份鉴别与认证、访问控制和审计跟踪策略的增强。安全加固是配置软件系统的过程，针对服务器操作系统、数据库及应用中全性，增加攻击者入侵的难度，信息系统安全防范水平得到大幅提升。本次针对xxx统计局的安全加固服务包含但不仅限于以下内容：Mysql数据库加固服务器系统加固操作系统加固网络安全加固应用服务加固网络设备、安全设备加固巴中市统计局网络安全等级保护整改方案5.2安全管理体系为xxx统计局设计和完善现有信息系统的安全防护体系，并严格按照《中华局进行信息系统安全三级等级保护规划和设计。全面增强xxx统计局信息系统抵御安全风险的能力，为xxx统计局各项业务的正常运行、健康发展提供强大的保管理体系设计严格按照《信息系统安全等级保护基本要求》第三级的标准为安全管理制度包括信息安全工作的总体方针、策略、规范各种安全管理活动的管理制度以及管理人员或操作人员日常操作的操作规程。安全管理制度主要包括：管理制度、制定和发布、评审和修订三个控制点。三级安全管理制度要求：要求机构形成信息安全管理制度体系，对管理制度的制定要求和发布过程进一步严格和规范。对安全制度的评审和修订要求领导对机构内重要的信息安全工作进行授权和审批、内部相关业务部门和安全管理部门之间的沟通协调以及与机构外部各类单位的合作、定期对系统的安全措人员配备、授权和审批、沟通和合作以及审核和检查等五个控制点。三级安全管理机构要求：对于岗位设置，不仅要求设置信息安全的职能部门，而且机构上层应有一定的领导小组全面负责机构的信息安全全局工作。授权审批方面加强了授权流程控制以及阶段性审查。沟通与合作方面加强了与外部组织的沟通和合作，并聘用安全顾问。同时对审核和检查工作进一步规范。对人员安全的管理，主要涉及两方面：对内部人员的安全管理和对外部人巴中市统计局网络安全等级保护整改方案员的安全管理。具体包括：人员录用、人员离岗、人员考核、安全意识教育和培三级人员安全管理要求：在上述基础上要求增强对关键岗位人员的录用、离岗和考核要求，对人员的培训教育更具有针对性，外部人员访问要求更具体。系统建设管理系统建设管理分别从工程实施建设前、建设过程以及建设完毕交付等三方外包软件开发、工程实施、测试验收、系统交付、系统备案、等级测评和安全服务商选择等十一个控制点。三级系统建设管理要求：在控制点上增加了系统备案和安全测评，同时对建设过程的各项活动都要求进行制度化规范，按照制度要求进行活动的开展。对建设前的安全方案设计提出体系化要求，并加强了对其的论证工作。系统运维管理主要包括：环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等十三个控三级系统运维管理要求：在控制点上增加了监控管理和安全管理中心，对介质、设备、密码、变更、备份与恢复等都采用制度化管理，并更加注意过程管理的控制，其中对介质的管理重点关注了介质保密性和可用性管理；安全事件根据等级分级响应，同时加强了对应急预案的演练和审查等。信息安全管理内容涉及：信息安全政策、信息安全组织、信息资产分类与管理、个人信息安全、物理和环境安全、通信和操作安全管理、存取控制、系统的开发和维护、持续运营管理等等，是一个庞大、复杂的系统工程。仅仅依靠技术手段来对业务应用系统进行安全保障，这样的思想是非常错误。必须要做到“领导重视，严格执行有关管理制度，建立信息安全防范意识，技术手段切实可行、有效”,做到“技管并重”才有可能做到真正意义的信息安全。巴中市统计局网络安全等级保护整改方案从系统的管理和运维者的角度来看，技术层面和管理层面必须相互结合、配合良好，其中，尤其需要强调管理的重要性，应以“七分管理，三分技术”的配比来设计安全体系。技术层面通过部署相应的安全产品或技术手段实现，管理层面则需要完善的信息安全管理组织机构、严格的信息安全管理制度和人员安全意识和技能培训、考核等手段来实现。5.2.3安全管理要求《基本要求》中管理安全要求包括：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等五部分内容。5.2.4信息安全管理体系设计安全管理体系设计原则信息安全管理体系设计的基本原则是：在国家有关主管部门的统一领导下，严格遵循国家统一标准要求，严格执行各项管理制度，严格采用各项技术规范、5.2.5安全管理体系设计指导思想《基本要求》以及各类信息安全管理标准均为信息安全管理设计提供一了些原则性的建议，要真正构建符合xxx统计局信息安全管理实际要求的管理体系，在设计过程中应以以下思想作为指导：“信息安全管理的基础，信息安全管理是信息安全的关键，人员管理是信息安全管理的核心，信息安全政策是进行信息安全管理的指导原则，信息安全管理体系是实现信息安全管理最为有效的手段。”安全管理设计具体措施《基本要求》对安全管理体系的设计提出了明确的指导和要求。我们应以《基本要求》为标准，结合xxx统计局目前安全管理现状，从管理机构、管理制度、人员管理、技术手段四个方面着手管理体系的设计和加强。同时，由于信息安全是一个动态的系统工程，所以，还必须对信息安全管理措施不断的加以巴中市统计局网络安全等级保护整改方案校验和调整，以使管理体系始终适应和满足实际情况的需要，使业务应用系统信息资产得到有效、经济、合理的保护。安全管理组织机构设计建议：参照以下信息安全管理架构设计符合xxx统计局信息安全管理特点的制定各信息安全岗位考核办法；制定相应的信息安全责任追究奖惩办法等。具体信息安全管理组织机构可参照以下结构设计或完善。信息安全管理委员会职责：负责对业务应用系统的安全管理进行决策和监督；对下级安全部门的领导层进行委任和授权；委任与授权：其最高领导由xxx统计局主管领导委任与授权；信息安全管理部门职责：总体负责业务应用系统的安全管理，执行具体的日常管理工作，对业务应用系统的安全进行维护和监督；设立安全主管、安全管理专员等安全管理岗位，明确定义各岗位的具体职责；安全管理部安全管理员、系统管理员、审计管理员定义：安全管理员、系统管理员、审计管理员分别为业务应用系统安全管理工作、系统管理工作、审计管理工作的具体执行者；职责：按照制定的安全管理策略，对业务应用系统的安全进行日常的维护与监督；安全管理员、系统管理员、审计管理员向信息安全管理部门进行汇报；委任与授权：安全管理员、系统管理员、审计管理员由信息安全管理部门进行委任与授权；其职责权限应该依循“三权分立，相互监督”、“权限最小化”应急管理小组巴中市统计局网络安全等级保护整改方案定义：业务应用系统安全事故发生时，启动应急机制，对应急预案进行执职责：建立业务应用系统运行应急机制，制定系统应急方案，内容包括各种紧急状态的启动条件、应急处理程序、后备程序、恢复措施、维护计划要求、员工意识培养和教育、人员的责任。定期或不定期的对应急预案中涉及的设备、人员、方案进行检查和审核等，确保应急预案的可用性；委任与授权：根据安全事故涉及信息敏感级别的不同成立相应的应急管理小组，分别由信息安全管理委员会或信息安全管理部门进行委任和授权；安全管理制度体系设计信息安全管理制度是界定职责与责任的标尺，是对信息安全行为进行奖惩处理的依据，是确定信息安全保障体系有效执行的保证，因此，信息安全管理制度体系的完善直观重要。xxx统计局应根据自身业务特点与实际安全需求，制定满足本单位信息安全管理要求的信息安全管理制度体系。通常，信息安全管理制度体系设计包括：新管理制度制定申请、管理制度的编制、管理制度的审核、管理制度的发布、管理制度的变更以及其他管理制度方面的管理规定等。建议：按照以下要求建立和完善信息安全管理制度体系，建立满足自身信息安全要求、合理、有效的安全管理制度体系。1)管理制度的制定与发布管理制度的编制与制定：管理制度应该由信息安全管理部门指定部门或人员，根据有关法规、政策、标准的要求，结合xxx统计局信息安全管理的实际情况进行编制和制定；管理制度的评审原有管理制度的修改或新制定的管理制度，应组织有关人员进行充分论证和审定，评审通过后，再根据新编制度的级别送信息安全管理委员会或信息安全管理部门进行审批。巴中市统计局网络安全等级保护整改方案管理制度的发布原有管理制度的修改或新制定的管理制度，通过信息安全管理委员会或信息安全管理部门审批后，方可正式发布、执行。管理制度应注明发布范围、有效时限等，通过正式、有效的方式进行发布，对收发文进行登记，并指定有关部制度的执行进行监督和审查。管理制度的修订信息安全管理部门应定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定；应定期或不定期对安全管理制度进行检查和审存在不足或需要改进的安全管理制度进行修订。管理制度的管理管理制度应该由信息安全管理部门指定部门或人员进行管理与解释；所有制度文本应具有统一的格式，并进行版本控制。2)需制定安全管理制度xxx统计局信已经发布、制定了一些信息安全管理制度，这些制度文件构成了当前的信息安全管理制度体系。等级保护对业务应用系统的管理制度体系提出了具体的要求，现有的管理制度体系不能够完全满足标准的要求，因此，应根据《基本要求》中的相关要求，结合现有管理制度体系，对现有管理制度体系进行调整和完善，并添加新的管理制度，并发布实施。制度性文件从用途的角度可以划分为管理制度、流程规范和记录文件等三类。目前已经制定了一些管理制度，但还没有制定相应的流程规范和记录文件。完善管理制度，根据日常安全操作编制相应的流程规范和记录文件，严格全管理设计的重点。建议：根据自身业务特点和信息安全方面的需求，根据以下管理制度列表巴中市统计局网络安全等级保护整改方案(但不局限于),补充或完善安全管理制度体系。a)总体信息安全指导文件《信息安全管理组织机构及岗位职责说明》;b)应对安全管理活动中的各类管理内容建立安全管理制度；《外单位计算机及相关设备接入管理规定》;c)制度管理类文件《信息安全管理制度制定及发布的相关规定》;d)人员方面管理规定巴中市统计局网络安全等级保护整改方案流程规范a)技术类操作流程《机房巡检操作规范》《网络及设备故障处理流程与操作规范》;《服务器及存储设备运行状态检测操作规范》;《业务应用运行状态检查操作规范》;b)制度管理类流程文件c)人员管理相关程序记录文件a)技术类记录文件巴中市统计局网络安全等级保护整改方案《网络及设备故障申报及处理结果登记表》;b)管理制度类文件巴中市统计局网络安全等级保护整改方案c)人员管理类记录文件人员安全管理设计人员录用严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核；所有录用人员都应该根据其所接触的信息敏感级别签订相应的保密协议；关键性岗位人员必须从内部人员中选拔，并签订相应的安全协议；人员离岗应严格规范人员离岗过程，应及时终止和收回离岗员工的所有访问权限；应将离岗人员身份证件、钥匙、徽章等以及机构提供的软硬件设备及时收回；应办理严格的调离手续，关键岗位人员离岗须承诺调安全培训与考核信息安全管理部门应制定《信息安全意识与技能培训制度》,针对不同的岗位制定不同的培训计划，对各类人员的安全意识、安全基础知识、岗位技能、岗位操作规程、安全技术等进行培训，并将培训的情况和结果进行记录并归档保存；信息安全管理部门应制定《信息安全意识与技能培训制度》,定期对各个岗位的人员安全意识与技能进行考核，对关键性岗位人员的考核应该更加的全面与严格，并将考核的情况和结果进行记录并归档保存；外部人员访问管理信息安全管理部门应制定《外部人员访问管理规定》,对外部人员的访问行为进行规定和约束；外部人员在访问受控区域前必须先提出书面申请，批准巴中市统计局网络安全等级保护整改方案后方可进入，且访问过程必须由专人全程陪同；访问情况应登记备案；整合多种安全技术手段为安全管理提供支撑和依据硬件网络是业务应用系统运行的介质平台，整合多种安全技术手段，对业务应用系统可能存在的安全隐患与漏洞进行封堵。合理部署信息安全产品，构建业务应用系统的安全防御体系，将安全威胁屏蔽在大门之外。安全事件处理技术手段对业务应用系统中存在的安全风险进行充分的评估，整合多种安全技术手恢复机制、设备的冗余设计、数据的备份等技术手段，构建业务应用系统的应急机制，保证在安全事件发生时能够及时的恢复正常状态、阻止事态扩大、保证系统可用性、保证信息数据的安全性等。事后究责技术手段所有的安全行为进行记录和侦测。通过安全审计系统、安全设备日志等设备或手段，对业务应用系统中的所有安全行为进行定位，并使之与安全行为主体身份相关联，使所有的安全行为均有记录且抗抵赖，作为事后究责的重要依据。技术手段的加强与完善信息技术发展日新月异，不断有新型的攻击、破坏手段出现，所以，业务应用系统的安全体系也应该与时俱进。对曾经发生的安全事件进行总结，对新出现的安全攻击、破坏行为采取相应的技术手段进行防范,不断提高业务应用系统的安防能力，使业务应用系统具有真正意义的安全性。5.2.6信息安全管理体系设计总结伴随信息化进程的推进，必须逐渐建立起了完善的信息安全管理体系。要做到领导的重视，完善的制度，严格采用各项技术规范、标准，严格使用各种认证产品，人员的信息安全方面的培训等。这些制度与措施，会大大加强了xxx统计局信息安全的保障力度，为业务应用系统的安全打下了坚实的管理基础。巴中市统计局网络安全等级保护整改方案业务应用系统的安全管理是一个动态的管理过程，随着观念、技术、信息化程度的发展，安全管理的指导思想也应该要与时俱进的动态前进，要根据阶段性的信息安全目标不断的对安全管理体系加以校验和调整，保证管理体系始终适应和满足实际情况的需求，只有做到这样，才能够设计健康的、合理的、有效的信巴中市统计局网络安全等级保护整改方案5.3安全应急预案体系安全应急体系预案的目的是为了提高处置网络与信息安全突发事件能力，形成科学有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大限度地减轻网络与信息安全突发事件造成的危害。安全应急体系预案编制依据本预案所指网络与信息系统的重要性是根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、经济建设、公共利益以及公民、法人和其他组织的合法权益的危害程度来确定的。重要网络与信息系统主要是指党政事务处理信息系统和相关科研单位、学校、医院的信息系统及承载这些信息系统的网络(以下简称重要信息系统)。不包括运营商基础网络设施。a)积极防御，综合防范。b)明确责任，分级负责。c)以人为本，快速反应。d)依靠科学，平战结合。项目完成后，xxx统计局信息管理部门应与项目组负责人，组成信息安全应巴中市统计局网络安全等级保护整改方案急小组(以下简称应急小组)。发生网络与信息安全突发事件后，由xxx统计局相关负责人与信息安全应急小组，负责全面工作。信息监测与报告进一步完善网络与信息安全突发事件监测、预测、预警制度。要落实责任制，按照“早发现、早报告、早处置”的原则，加强对各类网络与信息安全突发事件和可能引发突发事件的有关信息的收集、分析判断和持续监测。当发生网络与信息安全突发事件时，按规定及时向主管部门和应急小组报告，初次报告最迟不得超过半小时，重大和特别重大的网络与信息安全突发事件实行态势进程报告和日报告制度。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施等。建立网络与信息安全报告制度发现下列情况时应及时向主管部门和应急小组报告：●网络或信息系统通信和资源使用异常，●网络和信息系统瘫痪，应用服务中断或数据篡改，丢失等情况；●其他影响网络与信息安全的信息。预警处理和发布对于可能发生或已经发生的网络与信息安全突发事件，应急小组立即采取措施控制事态，并在1小时内进行风险评估，判定事件等级。必要时应启动相应的预案，同时向相关主管部门通报情况。当发生网络与信息安全突发事件时，值班人员应做好先期应急处置工作，立即采取措施控制事态，同时向应急小组报告。应急小组办在接到网络与信息安全巴中市统计局网络安全等级保护整改方案项目组组建的应急专家组)的联系，掌握最新发展动态。对一般的突发事件，自行负责应急处置工作，有关情况通报主管部门。应急小组在接到发生重大和有可能演变为重大的网络与信息安全突发事件时，要为xxx统计局处置工作提出建议方案，并做好启动本预案的各项准备工作。还要根据网络与信息安全突发事件发展态势，视情况决定赶赴现场指导，组织派遣应急支援力量。应急指挥本预案启动后，要抓紧收集相关信息，掌握现场处置工作状态，分析事件发展态势，研究提出处置方案，统一指挥网络与信息应急处置工作。需要成立现场的工作组的，应立即在现场开设工作组，现场工作组根据应急小组的指示，开展应急处置工作。应急支援本预案启动后，应急小组立即带队前往现场，督促、指导和协调处置工作。设备，支援应急工作。参加现场处置工作的各有关部门和单位在现场工作组的统信息处理应对事件进行动态监测、评估，及时报应急小组，不得隐瞒、缓报、谎报。应急小组要明确信息采集、编辑、分析、审核、签发的责任人，做好信息分析、报告和发布工作。要及时编发事件动态信息供领导参阅。要组织专家和有关人员研判各类信息，研究提出对策措施，完善应急处置计划方案。信息发布当网络与信息安全突发事件发生时，应急小组办公室应及时做好信息发布工作，通过相关渠道发布网络与信息安全突发事件预警及应急处置的相关信息，最巴中市统计局网络安全等级保护整改方案大力度的消除对企业的负面影响。应急小组办要密切关注国内外关于网络与信息安全突发事件的新闻报道，及时采取措施，对媒体关于事件以及处置工作的不正确信息，进行澄清、纠正影响。应急结束网络与信息安全突发事件经应急处置后，得到有效控制，事态下降到一定程度或基本得到解决，将各监测统计数据上报相关领导，由应急小组办公室向xxx统计局主管领导提出应急结束的建议，经批准后实施。善后处理在应急处置工作结束后，要迅速采取措施，抓紧组织抢修受损的基础设施，减少损失，尽快恢复正常工作。统计各种数据，查明原因，对事件造成的损失和有关部门要提供必要的人员和技术、物资和装备以及资金等支持，并将善后处置调查评估在应急处置工作结束后，应急小组立即组织有关人员和专家组成事件调查组，对事件发生及其处置过程进行全面的调查，查清事件发生的原因及财产损失情况，总结经验教训，写出调查评估报告，报告主管领导，并根据问责制的有关规定，对有关责任人员作出处理。特别重大网络与信息安全突发事件的调查评估报告，经应急小组办审核后，报主管领导，必要时采取合理的形式向社会公众通报。应急设备保障重要网络与信息系统在建设系统时应事先预留一定的应急设备，建立信息网巴中市统计局网络安全等级保护整改方案数据保障重要信息系统均应建立异地容灾备份系统(在