智慧园区信息安全规划体系建设方案

微信扫码，打开到小程序

项目编号： 某智慧园区信息安全规划体系 建 设 方 案 1 1.1 需求分析 1.1.1 采购范围与基本要求 建立 XX 高新区开发区智慧园区的信息安全规划体系、信息安全组织体系、信 息安全技术体系、安全服务管理体系，编写安全方案和管理制度，建设信息安全保 护系统(包括路由器、防火墙、VPN)等。要求 XX 高新区开发区智慧园区的信息系统 安全保护等级达到第三级(见 GB/T 22239-2008)。 1.1.2 建设内容要求 (1)编写安全方案和管理制度 信息安全体系的建设，需要符合国家关于电子政务信息系统的标准要求，覆盖 的电子政务信息系统安全保障体系，安全建设满足物理安全、操作系统安全、网络 安全、传输安全、数据库安全、应用系统安全和管理安全体系，确保智慧园区项目 系统的安全保密。 安全管理需求：自主访问控制、轻质访问控制、标记、身份鉴别、审计、数据 完整性。 安全体系设计要求：根据安全体系规划，整个系统的安全体系建设内容包括物 2 理安全、操作系统安全、网络安全、传输安全、数据安全、应用系统安全、终端安 全和管理安全等方面。 (2)信息安全保护系统：满足信息系统安全等级三级要求的连接云计算平台的信 息安全保护系统，其设备为： 设备名称 技术指标要求 单位 数量 专业 VPN 设备 支持基于 TCP、UDP、ICMP 的应用；支持主流操作系统、浏览器； 支持主流商业加密算法与国密算法；产品具备传统 IPSEC/SSLVPN 认 证、加密、接入基本功能；中国制造 台 1 WEB 防火墙 可及时发现 APT、窃取数据等隐蔽性极强的安全事件，并通过云安全 服务提供 7*24 小时安全分析、问题定位、快速响应的技术服务，利 用工具化手段进行威胁处理和情报传递；中国制造 台 1 防火墙 吞吐量不小于 10G，并发连接数不小于 200 万,配置不少于 4 个千兆 电接口，不少于 4 个千兆 SFP 插槽，不少于 4 个万兆 SFP+插槽；中 国制造 台 2 上网行为管理 吞吐量 1G，最大并发连接数 12W，最大用户数 800 人，千兆电口 6 个，支持 BYPASS 功能，单电源，标准 1U 设备；支持部署在 IPv6 环 境中，其所有功能（认证、应用控制、内容审计、报表等）都支持 IPv6；支持多种认证方式，包括用户名密码、IP、MAC 认证、短信认 证、微信认证、二维码认证，并支持以 USB-Key 方式实现双因素身份 认证；支持用户密码强度管理，可设置用户密码不能等于用户名、新 密码不能与旧密码相同，可设置密码最小长度、密码必须包括数字或 字母或特殊字符；支持识别终端系统后台运行的进程信息，防止间谍 软件的运行；支持识别终端操作系统版本、系统补丁安装情况，支持 在旁路模式部署下准入生效，禁止不满足终端检查要求的用户访问互 联网;支持根据网页搜索关键字过滤访问的网站，并发送告警邮件；支 持对移动应用的细分权限控制，微信：微信网页版、微信传文件、微 信朋友圈、微信游戏。移动 QQ：QQ 传文件、QQ 视频语音等；支持 Web 访问质量检测，针对内网用户的 web 访问质量进行检测，对整 体网络提供清晰的整体网络质量评级；支持内置数据中心和独立数据 中心；支持对数据中心分权限查看，具有数据中心 key 功能；支持自 定义报表、查看历史报表、支持日志的导出、报表的定时发送到邮 箱；支持基于“流量”、“流速”、“时长”设置配额，当配额耗尽后，将用 户加入到指定的流控黑名单惩罚通道中；支持动态流量管理，在设置 流量策略后，能根据整体线路或者某流量通道内的空闲和繁忙情况， 自动启用和停止使用流量控制策略，以提升带宽的高使用率，空闲值 可自定义；中国制造 套 1 3 终端杀毒软件 网络版 满足所有办公区办公人员的网络杀毒需求；中国制造 套 1 网络防病毒服 务器端 1 颗 Intel Xeon E3-1220 v5（至强 Xeon 3.0G 8M 1150P 4CORE）处 理器，DDR4 1600 8G*2 16G 内存，1 块 1TB 企业级硬盘，支持 Centos Linux 和 Windows 操作系统；中国制造 台 1 1.2 设计方案 智慧园区信息安全管理体系是全方位的，需要各方的积极配合以及各职能部门 的相互协调。有必要建立或健全安全管理体系和组织体系，完善安全运行管理机制， 明确各职能部门的职责和分工，从技术、管理和法律等多方面保证智慧城市的正常 运行。 1.2.1 安全体系建设依据 根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定的 《信息安全等级保护管理办法》、《信息系统安全等级保护定级指南》等标准，“平 台”的信息系统安全保护等级定达到第三级(见 GB/T 22239-2008)，根据《信息系统 安全等级保护基本要求》、《信息系统安全等级保护实施指南》的信息安全产品， 包括：防专业 VPN 设备、WEB 防火墙、防火墙、上网行为管理、终端杀毒软件网 络版、网络防病毒服务器端等。 1.2.2 安全体系编制原则 4 为实现本项目的总体目标，结合 XX 高新区智慧园区建设基础项目现有网络与 应用系统和未来发展需求，总体应贯彻以下项目原则。  保密原则： 确保各委办局的信息在存储、使用、传输过程中不会泄漏给非授权用户或实体。 项目组成员在为 XX 高新区智慧园区建设基础项目实施的过程中，将严格遵循 保密原则，服务过程中涉及到的任何用户信息均属保密信息，不得泄露给第三方单 位或个人，不得利用这些信息损害用户利益。 完整性原则：确保信息在存储、使用、传输过程中不会被非授权用户篡改，同 时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一 致性。 可用性原则：确保授权用户或实体对信息及资源的正常使用不会被异常拒绝， 允许其可靠而及时地访问信息及资源 规范性原则：信息安全的实施必须由专业的信息安全服务人员依照规范的操作 流程进行，对操作过程和结果要有相应的记录，提供完整的服务报告。 质量保障原则：在整个信息安全实施过程之中，将特别重视项目质量管理。项 目的实施将严格按照项目实施方案和流程进行，并由项目协调小组从中监督、控制 5 项目的进度和质量。 1.2.3 体系建设内容 （1） 安全管理体系 制定和完善与 XX 高新区智慧园区基础建设项目信息安全保护相适应的配套管 理制度和要求，制度相关内容包括安全管理机构、安全管理制度、人员安全管理、 系统建设管理，要求包括对硬件环境和软件环境的要求。 （2） 安全技术体系 根据网络特殊需求和业务流程制定网络安全及安全加固方案，对信息系统内的 操作系统、数据库、安全设备以及中间件的安全配置策略进行加强，降低恶意攻击 者利用安全漏洞威胁系统安全运行的几率，从而有效控制因系统配置不当等因素引 发的业务中断及信息外泄等风险，将高风险漏洞和中风险漏洞降低至可接受的范围 内，使得应用系统的安全状况提升到一个较高的水平。 通过描述云计算带来的信息安全风险，提出了客户采用云计算服务应遵守的基 本要求，从规划准备、选择云服务商及部署、运行监管、退出服务等四个阶段简要 描述了客户采购和使用云计算服务的生命周期安全管理。 6 （3） 安全运维体系 安全运维通常包含两层含义： a) 是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、 防护、排除等运维动作，保障系统不受内、外界侵害。 b) 对运维过程中发生的基础环境、网络、安全、主机、中间件、数据库乃至 核心应用系统发生的影响其正常运行的事件（包含关联事件）通称为安全事件，而 围绕安全事件、运维人员和信息资产，依据具体流程而展开监控、告警、响应、评 估等运行维护活动，称为安全运维服务。 1.2.4 安全体系架构 平台的系统安全体系架构包括以下几方面： （1） 集中用户管理 系统用户在不同的业务系统有不同的角色定义，对应不同的功能权限，需构建 相应的用户集中管理模式，实现用户统一身份和标识管理、统一认证及单点登录。 （2） 用户命名统一 实现用户命名统一，为用户集中管理及信息共享提供支撑。 7 （3） 身份认证 系统对不同岗位人员实行分级授权，对用户的访问权限实行有效的管理。 （4） 访问控制 设置防火墙和网段划分，实现有效的安全隔离和访问控制；同时，在系统权限 方面，对每一个不同的角色，依照最小授权原则，分配完成其任务的最小权限，并 使用基于角色的访问控制机制来控制用户对信息的访问和操作； （5） 入侵检测 设置入侵监测系统，防止非法入侵，及时做出应对措施。 （6） 漏洞扫描 采用专业漏洞扫描工具，定期对网络系统及计算机系统进行漏洞扫描，及时发 现潜在安全隐患，加以防范处理。 （7） 病毒防范 在服务器安装防病毒系统，以提供对病毒的检测、清除、免疫和对抗能力；在 网络内安装网络版防病毒系统，客户端可以在内网升级病毒库，做到整体防御。 （8） 数据安全交换 在系统安全、网络安全的基础上，实现内网和外网、内网和专网间的数据安全 8 交换。 （9） 系统操作日志 通过操作日志功能，定义和区分操作级别，根据操作级别进行记录，为日志分 析功能提供数据，发现并处理安全问题隐患，增强系统防护性能。 此外，系统还可以根据需要提供日志统计功能，对诸如访问量、并发访问数等 系统性能参数进行比对，以便系统管理员及时调整和优化系统性能。 （10）安全防护体系 建立完善的安全防护系统，从安全规章制度建设、安全管理手段建设等方面保 障系统的安全可靠、稳定运行。 1.2.5 信息安全体系设计工作方案 （1）完善信息安全组织体系 成立以政府职能部门为主的“智慧园区”安全管理机构，强化和明确其职责；在 健全信息安全组织体系的基础上，切实落实安全管理责任制。明确各级、各部门作 为信息安全保障工作的责任人；技术部门主管或项目负责人作为信息安全保障工作 直接责任人，强化对网络管理人员和操作人员的管理。 （2）加强信息安全配套建设 9 消除信息安全风险隐患，把好涉密计算机和存储介质、内部网络对外接入、设 备采购和服务外包三个重要的管理关口。对政府信息系统和涉及重大民生及城市公 共服务重要系统，建立与之配套的数据灾备中心。 （3）加强对涉密信息的监督管理 对相关单位将涉密信息存储在联网计算机上并违反规定上互联网，将涉密信息 暴露在互联网上的要及时纠正，并对有关人员进行教育和处理。对网上发布的信息 进行监控，及时发现泄密事件，将危害控制在最小的范围内，使保密制度得到有效 的执行和落实。 （4）建立健全信息安全制度 针对园区信息安全管理制定相应管理制度和规范；要求基础网络和重要信息系 统运营、使用单位根据自身情况，制定包括安全责任制度、定期检查制度、评估改 进制度、安全外包制度、事故报告制度等在内的日常信息安全规章制度。 1.2.6 信息安全体系设计预期成果 预期成果完成编写安全方案和管理制度，信息安全体系的建设，符合国家关于 电子政务信息系统的标准要求，覆盖的电子政务信息系统安全保障体系，安全建设 10 满足物理安全、操作系统安全、网络安全、传输安全、数据库安全、应用系统安全 和管理安全体系，确保智慧园区项目系统的安全保密。  安全信息化系统管理制度 （1） 为规范本单位安全信息化系统的管理，保障系统安全、稳定、可靠运行， 充分发挥安全信息化系统的作用，特制订本细则。 （2） 各部门办公计算机应明确使用人，设置安全保护密码，未经本人许可或 领导批准，任何人不应擅自开启和使用他人的办公计算机。 （3） 维护职责 1）办公室为安全信息化系统运行维护的管理部门，负责安全信息化系统运行 维护工作的协调、指导和管理工作。相关人员负责系统数据日常录入、维护和数据 统计分析。 2）办公室负责安全信息化系统的日常维护和管理工作。组织协调技术合作单 位对安全信息化系统所涉及的软硬件开展故障解决、巡回检查、系统性能调优、系 统升级实施、应用接口、系统拓展应用、应用技术培训等工作。 （4） 维护范围及内容 1）安全信息化系统维护工作的范围：安全信息化系统所涉及的全部硬件设备、 11 操作系统、数据库系统、中间件、应用软件、数据接口以及用户访问权限等。 2）安全信息化系统的主要维护内容包括：系统设备运行状态的日常监测、定 期保养、故障诊断与排除；操作系统、数据库系统、中间件及应用软件的故障诊断 与排除；系统日常的巡回检查；数据交换与传输；配置变更管理；数据问题管理； 系统性能调优；系统升级和拓展应用等。 （5） 日常维护与故障管理 1）技术支持与服务途径： a)技术合作单位派驻现场技术服务组开展日常技术支持服务，提供包括系统、 配置、安装、调试以及使用中遇到的各类技术问题和使用问题的咨询，并协助排查 和解决各类系统故障。 b)技术合作单位定期整理汇编常见问题和解决办法，并以技术文档的形式按季 度提供给办公室。 2）计算机管理员每季度组织对安全信息化系统的运行情况进行巡检。巡检内 容包括：检查系统运行情况并排除故障隐患；收集系统最新运行信息；根据系统运 行情况和用户业务需求提出合理化建议；查看系统运行信息，分析错误记录。 3）计算机管理员每季度对安全信息化系统数据进行备份；每年至少进行一次 12 对办公计算机内部存储信息的清理工作，删除无用信息； 4）系统管理员及各技术服务合作单位应严格按照本文所列附件中的相关要求， 每天检查系统的运行状况并认真做好系统运行日志，定时做好各类维护记录，具体 包括：日维护记录、周维护记录、月维护记录。 5）当系统运行出现故障时，应及时向服务单位报修故障情况并协调技术合作 单位共同解决。排除故障的方式可分为三种类型： a)本地解决故障：能够自行解决或在技术服务合作单位的远程指导下可以解决 的故障，自行解决故障。 b)远程解决故障：由技术服务合作单位通过远程方式在计算机管理员的配合下 进行处理、解决的故障。 c)现场解决故障：由技术服务合作单位派技术人员到现场进行解决的故障。 对需要现场解决的故障，办公室按照故障造成的“影响程度”和“紧急程度”组合决 定的严重等级进行分级处理。 5）当故障属于硬件系统本身的问题时，由技术服务合作单位 整理形成问题分析报告和解决方案，经市局办公室审核批准后，技术服务合作 单位协调配合保修单位对硬件系统进行更换,更新和优化。 13 (6)系统配置管理 1）系统配置管理内容及范围涵盖安全信息化系统中所涉及的全部软硬件。 2）未经信息系统管理人员同意，不得擅自进行系统格式化或重新安装操作系 统，不应擅自变更软硬件配置，严禁安装上网设备、运行代理软件、服务器软件。 如因实际情况确需变更配置（包括增加新设备、扩充设备能力、改变设备的部署、 停用设备、设备的切换以及改变系统软件等）时，要及时报办公室审核备案。 (7) 权限管理 1）安全信息化系统的用户以及权限分配由办公室集中统一维护和管理，并建 立相应用户清单。 2）安全信息化系统中所涉及的操作系统、数据库系统等系统软件的使用权限 由信息中心集中统一维护和管理。 (8) 升级、完善与拓展管理 1）系统软件和应用软件的升级、完善由信息中心统一管理。 2）系统运行过程中的缺陷，由技术服务合作单位协助或承担升级完善的技术 工作，经信息中心核准后进行对系统进行升级。 3）信息中心应根据系统使用部门情况反馈，结合系统的运行状态和功能范围， 14 适时统一组织对系统功能的升级。 4）信息中心负责对安全信息化系统的运行维护工作进行检查，并把检查结果 通报给各技术服务合作单位。  安全管理 自主访问控制、轻质访问控制、标记、身份鉴别、审计、数据完整性。 在技术上 （1）通过安装防火墙，实现下列的安全目标： 1)利用防火墙将 Internet 外部网络、DMZ 服务区、安全监控与备份中心进行 有效隔离，避免与外部网络直接通信； 2)利用防火墙建立网络各终端和服务器的安全保护措施，保证系统安全； 3)利用防火墙对来自外网的服务请求进行控制，使非法访问在到达主机前被拒 绝； 4)利用防火墙使用 IP 与 MAC 地址绑定功能，加强终端用户的访问认证，同时 在不影响用户正常访问的基础上将用户的访问权限控制在最低限度内； 5)利用防火墙全面监视对服务器的访问，及时发现和阻止非法操作； 6)利用防火墙及服务器上的审计记录，形成一个完善的审计体系，建立第二条 15 防线； 7)根据需要设置流量控制规则，实现网络流量控制，并设置基于时间段的访问 控制。 （2）网络内的权限控制 通过目录服务等操作系统存在的服务队对主机内的资源进行权限访问的控制， 可将具体的安全控制到文件级。通过对网络作安全的划分控制、如通过设 置"vlan"等，对整个网络进行权限控制。 （3）入侵检测系统技术 通过使用入侵检测系统，我们可以做到： 1)对网络边界点的数据进行检测，防止黑客的入侵； 2)对服务器的数据流量进行检测，防止入侵者的蓄意破坏和篡改； 3)监视内部用户和系统的运行状况，查找非法用户和合法用户的越权操作； 4)对用户的非正常活动进行统计分析，发现入侵行为的规律； 5)实时对检测到的入侵行为进行报警、阻断，能够与防火墙/系统联动； 6)对关键正常事件及异常行为记录日志，进行审计跟踪管理。 通过使用入侵检测系统可以容易的完成对以下的攻击识别：网络信息收集、网 16 络服务缺陷攻击、Dos&Ddos 攻击、缓冲区溢出攻击、Web 攻击、后门攻击等。 (4)网络防病毒 为了使整个机关网络免受病毒侵害，保证网络系统中信息的可用性，构建从主 机到服务器的完善的防病毒体系。以服务器作为网络的核心，通过派发的形式对整 个网络部署杀毒，同时要对 Lotus Domino 内进行查杀毒。 (5)网络内的信息流动的监控 对网络内流动的信息进行监控，防止非法访问信 息的传播和记录控制非法信息的传播、对"涉密信息"进行安全防护。 (6)无线接入安全管理 现在无线网络使用越来越普遍，对无线网络的接入，同 样需要进行安全控制，可以根据 IP 和 MAC 绑定的方式确保无线接入的安全性，对 未经容许的无线设备、笔记本电脑则无法接入无线网络。有效防止外部的病毒或黑 客程序被带进内网。 (7)操作系统以及应用系统的安全设置 操作系统以及应用系统都提供有强大的安全设置，为保证系统的安全性，我们 要在合理配置好操作系统以及应用系统的安全设置，在这个层面上要在保证安全和 使用方便两者之间的关系取得一定的平衡。 比如操作系统密码口令复杂度、有效时间、应用开放的端口控制、数据库是否 17 容许远程管理、用户账号权限控制等等。并且制定对黑客入侵的防范策略。 (8)安全审计、日志审核机制 网络安全，不光是要防范杜绝，还要建立" 档案"。合理的配置安全审计，一些 重要的安全信息、系统、设备的登入登出，都可以完整记录下来。而日志审核也可 以对于故障排查、安全检查有很好的帮助。 (9)内部网络