信息安全等级保护 实施方案

实施方案)

1.等保体系技术部分建设

• 安全管理中心建设

  在进行安全系统建设时，应当首先建设管理中心，从安全管理的高度为
  后续的安全建设打下基础。必须要从系统管理、安全管理、审计管理、事件管理、
  风险管理、安全工作管理等方面进行统一考虑，特别要实现集中身份管理、集中
  认证授权、集中操作审计。

  1. 部署安全管理平台和策略服务器对计算环境安全支撑平台实施统一的安
     全管理，实现包括主客体标记、用户授权、策略维护和更新在内的安全
     管理职能；
  2. 部署系统管理平台和 CA 系统，对整个系统的证书和密钥实施统一管理，
     对用户身份和软硬件资源配置实施统一控制和管理；
  3. 部署审计管理平台，接收部中心数据交换区和各省区数据交换区审计日
     志，为审计信息的存储、分析和处理提供平台，作为管理员实施事件追
     踪、责任认定以及实施应急响应的依据。

• 计算环境安全建设

  • （a ） 用户身份鉴别

    在每一个用户登录到维护终端时，采用受安全管理中心控制的口令、指纹、令牌、数字证书的组合机制进行用户身份鉴别，并对鉴别数据进行保密和

  • （b )强制访问控制

    数据交换服务器操作系统层的安全加固系统对服务器资源的访问行为实施
    　　严格的访问控制，包括对于用户访问行为的控制和进程访问权限的控制，有效

  • c ) 系统安全审计

    服务器安全加固软件及设备的审计模块记录系统的相关安全事件。审计记录
    包括安全事件的主体、客体、时间、类型和结果等内容。审计管理平台提供审计
    记录查询、分类、分析和存储保护，对特定安全事件进行报警，同时终端安全保
    护系统（服务器版）能够确保审计记录不被破坏或非授权访问。

  • （d ） 用户数据完整性保护

    以密码技术和机制为基础，终端安全保护系统（服务器版）的完整性校验机
    制和防篡改机制保护数据交换服务器重要资源不会被篡改，且在其受到破坏时能
    对重要数据进行恢复。终端安全保护系统（服务器版）的访问控制机制保证用户
    重要数据不会被非法访问和篡改。

  • （e ）用户数据机密性保护

    终端安全保护系统（服务器版）的访控机制以及透明加解密机制将对服务
    器存储的敏感数据机密性实施有效保护，访问控制机制能够防止非授权用户读取
    敏感信息，透明加解密机制对硬盘存储的敏感数据实施加密存储保护，即使非法
    人员窃取硬盘设备，在没有用户合法密钥的前提下也无法解密敏感信息。

  • （f ） 客体安全重用

    终端安全保护系统（服务器版）对用户使用的客体资源实施针对性保护，
    在这些客体资源重新分配前，对其原使用者的信息进行清除，以确保信息不被泄
    露，实现客体的安全重用。

  • （g ） 程序可执行保护

    终端安全保护系统（服务器版）可构建从操作系统到上层应用的信任链，
    其中采用可信计算等技术，实现系统运行过程中可执行程序的完整性检验，阻止
    非授权程序的启动和执行，同时防范重要执行程序被篡改，对病毒、木马、蠕虫
    等恶意代码具备自身免疫能力。
    通过安装终端安全保护系统软件，可以在内核层对操作系统进行可
    信改造和安全增强。终端安全保护系统在原操作系统的基础上，强化了
    其身份鉴别、数据保密性保护、系统完整性保护以及行为审计机制，增
    加了强制访问控制、边界保护机制，避免安全机制因操作系统漏洞而被
    旁路，为全面安防打下基础。

2. 安全管理制度体系建设

• 需制定安全管理制度

  等级保护对信息系统的管理制度体系提出了新的要求，现有的管理制度体系
  已经不能够完全满足，因此，需要我们应结合《信息系统安全等级保护基本要求》
  中的相关要求，对现有的管理制度进行修改和完善，并添加新的管理制度。

• 管理制度的制定与发布
  • 管理制度的编制与制定：

    管理制度应该由信息安全管理部（处）指定部门或人员，根据有关法规、政
    策、标准的要求，结合外汇管理局信息系统的实际情况进行编制和制定；

  • 管理制度的评审

    原有管理制度的修改或新制定的管理制度，应组织有关人员进行充分论证和
    审定，评审通过后，再根据新编制度的级别送信息安全管理委员会或信息安
    全管理部（处）进行审批。

  • 管理制度的发布：

    原有管理制度的修改或新制定的管理制度，通过信息安全管理委员会或信息
    安全管理部（处）审批后，方可正式发布、执行。管理制度应注明发布范围、
    有效时限等，通过正式、有效的方式进行发布，对收发文进行登记，并指定
    有关部门对制度的执行进行监督和审查。

  • 管理制度的修订：

    信息安全管理部（处）应定期组织相关部门和相关人员对安全管理制度体系
    的合理性和适用性进行审定；应定期或不定期对安全管理制度进行检查和审
    定，对存在不足或需要改进的安全管理制度进行修订。

  • 管理制度的管理：

    管理制度应该由信息安全管理部（处）指定部门或人员进行管理与解释；所
    有制度文本应具有统一的格式，并进行版本控制。

3.人员安全管理建设

• 人员录用

  严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行
  审查，对其所具有的技术技能进行考核；
  所有录用人员都应该根据其所接触的信息敏感级别签订相应的保密协议；
  应签署保密协议；
  关键性岗位人员必须从内部人员中选拔，并签订相应的安全协议；

• 人员离岗

  应严格规范人员离岗过程，应及时终止和收回离岗员工的所有访问权限；
  应将离岗人员身份证件、钥匙、徽章等以及机构提供的软硬件设备及时收回；
  应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可
  离开；

• 安全培训与考核

  信息安全管理部（处）应制定《信息系统安全意识与技能培训制度》，针对不
  同的岗位制定不同的培训计划，对各类人员的安全意识、安全基础知识、岗
  位技能、岗位操作规程、安全技术等进行培训，并将培训的情况和结果进行
  记录并归档保存；
  信息安全管理部（处）应制定《信息系统安全意识与技能考核制度》，定期对
  各个岗位的人员进行安全意识与技能进行考核，对关键性岗位人员的考核应
  该更加的全面与严格，并将考核的情况和结果进行记录并归档保存；

• 外部人员访问管理

  信息安全管理部（处）应制定《外部人员访问管理规定》，对外部人员的访问
  行为进行规定和约束；外部人员在访问受控区域前必须先提出书面申请，批
  准后方可进入，且访问过程必须由专人全程陪同；访问情况应登记备案；

4.整合多种安全技术手段为安全管理提供支撑和依据

• 主动防御技术手段

  硬件网络是信息系统运行的介质平台，整合多种安全技术手段，对信息系统
  可能存在的安全隐患与漏洞进行封堵。合理部署入侵检测、漏洞扫描、防火墙、
  终端安全保护系统（服务器版和普通版）、网站防护系统、抗拒绝服务系统、身
  入侵检测、漏洞扫描、防火墙、
  终端安全保护系统（服务器版和普通版）、网站防护系统、抗拒绝服务系统、身
  份认证网关等安全加固产品，构建信息系统的安全防御体系，将安全威胁屏蔽在
  大门之外。

• 安全事件处理技术手段

  对信息系统中存在的安全风险进行充分的评估，整合多种安全技术手段，为
  所有可预见的安全事件建立应对机制。通过安全事件侦测与封堵、自动恢复机制、
  设备的冗余设计、数据的备份
  安全事件侦测与封堵、自动恢复机制、
  设备的冗余设计、数据的备份等技术手段，构建信息系统的应急机制，保证在安
  全事件发生时能够及时的恢复正常状态、阻止事态扩大、保证系统可用性、保证
  信息数据的安全性等。

• 事后究责技术手段

  建立完善的审计与监督机制，整合多种安全技术手段，对信息系统中所有的
  安全行为进行记录和侦测。通过 安全审计系统、安全设备日志等设备或手段，对
  信息系统中的所有安全行为进行定位，并使之与安全行为主体身份相关联，使所
  有的安全行为均有记录且抗抵赖，作为事后究责的重要依据。

• 技术手段的加强与完善

  信息技术发展日新月异，不断有新型的攻击、破坏手段出现，所以，信息系
  统的安全体系也应该与时俱进。对曾经发生的安全事件进行总结，对新出现的安
  全攻击、破坏行为采取相应的技术手段进行防范
  曾经发生的安全事件进行总结，对新出现的安
  全攻击、破坏行为采取相应的技术手段进行防范，不断提高信息系统的安防能力，
  使信息系统具有真正意义的安全性。

总结

• 信息系统的安全管理是一个动态的管理过程，随着观念、技术、信息化程度
  的发展，安全管理的指导思想也应该要与时俱进的动态前进，要根据阶段性的信
  息安全目标不断的对安全管理体系加以校验和调整，保证管理体系始终适应和满
  足实际情况的需求，只要做到这样，才能够建设健康的、合理的、有效的外汇管
  理局信息安全管理体系。