文档编号：等级保护整改方案-03

项目代号：

中国××股份

信息安全专项咨询项目

等级保护整改方案

北京信息安全技术有限公司

2009年9月

保密申明

这份文件包含了来自××星辰的可靠、权威的信息，这些信息是作为××股份正在实施的信息安全专项咨询项目实施专用，接受这份计划书表示同意对其内容保密并且未经××公司书面请求和书面认可，不得复制，泄露或散布这份文件。如果你不是有意接受者，请注意对这份项目实施计划书内容的任何形式的泄露、复制或散布都是被禁止的。

文档信息表

1.1概述

信息安全等级保护是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护、社会稳定和公共利益，保障和促进信息化健康发展的基本策略。信息化发展的不同阶段和不同的信息系统有着不同的安全需求，必须从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，确保重点。要重点保护基础信息网络和关系、经济命脉、社会稳定等方面的重要信息系统。

1.2主要内容

本文档主要描述了××集团2级系统的现状，包括OA系统、ERP系统、资金系统和集团网络，依照《信息安全技术信息系统安全等级保护基本要求》和系统现状进行了比对，分析出系统的不足，为达到系统安全等级2级的要求提出整改方案。

通过此方案的实施提高××集团信息系统的安全防护水平。

1.3目标读者

本文档的目标读者是××集团公司与信息安全相关的决策人员、规划人员、管理人员和执行人员。

2系统识别定级

2.1业务信息受到破坏时所侵害客体的确定

OA系统主要包含：信息发布系统、协同办公系统、邮件系统。属于××集团内部员工的专有信息。

ERP业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。具体即侵害了××集团的合法利益。侵害的客观方面表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对××集团合法权益造成影响和损害，可以表现为：工作职能受到严重影响，业务能力显著下降，造成公司决策失误等不良影响。

资金业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。具体就是侵害了××集团的合法利益。侵害的客观方面表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对××集团合法权益造成影响和损害，可以表现为：影响公司财务和业务正常运转，使公司蒙受经济损失，造成公司决策失误等不良影响。

集团网络遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。即××集团的合法权益。侵害的客观方面表现为：一旦网络系统遭到入侵、修改、删除等不明侵害，会对××集团的合法权益造成影响和损害，可以表现为：网络通讯系统瘫痪、信息系统数据无法交换、企业依托于此网络的各种业务系统停止服务。

2.2信息受到破坏后对侵害客体的侵害程度

通过评估得出以上系统受到破坏后对侵害客体的程度为严重和特别严重级别。

2.3系统定级

参考《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护定级指南》，当前系统遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益，不涉及社会、公共或国家的安全，所以结合下表的对比以及其他企业定级结果。

经过与《信息安全技术信息系统安全等级保护基本要求》的对比分析，××集团各系统安全等级防护水平如下：

3.1ERP系统

 在ERP系统中,安全管理制度离等级保护制度2级要求最远,其次是主机安全,未过半数的还有安全管理机构,人员安全管理和系统运维管理,而数据安全及备份恢复完全符合要求.

   综合分析可以看出,ERP系统十分注重数据的安全,根据自己的实际业务需求做足了功夫,但是缺乏系统的安全管理制度,又因为过分注重数据库而忽略了主机的安全.安全是一个整个,任何一个小的脆弱口都将影响整个系统的安全.

   下图为根据各个项目为个体,其中符合的占该项目的百分比图.

       将所有不符合的项目做一个统计,应用安全和物理安全的条目数占总比例最少,不符合的情况集中体现在系统的运维管理,主机安全,系统建设管理,网络安全这四个方面.具体情况参看上表.

3.2资金系统

     从上图中可以看出,资金系统中,安全管理制度离等级保护2级要求距离最远,其次是主机安全,数据安全及备份恢复完全符合2级要求

下图则反应了在所有不符合的项目集中起来,系统运维管理的不符合数目最多,其次是主机安全.

3.3OA系统

 从上图中可以看出,OA系统中,安全管理制度离等级保护2级要求距离最远,其次是主机安全,数据安全及备份恢复完全符合2级要求

下图则反应了在所有不符合的项目集中起来,系统运维管理的不符合数目最多,其次是主机安全.

4安全管理

ERP系统、资金系统、OA系统依照等级保护2级要求管理方面相对较差，安全的整体框架和大部分的管理制度缺少，没有执行安全工作的组织、人员，运维方面问题较大。结合安全目标和成本的综合考虑，建议先从整体框架的制定、管理文档的修补、安全组织和人员建设方面开展安全工作。后续对安全工作的开展情况进行监控和持续改进。详细情况如下，具体安全防护工作的开展可参考第6章。

4.1安全管理制度

4.1.1现状的不足

立即执行

1.1建立《方针策略文件》，对机构信息安全管理工作的各个方面进行分类。是对各类别工作的规范性要求，如网络安全管理制度、机房安全管理规范等。管理制度制定完成后，需要通过评审，确认文件的合理性与适用性后再正式发布；

1.2在OA系统中，对具体的人员行为和设备、系统操作流程、方法进行较细致的规范时，需编写文件化的《操作规程》、作业指导性文件、操作手册等。

1.3指定或授权专门的部门或人员负责安全管理制度的制定。

持续改进

对制定的安全管理制度进行改进、论证和审定。

4.2安全管理机构

4.2.1现状的不足

立即执行

1.1指定一个部门负责信息安全管理工作，其他部门配合该部门开展工作；负责信息安全管理工作的部门有的时候就是该机构的信息技术部门，部门中会根据岗位划分不同的安全管理岗位；

1.2系统管理员、网络管理员、安全管理员等各岗位明确划分各部分工作的职责与指定工作的负责人员；

1.3设定一名安全管理员，安全管理员不可兼任系统管理员或网络管理员，安全管理员的主要职责就是负责以信息安全为主的管理工作，一般负责日常技术管理工作。

持续改进

1.1安全管理员负责定期对系统进行安全检查，检查的目标是查看系统当前的安全性是否满足业务需要，以及系统安全维护要求是否满足，例如是否定期对数据进行备份，系统有没有漏洞之类的；

1.2定期召开信息安全管理工作的沟通协调会议，会议不一定会是专门的会议，例如在每周的例会上，其中一项讨论事项就是信息安全工作的开展情况之类的，也符合要求。

4.3人员安全管理

4.3.1现状的不足

立即执行

1.1《人员安全管理规定》规定人员离岗过程，规定终止离岗员工的所有访问权限；规定安全技能考核内容、考核范围、考核周期，并有效执行；

1.2针对不同岗位设置不同的《培训计划》，包括培训的频度，包括安全基础知识和岗位操作规程等内容，并有效执行；

1.3确定安全责任内容和范围、奖惩制度，与相关岗位签署《安全责任书》。

持续改进

对外部人员访问受控区域进行书面的申请、登记备案，形成《人员访问审批记录》和《登记备案记录》。

4.4系统建设管理

4.4.1现状的不足

立即执行

1.1根据系统等级防护要求建立系统的《安全建设规划文件》，包含系统建设的总体安全策略、安全技术建设要求、安全管理要求、系统总体建设规划和详细设计方案，并且安排评审、确定；

1.2指定或授权专门的部门负责产品的采购；

1.3建立《软件开发管理制度》包含了对开发流程的控制要求以及对自行开发人员的行为要求。

持续改进

1.1对外包开发的软件进行安全测试，审查源代码中是否包括漏洞或后门，例如网站系统则可以对其进行防SQL注入等脆弱性的安全测试；

1.2外包软件开发需要提供《软件的需求分析报告》、《系统概要设计》、《系统详细设计》、《测试报告》、《用户手册》这几个文件。《测试报告》需要包括安全方面、功能方面、性能方面。

4.5系统运维管理

4.5.1现状的不足

立即执行

1.1修订《机房管理制度》，对物理访问，物品带进、带出机房和机房环境安全等方面的管理做出规定

1.2建立资产《安全管理制度》，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为，按照要求维护《资产清单》

1.3建立《介质处理与安全管理规定》包括介质销毁、介质中数据加密、介质分类标示、送修、盘点规定等

1.4完善《中国××股份有限公司关于终端计算机管理办法》规定终端计算机、工作站、便携机、系统和网络设备的使用操作

1.5建立《网络安全管理制度》和《系统安全管理制度》，对系统安全配置、日志管理、安全策略、口令更新周期、日常操作流程、定期进行漏洞检查、修复和版本更新等方面做出具体规定，包括网络设备（路由器、交换机、流量控制设备、负载均衡设备）、主机设备（服务器、PC机、负载均衡设备）、安全产品（防火墙、防毒墙、IDS、IPS、网页防篡改产品、流量分析设备、DDOS清洗设备、安全审计设备等）、存储设备（磁带、磁阵、带库、移动存储设备）。

1.6应完善系统安全管理的《维护操作手册》，明确系统维护，操作日志记录，重要的日常操作、运行维护记录、参数的设置和修改等内容。是否明确说明严禁进行未经授权的操作

1.7建立OA系统的《变更管理制度》涵盖以下内容：系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告

1.8建立《安全事件报告和处置管理制度》，明确定义安全事件的类型，安全事件等级，规定安全事件的现场处理、事件报告和后期恢复的管理职责

1.9建立整体的安全《应急预案》，包含以下内容：启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等，并对应急预案进行培训、演练，保留培训记录。

持续改进

1.1增加运行日志、网络监控记录的日常维护和报警信息分析和处理工作，可借助IDS报告

1.2定期对网络设备、系统主机等进行漏洞检查、修复和版本更新，在补丁修补前需要在测试环境中测试，选择在业务空闲时先备份后修复

1.3对设备上的服务进行备案，关闭不必要的服务，尤其需要关注漏洞扫描结果中的高危服务漏洞

1.4定期对运行日志和审计数据进行分析，可部署日志审计分析系统，输出《系统审计记录》

1.5当系统发生安全事件，进行分析处理输出《安全事件分析及处理过程记录》

5安全技术

ERP系统、资金系统、OA系统依照等级保护2级要求技术方面相对较好，网络安全和主机安全方面还需要加强。结合安全目标和成本的综合考虑，建议先从设备的安全策略加固、安全域划分方面开展安全工作。后续使用产品对系统进行立体式的防御。另外漏洞扫描系统可以在日常的安全工作中使用，同时将IDS报告分析列入日常安全工作范围内。详细情况如下，具体安全防护工作的开展可参考第6章。

5.1物理安全

5.1.1现状的不足

立即执行

机房出入口应安排专人值守并记录进入的人员和携带的物品。

5.2网络安全

5.2.1现状的不足

立即执行

1.1对核心交换上的配置进行检查，保证设备的冗余，在发生安全事件时能够保证网络的畅通，将核心冗余的核心交换设备上的配置保持一致；

1.2为系统中每个人设立单独的账号避免账号共用

1.3进行网络设备安全加固，对网络设备进行密码加密存储（使用enable secret）

1.4进行网络设备安全加固，远程管理维护使用SSH加密

持续改进

1.1进行安全域划分，按照等级保护安全区域

1.2部署审计系统对各种事件以及用户行为进行审计；

5.3主机安全

5.3.1现状的不足

立即执行

1.1进行安全加固，设置系统登录验证失败6次，账号锁定；

1.2进行安全加固，系统默认账号如果不使用则锁定，或修改默认的口令

1.3当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听，使用SSH管理主机，关闭TELNET；

1.4关闭不必要的服务Rexecd、Dtspcd、Tooltalk、RPC Statd、Send mail、RPC cmsd、Snmp、login(rlogin)、RPC nlockmgr、telnet，并保持系统补丁及时得到更新，首先确认以上服务是否是应用依赖的服务；

1.5进行安全加固，设置系统登录超时锁定策略180秒

1.6应设置ACL管理远程接入，远程登录范围，可在主机上设置host allow 、host deny，或在防火墙上进行

持续改进

1.1部署日志审计分析系统，对安全事件、进行审计

1.2增加UNIX系列系统的恶意代码防护，安装防护软件或部署网络病毒防范，并统一管理

5.4应用安全

5.4.1现状的不足

立即执行

1.1采用密码技术保证通信过程中数据的完整性，对通信过程中的整个报文或会话过程进行加密，至少对登录认证部分进行加密；

1.2开启资金系统的登录失败处理功能，非法登录6次后将锁定该账号，如此模块不能满足要求，则需要增加此模块；

1.3OA系统中没有强制新用户对密码的修改，从管理或技术角度强制系统账号修改默认口令或曾加技术控制模块强制新用户修改密码。

5.5数据安全及备份恢复

5.5.1现状描述

密码采用加密存储，并且主要网络设备、通信线路和数据处理系统进行了硬件冗余。

6整改方案总结

根据与《信息安全技术信息系统安全等级保护基本要求》2级安全防护要求的对比分析结果，参考《信息系统安全保护等级实施指南》建议系统从管理制度的建设和修订、管理机构和人员的设置、人员安全技能培训、技术修补、日常安全管理控制和成熟产品的使用方面进行安全防护。

6.1管理制度的建设和修订

1.1建立《方针策略文件》，对机构信息安全管理工作的各个方面进行分类。是对各类别工作的规范性要求，如网络安全管理制度、机房安全管理规范等。管理制度制定完成后，需要通过评审，确认文件的合理性与适用性后再正式发布；

1.2在OA系统中，对具体的人员行为和设备、系统操作流程、方法进行较细致的规范时，需编写文件化的《操作规程》、作业指导性文件、操作手册等。

1.3《人员安全管理规定》规定人员离岗过程，规定终止离岗员工的所有访问权限；规定安全技能考核内容、考核范围、考核周期，并有效执行；

1.4确定安全责任内容和范围、奖惩制度，与相关岗位签署《安全责任书》。

1.5根据系统等级防护要求建立系统的《安全建设规划文件》，包含系统建设的总体安全策略、安全技术建设要求、安全管理要求、系统总体建设规划和详细设计方案，并且安排评审、确定；

1.6建立《软件开发管理制度》包含了对开发流程的控制要求以及对自行开发人员的行为要求。

1.7修订《机房管理制度》，对物理访问，物品带进、带出机房和机房环境安全等方面的管理做出规定

1.8建立资产《安全管理制度》，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为，按照要求维护《资产清单》

1.9建立《介质处理与安全管理规定》包括介质销毁、介质中数据加密、介质分类标示、送修、盘点规定等

1.10完善《中国××股份有限公司关于终端计算机管理办法》规定终端计算机、工作站、便携机、系统和网络设备的使用操作

1.11建立《网络安全管理制度》和《系统安全管理制度》，对系统安全配置、日志管理、安全策略、口令更新周期、日常操作流程、定期进行漏洞检查、修复和版本更新等方面做出具体规定，包括网络设备（路由器、交换机、流量控制设备、负载均衡设备）、主机设备（服务器、PC机、负载均衡设备）、安全产品（防火墙、防毒墙、IDS、IPS、网页防篡改产品、流量分析设备、DDOS清洗设备、安全审计设备等）、存储设备（磁带、磁阵、带库、移动存储设备）。

1.12应完善系统安全管理的《维护操作手册》，明确系统维护，操作日志记录，重要的日常操作、运行维护记录、参数的设置和修改等内容。是否明确说明严禁进行未经授权的操作

1.13建立OA系统的《变更管理制度》涵盖以下内容：系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告

1.14建立《安全事件报告和处置管理制度》，明确定义安全事件的类型，安全事件等级，规定安全事件的现场处理、事件报告和后期恢复的管理职责

1.15建立整体的安全《应急预案》，包含以下内容：启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等，并对应急预案进行培训、演练，保留培训记录。

6.2管理机构和人员的设置

1.1指定或授权专门的部门或人员负责安全管理制度的制定。

1.2指定一个部门负责信息安全管理工作，其他部门配合该部门开展工作；负责信息安全管理工作的部门有的时候就是该机构的信息技术部门，部门中会根据岗位划分不同的安全管理岗位；

1.3系统管理员、网络管理员、安全管理员等各岗位明确划分各部分工作的职责与指定工作的负责人员；

1.4设定一名安全管理员，安全管理员不可兼任系统管理员或网络管理员，安全管理员的主要职责就是负责以信息安全为主的管理工作，一般负责日常技术管理工作。

1.5指定或授权专门的部门负责产品的采购；

6.3人员安全技能培训

1.1针对不同岗位设置不同的《培训计划》，包括培训的频度，包括安全基础知识和岗位操作规程等内容，并有效执行；

1.2对应急预案进行培训、演练，保留培训记录。

6.4技术修补

1.1对核心交换上的配置进行检查，保证设备的冗余，在发生安全事件时能够保证网络的畅通，将核心冗余的核心交换设备上的配置保持一致；

1.2为系统中每个人设立单独的账号避免账号共用

1.3进行网络设备安全加固，对网络设备进行密码加密存储（使用enable secret）

1.4进行网络设备安全加固，远程管理维护使用SSH加密

1.5进行安全加固，设置系统登录验证失败6次，账号锁定；

1.6进行安全加固，系统默认账号如果不使用则锁定，或修改默认的口令

1.7当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听，使用SSH管理主机，关闭TELNET；

1.8关闭不必要的服务Rexecd、Dtspcd、Tooltalk、RPC Statd、Send mail、RPC cmsd、Snmp、login(rlogin)、RPC nlockmgr、telnet，并保持系统补丁及时得到更新，首先确认以上服务是否是应用依赖的服务；

1.9进行安全加固，设置系统登录超时锁定策略180秒

1.10应设置ACL管理远程接入，远程登录范围，可在主机上设置host allow 、host deny，或在防火墙上进行

1.11采用密码技术保证通信过程中数据的完整性，对通信过程中的整个报文或会话过程进行加密，至少对登录认证部分进行加密；

1.12开启资金系统的登录失败处理功能，非法登录6次后将锁定该账号，如此模块不能满足要求，则需要增加此模块；

1.13OA系统中没有强制新用户对密码的修改，从管理或技术角度强制系统账号修改默认口令或曾加技术控制模块强制新用户修改密码。

6.5日常安全管理控制

1.1对制定的安全管理制度进行改进、论证和审定。

1.2对外部人员访问受控区域进行书面的申请、登记备案，形成《人员访问审批记录》和《登记备案记录》。

1.3对外包开发的软件进行安全测试，审查源代码中是否包括漏洞或后门，例如网站系统则可以对其进行防SQL注入等脆弱性的安全测试；

1.4外包软件开发需要提供《软件的需求分析报告》、《系统概要设计》、《系统详细设计》、《测试报告》、《用户手册》这几个文件。《测试报告》需要包括安全方面、功能方面、性能方面。

1.5增加运行日志、网络监控记录的日常维护和报警信息分析和处理工作，可借助IDS报告

1.6定期对网络设备、系统主机等进行漏洞检查、修复和版本更新，在补丁修补前需要在测试环境中测试，选择在业务空闲时先备份后修复

1.7对设备上的服务进行备案，关闭不必要的服务，尤其需要关注漏洞扫描结果中的高危服务漏洞

1.8当系统发生安全事件，进行分析处理输出《安全事件分析及处理过程记录》

1.9机房出入口应安排专人值守并记录进入的人员和携带的物品。

1.10进行安全域划分，按照等级保护安全区域

6.6成熟产品的使用

1.1部署审计系统对各种事件以及用户行为进行审计；

1.2部署日志分析系统，定期对运行日志和审计数据进行分析，输出《系统审计记录》。

1.3增加UNIX系列系统的恶意代码防护，安装防护软件或部署网络病毒防范，并统一管理。下载本文