水利部本级信息系统安全等级保护整改设计
发布时间:2012-05-02   作者:詹全忠,陈岚

本文根据国家信息安全等级保护的相关要求,结合水利部本级信息系统的实际情况,从总体设计、安全技术、安全管理等方面介绍了水利部信息系统安全等级保护整改设计方案。


1背景介绍


信息安命等级保护制度是国家信息安全保障的基本制度,开展信息安全等级保护工作是促进信息化发展,维护国家信息系统安全的根本保障,是信息安全系统保障工作中国家意志的体现。


1994年国务院第147号令《中华人民共和国计算机信息系统安全保护条例》中,明确我国计算机信息系统实行安全等级保护,首次以国家行政法规的形式确立了信息安全等级保护制度的法律地位。为组织开展信息安全等级保护工作,公安部与国家保密局、国家密码管理局、原国务院信息化工作办公室先后出台了《关于印发(关于信息安全等级保护工作的实施意见)的通知》(公通字[2004]66号)、《关于印发<信息安全等级保护管理办法>的通知》(公通字[2007]43号)和《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861号)等文件,针对信息安全等级保护定级、备案、建设整改、测评及监督检查等工作出台的一系列指导意见和规范,形成了我国信息安全等级保护政策、法规、标准体系。


水利部高度重视网络与信息安全工作,2007年9月初组织开展水利行业信息系统安全等级保护定级工作,12月底全面完成了信息系统等级备案工作。信息系统安全等级保护工作主要分为定级、备案、建设整改、等级测评和监督检查等环节,现已完成定级、备案工作,下一步主要工作是建设整改。根据《关于开展信息系统等级保护安全建设整改工作的指导意见》(公信安[2009]1429号)和水利工作的实际情况,水利部将水利网络与信息安全系统建设作为水利信息化八大重点工程之一.并列人《全国水利信息化十二五规划》。为此,水利部于2009年开始启动水利部本级政务外网信息系统等级保护整改(以下简称“水利部本级等保整改”)工作,进一步提高水利部政务外网信息系统的安全保障能力和防护水平,确保网络与信息系统的安全运行。


2总体设计


2.1设计依据


水利部本级等保整改按照《信电安全等级保护基本要求》(GB/T 22239-2008)(以下简称《基本要求》),参照《水利信息系统安全体系建设基水技术要求》、《信息系统通用安全技术要求》(GB/T 20271-2006)、《信息系统等级保护安全|甘计技术要求》(GB/T24856-2009)(以下简称《设计要求》)等标准规范的要求进行设计。


2 .2设计目标


水利部本级及在京直属单位已定级、备案的信息系统共22个,其中三级信息系统8个、二级系统14个。水利部本级等保整改将对水利部本级政务外网的6个三级信息系统和4个二级信息系统进行等级保护整改。


水利部本级政务外网主要信息系统安全等级为二级。二级信息系统规模较小,基于简化系统结构的原则,将二级系统纳入三级防护区,按三级系统防护。经过安全建设整改后,水利部本级政务外网信息系统将在统一的安全保护策略下.具有抵御大规模、较强恶意攻击的能力,具有抵抗较为,严重的自然灾害的能力;具有防范计算机病毒和恶意代码危害的能力;具有检测、发现、报警、记录入侵行为的能力,具有对安全事件进行响应处置,并能够追踪安全责任的能力;在系统遭到损害后,具有能够较快恢复正常运行状态的能力;对于服务保障性要求高的系统.具有能快速恢复正常运行状态的能力;具有对系统资源、用户、安全机制等进行集中控管的能力。

 

2.3设计思路


对任何系统来说,绝对安全难以达到。水利部本级等保整改从水利部本级政务外网信息系统的实际出发,以现有的网络状况和应用需求为基础.依据国家信息系统等级保护相关标准及规范,进一步提高水利部政务外网信包系统的安全保障能力和防护水平,在一定时期、一定条件下确保网络与信息系统的安全运行。对于一时难以达到的安全保护要求,如机房位置选择、数据异地备份等,将在后续项目中逐步完善。


2.4设计原则


本次水利部本级等保整改设汁将遵循以下主受原则:


1)合规性《基本要求》根据现有技术发展水平,从技术和管理两方面提出并确定了不同安全保护等级情息系统的最低保护要求,即基线要求。本次水利部本级等保整改必须符合《基本要求》的相关要求,根据实际需要可以在局部采用更高标准。


2)综合性。信息系统安全涉及方方面面,单一的安全措施或一个个独立的安全措施难以发挥全局的作用,需要采用系统工程的方法,综合运用各种安全措施,形成纵深防护体系。


3)技管并重。安全技术和管理密不可分,技术措施提供手段,运用相关管理措施和技术措施落实管理制度。


2. 5设计方法


信息安全等级保护整改应按照国家有关规定和标准规范要求,坚持管理和技术并重的原则,将技术措施和管理措施有机结合,建立信息系统综合防护体系,提高信息系统整体安全保护能力,因此,水利部本级等保整改将从安全管理体系和安全技术体系两个方面进行全面设计。安全管理设计主要按照国家有关规定,依据《基本要求》,参照《信息系统安全管理要求》(GB/T 20269-2006)等标准规范要求,结合水利部信息系统运行管理实际情况发展。本次水利部本级等保整改以《设计要求》为主,根据分区分域防护的原则,采用一个中心下的三重防御架构.同时结合《基本要求》及其他相关要求,补充物理安全设计和备份恢复设计,建立水利部信息安全等级保护深度防御体系,满足《基水要求》中的相关要求。


3技术设计


3.1区域划分


根据业务类型,水利部本级政务外网划分为网络接入类、业务应用类、终端类安全区域和核心交换区及安全管理区。网络接入类安全区域根据不同接入对象分为骨干网接入区、因特网接入区、园区网接入区;业务应用类安全区域根据业务系统类别划分为:因特网服务区、视频会议区、业务应用区(根据系统部署的物理位置又分为应用服务1区、2区、3区、4区,其中应用服务1区部署综合数据库等系统,应用服务2区部署实时水情交换与查询等系统,应用服务3区部署基础网络服务等系统,应用服务4 区布部署电子政务等系统);终端类安全区域根据终端类别划分为:操作终端区和管理终端区。

 

3.2物理安全设计


物理安全主要涉及环境安全(防火、防水、防雷击等)、设备和介质的防盗窃防破坏等方晰。根据与《基本要求》的对照差距分析,水利部政务外网除机房位置及电磁防护外基本满足等级保护三级系统物理安全需求。此次水利部本级等保整改对机房布线进行政造.通信线缆采用上走线.电源线采用下走线,实现电源线和通信线缆的隔离铺设,避免互相干扰。


3.3安全区域边界设计


按照“一个中心,  三重防御”的架构,水利部本级政务外网的区域边界可以划分为两大类:外部网络边界和内部区域边界。外部网络边界包括因特网接入区边界、园区网接人区边界及骨干网接人区边界,该类边界是水利部本级政务外网的计算环境与外部用户的网络边界。内部区域边界包括应用服务1区边界、应用服务2区边界、应用服务3区边界、应用服务4区边界、因特网服务区边界、视频会议区边界、操作终端区边界、管理终端区边界、安全管理区边界及核心交换区边界,主要为水利部本级政务外网的计算环境的边界。安全区域边界设计包括区域边界访问控制、区域边界协议过滤、区域边界安全审计、区域边界恶意代码防范及区域边界完整性保护等方面。


外部网络边界采取的安全措施包括:实施网络接入控制,对接入网络的人员、设备进行统一认证;实施网络行为审计,对网络访问进行监控,及时发现、定位问题;实现网络流量控制,依照业务的优先级别分配带宽;实施针对应用层协议的检测与防御,保证进入流量的安全性;实施针对木马、病毒等的过滤措施,保证网络流量的信息安全。
内部区域边界采取的安全措施包括:在区域边界实施网络接入控制;实施安全审计,对主机、数据库操作以及网络访问进行监控,及时发现、定位问题;实施针对应用层协议的检测与防御.保证进入流量的安全性。


3.4安全通信网络设计


安全通信网络包括水利部本级政务外网外部骨干网、园区网和因特网等通信网络,安全通信网络设计主要包括通信网络安全审计、通信网络数据传输完整性保护及通信网络数据传输保密性保护等方面。


安全通信网络安全防护措施包括:采用安全审计系统对通信网络中的网络设备运行状况、网络流量、用户行为等进行日志记录、分析;采用SSL VPN设备,对业务应用类安全区的重要数据传输加、解密,保证数据在传输过程中的保密性、完整性。


3.5安全计算环境设计


安全计算环境设计,通过操作系统、应用系统和数据库的安全机制.保障应用业务处理全过程的安全。安全计算环境包括系统安全和应用安全等方而。


系统安全措施包括:在服务器和管理终端部署主机加固系统,实现主机用户身份鉴别、强制访问控制、用户数据完整性保护、用户数据保密性保护、客体安全重用;配合网络安全审计系统增强主机系统安全审计;部署计算机病毒防护系统增强主机恶意代码防范能力。


应用安全需要对应用系统进行升级改造,针对应用系统的结构特性,在软件架构、安全功能、程序控制安全三方面落实《基本要求》的身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等要求。


3.6备份与恢复设计


备份与恢复主要保证信息系统业务数据安全和系统服务的连续性。备份与恢复措施包括:本地数据备份系统,实现本地的数据备份和恢复;核心网络和设备的冗余配置,消除关键设备单点故障隐患,提高系统可用性。数据的异地备份已列入其他项目中规划。


3.7安全管理中心设计


安全管理中心是对系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台。安全管理平台包括:系统管理、安全管理和审计管理等。


系统/安全管理对信息系统安全保护环境中的计算环境、区域边界、通信网络实施管理和维护,包括用户身份管理、资源管理、应急处理、授权管理和策略管理。审计管理对安全保护环境中的计算节点、区域边界、通信网络、系统(安全)管理依据制定的审计策略统一实施安全审计,记录确定的系统安全相关事件并对其分析;提供受保护的审计踪迹存储和审计记录的保护;为系统不能独立分辨的审计事件提供可由授权主体调用的审计接口。

 

4管理设计


4.1安全管理机构设计


水利部已设立信息安全领导机构和工作机构.本次水利部本级等保整改将根据等级保护相关要求,进一步明确组织架构职责分工,形成由水利部信息安全领导小组、信息安全领导小组办公室、水利信息中心组成的安全管理组织体系,领导小组负责领导、决策,领导小组办公室负责组织、协调,水利信息中心负责执行。同时细化安全管理岗位,明确岗位职责与任务,落实安全管理责任制。


4 .2安全管理制度设计


在现有制度的基础上,补充、完善水利部本级政务外网安全管理制度,形成水利部政务外网管理制度汇编,细化、完善水利部信息系统操作规范形成技术手册,细化和完善了相关管理流程和表单,构成了由信息安全方针策略、安全管理制度、安全技术规范和流程以及表单组成四级信息安全管理制度体系。


4 .3人员安全管理设计


进一步细化人员管理,在人员录用、调动、离岗、考核、培训教育和第三方人员安全等方面,落实信息安全等级保护的要求。


4 .4系统建设管理设计


完善系统建设相关的管理制度,存系统定级备案、安全方案设计、产品采购和使用、软件开发、工程实施、测试验收、系统交付、等级测评、安全服务商选择等方面建立管理制度。


4 .5安全运维管理设计


完善系统运维管理方而的制度、规范和流程,从环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防护管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等方面加强运维管理。将各项管理制度、规范和流程落实到水利信息系统运行保障平台中,保证在日常运行管理中得以贯彻执行。


5结束语


信息安全等级保护已成为各行业、各单位开展网络与信息安全工作的抓手,按照《关于开展信息系统等级保护安全建设整改工作的指导意见》中要求,2010年水利部根据设计开展了水利部本级政务外网信息安全体系建设,目前已建设完善了水利部政务外网信息安全防护体系,并进行了现场测评,所有被测系统均达到相应等级的防护要求。2012年将完成重要信息系统的等级保护整改、测评工作,因此,开展信息系统等级保护整改将成为各单位网络与信息安全工作的一项重点内容。

文章来源:《信息网络安全》
  • 公司总部 | 分支机构 | 法律声明 | 投资者关系 | 400-624-3900 800-810-6038
  • © 启明星辰1996-2015 版权所有 京ICP备05032414号 京公网安备110108003435号