XXX厅网络安全保障体系规划.docx

《XXX厅网络安全保障体系规划.docx》由会员分享，可在线阅读，更多相关《XXX厅网络安全保障体系规划.docx（62页珍藏版）》请在第一文库网上搜索。

1、XXX厅网络安全保障体系规划2023年8月版本控制版本编号修订人修订日期修订说明V1O版权声明非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。目录1 概述11.1 引言11.2 背景11.2.1 教育行业相关要求.11.2.2 合规要求.31.2.3 业务要求.32 网络安全保障体系总体规划42.1 规划目标42.1.1 安全技术、运维体系规划目标.42.1.2 安全管理体系规划目标.52.2 设计原则与技术路线72.2.1 设计原则.72.2.2 技术路线.82.3 参考模型及标准92.3.1 安全技术、运维体系参考模型.92.3.2 安全管

2、理体系参考模型.122.3.3 参考标准.133 安全技术体系建设规划163.1 主机安全163.3 数据安全213.3.1 技术体系架构.213.3.2 数据资产梳理.223.3.3 数据分类分级.243.3.4 数据加密.283.3.5 数据访问控制.293.3.6 数据泄漏防护.313.3.7 数据脱敏.323.3.8 数据安全审计.353.3.9 数据风险评估.374 安全运维体系建设规划394.1 周期性安全评估394.2 周期性安全加固414.3 定期安全巡检424.4 应急响应434.4.1 制定应急响应计划.434.4.2 网络安全事件的报告和应急处理.434.4.3 完善应急

3、顼案库.444.4.4 应急演练.444.5 安全监测与通报预警454.5.2通报预警.454.6 攻防对抗454.7 安全教育培训465 安全管理体系建设规划475.1 网络与信息安全方针475.2 组织与人员安全475.2.1 组织结构.475.2.2 人员安全.485.3 资产管理495.3.1 资产分级分类.505.3.2 资产标识.515.3.3 资产管理.525.3.4 资产审计.525.4 项目安全建设管理525.4.1 方案设计和审核.525.4.2 安全产品的采购控制.535.4.3 自行软件开发的控制.535.4.4 外包软件开发的控制.545.4.5 工程实施过程的管理.

4、545.4.6 测试验收和系统交付.555.5 安全开发55585.6 安全自查1概述1.1 引言本文档基于XXX厅网络与信息安全风险评估和信息系统网络安全等级保护测评的结果，获取网络与信息安全需求，提出XXX厅网络与信息安全工作的总体规划、目标以及基本原则，并在此基础上从网络与信息安全保障体系的视角描绘了未来网络与信息安全总体架构。具体包括网络安全技术体系、运维体系和管理体系的评估与规划。注：XXX厅信息系统均部署在XX省电子政务外网云计算平台，根据关于明确XX省级政务云计算服务网络与信息安全管理职责分工的通知（X发改数字2017XX3号）要求：“各应用单位负责各自建设使用的应用系统的主机安

5、全、应用安全、数据库安全、数据防泄漏与完整性。”电子政务外网云计算平台提供基础性的网络安全防护措施并保障云平台安全运行，本文档不涉及物理与网络通信安全方面的规划。1.2 背景1.2.1 教育行业相关要求随着信息化的快速发展和信息技术的广泛应用，网络安全面临的威胁持续加大，教育信息化是国家信息化重要组成部分，教育行业网络与信息安全工作关系着教育信息化的稳步推进和教育事业的改革发展。没有信息化就没有现代化，没有网络安全就没有教育安全。在教育信息化工程稳步前进的同时，国家教育主管部门在中华人民共和国网络安全法的基本法规基础上陆续出台一系列信息化安全建设与管理的政策法规，不断夯实教育行业网络安全保障体

6、系。2017年4月，教育部印发教育行业网络安全综合治理行动方案，指出教育行业仍存在网络安全责任不落实、管理不规范、安全隐患修复不及时、监测预警和应急响应能力不足、网络安全事件时有发生等问题。教育部针对性开展了网络安全综合治理行动，包括治理网站乱象、强化主体责任、全面监测网络安全威胁、检测应用软件安全风险、补齐等保短板、加快完成定级备案、有序推进测评整改、加强关键信息基础设施规范管理、健全网络安全事件应急响应机制等。2018年4月，教育部印发教育信息化2.0行动计划，指出要建立网络安全和信息化统筹协调的领导体制，完善网络安全监督考核机制，以中华人民共和国网络安全法等法律法规为纲，全面提高教育系统

7、网络安全防护能力，全面落实网络安全等级保护制度，深入开展网络安全监测预警，做好关键信息基础设施保障，重点保障数据和信息安全，强化隐私保护。在此基础上，教育部于2018、2019、2023年连续部署“教育信息化和网络安全工作要点”，将网络安全工作与教育信息化并列提出，重点关注网络安全保障工作。其中，2023年教育信息化和网络安全工作要点提出，开展教育系统关键信息基础设备认定和检查，落实教育系统关键信息基础设施安全防护，组织开展教育系统应急演练。制定教育系统加强数据安全的指导意见，建立覆盖数据全生命周期的安全管理机制。1.2.2 合规要求网络安全法、数据安全法（2023年9月1日正式实施）、关键信

8、息基础设施保护条例（2023年9月1日正式实施）等国内法律法规中明确了组织在网络安全、数据安全方面的合规要求。例如,数据安全法对数据分类保护、数据安全审查、数据风险评估做出了明确规定，要求：建立数据分类分级保护制度，对数据实行分类分级保护；依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施,保障数据安全。关键信息基础设施保护条例要求：保障关键信息基础设施免受干扰、破坏或者未经授权的访问，防止网络数据泄漏或者被窃取、篡改。1.2.3 业务要求教育信息化已成为当前我省建设教育强省的重要载体，教育信息化为我省教育管理部门、各类学校、教师、

9、学生及家长提供了巨大便利。XXX厅各类教育信息化应用系统每天产生并长期保存大量的数据，包括教育资源、科研成果、师生信息、教学素材、国家教学资助信息等。这些数据是我省教育行业信息发展的重要成果之一，已经成为教育行业的核心资产，成为基础设施，网络安全防护工作与数据安全治理工作的重要性日益凸显，如果不能很好地解决这些问题，必将阻碍教育信息化发展的进程。2网络安全保障体系总体规划2.1 规划目标2.1.1 安全技术、运维体系规划目标建立网络安全技术、运维体系的目的是通过使用安全产品和技术,支撑和实现安全策略，达到网络与信息系统的保密性、完整性、可用性、可靠性和不可否认性(密码系统)等安全目标。P2DR

10、2动态安全模型研究的是基于网络对象、依时间及策略特征的(Po1icy,Protection,Detection,Response,Recovery)动态安全模型结构，是一种基于闭环控制、主动防御的动态安全模型，通过区域网络的路由及安全策略分析与制定，在网络内部及边界建立实时检测、监测和审计机制，应用多样性系统灾难备份恢复、关键系统冗余设计等方法，构造多层次、全方位和立体的区域网络安全环境。按照P2DR2动态安全模型结构，信息安全技术、运维体系涉及信息安全防护、检测、响应和恢复四个方面的内容：(1)防护(PrOteCtion)：通过访问控制、信息系统完整性保护、系统与通信保护等安全控制措施，使信

11、息系统具备比较完善的抵抗攻击破坏的能力。(2)检测(Detection)：通过采取入侵检测、漏洞扫描、安全审计等技术手段，对信息系统运行状态和操作行为进行监控和记录,对信息系统的脆弱性以及面临的威胁进行评估，及时发现安全隐患和入侵行为并发出告警。(3)响应(Response)：通过事件监控和处理工具等技术措施,提高应急处理和事件响应能力，保证在安全事件发生后能够及时进行分析、定位、跟踪、排除和取证。(4)恢复(Restore)：通过建立信息系统备份和恢复机制，保证在安全事件发生后及时有效地进行信息系统设施和重要数据的恢复。2.1.2 安全管理体系规划目标本文档通过风险评估、信息系统网络安全等级

12、保护测评对XXX厅网络与信息安全管理现状进行全面了解后，对网络安全管理整体提出以下目标：(1)健全网络安全管理组织建立全面、完整、有效的网络安全保障体系，健全、完善网络安全管理组织是XXX厅网络安全保障体系建立的首要任务。网络安全管理组织的健全需要明确角色模型，在此基础上设计信息安全岗位职责和汇报关系，充分考虑XXX厅组织模式和特点，做到网络安全职责分工明确合理、责任落实到位。(2)建立网络安全专业团队随着XXX厅信息化的推进，XXX厅需要有一支拥有各种专业技能的团队提供身份认证、安全监控、威胁和弱点管理、风险评估等信息安全服务。网络安全团队建设的关键在于人才培养和服务团队的设立。XXX厅应在

13、明确网络安全服务团队设立方案的基础上制定人才培养计划，逐步培养在网络安全各个领域的专业技术人才，在3-5年的时间内建立起一支高素质的，能够满足网络安全需求的专业服务团队。(3)建立完善的网络安全风险管理流程建立健全针对网络安全风险的全程管理能力和网络安全管理持续改进能力，将网络与信息安全的管理由针对结果的管理变成针对过程的管理。网络安全风险管理流程应覆盖需求分析、控制实施、运行监控、响应恢复四个环节，识别相应的网络安全风险管理核心流程，并进行流程设计和实施。(4)完善网络安全管理制度逐步建立一套完整的，可操作的网络安全制度，并通过对执行效果的持续跟踪，不断完善，以形成符合XXX厅需求，完整的、

14、有效的网络安全管理制度，为网络安全工作的开展提供依据和指导。(5)建立规范化的流程随着信息化建设的推进，逐步建立专业化的网络安全服务和规范化的流程。2.2 设计原则与技术路线2.2.1 设计原则 先进性原则采用的技术和形成的规范，在路线上应与当前世界的主流发展趋势相一致，保证依据规范建成的网络安全系统具有先进性和可持续发展性。 实用性原则具备多层次、多角度、全方位、立体化的安全保护功能。各种安全技术措施尽显其长，相互补充。当某一种或某一层保护失效时，其它仍可起到保护作用。 可操作性原则根据福建省厅信息系统风险评估及网络安全等级保护测评结果,制定出有具特色、有较强针对性和可操作性的网络安全技术保

15、障规划,适用于XXX厅网络与信息安全的规划、建设、运行、维护和管理。 可扩展性原则规范应具有良好的可扩展性，能适应安全技术的快速发展和更新,能随着网络安全需求的变化而变化，网络安全保护周期应与整个网络的工作周期相同步，充分保证投资的效益。2.2.2 技术路线分级保护遵照网络安全等级保护有关法律法规的要求，结合XXX厅信息化实际情况，网络安全保障体系应满足网络安全等级保护要求，必须按照确定的安全策略，整体实施安全保护。动态安全的思想动态网络安全的思想，一方面是要安全体系具备良好的动态适应性和可扩展性。威胁和风险是在不断变化的，安全体系也应当根据新的风险的引入或风险累积到一定程度后，适时进行策略调整和体系完善；另一方面是在方案的制定和产品的选取中，注重方案和产品的自适应功能，在遭遇攻击时，具有一定的自动恢复和应急能力。2.3 参考模型及标准2.3.1 安全技术、运维体系参考模型20世纪90年代末，美国国际互联网安全系统公司（ISS）提出了基于时间的安全模型自适应网络安全模型（Adapti