logo资料库

XX省电力集团公司信息系统等级保护建设方案.doc

发布时间：2022-06-18 发布人：admin 分类：说明书 资料大小：4.42M 资料格式：doc 举报 版权申诉
第1页 / 共72页
第2页 / 共72页
第3页 / 共72页
第4页 / 共72页
第5页 / 共72页
第6页 / 共72页
第7页 / 共72页
第8页 / 共72页
资料共72页，剩余部分请下载后查看
    1.项目概述
    1.1目标与范围
    1.2方案设计
    1.3参照标准
    2.建设总目标
    2.1等级保护建设总体目标
    3.安全域及网络边界防护
    3.1信息网络现状
    3.2安全域划分方法
    3.3安全域边界
    3.3.1二级系统边界
    3.3.2三级系统边界
    3.4安全域的实现形式
    3.5安全域划分及边界防护
    3.5.1安全域的划分
    4.信息安全管理建设
    4.1建设目标
    5.二级系统域建设
    5.1概述与建设目标
    5.2网络安全
    5.2.1网络安全建设目标
    5.2.2地市公司建设方案
    5.3主机安全
    5.3.1主机安全建设目标
    5.3.2主机身份鉴别
    5.3.3访问控制
    5.3.4安全审计
    5.3.5入侵防范
    5.3.6恶意代码防范
    5.3.7资源控制
    5.4应用安全
    5.4.1应用安全建设目标
    5.4.2身份鉴别
    5.4.3安全审计
    5.4.4通信完整性、通信保密性
    5.4.5资源控制
    5.5数据安全及备份恢复
    5.5.1数据安全及备份恢复建设目标
    5.5.2数据完整性、数据保密性
    6.三级系统域建设
    6.1概述与建设目标
    6.2物理安全
    6.2.1物理安全建设目标
    6.2.2机房感应雷防护措施
    6.2.3物理访问控制
    6.2.4防盗措施
    6.2.5防火措施
    6.2.6防水和防潮
    6.2.7电磁防护
    6.3网络安全建设方案
    6.3.1网络安全建设目标
    6.3.2建设方案
    6.4主机安全
    6.4.1主机安全建设目标
    6.4.2主机身份鉴别
    6.4.3访问控制
    6.4.4安全审计
    6.4.5剩余信息保护
    6.4.6入侵防范
    6.4.7恶意代码防范
    6.4.8资源控制
    6.5应用安全
    6.5.1应用安全建设目标
    6.5.2身份鉴别
    6.5.3访问控制
    6.5.4安全审计
    6.5.5剩余信息保护
    6.5.6通信完整性、通信保密性、抗抵赖
    6.5.7资源控制
    6.6数据安全及备份恢复
    6.6.1数据安全及备份恢复建设目标
    6.6.2数据完整性、数据保密性
    6.6.3备份和恢复
    山东省电力集团公司信息 系统等级保护建设方案 二零零九年八月
    版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有 特别注明，版权均属国网电力科学研究院/国网信息网络安全实验室和山东省电力集团公 司所有，受到有关产权及版权法保护。任何个人、机构未经国网电力科学研究院/国网信 息网络安全实验室和山东省电力集团公司的书面授权许可，不得以任何方式复制或引用 本文的任何片断。 文档信息 文档名称 山东省电力集团公司信息系统等级保护建设方案 文档管理编号 INSL-SDDL-BLT-2009-FA 商 密 郭骞 余 勇 文档版本号 V3.0 制作日期 复审日期 2009 年 6 月 2009 年 6 月 国家电网公司信息网络安全实验室 山东省电力集团公司 林为民 版本 V1.0 V2.0 V3.0 说明 创建文档 修改文档 文档复审定稿 修改人 郭 骞 俞庚申 余 勇 保密级别 制作人 复审人 扩散范围 扩散批准人 版本变更记录 时间 2009-８ 2009-８ 2009-８ 适用性声明 本报告由国网电力科学研究院/国网信息网络安全实验室撰写，适用于山东省电力集 团公司信息系统等级保护项目。 I
    目 录 1.项目概述 .......................................................... 1 1.1 1.2 1.3 目标与范围................................................................................................1 方案设计....................................................................................................2 参照标准....................................................................................................2 2.等保现状及建设总目标 .............................................. 2 2.1 等级保护现状..........................................................错误！未定义书签。 2.1.1 国家电网公司等保评测结果...........................错误！未定义书签。 2.1.2 公安部等保测评结果.......................................错误！未定义书签。 等级保护建设总体目标............................................................................2 3.安全域及网络边界防护 .............................................. 3 2.2 3.1 3.2 3.3 信息网络现状............................................................................................3 安全域划分方法........................................................................................4 安全域边界................................................................................................5 3.3.1 二级系统边界.....................................................................................5 3.3.2 三级系统边界.....................................................................................6 安全域的实现形式....................................................................................7 安全域划分及边界防护............................................................................8 3.5.1 安全域的划分.....................................................................................8 4.信息安全管理建设 ................................................. 11 3.4 3.5 4.1 4.2 4.3 建设目标..................................................................................................11 安全管理机构建设..................................................错误！未定义书签。 安全管理制度完善..................................................错误！未定义书签。 5.二级系统域建设 ................................................... 12 5.1 5.2 5.3 概述与建设目标......................................................................................12 网络安全..................................................................................................13 5.2.1 网络安全建设目标...........................................................................13 5.2.2 地市公司建设方案...........................................................................13 主机安全..................................................................................................19 5.3.1 主机安全建设目标...........................................................................19 II
    5.4 5.3.2 主机身份鉴别...................................................................................19 5.3.3 访问控制...........................................................................................22 5.3.4 安全审计...........................................................................................23 5.3.5 入侵防范...........................................................................................26 5.3.6 恶意代码防范...................................................................................28 5.3.7 资源控制...........................................................................................28 应用安全..................................................................................................30 5.4.1 应用安全建设目标...........................................................................30 5.4.2 身份鉴别...........................................................................................31 5.4.3 安全审计...........................................................................................31 5.4.4 通信完整性、通信保密性...............................................................32 5.4.5 资源控制...........................................................................................33 数据安全及备份恢复..............................................................................34 5.5.1 数据安全及备份恢复建设目标.......................................................34 5.5.2 数据完整性、数据保密性...............................................................34 6.三级系统域建设 ................................................... 36 5.5 6.1 6.2 6.3 6.4 概述与建设目标......................................................................................36 物理安全..................................................................................................36 6.2.1 物理安全建设目标...........................................................................36 6.2.2 机房感应雷防护措施.......................................................................37 6.2.3 物理访问控制...................................................................................37 6.2.4 防盗措施...........................................................................................37 6.2.5 防火措施...........................................................................................38 6.2.6 防水和防潮.......................................................................................39 6.2.7 电磁防护...........................................................................................39 网络安全建设方案..................................................................................40 6.3.1 网络安全建设目标...........................................................................40 6.3.2 山东省电力集团公司建设方案.......................................................40 主机安全..................................................................................................46 6.4.1 主机安全建设目标...........................................................................46 6.4.2 主机身份鉴别...................................................................................46 III
    6.4.3 访问控制...........................................................................................49 6.4.4 安全审计...........................................................................................51 6.4.5 剩余信息保护...................................................................................54 6.4.6 入侵防范...........................................................................................55 6.4.7 恶意代码防范...................................................................................57 6.4.8 资源控制...........................................................................................58 应用安全..................................................................................................59 6.5.1 应用安全建设目标...........................................................................59 6.5.2 身份鉴别...........................................................................................59 6.5.3 访问控制...........................................................................................60 6.5.4 安全审计...........................................................................................61 6.5.5 剩余信息保护...................................................................................63 6.5.6 通信完整性、通信保密性、抗抵赖...............................................63 6.5.7 资源控制...........................................................................................64 数据安全及备份恢复..............................................................................66 6.6.1 数据安全及备份恢复建设目标.......................................................66 6.6.2 数据完整性、数据保密性...............................................................66 6.6.3 备份和恢复.......................................................................................67 6.5 6.6 IV
    1. 项目概述 根据国家电网公司《关于信息安全等级保护建设的实施指导意见（信息运安 〔2009〕27 号）》和山东省电力集团公司对等级保护相关工作提出的要求，落实 等级保护各项任务，提高山东省电力集团公司信息系统安全防护能力，特制定本 方案。 1.1 目标与范围 公司为了落实和贯彻公安部、国家保密局、国家密码管理局、电监会等国家 有关部门信息安全等级保护工作要求，全面完善公司信息安全防护体系，落实公 司“双网双机、分区分域、等级防护、多层防御”的安全防护策略，确保等级保 护工作在各单位的顺利实施，提高公司整体信息安全防护水平，开展等级保护建 设工作。 前期在省公司及地市公司开展等级保护符合性测评工作，对地市公司进行测 评调研工作，范围涵盖内网门户、外网门户、财务管理系统、营销管理系统、电 力市场交易系统、生产管理信息系统、协同办公系统、人力资源管理系统、物资 管理系统、项目管理系统、邮件系统、公司广域网 SGInet、管理制度这 13 个业 务系统分类，分析测评结果与等级保护要求之间的差距，提出本的安全建设方案。 本方案主要遵循 GB/T22239-2008《信息安全技术信息安全等级保护基本要 求》、《信息安全等级保护管理办法》（公通字[2007]43 号）、《信息安全技术 信息 安全风险评估规范》（GB/T 20984-2007）、《国家电网公司信息化“SG186”工程 安全防护总体方案》、ISO/IEC 27001 信息安全管理体系标准和 ISO/IEC 13335 信 息安全管理标准等。 实施的范围包括：省公司本部、各地市公司。 通过本方案的建设实施，进一步提高信息系统等级保护符合性要求，将整个 信息系统的安全状况提升到一个较高的水平，并尽可能地消除或降低信息系统的 安全风险。 1
    1.2 方案设计 根据等级保护前期测评结果，省公司本部及各地市公司信息系统存在的漏 洞、弱点提出相关的整改意见，并最终形成安全解决方案。 1.3 参照标准 GB/T22239-2008《信息安全技术信息安全等级保护基本要求》 《信息安全等级保护管理办法》（公通字[2007]43 号） 《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007） 《国家电网公司信息化“SG186”工程安全防护总体方案》 ISO/IEC 27001 信息安全管理体系标准 ISO/IEC 13335 信息安全管理标准 《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求（征求 意见稿）》 《国家电网公司信息机房设计及建设规范》 《国家电网公司信息系统口令管理规定》 GB50057-94《建筑防雷设计规范》 《国家电网公司应用软件通用安全要求》 2. 建设总目标 2.1 等级保护建设总体目标 综合考虑省公司现有的安全防护措施，针对与《信息安全技术信息系统安全 等级保护基本要求》间存在的差异，整改信息系统中存在的问题，使省公司及地 市公司信息系统满足《信息安全技术信息系统安全等级保护基本要求》中不同等 级的防护要求，顺利通过国家电网公司或公安部等级保护建设测评。 2
    3. 安全域及网络边界防护 根据 GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《国家 电网公司信息化“SG186”工程安全防护总体方案》及《国家电网公司“SG186” 工程信息系统安全等级保护验收测评要求（征求意见稿）》的要求，省公司及地 市公司信息系统按照业务系统定级，根据不同级别保护需求，按要求划分安全区 域进行分级保护。因此，安全域划分是进行信息安全等级保护建设的首要步骤。 3.1 信息网络现状 山东省电力集团公司各地市信息内网拓扑典型结构： 图：典型信息网络现状 主要问题：  各安全域之间缺乏有效的控制措施不能够保障业务系统安全、独立运 行，不受其他业务系统的影响。 3
    分享到：
    赞 收藏

    相关推荐

    资料库

    信息化

    共收录1827份资料，累计6个分类，关注成员有19位，主要包括：管理软件,企业管理,电子商务,其它,IT管理,项目管理

    热门标签

    管理软件 企业管理 电子商务 其它 IT管理 项目管理

    最新资料