信息系统安全运维服务范文

导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的5篇信息系统安全运维服务范例，将为您的写作提供有力的支持和灵感！

篇1

1 管理的目标

1.1 管理理念

通过电力信息系统安全管理来确保信息系统的持续、可靠、稳定运行。随着公司信息系统与各项生产经营业务的紧密融合，信息系统故障停运直接影响公司生产经营业务的正常开展。加强安全管理，防止信息系统故障，及早发现信息系统的各类隐患，及时消缺或阻止各类违章，避免发生故障停运，提升信息系统安全运行风险可控、能控、在控能力。

1.2 管理范围和目标

信息安全管理范围涵盖公司系统各单位人员、设备和各类应用系统。

信息安全管理的目标在于通过对网络安全风险的分析，制定相应的管理制度、安全策略和技术措施，提高使用人员的安全防护意识、运维人员的技能水平和网络自身的安全，不发生系统停运事故和不发生重大信息泄露事故等。

1.3 主要管理指标

通过信息安全管理，以防止信息网络瘫痪、应用系统破坏、业务数据丢失、公司信息泄密、终端病毒感染、有害信息传播和防恶意渗透攻击，旨在降低信息网络的故障率和故障时间、提高人员的安全意识和信息系统运行率。

2 管理方法

2.1人员组织设置

海门市供电公司电力信息系统安全管理组织机构由职能管理部门和生产实施部门相关领导、专职、信息专业人员和部门兼职信息员组成。公司信息系统安全管理由职能公司管理部门统一指挥、统一调度、统一实施。

职能管理部门负责信息系统安全管理工作，主要职责为：1）负责建立公司信息系统安全管理制度、标准和规范体系；2）负责监督信息系统安全理制度的执行情况，协调、督促支撑实施机构及时处理相关信息安全分析、培训、运维等；3）负责信息系统安全管理的监督、检查、考核和评价工作。

生产实施部门负责安全管理的具体工作，主要职责为：1）负责信息系统安全风险分析；2）负责编写安全管理方案、建议，并提交职能部门；3）负责对信息系统安全风险进行处理；4）负责安全风险的整理、反馈汇总、统计、分析工作。4）负责人员的培训。

公司各部门负责协助信息通信职能管理部门做好信息安全管理工作的监督、检查和评价工作。

2.2 信息安全管理流程

信息安全管理流程两个主要流程：1）被动性流程：包含风险的发现和上报、风险的定性、风险的审核和分析、风险的处理、风险处理后验收。2）主动性流程：安全加固、加固处理、安全验收。

1）风险的发现：生产实施部门相关信息专业人员和部门兼职信息员应加强对信息系统的定时巡视，及时发现潜在风险，并根据风险现象进行分类和判别，准确详细地做好风险记录，并通知运维人员。

2）风险的分析和定性：生产实施部门根据上报风险进行初步的分析，并根据实际情况进行风险初步定性，报信息通信职能管理部门备案。

3）风险的审核：信息职能管理部门对上报的风险重新审核，并作出相应的处置意见。

4）风险处理安排：生产实施部门应安排专业人员及时了解、审核相关风险，是设备风险还是人员风险，是一般风险还是紧急风险，对风险处理工作做好及时的安排。对紧急风险应在紧急处理的同时汇报上级领导，必要时可启动应急预案。

5）风险的处理：生产实施部门专业人员在接受务时必须了解清楚信息系统存在的风险，并根据风险准备相关的资料和工具，认真执行相关制度，并及时汇报处理结果风险处理要求闭环管理。

6）验收：生产实施部门根据规定对风险处理进行验收，并填写风险记录中的处理情况，并完成风险流程的终结手续验收。未完全处理的，重新启动风险流程。

2.3 关键工作

（1）生产实施部门关键人员技能培训和员工信息安全知识宣传。信息安全的整个活动过程核心是人员。提高信息安全管理水平，人员是必不可少的环节。为普及员工的信息安全知识，公司编写了《员工操作手册》和《信息设备管理办法》，并进行了宣贯。针对实施机构关键人员，采用送出去和内部培训相结合的方式进行了技能培训，包括：信息设备和系统的安装、网络安全技术、信息系统故障判断、系统加固、系统的调试和配置等，大大提高了关键人员的管理水平。

（2）生产实施部门关键人员运维标准化。公司建立了部门兼职信息员的《标准化工作手册》，分析了系统内可能存在的风险和相关风险的现象，明确了一系列操作流程，建立了操作指导书，对工作中的具体要求和步骤做了具体的文档说明，便于兼职信息员日常运维。

（3）优化信息系统网络和硬件设施。对信息系统网络进行优化配置，对信息网的链路进行重新设计，采用环路设计来增强冗余和安全性。同时对使用年限长、老化的设备进行更换，对备品备件进行梳理，确保硬件设施的安全。

（4）采用多样化的安全技术。整个过程中，对网络设备和服务器等进行了安全加固和加固检查，进行定期漏洞扫描，安装补丁。终端设备采用专人负责，要求注册率和防病毒安装率为100%，网络端口采用IP/MAC地址绑定。内网设备严禁接入其他网络设备，同时关闭不必要的端口服务，来保证信息系统的安全。

（5）构建风险库。风险管理是信息系统运行维护人员高度关注的工作。然而风险管理经常出现不规范的现象，影响了风险管理，也增加了风险的分析和处理难度。海门市供电公司，从风险分类、风险定性、风险现象、风险原因等4个方面建立初步的标准风险库。覆盖了业务应用系统、网络系统、服务器、数据库、终端设备和人员等，明确相关风险的定性标准，使各级人员对同一风险有唯一定性，便于风险处理，促进风险管理的标准化和规范化。

（6）加强信息设备入网验收管理。在进行信息设备的入网工作上，海门市供电公司在工程建设期间就提前介入，对系统设计和设备选型进行技术建议，并对到货设备进行现场和上电验收，力争在初级阶段减少风险的发生可能性。

（7）加强设备定期、日常巡检和维护管理。根据相关要求制定有效的信息系统运维管理制度，并要求运维人员严格按要求进行巡检和维护，将风险消除在萌芽。

（8）加强风险统计分析。为尽早发现设备风险，预防风险造成的危害，提高信息人员风险管理水平，海门市供电公司定期进行风险分析。对新产生或者预测的信息系统风险产生原因进行分析，重点从设备本身、运行维护、人员、设备运行环境等方面进行主观和客现的分析。对风险举一反三进行分析，让信息运维每个成员清楚风险发生的原因、对设备可能造成的危害、解决的具体方法、哪些设备还可能发生类似风险。根据分析结果有针对性的巡视维护，防患于未然。

（9）信息安全管理考核。把风险管理制度、措施、责任细化到考核考核办法中，在具体考核中体现奖罚并存、激励为主，提高信息人员风险管理积极性。

3 结束语

篇2

1引言

信息系统安全实行等级保护是在吸纳国外先进经验之上，结合我国信息化建设实际情况，创立的适合我国信息安全保障基本制度。多年来，在我国信息安全专家的努力下，以引进、消化、吸收、创新为手段，建立了我国信息安全等级保护技术和管理体系。国务院第147号令明确要求党政机关信息系统必须实行定级备案、等级划分及等级保护的安全制度。随后国家有关部门先后出台了几十个有关等级保护的国家和行业规范化文件，这些技术规范在我国信息安全等级保护工作中发挥了极其重要的作用，是我们开展党政机关信息系统安全等级保护工作的依据。

2党政机关信息系统等级保护

2.1等级保护三要素

对具有存储、传输、处理信息功能的信息系统实行安全等级保护；对信息和信息系统使用分等级进行管理；对信息安全事件分等级响应和处置。确定安全等级即定级是进行等级保护的首要要求。

2.2等级保护责任

定级是信息系统实行等级保护的重中之重。如果定级不准，那么后续的等保备案和测评等都将失去作用，无法保证信息及系统的安全。确定为三级以上的信息系统，均属于国家重要信息系统，是国家相关部门进行信息系统保护工作的重点，需要运维和主管部门共同承担起信息安全责任，信息安全监管部门要经常性进行监督、检查和指导。在重要信息系统安全方面，运维单位和主管部门是第一责任人，信息安全监管部门是第二责任人。无论是哪个等级的信息系统，第一责任人和第二责任人要密切配合，共同承担责任，才能做好信息系统等级保护工作。

2.3信息系统安全定级

根据公安部66号文，将信息系统从低到高定为五个安全等级。单位领导应根据本部门信息系统重要程度合理定级。

2.3.1定级原则

（1）坚持重点保护原则。对事关社会安定团结、人民正常生活等重要政务信息系统要重点保护，要确定为三级以上的重要信息系统，必须集中力量优先进行安全建设。

（2）坚持主管和运维共同负责原则。要贯彻主管和运行维护共同负责的原则。按国家标准确定合适的安全等级实施安全保障。

（3）坚持建设和安全并举的原则。系统在升级、扩容等应当同步考虑安全设施建设，保持系统安全与信息化水平一致。

（4）坚持等保变更原则。由于信息技术的不断进步，党政机关信息化社会服务类型的丰富和服务水平的不断提升，信息技术处于不断发展之中，因此安全保护等级应该适时变更定级，以适应新的系统安全要求。

3党政机关信息系统安全定级准则

党政机关信息系统安全定级时，要坚持实事求是的原则，不可过高，也不要过低，要合理安全等级。结合自己等保工作的体会，建议按以下原则定级。

第一级信息系统：一般适用于乡镇和县级机关内部单位一般的政务信息系统。

第二级信息系统：一般适用于县级重要系统，地市级机关单位内部一般的信息系统。

第三级信息系统：一般适用于地市级以上机关单位内部重要的信息系统。如电子政务网、门户网站等。

第四级和第五级信息系统，一般适用于国家重要部门和中极端重要系统。4等级保护实施过程

篇3

随着信息时代的来临，信息系统和技术已经成为当下各个领域不可或缺以及赖以生存的基础性建设。现今信息已经成为衡量一个企业综合竞争水平的重要标志。但是，信息技术在不断支撑着企业业务开展的同时，其在运维方面也会产生相应的安全风险，主要表现为非法访问、信息篡改以及信息泄露。这些风险就会对企业的信息安全带来巨大的隐患。

1信息系统安全风险的控制难点

近年来随着网络技术的不断更新，企业也通过各种安全措施加强了信息系统安全风险的防护措施，但仍存在两个难点，首先是信息系统的高风险性，由于当下信息系统较为复杂，且漏洞较多，就会使得系统处于高风险性，使得运维人员很难进行控制。其次是当下IP管理以及信息系统的规模逐渐增加，也就使得攻击源变得多样化，运维人员无法进行有效的追踪，也无法进行有效的防护。

2企业运维管理中信息系统安全风险分析

近年来，信息时代的脚步逐渐加快，信息化的水平也在与日俱增。信息技术也以其方便、实用等特点广泛地应用在各企业之间。而为了更好地将信息技术的最大作用发挥出来，就需要定期对其维护。但是随着信息系统的应用需求逐渐增加，网络规模的不断扩大，使得信息系统的结构愈加复杂，也使得技术漏洞逐渐增加，这就会对企业的信息系统带来安全隐患。在现今运维管理中信息系统的安全风险主要包括下述几个方面。

2.1服务器终端层面的风险

服务器终端层面的风险主要分为下述几个部分：①信息系统的基本安全保密配置不够完善，管理不够成熟，这就使得用户可以私自更改BIOS的启动顺序，使得安全防护产品的失效，从而进行信息的窃取和篡改；②安全风险的报警装置不够成熟，不能够达到预期的效果，通常会由于安全产品之间的兼容性问题失去应用的效用，出现误报或者漏报的情况。然后就是系统含有漏洞，信息系统最主要的部分就是系统，在当下的企业中应用的操作系统基本上都为Windows系列，而一些停止补丁升级的Windows系统就存在着漏洞，很容易受到侵蚀，进而造成数据的丢失。2.2网络层面的风险在网络层面安全风险主要为网络设备的安全配置不当，通常会开启多余的服务或者端口，这就存在了被非法访问的隐患。同时在访问控制方面不能对接入进行有效的控制，会造成设备非法接入的风险。另外，企业通常不会对用户进行分层、分级，这就会导致网络拓扑混乱，使得企业重要的信息资源存在被非法授权访问的安全隐患。

2.3硬件层面的风险

现今，企业都拥有大量的硬件，且都是采用的国外进口。企业根本无法知晓底层硬件的工作机制，其是否含有隐藏通道等。例如惠普的某型号服务器已经被证实存在后门，这些设备的运维都需要专业的工作人员进行，这也就会使得维修过程容易发生信息篡改或者信息窃取的风险。2.4应用层面的风险应用层面的风险主要就是身份认证的管理不够完善。管理员的口令较弱、用户名和密码过于简单等都会被攻击者利用。甚至在当下一些企业还有用户名公用、滥用的现象，这就更给攻击者提供了良好的机会，攻击者可以通过这些漏洞进行水平提权，进而对信息进行窃取，甚至其可以获取管理者的权限，对系统进行控制，这就会给企业造成巨大的经济损失。

2.5安全审计层面的风险

在当下的信息系统风险管理都会部署一些安全监测产品，例如防火墙、杀毒软件等。这些产品只能针对某类安全问题有效，这就使得信息系统的审计工作变得松散，不能形成完整的体系。而且由于系统的兼容性等原因，总会出现误报、漏报的现象，这就会对审计的作用带来巨大的影响，使其无法发挥其应有的效用。另外，企业虽然相应的部署了安全管理平台进行日志的收集，但在当下的信息系统中智能分析能力较弱，不能够对全局进行有效的监控，也就没有办法实现综合监控和安全风险的态势分析。

3企业运维管理中信息系统安全风险的控制策略

通过对上述安全风险的问题进行有效的分析，基于信息的特点，本文提出了下述信息系统安全风险的控制策略。

3.1加强信息系统数据资源的安全风险控制

数据资源的风险控制主要从三个方面进行：①存储安全，可以采用先进的加密技术对信息数据库进行加密处理，从数据资产产生的源头进行安全防护体系的构建；②标识安全，通过标识技术对信息进行去区分标注，经过审计后，让标识与信息系统密不可分，这样就不会出现信息篡改的问题；③访问安全，可以采用强制访问控制的方式，对访问主体进行限制。例如，某些数据非管理员权限仅能读取，不能够打印或者重新编辑，而一些重要信息限制再无权观看。

3.2加强信息系统的信息安全风险控制

信息安全主要就是对应用安全进行控制，通过对系统的需求进行有效的分析，设计开发指导验收运维过程中进行安全保障。同时还要定期对系统进行渗透测试，如果企业的技术较为先进，还可以通过源代码进行安全风险分析，仔细地对漏洞进行查找，如果发现及时进行修复，长此以往就会不断提高系统的整体安全性。另外还要将运维过程中出现的问题进行整体分析，这样就能够形成较为完善的风险控制规范，为后续的系统安全提供可行性较高的参考数据。

3.3构建运维风险控制平台

针对认证管理和孤岛等问题，就可以亿堡垒机为中间体进行控制平台的构建，形成对企业信息系统全面的安全监控。通过安全防护产品的报警日志和应用系统的审计日志，构建威胁事件的审计模型，构建完善的综合安全事件分析统计平台，这样才能对风险事件进行关联审计分析，最终实现实时报警的效果。

3.4加强信息系统的管理和梳理

要想切实地提高企业的信息系统运维管理能力，必须要加强信息安全专项检查，要制定详细的规范来明确信息系统日常需要进行的管理操作，还要对日常管理的具体细节进行定义，这样才能使信息系统日常管理规范、明确，继而使其信息化和制度化。还要闭环管理信息安全风险和运维实践，防止低层次的信息安全问题发生。另外还要加强专项检查整体提高信息系统的安全运维能力。同时还要对信息资源进行有效的分类整理，要构建完善的应急备灾能力，还要定期对应急备灾的能力进行检测，例如可以临时构建信息丢失的问题，看其恢复能力，只有这样才能有效地保障备份能够及时地恢复。

3.5构建完善的信息风险防护体系

正与邪、矛与盾、攻与防，永远都是相对存在的。在信息系统风险控制上也是一样的，要想预防攻击者的非法入侵，就必须要建立完善的信息风险防护体系。所以，企业要培养构建一支团队，让其不断进行学习，掌握攻击的技术，然后让其对企业的防护系统进行破坏，进而完善，只有不断地从攻击者的角度去思考，才能够构建完善的防护体系，只有不断进行攻防，才能够更好地提升信息风险防护体系，让其更好地保护信息系统，防止信息窃取和篡改的问题出现。

4结语

综上所述，虽然当下企业对信息安全风险的防护工作不断重视，也构建了许多防护的措施，具备了一些防护能力，但由于信息技术的不断发展，使漏洞变得更加隐蔽。所以，企业要想稳定发展，必须要采取措施对信息系统安全风险进行运维控制，只有这样才能有效的保障企业的经济利益，为企业的发展做出有力的支撑。

作者:徐美霞 单位:广东电网有限责任阳江供电局

参考文献：

[1]上官琳琳.企业信息系统的管理与运维研究[J].管理观察,2014(18):100-101+104.

[2]何芬.企业运维管理中信息系统安全风险控制探究[J].信息技术与信息化,2014(5):208-210+212.

篇4

银行信息系统的安全保障要以缜密的分析为前提，制定详细的对策， 充分利用安全技术、安全产品来实现安全措施。本文以泰安农村信用 社为例阐述银行信息安全问题.

1．信息安全分析 银行信息系统具有服务范围广泛，平台复杂多样，业务品种不断 更新的特点。因此银行信息系统庞大而复杂，信息安全涉及方面众多， 我们大体可以按照安全管理、信息资产与环境、主机系统、网络系统、 日常运维五个方面进行分析.

1.1安全管理问题分析.

泰安农村信用社信息系统一贯重视系统安全，但对与系统安全的 管理仍处于比较传统的模式，即一种静态的、局部的、少数人负责的、 突击式的、事后纠正式的管理方式；安全管理偏重对业务的保障，在内 部管理上相对比较松散；一些安全管理策略和制度规范比较宏观，在 可操作性和实效性上还值得进一步探讨与改进.

泰安农信信息系统依照相关的规定进行建设。目前还需要改进的 问题为包括物理环境的单点故障隐患及不可抗力因素导致的系统安 全的风险；对信息资产的保护缺乏信息资产分类体系，无法实现对设 备的购置、维修、报废等环节的实时管理.

篇5

为了贯彻国家对信息系统安全保障工作的要求以及等级化保护坚持“积极防御、综合防范”的方针，需要全面提高信息安全防护能力。贵州广电网络信息系统建设需要进行整体安全体系规划设计，全面提高信息安全防护能力，创建安全健康的网络环境，保护国家利益，促进贵州广电网络信息化的深入发展。

 

1安全规划的目标和思路

 

贵州广电网络目前运营并管理着两张网络：办公网与业务网;其中办公网主要用于贵州广电网络各部门在线办公，重要的办公系统为OA系统、邮件系统等;业务网主要提供贵州广电网络各业务部门业务平台，其中核心业务系统为BOSS系统、互动点播系统、安全播出系统、内容集成平台以及宽带系统等。

 

基于对贵州广电网络信息系统的理解和国家信息安全等级保护制度的认识，我们认为，信息安全体系是贵州广电网络信息系统建设的重要组成部分，是贵州广电网络业务开展的重要安全屏障，它是一个包含贵州广电网络实体、网络、系统、应用和管理等五个层面，包括保护、检测、响应、恢复四个方面，通过技术保障和管理制度建立起来的可靠有效的安全体系。

 

1.1设计目标

 

贵州广电网络就安全域划分已经进行的初步规划，在安全域整改中初见成效，然而，安全系统建设不仅需要建立重要资源的安全边界，而且需要明确边界上的安全策略，提高对核心信息资源的保护意识。贵州广电网络相关安全管理体系的建设还略显薄弱，管理细则文件亟需补充，安全管理人员亟需培训。因此，本次规划重点在于对安全管理体系以及目前的各个业务系统进行了全面梳理，针对业务系统中安全措施进行了重点分析，综合贵州广电网络未来业务发展的方向，进行未来五年的信息安全建设规划。

 

1.2设计原则

 

1.2.1合规性原则

 

安全设计要符合国家有关标准、法规要求，符合广电总局对信息安全系统的等级保护技术与管理要求。良好的信息安全保障体系必然是分为不同等级的，包括对信息数据保密程度分级，对用户操作权限分级，对网络安全程度分级(安全子网和安全区域),对系统实现结构的分级(应用层、网络层、链路层等)，从而针对不同级别的安全对象，提供全面、可选的安全技术和安全体制，以满足贵州广电网络业务网、办公网系统中不同层次的各种实际安全需求。

 

1.2.2技管结合原则

 

信息安全保障体系是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。

 

1.2.3实用原则

 

安全是为了保障业务的正常运行，不能为了安全而妨碍业务，同时设计的安全措施要可以落地实现。

 

1.3设计依据

 

1.3.1“原则”符合法规要求

 

依据《中华人民共和国计算机信息系统安全保护条例K国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[20〇3]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)、《信息安全等级保护管理办法》(公通字[2007]43号)和GB/T22240-2009《信息安全技术信息系统安全等级保护定级指南》、GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》、《广播电视安全播出管理规定》(广电总局62号令)、GDJ038-CATV|有线网络。

 

2011《广播电视播出相关信息系统等级保护基本要求》，对贵州省广播电视相关信息系统安全建设进行规划。

 

1.3.2“策略”符合风险管理

 

风险管理是基于“资产-价值-漏洞-风险-保障措施”的思想进行保障的。风险评估与管理的理论与方法已经成为国际信息安全的标准。

 

风险管理是静态的防护策略，是在对方攻击之前的自我巩固的过程。风险分析的核心是发现信息系统的漏洞，包括技术上的、管理上的，分析面临的威胁，从而确定防护需求，设计防护的措施，具体的措施是打补丁，还是调整管理流程，或者是增加、增强某种安全措施，要根据用户对风险的可接受程度，这样就可以与安全建设的成本之间做一个平衡。

 

1.3.3“措施”符合P2DR模型

 

美国ISS公司(IntemetSecuritySystem，INC)设计开发的P2DR模型包括安全策略(Policy)、检测(Detection)、防护(Protection)和响应(Response)四个主要部分，是一个可以随着网络安全环境的变化而变化的、动态的安全防御系统。安全策略是整个P2DR模型的中枢，根据风险分析产生的安全策略描述了系统中哪些资源要得到保护，以及如何实现对它们的保护等，策略是模型的核心，所有的防护、检测和响应都是依据安全策略实施的。

 

检测(Detection)、防护(Protection)和响应(Response)三个部分又构成一个变化的、动态的安全防御体系。P2DR模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整至“最安全”和“风险最低”的状态，在安全策略的指导下保证信息系统的安全[3]。

 

1.4安全规划体系架构

 

在进行了规划“原则”、“策略”、“措施”探讨的基础上，我们设计贵州广电网络的安全保障体系架构为“一个中心、两种手段”。

 

“一个中心”，以安全管理中心为核心，构建安全计算环境、安全区域边界和安全通信网络，确保业务系统能够在安全管理中心的统一管控下运行，不会进入任何非预期状态，从而防止用户的非授权访问和越权访问，确保业务系统的安全。

 

“两种手段”，是安全技术与安全管理两种手段，其中安全技术手段是安全保障的基础，安全管理手段是安全技术手段真正发挥效益的关键，管理措施的正确实施同时需要有技术手段来监管和验证，两者相辅相成，缺一不可。

 

2安全保陳方案规划

 

2.1总体设计

 

贵州广电网络的安全体系作为信息安全的技术支撑措施，分为五个方面：

 

边界防护体系：安全域划分，边界访问控制策略的部署，主要是业务核心资源的边界，运维人员的访问通道。

 

行为审计体系：通过身份鉴别、授权管理、访问控制、行为曰志等手段，保证用户行为的合规性。

 

安全监控体系：监控网络中的异常，维护业务运行的安全基线，包括安全事件与设备故障，也包括系统漏洞与升级管理。

 

公共安全辅助：作为整个网络信息安全的基础服务系统，包括身份认证系统、补丁管理系统以及漏洞扫描系统等。

 

IT基础设施：提供智能化、弹能力的基础设施，主要的机房的智能化、服务器的虚拟化、存储的虚拟化等。

 

2.2安全域划分

 

划分安全域的方法是首先区分网络功能区域，服务器资源区、网络连接区、用户接入区、运维管理区、对外公共服务区;其次是在每个区域中，按照不同的安全需求区分不同的业务与用户，进一步划分子区域;最后，根据每个业务应用系统，梳理其用户到服务器与数据库的网络访问路径，通过的域边界或网络边界越少越好。

 

Z3边界防护体系规划

 

边界包括网络边界、安全域边界、用户接口边界(终端与服务器)、业务流边界，边界上部署访问控制措施，是防止非授权的“外部”用户访问“里面”的资源，因此分析业务的访问流向，是访问控制策略设计的依据。

 

2.3.1边界措施选择

 

在边界上我们建议四种安全措施：

 

1.网络边界：与外部网络的边界是安全防护的重点，我们建议采用统一安全网关(UTM),从网络层到应用层的安全检测，采用防火墙(FW)部署访问控制策略，采用入侵防御系统(IPS)部署对黑客入侵的检测，采用病毒网关(AV)部署对病毒、木马的防范;为了方便远程运维工作，与远程办公实施，在网络边界上部署VPN网关，对远程访问用户身份鉴别后，分配内网地址，给予限制性的访问授权。Web服务的SQL注入、XSS攻击等。

 

3.业务流边界：安全需求等级相同的业务应用采用VLAN隔离，采用路由访问限制策略;不同部门的接入域也采用VLAN隔离，防止二层广播，通知可以在发现安全事件时，开启不同子域的安全隔离。

 

4.终端边界：重点业务系统的终端，如运维终端，采用终端安全系统，保证终端上系统的安全，如补丁的管理、黑名单软件管理、非法外联管理、移动介质管理等等。

 

2.3.2策略更新管理

 

边界是提高入侵者的攻击“门槛”的，部署安全策略重点有两个方面：一是有针对性。允许什么，不允许什么，是明确的;二是动态性。就是策略的定期变化，如访问者的口令、允许远程访问的端口等，变化的周期越短，给入侵者留下的攻击窗口越小。

 

2.4行为审计体系规划

 

行为审计是指对网络用户行为进行详细记录，直接的好处是可以为事后安全事件取证提供直接证据，间接的好处乇两方面：对业务操作的日志记录，可以在曰后发现操作错误、确定破坏行为恢复时提供操作过程的反向操作，最大程度地减小损失;对系统操作的日志记录，可以分析攻击者的行为轨迹，从而判断安全防御系统的漏洞所在，亡羊补牢，可以弥补入侵者下次入侵的危害。

 

行为审计主要措施包括:一次性口令、运维审计(堡垒机)、曰志审计以及网络行为审计。

 

2.5安全监控体系规划

 

监控体系不仅是网络安全态势展示平台，也是安全事件应急处理的指挥平台。为了管理工作上的方便，在安全监控体系上做到几方面的统一：

 

1.运维与安全管理的统一：业务运维与安全同平台管理，提高安全事件的应急处理速度。

 

2.曰常安全运维与应急指挥统一：随时了解网络上的设备、系统、流量、业务等状态变化，不仅是日常运维发现异常的平台，而且作为安全事件应急指挥的调度平台，随时了解安全事件波及的范围、影响的业务，同时确定安全措施执行的效果。

 

3.管理与考核的统一：安全运维人员的工作考核就是网络安全管理的曰常工作与紧急事件的处理到位，在安全事件的定位、跟踪、处理过程中，就体现了安全运维人员服务的质量。因此对安全运维平台的行为记录就可以为运维人员的考核提供一线的数据。

 

安全监控措施主要包括安全态势监控以及安全管理平台，2.6公共安全辅助系统

 

作为整个网络信息安全的基础服务系统，需要建设公共安全辅助系统：

 

1.身份认证系统：独立于所有业务系统之外，为业务、运维提供身份认证服务。

 

2.补丁管理系统：对所有系统、应用的补丁进行管理，对于通过测试的补丁、重要的补丁，提供主动推送，或强制执行的技术手段，保证网络安全基线。

 

3.漏洞扫描系统：对于网络上设备、主机系统、数据库、业务系统等的漏洞要及时了解，对于不能打补丁的系统，要确认有其他安全策略进行防护。漏洞扫描分为两个方面，一是系统本身的漏洞，二是安全域边界部署了安全措施之后，实际用户所能访问到的漏洞(渗透性测试服务)。

 

2.7IT基础设施规划

 

IT基础设施是所有网络业务系统服务的基础，具备一个优秀的基础架构，不仅可以快速、灵活地支撑各种业务系统的有效运行，而且可以极大地提高基础IT资源的利用率，节省资金投入，达到环保的要求。

 

IT基础设施的优化主要体现在三个方面：智能机房、服务器虚拟化、存储虚拟化。

 

3安全筐理体系规划

 

在系统安全的各项建设内容中，安全管理体系的建设是关键和基础，建立一套科学的、可靠的、全面而有层次的安全管理体系是贵州省广播电视信息网络股份有限公司安全建设的必要条件和基本保证。

 

3_1安全管理标准依据

 

以GBAT22239-2008《信息安全技术信息系统安全等级保护基本要求》中二级、三级安全防护能力为标准，对贵州广电网络安全管理体系的建设进行设计。

 

3.2安全管理体系的建设目标

 

通过有效的进行贵州广电网络的安全管理体系建设，最终要实现的目标是：采取集中控制模式，建立起贵州广电网络完整的安全管理体系并加以实施与保持，实现动态的、系统的、全员参与的、制度化的、以预防为主的安全管理模式，从而在管理上确保全方位、多层次、快速有效的网络安全防护。

 

3.3安全管理建设指导思想

 

各种标准体系文件为信息安全管理建设仅仅提供一些原则性的建议，要真正构建符合贵州广电网络自身状况的信息安全管理体系，在建设过程中应当以以下思想作为指导：“信CATV丨有线网络息安全技术、信息安全产品是信息安全管理的基础，信息安全管理是信息安全的关键，人员管理是信息安全管理的核心,信息安全政策是进行信息安全管理的指导原则，信息安全管理体系是实现信息安全管理最为有效的手段。”

 

3.4安全管理体系的建设具体内容

 

GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》(以下简称《基本要求》)对信息系统的安全管理体系提出了明确的指导和要求。我们应以《基本要求》为标准，结合目前贵州广电网络安全管理体系的现状，对广电系统的管理机构、管理制度、人员管理、技术手段四个方面进行建设和加强。同时，由于信息安全是一个动态的系统工程，所以，贵州广电网络还必须对信息安全管理措施不断的加以校验和调整，以使管理体系始终适应和满足实际情况的需要，使贵州广电网络的信息资产得到有效、经济、合理的保护。

 

贵州广电网络的安全管理体系主要包括安全管理机构、安全管理制度、安全标准规范和安全教育培训等方面。

 

通过组建完整的信息网络安全管理机构，设置安全管理人员，规划安全策略、确定安全管理机制、明确安全管理原则和完善安全管理措施，制定严格的安全管理制度，合理地协调法律、技术和管理三种因素，实现对系统安全管理的科学化、系统化、法制化和规范化，达到保障贵州广电网络信息系统安全的目的。

 

3.5曰常安全运维3.5.1安全风险评估

 

安全风险评估是建立主动防御安全体系的重要和关键环节，这环的工作做好了可以减少大量的安全威胁，提升整个信息系统的对网络灾难的免疫能力;风险评估是信息安全管理体系建立的基础，是组织平衡安全风险和安全投入的依据，也是信息安全管理体系测量业绩、发现改进机会的最重要途径。

 

3.5.2网络管理与安全管理

 

网络管理与安全管理的主要措施包括：出入控制、场地与设施安全管理、网络运行状态监控、安全设备监控、安全事件监控与分析、提出预防措施。

 

3.5.3备份与容灾管理

 

贵州广电网络主要关键业务系统需要双机本地热备、数据离线备份措施;其他相关业务应用系统需要数据离线备份措施。

 

3.5.4应急响应计划

 

通过建立应急相应机构，制定应急响应预案，通过建立专家资源库、厂商资源库等人力资源措施，通过对应急响应有线网络ICATV预案不低于一年两次的演练，可以在发生紧急事件时，做到规范化操作，更快的恢复应用和数据，并最大可能的减少损失

 

3.6安全人员管理

 

信息系统的运行是依靠在各级党政机构工作的人员来具体实施的，他们既是信息系统安全的主体，也是系统安全管理的对象。所以，要确保信息系统的安全，首先应加强人事安全管理。

 

安全人员应包括：系统安全管理员、系统管理员、办公自动化操作人员、安全设备操作员、软硬件维修人员和警卫人员。

 

其中系统管理员、系统安全管理员必须由不同人员担当。3.7技术安全管理

 

主要措施包括：软件管理、设备管理、备份管理以及技术文档管理。

 

4安全规划分期建设路线

 

信息安全保障重要的是过程，而不一定是结果，重要的是安全意识的提高，而不一定是安全措施的多少。因此，信息安全建设也应该从保障业务运营为目标，提高用户自身的安全意识为思路，根据业务应用的模式与规模逐步、分阶段建设，同时还要符合国家与广电总局关于等级保护的技术与管理要求。

 

4.1主要的工作内容

 

根据安全保障方案规划的设计，贵州广电网络的信息安全建设分为如下几个方面的内容：

 

1.网络优化改造:主要是安全域的划分，网络结构的改造。

 

2.安全措施部署:边界隔离措施部署，行为审计系统部署、安全监控体系部署。

 

3.基础设施改造：主要是数据大集中、服务器虚拟化、存储虚拟化。

 

4.安全运维管理:信息安全管理规范、日常安全运维考核、安全检查与审计流程、安全应急演练、曰常安全服务等。

 

4.2分期建设规划

 

4_2.1达标阶段(2015-2017)

 

1.等保建设

 

2.信任体系：网络审计、运维审计、日志审计

 

3.身份鉴别(一次口令)

 

4.监控平台：入侵检测、流量监测、木马监测

 

5.安全管理平台建设

 

6.等保测评通过(2级3级系统)

 

7.安全服务：建立定期模式

 

8.渗透性测试服务(外部+内部)

 

9.安全加固服务，建立服务器安全底线

 

10.信息安全管理

 

11.落实安全管理细则文件制定

 

12.落实安全运维与应急处理流程

 

13.完善IT服务流程，建设安全运维管理平台

 

14.定期安全演练与培训

 

4.2.2持续改进阶段(2018〜2019)

 

1.等保建设

 

2.完善信息安全防护体系

 

3.提升整体防护能力

 

4.深度安全服务

 

5.有针对性安全演练，协调改进管理与技术措施

 

6.源代码安全审计服务(新上线业务)

 

7.信息安全管理

 

8.持续改进运维与应急流程与制度，提高应急反应能力

 

9.提高运维效率，开拓运维增值模式