微軟產(chǎn)品為信息安全等級保護(hù)保駕護(hù)航

1、 微軟產(chǎn)品為信息安全等級保護(hù) 保駕護(hù)航 sec213 sources: world bank and imf local area networks first pc virus boot sector viruses create notoriety or cause havoc slow propagation 16-bit dos internet era macro viruses script viruses key loggers create notoriety or cause havoc faster propagation 32-bit windows broadband

2、prevalent spyware, spam phishing botnets & rootkits war driving financial motivation internet wide impact 32-bit windows hyper jacking peer to peer social engineering application attacks financial motivation targeted attacks network device attacks 64-bit windows major sections cover software vulnera

3、bility disclosures software vulnerability exploits malicious software and potentially unwanted software privacy and security breach notifications hardware o/s drivers applications gui user physical spyware rootkits application attacks phishing/social engineering author vandal thief spy trespasser lm

4、alicious software and potentially unwanted software l data from several hundred million computers l msrt has a user base of 450+ million unique computers l during 2h07 msrt executed 2.5 billion times l since january 2005 total msrt executions surpass 10 billion anti-virus security software patch 法規(guī)遵

5、從和一致性帶來的壓力逐日增大 無處不在、更加頻繁的互通與協(xié)作 保護(hù)和訪問需求日益急迫 明智it選擇；降低預(yù)算 業(yè)務(wù)愿景 威脅當(dāng)前應(yīng)對方 案 more advanced application-oriented more frequent profit motivated too many point products poor interoperability lack of integration multiple consoles uncoordinated event reporting & analysis cost and complexity integrated simplifi

6、ed comprehensive security tools & papers microsoft security assessment toolkit infrastructure optimization microsoft it showcase microsoft windows vista security whitepapers microsoft security intelligence report security readiness education and training learning paths for security professionals 信息安

7、全 體系框架 技術(shù)體系 框架 組織體系 框架 管理體系 框架 管理體系框架 安全風(fēng)險管理 評估安全風(fēng)險 規(guī)劃規(guī)劃 為成功的風(fēng)險評估建立基礎(chǔ) 主要任務(wù) 評估風(fēng)險階段與預(yù)算流程相銜 接 精確確定評估范圍 獲得風(fēng)險承擔(dān)者認(rèn)同 設(shè)置期望值 數(shù)據(jù)收集數(shù)據(jù)收集 從整個組織內(nèi)的風(fēng)險承擔(dān)者收集風(fēng) 險數(shù)據(jù) 確定資產(chǎn)并對其進(jìn)行分類 定義威脅與漏洞 評估資產(chǎn)暴露程度 評估威脅的可能性 確定風(fēng)險優(yōu)先級確定風(fēng)險優(yōu)先級 確定了優(yōu)先級的風(fēng)險列表 管理體系框架管理體系框架 安全風(fēng)險管理安全風(fēng)險管理 制定安全策略 管理體系框架管理體系框架 安全風(fēng)險管理安全風(fēng)險管理 管理體系框架管理體系框架 安全風(fēng)險管理安全風(fēng)險管理 制定安全風(fēng)

8、險記分卡 評定控制有效性 確保控制措施提供預(yù)期的保護(hù)效 果并持續(xù)有效 直接測試/自動測試 重新評估新的和已更改的資產(chǎn) 和安全風(fēng)險 管理體系框架管理體系框架 安全風(fēng)險管理安全風(fēng)險管理 組織體系框架組織體系框架 信息安全執(zhí)行機構(gòu) 組織體系框架組織體系框架 任務(wù)分工概要任務(wù)分工概要 技術(shù)體系框架技術(shù)體系框架 機械防護(hù) 電磁防護(hù) 可信硬件環(huán)境 操作系統(tǒng)安全 身份識別 訪問控 制， 數(shù)據(jù)、信息的 機密性和完整 性 身份識別， 應(yīng)用安全 數(shù)據(jù)安全 物理 環(huán)境 計算機 系統(tǒng) 網(wǎng)絡(luò)與 通訊 應(yīng)用與 數(shù)據(jù) l 保護(hù)機制保護(hù)機制 l 身份識別、訪問控制 l 數(shù)據(jù)過濾 l 加密、安全標(biāo)記、通信量填充與信息隱蔽 l

9、文件、數(shù)據(jù)庫、數(shù)據(jù)庫字段 l 數(shù)據(jù)完整性 消息的鑒別 l 數(shù)據(jù)單元完整性鑒別：通過鑒別碼檢驗數(shù)據(jù)是否被篡改或假冒 l 數(shù)據(jù)流完整性鑒別：鑒別碼結(jié)合時間戳、序列號密碼分組鏈接等技術(shù) l 以抵抗亂序、丟失、重放、插入、或修改等人為攻擊或偶然破壞 l 公證、數(shù)字簽名 l 公證：在兩方/多方通信中，提供數(shù)據(jù)完整性、收發(fā)方身份識別和時間同步等服務(wù)，如數(shù) 字證書ca l 數(shù)字簽名：基于公鑰密碼的數(shù)字簽名 l 應(yīng)用程序安全設(shè)計與實現(xiàn) l 軟件安全開發(fā)周期（sdlc） l 保證 l 又稱為可信功能度 l 是提供對于某個特定安全機制的有效性證明 l 檢測機制檢測機制 l 事件檢測 l 對所有用戶的與安全相關(guān)的行

10、為進(jìn)行監(jiān)聽和記錄，以便對系統(tǒng)安 全進(jìn)行審計 l 安全審計 l 在專門的事件檢測和系統(tǒng)日志中提取信息，進(jìn)行分析、存檔和報 告 l 恢復(fù)機制恢復(fù)機制 l 系統(tǒng)與數(shù)據(jù)備份 l 安全恢復(fù) l 對數(shù)據(jù)的恢復(fù)和對網(wǎng)絡(luò)計算機系統(tǒng)運行狀態(tài)的恢復(fù) l 響應(yīng)機制響應(yīng)機制 l 人和安全風(fēng)險管理規(guī)定及應(yīng)急制度 安全機制機密性完整性身份識別訪問控制抗抵賴性可用性 加密xxxx 數(shù)字簽名xxxx 訪問控制xxx 數(shù)據(jù)完整性x 身份識別xxx 通信量填充與信息隱蔽x 路由控制x 公證xx 事件檢測與安全審計xx 安全恢復(fù)x 安全標(biāo)記x 應(yīng)用程序安全設(shè)計與實現(xiàn)xxxxxx 保證xxxxxx internet 內(nèi)部人員外部人員

11、 合法用戶 非法用戶 企業(yè)員工外聘員工訪客合作企業(yè)員工客戶移動員工黑客 企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng) 應(yīng)用 系統(tǒng) 數(shù)據(jù) 資源 系統(tǒng) 平臺 客戶端 系統(tǒng) 設(shè)備軟件系統(tǒng)移動存貯 pc筆記本手持設(shè)備 操作系統(tǒng) 本地數(shù)據(jù)應(yīng)用軟件光盤移動硬盤u盤 操作系統(tǒng)平臺 網(wǎng)絡(luò)服務(wù)平臺 數(shù)據(jù)庫平臺電子郵件平臺應(yīng)用服務(wù)平臺 集成服務(wù)平臺溝通協(xié)作平臺管理監(jiān)控平臺 業(yè)務(wù)應(yīng)用系統(tǒng)統(tǒng)一溝通系統(tǒng)門戶共享系統(tǒng)商業(yè)智能應(yīng)用 業(yè)務(wù)數(shù)據(jù)企業(yè)郵箱 文檔資源web資源 音頻視頻資源 技術(shù)體系框架技術(shù)體系框架 輸入驗證身份認(rèn)證 應(yīng)用授權(quán)參數(shù)操作 敏感數(shù)據(jù) 會話管理 數(shù)據(jù)加密 異常管理應(yīng)用日志配置管理 l 增加攻擊者被發(fā)現(xiàn)的風(fēng)險增加攻擊者被發(fā)現(xiàn)的風(fēng)險 l

12、 針對被監(jiān)測到的威脅的快速反應(yīng)針對被監(jiān)測到的威脅的快速反應(yīng) 29 os hardening, authentication, patch management, hids, hips firewalls, network access quarantine control guards, locks, tracking devices network segments, ipsec, nids application hardening, antivirus acls, rbac, encryption, backup/restore security documents, user educ

13、ation policies, procedures, & awareness physical security perimeter internal network host application data l integrated security eases defense in depth architecture deployment l adoption of open standards allows cross platform integration management systemsystem center, active directory gpo forefron

14、t edge and server security, nap perimeter network access protection, ipsec internal network forefront client security, exchange msfp device sdl process, iis, visual studio, and .net application bitlocker, efs, rms, sharepoint, sql data user active directory and identity lifecycle mgr twc sdl systems

15、 management identity & access management services information protection client and server os server applications edge client and server os server applications edge forefront stirling management l protects against offline attacks that l attempt to compromise the integrity of the system l attempt to

16、circumvent os controls to read data l two aspects l encrypts the entire volume (os or data) l uses a trusted platform module (tpm) to verify the integrity of early start-up components data or os volume(s) 123456- 789012- 345678- how it works client requests access to network and presents current hea

17、lth state network policy server (nps) validates against it-defined health policy dhcp, vpn, or switch/router relays health status to microsoft network policy server (nps) via remote authentication dial-in user service (radius) if not policy-compliant, client is put in a restricted vlan and given acc

18、ess to fix up resources to download patches, configurations, signatures (repeat 1 - 4) if policy-compliant, client is granted full access to corporate network 5 5 real-time reporting enabled by embedded operations manager technology access to real-time data and trends “at-a-glance” view of threats &

19、 vulnerabilities across organization machines reporting security issues (malware not cleaned, critical vulnerabilities present) machines not reporting issues machines not reporting 30-day trend history drill down into detail as required notification of machines reporting alerts “is my environment co

20、mpliant with security best practices?” “has my level of vulnerability exposure changed over time?” “what portion of my environment is at high risk?” internet hotel home external firewall terminal services gateway server business partner/ client site rdp/3389 terminal server internal firewall email s

21、erver terminal server https / 443 l customizable enterprise security l ssl vpn access to internal applications l microsoft, third-party, and custom apps supported l granular access control rules l support for multiple authentication mechanisms block inbound viruses and spam keep viruses off internal

22、 application servers help keep sensitive data from being sent out block application level attacks provide secure remote access for mobile workforce l secure the platform l desktop/mobile/server 2008 l secure the data l rms, efs, bitlocker (plus features in office, sharepoint, etc.) l secure the netw

23、ork l nap l secure the wireless l server 2008 l secure the edge l isa/iag l secure the communications l forefront server, ocs, exchange l secure the desktops and servers l forefront client security sources: world bank and imf 計算機系統(tǒng)安全管理條例計算機系統(tǒng)安全管理條例 1994年頒布年頒布 提倡對計算機系統(tǒng)實施信息安全等提倡對計算機系統(tǒng)實施信息安全等 級保護(hù)管理級保護(hù)管

24、理 計算機信息系統(tǒng)安全等級劃分準(zhǔn)則計算機信息系統(tǒng)安全等級劃分準(zhǔn)則 1999年發(fā)布年發(fā)布 信息安全等級保護(hù)要求的中國化信息安全等級保護(hù)要求的中國化 信息安全等級保護(hù)制度的技術(shù)基礎(chǔ)信息安全等級保護(hù)制度的技術(shù)基礎(chǔ) 國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信 息安全保障工作的意見息安全保障工作的意見 2003年，中辦發(fā)年，中辦發(fā)27號文號文 規(guī)定信息安全等級保護(hù)是一項信息化規(guī)定信息安全等級保護(hù)是一項信息化 建設(shè)領(lǐng)域的基本國策建設(shè)領(lǐng)域的基本國策 信息安全等級保護(hù)方面的十大基本要信息安全等級保護(hù)方面的十大基本要 求求 關(guān)于信息安全等級保護(hù)關(guān)于信息安全等級保護(hù) 工作的實施意見工作的實施意見 2

25、004年四部委聯(lián)合頒布，公通字年四部委聯(lián)合頒布，公通字66號文號文 規(guī)定信息安全等級保護(hù)實施的目標(biāo)、原規(guī)定信息安全等級保護(hù)實施的目標(biāo)、原 則、策略、步驟和計劃則、策略、步驟和計劃 信息安全等級保護(hù)管理辦法信息安全等級保護(hù)管理辦法 2007年，公安部頒布年，公安部頒布 對信息安全等級保護(hù)實踐的管理要求對信息安全等級保護(hù)實踐的管理要求 定級、檢查監(jiān)督和責(zé)任定級、檢查監(jiān)督和責(zé)任 安全等級的含義：差異程度安全等級的含義：差異程度 業(yè)務(wù)價值等級和安全保障等級業(yè)務(wù)價值等級和安全保障等級 適度安全的適度安全的“度度”的標(biāo)尺的標(biāo)尺 與以前的安全建設(shè)有何不同與以前的安全建設(shè)有何不同 宗旨：保護(hù)國家重要的信息基礎(chǔ)

26、設(shè)施和信息系統(tǒng)宗旨：保護(hù)國家重要的信息基礎(chǔ)設(shè)施和信息系統(tǒng) 業(yè)務(wù)和價業(yè)務(wù)和價 值的角度值的角度 判斷判斷 系統(tǒng)規(guī)模有差異系統(tǒng)規(guī)模有差異 業(yè)務(wù)重要性有差異業(yè)務(wù)重要性有差異 數(shù)據(jù)處理能力有差異數(shù)據(jù)處理能力有差異 數(shù)據(jù)存儲保護(hù)有差異數(shù)據(jù)存儲保護(hù)有差異 系統(tǒng)運維管理有差異系統(tǒng)運維管理有差異 系統(tǒng)的影響力有差異系統(tǒng)的影響力有差異 系統(tǒng)建設(shè)成本有差異系統(tǒng)建設(shè)成本有差異 面臨安全風(fēng)險有差異面臨安全風(fēng)險有差異 部委部委 省省 市縣市縣 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 數(shù)據(jù)集中數(shù)據(jù)集中 數(shù)據(jù)集中數(shù)據(jù)集中 有差異就應(yīng)該確定有差異

27、就應(yīng)該確定 差異的程度差異的程度等等 級，區(qū)別對待級，區(qū)別對待 業(yè)務(wù)價值和影響程度業(yè)務(wù)價值和影響程度等級等級 不是一不是一 一對應(yīng)一對應(yīng) gb17859 1）安全要求第一級：）安全要求第一級： 身份鑒別、自主訪問控制、完整身份鑒別、自主訪問控制、完整 性性 2）安全要求第二級：）安全要求第二級： 增加：審計和殘余信息保護(hù)增加：審計和殘余信息保護(hù) 3）安全要求第三級：）安全要求第三級： 增加：標(biāo)記和強制訪問控制增加：標(biāo)記和強制訪問控制 安全保障能力要求安全保障能力要求 政策要求：政策要求： 27號文：綱領(lǐng)性文件，信息安全等級保護(hù)為安全國策號文：綱領(lǐng)性文件，信息安全等級保護(hù)為安全國策 66號文：四

28、部委關(guān)于等級保護(hù)實施的計劃號文：四部委關(guān)于等級保護(hù)實施的計劃 43號文：公安部的信息安全等級保護(hù)管理辦法號文：公安部的信息安全等級保護(hù)管理辦法 信息系統(tǒng)信息系統(tǒng) 產(chǎn)生安全需求產(chǎn)生安全需求 實實在在的實實在在的 安全投入安全投入 產(chǎn)生價值產(chǎn)生價值 實實在實實在 在收益在收益 承載的業(yè)務(wù)流程承載的業(yè)務(wù)流程 需要均衡：需要均衡： 適度安全適度安全 適度風(fēng)險適度風(fēng)險 似乎似乎 矛盾矛盾 平衡點平衡點 承載業(yè)務(wù)應(yīng)用承載業(yè)務(wù)應(yīng)用 安全需求對應(yīng)安全技安全需求對應(yīng)安全技 術(shù)和安全管理要求：術(shù)和安全管理要求： 安全保障等級安全保障等級 凈收益總收益投凈收益總收益投 入風(fēng)險：入風(fēng)險： 收益是收益是“價值等級價值等

29、級” 投入少，投入少， 則風(fēng)險增則風(fēng)險增 大大 投入、收益、投入、收益、 風(fēng)險間的均衡風(fēng)險間的均衡 一定的安全等級對應(yīng)：相應(yīng)的安全要求（投入）、一定的安全等級對應(yīng)：相應(yīng)的安全要求（投入）、 收益（保障功效）、殘余風(fēng)險（容忍的底線）收益（保障功效）、殘余風(fēng)險（容忍的底線） 政策與法規(guī)基石：政策與法規(guī)基石：27號文、號文、66號文、公通字號文、公通字7號文號文 標(biāo)準(zhǔn)化基石：標(biāo)準(zhǔn)化基石：gb17859系列，通用技術(shù)、系列，通用技術(shù)、 網(wǎng)絡(luò)、操作系統(tǒng)、網(wǎng)絡(luò)、操作系統(tǒng)、dbms、安全管理、安全管理 策略策略 體系體系 法制法制 標(biāo)準(zhǔn)標(biāo)準(zhǔn) 化化 資金資金 保證保證 組織組織 體系體系 領(lǐng)導(dǎo)領(lǐng)導(dǎo) 管理管理

30、責(zé)任制責(zé)任制 分層分層 與集中與集中 技術(shù)技術(shù) 體系體系 密碼密碼 信任信任 體系體系 防護(hù)防護(hù) 檢測檢測 災(zāi)備災(zāi)備 運營運營 體系體系 安全安全 監(jiān)控體監(jiān)控體 系系 應(yīng)急應(yīng)急 處理處理 優(yōu)化優(yōu)化 安全安全 產(chǎn)業(yè)產(chǎn)業(yè) 目標(biāo)：等級保護(hù)目標(biāo)：等級保護(hù) 宗旨：保護(hù)重要的信息宗旨：保護(hù)重要的信息 基礎(chǔ)設(shè)施和信息系統(tǒng)基礎(chǔ)設(shè)施和信息系統(tǒng) 解決方案（設(shè)計）解決方案（設(shè)計） 等級保護(hù)目標(biāo)等級保護(hù)目標(biāo) 方針方針原則原則 定級與體系架構(gòu)定級與體系架構(gòu) 部署與配置部署與配置 產(chǎn)品選型要求產(chǎn)品選型要求 等級測評等級測評 備案備案 認(rèn)證與認(rèn)證與 認(rèn)可認(rèn)可 防護(hù)防護(hù)檢測檢測 響應(yīng)響應(yīng)恢復(fù)恢復(fù) 技術(shù)技術(shù)運營運營 策略策略組

31、織組織 符合等級保護(hù)要求符合等級保護(hù)要求 工程建設(shè)目標(biāo)工程建設(shè)目標(biāo) 方針方針原則原則 工程任務(wù)計劃工程任務(wù)計劃 項目管理項目管理 工程預(yù)算和決算工程預(yù)算和決算 范圍范圍質(zhì)量質(zhì)量 風(fēng)險風(fēng)險成本成本 組織組織流程流程 任務(wù)任務(wù)時間時間 工程建設(shè)方案工程建設(shè)方案 工程進(jìn)度和監(jiān)工程進(jìn)度和監(jiān) 理理 工程變更管理工程變更管理 技術(shù)技術(shù)施工施工 工程建設(shè)標(biāo)準(zhǔn)工程建設(shè)標(biāo)準(zhǔn) 驗收驗收 等級等級 測評測評 目標(biāo)更明確，目標(biāo)更明確， 也是約束也是約束 多了約束多了約束 與前不同與前不同 等級目標(biāo)等級目標(biāo) 適適“度度”更精細(xì)更精細(xì) 產(chǎn)品符合等級產(chǎn)品符合等級 效果符合等級效果符合等級 等級保護(hù)帶來了哪些變化？必須明確目

32、標(biāo)、人、技術(shù)、流程的差異程度等級保護(hù)帶來了哪些變化？必須明確目標(biāo)、人、技術(shù)、流程的差異程度 目標(biāo)：級別界目標(biāo)：級別界 定差異的程度定差異的程度 定級：為差異確定級別，更清晰界定差異的程度定級：為差異確定級別，更清晰界定差異的程度 價值和影響：業(yè)務(wù)應(yīng)用價值和影響是定級的依據(jù)價值和影響：業(yè)務(wù)應(yīng)用價值和影響是定級的依據(jù) 轉(zhuǎn)換：將信息安全控制層面的差異轉(zhuǎn)換為業(yè)務(wù)層面的差異轉(zhuǎn)換：將信息安全控制層面的差異轉(zhuǎn)換為業(yè)務(wù)層面的差異 具備等級的對象具備等級的對象 人：個體安全意識和技能有等級；團(tuán)隊和組織有等級人：個體安全意識和技能有等級；團(tuán)隊和組織有等級 技術(shù)：產(chǎn)品有等級；系統(tǒng)安全保障技術(shù)有等級技術(shù)：產(chǎn)品有等級；

33、系統(tǒng)安全保障技術(shù)有等級 流程：協(xié)調(diào)管理能力、面向流程：協(xié)調(diào)管理能力、面向“客戶客戶”的能力有等級的能力有等級 合規(guī)性合規(guī)性 政策合規(guī)：符合國家和行業(yè)等級保護(hù)管理規(guī)定政策合規(guī)：符合國家和行業(yè)等級保護(hù)管理規(guī)定 標(biāo)準(zhǔn)合規(guī)：符合等級保護(hù)標(biāo)準(zhǔn)要求標(biāo)準(zhǔn)合規(guī)：符合等級保護(hù)標(biāo)準(zhǔn)要求 級別合規(guī)：符合確定等級的政策和標(biāo)準(zhǔn)要求級別合規(guī)：符合確定等級的政策和標(biāo)準(zhǔn)要求 內(nèi)部安全建內(nèi)部安全建 設(shè)和外部監(jiān)設(shè)和外部監(jiān) 管相結(jié)合管相結(jié)合 業(yè)務(wù)價值影響：業(yè)務(wù)價值影響： 旗幟鮮明強調(diào)與旗幟鮮明強調(diào)與 業(yè)務(wù)的關(guān)系業(yè)務(wù)的關(guān)系 價值和影響：對個體、社會和國家的價值和影響的差異程度價值和影響：對個體、社會和國家的價值和影響的差異程度 業(yè)務(wù)

34、風(fēng)險：信息安全風(fēng)險是業(yè)務(wù)風(fēng)險的一部分業(yè)務(wù)風(fēng)險：信息安全風(fēng)險是業(yè)務(wù)風(fēng)險的一部分 機構(gòu)管理風(fēng)險：信息安全風(fēng)險是機構(gòu)管理風(fēng)險的一部分機構(gòu)管理風(fēng)險：信息安全風(fēng)險是機構(gòu)管理風(fēng)險的一部分 適度安全適度安全 適度：安全投入（保障能力）、收益（價值的保持）、風(fēng)險均衡適度：安全投入（保障能力）、收益（價值的保持）、風(fēng)險均衡 安全投入的安全投入的“度度”：安全技術(shù)和安全管理要求有明確的等級：安全技術(shù)和安全管理要求有明確的等級 收益的收益的“度度”：價值和影響的保持具有等級：價值和影響的保持具有等級 風(fēng)險的風(fēng)險的“度度”：安全投入和收益的綜合體：安全投入和收益的綜合體 評估 定級和規(guī)劃 采購 集成 認(rèn)認(rèn) 證證 認(rèn)認(rèn)

35、 可可 運維運維 風(fēng)險管理風(fēng)險管理 公安：計算機信息系統(tǒng)安全等公安：計算機信息系統(tǒng)安全等 級保護(hù)管理辦法、計算機信級保護(hù)管理辦法、計算機信 息系統(tǒng)安全保護(hù)管理條例息系統(tǒng)安全保護(hù)管理條例 北京市國家機關(guān)重大信息安北京市國家機關(guān)重大信息安 全事件報告制度全事件報告制度( (試行試行) ) 保密局：涉及國家秘密的計保密局：涉及國家秘密的計 算機信息系統(tǒng)集成資質(zhì)管理辦算機信息系統(tǒng)集成資質(zhì)管理辦 法（試行）法（試行） 監(jiān)管 1-2級備案級備案 3級以上備級以上備 案、定期檢查案、定期檢查 應(yīng)急處理應(yīng)急處理 系統(tǒng)安全等系統(tǒng)安全等 級和保護(hù)安級和保護(hù)安 全等級要求全等級要求 符合安全要符合安全要 求的產(chǎn)品與

36、求的產(chǎn)品與 集成集成 安全檢查安全檢查 和測評和測評 iso20000和和 iso17799 風(fēng)險評估和風(fēng)險評估和 決策決策 信息系統(tǒng)安全等級保護(hù)實施的基本流程 msf mof 微軟安全風(fēng)險管理準(zhǔn)則（srmd） 52 大型機構(gòu)信息安全等級保護(hù)的特點和難點大型機構(gòu)信息安全等級保護(hù)的特點和難點 安全等級合規(guī)性管理安全等級合規(guī)性管理 安全等級域劃分和管理安全等級域劃分和管理 安全集中監(jiān)管安全集中監(jiān)管 安全運維管理安全運維管理 安全等級解決方案安全等級解決方案 部委部委 省省 市縣市縣 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要

37、網(wǎng) 數(shù)據(jù)集中數(shù)據(jù)集中 數(shù)據(jù)集中數(shù)據(jù)集中 信息系統(tǒng)結(jié)構(gòu)：信息系統(tǒng)結(jié)構(gòu)： 三或四級，不同級之間規(guī)模差異明顯三或四級，不同級之間規(guī)模差異明顯 網(wǎng)絡(luò)：獨立管理網(wǎng)絡(luò)：獨立管理 業(yè)務(wù)：貫穿所有級別的運營業(yè)務(wù)：貫穿所有級別的運營 數(shù)據(jù)大集中：數(shù)據(jù)大集中： 集中到省一級，最終是部委一級集中到省一級，最終是部委一級 風(fēng)險集中：災(zāi)難備份成為關(guān)鍵點風(fēng)險集中：災(zāi)難備份成為關(guān)鍵點 省、市縣的業(yè)務(wù)和安全重要性降低省、市縣的業(yè)務(wù)和安全重要性降低 運營管理：運營管理： 人才集中（部委或省級）人才集中（部委或省級） 省、市縣運維方式改變，日常檢查和省、市縣運維方式改變，日常檢查和 尋求技術(shù)支持、外包等成為主流尋求技術(shù)支持、外包

38、等成為主流 分離與分工（特別是人才集中后）：分離與分工（特別是人才集中后）： 信息安全從傳統(tǒng)信息安全從傳統(tǒng)it工作中分離工作中分離 信息安全與傳統(tǒng)信息安全與傳統(tǒng)it分工明確，信息安分工明確，信息安 全側(cè)重于制定安全策略，并監(jiān)督全側(cè)重于制定安全策略，并監(jiān)督 傳統(tǒng)傳統(tǒng)it人員負(fù)責(zé)安全策略在系統(tǒng)中的人員負(fù)責(zé)安全策略在系統(tǒng)中的 貫徹落實貫徹落實 特點特點 安全建設(shè)安全建設(shè) 生命周期生命周期 評估定級與評估定級與 安全規(guī)劃安全規(guī)劃 產(chǎn)品選型產(chǎn)品選型 和部署實現(xiàn)和部署實現(xiàn) 安全運維安全運維 測評風(fēng)險測評風(fēng)險 決策和優(yōu)化決策和優(yōu)化 難點：難點： 定量的業(yè)務(wù)價值判斷定量的業(yè)務(wù)價值判斷 定級對象多；定級對象多；

39、 安全等級域多且交叉。安全等級域多且交叉。 難點：難點： 安全等級域的邊界；安全等級域的邊界； 邊界內(nèi)的資產(chǎn)保護(hù)；邊界內(nèi)的資產(chǎn)保護(hù)； 安全等級域間的互操安全等級域間的互操 作的監(jiān)管工具。作的監(jiān)管工具。 難點：難點： 安全集中監(jiān)管（支持安全集中監(jiān)管（支持 工具及其部署）；工具及其部署）； 安全運維組織和流程安全運維組織和流程 難點：難點： 量化的安全評估；量化的安全評估； 信息安全風(fēng)險評估對信息安全風(fēng)險評估對 業(yè)務(wù)價值保障作用的業(yè)務(wù)價值保障作用的 有效性；有效性； 等級合規(guī)性。等級合規(guī)性。 4.1 大型機構(gòu)信息安全等級保護(hù)的特點和難點 級別與合規(guī)的評級別與合規(guī)的評 測難點測難點 級別多：人、技術(shù)

40、、流程均需要定級級別多：人、技術(shù)、流程均需要定級 業(yè)務(wù)關(guān)聯(lián)：必須懂得業(yè)務(wù)價值以及對業(yè)務(wù)業(yè)務(wù)關(guān)聯(lián)：必須懂得業(yè)務(wù)價值以及對業(yè)務(wù)“客戶客戶”的影響的影響對對 業(yè)務(wù)的了解，安全人員一般不擅長業(yè)務(wù)的了解，安全人員一般不擅長 安全等級域的劃安全等級域的劃 分和監(jiān)管分和監(jiān)管 邊界及其差異：邊界何在？邊界兩邊安全差異程度明確邊界及其差異：邊界何在？邊界兩邊安全差異程度明確 邊界之內(nèi)的對象：數(shù)據(jù)、賬號、設(shè)備、操作等，如何管理邊界之內(nèi)的對象：數(shù)據(jù)、賬號、設(shè)備、操作等，如何管理 監(jiān)管：差異如何監(jiān)測和保持監(jiān)管：差異如何監(jiān)測和保持 安全集中監(jiān)管：安全集中監(jiān)管： 差異需要明確的差異需要明確的 等級等級 結(jié)構(gòu)：分層和級聯(lián)、

41、集中管控結(jié)構(gòu)：分層和級聯(lián)、集中管控民主和集中民主和集中 安全信息管理：統(tǒng)一管理平臺、安全策略統(tǒng)一管理、數(shù)據(jù)搜集和挖掘安全信息管理：統(tǒng)一管理平臺、安全策略統(tǒng)一管理、數(shù)據(jù)搜集和挖掘 安全機制整合：資產(chǎn)、流量、事件、脆弱性、威脅和預(yù)警安全機制整合：資產(chǎn)、流量、事件、脆弱性、威脅和預(yù)警 運營管理：與安運營管理：與安 全等級相匹配全等級相匹配 人員集中：人才集中于部委或省級信息中心人員集中：人才集中于部委或省級信息中心 技術(shù)支持：全系統(tǒng)技術(shù)支持和事件處理，需要全系統(tǒng)的運維管理流程技術(shù)支持：全系統(tǒng)技術(shù)支持和事件處理，需要全系統(tǒng)的運維管理流程 安全規(guī)劃：全系統(tǒng)統(tǒng)一規(guī)劃、步調(diào)一致安全規(guī)劃：全系統(tǒng)統(tǒng)一規(guī)劃、步調(diào)

42、一致 級別合規(guī)：全系統(tǒng)安全運維符合安全等級標(biāo)準(zhǔn)要求級別合規(guī)：全系統(tǒng)安全運維符合安全等級標(biāo)準(zhǔn)要求 典型難點：從等級保護(hù)活動中可以導(dǎo)出典型難點：從等級保護(hù)活動中可以導(dǎo)出 4.2 合規(guī)性管理 政策合規(guī)政策合規(guī) 監(jiān)管機構(gòu)：公安部、保密局監(jiān)管機構(gòu)：公安部、保密局 監(jiān)管要求：三級及以上級備案、強制檢查（一年或半年一次）監(jiān)管要求：三級及以上級備案、強制檢查（一年或半年一次） 互操作行為：定級、備案、接受檢查、專業(yè)評測互操作行為：定級、備案、接受檢查、專業(yè)評測 標(biāo)準(zhǔn)合規(guī)標(biāo)準(zhǔn)合規(guī) 安全等級技術(shù)標(biāo)準(zhǔn)：安全技術(shù)要求集合成安全等級技術(shù)標(biāo)準(zhǔn)：安全技術(shù)要求集合成“等級等級” 安全管理技術(shù)標(biāo)準(zhǔn)：安全管理要求集合成安全管理技

43、術(shù)標(biāo)準(zhǔn)：安全管理要求集合成“等級等級” 技術(shù)和管理的協(xié)調(diào)：滿足各自的安全標(biāo)準(zhǔn)及關(guān)聯(lián)要求技術(shù)和管理的協(xié)調(diào)：滿足各自的安全標(biāo)準(zhǔn)及關(guān)聯(lián)要求 級別合規(guī)級別合規(guī) 安全保障技術(shù)：符合安全技術(shù)安全保障技術(shù)：符合安全技術(shù)“等級等級”要求要求 安全保障管理：符合安全管理安全保障管理：符合安全管理“等級等級”要求要求 整體安全能力：符合價值級別和安全保障能力級別的均衡要求整體安全能力：符合價值級別和安全保障能力級別的均衡要求 前兩者并不新前兩者并不新 鮮，級別合規(guī)鮮，級別合規(guī) 才是差別所在才是差別所在 4.3 安全等級域的劃分與監(jiān)管：邊界問題 業(yè)務(wù)服務(wù)器區(qū)業(yè)務(wù)服務(wù)器區(qū) 辦公區(qū)辦公區(qū) dmz web安全安全 等級域

44、等級域 業(yè)務(wù)安全業(yè)務(wù)安全 等級域等級域 辦公安全辦公安全 等級域等級域 邊界：混合邊界：混合 安全邊界安全邊界 邊界：混合邊界：混合 交換和安全交換和安全 邊界邊界 物理混合邊界：就高還是就低？業(yè)務(wù)效率和安全間的平衡物理混合邊界：就高還是就低？業(yè)務(wù)效率和安全間的平衡 安全策略邊界：不同等級安全策略交叉，在同一部件上的配置是否有沖突？安全策略邊界：不同等級安全策略交叉，在同一部件上的配置是否有沖突？ 人員邊界：人員分工和操作需要遵循不同等級的安全要求人員邊界：人員分工和操作需要遵循不同等級的安全要求 方案邊界：不同安全等級的解決方案需要在邊界處慎重考慮其隱患方案邊界：不同安全等級的解決方案需要在

45、邊界處慎重考慮其隱患 政策邊界：不同安全等級的國家監(jiān)管要求不同，邊界設(shè)備的備案和要求需要有政策邊界：不同安全等級的國家監(jiān)管要求不同，邊界設(shè)備的備案和要求需要有 側(cè)重點側(cè)重點 4.3 安全等級域的劃分與監(jiān)管：監(jiān)測和管理 業(yè)務(wù)服務(wù)器區(qū)業(yè)務(wù)服務(wù)器區(qū) 辦公區(qū)辦公區(qū) dmz web安全安全 等級域等級域 業(yè)務(wù)安全業(yè)務(wù)安全 等級域等級域 辦公安全辦公安全 等級域等級域 數(shù)據(jù)、設(shè)備數(shù)據(jù)、設(shè)備 和操作和操作 數(shù)據(jù)、設(shè)備數(shù)據(jù)、設(shè)備 和操作和操作 數(shù)據(jù)、設(shè)備數(shù)據(jù)、設(shè)備 和操作和操作 安全域內(nèi)的資產(chǎn)及其操作需要安全域內(nèi)的資產(chǎn)及其操作需要“技術(shù)工具技術(shù)工具”作為支撐的管理，確保作為支撐的管理，確保 安全等級不是紙面上

46、的安全等級不是紙面上的“劃分劃分” 需要需要“域域”管理工具，確保：管理工具，確保： 不同安全等級域的設(shè)備管理目錄不同安全等級域的設(shè)備管理目錄 不同安全等級域的賬號管理目錄不同安全等級域的賬號管理目錄 不同安全等級域的數(shù)據(jù)管理目錄不同安全等級域的數(shù)據(jù)管理目錄 4.4 安全集中監(jiān)管 業(yè)務(wù)服務(wù)器區(qū)業(yè)務(wù)服務(wù)器區(qū) 辦公區(qū)辦公區(qū) dmz web安全安全 等級域等級域 業(yè)務(wù)安全業(yè)務(wù)安全 等級域等級域 辦公安全辦公安全 等級域等級域 獨立安獨立安 全監(jiān)管全監(jiān)管 獨立安獨立安 全監(jiān)管全監(jiān)管 獨立安獨立安 全監(jiān)管全監(jiān)管 最后要最后要 集中集中 需要統(tǒng)一的、層級、分需要統(tǒng)一的、層級、分 布式監(jiān)管平臺：布式監(jiān)管平臺

47、： it資產(chǎn)統(tǒng)一管理資產(chǎn)統(tǒng)一管理 it事件統(tǒng)一管理事件統(tǒng)一管理 it威脅和預(yù)警統(tǒng)一管威脅和預(yù)警統(tǒng)一管 理理 it風(fēng)險統(tǒng)一評估和決風(fēng)險統(tǒng)一評估和決 策策 必要條件：必要條件： “域域”管理工具支持管理工具支持 盡可能多的互操作產(chǎn)品盡可能多的互操作產(chǎn)品 盡可能少的第三方產(chǎn)品盡可能少的第三方產(chǎn)品 包含或兼容服務(wù)流程管理包含或兼容服務(wù)流程管理 數(shù)據(jù)挖掘與分析數(shù)據(jù)挖掘與分析 4.5 安全運維管理 部委部委 省省 市縣市縣 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng) 辦公網(wǎng)辦公網(wǎng)機要網(wǎng)機要網(wǎng) 數(shù)據(jù)集中數(shù)據(jù)集中 數(shù)據(jù)大集中數(shù)據(jù)大集中 人才集中人才集中 運維管

48、理集中運維管理集中 事件處理和支持事件處理和支持 總部信息中心需要支持全系統(tǒng)安全事總部信息中心需要支持全系統(tǒng)安全事 件處理件處理 需要設(shè)定事件及相應(yīng)支持級別需要設(shè)定事件及相應(yīng)支持級別 需要配套的組織結(jié)構(gòu)需要配套的組織結(jié)構(gòu) 建立全系統(tǒng)服務(wù)支持團(tuán)隊建立全系統(tǒng)服務(wù)支持團(tuán)隊 建立全系統(tǒng)服務(wù)臺建立全系統(tǒng)服務(wù)臺 需要配套的服務(wù)流程需要配套的服務(wù)流程 事件報告和處理流程事件報告和處理流程 事件升級流程事件升級流程 事件原因分析流程事件原因分析流程 需要集中安全規(guī)劃和管理需要集中安全規(guī)劃和管理 總部負(fù)責(zé)安全規(guī)劃總部負(fù)責(zé)安全規(guī)劃 二級負(fù)責(zé)推廣，三級負(fù)責(zé)終端操作二級負(fù)責(zé)推廣，三級負(fù)責(zé)終端操作 需要異地災(zāi)備中心需要

49、異地災(zāi)備中心 分擔(dān)集中后的風(fēng)險分擔(dān)集中后的風(fēng)險 4.5 安全運維管理：可借鑒的模式 測試中心和災(zāi)備中心 全行軟件獨立測試 全系統(tǒng)網(wǎng)絡(luò)和系統(tǒng)技術(shù)研 究 運 行 中 心 災(zāi) 備 中 心 遠(yuǎn)程異地備份 獨立測試和驗收 總部信息安全管理：安全規(guī)劃 工作調(diào)度和 維護(hù)計劃 備份、測試和 研究計劃 二、三級信息中心 技術(shù)支持 技術(shù)研究和 獨立測試 生產(chǎn)調(diào)度和開放平臺維護(hù) 部門 全系統(tǒng)骨干網(wǎng)維護(hù) 全系統(tǒng)技術(shù)支持 4.5 安全運維管理：集中事件處理和支持流程 提交服務(wù)請求提交服務(wù)請求 業(yè)務(wù)用戶業(yè)務(wù)用戶 基礎(chǔ)設(shè)基礎(chǔ)設(shè) 施管理施管理 系統(tǒng)管系統(tǒng)管 理理 應(yīng)用軟應(yīng)用軟 件管理件管理 服務(wù)處理人員服務(wù)處理人員 服務(wù)臺：服務(wù)臺： 記錄口服務(wù)請求記錄口服務(wù)請求 根據(jù)類型分派人員根據(jù)類型分派人員 跟蹤和反饋請求跟蹤和反饋請求 人員分級人員分級 一線一線 二線二線 組織人員：組織人員： 總結(jié)：例會總結(jié)：例會 制定治本方案制定治本方案 變更審核和批準(zhǔn)變更審核和批準(zhǔn) 變更和責(zé)任：變更和責(zé)任：