中國(guó)農(nóng)業(yè)銀行計(jì)算機(jī)安全體系解決方案咨詢服務(wù)項(xiàng)目方案

文檔編號(hào):

中且農(nóng)業(yè)銀行計(jì)笄機(jī)安全體系處理方案

Ver.0

目錄

1項(xiàng)目的目的和意義..................................................9

1.1項(xiàng)目的必要性及意義...........................................9

1.2國(guó)內(nèi)外日勺現(xiàn)實(shí)狀況及趨勢(shì)......................................11

安全管理類............................................................................................11

安全模型類...........................................................................................13

項(xiàng)目成果的應(yīng)用前景...........................................................................15

2項(xiàng)目目的..................................17

2.1目日勺.........................................................17

項(xiàng)目總體目的.......................................................................................17

項(xiàng)目的環(huán)節(jié)和階段目的......................................................................20

農(nóng)行計(jì)算機(jī)安全體系的準(zhǔn)備..............................21

農(nóng)行計(jì)算機(jī)安全現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估.................22

農(nóng)行計(jì)算機(jī)安全體系方略文獻(xiàn)的編寫.....................24

農(nóng)行計(jì)算機(jī)安全體系實(shí)行方案的沒(méi)計(jì).....................25

2.2重要指標(biāo).....................................................28

3設(shè)計(jì)思緒與技術(shù)路線...............................................29

3.1設(shè)計(jì)思緒.....................................................29

3.2技術(shù)路線.....................................................31

研究設(shè)計(jì)技術(shù)路線的選定...................................31

研究設(shè)計(jì)技術(shù)處理方案.....................................32

處理關(guān)鍵技術(shù)口勺途徑.......................................33

保護(hù)對(duì)象框架的建立....................................33

安全控制的選擇和設(shè)計(jì)..................................33

3.3工程化.......................................................34

4項(xiàng)目?jī)?nèi)容................................35

4.1總則.........................................................35

總體理念.................................................35

安全體系...............................................35

安全框架模型..........................................37

保護(hù)而象框架..........................................40

安全等級(jí)指標(biāo)體系......................................47

項(xiàng)目總體流程綜述.........................................50

安全保護(hù)對(duì)象框架......................................52

風(fēng)險(xiǎn)評(píng)估...............................................54

安全需求...............................................56

安全方針...............................................57

安全保護(hù)需求框架......................................58

安全而策...............................................61

安全對(duì)策框架..........................................61

安全體系設(shè)計(jì)..........................................65

安全方略設(shè)計(jì)..........................................66

安全處理方案........................................68

4.2風(fēng)險(xiǎn)評(píng)估.....................................................70

實(shí)行過(guò)程中雙方分工.............................................................................70

XXXX安全風(fēng)險(xiǎn)評(píng)估措施論..................................................................71

概述...................................................71

資產(chǎn)評(píng)估...............................................78

威脅評(píng)估...............................................93

弱點(diǎn)評(píng)估..............................................104

風(fēng)險(xiǎn)評(píng)估..............................................107

風(fēng)險(xiǎn)評(píng)估方案........................................................................................109

設(shè)備安全評(píng)估措施.....................................109

方略文檔評(píng)估措施.....................................118

網(wǎng)絡(luò)架構(gòu)、業(yè)務(wù)流程評(píng)估措施概述.......................125

風(fēng)險(xiǎn)評(píng)估過(guò)程描述...............................................................................131

信息資產(chǎn)的識(shí)別.......................................132

安全威脅的評(píng)估.......................................134

安全弱點(diǎn)的評(píng)估.......................................136

既有安全措施評(píng)估.....................................145

綜合風(fēng)險(xiǎn)分析..........................................145

風(fēng)險(xiǎn)評(píng)估過(guò)程日勺雙方分工...................................................................147

4.3安全方略制定......................................147

安全方略概述............................................147

信息安全方略框架設(shè)計(jì)....................................149

農(nóng)行方略構(gòu)造描述.....................................149

也許需要制定的方略文檔清單.............................152

信息安全方略服務(wù)流程描述................................154

信息安全方針制定.....................................155

安全組織管理體系和職責(zé)設(shè)計(jì)...........................157

信息安全原則文檔制定.................................158

信息安全操作流程系列文檔制定.........................159

信息安全制度和管理措施系列文檔制定...................160

信息安全顧客協(xié)議系列文檔制定.........................162

4.4設(shè)計(jì)處理方案......................................163

安全需求分析............................................165

安全處理方案設(shè)計(jì)........................................166

安全規(guī)劃................................................166

體系於J推廣..............................................168

維持體系運(yùn)行............................................169

內(nèi)部審核................................................169

5項(xiàng)目實(shí)行的組織、管理...........................................170

5.1項(xiàng)目的組織.......................................170

XXXX項(xiàng)目組規(guī)劃.................................................................................171

項(xiàng)目角色和責(zé)任...................................................................................171

項(xiàng)目經(jīng)理..............................................171

首席顧問(wèn)..............................................172

高級(jí)安全顧問(wèn)..........................................172

安全顧問(wèn)..............................................173

QA質(zhì)量保證師........................................173

客戶經(jīng)理..............................................173

金融顧問(wèn)..............................................174

大型主機(jī)顧問(wèn)..........................................174

5.2項(xiàng)目的管理..................................................174

概述........................................................................................................174

XXXX工程項(xiàng)目管理措施...............................175

XXXX項(xiàng)目管理遵照的I原則.............................176

項(xiàng)目溝通................................................................................................176

平常溝通、記錄和備忘錄...............................176

匯報(bào)..................................................177

會(huì)議..................................................177

項(xiàng)目有關(guān)培訓(xùn)........................................................................................181

評(píng)估前培訓(xùn)............................................181

評(píng)估后培訓(xùn)............................................182

項(xiàng)目實(shí)行質(zhì)量保證...............................................................................183

概述..................................................183

項(xiàng)目執(zhí)行人員的I質(zhì)量職責(zé)...............................183

XXXX安全服務(wù)質(zhì)量保證體系嚴(yán)格貫徹如下過(guò)程..........184

項(xiàng)目驗(yàn)收方式............................................187

驗(yàn)收措施確認(rèn).........................................188

驗(yàn)收程序..............................................190

版本控制..............................................193

交付件歸檔措施.......................................194

6承擔(dān)能力闡明...................................................194

6.1單位基本狀況................................................194

XXXX控股有限企業(yè)基本狀況..............................194

近兩年的財(cái)務(wù)狀況（單位:萬(wàn)元）.........................195

單位負(fù)責(zé)人基木狀況......................................196

承擔(dān)同類研究設(shè)計(jì)項(xiàng)目及完畢狀況.........................196

6.2承擔(dān)能力闡明................................................197

與投標(biāo)項(xiàng)目有關(guān)的技術(shù)資源、業(yè)務(wù)背景等狀況...............197

項(xiàng)目負(fù)貢人及構(gòu)成人員狀況................................199

項(xiàng)目經(jīng)理基本狀況.....................................199

技術(shù)負(fù)責(zé)人基本狀況...................................200

項(xiàng)目人員狀況.........................................202

XXXX信息安全業(yè)務(wù)關(guān)鍵能力..............................202

具有長(zhǎng)期履行承諾的能力...............................202

具有持續(xù)發(fā)展信息安全技術(shù)日勺能力......................203

具有協(xié)助客戶規(guī)避安全風(fēng)險(xiǎn)的能力......................203

提供實(shí)時(shí)響應(yīng)的專家服務(wù)模式...........................203

具有覆蓋全國(guó)的售后服務(wù)體系...........................204

完善的服務(wù)質(zhì)量管理能力...............................204

XXXX安全項(xiàng)目成功案例簡(jiǎn)介...........................................................204

國(guó)稅總局安全征詢項(xiàng)目.................................204

7項(xiàng)目進(jìn)度安排....................................................205

8項(xiàng)目經(jīng)費(fèi)預(yù)算及安排.............................................207

9風(fēng)險(xiǎn)分析及規(guī)避措施.............................................208

9.1系統(tǒng)備份與恢復(fù)措施..........................................208

9.2掃描風(fēng)險(xiǎn)應(yīng)詢措施............................................208

9.3風(fēng)險(xiǎn)評(píng)估階段項(xiàng)目一致性的管理及規(guī)避措施.....................209

10成果列表...............................209

10.1評(píng)估階段交付件..............................................210

評(píng)估階段總行交付件...........................................................................210

評(píng)估階段各分行交付件.......................................................................210

10.2方略階段交付件..............................................211

10.3方案階段交付件..............................................211

11波及安全保密、技術(shù)秘密的保護(hù)承諾.............................212

12附件..........213

12.1項(xiàng)目負(fù)責(zé)人簡(jiǎn)歷表............................................213

12.2計(jì)劃從事本項(xiàng)目的重要人員狀況表.............................215

12.3與本項(xiàng)目有關(guān)日勺技術(shù)資源優(yōu)勢(shì).................................220

12.4XXXX提供日勺證明材料.......................................220

1項(xiàng)目的目的和意義

1.1項(xiàng)目的必要性及意義

中國(guó)農(nóng)業(yè)銀行是四大國(guó)有獨(dú)資商業(yè)銀行之一，是中國(guó)金融體系的.重要構(gòu)成

部分。在國(guó)內(nèi)，中國(guó)農(nóng)業(yè)銀行網(wǎng)點(diǎn)遍及城鎮(zhèn)，資金實(shí)力雄厚，服務(wù)功能齊全，

不僅為廣大的百姓和客戶所信賴，并且與他們一道獲得了長(zhǎng)足的共同進(jìn)步，已

成為中國(guó)最大的銀行之一。在海外，農(nóng)業(yè)銀行同樣通過(guò)自己的努力贏得了良好

的信譽(yù)，被《財(cái)富》評(píng)為世界500強(qiáng)企業(yè)之一。其信息化建設(shè)發(fā)展迅速，全行

計(jì)算機(jī)網(wǎng)點(diǎn)達(dá)4.5萬(wàn)多種，聯(lián)機(jī)網(wǎng)點(diǎn)達(dá)3.5萬(wàn)余個(gè)，各項(xiàng)業(yè)務(wù)計(jì)算機(jī)處理覆蓋

率達(dá)93%,金額達(dá)9B%。

伴隨農(nóng)行金融信息化的發(fā)展，信息系統(tǒng)已經(jīng)成為銀行賴以生存和發(fā)展日勺基

本條件。對(duì)應(yīng)地，銀行信息系統(tǒng)的安全問(wèn)題也越來(lái)越突出，銀行信息系統(tǒng)H勺安

全問(wèn)題重要包括兩個(gè)方面：一是來(lái)自外界對(duì)銀行系統(tǒng)的非法侵入，對(duì)信息系統(tǒng)

的蓄意破壞和盜竊、篡改信息行為；二是來(lái)自銀行內(nèi)部員工故意或無(wú)意的對(duì)信

息系統(tǒng)管理日勺違反。銀行信息系統(tǒng)正在面臨著嚴(yán)峻的挑戰(zhàn)。

銀行進(jìn)行安全建設(shè)、加強(qiáng)安全管理已經(jīng)成為當(dāng)務(wù)之急，其必要性正在伴隨

銀行業(yè)務(wù)和信息系統(tǒng)如下的發(fā)展趨勢(shì)而愈加凸出：

＞銀行的關(guān)鍵業(yè)務(wù)系統(tǒng)層次豐富，操作環(huán)節(jié)多，風(fēng)險(xiǎn)也相對(duì)比較明顯；

＞伴隨電子銀行和中間業(yè)務(wù)的廣泛開展，銀行日勺網(wǎng)絡(luò)與Internet和其

他組織機(jī)構(gòu)的網(wǎng)絡(luò)互聯(lián)程度越來(lái)越高，使原本相對(duì)封閉日勺網(wǎng)絡(luò)越來(lái)越

開放，從而將外部網(wǎng)絡(luò)於J風(fēng)險(xiǎn)引入到銀行內(nèi)部網(wǎng)絡(luò);

＞伴隨銀行業(yè)務(wù)集中化的趨勢(shì)，銀行業(yè)務(wù)系統(tǒng)對(duì)可靠性和無(wú)間斷運(yùn)行的I

規(guī)定也越來(lái)越高；

＞伴隨WTO日勺到來(lái)和外資銀行時(shí)進(jìn)入，銀行業(yè)競(jìng)爭(zhēng)日益劇烈，新的金融

產(chǎn)品不停推出，從而使銀行的應(yīng)用系統(tǒng)處在迅速的變化過(guò)程中，對(duì)銀

行的安全管理提出了更高日勺規(guī)定。

中國(guó)國(guó)內(nèi)各家銀行也已經(jīng)開始進(jìn)行信息安體系建設(shè)，其中最重要口勺措施就

是采購(gòu)了大量安全產(chǎn)品，包括防火墻、入侵檢測(cè)系統(tǒng)、防病毒和身份認(rèn)證系統(tǒng)

等。這些安全產(chǎn)品在很大程度上提高了銀行信息系統(tǒng)的安全水平，對(duì)保護(hù)銀行

信息安全起到了一定作用。不過(guò)它們并沒(méi)有從主線上減少安全風(fēng)險(xiǎn)，緩和安全

問(wèn)題，這重要是由于：

＞信息安全問(wèn)題歷來(lái)就不是單純的技術(shù)問(wèn)題，把防備黑客入侵和病毒感

染理解為信息安全問(wèn)題的所有是片面向。安全產(chǎn)品的功能相對(duì)比較狹

窄，往往用于處理一類安全問(wèn)題，因此僅僅通過(guò)布署安全產(chǎn)品很難完

全覆蓋銀行信息安全問(wèn)題；

＞信息安全問(wèn)題不是靜態(tài)的，它總是伴隨銀行方略、組織架構(gòu)、信息系

統(tǒng)和操作流程口勺變化而變化。布署安全產(chǎn)品是一種靜態(tài)的處理措施。

一般來(lái)說(shuō)，在產(chǎn)品安裝和配置后較長(zhǎng)一段時(shí)間內(nèi)，它們都無(wú)法動(dòng)態(tài)調(diào)

整以適應(yīng)安全問(wèn)題的變化。

因此，銀行界的有識(shí)之士都意識(shí)到應(yīng)從主線上變化應(yīng)對(duì)信息安全問(wèn)題口勺思

緒，建立愈加全面的安全保障體系，在安全產(chǎn)品的輔助下，通過(guò)管理手段體系

化地保障信息系統(tǒng)安全。

L2國(guó)內(nèi)外的現(xiàn)實(shí)狀況及趨勢(shì)

目前，國(guó)際上權(quán)威的評(píng)估原則是美國(guó)國(guó)防部公布日勺“可信計(jì)算機(jī)系統(tǒng)評(píng)估

準(zhǔn)則TCSEC”——彩虹系列原則和歐洲、美國(guó)等國(guó)家制定的ITSEC準(zhǔn)則、CC原

則和近來(lái)國(guó)際原則化組織提出的IISO/IEC15408信息技術(shù)安全評(píng)估準(zhǔn)則。許多

國(guó)家都將信息安全定位在國(guó)家戰(zhàn)略級(jí)別。有關(guān)原則和文檔包括：

?美國(guó)國(guó)家安全戰(zhàn)略

?美國(guó)的《保護(hù)網(wǎng)絡(luò)空間的國(guó)家戰(zhàn)略》

?美國(guó)銀行于金融關(guān)鍵基礎(chǔ)設(shè)施保護(hù)戰(zhàn)略

?俄羅斯聯(lián)邦信息安全學(xué)說(shuō)

?歐洲信息與網(wǎng)絡(luò)安全政策

?BS7799/IS017799

?IS015408/CC

?IATF

這些原則大體可以分為兩種類型。

1.2.1安全管理類

安全管理類型的原則重要是通過(guò)制定制度和規(guī)章來(lái)減少安全風(fēng)險(xiǎn)，BS7799

是經(jīng)典日勺安全管理類原則。

1990年，世界經(jīng)濟(jì)合作開發(fā)組織(0ECD)下轄區(qū)|信息、計(jì)算機(jī)與通信政策

組織開始起草“信息系統(tǒng)安全指導(dǎo)方針”。1992年，OECD于11月26日正式

通過(guò)“信息系統(tǒng)安全指導(dǎo)方針”。1993年，英國(guó)工'1/與貿(mào)易部(DTI)頒布“信

息安全管理事務(wù)準(zhǔn)則”。1995年，英國(guó)制定國(guó)標(biāo)BS7799第一部分：“信息安

全管理事務(wù)準(zhǔn)則”，并提交國(guó)際原則組織（ISO）,成為ISODIS14980o1996

年，BS7799第一部分提交ISO審議的J成果，于1996年2月24日結(jié)束6個(gè)月

的審議后，參與投票的組員國(guó)未超過(guò)三分之二。1997年，OECD于3月27日公

布密碼模塊指導(dǎo)原則；同年，英國(guó)正式開始推進(jìn)信息安全管理認(rèn)證先導(dǎo)計(jì)劃。

1998年，英國(guó)公布BS7799第二部分“信息安全管理規(guī)范”并成為信息安全管

理認(rèn)證日勺根據(jù)；同年，歐盟于1995年10月公布之“個(gè)人資料保護(hù)指令，自1998

年10月25日起正式生效，規(guī)定以合適原則保護(hù)個(gè)人資料”。1999年，修訂后

的IBS7799:1999版再度提交ISO審議。2023年，國(guó)際原則組織ISO/IECJTCSC

27在日本東京10月21日通過(guò)BS7799-1,成為ISODIS17799-1,2003年

12月1日正式公布。現(xiàn)已經(jīng)有30多家機(jī)構(gòu)通過(guò)了信息安全管理體系認(rèn)證，范

圍包括：政府機(jī)構(gòu)、銀行、保險(xiǎn)企業(yè)、電信企業(yè)、網(wǎng)絡(luò)企業(yè)及許多跨國(guó)企業(yè)。

目前除英國(guó)之外，國(guó)際上已經(jīng)有荷蘭、丹麥、挪威、瑞典、芬蘭、澳大利亞、

新西蘭、南非、巴西已同意使用BS7799；日本、瑞士、盧森堡表達(dá)對(duì)BS7799

感愛(ài)好；我國(guó)的臺(tái)灣、香港地區(qū)也在推廣該原則。值得一提日勺是：該原則也是

目前英國(guó)最暢銷的原則。

BS7799完全從管理角度制定，并不波及詳細(xì)日勺安全技術(shù)，實(shí)行不復(fù)雜，

重要是告訴管理者某些安全管理日勺注意事項(xiàng)和安全制度，例如磁盤文獻(xiàn)互換和

處理的安全規(guī)定、設(shè)備的安全配置管理.、工作區(qū)進(jìn)出的控制等某些很輕易理解

的問(wèn)題。這些管理規(guī)定一般日勺單位都可以制定，但要想到達(dá)BS7799日勺全面性

則需要一番努力。BS7799涵蓋了安全管理所應(yīng)波及的方方面面，全面而不失可

操作性，提供了一種可持續(xù)提高的信息安全管理環(huán)境。推廣信息安全管理原則

的關(guān)鍵在重視程度和制度貫徹方面。

應(yīng)當(dāng)說(shuō)該原則中也還存在某些問(wèn)題。它認(rèn)為未經(jīng)同意查看敏感信息是種威

脅，并且是對(duì)保密性的違反。不過(guò)明確論述保密性的文獻(xiàn)中唯一指明日勺控制中

卻沒(méi)有這種認(rèn)識(shí)。它的4.1.3部分講到，顧客應(yīng)當(dāng)簽訂保密（不泄密）協(xié)定，

但卻沒(méi)有說(shuō)制止非法顧客截?。ú炜矗┬畔?。原則中日勺另一種問(wèn)題是有關(guān)網(wǎng)絡(luò)

存取控制的I部分沒(méi)有提到密碼技術(shù)。原則中簡(jiǎn)樸討論了密碼技術(shù)，但只在有關(guān)

開發(fā)和維護(hù)系統(tǒng)應(yīng)用部分，作為維護(hù)高度敏感日勺數(shù)據(jù)的一部分。此外，它混淆

了懂得信息和占有信息的I概念。

綜上所述，BS7799在某些方面也許不全而，不過(guò)它仍是目前可以用來(lái)到

達(dá)一定防止原則H勺最佳日勺指導(dǎo)原則。

1.2.2安全模型類

安全模型類原則著重建立信息安全技術(shù)體系模型，1S015408/CC是此類原

則日勺代表。

ISO/IEC15408T999“信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則”（簡(jiǎn)

稱CC）,是國(guó)際原則化組織統(tǒng)?既有多種評(píng)估準(zhǔn)則時(shí)努力成果，是在美國(guó)和歐

洲等國(guó)分別自行推出并實(shí)踐測(cè)評(píng)準(zhǔn)則及原則日勺基礎(chǔ)上，通過(guò)互相間的總結(jié)和互

補(bǔ)發(fā)展起來(lái)日勺。重要階段為：

?1985年，美國(guó)國(guó)防部公布《可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則》（TCSEC）即

桔皮書

?1989年，加拿大公布《可信計(jì)算機(jī)產(chǎn)品評(píng)估準(zhǔn)則》（CTCPEC）

?1991年，歐洲公布《信息技術(shù)安全評(píng)估準(zhǔn)則》（ITSEC）

?1993年，美國(guó)公布《美國(guó)信息技術(shù)安全聯(lián)邦準(zhǔn)則》（FC）

?1996年，六國(guó)七方（英國(guó)、加拿大、法國(guó)、德國(guó)、荷蘭、美國(guó)國(guó)家安

全局和美國(guó)原則技術(shù)研究所）公布《信息技術(shù)安全性通用評(píng)估準(zhǔn)則》（CC1.0

版）

?1998年，六國(guó)七方公布《信息技術(shù)安全性通用評(píng)估準(zhǔn)則》（CC2.0版）

?1999年12月，ISO接受CC2.0版為ISO15408原則，并正式頒布發(fā)

行

從上面發(fā)展可以看出，CC源于TCSEC,但己經(jīng)完全改善了TCSEC。TCSEC

重要是針對(duì)操作系統(tǒng)的評(píng)估，提出H勺是安全功能規(guī)定，目前仍然可以用于對(duì)操

作系統(tǒng)日勺評(píng)估。伴隨信息技術(shù)的發(fā)展，CC全面地考慮了與信息技術(shù)安全性有關(guān)

的所有原因，以“安全功能規(guī)定”和“安全保證規(guī)定”日勺形式提出了這些原因，

這些規(guī)定也可以用來(lái)構(gòu)建TCSEC日勺各級(jí)規(guī)定。

CC定義了作為評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)安全性日勺基礎(chǔ)準(zhǔn)則，提出了目前

國(guó)際上公認(rèn)日勺表述信息技術(shù)安全性的I構(gòu)造，即把安全規(guī)定分為規(guī)范產(chǎn)品和系統(tǒng)

安全行為的功能規(guī)定以及處理怎樣對(duì)的有效日勺實(shí)行這些功能日勺保證規(guī)定。功能

和保證規(guī)定又以“類一一?子類一一組件”的構(gòu)造表述，組件作為安全規(guī)定H勺最

小構(gòu)件塊，可以用于“保護(hù)輪廓”、“安全目的”和“包”的I構(gòu)建，例如由保證

組件構(gòu)成經(jīng)典的包一一“評(píng)估保證級(jí)二此外，功能組件還是連接CC與老式安

全機(jī)制和服務(wù)的橋梁，以及處理CC同已經(jīng)有準(zhǔn)則如TCSEC.ITSEC的協(xié)調(diào)關(guān)系,

如功能組件構(gòu)成TCSEC日勺各級(jí)規(guī)定。

同BS7799相比，信息技術(shù)安全性評(píng)估準(zhǔn)則(CC)和美國(guó)國(guó)防部可信計(jì)算機(jī)

評(píng)估準(zhǔn)則(TCSEC)等更側(cè)重于對(duì)系統(tǒng)和產(chǎn)品的技術(shù)指標(biāo)日勺評(píng)估；系統(tǒng)安全工程

能力成熟模型(SSE-CMM)更側(cè)重于對(duì)安全產(chǎn)品開發(fā)、安全系統(tǒng)集成等安全工程

過(guò)程歐J管理。在對(duì)信息系統(tǒng)平常安全管理方面，BS7799日勺地位是其他原則無(wú)

法取代日勺。

這兩類原則各有利弊。管理類原則，雖然比較輕易實(shí)行，但比較滯后。在

信息技術(shù)飛速發(fā)展的今天，不能涵蓋最新日勺技術(shù)和應(yīng)用，需要不停的增長(zhǎng)新的

內(nèi)容來(lái)不停完善。安全模型類方案可認(rèn)為我們建立完整的信息安全保障體系提

供參照，由于其指出是一種理想化H勺模型，只能在實(shí)踐中起到指導(dǎo)和參照作用，

不也許直接引用。

我們認(rèn)為，建立信息安全保障體系不能只參照任何一類的原則，而應(yīng)當(dāng)根

據(jù)顧客的網(wǎng)絡(luò)現(xiàn)實(shí)狀況和顧客提出啊安全需求，綜合使用兩類原則，從技術(shù)和

管理兩個(gè)維度來(lái)考慮，以安全評(píng)估為基礎(chǔ)，制定安全方略，提出處理方案，來(lái)

滿足顧客的安全需求。

1.2.3項(xiàng)目成果時(shí)應(yīng)用前景

我國(guó)金融系統(tǒng)日勺信息安全保障體系日勺建設(shè)已經(jīng)獲得了階段性日勺成果，但其

既有歐I信息安全保障體系與否能充足滿足我國(guó)金融行業(yè)的安全目日勺還需要深

入論證。構(gòu)建我國(guó)金融系統(tǒng)信息基礎(chǔ)平臺(tái)設(shè)施大量采用了國(guó)外的技術(shù)和產(chǎn)品，

按照這種方式構(gòu)筑的信息傳播、互換和處理平臺(tái)存在相稱的安全漏洞和隱患,

在這樣日勺平臺(tái)上發(fā)展金融業(yè)務(wù)存在比較嚴(yán)重日勺安全問(wèn)題。既有的信息安全基礎(chǔ)

設(shè)施和系統(tǒng)安全處理方案大多是通過(guò)老式方式如防火墻、入侵檢測(cè)、漏洞掃描、

網(wǎng)絡(luò)隔離等技術(shù)和設(shè)備來(lái)保障系統(tǒng)的安全。雖然在一定程度上可以滿足平常工

作和安全保障規(guī)定，但各類安全設(shè)備都構(gòu)建于國(guó)外H勺硬件平臺(tái)和操作系統(tǒng)之

上，掙脫不了受限、受制、受控于人的被動(dòng)局面，這對(duì)于我國(guó)金融業(yè)務(wù)信息化

時(shí)正常發(fā)展是非常不利日勺。究其原因是沒(méi)有形成針對(duì)金融行業(yè)的信息安全保障

體系架構(gòu)。

XXXX根據(jù)本次招標(biāo)的規(guī)定，設(shè)計(jì)了包括安全評(píng)估、安全方略以及處理方

案三個(gè)重要部分日勺《中國(guó)農(nóng)業(yè)銀行計(jì)算機(jī)安全體系處理方案》。本方案通過(guò)對(duì)

農(nóng)行計(jì)算機(jī)安全問(wèn)題的研究，參照國(guó)際國(guó)內(nèi)安全原則，提出合用于農(nóng)行實(shí)際狀

況且具有可操作性的整體安全體系。

本安全體系著重體系性、整體性、針對(duì)性、可操作性，參照國(guó)際和國(guó)內(nèi)的

安全原則和規(guī)范，充足運(yùn)用成熟的J信息安全理論成果。同步具有可審核、等級(jí)

化的特點(diǎn)，強(qiáng)調(diào)本安全體系的前瞻性。

為整個(gè)安全體系的建設(shè)制定了詳盡日勺環(huán)節(jié)和階段目出J,在本項(xiàng)目中，農(nóng)行

計(jì)算機(jī)安全體系的設(shè)計(jì)過(guò)程將通過(guò)如下四個(gè)基本環(huán)節(jié)：

?農(nóng)行計(jì)算機(jī)安全體系日勺準(zhǔn)備

?農(nóng)行計(jì)算機(jī)安全現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估

?農(nóng)行計(jì)算機(jī)安全體系方略文獻(xiàn)的編寫

?農(nóng)行計(jì)算機(jī)安全體系建設(shè)方案的設(shè)計(jì)

每一種環(huán)節(jié)又深入細(xì)分，并實(shí)行嚴(yán)格的項(xiàng)目管理制度。實(shí)現(xiàn)從中國(guó)農(nóng)業(yè)銀

行實(shí)際狀況出發(fā)，根據(jù)國(guó)家有關(guān)法律法規(guī)，結(jié)合信息系統(tǒng)安全出現(xiàn)的新狀況和

新問(wèn)題，為設(shè)計(jì)農(nóng)行計(jì)算機(jī)系統(tǒng)完整日勺安全處理方案，從安全組織、安全管理

和安全技術(shù)三個(gè)方面全面建設(shè)計(jì)算機(jī)安全體系，到達(dá)中國(guó)農(nóng)業(yè)銀行提出“中國(guó)

農(nóng)業(yè)銀行計(jì)算機(jī)安全體系處理方案”項(xiàng)目的目的。

通過(guò)實(shí)行本處理方案，可以充足理解農(nóng)行信息系統(tǒng)的現(xiàn)實(shí)狀況、既有信

息安全保障系統(tǒng)日勺作用、發(fā)現(xiàn)潛在日勺信息安全技術(shù)隱患和管理漏洞，根據(jù)安全

評(píng)估的成果，制定完善日勺信息安全方略、提供切實(shí)可行的信息安全處理方案，

協(xié)助農(nóng)行建成一種合用于農(nóng)行，金融行業(yè)中一流H勺信息安全保障體系。

2項(xiàng)目目的

2.1目的

2.1.1項(xiàng)目總體目的

本項(xiàng)目的總體目的是通過(guò)對(duì)農(nóng)行計(jì)算機(jī)安全問(wèn)題的研究，參照國(guó)際國(guó)內(nèi)

安全原則，設(shè)計(jì)出合用于農(nóng)行實(shí)際狀況且具有可操作性的整體安全體系。

該總體目的包括如下幾方面內(nèi)容：

1、項(xiàng)目的成果體現(xiàn)為一套安全體系

實(shí)踐證明，單純通過(guò)購(gòu)置安全產(chǎn)品，對(duì)提高組織日勺計(jì)算機(jī)安全水平是很有

限日勺。這是由于首先安全產(chǎn)品作為一種技術(shù)工具，其作用被片面放大；另首先

許多安全技術(shù)仍沒(méi)有完全成熟。在這種狀況下，看待計(jì)算機(jī)安全問(wèn)題地科學(xué)態(tài)

度必然是充足運(yùn)用產(chǎn)品的前提下加強(qiáng)管理，建立一套融制度，流程，組織運(yùn)作

和安全技術(shù)日勺安全體系。

中國(guó)農(nóng)業(yè)銀行總行設(shè)置本項(xiàng)目的J目日勺正在于建立一套安全體系，以更有效

地提高農(nóng)行整體計(jì)算機(jī)安全水平。

2、安全體系必須是整體的I

計(jì)算機(jī)安全問(wèn)題是一種十分復(fù)雜日勺問(wèn)題，它涵蓋了物理安全，平臺(tái)安全，

應(yīng)用安全和業(yè)務(wù)安全等。在處理計(jì)算機(jī)安全問(wèn)題時(shí)，必須整體地加以處理，在

任首先遺漏都也許導(dǎo)致在其他方面的安全措施失效。

因此，本項(xiàng)目規(guī)定設(shè)計(jì)日勺安全體系，必須波及到計(jì)算機(jī)安全各個(gè)層面的，

是一種完整日勺安全體系。

3、安全體系必須參照國(guó)際和國(guó)內(nèi)的安全原則和規(guī)范，充足運(yùn)用成熟的信息

安全理論成果

目前，國(guó)際國(guó)內(nèi)許多安全理論界都作了大量安全體系方面的研究，產(chǎn)生了

一系列有關(guān)安全體系方面的J原則，包括BS7799,IATF,CC,SSE-CMM,計(jì)算機(jī)

信息系統(tǒng)安全等級(jí)劃分準(zhǔn)則等。這些安全體系由于強(qiáng)調(diào)其通用性，在實(shí)際應(yīng)用

中針對(duì)性和全面性不夠，無(wú)法直接用于農(nóng)行。不過(guò)這些安全理論在一定范圍內(nèi)

通過(guò)大量實(shí)踐證明，有很強(qiáng)口勺生命力。

本項(xiàng)目規(guī)定設(shè)計(jì)的安全體系，應(yīng)在結(jié)合農(nóng)行現(xiàn)實(shí)狀況的基礎(chǔ)上，盡量運(yùn)用

這些成熟的理論成果，與這些安全原則保持兼容。在上述提到的安全原則中，

有一部分提供了認(rèn)證和測(cè)評(píng)口勺措施。因此本項(xiàng)目規(guī)定設(shè)計(jì)的安全體系，應(yīng)以可

以通過(guò)這些安全原則為目1^0

4、安全體系必須合用于農(nóng)行

本項(xiàng)目規(guī)定設(shè)計(jì)的安全體系，必須針對(duì)農(nóng)行日勺實(shí)際狀況設(shè)計(jì)。

首先，該安全體系應(yīng)是農(nóng)行專用日勺安全體系，可以體現(xiàn)出農(nóng)行的計(jì)算機(jī)安

全問(wèn)題不一樣于其他組織甚至同類銀行日勺特點(diǎn)；

另首先，安全體系又應(yīng)具有一定的彈性以適應(yīng)農(nóng)行眾多日勺分支機(jī)構(gòu)。

5、安全體系必須是可操作的

本項(xiàng)目規(guī)定設(shè)計(jì)的安全體系，必須具有很強(qiáng)日勺可操作性，這種可操作性規(guī)

定安全體系具有非常詳盡的描述，并具有很強(qiáng)日勺可工程化能力，詳細(xì)地說(shuō)，在

描述安全對(duì)策時(shí)，不應(yīng)是原則性H勺。

在目前，最著名日勺安全體系是BS7799的ISMS（信息安全管理體系），國(guó)

內(nèi)外有諸多企業(yè)己經(jīng)開展BS7799的認(rèn)證征詢服務(wù)，該服務(wù)重要內(nèi)容就是協(xié)助

企業(yè)建立ISMS。不過(guò)ISMS側(cè)重于安全管理，在其安全控制列表中，所有是對(duì)

于企業(yè)怎樣通過(guò)管理改善信息安全的指導(dǎo)，而對(duì)安全技術(shù)的應(yīng)用過(guò)于微弱。

除了BS7799之外，許多政府提供的指南性文獻(xiàn)，例如加拿大政府提出歐J

《加拿大信息技術(shù)安全手冊(cè)》，給組織建立安全體系提供一定的參照。

國(guó)內(nèi)外的IT服務(wù)提供商和專業(yè)安全廠商已經(jīng)開始根據(jù)客戶的需要開展體

系設(shè)計(jì)這一征詢業(yè)務(wù)，其中比較著名的是IBM等。

與這些安全服務(wù)不一樣口勺是，本項(xiàng)目規(guī)定設(shè)計(jì)的安全體系具有如下特點(diǎn)：

＞可審核、等級(jí)化的安全體系。農(nóng)行分支機(jī)構(gòu)眾多，計(jì)算機(jī)應(yīng)用水平不

一，因此農(nóng)行規(guī)定其安全體系是等級(jí)化的，以適應(yīng)不一樣的應(yīng)用環(huán)境。

農(nóng)行還規(guī)定安全體系是可審核日勺，以便對(duì)其分支機(jī)構(gòu)與否到達(dá)對(duì)應(yīng)等

級(jí)進(jìn)行評(píng)判。

A安全體系應(yīng)具有一定的前瞻性，即規(guī)定安全體系考慮到農(nóng)行此后比較

長(zhǎng)一段時(shí)間內(nèi)日勺計(jì)算機(jī)技術(shù)和信息安全技術(shù)的發(fā)展趨勢(shì)。

2.1.2項(xiàng)目的環(huán)節(jié)和階段目的

與通用安全體系不一樣H勺是，農(nóng)行計(jì)算機(jī)安全體系在其設(shè)計(jì)過(guò)程中非常強(qiáng)

調(diào)與農(nóng)行計(jì)算機(jī)系統(tǒng)的特點(diǎn)和詳細(xì)狀況的一致性和可操作性。因此，安全體系

的設(shè)計(jì)重要圍繞農(nóng)行計(jì)算機(jī)安全H勺實(shí)際狀況開展，同步參照有關(guān)國(guó)際國(guó)內(nèi)原

則。

總體來(lái)說(shuō)，在本項(xiàng)目中，農(nóng)行計(jì)算機(jī)安全體系的設(shè)計(jì)過(guò)程將通過(guò)如下四個(gè)

基本環(huán)節(jié)，如圖所示：

（1）農(nóng)行計(jì)算機(jī)安全體系的準(zhǔn)備；

（2）農(nóng)行計(jì)算機(jī)安全現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估；

（3）農(nóng)行計(jì)算機(jī)安全體系方略文獻(xiàn)的編寫；

（4）農(nóng)行計(jì)算機(jī)安全體系建設(shè)方案的設(shè)計(jì)。

2.1.2.1農(nóng)行計(jì)算機(jī)安全體系的準(zhǔn)備

準(zhǔn)備階段重要目的是指做好體系設(shè)計(jì)和建立之前的多種前期工作。詳細(xì)包

括前期培訓(xùn)、確定合用范圍、擬制項(xiàng)目計(jì)劃與藍(lán)圖。

＞前期培訓(xùn)

本項(xiàng)目規(guī)定安全體系的設(shè)計(jì)過(guò)程以農(nóng)行為主，服務(wù)商為輔。因此為了使農(nóng)

行參與項(xiàng)目組員理解安全體系的基本原理，掌握安全體系設(shè)計(jì)過(guò)程中各個(gè)環(huán)節(jié)

的具有過(guò)程，必須在項(xiàng)目前期進(jìn)行培訓(xùn)。

前期培訓(xùn)日勺詳細(xì)目的包括：

■項(xiàng)目所有組員對(duì)與安全體系有關(guān)的理論知識(shí)（包括安全原則）口勺理

解。

■項(xiàng)目所有組員對(duì)安全體系設(shè)計(jì)過(guò)程日勺理解。

＞確定項(xiàng)目范圍

在本項(xiàng)目中，安全體系的范圍總體上涵蓋物理環(huán)境、網(wǎng)絡(luò)、系統(tǒng)平臺(tái)、應(yīng)

用軟件和業(yè)務(wù)等多種層次，為了提高項(xiàng)目實(shí)行的質(zhì)量，必須在項(xiàng)目開始時(shí)充足

定義項(xiàng)目范圍。此外，在項(xiàng)目實(shí)行過(guò)程中，由于對(duì)所有計(jì)算機(jī)系統(tǒng)進(jìn)行評(píng)估是

不現(xiàn)實(shí)的，因此必須采用抽樣的方式，抽樣的詳細(xì)方案在本階段明確。

確定項(xiàng)目范圍的詳細(xì)目口勺包括：

■明確項(xiàng)目實(shí)行的層次范圍；

■確定抽樣口勺方案，保證抽樣樣本的經(jīng)典性。

＞擬制項(xiàng)目計(jì)劃和藍(lán)圖

在準(zhǔn)備階段，還必須擬制項(xiàng)目的詳細(xì)計(jì)劃和藍(lán)圖，盡量詳盡地描述項(xiàng)目的

過(guò)程和成果形式，充足保證項(xiàng)目的可控性。

擬制項(xiàng)目計(jì)劃和藍(lán)圖的詳細(xì)目的包括：

■擬制項(xiàng)目計(jì)劃，并通過(guò)項(xiàng)目領(lǐng)導(dǎo)小組的審核；

■擬制藍(lán)圖，并通過(guò)項(xiàng)目領(lǐng)導(dǎo)小組的I審核。

2.1.2.2農(nóng)行計(jì)算機(jī)安全現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估

現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估是建立安全農(nóng)行計(jì)算機(jī)安全體系的基礎(chǔ)和關(guān)鍵,

在整個(gè)項(xiàng)目過(guò)程中，現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估日勺工作量占了很大比例，現(xiàn)實(shí)狀

況調(diào)查和風(fēng)險(xiǎn)評(píng)估的深度直接影響安全體系能否與農(nóng)行實(shí)際狀況相一致且具

有可操作性。

現(xiàn)實(shí)狀況調(diào)查和風(fēng)險(xiǎn)評(píng)估的重要目的包括對(duì)農(nóng)行計(jì)算機(jī)系統(tǒng)進(jìn)行全面的I

現(xiàn)實(shí)狀況調(diào)查、建立保護(hù)對(duì)象框架和根據(jù)保護(hù)對(duì)象框架進(jìn)行風(fēng)險(xiǎn)評(píng)估。

＞全面的現(xiàn)實(shí)狀況調(diào)查

全面現(xiàn)實(shí)狀況調(diào)查是本項(xiàng)目十分關(guān)鍵的環(huán)節(jié)，現(xiàn)實(shí)狀況調(diào)查的廣度和深度

將對(duì)保護(hù)對(duì)象框架的建立和風(fēng)險(xiǎn)評(píng)估帶來(lái)非常十分重要的作用。在全面現(xiàn)實(shí)狀

況調(diào)查中，農(nóng)行的計(jì)算機(jī)系統(tǒng)的場(chǎng)所、環(huán)境、網(wǎng)絡(luò)、網(wǎng)絡(luò)設(shè)備、主機(jī)、操作系

統(tǒng)、數(shù)據(jù)庫(kù)、中間件、應(yīng)用軟件、業(yè)務(wù)流程、管理制度和組織機(jī)構(gòu)將得到全面

『、J調(diào)研。

全面的現(xiàn)實(shí)狀況調(diào)查的詳細(xì)目的包括：

■獲得對(duì)農(nóng)行計(jì)算機(jī)系統(tǒng)的全面理解：

■為建立農(nóng)行計(jì)算機(jī)系統(tǒng)保護(hù)對(duì)象框架模型打下扎實(shí)的基礎(chǔ)。

＞建立保護(hù)對(duì)象框架

在本項(xiàng)目中，安全體系口勺設(shè)計(jì)思緒既采用了“最佳實(shí)行”或“安全控制J”

列表，也采用了安全模型。（參見(jiàn)節(jié)3.1）保護(hù)對(duì)象框架是設(shè)計(jì)過(guò)程中采用口勺最

重要的安全模型，它來(lái)源于IATFO建立保護(hù)對(duì)象框架有助于形成對(duì)農(nóng)行計(jì)算機(jī)

系統(tǒng)完整的視圖。采用保護(hù)對(duì)象框架技術(shù)，有助于將風(fēng)險(xiǎn)評(píng)估和安全對(duì)策框架

聯(lián)絡(luò)起來(lái)，形成對(duì)■比指紋。

建立保護(hù)對(duì)象框架口勺詳細(xì)目的包括:

■精確地獲得農(nóng)行計(jì)算機(jī)系統(tǒng)安全保護(hù)輪廓；

■為風(fēng)險(xiǎn)評(píng)估和安全體系建立對(duì)比指紋。

＞風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估的目日勺是理解農(nóng)行計(jì)算機(jī)系統(tǒng)日勺安全現(xiàn)實(shí)狀況，以便在安全體系

時(shí)實(shí)行過(guò)程進(jìn)行需求分析和處理方案設(shè)計(jì)。風(fēng)險(xiǎn)評(píng)估過(guò)程包括對(duì)農(nóng)行計(jì)算機(jī)系

統(tǒng)『'J資產(chǎn)安全價(jià)值、弱點(diǎn)嚴(yán)重性、威脅也許性和既有安全措施等進(jìn)行估值，并

通過(guò)這些原因計(jì)算風(fēng)險(xiǎn)值。

風(fēng)險(xiǎn)評(píng)估的詳細(xì)目FI勺包括：

■精確地獲得農(nóng)行計(jì)算機(jī)系統(tǒng)安全現(xiàn)實(shí)狀況；

■獲得農(nóng)行計(jì)算機(jī)系統(tǒng)風(fēng)險(xiǎn)現(xiàn)實(shí)狀況，為安全對(duì)策框架設(shè)計(jì)提供根據(jù)。

2.1.2.3農(nóng)行計(jì)算機(jī)安全體系方略文獻(xiàn)的）編寫

安全體系的I設(shè)計(jì)是指根據(jù)保護(hù)對(duì)象框架，設(shè)計(jì)農(nóng)行計(jì)算機(jī)安全對(duì)策框架的I

過(guò)程。對(duì)策框架由一系列安全控制（或者最佳實(shí)行）構(gòu)成，安全控制由方略、

組織、技術(shù)手段和運(yùn)作過(guò)程四部分構(gòu)成，而方略是安全對(duì)策日勺關(guān)鍵部分，因此

安全體系方略文獻(xiàn)是安全體系的詳細(xì)反應(yīng)。

方略文獻(xiàn)編寫階段日勺重要目的包括設(shè)計(jì)農(nóng)行計(jì)算機(jī)安全對(duì)策框架和編制

方略文獻(xiàn)。

＞設(shè)計(jì)對(duì)策框架

對(duì)策框架是指根據(jù)保護(hù)對(duì)象框架中日勺安全需求選擇安全控制（最佳實(shí)行）,

在對(duì)策框架中，每一條安全需求都對(duì)應(yīng)著多條安全控制，這些安全控制使安全

體系實(shí)現(xiàn)等級(jí)化成為也許。

由于對(duì)策設(shè)計(jì)是建立在保護(hù)對(duì)象框架中，因此其整體性得到了保證。

設(shè)計(jì)對(duì)策框架的詳細(xì)目日勺包括：

■根據(jù)保護(hù)對(duì)象框架中安全需求選擇或設(shè)計(jì)多條安全控制（最佳實(shí)

行）；

■只選擇合用于農(nóng)行的安全控制，保證對(duì)策框架對(duì)農(nóng)行歐I合用性。

＞編制方略文獻(xiàn)

通過(guò)編制體系化的方略文獻(xiàn)，描述對(duì)策框架中的安全控制，并據(jù)此制定對(duì)

應(yīng)的管理制度、組織規(guī)程、使用指南和企業(yè)原則等。方略文獻(xiàn)是農(nóng)行安全體系

的體現(xiàn)形式。

編制方略文獻(xiàn)口勺詳細(xì)目的包括：

■抽取對(duì)策框架中每條安全控制H勺方略要素，形成安全控制列表；

■對(duì)安全控制列表進(jìn)行有關(guān)性分析，并形成一整套方略文獻(xiàn)。

2.1.2.4農(nóng)行計(jì)算機(jī)安全體系實(shí)行方案的設(shè)計(jì)

通過(guò)安全體系方略文獻(xiàn)編制階段后來(lái)，農(nóng)行計(jì)算機(jī)安全體系設(shè)計(jì)已經(jīng)完

畢，不過(guò)要在農(nóng)行建立該安全體系，還必須通過(guò)安全體系建立的工程化階段。

而安全體系實(shí)行方案設(shè)計(jì)階段是對(duì)安全體系設(shè)計(jì)階段和工程階段起到承上啟

下日勺中間階段。通過(guò)安全體系實(shí)行方案日勺設(shè)計(jì)，農(nóng)行計(jì)算機(jī)安全體系才也許被

真正實(shí)行。

農(nóng)行計(jì)算機(jī)安全體系實(shí)行方案設(shè)計(jì)階段日勺詳細(xì)目的包括需求分析、產(chǎn)生總

體規(guī)劃、設(shè)計(jì)技術(shù)實(shí)行方案、設(shè)計(jì)推廣過(guò)程、設(shè)計(jì)體系運(yùn)行方案和設(shè)計(jì)內(nèi)部審

核過(guò)程等。

＞需求分析

需求分析的I重要根據(jù)是風(fēng)險(xiǎn)評(píng)估和對(duì)策框架日勺對(duì)比，并結(jié)合農(nóng)行提出其他

需要考慮和處理日勺安全需求（安全需求斷言），綜合形成安全需求。

需求分析協(xié)助農(nóng)行理解其安全現(xiàn)實(shí)狀況與目日勺之間日勺差距，并清晰地看到

實(shí)現(xiàn)安全體系的某一級(jí)別還需要作什么。需求分析的成果為規(guī)劃和安全處理方

案設(shè)計(jì)提供直接根據(jù)。

需求分析的詳細(xì)目的包括：

■通過(guò)對(duì)評(píng)估成果和對(duì)策框架地對(duì)比，獲得差距；

■為規(guī)劃和處理方案設(shè)計(jì)提供根據(jù)。

＞產(chǎn)生總體規(guī)劃

信息安全發(fā)展規(guī)劃的制定以農(nóng)行自身的業(yè)務(wù)發(fā)展規(guī)劃和發(fā)展規(guī)劃為基礎(chǔ)，

就信息安全口勺發(fā)展趨勢(shì)給出意見(jiàn)，使得信息安全發(fā)展規(guī)劃可以符合信息安全的

發(fā)展方向，同步也可以與農(nóng)行的整體發(fā)展規(guī)劃相吻合。

總體規(guī)劃的詳細(xì)目口勺包括：

■制定農(nóng)行在信息安全面的長(zhǎng)遠(yuǎn)發(fā)展規(guī)劃。

■通過(guò)對(duì)農(nóng)行自有資源的分析，制定出切合實(shí)際口勺發(fā)展規(guī)劃。

＞設(shè)計(jì)技術(shù)實(shí)行方案

技術(shù)實(shí)行方案日勺制定是以需求分析為基礎(chǔ)，對(duì)加固、安全技術(shù)選型、布署

和配置等技術(shù)手段用工程化實(shí)行方案的形式進(jìn)行描述，使得農(nóng)行可以建立其設(shè)

計(jì)好的安全體系。

技術(shù)實(shí)行方案設(shè)計(jì)口勺詳細(xì)目的包括:

■設(shè)計(jì)工程叱實(shí)行方案，保障農(nóng)行實(shí)現(xiàn)安全體系日勺硬件環(huán)境；

＞設(shè)計(jì)推廣過(guò)程

安全體系的推廣以農(nóng)行實(shí)際狀況為根據(jù)，就安全體系從總行向省分行和地

市分行一直到支行和分理處推廣提供指導(dǎo)性意見(jiàn)。

設(shè)計(jì)推廣過(guò)程日勺詳細(xì)目日勺包括：

■提供推廣口勺指導(dǎo)性意見(jiàn)，保證推廣過(guò)程的有效性。

＞設(shè)計(jì)體系運(yùn)行方案

在體系文獻(xiàn)編制和技術(shù)實(shí)行方案設(shè)計(jì)完畢后，本項(xiàng)目還應(yīng)當(dāng)設(shè)計(jì)有關(guān)體系

運(yùn)行方案，尤其是包括試運(yùn)行期中指導(dǎo)性意見(jiàn)。運(yùn)行方案包括體系文獻(xiàn)的公布

和宣貫、培訓(xùn)以及問(wèn)題的搜集和糾正。

設(shè)計(jì)體系運(yùn)行方案FI勺詳細(xì)目的包括：

■提供體系運(yùn)行的指導(dǎo)性意見(jiàn)，保證農(nóng)行計(jì)算機(jī)安全體系口勺可用性和

可操作性。

＞設(shè)計(jì)內(nèi)部審核過(guò)程

由于本項(xiàng)目規(guī)定設(shè)計(jì)的安全體系是等級(jí)化的，所認(rèn)為了評(píng)估農(nóng)行的下屬分

支機(jī)構(gòu)與否到達(dá)制定的安全級(jí)別，安全體系還應(yīng)當(dāng)包括內(nèi)部審核的過(guò)程。審核

過(guò)程包括審計(jì)，現(xiàn)場(chǎng)審核等內(nèi)容。

設(shè)計(jì)內(nèi)部審核過(guò)程日勺詳細(xì)目的包括：

■建立獲得審核證據(jù)，對(duì)分支機(jī)構(gòu)所運(yùn)行歐I安全體系等級(jí)進(jìn)行客戶評(píng)

價(jià)的準(zhǔn)則。

2.2重要指標(biāo)

作為服務(wù)項(xiàng)R的成果，農(nóng)行計(jì)算機(jī)安全體系總體上需要符合如下指標(biāo)：

1、原則性

盡量參照國(guó)際國(guó)內(nèi)原則開展工作是本次安全服務(wù)工作的指導(dǎo)原則，并保持

對(duì)這些原則H勺兼容，是本次項(xiàng)目重要規(guī)定之一。

本項(xiàng)目將根據(jù)日勺國(guó)內(nèi)和國(guó)際原則包括：

>ISO17799/BS7799

>ISO15408/CC

>ISO13335

>SSE-CMM

>IATF3.1

>計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分準(zhǔn)則

>加拿大信息技術(shù)安全手冊(cè)

本項(xiàng)目實(shí)行過(guò)程除了根據(jù)有關(guān)的國(guó)內(nèi)和國(guó)際原則之外，還要參照某些沒(méi)有

成為國(guó)際和國(guó)內(nèi)原則，不過(guò)已經(jīng)成為業(yè)界實(shí)際上原則的某些規(guī)范和約定。這些

規(guī)范和約定包括：

>CVE公共漏洞和暴露

>PMI項(xiàng)目管理措施學(xué)

2、整體性

在本項(xiàng)目中將通過(guò)對(duì)農(nóng)行物理層、平臺(tái)層、應(yīng)用層和業(yè)務(wù)層日勺全面調(diào)研，

構(gòu)建農(nóng)行的保護(hù)對(duì)象框架，框架是保證獲得農(nóng)行計(jì)算機(jī)系統(tǒng)安全輪廓整體性I均

重要基礎(chǔ)。根據(jù)保護(hù)對(duì)象框架，項(xiàng)目還將產(chǎn)生農(nóng)行對(duì)策框架，對(duì)策框架由構(gòu)造

化的安全控制（或最佳實(shí)行）構(gòu)成，而每條安全控制都由方略、組織、技術(shù)和

運(yùn)作構(gòu)成，通過(guò)這種措施，保證安全體系的整體性。

3、合用性

在本項(xiàng)目中安全體系規(guī)定對(duì)農(nóng)行具有較高的合用性，這是反應(yīng)安全體系的

指標(biāo)之一。規(guī)定農(nóng)行計(jì)算機(jī)安全體系能體現(xiàn)農(nóng)行不一樣與其他組織，甚至包括

其他銀行的特點(diǎn)，同步農(nóng)行計(jì)算機(jī)安全體系又能適應(yīng)于農(nóng)行各級(jí)分支機(jī)構(gòu)，包

括省行、地市行和支行等的計(jì)算機(jī)安全規(guī)定。

4、可操作性