文档介绍：技术与应用
实践等级保护�加强风险管理
——信息系统风险监控与等级保护平台建设
�文�中国长城资产管理公司信息技术部总经理王代潮
于国家政策的要求,结合业务健康、安全发展的需要, 级保护平台;能够对公司信息系统的风险进行实时监控;有
基中国长城资产管理公司建设了信息系统风险监控与信效贯彻公安部信息系统等级保护规范;协助公司进一步提升
息系统安全等级保护制度(以下简称“等级保护”) 平台,以信息安全水平,保障业务的良好运行等。
进一步完善信息安全保障体系,加强风险管理,为业务运营
保驾护航。三、系统特点
一、建设背景目前,平台通过�资产与业务域管理、信息安全事件管
理、�资产脆弱性管理、信息安全风险监控、用户与权限管
等级保护作为信息安全系统分级分类保护的一项国家标理和信息安全知识管理等模块实现信息安全事件的集中响应
准,对于完善信息安全法规和标准体系,提高安全建设的整和处理,并高效整合各种安全设备和系统。
体水平,增强信息系统安全保护的整体性、针对性和时效性
���资产与业务域管理
具有重要意义。国家相关部门非常重视信息系统的等级保护
工作,曾先后出台了多项条例、规定。等级保护的第�级明确提出了设备管理的有关要求,平台
公司早期已部署了“老三样”, 即网络防病毒、防火墙和通过对公司�资产和业务域的集中管理达到了该项要求。业务
网络入侵检测,保障业务系统的安全、正常运转。公司综合域也称为业务单元,是资产逻辑网络区域内各个资产的组合。
经营管理系统经过�期建设,实现了数据和管理集中,为公司�资产按照资产类型、资产编号、归属的业务域、所处的
收购、管理与处置政策性不良资产以及商业化经营等业务的地理位置、资产的机密性、完整性和可用性以及使用者等属性
顺利开展提供了完整的业务操作平台。为了更好地保全台自动发现的资产可以根据其属性分门别
资产,促进国有企业改革,完善安全体系建设,规范管理,对类归入到相应的业务域中。
信息系统安全进行整体审核、评估,公司提出了构建等级保公司总部数据中心和�个办事处的关键�资产,包括办
护平台的计划。公自动化系统、业务服务器、防火墙、入侵检测、网络行为
监控与审计、漏洞扫描和网络设备等都已经纳入平台进行统
二、建设目标一管理。这些资产经风险计算后得到其风险状况和面临的主
要威胁,进而将整个业务域的风险状况和安全趋势可视化。
�总体目标
�信息安全事件管理
平台建设的总体目标是实现国家对信息系统实行等级保
护的政策要求,利用平台实现风险管理从“可知—可识—可等级保护的�级对日志审计也提出了比较严格的要求。平
知识”的良性循环。台通过底层的数据采集引擎实现对这些�资产所产生的日志
数据的收集与处理,很好地满足了该项要求。
�具体目标
信息安全事件管理主要实现了事件的采集、整合和可视化
平台建设的具体目标包括:建立信息系统风险监控及等�个层面的工作。首先通过���、�����、���、��
金融电子化
��年�月 6 3
echnology & Application
T 技术与应用
等协议或方式完成事件日志采集,同时还完成异构数据源事件以关联到事件所影响到的资产,以及对资产的机密性、完整