文档介绍：××项目等级保护方案目录1 工程项目背景 62 系统分析网络结构分析业务系统分析 73 等级保护建设流程 84 方案参照标准 105 安全区域框架 116 安全等级划分定级流程定级结果 147 安全风险与需求分析安全技术需求分析物理安全风险与需求分析计算环境安全风险与需求分析区域边界安全风险与需求分析通信网络安全风险与需求分析安全管理需求分析 218 技术体系方案设计方案设计目标方案设计框架安全技术体系设计物理安全设计计算环境安全设计身份鉴别访问控制系统安全审计入侵防范主机恶意代码防范软件容错数据完整性与保密性备份与恢复资源控制客体安全重用抗抵赖区域边界安全设计边界访问控制边界完整性检查边界入侵防范边界安全审计边界恶意代码防范通信网络安全设计网络结构安全网络安全审计网络设备防护通信完整性通信保密性网络可信接入安全管理中心设计系统管理审计管理安全管理不同等级系统互联互通 469 安全管理体系设计 4710 安全运维服务设计安全扫描人工检查安全加固流程内容风险规避日志分析流程内容补丁管理流程内容安全监控流程内容安全通告应急响应入侵调查主机、网络异常响应其他紧急事件响应流程安全运维服务的客户价值 6211 整体配置方案 6212 方案合规性分析技术部分管理部分 81工程项目背景项目背景情况介绍系统分析网络结构分析包括网络结构、软硬件设施等。业务系统分析对业务系统进行分析。等级保护建设流程网御提出的“按需防御的等级化安全体系”是依据国家信息安全等级保护制度,根据系统在不同阶段的需求、业务特性及应用重点,采用等级化的安全体系设计方法,帮助构建一套覆盖全面、重点突出、节约成本、持续运行的等级化安全防御体系。“等级化”设计方法,是根据需要保护的信息系统确定不同的安全等级,根据安全等级确定不同等级的安全目标,形成不同等级的安全措施进行保护。等级保护的精髓思想就是“等级化”。等级保护可以把业务系统、信息资产、安全边界等进行“等级化”,分而治之,从而实现信息安全等级保护的“等级保护、适度安全”思想。整体的安全保障体系包括技术和管理两大部分,其中技术部分根据《信息系统安全等级保护基本要求》分为物理安全、网络安全、主机安全、应用安全、数据安全五个方面进行建设;而管理部分根据《信息系统安全等级保护基本要求》则分为安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面。整个安全保障体系各部分既有机结合,又相互支撑。之间的关系可以理解为“构建安全管理机构,制定完善的安全管理制度及安全策略,由相关人员,利用技术工手段及相关工具,进行系统建设和运行维护。”根据等级化安全保障体系的设计思路,等级保护的设计与实施通过以下步骤进行:系统识别与定级:确定保护对象,通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。通过此步骤充分了解系统状况,包括系统业务流程和功能模块,以及确定系统的等级,为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。安全域设计:根据第一步的结果,通过分析系统业务流程、功能模块,根据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多个层次,为下一步安全保障体系框架设计提供基础框