信息安全体系实施指南.ppt

概述安全规划设计阶段安全实施/实现阶段安全运行管理阶段系统终止阶段,信息安全标准实施指南,概述,是信息系统实施等级保护的指南性文件。作为等级保护标准体系的指引文档。贯穿整个等级保护工作的所有阶段，规范和指导所有的安全活动。介绍信息系统实施等级保护的方法，不同的角色在不同阶段的作用。,实施指南的作用,信息系统的主管单位；信息系统运营、使用单位；信息系统安全服务商；信息安全监管机构；安全测评机构；安全产品供应商。,实施指南的使用对象,概述,等级保护的基本实施过程,重大变更,局部调整,系统定级,安全规划设计,安全实施/实现,安全运行管理,系统终止,概述,概述安全规划设计阶段安全实施/实现阶段安全运行管理阶段系统终止阶段,内容简介,第二阶段：安全规划设计阶段,阶段目标参与角色和职责实施流程阶段主要活动,安全规划设计-阶段目标,通过安全评估和需求分析判断信息系统的安全保护现状与等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划等，以指导后续的信息系统安全建设工程实施。,安全规划设计-参与角色和职责,信息系统运营、使用单位：根据已经确定的安全等级，按照等级保护的管理规范和技术标准，进行信息系统的安全规划设计。信息系统安全服务商：根据信息系统运营、使用单位的委托，按照等级保护的管理规范和技术标准，协助信息系统运营、使用单位完成信息系统安全规划设计工作。,安全规划设计-实施流程,主要输入,主要输出,阶段主要活动,安全评估和需求分析,系统详细描述文件系统定级建议书等级保护基本要求,安全评估报告安全需求分析报告,安全总体设计,安全总体方案书技术防护框架管理策略框架,安全建设规划,总体安全策略/框架单位信息化的中长期规划,信息系统安全建设方案,安全评估报告安全需求分析报告等级保护基本要求,阶段主要活动-1.安全评估和需求分析,活动目标通过系统调查和安全评估了解系统目前的安全现状；评估系统已经采用的或将要采用的保护措施和等级保护安全要求之间的差距，这种差距作为系统的一种安全需求；了解系统额外的安全需求；明确系统的完整安全需求。主要参考标准 信息系统安全等级保护基本要求信息系统安全等级保护测评准则信息系统安全通用技术要求信息安全风险评估指南,阶段主要活动-1.安全评估和需求分析,主要活动过程评估对象和评估方法的明确；评估指标体系的选择和确定；系统现状与评估指标的对比；特殊安全要求的确定。,阶段主要活动-1.安全评估和需求分析,评估对象和评估方法的明确,确定评估范围,获得信息系统的信息,确定具体的评估对象,确定评估工作的方法,制定评估工作计划,系统详细描述文件系统定级建议书用户文档,输入,输出,过程的工作内容,评估工作方案,阶段主要活动-1.安全评估和需求分析,评估指标体系的选择和确定,选择基本评估指标,评估对象威胁分析,系统详细描述文件系统定级建议书等级保护基本要求评估工作方案,输入,输出,过程的工作内容,安全评估方案,落实评估对象的评估指标,制定评估方案,阶段主要活动-1.安全评估和需求分析,安全现状与评估指标对比,管理指标符合性评估,技术指标符合性测评,系统详细描述文件评估工作方案安全评估方案,输入,输出,过程的工作内容,符合性评估结果,重要资产特殊安全要求的确定,重要资产分析,重要资产弱点评估,系统详细描述文件评估结果记录用户需求文档,输入,输出,过程的工作内容,风险评估结果特殊安全要求,重要资产威胁评估,重要资产风险评估,阶段主要活动-1.安全评估和需求分析,阶段主要活动-2.安全总体设计,活动目标根据等级保护基本安全要求和系统的特殊要求，从被评估单位全局考虑设计系统的整体安全框架；提出各信息系统在总体方面的策略要求、应实现的安全技术措施和安全管理措施等；形成用于指导系统进行安全建设的安全总体方案。主要参考标准信息系统安全等级保护基本要求信息系统安全通用技术要求操作系统安全技术要求数据库管理系统安全技术要求信息系统等级保护安全设计技术要求,阶段主要活动-2.安全总体设计,主要活动过程系统等级化模型处理总体安全策略设计 各级系统安全技术措施设计单位整体安全管理策略设计设计结果文档化,阶段主要活动-2.安全总体设计,系统等级化模型处理,信息系统构成抽象处理,骨干网抽象处理,系统详细描述文件符合性评估结果风险评估结果特殊安全要求,输入,输出,过程的工作内容,信息系统等级化抽象模型,安全域抽象处理,局域网/边界抽象处理,形成信息系统抽象模型,阶段主要活动-2.安全总体设计,总体安全策略设计,制定安全方针,规定安全策略,系统详细描述文件安全需求分析报告信息系统等级化抽象模型,输入,输出,过程的工作内容,总体安全策略等级保护模型,建立等级化保护模型,阶段主要活动-2.安全总体设计,各级系统安全技术措施设计,骨干网等级保护措施,安全域等级保护措施,安全需求分析报告信息系统等级保护模型等级保护基本要求特殊安全要求,输入,输出,过程的工作内容,信息系统技术防护框架,等级系统边界防护策略,主机系统/应用等级保护措施,机房等物理安全保护措施,阶段主要活动-2.安全总体设计,单位整体安全管理策略设计,规定安全管理职责,规定安全管理策略,安全需求分析报告信息系统等级保护模型等级保护基本要求特殊安全要求,输入,输出,过程的工作内容,信息系统安全管理策略框架,给定介质/设备管理策略,规定运行安全管理策略,规定安全事件处置和应急管理策略,阶段主要活动-2.安全总体设计,设计结果文档化,编制安全总体方案书,安全需求分析报告等级保护模型技术防护框架管理策略框架,输入,输出,过程的工作内容,安全总体方案书,安全规划设计-3.安全建设规划,活动目标将信息系统安全总体方案书规定的内容落实到安全建设项目中；通过对安全项目的相关性、紧迫性、难易程度和预期效果等因素进行分析，确定实施的先后顺序。主要参考标准信息系统安全等级保护基本要求信息系统安全通用技术要求操作系统安全技术要求数据库管理系统安全技术要求信息系统等级保护安全设计技术要求,安全规划设计-3.安全建设规划,主要活动过程确定安全建设目标规划安全建设内容设计安全建设方案,阶段主要活动-3.安全建设规划,确定安全建设目标,收集规划文档,调研相关安全需求,安全总体方案书单位信息化建设中长期发展规划,输入,输出,过程的工作内容,分阶段建设目标,调研建设资金准备状况,阶段主要活动-3.安全建设规划,规划安全建设内容,确定主要建设内容,分类形成建设项目,安全总体方案书分阶段安全建设目标,输入,输出,过程的工作内容,具体安全建设内容,阶段主要活动-3.安全建设规划,设计安全建设方案,设计建设顺序,安全总体方案书分阶段安全建设目标安全建设内容,输入,输出,过程的工作内容,系统安全建设方案,估算各项目投资,编制文档,概述安全规划设计阶段安全实施/实现阶段安全运行管理阶段系统终止阶段,内容简介,第三阶段：安全实施/实现阶段,阶段目标参与角色和职责实施流程阶段主要活动,安全实施/实现-阶段目标,安全实施/实现的目标是按照信息系统安全总体方案书的总体要求，结合信息系统安全建设方案，分期分步落实安全措施。,安全实施/实现-参与角色和职责,主管部门：审批下属单位制定的文件运营、使用单位：按照等级保护的管理规范和技术标准，进行信息系统的安全建设。安全服务商：根据信息系统运营、使用单位的委托，协助信息系统运营、使用单位完成信息系统安全建设施工。安全产品供应商：按照等级保护的管理规范和技术标准，开发符合安全等级保护要求的安全产品 安全测评机构：按照等级保护的管理规范和技术标准，对已经完成安全等级保护建设的信息系统进行检查评估；对安全产品供应商提供的安全产品进行检查评估。,安全实施/实现阶段-实施流程,主要输入,主要输出,阶段主要活动,安全详细方案设计,安全总体方案书系统安全建设方案安全产品技术白皮书,安全详细设计方案,安全技术实施,安全测评报告,等级化安全测评,安全详细设计方案,系统定级建议书系统验收报告,系统验收报告,安全管理实施,安全详细设计方案,角色与职责说明书 管理制度/操作规范,阶段主要活动-1.安全详细方案设计,活动目标依据信息系统安全建设方案，提出本期实施项目的具体实施方案，包括安全技术实施内容、安全管理实施内容、项目实施计划以及项目经费投入等，以便进行本次项目的实施。主要参考标准计算机信息系统安全保护等级划分准则信息系统安全等级保护基本要求信息系统安全通用技术要求操作系统安全技术要求数据库管理系统安全技术要求,阶段主要活动-1.安全详细方案设计,主要活动过程安全技术实施内容设计安全管理实施内容设计设计结果文档化,阶段主要活动-1.安全详细方案设计,安全技术实施内容设计,设计结构框架,设计功能要求,安全总体方案书安全建设方案安全产品技术白皮书,输入,输出,过程的工作内容,安全技术实施方案,设计性能指标,设计部署方案,制定安全策略实现计划,阶段主要活动-1.安全详细方案设计,安全管理实施内容设计,设置安全管理机构,配备安全管理人员,安全总体方案书安全建设方案,输入,输出,过程的工作内容,安全管理实施方案,制定安全管理制度,培训安全管理技能,阶段主要活动-1.安全详细方案设计,设计结果文档化,实施内容汇总,编制文档,安全技术实施方案安全管理实施方案,输入,输出,过程的工作内容,安全详细设计方案,阶段主要活动-2.安全管理实施,活动目标建立与信息系统安全技术和安全运行相适应的安全管理机制；在本期安全详细设计方案的指导下，建立配套的安全管理机构和人员；建立配套的安全管理制度和操作规程，进行人员的安全技能培训等；保证本期安全实施完成后，安全运行管理有配套的机制。主要参考标准信息系统安全等级保护基本要求,阶段主要活动-2.安全管理实施,主要活动内容管理机构和人员的设置管理制度的建设和修订人员安全技能培训安全实施过程管理,阶段主要活动-3.安全技术实施,活动目标保证按照安全详细设计方案实现各项安全技术措施，并确保安全技术措施的有效性。主要参考标准信息系统安全等级保护基本要求信息系统安全通用技术要求操作系统安全技术要求数据库管理系统安全技术要求,阶段主要活动-3.安全技术实施,主要活动过程安全产品采购安全控制开发安全控制集成测试与验收,阶段主要活动-4.等级化安全测评,过程目标通过安全测评机构对已经完成安全等级保护建设的信息系统进行测评，确保信息系统的安全保护措施符合相应等级的安全要求。主要参考标准信息安全等级保护测评准则信息安全等级保护基本要求,概述安全规划设计阶段安全实施/实现阶段安全运行管理阶段系统终止阶段,内容简介,第四阶段：安全运行管理阶段,阶段目标参与角色和职责实施流程阶段主要活动,安全运行管理-阶段目标,通过在安全运行管理阶段实施操作管理和控制、变更管理和控制、安全状态监控、安全事件处置和应急预案、安全评估和持续改进以及监督检查等活动，在安全管理基本要求的基础上，指导系统运行的动态管理。,安全运行管理-参与角色和职责,运营、使用单位：对已经完成安全等级保护建设的信息系统进行维护管理，发现问题及时整改；定期进行安全状况检测评估，及时消除安全隐患和漏洞；制定不同等级信息安全事件的响应、处置预案，加强信息系统的安全管理。信息安全监管机构：按照等级保护的管理规范和技术标准的要求，重点对第三、第四级信息系统的安全等级保护状况进行监督检查；发现存在安全隐患或未达到等级保护的管理规范和技术标准要求的，限期整改，使信息系统的安全保护措施更加完善。,安全运行管理-实施流程,主要输入,主要输出,阶段主要活动,操作管理和控制,安全详细设计方案安全组织机构表,操作人员角色/职责表各类操作规程,变更管理和控制,变更需求,变更结果报告,安全状态监控,安全详细设计方案系统验收报告等,安全状态分析报告,安全事件处置和应急预案,安全详细设计方案安全组织机构表,安全事件报告程序 各类应急预案安全事件处置报告,安全运行管理-实施流程（续）,主要输入,主要输出,阶段主要活动,安全评估和持续改进,安全评估报告安全改进方案,等级化安全测评,安全详细设计方案系统验收报告等,安全等级保护测评报告,监督检查,安全详细设计方案系统验收报告等,监督检查结果报告,变更需求,阶段主要活动-1.操作管理和控制,活动目标确保操作人员对信息系统实行正确、安全操作；控制系统不断变化和种类繁多的操作活动。主要参考标准信息系统安全等级保护基本要求信息系统安全通用技术要求主要活动过程操作职责确定操作过程控制,阶段主要活动-2.变更管理和控制,活动目标确保在发生安全配置、安全设施、系统结构和业务应用等变化的时候，使用标准的方法和步骤，尽快的实施变更；确保变更所导致的信息资产安全性降低、业务中断或业务影响减小到最低。主要参考标准信息系统安全等级保护基本要求主要活动过程变更需求和影响分析变更过程控制,阶段主要活动-3.安全状态监控,活动目标对信息系统的安全运行状态进行监控，确保信息系统运行安全。主要参考标准信息系统安全等级保护基本要求主要活动过程监控对象确定监控对象状态信息收集监控状态分析和报告,阶段主要活动-4.安全事件处置和应急预案,活动目标根据安全事件相关标准中规定的安全事件分级原则和划分结果，结合自身具体的情况酌情划分本单位安全事件级别；建立合适的应急响应机制。主要参考标准信息系统安全等级保护基本要求主要活动过程安全事件分级应急预案制定安全事件处置报告,阶段主要活动-5.安全评估和持续改进,活动目标确保在发生信息系统变更、安全状态改变等情况后定期对信息系统进行安全评估；确保信息系统满足相应等级安全需求和自身特殊安全需求。主要参考标准信息系统安全等级保护基本要求信息安全风险评估指南主要活动过程安全评估改进方案制定 安全改进实施,阶段主要活动-5.安全评估和持续改进,安全评估,确定评估对象和方法,制定评估计划和方案,系统详细描述文件安全状态分析报告变更结果报告,输入,输出,过程的工作内容,安全评估报告,实施安全评估,汇总分析评估结果,汇总分析评估结果,提出改进建议,阶段主要活动-5.安全评估和持续改进,改进方案制定,安全调整和改进立项,制定安全改进方案,安全评估报告,输入,输出,过程的工作内容,安全改进方案,阶段主要活动-5.安全评估和持续改进,实施安全改进,实施过程控制,补充安全功能测试,安全改进方案,输入,输出,过程的工作内容,安全测试/验收报告,相关技术文件修订,相关管理制度修订,阶段主要活动-6.监督检查,国家信息安全监督管理职能部门按照等级保护的管理规范和技术标准的要求，重点对第三、第四级信息和信息系统安全保护制度和措施的落实情况，以及安全现状的达标情况进行监督检查。安全监督管理职能部门对信息系统安全保护等级监督检查遵循“公平、公正、权威、有效”原则，采用例行检查和专项检查相结合的方法。具体参见信息安全等级保护监督检查管理办法,概述安全规划设计阶段安全实施/实现阶段安全运行管理阶段系统终止阶段,内容简介,第五阶段：系统终止阶段,阶段目标参与角色和职责实施流程主要活动过程,系统终止阶段-目标和角色,阶段目标确保信息系统被转移、终止或废弃时，正确处理系统内的敏感信息；确保组织信息资产的安全。参与角色和职责信息系统运营、使用单位信息系统主管部门 主要参考标准信息系统安全等级保护基本要求,系统终止阶段-实施流程,主要输入,主要输出,主要活动,信息转移/暂存和清除,信息资产清单,信息转移、暂存、清除处理记录文档,设备迁移或废弃,设备迁移、废弃处理记录文档,介质清除或销毁,信息系统介质清单,介质清除、销毁处理记录文档,硬件设备清单,系统终止-信息转移、暂存和清除,识别要转移、暂存和清除的信息资产,信息资产转移、暂存和清除,资产清单,输入,输出,过程的工作内容,信息转移、暂存、清除处理记录文档,处理过程记录,系统终止-设备迁移或废弃,软硬件设备识别,信息资产转移、暂存和清除,设备迁移或废弃清单,输入,输出,过程的工作内容,设备迁移、废弃处理报告,设备处理和记录,处理方案审批,系统终止-介质清除或销毁,识别要清除或销毁的介质,确定介质处理方法和流程,存档介质清单,输入,输出,过程的工作内容,介质清除或销毁记录文档,介质处理和记录,处理方案审批,