三級等保整體解決方案

北京aa軟件股份有限公司

安全整體解決方案

目錄

第一章前言..............................................................4

1.1公司簡介....................................................................4

1.2適用范圍....................................................................4

1.3規(guī)劃目標(biāo)與依據(jù)..............................................................5

1.3.1建設(shè)目標(biāo)..........................................................................................5

1.3.2規(guī)劃原則.........................................................................................6

1.3.3規(guī)劃依據(jù).........................................................................................7

1.3.4安全框架.........................................................................................8

第二章系統(tǒng)定級與安全域................................................10

2.1系統(tǒng)定級...................................................................10

2.1.1不同等級的安全保護(hù)能力...........................................................................10

2.1.2重要信息系統(tǒng).....................................................................................11

2.2安全域定義.................................................................12

2.2.1安全域定義方法...................................................................................12

2.2.2安全域等級描述...................................................................................12

第三章實(shí)施方案設(shè)計....................................................14

3.1三級等保要求...............................................................15

3.2基本要求的詳細(xì)技術(shù)要求.....................................................17

3.2.14勿理安全.........................................................................................17

3.2.2網(wǎng)絡(luò)安全........................................................................................20

3.2.3主機(jī)安全........................................................................................25

3.2.4應(yīng)用安全........................................................................................28

3.2.5數(shù)據(jù)安全與備份恢復(fù)..............................................................................31

3.3基本要求的詳細(xì)管理要求....................................................32

3.3.1安全管理制度.....................................................................................32

3.3.2安全管理機(jī)構(gòu)....................................................................................33

3.3.3人員安全管理....................................................................................35

3.3.4系統(tǒng)建設(shè)管理....................................................................................36

3.3.5系統(tǒng)運(yùn)維管理.....................................................................................39

3.4網(wǎng)絡(luò)安全產(chǎn)品部署...........................................................45

3.5信息安全服務(wù)..............................................................45

第四章安全防護(hù)體系建設(shè)規(guī)劃............................................47

4.1第一期項(xiàng)目投資估算表.......................................................49

4.21程分期預(yù)期效果............................................................49

-2

安全整體解決方案

4.2.1工程預(yù)期效果....................................................................................49

4.3各產(chǎn)品功能解釋.............................................................50

4.3.1網(wǎng)和J............................................................................................................................................................................................................50

4.3.2入侵檢測系統(tǒng)....................................................................................50

4.3.3入侵防御系統(tǒng)....................................................................................5。

4.3.4內(nèi)網(wǎng)安全管理系統(tǒng)................................................................................50

4.3.5aa智能運(yùn)維管理系統(tǒng)..............................................................................51

4363a數(shù)據(jù)庫審計系統(tǒng)..................................................................................51

4.3.7aa操作系統(tǒng)安全搟強(qiáng)系統(tǒng)..........................................................................52

4.3.8aa一體化運(yùn)維管理系統(tǒng)............................................................................52

4.3.9aa漏洞掃描系統(tǒng)..................................................................................52

4.3.10aa下一代防火墻.................................................................................53

-3

安全整體解決方案

第一章前言

1.1公司簡介

北京aa軟件股份有限公司成立于2009年，是新三板上市公司，股票簡稱“aa

軟件”，股票代碼:430208.公司的愿景是成為“中國信息安全第一品牌，全球信息安

全行業(yè)最有價值企業(yè)之一”；公司的使命是“科技報國、感恩客戶、優(yōu)秀品質(zhì)、炫麗

世界”；公司的價值觀是“專注、激情、創(chuàng)新、共享”。

在當(dāng)今大數(shù)據(jù)時代，我們與北京大學(xué)信息安全實(shí)驗(yàn)室合作，專注于信息安全領(lǐng)

域，為數(shù)據(jù)安全、管理、挖掘提供卓越的產(chǎn)品、服務(wù)及全方位的解決方案，公司獲得

了高新技術(shù)和雙軟企業(yè)認(rèn)證，推出了針對用戶核心數(shù)據(jù)安全的系列產(chǎn)品(Uxsin。

RockSolidCDPS),用戶遍布金融、政府、軍工、教育、醫(yī)療、能源、電力等領(lǐng)域。

公司自成立以來，吸納了一大批具有豐富IT經(jīng)驗(yàn)的專家、精英成為技術(shù)骨干和

高級管理人員，己為眾多用戶成功的完成了從技術(shù)咨詢、方案論證、系統(tǒng)集成、設(shè)備

選型到安裝調(diào)試、培訓(xùn)等一系列服務(wù)，受到用戶的普遍好評。

通過多年的IT信息系統(tǒng)建設(shè)，我們積累了豐富的設(shè)計經(jīng)驗(yàn)，具有針對不同行業(yè)

的信息安全解決方案。同時，公司內(nèi)部建立了一整套管理規(guī)范和服務(wù)體系，為與廣

大用戶建立長期的合作伙伴關(guān)系奠定了良好的基礎(chǔ)。

在網(wǎng)絡(luò)安全與信息化建設(shè)成為國家安全戰(zhàn)略的今天，我們將一如既往的把a(bǔ)a的

理念、產(chǎn)品、技術(shù)和服務(wù)奉獻(xiàn)給廣大用戶，為國家安全貢獻(xiàn)科技的力量。

1.2適用范圍

本文檔為安全整體解決方案建議稿，并可以作為系統(tǒng)等級保護(hù)體系建設(shè)提供依

據(jù)。

-4

安全整體解決方案

1.3規(guī)劃目標(biāo)與依據(jù)

1.3.1建設(shè)目標(biāo)

息系統(tǒng)網(wǎng)絡(luò)安全建設(shè)的目的，是依照國家有關(guān)信息安全建設(shè)的一系列法規(guī)和政

策，建立體系完整、安全功能強(qiáng)健、系統(tǒng)性能優(yōu)良的網(wǎng)絡(luò)安全系統(tǒng)，從而有效保隙各

項(xiàng)信息業(yè)務(wù)的正常運(yùn)行，保護(hù)網(wǎng)絡(luò)內(nèi)敏感數(shù)據(jù)信息的安全。

通過計算機(jī)及網(wǎng)絡(luò)技術(shù)、現(xiàn)代通信技術(shù)、現(xiàn)代管理技術(shù)和決策分析技術(shù)為手段，

建立一個技術(shù)領(lǐng)先、功能強(qiáng)、效率高、使用方便的安全的網(wǎng)絡(luò)系統(tǒng)，在盡量減少對現(xiàn)

有網(wǎng)絡(luò)影響的前提下，最大限度的提升內(nèi)網(wǎng)安全性能。

-5

安全整體解決方案

1.3.2規(guī)劃原則

基本指導(dǎo)原則：針對電臺信息系統(tǒng)安全的具體現(xiàn)狀，本規(guī)劃方案以“統(tǒng)一規(guī)劃、

重點(diǎn)明確、合理建設(shè)、逐步強(qiáng)化”為基本指導(dǎo)原則。

總體原則：不影響用戶業(yè)務(wù)系統(tǒng)的正常運(yùn)營，確保網(wǎng)絡(luò)安全，根據(jù)電臺網(wǎng)絡(luò)系

統(tǒng)不同信息的重要性調(diào)整保護(hù)策略，不欠保護(hù)也不過度保護(hù)，采取“缺什么補(bǔ)什么”的

方針。

規(guī)劃原則：

■全面規(guī)劃，逐步實(shí)施原則

進(jìn)行統(tǒng)一的、整體性的設(shè)計，將有限的資源集中解決最緊迫問題，為后繼的安全

實(shí)施提供基礎(chǔ)保障，從解決主要的問題入手，伴隨信息系統(tǒng)應(yīng)用的開展，逐步提高

和完善信息系統(tǒng)建設(shè)。

■分域分級保護(hù)原則

將整個業(yè)務(wù)系統(tǒng)按照等級保護(hù)第三級基本要求的策略，在確保安全的前提下，大

幅度降低電臺業(yè)務(wù)系統(tǒng)安全體系建設(shè)成本和管理成本。

■技術(shù)與管理相結(jié)合原則

在考慮技術(shù)解決方案的同時，充分考慮法律、法規(guī)、管理等方面的制約和調(diào)控作

用，堅(jiān)持技術(shù)和管理相結(jié)合。

■先進(jìn)性原則

確保系統(tǒng)能夠符合當(dāng)前網(wǎng)絡(luò)技術(shù)、信息技術(shù)發(fā)展的趨勢，具有明顯的先進(jìn)性，在

未來3至5年內(nèi)能充分滿足電臺的實(shí)際需要。

■可靠性原則

安全系統(tǒng)的實(shí)施不能影響業(yè)務(wù)系統(tǒng)的正常運(yùn)行與性能，同時所有安全子系統(tǒng)的

數(shù)據(jù)傳輸和自身系統(tǒng)也應(yīng)當(dāng)是安全可靠的。

-6

安全整體解決方案

1.3.3規(guī)劃依據(jù)

為保證網(wǎng)絡(luò)安全系統(tǒng)的規(guī)范性、安全性、可行性，在本規(guī)劃方案內(nèi)容編寫過程

中，以“信息系統(tǒng)安全等級保護(hù)測評準(zhǔn)則”第三級安全控制評測技術(shù)要求為依據(jù)，嚴(yán)

格遵守下述國家相關(guān)法律法規(guī)及安全保密規(guī)范：

1.國家信息安全等級保護(hù)相關(guān)標(biāo)準(zhǔn)和政策；

2.國家涉密信息系統(tǒng)分級保護(hù)相關(guān)標(biāo)準(zhǔn)和規(guī)范；

3.1S027000系列安全管理體系建設(shè)標(biāo)準(zhǔn)；

4.IS020000系列IT系統(tǒng)運(yùn)行維護(hù)服務(wù)標(biāo)準(zhǔn)；

5.COBIT信息系統(tǒng)內(nèi)控建設(shè)標(biāo)準(zhǔn)；

6.SOX法案；

根據(jù)單位性質(zhì)和信息系統(tǒng)的實(shí)際情況，本方案對以上標(biāo)準(zhǔn)和相關(guān)政策做一定的

融合和本地化。

1、安全管理體系和安全組織體系建設(shè)參考IS027000系列標(biāo)準(zhǔn)；

2、安全運(yùn)維體系建設(shè)參考IS02000(ITIL)標(biāo)準(zhǔn)；

3、安全技術(shù)體系建設(shè)參考國家等級保護(hù)相關(guān)要求和系統(tǒng)風(fēng)險評估的結(jié)果：

4、審計體系參考COBIT標(biāo)準(zhǔn)、SOX法案和國家的相關(guān)要求；

-7

安全整體解決方案

1.3.4安全框架

基于國內(nèi)外信息安全的最佳實(shí)踐，結(jié)合XXX信息化總體規(guī)劃和信息安全現(xiàn)狀,

提出安全總體框架，主要包括以下五部分內(nèi)容。

信息安全

管理體系

信息安全信息安全

運(yùn)作技術(shù)

圖表1信息安全總體框架示意圖

＞信息安全戰(zhàn)略：識別安全的主要驅(qū)動因素，明確安全的愿景、使命、目標(biāo)以

及工作過程中需要遵循的基本原則；為未來電臺信息安全建設(shè)指明方向；

＞信息安全治理與組織：明確信息安全的關(guān)鍵決策、治理結(jié)構(gòu)和運(yùn)作內(nèi)容，提

出電臺未來安全組織架構(gòu)及關(guān)鍵角色/職責(zé)；是信息安全戰(zhàn)略實(shí)現(xiàn)的有效保

障；

＞信息安全管理體系：明確了在電臺建立信息安全方針和目標(biāo)，以及完成這些

目標(biāo)所用的方法和體系；是信息安全工作開展的規(guī)范；

＞信息安全運(yùn)行：明確了日常信息安全工作的主要過程和內(nèi)容；是信息安全規(guī)

范要求和控制措施的具體落實(shí)。

＞信息安全技術(shù)：明確了安全建設(shè)過程中所需的技術(shù)手段；是信息安全工作開

展的有力支撐；

-8

安全整體解決方案

具體建設(shè)的內(nèi)容如下圖所示。

信息安全管理體系信息安全運(yùn)維

信息安全管理體系文檔

身份認(rèn)證訪問控制

備份系統(tǒng)SOA

安全

應(yīng)

統(tǒng)I存儲系城I

用

一

安

全仔份系發(fā)

認(rèn)II

信息安全管理體系過程運(yùn)

VE行

管

系

中

珅

統(tǒng)備匕系統(tǒng)

心

網(wǎng)

絡(luò)網(wǎng)絡(luò)防火墻網(wǎng)緇冗余

改迸〈口監(jiān)控

gI門景茶就電力等備份

圖表2信息安全詳細(xì)構(gòu)建示意圖

-9

安仝整體解決方案

第二章系統(tǒng)定級與安全域

2.1系統(tǒng)定級

根據(jù)相關(guān)要求，綜合業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)安全保護(hù)等級原則上不低于第三級，故信息系統(tǒng)

安全保護(hù)等級為第三級。

2.1.1不同等級的安全保護(hù)能力

根據(jù)國家標(biāo)準(zhǔn)“GB/T22239—2008：信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要

求”，對不同等級的信息系統(tǒng)應(yīng)具備的基本安全保護(hù)能力要求如下：

第一級安全保護(hù)能力：應(yīng)能夠防護(hù)系統(tǒng)免受來自個人的、擁有很少資源的威脅源

發(fā)起的惡意攻擊、一般的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵資源損

害，在系統(tǒng)遭到損害后，能夠恢復(fù)部分功能。

第二級安全保護(hù)能力：應(yīng)能夠防護(hù)系統(tǒng)免受來自外部小型組織的、擁有少量資源的

威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的重要

資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠在一段時

間內(nèi)恢復(fù)部分功能。

第三級安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自外部有組織的

團(tuán)體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難、以及其他相

當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到

損害后，能夠較快恢復(fù)絕大部分功能

第四級安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自國家級別的、敵

對組織的、擁有豐富資源的威脅源發(fā)起的惡意攻擊、嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)

危害程度的威脅所造成的資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害

后，能夠迅速恢復(fù)所有功能。

第五級安全保護(hù)能力：（略）。

-10

安全整體解決方案

2.1,2重要信息系統(tǒng)

電臺重要的系統(tǒng)通常有如下系統(tǒng)：

I、存儲系統(tǒng)：提供各種資料的存儲、FTP服務(wù)等：

2、采編系統(tǒng)：采訪、稿件、節(jié)目等的存儲、編輯、排單系統(tǒng)。

3、綜合業(yè)務(wù)系統(tǒng)：

4、一站式服務(wù)的信息門戶：門戶將根據(jù)權(quán)限動態(tài)導(dǎo)出不同子系統(tǒng)并將界面展現(xiàn)給用戶

-II

安全整體解決方案

2.1.3定級參考

參考《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》(GB17859/999)、《信息系統(tǒng)安全等級

保護(hù)定級指南》，可以結(jié)合下表對電臺的信息系統(tǒng)進(jìn)行定級：

對相應(yīng)客體的侵害程度

被破壞時所侵害的客體

一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害

公民、法人和其他組織的合法權(quán)益第一級第二級第二級

社會秩序、公共利益第二級第三級第四級

國家安全第三級第四級第五級

由以上，我們根據(jù)電臺信息系統(tǒng)的被侵害后影響的客體，可以整理如下表，電臺系統(tǒng)定

級可參照：

系統(tǒng)名稱影響客體侵害程度擬定等級保護(hù)級別

內(nèi)部辦公系統(tǒng)電臺利益嚴(yán)重?fù)p害2級

綜合業(yè)務(wù)系統(tǒng)社會秩序嚴(yán)重?fù)p害3級

基礎(chǔ)支撐系統(tǒng)公共利益嚴(yán)重?fù)p害3級

2.2安全域定義

2.2.1安全域定義方法

在業(yè)務(wù)系統(tǒng)的安全域的劃分上是按照以下方法：

■處理信息的重要性--將系統(tǒng)中重要的信息劃分在一個安全域中

■行政級別--將系統(tǒng)中級別相同的部門劃分在一個安全域中

■功能區(qū)--將系統(tǒng)中處理重要數(shù)據(jù)的功能區(qū)劃分在一個安全域中

2.2.2安全域等級描述

根據(jù)國家信息安全等級保護(hù)標(biāo)準(zhǔn)中的技術(shù)要求，對于大型復(fù)雜的信息系統(tǒng)，按照業(yè)務(wù)系

統(tǒng)直要性的不同進(jìn)行分區(qū)域的監(jiān)管和防護(hù)。根據(jù)系統(tǒng)的實(shí)際情況，我們可以分為計算環(huán)境、

網(wǎng)絡(luò)環(huán)境和運(yùn)維管理環(huán)境三個安全域類別。其中：

1、計算環(huán)境按照面臨風(fēng)險的不同，可以分為對“外服務(wù)域”、“核心計算域”、“終端域”

-12

安全整體解決方案

三個安全域，其中“核心計算域”又可以按照重要性的不同分為“重要服務(wù)器區(qū)”

和“一般服務(wù)器區(qū)”兩個子域，“終端域”可以按照能否訪問互聯(lián)網(wǎng)分為“終端公網(wǎng)

區(qū)”和“終端內(nèi)網(wǎng)區(qū)”兩個子域；

2、網(wǎng)絡(luò)環(huán)境按照面臨的風(fēng)險的不同，可以分為“互聯(lián)網(wǎng)接口域”和“核心交換域”兩

個安全域；

3、運(yùn)維管理環(huán)境按照功能的不同，可以分為“災(zāi)備服務(wù)器域”和“安全運(yùn)維域”兩個

安全域;

安全整體解決方案

第三章實(shí)施方案設(shè)計

本方案將依照國家有關(guān)信息安全建設(shè)的一系列法規(guī)和政策，為電臺建立體系完整、安全

功能強(qiáng)健、系統(tǒng)性能優(yōu)良的網(wǎng)絡(luò)安全系統(tǒng)。以“統(tǒng)一規(guī)劃、重點(diǎn)明確、合理建設(shè)、逐步強(qiáng)化”

為基本指導(dǎo)原則。根據(jù)電臺網(wǎng)絡(luò)系統(tǒng)不同信息的重要性調(diào)整保護(hù)策略，不欠保護(hù)也不過度保

護(hù)，采取“缺什么補(bǔ)什么”的方針進(jìn)行規(guī)劃。

為保證網(wǎng)絡(luò)安全系統(tǒng)的規(guī)范性、安全性、可行性，在本規(guī)劃方案內(nèi)容編寫過程中，以

“GB/T22239-2008：信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求”（以下簡稱：基本

要求）第三級安全控制評測技術(shù)要求為依據(jù)，針對目前電臺網(wǎng)絡(luò)安全現(xiàn)狀進(jìn)行差異分析，

對其安全不足統(tǒng)一規(guī)劃整改，明確整改重點(diǎn)，以期達(dá)到合理建設(shè)，逐步強(qiáng)化電臺網(wǎng)絡(luò)安全

的建設(shè)目標(biāo)。

基本要求對信息安全等級保護(hù)的要求分為技術(shù)要求和管理要求兩個方面，由此可見網(wǎng)

絡(luò)的安全建設(shè)必須管理和技術(shù)合二為一，才能達(dá)到網(wǎng)絡(luò)安全目的。針對技術(shù)要求可以由相

應(yīng)的安全產(chǎn)品來實(shí)現(xiàn)，而針對管理要求必須要對電臺內(nèi)部管理機(jī)構(gòu)、制度、人員等進(jìn)行整

改。故針對本方案以針對技術(shù)要求整改為主，管理要求的整改建議由相關(guān)評測機(jī)構(gòu)確認(rèn)后

再進(jìn)行針對性的整改。

圖表4三級基本要求分類

-14

安全整體解決方案

3.1三級等保要求

要求類

要求項(xiàng)目三級等保要求（簡述）

別

機(jī)房和辦公場所要求具有防震、防風(fēng)和防雨等

物理位置的選擇

能力，機(jī)房周邊不能有用水設(shè)備

對機(jī)房進(jìn)行區(qū)域管理，設(shè)置過渡區(qū)域、安裝門

物理訪問控制

禁，控制、鑒別和記錄進(jìn)入的人員

制定防盜竊防破壞相關(guān)管理制度，建設(shè)配置光、

防盜竊和破壞

電等防盜報警系統(tǒng)。

物理

防雷擊按照基本要求進(jìn)行防雷設(shè)計并配置防雷裝置

安全

配置消防設(shè)備、采用耐火材料、重要區(qū)域隔離等

防火

措施

防水防潮采取措施防止雨水滲透、機(jī)房內(nèi)水蒸氣

防靜電設(shè)備接地、防靜電地板等措施

溫濕度控制配備空調(diào)系統(tǒng)

電力供應(yīng)配備穩(wěn)壓器、UPS、冗余供電系統(tǒng)

電磁保護(hù)接地、關(guān)罐設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽

關(guān)鍵設(shè)備要具備冗余空間，繪制網(wǎng)絡(luò)拓?fù)鋱D，

結(jié)構(gòu)安全合理規(guī)劃路由，重要網(wǎng)段與其他網(wǎng)段之間采取

可靠的技術(shù)隔離手段

防火墻配置包括：端口級的控制力度；常見應(yīng)

訪問控制用層協(xié)議命令過濾；會話控制；流量控制；連

接數(shù)控制；防地址欺騙等策略

部署網(wǎng)絡(luò)安全審計系統(tǒng)

網(wǎng)絡(luò)安安全審計

部署日志服務(wù)器進(jìn)行審計記錄的保存

全

部署終端安全管理系統(tǒng)，在進(jìn)行非法外聯(lián)和安

邊界完整性檢查

全準(zhǔn)入檢測的同時要進(jìn)行有效阻斷

部署入侵檢測系統(tǒng)，配置入侵檢測系統(tǒng)的日志

入侵防范

模塊

惡意代碼防范部署UTM或防病毒網(wǎng)關(guān)

對主要網(wǎng)絡(luò)設(shè)備實(shí)施雙因素認(rèn)證手段進(jìn)行身份

網(wǎng)絡(luò)設(shè)備保護(hù)

鑒別

要求采用兩種或兩種以上組合的鑒別技術(shù)對管

身份鑒別

理用戶進(jìn)行身份鑒別

管理員進(jìn)行分級權(quán)限控制，重要設(shè)定訪問控制策

訪問控制

略進(jìn)行訪問控制

主機(jī)安全

部署審計系統(tǒng)審計范圍擴(kuò)大到重要客戶端；同時

安全審計

能夠生成審計報表

通過對操作系統(tǒng)及數(shù)據(jù)庫進(jìn)行安全加固配置，及

剩余信息保護(hù)

時清除剩余信息的存儲空間

安全整體解決方案

要求對重要服務(wù)器入侵的行為進(jìn)行審計記錄，對

入侵防范重要程序進(jìn)行代碼審查，對重要服務(wù)器的漏洞

補(bǔ)丁及時分發(fā)更新

惡意代碼防范部署終端防惡意代碼軟件

資源控制部署應(yīng)用安全管理系統(tǒng)進(jìn)行資源監(jiān)控、檢測報警

身份鑒別進(jìn)行雙因素認(rèn)證或采用CA系統(tǒng)進(jìn)行身份鑒別

通過安全加固措施制定嚴(yán)格用戶權(quán)限策略，保

訪問控制

證帳號、口令等符合安全策略

應(yīng)用系統(tǒng)開發(fā)應(yīng)用審計功能部署數(shù)據(jù)庫審計系

安全審計

統(tǒng)

通過對操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)進(jìn)行安全加固配

剩余信息保護(hù)

置，及時清除剩余信息的存儲空間

采用完整性校驗(yàn)功能對數(shù)據(jù)通信進(jìn)行完整性檢

應(yīng)用安通信完整性

查，保障通信完整性

全

應(yīng)用系統(tǒng)自身開發(fā)數(shù)據(jù)加密功能；采用VPN或

數(shù)據(jù)保密性

PK1體系的加密功能保障通信保密性

抗抵賴PKI系統(tǒng)

要求軟件系統(tǒng)具備自動保護(hù)功能設(shè)計，故障后

軟件容錯

可以恢復(fù)

要求細(xì)化加固措施，對并發(fā)連接、資源配額、系

資源控制統(tǒng)服務(wù)相關(guān)閥值、系統(tǒng)服務(wù)優(yōu)先級等進(jìn)行限制

和管理

數(shù)據(jù)完整性配置存儲系統(tǒng)傳輸采用VPN

數(shù)據(jù)安

應(yīng)用系統(tǒng)針對存儲開發(fā)加密功能，利用VPN實(shí)

全與備數(shù)據(jù)保密性

現(xiàn)傳輸保密性

份恢復(fù)

備份與恢復(fù)本地備份與異地備份關(guān)鍵設(shè)備線路冗余設(shè)計

安全管理制度參見3.3.1

安全管理機(jī)構(gòu)參見3.3.2

管理要

人員安全管理參見3.3.3

求

系統(tǒng)建設(shè)管理參見3.3.4

系統(tǒng)運(yùn)維管理參見3.3.5

我們的技術(shù)方案以先解決電臺最迫切的邊界和內(nèi)網(wǎng)的安全防護(hù)，再加固客戶的終端安

全，后期加深對內(nèi)外網(wǎng)的安全、數(shù)據(jù)審計來規(guī)劃。通過計算機(jī)及網(wǎng)絡(luò)技術(shù)、現(xiàn)代通信技術(shù)、

現(xiàn)代管理技術(shù)和決策分析技術(shù)為手段，建立一個技術(shù)領(lǐng)先、功能強(qiáng)、效率高、使用方便的安

全的網(wǎng)絡(luò)系統(tǒng)。

-16

安全整體解決方案

3.2基本要求的詳細(xì)技術(shù)要求

3.2.1物理安全

物理位置的選擇（G3）

■第二級安全控制測評要求

a）機(jī)房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；

b）機(jī)房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁；

■安全現(xiàn)狀

電臺中心機(jī)房處于住院大樓的四樓，具有以上防范能力，符合等級保護(hù)要求。

物理訪問控制（G3）

■第三級安全控制測評要求

a）機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員；

b）需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；

c）應(yīng)對機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)

置交付或安裝等過渡區(qū)域；

d）重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員；

■安全現(xiàn)狀

電臺中心機(jī)房及信息科辦公室相鄰，機(jī)房有專人值守，有配置門禁系統(tǒng)，符合等級保護(hù)

要求。

■安全措施建議

建議增加來訪人員登記管理措施并由工作人員陪同。

安全整體解決方案

防盜竊和防破壞（G3）

■第三級安全控制測評要求

a）應(yīng)將主要設(shè)備放置在機(jī)房內(nèi)；

b）應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；

c）應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；

d）應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中；

e）應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房防盜報警系統(tǒng)；

f）應(yīng)對機(jī)房設(shè)置監(jiān)控報警系統(tǒng)；

■安全現(xiàn)狀

電臺已經(jīng)建設(shè)中心機(jī)房，設(shè)備已經(jīng)固定和標(biāo)記，具備安全保護(hù)措施，主機(jī)房也有安裝監(jiān)

控報警系統(tǒng)，基本符合等級保護(hù)要求。

防雷擊（G3）

■第三級安全控制測評要求

a）機(jī)房建筑應(yīng)設(shè)置避雷裝置；

b）應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；

c）機(jī)房應(yīng)設(shè)置交流電源地線；

■安全現(xiàn)狀

電臺己經(jīng)建設(shè)中心機(jī)房，具有防雷設(shè)計和防雷裝置，符合等級保護(hù)要求。

防火（G3）

■第三級安全控制測評要求

a）機(jī)房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；

b）機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料；

c）機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開；

■安全現(xiàn)狀

電臺已經(jīng)建設(shè)中心機(jī)房，具有火火設(shè)備，機(jī)房及相關(guān)的工作房間和輔助房采用具有耐火

等級的建筑材料，同時具有防火措施，將重要設(shè)備與其他設(shè)備隔離開，符合等級保護(hù)要求。

-18

安全整體解決方案

防水和防潮（G3）

■第三級安全控制測評要求

a）水管安裝，不得穿過機(jī)房屋頂和活動地板下；

b）應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋頂和墻壁滲透；

c）應(yīng)采取措施防止機(jī)房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；

d）應(yīng)安裝對水敏感的檢測儀表或元件，對機(jī)房進(jìn)行防水檢測和報警；

■安全現(xiàn)狀

機(jī)房中心采取了防水防潮的措施，滿足等級保護(hù)要求。

防靜電（G3）

■第三級安全控制測評要求

a）主要設(shè)備應(yīng)采用必要的接地防靜電措施；

b）機(jī)房應(yīng)采用防靜電地板；

■安全現(xiàn)狀

電臺中心機(jī)房設(shè)備己接地，地板為防靜電地板，符合等級保護(hù)要求。

溫濕度控制（G3）

■第三級安全控制測評要求

機(jī)房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之

■安全現(xiàn)狀

電臺中心機(jī)房內(nèi)配置有精密空調(diào)，可以自動調(diào)節(jié)機(jī)房內(nèi)溫濕度，符合等級保護(hù)要求。

電力供應(yīng)（A3）

■第三級安全控制測評要求

a）應(yīng)在機(jī)房供申.線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備：

b）應(yīng)提供短期的備用電力供應(yīng)，至少滿足主要設(shè)備在斷電情況下的正常運(yùn)行要求；

c）應(yīng)設(shè)置冗余或并行的電力電纜線路為計算機(jī)系統(tǒng)供電；

d）應(yīng)建立備用供電系統(tǒng)；

■安全現(xiàn)狀

電臺己經(jīng)建設(shè)中心機(jī)房，具有UPS備用電力供應(yīng)，重要科室采用了雙回路電源供電,

符合等級保護(hù)要求。

-19

安全整體解決方案

0電磁防護(hù)（S3）

■第三級安全控制測評要求

a）應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；

b）電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；

c）應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽；

■安全現(xiàn)狀

設(shè)備接地，可防止外界電磁干擾和設(shè)備寄生耦合干擾，但未對關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電

磁屏蔽，基本符合等級保護(hù)要求。

■安全措施建議

建議電臺后期機(jī)房建設(shè)、添置設(shè)備時稍加考慮電磁屏蔽防護(hù)。

3.2.2網(wǎng)絡(luò)安全

結(jié)構(gòu)安全（G3）

■第三級安全控制測評要求

a）應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；

b）應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；

c）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑；

d）應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；

e）應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子

網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；

D應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)

段之間采取可靠的技術(shù)隔離手段；

g）應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時

候優(yōu)先保護(hù)重要主機(jī)；

■安全現(xiàn)狀

電臺在網(wǎng)絡(luò)設(shè)備性能和物理接口上在規(guī)劃初期已考慮到近幾年的業(yè)務(wù)擴(kuò)展和高峰期需

要；電臺內(nèi)部做了詳細(xì)的VLAN劃分；機(jī)房內(nèi)部有詳細(xì)的網(wǎng)絡(luò)拓?fù)鋱D，方便管理；但是內(nèi)

外網(wǎng)之間并沒有采取相應(yīng)的隔離措施。

-20

安全整體解決方案

■安全措施建議

電臺內(nèi)外網(wǎng)間未實(shí)現(xiàn)物理隔離，建議采取網(wǎng)閘進(jìn)行內(nèi)外網(wǎng)的安全隔離；通過VLAN劃

分可以實(shí)現(xiàn)基礎(chǔ)的安全防護(hù)能力，但是不滿足三級等保要求；建議后期可以部署專業(yè)的防

病毒網(wǎng)關(guān)及入侵防御等安全設(shè)備以完善和加強(qiáng)電臺信息系統(tǒng)的整體安全防護(hù)能力。

訪問控制（G3）

■第三級安全控制測評耍求

a）應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；

b）應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口

級；

c）應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、

POP3等協(xié)議命令級的控制；

d）應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；

e）應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；

n重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；

g）應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪

問，控制粒度為單個用戶；

h）應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量；

■安全現(xiàn)狀

電臺網(wǎng)絡(luò)邊界出口處部署有一臺防火墻，但是針對服務(wù)器區(qū)域的沒有專業(yè)的訪問控制

設(shè)備，因此不滿足等級保護(hù)要求。

■安全措施建議

建議在電臺的服務(wù)器區(qū)域增設(shè)一臺防火墻，可以對鏈路出口進(jìn)行訪問控制；對未經(jīng)授

權(quán)的設(shè)備實(shí)現(xiàn)禁止接入；該防火墻具有UTM功能，開啟該設(shè)備的IDS/IPS、防病毒和內(nèi)容

過濾等功能，還能針對服務(wù)器區(qū)域進(jìn)行整體防護(hù)。通過防火墻設(shè)備在一期可以基本實(shí)現(xiàn)三

級等保的部分要求功能。如后期電臺對于相關(guān)功能有更加詳細(xì)深入的要求時或在二期三

期，再增加相應(yīng)的專業(yè)的防病毒網(wǎng)關(guān)、內(nèi)容過濾設(shè)備以完善和加強(qiáng)電臺的整體安全防護(hù)能

力。

-21

安全整體解決方案

安全審計（G3）

■第三級安全控制測評要求

a）應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；

b）審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審

計相關(guān)的信息；

c）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表；

d）應(yīng)對審計記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等；

■安全現(xiàn)狀

電臺目前沒有相關(guān)的安全審計相關(guān)設(shè)備和制度，完全不滿足此要求。

■安全措施建議

建議核心交換機(jī)上部署一臺堡壘主機(jī)，并開啟上網(wǎng)行為管理和網(wǎng)絡(luò)安全審計相關(guān)功能;

對于審計日志要安排審計人員定期查看，針對第略中遺漏問題及時作出調(diào)整。

邊界完整性檢查（S3）

■第三級安全控制測評要求

a）應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其進(jìn)

行有效阻斷；

b）應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其

進(jìn)行有效阻斷；

■安全現(xiàn)狀

針對非授權(quán)設(shè)備私自連接到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，并準(zhǔn)確定出位置，電臺目前沒

有相關(guān)措施來應(yīng)對此要求；電臺目前針對內(nèi)部用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為也沒有相應(yīng)的

控制手段，完全不符合等級保護(hù)要求。

■安全措施建議

建議部署一套內(nèi)網(wǎng)安全綜合管理系統(tǒng)，對全網(wǎng)終端的非法外聯(lián)進(jìn)行監(jiān)控并阻斷，同時還

能對接入用戶進(jìn)行控制，防止非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)。

入侵防范（G3）

■第三級安全控制測評要求

a）應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服

務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；

-22

安全整體解決方案

b）當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴(yán)

重入侵事件時應(yīng)提供報警；

■安全現(xiàn)狀

電臺目前沒有部署入侵檢測系統(tǒng)和入侵防御系統(tǒng)，防火墻自帶的IDP模塊功能簡單，

且開啟此功能可能會占用大量系統(tǒng)資源，因此不滿足等級保護(hù)要求。

■安全措施建議

在醫(yī)保衛(wèi)校出口處部署一臺IPS系統(tǒng)，業(yè)務(wù)服務(wù)器區(qū)域內(nèi)部署一臺IDS系統(tǒng)，入侵防

范設(shè)備需要能夠通過自動或者手動方式定期進(jìn)行策略版本升級，通過專門的日志服務(wù)器有

效記錄入侵事件并提供報表統(tǒng)計功能。IPS可以對外網(wǎng)的入侵行為進(jìn)行實(shí)時防護(hù)，而IDS

可以對內(nèi)部可能出現(xiàn)入侵隱患進(jìn)行告警或聯(lián)動防火墻。

惡意代碼防范（G3）

■第三級安全控制測評要求

a）應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢測和清除；

b）應(yīng)維護(hù)惡意代碼庫的升級和檢測系統(tǒng)的更新；

■安全現(xiàn)狀

電臺已部署免費(fèi)版的360企業(yè)版殺毒軟件，但邊界處沒有部署防病毒網(wǎng)關(guān)，因此不滿

足此要求。

■安全措施建議

在電臺的醫(yī)保衛(wèi)校出1處部署一臺安全網(wǎng)關(guān)以達(dá)到雙向過濾病毒、木馬等惡意代碼的

目的。保證防病毒網(wǎng)關(guān)能夠?qū)崟r更新特征庫，管理人員定期對防病毒網(wǎng)關(guān)日志進(jìn)行查看，排

查風(fēng)險。同時防病毒網(wǎng)關(guān)與網(wǎng)絡(luò)防病毒軟件配合，達(dá)到“網(wǎng)關(guān)防毒、以防為主，層層設(shè)防、

集中控管，，的目的，建議更換360殺毒軟件。

-23

安全整體解決方案

網(wǎng)絡(luò)設(shè)備防護(hù)（G3）

■第三級安全控制測評要求

a）應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；

b）應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；

c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；

d）主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進(jìn)行身份鑒別；

e）身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令