等保建设PPT.ppt

单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,*,信息安全等级保护建设,深信服产品经理：徐金涛,等级保护政策介绍和建设思路,等级保护政策介绍,等级保护政策解读,等级保护建设思路探讨,等保建设方案统一规划,等保项目注意事项,目录,信息安全等级保护制度,信息安全等级保护,（,以下简称等保,）是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的,信息系统分等级实行安全保护,，对信息系统中使用的,信息安全产品实行按等级管理,，对信息系统中发生的信息,安全事件分等级响应、处置,。,国家等级保护制度的概述和发展历程,信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法。开展信息安全等级保护工作是保护信息化发展、维护信息安全的根本保障，是信息安全保障工作中国家意志的体现。,国务院,147,号令,第一次提出等级保护的概念，要求对信息系统分等级进行保护。,1994,1999,GB17859,国家强制标准发布，信息系统等级保护建设必须遵循的法规。,2005,公安部四大标准,基本要求,定级指南,实施指南,测评准则,2007,公通字,2007,43,号,等级保护管理办法发布，明确如何建设、如何监管和如何选择服务商等。,2015,工作要点,中央网信领导小组,2015,年工作要点：落实国家信息安全等级保护制度。,等级保护建设中的角色总体介绍,公安机关备案的测评机构,主要承担系统测评的工作，只有在当地公安机关备案的测评机构才可以开展测评工作。,集成商、安全厂商,根据咨询服务单位提供的整改方案，要采购相应的安全设备和服务，这些内容由集成商和安全厂商提供。,公安机关网安部门,主要承担监督检查的工作，同时负责管理测评机构。各单位的系统定级备案要到公安机关网安部门进行。,提供咨询服务的单位,对于用户单位完成定级备案、差距评估和整改方案编写，需要有一家单位提供咨询和服务。免费,&,收费。,测评,机构,集成,实施,咨询,服务,公安,机关,等保的,5,个监管等级,对象,等级,合法权益,社会秩序和公共利益,国家安全,损害,严重,损害,损害,严重,损害,特别严重损害,损害,严重,损害,特别严,重损害,一般系统,一级,二级,重要系统,三级,四级,极端重要系统,五级,等保采用,分系统定级的方法，当拥有多个信息系统时，需要分别进行定级，并分别进行保护。,在五个监管等级中，,三级与四级系统,为监管的重点，也是建设的重点。,决定等级的主要因素分析,信息系统所属类型,业务数据类别,信息系统服务范围,业务处理的自动化程度,业务重要性,业务数据安全性,业务处理连续性,业务依赖性,基于业务的重要性和依赖性分析关键要素，确定业务数据安全性和业务处理连续性要求。,业务数据安全性,业务处理连续性,信息系统安全保护等级,根据业务数据安全性和业务处理连续性要求确定安全保护等级。,等级保护建设的一般过程,整改,评估,定级,评测,确定系统或者子系统的安全等级,依据等级要求，对现有技术和管理手段的进行评估，并给出改进建议,针对评估过程中发现的不满足等保要求的地方进行整改,评测机构依据等级要求，对系统是否满足要求进行评测，并给出结论,监管,对系统进行周期性的检查，以确定系统依然满足等级保护的要求,等级保护政策介绍和建设思路,等级保护政策介绍,等级保护,政策与技术解读,等级保护建设思路探讨,等保建设方案统一规划,等保分步实施实践,目录,等保核心思想：适度安全,信息安全工作中，等保给予用户,明确的目标,，帮助用户,更清晰的认识,安全薄弱环节。,没有,100%,的安全，,适度安全,的核心思想让用户达到投资,/,收益最佳比。,系统重要程度,系统保护要求,安全基线,安全基线,安全基线,一级,二级,三级,四级,等保基本保护要求框架,物理安全,安全管理制度,网络安全,系统安全,应用安全,数据安全,安全管理机构,人员安全管理,系统建设管理,系统运维管理,技术要求,管理要求,某级要求,等保不同级别的保护能力的区别,各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度以及在遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。,技术要求：,安全要求的增加,安全要求的增强,管理要求：,管理活动控制点的增加，每个控制点具体管理要求的增多,管理活动的能力逐步加强，借鉴能力成熟度模型（,CMM,）,等级保护技术要求归纳,13,个核心技术要求,涉及层面,涉及,1,级系统,涉及,2,级系统,涉及,3,级系统,涉及,4,级系统,身份鉴别和自主访问控制,网络、主机、应用,强制访问控制,主机,安全审计,网络、主机、应用,完整性和保密性保护,网络、应用、数据,边界保护,网络,资源控制,网络、主机、应用,入侵防范和恶意代码防范,网络、主机、应用,可信路径设置,网络、主机、应用,系统防渗透措施,网络、主机、应用,安全管理平台设置,网络、主机、应用,备份与恢复,网络、数据,密码技术应用,网络、主机、应用,环境与设施安全,物理,不同等级保护技术措施要求,不同等级保护技术措施要求,等级保护管理要求,安全管理制度,信息安全管理的前提,安全管理机构,信息安全管理的基础,人员安全管理,信息安全管理的保障,系统建设管理,围绕安全建设的设计、采购、实施，不断完善信息安全,系统运维管理,信息安全管理的核心,安全管理,安全管理的目标是让管理制度切实落地，日常运维是最繁杂的工作。,等级保护政策介绍和建设思路,等级保护政策介绍,等级保护政策解读,等级保护建设思路,等保建设方案统一规划,等保分步实施实践,目录,建设思路：主动应对，借梯上楼,借梯上楼,方法：,以等保为契机，统一进行安全规划和建设，加强整个系统的信息安全,优点：,重整优化,IT,基础架构,有计划地满足等保,缺点：,改造工作资金投入较大,对象：,没有针对某安全体系标准进行重整过的,查漏补缺,方法：,在现有,IT,架构中收集证据，不满足的地方适当修补,优点：,改造工作资金投入小,缺点：,IT,架构越补越复杂，最后补不胜补,等保满足时间点不可预期,对象：,已经采用其他安全体系标准的,IT,系统，例如运营商,等保建设中常见的两种应对思路：借梯上楼是主动的改造思路。,对于大多数,IT,系统，建议采用“借梯上楼”的方法，优化,IT,架构，满足等保,技术建设,漏洞监控，脆弱性管理,集中策略部署管理,行为监控,/,异常流量监控,安全事件集中采集监控,病毒集中采集监控,安全审计工具,风险评估工具,威胁定位，响应管理,管理建设,安全管理机构建设,安全管理制度完善,应急响应流程制定、演练,人员培训,安全区域划分，目标制定,符合法规要求,持续改进、优化、预防,重,技术、轻管理，或者是重管,理、轻,技术都是不可取的,技术与管理并重,分责运维：技术支撑管理,行为审计,安全监控,身份认证,权限控制,.,数据备份恢复,技术体系,管理体系,网络安全,主机安全,应用安全,数据安全,物理安全,通过技术手段，减轻运维中的工作量和复杂度，让管理制度更好落地,等级保护政策介绍和建设思路,等保建设方案统一规划,区域划分方法,分域设计方案,等保分步实施实践,目录,分区分域方法,横向分区，纵向分域,按照等保要求，业务系统需要保持边界完整性，横向分区保持业务系统隔离,纵向根据业务系统的不同角色，划分为数据中心,/,广域网,/,局域网,虚拟分区，灵活节约,多业务系统共用一套物理网络，虚拟分区保障业务系统隔离的同时，节省投资，在增加,/,变更业务系统时灵活方便,四级业务,四级业务,二级业务,一级业务,数据中心域,广域网安全域,局域网安全域,纵向分域,横向虚拟分区,三级业务,三级业务,分域：控制业务访问流程,按照业务访问流程，将整个网络划分为三个域：,数据中心、,广域网、,局域网,域之间进行严格的访问控制，针对攻击进行全面防范,域内包含多个业务的情况下，通过分区的方法进行隔离,权限控制,攻击防范,资源控制,链路安全,攻击防范,广域网优化,局域网,广域网,数据中心,终端,数据,数据备份,行为控制,行为审计,终端认证,分区：保持业务系统的独立性,通过分区，各业务系统具有独立的,IT,环境,保持边界完整，满足业务之间隔离需求,每套业务系统具有独立,资源,，更好满足业务连续性要求,分区隔离的方法,网络改造进行物理隔离，例如涉密内网与其他业务系统,结合应用类型采用,IPSec,或者,SSL,实现业务系统虚拟划分,局域网,广域网,数据中心,局域网,广域网,数据中心,局域网,广域网,数据中心,业务,A,业务,B,业务,C,IPSec,SSL,等级保护政策介绍和建设思路,等保建设方案统一规划,区域划分方法,分域设计方案,等保分步实施实践,目录,数据中心对内服务域,非涉密内网办公域,Internet,外联域,网络核心交换域,分支,广域网域,数据中心核心交换域,数据中心对外服务域,补丁与特征库升级服务域,网络与安全管理域,涉密内网办公域,异地灾备中心,VPN,路由器,SG,Internet,AD,等保分域设计方案,SSL/NGAF/AD,MPLS,数据中心区域,图例,局域网区域,广域网区域,安全管理中心,GAP,WOC,NGAF,BM,NGAF,AD,Internet,NGAF,NGAF,NGAF,NGAF,WOC,NGAF,三大区域的核心技术措施要求,编号,10,个核心技术要求,数据中心设计目标,广域网设计目标,局域网设计目标,1,身份鉴别和自主访问控制,是,是,是,2,安全审计,是,是,是,3,完整性和保密性保护,是,是,是,4,边界保护,是,是,是,5,资源控制,是,是,否,6,入侵防范和恶意代码防范,是,是,是,7,安全管理平台设置,是,是,是,8,备份与恢复,是,否,否,9,强制访问控制,是,否,否,10,环境与设施安全,是,是,是,等保方案设计,数据中心对内服务区,SSL VPN,业务,A,业务,B,业务,C,核心交换,汇聚交换,NGAF,资源优化与控制,安全加固,安全管理平台,方案描述,NGAF,：,有效防范,27,层,攻击，进行应用访问控制,AD,：,限制单用户资源分配，提升服务器响应速度和处理能力，提供,SSL,加密,SSL VPN,：,保证链路安全性，实现业务系统间的安全隔离和精细化控制，并进行访问审计,APM,：,针对业务连续性提供监测依据,异地备份恢复中心,AD,园区网,广域网,APM,Internet,外网,NGAF,托管区边界,FW,互联网,接口,DMZ,区,服务,托管区,内网区,AD,AD,链路分担,NGAF,等保方案设计,数据中心对外服务区,网银,WEB,网银,APP,网银,DB,数据中心核心层交换机,服务器分担,AD,SSL VPN,NGAF,方案描述,IPSec VPN,：,实现跨广域网的加密传输,/,不同级别系统隔离需求,NGAF,：,配合,VPN,，防范广域网上,27,层攻击,WOC,：,实现全,网带宽合理分配，提供,QoS,带宽保障,双链路冗余：,根据等保要求，广域网链路采用双链路冗余。,等保方案设计,骨干链路,专网,/,互联网,网络核心交换区,IPSec VPN,CE,IPSec+MPLS,隧道,数据中心,业务系统,2,业务系统,1,访问者区域,IPSec+MPLS,隧道,业务系统,2,访问者区域,WOC,核心分布式部署,NGAF,数据中心,业务系统,1,二合一方案,IPSec VPN,WOC,NGAF,数据中心对内服务域,非涉密内网办公域,Internet,外联域,网络核心交换域,分支,广域网域,数据中心核心交换域,数据中心对外服务域,补丁与特征库升级服务域,网络与安全管理域,涉密内网办公域,异地灾备中心,VPN,路由器,SG,Internet,AD,SSL/NGAF/AD,MPLS,数据中心区域,图例,局域网区域,广域网区域,安全管理中心,GAP,WOC,NGAF,BM,NGAF,AD,Internet,NGAF,NGAF,NGAF,NGAF,WOC,NGAF,数据中心,身份鉴别和自主访问控制,安全审计,完整性和保密性保护,边界保护,资源控制,入侵防范和恶意代码防范,安全管理平台设置,备份与恢复,强制访问控制,可信路径设置,系统防渗透措施,密码技术应用,环境与设施安全,局域网,身份鉴别和自主访问控制,安全审计,完整性和保密性保护,边界保护,资源控制,入侵防范和恶意代码防范,密码技术应用,环境与设施安全,安全管理中心,广域网,身份鉴别和自主访问控制,安全审计,完整性和保密性保护,边界保护,环境与设施安全,等保需求覆盖总图,Thank you,！,