电子政务终端安全护理实施方案探析样本.doc

信息安全风险评定需求方案

一、项目背景(放进提议)
二、项目目标
经过开展信息“安全风险评定”, 完善安全管理机制；经过安全服务引入，深入建立健全安全管理策略，实现安全风险可知、可控和可管理；经过建立信息安全风险评定机制，实现信息安全风险动态跟踪分析，为信息安全整体计划提供科学决议依据，深入加强网络整体安全防护能力，全方面提升我信息系统整体安全防范能力，极大提升网络和信息安全管理水平；经过深入挖掘网络和信息系统存在脆弱点，并以业务系统为关键要素，对现有信息安全管理制度和技术方法有效性进行评定，不停增强系统网络和信息系统抵御风险安全风险能力，促进安全管理水平提升，增强信息安全风险管理意识，培养信息安全专业人才，为各项业务提供安全可靠支撑平台。
三、项目需求
（一）服务要求
1基础要求
“安全风险评定服务”全过程要求有据可依，并在产品使用有据可查，并保持项目以后连续改善。针对用户单位网络中IT设备及应用软件，需要有软件产品识别全部设备及其安全配置，或以其它方法搜集、保留设备明细及安全配置，进行资产搜集作为建立信息安全体系基础。安全评定过程及结果要求经过软件或其它形式进行展示。对于风险处理包含：帮助用户制订安全加固方案、在工程建设及日常运维中提供安全值守、咨询及支持服务，经过安全产品处理已知安全风险。在日常安全管理方面提供安全支持服务，并依据国家及行业标准制订信息安全管理体系，针对安全管理员提供安全培训，遇有可能安全事件发生时，提供给急安全分析、紧急响应服务。
2安全评定
评定范围应全方面，包含到网络信息系统各个方面，包含物理环境、网络结构、应用系统、数据库、服务器及网络安全设备安全性、安全产品和技术应用情况和管理体系是否完善等等；同时对管理风险、综合安全风险和应用系统安全性进行评定；
评定采取专业工具扫描（漏洞扫描、数据库扫描采取产品必需为商业化产品）、人工评定、渗透测试三种相结合方法，对多种操作系统进行评定，包含：帐户和口令安全、网络服务安全、内核参数安全、文件系统安全、日志安全等；从应用系统相关硬件、软件和数据等方面来审核应用所处环境下存在哪些威胁，依据应用系统所存在威胁，来确定需要达成哪些系统安全目标才能确保应用系统能够抵挡预期安全威胁。其它评定内容应最少包含以下几方面：

l 信息探测类
l 网络设备和防火墙
l RPC服务
l Web服务
l CGI问题
l 文件服务
l 域名服务
l Mail服务
l Windows远程访问
l 数据库问题
l SQL 注入
l 跨站脚本攻击
l 后门程序
l 其它服务
l 网络拒绝服务(DOS)
l 其它问题

安全评定服务范围应包含但不只限于帮助用户完成信息安全专题检验工作。
3安全加固
每次对用户单位网络信息系统进行全方面评定后应立即制订安全加固方案，另外如用户单位有紧急需求时可随时安排制订安全加固方案。安全加固方案应覆盖用户单位IT系统中全部服务器和网络设备，和不一样类别操作系统、数据库和应用系统。
安全加固方案不能影响用户单位各项业务正常进行，假如加固过程需要临时中止业务，须设计具体处理方案。
同时，伴随信息技术发展，当新漏洞出现时，评定单位有责任和义务通知用户，并配适用户判定是否进行对应加固工作；
4紧急响应
当用户单位信息系统出现安全事件后，用户可立即开启紧急响应服务，服务应包含远程紧急响应和现场紧急响应；紧急响应均要求7×二十四小时提供。
紧急响应要求在响应请求发出2小时内由工程师抵达事故现场，帮助用户进行处理；
响应服务完成后评定单位需整理具体事故处理汇报，内容最少包含事故原因分析、已造成影响、处理措施、处理结果、预防和改善提议；
5安全咨询
评定单位应依据ISO17799等多个标准相关要求对安全策略、安全制度、安全步骤进行审计，提供改善提议，建立信息安全“统一”策略管理机制，并对用户单位信息安全体系建设计划、信息安全管理体系、信息安全管理制度建设、安全域划分等相关内容提出符合国家及行业标准合理化提议，并制订完整处理方案。
对于新建信息化项目应从业务需求分析、系统设计、布署实施、测试验收等全周期提供技术咨询支持。
6 安全事件通告
评定单位应含有专门安全研究人员以跟踪最新安全技术发展、搜集业界公布最新安全信息立即通告用户单位最新安全动态、安全技术发展趋势，以立即效性很强漏洞、攻击手法、病毒码预先通知；
评定单位最少每个月提供一次汇总安全通告信息，当厂商或安全组织公布紧急安全通告后评定单位应在三天之内提供给人保相关通告信息；
立即提供最新设备补丁，随时依据用户需求，提供对应安全漏洞和响应安全系统升级代码；立即向招标人提供国家颁发最新安全制度和法规。
7安全巡检
包含不限于以人工方法检验主机系统和网络设备日志信息、安全配置和审计信息等，提出安全策略提议；如发觉异常现象或安全问题，立即向用户单位反馈，并提供后续技术支持，配合问题查处和处理。要求每个月对安全防护产品进行一次巡检服务，并生成巡检汇报；每三个月对全部主机、数据库、网络、安全产品进行一次全方面巡检，并生成巡检汇报。
8安全值守服务
要求评定单位在重大节假日及特殊时期安排技术人员提供安全值守服务（包含在用户单位值守及远程值守）。
9安全培训服务
要求每十二个月安排两次信息安全管理及技术培训（培训只负责提供师资及培训教材，培训教材可为电子版），同时，要求提供四人次专业技术认证培训（含食宿）。
10应急演练服务
要求配适用户制订信息系统风险应急响应方案，并每十二个月最少安排一次信息系统风险应急演练。
（二）服务标准
为保障安全风险评定工作有序进行，特提出以下标准：
1.保密性标准
要求评定单位和用户签署保密协议，在进行信息安全风险评定过程中，严格遵照保密标准，评定过程中采取严格管理方法，确保所包含到任何用户保密信息，不会泄露给第三方单位或个人，不得利用这些信息损害用户利益。
2.最小影响标准
要求从项目管理和技术应用层面，在风险评定工作实施过程对现有信息系统和网络正常运行所可能影响降到最低程度；要求制订风险评定过程中风险规避方案及应急方法。
3.规范性标准
要求评定机构在充足总结多年开展信息系统安全风险评定实践经验基础上，确定规范方案；在此次信息安全风险评定任务实施过程中，经过规范项目管理，在人员、项目实施步骤、质量保障和时间进度等方面进行严格管控。
4.标准化标准
风险评定工作要求严格遵守国家和行业相关法规、标准，并参考国际标准来实施。
5.完整性标准
完整性标准包含以下两个层次内容：
评定内容完整性——要求在风险评定工作中，要综合考虑所评定信息系统技术方法、人员、业务及运行维护等方面，含盖信息安全风险评定协议要求。
评定步骤完整性——要求信息安全评定过程应遵照科学性、规范性、严谨性标准。
6.互动性标准
在进行信息安全风险评定过程中，要求必需有用户单位人员参与，双方共同组成项目实施部门，进行项目实施，从而确保项目实施效果并提升受整体安全技能和安全意识。
（三）评定内容
1.信息系统安全管理情况检验
评定多种安全制度建立情况，包含：对终端计算机访问互联网相关制度；对终端计算机接入内网相关制度；使用移动存放介质制度；系统业务应用人员、系统开发、维护、管理人员、系统开发、维护人员相关安全管理制度等。
2.网络架构、网络安全设备
评定范围包含：业务办公内网、业务外网、办公外网、外部单位联网等；分析网络拓扑结构是否清楚划分网络边界；评定网络安全区域划分和访问控制方法。
3.对资产本身存在脆弱性进行搜集和整理
物理环境， 包含 UPS、变电设备、空调、门禁等。
交换机，包含关键交换机20台，接入交换机20台。检验安全漏洞和补丁升级情况，各VLAN间访问控制策略；口令设置和管理，口令文件安全存放形式；配置文件备份。
路由器，包含关键路由器5台，接入路由器10台。检验操作系统是否存在安全漏洞；配置方面，检测端口开放、管理员口令设置和管理、口令文件安全存放形式、访问控制表；是否能对配置文件进行备份和导出；关键位置路由器是否有冗余配置。
安全设备，包含防火墙、入侵检测系统、网闸、防病毒、桌面管理、审计、加密机、身份判别等；共约20台。查看安全设备布署情况。查看安全设备配置策略；查看安全日志统计；经过漏洞扫描系统对安全进行扫描。经过渗透性测试检安全配置有效性。
4.关键服务器安全配置
小型机约60台、服务器约200台。登录安全检测；用户及口令安全检测；共享资源安全检测系统服务安全检测；系统安全补丁检测；日志统计审计检测；木马检测。
5.关键业务系统安全性
对关键业务信息系统，在需求分析和设计阶段是否充足识别安全需求；是否能确保系统文件安全；是否能采取方法保护应用系统开发和维护过程中信息安全。核查关键业务系统数据访问控制情况，敏感文档资料、服务器、用户终端、数据库等数据加密保护能力。对门户网站进行渗透性测试；对网上报税等关键业务系统进行渗透性测试；对网络边界进行渗透性测试；对内网进行渗透性测试。
（四）评定应用系统
1.应用系统
2.数据库

3.外部数据交换
4.操作系统
应用系统和数据库包含到主机操作系统。
5.配电系统
（1）供电系统
（2）UPS
（3）应急供电系统
6.机房环境系统
（五）质量控制
为确保信息安全风险评定项目质量，要求在风险评定过程中就风险评定过程控制、风险评定过程监督、风险评定结果验证等方面严格相关标准。
四、服务周期
信息安全风险评定服务自9月1日－8月31日。
信息安全风险评定是从风险管理角度，利用定性、定量科学分析方法和手段，依据相关信息安全技术和管理标准，对信息系统及由其处理、传输和存放信息保密性、完整性和可用性等安全属性进行评定过程。风险评定基础要素包含：需保护信息资产、信息资产脆弱性、信息资产面临威胁、存在可能风险、安全防护方法等。风险评定经过识别资产相关要素关系，从而判定资产面临风险大小，关键内容有：一是对资产进行识别并对资产价值进行赋值；二是对威胁进行识别，描述威胁属性，并对威胁出现频率赋值；三是对资产脆弱性进行识别并对具体资产脆弱性严重程度赋值；四是依据威胁及威胁利用弱点难易程度判定安全事件发生可能性；五是依据脆弱性严重程度及安全事件所作用资产价值计算安全事件损失；六是依据安全事件发生可能性和安全事件损失，计算安全事件一旦发生对组织影响，即风险值。

电子政务终端安全护理实施方案

信息安全问题是全部国家在电子政务发展中全部十分关心和重视问题。伴随政府信息化进程加速，电子政务网络环境日益复杂，安全形势也日趋严峻。敏感信息被泄露、政府门户网站被篡改，非法用户入侵、恶意软件攻击等安全事件屡见不鲜。传统安全网关、防火墙、VPN等技术已经不能根本有效地保障政务网络安全。据相关资料统计，网络安全事件有80%源自个人终端。终端已经成为新安全问题，是电子政务安全管理所面临新挑战。现在国家机关中网络全部含有相当规模，网络中大量使用计算机终端设备，这些设备带来高效应用同时，本身确实存在着安全风险和隐患，所以应该加强终端安全防护以保障整个电子政务网络安全运行。
由国家信息中心指导设计，中国信息安全测评中心，微软中国、北信源自动化技术、北京瑞星信息技术等众多行业优势部门和领先企业开发政务终端安全护理整体处理方案，是面向各级政府部门计算机终端，提供全方面，强大易于管理安全护理功效。政务终端安全护理整体处理方案采取分布式体系结构，由全国级联布署终端安全护理平台、系统补丁验证测试试验室、终端安全护理软件和杀毒软件组成，可为全国各级政府部门提供全方位安全护理服务。终端使用者不再需要任何安全方面操作就能够确保自己计算机一直处于安全状态。
一、电子政务终端安全管理关键性和功效要求
（一）政务终端安全管理关键性
我们强调终端安全管理关键性，一是终端安全是安全管理工作中最微弱步骤，因为终端使用一直是个人行为，每一个人安全观念、知识水平和法规意识不一样，决定着终端安全状态，使用单位对于大量终端安全又难于全方面掌控；二是终端已成为进行网络攻击工具，攻击者借助终端攻击政府部门信息系统，窃取国家敏感信息，传输黑客和木马病毒，给整个信息系统造成危害。
终端安全安全配置管理是关键。终端是信息加工、处理和存放关键基础设备，其安全性会严重影响整个网络安全，而安全漏洞大量存在是终端脆弱性关键原因。所以经过限制用户权限、关闭部分服务功效等安全配置管理可有效降低系统漏洞，提升终端防护能力。
（二）政务终端安全管理必需性
《中国网民网络信息安全情况调查系列汇报》显示52%网络终端曾遭遇过网络安全事件。安全事件造成损失关键是时间成本，平均每人需要花费约10个小时处理安全事故。其次是经济方面损失，底端用户在处理网络系统、操作系统瘫痪、数据、文件等丢失或损坏等安全事件所支出服务相关费用累计153亿元人民币。
实施终端安全配置统一化和标准化，不仅有利于降低系统风险、方便信息安全防范方法统一布署和实施效率，还可有效降低终端安全管理复杂性和维护成本。所以，推进终端安全护理实施。对于降低政府信息化安全成本有着关键作用。可实现终端安全配置和管理自主化，有利于推进系统软件升级改造和自主创新，也是利用政府应用推进国产化一个契机。
（三）政务终端安全管理要求
在终端安全管理上实际工作中存在很多困难，首先因为多数终端用户缺乏必需计算机安全管理知识，不能立即下载终端操作系统补丁，并对补丁进行必需安全测试。用户对病毒等恶意软件不能立即有效地查杀和清除，而过多地依靠杀毒软件影响了终端系统使用效率。其次信息系统管理者，不能立即了解计算机终端安全状态，无法配置计算机终端安全策略，也缺乏对终端上网行为、移动设备使用、终端访问权限控制等很多影响整个信息系统安全行为有效管理。
上述问题存在也就产生了对计算机终端安全功效要求。现在，中国电子政务将网络按其功效区分为：政务内网、政务专网、政务外网三个架构。其不一样电子政务网络系统，对于信息安全要求是不一样，不过对政务终端基础安全要求却是一致，关键集中在以下多个方面：身份认证、访问控制、特权管理、安全审计、免疫机制、文件保护、安全传输、软件管理、设备管理。
（三）政务终端安全管理功效
政务终端安全管理关键针对个人计算机操作系统、浏览器、办公软件、邮件系统和其它常见软件制订相关安全配置，对终端进行安全和性能双层加固。其功效关键表现在以下多个方面：①加强系统安全（口令管理、身份认证、系统审核）；②杜绝安全隐患（禁用高危服务端口、非法程序脚本实施、非授权程序安装）；③限制非法操作（用户权限管理、进程内存配额管理）；④启用安全保护（数字署名、进程保护）；⑤减低资源浪费（系统资源占用管理）。
二、政务终端安全标准框架内容
政务终端安全关键配置标准框架从总体上可分为三大类：
（一）总体标准
关键依据安全需求制订终端全部达成要求。
1、政务终端安全关键配置规范。①账户管理配置。这类安全配置用于保护用户登录信息，增加账户信息被窃取复杂度。关键包含账户策略和密码策略；②系统安全配置。这类配置有利于加固操作系统本身安全性，降低因为权限、漏洞、监控等问题带来风险。配置内容关键包含审核策略、安全选项、用户权限分配和事件日志；③终端组件配置。关键加强用户安装软硬件管理，对可能造成危害情况实施控制　或限制使用范围。关键包含IE管理、附件管理、电源管理、显示管理、聊天工具、会话管理、终端服务管理、网络会议等配置内容；另外还有域配置和用户等配置等规范。
2、政务终端等级保护安全配置要求。依据《计算机信息系统安全保护等级划分准则》和《信息系统安全等级保护基础模型》，针对自主保护级、指导保护级、监督保护级、强制保护级和专控保护级五种安全保护等级，从物理安全、系统安全、网络安全和应用安全四个层面，专门对政务终端安全关键配置提出等级保护要求。
（二）技术指标类
关键为各配置项设定具体内容，经过不一样策略值满足不一样层次要求。
1、操作系统安全基线。依据网络和信息系统等级保护要求，要达成安全配置，确保即安全又有良好使用性。包含账户策略、当地策略、系统策略、网络策略和操作系统组件。其分为五个等级：用户自主保护、系统审计保护、安全标识保护、机构化保护和访问验证保护。
2、浏览器安全基线。包含更新管理、站点管理、脚本控制、开发语言权限、浏览器进程管理和控件管理等内容。关键配置为：权限管理、历史统计、控制面板、高级页面、互联网安全页和限制站点管理。
3、办公软件安全基线。为了降低办公软件使用时给终端带来危险，要求其安全配置要求。关键包含文字处理、表格处理、图片处理和阅读器等办公软件加密处理、打开或存放文件格式管理、信任模式控制管理、超级链接管理、不可信文件处理、升级管理和宏控制等方面配置限定。
4、邮件系统安全基线。要求了邮件系统安全配置最低要求，降低对终端所造成安全风险。内容包含附件管理、自动下载附件、可信邮件查收、设定信任等级、密码管理、邮件许可仅变更、内容连接控制、邮件加密、上载附件管理和图片下载管理等。
5、常见软件安全基线。加强终端常见软件安全管理，降低安全威胁。要求了网络下载、媒体播放和即时通信等应用软件在使用权限、流量控制、自动开启、自动下载和升级管理等方面内容。
（三）应用支撑类
关键为了增强标准实用性和可用性，制订了相关要求规范。
1、政务终端安全关键配置目录。包含配置标识、配置名称、配置值、策略路径和策略描述等。
2、政务终端安全配置格式规范。用来要求描述安全配置格式，以XML语言树形结构来描述数据，关键包含安全配置版本信息、基线配置分组、标准配置值检验和相关配置解释。
3、政务终端安全配置实施指南。从标准研制、验证、管理、分发、布署、检测六个方面，系统地描述政务终端安全关键配置标准实施过程。关键包含策略制订、策略管理、策略分发、策略配置和策略检验。
三、政务终端安全建设实施计划
（一）政务终端安全布署计划
依靠国家政务外网（省公务外网）基础设施，建设省、市、县三级，覆盖全省11个设区市和140个县（市）政务终端安全关键配置标准应用支撑平台。在国家信息中心建设政务终端标准应用平台中心节点支撑下，在省政府办公厅公务外网中心机房建设省级节点。依据平台技术要求配置必需服务器和存放设备，首先在省政府办公厅和部分省直部门布署政务终端安全护理。
（二）组织政务终端安全护理平台技术推广队伍
政务终端安全护理平台推广将采取市场化运作方法进行，选择省内含有丰富信息安全实施经验，并得到国家权威部门认可专业信息技术企业，做为专业技术维护队伍，进行技术支持和应用推广工作。
（三）组织市级节点应用试点和验证工作
扩大应用范围，完成全省全部市级节点布署工作，选择一个设区市展开政务终端安全关键配置标准示范应用，进行试点单位终端护理平台统一安全配置策略布署。省政府办公厅依靠指定政务终端安全护理应用推广技术支持企业，会同省保密局和省安全测评中心，对全省政府采购终端设备强制实施配置预装方法。
（四）政务终端安全护理培训
政务终端安全护理技术推广将组织一系列应用培训工作。
1、标准培训。针对机关工作人员，关键介绍政务终端安全配置基础内容和框架，增强培训人员对使用平台关键性和必需性认训。
2、工具培训。和省安全测评中心和软件测试中心合作，聘用相关技术教授，针对为政府部门提供给用软件支持单位组织培训，关键内容有：虚拟机用于测试软件和政务终端安全护理环境兼容性，帮助信息技术人员熟悉政务终端安全护理标准，方便软件测试、移植和开发工作；评定和计划工具关键用于评定目前信息技术基础设施情况，从而确定可满足需求系统移植技术方案；应用程序兼容性测试工具评定操作系统布署、系统升级影响、和网站兼容性等；微软布署工具将桌面和服务器布署所需工具和过程集成为一个通用布署控制台，创建映像和自动安装，提供端到端向导降低布署时间、缩减技术支持服务成本，提升安全性和连续配置管理。组策略布署工具能够自动生成安全配置布署所需全部组策略对象，提供使用向导指导策略布署。
3、服务培训。针对全省各级技术维护队伍，经过学习有效监测和分析政府网络终端安全状态，立即向终端分发经过安全测评漏洞补丁和更新信息，配置统一安全策略，定时对终端进行病毒扫描、黑客软件清除、垃圾软件清理等安全护理服务，保护政府网络终端正常、高效地运行。
4、管理培训。组织省直各部门信息化部门主官进行平台应用推广管理培训，采取请进来和走出去学习优异省市经验。培养管理者优异理念和意识，实现全省政府公务外网终端安全防护系统统一计划、统一管理。
（五）成立政务终端应用推广教授咨询组
组织成立政务终端安全护理应用推广教授咨询组，由省内相关信息安全方面权威人员组成，提供政策、技术咨询和决议支撑。发挥教授组团体优势，为政务终端安全护理管理提供智力支持。充足发挥个人专员和所在单位技术和政策优势，为平台应用推广工作献计献策。

相关加强省政府电子政务网
风险评定和终端安全防护提议
信息安全问题是全部国家在电子政务发展中全部十分关心和重视问题。伴随政府信息化进程加速，电子政务网络环境日益复杂，安全形势也日趋严峻。敏感信息被泄露、政府门户网站被篡改，非法用户入侵、恶意软件攻击等安全事件屡见不鲜。传统安全网关、防火墙、VPN等技术已经不能根本有效地保障政务网络安全。