XX企业信息安全保障体系规划方案.docx
《XX企业信息安全保障体系规划方案.docx》由会员分享,可在线阅读,更多相关《XX企业信息安全保障体系规划方案.docx(42页珍藏版)》请在第一文库网上搜索。
1、XX企业信息安全保障体系规划方案一、概述1.1 引言本文基于对XX公司信息安全风险评估总体规划的分析,提出XX公司信息安全技术工作的总体规划、目标以及基本原则,并在此基础上从信息安全保障体系的视角描绘了未来的信息安全总体架构。本文内容为信息安全技术体系、运维体系、管理体系的评估和规划,是信息安全保障体系的主体。1.2 背景1.2.1XX行业相关要求国家XX行业总局一直以来十分重视信息安全管理工作,先后下发了涉及保密计算机运行、等级保护定级等多个文件,下发了XX行业信息安全保障体系建设指南,指南从技术、管理、运维三个方面对安全保障提出了建议,如下图所示。图1行业信息安全保障体系框架1.2.2国家
2、等级保护要求等级保护工作作为我国信息安全保障工作中的一项基本制度,对提高基础网络和重要信息系统安全防护水平有着重要作用,在信息系统安全等级保护基本要求中对信息安全管理和信息安全技术也提出了要求,如下图所示。图L2等保基本要求框架图1.23三个体系自身业务要求在国家数字XX行业政策的引导下,近年来信息系统建设日趋完善,业务系统对信息系统的依赖程度逐渐增加信息系统的重要性也逐渐提高其安全保障就成为了重点。信息系统的重要组成部分包括MES系统、ERP系统、网站系统、工商协同营销系统、LIMS系统、0A系统及生产系统等。企业生产已经高度依赖于企业的信息化?口各信息系统。信息系统现阶段还无法达到完全的自
3、动化和智能化运行。因此需要各级技术人员对信息系统进行运行和维护。在整个信息系统运行的过程中,起主导作用的仍然是人,是各级管理员。设备的作用仍然仅仅停留在执行层面。因此信息系统的稳定运行的决定因素始终都在于人员的操作。信息安全运维体系的作用是在安全管理体系和安全技术体系的运行过程中,发现和纠正各类安全保障措施存在的问题和不足,保证它们稳定可靠运行,有效执行安全策略规定的目标和原则。当运行维护过程中发现目前的信息安全保障体系不能满足本单位信息化建设的需要时,就可以对保障体系进行新的规划和设计。从而使新的保障体系能够适应企业不断发展和变化的安全需求。这也仍遵循和完善了 PDCA原则。1.3 三个体系
4、规划目标1.3.1安全技术和安全运维体系规划目标建立技术体系的目的是通过使用安全产品和技术,支撑和实现安全策略,达到信息系统的保密、完整、可用等安全目标。按照P2DR2模型,行业信息安全技术体系涉及信息安全防护、检测、响应和恢复四个方面的内容:1、防护:通过访问控制、信息系统完整性保护、系统与通信保护、物理与环境保护等安全控制措施,使信息系统具备匕徽完善的抵抗攻击破坏的能力。2、检测:通过采取入侵检测、漏洞扫描、安全审计等技术手段,对信息系统运行状态和操作行为进行监控和记录,对信息系统的脆弱性以及面临的威胁进行评估,及时发现安全隐患和入侵行为并发出告警。3、响应:通过事件监控和处理工具等技术措
5、施,提高应急处理和事件响应能力,保证在安全事件发生后能够及时进行分析、定位、跟踪、排除取证。4、恢复:通过建立信息系统备份和恢复机制,保证在安全事件发生后及时有效地进行信息系统设施和重要数据的恢复。1.3.2安全管理体系规划目标本次项目通过风险评估对XX公司自身安全管理现状进行全面了解后对信息安全管理整体提出以下目标:健全信息安全管理组织,建立信息安全专业服务团队,建立完善的信息安全风险管理流程,完善信息安全制度与标准,建立规范化的流程。1.4 技术及运维体系规划参考模型及标准1.4.1参考模型目前安全模型已经从以前的被动保护转到了现在的主动防御,强调整个生命周期的防御和恢复。PDR模型就是最
6、早提出的体现这样一种思想的安全模型。所谓PDR模型指的就是基于防护(Protection )、检测(Detection )、响应(Reaction )的安全模型。上个世纪90年代末,ANS联盟在PDR模型的基础上建立了新的P2DR模型。该模型是可量化、可由数学证明、基于时间的、以PDR为核心的安全模型。这里P2DR2 是策略(Policy )、防护(Protection )、检测(Detection )、响应(Response )、恢复(Recovery )的缩写。策略(Policy)策略是P2DR模型的核心,所有的防护、检测、响应都是依据策略。它描述了系统中哪些资源要得到保护,以及如何实现对
7、它们的保护等。防护(Protection)防护是主动防御的防御部分,系统的安全最终是依靠防护来实现的。防护的对象涵盖了系统的全部,防护手段也因此多种多样。检测(Detection )检测是动态响应和加强防护的依据。通过不间断的检测网络和系统,来发现威胁。响应(Response)响应是主动防御的实现。根据策略以及检测到的情况动态的调整防护,达到主动防御的目的。随着技术的进步人们在P2DR模型以后又提出了 APPDRR模型即在P2DR模型中加入恢复:Recovery )手段。这样一旦系统安全事故发生了,也能恢复系统功能和数据,恢复系统的正常运行。1.4.2参考标准主要参考标准:信息保障技术框架v3
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- XX 企业信息 安全 保障体系 规划 方案