網(wǎng)絡(luò)安全等級保護評估精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的網(wǎng)絡(luò)安全等級保護評估主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：網(wǎng)絡(luò)安全等級保護評估范文

關(guān)鍵詞：等級保護 信息系統(tǒng) 安全策略

中圖分類號：TP391.41 文獻標識碼：A 文章編號：1007-9416（2015）12-0000-00

隨著我國信息化建設(shè)的高速發(fā)展，信息技術(shù)水平的日益提高，眾多單位、組織都建立了自己的信息系統(tǒng)，以充分利用各類網(wǎng)絡(luò)信息資源。與此同時，各種非法入侵和盜竊、計算機病毒、拒絕服務(wù)攻擊、機密數(shù)據(jù)被篡改和竊取、網(wǎng)絡(luò)癱瘓等安全問題也時刻威脅著我國網(wǎng)絡(luò)的安全。因此，維護網(wǎng)絡(luò)信息安全的任務(wù)異常艱巨、繁重。信息安全等級保護制度的建立，可以有效地解決我國網(wǎng)絡(luò)信息安全面臨的威脅及存在的問題。

隨著信息安全等級保護工作的深入開展，不同等級信息系統(tǒng)之間的互聯(lián)、互通、互操作是當前研究的熱點和難點，其中，如何制定有效的安全策略，確保信息在多級互聯(lián)信息系統(tǒng)間安全流通，是亟待解決的關(guān)鍵問題。

1信息安全等級保護

信息安全等級保護是指對國家重要信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。

等級保護環(huán)境下的信息系統(tǒng)一般由安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心構(gòu)成。其中，安全計算環(huán)境是對信息系統(tǒng)的信息進行存儲、處理的相關(guān)部件；安全區(qū)域邊界是對信息系統(tǒng)的各個區(qū)域之間實現(xiàn)連接并實施訪問控制的相關(guān)部件；安全通信網(wǎng)絡(luò)是保障信息在系統(tǒng)內(nèi)安全傳輸及安全策略實施的相關(guān)部件；安全管理中心是對信息系統(tǒng)的安全策略及安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)上的安全機制實施統(tǒng)一管理的平臺。

2多級互聯(lián)信息系統(tǒng)

我國信息安全等級保護標準將信息系統(tǒng)按照安全保護能力劃分為五個安全等級，一些重要、大型的信息系統(tǒng)中可能存在多個不同等級的子系統(tǒng)，不同等級信息系統(tǒng)之間要實現(xiàn)可信互聯(lián)，由于信任體系和運行模式不盡相同，互聯(lián)互通會導(dǎo)致安全風險的進一步增加，尤其是低等級信息系統(tǒng)可能通過惡意授權(quán)給高等級信息系統(tǒng)帶來權(quán)限失控風險。

因此，需要建立一個總體的安全管理中心，將不同安全等級的子系統(tǒng)連接在一起，通過協(xié)同合作，實現(xiàn)特定的功能服務(wù)，這就是多級互聯(lián)信息系統(tǒng)。在多級互聯(lián)信息系統(tǒng)中，各個子系統(tǒng)和互聯(lián)系統(tǒng)本身，都需要實施信息分級分類保護，從而確保系統(tǒng)間的交互協(xié)作及信息流動，保障系統(tǒng)的安全。

本文將在信息安全等級保護的要求下，研究多級互聯(lián)信息系統(tǒng)安全策略的制定，從而較好地解決多級互聯(lián)系統(tǒng)的安全風險問題，確保系統(tǒng)安全。

3多級互聯(lián)信息系統(tǒng)安全策略的制定

安全策略是為規(guī)范網(wǎng)絡(luò)安全防護工作，保證網(wǎng)絡(luò)正常使用、發(fā)揮網(wǎng)絡(luò)效能所必須強制執(zhí)行的一系列要求、規(guī)范或操作。其主要作用是針對被保護對象面臨的主要威脅，圍繞安全防護目標，提出網(wǎng)絡(luò)安全防護具體要求，指導(dǎo)安全管理行動。確定并實施網(wǎng)絡(luò)安全策略是對網(wǎng)絡(luò)進行有效安全管理的基礎(chǔ)和依據(jù)，是網(wǎng)絡(luò)信息系統(tǒng)安全保障的核心和起點，是實現(xiàn)網(wǎng)絡(luò)安全管理和技術(shù)措施的前提。因此，為了確保多級互聯(lián)信息系統(tǒng)安全有效地運行，制定明確和合理的安全策略就成為了關(guān)鍵。

3.1指導(dǎo)思想

根據(jù)不同應(yīng)用類別和安全等級防護目標的需求，給出安全防護策略的框架，研究制定各類網(wǎng)絡(luò)相應(yīng)的安全防護策略，并保證制定的安全策略具有較高的規(guī)范性、完備性和有效性。安全策略的制定與實施應(yīng)當遵循“局部策略符合全局策略、下級策略符合上級策略”的原則。同時，隨著信息技術(shù)的發(fā)展以及系統(tǒng)的升級、調(diào)整，安全策略也應(yīng)該隨之進行重新評估和制定，隨時保持策略與安全目標的一致性，確保信息系統(tǒng)安全有效地運行。

3.2基本原則

基于以上思想，制定多級互聯(lián)信息系統(tǒng)安全策略時應(yīng)遵循以下原則：

（1）統(tǒng)一領(lǐng)導(dǎo)，分級負責。針對系統(tǒng)、數(shù)據(jù)、用戶等保護對象，按照同類、同級集中的原則進行等級保護級別的劃分，確定安全保護等級對應(yīng)的適用范圍及具體組織實施單位。（2）廣域監(jiān)察，局域管控。依托總體安全管理中心，建立多級互聯(lián)系統(tǒng)廣域安全監(jiān)察機制，監(jiān)督、檢查各安全域網(wǎng)絡(luò)節(jié)點和用戶網(wǎng)絡(luò)安全策略的配置執(zhí)行情況，監(jiān)測重要骨干網(wǎng)絡(luò)流量，預(yù)警網(wǎng)絡(luò)攻擊和入侵行為，形成網(wǎng)絡(luò)安全實時態(tài)勢；在各安全域網(wǎng)絡(luò)節(jié)點和用戶網(wǎng)絡(luò)建立局域安全管控機制，依托各級安全管理中心，對網(wǎng)絡(luò)節(jié)點和用戶網(wǎng)絡(luò)的安全設(shè)備、主機系統(tǒng)的安全策略和安全事件進行集中統(tǒng)一管理，實現(xiàn)網(wǎng)內(nèi)各類資源的可控可管，提高系統(tǒng)整體防護能力和維護管理效率。（3）分區(qū)分域，適度防護。根據(jù)等級保護的思想，在劃分的安全域中，一方面要遵循等級保護要求，加強主動防范措施；另一方面要針對各安全域業(yè)務(wù)特點的保護強度，在不影響系統(tǒng)整體安全性的前提下，進一步對各域的安全策略進行設(shè)置，并確保這些策略的相對性、獨立性及關(guān)聯(lián)性。（4）區(qū)域自治，聯(lián)防聯(lián)動：各安全域根據(jù)總體安全管理中心下發(fā)的安全策略，結(jié)合自身特定的安全需求，實施本區(qū)域內(nèi)的安全防護和管理。依托總體安全管理中心，建立廣域網(wǎng)上下一體的預(yù)警響應(yīng)和聯(lián)防聯(lián)動機制；依托各級安全管理中心，建立局域網(wǎng)內(nèi)各安全設(shè)備之間的檢測響應(yīng)和聯(lián)防聯(lián)動機制；并在各級安全管理中心、重要骨干節(jié)點、用戶網(wǎng)絡(luò)之間建立安全事件響應(yīng)和應(yīng)急協(xié)調(diào)機制。

第2篇：網(wǎng)絡(luò)安全等級保護評估范文

關(guān)鍵詞：信息安全；信息安全等級

中圖分類號：TP393.08文獻標識碼：A文章編號：16727800（2011）012014502

作者簡介：張新豪（1982-），男，河南鄭州人，黃河科技學院現(xiàn)代教育中心助教，研究方向為計算機應(yīng)用；郭喜建（1978-），男，河南鄭州人，黃河科技學院現(xiàn)代教育中心助教，研究方向為計算機應(yīng)用；宋朝（1983-），男，河南鄭州人，黃河科技學院現(xiàn)代教育技術(shù)中心職員，研究方向為信息服務(wù)質(zhì)量管理。1網(wǎng)絡(luò)信息安全

信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中數(shù)據(jù)受到保護，不因偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)、可靠、正常地運行，信息服務(wù)不中斷。信息安全是一門設(shè)計計算機科學、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科。從廣義上說，設(shè)計信息的保密性、完整性、可用性、真實性和可控性的相關(guān)技術(shù)和理論都是信息安全的研究領(lǐng)域。

信息安全要實現(xiàn)的目標主要有：①真實性：對信息的來源進行判斷，能對偽造來源的信息予以鑒別；②保密性：保證機密信息不被竊聽，或竊聽者不能了解信息的真實含義；③完整性：保證數(shù)據(jù)的一致性，防止數(shù)據(jù)被非法用戶篡改；④可用性：保證合法用戶對信息和資源的使用不會被不正當?shù)木芙^；⑤不可抵賴性：建立有效的責任機制，防止用戶否認其行為；⑥可控制性：對信息的傳播及內(nèi)容具有控制能力；⑦可審查性：對出現(xiàn)的網(wǎng)絡(luò)安全故障為您能夠提供調(diào)查的依據(jù)和手段。

2網(wǎng)絡(luò)信息安全性等級

2.1信息安全等級保護

信息安全等級保護是指對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。

信息安全等級保護制度是國家信息安全保障工作的基本制度、基本策略和基本方法，是促進信息化健康發(fā)展，維護國家安全、社會秩序和公共利益的根本保障。國務(wù)院法規(guī)和中央文件明確規(guī)定，要實行信息安全等級保護，重點保護基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級保護制度。信息安全等級保護是當今發(fā)達國家保護關(guān)鍵信息基礎(chǔ)設(shè)施、保障信息安全的通行做法，也是我國多年來信息安全工作經(jīng)驗的總結(jié)。開展信息安全等級保護工作不僅是保障重要信息系統(tǒng)安全的重大措施，也是一項事關(guān)國家安全、社會穩(wěn)定、國家利益的重要任務(wù)。

2.2DoD可信計算機系統(tǒng)評估準則

1983年，美國國家計算機中心發(fā)表了著名的“可信任計算機標準評價準則”（Trusted Computer Standards Evaluation Criteria，簡稱TCSEC，俗稱橘皮書）。TCSEC是在20世紀70年代的基礎(chǔ)理論研究成果Bell & La Padula模型基礎(chǔ)上提出的，其初衷是針對操作系統(tǒng)的安全性進行評估。1985年，美國國防部計算機安全中心（簡稱DoDCSC）對TCSEC文本進行了修訂，推出了“DoD可信計算機系統(tǒng)評估準則，DoD5200.28-STD”。

美國國防部計算機安全中心（DoDCSC）提出的安全性評估要求有：①安全策略：必須有一個明確的、確定的由系統(tǒng)實施的安全策略；②識別：必須唯一而可靠地識別每個主體，以便檢查主體/客體的訪問請求；③標記：必須給每個客體（目標）作一個“標號”，指明該客體的安全級別。這種結(jié)合必須做到對該目標進行訪問請求時都能得到該標號以便進行對比；④可檢查性：系統(tǒng)對影響安全的活動必須維持完全而安全的記錄。這些活動包括系統(tǒng)新用戶的引入、主體或客體的安全級別的分配和變化以及拒絕訪問的企圖；⑤保障措施：系統(tǒng)必須含實施安全性的機制并能評價其有效性；⑥連續(xù)的保護：實現(xiàn)安全性的機制必須受到保護以防止未經(jīng)批準的改變。

根據(jù)以上6條要求，“可信計算機系統(tǒng)評估準則”將計算機系統(tǒng)的安全性分為A、B、C、D 4個等級，A、B3、B2、B1、C2、C1、D 7個級別，如表1所示。

表1網(wǎng)絡(luò)安全性標準（DoD5200.28――STD）

等級名稱主要特征A可驗證的安全設(shè)計形式化的最高級描述和驗證，形式化的隱密通道分析，非形式化的代碼一致性證明B3安全域機制安全內(nèi)核，高抗?jié)B透能力B2結(jié)構(gòu)化安全保護設(shè)計系統(tǒng)時必須有一個合理的總體設(shè)計方案，面向安全的體系結(jié)構(gòu)，遵循最小授權(quán)原則，較好的抗?jié)B透能力，訪問控制應(yīng)對所有的主體和客體提供保護，對系統(tǒng)進行隱蔽通道分析B1標號安全保護除了C2級別的安全需求外，增加安全策略模型，數(shù)據(jù)標號（安全和屬性），托管訪問控制C2受控的訪問環(huán)境存取控制以用戶為單位廣泛的審計C1選擇的安全保護有選擇的存取控制，用戶與數(shù)據(jù)分離，數(shù)據(jù)的保護以用戶組為單位D最小保護保護措施很少，沒有安全功能2.3計算機信息系統(tǒng)安全保護等級劃分準則

在我國，以《計算機信息系統(tǒng)安全保護等級劃分準則》為指導(dǎo)，根據(jù)信息和信息系統(tǒng)在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度，針對信息的保密性、完整性和可用性要求及信息系統(tǒng)必須達到的基本的安全保護水平等因素，將信息和信息系統(tǒng)的安全保護分為5個等級。

第一級：用戶自主保護級。本級的計算機信息系統(tǒng)可信計算基通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護的能力。它為用戶提供可行的手段，保護用戶和用戶組信息，避免其他用戶對數(shù)據(jù)的非法讀寫與破壞。

第二級：系統(tǒng)審計保護級。與用戶自主保護級相比，本級的計算機信息系統(tǒng)可信計算基實施了粒度更細的自主訪問控制，它通過登錄規(guī)程、審計安全性相關(guān)事件和隔離資源，使用戶對自己的行為負責。

第三級：安全標記保護級。本級的計算機信息系統(tǒng)可信計算基具有系統(tǒng)審計保護級所有功能。具有準確地標記輸出信息的能力，消除通過測試發(fā)現(xiàn)的任何錯誤。

第四級：結(jié)構(gòu)化保護級。本級的計算機信息系統(tǒng)可信計算基建立于一個明確定義的形式化安全策略模型之上，將第三級系統(tǒng)中的自主和強制訪問控制擴展到所有主體與客體，同時考慮隱蔽通道。關(guān)于可信計算基則結(jié)構(gòu)化為關(guān)鍵保護元素和非關(guān)鍵保護元素，必須明確定義可信計算基的接口。加強了鑒別機制，增強了配置管理控制，具有相當?shù)目節(jié)B透能力。

第五級：訪問驗證保護級。本級的計算機信息系統(tǒng)可信計算基滿足訪問監(jiān)控器需求。訪問監(jiān)控器仲裁主體對客體的全部訪問。訪問監(jiān)控器本身是抗篡改的，信息系統(tǒng)支持安全管理員職能，具有擴充審計機制，提供系統(tǒng)恢復(fù)機制。系統(tǒng)具有很高的抗?jié)B透能力。

3結(jié)束語

信息安全等級保護是國家信息安全保障的基本制度、基本策略、基本方法，是維護國家信息安全的根本保障。通過開展信息安全等級保護工作，可以有效地解決我國信息安全面臨的主要問題，將有限的財力、人力、物力投入到重要信息系統(tǒng)的安全保護中去。參考文獻：

[1]趙鵬，李劍.國內(nèi)外信息安全發(fā)展新趨勢[J].信息網(wǎng)絡(luò)安全,2011(7).

[2]肖國煜.信息系統(tǒng)等級保護測評實踐[J].信息網(wǎng)絡(luò)安全,2011(7).

[3]馬力，畢馬寧.安全保護模型與等級保護安全要求關(guān)系的研究[J].信息網(wǎng)絡(luò)安全,2011(6).

Research on Network Information Security

and Information Security Level

第3篇：網(wǎng)絡(luò)安全等級保護評估范文

[關(guān)鍵詞]信息安全等級保護分級分域網(wǎng)絡(luò)隔離安全防護

1網(wǎng)絡(luò)現(xiàn)狀及防護需求

福建省莆田電業(yè)局已構(gòu)建了信息網(wǎng)絡(luò),已經(jīng)穩(wěn)定運行有財務(wù)管理、安全生產(chǎn)管理、協(xié)同辦公、電力營銷、ERP等應(yīng)用系統(tǒng)。隨著國家電網(wǎng)公司“SG186”工程的信息化建設(shè)的推進工作,網(wǎng)絡(luò)和信息系統(tǒng)情況復(fù)雜,迫切需要進行信息安全全面建設(shè)。

根據(jù)國家《信息安全技術(shù)信息系統(tǒng)安全等級保護實施指南》(GB/T22240-2008)、國家《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》(GB/T-22239-2008)、《國家電網(wǎng)公司“SG186”工程安全防護總體方案》、《國家電網(wǎng)公司“SG186”工程信息系統(tǒng)安全等級保護基本要求》、《國家電網(wǎng)公司“SG186”工程信息系統(tǒng)安全等級保護驗收測評要求(試行)》等文件要求,按照統(tǒng)籌資源,重點保護,適度安全的原則,依據(jù)等級保護定級結(jié)果,采用“二級系統(tǒng)統(tǒng)一成域,三級系統(tǒng)獨立分域”的方法,對信息網(wǎng)絡(luò)系統(tǒng)進行分級分域。

2安全防護建設(shè)目標

通過項目的實施,按照“層層遞進,縱深防御”的思想,從邊界、網(wǎng)絡(luò)、主機、應(yīng)用四個層次進行安全防護等級保護設(shè)計和施工,使莆田電業(yè)局信息系統(tǒng)符合國家和國家電網(wǎng)公司的網(wǎng)絡(luò)與信息系統(tǒng)等級保護建設(shè)要求。

3實施方法

信息系統(tǒng)分級分域安全防護建設(shè)一般分三個階段:

第一階段:合理進行安全域劃分和初步規(guī)劃,針對重要信息進行防護。主要表現(xiàn)在針對業(yè)務(wù)安全要求比較高的信息系統(tǒng)如ERP、財務(wù)系統(tǒng)域進行防護,以及針對互聯(lián)網(wǎng)出口的應(yīng)用層防護。

第二階段:針對當前信息網(wǎng)絡(luò)狀態(tài),按照等級保護要求進行等級化評估、安全評估和合理定級,全面獲取當前安全現(xiàn)狀以及企業(yè)信息化建設(shè)的特殊需求。在評估基礎(chǔ)上,全面從等級保護要求及企業(yè)信息化建設(shè)的安全需求出發(fā),合理進行安全方案設(shè)計。

第三階段:根據(jù)設(shè)計方案,全面開展等級化改造,包括技術(shù)措施和管理措施的完善,建立完整的信息安全體系,并且根據(jù)相關(guān)要求進行運行維護。

4分級分域安全防護方解決方案

信息網(wǎng)絡(luò)系統(tǒng)分級分域安全防護建設(shè)應(yīng)當按照國家標準和國家電網(wǎng)公司“SG186”工程相關(guān)規(guī)定的要求完成,通過項目建設(shè)實施保障莆田電業(yè)局信息化管理系統(tǒng)的安全運營。

4.1 分級分域設(shè)計方案及安全等級建設(shè)要求

莆田電業(yè)局信息網(wǎng)絡(luò)主要分為兩個部分:信息內(nèi)網(wǎng)和信息外網(wǎng),兩個網(wǎng)絡(luò)之間通過強制隔離設(shè)備進行隔離。

信息內(nèi)網(wǎng)分級分域及安全等級建設(shè)要求:

4.1.1二級系統(tǒng)域

二級系統(tǒng)域是指協(xié)同辦公系統(tǒng)、財務(wù)管理系統(tǒng)、安全生產(chǎn)管理系統(tǒng)、人力資源管理系統(tǒng)、企業(yè)門戶、ERP等信息系統(tǒng)

安全建設(shè)等級:基于信息系統(tǒng)的整合,所有二級系統(tǒng)統(tǒng)一部署于二級系統(tǒng)域,并根據(jù)國家安全等級保護標準和國家電網(wǎng)公司“SG186”工程信息系統(tǒng)安全等級保護基本要求等規(guī)范要求,按照安全防護等級二級進行建設(shè)。

4.1.2內(nèi)網(wǎng)桌面終端域

信息內(nèi)網(wǎng)桌面終端是用于內(nèi)網(wǎng)業(yè)務(wù)操作及內(nèi)網(wǎng)業(yè)務(wù)辦公處理,通過對桌面辦公終端按業(yè)務(wù)部門或訪問類型進一步進行VLAN區(qū)域細分,實現(xiàn)不同的業(yè)務(wù)訪問需求指定訪問控制及其他防護措施,由于桌面終端的安全防護與應(yīng)用系統(tǒng)不同,將其劃分為獨立區(qū)域進行安全防護。

安全建設(shè)等級:按照安全等級二級進行安全建設(shè);

信息外網(wǎng)分級分域及安全等級建設(shè)要求:

4.1.3外網(wǎng)應(yīng)用系統(tǒng)域

需與互聯(lián)網(wǎng)進行數(shù)據(jù)交換的系統(tǒng)統(tǒng)一部署為外網(wǎng)系統(tǒng)域。

安全建設(shè)等級:按照安全等級二級進行安全建設(shè);

4.1.4外網(wǎng)桌面終端域

外網(wǎng)桌面終端用于外網(wǎng)業(yè)務(wù)辦公及互聯(lián)網(wǎng)訪問,對外網(wǎng)桌面辦公終端按業(yè)務(wù)部門或訪問類型進行區(qū)域細分,針對不同業(yè)務(wù)訪問需求進行訪問控制及其他防護措施。

安全建設(shè)等級:按照安全等級二級進行安全建設(shè);

圖1改造后的網(wǎng)絡(luò)拓撲圖

4.2 安全防護部署方案

4.2.1防火墻等級保護部署方案

目前網(wǎng)絡(luò)中主要使用防火墻來保證基礎(chǔ)安全。它監(jiān)控可信任網(wǎng)絡(luò)和不可信任網(wǎng)絡(luò)之間的訪問通道,以防止外部網(wǎng)絡(luò)的危險蔓延到內(nèi)部網(wǎng)絡(luò)上。

項目在四個域與核心交換機的連接點分別部署了啟明星辰天清漢馬USG-FW-4000D防火墻(見圖1),并進行了相應(yīng)的配置。

防火墻典型的網(wǎng)絡(luò)部署模式包括路由模式和透明模式,本項目中,考慮到防火墻負責轉(zhuǎn)發(fā)各個區(qū)域的用戶訪問,采取透明模式部署。

根據(jù)企業(yè)安全區(qū)域的劃分,部署防火墻對不同區(qū)域之間的網(wǎng)絡(luò)流量進行控制,基本原則為:高安全級別區(qū)域可以訪問低安全級別區(qū)域,低安全級別嚴格受控訪問高安全級別區(qū)域,進行如下基本配置策略:

防火墻設(shè)置為默認拒絕工作方式,保證所有的數(shù)據(jù)包,如果沒有明確的規(guī)則允許通過,全部拒絕以保證安全;

配置防火墻防DOS/DDOS功能,對Land、Smurf、Fraggle、Ping of death、udp flood等拒絕服務(wù)攻擊進行防范;

配置防火墻全面安全防范能力,包括arp欺騙攻擊的防范,提供arp主動反向查詢、tcp報文標志位不合法攻擊防范、超大ICMP報文攻擊防范、地址/端口掃描的防范、ICMP重定向或不可達報文控制功能、Tracert報文控制功能、帶路由記錄選項IP報文控制功能等。

4.2.2入侵防護系統(tǒng)等級保護部署方案

在傳統(tǒng)的安全解決方案中,防火墻和入侵檢測系統(tǒng)已經(jīng)無法滿足高危網(wǎng)絡(luò)的安全需求,互聯(lián)網(wǎng)上流行的蠕蟲、P2P、木馬等安全威脅日益滋長,必須有相應(yīng)的技術(shù)手段和解決方案來解決對應(yīng)用層的安全威脅。以入侵防御系統(tǒng)為代表的應(yīng)用層安全設(shè)備作為防火墻的重要補充,很好地解決了應(yīng)用層防御的問題,并且變革了管理員構(gòu)建網(wǎng)絡(luò)防御的方式。通過部署IPS,可以在線檢測并直接阻斷惡意流量。

項目在外網(wǎng)系統(tǒng)部署1臺啟明星辰天清NIPS3060入侵防護系統(tǒng)。

4.2.3服務(wù)器換機等級保護部署方案

服務(wù)器交換機采用華為QuidwayS9306高端多業(yè)務(wù)路由交換機,該產(chǎn)品基于華為公司自主知識產(chǎn)權(quán)的Comware V5操作系統(tǒng),融合了MPLS、IPv6、網(wǎng)絡(luò)安全等多種業(yè)務(wù),提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、環(huán)網(wǎng)保護等多種可靠技術(shù),在提高用戶生產(chǎn)效率的同時,保證了網(wǎng)絡(luò)最大正常運行時間,從而降低企業(yè)的總擁有成本。

項目配置兩臺華為QuidwayS9306交換機分別用作內(nèi)網(wǎng)二級系統(tǒng)域和外網(wǎng)應(yīng)用系統(tǒng)域,配置冗余電源、雙引擎、2塊48端口千兆電口板、1塊48端口SFP千兆光口板卡,保證了服務(wù)器換機的安全可靠。

4.2.4終端匯聚交換機等級保護部署方案

終端匯聚交換機采用華為Quidway LS-S5328C交換機,實現(xiàn)信息內(nèi)外網(wǎng)桌面終端域的安全接入。

華為QuidwayLS-S5300系列交換機是華為公司最新開發(fā)的增強型IPv6萬兆以太網(wǎng)交換機,具備業(yè)界盒式交換機最先進的硬件處理能力和豐富的業(yè)務(wù)特性。支持最多4個萬兆擴展接口;支持IPv4/IPv6硬件雙棧及線速轉(zhuǎn)發(fā);出色的安全性、可靠性和多業(yè)務(wù)支持能力使其成為網(wǎng)絡(luò)匯聚和城域網(wǎng)邊緣設(shè)備的第一選擇。

配置2臺桌面終端匯聚交換機分別部署在信息內(nèi)網(wǎng)和信息外網(wǎng)的桌面終端域接口上。

5網(wǎng)絡(luò)安全成果分析

福建省莆田電業(yè)局信息網(wǎng)絡(luò)系統(tǒng)分級分域安全防護建設(shè)項目從邊界、網(wǎng)絡(luò)、主機、應(yīng)用四個層次進行了安全防護等級保護設(shè)計及工程實施,對原有網(wǎng)絡(luò)、安全設(shè)備進行了調(diào)整,實現(xiàn)了安全域的劃分,實現(xiàn)了對關(guān)鍵業(yè)務(wù)的安全防護,達到了國家和國家電網(wǎng)公司的網(wǎng)絡(luò)與信息系統(tǒng)等級保護建設(shè)要求,并通過了國家電網(wǎng)公司等級測評驗收。

參考文獻:

[1] 信息安全技術(shù)信息系統(tǒng)安全等級保護實施指南(GB/T22240-2008)

[2] 信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求(GB/T-22239-2008)

第4篇：網(wǎng)絡(luò)安全等級保護評估范文

關(guān)鍵詞： 云計算； 云安全； 信息安全； 等級保護測評； 局限性

中圖分類號：TP309 文獻標志碼：A 文章編號：1006-8228（2016）11-35-03

Discussion on the testing and evaluating of cloud computing security level protection

Liu Xiaoli， Shen Xiaohui

（Zhejiang Provincial Testing Institute of Electronic & Information Products， Hangzhou， Zhejiang 310007， China）

Abstract： Cloud computing has recently attracted extensive attention since Internet has accessed Web 2.0 with more freedom and flexibility. However， the cloud security has become the biggest challenge for cloud promotion. Combined with the problems of the actual testing and evaluation in cloud computing security， the limitations of the application of the current information security level protection evaluation standard to the cloud environment are analyzed， and the contents that cloud security should focus on are proposed.

Key words： cloud computing； cloud security； information security； testing and evaluation of security level protection； limitations

0 引言

近年來，隨著網(wǎng)絡(luò)進入更加自由和靈活的Web2.0時代，云計算的概念風起云涌。美國國家標準與技術(shù)研究院（NIST）定義云計算是一種按使用量付費的模式，這種模式提供可用的、便捷的、按需的網(wǎng)絡(luò)訪問，進入可配置的計算資源共享池（資源包括網(wǎng)絡(luò)，服務(wù)器，存儲，應(yīng)用軟件，服務(wù)），這些資源能夠被快速提供，只需投入很少的管理工作，或與服務(wù)供應(yīng)商進行很少的交互。云計算因其節(jié)約成本、維護方便、配置靈活已經(jīng)成為各國政府優(yōu)先推進發(fā)展的一項服務(wù)。美、英、澳大利亞等國家紛紛出臺了相關(guān)發(fā)展政策，有計劃地促進政府部門信息系統(tǒng)向云計算平臺遷移。但是也應(yīng)該看到，政府部門采用云計算服務(wù)也給其敏感數(shù)據(jù)和重要業(yè)務(wù)的安全帶來了挑戰(zhàn)。美國作為云計算服務(wù)應(yīng)用的倡導(dǎo)者，一方面推出“云優(yōu)先戰(zhàn)略”，要求大量聯(lián)邦政府信息系統(tǒng)遷移到“云端”，另一方面為確保安全，要求為聯(lián)邦政府提供的云計算服務(wù)必須通過安全審查[1]。我國也先后出臺了一系列云計算服務(wù)安全的國家標準，如GB/T 31167-2014《信息安全技術(shù)云計算服務(wù)安全指南》、GB/T 31168-2014 《信息安全技術(shù) 云計算服務(wù)安全能力要求》等。本文關(guān)注的是云計算安全，包括云計算應(yīng)用系統(tǒng)安全、云計算應(yīng)用服務(wù)安全、云計算用戶信息安全等[2]。

當前，等級保護測評的依據(jù)主要有GB/T 22239-

2008《信息安全技術(shù) 信息系統(tǒng)安全等級保護基本要求》、GB/T 28448-2012《信息安全技術(shù) 信息系統(tǒng)安全等級保護測評要求》和GB/T 28449-2012《信息安全技術(shù) 信息系統(tǒng)安全等級保護測評過程指南》等。然而，這些標準應(yīng)用于傳統(tǒng)計算模式下的信息系統(tǒng)安全測評具有普適性，對于采用云計算服務(wù)模式下的信息系統(tǒng)卻有一定的局限性。

本文結(jié)合實際云計算服務(wù)安全測評中的問題，首先討論現(xiàn)行信息安全等級保護測評標準應(yīng)用到云環(huán)境的一些局限性，其次對于云計算安全特別需要關(guān)注的測評項進行分析。

1 云計算安全

正如一件新鮮事物在帶給我們好處的同時，也會帶來問題一樣，云計算的推廣也遇到了諸多困難，其中安全問題已成為阻礙云計算推廣的最大障礙。

云計算安全面臨著七大風險，主要包括客戶對數(shù)據(jù)和業(yè)務(wù)系統(tǒng)的控制能力減弱、客戶與云服務(wù)商之間的責任難以界定、可能產(chǎn)生司法管轄權(quán)問題、數(shù)據(jù)所有權(quán)保障面臨風險、數(shù)據(jù)保護更加困難、數(shù)據(jù)殘留和容易產(chǎn)生對云服務(wù)商的過度依賴等。文獻[3]提出了云計算安全測評框架，與傳統(tǒng)信息系統(tǒng)安全測評相比，云計算安全測評應(yīng)重點關(guān)注虛擬化安全、數(shù)據(jù)安全和應(yīng)用安全等層面。

虛擬化作為云計算最重要的技術(shù)，其安全性直接關(guān)系到云環(huán)境的安全。虛擬化安全涉及虛擬化軟件安全和虛擬化服務(wù)器安全，其中虛擬化服務(wù)器安全包括虛擬化服務(wù)器隔離、虛擬化服務(wù)器監(jiān)控、虛擬化服務(wù)器遷移等。云計算的虛擬化安全問題主要集中在VM Hopping（一臺虛擬機可能監(jiān)控另一臺虛擬機甚至會接入到宿主機）、VM Escape（VM Escape攻擊獲得Hypervisor的訪問權(quán)限，從而對其他虛擬機進行攻擊）/遠程管理缺陷（Hypervisor通常由管理平臺來為管理員管理虛擬機，而這些控制臺可能會引起一些新的缺陷）、遷移攻擊（可以將虛擬機從一臺主機移動到另一臺，也可以通過網(wǎng)絡(luò)或USB復(fù)制虛擬機）等[4]。

數(shù)據(jù)實際存儲位置往往不受客戶控制，且數(shù)據(jù)存放在云平臺上，數(shù)據(jù)的所有權(quán)難以界定，多租戶共享計算資源，可能導(dǎo)致客戶數(shù)據(jù)被授權(quán)訪問、篡改等。另外當客戶退出云服務(wù)時，客戶數(shù)據(jù)是否被完全刪除等是云計算模式下數(shù)據(jù)安全面臨的主要問題。

在云計算中對于應(yīng)用安全，特別需要注意的是Web應(yīng)用的安全。云計算應(yīng)用安全主要包括云用戶身份管理、云訪問控制、云安全審計、云安全加密、抗抵賴、軟件代碼安全等[3]。

2 云計算下等級保護測評的局限性

信息系統(tǒng)安全等級保護是國家信息安全保障工作的基本制度、基本策略、基本方法。開展信息系統(tǒng)安全等級保護工作不僅是加強國家信息安全保障工作的重要內(nèi)容，也是一項事關(guān)國家安全、社會穩(wěn)定的政治任務(wù)。信息系統(tǒng)安全等級保護測評工作是指測評機構(gòu)依據(jù)國家信息安全等級保護制度規(guī)定，按照有關(guān)管理規(guī)范和技術(shù)標準，對未涉及國家秘密的信息系統(tǒng)安全等級保護狀況進行檢測評估的活動。與之對應(yīng)的是涉及國家秘密的信息系統(tǒng)安全測評，就是通常所說的分級保護測評。

信息系統(tǒng)安全等級保護的基本要求包括技術(shù)要求和管理要求兩大類。其中技術(shù)要求包括物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)等五個層面；管理要求包括安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等五個層面。

傳統(tǒng)的安全已不足以保護現(xiàn)代云計算工作負載。換言之，將現(xiàn)行的等級保護相關(guān)標準生搬硬套到云計算模式存在局限性，具體體現(xiàn)在以下方面。

⑴ 物理安全

傳統(tǒng)模式的信息系統(tǒng)數(shù)據(jù)中心或者在本單位，或者托管在第三方機構(gòu)，用戶可以掌握自身數(shù)據(jù)和副本存儲在設(shè)備和數(shù)據(jù)中心的具置。然而，由于云服務(wù)商的數(shù)據(jù)中心可能分布在不同的地區(qū)，甚至不同的國家，GB/T 31167-2014明確了存儲、處理客戶數(shù)據(jù)的數(shù)據(jù)中心和云計算基礎(chǔ)設(shè)施不得設(shè)在境外。

⑵ 網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全主要包括結(jié)構(gòu)安全、邊界防護、訪問控制、入侵防范、惡意代碼防范、安全審計、網(wǎng)絡(luò)設(shè)備防護等測評項。網(wǎng)絡(luò)邊界是網(wǎng)絡(luò)信息安全的第一道防線，因此在網(wǎng)絡(luò)邊界采取安全防護措施就顯得尤為重要。但在云計算模式下，多個系統(tǒng)同時運行在同一個物理機上，突破了傳統(tǒng)的網(wǎng)絡(luò)邊界。由此可見，網(wǎng)絡(luò)邊界的界定、安全域的劃分成為了云計算模式下網(wǎng)絡(luò)邊界安全面臨的新挑戰(zhàn)[5]。

⑶ 主機安全

主機安全主要包括身份鑒別、訪問控制、安全審計等測評項。但在云計算模式下，虛擬化技術(shù)能夠?qū)崿F(xiàn)在一臺物理機上運行多臺虛擬機。盡管虛擬機之間具有良好的隔離性，但在云計算平臺，尤其是私有云和社區(qū)云中，虛擬機之間通常需要進行交互和通信，正是這種交互為攻擊和惡意軟件的傳播提供了可能。因此，虛擬機之間的安全隔離、用戶權(quán)限劃分、數(shù)據(jù)殘留、跨虛擬機的非授權(quán)訪問是云計算環(huán)境下虛擬機安全需要重點關(guān)注的內(nèi)容。

⑷ 應(yīng)用安全

應(yīng)用系統(tǒng)作為承載數(shù)據(jù)的主要載體，其安全性直接關(guān)系到信息系統(tǒng)的整體安全，因此對整個系統(tǒng)的安全保密性至關(guān)重要。然而，當前絕大多數(shù)單位的應(yīng)用系統(tǒng)在設(shè)計開發(fā)過程中，僅僅考慮到應(yīng)用需求、系統(tǒng)的性能及技術(shù)路線的選擇等問題，缺少了應(yīng)用系統(tǒng)自身的安全性?？蛻舻膽?yīng)用托管在云計算平臺，面臨著安全與隱私雙重風險，主要包括多租戶環(huán)境下來自云計算服務(wù)商和其他用戶的未授權(quán)訪問、隱私保護、內(nèi)容安全管理、用戶認證和身份管理問題[6]。

⑸ 數(shù)據(jù)安全及備份恢復(fù)

在云計算模式下，客戶的數(shù)據(jù)和業(yè)務(wù)遷移至云服務(wù)商的云平臺中，數(shù)據(jù)的處理、存儲均在“云端”完成，用戶一端只具有較少的計算處理能力，數(shù)據(jù)的安全性依賴于云平臺的安全。如何確保數(shù)據(jù)遠程傳輸安全、數(shù)據(jù)集中存儲安全以及多租戶之間的數(shù)據(jù)隔離是云計算環(huán)境下迫切需要解決的問題。

3 云安全之等級保護測評

參照等級保護測評的要求，結(jié)合上述分析，云安全之等級保護測評應(yīng)重點關(guān)注以下方面。

⑴ 數(shù)據(jù)中心物理與環(huán)境安全：用于業(yè)務(wù)運行和數(shù)據(jù)處理及存儲的物理設(shè)備是否位于中國境內(nèi)，從而避免產(chǎn)生司法管轄權(quán)的問題。

⑵ 虛擬網(wǎng)絡(luò)安全邊界訪問控制：是否在虛擬網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，設(shè)置有效的訪問控制規(guī)則，從而控制虛機間的互訪。

⑶ 遠程訪問監(jiān)控：是否能實時監(jiān)視云服務(wù)遠程連接，并在發(fā)現(xiàn)未授權(quán)訪問時，及時采取恰當?shù)姆雷o措施。

⑷ 網(wǎng)絡(luò)邊界安全：是否采取了網(wǎng)絡(luò)邊界安全防護措施，如在整個云計算網(wǎng)絡(luò)的邊界部署安全防護設(shè)備等。

⑸ 虛擬機安全：虛擬機之間的是否安全隔離，當租戶退出云服務(wù)時是否有數(shù)據(jù)殘留，是否存在跨虛擬機的非授權(quán)訪問等。

⑹ 接口安全：是否采取有效措施確保云計算服務(wù)對外接口的安全性。

⑺ 數(shù)據(jù)安全：多租戶間的數(shù)據(jù)是否安全隔離，遠程傳輸時是否有措施確保數(shù)據(jù)的完整性和保密性，租戶業(yè)務(wù)或數(shù)據(jù)進行遷移時是否具有可移植性和互操作性。

4 結(jié)束語

云計算因其高效化、集約化和節(jié)約化的特點，受到越來越多黨政機關(guān)、企事業(yè)單位的青睞，與此同時云計算帶來的風險也是不容忽視的。本文結(jié)合云計算的特點分析了云計算模式下現(xiàn)行等級保護測評標準的一些局限性，并提出了云計算下等級保護測評需要特別關(guān)注的測評項，對云服務(wù)商、租戶和測評機構(gòu)提供借鑒。值得注意的是，租戶在進行云遷移之前，首先應(yīng)確定自身遷移業(yè)務(wù)的等級，其次是租用的云計算平臺等級不能低于業(yè)務(wù)系統(tǒng)的等級。

參考文獻（References）：

[1] 尹麗波.美國云計算服務(wù)安全審查值得借鑒.中國日報網(wǎng).

[2] 陳軍，薄明霞，王渭清.云安全研究進展及技術(shù)解決方案發(fā)展

趨勢[J].技術(shù)廣角，2011：50-54

[3] 潘小明，張向陽，沈錫鏞，嚴丹.云計算信息安全測評框架研究[J].

計算機時代，2013.10：22-25

[4] 房晶，吳昊，白松林.云計算的虛擬化安全問題[J].電信科學，

2012.28（4）：135-140

[5] 陳文捷，蔡立志.云環(huán)境中網(wǎng)絡(luò)邊界安全的等級保護研究[C].

第二屆全國信息安全等級保護技術(shù)大會會議論文集，2013.

第5篇：網(wǎng)絡(luò)安全等級保護評估范文

【 關(guān)鍵詞 】 等級保護；等級測評；質(zhì)量控制

1 引言

近年來，隨著等級保護工作的深入開展，我國相繼出臺了一系列等級保護法律法規(guī)體系和標準規(guī)范體系，中國石化根據(jù)國家等級保護政策和技術(shù)標準，結(jié)合企業(yè)特點，在不低于國家標準的基礎(chǔ)上，編寫了企業(yè)行業(yè)標準，形成了企業(yè)等級保護標準體系。對等級保護五個基本動作（信息系統(tǒng)定級、備案、安全建設(shè)整改、等級測評、安全檢查環(huán)節(jié)）進行了針對性指導(dǎo)。其中《信息系統(tǒng)安全等級保護測評要求》、《 信息系統(tǒng)安全等級保護測評過程指南》、《信息系統(tǒng)安全管理測評》 、《中國石化集團信息系統(tǒng)安全等級保護管理辦法》等技術(shù)標準，對等級測評的主要原則和主要內(nèi)容，測評基本流程、過程分類、記錄文檔、測評報告等進行了具體規(guī)范。就目前研究成果來看，我國還沒有形成以等級測評為主體的質(zhì)量管理體系與技術(shù)標準，缺乏針對等級測評活動質(zhì)量控制的方法研究。本文從研究《信息系統(tǒng)安全等級保護基本要求》、《中國石化集團信息安全等級保護基本要求》、《信息系統(tǒng)安全等級保護測評要求》、《 信息系統(tǒng)安全等級保護測評過程指南》等管理規(guī)范和技術(shù)標準入手，對等級測評活動的質(zhì)量控制進行分析，提出了相應(yīng)的工作方法和控制措施，基本滿足了等級測評活動公正性、客觀性和保密性對質(zhì)量控制的需求。

2 等級測評活動的質(zhì)量控制需求

等級測評活動是測評機構(gòu)依據(jù)等級保護相關(guān)的政策法規(guī)、管理規(guī)范和技術(shù)標準，檢測評估信息系統(tǒng)安全等級保護狀況是否達到相應(yīng)等級基本要求的過程，為石化行業(yè)等單位進行信息系統(tǒng)等級保護安全建設(shè)整改和國家監(jiān)管部門依法行政管理提供決策依據(jù)，是落實信息安全等級保護制度的重要環(huán)節(jié)。等級測評活動不同于一般的風險評估和安全評價，是政策性、專業(yè)性很強的技術(shù)活動。對等級測評活動實施質(zhì)量控制的目的，就是建立和完善等級測評質(zhì)量管理體系，通過質(zhì)量方針目標、管理制度、控制程序等系列管理措施，對等級測評活動實施全過程實施質(zhì)量控制，保證測評活動中引用的政策法規(guī)、技術(shù)標準正確，測評方法科學，測評過程可控，測評行為規(guī)范，測評結(jié)論客觀真實。要求等級測評人員在測評活動中，不但要正確理解和把握等級保護相關(guān)的政策法規(guī)、管理規(guī)范和技術(shù)標準，保證等級測評過程的合規(guī)性，還要通過職業(yè)道德規(guī)范教育和測評行為約束，保證等級測評結(jié)論的公正性、客觀性。

3 等級測評機構(gòu)的質(zhì)量管理體系結(jié)構(gòu)

等級保護政策法規(guī)、管理規(guī)范和技術(shù)標準，對等級測評的原則、內(nèi)容、過程、方法以及測評強度的要求，體現(xiàn)了對等級測評活動實施質(zhì)量控制的思想?！缎畔踩燃墱y評機構(gòu)能力要求》要求等級測評機構(gòu)建立、實施和維護符合等級測評工作需要的文件化的質(zhì)量管理體系。要求體系文件以制度、手冊、程序等形式執(zhí)行，并應(yīng)建立執(zhí)行記錄，為等級測評活動質(zhì)量控制提出了基礎(chǔ)框架結(jié)構(gòu)。

等級測評機構(gòu)的質(zhì)量管理體系結(jié)構(gòu)和控制措施主要包括四個層次的內(nèi)容。

第一層指導(dǎo)性文件：依據(jù)等級保護政策法規(guī)體系、技術(shù)標準體系和等級測評機構(gòu)能力要求，制定等級測評機構(gòu)質(zhì)量管理體系，確立質(zhì)量方針和工作目標，指導(dǎo)測評活動。

第二層控制性文件：根據(jù)測評活動要求，建立保密管理制度、項目管理制度、質(zhì)量管理制度、人員管理制度、教育培訓(xùn)制度、設(shè)備管理制度、申訴、投訴和爭議管理制度等，對等級測評活動管理目標進行控制。

第三層操作性文件：依據(jù)等級測評管理目標，建立和完善相應(yīng)的《合同評審控制程序》、《文件記錄控制程序》 、《管理評審控制程序》、《技術(shù)評審控制程序》、《測評設(shè)備控制程序》、《測評過程控制程序》、《風險控制程序》、《保密控制程序》、《人力資源管理與教育培訓(xùn)程序》、《糾正和預(yù)防措施控制程序》、《申訴、投訴及爭議處理控制程序》、《客戶滿意度管理程序》等操作性文件，對等級測評活動過程和環(huán)節(jié)進行控制。

第四層保證性文件：建立健全各項質(zhì)量記錄表單，制定測評機構(gòu)禁止行為和測評人員職業(yè)道德規(guī)范，對等級測評結(jié)論的公正性、客觀性、保密性進行控制。

4 等保測評過程中的質(zhì)量控制

《 信息系統(tǒng)安全等級保護測評過程指南》將等級測評過程劃分為測評準備、方案編制、現(xiàn)場測評、分析與報告編制四個活動階段。測評過程質(zhì)量控制強度與質(zhì)量管理體系各要素之間的關(guān)系如表1所示。

4.1 測評準備活動的質(zhì)量控制

4.1.1 項目啟動活動的質(zhì)量控制

依據(jù)《合同評審控制程序》組織有關(guān)管理、技術(shù)人員和法律顧問召開合同評審會議，對測評雙方需要簽訂的委托協(xié)議或合同書進行評審。根據(jù)雙方簽訂的委托協(xié)議或合同書，組建等級測評項目組，按照測評活動實際要求進行人員、設(shè)備、資金等資源配置。項目組設(shè)置質(zhì)量管理和技術(shù)管理部門，明確責任權(quán)限，以滿足測評活動的技術(shù)和質(zhì)量管理要求。

依據(jù)《 信息系統(tǒng)安全等級保護測評過程指南》和《測評過程控制程序》編制《項目計劃書》。

4.1.2 信息收集和分析活動的質(zhì)量控制

依據(jù)《測評過程控制程序》編制《基本情況調(diào)查表》，收集和分析被測信息系統(tǒng)等級測評需要的各種資料，包括各種方針文件、規(guī)章制度及相關(guān)過程管理記錄、被測系統(tǒng)總體描述文件、詳細描述文件、安全保護等級定級報告、安全需求分析報告、安全總體方案、安全現(xiàn)狀評價報告、安全詳細設(shè)計方案、用戶指南、運行步驟、網(wǎng)絡(luò)圖表、配置管理文檔等。通過現(xiàn)場調(diào)查和工作交流等方式詳細了解被測系統(tǒng)狀況，明確等級測評的工作流程及可能帶來的風險和規(guī)避方法，為編制等級測評實施方案做好準備。

4.1.3 工具和表單準備活動的質(zhì)量控制

測評人員依據(jù)《測評過程控制程序》要求，搭建模擬系統(tǒng)測試環(huán)境，按照測評機構(gòu)《測評設(shè)備控制程序》調(diào)試各種必備的測試工具，并按照《文件記錄控制程序》準備現(xiàn)場測評授權(quán)書、文檔交接單、會議記錄表單、會議簽到表等表單。

4.2 方案編制活動的質(zhì)量控制

4.2.1 測評對象、測評指標、測試工具接入點、測評內(nèi)容的質(zhì)量控制

測評人員根據(jù)已經(jīng)了解到的被測系統(tǒng)信息，按照《測評過程控制程序》規(guī)定的方法和步驟，分析整個被測系統(tǒng)及其涉及的業(yè)務(wù)應(yīng)用系統(tǒng)，確定出本次測評活動的測評對象、測評指標、測試工具接入點、測評內(nèi)容等，并以表單的形式進行具體描述。

4.2.2 測評指導(dǎo)書開發(fā)、測評方案編制的質(zhì)量控制

測評人員按照《測評過程控制程序》要求和測評活動內(nèi)容開發(fā)測評指導(dǎo)書、編制等級測評實施方案。

測評指導(dǎo)書由測評機構(gòu)按照《技術(shù)評審程序》進行技術(shù)評審，評審合格后項目技術(shù)主管簽字，并按照控制范圍分發(fā)、管理。

等級測評實施方案由項目經(jīng)理按照《技術(shù)評審程序》組織雙方測評人員和專家小組成員進行技術(shù)評審，評審合格的等級測評實施方案，提交石化單位代表簽字確認，按照《文件記錄控制程序》、《保密控制程序》進行和管理。

4.3 現(xiàn)場測評活動的質(zhì)量控制

4.3.1 進場前的準備活動的質(zhì)量控制

按照《測評過程控制程序》要求組織召開首次測評會議，測評雙方人員溝通等級測評實施方案，簽署現(xiàn)場測評授權(quán)書，做好現(xiàn)場測評準備。

4.3.2 現(xiàn)場測評和結(jié)果記錄、結(jié)果確認活動的質(zhì)量控制

測評人員進入測評現(xiàn)場測評時，按照《測評過程控制程序》填寫《現(xiàn)場測評登記表》，詳細填寫出入現(xiàn)場時間、測評工作內(nèi)容、測評前后的信息系統(tǒng)安全狀況，并由石化單位配合人員現(xiàn)場簽字確認。

嚴格按照測評指導(dǎo)書和等級測評實施方案確定的過程和方法進行現(xiàn)場測評，通過人員訪談、文檔審查、配置檢查、工具測試和實地察看等方法，測評被測系統(tǒng)的保護措施情況，獲取現(xiàn)場測評證據(jù)，并按照《文件記錄控制程序》要求填寫《現(xiàn)場測評記錄表》。

現(xiàn)場測評活動中，及時匯總現(xiàn)場測評記錄和發(fā)現(xiàn)的問題，對遺漏和需要進一步驗證的內(nèi)容實施補充測評，測評記錄由測評雙方測評人員現(xiàn)場簽字確認。

現(xiàn)場測評完成后，測評雙方人員召開現(xiàn)場測評結(jié)束會，對現(xiàn)場測評工作進行小結(jié)，將現(xiàn)場測評中發(fā)現(xiàn)的問題形成書面報告，并由雙方代表簽字確認。

現(xiàn)場測評活動中產(chǎn)生的所有現(xiàn)場測評結(jié)果記錄以及石化單位提供的信息資料，均按照《文件記錄控制程序》、《保密控制程序》進行管理，嚴格限制他們的知曉和使用范圍。

4.4 分析與報告編制活動的質(zhì)量控制

4.4.1 測評結(jié)果判定、整體測評、風險分析、等級測評結(jié)論形成的的質(zhì)量控制

測評人員依據(jù)《信息系統(tǒng)安全等級保護基本要求》、《中國石化集團信息系統(tǒng)安全等級保護基本要求》、《信息系統(tǒng)安全管理要求》、《信息系統(tǒng)通用安全技術(shù)要求》等相關(guān)技術(shù)標準，按照《測評過程控制程序》規(guī)定的方法、步驟，對測評指標中的每個測評項測評記錄，進行客觀、準確地分析，形成初步單項測評結(jié)果，并以表單形式給出。按照《測評過程控制程序》要求匯總單項測評結(jié)果，分別統(tǒng)計不同測評對象的單項測評結(jié)果，從而判定單元測評結(jié)果，并以表格的形式逐一列出。測評人員針對單項測評結(jié)果的不符合項，采取逐條判定和優(yōu)勢證據(jù)的方法，從安全控制間、層面間和區(qū)域間出發(fā)，對系統(tǒng)結(jié)構(gòu)進行整體安全測評，給出整體測評的具體結(jié)果。采用風險分析的方法分析等級測評結(jié)果中存在的安全問題及可能對被測系統(tǒng)安全造成的影響。在此基礎(chǔ)上，找出系統(tǒng)保護現(xiàn)狀與等級保護基本要求之間的差距，形成等級測評結(jié)論。

結(jié)論形成后，測評雙方有關(guān)人員和技術(shù)專家按照《技術(shù)評審控制程序》對形成等級測評結(jié)論進行評審，評審?fù)ㄟ^的結(jié)果判定由測評雙方授權(quán)代表簽字確認。

本過程產(chǎn)生的文檔資料，按照《文件記錄控制程序》、《保密控制程序》進行分類授權(quán)使用和管理。

4.4.2 測評報告的編制和分發(fā)的質(zhì)量控制

測評機構(gòu)按照《信息安全等級測評報告模板（試行）》格式編寫報告文檔。

測評雙方有關(guān)人員和專家召開等級測評末次會議，按照《管理評審控制程序》、《技術(shù)評審控制程序》對等級報告格式、內(nèi)容和結(jié)論進行評審，評審?fù)ㄟ^的測評報告文檔，按照《文件記錄控制程序》蓋章、編號，并由測評機構(gòu)項目經(jīng)理、質(zhì)量主管、技術(shù)主管聯(lián)合簽發(fā)。

測評人員按照《文件記錄控制程序》和《保密控制程序》和合同約定的控制范圍分發(fā)等級測評報告，交接有關(guān)資料文檔，刪除測評設(shè)備產(chǎn)生的電子數(shù)據(jù)。

5 結(jié)束語

本文依據(jù)等級保護相關(guān)的政策法規(guī)、管理規(guī)范和技術(shù)標準，結(jié)合等級測評活動的公正性、客觀性、保密性的要求，對等級測評活動的質(zhì)量控制進行了分析，為等級測評機構(gòu)建立質(zhì)量管理體系和等級測評質(zhì)量控制提供了借鑒和參考。隨著等級保護政策法規(guī)和標準規(guī)范的不斷更新和完善，等級測評活動的質(zhì)量控制還有待更深入全面的探討和研究。

參考文獻

[1] GB/T 28448-2012 信息安全技術(shù) 信息系統(tǒng)安全等級保護測評要求.

[2] GB/T 28449-2012 信息安全技術(shù) 信息系統(tǒng)安全等級保護測評過程指南.

[3] 中華人民共和國公共安全行業(yè)標準（GA/T713-2007）.信息系統(tǒng)安全管理測評.

[4] 中國石化集團信息系統(tǒng)安全等級保護管理辦法.

[5] GB/T 22239-2008 信息系統(tǒng)安全等級保護基本要求[S].

[6] 中國石化集團信息系統(tǒng)安全等級保護基本要求.

[7] 信息安全等級測評機構(gòu)能力要求（試行）.

[8] GB/T20271-2006 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求[S].

[9] 公信安[2009]1487號.關(guān)于印發(fā)《信息系統(tǒng)安全等級測評報告模板（試行）》的通知.

[10] 郝文江，武捷.三網(wǎng)融合中的安全風險及防范技術(shù)研究[J].信息網(wǎng)絡(luò)安全，2012，（01）：5-9.

[11] 韓水玲，馬敏，王濤等.數(shù)字證書應(yīng)用系統(tǒng)的設(shè)計與實現(xiàn)[J].信息網(wǎng)絡(luò)安全，2012，（09）：43-45.

[12] 常艷，王冠.網(wǎng)絡(luò)安全滲透測試研究[J].信息網(wǎng)絡(luò)安全，2012，（11）：3-4.

第6篇：網(wǎng)絡(luò)安全等級保護評估范文

關(guān)鍵詞：等級防護；電力企業(yè)；網(wǎng)絡(luò)安全建設(shè)

中圖分類號： F407 文獻標識碼： A 文章編號：

引言

信息化是一把“雙刃劍”，在提高企業(yè)工作效率、管理水平以及整體競爭能力的同時，也給企業(yè)帶來了一定的安全風險，并且伴隨著企業(yè)信息化水平的提高而逐漸增長。因此，提升企業(yè)的信息系統(tǒng)安全防護能力，使其滿足國家等級保護的規(guī)范性要求，已經(jīng)成為現(xiàn)階段信息化工作的首要任務(wù)。對于電力企業(yè)的信息系統(tǒng)安全防護工作而言，應(yīng)等級保護要求，將信息管理網(wǎng)絡(luò)劃分為信息內(nèi)網(wǎng)與信息外網(wǎng)，并根據(jù)業(yè)務(wù)的重要性劃分出相應(yīng)的二級保護系統(tǒng)與三級保護系統(tǒng)，對三級系統(tǒng)獨立成域，其余二級系統(tǒng)統(tǒng)一成域，并從邊界安全、主機安全、網(wǎng)絡(luò)安全、應(yīng)用安全等方面對不同的安全域?qū)Ψ雷o要求進行明確劃分。

1現(xiàn)階段電力企業(yè)網(wǎng)絡(luò)風險分析

1.1服務(wù)器區(qū)域缺少安全防護措施

大部分電力企業(yè)的服務(wù)器都是直接接入本單位的核心交換機，然而各網(wǎng)段網(wǎng)關(guān)都在核心交換機上，未能對服務(wù)器區(qū)域采取有效的安全防護措施。

1.2服務(wù)器區(qū)域和桌面終端區(qū)域之間的劃分不明確

因服務(wù)器和桌面終端的網(wǎng)關(guān)都在核心交換機上，不能實現(xiàn)對于域的有效劃分。

1.3網(wǎng)絡(luò)安全建設(shè)缺乏規(guī)劃

就現(xiàn)階段的電力企業(yè)網(wǎng)絡(luò)安全建設(shè)而言，普遍存在著缺乏整體安全設(shè)計與規(guī)劃的現(xiàn)狀，使整個網(wǎng)絡(luò)系統(tǒng)成為了若干個安全產(chǎn)品的堆砌物，從而使各個產(chǎn)品之間失去了相應(yīng)的聯(lián)動，不僅在很大程度上降低了網(wǎng)絡(luò)的運營效率，還增加了網(wǎng)絡(luò)的復(fù)雜程度與維護難度。

1.4系統(tǒng)策略配置有待加強

在信息網(wǎng)絡(luò)中使用的操作系統(tǒng)大都含有相應(yīng)的安全機制、用戶與目錄權(quán)限設(shè)置以及適當?shù)陌踩呗韵到y(tǒng)等，但在實際的網(wǎng)絡(luò)安裝調(diào)試過程中，往往只使用最寬松的配置，然而對于安全保密來說卻恰恰相反，要想確保系統(tǒng)的安全，必須遵循最小化原則，沒有必要的策略在網(wǎng)絡(luò)中一律不配置，即使有必要的，也應(yīng)對其進行嚴格限制。

1.5缺乏相應(yīng)的安全管理機制

對于一個好的電力企業(yè)網(wǎng)絡(luò)信息系統(tǒng)而言，安全與管理始終是分不開的。如果只有好的安全設(shè)備與系統(tǒng)而沒有完善的安全管理體系來確保安全管理方法的順利實施，很難實現(xiàn)電力企業(yè)網(wǎng)絡(luò)信息系統(tǒng)的安全運營。對于安全管理工作而言，其目的就是確保網(wǎng)絡(luò)的安全穩(wěn)定運行，并且其自身應(yīng)該具有良好的自我修復(fù)性，一旦發(fā)生黑客事件，能夠在最大程度上挽回損失。因此，在現(xiàn)階段的企業(yè)網(wǎng)絡(luò)安全建設(shè)工作過程中，應(yīng)當制訂出完善的安全檢測、人員管理、口令管理、策略管理、日志管理等管理方法。

2等級保護要求下電力企業(yè)網(wǎng)絡(luò)安全建設(shè)防護的具體措施

2.1突出保護重點

對于電力企業(yè)而言，其投入到信息網(wǎng)絡(luò)安全上的資源是一定的。從另外一種意義上講，當一些設(shè)備存在相應(yīng)的安全隱患或者發(fā)生破壞之后，其所產(chǎn)生的后果并不嚴重，如果投入和其一樣重要的信息資源來保護它，顯然不滿足科學性的要求。因此，在保護工作過程中，應(yīng)對需要保護的信息資產(chǎn)進行詳細梳理，以企業(yè)的整體利益為出發(fā)點，確定出重要的信息資產(chǎn)或系統(tǒng)，然后將有限的資源投入到對于這些重要信息資源的保護當中，在這些重要信息資源得到有效保護的同時，還可以使工作效率得到很大程度的提高。

2.2貫徹實施3層防護方案

在企業(yè)網(wǎng)絡(luò)安全建設(shè)過程中，應(yīng)充分結(jié)合電力企業(yè)自身網(wǎng)絡(luò)化特點，積極貫徹落實安全域劃分、邊界安全防護、網(wǎng)絡(luò)環(huán)境安全防護的3層防護設(shè)計方案。在安全防護框架的基礎(chǔ)上，實行分級、分域與分層防護的總體策略，以充分實現(xiàn)國家等級防護的基本要求。

(1)分區(qū)分域。統(tǒng)一對直屬單位的安全域進行劃分，以充分實現(xiàn)對于不同安全等級、不同業(yè)務(wù)類型的獨立化與差異化防護。

(2)等級防護。遵循“二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)獨立成域”的劃分原則，并根據(jù)信息系統(tǒng)的定級情況，進行等級安全防護策略的具體設(shè)計。

(3)多層防護。在此項工作的開展過程中，應(yīng)從邊界、網(wǎng)絡(luò)環(huán)境等多個方面進行安全防護策略的設(shè)計工作。

2.3加強安全域劃分

安全域是指在同一環(huán)境內(nèi)具有一致安全防護需求、相互信任且具有相同安全訪問控制與邊界控制的系統(tǒng)。加強對于安全域的劃分，可以實現(xiàn)以下目標：

(1)實現(xiàn)對復(fù)雜問題的分解。對于信息系統(tǒng)的安全域劃分而言，其目的是將一個復(fù)雜的安全問題分解成一定數(shù)量小區(qū)域的安全防護問題。安全區(qū)域劃分可以有效實現(xiàn)對于復(fù)雜系統(tǒng)的安全等級防護，是實現(xiàn)重點防護、分級防護的戰(zhàn)略防御理念。

(2)實現(xiàn)對于不同系統(tǒng)的差異防護。基礎(chǔ)網(wǎng)絡(luò)服務(wù)、業(yè)務(wù)應(yīng)用、日常辦公終端之間都存在著一定的差異，并且能夠根據(jù)不同的安全防護需求，實現(xiàn)對于不同特性系統(tǒng)的歸類劃分，從而明確各域邊界，對相應(yīng)的防護措施進行分別考慮。

(3)有效防止安全問題的擴散。進行安全區(qū)域劃分，可以將其安全問題限定在其所在的安全域內(nèi)，從而有效阻止其向其他安全域的擴散。在此項工作的開展過程中，還應(yīng)充分遵循區(qū)域劃分的原則，將直屬單位的網(wǎng)絡(luò)系統(tǒng)統(tǒng)一劃分為相應(yīng)的二級服務(wù)器域與桌面終端域，并對其分別進行安全防護管理。在二級系統(tǒng)服務(wù)器域與桌面域間，采取橫向域間的安全防護措施，以實現(xiàn)域間的安全防護。

2.4加強對于網(wǎng)絡(luò)邊界安全的防護

對于電力企業(yè)的網(wǎng)絡(luò)邊界安全防護工作而言，其目的是使邊界避免來自外部的攻擊，并有效防止內(nèi)部人員對外界進行攻擊。在安全事件發(fā)生之前，能夠通過對安全日志與入侵事件的分析，來發(fā)現(xiàn)攻擊企圖，在事件發(fā)生之后可以通過對入侵事件記錄的分析來進行相應(yīng)的審查追蹤。

(1)加強對于縱向邊界的防護。在網(wǎng)絡(luò)出口與上級單位連接處設(shè)立防火墻，以實現(xiàn)對于網(wǎng)絡(luò)邊界安全的防護。

(2)加強對于域間橫向邊界的防護。此項防護是針對各安全區(qū)域通信數(shù)據(jù)流傳輸保護所制定出的安全防護措施。在該項工作的開展過程中，應(yīng)根據(jù)網(wǎng)絡(luò)邊界的數(shù)據(jù)流制定出相應(yīng)的訪問控制矩陣，并依此在邊界網(wǎng)絡(luò)訪問控制設(shè)備上設(shè)定相應(yīng)的訪問控制規(guī)則。

2.5加強對于網(wǎng)絡(luò)環(huán)境的安全防護

(1)加強邊界入侵檢測。以網(wǎng)絡(luò)嗅探的方式可以截獲通過網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包，并通過相應(yīng)的特征分析、異常統(tǒng)計分析等方法，及時發(fā)現(xiàn)并處理網(wǎng)絡(luò)攻擊與異常安全事件。在此過程中，設(shè)置相應(yīng)的入侵檢測系統(tǒng)，能夠及時發(fā)現(xiàn)病毒、蠕蟲、惡意代碼攻擊等威脅，能夠有效提高處理安全問題的效率，從而為安全問題的取證提供有力依據(jù)。

(2)強化網(wǎng)絡(luò)設(shè)備安全加固。安全加固是指在確保業(yè)務(wù)處理正常進行的情況下，對初始配置進行相應(yīng)的優(yōu)化，從而提高網(wǎng)絡(luò)系統(tǒng)的自身抗攻擊性。因此，在經(jīng)過相應(yīng)的安全評估之后，應(yīng)及時發(fā)現(xiàn)其中隱藏的安全問題，對重要的網(wǎng)絡(luò)設(shè)備進行必要的安全加固。

(3)強化日志審計配置。在此項工作的開展過程中，應(yīng)根據(jù)國家二級等級保護要求，對服務(wù)器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備等開啟審計功能，并對這些設(shè)備進行日志的集中搜索，對事件進行定期分析，以有效實現(xiàn)對于信息系統(tǒng)、安全設(shè)備、網(wǎng)絡(luò)設(shè)備的日志記錄與分析工作。

結(jié)語

綜上所述，對于現(xiàn)階段電力企業(yè)信息網(wǎng)絡(luò)而言，網(wǎng)絡(luò)安全建設(shè)是一個綜合性的課題，涉及到技術(shù)、使用、管理等許多方面，并受到諸多因素的影響。在電力企業(yè)網(wǎng)絡(luò)安全建設(shè)過程中，應(yīng)加強對于安全防護管理體系的完善與創(chuàng)新，以嚴格的管理制度與高素質(zhì)管理人才，實現(xiàn)對于信息系統(tǒng)的精細化、準確化管理，從而切實促進企業(yè)網(wǎng)絡(luò)安全建設(shè)的健康、穩(wěn)步發(fā)展。

參考文獻：

[1]張蓓，馮梅，靖小偉，劉明新.基于安全域的企業(yè)網(wǎng)絡(luò)安全防護體系研究[J].計算機安全,2010(4).

第7篇：網(wǎng)絡(luò)安全等級保護評估范文

“2009年，我上任后第一次訪問深圳工廠，當時工廠還只能生產(chǎn)小功率UPS?！币令D電氣集團亞太區(qū)高級副總裁、電能質(zhì)量業(yè)務(wù)總經(jīng)理羅世光回憶說，“但是現(xiàn)在，10kW~1000kW的UPS都已經(jīng)可以在中國本地進行生產(chǎn)。”

中國和亞太地區(qū)是伊頓在全球范圍內(nèi)具有戰(zhàn)略意義的市場。羅世光相信，中國數(shù)據(jù)中心市場的快速增長將給伊頓的電能質(zhì)量業(yè)務(wù)帶來更大的增長機會。因此，在2014年，伊頓將加強與商的合作，拓展分銷渠道，進一步推進與本土市場的全面融合，同時加大對本土產(chǎn)品研發(fā)和檢測的能力，提供更多符合中國客戶需求的高效節(jié)能的電能質(zhì)量解決方案。

深圳是伊頓面向全球的研發(fā)和生產(chǎn)基地。三家位于深圳的工廠擁有5000多名員工、29條先進的自動化生產(chǎn)線，年產(chǎn)UPS達到800萬臺。伊頓在深圳設(shè)立的研發(fā)中心也是其全球三大電氣研發(fā)基地之一，產(chǎn)品研發(fā)和測試工程師超過1000人。

剛啟用的伊頓在深圳的亞太區(qū)電能質(zhì)量產(chǎn)品和系統(tǒng)檢測中心，是除美國、芬蘭之外，伊頓在全球擁有的第三個產(chǎn)品和系統(tǒng)檢測中心?！霸摍z測中心同時也是客戶體驗中心，配備了全球領(lǐng)先的檢測設(shè)備和技術(shù)，不僅能夠檢測單體設(shè)備，還能對包括UPS、電源分配單元（PDU）、AMS監(jiān)測系統(tǒng)和第三方設(shè)備的整個電能系統(tǒng)解決方案進行測試，其最大測試能力是可對兩臺并聯(lián)的1100kW的UPS進行測試?！绷_世光介紹說，“客戶在選擇一款定制的電能解決方案后，即可在檢測中心看到其運行的全過程，通過親身體驗增進對產(chǎn)品的了解和信心。”

“過去3~4年中，我們在中國市場的總投入已經(jīng)超過1200萬美元。我們?nèi)栽诔掷m(xù)加強中國本地化，并從去年底開始進一步提升了針對中國用戶的售前和售后服務(wù)能力?！绷_世光告訴記者，“目前，我們90%的UPS都在深圳研發(fā)和生產(chǎn)。最近，深圳研發(fā)中心剛剛研制出一款新的UPS產(chǎn)品。與許多跨國企業(yè)采取的遠程遙控式的本地研發(fā)策略相比，我們是實實在在地將研發(fā)部門落戶在深圳，為亞太和中國市場提供本地化服務(wù)的同時也面向全球客戶。”

云計算與大數(shù)據(jù)的發(fā)展推動了大型數(shù)據(jù)中心的快速發(fā)展，用戶對數(shù)據(jù)中心整體解決方案和定制化解決方案的需求也與日俱增?！皬?010年開始，伊頓增加了為中國客戶定制數(shù)據(jù)中心解決方案的服務(wù)。在今年的商大會上，我看到了商和用戶的積極反饋?！绷_世光表示。

針對小型數(shù)據(jù)中心，伊頓可以提供模塊化、標準化的解決方案；針對中型數(shù)據(jù)中心，伊頓可以針對不同行業(yè)客戶的需求，提供有差異化的解決方案；針對大型數(shù)據(jù)中心，伊頓可以提供按需擴展的高能效、低整體擁有成本的解決方案。從產(chǎn)品到系統(tǒng)再到整體解決方案，這不僅對伊頓是一個新的挑戰(zhàn)，對其商來說也要經(jīng)歷一個大的轉(zhuǎn)變。

為了迅速提升商銷售解決方案的能力，伊頓一方面不斷更新其數(shù)據(jù)中心整體解決方案，另一方面加強對商的銷售培訓(xùn)，實現(xiàn)信息共享。羅世光表示：“我們提供的定制化解決方案一方面要滿足用戶的個性化需求，另一方面還要保持開放性。我們將為用戶提供解決方案與服務(wù)打包的一體化解決方案?！?/p>

第三屆全國等級保護技術(shù)大會征文通知

為深入貫徹落實國家關(guān)于大力推進信息化發(fā)展和切實保障信息安全的文件精神，進一步推進信息安全等級保護技術(shù)交流，經(jīng)公安主管部門同意，公安部第一研究所擬于2014年7月舉辦第三屆全國信息安全等級保護技術(shù)大會（ICSP’2014）。

會議擬請公安、工業(yè)和信息化、國家保密、國家密碼管理主管部門、中國科學院、國家網(wǎng)絡(luò)與信息安全信息通報中心等部門擔任指導(dǎo)單位，同時將出版論文集，經(jīng)專家評選的部分優(yōu)秀論文，將推薦至國家核心期刊發(fā)表。現(xiàn)就會議征文的有關(guān)情況通知如下：

一、征文范圍

1. 新技術(shù)應(yīng)用環(huán)境下信息安全等級保護技術(shù)：物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、工控系統(tǒng)、移動接入網(wǎng)、下一代互聯(lián)網(wǎng)（IPv6）等新技術(shù)、環(huán)境下的等級保護支撐技術(shù)，等級保護技術(shù)體系在新環(huán)境下的應(yīng)用方法；

2. 關(guān)鍵基礎(chǔ)設(shè)施信息安全保護技術(shù)：政府部門及金融、交通、電力、能源、通信、制造等重要行業(yè)網(wǎng)站、核心業(yè)務(wù)信息系統(tǒng)等安全威脅、隱患分析及防范措施；

3. 國內(nèi)外信息安全管理政策與策略：信息安全管理政策和策略研究，信息安全管理體制和機制特點，信息安全管理標準發(fā)展對策，網(wǎng)絡(luò)恐怖的特點、趨勢、危害研究；

4. 信息安全預(yù)警與突發(fā)事件應(yīng)急處置技術(shù)：攻擊監(jiān)測技術(shù)，態(tài)勢感知預(yù)警技術(shù)，安全監(jiān)測技術(shù)，安全事件響應(yīng)技術(shù)，應(yīng)急處置技術(shù)，災(zāi)難備份技術(shù)，恢復(fù)和跟蹤技術(shù)，風險評估技術(shù)；

5. 信息安全等級保護建設(shè)技術(shù)：密碼技術(shù)，可信計算技術(shù)，網(wǎng)絡(luò)實名制等體系模型與構(gòu)建技術(shù)，漏洞檢測技術(shù)，網(wǎng)絡(luò)監(jiān)測與監(jiān)管技術(shù)，網(wǎng)絡(luò)身份認證技術(shù)，網(wǎng)絡(luò)攻防技術(shù)，軟件安全技術(shù)，信任體系研究；

6. 信息安全等級保護監(jiān)管技術(shù)：用于支撐安全監(jiān)測的數(shù)據(jù)采集、挖掘與分析技術(shù)，用于支撐安全監(jiān)管的敏感數(shù)據(jù)發(fā)現(xiàn)與保護技術(shù)，安全態(tài)勢評估技術(shù)，安全事件關(guān)聯(lián)分析技術(shù)、安全績效評估技術(shù)，電子數(shù)據(jù)取證和鑒定技術(shù)；

7. 信息安全等級保護測評技術(shù)：標準符合性檢驗技術(shù)，安全基準驗證技術(shù)，源代碼安全分析技術(shù)，逆向工程剖析技術(shù)，滲透測試技術(shù)，測評工具和測評方法；

8. 信息安全等級保護策略與機制：網(wǎng)絡(luò)安全綜合防控體系建設(shè)，重要信息系統(tǒng)的安全威脅與脆弱性分析，縱深防御策略，大數(shù)據(jù)安全保護策略，信息安全保障工作評價機制、應(yīng)急響應(yīng)機制、安全監(jiān)測預(yù)警機制。

二、投稿要求

1. 來稿內(nèi)容應(yīng)屬于作者的科研成果，數(shù)據(jù)真實、可靠，未公開發(fā)表過，引用他人成果已注明出處，署名無爭議，論文摘要及全文不涉及保密內(nèi)容；

2. 會議只接受以Word排版的電子稿件，稿件一般不超過5000字；

3. 稿件以Email方式發(fā)送到征稿郵箱；

4. 凡投稿文章被錄用且未作特殊聲明者，視為已同意授權(quán)出版；

5. 提交截止日期： 2014年5月25日。

三、聯(lián)系方式

通信地址：北京市海淀區(qū)首都體育館南路1號

郵編：100048

Email：.cn

聯(lián)系人： 范博、王晨

聯(lián)系電話：010-68773930，

13717905088，13581879819

第8篇：網(wǎng)絡(luò)安全等級保護評估范文

理解CISP知識體系

CISP的核心在于將保障貫穿于整個知識體系。保障應(yīng)覆蓋整個信息系統(tǒng)生命周期，通過技術(shù)、管理、工程過程和人員，確保每個階段的安全屬性（保密性、完整性和可用性）得到有效控制，使組織業(yè)務(wù)持續(xù)運行。IT作為保障業(yè)務(wù)的重要手段和工具成為傳統(tǒng)保障目的的核心。由于風險會影響業(yè)務(wù)的正常運行，因此，降低風險對業(yè)務(wù)的影響是保障的主要目標（如圖）。在建立保障論據(jù)的過程中，首先應(yīng)該考慮的是組織業(yè)務(wù)對IT的依賴程度；其次要考慮風險的客觀性；第三要考慮風險消減手段的可執(zhí)行度。CISP從體系結(jié)構(gòu)上提供了信息安全規(guī)劃設(shè)計的良好思路和方法論，在整個課程體系中涵蓋了從政策（戰(zhàn)略層）到模型、標準、基線（戰(zhàn)術(shù)層）的縱向線條，同時在兼顧中國國情的情況下，系統(tǒng)介紹國際常用評估標準、管理標準和國家相關(guān)信息安全標準與政策。

根據(jù)CISP知識體系建立安全規(guī)劃設(shè)計

安全規(guī)劃是信息安全生命周期管理的起點和基礎(chǔ)，良好的規(guī)劃設(shè)計可以為組織帶來正確的指導(dǎo)和方向。根據(jù)國家《網(wǎng)絡(luò)安全法》“第三十三條建設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當確保其具有支持業(yè)務(wù)穩(wěn)定、持續(xù)運行的性能，并保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用?！?/p>

1.通過保障的思想建立安全規(guī)劃背景

信息安全規(guī)劃設(shè)計可以根據(jù)美國信息保障技術(shù)框架（IATF）ISSE過程建立需求，本階段可對應(yīng)ISSE中發(fā)掘信息保護需求階段。根據(jù)“信息安全保障基本內(nèi)容”確定安全需求，安全需求源于業(yè)務(wù)需求，通過風險評估，在符合現(xiàn)有政策法規(guī)的情況下，建立基于風險與策略的基本方針。因此，安全規(guī)劃首先要熟悉并了解組織的業(yè)務(wù)特性，在信息安全規(guī)劃背景設(shè)計中，應(yīng)描述規(guī)劃對象的業(yè)務(wù)特性、業(yè)務(wù)類型、業(yè)務(wù)范圍以及業(yè)務(wù)狀態(tài)等相關(guān)信息，并根據(jù)組織結(jié)構(gòu)選擇適用的安全標準，例如國家關(guān)鍵基礎(chǔ)設(shè)施的信息安全需要建立在信息安全等級保護基礎(chǔ)之上、第三方支付機構(gòu)可選CISP知識域簡圖擇PCI-DSS作為可依據(jù)的準則等。信息系統(tǒng)保護輪廓（ISPP）是根據(jù)組織機構(gòu)使命和所處的運行環(huán)境，從組織機構(gòu)的策略和風險的實際情況出發(fā)，對具體信息系統(tǒng)安全保障需求和能力進行具體描述。傳統(tǒng)的風險評估可以基于GB/T20984《信息安全風險評估規(guī)范》執(zhí)行具體的評估，評估分為技術(shù)評估與管理評估兩部分。從可遵循的標準來看，技術(shù)評估通過GB/T22240—2008《信息安全等級保護技術(shù)要求》中物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全及數(shù)據(jù)安全五個層面進行評估；管理安全可以選擇ISO/IEC27001：2013《信息技術(shù)信息安全管理體系要求》進行，該標準所包含的14個控制類113個控制點充分體現(xiàn)組織所涉及的管理風險。在工作中，可以根據(jù)信息系統(tǒng)安全目標來規(guī)范制定安全方案。信息系統(tǒng)安全目標是根據(jù)信息系統(tǒng)保護輪廓編制、從信息系統(tǒng)安全保障的建設(shè)方（廠商）角度制定的信息系統(tǒng)安全保障方案。根據(jù)組織的安全目標設(shè)計建設(shè)目標，由于信息技術(shù)的飛速發(fā)展以及組織業(yè)務(wù)的高速變化，一般建議建設(shè)目標以1-3年為宜，充分體現(xiàn)信息安全規(guī)劃設(shè)計的可實施性，包括可接受的成本、合理的進度、技術(shù)可實現(xiàn)性，以及組織管理和文化的可接受性等因素。

2.信息系統(tǒng)安全保障評估框架下的概要設(shè)計

概要設(shè)計的主要任務(wù)是把背景建立階段中所獲得的需求通過頂層設(shè)計進行描述。本階段可對應(yīng)ISSE中定義信息保護系統(tǒng)，通過概要設(shè)計將安全規(guī)劃設(shè)計基于GB/T20274-1：2006《信息安全技術(shù)信息系統(tǒng)安全保障評估框架第一部分：簡介和一般模型》進行模塊化劃分，并且描述安全規(guī)劃設(shè)計的組織高層愿景與設(shè)計內(nèi)涵；在概要設(shè)計中，還應(yīng)該描述每個模塊的概要描述與設(shè)計原則。設(shè)計思路是從宏觀上描述信息安全規(guī)劃設(shè)計的目的、意義以及最終目標并選擇適用的模型建立設(shè)計原則。本部分主要體現(xiàn)信息安全保障中信息系統(tǒng)安全概念和關(guān)系。根據(jù)《網(wǎng)絡(luò)安全法》相關(guān)規(guī)定，頂層設(shè)計可以建立在信息安全等級保護的基礎(chǔ)上，綜合考慮諸如建立安全管理組織、完善預(yù)警與應(yīng)急響應(yīng)機制、確保業(yè)務(wù)連續(xù)性計劃等方面GB/T20274-1：2006《信息安全技術(shù)信息系統(tǒng)安全保障評估框架第一部分：簡介和一般模型》提供了一個優(yōu)秀的保障體系框架。該標準給出了信息系統(tǒng)安全保障的基本概念和模型，并建立了信息系統(tǒng)安全保障框架。該標準詳細給出了信息系統(tǒng)安全保障的一般模型，包括安全保障上下文、信息系統(tǒng)安全保障評估、信息系統(tǒng)保護輪廓和信息系統(tǒng)安全目標的生成、信息系統(tǒng)安全保障描述材料；信息系統(tǒng)安全保障評估和評估結(jié)果，包括信息系統(tǒng)保護輪廓和信息系統(tǒng)安全目標的要求、評估對象的要求、評估結(jié)果的聲明等。信息系統(tǒng)安全保障是在信息系統(tǒng)的整個生命周期中，通過對信息系統(tǒng)的風險分析，制定并執(zhí)行相應(yīng)的安全保障策略，從技術(shù)、管理、工程和人員等方面提出安全保障要求，確保信息系統(tǒng)的保密性、完整性和可用性，降低安全風險到可接受的程度，從而保障系統(tǒng)實現(xiàn)組織機構(gòu)的使命。策略體現(xiàn)的是組織的高層意旨，模型與措施作為戰(zhàn)術(shù)指標分別為中層和執(zhí)行層提供具體的工作思路和方法，以完成設(shè)計的具體實現(xiàn)。當信息安全滿足所定義的基本要素后，為每個層面的設(shè)計提出概要目標，并在具體的設(shè)計中將其覆蓋整個安全規(guī)劃中。

3.實現(xiàn)建立在宏觀角度的合規(guī)性通用設(shè)計

通用設(shè)計可對應(yīng)ISSE中設(shè)計系統(tǒng)體系結(jié)構(gòu)，本階段是整個安全規(guī)劃設(shè)計的核心部分，本階段必須全面覆蓋背景建立階段所獲得的安全需求，滿足概要設(shè)計階段所選擇的模型與方法論，全面、系統(tǒng)的描述安全目標的具體實現(xiàn)。通用安全設(shè)計是建立在宏觀角度上的綜合性設(shè)計，設(shè)計首先將各個系統(tǒng)所產(chǎn)生的共同問題及宏觀問題統(tǒng)一解決，有效降低在安全建設(shè)中的重復(fù)建設(shè)和管理真空問題。在通用設(shè)計中，重點針對組織信息安全管理體系和風險管理過程的控制元素，從系統(tǒng)生命周期考慮信息安全問題。（1）管理設(shè)計在信息安全管理體系ISMS過程方法論中，可遵循的過程方法是PDCA四個階段：首先，需要在P階段解決信息系統(tǒng)安全的目標、范圍的確認，并且獲得高層的支持與承諾。安全管理的實質(zhì)就是風險管理，管理設(shè)計應(yīng)緊緊圍繞風險建立，所以，本階段首要的任務(wù)是為組織建立適用的風險評估方法論。其次，管理評估中所識別的不可接受風險是本階段主要設(shè)計依據(jù)。通過D環(huán)節(jié)，需要解決風險評估的具體實施以及風險控制措施落實，風險評估僅能解決當前狀態(tài)下的安全風險問題，因此，必須建立風險管理實施規(guī)范，當組織在一定周期（例如1年）或者組織發(fā)生重大變更時重新執(zhí)行風險評估，風險評估可以是自評估，也可以委托第三方進行。本環(huán)節(jié)的設(shè)計必須涵蓋管理風險中所有不可接受風險的具體處置，從實現(xiàn)而言，重點關(guān)注管理機構(gòu)的設(shè)置與體系文件的建立和落實。第三個環(huán)節(jié)是建立有效的內(nèi)審機制和監(jiān)測機制，沒有檢測就沒有改進，通過設(shè)計審計體系完成對信息安全管理體系的動態(tài)運行。第四個環(huán)節(jié)，即A環(huán)節(jié)，是在完成審計之后針對組織是否有效執(zhí)行糾正措施的落實設(shè)計審計跟蹤和風險再評估過程。A環(huán)節(jié)既是信息安全管理體系的最后一個環(huán)節(jié)，也是新的PDCA過程的推動力。（2）技術(shù)設(shè)計技術(shù)設(shè)計主要是建立在組織平均安全水平基礎(chǔ)上，應(yīng)可適用于組織所有的系統(tǒng)和通用的技術(shù)風險。設(shè)計可遵循多種技術(shù)標準體系，首先建立基于信息安全等級保護的五個層面技術(shù)設(shè)計要求。通過美國信息保障技術(shù)框架建立“縱深防御”原則，其具體涉及在訪問控制技術(shù)和密碼學技術(shù)支撐下的物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全。技術(shù)設(shè)計可在原有的技術(shù)框架下建立云安全、大數(shù)據(jù)安全等專項技術(shù)安全設(shè)計，也可在網(wǎng)絡(luò)安全中增加虛擬網(wǎng)絡(luò)安全設(shè)計等方式，應(yīng)對新技術(shù)領(lǐng)域的安全設(shè)計。技術(shù)設(shè)計可以包括兩個主要手段：第一，技術(shù)配置。技術(shù)配置是在現(xiàn)有的技術(shù)能力下通過基于業(yè)務(wù)的安全策略和合規(guī)性基線進行安全配置。常見的手段包括補丁的修訂、安全域的劃分與ACL的設(shè)計、基于基線的系統(tǒng)配置等手段；第二，技術(shù)產(chǎn)品。技術(shù)產(chǎn)品是在現(xiàn)有產(chǎn)品不能滿足控制能力時通過添加新的安全產(chǎn)品結(jié)合原有的控制措施和產(chǎn)品統(tǒng)一部署、統(tǒng)一管理。在技術(shù)設(shè)計中，必須明確的原則是產(chǎn)品不是安全的唯一，產(chǎn)品也不是解決安全問題的靈丹妙藥，有效的安全控制是通過對產(chǎn)品的綜合使用和與管理、流程、人員能力相互結(jié)合，最終形成最佳的使用效果。（3）工程過程設(shè)計工程過程設(shè)計重點考慮基于生命周期每個階段的基于安全工程考慮的流程問題，在信息系統(tǒng)生命周期的五個層面。信息安全問題應(yīng)該從計劃組織階段開始重視，在信息系統(tǒng)生命周期每個階段建立有效的安全控制和管理。工程過程包括計劃組織、開發(fā)采購、實施交付、運行維護和廢棄五個階段，本階段的設(shè)計主要通過在每個階段建立相應(yīng)的流程，通過流程設(shè)計控制生命周期各個階段的安全風險。在計劃組織（需求分析）階段，體現(xiàn)信息安全工程中明確指出的系統(tǒng)建設(shè)與安全建設(shè)應(yīng)“同步規(guī)劃、同步實施”，體現(xiàn)《網(wǎng)絡(luò)安全法》中“三同步”的要求。在開發(fā)采購階段，通過流程設(shè)計實現(xiàn)軟件安全開發(fā)的實現(xiàn)和實現(xiàn)供應(yīng)鏈管理。實施交付階段，關(guān)注安全交付問題，應(yīng)設(shè)計安全交付流程和安全驗收流程。運行維護階段要體現(xiàn)安全運維與傳統(tǒng)運維差異化，安全運維起于風險評估，應(yīng)更多關(guān)注預(yù)防事件的發(fā)生，事前安全檢查的基線設(shè)計、檢查手段及工具的選擇和使用根據(jù)設(shè)備的不同重要程度建立不同的檢查周期；當系統(tǒng)產(chǎn)生缺陷或者漏洞時，設(shè)計合理的配置管理、變更管理及補丁管理等流程解決事中問題；當事件已經(jīng)產(chǎn)生影響時，可以通過預(yù)定義的應(yīng)急響應(yīng)機制抑制事件并處置事件；當事件造成系統(tǒng)中斷、數(shù)據(jù)丟失以及其他影響業(yè)務(wù)連續(xù)性后果時，能夠通過規(guī)劃中的災(zāi)難恢復(fù)及時恢復(fù)業(yè)務(wù)。廢棄階段通過流程控制用戶系統(tǒng)在下線、遷移、更新過程中對包含有組織敏感信息的存儲介質(zhì)建立保護流程和方法，明確廢棄過程中形成的信息保護責任制，并根據(jù)不同的敏感采取不同的管理手段和技術(shù)手段對剩余信息進行有效處置。（4）人員設(shè)計人員安全是信息安全領(lǐng)域不可或缺的層面，長期以來，過于關(guān)注IT技術(shù)的規(guī)劃設(shè)計而忽略了人的安全問題，內(nèi)部人員安全問題構(gòu)成了組織安全的重要隱患，人為的無意失誤造成的損害往往遠大于人為的惡意行為。人員設(shè)計重點關(guān)注人員崗位、技術(shù)要求、背景以及培訓(xùn)與教育，充分體現(xiàn)最小特權(quán)、職責分離及問責制等原則。根據(jù)《網(wǎng)絡(luò)安全法》第四章要求，關(guān)鍵基礎(chǔ)設(shè)施應(yīng)建立信息安全管理機構(gòu)，并設(shè)置信息安全專職人員。在人員設(shè)計中還應(yīng)充分考慮到第三方代維人員的管理及供應(yīng)商管理等新問題的產(chǎn)生。

4.構(gòu)建等級化保護的層面間設(shè)計

第9篇：網(wǎng)絡(luò)安全等級保護評估范文

關(guān)鍵詞：證券行業(yè)信息安全網(wǎng)絡(luò)安全體系

近年來，我國資本市場發(fā)展迅速，市場規(guī)模不斷擴大，社會影響力不斷增強．成為國民經(jīng)濟巾的重要組成部分，也成為老百姓重要的投資理財渠道。資本市場的穩(wěn)定健康發(fā)展，關(guān)系著億萬投資者的切身利益，關(guān)系著社會穩(wěn)定和國家金融安全的大局。證券行業(yè)作為金融服務(wù)業(yè)，高度依賴信息技術(shù)，而信息安全是維護資本市場穩(wěn)定的前提和基礎(chǔ)。沒有信息安全就沒有資本市場的穩(wěn)定。

目前．國內(nèi)外網(wǎng)絡(luò)信息安全問題日益突出。從資本市場看，近年來，隨著市場快速發(fā)展，改革創(chuàng)新深入推進，市場交易模式日趨集巾化，業(yè)務(wù)處理邏輯日益復(fù)雜化，網(wǎng)絡(luò)安全事件、公共安全事件以及水災(zāi)冰災(zāi)、震災(zāi)等自然災(zāi)害都對行業(yè)信息系統(tǒng)的連續(xù)、穩(wěn)定運行帶來新的挑戰(zhàn)。資本市場交易實時性和整體性強，交易時問內(nèi)一刻也不能中斷。加強信息安全應(yīng)急丁作，積極采取預(yù)防、預(yù)警措施，快速、穩(wěn)妥地處置信息安全事件，盡力減少事故損失，全力維護交易正常，對于資本市場來說至關(guān)重要。

1證券行業(yè)倍息安全現(xiàn)狀和存在的問題

1．1行業(yè)信息安全法規(guī)和標準體系方面

健全的信息安全法律法規(guī)和標準體系是確保證券行業(yè)信息安全的基礎(chǔ)。是信息安全的第一道防線。為促進證券市場的平穩(wěn)運行，中國證監(jiān)會自1998年先后了一系列信息安全法規(guī)和技術(shù)標準。其中包括2個信息技術(shù)管理規(guī)范、2個信息安全等級保護通知、1個信息安全保障辦法、1個信息通報方法和10個行業(yè)技術(shù)標準。行業(yè)信息安全法規(guī)和標準體系的初步形成，推動了行業(yè)信息化建設(shè)和信息安全工作向規(guī)范化、標準化邁進。

雖然我國涉及信息安全的規(guī)范性文件眾多，但在現(xiàn)行的法律法規(guī)中。立法主體較多，法律法規(guī)體系龐雜而缺乏統(tǒng)籌規(guī)劃。面對新形勢下信息安全保障工作的發(fā)展需要，行業(yè)信息安全工作在政策法規(guī)和標準體系方面的問題也逐漸顯現(xiàn)。一是法規(guī)和標準建設(shè)滯后，缺乏總體規(guī)劃；二是規(guī)范和標準互通性和協(xié)調(diào)性不強，部分規(guī)范和標準的可執(zhí)行性差；三是部分規(guī)范和標準已不適應(yīng)，無法應(yīng)對某些新型信息安全的威脅；四是部分信息安全規(guī)范和標準在行業(yè)內(nèi)難以得到落實。

1．2組織體系與信息安全保障管理模型方面

任何安全管理措施或技術(shù)手段都離不開人員的組織和實施，組織體系是信息安全保障工作的核心。目前，證券行業(yè)采用“統(tǒng)一組織、分工有序”的信息安全工作體系，分為決策層、管理層、執(zhí)行層。

為加強證券期貨業(yè)信息安全保障工作的組織協(xié)調(diào)，建立健全信息安全管理制度和運行機制，切實提高行業(yè)信息安全保障工作水平，根據(jù)證監(jiān)會頒布的《證券期貨業(yè)信息安全保障管理暫行辦法》，參照ISO／IEC27001：2005，提出證券期貨業(yè)信息安全保障管理體系框架。該體系框架采用立方體架構(gòu)．頂面是信息安全保障的7個目標(機密性、完整性、可用性、真實性、可審計性、抗抵賴性、可靠性)，正面是行業(yè)組織結(jié)構(gòu)．側(cè)面是各個機構(gòu)為實現(xiàn)信息安全保障目標所采取的措施和方式。

1．3IT治理方面

整個證券業(yè)處于高度信息化的背景下，IT治理已直接影響到行業(yè)各公司實現(xiàn)戰(zhàn)略目標的可能性，良好的IT治理有助于增強公司靈活性和創(chuàng)新能力，規(guī)避IT風險。通過建立IT治理機制，可以幫助最高管理層發(fā)現(xiàn)信息技術(shù)本身的問題。幫助管理者處理IT問題，自我評估IT管理效果．可以加強對信息化項目的有效管理，保證信息化項目建設(shè)的質(zhì)量和應(yīng)用效果，使有限的投入取得更大的績效。

2003年lT治理理念引入到我國證券行業(yè)，當前我國證券業(yè)企業(yè)的IT治理存在的問題：一是IT資源在公司的戰(zhàn)略資產(chǎn)中的地位受到高層重視，但具體情況不清楚；二是IT治理缺乏明確的概念描述和參數(shù)指標；是lT治理的責任與職能不清晰。

1．4網(wǎng)絡(luò)安全和數(shù)據(jù)安全方面

隨著互聯(lián)網(wǎng)的普及以及網(wǎng)上交易系統(tǒng)功能的不斷豐富、完善和使用的便利性，網(wǎng)上交易正逐漸成為證券投資者交易的主流模式。據(jù)統(tǒng)計，2008年我同證券網(wǎng)上交易量比重已超過總交易量的80％。雖然交易系統(tǒng)與互聯(lián)網(wǎng)的連接，方便了投資者。但由于互聯(lián)網(wǎng)的開放性，來自互聯(lián)網(wǎng)上的病毒、小馬、黑客攻擊以及計算機威脅事件，都時刻威脅著行業(yè)的信息系統(tǒng)安全，成為制約行業(yè)平穩(wěn)、安全發(fā)展的障礙。此，維護網(wǎng)絡(luò)和數(shù)據(jù)安全成為行業(yè)信息安全保障工作的重要組成部分。近年來，證券行業(yè)各機構(gòu)采取了一系列措施，建立了相對安全的網(wǎng)絡(luò)安全防護體系和災(zāi)舴備份系統(tǒng)，基木保障了信息系統(tǒng)的安全運行。但細追究起來，我國證券行業(yè)的網(wǎng)絡(luò)安全防護體系及災(zāi)備系統(tǒng)建設(shè)還不夠完善，還存存以下幾方面的問題：一是網(wǎng)絡(luò)安全防護體系缺乏統(tǒng)一的規(guī)劃；二是網(wǎng)絡(luò)訪問控制措施有待完善；三是網(wǎng)上交易防護能力有待加強；四是對數(shù)據(jù)安全重視不夠，數(shù)據(jù)備份措施有待改進；五是技術(shù)人員的專業(yè)能力和信息安全意識有待提高。

1．5IT人才資源建設(shè)方面

近20年的發(fā)展歷程巾，證券行業(yè)對信息系統(tǒng)日益依賴，行業(yè)IT隊伍此不斷發(fā)展壯大。據(jù)統(tǒng)計，2008年初，在整個證券行業(yè)中，103家證券公司共有IT人員7325人，占證券行業(yè)從業(yè)總?cè)藬?shù)73990人的9．90％，總體上達到了行業(yè)協(xié)會的IT治理工作指引中“IT工作人員總數(shù)原則上應(yīng)不少于公司員工總?cè)藬?shù)的6％”的最低要求。目前，證券行業(yè)的IT隊伍肩負著信息系統(tǒng)安全、平穩(wěn)、高效運行的重任，IT隊伍建設(shè)是行業(yè)信息安全IT作的根本保障。但是，IT人才隊伍依然存在著結(jié)構(gòu)不合理、后續(xù)教育不足等問題，此行業(yè)的人才培養(yǎng)有待加強。

2采取的對策和措施

2．1進一步完善法規(guī)和標準體系

首先，在法規(guī)規(guī)劃上，要統(tǒng)籌兼顧，制定科學的信息技術(shù)規(guī)范和標準體系框架。一是全面做好立法規(guī)劃；二是建立科學的行業(yè)信息安全標準和法規(guī)體系層次。行業(yè)信息安全標準和法規(guī)體系初步劃分為3層：第一層是管理辦法等巾同證監(jiān)會部門規(guī)章；第二層是證監(jiān)會相關(guān)部門制定的管理規(guī)范等規(guī)范性文件；第三層是技術(shù)指引等自律規(guī)則，一般由交易所、行業(yè)協(xié)會在證監(jiān)會總體協(xié)調(diào)下組織制定。其次，在法規(guī)制定上．要兼顧規(guī)范和發(fā)展，重視法規(guī)的可行性。最后，在法規(guī)實施上．要堅持規(guī)范和指引相結(jié)合，重視監(jiān)督檢查和責任落實。

2．2深入開展證券行業(yè)IT治理工作

2．2．1提高IT治理意識

中國證券業(yè)協(xié)會要進一步加強IT治理理念的教育宣傳工作，特別是對會員單位高層領(lǐng)導(dǎo)的IT治理培訓(xùn)，將IT治理的定義、工具、模型等理論知識納入到高管任職資格考試的內(nèi)容之中。通過舉辦論壇、交流會等形式強化證券經(jīng)營機構(gòu)的IT治理意識，提高他們IT治理的積極性。

2．2．2通過設(shè)立IT治理試點形成以點帶面的示范效應(yīng)

根據(jù)IT治理模型的不同特點，建議證券公司在決策層使用CISR模型，通過成立lT治理委員會，建立各部門之間的協(xié)調(diào)配合、監(jiān)督制衡的責權(quán)體系；在執(zhí)行層以COBIT模型、ITFL模型等其他模型為補充，規(guī)范信息技術(shù)部門的各項控制和管理流程。同時，證監(jiān)會指定一批證券公司和基金公司作為lT試點單位，進行IT治理模型選擇、剪裁以及組合的實踐探索，形成一批成功實施IT治理的優(yōu)秀范例，以點帶面地提升全行業(yè)的治理水平。

2．3通過制定行業(yè)標準積極落實信息安全等級保護

行業(yè)監(jiān)管部門在推動行業(yè)信息安全等級保護工作中的作用非常關(guān)鍵．應(yīng)進一步明確監(jiān)管部門推動行業(yè)信息安全等級保護工作的任務(wù)和工作機制，統(tǒng)一部署、組織行業(yè)的等級保護丁作，為該項丁作的順利開展提供組織保證。行業(yè)各機構(gòu)應(yīng)采取自主貫徹信息系統(tǒng)等級保護的行業(yè)要求，對照標準逐條落實。同時，應(yīng)對各單位實施信息系統(tǒng)安全等級保護情況進行測評，在測評環(huán)節(jié)一旦發(fā)現(xiàn)信息系統(tǒng)的不足，被測評單位應(yīng)立即制定相應(yīng)的整改方案并實施．且南相芙的監(jiān)督機構(gòu)進行督促。

2．4加強網(wǎng)絡(luò)安全體系規(guī)劃以提升網(wǎng)絡(luò)安全防護水平

2．4．1以等級保護為依據(jù)進行統(tǒng)籌規(guī)劃

等級保護是圍繞信息安全保障全過程的一項基礎(chǔ)性的管理制度，通過將等級化的方法和安全體系規(guī)劃有效結(jié)合，統(tǒng)籌規(guī)劃證券網(wǎng)絡(luò)安全體系的建設(shè)，建立一套信息安全保障體系，將是系統(tǒng)化地解決證券行業(yè)網(wǎng)絡(luò)安全問題的一個非常有效的方法。

2．4．2通過加強網(wǎng)絡(luò)訪問控制提高網(wǎng)絡(luò)防護能力

對向證券行業(yè)提供設(shè)備、技術(shù)和服務(wù)的IT公司的資質(zhì)和誠信加強管理，確保其符合國家、行業(yè)技術(shù)標準。根據(jù)網(wǎng)絡(luò)隔離要求，要逐步建立業(yè)務(wù)網(wǎng)與辦公網(wǎng)、業(yè)務(wù)網(wǎng)與互聯(lián)網(wǎng)、網(wǎng)上交易各子系統(tǒng)間有效的網(wǎng)絡(luò)隔離。技術(shù)上可以對不同的業(yè)務(wù)安全區(qū)域劃分Vlan或者采用網(wǎng)閘設(shè)備進行隔離；對主要的網(wǎng)絡(luò)邊界和各外部進口進行滲透測試，進行系統(tǒng)和設(shè)備的安全加固．降低系統(tǒng)漏洞帶來的安全風險；在網(wǎng)上交易方面，采取電子簽名或數(shù)字認證等高強度認證方式，加強訪問控制；針對現(xiàn)存惡意攻擊網(wǎng)站的事件越來越多的情況，要采取措施加強網(wǎng)站保護，提高對惡意代碼的防護能力，同時采用技術(shù)手段，提高網(wǎng)上交易客戶端軟件使朋的安全性。

2．4．3提高從業(yè)人員安全意識和專業(yè)水平

目前在證券行業(yè)內(nèi)，從業(yè)人員的網(wǎng)絡(luò)安全意識比較薄弱．必要時可定期對從業(yè)人員進行安全意識考核，從行業(yè)內(nèi)部強化網(wǎng)絡(luò)安全工作。要加強網(wǎng)絡(luò)安全技術(shù)人員的管理能力和專業(yè)技能培訓(xùn)，提高行業(yè)網(wǎng)絡(luò)安全的管理水平和專業(yè)技術(shù)水平。

2．5扎實推進行業(yè)災(zāi)難備份建設(shè)

數(shù)據(jù)的安全對證券行業(yè)是至關(guān)重要的，數(shù)據(jù)一旦丟失對市場各方的損失是難以估量的。無論是美國的“9·11”事件，還是我國2008年南方冰雪災(zāi)害和四川汶川大地震，都敲響了災(zāi)難備份的警鐘。證券業(yè)要在學習借鑒國際經(jīng)驗的基礎(chǔ)上，針對自身需要，對重要系統(tǒng)開展災(zāi)難備份建設(shè)。要繼續(xù)推進證券、基金公司同城災(zāi)難備份建設(shè)，以及證券交易所、結(jié)算公司等市場核心機構(gòu)的異地災(zāi)難備份系統(tǒng)的規(guī)劃和建設(shè)。制定各類相關(guān)的災(zāi)難應(yīng)急預(yù)案，并加強應(yīng)急預(yù)案的演練，確保災(zāi)難備份系統(tǒng)應(yīng)急有效．使應(yīng)急工作與日常工作有機結(jié)合。

2．6抓好人才隊伍建設(shè)

證券行業(yè)要采取切實可行的措施，建立吸引人才、留住人才、培養(yǎng)人才、發(fā)展人才的用人制度和機制。積極吸引有技術(shù)專長的人才到行業(yè)巾來，加強lT人員的崗位技能培訓(xùn)和業(yè)務(wù)培訓(xùn)，注重培養(yǎng)既懂得技術(shù)義懂業(yè)務(wù)和管理的復(fù)合型人才。要促進從業(yè)人員提高水平、轉(zhuǎn)變觀念，行業(yè)各機構(gòu)應(yīng)采取采取請進來、派出去以及內(nèi)部講座等多種培訓(xùn)方式。通過建立規(guī)范有效的人才評價體系，對信息技術(shù)人員進行科學有效的考評，提升行業(yè)人才資源的優(yōu)化配置和使用效率，促進技術(shù)人才結(jié)構(gòu)的涮整和完善。