涉密信息系统信息安全分级保护体系案例(2013-9-13)

《涉密信息系统信息安全分级保护体系案例(2013-9-13)》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、涉密信息系统信息安全分级保护体系案例2010年至2011年期间，先后开展了对分级保护建设的可研、方案设计、建设实施，并于2011年10月19日顺利通过了相关国家保密测评机构对某部委电子政务涉密信息系统的严格测评。　　1项目背景　　为落实某部委党组“先从部机关信息化入手，带动全行业信息化发展”的有关部署，2001年、2005年和2007年，部机关先后实施了信息化一期、二期工程以及通信信息系统改造工程，建设了XX行业主管部门的涉密局域办公网，即某部委电子政务涉密信息系统，并与外网物理隔离，整体提高了部机关行政办公的信息化水平。为加强涉及国家涉

2、密信息系统的保密管理，依据BMB相关国家标准，某部委对其内网电子政务涉密信息系统进行了相应等级的安全保密建设和管理。　　2010年至2011年期间，先后开展了对分级保护建设的可研、方案设计、建设实施，并于2011年10月19日顺利通过了相关国家保密测评机构对某部委电子政务涉密信息系统的严格测评。　　2建设路线　　在某部委电子政务信息系统分级保护建设实施过程中，依据《某部委电子政务涉密信息系统分级保护工程详细设计方案》及国家相关标准规范等文件，严格按照PMP项目管理方法论，对项目启动后把实施过程分为设计(深化)过程、落地(建设)过程、监控过

3、程三个过程组，并通过调研分析、体系规划、体系建设和体系完善(PDCA)的建设思路，运用岗位与职责、策略体系、流程体系、技术工具、人员培训、安全管控等方法进行落地实施。　　在设计过程中，首先详细解读了《某部委电子政务涉密信息系统分级保护工程详细设计方案》，周密分析了客户信息系统应用环境，全面展开了对技术以及管理等的全面细致调研，分析现状与标准及客户需求的差距，逐项梳理实施建设任务，完成《分级保护深化设计及实施方案》、《安全保密策略总纲》、建设任务一览表、职责矩阵、《项目进度计划》等过程文档。　　在落地过程中，通过太极信息安全保障体系落地方法

4、论，建立技术、管理、运维三大保障体系，按照《分级保护深化设计及实施方案》，分为安全域改造、应用系统改造、安全策略部署与试运行以及安全服务四个阶段，遵照“综合部署、分布落实、逐一核查”等原则，实现由标准紧扣方案、建设贴近客户需求的完美落地，从而完成某部委电子政务信息系统安全保护的建设工作。　　在监控过程中，对常规项目落地过程中的内容进行监督管理，通过技术、工具和专家判断等方法对项目实施的内容，包括管理、技术方面的内容进行有效性检测，将不贴近客户需求、无法落地或由于条件限制暂时无法落地的内容进行记录，与客户沟通、交流，协调资源(人力资源、环境

5、资源、必要的设备等)保障实施过程按照既定的项目计划进行，最关键的因素还是要取得客户认同和达到标准要求。监控手段包括有效性测量、不符合项记录、控制测量、内部审核、用户评审等。　　3建设落地　　通过基础调研，对某部委电子政务内网物理、网络、主机、终端、应用和制度等层面展开了全面了解及分析。基于此分析结果，编制体系完善的《某部委分级保护工程深化设计及实施方案》、《某部委涉密信息系统涉密安全保密策略总纲》、项目建设任务一览表、项目职责矩阵和《项目进度计划》等过程文档。　　实施落地过程从安全域改造、网络割接到应用系统改造、集成部署、策略实施及安全服

6、务全环节实现分级保护体系建设的落地过程。　　(1)安全域改造　　依据BMB标准要求，综合考虑信息密级、信息分类、信息交换、行政级别、功能需要和业务需求等方面，将原有内网结构及连接信息作备份，通过网络割接、区域调整、VLAN划分等方式，重新调整某部委涉密内网安全策略，包括内网中的网络、主机、终端、存储等密级标识、访问控制、权限绑定等策略，使不同密级的信息资源、用户不能互联互通，且需要物理隔离，安全域边界采用访问控制、入侵监测和网络审计等边界防护设备。通过划分安全域，可将传统的“按最高密级防护原则”转变为“分域分级防护策略”，大幅度降低建设成

7、本和运营管理成本。　　(2)应用系统改造　　应用系统中严格遵照“最小授权原则”和“强制访问控制要求”，安全认证实现统一身份管理，统一身份认证，统一权限管理，统一访问控制、统一责任认定和统一信息交换“六个统一”等。对应用系统中产生的涉密文件进行密级标识，并与认证账户相关联实现抗抵赖性和不可否认性设计。改造应用系统实现账户管理和口令管理功能，根据账户授予其相应的访问权限，实现三权分立。对应用系统设计实现系统安全审计功能，进行系统启动和关闭，账户登录和修改，以及对涉密文件的操作：建立、复制、修改、删除、打印等进行审计内容设计和实现。　　(3)集

8、成部署　　集成部署分为三个阶段，包括软、硬件产品集成采购、硬件设备安装、上架、软硬件系统配置，集成期间太极对人力资源进行优化配置，通过项目质量管理和沟通管理等手段协调各厂商工程师现场支持集成部