深圳市某公司信息项目安全规划方案设计

《深圳市某公司信息项目安全规划方案设计》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、-深圳市**公司信息安全规划报告书深圳**软件有限公司2010年3月-目　录1概述12深圳市**公司业务网络现状及需求分析23信息安全规划思路33.1信息安全目标和工作思路33.2信息安全建设主要任务34第一阶段-迫切阶段74.1加强区公司与地州公司的边界访问控制74.2解决区公司的网页安全问题74.3提升入侵防御能力74.4加强对区公司、地州终端的桌面管理能力84.5解决VPN系统的更新并且有效过渡的问题94.6提升区公司及地州公司对网络可管理的能力94.7加强对上网行为审计的能力95第二阶段信息安

2、全建设方案115.1建设原则115.2遵照的标准或规范125.3安全建设的思路和方法135.4安全域建设135.4.1安全域基本概念145.4.2安全域划分的原则145.4.3安全域理论175.5统一认证授权系统技术方案225.6深圳市**公司网络安全评估316第三阶段信息安全建设方案616.1建设内容616.2建设需求616.34A统一管理平台建设方案616.3.1统一日志审计子系统技术方案636.3.2功能概述636.3.3安全日志采集646.3.4安全日志多维分析646.3.5安全日志实时展现6

3、56.3.6报表分析676.3.7审计策略配置696.4系统平台和应用系统安全建设方案706.4.1认证、授权与行为审计的基本概念706.4.2认证、授权与行为审计体系的建设原则706.4.3实施效果71-6.5综合信息安全支撑平台的概念726.5.1综合安全支撑平台的建设原则736.5.2实施效果737第四阶段信息安全建设方案777.1建设内容777.2建设方案777.3信息安全管理体系规划制定777.3.1深圳市**公司信息安全体系规划建议797.3.2安全策略体系807.3.3三年规划建设任务8

4、2-1概述**行业信息安全保障体系是行业信息化健康发展的基础和保障，是行业各级数据中心的重要组成部分。为推进行业信息安全保障体系建设，提高信息安全管理水平和保障能力，深圳市**公司结合本单位实际情况认真落实《**行业信息安全保障体系建设指南》的各项要求，构建“组织机制、规章制度、技术架构”三位一体的信息安全保障体系，做到信息安全工作与信息化建设同步规划、同步建设、协调发展。-1深圳市**公司业务网络现状及需求分析深圳市**公司业务网络是全省业务办公与通信的基础和支撑平台，整个信息系统目前存在诸多安全隐

5、患：1）没有一个完整的信息安全体系，不能对**公司信息安全程度进行有效评估。2）缺少完整的安全管理制度规范，一旦发生安全问题，没有解决依据。3）安全域划分不清晰，网络安全边界防护采取的技术比较单一;防火墙只能基于端口和流量进行控制，却无法防御复杂的攻击和入侵。4）内部信息系统所存在的安全漏洞和隐患，不能及时发现；对于网络而言，内外网互连私接的情况不能进行有效监控。5）终端安全没有保障，缺乏统一终端管理平台。无法有效的对**公司网络进行准入控制，致使网络接入存在一定的风险。6）没有数据安全保障体系，数据

6、的传输和存储都没办法保证不被窃取。7）没有一个统一的员工身份管理系统，无法做到各类内部权限的细分，以及信息安全的加密以及事前、事中、事后的审计。8）缺乏主机和应用系统安全保障机制，没有及时发现和弥补系统的漏洞和弱点，存在大量弱口令等问题。9）没有统一的审计和响应机制，即便是发生攻击事件无法快速定位到源头，并进行针对性的解决。-1信息安全规划思路1.1信息安全目标和工作思路我们应该按照信息安全总体规划，从信息安全管理、信息安全风险控制、信息安全技术等方面入手，采用先进可行的技术手段和管理理念，逐步建成全

7、面、完整、有效的一套信息安全体系。通过系统化的安全技术和安全管理建设，深圳市**公司逐步形成安全管理规范和安全体系架构，逐步有机的融合安全技术和安全管理，使深圳市**公司的安全建设逐渐成熟，为整个业务的正常运行提供强有力的支持和保障。信息化安全体系建设过程中应遵循以下工作思路：Ø“分级保护”原则：应根据各业务系统的重要程度以及面临的风险大小等因素决定各类信息的安全保护级别，分级保护，合理投资。Ø“三分技术、七分管理”原则：**公司信息安全不是单纯的技术问题，需要在采用安全技术和产品的同时，重视安全管理

8、，不断完善各类安全管理规章制度和操作规程，全面提高安全管理水平。Ø“内外并重”原则：安全工作需要做到内外并重，在防范外部威胁的同时，加强规范内部人员行为和审计机制。Ø“整体规划，分步实施”原则：需要对**公司信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。Ø“风险管理”原则：进行安全风险管理，确认可能影响信息系统的安全风险，并以较低的成本将其降低到可接受的水平。“适度安全”原则：没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到