科研信息安全保障体系建设方案

《科研信息安全保障体系建设方案》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据．厮■doi二10．3969，j．issn．1671-1122．2010．佃．009科研信息化安全保障体系建设方案卜鬃◆豢。●作者简介：吴丽辉(1974-)，女，博士，主要研究方向：网络信息安全等；张海霞(1981一)，女，博士，主要研究方向：网络信息安全等；连一峰(1974一)，男，副研究员，博士，主要研究方向：网络信息安全等。——27广万方数据20lO．10＼1设计原理与思路1．1方案原理信息安全保障体系建设需要解决信息保护需求是什么、何种技术能够满足保护需求以及采用何种产品或服务完成需求实现pJ。科研信息化安全保障体系参照P

2、2DR模型18】的核’心思想进行体系的构建，从而形成一整套运维管理体系。由美国ISS公司提出的动态网络安全体系的代表模型P2DR模型，包括四个主要部分：Policy(安全策略)、Protection(防护)、Detection(检测)和Response(响应)o该模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、操作系统身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整到“最安全”和“风险最低”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全

3、策略的指导下保证信息系统的安全。该模型重点阐述的是防护的原理，在实际信息安全保障体系建设中为了保证策略的落实和防护体系措施等的正常运转，往往需要借助技术手段、管理组织架构和运维服务体系i大方面来确保模型的实现。因此，科研信息化安全保障体系建设解决方案采用的是扩展的P2DR模型，原理如图l所示。的建设方案同样需要符合通用安全保障体系的框架。第三，科研信息化安全保障体系针对科研信息化支撑平台形成涵盖安全技术保障、安全管理保障和安全运维保障体系在内的三个相互支撑的综合保障。图2科研信息化安全保障体系建设方案思路1．3设计步骤图3所示为科研信息化

4、安全保障体系建设方案的设计步骤。一是通过需求的调研访谈和安全现状的评估进行安全需求分析；二是进行信息系统总体架构设计；三是针对总体框架设计进行保障体系设计，包括管理保障体系设计、技术保障体系设计和运维保障体系设计；四是经过评审的方案用于指导规划与实施工作。图3所示虚线标示部分不在本文论述范围之内。图1科研信息化安全保障体系建设解决方粟原理图1．2方案思路图2所示为科研信息化安全保障体系建设的方案思路。该思路的主要思想包括以下几点：第一，科研信息化安全保障体系建设是标准规范和政策图3科研信息化安全保障体系建设方案设计步骤篓妻苎竺銎合和应用。

5、例妣此紫笔竺墨笔雯慧差矍曼2应用分析际相关标准CC、ITSEC、TCSEC等，同时参照国内安全相关～⋯“”。标准GB17859、GB／T22239、GB／T20271、GB／T20984等。2．1需求分析此外科研信息化安全保障体系建设也与国家的政策法规密切中国科学院在其信息化建设州不断开展的过程中逐步累相关，例如中办发【2003127号文、公通字【2007143号文、发积形成其自身独具特色的信息安全保障体系建设需求，主要改高技2071号文等。包括来自中国科学院院内各单位、信息化建设与管理部门的科第二。科研信息化安全保障体系建设从安全现状评

6、估出研管理需求、科研业务需求和信息安全需求。发，经过需求分析、依据标准规范的安全体系设计、结合保科研管理需求指在中国科学院正常业务运转过程中管理障体系的框架设计，形成最终的科研信息化安全保障体系建决策、科研管理需要的相关信息。其中，科研管理需求满足设方案。不了解现状和需求无从进行体系建设方案设计，因此，相关部门对于中国科学院科研信息的汇总、存储和处理需求；需求分析源于对安全现状的评估和安全需求的深入分析和了管理决策需求便于了解中国科学院各单位的科研业务，为中国解。在当前国内等级保护体系下，满足需求的同时需要考虑标科学院相关工作决策提供依据

7、。准规范对系统建设等提出的要求。另外，作为安全保障体系科研业务需求指中国科学院各单位业务流转与信息交互的万方数据，历而环境需求，即中国科学院各单位在正常业务运作过程中需要通过网络进行业务处理和信息交互的平台和环境需求。科研业务需求主要包括内部业务流转与信息处理、信息交互需求。信息安全需求指中国科学院各单位需要全面的信息安全保障体系，包括统一病毒防范体系、灾备中心、应急机制和主机安全防护。统一的病毒防范体系即在中国科学院范围内实现统一的病毒防护和病毒库的统—更新；灾备啦0与应急机制则是建立针对全院重要信息和应用系统的灾备基础设施及保障机制；

8、主机安全防护是对全院范围内重点主机进行统一的安全加固。2．2保障体系设计2．2．1原则为了最大限度地满足中国科学院各类应用系统需求，确保信息系统的安全稳定运行，且能与当前计算机及网络技术发展水