网络安全等级保护安全建设培训-卢青-im

《网络安全等级保护安全建设培训-卢青-im》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网络安全等级保护安全建设--重要行业网络安全等级保护建设案例目录一、重要行业信息化基本情况简介二、网络安全等级保护建设思路三、网络安全等级保护实践案例四、建设实践经验小结政府网络和信息系统建设电子政务内外网建设网站建设重要信息系统建设国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。政府电子政务网络的应用和威胁电子政务外网【国家信息中心组织建设，政府使用，非涉密网络，符合国家等级保护要求】•应

2、用场景：政务信息采集；政务信息传输；政府垂直性电子政务应用；建设方提供安全环境，安全防护措施•访问场景：政府单位国家-省-市-县的内部用户各个政府单位之间的数据交互，统一的政务服务•主要威胁：数据越权访问、信息泄漏、非法访问、病毒、木马、APT政府电子政务网络的应用和威胁电子政务内网【涉密网络、物理隔离，符合国家分级保护要求】•应用场景：设计国家秘密的业务应用各项安全控制严格按照涉密要求执行•主要威胁：信息泄漏、数据丢失、数据越权访问、非法访问、病毒、木马电磁泄漏、物理安全、社会工程政府电子政务网络的应用和威胁电子政务专网【政府自建，非涉密网络，符合国家等级保护

3、要求】•应用场景：电子政务业务信息的采集、传输、使用、存储等，垂直性电子政务应用；自建数据中心、安全防护措施•访问场景：政府单位国家-省-市-县的内部用户各种外部接入访问，来自其他单位的数据交互，与内网之间数据交互•主要威胁：数据越权访问、信息泄漏、非法访问、病毒、木马、APT自身的安全控制执行力度不够、策略失效、业务漏洞引发风险金融、能源网络和信息系统互联网【移动互联网、办公、企业ERP系统等】业务内网【数据中心、灾备中心、核心业务等】生产、工业控制网络【调度、生产】银行IT系统架构MBFE网银ATM/POS电话银行柜台代收付票据交换证券代销EAI数据总线央行征信

4、个人结售CIF资金卡系统贷款存款支付结算系统汇系统信贷管理财富管理现金管理国际业务个人外汇买卖信贷登记人民币帐户统一额度咨询系统管理系统基金托管票据债券代理例例企业年金衍生品抵质押品Dealing外币帐户管理业务示示处理系统3000管理系统总帐财务管理SWIFTMUREX数据仓库(DW,DM,ODS)中央国债CFETS人力资源管理绩效综合业务CRMALMIRB(本外币)会计考核系统基础系统管理信息系统外联系统报表平台50.0Hz系统示意图50.249.8发电用电调度应用服务器通讯服务器例例数据采集和传输示示RTURTURTU发电输电变电配电用电安全建设与信息化发展相融合目录一、重要行

5、业信息化基本情况简介二、网络安全等级保护建设思路三、网络安全等级保护实践案例四、建设实践经验小结网络安全等级保护建设思路思路1：需求驱动，加固改造，缺什么补什么；思路2：进行总体安全建设整改规划，系统化、体系化设计思路；思路1：以某网站为例安全建设例例示示差距分析（基本要求+风险）差距分析编制方案策略设计措施实施选择基本安全保护安全保护等级基本保护要求的组合安全需求类安全措施等级第一级L(1，1)第二级L(1，2)，L(2，2)，L(2，1)评估特殊第一级S1A1G1风险第三级L(1，3)，L(2，3)，L(3，3)，L(3，2)，L(3，第二级S1A2G2，S2A2G2，S2A

6、1G21)第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，第四级L(1，4)，L(2，4)，L(3，4)，L(4，4)，L(4，S3A1G33)，L(4，2)，L(4，1)第四级第五级S1A4GL(41，，5S)，2AL(42G，45)，，L(S33，A54)G，4L(，4，5S)4，AL(4G5，4，系统的安全保护等级：S4A3G54)，，SL(45A，24G)，4，L(5S，4A3)1，GL(45，2)，L(5，1)L(业务信息安全保护等级，系统服务安全保护等级第五级S1A5G5，S2A5G5)，S3A5G5，S4A5G5，=Max(业务信息安全保护等级，系统服务安

7、全保护等级)S5A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5风险评估数非法不可据篡改丢失泄露访问用层应SQL溢出数据身份数据传输用注入攻击重放冒用窃取窃听层计边网算界络主弱口系统病毒资源黑客机令漏洞入侵占用攻击环通层境信网中间带宽区域协议信息非法非法人攻资源络混乱攻击泄露接入外联击滥用层物物理非法火灾盗窃断电理攻击进出层人员安全安全管理缺乏组织缺乏流程意识不足缺乏过程控制缺乏专业技能缺乏安全监控管理不到位信息收集常规信息获取渗透测试端口