網(wǎng)絡(luò)安全等級保護辦法精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的網(wǎng)絡(luò)安全等級保護辦法主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：網(wǎng)絡(luò)安全等級保護辦法范文

內(nèi)網(wǎng)的安全風(fēng)險

目前，整個信息安全狀況存在日趨復(fù)雜和混亂的趨向：誤報率增大，安全投入不斷增加，維護與管理更加復(fù)雜和難以實施、信息系統(tǒng)使用效率大大降低，對新的攻擊入侵毫無防御能力，尤其是對內(nèi)部沒有重視防范。

據(jù)美國FBI統(tǒng)計，83%的信息安全事故為內(nèi)部人員和內(nèi)外勾結(jié)所為，而且呈上升的趨勢。從這一數(shù)字可見，內(nèi)網(wǎng)安全的重要性不容忽視。據(jù)公安部最新統(tǒng)計，70%的泄密犯罪來自于內(nèi)部，電腦應(yīng)用單位80%未設(shè)立相應(yīng)的安全管理系統(tǒng)、技術(shù)措施和制度。

中國科學(xué)院研究生院信息安全國家重點實驗室趙戰(zhàn)生教授表示，目前我國信息與網(wǎng)絡(luò)安全的防護能力處于發(fā)展的初級階段，許多應(yīng)用系統(tǒng)處于不設(shè)防狀態(tài)。國防科技大學(xué)的一項研究表明，我國與互聯(lián)網(wǎng)相連的網(wǎng)絡(luò)管理中心有95%都遭到過境內(nèi)外黑客的攻擊或侵入，其中銀行、金融和證券機構(gòu)是攻擊重點。

“當(dāng)前的信息與網(wǎng)絡(luò)安全研究，處于忙于封堵現(xiàn)有信息系統(tǒng)安全漏洞的階段。”公安部網(wǎng)絡(luò)安全保衛(wèi)局處長郭啟全認為，“要徹底解決這些迫在眉睫的問題，歸根結(jié)底取決于信息安全保障體系的建設(shè)。目前，我們迫切需要根據(jù)國情，從安全體系整體著手，在建立全方位的防護體系的同時，完善法律體系并加強管理體系。只有這樣，才能保證國家信息化的健康發(fā)展，確保國家安全和社會穩(wěn)定?！?/p>

2003年，國家出臺《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（簡稱“27號文件”），明確要求我國信息安全保障工作實行等級保護制度，2007年出臺《信息安全等級保護管理辦法》（簡稱“43號文件”）。隨著兩項標志性文件的下發(fā)，2007年被稱為等級保護的啟動元年；由于要對現(xiàn)有信息安全系統(tǒng)進行加固，大量產(chǎn)品和服務(wù)采購即將開始，2008年則被普遍視為等級保護采購元年。

等級保護政策是信息安全保障的主要環(huán)節(jié)。在等級保護解決方案中，內(nèi)網(wǎng)安全產(chǎn)品主要作用是對終端進行防護。

內(nèi)網(wǎng)是核心

“事實上，信息安全等級保護的核心思想就是根據(jù)不同的信息系統(tǒng)保護需求，構(gòu)建一個完整的信息安全保護體系。分析《計算機信息系統(tǒng)安全保護等級劃分準則（GB 17859-1999）》可以看出，信息安全等級保護的重點在于內(nèi)網(wǎng)安全措施的建設(shè)和落實。建立一個完整的內(nèi)網(wǎng)安全體系，是信息系統(tǒng)在安全等級保護工作中的一個重點?！惫鶈⑷f。

內(nèi)網(wǎng)安全理論的提出主要基于兩個根本要素，一是企事業(yè)單位業(yè)務(wù)工作的高度信息化，二是內(nèi)網(wǎng)中主機數(shù)量的大量增加。由此可見，內(nèi)網(wǎng)安全從其誕生之日起，對主機系統(tǒng)安全的關(guān)注就從來沒有忽略過，采用了包括身份認證、授權(quán)管理和系統(tǒng)保護等手段對主機進行了多方面的防護。這與等級保護的思想也是相一致的。

鼎普科技股份有限公司總經(jīng)理于晴認為，大多數(shù)用戶網(wǎng)絡(luò)拓撲結(jié)構(gòu)相似，用戶對網(wǎng)絡(luò)的安全管理比較一致，但由于用戶使用習(xí)慣的不同，對終端的管理則千差萬別。

于晴認為，內(nèi)網(wǎng)安全領(lǐng)域的關(guān)鍵技術(shù)主要有內(nèi)部網(wǎng)絡(luò)接入、桌面安全管理和內(nèi)網(wǎng)安全審計等。這些本質(zhì)上的問題，應(yīng)該從系統(tǒng)層面來解決，以信息安全等級保護為基礎(chǔ)。內(nèi)部網(wǎng)絡(luò)接入基于等級保護技術(shù)，分別從終端自身的安全性評估，到網(wǎng)絡(luò)地址的合法性，讓信息系統(tǒng)“對號入座”。桌面安全管理側(cè)重于桌面使用者的行為安全，對終端用戶的電腦行為進行監(jiān)控、管理與控制，來保障終端的安全。內(nèi)網(wǎng)安全審計從主機和網(wǎng)絡(luò)兩個方面對網(wǎng)絡(luò)數(shù)據(jù)和系統(tǒng)操作進行記錄和恢復(fù)，強調(diào)出現(xiàn)問題后的案情追溯。

第2篇：網(wǎng)絡(luò)安全等級保護辦法范文

關(guān)鍵詞：等級保護；測評；信息安全；管理

中圖分類號：TP393

文獻標志碼：C

文章編號：1006-8228(2011)12-60-02

0 引言

信息安全等級保護作為國家信息安全工作的一項基本制度、基本國策，已經(jīng)在全國實行多年，各信息系統(tǒng)運營使用單位都深刻認識到等級保護制度的重要性。在我國信息安全等級保護制度中，等級保護分五個工作環(huán)節(jié)――定級、備案、建設(shè)整改、等級測評和監(jiān)督檢查。其中，等級測評是等級測評機構(gòu)依據(jù)國家信息安全等級保護制度規(guī)定，受有關(guān)單位委托，按照有關(guān)管理規(guī)范和技術(shù)標準，對非涉及國家秘密信息系統(tǒng)安全等級保護狀況進行的檢測評估活動，是信息安全等級保護工作的重要環(huán)節(jié)。

隨著等級保護工作的不斷推進，等級測評機構(gòu)的體系建設(shè)也在不斷深入，全國等級測評機構(gòu)的數(shù)量在不斷增加，測評機構(gòu)的品質(zhì)和能力、測評人員的水平和素質(zhì)、測評競爭環(huán)境等諸多方面的問題將不斷出現(xiàn)。因此，加強對等級測評機構(gòu)的合理、有效監(jiān)管，對提升測評行業(yè)質(zhì)量，保證測評數(shù)據(jù)公正、客觀，以及保障重點行業(yè)的重要信息系統(tǒng)安全等至關(guān)重要。

1 國家層面對測評機構(gòu)的監(jiān)管模式

測評工作作為等級保護制度中最重要工作環(huán)節(jié)，具有明顯的專業(yè)性和技術(shù)性恃點，其政策導(dǎo)向性強。因此，僅有相關(guān)測評技術(shù)標準是不夠的，測評機構(gòu)的體系化、規(guī)范化管理也是關(guān)鍵。

2009年7月公安部開始信息安全等級保護測評體系建設(shè)試點工作，其目的是探索信息安全等級保護測評體系建設(shè)和管理的模式和經(jīng)驗，保證全國重要信息系統(tǒng)等級保護安全建設(shè)工作的順利開展。試點工作主要在浙江、重慶、河南、廣東等省市展開。其主要內(nèi)容是根據(jù)《信息安全等級保護管理辦法》和有關(guān)技術(shù)標準完成五個方面的工作：一是檢驗并完善等級測評機構(gòu)應(yīng)具備的條件；二是檢驗并完善等級測評機構(gòu)建設(shè)的主要內(nèi)容；三是檢驗并完善等級測評人員管理的主要內(nèi)容；四是檢驗并完善等級測評工作規(guī)范性要求的主要內(nèi)容；五是檢驗并完善測評機構(gòu)監(jiān)督管理的主要內(nèi)容等。從試點工作情況分析，國家對等級保護測評機構(gòu)的監(jiān)管模式采用的是能力評估和政府干預(yù)相結(jié)合的模式。

從工作程序上分為四個步驟：

(1)各測評機構(gòu)向設(shè)區(qū)的市級以上所在地公安網(wǎng)安部門申請，公安網(wǎng)安部門根據(jù)《信息安全等級保護測評工作管理規(guī)范(試行)》對測評機構(gòu)所提交的申請材料進行審核，審核通過后，提交給上一級公安網(wǎng)安部門報批，并予以受理。

(2)公安部網(wǎng)絡(luò)安全保衛(wèi)局統(tǒng)一將各地上報的測評機構(gòu)信息轉(zhuǎn)發(fā)給公安部信息安全等級保護評估中心，由評估中心按照《信息安全等級測評機構(gòu)能力要求(試行)》對各測評機構(gòu)進行能力評估。能力評估通過后，由評估中心將能力評估材料遞交公安部網(wǎng)絡(luò)安全保衛(wèi)局審核批準。

(3)各省公安網(wǎng)安部門收到公安部網(wǎng)絡(luò)安全保衛(wèi)局對測評機構(gòu)審核的意見及相關(guān)證書，下發(fā)給各地網(wǎng)安部門。

(4)公安部信息安全等級保護評估中心在網(wǎng)站上公布測評機構(gòu)名單，接受社會監(jiān)督。

能力評估的內(nèi)容和要求上，分為組織管理能力、測評實施能力、設(shè)施和設(shè)備安全與保障能力、質(zhì)量管理能力、規(guī)范性保證能力、風(fēng)險控制能力、可持續(xù)發(fā)展能力等七個方面和基本要求、約束性要求等兩個部分。

2 浙江省等級測評機構(gòu)現(xiàn)有監(jiān)管模式

浙江省信息等級保護工作一直處于國內(nèi)前列，2006年就頒布了《浙江省信息安全等級保護管理辦法》(省政府第223號令)，并在同年開展了全國等級保護試點項目。通過多年積累的經(jīng)驗，2007年浙江省開始在測評機構(gòu)管理、測評工作模式等方面進行探索，初步形成具有浙江特色的等級保護測評機構(gòu)監(jiān)管模式。

(1)以社會協(xié)會管理為主，政府監(jiān)管為輔的管理模式

浙江省結(jié)合實際，政府層面出臺了《浙江省信息安全等級保護測評機構(gòu)管理規(guī)定(試行)》，明確了省內(nèi)從事等級測評工作的單位性質(zhì)、條件和義務(wù)等要素。社會協(xié)會層面出臺了《浙江省信息安全測評機構(gòu)資信等級評定管理辦法(試行)》實現(xiàn)測評機構(gòu)資信等級一、二級管理，形成測評機構(gòu)管理行業(yè)規(guī)范，變政府由市場參與主體向市場監(jiān)管主體轉(zhuǎn)變，由管理審批型向管理服務(wù)型轉(zhuǎn)變、由直接行政干預(yù)向間接宏觀調(diào)控轉(zhuǎn)變。

(2)建立以行業(yè)自律管理為主的監(jiān)管體系

嚴格測評機構(gòu)行業(yè)自律管理，測評機構(gòu)間簽署《信息安全等級保護測評機構(gòu)行業(yè)自律公約》，強化機構(gòu)自律化管理，進一步規(guī)范測評機構(gòu)行為和工作秩序。

(3)建立機構(gòu)統(tǒng)一管理標準，?？貙彶闄C構(gòu)自身及人員能力建設(shè)

全省測評機構(gòu)必須按照“審核標準統(tǒng)一，管理規(guī)范標準統(tǒng)一、技術(shù)標準統(tǒng)一、測評工具標準統(tǒng)一、報告樣式標準統(tǒng)一”的五統(tǒng)一規(guī)范開展測評工作，并由政府組織機構(gòu)年審，設(shè)立準入準出機制。測評機構(gòu)的能力審查對測評過程中技術(shù)人員行為的規(guī)范性、合理性和程序標準性，對機構(gòu)業(yè)務(wù)范圍、管理能力和技術(shù)能力要求等給予明確規(guī)定，規(guī)范申請、審核、查驗和推薦流程，組建由公安、保密、密碼管理、信息辦和安全等部門專家組成的專門審查小組對機構(gòu)背景、管理水平、資格和技術(shù)能力進行量化評價，作為推薦依據(jù)。同時，嚴格規(guī)范測評機構(gòu)工作程序，加強對機構(gòu)內(nèi)部管理規(guī)范化建設(shè)督導(dǎo)，要求健全人員管理、項目管理、文檔管理、設(shè)備管理、保密制度等各項制度，要求制定《質(zhì)量手冊》、《程序文件》、《作業(yè)指導(dǎo)書》、《測評過程記錄表單》等測評實施過程文檔，完善測評實施規(guī)程。

全省機構(gòu)都已被要求必須獲得CMA中國計量認證，并被引導(dǎo)和鼓勵去獲得CNAS實驗室認證、ISO27001認證等。所有從業(yè)人員必須獲得初級以上“測評師”技術(shù)證書，測評工作中持證上崗。對測評從業(yè)人員要進行錄用考核、備案和背景審查等工作。

3 現(xiàn)有監(jiān)管模式的不足

在現(xiàn)行的測評機構(gòu)監(jiān)管模式中，我們側(cè)重于對測評機構(gòu)應(yīng)具備條件(包括審核是否在境內(nèi)注冊成立、注冊資本多少、法人資格、公司已有的資質(zhì)、測評人員已獲得的技術(shù)認證等)的監(jiān)管；僅關(guān)注機構(gòu)是否已具有完備的保密管理、項目管理、質(zhì)量管理、人員管理和培訓(xùn)教育等制度，而對這些制度的落實情況及執(zhí)行情況缺乏有效監(jiān)督；對測評活動實施過程中的合法性，有效性問題缺乏必要的考量。

4 對測評機構(gòu)進行有效性監(jiān)管方法的探討

(1)對測評機構(gòu)的測評大綱實行報備審核

測評大綱應(yīng)是等級測評機構(gòu)的整體測評策略性文件，能綜合反映不同測評機構(gòu)從事等級測評活動的經(jīng)驗、知識、測評方法和測評程序?；趯Ρ粶y評單位的利益保護以及對測評機構(gòu)的監(jiān)管要求，測評大綱應(yīng)具有法律效力，須報公安機關(guān)審核備案后使用。測評機構(gòu)只有按照測評大綱中明確的指標嚴格檢測、測評，其測評結(jié)果才能真實地反映被測單位計算機信息

系統(tǒng)的安全狀況，為安全整改建設(shè)提供科學(xué)的依據(jù)和指南。

(2)對等級測評活動的各周期程序?qū)嵭斜O(jiān)督指導(dǎo)

等級測評流程分為四個階段：測評準備、方案編制、現(xiàn)場測評及報告編制，政府部門的督導(dǎo)工作須貫穿其中。如，在測評準備階段，為了避免測評小組成員和委托人之間存在利害關(guān)系，影響測評結(jié)果的公平、客觀、真實，測評機構(gòu)在確定測評小組成員名單后讓測評委托人確認簽字，確認書要留檔備查，未經(jīng)確認開展的項目測評報告不具有法律效力。方案編制中，必須明確測評對象、范圍、依據(jù)法律法規(guī)和標準、制定具體的測評檢查表，記錄文件要測評雙方簽字確認，方案和測評過程文檔應(yīng)留檔備查?，F(xiàn)場測評中，測評小組必須使用可信、安全等級測評工具采集數(shù)據(jù)，測評工具要向公安機關(guān)報備，現(xiàn)場測評要按照檢測程序全面檢測關(guān)鍵測評項，依據(jù)測評標準客觀、公正、準確評價，政府主管部門應(yīng)隨機駐點督查現(xiàn)場測評過程實施情況。測評報告反映的是被測評單位信息系統(tǒng)的安全保護現(xiàn)狀，應(yīng)具有法律效力，報告要使用標準模板，起草過程中測評機構(gòu)和測評人員應(yīng)當(dāng)遵守國家的有關(guān)法律法規(guī)，保守被測評單位秘密、保障被測單位利益，政府部門有必要明確測機構(gòu)及其工作人員的法律責(zé)任來規(guī)范其職業(yè)道德。測評機構(gòu)的測評結(jié)果直接對信息系統(tǒng)運營使用單位的建設(shè)、整改和運營成本，以及對監(jiān)管部門的行政監(jiān)管成本產(chǎn)生影響，也就是說，測評報告對國家和社會都會產(chǎn)生影響。因此，測評機構(gòu)要對自身的測評行為負責(zé)，政府主管部門將對機構(gòu)及從業(yè)人員違反法律規(guī)定的行為予以民事、行政或刑事處罰。

(3)對測評人員實行從錄用到離職的全程監(jiān)督

等級測評涉及用戶單位的核心業(yè)務(wù)系統(tǒng)，是一項高技術(shù)的專業(yè)安全服務(wù)，需要具有一定政治素質(zhì)、道德素質(zhì)和專業(yè)素質(zhì)的測評人員來支撐。管理應(yīng)進一步加大對測評人員的政治背景、從業(yè)背景、專業(yè)背景、技術(shù)素養(yǎng)的審查力度，建立完備測評人員檔案庫，考量測評機構(gòu)測評人員穩(wěn)定性，重點加大對離職測評人員的管控，明確保密條約，關(guān)注人員離職去向。

(4)制定測評機構(gòu)優(yōu)劣考量機制，促進誠信服務(wù)的企業(yè)文化

等級測評的執(zhí)行主體是測評機構(gòu)，測評機構(gòu)的企業(yè)文化是否具有凝聚性，企業(yè)價值觀是否誠信，內(nèi)部管理模式是否健康，關(guān)乎其市場競爭力，更關(guān)乎測評機構(gòu)能否為信息系統(tǒng)安全等級保護工作提供安全、客觀、公正的檢測評估服務(wù)。因此，要求測評企業(yè)必須有一定的政治覺悟，要嚴格遵守國家有關(guān)法律法規(guī)，要承擔(dān)社會責(zé)任和法律責(zé)任，不能唯利是圖。政府部門要定期開展管理評審，制定考量測評機構(gòu)優(yōu)劣評判標準，完善被測評單位滿意度反饋機制，建立機構(gòu)誠信狀況、信用狀況、評級結(jié)果等信息公開機制，將政府監(jiān)管和社會監(jiān)督結(jié)合起來，通過評星評級、市場退出和獎懲機制的建立，鼓勵誠信機構(gòu)，懲戒不誠信機構(gòu)，增加機構(gòu)不規(guī)范測評行為的風(fēng)險成本。

(5)規(guī)范價格體系，推動測評機構(gòu)良性發(fā)展

等級測評是近兩年才興起的行業(yè)，政府要引導(dǎo)建立良好的測評市場價格體系，借鑒其他行業(yè)自律的經(jīng)驗手段，避免惡性價格競爭，要保障等級測評有一定的利潤空間，以使得測評機構(gòu)能朝更專業(yè)、更具實力方向發(fā)展，充分調(diào)動測評機構(gòu)提升品牌建設(shè)、服務(wù)工作效率、專業(yè)能力、測評人員素質(zhì)的內(nèi)在動力。

第3篇：網(wǎng)絡(luò)安全等級保護辦法范文

【關(guān)鍵詞】氣象信息；網(wǎng)絡(luò)結(jié)構(gòu)；安全問題

最近幾年以來，隨著經(jīng)濟的發(fā)展和社會的進步，我國的民航氣象事業(yè)也取得了較大的進步，很多新的設(shè)備和系統(tǒng)都應(yīng)用在民航氣象系統(tǒng)中，在新的設(shè)備和系統(tǒng)不斷應(yīng)用和發(fā)展的情況下，需要建立安全的網(wǎng)絡(luò)環(huán)境，這對民航氣象系統(tǒng)的發(fā)展有著重要的作用。促進網(wǎng)絡(luò)運行的重要因素是有效的網(wǎng)絡(luò)運行結(jié)構(gòu)和合理的管理措施。

1氣象信息網(wǎng)絡(luò)的功能

民航氣象中心能夠給外界提供多種信息，主要向空中的交通管制中心提供一些有關(guān)于氣象的信息，除此之外還提供塔臺情況；向國外氣象中心提供大韓、全日空、簽派、東北航等氣象信息。這些氣象信息主要包括幾個方面，有現(xiàn)場的實時播報、對實際情況播報的內(nèi)容、本場預(yù)報、氣象預(yù)報。衛(wèi)星云圖等信息。在播報的時候尤其要求信息的及時和準確，這樣才能夠?qū)ο嚓P(guān)人員的指揮起著重要的作用。

2計算機網(wǎng)絡(luò)的安全問題

計算機網(wǎng)絡(luò)安全問題是比較復(fù)雜的一個問題，隨著經(jīng)濟的發(fā)展和社會的進步，計算機網(wǎng)絡(luò)在很多領(lǐng)域都得到了廣泛的應(yīng)用，由此產(chǎn)生了網(wǎng)絡(luò)的不安全因素，計算機病毒逐漸的產(chǎn)生和傳播，計算機網(wǎng)絡(luò)很容易就被一些不法分子入侵，很多重要的資料和文件被竊取，甚至給網(wǎng)絡(luò)帶來了系統(tǒng)的崩潰和癱瘓等。從以上可以看出，計算機網(wǎng)絡(luò)安全運行的必要性。其實計算機網(wǎng)絡(luò)安全的問題主要是由內(nèi)部用戶和外部用戶共同做成的。目前很多國內(nèi)的用戶與服務(wù)器都處于一個相同的網(wǎng)絡(luò)環(huán)境中，尤其是在應(yīng)用服務(wù)器時，會存在對網(wǎng)絡(luò)環(huán)境安全的威脅。

3民航氣象信息網(wǎng)絡(luò)安全的分析

3.1設(shè)計思想

根據(jù)這種情況，可以采用一些特殊的辦法，可以考慮使用安全級別，依據(jù)網(wǎng)絡(luò)終端與氣象業(yè)務(wù)相連接，這種方式目前比較常用。根據(jù)用戶的實際情況可以分為幾個等級，信任最高等級、較為安全等級和一般安全等級。其中信任最高等級和較為安全等級能夠利用網(wǎng)絡(luò)終端直接與氣象業(yè)務(wù)相聯(lián)系，網(wǎng)絡(luò)在設(shè)計時需要考慮是否與區(qū)域有所沖突，考慮網(wǎng)絡(luò)流量和功能，劃分區(qū)域，減少不必要的數(shù)據(jù)進行傳播，減少對網(wǎng)絡(luò)終端的影響。在較為安全的網(wǎng)絡(luò)終端中，為了避免英雄愛那個實際的應(yīng)用，可以分隔一些業(yè)務(wù)段，使服務(wù)網(wǎng)和業(yè)務(wù)網(wǎng)分離，或者是不再使用原有的信息提供方式，變成間接的信息提供方式，這樣會減少對網(wǎng)絡(luò)運行安全的影響。依據(jù)以上的安全等級原則，有利于使我們在工作中有據(jù)可循。

3.2防火墻

防火墻也是保護網(wǎng)絡(luò)運行安全的一個重要設(shè)置，存在于網(wǎng)絡(luò)和網(wǎng)絡(luò)之間，是為了保護網(wǎng)絡(luò)之間的安全，是一個重要的屏障。這個屏障在網(wǎng)絡(luò)環(huán)境安全運行中的作用是防止外部網(wǎng)絡(luò)對本網(wǎng)絡(luò)的入侵，它成為保護本地網(wǎng)絡(luò)的一個重要的關(guān)卡。防火墻的實現(xiàn)方式分為很多種，在不同的情況起著不同的作用，在物理結(jié)構(gòu)上，防火墻是一種硬件設(shè)備，這個硬件設(shè)備是由幾個方面組成的，包括路由器和計算機，或者是主機計算機與配有的網(wǎng)絡(luò)相組合。在邏輯上，防火墻相當(dāng)于一種過濾器，對外部入侵網(wǎng)絡(luò)的過濾，還是一種限制器和分析器。防火墻在計算機網(wǎng)絡(luò)運行中也充當(dāng)著阻塞點，通過這個阻塞點能夠通過大部分的信息，這也是唯一的信息檢查點，通過這個信息檢查點能夠確保信息的安全，但是防火墻并不是能夠?qū)γ總€主機都起到很好的保護作用，由此可見對主機的集中管理具有明顯的優(yōu)勢。此外，防火墻可以在關(guān)鍵時刻實行強制的安全策略?？梢愿鶕?jù)服務(wù)器的信息來判斷哪些服務(wù)器能夠通過防火墻，阻止一些服務(wù)器通過防火墻。例如在氣象中通常會使用填圖系統(tǒng)，填圖系統(tǒng)的設(shè)置與其它系統(tǒng)有著很大的區(qū)別，一般是需要收集大量的資料，這些資料都是來源于氣象局網(wǎng)絡(luò)系統(tǒng)，而氣象局網(wǎng)絡(luò)系統(tǒng)具有高度的保密性，對訪問進行了限制，通過防火墻擁有固定的MAC地址IP和地址才能夠進行訪問，這樣的好處是能夠真正的對內(nèi)部網(wǎng)絡(luò)起到保護作用，防止一些外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)提供危險的服務(wù)。防火墻還有個重要的用途就是能夠記錄網(wǎng)上的一些活動，通過這些活動管理員可以察覺出外來的入侵者，利用防火墻還可以阻止網(wǎng)段之間的病毒傳播。

3.3安全策略

網(wǎng)絡(luò)服務(wù)訪問策略主要是針對網(wǎng)絡(luò)服務(wù)中能夠被允許的服務(wù)或者是嚴令禁止的服務(wù)，限制網(wǎng)絡(luò)使用的方法很多，所以每個途徑都是受到保護的。例如目前可以通過電話撥號的形式登陸到內(nèi)部WEB服務(wù)器上，這樣就可能會使網(wǎng)絡(luò)受到攻擊。網(wǎng)絡(luò)服務(wù)的訪問策略對機構(gòu)的內(nèi)部網(wǎng)絡(luò)資料起著重要的保護作用，這種網(wǎng)絡(luò)服務(wù)的訪問不僅只是保障站點的安全還有很多的用途，還可以掃描文件中的病毒，還能夠遠程訪問。由此可見，網(wǎng)絡(luò)的內(nèi)部信息對單位來說是十分重要的，應(yīng)該注重保護信息安全，用最有效的辦法保證信息的機密和完整，確保信息能夠真實有效；這是每個員工義不容辭的責(zé)任和義務(wù)，保證信息的完整真實是工作的重中之重，每個人都應(yīng)該認真對待，將所有信息處理的設(shè)備統(tǒng)一執(zhí)行經(jīng)過授權(quán)的任務(wù)。

參考文獻

[1]周建華.中國民航新一代航空氣象系統(tǒng)建設(shè)構(gòu)想[J].中國民用航空，2008（09）,

第4篇：網(wǎng)絡(luò)安全等級保護辦法范文

一、加強本單位網(wǎng)絡(luò)與信息安全工作的組織領(lǐng)導(dǎo)，建立健全網(wǎng)絡(luò)與信息安全工作機構(gòu)和工作機制，保證網(wǎng)絡(luò)與信息安全工作渠道的暢通。

二、明確本單位信息安全工作責(zé)任，按照“誰主管，誰負責(zé);誰運營，誰負責(zé)”的原則，將安全職責(zé)層層落實到具體部門、具體崗位和具體人員。

三、加強本單位信息系統(tǒng)安全等級保護管理工作，在公安機關(guān)的監(jiān)督、檢查、指導(dǎo)下，自覺、主動按照等級保護管理規(guī)范的要求完成信息系統(tǒng)定級、備案，對存在的安全隱患或未達到相關(guān)技術(shù)標準的方面進行建設(shè)整改，隨信息系統(tǒng)的實際建設(shè)、應(yīng)用情況對安全保護等級進行動態(tài)調(diào)整。

四、加強本單位各節(jié)點信息安全應(yīng)急工作。制定信息安全保障方案，加強應(yīng)急隊伍建設(shè)和人員培訓(xùn)，組織開展安全檢查、安全測試和應(yīng)急演練。重大節(jié)日及敏感節(jié)點期間，加強對重要信息系統(tǒng)的安全監(jiān)控，加強值班，嚴防死守，隨時應(yīng)對各類突發(fā)事件。

五、按照《信息安全等級保護管理辦法》、《互聯(lián)網(wǎng)信息管理服務(wù)辦法》等規(guī)定，進一步加強網(wǎng)絡(luò)與信息安全的監(jiān)督管理，嚴格落實信息安全突發(fā)事件“每日零報告制度”，對本單位出現(xiàn)信息安全事件隱瞞不報、謊報或拖延不報的，要按照有關(guān)規(guī)定，給予責(zé)任人行政處理;出現(xiàn)重大信息安全事件，造成重大損失和影響的，要依法追究有關(guān)單位和人員的責(zé)任。

六、作為本單位網(wǎng)絡(luò)與信息安全工作的責(zé)任人，如出現(xiàn)重大信息安全事件，對國家安全、社會秩序、公共利益、公民法人及其他組織造成影響的，本人承擔(dān)主要領(lǐng)導(dǎo)責(zé)任。違反上述承諾，自愿承擔(dān)相應(yīng)主體責(zé)任和法律后果。

七、本人承諾不從事下列危害計算機信息網(wǎng)絡(luò)安全的活動：

1、未經(jīng)允許，進入計算機信息網(wǎng)絡(luò)或者使用計算機信息網(wǎng)絡(luò)資源; 2、未經(jīng)允許，對計算機信息網(wǎng)絡(luò)功能進行刪除、修改或者增加;

3、未經(jīng)允許，對計算機信息網(wǎng)絡(luò)中存儲或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進行刪除、修改或者增加;

4、故意制作、傳播計算機病毒以及其它破壞性程序;

5、不盜用別人計算機的ip地址、網(wǎng)卡物理地址(mac值)和信息數(shù)據(jù); 6、不做其它危害計算機信息網(wǎng)絡(luò)安全行為。

八、本人承諾當(dāng)計算機信息系統(tǒng)發(fā)生重大安全事故時，立即采取應(yīng)急措施，保留有關(guān)原始記錄，并在24小時內(nèi)向政府監(jiān)管部門報告，以及知會公司資訊安全部門，并接受公司停止網(wǎng)絡(luò)資源使用服務(wù)。

九、本人鄭重承諾遵守本承諾書的有關(guān)條款，在使用中認真履行職責(zé)，自覺接受監(jiān)督，確保網(wǎng)絡(luò)信息安全;如有違反本承諾書有關(guān)條款和國家相關(guān)法律法規(guī)的行為，本人愿意承擔(dān)由此引起的一切責(zé)任，直至民事、行政和刑事責(zé)任，并接受相應(yīng)處罰﹔對于造成財產(chǎn)損失的，由個人直接賠償。

十、本承諾書自簽署之日起生效。

第5篇：網(wǎng)絡(luò)安全等級保護辦法范文

關(guān)鍵詞：證券行業(yè)信息安全網(wǎng)絡(luò)安全體系

近年來，我國資本市場發(fā)展迅速，市場規(guī)模不斷擴大，社會影響力不斷增強．成為國民經(jīng)濟巾的重要組成部分，也成為老百姓重要的投資理財渠道。資本市場的穩(wěn)定健康發(fā)展，關(guān)系著億萬投資者的切身利益，關(guān)系著社會穩(wěn)定和國家金融安全的大局。證券行業(yè)作為金融服務(wù)業(yè)，高度依賴信息技術(shù)，而信息安全是維護資本市場穩(wěn)定的前提和基礎(chǔ)。沒有信息安全就沒有資本市場的穩(wěn)定。

目前．國內(nèi)外網(wǎng)絡(luò)信息安全問題日益突出。從資本市場看，近年來，隨著市場快速發(fā)展，改革創(chuàng)新深入推進，市場交易模式日趨集巾化，業(yè)務(wù)處理邏輯日益復(fù)雜化，網(wǎng)絡(luò)安全事件、公共安全事件以及水災(zāi)冰災(zāi)、震災(zāi)等自然災(zāi)害都對行業(yè)信息系統(tǒng)的連續(xù)、穩(wěn)定運行帶來新的挑戰(zhàn)。資本市場交易實時性和整體性強，交易時問內(nèi)一刻也不能中斷。加強信息安全應(yīng)急丁作，積極采取預(yù)防、預(yù)警措施，快速、穩(wěn)妥地處置信息安全事件，盡力減少事故損失，全力維護交易正常，對于資本市場來說至關(guān)重要。

1證券行業(yè)倍息安全現(xiàn)狀和存在的問題

1．1行業(yè)信息安全法規(guī)和標準體系方面

健全的信息安全法律法規(guī)和標準體系是確保證券行業(yè)信息安全的基礎(chǔ)。是信息安全的第一道防線。為促進證券市場的平穩(wěn)運行，中國證監(jiān)會自1998年先后了一系列信息安全法規(guī)和技術(shù)標準。其中包括2個信息技術(shù)管理規(guī)范、2個信息安全等級保護通知、1個信息安全保障辦法、1個信息通報方法和10個行業(yè)技術(shù)標準。行業(yè)信息安全法規(guī)和標準體系的初步形成，推動了行業(yè)信息化建設(shè)和信息安全工作向規(guī)范化、標準化邁進。

雖然我國涉及信息安全的規(guī)范性文件眾多，但在現(xiàn)行的法律法規(guī)中。立法主體較多，法律法規(guī)體系龐雜而缺乏統(tǒng)籌規(guī)劃。面對新形勢下信息安全保障工作的發(fā)展需要，行業(yè)信息安全工作在政策法規(guī)和標準體系方面的問題也逐漸顯現(xiàn)。一是法規(guī)和標準建設(shè)滯后，缺乏總體規(guī)劃；二是規(guī)范和標準互通性和協(xié)調(diào)性不強，部分規(guī)范和標準的可執(zhí)行性差；三是部分規(guī)范和標準已不適應(yīng)，無法應(yīng)對某些新型信息安全的威脅；四是部分信息安全規(guī)范和標準在行業(yè)內(nèi)難以得到落實。

1．2組織體系與信息安全保障管理模型方面

任何安全管理措施或技術(shù)手段都離不開人員的組織和實施，組織體系是信息安全保障工作的核心。目前，證券行業(yè)采用“統(tǒng)一組織、分工有序”的信息安全工作體系，分為決策層、管理層、執(zhí)行層。

為加強證券期貨業(yè)信息安全保障工作的組織協(xié)調(diào)，建立健全信息安全管理制度和運行機制，切實提高行業(yè)信息安全保障工作水平，根據(jù)證監(jiān)會頒布的《證券期貨業(yè)信息安全保障管理暫行辦法》，參照ISO／IEC27001：2005，提出證券期貨業(yè)信息安全保障管理體系框架。該體系框架采用立方體架構(gòu)．頂面是信息安全保障的7個目標(機密性、完整性、可用性、真實性、可審計性、抗抵賴性、可靠性)，正面是行業(yè)組織結(jié)構(gòu)．側(cè)面是各個機構(gòu)為實現(xiàn)信息安全保障目標所采取的措施和方式。

1．3IT治理方面

整個證券業(yè)處于高度信息化的背景下，IT治理已直接影響到行業(yè)各公司實現(xiàn)戰(zhàn)略目標的可能性，良好的IT治理有助于增強公司靈活性和創(chuàng)新能力，規(guī)避IT風(fēng)險。通過建立IT治理機制，可以幫助最高管理層發(fā)現(xiàn)信息技術(shù)本身的問題。幫助管理者處理IT問題，自我評估IT管理效果．可以加強對信息化項目的有效管理，保證信息化項目建設(shè)的質(zhì)量和應(yīng)用效果，使有限的投入取得更大的績效。

2003年lT治理理念引入到我國證券行業(yè)，當(dāng)前我國證券業(yè)企業(yè)的IT治理存在的問題：一是IT資源在公司的戰(zhàn)略資產(chǎn)中的地位受到高層重視，但具體情況不清楚；二是IT治理缺乏明確的概念描述和參數(shù)指標；是lT治理的責(zé)任與職能不清晰。

1．4網(wǎng)絡(luò)安全和數(shù)據(jù)安全方面

隨著互聯(lián)網(wǎng)的普及以及網(wǎng)上交易系統(tǒng)功能的不斷豐富、完善和使用的便利性，網(wǎng)上交易正逐漸成為證券投資者交易的主流模式。據(jù)統(tǒng)計，2008年我同證券網(wǎng)上交易量比重已超過總交易量的80％。雖然交易系統(tǒng)與互聯(lián)網(wǎng)的連接，方便了投資者。但由于互聯(lián)網(wǎng)的開放性，來自互聯(lián)網(wǎng)上的病毒、小馬、黑客攻擊以及計算機威脅事件，都時刻威脅著行業(yè)的信息系統(tǒng)安全，成為制約行業(yè)平穩(wěn)、安全發(fā)展的障礙。此，維護網(wǎng)絡(luò)和數(shù)據(jù)安全成為行業(yè)信息安全保障工作的重要組成部分。近年來，證券行業(yè)各機構(gòu)采取了一系列措施，建立了相對安全的網(wǎng)絡(luò)安全防護體系和災(zāi)舴備份系統(tǒng)，基木保障了信息系統(tǒng)的安全運行。但細追究起來，我國證券行業(yè)的網(wǎng)絡(luò)安全防護體系及災(zāi)備系統(tǒng)建設(shè)還不夠完善，還存存以下幾方面的問題：一是網(wǎng)絡(luò)安全防護體系缺乏統(tǒng)一的規(guī)劃；二是網(wǎng)絡(luò)訪問控制措施有待完善；三是網(wǎng)上交易防護能力有待加強；四是對數(shù)據(jù)安全重視不夠，數(shù)據(jù)備份措施有待改進；五是技術(shù)人員的專業(yè)能力和信息安全意識有待提高。

1．5IT人才資源建設(shè)方面

近20年的發(fā)展歷程巾，證券行業(yè)對信息系統(tǒng)日益依賴，行業(yè)IT隊伍此不斷發(fā)展壯大。據(jù)統(tǒng)計，2008年初，在整個證券行業(yè)中，103家證券公司共有IT人員7325人，占證券行業(yè)從業(yè)總?cè)藬?shù)73990人的9．90％，總體上達到了行業(yè)協(xié)會的IT治理工作指引中“IT工作人員總數(shù)原則上應(yīng)不少于公司員工總?cè)藬?shù)的6％”的最低要求。目前，證券行業(yè)的IT隊伍肩負著信息系統(tǒng)安全、平穩(wěn)、高效運行的重任，IT隊伍建設(shè)是行業(yè)信息安全IT作的根本保障。但是，IT人才隊伍依然存在著結(jié)構(gòu)不合理、后續(xù)教育不足等問題，此行業(yè)的人才培養(yǎng)有待加強。

2采取的對策和措施

2．1進一步完善法規(guī)和標準體系

首先，在法規(guī)規(guī)劃上，要統(tǒng)籌兼顧，制定科學(xué)的信息技術(shù)規(guī)范和標準體系框架。一是全面做好立法規(guī)劃；二是建立科學(xué)的行業(yè)信息安全標準和法規(guī)體系層次。行業(yè)信息安全標準和法規(guī)體系初步劃分為3層：第一層是管理辦法等巾同證監(jiān)會部門規(guī)章；第二層是證監(jiān)會相關(guān)部門制定的管理規(guī)范等規(guī)范性文件；第三層是技術(shù)指引等自律規(guī)則，一般由交易所、行業(yè)協(xié)會在證監(jiān)會總體協(xié)調(diào)下組織制定。其次，在法規(guī)制定上．要兼顧規(guī)范和發(fā)展，重視法規(guī)的可行性。最后，在法規(guī)實施上．要堅持規(guī)范和指引相結(jié)合，重視監(jiān)督檢查和責(zé)任落實。

2．2深入開展證券行業(yè)IT治理工作

2．2．1提高IT治理意識

中國證券業(yè)協(xié)會要進一步加強IT治理理念的教育宣傳工作，特別是對會員單位高層領(lǐng)導(dǎo)的IT治理培訓(xùn)，將IT治理的定義、工具、模型等理論知識納入到高管任職資格考試的內(nèi)容之中。通過舉辦論壇、交流會等形式強化證券經(jīng)營機構(gòu)的IT治理意識，提高他們IT治理的積極性。

2．2．2通過設(shè)立IT治理試點形成以點帶面的示范效應(yīng)

根據(jù)IT治理模型的不同特點，建議證券公司在決策層使用CISR模型，通過成立lT治理委員會，建立各部門之間的協(xié)調(diào)配合、監(jiān)督制衡的責(zé)權(quán)體系；在執(zhí)行層以COBIT模型、ITFL模型等其他模型為補充，規(guī)范信息技術(shù)部門的各項控制和管理流程。同時，證監(jiān)會指定一批證券公司和基金公司作為lT試點單位，進行IT治理模型選擇、剪裁以及組合的實踐探索，形成一批成功實施IT治理的優(yōu)秀范例，以點帶面地提升全行業(yè)的治理水平。

2．3通過制定行業(yè)標準積極落實信息安全等級保護

行業(yè)監(jiān)管部門在推動行業(yè)信息安全等級保護工作中的作用非常關(guān)鍵．應(yīng)進一步明確監(jiān)管部門推動行業(yè)信息安全等級保護工作的任務(wù)和工作機制，統(tǒng)一部署、組織行業(yè)的等級保護丁作，為該項丁作的順利開展提供組織保證。行業(yè)各機構(gòu)應(yīng)采取自主貫徹信息系統(tǒng)等級保護的行業(yè)要求，對照標準逐條落實。同時，應(yīng)對各單位實施信息系統(tǒng)安全等級保護情況進行測評，在測評環(huán)節(jié)一旦發(fā)現(xiàn)信息系統(tǒng)的不足，被測評單位應(yīng)立即制定相應(yīng)的整改方案并實施．且南相芙的監(jiān)督機構(gòu)進行督促。

2．4加強網(wǎng)絡(luò)安全體系規(guī)劃以提升網(wǎng)絡(luò)安全防護水平

2．4．1以等級保護為依據(jù)進行統(tǒng)籌規(guī)劃

等級保護是圍繞信息安全保障全過程的一項基礎(chǔ)性的管理制度，通過將等級化的方法和安全體系規(guī)劃有效結(jié)合，統(tǒng)籌規(guī)劃證券網(wǎng)絡(luò)安全體系的建設(shè)，建立一套信息安全保障體系，將是系統(tǒng)化地解決證券行業(yè)網(wǎng)絡(luò)安全問題的一個非常有效的方法。

2．4．2通過加強網(wǎng)絡(luò)訪問控制提高網(wǎng)絡(luò)防護能力

對向證券行業(yè)提供設(shè)備、技術(shù)和服務(wù)的IT公司的資質(zhì)和誠信加強管理，確保其符合國家、行業(yè)技術(shù)標準。根據(jù)網(wǎng)絡(luò)隔離要求，要逐步建立業(yè)務(wù)網(wǎng)與辦公網(wǎng)、業(yè)務(wù)網(wǎng)與互聯(lián)網(wǎng)、網(wǎng)上交易各子系統(tǒng)間有效的網(wǎng)絡(luò)隔離。技術(shù)上可以對不同的業(yè)務(wù)安全區(qū)域劃分Vlan或者采用網(wǎng)閘設(shè)備進行隔離；對主要的網(wǎng)絡(luò)邊界和各外部進口進行滲透測試，進行系統(tǒng)和設(shè)備的安全加固．降低系統(tǒng)漏洞帶來的安全風(fēng)險；在網(wǎng)上交易方面，采取電子簽名或數(shù)字認證等高強度認證方式，加強訪問控制；針對現(xiàn)存惡意攻擊網(wǎng)站的事件越來越多的情況，要采取措施加強網(wǎng)站保護，提高對惡意代碼的防護能力，同時采用技術(shù)手段，提高網(wǎng)上交易客戶端軟件使朋的安全性。

2．4．3提高從業(yè)人員安全意識和專業(yè)水平

目前在證券行業(yè)內(nèi)，從業(yè)人員的網(wǎng)絡(luò)安全意識比較薄弱．必要時可定期對從業(yè)人員進行安全意識考核，從行業(yè)內(nèi)部強化網(wǎng)絡(luò)安全工作。要加強網(wǎng)絡(luò)安全技術(shù)人員的管理能力和專業(yè)技能培訓(xùn)，提高行業(yè)網(wǎng)絡(luò)安全的管理水平和專業(yè)技術(shù)水平。

2．5扎實推進行業(yè)災(zāi)難備份建設(shè)

數(shù)據(jù)的安全對證券行業(yè)是至關(guān)重要的，數(shù)據(jù)一旦丟失對市場各方的損失是難以估量的。無論是美國的“9·11”事件，還是我國2008年南方冰雪災(zāi)害和四川汶川大地震，都敲響了災(zāi)難備份的警鐘。證券業(yè)要在學(xué)習(xí)借鑒國際經(jīng)驗的基礎(chǔ)上，針對自身需要，對重要系統(tǒng)開展災(zāi)難備份建設(shè)。要繼續(xù)推進證券、基金公司同城災(zāi)難備份建設(shè)，以及證券交易所、結(jié)算公司等市場核心機構(gòu)的異地災(zāi)難備份系統(tǒng)的規(guī)劃和建設(shè)。制定各類相關(guān)的災(zāi)難應(yīng)急預(yù)案，并加強應(yīng)急預(yù)案的演練，確保災(zāi)難備份系統(tǒng)應(yīng)急有效．使應(yīng)急工作與日常工作有機結(jié)合。

2．6抓好人才隊伍建設(shè)

證券行業(yè)要采取切實可行的措施，建立吸引人才、留住人才、培養(yǎng)人才、發(fā)展人才的用人制度和機制。積極吸引有技術(shù)專長的人才到行業(yè)巾來，加強lT人員的崗位技能培訓(xùn)和業(yè)務(wù)培訓(xùn)，注重培養(yǎng)既懂得技術(shù)義懂業(yè)務(wù)和管理的復(fù)合型人才。要促進從業(yè)人員提高水平、轉(zhuǎn)變觀念，行業(yè)各機構(gòu)應(yīng)采取采取請進來、派出去以及內(nèi)部講座等多種培訓(xùn)方式。通過建立規(guī)范有效的人才評價體系，對信息技術(shù)人員進行科學(xué)有效的考評，提升行業(yè)人才資源的優(yōu)化配置和使用效率，促進技術(shù)人才結(jié)構(gòu)的涮整和完善。

第6篇：網(wǎng)絡(luò)安全等級保護辦法范文

存儲體系建設(shè)的原則

安全性原則。安全和保密是信息存儲體系建設(shè)的基本要求。電子文件是信息社會中黨務(wù)、政務(wù)運行的一個重要手段，是信息化條件下文件和檔案的一種新型載體，是我國檔案信息資源的重要組成部分。2000年，王剛同志在全國檔案工作會議上講話指出：“要認真研究和處理信息化帶來的電子文件歸檔和電子檔案管理等新情況，積極探索和解決信息化進程中出現(xiàn)的信息安全等新問題，確保電子檔案的完整與安全。”

方便性原則。存儲是為了利用。安全性與利用的方便性之間往往存在某些沖突。在存儲體系建設(shè)中既要考慮安全性，也要考慮信息在服務(wù)過程中的方便性。“隨著國家信息化建設(shè)的加快推進，電子政務(wù)已經(jīng)成為政府改善服務(wù)、強化管理的重要手段”，“以為領(lǐng)導(dǎo)決策服務(wù)、為各部門工作服務(wù)、為廣大人民群眾服務(wù)為目的，積極主動地做好電子文件管理工作，將有利于檔案工作為構(gòu)建社會主義和諧社會服務(wù)的全面開展?！?/p>

經(jīng)濟性原則。安全性和經(jīng)濟性也存在一些矛盾。信息存儲的安全性需要一系列軟、硬件系統(tǒng)的支持，這是一筆不菲的投入。安全設(shè)施的投入似乎永遠也沒有足夠的時候。由于安全問題的多樣性和動態(tài)性，使我們在進行信息的安全保護中無法找到完美的辦法。在實際工作中我們遵循的是“適度安全準則”，即根據(jù)具體情況提出適度的安全目標并加以實現(xiàn)。

可持續(xù)發(fā)展原則。電子文件中心建設(shè)過程中應(yīng)處理好三個關(guān)系：電子文件中心建設(shè)與新的檔案館舍建設(shè)的關(guān)系；電子文件管理與檔案保護工作的關(guān)系；電子文件管理與檔案基礎(chǔ)業(yè)務(wù)建設(shè)的關(guān)系，從而促進檔案事業(yè)整體持續(xù)健康發(fā)展。長久保存和集中管理要求存儲體系具有分布式的特征，能夠不斷擴展。存儲體系建設(shè)應(yīng)考慮到日后發(fā)展，避免“重復(fù)投資、重復(fù)建設(shè)問題”。

存儲體系中安全問題的特點

安全問題是建設(shè)存儲體系首先和必須考慮的問題。一般來說，信息安全存儲問題具有以下特點：

多樣性。在絕大多數(shù)信息系統(tǒng)中，安全問題包括物理安全、邏輯安全和安全管理等三個方面。物理安全是指關(guān)鍵設(shè)備的安全和存放地點的安全等內(nèi)容。例如：有些計算機沒有內(nèi)外網(wǎng)物理隔離，機房也沒有基本的防雷、防塵、防靜電等措施。邏輯安全方面涉及訪問控制和數(shù)據(jù)完整性等方面。安全管理包括人員安全管理制度等。

動態(tài)性。由于信息技術(shù)在不斷地變化，今天的安全問題到明天也許不再成為安全問題，而今天無關(guān)緊要的問題，明天可能成為嚴重的安全威脅。電子文件“本身不能被人們直接讀取，必須借助于專門設(shè)備，而這些設(shè)備的更新又很快，過若干年這些讀取設(shè)備可能就會從社會上消失，那時，電子文件就變?yōu)闊o法讀取的死信息”。

對管理的依賴性。管理制度和管理人員是保證信息安全存儲的關(guān)鍵因素。安全問題的多樣性和動態(tài)性使僅僅采用安全產(chǎn)品來保證信息的安全存儲難以奏效。離開嚴格、合理的管理制度，離開管理人員對系統(tǒng)的正確維護，再先進的安全保護產(chǎn)品也會形同虛設(shè)。

存儲體系模型

面對諸多的安全問題，必須根據(jù)電子文件的信息特點，建立具備較高安全等級的、面向利用的、可持續(xù)發(fā)展的存儲體系。電子文件中心存儲體系應(yīng)具備多層次、多介質(zhì)、分布式等基本特征，至少應(yīng)包含管理制度層、在線存儲層、離線存儲層和異地存儲層四個層次。

管理制度層。安全問題具有對管理的依賴性，嚴格的管理制度、合理的管理策略、管理人員的素質(zhì)是存儲體系的重要保障。一般來說應(yīng)有如下幾個管理制度：計算機及網(wǎng)絡(luò)安全管理制度、信息安全保密規(guī)定、網(wǎng)絡(luò)安全保護技術(shù)措施規(guī)定、網(wǎng)絡(luò)安全保障應(yīng)急預(yù)案、管理員崗位職責(zé)及工作流程等。在這一層中還要明確存儲備份和恢復(fù)策略、網(wǎng)絡(luò)的安全等級劃分、信息的保密等級劃分、管理人員的權(quán)限劃分等。

在線存儲層。在線存儲主要目的是保證信息能在線利用。對于可以在線利用的信息，要按照有關(guān)規(guī)定，在相應(yīng)安全等級網(wǎng)絡(luò)上傳輸利用；對于不能在網(wǎng)絡(luò)上傳輸?shù)男畔⒅荒茈x線存儲。對于高安全等級或信息實時變化的系統(tǒng)，在該層應(yīng)配備在線備份系統(tǒng)。

離線存儲層。離線存儲是對在線存儲層的安全備份，當(dāng)在線存儲出現(xiàn)問題時能及時進行數(shù)據(jù)恢復(fù)，例如病毒、磁盤陣列硬件故障等。離線存儲的介質(zhì)應(yīng)脫離、遠離網(wǎng)絡(luò)并按照有關(guān)要求存放在符合溫濕度、磁場、光照等安全要求的庫房或?qū)Ｓ迷O(shè)備中。

異地存儲層。異地存儲主要作用是對其他兩種存儲形式進行安全備份，關(guān)鍵時候(例如海嘯、地震、火災(zāi)等災(zāi)難發(fā)生時)用來恢復(fù)數(shù)據(jù)。異地備份介質(zhì)位置與本檔案館的距離極為重要。有文獻指出：若防火災(zāi)，距離只需幾百米；防水災(zāi)，距離應(yīng)不小于數(shù)公里以上；防地震或海嘯，則需幾百公里距離以外。

存儲介質(zhì)的選擇

一般來說，存儲介質(zhì)應(yīng)選用較耐久的材質(zhì)，減少儲存或利用過程中的損壞可能性：應(yīng)使用技術(shù)壽命長的介質(zhì)，使數(shù)據(jù)能在當(dāng)前技術(shù)條件下維持更長的有效讀出時間，減少數(shù)據(jù)遷移的頻率，降低數(shù)據(jù)丟失的風(fēng)險。由于存儲體系的安全系數(shù)建立在多層次、多方式、多技術(shù)的整體之上，這就給我們在選擇存儲介質(zhì)的時候提供了一定的自由度。按照三個存儲層次的不同特點和要求，我們可以選擇相應(yīng)的存儲介質(zhì)。

在線存儲層的數(shù)據(jù)是進行信息服務(wù)的主要資源，需要經(jīng)常利用和變化，在該層選擇存儲設(shè)備的時候重點要考慮在線服務(wù)的要求，利用要方便、擴展要自由；離線存儲層和異地存儲層中存放的數(shù)據(jù)一般是備份數(shù)據(jù)，不經(jīng)常利用，對這類數(shù)據(jù)的存儲介質(zhì)選擇，傳送速率、存取速度等就不是主要考慮因素，而應(yīng)更多考慮數(shù)據(jù)安全與長期保存過程中的讀取問題。此外，數(shù)據(jù)恢復(fù)的快速性、實施存儲的經(jīng)濟性等方面也是應(yīng)該考慮的內(nèi)容。結(jié)合工作實際，我們認為磁盤陣列、光盤和大容量磁帶是存儲體系建設(shè)中比較合適的存儲介質(zhì)。下圖是基于以上考慮的存儲體系結(jié)構(gòu)圖。

備份和恢復(fù)

第7篇：網(wǎng)絡(luò)安全等級保護辦法范文

一、學(xué)校網(wǎng)絡(luò)與信息安全工作情況

本次檢查內(nèi)容主要包含網(wǎng)絡(luò)與信息系統(tǒng)安全的管理機構(gòu)、規(guī)章制度、設(shè)施設(shè)備、網(wǎng)站和信息運行情況、人技防護、隊伍建設(shè)等5個方面，同時從物理安全差距、網(wǎng)絡(luò)安全差距、主機安全差距、應(yīng)用安全差距、數(shù)據(jù)安全及恢復(fù)差距等5個方面對主機房和14個信息系統(tǒng)、1個網(wǎng)站進行等級保護安全技術(shù)差距分析，通過差距分析，明確各層次安全域相應(yīng)等級的安全差距，為下一步安全技術(shù)解決方案設(shè)計和安全管理建設(shè)提供依據(jù)。

從檢查情況看，我校網(wǎng)絡(luò)與信息安全總體運維情況良好，未出現(xiàn)任何一起重大網(wǎng)絡(luò)安全與信息安全事件（事故）。近幾年，學(xué)校領(lǐng)導(dǎo)重視學(xué)校網(wǎng)絡(luò)信息安全工作，始終把網(wǎng)絡(luò)信息安全作為信息化工作的重點內(nèi)容；網(wǎng)絡(luò)信息安全工作機構(gòu)健全、責(zé)任明確，日常管理維護工作比較規(guī)范；管理制度較為完善，技術(shù)防護措施得當(dāng)，信息安全風(fēng)險得到有效降低；比較重視信息系統(tǒng)（網(wǎng)站）系統(tǒng)管理員和網(wǎng)絡(luò)安全技術(shù)人員培訓(xùn)，應(yīng)急預(yù)案與應(yīng)急處置技術(shù)隊伍有落實；加強對學(xué)生網(wǎng)絡(luò)宣傳引導(dǎo)教育，日常重視微信、微博、QQ群的管理，提倡爭當(dāng)“綠色網(wǎng)民”；工作經(jīng)費有一定保障，網(wǎng)絡(luò)安全工作經(jīng)費納入年度預(yù)算，在最近一年學(xué)校信息化經(jīng)費投入中，網(wǎng)絡(luò)建設(shè)與設(shè)備購置費用約占56、5%，數(shù)字資源與平臺開發(fā)費用約占40、6%，培訓(xùn)費用約占0、6%，運行與維護費用約占1、04%，研究及其他費用約占1、23%，總計投入占學(xué)校同期教育總經(jīng)費支出的比例約1、57%，基本保證了校園網(wǎng)信息系統(tǒng)（網(wǎng)站）持續(xù)安全穩(wěn)定運行。

1、網(wǎng)絡(luò)信息安全組織管理

20xx年學(xué)校成立網(wǎng)絡(luò)與信息安全工作領(lǐng)導(dǎo)小組，校主要領(lǐng)導(dǎo)擔(dān)任組長，網(wǎng)絡(luò)與信息安全工作辦公室設(shè)在黨委工作部，領(lǐng)導(dǎo)小組全面負責(zé)學(xué)校網(wǎng)絡(luò)信息安全工作，教育技術(shù)與信息中心作為校園網(wǎng)運維部門承擔(dān)信息系統(tǒng)安全技術(shù)防護與技術(shù)保障工作，對全校網(wǎng)絡(luò)信息安全工作進行安全管理和監(jiān)督責(zé)任。各部門承擔(dān)本單位信息系統(tǒng)和網(wǎng)站信息內(nèi)容的直接安全責(zé)任。20xx年，由于人動，及時調(diào)整網(wǎng)絡(luò)安全和信息安全領(lǐng)導(dǎo)小組成員名單，依照“誰主管誰負責(zé)、誰運維誰負責(zé)、誰使用誰負責(zé)”的原則，明確各部門負責(zé)人為部門網(wǎng)站的具體負責(zé)人，建立學(xué)校網(wǎng)絡(luò)信息員隊伍，同時，還組建網(wǎng)絡(luò)文明志愿者隊伍，對網(wǎng)絡(luò)出現(xiàn)的熱點問題，及時跟蹤、跟帖、匯報。

2、信息系統(tǒng)（含網(wǎng)站）日常安全管理

學(xué)校建有“校園網(wǎng)絡(luò)系統(tǒng)安全管理（暫行）條例”、“學(xué)生上網(wǎng)管理辦法“、“校園網(wǎng)絡(luò)安全保密管理條例（試行）”、“校園網(wǎng)管理制度”、“網(wǎng)絡(luò)與信息安全處理預(yù)案”、“網(wǎng)上信息監(jiān)控制度”等系列規(guī)章制度。各系統(tǒng)（網(wǎng)站）使用單位基本能按要求，落實責(zé)任人，較好地履行網(wǎng)站信息上傳審簽制度、信息系統(tǒng)數(shù)據(jù)保密與防篡改制度。日常監(jiān)控對象包括主要網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用服務(wù)器等，其中網(wǎng)絡(luò)中的邊界防火墻、網(wǎng)絡(luò)核心交換機和路由器、學(xué)校站服務(wù)器均納入重點監(jiān)控。日常維護操作較規(guī)范，多數(shù)單位做到了杜絕弱口令并定期更改，嚴密防護個人電腦，定期備份數(shù)據(jù)，定期查看安全日志等，隨時掌握系統(tǒng)（網(wǎng)站）狀態(tài)，保證正常運行。

3、信息系統(tǒng)（網(wǎng)站）技術(shù)防護

學(xué)校網(wǎng)絡(luò)信息安全前期的防控主要是基于山石防火墻、深信服防火墻及行為管理軟件，20xx年為加強校園網(wǎng)絡(luò)安全管理，購置了“網(wǎng)頁防篡改、教師行為管理、負載均衡”等相關(guān)安全設(shè)備，20xx年二月中旬完成校園信息系統(tǒng)（含網(wǎng)站）等級保護的定級和備案，并上報xxx市網(wǎng)安支隊。同時，按二級等保要求，約投資110萬元，完成“網(wǎng)絡(luò)入侵防御系統(tǒng)、網(wǎng)絡(luò)安全審計系統(tǒng)、運維審計-堡壘機系統(tǒng)、服務(wù)及測評及機房改造（物理安全）”等網(wǎng)絡(luò)安全設(shè)備的采購工作，目前，方案已經(jīng)通過專家論證。

20xx年4月-6月及20xx年3月對網(wǎng)站系統(tǒng)進行安全測評，特別對系統(tǒng)層和應(yīng)用層漏洞掃描，發(fā)現(xiàn)（教務(wù)管理系統(tǒng)、教學(xué)資源庫）出現(xiàn)漏洞，及時整改，并將結(jié)果上報省教育廳、省網(wǎng)安大隊、xxx市網(wǎng)安支隊。同時，對各防火墻軟件7個庫進行升級，對服務(wù)器操作系統(tǒng)存在的漏洞及時補丁和修復(fù)，做好網(wǎng)站的備份工作等。

4、網(wǎng)絡(luò)信息安全應(yīng)急管理

20xx年學(xué)校制定了《xxx職業(yè)技術(shù)學(xué)校網(wǎng)絡(luò)與信息安全處理預(yù)案》、《xxx職業(yè)技術(shù)學(xué)校網(wǎng)絡(luò)安全和學(xué)生校內(nèi)聚集事件應(yīng)急處置預(yù)案》。教育技術(shù)與信息中心為應(yīng)急技術(shù)支持單位，在重大節(jié)日及敏感時期，采用24小時值班制度，對網(wǎng)絡(luò)安全問題即知即改，確保網(wǎng)絡(luò)安全事件快速有效處置。

二、檢查發(fā)現(xiàn)的主要問題

對照《通知》中的具體檢查項目，我校在網(wǎng)絡(luò)與信息安全技術(shù)和安全管理建設(shè)上還存在一定的問題：

1、由于學(xué)校信息化建設(shè)尚處于起步階段，學(xué)院數(shù)據(jù)中心建設(shè)相對薄弱，未建成完善的數(shù)據(jù)中心共享體系，各應(yīng)用系統(tǒng)的數(shù)據(jù)資源安全及災(zāi)備均由相關(guān)使用部門獨自管理。同時，網(wǎng)絡(luò)安全保障平臺（校園網(wǎng)絡(luò)安全及信息安全等級保護）尚在建設(shè)中。

2、部分系統(tǒng)（網(wǎng)站）日常管理維護不夠規(guī)范，仍存在管理員弱口令、數(shù)據(jù)備份重視不夠、信息保密意識較差等問題；學(xué)校子網(wǎng)頁網(wǎng)管員為兼職，投入精力難以保證，而且未取得相應(yīng)資格證書；由于經(jīng)費問題，個別應(yīng)用系統(tǒng)未能及時升級，容易發(fā)生安全事故。

3、目前尚未開展網(wǎng)絡(luò)安全預(yù)案演練，還未真正組建一支校內(nèi)外聯(lián)合的網(wǎng)絡(luò)安全專家隊伍，未與社會企業(yè)簽訂應(yīng)急支持協(xié)議和完成應(yīng)急隊伍建設(shè)規(guī)劃。

三、整改措施

針對存在的問題，學(xué)校網(wǎng)絡(luò)與信息安全工作領(lǐng)導(dǎo)小組專門進行了研究部署。

1、全面開展信息系統(tǒng)等級保護工作。按照相關(guān)《通知》要求，20xx年8月底全面完成網(wǎng)絡(luò)安全保障平臺建設(shè)，根據(jù)系統(tǒng)在不同階段的需求、業(yè)務(wù)特性及應(yīng)用重點，采用等級化與體系化相結(jié)合的安全體系設(shè)計方案，形成整體的等級化的安全保障體系，同時根據(jù)安全技術(shù)建設(shè)和安全管理建設(shè)，保障信息系統(tǒng)整體的安全。

2、完善網(wǎng)絡(luò)安全管理制度。根據(jù)等級保護要求,進行信息安全策略總綱設(shè)計、信息安全各項管理制度設(shè)計、信息安全技術(shù)規(guī)范設(shè)計等，保障信息系統(tǒng)整體安全。

第8篇：網(wǎng)絡(luò)安全等級保護辦法范文

本文針對新疆電力營銷系統(tǒng)的現(xiàn)狀，給出了一種多層次的安全防護方案，對保障營銷系統(tǒng)網(wǎng)絡(luò)穩(wěn)定運行，保護用戶信息安全，傳輸安全、存儲安全和有效安全管理方面給出了建設(shè)意見。

2新疆營銷網(wǎng)絡(luò)系統(tǒng)現(xiàn)狀

新疆電力營銷業(yè)務(wù)應(yīng)用經(jīng)過了多年的建設(shè)，目前大部分地區(qū)在業(yè)擴報裝、電費計算、客戶服務(wù)等方面的營銷信息化都基本達到實用化程度，在客戶服務(wù)層、業(yè)務(wù)處理層、管理監(jiān)控層三個層次上實現(xiàn)了相應(yīng)的基本功能。結(jié)合新疆電力公司的實際情況，主要分析了管理現(xiàn)狀和網(wǎng)絡(luò)現(xiàn)狀。

2.1管理現(xiàn)狀

根據(jù)公司總部提出的“集團化運作、集約化發(fā)展、精細化管理”的工作思路，從管理的需求上來說，數(shù)據(jù)越集中，管理的力度越細，越能夠達到精細化的管理的要求。但由于目前各地市公司的管理水平現(xiàn)狀、IT現(xiàn)狀、人員現(xiàn)狀等制約因素的限制，不可能使各地市公司的管理都能夠一步到位，尤其是邊遠地區(qū)。因此，營銷業(yè)務(wù)應(yīng)用管理在基于現(xiàn)狀的基礎(chǔ)上逐步推進。根據(jù)對當(dāng)前各地市公司的營銷管理現(xiàn)狀和管理目標需求的分析，管理現(xiàn)狀可分為如下三類：實時化、精細化管理；準實時、可控的管理；非實時、粗放式管理。目前大部分管理集中在第二類和第三類。

2.2網(wǎng)絡(luò)現(xiàn)狀

網(wǎng)絡(luò)建設(shè)水平將直接影響營銷業(yè)務(wù)應(yīng)用的系統(tǒng)架構(gòu)部署，目前新疆公司信息網(wǎng)已經(jīng)形成，實現(xiàn)了公司總部到網(wǎng)省公司、網(wǎng)省公司本部到下屬地市公司的信息網(wǎng)絡(luò)互連互通，但是各地市公司在地市公司到下屬基層供電單位的之間的信息網(wǎng)絡(luò)建設(shè)情況差別較大，部分地市公司已經(jīng)全部建成光纖網(wǎng)絡(luò)，并且有相應(yīng)的備用通道，能夠滿足實時通信的要求，部分地市公司通過租用專線方式等實現(xiàn)連接，還有一些地市公司由于受地域條件的限制，尚存在一些信息網(wǎng)絡(luò)無法到達的地方，對大批量、實時的數(shù)據(jù)傳輸要求無法有效保證，通道的可靠性相對較差。

2.3需求分析

營銷業(yè)務(wù)系統(tǒng)通常部署在國家電網(wǎng)公司內(nèi)部信息網(wǎng)絡(luò)的核心機房，為國家電網(wǎng)公司內(nèi)部信息網(wǎng)絡(luò)和國家電網(wǎng)公司外部信息網(wǎng)絡(luò)的用戶提供相關(guān)業(yè)務(wù)支持。該網(wǎng)絡(luò)涉及業(yè)務(wù)工作和業(yè)務(wù)應(yīng)用環(huán)境復(fù)雜，與外部/內(nèi)部單位之間存在大量敏感數(shù)據(jù)交換，使用人員涵蓋國家電網(wǎng)公司內(nèi)部人員，外部廠商人員，公網(wǎng)用戶等。因此，在網(wǎng)絡(luò)身份認證、數(shù)據(jù)存儲、網(wǎng)絡(luò)邊界防護與管理等層面上都有很高的安全需求。[2]

3關(guān)鍵技術(shù)和架構(gòu)

3.1安全防護體系架構(gòu)

營銷網(wǎng)絡(luò)系統(tǒng)安全防護體系的總體目標是保障營銷系統(tǒng)安全有序的運行，規(guī)范國家電網(wǎng)公司內(nèi)部信息網(wǎng)員工和外部信息網(wǎng)用戶的行為，對違規(guī)行為進行報警和處理。營銷網(wǎng)絡(luò)系統(tǒng)安全防護體系由3個系統(tǒng)（3維度）接入終端安全、數(shù)據(jù)傳輸安全和應(yīng)用系統(tǒng)安全三個方面內(nèi)容，以及其多個子系統(tǒng)組成。

3.2接入終端安全

接入營銷網(wǎng)的智能終端形式多樣，包括PC終端、智能電表和移動售電終端等。面臨協(xié)議不統(tǒng)一，更新?lián)Q代快，網(wǎng)絡(luò)攻擊日新月異，黑客利用安全漏洞的速度越來越快，形式越來越隱蔽等安全問題。傳統(tǒng)的基于特征碼被動防護的反病毒軟件遠遠不能滿足需求。需要加強終端的安全改造和監(jiān)管，建立完善的認證、準入和監(jiān)管機制，對違規(guī)行為及時報警、處理和備案，減小終端接入給系統(tǒng)帶來的安全隱患。

3.3數(shù)據(jù)傳輸安全

傳統(tǒng)的數(shù)據(jù)傳輸未采取加密和完整性校驗等保護措施，電力營銷數(shù)據(jù)涉及國家電網(wǎng)公司和用戶信息，安全等級較高，需要更有效的手段消除數(shù)據(jù)泄露、非法篡改信息等風(fēng)險。市場上常見的安全網(wǎng)關(guān)、防火墻、漏洞檢測設(shè)備等，都具有數(shù)據(jù)加密傳輸?shù)墓δ埽軌蛴行ПＷC數(shù)據(jù)傳輸?shù)陌踩?。但僅僅依靠安全設(shè)備來保證數(shù)據(jù)通道的安全也是不夠的。一旦設(shè)備被穿透，將可能造成營銷系統(tǒng)數(shù)據(jù)和用戶信息的泄露。除此之外，還需要采用更加安全可靠的協(xié)議和通信通道保證數(shù)據(jù)通信的安全。

3.4應(yīng)用系統(tǒng)安全

目前營銷系統(tǒng)已經(jīng)具有針對應(yīng)用層的基于對象權(quán)限和用戶角色概念的認證和授權(quán)機制，但是這種機制還不能在網(wǎng)絡(luò)層及以下層對接入用戶進行細粒度的身份認證和訪問控制，營銷系統(tǒng)仍然面臨著安全風(fēng)險。增強網(wǎng)絡(luò)層及以下層，比如接入層、鏈路層等的細粒度訪問控制，從而提高應(yīng)用系統(tǒng)的安全性。

4安全建設(shè)

營銷系統(tǒng)安全建設(shè)涉及安全網(wǎng)絡(luò)安全、主機操作系統(tǒng)安全、數(shù)據(jù)庫安全、應(yīng)用安全以及終端安全幾個層面的安全防護方案，用以解決營銷系統(tǒng)網(wǎng)絡(luò)安全目前存在的主要問題。

4.1終端安全加固

終端作為營銷系統(tǒng)使用操作的發(fā)起設(shè)備，其安全性直接關(guān)系到數(shù)據(jù)傳輸?shù)陌踩?，乃至?nèi)網(wǎng)應(yīng)用系統(tǒng)的安全。終端不僅是創(chuàng)建和存放重要數(shù)據(jù)的源頭，而且是攻擊事件、數(shù)據(jù)泄密和病毒感染的源頭。這需要加強終端自身的安全防護策略的制定，定期檢測被攻擊的風(fēng)險，對安全漏洞甚至病毒及時處理。對終端設(shè)備進行完善的身份認證和權(quán)限管理，限制和阻止非授權(quán)訪問、濫用、破壞行為。目前公司主要的接入終端有PC、PDA、無線表計、配變檢測設(shè)備、應(yīng)急指揮車等。由于不同終端采用的操作系統(tǒng)不同，安全防護要求和措施也不同，甚至需要根據(jù)不同的終端定制相應(yīng)的安全模塊和安全策略，主要包括：針對不同終端（定制）的操作系統(tǒng)底層改造加固；終端接入前下載安裝可信任插件；采用兩種以上認證技術(shù)驗證用戶身份；嚴格按權(quán)限限制用戶的訪問；安裝安全通信模塊，保障加密通訊及連接；安裝監(jiān)控系統(tǒng)，監(jiān)控終端操作行為；安裝加密卡/認證卡，如USBKEY/PCMCIA/TF卡等。

4.2網(wǎng)絡(luò)環(huán)境安全

網(wǎng)絡(luò)環(huán)境安全防護是針對網(wǎng)絡(luò)的軟硬件環(huán)境、網(wǎng)絡(luò)內(nèi)的信息傳輸情況以及網(wǎng)絡(luò)自身邊界的安全狀況進行安全防護。確保軟硬件設(shè)備整體在營銷網(wǎng)絡(luò)系統(tǒng)中安全有效工作。

4.2.1網(wǎng)絡(luò)設(shè)備安全

網(wǎng)絡(luò)設(shè)備安全包括國家電網(wǎng)公司信息內(nèi)、外網(wǎng)營銷管理系統(tǒng)域中的網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全防護。主要防護措施包括，對網(wǎng)絡(luò)設(shè)備進行加固，及時安裝殺毒軟件和補丁，定期更新弱點掃描系統(tǒng)，并對掃描出的弱點及時進行處理。采用身份認證、IP、MAC地址控制外來設(shè)備的接入安全，采用較為安全的SSH、HTTPS等進行遠程管理。對網(wǎng)絡(luò)設(shè)備配置文件進行備份。對網(wǎng)絡(luò)設(shè)備安全事件進行定期或?qū)崟r審計。采用硬件雙機、冗余備份等方式保證關(guān)鍵網(wǎng)絡(luò)及設(shè)備正常安全工作，保證營銷管理系統(tǒng)域中的關(guān)鍵網(wǎng)絡(luò)鏈路冗余。

4.2.2網(wǎng)絡(luò)傳輸安全

營銷系統(tǒng)數(shù)據(jù)經(jīng)由網(wǎng)絡(luò)傳輸時可能會被截獲、篡改、刪除，因此應(yīng)當(dāng)建立安全的通信傳輸網(wǎng)絡(luò)以保證網(wǎng)絡(luò)信息的安全傳輸。在非邊遠地方建立專用的電力通信網(wǎng)絡(luò)方便營銷系統(tǒng)的用戶安全使用、在邊遠的沒有覆蓋電力局和供電營業(yè)所的地方，采用建立GPRS、GSM，3G專線或租用運營商ADSL、ISDN網(wǎng)絡(luò)專網(wǎng)專用的方式，保障電力通信安全。電力營銷技術(shù)系統(tǒng)與各個銀行網(wǎng)上銀行、郵政儲蓄網(wǎng)點、電費代繳機構(gòu)進行合作繳費，極大方便電力客戶繳費。為了提高通道的安全性，形成了營銷系統(tǒng)信息內(nèi)網(wǎng)、銀行郵政等儲蓄系統(tǒng)、internet公網(wǎng)、供電中心網(wǎng)絡(luò)的一個封閉環(huán)路，利用專網(wǎng)或VPN、加密隧道等技術(shù)提高數(shù)據(jù)傳輸?shù)陌踩院涂煽啃?。在?shù)據(jù)傳輸之前需要進行設(shè)備間的身份認證，在認證過程中網(wǎng)絡(luò)傳輸?shù)目诹钚畔⒔姑魑膫魉停赏ㄟ^哈希（HASH）單向運算、SSL加密、SecureShel（lSSH）加密、公鑰基礎(chǔ)設(shè)施（PublicKeyInfrastructure簡稱PKI）等方式實現(xiàn)。此外，為保證所傳輸數(shù)據(jù)的完整性需要對傳輸數(shù)據(jù)加密處理。系統(tǒng)可采用校驗碼等技術(shù)以檢測和管理數(shù)據(jù)、鑒別數(shù)據(jù)在傳輸過程中完整性是否受到破壞。在檢測到數(shù)據(jù)完整性被破壞時，采取有效的恢復(fù)措施。

4.2.3網(wǎng)絡(luò)邊界防護

網(wǎng)絡(luò)邊界防護主要基于根據(jù)不同安全等級網(wǎng)絡(luò)的要求劃分安全區(qū)域的安全防護思想。營銷系統(tǒng)安全域邊界，分為同一安全域內(nèi)部各個子系統(tǒng)之間的內(nèi)部邊界，和跨不同安全域之間的網(wǎng)絡(luò)外部邊界兩類。依據(jù)安全防護等級、邊界防護和深度防護標準，具有相同安全保護需求的網(wǎng)絡(luò)或系統(tǒng)，相互信任，具有相同的訪問和控制策略，安全等級相同，被劃分在同一安全域內(nèi)[3]，采用相同的安全防護措施。加強外部網(wǎng)絡(luò)邊界安全，可以采用部署堡壘機、入侵檢測、審計管理系統(tǒng)等硬件加強邊界防護，同時規(guī)范系統(tǒng)操作行為，分區(qū)域分級別加強系統(tǒng)保護，減少系統(tǒng)漏洞，提高系統(tǒng)內(nèi)部的安全等級，從根本上提高系統(tǒng)的抗攻擊性。跨安全域傳輸?shù)臄?shù)據(jù)傳輸需要進行加密處理。實現(xiàn)數(shù)據(jù)加密，啟動系統(tǒng)的加密功能或增加相應(yīng)模塊實現(xiàn)數(shù)據(jù)加密，也可采用第三方VPN等措施實現(xiàn)數(shù)據(jù)加密。

4.3主機安全

從增強主機安全的層面來增強營銷系統(tǒng)安全，采用虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork簡稱VPN）等技術(shù)，在用戶網(wǎng)頁（WEB）瀏覽器和服務(wù)器之間進行安全數(shù)據(jù)通信，提高主機自身安全性，監(jiān)管主機行，減小用戶錯誤操作對系統(tǒng)的影響。首先，掃描主機操作系統(tǒng)評估出配置錯誤項，按照系統(tǒng)廠商或安全組織提供的加固列表對操作系統(tǒng)進行安全加固，以達到相關(guān)系統(tǒng)安全標準。安裝第三方安全組件加強主機系統(tǒng)安全防護。采用主機防火墻系統(tǒng)、入侵檢測/防御系統(tǒng)（IDS/IPS）、監(jiān)控軟件等。在服務(wù)器和客戶端上部署專用版或網(wǎng)絡(luò)版防病毒軟件系統(tǒng)或病毒防護系統(tǒng)等。此外，還需要制定用戶安全策略，系統(tǒng)用戶管理策略，定義用戶口令管理策略[4]。根據(jù)管理用戶角色分配用戶權(quán)限，限制管理員使用權(quán)限，實現(xiàn)不同管理用戶的權(quán)限分離。對資源訪問進行權(quán)限控制。依據(jù)安全策略對敏感信息資源設(shè)置敏感標記，制定訪問控制策略嚴格管理用戶對敏感信息資源的訪問和操作。

4.4數(shù)據(jù)庫安全

數(shù)據(jù)庫安全首要是數(shù)據(jù)存儲安全，包括敏感口令數(shù)據(jù)非明文存儲，對關(guān)鍵敏感業(yè)務(wù)數(shù)據(jù)加密存儲，本地數(shù)據(jù)備份與恢復(fù)，關(guān)鍵數(shù)據(jù)定期備份，備份介質(zhì)場外存放和異地備份。當(dāng)環(huán)境發(fā)生變更時，定期進行備份恢復(fù)測試，以保證所備份數(shù)據(jù)安全可靠。數(shù)據(jù)安全管理用于數(shù)據(jù)庫管理用戶的身份認證，制定用戶安全策略，數(shù)據(jù)庫系統(tǒng)用戶管理策略，口令管理的相關(guān)安全策略，用戶管理策略、用戶訪問控制策略，合理分配用戶權(quán)限。數(shù)據(jù)庫安全審計采用數(shù)據(jù)庫內(nèi)部審計機制或第三方數(shù)據(jù)庫審計系統(tǒng)進行安全審計，并定期對審計結(jié)果進行分析處理。對較敏感的存儲過程加以管理，限制對敏感存儲過程的使用。及時更新數(shù)據(jù)庫程序補丁。經(jīng)過安全測試后加載數(shù)據(jù)庫系統(tǒng)補丁，提升數(shù)據(jù)庫安全。數(shù)據(jù)庫安全控制、在數(shù)據(jù)庫安裝前，必須創(chuàng)建數(shù)據(jù)庫的管理員組，服務(wù)器進行訪問限制，制定監(jiān)控方案的具體步驟。工具配置參數(shù)，實現(xiàn)同遠程數(shù)據(jù)庫之間的連接[5]。數(shù)據(jù)庫安全恢復(fù)，在數(shù)據(jù)庫導(dǎo)入時，和數(shù)據(jù)庫發(fā)生故障時，數(shù)據(jù)庫數(shù)據(jù)冷備份恢復(fù)和數(shù)據(jù)庫熱備份恢復(fù)。

4.5應(yīng)用安全

應(yīng)用安全是用戶對營銷系統(tǒng)應(yīng)用的安全問題。包括應(yīng)用系統(tǒng)安全和系統(tǒng)的用戶接口和數(shù)據(jù)接口的安全防護。

4.5.1應(yīng)用系統(tǒng)安全防護

應(yīng)用系統(tǒng)安全防護首先要對應(yīng)用系統(tǒng)進行安全測評、安全加固，提供系統(tǒng)資源控制功能以保證業(yè)務(wù)正常運行。定期對應(yīng)用程序軟件進行弱點掃描，掃描之前應(yīng)更新掃描器特征代碼；弱點掃描應(yīng)在非核心業(yè)務(wù)時段進行，并制定回退計劃。依據(jù)掃描結(jié)果，及時修復(fù)所發(fā)現(xiàn)的漏洞，確保系統(tǒng)安全運行。

4.5.2用戶接口安全防護

對于用戶訪問應(yīng)用系統(tǒng)的用戶接口需采取必要的安全控制措施，包括對同一用戶采用兩種以上的鑒別技術(shù)鑒別用戶身份，如采用用戶名/口令、動態(tài)口令、物理識別設(shè)備、生物識別技術(shù)、數(shù)字證書身份鑒別技術(shù)等的組合使用。對于用戶認證登陸采用包括認證錯誤及超時鎖定、認證時間超出強制退出、認證情況記錄日志等安全控制措施。采用用戶名/口令認證時，應(yīng)當(dāng)對口令長度、復(fù)雜度、生存周期進行強制要求。同時，為保證用戶訪問重要業(yè)務(wù)數(shù)據(jù)過程的安全保密，用戶通過客戶端或WEB方式訪問應(yīng)用系統(tǒng)重要數(shù)據(jù)應(yīng)當(dāng)考慮進行加密傳輸，如網(wǎng)上營業(yè)廳等通過Internet等外部公共網(wǎng)絡(luò)進行業(yè)務(wù)系統(tǒng)訪問必須采用SSL等方式對業(yè)務(wù)數(shù)據(jù)進行加密傳輸。杜絕經(jīng)網(wǎng)絡(luò)傳輸?shù)挠脩裘?、口令等認證信息應(yīng)當(dāng)明文傳輸和用戶口令在應(yīng)用系統(tǒng)中明文存儲。

4.5.3數(shù)據(jù)接口安全防護

數(shù)據(jù)接口的安全防護分為安全域內(nèi)數(shù)據(jù)接口的安全防護和安全域間數(shù)據(jù)接口的安全防護。安全域內(nèi)數(shù)據(jù)接口在同一安全域內(nèi)部不同應(yīng)用系統(tǒng)之間，需要通過網(wǎng)絡(luò)交換或共享數(shù)據(jù)而設(shè)置的數(shù)據(jù)接口；安全域間數(shù)據(jù)接口是跨不同安全域的不同應(yīng)用系統(tǒng)間，需要交互或共享數(shù)據(jù)而設(shè)置的數(shù)據(jù)接口。

5安全管理

安全管理是安全建設(shè)的各項技術(shù)和措施得以實現(xiàn)不可缺少的保障，從制度和組織機構(gòu)到安全運行、安全服務(wù)和應(yīng)急安全管理，是一套標準化系統(tǒng)的流程規(guī)范，主要包括以下方面。

5.1安全組織機構(gòu)

建立營銷業(yè)務(wù)應(yīng)用安全防護的組織機構(gòu)，并將安全防護的責(zé)任落實到人，安全防護組織機構(gòu)可以由專職人員負責(zé)，也可由運維人員兼職。

5.2安全規(guī)章制度

建立安全規(guī)章制度，加強安全防護策略管理，軟件系統(tǒng)安全生命周期的管理，系統(tǒng)安全運維管理，安全審計與安全監(jiān)控管理，以及口令管理、權(quán)限管理等。確保安全規(guī)章制度能夠有效落實執(zhí)行。

5.3安全運行管理

在系統(tǒng)上線運行過程中，遵守國家電網(wǎng)公司的安全管理規(guī)定，嚴格遵守業(yè)務(wù)數(shù)據(jù)安全保密、網(wǎng)絡(luò)資源使用、辦公環(huán)境等的安全規(guī)定。首先，系統(tǒng)正式上線前應(yīng)進行專門的系統(tǒng)安全防護測試，應(yīng)確認軟件系統(tǒng)安全配置項目準確，以使得已經(jīng)設(shè)計、開發(fā)的安全防護功能正常工作。在上線運行維護階段，應(yīng)定期對系統(tǒng)運行情況進行全面審計，包括網(wǎng)絡(luò)審計、主機審計、數(shù)據(jù)庫審計，業(yè)務(wù)應(yīng)用審計等。每次審計應(yīng)記入審計報告，發(fā)現(xiàn)問題應(yīng)進入問題處理流程。建立集中日志服務(wù)器對營銷交易安全域中網(wǎng)絡(luò)及安全設(shè)備日志進行集中收集存儲和管理。軟件升級改造可能會對原來的系統(tǒng)做出調(diào)整或更改，此時也應(yīng)從需求、分析、設(shè)計、實施上線等的整個生命周期對運行執(zhí)行新的安全管理。

5.4安全服務(wù)

安全服務(wù)的目的是保障系統(tǒng)建設(shè)過程中的各個階段的有效執(zhí)行，問題、變更和偏差有效反饋，及時解決和糾正。從項目層面進行推進和監(jiān)控系統(tǒng)建設(shè)的進展，確保項目建設(shè)質(zhì)量和實現(xiàn)各項指標。從項目立項、調(diào)研、開發(fā)到實施、驗收、運維等各個不同階段，可以階段性開展不同的安全服務(wù)，包括安全管理、安全評審、安全運維、安全訪談、安全培訓(xùn)、安全測試、安全認證等安全服務(wù)。

5.5安全評估

安全評估是對營銷系統(tǒng)潛在的風(fēng)險進行評估（RiskAssessment），在風(fēng)險尚未發(fā)生或產(chǎn)生嚴重后果之前對其造成后果的危險程度進行分析，制定相應(yīng)的策略減少或杜絕風(fēng)險的發(fā)生概率。營銷系統(tǒng)的安全評估主要是針對第三方使用人員，評估內(nèi)容涵蓋，終端安全和接入網(wǎng)絡(luò)安全。根據(jù)國家電網(wǎng)公司安全等級標準，對核心業(yè)務(wù)系統(tǒng)接入網(wǎng)絡(luò)安全等級進行測評，并給出測評報告和定期加固改造辦法，如安裝終端加固軟件/硬件，安裝監(jiān)控軟件、增加網(wǎng)絡(luò)安全設(shè)備、增加安全策略，包括禁止違規(guī)操作、禁止越權(quán)操作等。

5.6應(yīng)急管理

為了營銷系統(tǒng)7×24小時安全運行，必須建立健全快速保障體系，在系統(tǒng)出現(xiàn)突發(fā)事件時，有效處理和解決問題，最大限度減小不良影響和損失，制定合理可行的應(yīng)急預(yù)案，主要內(nèi)容包括：明確目標或要求，設(shè)立具有專門的部門或工作小組對突發(fā)事件能夠及時反應(yīng)和處理。加強規(guī)范的應(yīng)急流程管理，明確應(yīng)急處理的期限和責(zé)任人。對于一定安全等級的事件，要及時或上報。

6實施部署

營銷系統(tǒng)為多級部署系統(tǒng)。根據(jù)國家電網(wǎng)信息網(wǎng)絡(luò)分區(qū)域安全防護的指導(dǎo)思想原則，結(jié)合新疆多地市不同安全級別需求的實際情況，營銷系統(tǒng)網(wǎng)絡(luò)整體安全部署如圖2所示。在營銷系統(tǒng)部署中，對安全需求不同的地市子網(wǎng)劃分不同的安全域，網(wǎng)省管控平臺部署在網(wǎng)省信息內(nèi)網(wǎng)，負責(zé)對所有安全防護措施的管控和策略的下發(fā)，它是不同安全級別地市子系統(tǒng)信息的管理控制中心，也是聯(lián)接總部展示平臺的橋梁，向國網(wǎng)總公司提交營銷系統(tǒng)安全運行的數(shù)據(jù)和報表等信息。

7結(jié)束語

第9篇：網(wǎng)絡(luò)安全等級保護辦法范文

1加強設(shè)備安全性設(shè)計

AFC系統(tǒng)具有數(shù)目眾多的站級終端設(shè)備，因此設(shè)備的安全性不容忽視，設(shè)備安全性主要表現(xiàn)在兩個方面。1)作為與乘客交互最多的設(shè)備，首先需要保障維修維護人員以及乘客的人身安全，為了達到這一點，需要在AFC系統(tǒng)終端設(shè)備設(shè)計制造時遵循一定的原則:如所有設(shè)備應(yīng)具備相應(yīng)的安全保護，設(shè)備防水性能良好，設(shè)備內(nèi)各模塊應(yīng)固定防止隨意移動，所有接頭應(yīng)具有固定措施;所有設(shè)備應(yīng)有良好的接地措施保證設(shè)備金屬外殼不帶電，所有設(shè)備及通信線路應(yīng)具備相應(yīng)的電源保護措施，所有設(shè)備都應(yīng)配有UPS電源，以防止突然斷電帶來的系統(tǒng)威脅;閘機通道具有人員通過安全保護機制，扇門需要剛?cè)徇m中能夠承受乘客的猛烈撞擊對設(shè)備帶來的損害，同時也能讓乘客在強制闖過扇門時不受到傷害。另外，設(shè)備內(nèi)部結(jié)構(gòu)設(shè)計需要合理，便于人員維修操作，不應(yīng)有尖利部位導(dǎo)致人員的劃傷。2)作為與現(xiàn)金收益有直接關(guān)系的系統(tǒng)設(shè)備應(yīng)該重視收益安全的設(shè)計，錢箱和票箱都應(yīng)加鎖，且所有錢箱在設(shè)備中具有密封性，操作人員不能直接接觸到TVM內(nèi)找零用的現(xiàn)金、錢箱內(nèi)的現(xiàn)金和車票，在設(shè)備發(fā)售車票或者車票回收的過程中，即使是設(shè)備的某些部件發(fā)生故障，車票只能按設(shè)定的路徑進入取票口或者回收箱中，不應(yīng)散落在設(shè)備的其他部位。設(shè)備中經(jīng)常需要更換的票箱與錢箱，由于經(jīng)常搬運和卸載，因此需要有較寬的接觸面不易傾斜，西安地鐵2號線就是由于票箱立面較窄，易傾斜磕碰而造成票箱的損壞。涉及錢款的部件在拆卸和更換過程中必須經(jīng)系統(tǒng)授權(quán)和身份認證，系統(tǒng)中錢箱的更換都應(yīng)有日志記錄，可明確顯示卸載人以及卸載時間，卸載時錢箱中錢款的情況，比如西安地鐵現(xiàn)在使用的TVM和檢票機錢箱、票箱都配置唯一的電子標志，TVM和檢票機還配備了電子儲存模塊，對錢箱使用情況進行記錄，進入該錢箱的可累計現(xiàn)金金額、最后一次裝入設(shè)備和從設(shè)備取出的時間、最后一次取出時的該錢箱內(nèi)的現(xiàn)金金額以及最后一次取出時的操作人員號碼等內(nèi)容。

2實現(xiàn)網(wǎng)絡(luò)安全性

目前，世界上有65%以上的網(wǎng)站癱瘓是源于病毒、黑客的入侵與攻擊。防火墻和入侵檢測系統(tǒng)是防御這類攻擊的有效辦法，西安地鐵2號線AFC系統(tǒng)處于獨立的專網(wǎng)中(網(wǎng)絡(luò)結(jié)構(gòu)見圖1)，僅在小清分系統(tǒng)與西安市一卡通系統(tǒng)留有外部接口，并在此處安裝防火墻，隔離AFC網(wǎng)絡(luò)系統(tǒng)和外部網(wǎng)絡(luò)，此處的防火墻配置了DOS/DDOS功能，可實現(xiàn)對各種拒絕服務(wù)攻擊的有效防范，還配置了ARP欺騙攻擊防范，以及超大ICMP報文攻擊防范，設(shè)置了防火墻的告警策略，啟動了防火墻日志功能。除此之外，采用基于狀態(tài)的特征檢測技術(shù)，基于協(xié)議異常分析的檢測技術(shù)和基于流量異常分析的檢測，對付來自外網(wǎng)和內(nèi)網(wǎng)的攻擊，縮短發(fā)現(xiàn)黑客入侵的時間。入侵檢測技術(shù)與防火墻共同協(xié)作，對AFC系統(tǒng)網(wǎng)絡(luò)入口進行多層次安全保護，形成整體縱深的安全防護體系。雖然AFC系統(tǒng)處于專網(wǎng)環(huán)境中，但由于系統(tǒng)升級等需求不可避免地會與外界存儲設(shè)備存在交互，因此對于內(nèi)網(wǎng)的管理，除了應(yīng)用網(wǎng)絡(luò)防病毒體系外，還可以采用漏洞掃描和日志告警功能，使得系統(tǒng)在遭受攻擊之前，可以了解和修復(fù)自身網(wǎng)絡(luò)安全問題，提早發(fā)現(xiàn)漏洞，阻斷病毒傳播。另外，系統(tǒng)還應(yīng)該具備外部存儲設(shè)備的認證功能，即只有被認證過的設(shè)備才可以在系統(tǒng)中使用，防止外界存儲設(shè)備給系統(tǒng)感染病毒。

3關(guān)注軟件和數(shù)據(jù)安全性

在整個AFC系統(tǒng)中，乘客應(yīng)用AFC系統(tǒng)在不同層次將產(chǎn)生各種類型的數(shù)據(jù)，這些海量的數(shù)據(jù)存在丟失、損壞、被篡改的風(fēng)險，因此各層次下設(shè)備需要根據(jù)其自身的需求對相應(yīng)的數(shù)據(jù)進行保護，主要工作如圖2所示。對這些安全需求系統(tǒng)應(yīng)該采取以下措施:1)需要有安全產(chǎn)品的應(yīng)用，即涉及數(shù)據(jù)的設(shè)備都需要有防病毒軟件，以保護系統(tǒng)數(shù)據(jù)不被外界損壞，硬件采用專用的Unix操作系統(tǒng)，采用Oracle數(shù)據(jù)庫產(chǎn)品系列。2)需要安全密鑰系統(tǒng)的應(yīng)用，通過ISAM和PSAM卡保證所有設(shè)備的合法性，通過TAC碼來確保終端交易數(shù)據(jù)的合法性。西安地鐵2號線采用了3DES對稱密鑰算法，確保數(shù)據(jù)的加密與外界的隔離，有效地達到了認證的安全性。3)為了防止數(shù)據(jù)在闡述過程中被篡改，系統(tǒng)需要應(yīng)用CRC碼進行校驗。4)系統(tǒng)需要提供細致的權(quán)限管理，在運營過程中由于維護人員眾多，角色不一，因此對系統(tǒng)的誤操作很容易破壞系統(tǒng)的數(shù)據(jù)，因此，系統(tǒng)需要提供細致的權(quán)限管理功能，維護人員為不同角色的人員提供相應(yīng)權(quán)限，防止誤操作和數(shù)據(jù)的惡意破壞。5)為了保證系統(tǒng)數(shù)據(jù)的安全性，系統(tǒng)提供數(shù)據(jù)冗余功能和數(shù)據(jù)跟蹤功能。西安地鐵2號線SLE設(shè)備中的數(shù)據(jù)在打包向上層設(shè)備傳輸前，將數(shù)據(jù)保存在設(shè)備的兩個不同物理空間上，SC、CC將數(shù)據(jù)再向上層傳輸前，保存4份數(shù)據(jù)，系統(tǒng)數(shù)據(jù)根據(jù)不同設(shè)備分別保存數(shù)據(jù)的期限為15天或者30天不等，并且提供專門的票卡跟蹤模塊。6)系統(tǒng)需要提供數(shù)據(jù)審計功能，系統(tǒng)各個層級不但要對數(shù)據(jù)的連續(xù)性進行審計跟蹤，還要將累計數(shù)據(jù)進行檢查，防止數(shù)據(jù)的重復(fù)或者丟失。

4完善策略安全性制度