XXXX集团信息安全建设整体规划

信息安全体系建设

XXX集团战略信息安全建设

整体规划

信息安全体系建设

目录

一.概述............................................................................................................................................. 3

二.设计方法 ..................................................................................................................................... 3

2.1标准化原则 ......................................................................................................................... 4

2.2整体化原则 ......................................................................................................................... 4

2.3等级化原则 ......................................................................................................................... 6

三.XXX集团信息化和安全现状分析 .............................................................................................. 8

四.XXX集团信息安全保障总体框架 ............................................................................................ 12

4.1总体安全方针 ................................................................................................................... 12

4.1.1安全使命 ................................................................................................................ 12

4.1.2安全目标 ................................................................................................................ 12

4.2安全保障框架 ................................................................................................................... 13

五.XXX集团信息安全建设整体规划 ............................................................................................ 14

5.1信息安全管理体系建设 ................................................................................................... 14

5.1.1安全组织建设 ........................................................................................................ 14

5.1.2安全策略建设 ........................................................................................................ 15

5.1.3安全运维建设 ........................................................................................................ 15

5.2物理安全建设 ................................................................................................................... 21

5.3网络安全建设 ................................................................................................................... 21

5.4系统安全建设 ................................................................................................................... 22

5.5应用和数据安全建设 ....................................................................................................... 23

5.6系统和数据备份管理 ....................................................................................................... 24

5.7应急响应管理 ................................................................................................................... 24

5.8灾难恢复管理 ................................................................................................................... 24

5.9人员管理和教育培训 ....................................................................................................... 24

六.XXX集团信息安全建设后的拓扑结构 .................................................................................... 25

信息安全体系建设

一.概述

随着XXX集团的发展，对信息系统的依赖程度也越来越高，信息安全

的问题也越来越突出，对计算机信息安全保障工作也提出了更高的要求。为

了有效防范和化解风险，保证信息系统平稳运行和业务持续开展，须建立

XXX集团的信息安全保障框架，以增强信息安全风险防范能力。

本方案根据系统现状，提出了信息安全的整体规划方案，包括XXX集

团信息安全的宗旨与目标，安全保障框架要求，建设总体策略选择，具体安

全技术方案等内容。

本方案的适用于指导XXX集团信息系统的信息安全工作，包括管理、

建设和维护等。适用于各管理职能部门的信息安全管理、建设和维护工作。

二.设计方法

本文档编写的目的在于规划XXX集团的信息安全建设内容，明确XXX

集团未来信息安全建设的方向，并为XXX集团从目前的信息安全现状过度

到目标信息安全保障框架所涉及的项目优先级确定、项目计划、项目预算等

提供依据。

XXX集团安全方案的设计目标是以XXX集团IT系统的实际情况和现实

问题为基础，参照国际和国内的安全标准和规范，充分利用成熟的信息安全

理论成果，设计出整体性好、可操作性强，并且融组织、管理和技术为一体

的安全建设方案。

XXX集团安全建设方案可分为安全总体方针、安全组织设计、安全策略

规划、安全技术方案、安全运作等几个方面，主要针对对象是XXX集团IT

系统，具体涉及网络、主机、应用软件、数据库和业务数据安全等诸多层次。

安全方案设计的三个原则如下：

整体性原则：范围和内容整体全面，包括安全涉及的各个层面（应用、

系统、网络、管理制度、人员等），避免由于遗漏造成未来的安全隐患。

符合性原则：符合国家27号文件指出的积极防御、综合防范的方针和等

信息安全体系建设

级保护的原则，符合国家各种安全标准规范，符合IT内控的各种规范。

标准性原则：设计与实施依据国内或国际的相关标准进行，例如等级保

护标准、、ISO 17799标准、ISO 13569标准等；

2.1标准化原则

本项目参考的相关标准和文档包括：

美国国家安全战略 美国的《保护网络空间的国家战略》 俄罗斯联邦信息安全学说 欧洲信息与网络安全策略 ISO27001 ISO15408/CC IATF 等级保护基本要求 等级保护安全技术设计要求

2.2整体化原则

一般地，对安全保障框架的研究主要采用两种思路，一是“模型化”，它

通过将要保护的对象通过模型的方式表达，获取其安全需求；一是“最佳实

施”，它通过列举安全控制来构造理想的安全体系。这两种模型都存在着一定

的缺陷，模型化思路的主要难点在于难以完整和准确地表达一个信息系统，

而最佳 …… 此处隐藏：9811字，全部文档内容请下载后查看。喜欢就下载吧 ……