信息安全-三级等保安全建设方案.pdf

信息安全三级等保安全建设方案 信息安全三级等保安全建设方案是指对于信息系统的安全保护需求，按照国家和地方、行业相关的安全政策、法规、标准、要求，制订可具体操作的安全策略，构建信息系统的安全技术体系、安全管理体系，形成集防护、检测、响应、恢复于一体的安全保障体系，以满足信息系统全方位的安全保护需求。 保护对象框架是指对信息系统从安全角度抽象后的描述方法，是信息系统内具有相似安全保护需求的一组信息资产的组合。依据信息系统的功能特性、安全价值以及面临威胁的相似性，信息系统保护对象可分为计算区域、区域边界、网络基础设施、安全措施四类。建立了各层的保护对象之后，应按照保护对象所属信息系统或子系统的安全等级，对每一个保护对象明确保护要求、部署适用的保护措施。 整体保障框架是指对安全保障技术在体系框架层次进行有效的组织，理清保护范围、保护等级和安全措施的关系，建立合理的整体框架结构，是对制定具体等级保护方案的重要指导。信息安全保障涉及技术和管理两个相互紧密关联的要素。信息安全不仅仅取决于信息安全技术，技术只是一个基础，安全管理是使安全技术有效发挥作用，从而达到安全保障目标的重要保证。 安全措施框架是按照结构化原理描述的安全措施的组合，本方案的安全措施框架是依据“积极防御、综合防范”的方针，以及“管理与技术并重”的原则进行设计的。安全措施框架包括安全技术措施、安全管理措施两大部分。安全技术措施包括安全防护系统（物理防护、边界防护、监控检测、安全审计和应急恢复等子系统）和安全支撑系统（安全运营平台、网络管理系统和网络信任系统）。 安全区域划分是指对信息系统按照其维护的数据类进行分区，划分为安全服务域、安全接入域、安全互联域以及安全管理域四类。在此基础上确定不同区域的信息系统安全保护等级。同一区域内的资产实施统一的保护，如进出信息保护机制，访问控制，物理安全特性等。信息系统可以划分为以下四个大的安全域（3+1 同构法）：安全接入域、安全服务域、安全互联域、安全管理域。 本方案的设计目标是实现信息系统的三级等保安全建设，保护信息系统的安全，防止各种安全威胁和风险，确保信息系统的长期稳定可靠运行。