TopSec等保.ppt

天融信等级保护解决方案－TopSec等级保护体系 等级保护的政策文件 等级保护的管理结构－北京为例 等级保护的政策文件与技术演进 等级保护基本需求 政策要求－符合等级保护的要求 系统定级 系统符合《基本要求》中相应级别的指标 符合《测评准则》中的要求 实际需求－适应客户实际情况 适应业务特性与安全要求的差异性 可工程化实施 基本安全要求中的各级指标 等级保护的生命周期 等级保护实施中需要解决的问题 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善 管理难度太大，管理成本高 需求分析－1 问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 需求：从组织整体出发，综合考核所有系统 方法：引入体系设计方法 安全体系的组成 需求分析－2 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求 方法：引入保护对象框架设计方法 保护对象框架－电信行业 保护对象框架-政府行业 保护对象框架－银行业 需求分析－3 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平 方法：引入安全平台的设计与建设方法 安全平台 需求分析－4 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善 需求：建立长效机制，建立可持续运行、发展和完善的体系 方法：建立安全运行体系 安全运行体系 需求分析－5 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善 管理难度太大，管理成本高 需求：需要高水平、自动化的安全管理工具 方法：引入安全管理平台 安全运维工作过程 正常工作流程－自上而下 安全管理中心框架 需求分析总结 符合等级保护制度与标准 引入体系设计方法 引入保护对象框架设计方法 引入安全平台的设计与建设方法 建立安全运行体系 以可信的理念和技术作支撑 等级保护体系设计方法 等级保护体系安全措施框架 成果－安全组织体系 成果－安全策略体系 成果－安全技术体系 成果－安全运行体系 等级保护体系的实现 安全组织与职责设计 安全培训与资质认证 安全策略体系与流程设计 网络与应用加密服务平台 业务应用系统安全改造 数据备份与冗灾平台 统一身份认证与授权管理平台 设备安全配置与加固 安全域划分与边界访问控制平台 安全管理运行中心 安全策略与流程推广实施 安全体系推广与常年咨询 防病毒、补丁和终端管理平台 统一安全监控与审计平台 安全技术体系建设 安全组织体系建设 安全策略体系建设 安全运行体系建设 安全规划 安全调查与风险评估 等级保护定级咨询 等级保护体系设计 方案设计 等级保护测评支持与咨询 定级阶段 规划阶段 实施与 运维阶段 常年安全运维外包服务 安全托管监控与管家服务 等级保护阶段 天融信提供的安全服务与解决方案 天融信安全服务总监 田野 Tian_ye@ 2003年9月 中办国办颁发 《关于加强信息安全保障工作的意见》 中办发[2003]27号 2005年9月 国信办文件 《 关于转发《电子政务信息安全等级保护实施指南》的通知 》 国信办[2004]25号 2006年1月 四部委会签 《 关于印发《信息安全等级保护管理办法的通知 》 公通字[2006]7号 2005年 公安部标准 《基本要求》 《定级指南》 《实施指南》 《测评准则》 2004年11月 四部委会签 《关于信息安全等级保护工作的实施意见》 公通字[2004]66号 云南 云南省人民政府第130号令 浙江 浙江省人民政府令 北京 北京政府第9号令 国家级政策文件 国家级技术标准 国家级政策文件 地方