2014等级三级系统安全防护应用.docVIP

概述 信息安全等级保护制度作为国家信息安全保护的基本国策，目前已在全国各行业得到广泛推广和落实。根据国家的相关要求，已经定级备案的信息系统应在三年之内完成整改建设工作，并通过等级保护相关测评。随着等保建设逐步提上日程，各单位在如何利用现有安全保密产品的条件下，结合本单位实际满足等保要求方面面临诸多困惑。笔者结合本单位在等保建设中的实践，抛砖引玉，就三级系统下如何满足等保要求进行有效的探索。第三级系统安全保护环境的设计目标是：按照GB17859-1999对第三级系统的安全保护要求，在第二级系统安全保护环境的基础上，通过实现基于安全策略模型和标记的强制访问控制以及增强系统的审计机制，使系统具有在统一安全策略管控下，保护敏感资源的能力。 　　本系统根据“一个中心”管理下的“三重保护”体系框架进行设计，构建安全机制和策略，形成定级系统的安全保护环境。该环境共包括四部分：安全计算环境、安全区域边界、安全通信网络和安全管理中心。 　按照等级保护三级的要求，笔者主要针对以下四个方面进行设计： 　　2.1安全计算环境设计 　　(1)用户身份鉴别 　　应支持用户标识和用户鉴别。 　　(2)自主访问控制 　　在安全策略控制范围内，使用户对其创建的对象具有访问操作权限，这个权限可以根据用户进行授权。可以具体到针对被访问对象的具体操作。 　　(3)标记和强制访问控制