集团公司网络安全总体规划方案.docVIP

昆明钢铁集团公司 信息安全建设规划建议书 昆明睿哲科技有限公司 2013年11月 目录 第1章 综述 3 1.1 概述 3 1.2 现状分析 4 1.3 设计目标 8 第2章 信息安全总体规划 10 2.1设计目标、依据及原则 10 2.1.1设计目标 10 2.1.2设计依据 10 2.1.3设计原则 11 2.2总体信息安全规划方案 12 2.2.1信息安全管理体系 12 2.2.2分阶段建设策略 18 第3章 分阶段安全建设规划 20 3.1 规划原则 20 3.2 安全基础框架设计 21 第4章 初期规划 23 4.1 建设目标 23 4.2 建立信息安全管理体系 23 4.3 建立安全管理组织 25 第5章 中期规划 28 5.1 建设目标 28 5.2 建立基础保障体系 28 5.3 建立监控审计体系 28 5.4 建立应急响应体系 30 5.5 建立灾难备份与恢复体系 34 第6章 三期规划 37 6.1 建设目标 37 6.2 建立服务保障体系 37 6.3 保持和改进ISMS 38 第7章 总结 39 7.1 综述 39 7.2 效果预期 39 7.3 后期 39 综述 概述 信息技术革命和经济全球化的发展，使企业间的竞争已经转为技术和信息的竞争，随着企业的业务的快速增长、企业信息系统规模的不断扩大，企业对信息技术的依赖性也越来越强，企业是否能长期生存、企业的业务是否能高效的运作也越来越依赖于是否有一个稳定、安全的信息系统和数据资产。因此，确保信息系统稳定、安全的运行，保证企业知识资产的安全，已经成为现代企业发展创新的必然要求，信息安全能力已成为企业核心竞争力的重要部分。 企业高度重视客户及生产信息，生产资料，设计文档，知识产权之安全防护。而终端，服务器作为信息数据的载体，是信息安全防护的首要目标。 与此同时，随着企业业务领域的扩展和规模的快速扩张，为了满足企业发展和业务需要，企业的IT生产和支撑支撑系统也进行了相应规模的建设和扩展，为了满足的发展，市场的大力扩张，企业决定在近期进行的，的安全的运行，信息安全建设必然应该和当前的信息化建设进行统一全局考虑，相关的重要信息化建设中进行安全的考虑和规划，避免安全防护措施的遗漏，安全防护的滞后造成的重安全事件的发生。 本次企业信息安全体系建设规划主要考虑采用各种被证明是行之有效的各种信息安全产品和技术，帮助企业建设一个主动、高效、全面的信息安全防御体系，降低信息安全风险，更好的为企业生产和运营服务。 现状分析 企业在前期进行了部分信息安全的建设，包括终端上的防病毒，网络边界处的防火墙等安全软件和设备，在很大程度上已经 恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防：如何防范未知威胁，抵御不同攻击手段和攻击途径带来的信息安全冲击? 高级、有针对性的攻击已蔓延至各类规模企业 复杂混乱的应用与外接设备环境：如何确保应用和设备的准入控制？ 繁琐枯燥的系统维护和安全管理：如何更有效利用有限的信息人力资源？ 工具带来的新问题：如何保证安全策略的强制要求，统一管理和实施效果？ 终端接入不受控：如何确保终端满足制定的终端安全策略-终端准入控制 网页式攻击(Web-based Attack) 已成为最主流的攻击手法：如何确保访问可靠网站？ 内外部有意无意的信息泄露将严重影响企业的声誉和重大经济损失 从目前大多数多数 1.2.1 目前信息安全存在的问题 在信息系统安全评估中我们对网络设备、主机系统、数据库系统、应用系统、网络扫描、安全管理等等方面进行了安全评估，发现主要有如下的问题： 网络设备安全： 访问控制问题 ? 网络设备安全漏洞 ? 设备配置安全 系统安全： ? 补丁问题 ? 运行服务问题 ? 安全策略问题 ? 弱口令问题 ? 默认共享问题 ? 防病毒情况 应用安全： ? exchange邮件系统的版本问题 ? apache、iis、weblogic的安全配置问题 ? serv-U的版本问题 ? radmin远程管理的安全问题 数据安全： ? 数据库补丁问题 ? Oracle数据库默认帐号问题 ? Oracle数据库弱口令问题 ? Oracle数据库默认配置问题 ? Mssql数据库默认有威胁的存储过程问题 网络区域安全： ? 市局政务外网安全措施完善 ? 市局与分局的访问控制问题 ? 分局政务外网安全措施加强 安全管理： ? 没有建立安全管理组织 ? 没有制定总体的安全策略 ? 没有落实各个部门信息安全的责任人 ? 缺少安全管理文档 通过安全评估中的安全修复过程，我们对上述大部分的的安全问题进行了修补，但是依然存在残余的风险，主要是数据安全（已安排升级计划