Topsec等级保护解决方案.ppt

天融信等级保护解决方案－TopSec等级保护体系 等级保护的政策文件 等级保护的管理结构－北京为例 等级保护的政策文件与技术演进 等级保护基本需求 政策要求－符合等级保护的要求 系统定级 系统符合《基本要求》中相应级别的指标 符合《测评准则》中的要求 实际需求－适应客户实际情况 适应业务特性与安全要求的差异性 可工程化实施 基本安全要求中的各级指标 等级保护的生命周期 等级保护实施中需要解决的问题 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善 管理难度太大，管理成本高 需求分析－1 问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 需求：从组织整体出发，综合考核所有系统 方法：引入体系设计方法 安全体系的组成 需求分析－2 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求 方法：引入保护对象框架设计方法 保护对象框架－电信行业 保护对象框架－石油行业 保护对象框架-政府行业 保护对象框架－银行业 需求分析－3 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平 方法：引入安全平台的设计与建设方法 安全平台 需求分析－4 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善 需求：建立长效机制，建立可持续运行、发展和完善的体系 方法：建立安全运行体系 安全运行体系 需求分析－5 标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统 各系统单独保护，将冲突和割裂，形成信息孤岛 复杂大系统的分解和差异性安全要求描述很困难 各系统安全单独建设，将造成分散、重复和低水平 在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善 管理难度太大，管理成本高 需求：需要高水平、自动化的安全管理工具 方法：引入安全管理平台 安全运维工作过程 正常工作流程－自上而下 安全管理中心框架 需求分析总结 符合等级保护制度与标准 引入体系设计方法 引入保护对象框架设计方法 引入安全平台的设计与建设方法 建立安全运行体系 以可信的理念和技术作支撑 等级保护体系设计方法 等级保护体系安全措施框架 成果－安全组织体系 成果－安全策略体系 成果－安全技术体系 成果－安全运行体系 等级保护体系的实现 安全管理运行中心 技术体系 安全组织设置和岗位职责 安全教育、培训与资质认证 组织体系 安全策略体系设计 安全策略与流程推广实施 策略体系 项目建设的安全管理 安全风险管理与控制 保护对象框架 内部与第三方人员安全管理 日常安全运行与维护 安全体系推广与落实 运作体系 全程全网监控和审计平台 统一监控与审计管理平台 终端管理和防病毒集中管理平台 安全域和网络访问控制平台 终端管理和防病毒集中管理平台 防病毒、补丁和终端管理平台 设备安全配置与加固 基础设施安全 第三方统一安全接入平台 应用加密平台 第三方统一安全接入平台 统一鉴别认证平台 数据备份与冗灾平台 统一身份认证与授权管理平台 应用系统安全增强 应用安全 安全组织与职责设计 安全培训与资质认证 安全策略体系与流程设计 网络与应用加密服务平台 业务应用系统安全改造 数据备份与冗灾平台 统一身份认证与授权管理平台 设备安全配置与加固 安全域划分与边界访问控制平台 安全管理运行中心 安全策略与流程推广实施 安全体系推广与常年咨询 防病毒、补丁和终端管理平台 统一安全监控与审计平台 安全技术体系建设 安全组织体系建设 安全策略体系建设 安全运行体系建设 安全规划 安全调查与风险评估 等级保护定级咨询 等级保护体系设计 方案设计 等级保护测评支持与咨询 定级阶段 规划阶段 实施与 运维阶段 常年安全运维外包服务 安全托管监控与管家服务 等级保护阶段 天融信提供的安全服务与解决方案 天融信安全服务总监 田野