XXXX网络安全等级保护评估服务技术建议书.docVIP

xxxx网络安全等级保护 评估服务技术建议书 2010-09-10  目 录 第一部份 综述 4 第二部份 总体方案建议 5 1. 项目目标 5 2. 等级保护评估范围 5 3. 等级保护评估原则 9 4. 等级保护评估理论及标准 10 4.1 标准与规范 10 4.1.1 等级保护评估标准 10 4.1.2 标准体现 12 4.2 等级保护模型 12 4.2.1 等级保护 12 4.2.2 等级划分 13 4.2.3 等级保护能力 14 4.2.4 安全要求评估与检查 16 4.2.5 券商网安全等级 17 4.3 券商网安全等级计算方法 19 4.3.1 对数法 19 4.3.2 矩阵法 19 4.4 评估理论模型 20 4.4.1 安全风险过程模型 20 4.4.2 安全风险关系模型 20 4.4.3 安全风险计算模型 21 4.5 安全风险分析策略 24 4.5.1 风险计算原理 24 4.5.2 风险结果判定 25 4.6 券商网安全防护体系 26 5. 等级保护评估方案 27 5.1 第一次检查和评估 28 5.1.1 等级保护评估目标 28 5.1.2 等级保护评估方法 28 5.1.3 等级保护评估步骤 28 5.1.4 等级保护评估内容 29 5.2 第二次检查和评估 33 5.2.1 等级保护评估目标 33 5.2.2 等级保护评估方法 33 5.2.3 等级保护评估内容 34 5.2.4 远程评估 37 5.2.5 本地风险评估 43 5.3 评估过程风险控制 48  第一部份 综述 随着近年来我国网络建设和信息化建设的加快，企业、政府机关等组织的业务和信息化的结合越来越紧密，在给组织带来巨大经济和社会效益的同时，也给组织的信息安全和管理带来了严峻的挑战。一方面，信息安全由于其专业性，目前组织信息安全管理人员在数量和技能的缺乏等给全网的安全管理带来了很大的难度；另一方面现在的网络攻击技术新、变化快，往往会在短时间内造成巨大的破坏，同时由于互联网的传播使黑客技术具有更大的普及性和破坏性，会给组织造成很大的威胁，必需加强信息安全集中监管的能力和水平，从而减少组织的运营风险。 通过对xxxx的重要信息系统等级保护安全技术检查和风险评估，可以了解目前xxxx等级保护的定级是否准确、是否按照国家要求进行定级，同时能够识别网络中存在的各种安全风险，并以此为依据有目的性地调整网络的保护等级并提供解决方案，针对网络保护中存在的各种安全风险进行相应的网络安全技术和网络安全产品的选用和部署，对全网的安全进行统一的规划和建设，并根据等级保护检查和风险评估的结果指导xxxx下一步等级保护工作的开展,确实有效保障网络安全稳定运行。 正是在这样的背景下，yyyy结合自身多年在安全行业和等级保护的积累，为xxxx的网络安全等级保护提出了具有国内领先水平的等级保护评估方案。 本方案主要包括以下组成部分： 一．综述 二．总体方案建议  第二部份 总体方案建议 项目目标 本次对xxxx重要信息系统等级保护安全技术检查和风险评估的目标是： 对重要信息系统的安全等级进行检查和评估，判断其定级是否准确，定级是否符合国家有关部门的要求。 通过等级保护安全技术检查和评估，对等级保护定级不准确或者不符合要求的信息系统给出建议。 等级保护评估范围 本次评估，yyyy充分理解公安部的《信息系统安全等级保护实施指南》、《信息系统安全等级保护定级指南》等标准设计等级保护安全评估方案，对xxxx公司的重要信息系统的等级和安全现状进行评估。 本项目所评估的网络系统包含：……等等。具体评估系统如下： 3级以下信息系统如下：（共……个信息系统） 等级保护评估原则 yyyy等级保护评估服务将遵循以下原则： 保密原则：yyyy将与xxxx签订保密协议，同时公司与每个参与本项目的员工签订信息保密协议，保证项目过程中和项目结束后不会向第三方泄漏机密信息，保证公司和个人不会利用评估结果对xxxx造成侵害。在项目过程中获知的任何用户的信息，经过双方确认，并对相关文档属用户秘密信息，严格遵守保密协议中规定的要求，确保在实施，维护，合同有效期内的信息安全。 标准性原则：yyyy对xxxx等级保护评估方案的设计与实施应依据相关的等级保护安全标准以及国家有关部门制定信息安全和风险管理领域的国家标准进行，确保等级保护风险评估过程的规范、合理，并为等级保护评估成果提供了质量保证。 规范性原则：yyyy在等级保护评估项目中提供规范的工作过程和文档，具有很好的规范性，可用于项目的跟踪和控制。评估项目的实施由专业的项目管理人员和安全服务人员依照规范的操作流程进行，在评估之前制定计划和必要的工作申请，并提前告知对系统可能的影响，并提出风险规避措施并做出必要的应急