基于等级保护恶意代码防护体系建设方案.pdfVIP

基于等级保护的恶意代码防护体系建设方 案 目录 一、概述 4 1.1 信息安全等级保护政策要求 4 1.2 信息安全等级保护方案的整体思路 5 1.3 信息安全等级保护方案总体目标 6 1.4 信息安全等级保护建设目标 6 二、信息系统安全现状分析 7 2.1 物理安全 8 2.2 网络安全 8 2.2.1 结构安全 9 2.2.2 访问控制 10 2.2.3 安全审计 10 2.2.4 边界完整性检查 10 2.2.5 入侵防范 11 2.2.6 恶意代码防范 11 2.2.7 网络设备防护 11 2.3 主机安全 12 2.3.1 身份鉴别 12 2.3.2 访问控制 13 2.3.3 安全审计 13 2.3.4 剩余信息保护 13 2.3.5 入侵防范 13 2.3.6 恶意代码防范 14 2.3.7 资源控制 14 2.4 应用安全 14 2.5 数据安全及备份恢复 15 2.5.1 数据完整性 15 2.5.2 数据保密性 16 2.5.3 备份和恢复 16 2.6 安全管理 16 2.6.1 安全管理体系的建设内容 16 2.6.2 安全管理机构建设 17 2.6.3 安全管理制度建设 18 2.6.4 安全标准体系建设 18 2.6.5 安全教育和培训 18 2.6.6 应急响应计划 19 三、基于等级保护的恶意代码防护体系设计 19 3.1 设计原则 19 3.2 参考标准 20 3.3 基于等级保护的恶意代码防护体系建设方案 21 3.3.1 针对恶意代码防护在不同等级中的技术要求 21 3.3.2 针对恶意代码防护在不同等级中的管理要求 22 3.3.3 针对恶意代码防护在不同等级中的集中控制管理要求 23 3.3.4 信息安全等级保护所需解决方案对应表 23 3.3.5 安全等级解决方案与亚信安全产品等级满足情况 24 3.3.6 等级保护细则要求与亚信安全解决方案对应 24 一、概述 1.1 信息安全等级保护政策要求 随着我国网上交易、电信运营、政府网上信息公开、企业信息化进程的快 速发展，信息系统越来越与公民权益、社会秩序、公共利益、直至国家安全紧 密相关，基础信息网络和各行各业的重要信息系统已经成为国家的关键基础设 施。随着安全攻防技术的不断进步与发展，信息安全保障工作的重要性显而易 见。为了高信息安全保障能力和水平，保障和促进信息化建设，国家正在大 力推行信息安全等级保护制度。等级保护已经成为一项国家层面的信息安全基 本制度。 为了加强对国家信息系统的保密管理，确保信息安全，国家明确出了信 息系统的建设使用单位必须根据分级保护管理办法和有关标准，对信息系统分 等级实施保护。 2007 年，公安部、国家保密局、国家密码管理局、国务院信息化工作办公 室联合发布了《信息安全等级保护管理办法》。《办法》将信息系统的安全保护 等 级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造 成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产 生