企业开展网络信息安全工作的策略与方法概述.ppt

中央企业开展网络信息安全工作的策略与方法; 目 录;宏观形势;; 目 录;网络信息安全工作方法;信息安全体系总体框架——建立符合业界标准的目标架构;信息安全体系的有机组成;目 录;信息安全策略体系框架;信息安全制度标准体系; 月报制度：制定 信息安全评价指标，建立定报制度，每月下发信息安全通报，及时向省公司提出预警及管理要求。 专报制度：对影响公司发展的业务、技术、管理安全风险进行分析，向管理层提交信息安全专报，发出安全预警，降低风险。 整改工单：就信息安全风险、安全事件，向各单位下发整改工单。;目 录;信息安全决策机构：从企业高层的角度对于信息安全方面的工作进行指导和控制 信息安全管理机构：整个信息安全管理体系建立和维护的组织者和管理者 信息安全执行机构：负责具体信息安全工作的执行和开展 信息安全监管机构：对企业内信息安全工作的开展情况进行独立的审查和监督。;2009.7 客户信息安全保护委员会;信息安全组织机构;信息安全人才队伍建设;目 录;安全战略管理 ;安全防护体系—安全管控平台;;安全技术体系—网站纵深安全防护;脆弱性检测 基于网络爬虫的主动扫描技术，检测网站状况，并输出包含风险分析及解决方案的监控数据。 篡改检测 使用数字水印技术及页面框架比对等技术，智能的检测出网站页面上是否出现了不寻常的新链接。 挂马检测 采用 “脚本沙箱”技术，能够完全模拟所有的脚本层交互行为。;安全运行管理系统以风险管理为核心，以资产信息库为基础，主要包括安全事件管理、安全预警管理、安全风险管理、安全对象管理、安全策略管理、安全工作流程管理等各功能模块，全面支持安全运行管理工作，逐步实现动态、可量化的安全管理。;目 录;根据公安部《信息安全等级保护管理办法》、《信息安全等级保护备案实施细则》和工业和信息化部《通信网络安全管理办法》（部第11号令），开展等级保护工作。;安全运行体系—将安全生产融入日常运维;在新业务规划环节：新制定的业务规范中已明确网络安全要求，并在设备集采评分时有所体现； 在新签采购合同：以合同附件形式???充《保密协议》与《中国移动通用网络与信息安全责任条款》，通过对网络安全检查结果分析以及部分省的专项了解，目前各省已在新签合同中签署安全要求。 在设备入网环节：增加网络安全审核，进行设备安全功能、通用安全补丁兼容性测试，接入管控平台，端口进程、防护措施是否正常应用等项目的检查，促进设备安全功能的提高。 在系统运维环节：开展常态化安全评估扫描，针对发现的安全问题，及时进行安全加固。; 建立监督检查工作机制，开展常规安全检查、第三方监测、事件稽查、业务安全评估，以查促建、以查促优，实现信息安全能力持续螺旋式提升。;安全运行体系—应急响应;目 录;日 常检 测; 通过信息安全合规管理平台，实现管理要求发布、任务执行、安全检查、整改跟踪的管理闭环，提升日常安全运营工作标准化和信息化水平。;;建队伍