省级分行信息安全等级保护及建设方案.docxVIP

省级分行信息安全等级保护及建设方案探讨 摘要：随着网络攻击技术的发展，信息安全等级保护工作愈发重要。民生银行三亚分行 作为商业银行的省级分行，起着承上启下的重要作用。本文从信息安全等级保护角度出发， 探讨等级划分的要求，以及省级分行信息安全系统建设方案。 关键字：信息安全等级保护;省级分行;建设方案 1概述 随着信息安全技术的发展，人们安全意识的捉高，大家越来越意识到信息安 全保护的重要性，国家层而信息安全更是纳入到十三五规划的一?项重耍建设内容。 但是近年来，信息安全问题层出不穷，安全保护措施、安全管理建设不足，导致 各种安全事故发生，每年因信息安全问题导致的损失数不胜数。 银行业作为一个对信息安全要求很高的行业，采取高标准，严耍求的防范措 施，但仍为信息安全事件的重灾区。信息安全管理需耍实行等级化保护，国家制 定相关法律法规，统一规范，共同做好信息安全保护工作，保障和促进信息化建 设健康发展。 2信息安全等级划分及体系结构 2007年7月，四部委联合会签并下发了《关于开展全国重要信息系统安全 等级保护定级工作的通知》（公信安），定级范围涉及到各行各业。 实行等级保护的总体口标是为了统一信息安全保护工作，推进规范化、法制化建 设，保障安全，促进发展，完善我国信息安全法规和标准体系，提高我国信息安 全和信息系统安全建设的整体水平 2.1信息系统安全保护等级划分 第一级为自主保护级，主要对象为一般的信息系统，其受到破坏后，会对公 民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建 设和公共利益。 第二级为指导保护级，主耍对象为一定程度上涉及国家安全、社会秩序、经 济建设和公共利益的一般信息系统，其受到破坏后，会对国家安全、社会秩序、 经济建设和公共利益造成一定损害。 第三级为监督保护级，主要对象为涉及国家安全、社会秩序、经济建设和公 共利益的信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害。 第四级为强制保护级，主要对彖为涉及国家安全、社会秩序、经济建设和公 共利益的重要信息系统，其受到彼坏后，会对国家安全、社会秩序、经济建设和 公共利益造成严重损害。 第五级为专控保护级，主要对象为涉及国家安全、社会秩序、经济建设和公 共利益的重要信息系统的核心子系统，莫受到破坏后，会对国家安全、社会秩序、 经济建设和公共利益造成特别严重损害。 2信息系统安全体系结构 信息安全体系架构，从基础物理环境至制度管理建设，分层如下： a、物理安全：物理位置选择、物理访问控制、防盗和防破坏、防雷击、防 火、防水、防潮湿、防静电、电力保障、电磁防护。 b、 网络安全：结构安全和网段划分、网络访问控制、拨号访问控制、网络 安全审计、边界完整性检测、网络入侵防范、网络设备防护、恶意代码防范。 c、 主机系统安全：身份鉴別、口主访问控制、强制访问控制、安全审计、 系统保护、剩余信息保护、入侵防范、恶意代码防范、资源控制。 d、 应用安全：身份鉴别、访问控制、安全审计、剩余信息保护、通信保密 性、通信完整性、抗抵赖、软件容错、资源控制. e、 管理安全：环境管理、资产管理、介质管理、设备管理、监控管理、网 络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与 恢复管理、安全事件管理、应急预案管理 管理层应用层防火墙网络层物理层入侵检测系统—I物理设备安全环境安全 管理层 应用层 防火墙 网络层 物理层 入侵检测系统—I 物理设备安全 环境安全 3省级分行安全系统技术要求及建设方案探讨 3.1省级分行等级保护技术要求 按照信息系统安全等级划分方法，金融机构省级分行一般划分为三级，按照 《信息系统等级保护安全设计技术要求》，三级系统的安全建设要在安全管理屮 心支撑下，按照计算环境安全、区域边界安全、通信网络安全构筑三重防护体系。 3.1.1计算环境安全设计 用户标识和用户鉴别。在每一个用户注册到系统时，应采用用户名和用户标 识符的方式进行用户标识，并确保在系统整个生存周期用户标识的唯一性；在每 次用户登录系统吋，采用强化管理的口令、基于生物特征、基于数字证书以及其 他具有相应安全强度的两种或两种以上机制的组合进行用户身份鉴别，并对鉴別 数据进行保密性和完整性保护。 自主访问控制。应在安全策略控制范围内，使用户对自己创建的客体具有各 种访问操作权限，并能将这些权限的部分或全部授予其他用户；自主访问控制主 体的粒度应为用户级，客体的粒度应为文件或数据库表级和/或记录、字段级； 自主访问操作应包括对客体的创建、读、写、修改和删除等。 透明加解密。通过维护主体及其控制的存储客体（例如：进程、文件、段、 设备）相关的敏感标记，对敏感资源实施透明加解密机制。非授权用户即使得到 这些敏感信息