云数据中心安全等级保护建设专项方案.doc

项目综述 项目背景 为了保障基于“健康云”、“智慧云”XX数据中心，天融信企业依据公安部《相关开展信息系统等级保护安全建设整改工作指导意见》公信安[20XX]1389号)要求，落实“经过组织开展信息安全等级保护安全管理制度建设、技术方法建设和等级测评，落实等级保护制度各项要求，使信息系统安全管理水平显著提升，安全防范能力显著增强，安全隐患和安全事故显著降低，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益”方针，为XX数据中心需要在计划、建设和使用相关信息系统同时对信息安全也要同时建设，全方面开展信息安全等级保护建设整改工作。 安全目标 XX信息安全等级保护建设工作总体目标是： “遵照国家信息安全等级保护相关法规要求和标准规范，经过全方面开展信息安全等级保护定级立案、建设整改和等级测评工作，深入实现对整个新建云平台信息系统安全管理体系和技术防护体系，增强信息安全保护意识，明确信息安全保障关键，落实信息安全责任，切实提升系统信息安全防护能力，为整个云平台顺利建设和信息化健康发展提供可靠保障。” 具体目标包含 （1）体系建设，实现按需防御。经过体系设计制订等级方案，进行安全技术体系、安全管理体系和安全运维体系建设，实现按需防御。 （2）安全运维，确保连续安全。经过安全监控、安全加固等运维手段，从事前、事中、事后三个方面进行安全运行维护，实现连续性按需防御安全需求。 （3）经过合规性建设，提升XX云平台安全防护能力，保障系统信息安全，同时满足国家等级保护合规性要求，为信息化工作推进保驾护航。 建设范围 本方案设计范围覆盖XX新建云平台基础设施服务系统。安全对象包含： 云内安全：虚拟化环境中虚拟化平台及其相关虚拟化网络、虚拟化主机安全防护； 云外安全：虚拟化环境以外网络接入，关键交换，存放备份环境。 建设依据 国家相关政策要求 （1）《中国计算机信息系统安全保护条例》（国务院147号令）； （2）《国家信息化领导小组相关加强信息安全保障工作意见》（中办发[20XX] 27号）； （3）《相关信息安全等级保护工作实施意见》（公通字[20XX]66号）； （4）《信息安全等级保护管理措施》（公通字 [20XX]43号）； （5）《信息安全等级保护立案实施细则》（公信安[20XX]1360号）； （6）《相关加强国家电子政务工程建设项目信息安全风险评定工作通知》（发改高技[20XX]2071号）； （7）《相关开展信息安全等级保护安全建设整改工作指导意见》（公信安[20XX]1429号）。 等级保护及信息安全相关国家标准 （1）《计算机信息系统安全保护等级划分准则》（GB17859-1999）； （2）《信息安全技术 信息系统安全等级保护实施指南》（GBT 25058-20XX）； （3）《信息安全技术 信息系统安全保护等级定级指南》（GB/T22240-20XX）； （4）《信息安全技术 信息系统安全等级保护基础要求》（GB/T22239-20XX）； （5）《信息安全技术 信息系统等级保护安全设计技术要求》（GB/T 25070-20XX）； （6）《信息安全技术 信息系统安全等级保护测评要求》； （7）《信息安全技术 信息系统安全等级保护测评过程指南》； （8）《信息安全技术 信息安全风险评定规范》（GB/T 20984-20XX）； （9）《信息安全技术 信息系统安全管理要求》（GB/T 20269-20XX）； （10）《信息技术 安全技术 信息安全管理体系要求》（GB/T 22080-20XX（idt ISO/IEC 27001:20XX））； （11）《信息技术 安全技术 信息安全管理实用准则》（GB/T 22081-20XX（idt ISO/IEC 27002:20XX））； （12）《信息安全技术 信息系统通用安全技术要求》（GB/T 20271-20XX）及相关一系列具体技术标准。 云安全等保风险分析 因为本系统是新建设系统，而且还未布署应用。机房环境现在已经很完备，含有很好物理安全方法。 所以目前最关键工作是依据等级保护基础要求，着重进行网络层、主机层、数据层等方面等级保护安全技术建设工作。 另外，天融信含有等级保护教授团体，深入了解国家等级保护相关政策，熟悉信息系统计划和整改工作关键点和步骤，将经过等级保护差距分析、文档审核、现场访谈、现场测试等方法，发掘现在云平台系统和等保技术和管理要求不符合项。并针对不符合项，进行逐条分析，确定建设方案。 在云架构下传统保护模式怎样建立层次型防护策略，怎样保护共享虚拟化环境下云平台建设中需关键考虑步骤；健康云和智慧云将实现基于云数据存放和集中管理，必需采取有效方法预防外部入侵和内部用户滥用权限；在信息安全保障体系实现时仍需满足国家信息安全等级保护政策要求，同时需要处理信