安全域规划解决方案.docx

安全域规划解决方案 编号 编制 审核 批准 密级 发布日期 变更记录 版本 修订时间 修订人 修订类型 修订章节 修订内容 ★修订类型分为：A-ADDED，M-MODIFIED，D-DELETED 注：对该文件内容增加、删除或修改均需填写此记录，详细记载变更信息，以保证其可追溯性 概述 背景 业务信息系统的建设是由业务需求驱动的，初始的建设大多没有统一规划，有些系统是独立的网络，有些系统又是共用一个网络。而这些系统的业务特性、安全需求和等级、使用的对象、面对的威胁和风险各不相同。当前XXX的网络系统是一个庞大复杂的系统，在支撑组织业务运营、发展的同时，信息系统面临的信息安全威胁也在不断增长、被发现的脆弱性或弱点越来越多、信息安全风险日益突出，成为组织面临的重要的、急需解决的问题之一 ?信息系统规模大、结构复杂，组网方式随意性强，缺乏统一规划，扩展性差，难于有效的管理； ?网络区域之间边界不清晰，互连互通没有统一控制规范； ?业务系统各自为政，与外网存在多个出口，无法统一管理； ?安全防护策略不统一，安全防护手段部署原则不明确； ?缺乏对Internet、合作伙伴、第三方（集成商、服务商）、集团公司及内部广域网等系统的有效管理和控制； ?对访问关键业务的相对不可信终端接入网络的情况比较混乱，缺乏有效控制。 上述现状将同时导致信息系统在信息安全保障和管理方面暴露出以下一些问题，而这些问题的长期存在，必将对整个信息系统的安全、可靠的运营造成很大的威胁。 ?无法有效隔离不同业务领域，跨业务领域的非授权互访难于发现和控制； ?无法有效控制入侵和网络病毒的发作区域和影响； ?不能及时的发现安全事件和响应； ?第三方维护人员大量参与生产系统维护时的没有访问控制和授权； ?合作伙伴的身份无法准确认证； ?管理员密码和权限难以管理； ?关键服务器、信息资产的缺乏重点防护。 必要性 1）突破传统IT安全体系规划和建设的局限性和弊端 传统的IT网络安全经常采用如逻辑隔离的方式来建设，如采用防火墙隔离出DMZ区，进行内部服务区与对外服务区隔离。这种方法对比较简单的信息系统是比较实用的，但对于复杂的、有多种外部连接、存在多种访问用户和方式的信息系统来说，这只是“网络隔离”的做法，仅仅局限于不同网络功能区的隔离，保障的核心是网络通信的隔离，并不能保障信息安全。另外，这种做法将信息系统的各种业务活动(或者说：各种业务数据、数据流)混在一起，没有区分各种业务活动所面临的威胁和信息安全风险差别，没有采用具有针对性的、系统的防范措施去保证信息的安全。 2）改正“只重技术、不讲业务”的局面 传统的IT安全注重对网络安全的防护，缺少对业务层面、应用层面的安全分析和防护。传统的DMZ区域隔离、VLAN划分、NAT技术等，以及主机加固、漏洞扫描、入侵监测等关注的重点是网络、系统层面的安全，大多不涉及信息系统的应用层面，对系统的应用软件架构、数据采集处理存储、用户鉴别认证、审计监控和稽查等等方面关注不足，更没有从业务层面去分析信息系统的实际安全需求，并从业务安全出发提出所需的安全服务内容和等级，构建与之相适应的安全机制，描述安全产品、措施的最佳部署位置和方式，落实运行管理维护职责，以构建完善的信息安全保障体系，有效地保障业务安全，避免“虽然部署了几乎所有的防火墙、入侵监测、审计等安全产品，但安全问题依旧层出不穷”的局面。 3）改变信息安全保障建设的无序局面 一个单位常常拥有多个业务信息系统来支撑组织的正常运营，这些信息系统往往由不同的部门或小组进行管理、维护，而且由于业务需要这些信息系统之间又是互联互通的。由于没有统一的信息安全建设规划和指导，造成了各个部门/小组之间各行其事，各自努力地保障自己所管信息系统的安全，造成许多重复建设、投资浪费。另外，由于各套IT系统的安全建设自成体系、缺乏统筹规范、系统设计，造成组织的信息系统安全保障水平参差不齐，而且各种安全保障措施未能形成系统、高效的安全保障体系，未能形成合力，未能提高组织的预警能力、隐患发现能力、安全防护能力、应急反应能力、业务连续性保障能力，造成了组织的整体安全保障能力和水平低下。 在目前的信息系统高度互联的时代，多个单位的信息系统都是互联互通的，而且单位的信息系统必须对外提供信息服务，这样才能充分发挥信息系统对组织的运营、竞争的推动作用。在这种情况下，任何组织都不能独善其身，必须与外部合作、用户单位协调行动，共同推进信息系统的安全建设工作。 意义 安全域划分与边界整合是一种思路和方法，通过本服务，企业组织可以迅速理清思路、抓住重点、全面规划、统筹部署，并指导相关部门、单位协调、有序行动，逐步建立起全面、主动、有效的安全保障体系，保障信息系统的稳健运行，保证组织业务的正常开展。 1．组织层面 通过本服务的实施，对组