涉密信息系统安全建设方案下半部分样本.docVIP

4、系统安全建设目标和标准

4.1建设目标

建设****企业安全、稳定、高效信息系统平台，为未来系统应用和园区网络建设奠定良好基础和示范。

4.2建设标准

规范定密，正确定级；

依据标准，同时建设；

突出关键，确保关键；

明确责任，加强监督。

以上32字标准是此次方案设计政策性指导，****企业由保密保卫部依据中国二航相关要求负责定密，计算机信息系统最高密级为秘密级；

依据相关国家标准，在搭建企业局域网时同时建设安全系统；

突出保密关键在科研生产和产品设计上，建立信息中心，集中存放产品数据，确实保障关键涉密数据；

工厂保密委同时明确各个涉密部门和人员责任，由保卫保密部实施技术部帮助加强对各个涉密系统和人员监督。

5、信息系统安全需求分析

四川****责任企业是国家关键保军企业，厂领导很重视信息化建设，全厂经过多年信息化发展，已经取得了突出成绩，现在已经基础形成了军品设计、财务管理等局域网。为适应该前形势和工作需要，结合厂领导要求，建设安全、稳定、高效信息系统平台是目前信息化建设工作当务之急。而在信息系统平台建设工程中，办公大楼网络建设是园区网关键，同时也是整合全厂园区网基础。

5.1需求起源

5.1.1国家信息安全政策要求

****企业是国家二级涉密单位，全厂信息化建设，必需符合国家相关要求，同时要接收国家职能部门达标审查，所以，计算机信息系统涉密安全建设更是重中之重。在本方案中，不管网络系统设计、结构化布线设计和机房工程，均严格遵守国家相关保密要求，进行对应密级工程设计和施工。

5.1.2科研生产需要

全厂在生产过程中，会产生大量试验数据和文档资料，怎样将这些数据资料有效存放和传输，以适应分布式计算需要，同时确保安全性、保密性要求。所以，建立一个流畅、高速网络平台和一个安全、稳定、高效系统平台，是目前刻不容缓任务。

5.1.3工厂管理需要

现在，计算机已成为****企业日常办公关键工具。怎样有效利用现有软、硬件资源，简化工作步骤，提升管理工作效率，实现办公自动化和信息资源共享，同时实现安全有序管理，是目前厂内各管理部门迫切需要。

5.1.4信息系统安全评定结果

****企业是全新信息系统建设，经过简单安全评定结果（见5.2章节）是信息系统关键需求起源之一。

5.2信息系统安全需求

依据****企业涉密计算机信息系统现实状况，结合国家相关规范要求，我们以下表展现此次安全需求（★数量越多，安全风险越大）。

安全种类

项目

现实状况

安全风险

安全需求

物理安全

门禁

不含有。

★★

建设中心机房建设门禁系统

防雷

原大楼建没有防雷系统

采取防雷保护方法

供电

仅有市电供给。

★★

布署UPS

防静电、防盗

无中心机房，更无防静电方法

★★★

设置中心机房，铺设防静电地板，同时加强防盗建设。

电磁泄漏

办公大楼和公共区域距离在50米以内

★★★★★

需要建设有良好接地屏蔽布线系统，并采取电磁干扰。

介质安全

标准中有相关介质收发和传输新要求。

★

加强介质管理，加强计算机接口管理，布署安全审计系统

运行安全

存放备份

中心机房服务器和关键涉密单机缺乏有效备份手段，

★★★★

使用刻录光盘或移动硬盘备份方法实现定时数据备份。

应急响应

没有应急响应制度和技术手段，缺乏定时培训和演练。

★★★★★

制订应急响应计划并培训和演练，并确定组织机构。

运行管理

需要完善运行管理和建立统一安全运行管理中心。

★★★

设置信息中心机构负担，并辅助以AD管理模式。

病毒和恶意代码防护

需要在系统内关键入口点（如电子邮件服务器）和各用户终端、服务器和移动计算机设备上采取计算机病毒和恶意代码防护方法

★★★★★

需要安装网络版杀毒软件并定时更新

信息安全保密

访问控制

现有网络系统中没有对资源访问控制，只限于本身资源自我控制,还未建立一套整体资源访问控制。

★★★★

加强访问控制方法，采取AD方法

安全审计

现有审计系统已不满足新安全保密要求，对资源访问存在着不可控现象，同时涉密信息泄漏时，事后不可查现象。

★★★★★

布署专业安全审计系统

信息加密和电磁泄漏

综合布线采取非屏蔽线。

★★★★

在新信息系统建设中，采取FTP线缆，在系统关键部位布署电磁防泄漏设备

端口接入管理

内网信息接入点分布广泛，不方便进行管理，无法对接入网络设备进行安全认证

★★★★

采取端口接入认证技术实现对接入设备有效管理

系统及网络安全检测

没有专业安全软件或设备对系统及网络安全进行有效检测和评定

★★★★

采取专业安全检测工具对网络和主机安全进行检测

6、信息定密、系统定级和划分安全域

6.1信息定密

依据****企业上级主管部门要求，信息确定密级为：秘密级。其中明确涉密信息关键是围绕科研生产产生信息和上级部门密级文件（对于来自上级部门、所占百分