第一篇：維護網絡空間主權 構筑信息安全保障體系

維護網絡空間主權 構筑信息安全保障體系

中國正在努力構建一個更加完善和縝密的國家安全體系，這反映在日前提交全國人大常委會審議的國家安全法草案，出于維護國家安全的需要，新增加了包括經濟、金融、文化、網絡信息在內的條例。尤其是在維護網絡與信息安全方面，新增的“建設國家網絡與信息安全保障體系，提升網絡與信息安全保護能力”“維護國家網絡空間主權”的規定，讓外界猜測中國將進一步通過網路管控輿論，不得不說這是長期以來海外輿論對中國網絡管理的一個誤讀。

正在提交審議的國家安全法草案有關新增的網絡安全部分，是中國適應當前網絡發展新環境的必然之舉。其最終目的是為這個國家和民眾構筑一道網絡與信息安全的“長城”，而非網絡封鎖和輿論管控，這也是任何一個深度倚賴互聯網業態的國家順應安全新形勢的通行做法。據悉，制定專門的網絡安全法也已列入全國人大常委會2015年立法工作重點?！罢l掌握了信息、控制了網絡，誰就將擁有整個世界?！敝磥韺W家托夫勒的判斷并非夸大其詞。當今世界正在向著信息化快速邁進，網絡空間其實已經成為陸、海、空、天之外的“第五大疆域”。

隨著網絡技術的日新月異和應用的迅速發展，互聯網越來越多地嵌入制造、服務等傳統業態，并廣泛運用于從政府、社會到個人，政治、金融到軍事的信息管理中，觸角之深讓網絡信息與主權的保護不可避免地成為世界各國安全領域的新命題。無論是發達國家還是發展中國家，都在加速構建各自的網絡與信息安全保護體系。作為世界互聯網頭號大國的美國，一向將互聯網安全視為頭等大事。僅在去年12月，就簽署了數項涉及網絡安全的法案，包括《網絡安全人員評估法案》《2014網絡安全加強法案》《2014國家網絡安全保護法》和《2014聯邦信息安全現代化法案》等。

英國則以維護國家安全為出發點，自2009年出臺首個國家網絡安全戰略后，連續多年發布此領域戰略方案，英國政府還成立了網絡安全辦公室和網絡安全運行中心。德國亦在2011年出臺“網絡安全戰略”，以保護關鍵基礎設施為核心，建立了一系列相關機構，為網絡安全提供多重制度保證。

由于技術演進和發展周期的制約，目前網絡系統從硬件到軟件直至各種標準都由發達國家制造和制定?！靶畔詸唷备拍钕碌摹靶畔⒏粐焙汀靶畔⒏F國”分化已然出現。無形中，發展中國家面臨的網絡安全問題更加突出，中國就是網絡攻擊的主要受害國。根據中國國家互聯網應急中心數據，僅今年2月，境內感染網絡病毒的終端數近221萬個，境內被篡改網站數量達9708個，境內被植入后門網站數為2607個，針對境內網站的仿冒頁面有6776個。

眾所周知，網絡與信息安全不僅關乎一個國家的主權不被干犯、政權不被顛覆、國家機密不被泄露竊取、國防能力不被侵蝕、金融體系不被破壞，更因其與公民個人信息、財產信息等聯系密切，在有著超6億網民的中國，擁有龐大且繁榮的互聯網及移動支付、購物市場，公民的個人信息和資產數據同網絡有著深入的交互，不管是來自境外的網絡攻擊，還是來自境內外的網絡詐騙、盜竊、色情、賭博等犯罪行為，都將對公民利益造成極大危害。

因此，中國網絡安全和信息化安全問題是事關國家安全和發展、人們工作和生活的重大戰略問題。中國國家主席習近平去年2月主持召開中央網絡安全和信息化領導小組第一次會議時指出，沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化。網絡無國界，但網絡安全有邊界。在繼續堅持開放的互聯網發展環境下，中國以法律形式界定網絡安全、維護網絡空間主權，用法治規范網絡空間的行為，是與國際社會同步，是為了優化互聯網治理體系，確保國家利益、國民利益不受侵害。

致力于完成現代化建設使命的中國將繼續促進網絡與信息技術發展，然而，這個發展將是有序、安全的，勢將在法治的軌道下進行。正如習近平所強調的，要抓緊制定立法規劃，完善互聯網信息內容管理、關鍵信息基礎設施保護等法律法規，依法治理網絡空間，維護公民合法權益。由此不難理解，此次中國在擬定修改的國家安全法中增加維護網絡和信息安全的相關條例，并明確提出維護國家網絡空間主權，對這個國家的未來發展將產生怎樣的深遠影響。

第二篇：網絡信息安全保障體系建設

附件3 網絡信息安全保障體系建設方案

目錄

網絡信息安全保障體系建設方案........................................................................1

1、建立完善安全管理體系.................................................................................1 1.1成立安全保障機構.........................................................................................1

2、可靠性保證.....................................................................................................2 2.1操作系統的安全.............................................................................................3 2.2系統架構的安全.............................................................................................3 2.3設備安全.........................................................................................................4 2.4網絡安全.........................................................................................................4 2.5物理安全.........................................................................................................5 2.6網絡設備安全加固.........................................................................................5 2.7網絡安全邊界保護.........................................................................................6 2.8拒絕服務攻擊防范.........................................................................................6 2.9信源安全/組播路由安全...............................................................................7

網絡信息安全保障體系建設方案

1、建立完善安全管理體系

1.1成立安全保障機構

山東聯通以及萊蕪聯通均成立以總經理為首的安全管理委員會，以及分管副總經理為組長的網絡運行維護部、電視寬帶支撐中心、網絡維護中心等相關部門為成員的互聯網網絡信息安全應急小組，負責全省網絡信息安全的總體管理工作。

山東聯通以及萊蕪聯通兩個層面都建立了完善的內部安全保障工作制度和互聯網網絡信息安全應急預案，通過管理考核機制，嚴格執行網絡信息安全技術標準，接受管理部門的監督檢查。同時針對三網融合對網絡信息安全的特殊要求，已將IPTV等寬帶增值業務的安全保障工作納入到統一的制度、考核及應急預案當中。內容涵蓋事前防范、事中阻斷、事后追溯的信息安全技術保障體系，域名信息登記管理制度IP地址溯源和上網日志留存等。并將根據國家規范要求，對三網融合下防黑客攻擊、防信息篡改、防節目插播、防網絡癱瘓技術方案進行建立和完善。

2、可靠性保證

IPTV是電信級業務，對承載網可靠性有很高的要求?？煽啃苑譃樵O備級別的可靠性和網絡級別的可靠性。

（1）設備級可靠性

核心設備需要99.999%的高可靠性，對關鍵網絡節點，需要采用雙機冗余備份。此外還需要支持不間斷電源系統（含電池、油機系統）以保證核心設備24小時無間斷運行。

（2）網絡級可靠性

關鍵節點采用冗余備份和雙鏈路備份以提供高可靠性。網絡可靠性包括以下幾方面：

? 接入層：接入層交換機主要利用STP/RSTP協議在OSI二層實現網絡收斂自愈。

? 匯聚層：在OSI第三層上使用雙機VRRP備份保護機制，使用BFD、Ethernet OAM、MPlS OAM來對鏈路故障進行探測，然后通過使用快速路由協議收斂來完成鏈路快速切換。? 核心層：在P設備（Core設備和CR設備）上建立全連接LDP over TE。TE的數量在200以下。

? 組播業務保護：主要基于IS-IS協議對組播業務采取快速收斂保護，對組播分發進行冗余保護和負載分擔。

2.1操作系統的安全

在操作系統級別上，其安全需求主要表現在防止非法用戶入侵、防病毒、防止數據丟失等。

? 防止非法用戶入侵：系統設置防火墻，將所有需要保護的主機設置在防火墻內部，物理上防止惡意用戶發起的非法攻擊和侵入。為業務管理人員建立起身份識別的機制，不同級別的業務管理人員，擁有不同級別的對象和數據訪問權限。? 防病毒：部署防病毒軟件，及時更新系統補丁。

? 數據安全：建立數據安全傳輸體系，系統具備完善的日志功能，登記所有對系統的訪問記錄。建立安全的數據備份策略，有效地保障系統數據的安全性。

2.2系統架構的安全

IPTV運營管理平臺具備雙機熱備份功能，業務處理機、EPG服務器、接口機都支持主備功能。

存儲系統能夠支持磁盤RAID模式，利用RAID5技術防止硬盤出現故障時數據的安全。支持HA（High Availability）模式，實現系統的熱備份，在主用系統故障時能夠自動切換到備用系統，可提供流媒體服務器多種單元的冗余備份。

支持用戶通過手工備份功能。并且備份數據可保存到外部設備中。同時，設備可通過分布式部署，保證系統的安全。EPG服務器、VDN調度單元、網管均支持分布式處理。2.3設備安全

核心系統（服務器硬件、系統軟件、應用軟件）能在常溫下每周7×24小時連續不間斷工作，穩定性高，故障率低，系統可用率大于99.9％。

具備油機不間斷供電系統，以保證設備運行不受市電中斷的影響。服務器平均無故障時間（MTBF）大于5,000小時，小型機平均無故障時間（MTBF）大于10,000小時，所有主機硬件三年內故障修復時間不超過30個小時。2.4網絡安全

IPTV業務承載網絡直接與internet等網絡互聯，作為IP網絡也面臨各種網絡安全風險，包括網絡設備入侵、拒絕服務攻擊、路由欺騙、QOS服務破壞以及對網絡管理、控制協議進行網絡攻擊等，故IPTV承載網絡的安全建設實現方式應包括物理安全、網絡設備的安全加固、網絡邊界安全訪問控制等內容。2.5物理安全

包括IPTV承載網絡通信線路、物理設備的安全及機房的安全。網絡物理層的安全主要體現在通信線路的可靠性，軟硬件設備安全性，設備的備份和容災能力，不間斷電源保障等。2.6網絡設備安全加固

作為IP承載網，首先必須加強對網絡設備的安全配置，即對網絡設備的安全加固，主要包括口令管理、服務管理、交互式訪問控制等措施。

口令的安全管理，所有網絡設備的口令需要滿足一定的復雜性要求；對設備口令在本地的存儲，應采用系統支持的強加密方式；在口令的配置策略上，所有網絡設備口令不得相同，口令必須定時更新等；在口令的安全管理上，為了適應網絡設備的規?；?，必須實施相應的用戶授權及集中認證單點登錄等機制，不得存在測試賬戶、口令現象。

服務管理，在網絡設備的網絡服務配置方面，必須遵循最小化服務原則，關閉網絡設備不需要的所有服務，避免網絡服務或網絡協議自身存在的安全漏洞增加網絡的安全風險。對于必須開啟的網絡服務，必須通過訪問控制列表等手段限制遠程主機地址。在邊緣路由器應當關閉某些會引起網絡安全風險的協議或服務，如ARP代理、CISCO的CDP協議等?？刂平换ナ皆L問，網絡設備的交互式訪問包括本地的控制臺訪問及遠程的VTY終端訪問等。網絡設備的交互式訪問安全措施包括：加強本地控制臺的物理安全性，限制遠程VTY終端的IP地址；控制banner信息，不得泄露任何相關信息；遠程登錄必須通過加密方式，禁止反向telnet等。2.7網絡安全邊界保護

網絡安全邊界保護的主要手段是通過防火墻或路由器對不同網絡系統之間實施相應的安全訪問控制策略，在保證業務正常訪問的前提下從網絡層面保證網絡系統的安全性。

IPTV承載網絡邊界保護措施主要包括以下兩點：

通過路由過濾或ACL的方式隱藏IPTV承載網路由設備及網管等系統的IP地址，減少來自Internet或其它不可信網絡的安全風險。

在IPTV承載網絡邊緣路由器與其它不可信網絡出口過濾所有的不需要的網絡管理、控制協議，包括HSRP、SNMP等。2.8拒絕服務攻擊防范

拒絕服務攻擊對IPTV承載網絡的主要影響有：占用IPTV承載網網絡帶寬，造成網絡性能的下降；消耗網絡設備或服務器系統資源，導致網絡設備或系統無法正常提供服務等。

建議IPTV承載網絡采取以下措施實現拒絕服務攻擊的防范：實現網絡的源IP地址過濾，在IPTV承載網接入路由器對其進行源IP地址的檢查。關閉網絡設備及業務系統可能被利用進行拒絕服務攻擊的網絡服務端口及其它網絡功能，如echo、chargen服務，網絡設備的子網直接廣播功能等。通過建立網絡安全管理系統平臺實現對拒絕服務攻擊的分析、預警功能，從全局的角度實現對拒絕服務攻擊的監測，做到早發現、早隔離。

下圖給出了IPTV承載網安全建設實現方式圖。

2.9信源安全/組播路由安全

盡管組播技術具備開展新業務的許多優勢，并且協議日趨完善，但開展組播業務還面臨著組播用戶認證、組播源安全和組播流量擴散安全性的問題。

組播源管理：在組播流進入骨干網絡前，組播業務控制設備應負責區分合法和非法媒體服務器，可以在RP上對組播源的合法性進行檢查，如果發現來自未經授權的組播源的注冊報文，可以拒絕接收發送過來的單播注冊報文，因此下游用戶就可以避免接收到非法的組播節目。為防止非法用戶將組播源接入到組播網絡中，可以在邊緣設備上配置組播源組過濾策略，只有屬于合法范圍的組播源的數據才進行處理。這樣既可以對組播報文的組地址進行過濾，也可以對組播報文的源組地址進行過濾。

組播流量擴散安全性：在標準的組播中，接收者可以加入任意的組播組，也就是說，組播樹的分枝是不可控的，信源不了解組播樹的范圍與方向，安全性較低。為了實現對一些重要信息的保護，需要控制其擴散范圍，靜態組播樹方案就是為了滿足此需求而提出的。靜態組播樹將組播樹事先配置，控制組播樹的范圍與方向，不接收其他動態的組播成員的加入，這樣能使組播信源的報文在規定的范圍內擴散。在網絡中，組播節目可能只需要一定直徑范圍內的用戶接收，可以在路由器上對轉發的組播報文的TTL數進行檢查，只對大于所配置的TTL閾值的組播報文進行轉發，因此可以限制組播報文擴散到未經授權的范圍。

組播用戶的管理：原有標準的組播協議沒有考慮用戶管理的問題，但從目前組播應用的情況來看，在很多的組播業務運營中，組播用戶的管理仍未得到很好的解決。在IPTV業務中，直播業務作為十分重要的業務，對用戶進行控制管理是必不可少的。對組播用戶的管理就是對經過授權的組播用戶控制其對組播業務的接入，控制用戶哪些組播頻道可以觀看，哪些頻道不可以觀看。通過在DSLAM/LAN交換機用戶側對組播組進行控制，防止惡意用戶的非法組播流攻擊網絡。

第三篇：網絡信息安全

網絡信息安全

信息安全是指為建立信息處理系統而采取的技術上和管理上的安全保護，以實現電子信息的保密性、完整性、可用性和可控性。當今信息時代，計算機網絡已經成為一種不可缺少的信息交換工具。然而，由于計算機網絡具有開放性、互聯性、連接方式的多樣性及終端分布的不均勻性，再加上本身存在的技術弱點和人為的疏忽，致使網絡易受計算機病毒、黑客或惡意軟件的侵害。面對侵襲網絡安全的種種威脅，必須考慮信息的安全這個至關重要的問題。

網絡信息安全分為網絡安全和信息安全兩個層面。網絡安全包括系統安全，即硬件平臺、操作系統、應用軟件;運行服務安全，即保證服務的連續性、高效率。信息安全則主要是指數據安全，包括數據加密、備份、程序等。

1．硬件安全。即網絡硬件和存儲媒體的安全。要保護這些硬設施不受損害，能夠正常工作。

2.軟件安全。即計算機及其網絡中各種軟件不被篡改或破壞，不被非法操作或誤操作，功能不會失效，不被非法復制。

3.運行服務安全。即網絡中的各個信息系統能夠正常運行并能正常地通過網絡交流信息。通過對網絡系統中的各種設備運行狀況的監測，發現不安全因素能及時報警并采取措施改變不安全狀態，保障網絡系統正常運行。

4.數據安全。即網絡中存儲及流通數據的女全。要保護網絡中的數據不被篡改、非法增刪、復制、解密、顯示、使用等。它是保障網絡安全最根本的目的。

1.防火墻技術。防火墻（Firewall）是近年來發展的最重要的安全技術，它的主要功能是加強網絡之間的訪問控制，防止外部網絡用戶以非法手段通過外部網絡進入內部網絡（被保護網絡）。它對兩個或多個網絡之間傳輸的數據包和鏈接方式按照一定的安全策略對其進行檢查，來決定網絡之間的通信是否被允許，并監視網絡運行狀態。簡單防火墻技術可以在路由器上實現，而專用防火墻提供更加可靠的網絡安全控制方法。

防火墻的安全策略有兩條。一是“凡是未被準許的就是禁止的”。防火墻先是封閉所有信息流，然后審查要求通過的信息，符合條件的就讓通過；二是“凡是未被禁止的就是允許的”，防火墻先是轉發所有的信息，然后再逐項剔除有害的內容，被禁止的內容越多，防火墻的作用就越大。網絡是動態發展的，安全策略的制定不應建立在靜態的基礎之上。在制定防火墻安全規則時，應符合“可適應性的安全管理”模型的原則，即：安全=風險分析+執行策略+系統實施+漏洞監測+實時響應。防火墻技術主要有以下三類：

●包過濾技術（Packct Filtering）。它一般用在網絡層，主要根據防火墻系統所收到的每個數據包的源IP地址、目的IP地址、TCP/UDP源端口號、TCP/UDP目的端口號及數據包中的各種標志位來進行判定，根據系統設定的安全策略來決定是否讓數據包通過，其核心就是安全策略，即過濾算法的設計。

●代理（Proxy）服務技術。它用來提供應用層服務的控制，起到外部網絡向內部網絡申請服務時的中間轉接作用。內部網絡只接受代理提出的服務請求，拒絕外部網絡其它節點的直接請求。運行代理服務的主機被稱為應用機關。代理服務還可以用于實施較強的數據流監控、過濾、記錄等功能。

●狀態監控（Statc Innspection）技術。它是一種新的防火墻技術。在網絡層完成所有必要的防火墻功能——包過濾與網絡服務代理。目前最有效的實現方法是采用 Check Point）提出的虛擬機方式（Inspect Virtual Machine）。

防火墻技術的優點很多，一是通過過濾不安全的服務，極大地提高網絡安全和減少子網中主機的風險；二是可以提供對系統的訪問控制；三是可以阻擊攻擊者獲取攻擊網絡系統的有用信息；四是防火墻還可以記錄與統計通過它的網絡通信，提供關于網絡使用的統計數據，根據統計數據來判斷可能的攻擊和探測；五是防火墻提供制定與執行網絡安全策略的手段，它可以對企業內部網實現集中的安全管理。

防火墻技術的不足有三。一是防火墻不能防止繞過防火墻的攻擊；二是防火墻經不起人為因素的攻擊。由于防火墻對網絡安全實施單點控制，因此可能受到黑客的攻擊；三是防火墻不能保證數據的秘密性，不能對數據進行鑒別，也不能保證網絡不受病毒的攻擊。

2.加密技術。數據加密被認為是最可靠的安全保障形式，它可以從根本上滿足信息完整性的要求，是一種主動安全防范策略。數據加密就是按照確定的密碼算法將敏感的明文數據變換成難以識別的密文數據。通過使用不同的密鑰，可用同一加密算法，將同一明文加密成不同的密文。當需要時可使用密鑰將密文數據還原成明文數據，稱為解密。

密鑰加密技術分為對稱密鑰加密和非對稱密鑰加密兩類。對稱加密技術是在加密與解密過程中使用相同的密鑰加以控制，它的保密度主要取決于對密鑰的保密。它的特點是數字運算量小，加密速度快，弱點是密鑰管理困難，一旦密鑰泄露，將直接影響到信息的安全。非對稱密鑰加密法是在加密和解密過程中使用不同的密鑰加以控制，加密密鑰是公開的，解密密鑰是保密的。它的保密度依賴于從公開的加密密鑰或密文與明文的對照推算解密密鑰在計算上的不可能性。算法的核心是運用一種特殊的數學函數——單向陷門函數，即從一個方向求值是容易的，但其逆向計算卻很困難，從而在實際上成為不可能。

除了密鑰加密技術外，還有數據加密技術。一是鏈路加密技術。鏈路加密是對通信線路加密；二是節點加密技術。節點加密是指對存儲在節點內的文件和數據庫信息進行的加密保護。

3.數字簽名技術。數字簽名（Digital Signature）技術是將摘要用發送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發送者的公鑰才能解密被加密的摘要。在電子商務安全保密系統中，數字簽名技術有著特別重要的地位，在電子商務安全服務中的源鑒別、完整性服務、不可否認服務中都要用到數字簽名技術。

在書面文件上簽名是確認文件的一種手段，其作用有兩點，一是因為自己的簽名難以否認，從而確認文件已簽署這一事實；二是因為簽名不易仿冒，從而確定了文件是真的這一事實。數字簽名與書面簽名有相同相通之處，也能確認兩點，一是信息是由簽名者發送的，二是信息自簽發后到收到為止未曾做過任何修改。這樣，數字簽名就可用來防止：電子信息因易于修改而有人作偽；冒用別人名義發送信息；發出（收到）信件后又加以否認。

廣泛應用的數字簽名方法有RSA簽名、DSS簽名和 Hash簽名三種。RSA的最大方便是沒有密鑰分配問題。公開密鑰加密使用兩個不同的密鑰，其中一個是公開的，另一個是保密的。公開密鑰可以保存在系統目錄內、未加密的電子郵件信息中、電話黃頁上或公告牌里，網上的任何用戶都可獲得公開密鑰。保密密鑰是用戶專用的，由用戶本身持有，它可以對公開密鑰加密的信息解密。DSS數字簽名是由美國政府頒布實施的，主要用于跟美國做生意的公司。它只是一個簽名系統，而且美國不提倡使用任何削弱政府竊聽能力的加密軟件。Hash簽名是最主要的數字簽名方法，跟單獨簽名的RSA數字簽名不同，它是將數字簽名和要發送的信息捆在一起，所以更適合電子商務。

4.數字時間戳技術。在電子商務交易的文件中，時間是十分重要的信息，是證明文件有效性的主要內容。在簽名時加上一個時間標記，即有數字時間戳（Digita Timestamp）的數字簽名方案：驗證簽名的人或以確認簽名是來自該小組，卻不知道是小組中的哪一個人簽署的。指定批準人簽名的真實性，其他任何人除了得到該指定人或簽名者本人的幫助，否則不能驗證簽名

（二）網絡信忽安全的目標

1.保密性。保密性是指信息不泄露給非授權人、實休和過程，或供其使用的特性。

2.完整性。完整性是指信息未經授權不能被修改、不被破壞、不被插人、不遲延、不亂序和不丟失的特性。對網絡信息安全進行攻擊的最終目的就是破壞信息的完整性。

3.可用性。可用性是指合法用戶訪問并能按要求順序使用信息的特性，即保證合法用戶在需要時可以訪問到信息

4.可控性?？煽匦允侵甘跈鄼C構對信息的內容及傳播具有控制的能力的特性，可以控制授權范圍內的信息流向以及方式。

5.可審查性。在信息交流過程結束后，通信雙方不能抵賴曾經做出的行為，也不能否認曾經接收到對方的信息。

網絡信息安全面臨的問題

1.網絡協議和軟件的安全缺陷

因特網的基石是TCP/IP協議簇，該協議簇在實現上力求效率，而沒有考慮安全因素，因為那樣無疑增大代碼量，從而降低了TCP/IP的運行效率，所以說TCP/IP本身在設計上就是不安全的。很容易被竊聽和欺騙：大多數因特網上的流量是沒有加密的，電子郵件口令、文件傳輸很容易被監聽和劫持。很多基于TCP/IP的應用服務都在不同程度上存在著安全問題，這很容易被一些對TCP/IP十分了解的人所利用，一些新的處于測試階級的服務有更多的安全缺陷。缺乏安全策略：許多站點在防火墻配置上無意識地擴大了訪問權限，忽視了這些權限可能會被內部人員濫用，黑客從一些服務中可以獲得有用的信息，而網絡維護人員卻不知道應該禁止這種服務。配置的復雜性：訪問控制的配置一般十分復雜，所以很容易被錯誤配置，從而給黑客以可乘之機。TCP/IP是被公布于世的，了解它的人越多被人破壞的可能性越大?，F在，銀行之間在專用網上傳輸數據所用的協議都是保密的，這樣就可以有效地防止入侵。當然，人們不能把TCP/IP和其實現代碼保密，這樣不利于TCP/IP網絡的發展。2.黑客攻擊手段多樣

進人2006年以來，網絡罪犯采用翻新分散式阻斷服務(DDOS)攻擊的手法，用形同互聯網黃頁的域名系統服務器來發動攻擊，擾亂在線商務。寬帶網絡條件下，常見的拒絕服務攻擊方式主要有兩種，一是網絡黑客蓄意發動的針對服務和網絡設備的DDOS攻擊;二是用蠕蟲病毒等新的攻擊方式，造成網絡流量急速提高，導致網絡設備崩潰，或者造成網絡鏈路的不堪負重。

調查資料顯示，2006年初發現企業的系統承受的攻擊規模甚于以往，而且來源不是被綁架的“僵尸”電腦，而是出自于域名系統(DNS)服務器。一旦成為DDOS攻擊的目標，目標系統不論是網頁服務器、域名服務器，還是電子郵件服務器，都會被網絡上四面八方的系統傳來的巨量信息給淹沒。黑客的用意是借人量垃圾信息妨礙系統正常的信息處理，借以切斷攻擊目標對外的連線。黑客常用“僵尸”電腦連成網絡，把大量的查詢要求傳至開放的DNS服務器，這些查詢信息會假裝成被巨量信息攻擊的目標所傳出的，因此DNS服務器會把回應信息傳到那個網址。

美國司法部的一項調查資料顯示，1998年3月到2005年2月期間，82%的人侵者掌握授權用戶或設備的數據。在傳統的用戶身份認證環境下，外來攻擊者僅憑盜取的相關用戶身份憑證就能以任何臺設備進人網絡，即使最嚴密的用戶認證保護系統也很難保護網絡安全。另外，由于企業員工可以通過任何一臺未經確認和處理的設備，以有效合法的個人身份憑證進入網絡，使間諜軟件、廣告軟件、木馬程序及其它惡意程序有機可乘，嚴重威脅網絡系統的安全。

有資料顯示，最近拉美國家的網絡詐騙活動增多，作案手段先進。犯罪活動已經從“現實生活轉入虛擬世界”，網上詐騙活動日益增多。3.計算機病毒

第四篇：網絡信息安全與維護論文.doc

網絡信息安全與維護論文

專業：光信息科學與技術學號：姓名：惠艷銳

2009112089

摘要：隨著網絡的不斷普及，網絡信息安全愈來愈成為人們關注的問題。由于互連網的開放性和匿名性給計算機黑客、病毒等提供契機，利用起網絡來犯罪，嚴重威脅網絡信息的安全。如何杜絕網絡信息犯罪，已經成為人們首當其沖的問題。

關鍵詞：網絡信息安全；威脅；防火墻

互聯網正以驚人的速度改變著人們的生活方式和工作效率。從商業機構到個人都將越來越多地通過互連網處理銀行事務、發送電子郵件、購物、炒股和辦公。這無疑給社會、企業乃至個人帶來了前所未有的便利，所有這一切都得益于互連網的開放性和匿名性特征。然而，正是這些特征也決定了互連網不可避免地存在著信息安全隱患。網絡安全所包含的范圍很廣：我們日常上網時碰到的郵件病毒，qq密碼被盜，大一點的比如一個企業或政府的網站被黑，數據內容被篡改，更大的乃至一個國家的國防，軍事信息泄漏，被截獲。所有這些都屬于網絡安全所研究討論的范疇。網絡安全的基本概念

網絡信息安全是一個關系國家安全和主權、社會穩定、民族文化繼承和發揚的重要問題。其重要性，正隨著全球信息化步伐的加快越來越重要。網絡信息安全是一門涉及計算機科學、網絡技術、通信技術、密碼技術、信息安全技術、應用數學、數論、信息論等多種學科的綜合性學科。它主要是指網絡系統的硬件、軟件及其系統中的數據受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統連續可靠正常地運行，網絡服務不中斷。（1)網絡安全威脅的類型

網絡威脅是對網絡安全缺陷的潛在利用，這些缺陷可能導致非授權訪問、信息泄露、資源耗盡、資源被盜或者被破壞等。網絡安全所面臨的威脅可以來自很多方面，并且隨著時間的變化而變化。網絡安全威脅的種類有：竊聽、假冒、重放、流量分析、數據完整性破壞、拒絕服務、資源的非授權使用等。

（2)網絡安全機制應具有的功能

采取措施對網絡信息加以保護，以使受到攻擊的威脅減到最小是必須的。一個網絡安全系統應有如下的功能：身份識別、存取權限控制、數字簽名、保護數據完整性、審計追蹤、密鑰管理等。網絡信息安全常用技術

通常保障網絡信息安全的方法有兩大類：以“防火墻”技術為代表的被動防衛型和建立在數據加密、用戶授權確認機制上的開放型網絡安全保障技術。

2.1 防火墻技術

“防火墻”（Firewall）安全保障技術主要是為了保護與互聯網相連的企業內部網絡或單獨節點。它具有簡單實用的特點，并且透明度高,可以在不修改原有網絡應用系統的情況下達到一定的安全要求。防火墻一方面通過檢查、分析、過濾從內部網流出的IP包，盡可能地對外部網絡屏蔽被保護網絡或節點的信息、結構，另一方面對內屏蔽外部某些危險地址，實現對內部網絡的保護。

實現防火墻的技術包括四大類：網絡級防火墻（也叫包過濾型防火墻）、應用級網關、電路級網關和規則檢查防火墻。

（1)網絡級防火墻

一般是基于源地址和目的地址、應用或協議以及每個IP包的端口來作出通過與否的判斷。一個路由器便是一個“傳統”的網絡級防火墻，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。

先進的網絡級防火墻可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火墻檢查每一條規則直至發現包中的信息與某規則相符。如果沒有一條規則能符合，防火墻就會使用默認規則，一般情況下，默認規則就是要求防火墻丟棄該包。其次，通過定義基于TCP或UDP數據包的端口號，防火墻能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。

（2)應用級網關

應用級網關能夠檢查進出的數據包，通過網關復制傳遞數據，防止在受信任服務器和客戶機與不受信任的主機間直接建立聯系。應用級網關能夠理解應用層上的協議，能夠做復雜一些的訪問控制，并做精細的注冊和稽核。但每一種協議需要相應的代理軟件，使用時工作量大，效率不如網絡級防火墻。

應用級網關有較好的訪問控制，是目前最安全的防火墻技術，但實現困難，而且有的應用級網關缺乏“透明度”。在實際使用中，用戶在受信任的網絡上通過防火墻訪問Internet時，經常會發現存在延遲并且必須進行多次登錄(Login)才能訪問Internet或Intranet。

（3)電路級網關

電路級網關用來監控受信任的客戶或服務器與不受信任的主機間的TCP握手信息,這樣來決定該會話(Session)是否合法,電路級網關是在OSI模型中會話層上來過濾數據包,這樣比包過濾防火墻要高二層。

實際上電路級網關并非作為一個獨立的產品存在，它與其他的應用級網關結合在一起，如TrustInformationSystems公司的GauntletInternetFirewall；DEC公司的AltaVistaFirewall等產品。另外，電路級網關還提供一個重要的安全功能：代理服務器（ProxyServer），代理服務器是個防火墻，在其上運行一個叫做“地址轉移”的進程，來將所有你公司內部的IP地址映射到一個“安全”的IP地址，這個地址是由防火墻使用的。但是，作為電路級網關也存在著一些缺陷，因為該網關是在會話層工作的，它就無法檢查應用層級的數據包。

（4)規則檢查防火墻

該防火墻結合了包過濾防火墻、電路級網關和應用級網關的特點。它同包過濾防火墻一樣，規則檢查防火墻能夠在OSI網絡層上通過IP地址和端口號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。當然它也象應用級網關一樣，可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網絡的安全規則。

2.2 數據加密與用戶授權訪問控制技術

與防火墻相比，數據加密與用戶授權訪問控制技術比較靈活，更加適用于開放的網絡。用戶授權訪問控制主要用于對靜態信息的保護，需要系統級別的支持，一般在操作系統中實現。

數據加密主要用于對動態信息的保護。對動態數據的攻擊分為主動攻擊和被動攻擊。對于主動攻擊，雖無法避免，但卻可以有效地檢測;而對于被動攻擊，雖無法檢測，但卻可以避免，實現這一切的基礎就是數據加密。數據加密實質上是對以符號為基礎的數據進行移位和置換的變換算法，這種變換是受“密鑰”控制的。在傳統的加密算法中，加密密鑰與解密密鑰是相同的，或者可以由其中一個推知另一個，稱為“對稱密鑰算法”。這樣的密鑰必須秘密保管，只能為授權用戶所知，授權用戶既可以用該密鑰加密信急，也可以用該密鑰解密信息，DES是對稱加密算法中最具代表性的算法。如果加密/解密過程各有不相干的密鑰，構成加密/解密的密鑰對，則稱這種加密算法為“非對稱加密算法”或稱為“公鑰加密算法”，相應的加密/解密密鑰分別稱為“公鑰”和“私鑰”。在公鑰加密算法中，公鑰是公開的，任何人可以用公鑰加密信息，再將密文發送給私鑰擁有者。私鑰是保密的，用于解密其接收的公鑰加密過的信息。典型的公鑰加密算法如RSA是目前使用比較廣泛的加密算法。2.3 入侵檢測技術

入侵檢測系統(Intrusion Detection System簡稱IDS)是從多種計算機系統及網絡系統中收集信息，再通過這此信息分析入侵特征的網絡安全系統。IDS被認為是防火墻之后的第二道安全閘門，它能使在入侵攻擊對系統發生危害前，檢測到入侵攻擊，并利用報警與防護系統驅逐入侵攻擊。在入侵攻擊過程中，能減少入侵攻擊所造成的損失;在被入侵攻擊后，收集入侵攻擊的相關信息，作為防范系統的知識，添加入策略集中，增強系統的防范能力，避免系統再次受到同類型的入侵。入侵檢測的作用包括威懾、檢測、響應、損失情況評估、攻擊預測和起訴支持。入侵檢測技術是為保證計算機系統的安全而設計與配置的一種能夠及時發現并報告系統中未授權或異?，F象的技術，是一種用于檢測計算機網絡中違反安全策略行為的技術。

2.4 防病毒技術

隨著計算機技術的不斷發展，計算機病毒變得越來越復雜和高級，對計算機信息系統構成極大的威脅。在病毒防范中普遍使用的防病毒軟件，從功能上可以分為網絡防病毒軟件和單機防病毒軟件兩大類。單機防病毒軟件一般安裝在單臺PC上，即對本地和本地工作站連接的遠程資源采用分析掃描的方式檢測、清除病毒。網絡防病毒軟件則主要注重網絡防病毒，一旦病毒入侵網絡或者從網絡向其它資源傳染，網絡防病毒軟件會立刻檢測到并加以刪除。

2.5 安全管理隊伍的建設

在計算機網絡系統中，絕對的安全是不存在的，制定健全的安全管理體制是計算機網絡安全的重要保證，只有通過網絡管理人員與使用人員的共同努力，運用一切可以使用的工具和技術，盡一切可能去控制、減小一切非法的行為，盡可能地把不安全的因素降到最低。同時，要不斷地加強計算機信息網絡的安全規范化管理力度，大力加強安全技術建設，強化使用人員和管理人員的安全防范意識。網絡內使用的IP地址作為一種資源以前一直為某些管理人員所忽略，為了更好地進行安全管理工作，應該對本網內的IP地址資源統一管理、統一分配。對于盜用IP資源的用戶必須依據管理制度嚴肅處理。只有共同努力，才能使計算機網絡的安全可靠得到保障，從而使廣大網絡用戶的利益得到保障。

維護網絡信息安全需要有專門的職場人才，大體說來，主要有以下三種。

1.網絡警察

網絡警察是以網絡技術為主要手段，集打擊犯罪、管理防范等于一體的綜合性實戰警種。除了偵破案件外，還肩負著監控公共信息、參與互聯網有害信息專項清理整治工作，協調有關部門、網站刪除有害信息、加強公安科技建設等。網絡警察每天最主要的工作就是進行網上搜尋，對網吧進行管理，檢索出網上的淫穢、反動等有害信息，根據線索對網絡犯罪協查破案。

2.反病毒工程師

信息安全問題的日益嚴峻，折射出信息安全技術人員的匱乏，而專業的反病毒工程師更是IT人才架構中的一個空白。反病毒工程師需要懂得網絡知識、主機操作、應用系統知識、數據庫存知識、各種專用儀器儀表知識、安全檢測監控軟件知識、掃描和防黑客入侵等軟件知識。從某種角度來說，反病毒工程師是對抗網絡隱患的最有威力的守護神。

3.紅客(信息安全員)

在中國，紅色有著特定的價值含義：正義、道德、進步、強大等，紅客正是兼具這幾項品質的網絡守護神。他們是與黑客截然對立的電腦愛好者，熱衷于研討電腦的攻防技術，并使它不斷完善，從而更好地為人們服務。他們充當著網絡信息安全員的角色，是新近興起的網絡“尖兵”。

信息安全專業是計算機、通信、數學、物理等領域的交叉學科，主要研究確保信息安全的科學和技術，專業課程涵蓋了信息安全領域的主要知識點，著重培養能夠從事計算機、通信、電子信息、電子商務、電子政務、電子金融、軍事等領域的信息安全職位的高級專門人才。同學們在修完教學計劃所規定的全部課程并考試合格后，可獲得中級以上計算機等級證書、注冊信息安全工程師證書、注冊信息安全管理人員證書和注冊信息安全審核員證書等。

來自教育部的統計資料表明，我國目前具有大學本科以上學歷的信息安全人才只有2100人左右，具有大專學歷的只有1400人左右。社會需求與人才供給之間存在著巨大的差距，人才問題已成為當前制約信息安全產業發展的瓶頸。因此，信息安全專業便具有資格證書“硬”、畢業生“少”、需求部門“多”、用人單位“大”、就業前景“廣”等就業優勢。

信息安全專業的就業方向主要包括公安局信息監查、網站、病毒殺毒公司以及涉及信息安全的地方，比如電信、網通的技術安全維護部門，政府各個重要部門的網絡安全監測部門等。對網絡信息安全的前景的展望

網絡信息技術高速發展的今天，信息安全已變得至關重要。計算機系統的安全一旦遭到破壞，不僅會帶來巨大經濟損失，也會導致社會的混亂。因此，確保計算機系統的安全已成為世人關注的社會問題，世界各國都在積極培養自己的信息安全人才。

信息安全專業是計算機、通信、數學、物理等領域的交叉學科，主要研究確保信息安全的科學和技術。培養能夠從事計算機、通信、電子信息、電子商務、電子政務、電子金融、軍事等領域的信息安全職位的高級專門人才。其專業課程涵蓋了信息安全領域的主要知識點。

我國每年信息安全人才缺口數以萬計。中國信息產業商會信息安全產業分會理事長吳世忠今天接受記者采訪時表示，建立國家信息安全保障體系，人才是關鍵。但由于目前我國信息安全管理和技術人才的缺乏，直接導致了我國信息安全關鍵技術整體上比較落后，信息安全產業缺乏核心競爭力。因此，盡快加強信息安全學科、專業和培訓機構體系化建設，為國家和社會培養出大批復合型、應用型信息安全專業人才是當務之急。來自教育部統計資料表明，我國目前大學本科以上學歷的信息安全人才只有2100人左右，大專學歷的只有1400人左右。偌大一個中國，從事信息安全方面的專業人員僅有3500余人，這不能不說是社會需求與人才供給間還存在著巨大差距，人才問題已經成為當前嚴重制約信息安全產業發展的瓶頸，有資料顯示，當前國內該領域產業的60％以上份額為國外廠商所占據。

隨著網絡的發展，技術的進步，網絡安全面臨的挑戰也在增大。一方面，對網絡的攻擊方式層出不窮，攻擊方式的增加意味著對網絡威脅的增大；隨著硬件技術和并行技術的發展，計算機的計算能力迅速提高。另一方面，網絡應用范圍的不斷擴大，使人們對網絡依賴的程度增大，對網絡的破壞造成的損失和混亂會比以往任何時候都大。這些網絡信息安全保護提出了更高的要求，也使網絡信息安全學科的地位越顯得重要，網絡信息安全必然隨著網絡應用的發展而不斷發展。

參考文獻：

[1] 陳月波.網絡信息安全[M].武漢：武漢理工大學出版社，2005.[2] 鐘樂海，王朝斌，李艷梅.網絡安全技術[M].北京：電子工業出版社,2003.[3] 張千里.網絡安全基礎與應用[M].北京：人民郵電出版社,2007.[4] 吳金龍,蔡燦輝,王晉隆.網絡安全[M].北京：高等教育出版社,2004.

第五篇：《煙草行業信息安全保障體系建設指南》_20080418

煙草行業信息安全保障體系建設指南

國家煙草專賣局 二〇〇八年四月

前言

煙草行業信息安全保障體系是行業信息化健康發展的基礎和保障，是行業各級數據中心的重要組成部分。為推進行業信息安全保障體系建設，提高信息安全管理水平和保障能力，國家煙草專賣局制訂了《煙草行業信息安全保障體系建設指南》（以下簡稱《指南》）。行業各單位要結合本單位實際情況認真落實《指南》的各項要求，構建“組織機制、規章制度、技術架構”三位一體的信息安全保障體系，做到信息安全工作與信息化建設同步規劃、同步建設、協調發展。

《指南》按照《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發[2003]27號）的要求，依照《信息系統安全保障評估框架》(GB/T 20274—2006)等有關國家標準，運用目前信息安全領域廣泛應用的思想和方法，明確了煙草行業信息安全保障體系建設的總體原則和建設內容，對行業信息安全策略的制訂，以及信息安全管理、技術和運維三大體系的建設工作提出了指導性意見和要求。由于水平所限，對《指南》中的不足之處，望各單位在應用過程中提出寶貴意見。

《指南》由國家煙草專賣局煙草經濟信息中心和中國信息安全產品測評認證中心共同組織編寫?！吨改稀肪帉懡M組長：高錦；副組長：陳彤；主要成員：張雪峰，王海清，耿剛勇，張利，孫成昊，黃云海，耿欣，劉輝等。

目錄 2 范圍.......................................................................................................3 引用和參考文獻...................................................................................3 2.1 2.2 2.3 3 國家信息安全標準、指南.........................................................3 國際信息安全標準.....................................................................4 行業規范.....................................................................................5

術語定義和縮略語...............................................................................5 3.1 3.2 3.3 3.4 3.5 3.6 安全策略.....................................................................................5 安全管理體系.............................................................................5 安全技術體系.............................................................................5 安全運維體系.............................................................................6 信息系統.....................................................................................6 縮略語.........................................................................................6 信息安全保障體系建設總體要求.......................................................7 4.1 4.2 4.3 信息安全保障體系建設框架.....................................................7 信息安全保障體系建設原則.....................................................9 信息安全保障體系建設基本過程..........................................10 6 信息安全保障體系建設規劃.............................................................11 安全策略............................................................................................12 6.1 6.2 總體方針..................................................................................13 分項策略..................................................................................14 管理體系............................................................................................15 7.1 7.2 7.3 7.4 8 組織機構..................................................................................15 規章制度..................................................................................18 人員安全..................................................................................18 安全教育和培訓......................................................................22

技術體系............................................................................................24 8.1 8.2 8.3 8.4 8.5 8.6 8.7 訪問控制..................................................................................25 信息系統完整性保護..............................................................30 系統與通信保護......................................................................33 物理環境保護..........................................................................36 檢測與響應..............................................................................39 安全審計..................................................................................41 備份與恢復..............................................................................42 運維體系............................................................................................45 9.1 9.2 9.3 9.4 9.5 9.6 9.7 9.8 流程和規范..............................................................................46 安全分級..................................................................................46 風險評估..................................................................................47 階段性工作計劃......................................................................49 采購與實施過程管理..............................................................50 日常維護管理..........................................................................53 應急計劃和事件響應..............................................................56 績效評估與改進......................................................................59

范圍

本《指南》明確了行業信息安全保障體系建設的總體原則和建設內容，對行業信息安全策略的制訂，以及信息安全管理體系、信息安全技術體系和信息安全運維體系的建設工作提出了指導意見和要求。

《指南》中涉及的信息安全，是指由信息系統產生的信息的保密性、完整性和可用性不遭受破壞。

本《指南》僅適用于行業中不涉及國家秘密的信息系統，涉及國家秘密的信息系統的安全保護工作應按照國家及國家局保密部門的相關規定進行。引用和參考文獻

本文在編制過程中，依據和參考了國內外信息安全方面的相關標準、法規、指南以及煙草行業的相關標準規范，主要包括：

2.1 國家信息安全標準、指南

GB/T 20274—2006 信息系統安全保障評估框架

GB/T 19715.1—2005 信息技術—信息技術安全管理指南第1部分：信息技術安全概念和模型

GB/T 19715.2—2005 信息技術—信息技術安全管理指南第2部分：管理和規劃信息技術安全

GB/T 19716—2005 信息技術—信息安全管理實用規則 GB/T 18336—2001 信息技術—安全技術—信息技術安全性評估準則

GB 17859—1999 計算機信息系統安全保護等級劃分準則 電子政務信息安全等級保護實施指南(試行（）國信辦[2005]25號）GB/T 20984—2007信息安全技術 信息安全風險評估規范 GB/T 20988—2007信息系統災難恢復規范 GB/Z 20986—2007信息安全事件分類分級指南

2.2 國際信息安全標準

ISO/IEC 27001:2005信息安全技術 信息系統安全管理要求 ISO/IEC 13335—1: 2004 信息技術 信息技術安全管理指南 第1部分：信息技術安全概念和模型

ISO/IEC TR 15443—1: 2005 信息技術安全保障框架 第一部分 概述和框架

ISO/IEC TR 15443—2: 2005信息技術安全保障框架 第二部分 保障方法

ISO/IEC WD 15443—3 信息技術安全保障框架 第三部分 保障方法分析

ISO/IEC PDTR 19791: 2004 信息技術 安全技術 運行系統安全評估 2.3 行業規范

煙草行業計算機網絡和信息安全技術與管理規范(國煙法[2003]17號)煙草行業計算機網絡建設技術與管理規范(國煙辦綜[2006]312號)3 術語定義和縮略語

下列術語和定義適用于本《指南》。

3.1 安全策略

安全策略是為保障一個單位信息安全而規定的若干安全規劃、過程、規范和指導性文件等。

3.2 安全管理體系

安全管理體系簡稱“管理體系”，是為保障信息安全以“安全策略”為核心而采取的一系列管理措施的總和，內容主要包括建立健全組織機構和管理制度、實施人員管理和安全教育等。

3.3 安全技術體系

安全技術體系簡稱“技術體系”，是為保障 “安全策略”的貫徹落實而采取的一系列技術措施的總和，內容主要包括訪問控制、信息完整性保護、系統與通信保護、物理與環境保護、檢測與響應、安全審計、備份與恢復等。

3.4 安全運維體系

安全運維體系簡稱“運維體系”，是為保障管理措施和技術措施有效執行“安全策略”而采取的一系列活動的總和，內容主要包括制訂流程和規范、制訂階段性工作計劃、開展風險評估、實施安全分級、規范產品與服務采購、加強維護管理、安全事件響應、績效評估與改進等。

3.5 信息系統

信息系統是指由計算機及其相關的和配套的設備、設施（含網絡）構成的，按照一定的應用目標和規則對信息進行采集、加工、存儲、傳輸、檢索等處理的人機系統。

3.6 縮略語

PDCA 規劃 實施 檢查 調整（Plan Do Check Action）P2DR2 策略 防護 檢測 響應 恢復（Policy Protection Detection Response Recovery）

MAC

介質存取控制（Media Access Control）IP

網際協議（Internet Protocol）

EAP

擴展鑒權協議（Extensible Authentication Protocol）CNCERT國家計算機網絡應急技術處理協調中心(National Computer Network Emergency Response Technical Team)IDS

入侵偵測系統（Intrusion Detection System）IPS

入侵防護系統（Intrusion Prevention System）DoS

拒絕服務（Denial Of Service）AV

病毒防護(Anti—Virus)PKI

公鑰基礎設施(Public Key Infrastructure)PMI

特權管理基礎設施（Permission Management Infrastructure）

CA

數字證書認證機構（Certificate Authority）

注：凡在本文中使用但未定義的術語按相關國家標準或規范解釋，無相關國家標準或規范的，按學術界慣例解釋。本文中除非特殊說明，所指行業均為煙草行業。信息安全保障體系建設總體要求

4.1 信息安全保障體系建設框架

根據《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發[2003]27號）（以下簡稱27號文件）的精神，按照《信息系統安全保障評估框架》（GB/T 20274—2006）、《信息安全管理實用規則》（GB/T 19716—2005）等有關標準要求，本《指南》提出了以策略為核心，管理體系、技術體系和運維體系共同支撐的行業信息安全保障體系框架（如圖1—1）。

圖1—1行業信息安全保障體系框架

在安全策略方面，應依據國家信息安全戰略的方針政策、法律法規、制度，按照行業標準規范要求，結合自身的安全環境，制訂完善的信息安全策略體系文件。信息安全策略體系文件應覆蓋信息安全工作的各個方面，對管理、技術、運維體系中的各種安全控制措施和機制的部署提出目標和原則。

在管理體系方面，應按照27號文件的有關要求，將“安全策略”提出的目標和原則形成具體的、可操作的信息安全管理制度，組建信息安全組織機構，加強對人員安全的管理，提高全行業的信息安全意識和人員的安全防護能力，形成一支過硬的信息安全人才隊伍。

在技術體系方面，應按照P2DR2模型，通過全面提升信息安全防護、檢測、響應和恢復能力，保證信息系統保密性、完整性和可用性等安全目標的實現。在運維體系方面，應制訂和完善各種流程規范，制訂階段性工作計劃，開展信息安全風險評估，規范產品與服務采購流程，同時堅持做好日常維護管理、應急計劃和事件響應等方面的工作，以保證安全管理措施和安全技術措施的有效執行。

4.2 信息安全保障體系建設原則

行業信息安全保障體系建設應遵循以下原則：

1)同步建設原則：信息安全保障體系建設應與信息化建設同步規劃，同步建設，協調發展，要將信息安全保障體系建設融入到信息化建設的規劃、建設、運行和維護的全過程中。

2)綜合防范原則：信息安全保障體系建設要根據信息系統的安全級別，采用適當的管理和技術措施，降低安全風險，綜合提高保障能力。

3)動態調整原則：信息安全保障體系建設要根據信息資產的變化、技術的進步、管理的發展，結合信息安全風險評估，動態調整、持續改進信息安全保障體系，貫徹“以安全保發展，在發展中求安全”的精神，保障和促進行業業務的發展。

4)符合性原則：信息安全保障體系建設要符合國家的有關法律法規和政策精神，以及行業有關制度和規定，同時應符合有關國家技術標準，以及行業的技術標準和規范。4.3 信息安全保障體系建設基本過程

信息安全保障體系建設是管理與技術緊密結合，集“組織機構、規章制度、技術架構”三位一體的系統工程，也是與信息化同步發展，不斷提高和完善的動態過程。行業信息安全保障體系的建設與發展遵循《ISO/IEC 27001:2005 信息技術—安全技術—信息安全管理系統要求》提出的PDCA（Plan—Do—Check—Action）循環模式（如下圖）。

“P”是規劃過程，根據信息化建設的需求和信息安全風險現狀，結合信息系統等級保護的要求，提出信息安全保障體系建設的總體目標、實施步驟和資源分配方式；“D”是實施過程，依據規劃制訂信息安全策略，給信息安全保障體系建設提供明確的目標和原則并通過安全管理體系、安全技術體系和安全運維體系的建立實施，貫徹和落實安全策略?！癈”是檢查過程，通過檢查和評估及時發現信息安全保障體系存在的弱點和不足?！癆”是糾正調整過程，它是一個階段任務的結束，也是新的階段工作的開始，該過程針對信息安全保障體系運行過程中發現的新風險，以及信息化發展中出現的新需求，采取糾正和調整措施并根據信息化的發展提出新一輪建設規劃，從而使信息安全保障體系循環提高、持續發展。

應根據國家局的總體要求和自身實際情況，從PDCA循環的某一環節入手，作為本單位信息安全保障體系建設的切入點，按照本《指南》提出的建設內容，持續不斷地提高和完善信息安全保障體系。信息安全保障體系建設規劃

信息安全保障體系建設規劃（簡稱安全規劃）是描述信息安全保障體系建設的總體目標、實施步驟、時間計劃以及資金、人員等資源的分配方式的文件。安全規劃的表現形式可以是信息化建設總體規劃文件的一個部分，也可以是單獨的信息安全規劃文件，或是結合具體技術細節而形成的信息安全保障體系建設方案。安全規劃的內容應覆蓋安全策略建設、安全管理體系建設、安全技術體系建設和安全運維體系建設等方面。

安全保障體系規劃的制訂工作，可以邀請具有相關專業知識和經驗的外部專家或安全服務機構協助完成。

要求：

1）安全規劃要符合本單位信息化發展戰略的總體要求，應與信息化建設的實際需求和信息安全風險的實際狀況相結合，遵循國家的法律法規、技術標準和行業的有關規定并且具有明確的指導性和可實施性。2）應制訂本系統所有單位共同執行的統一的安全規劃。制訂安全規劃應做好三個方面工作，一要對本單位信息安全的基本現狀進行科學、全面的調研分析，準確了解本單位各信息系統的功能作用、系統架構以及在安全方面存在的隱患和弱點；二要根據安全建設需求，對所需的資金、人員和政策進行分析；三要依據分析結果以及安全保障體系建設總體原則，區分主次，突出重點，制訂總體目標、實施步驟和資源分配方式。

3）安全規劃要有時效性，制訂完成后，應確保相關人員全面了解規劃的內容和要求并及時實施。在安全規劃執行過程中，應及時開展階段性或整體的績效評估工作。安全策略

安全策略是一個單位對信息安全目標和工作原則的規定，其表現形式是一系列安全策略體系文件。安全策略是信息安全保障體系的核心，是信息安全管理工作、技術工作和運維工作的目標和依據。

安全策略體系文件應由總體方針和分項策略兩個層次組成并具備以下七個特性：

指導性：安全策略體系文件應對單位整體信息安全工作提供全局性的指導。

原則性：安全策略體系文件不涉及具體技術細節，不需要規定具體的實現方式，只需要指出要完成的目標。

可行性：安全策略體系文件應適應本單位的現實情況和可預見的變化，在當前和未來的一段時間內切實可行。

動態性：安全策略體系文件應有明確的時效性，不能長期一成不變。隨著信息安全形勢的動態變化和信息技術的不斷發展，需要對策略體系文件進行不斷的調整和修正。

可審核性：安全策略體系文件應可作為審核和評價本單位內部對信息安全策略遵守和執行情況的依據。

非技術性：安全策略體系文件不是具體的技術解決方案，應以非技術性的語言詳細說明。

文檔化：安全策略體系文件應用清晰和完整的文檔進行描述。

6.1 總體方針

總體方針是指導本單位所有信息安全工作的綱領性文件，是信息安全決策機構對信息安全工作的決策和意圖的表述?？傮w方針的作用在于統一對信息安全工作的認識，規定信息安全的基本架構，明確信息安全的根本目標和原則。

要求：

1)總體方針應緊緊圍繞行業的發展戰略，符合本單位實際的信息安全需求，能保障與促進信息化建設的順利進行，避免理想化與不可操作性。

2)總體方針中須明確闡述本單位所有信息化建設項目在規劃設計、開發建設、運行維護和變更廢棄等各階段，應遵循的總體原則和要求。3)總體方針應經過本單位信息安全決策機構批準并使之具備指導和規范信息安全工作的效力。

4)總體方針中應規定其自身的時效性，當信息系統運行環境發生重大變化時，應及時對總體安全策略進行必要的調整，調整后的策略必須經過信息安全決策機構批準。

6.2 分項策略

分項策略是在總體方針的指導下，對信息安全某一方面工作的目標和原則進行闡述的文件。

要求：

1)分項策略要依據總體方針制訂，明確信息安全各方面工作的目標和原則。

2)分項策略應包括但不限于以下內容：物理安全策略、網絡安全策略、系統安全策略、應用安全策略、數據安全策略、病毒防護策略、安全教育策略、信息系統備份與恢復策略、業務連續性策略、賬號口令策略、安全審計策略、系統開發策略、人員安全策略等。

3)分項策略中必須明確負責執行該策略的責任單位（部門）、該策略的適用范圍、該策略所針對的信息安全工作的目標和原則。

4)分項策略中應規定其自身的時效性，當信息系統運行環境發生變化時，應及時對分項策略進行必要的調整。7 管理體系

安全管理體系的作用是通過建立健全組織機構、規章制度，以及通過人員安全管理、安全教育與培訓和各項管理制度的有效執行，來落實人員職責，確定行為規范，保證技術措施真正發揮效用，與技術體系共同保障安全策略的有效貫徹和落實。信息安全管理體系主要包括組織機構、規章制度、人員安全、安全教育和培訓等四個方面內容。

7.1 組織機構

建立信息安全組織機構的目的是通過合理的組織結構設臵、人員配備和工作職責劃分，對信息安全工作實行全方位管理，充分發揮各部門和各類人員在信息安全工作中的作用，共同遵守和執行安全規章制度，以保障信息安全策略的貫徹落實。

信息安全組織機構應由決策機構、管理機構和執行機構三個層面組成。

7.1.1 決策機構

信息安全決策機構處于安全組織機構的第一個層次，是本單位信息安全工作的最高管理機構，按照國家和國家局的方針、政策和要求，對本單位信息安全進行統一領導和管理。

要求：

1)應成立由本單位主要領導負責、各有關部門參加的信息安全工作領導小組作為信息安全決策機構。2)信息安全決策機構應承擔如下主要工作職責：審議和批準信息安全保障體系建設規劃、信息安全策略、規章制度和信息安全工程建設方案等，為本單位信息安全保障體系建設提供各類必要的資源，對信息安全的宏觀問題進行決策，審定信息安全重大突發事件應急預案。

7.1.2 管理機構

信息安全管理機構處于安全組織機構的第二個層次，在決策機構的領導下，負責組織制訂信息安全保障體系建設規劃，以及信息安全的管理、監督、檢查、考核等工作。日常的信息安全管理工作主要由信息化工作部門負責。

要求：

1)應成立由信息化工作部門牽頭，保密、行政、人事和業務等相關部門共同參與組成的信息安全管理機構并明確該機構的成員。應在信息化工作部門設立專門組織或指定專職人員，負責管理信息安全日常事務。

2)信息安全管理機構應承擔的職責主要包括：信息安全保障體系建設規劃、安全策略、規章制度的制訂并組織貫徹落實；規章制度執行情況的監督與檢查；信息安全建設項目的組織實施；人員安全，安全教育與培訓的實施；協調信息安全日常工作中的各項事宜等。

3)應在安全規章制度中明確安全管理機構中各部門和各類人員的工作職責與責任。7.1.3 執行機構

信息安全執行機構處于信息安全組織機構的第三個層次，在管理層的領導下，負責保證信息安全技術體系的有效運行及日常維護，通過具體技術手段落實安全策略，消除安全風險，以及發生安全事件后的具體響應和處理。

要求：

1)執行機構應由信息化工作部門具體負責信息系統管理和信息安全管理工作的技術人員及相關部門的專職（或兼職）信息安全員組成。應至少設臵系統管理員、網絡管理員、信息安全管理員等崗位，并確定各個崗位的崗位職責、訪問權限。關鍵操作應配備多人共同負責，關鍵崗位應定期輪崗。

2)信息安全管理員的主要職責是管理維護本單位信息安全設備，監測本單位信息安全狀態，進行安全審計，在發生安全事件后及時組織有關技術人員進行事件響應。原則上信息安全管理員不應由系統管理員、網絡管理員、數據庫管理員等兼任。

3)應明確重要信息資產的安全負責人，有關責任人應清楚地了解自己擔負的安全責任。

4)信息系統的使用部門要設立專職（或兼職）的信息安全員，參與相應信息系統的安全管理，指導本部門各項安全措施的落實。

5)計算機和信息系統使用人員都有義務參與信息安全工作，貫徹執行各項安全規章制度。7.2 規章制度

信息安全規章制度是所有與信息安全有關的人員必須共同遵守的行為準則。信息安全規章制度的作用在于通過規范所有與信息安全有關人員的行為來保證實現安全策略中規定的目標和原則。

要求：

1)信息安全規章制度內容應包括但不限于以下幾方面：信息安全組織機構和崗位職責、人員管理制度、信息安全工作考核制度、信息系統采購開發與設計實施管理制度、機房安全管理制度、核心資產安全管理制度、密碼管理制度、數據備份管理制度、業務連續性管理制度、計算機終端管理制度、應用系統日常操作安全管理制度、網絡設備日常操作安全管理制度、安全設備日常操作管理制度等。

2)信息安全管理制度必須符合安全策略和本單位的實際情況，其內容和要求應當清晰明確并且可執行、可審查。

3)應通過下發文件、會議宣傳和培訓等多種方式確保所有相關人員知悉規章制度的內容和要求。

4)應根據本單位實際情況的變化，及時對信息安全管理制度的可行性和實施效果進行評估并根據評估結果對其進行調整和完善。

7.3 人員安全

人員安全是指通過管理控制手段，確保單位內部人員（特別是信息系統的管理維護人員）和第三方人員在安全意識、能力和素質等方面都滿足工作崗位的安全要求，減少對信息安全有意或無意的人為威脅。

人員安全主要包括工作崗位風險分級、人員審核、工作協議、人員離職、人員調動及第三方人員安全等幾個方面。人員安全管理工作需要由信息安全管理機構和本單位有關行政管理部門共同完成。7.3.1 工作崗位風險分級

工作崗位風險分級是依據本單位各工作崗位的職責范圍和性質，劃分崗位的信息安全風險級別，根據風險級別分配相應的信息訪問權限。

要求：

1)應在人員管理制度中，根據不同崗位的性質和工作職責，規定其信息安全風險級別并針對不同的崗位風險級別賦予信息訪問權限。

2)人員管理制度中有關工作崗位風險分級的規定，應在日常工作中得到落實，所有工作人員應當明確自己所在崗位的信息訪問權限。

7.3.2 人員審核

人員審核是核查人員管理或使用信息系統，接觸重要信息是否合適，是否值得信任的一項工作。人員審核應采用技術技能測試、法律法規及相關管理規定了解情況的測試、人員背景審查等多種方式來進行。要求：

1)應結合本單位自身的業務需求、相關的法律法規、被訪問信息的分類及面臨風險等因素，在人員管理制度中規定人員審核的方法和流程，規定在不同的情況下何人負責審核，何時進行審核，依據什么標準，通過什么方式進行審核。

2)應根據人員管理制度的有關規定，對內部工作人員進行定期考核，考核中發現問題時，應根據具體情況進行教育培訓。

3)應根據人員管理制度的有關規定，在合作者、第三方人員進入本單位工作前進行人員審查，未通過的人員不能獲得信息的訪問權限。

7.3.3 工作協議

對信息系統的維護人員和重要信息訪問權限的管理人員（特別是數據庫管理員、網絡管理員、系統管理員等可查詢及更改業務信息與系統配臵的人員），應簽訂有關信息安全的工作協議，明確其應盡的安全保密義務，保證在崗工作期間和離崗后一定時期內，均不得違反工作協議，對違反工作協議的行為應制訂懲處制約條款。

要求：

1)應在人員管理制度中規定工作協議的內容（如保密協議條款、操作流程和規范等）、管理和落實工作協議的部門、以及簽署工作協議的流程。

2)重要信息系統的管理、維護和使用人員在上崗前，應嚴格按照信息安全規章制度中的有關規定簽署工作協議。7.3.4 人員調動

通過嚴格的管理手段，保證人員內部調動，不會對信息安全造成危害。

要求：

1)工作人員崗位調動時，必須移交原工作崗位的工作資料和軟硬件設備。

2)工作人員崗位調動時，信息安全管理機構必須及時對其信息系統訪問授權進行調整。

3)工作人員崗位調動時，信息安全管理機構應告知其信息安全責任的變化和新的注意事項。7.3.5 人員離職

通過嚴格的管理手段，保證工作人員離職后，不會對信息安全造成危害。

要求：

1)對離職人員應立即終止其所有與原工作職責有關的信息訪問權限。

2)對離職人員應立即收回出入機房和其他重要辦公場所的證件、鑰匙、胸卡，以及單位提供的軟硬件設備等。

3)擁有重要信息訪問權限的人員，在離職時應在有關部門辦理嚴格的離職手續并明確離職后的保密義務。7.3.6 第三方人員安全

第三方人員的管理是人員安全管理的重要內容。第三方人員是指來自外單位的專業服務機構，為本單位提供應用系統開發、網絡管理和安全支持等信息技術外包服務的工作人員。第三方人員工作崗位和職責具有其特殊性，可以比較深入地了解本單位的信息系統情況和大量重要信息，因此由第三方人員導致泄密和系統遭受破壞的風險較大。

要求：

1)應制訂第三方人員安全管理規定，明確第三方人員在管理、使用和維護信息系統，安裝部署信息化產品和提供信息化技術服務等活動中應遵守的安全要求并明確定義其安全角色和責任。

2)第三方人員進入本單位開始工作前，應與其所在單位簽訂保密協議。

3)信息安全管理機構應根據第三方人員安全管理規定，采取必要的管理和技術手段，對第三方人員是否遵從安全要求進行檢查監督。

7.4 安全教育和培訓

安全教育和培訓是通過宣傳和教育的手段，確保相關工作人員和信息系統管理維護人員充分認識信息安全的重要性，具備符合要求的安全意識、知識和技能，提高其進行信息安全防護的主動性、自覺性和能力。7.4.1 安全教育

安全教育是針對信息系統的所有合法用戶進行的，目的是使其了解信息安全的基本常識、信息安全的重要性以及個人對信息安全應負的責任，確保其在工作中自覺地遵守相關安全制度，維護信息系統安全。

要求：

1)應根據信息系統的特定安全要求，制訂具有針對性的安全教育內容，確保所有人員在被授權訪問信息系統之前已進行了基本的信息安全教育。

2)通過安全教育活動，相關人員應具備基本的信息安全意識，了解信息安全常識、熟悉信息系統使用規范、安全職責和懲戒措施等。7.4.2 安全培訓

安全培訓是指對本單位承擔信息系統管理、使用和運行維護人員進行的專業培訓。

安全培訓應根據不同的崗位職責和安全責任，制訂有針對性的培訓計劃、培訓教材并保證所有相關人員在從事本職工作之前就接受了必要的信息安全管理和技術培訓。

要求： 1)應在工作人員被授予訪問權限之前，依據其安全角色和職責，進行具有針對性的安全培訓。

2)應科學的制訂培訓計劃，認真組織培訓，及時驗證培訓效果并形成相關的培訓記錄。

3)應為重要信息系統的信息安全工作人員參加專業的信息安全培訓和職業資格認證提供條件，使其系統地、全面地提高信息安全知識和技能水平。技術體系

信息安全技術體系的作用是通過使用安全產品和技術，支撐和實現安全策略，達到信息系統的保密、完整、可用等安全目標。按照P2DR2模型，行業信息安全技術體系涉及信息安全防護、檢測、響應和恢復四個方面的內容：

1)防護：通過訪問控制、信息系統完整性保護、系統與通信保護、物理與環境保護等安全控制措施，使信息系統具備比較完善的抵抗攻擊破壞的能力。

2)檢測：通過采取入侵檢測、漏洞掃描、安全審計等技術手段，對信息系統運行狀態和操作行為進行監控和記錄，對信息系統的脆弱性以及面臨的威脅進行評估，及時發現安全隱患和入侵行為并發出告警。

3)響應：通過事件監控和處理工具等技術措施，提高應急處理和事件響應能力，保證在安全事件發生后能夠及時進行分析、定位、跟蹤、排除和取證。

4)恢復：通過建立信息系統備份和恢復機制，保證在安全事件發生后及時有效地進行信息系統設施和重要數據的恢復。

8.1 訪問控制

訪問控制是對信息系統中發起訪問的主體和被訪問的數據、應用、人員等客體之間的訪問活動進行控制，防止未經授權使用信息資源的安全機制。

訪問控制包括對各類信息系統的用戶進行有效的標識鑒別和權限管理，以及根據信息系統的安全需求對網絡基礎設施、操作系統、應用系統、遠程訪問、無線接入、用戶終端的訪問活動進行有效限制。標識鑒別和權限管理是訪問控制的核心與基礎。

敏感信息、特殊功能的訪問，必須有完整的日志記錄。日志記錄的訪問與分析用戶應與產生此日志的操作用戶分離。8.1.1 標識鑒別

訪問控制的過程中對訪問者和被訪問者身份的聲明稱為標識，對身份的確認稱為鑒別。標識與鑒別可以確定訪問主體和訪問客體的身份，是進行訪問控制的前提。信息系統中的訪問主體和訪問客體都可能是一個用戶，或者一個設備，所以標識鑒別的對象應該既包括系統用戶，又包括系統中的軟硬件設備。

要求： 1)信息系統中的用戶應具有唯一的標識并且通過唯一的方法進行鑒別，應通過適當選擇靜態口令、一次性口令、數字證書、生物特征或多種方式相結合的方法來實現。

2)當使用口令機制進行鑒別時，應采用組成復雜、不易猜測的口令并制訂口令最大生命周期限制，禁止口令被多次重用。

3)應保證口令文件安全及口令存放介質的物理安全，口令應加密存儲，當口令需要網絡傳輸時，必須進行加密。

4)信息系統對用戶的鑒別應具有時效性，當用戶在規定的時間段內沒有做任何操作和訪問時，應重新進行鑒別。

5)應使用已知的共享信息（如MAC地址、IP地址）或采取特定協議（如IEEE802.1X，EAP，Radius）對網絡設備進行標識和鑒別。8.1.2 權限管理

權限管理是指限制和控制訪問權限的分配和使用。在進行權限管理時應當遵守最小特權原則。

要求：

1)應采用適當的技術措施（如操作系統和應用系統的用戶權限管理工具、PMI系統等）為系統中的用戶和設備分配相應的訪問權限。

2)對用戶的授權應以滿足其工作需要的最小權限為原則，不應分配與用戶職責無關的權限。8.1.3 網絡訪問控制

網絡訪問控制是防止對網絡服務的未授權訪問。網絡訪問控制首先要對各類網絡進行清晰的邊界劃分，進而在網絡邊界部署技術措施并通過合理的配臵使其有效發揮作用。

要求：

1)應清晰劃分外網與內網的邊界并對內網中不同類型的網絡（如骨干網、省域網、局域網、以及局域網內部的不同區域）進行嚴格劃分。

2)在網絡邊界處設臵網絡訪問控制技術措施，保證用戶只能按照其得到的授權使用網絡服務。8.1.4 操作系統訪問控制

操作系統訪問控制是防止對操作系統的未授權訪問并在出現違規登錄操作系統時發出警報。

要求：

1)應使用具有安全登錄功能的操作系統。

2)重要操作系統口令應為8位以上，且由字母、數字和特殊符號共同組成。

3)當訪問者連續非法登錄操作系統3次以上時,應自動鎖定該賬戶或延長該賬戶下一次登錄的時間。

4)應設臵操作系統的最長訪問時間，當用戶對系統訪問超時，須強制用戶重新登錄。5)當某一賬戶處于空閑狀態一段時間后，操作系統能夠自動鎖定該賬戶，要求重新登錄。8.1.5 應用系統訪問控制

應用系統訪問控制是防止對應用系統功能和信息進行未授權訪問。

要求：

1)應用系統和數據庫系統開發過程中，應設臵必要的訪問控制機制，保證用戶對信息和應用系統功能的訪問遵守已確定的訪問控制策略。

2)應用系統的訪問控制機制應覆蓋其所有用戶，所有功能和信息，以及所有的操作行為。

3)應根據應用系統的重要性設臵訪問控制的粒度，一般應用系統應達到訪問主體為用戶組級，訪問客體為功能模塊級，重要信息系統應達到訪問主體為用戶級，訪問客體為文件、數據表級。

4)應嚴格限制默認用戶的訪問權限。8.1.6 遠程訪問控制

遠程訪問控制是指對來自外網（如廣域網）對本單位內網（如局域網）的訪問進行控制，防止遠程用戶的未授權訪問，以及在遠程訪問過程中的信息泄露。

要求： 1)應明確遠程訪問的授權范圍和訪問方式并使用必要的控制措施管理遠程訪問。

2)應使用加密傳輸來保護遠程訪問會話的機密性。3)應對遠程訪問用戶進行身份識別。8.1.7 無線接入訪問控制

無線接入訪問控制是對使用無線通信技術接入內網的用戶進行訪問控制，防止通過無線技術進行的未授權訪問。

要求：

1)使用必要的無線接入訪問控制技術，保證用戶在通過無線接入內網前必須經過嚴格的身份鑒別。

2)應使用必要的加密技術保護通過無線通信系統傳輸信息的完整性和保密性。8.1.8 用戶終端訪問控制

用戶終端訪問控制是防止由于終端計算機使用人員的誤操作、越權訪問、安裝和使用與工作無關的個人軟件，影響信息系統的正常工作，造成信息安全風險。

要求：

1)應采用適當的技術手段，對用戶終端的違規操作（如安裝和使用間諜黑客軟件，未經授權使用撥號上網等）進行監測和有效控制。

2)應通過適當的技術手段，防止未經授權的用戶終端接入本單位網絡系統尤其要防止外單位人員的用戶終端在未經批準的情況下接入本單位網絡系統。

3)接入行業網絡的用戶終端應進行必要的安全檢測，滿足接入條件。

4)因工作崗位變動不再需要使用用戶終端時，應對其進行妥善處理并及時刪除用戶終端內敏感數據。

8.2 信息系統完整性保護

信息系統的完整性是指信息系統沒有遭受篡改或破壞。為保持信息系統的完整性，在信息系統的采購和開發過程中，應當充分考慮相應的保護機制，如錯誤處理、輸出信息校驗，盡量消除信息系統存在的自身缺陷；在信息系統的運行階段，應當使用適當的技術手段修補系統中存在的漏洞并采用技術措施防范惡意代碼造成的破壞等。8.2.1 錯誤處理

錯誤處理是指應用系統辨別和處理運行中由于操作不當和運行環境等因素造成的錯誤，以提高應用系統的容錯能力。

要求：

1)在應用系統的開發過程中，應充分考慮系統可能出現的操作錯誤，為操作界面提供撤銷操作的功能；當某一功能發生錯誤故障時，盡量保障其他功能依然可用。

2)應用系統應具備錯誤檢測能力，在發生錯誤和故障時發出報錯信息；報錯信息應只顯示給擁有授權的用戶，防止報錯信息為攻擊者提供敏感信息和有關系統脆弱性的信息。8.2.2 輸出信息處理

應用系統應以正確的方式對輸出的信息進行處理和保存，確保輸出信息的完整性。

要求：

1)應用系統應具備對系統輸出信息進行校驗的功能，保證輸出信息的準確性。

2)應用系統應能夠為信息的閱讀者或輸出信息的接收系統提供用以確定輸出信息完整性的信息。

3)應用系統應能夠對輸出信息的去向進行記錄。8.2.3 惡意代碼防范

惡意代碼防范是通過部署惡意代碼防護措施，降低由于惡意代碼的傳播造成的系統崩潰、數據丟失等安全風險。

要求：

1)應在網絡邊界和網絡中的服務器、用戶終端等設備中部署惡意代碼防范工具。

2)必須在本單位的網絡系統中部署病毒集中防御系統，對系統中的防病毒軟件進行統一管理，防止惡意代碼通過網絡大范圍傳播。

3)在重要應用系統的開發中，應當對應用程序代碼進行安全性審查，識別應用系統中可能存在的后門、系統炸彈、隱蔽通道等惡意代碼。

8.2.4 漏洞修補

漏洞修補是指分析信息系統中存在的安全漏洞，對受到這些漏洞影響的系統進行安全加固，防止攻擊者利用漏洞對信息系統進行攻擊。

要求：

1)應及時跟蹤國家有關部門（如公安部國家網絡與信息安全通報中心、信產部CNCERT）、操作系統開發商和數據庫系統開發商最新發布的漏洞公告，為信息系統獲取相關的補丁軟件。

2)在對系統漏洞進行修補前，應對補丁文件的有效性和安全性進行測試。

3)應采取有效的管理和技術措施，及時發現漏洞并及時修補。8.2.5 數據的完整性

數據的完整性是指數據在輸入、存儲、處理和傳輸的過程中，沒有發生錯誤、篡改和遺漏。

要求：

1)應利用訪問控制設備和信息系統本身的安全防護機制，防止篡改信息系統中的業務數據和配臵信息。

2)對自開發的應用系統應采用奇偶校驗，循環冗余檢驗，哈希函數等技術機制或專門的技術產品來保證數據的完整性。

3)應使用密碼技術保證數據在網絡中傳輸的完整性。8.2.6 垃圾郵件防范

應采取適當的技術措施防止利用垃圾郵件對系統進行惡意攻擊。要求：

1)應為本單位的郵件系統部署有效的反垃圾郵件工具。2)要避免本單位郵件系統成為垃圾郵件的源頭。

8.3 系統與通信保護

系統與通信保護是指通過一系列技術措施，保證信息系統的各個組成部分和信息系統中的通信活動按照安全策略正常工作。包括以下內容：安全域劃分、拒絕服務保護、邊界保護、傳輸加密、公鑰基礎設施和抗抵賴服務等。8.3.1 安全域劃分

在信息系統中，遵守相同的信息安全策略的集合（包括人員，軟硬件設備）稱為安全域。它的目的是對信息系統中的不同安全等級區域分別進行保護。

要求：

1)應根據網絡結構、應用系統用途以及信息的安全等級等因素，對信息系統進行安全域的劃分。

2)應將不同用途的系統劃分在不同安全域，應將信息系統用戶功能區域與信息系統管理功能區域劃分在不同安全域，應將應用服務（如門戶網站、應用系統操作界面）與數據存儲服務（如中間件服務器、數據庫服務器）劃分在不同安全域。

3)應采用合理的技術措施對跨越安全域邊界的訪問進行有效控制。

8.3.2 拒絕服務防范

拒絕服務（DoS）是指系統被破壞或出現暫時不可用的故障，而導致服務的中斷。應通過部署網絡邊界防護設備和系統安全加固來降低拒絕服務攻擊的風險。

要求：

1)應在網絡邊界設備上制訂訪問控制規則，以保護本單位內網和局域網設備不受拒絕服務攻擊的直接影響。

2)對于互聯網應用，應適當采用擴充系統容量、增加帶寬、備份冗余等方式增強抵御拒絕服務攻擊的能力。

3)應及時進行系統安全加固，對存在的安全漏洞進行修補，避免利用系統漏洞的拒絕服務攻擊。8.3.3 網絡邊界保護

網絡邊界保護是在網絡邊界部署安全控制措施對網絡通信進行監測和嚴格控制，以防止來自外部的攻擊，保護信息系統關鍵信息的通信安全。要求：

1)應監視和控制本單位網絡對外出口和內部網絡邊界的通信情況。

2)應采用防火墻、代理服務器，路由器安全配臵等方式對網絡邊界進行保護。

3)在具有公眾服務的邊界出口處，應采用入侵防護系統(IPS)、病毒網關防護系統(AV)、流量整形系統等防護措施來加強保障。8.3.4 傳輸加密

傳輸加密的目的是防止搭線竊聽、誘騙等安全威脅，保護信息傳輸過程中的機密性。

要求：

1)在傳輸涉及行業秘密或敏感信息時，應使用國家有關部門認可的或符合行業有關要求的加密設備進行加密傳輸。8.3.5 公鑰基礎設施

公鑰基礎設施用于為信息系統用戶提供第三方的身份標識和鑒別服務。

要求：

1)應按照國家局的要求，建設、使用和規范管理PKI/CA認證體系，對重要信息系統必須使用PKI/CA認證體系進行用戶身份的標識和鑒別。8.3.6 抗抵賴服務

抗抵賴服務是指監控個人對信息系統執行特定的操作并對其進行準確記錄。抗抵賴服務的目的是防止用戶不承認執行過某個操作而推卸責任。

要求：

1)重要的應用系統應具有抗抵賴功能，能確定某人是否執行了某個特定的操作（如創建信息、發送信息、接收到信息等），并產生和儲存相關的證據。

2)應利用公鑰基礎設施為重要的網絡設備和服務器建立有效抗抵賴措施。

8.4 物理環境保護

物理環境保護是指將信息系統硬件設備放臵在安全區域內并通過物理屏障、監控設施和保持良好的物理環境進行保護，避免對信息系統硬件物理上的破壞和干擾。8.4.1 物理訪問控制

物理訪問控制是指通過物理屏障、監控設備、物理標識和人員監督等措施，保證只有經過授權的人員可以對信息系統的硬件設備進行訪問。

要求：

1)各類人員只有在持有訪問許可時才可以接近信息系統核心硬件，對于不再需要進行訪問的人員應及時收回訪問許可。

2)應當在信息系統核心硬件設施的物理訪問進出點，對進出人員的訪問許可進行核實，同時記錄訪問時間和事由。

3)應通過定期檢查和分析物理訪問記錄，及時發現違規或可疑的物理訪問并及時采取補救或防范措施。8.4.2 傳輸介質保護

傳輸介質保護是指防止傳輸信息的線纜遭到物理損壞，以致通信中斷、通信效果下降或泄密。

要求：

1)應在網絡布線工程過程中嚴格遵守有關標準規范，保證布線的質量和工藝水平。

2)應采取有效措施控制對本單位局域網信息傳輸線路的物理接觸，以防止搭線竊聽、傳輸過程中的數據篡改和干擾、以及對線纜的物理破壞。

3)應盡量避免在網絡中使用共享式網絡設備，如HUB。8.4.3 存儲介質保護

存儲介質是信息靜態的載體，包括硬盤、光盤、U盤等多種形式。介質保護是指對介質進行適當的標識和訪問控制，以合理的方式進行介質的保存，傳送和廢棄。

要求： 1)應在重要的存儲介質上粘貼紙質標簽，標簽上要印有介質的編號、名稱、類別、負責保管和使用的人員和部門，該介質使用范圍的限制和操作中的注意事項等。

2)應對重要存儲介質進行妥善保管，保證只有經過授權的人可以訪問存儲有重要信息的介質并防止由于人為破壞，以及高溫、潮濕等自然因素影響介質的可用性。

3)對不再需要保留的重要信息或存儲介質廢棄時，應將其從存儲介質中徹底清除。8.4.4 顯示介質訪問控制

信息的顯示介質，如計算機屏幕、傳真機、掃描儀、打印機等，有可能成為泄密渠道。顯示介質訪問控制是指防止未經授權的人，通過接近或使用信息顯示介質，破壞信息的安全性。應設臵有效的訪問控制措施，限制非授權人員偷窺或直接使用顯示介質獲取行業的重要信息。

要求：

1)應有效防止非授權人員接近正在或可以顯示重要信息的顯示介質，防止未經授權的人員瀏覽顯示內容。

2)在顯示介質無人值守時應該通過適當的標識鑒別機制防止未經授權的人員使用顯示介質。8.4.5 機房環境安全

計算機機房的環境安全必須符合國家有關規范和國家局有關規定的要求，為信息系統的正常穩定運行，提供良好的物理環境。

要求：

1)省級以上單位或重要單位的機房應達到國家A級以上標準，其他單位機房應達到國家B級以上標準。

8.5 檢測與響應

檢測與響應是指對信息安全事件進行預警、識別和分析并對已經發生的安全事件做出及時有效響應。8.5.1 入侵檢測

入侵檢測是對信息系統的運行狀況進行監視，以發現各種攻擊企圖、攻擊行為或者攻擊結果。

要求：

1)應使用入侵檢測工具對信息系統中的安全事件進行實時監控。

2)應定期查看入侵檢測工具生成的報警日志，及時發現信息系統中出現的攻擊行為。8.5.2 漏洞掃描

漏洞掃描是使用專用工具，及時檢測、發現信息系統中關鍵設備存在的漏洞，為安全加固提供準備。

要求：

1)已配備漏洞掃描工具的單位，信息安全管理員應能熟練使用漏洞掃描工具，及時更新漏洞掃描工具的軟件版本和漏洞庫，及時發現信息系統中存在的漏洞并且保證漏洞掃描工具的使用不會對信息安全造成負面影響。

2)未配備漏洞掃描工具的單位，可采取委托第三方專業機構的方式，定期進行漏洞掃描。

3)應針對漏洞掃描的結果，對重要信息系統及時進行安全加固。

8.5.3 安全事件告警和響應

信息安全事件告警和響應，是指在發生安全事件時發出告警信息并做出及時響應。

要求：

1)應在網絡中部署安全監控和審計設備并能通過適當的方式，及時向信息安全管理員發出安全事件的告警。

2)應在保證業務連續性不受影響的前提下，選用帶有自動響應機制的安全技術或設備，如IDS與防火墻聯動、IPS、有過濾功能的內容審計系統，自動終止信息系統中發生的安全事件并保存有關記錄。8.6 安全審計

安全審計是對信息系統中的操作行為和操作結果進行收集和準確記錄并可以重現用戶的操作行為的過程，為安全管理提供用于安全事件分析的數據與事后的行為取證。8.6.1 網絡行為安全審計

網絡行為主要指使用者接入網絡、使用網絡資源的記錄，也包括運維人員對網絡的維護操作行為。

要求：

1)應根據信息系統資產的重要性和風險情況，合理確定審計對象與審計內容并采用實用有效的審計工具。

2)用戶上網記錄應包括：登錄網絡時間、離開時間、登錄地點、使用網絡資源；若是維護人員還應包括維護系統的操作命令記錄。

3)安全事件記錄應包括：安全事件發生的時間、導致安全事件產生的使用者、事件的類型及事件造成的結果。

4)應妥善保護信息系統中重要審計記錄，防止丟失、損壞、偽造與篡改，保證審計信息的完整性。

5)當審計目標范圍較大、審計結果龐大復雜時，應采用專門的信息安全審計工具，對審計記錄進行集中存儲、分析和管理，提高審計工作的效率。8.6.2 業務合規性審計

業務合規性審計指對有關行業涉密信息以及業務流程審批的操作規定，在業務系統中要可以記錄業務流程操作過程與涉密信息使用記錄并提供事后審計的功能。

要求：

1)應根據行業相關的管理要求，合理確定審計對象與審計內容并采用有效的審計工具，必要時可以對業務開發單位提出審計開發要求。

2)涉密信息使用記錄包括：信息標識、使用人員、使用時間、操作內容等。

3)業務合規性檢查包括：業務是否符合有關審批規定、是否符合財務規定、是否符合行業的其他規定等。

4)應對審計記錄進行妥善的保護，防止丟失、損壞、偽造與篡改，保證審計信息的完整性。

5)當審計目標范圍較大、審計結果龐大復雜時，應采用專門的信息安全審計工具，對審計記錄進行集中存儲、分析和管理，提高審計工作的效率。

8.7 備份與恢復

備份與恢復是指將信息和信息系統以某種方式進行復制，在其遭受破壞或故障時，重新加以利用的一個過程。備份與恢復系統的建設，要根據信息和信息系統重要程度制訂明確的備份恢復策略，采用必要的技術產品和備份恢復機制，實現備份恢復策略。8.7.1 信息系統備份

信息系統備份是指對信息和信息系統軟硬件進行備份，以便在信息或信息系統遭到破壞時重新恢復使用。

要求：

1)應根據信息系統的重要性，合理選擇適當的備份機制，對不同類型的信息和信息系統軟硬件進行合理的備份。

2)備份的對象不僅應包括業務信息和軟硬件設備，還應包括用于恢復系統的配臵信息。

3)應采用有效的技術手段保證備份系統的可靠性和備份信息的完整性并且對備份系統的有效性進行定期測試。8.7.2 備用存儲站點

備用存儲站點是指為重要信息建立的備用存儲系統，以便在重要信息遭到破壞后對其進行恢復。

要求：

1)應根據本單位特點和實際需求，為重要信息建設備用存儲站點。

2)備用存儲站點應與主站點保持一致的安全防護等級。3)備用存儲站點應與主站點保持足夠的距離，以避免受到同一災難的影響。8.7.3 備用處理站點

備用處理站點是指為重要信息系統建立備用的處理系統，以保證重要信息系統在發生安全事件后可以保持處理能力的連續性。

要求：

1)應根據本單位特點和實際需求，建立備用處理站點，當重要的信息處理能力失效后，可以及時使用備用處理站點保證數據處理的連續性。

2)備用處理站點應與主站點保持一致的安全防護等級。3)應對備用處理站點進行有效配臵，使之可以隨時進入到正式運行狀態。

4)應定期對備用處理站點進行測試，檢查備用處理站點的有效性。

8.7.4 備份通信線路

備份通信線路是指為重要信息系統建立的備用網絡傳輸線路，在主線路不能正常工作時可以保持數據傳輸的能力。

要求：

1)應為重要網絡通信線路建立備份線路。2)備份線路與主線路應保持一致的安全防護等級。3)應定期測試備份通信線路，保證備份通信線路的有效性。4)互為備份的線路應避免同一性質故障的影響。8.7.5 信息系統恢復和重建

信息系統恢復和重建是指信息系統的應用軟件和系統軟件被重新安裝，最近備份的業務信息和配臵信息仍然有效，在災難發生后系統能夠恢復正常運行。

要求：

1)應參照國家公布的《信息系統災難恢復指南》，采取技術措施并建立相應的流程，保證重要的業務系統在遭到破壞后可以迅速地恢復或重建。

2)應定期組織重要信息系統恢復與重建的演練。運維體系

信息安全運維體系的作用是在安全管理體系和安全技術體系的運行過程中，發現和糾正各類安全保障措施存在的問題和不足，保證它們穩定可靠運行，有效執行安全策略規定的目標和原則。當運行維護過程中發現目前的信息安全保障體系不能滿足本單位信息化建設的需要時，應當制訂新的安全保障體系建設規劃，進而通過新一輪信息安全保障體系建設，使安全保障體系的保障能力得到全面提升。

行業信息安全運維體系建設工作的內容應當包括制訂流程和規范、制訂階段性工作計劃、開展風險評估、實施安全分級、規范產品與服務采購、加強日常維護管理、提高緊急事件響應能力、進行績效評估與改進等。9.1 流程和規范

流程和規范是指規定信息安全運行維護工作的具體內容，規范信息安全運行維護工作方式和次序的一系列文件。流程和規范的作用是將信息安全維護工作規范化和標準化，保障信息安全策略和規章制度有效落實并便于審查。

要求：

1)制訂全面、合理、可行的流程和規范，其內容必須覆蓋風險評估、產品與服務采購、系統維護、應急計劃和事件響應等運行維護的各個方面。

2)流程和規范應明確描述信息安全運行維護各項工作的工作程序、操作次序、記錄表單和文檔模版。

3)應通過下發文件、會議宣貫、組織學習、專業培訓等多種方式確保所有相關人員熟悉、理解和遵守相關的流程和規范。

4)應定期審查流程和規范的執行情況，考核信息安全運維人員完成安全運維工作的規范程度。

5)當流程和規范與總體安全策略和信息安全管理制度發生沖突，或者與實際情況產生矛盾的時候，應及時對其進行調整和完善。

9.2 安全分級

安全分級是指對信息及信息系統，按照本單位的安全策略以及相關法規和標準的要求進行分級，以對不同類別的信息和信息系統提供不同等級的安全保護。應按照國家有關標準、規范，遵照國家局關于行業信息系統安全等級保護工作的有關要求，確定本單位信息系統和信息子系統的安全級別。分級應考慮如下要素：

1)信息系統的資產價值。2)信息系統的業務信息類別。3)信息系統的服務范圍。4)信息系統對業務的影響。要求：

1)應根據本單位實際情況對信息系統進行準確定級。

2)應根據信息系統的定級情況，落實相應安全保障措施，達到相應的安全保障目標。

9.3 風險評估

風險評估是指對信息系統面臨的安全威脅，存在的脆弱性，以及它們綜合作用帶來負面影響的嚴重性和可能性進行系統化的分析和評價。風險評估的作用是了解信息和信息系統面臨的安全風險，為實施安全控制措施，降低安全風險提供依據。9.3.1 風險評估實施

風險評估的實施是指選擇適當的評估方法，由信息安全評估專業人員和信息系統用戶共同參與，對信息安全風險進行評價的過程。風險評估的實施應以《信息安全技術 信息安全風險評估規范》、《信息安全技術 信息系統安全保障評估框架》和國家的有關文件要求為依據。行業的風險評估可采取自評估（自身發起）和檢查評估（上級主管部門或國家有關職能部門發起）兩種方式。風險評估工作應委托具有相應資質的風險評估服務機構，有條件的單位也可依靠自己的技術力量進行。

應定期進行全面的風險評估并在下列情況下，及時對信息系統實施不同范圍的風險評估：

1)信息安全保障體系建設前期進行全面的風險評估。2)在技術平臺進行大規模更新時，進行全面的風險評估。3)重要信息系統升級時，針對信息系統可能受到影響的部分進行風險評估。

4)對目前的重要信息系統增加新應用時，針對信息系統可能受到影響的部分進行風險評估。

5)在與其他單位（部門）進行網絡互聯時，針對重要信息系統可能受到影響的部分進行風險評估。

6)在發生信息安全事件之后，或懷疑可能會發生安全事件時，針對信息系統可能受到影響的部分進行風險評估。

要求：

1)應根據實際情況制訂風險評估工作計劃并通過風險評估的實施，確定信息系統的資產價值，識別信息系統面臨的威脅，識別信息系統的脆弱性，分析各種威脅發生的可能性并分析可能造成的損失、評價系統的風險狀況。

2)對重要信息系統應定期進行風險評估，以評估系統的安全風