信息系统安全等级保护物理安全方案

第七章物理安全技术实施

7.1 概述

物理安全由称为实体安全，是整个计算机信息系统安全的基石，其目标是保护计算机设备、通信链路和其它媒体免遭自然灾害、环境事故、人为失误及各种计算机犯罪行为导致的破坏。

从机房建设的角度划分，物理安全建设可分为环境物理安全建设、基本物理设备安全建设和只能设备物理安全建设三个部分。环境物理安全建设是整个信息系统安全建设不可忽视的重要组成部分，旨在加强对地震、水灾和雷电等自然灾害的预防；基本物理设备安全建设指配电柜、UPS电源、机房专用空调和网络设备等机房必须设备的安全建设，保障基本物理设备的安全，已成为信息系统建设的第一道防线；智能设备物理安全建设包括门禁系统、防盗报警系统、机房监控系统、消防报警系统等，随着信息社会的高速发展，智能设备在机房建设中越来越重要，其效果比之前的人工管理也有了很大的提供，故实现机房的智能化管理，已成为现代机房建设的必备元素。

7.2 安全风险

信息系统物理安全风险可分为非人为安全风险和人为安全风险两部分。非人为安全风险指自然灾害、环境影响和设备故障等造成的风险，人为安全风险是指由人员失误或恶意攻击等造成的风险。对物理安全风险的简单描述如表7-1所示。

表7-1 物理安全风险分类表

7.3 安全目标

物理安全建设是整个信息系统安全建设的第一步，故其完成度和安全性对信息系统安全建设影响很大。为了实现信息系统的可靠运行，物理安全建设应达到以下目标：

(一)根据不同的安全等级，选择机房建设位置和建筑建设基本要求；

(二)实现不同安全等级的访问控制功能，保护机房的设备及数据安全；

(三)实现不同安全等级的防雷击和防火要求，根据系统级别配置相应的

避雷设备和灭火设备；

(四)保护机房设备，防止其被盗窃或者被破坏；

(五)采取相应的措施防止机房进水或者设备漏水，同时加强机房的温湿

度控制，加强机房环境管理。

(六)保障机房电力正常供应，并对主要设备进行防静电和电磁防护措施。

物理安全建设技术要求从物理环境建设技术和人员控制技术两方面来实现，其对各级系统的概括要求如表7-2所示。

表7-2 物理安全控制点

等级保护中各级系统在建设中对控制点的物理技术要求如表7-3所示

7.4 目标措施对应表

表7-4 物理安全目标与对应措施

安全目标措施

环境物理安全措施机房环境安全

措施

物理位置选择符合一般建筑物规范

防火划分不同区域并进行防火隔离

防雷击增加避雷设备，交流电源接地

防水和防潮

避免进水、漏水，还应该有漏水监测

系统

防静电

接地与屏蔽，应该使用防静电地板，

使用经典消除剂

电磁防护接地、隔离与屏蔽

布线系统安装地下、线路冗余并打上标识机房运行安全措施

机房人员日常行为准则

机房日常巡视制度

机房安全保密制度

机房硬件设备维护制度

机房资料管理基本设备物理安全措施

配电柜应正确部署及维护

UPS电源应正确部署及维护

机房专用空调应正确部署及维护

网络设备的采购、编号、定期检查、

借用、报废和日常维护等职能设备物理安全措施

安装门禁系统

安装防盗报警系统

安装机房监控报警系统

安装消防报警系统

7.5 安全措施

机房建设可分为环境物理安全建设、基本设备物理安全建设、智能设备物理安全建设。其中，环境物理安全建设可分为物理位置的选择、温湿度控制和电磁防护等方面的建设；基本设备物理安全建设即网络设备、电气设备等的基本部署及安全建设；智能设备物理安全建设包括温湿度控制系统、报警系统、监控系统和消防系统等的建设

7.5.1 环境物理安全措施

环境物理安全措施包括机房环境安全措施和机房运行安全措施，这两方面的实施要点如下：

1.机房环境安全措施

1)机房物理位置的选择

(一)机房和办公场所应选择在防震、防水、防风、防雨等能了的建筑内；

(二)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔

壁。

2)防火

(一)机房应设置自动灭火装置，能够自动检测火情、自动报警、并自动灭火；

(二)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；

(三)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

从防火的角度出发，可将机房分为脆弱区、危险区和一般要求区3个区域，脆弱区一旦发生火灾，将造成全局性的业务中断，使重要信息遭受严重破坏，极大的威胁机房安全，故这一区域应严格重点进行消防报警管理，出现火灾时应首先对这一区域进行灭火等操作；危险区多存放易燃物质，由于其存放的物质的特殊性，故在进行机房管理时应多加注意，防止出现火情，若出现火情应及时进行扑灭，以免蔓延至脆弱区，造成更大的损失；一般要求区即上述区域外的地方，其消费措施没有特殊的要求，保障安全正常的灭火报警系统即可。

3)防雷击

(一)机房建筑应设置避雷装置；

(二)应设置防雷保护器，防止感应雷；

(三)机房应设置交流电源地线。

4)防水和防潮

1)水管安装不得穿过机房屋顶和活动地板下；

2)除空调设备外，机房内其设备一般不得安装水源；

3)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗漏；

4)应采取措施防止机房内水蒸气结露和地下积水的转移和渗透；

5)应安装对水敏感的检测仪或元件，对机房进行漏水监测和报警。

6)防静电

(一)主要设备采用必要的接地防静电措施；

(二)机房采用防静电地板；

(三)工作人员的衣服和鞋子尽量用不产生静电的衣料制作；

(四)维修人员进行硬件设备的维护特别是电路板的更换时候，最好戴接地手

套；

(五)控制机房的湿度，使得机房的相对湿度维持在正常的要求的范围内，不

宜偏低；

(六)在静电发生频繁的地方使用静电消除剂。

7)电磁防护

(一)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；

(二)电源线和通信线缆应隔离敷设，避免相互干扰；

(三)应对关键设备和磁介质实施电磁屏蔽。

8)机房布线措施

(一)安装地线；

(二)安装备份线路；

(三)应找专业的电工人员或者综合布线人员来布线，且要做好机房布线的档

案工作，以便日后维护。

2.机房运行安全措施

1)机房人员日常行为准则

(一)注意机房的环境卫生，不得在机房内吃零食、吸烟等；

(二)应对值班人员的责任细化，将责任落实到个人；

(三)机房工作人员必须按操作规程使用各种设备，以免出现误操作缩短设备

的使用寿命；

(四)严禁在机房大声喧哗、聊天、看视频等影响他人正常工作的行为。

2)机房日常巡视制度

(一)检查机房的环境卫生、温湿度、安全等情况，并认真做好记录；

(二)检查机房网络设备、空调系统、配电柜和UPS等基本物理设备的工作情

况，并做好记录；

(三)检查机房的消防系统、防盗报警系统等职能设备的运行情况，并做好记

录。

3)机房安全保密制度

(一)机房出入口安排专人值守，重要区域应配置电子门禁系统，对出入人员

进行鉴别和记录；

(二)对非本机房工作人员不得随意进出机房，遇特殊情况时，必须登记方可

进入，且对其活动范围进行限制和监控；

(三)值班人员需确定机房门、窗关闭，防盗装置正常开启后，方可离岗；

(四)工作人员有保护机房信息安全的义务，其工作区域内的重要文件、资料

和设备等的安全应得到保障；

(五)禁止将机房要素、门禁卡等物品外借他人，遇到遗失钥匙的情况要及时

上报，积极主动保护机房安全；

4)机房硬件设备维护制度

(一)工作人员应该熟识各设备的操作规程和养护方法，尽可能延长设备的使

用寿命；

(二)定期检查配电柜、UPS、机房专用空调、风机、消防设备、防雷设备和

报警系统等硬件的运行状态，查阅各设备的日志报告，了解设备的运行情况，并做好记录；

(三)不得随意搬动、更改设备，遇特殊情况时，需要专业人员等的指导下进

行；

5)机房资料管理

(一)应建立机房资料管理制度，根据资料用途、设备类别等进行分类，并由

专人进行管理；

(二)机房资料应随着设备更新、维护等情况予以相应的变更，及时记录记录

的更新情况；

(三)工作人员有保护机房资料和数据安全的业务，不得随意泄露机房秘密；

(四)进行权限划分，只有拥有相应权限权限的人才可以查阅相关资料，未经

授权不得进行查阅；

(五)重要资料和数据等应进行加密备份。

7.5.2 基本设备物理安全

在机房建设过程中，计算机电器系统设备是保证机房运行必不可少的设备，如网络交换机、配电柜、不断电系统、机房专用空调、风机和空气净化器等，这些设备的正常运行与否直接影响了机房的建设，故应做好这类设备的安全保护，从而进一步维护机房的安全运行。

1.配电柜

计算机机房的供电系统一般由机损及网络设备供电系统、机房设备敷设的供电系统和备用供电系统组成，而机房专用配电柜在这三个系统中都起着至关重要的作用，所以为了保证机房设备的正常供电，机房专用配电柜设计必须正确合理。在设计配电柜时，既要思考各个供电系统之间的相互关系，也要考虑用电设备的负荷，采取合理的方案来布置配电柜，是的配电柜使用维修方便，各配电柜之间的控制关系良好。大型机房电器原理如图7-2所示。

机房专用配电柜在使用时需从标示、线路和组件等方面综合考虑，具体包含要求如下。

(一)标示：机房配电柜的编号应包括配电柜号及其用途两项，如2号动

力配电柜；配电柜内的各种开关、手柄和操作按钮应标记清楚，以防止

使用中出现误操作；配电柜内的各线路应按国家规定的颜色标记并编号。

(二)线路：配电柜内应根据计算机设备及其辅助设备的不同要求，设置

中线和接地线的连接装置，中线（N）、接地线（PE）和配电柜外壳要

绝缘；配电柜内采用的母线、接线排及各种电缆、导线、中性线、接地

线等，都应符合国家标准；配电柜诶要留有备用电路，作为机房扩充使

用。

(三)组件：配电柜内主要电气组件应质量稳定、性能可靠的产品；应该

设置电流表、电压表，用于检测配电柜面板电流、电源电压和三相间平

衡关系；配电柜内应配有应急开关；消防报警系统与动力配电柜联动，

当消防报警信号被确认后，由消防控制系统将动力配电柜的电压切断。

(四)其他：配电柜内铝排与铜排相接时，要采用铝铜过度材料，如采用

过度材料有困难，则铜件上一定要上锡。

2.不间断电源系统

不间断电源系统（Uninterruptible Power System）旨在建立一个不断电系统，在市电中断的情况下，后备电源几乎可以在无端点的情况下，实现对负载的正常供电，使负载可以正常工作并保护负载软、硬件不受损害，另外，部分UPS还可以在市电正常供电时，通过自身的稳频功能，将市电稳压后供应给负载使用。UPS部署图如图7-3所示。

UPS正确使用和维护可以延长寿命至10年，若维护不当，则其可能在几年或者更短的时间内就会报废，故需要在其使用过程中注意一下几个方面。

(一)专人管理：值班人员应做好UPS每日工作的情况记录，以方便日后的维

护；UPS电源的维修和管理应由专业技术人员进行处理，机房工作人员不得随便开关UPS；机房工作人员应定期测试UPS的工作性能参数，如发现异常应及时进行处理。

(二)工作环境：UPS的工作环境要保持清洁、无污染，工作间应控制一定的

温湿度，具体参数应查看当前UPS说明书。

(三)线路：UPS输入线不得在接其他供电设备，电源输入钱最好接稳压器，

保证输入电源的质量；电源输出电路不得接电动机、电吹风等一般用电设备，保证电源职工给计算机设备的用电。

(四)电池：值班人员应定期给UPS蓄电池充放电，以恢复电池的容量。

3.机房专用空调

机房专用空调为恒温恒湿空调，是专供机房使用的高精度空调，由控制监测系统、通风系统、制冷循环系统、加湿系统、加热系统及水冷机组水循环等六部分组成。图7-4和图7-5分别为机房专用空调工作图和机房专用空调组成图。

图7-4 机房专用空调工作图

机房专用空调的使用维护和操作应依据空调厂家的详细说明书进行，且在空调开机调试时，厂家技术人员应对用户进行简单的技术培训，使用户能够对空调进行简单的操作。

4.网络设备

网络设备即连接网络的物理实体，主要用来运行和存储各种信息、资源和数量，基本的网络设备有计算机、防火墙、交换机和路由器等，而这些网络设备也是机房物理安全建设中必须保护的网络设备。网络设备部署如图7-6所示。

路由器工作在信息安全体系结构的网络层，可以在逻辑上分开网络上交换机和路由器数据包，具有路由选择功能和网络流量控制功能；网络设备的防火墙即硬件防火墙，他通过将防火墙程序嵌入到芯片中，由硬件执行防火墙功能，使得路由更稳定；交换机工作在数据链路层，依据内存的地址表确定目标MAC地址所在端口，从而将数据包传送到目标端口；计算机包括个人计算机和服务器设备，主要负责存储和运行各类数据和服务。

设备的使用和维护应从以下几方面进行。

(一)设备采购。

(二)设备登记。登记日期、设备名称、设备型号及配置、设备管理单位、管

理员签字和备注等。

(三)设备管理。设备管理编号、设备名称、型号、登记时间、设备供应方、

保修时间和客服联系方式等。

(四)设备状态检查。检查设备编号、产品日期、检查日期、使用状态和备注

等。

(五)设备使用登记。登记借用设备名、借用机构、借用经手人、借用日期、

欲借用时间和预计归还时间等。

(六)设备报废。

(七)硬件的日常维护。维护日期、设备编号、处理事项、维护人员和备注等。

维护人员主要负责设备的清洁保养和定期检测等，维护工作应严格按照

厂家说明书进行操作，对于电路板等复杂器件的修理，应在厂家的协助

下进行，以避免毁坏设备。

(八)软件维护。机房管理人员应该维护好各系统软件、驱动程序、应用软件

和重要程序文件等。在进行新软件安装时，需要上级主管部门的书面批

准，只有在紧急情况下，方可通过上级口头许可进行安装，但事后需要

向上级管理人员补交书面申请。

7.5.3 智能设备物理安全措施

随着信息社会的快速发展，计算机系统已成为各行各业必不可少的工具之一，而存储在计算机系统中的文件和数据，因为会牵涉商业机密、技术资料和情报等，需要受到保护。故在机房建设过程中，不仅要对机房环境和基本设备进行管理，也需要智能设备来实现对机房多层次、立体化保护。

机房的智能设备可分为门禁系统、防盗报警系统、监控报警系统和消防报警系统，其设置的目的都是为了实现机房的智能化管理，更好的维护机房的正常运行。

1.门禁系统

机房门禁系统的处理过程可分为两个部分：首先的是用读卡器等信息接收设备接收人员输入的信息，并将其转换成电信号送到控制器中；然后控制器将收到的信息和已存储的信息进行比较，从而做出具体的处理命令。

门禁系统作为机房安全建设的第一道防线，应该部署在楼宇的进出口，实现授权人员在规定的时间内方可进出部分或全部地区。门禁系统的功能如下：

(一)设备管理中心。管理卡或设备的发放、补助和注销等，在人员变动时要

对其持有的卡片进行相应的管理。

(二)权限管理。对已发放的卡片进行权限和出入时间的设置，规定每个人可

进出的房间以及能自由出入的时间范围等。

(三)事件记录。实时显示、记录所有人员的出入时间、异常时间及处理方式

和持有卡人个人信息，若遇到异常事件时还应提供报警功能，同时，系统应保护事件记录的完整性，为查询非法人员的进入提供依据。

(四) 应急管理。紧急情况下或电锁出现故障时应有应急钥匙可以将门打开，

且全套系统最好有备用电源，以保证断电的情况下系统能继续使用。

(五) 报警管理。可以采集防盗和防火探测器等报警信息，并实时上传至监控

管理中心。 2. 防盗报警系统

防盗报警系统负责整个机房内外所有非法事件的侦测，一般由前端探测器和报警控制器组成，其工作过程可分为两个部分，首先，前端探测器将探测到的异常时间向报警控制器传送，然后，报警控制器判断收到的报警信号，并按预先设定的报警方式报警。防盗报警系统如图7-7所示。

机房防盗建设是机房安全建设的重要组成部分，应具有即时报警和恐吓非法入侵者的功能。为了实现该功能，防盗报警系统可以采用多层次、立体的触发进行告警触发。具体来讲，即在机房内外各部位均设置探测器，安装门磁、机房内安装烟感探测器，机房地面、空调和窗户等处安装漏水探测器。 3. 机房监控系统

智能监控系统的设立旨在监控和管理重要部门（如军事、金融机构等）的机房设备及环境，其监控的对象包括机房环境、基本设备和智能设备等。

智能监控

系统实时监控各系统设备的运行状态和工作参数，发现异常事件立即报警，同时对监控的历史数据和报警事件进行保存，以备来查询。机房监控系统组成如图7-8所示。

图7-8 机房监控系统组成

1)机房监控系统部署

由于机房环境的复杂性和监控对象的多样化，机房监控系统的安装方式不尽相同。为了更好的实现机房的监控功能，应在主要设备区域和机房脆弱区等处安装摄像机，实时监控机房内的情况。同时，应在机房各出入口和每一排机柜之间摄像头，尽量减少机房监控的死角，若出入口的空间比较大，则考虑带变焦的摄像机。

2)机房监控系统的功能

机房监控系统应具备如下功能。

(一)监控记录：系统应能对监视对象的图像和数据进行记录，以便将来查询。

(二)断电保护：系统应能自动保存意外断电时刻之前的录像数据，最大限度

的保护机房监控数据。

(三)智能联动：系统内部先设置一些事件和触发事件，当这些条件达到满足

时，系统可以自动进行一些动作来处理当前情况。

(四)选择监视区域：系统应能实现人为选择摄像区域，以便进行重点监视或

在某个范围内对几个摄像区做自动巡回显示。

(五)权限管理：系统可以根据不同的角色进行分权管理，保证系统的安全性。

(六)报警优先级：系统的报警级别可以进行等级划分，级别高的报警优先处

理。

4.消防报警系统

计算机机房内有很多电器，存在火灾发生的可能，从而可能因此导致严重的后果，所以消防报警系统已成为机房建设必不可少的一环。随着微电子计算，检测技术和计算机控制技术在消防领域的广泛应用，以火灾探测器和火灾报警控制器和气，体灭火控制器为内容，由计算机协调控制和管理灭火设备的智能灭火系统应运而生。它们为机房做出了重大贡献。消防报警系统的组成如图7-9所示。

1)消防报警系统部署

(一)消防报警系统的探测器应位于机房最易发生火灾的地方；

(二)报警器可分为区域报警器和集中报警器，区域报警器应放在机房明显的

地方，集中报警器应放在机房的消防中心。

(三)灭火瓶不能设在火灾危险区和防护区内，其最佳位置应放在最靠近机房

防护区的地方。

(四)消防碰嘴应合理均匀分布。

2)消防报警的功能

(一)消防报警系统在发生火灾时，应能提供自动报警功能，同时以声音和灯

光显示报警信息；

(二)控制器在接收到火灾上传信息时能自动启动灭火设备，使灭火系统自动

喷发灭火剂进行灭火；

(三)系统应能同时启动排烟装置，及时排放机房内的烟气，方便人员疏散；

(四)控制中心人员在接收到报警信息时，能同时启动广播装置，通知机房内

人员疏散，并打开应急照明，引导疏散人群。

人生就像一部书，每个人都在书写着自己的故事，书写着生命中曾承载的苦辣酸甜和正在经历的风霜雪雨。不管这部书的情节精彩也好，简约也罢，我们都必须字斟句酌，用心构思。只有这样，认真写好人生的每一个章节，才能把握生命的主旋律。

人生也像一条河，有谁不是在风里行舟，雨中穿梭。昨天还在逆浪而行，今朝依然奔奔波波。尽管如此，我们也不应气馁，更不敢稍有停歇。只有这样，才能穿越人生的风浪，踏平生命的坎坷，从而抵达理想的彼岸，收获人生累累硕果。

人生还像一盘棋，我们每个人俨如上帝手中的一枚棋子，贫富贵贱难预料，生老病死不由己。楚河汉界今犹在，谁见君王卷土来？是啊！人生苦短，岁月蹉跎。在不老的时光里，我们每个人充其量不过是一个匆匆的过客。当你走过半生，蓦然首，你会发觉：转眼间，我们便告别了葱茏的年华，跨过了中年的门槛，走进了枫红菊艳的时节。

有道是，流光容易把人抛，红了樱桃，绿了芭蕉。岁月如梭，不经意间便穿越半生沧桑。回首往事，多少情怀已经更改，多少青春早已不再，多少梦想恍如云烟，多少足迹已湮入尘埃。实乃，人生得失如萍散，雪落花开辞红颜。

三毛说：“我来不及认真地年轻，待明白过来时，只能选择认真地老去。”昨天已经落幕，明天无法彩排，唯有今天才是人生的最好舞台。

轻捻指尖流年，细数过往云烟。曾经的莽撞少年，总以为伸手就能够着天，凡理都要辩出个曲和直，凡事都要弄出个里和面。人过中年，我们才恍然顿悟：不和别人比，好好活自己，这才是后半场人生棋盘最好的布局。

好好活自己，就要力求“身心两安逸”.老了不可怕，就怕放不下。人过中年，身体机能不断下降，就像一部半新不旧的机器，各个零部件都已濒临保养期，如果不及时加以检修，等到停止工作那一天，悔之晚矣。凡事不攀比，保命是正理，浮云随风去，任尔东与西。身体健康是前提，心情快乐才安逸。服老不并非消及，而是保护自己。

山有山的伟岸，水有水的柔情，每个人的生活模式千差万别，就像世界上没有一模一样的两片叶子，你有你的脉络，我有我的纹理。寸有所长，尺有所短，每个人都不是完美无缺的个体，你有你的色彩，我有我的艳丽；你羡慕别人的同时，别人也许正在羡慕你。就像卞之琳所说的那样，你站在桥上看风景，看风景的人在楼上看你。明月装饰了你的窗子，你装饰了别人的梦。我们每个人何尝不是一道独一无二的风景线，只是缺乏一双欣赏的眼光而已。

好好活自己，就要力求“退而求其次”.后半生，我们没有多余的精力去开拓一个未知的领域。所谓的“大不了从头再来”,那只不过是年轻人的豪言壮语。人生后半场，上帝给予我们的时间和精力是有限的，适时地放手才是最好的选择。退而求其次，看似是一种“无奈”,却也是一种豁达的智慧。它并非真正意义上的“退化”,而是为生命“留白”,为自己留下一点周旋的余地。

老子曾言，“虚而不屈动而愈出，多言数穷不如守中。”事多必乱，言多必失，只有保留一定的“空”,才能其用无穷。正所谓，月满则亏，水满则溢。有时退一步海阔天空，进一步山重水复。留白，也是一种取舍，只有“丢卒保车”,才能满盘皆活。

古人说：“路漫漫其修远兮，吾将上下而求索。”可见，“求索”原本就分“上”“下”.当你的“上策”无法策马扬鞭时，你必须要退避三舍求“下策”,谋定而后动，知止而有得。叶公好龙，玩假把式；夜郎自大，唯我独尊，只能是自讨苦吃。

好好活自己，就要力求营造一个“小天地”.人生需自渡，这个世界上从来就没有救世主。自己的人生，黯淡与精彩完全由自己去书写，去掌舵，去布局。红尘如梦，亦真亦幻；人生如戏，亦悲亦喜。当曲终人散时，不过是乐者自乐，歌者自歌；伤者自伤，痛者自痛。

人生就像一部书，每个人都在书写着自己的故事，书写着生命中曾承载的苦辣酸甜和正在经历的风霜雪雨。不管这部书的情节精彩也好，简约也罢，我们都必须字斟句酌，用心构思。只有这样，认真写好人生的每一个章节，才能把握生命的主旋律。

人生也像一条河，有谁不是在风里行舟，雨中穿梭。昨天还在逆浪而行，今朝依然奔奔波波。尽管如此，我们也不应气馁，更不敢稍有停歇。只有这样，才能穿越人生的风浪，踏平生命的坎坷，从而抵达理想的彼岸，收获人生累累硕果。

人生还像一盘棋，我们每个人俨如上帝手中的一枚棋子，贫富贵贱难预料，生老病死不由己。楚河汉界今犹在，谁见君王卷土来？是啊！人生苦短，岁月蹉跎。在不老的时光里，我们每个人充其量不过是一个匆匆的过客。当你走过半生，蓦然首，你会发觉：转眼间，我们便告别了葱茏的年华，跨过了中年的门槛，走进了枫红菊艳的时节。

有道是，流光容易把人抛，红了樱桃，绿了芭蕉。岁月如梭，不经意间便穿越半生沧桑。回首往事，多少情怀已经更改，多少青春早已不再，多少梦想恍如云烟，多少足迹已湮入尘埃。实乃，人生得失如萍散，雪落花开辞红颜。

信息安全等级保护建设方案

信息安全等级保护（二级）建设方案 2016年3月 目录 1. 项目概述 (3) 1.1. 项目建设目标 (3) 1.2. 项目参考标准 (4) 1.3. 方案设计原则 (5)

2. 系统现状分析 (6) 2.1. 系统定级情况说明 (6) 2.2. 业务系统说明 (6) 2.3. 网络结构说明 (7) 3. 安全需求分析 (8) 3.1. 物理安全需求分析 (8) 3.2. 网络安全需求分析 (8) 3.3. 主机安全需求分析 (8) 3.4. 应用安全需求分析 (8) 3.5. 数据安全需求分析 (9) 3.6. 安全管理制度需求分析 (9) 4. 总体方案设计 (9) 4.1. 总体设计目标 (9) 4.2. 总体安全体系设计 (9) 4.3. 总体网络架构设计 (12) 4.4. 安全域划分说明 (12) 5. 详细方案设计技术部分 (13) 5.1. 物理安全 (13) 5.2. 网络安全 (13) 5.2.1. 安全域边界隔离技术 (13) 5.2.2. 入侵防范技术 (13) 5.2.3. 网页防篡改技术 (13) 5.2.4. 链路负载均衡技术 (13) 5.2.5. 网络安全审计 (14) 5.3. 主机安全 (14) 5.3.1. 数据库安全审计 (14) 5.3.2. 运维堡垒主机 (14) 5.3.3. 主机防病毒技术 (15) 5.4. 应用安全 (15) 6. 详细方案设计管理部分 (16) 6.1. 总体安全方针与安全策略 (16) 6.2. 信息安全管理制度 (17) 6.3. 安全管理机构 (17) 6.4. 人员安全管理 (17) 6.5. 系统建设管理 (18) 6.6. 系统运维管理 (18) 6.7. 安全管理制度汇总 (20) 7. 咨询服务和系统测评 (21) 7.1. 系统定级服务 (21) 7.2. 风险评估和安全加固服务 (21) 7.2.1. 漏洞扫描 (21) 7.2.2. 渗透测试 (21) 7.2.3. 配置核查 (21) 7.2.4. 安全加固 (21) 7.2.5. 安全管理制度编写 (23)

信息系统安全等级保护测评准则.

目录 1 范围 (1) 2 规范性引用文件 (1) 3 术语和定义 (1) 4 总则 (2) 4.1 测评原则 (2) 4.2 测评内容 (2) 4.2.1基本内容 (2) 4.2.2工作单元 (3) 4.2.3测评强度 (4) 4.3 结果重用 (4) 4.4 使用方法 (4) 5 第一级安全控制测评 (5) 5.1安全技术测评 (5) 5.1.1物理安全 (5) 5.1.2网络安全 (7) 5.1.3 主机系统安全 (9) 5.1.4 应用安全 (11) 5.1.5 数据安全 (13) 5.2 安全管理测评 (15) 5.2.1 安全管理机构 (15) 5.2.2 安全管理制度 (17) 5.2.3 人员安全管理 (17) 5.2.4 系统建设管理 (19) 5.2.5 系统运维管理 (23) 6 第二级安全控制测评 (27) 6.1 安全技术测评 (27) 6.1.1 物理安全 (27) 6.1.2 网络安全 (33) 6.1.3 主机系统安全 (37) 6.1.4 应用安全 (42) 6.1.5 数据安全 (47) 6.2 安全管理测评 (50) 6.2.1 安全管理机构 (50) 6.2.2 安全管理制度 (52) 6.2.3 人员安全管理 (54) 6.2.4 系统建设管理 (56) 6.2.5 系统运维管理 (61) 7 第三级安全控制测评 (69) 7.1 安全技术测评 (69) 7.1.1 物理安全 (69) 7.1.2 网络安全 (76)

7.1.3 主机系统安全 (82) 7.1.4 应用安全 (90) 7.1.5 数据安全 (97) 7.2 安全管理测评 (99) 7.2.1 安全管理机构 (99) 7.2.2 安全管理制度 (104) 7.2.3 人员安全管理 (106) 7.2.4 系统建设管理 (109) 7.2.5 系统运维管理 (115) 8 第四级安全控制测评 (126) 8.1 安全技术测评 (126) 8.1.1 物理安全 (126) 8.1.2 网络安全 (134) 8.1.3 主机系统安全 (140) 8.1.4 应用安全 (149) 8.1.5 数据安全 (157) 8.2 安全管理测评 (160) 8.2.1 安全管理机构 (160) 8.2.2 安全管理制度 (164) 8.2.3 人员安全管理 (166) 8.2.4 系统建设管理 (169) 8.2.5 系统运维管理 (176) 9 第五级安全控制测评 (188) 10 系统整体测评 (188) 10.1 安全控制间安全测评 (188) 10.2 层面间安全测评 (189) 10.3 区域间安全测评 (189) 10.4 系统结构安全测评 (190) 附录A（资料性附录）测评强度 (191) A.1测评方式的测评强度描述 (191) A.2信息系统测评强度 (191) 附录B（资料性附录）关于系统整体测评的进一步说明 (197) B.1区域和层面 (197) B.1.1区域 (197) B.1.2层面 (198) B.2信息系统测评的组成说明 (200) B.3系统整体测评举例说明 (201) B.3.1被测系统和环境概述 (201) B.3.1安全控制间安全测评举例 (202) B.3.2层面间安全测评举例 (202) B.3.3区域间安全测评举例 (203) B.3.4系统结构安全测评举例 (203)

信息安全等级保护安全整改方案模版

信息安全等级保护安全整改方案 xxx公司 20xx年x月

工作项目清单 信息安全等级保护安全服务方案

目录 第一章概述 (8) 1.1项目背景 (8) 1.2现状描述 (8) 第二章总体设计 (15) 2.1项目目标 (15) 2.2项目原则 (16) 2.3项目依据 (17) 2.3.1政策法规 (17) 2.3.2标准规范 (17) 2.4实施策略 (18) 2.4.1技术体系分析 (18) 2.4.2管理体系分析 (18) 2.4.3业务系统分析 (19) 2.4.4充分全面的培训 (20) 2.5项目内容 (21) 2.5.1差距分析 (21) 2.5.2整改方案设计 (21) 2.5.3安全优化与调整 (21) 2.5.4等级保护管理制度建设 (21) 第三章差距分析 (23)

3.2工作方式 (23) 3.3工作内容 (25) 3.3.1物理安全 (26) 3.3.2主机安全 (27) 3.3.3网络安全 (31) 3.3.4应用安全 (35) 3.3.5数据安全及备份恢复 (39) 3.3.6安全管理制度 (43) 3.3.7安全管理机构 (47) 3.3.8人员安全管理 (51) 3.3.9系统建设管理 (55) 3.3.10系统运维管理 (59) 3.4提交成果 (63) 第四章等级保护整改方案设计 (64) 4.1工作目的 (64) 4.2工作方式 (65) 4.3工作内容 (65) 4.4提交成果 (68) 第五章系统优化及调整 (68) 5.1工作目的 (68) 5.2工作方式 (68)

5.4工作内容 (70) 5.5提交成果 (71) 第六章等级保护管理制度建设 (71) 6.1工作目的 (71) 6.2工作方式 (72) 6.3工作内容 (72) 6.4工作成果 (74) 第七章培训与验收 (77) 7.1培训内容 (77) 7.1.1等级保护整改培训 (77) 7.1.2信息安全等级保护培训 (78) 7.1.3认证考试 (78) 7.2项目验收 (79) 7.2.1验收依据和标准 (79) 7.2.2验收内容 (80) 第八章项目管理与组织 (82) 8.1项目管理架构 (82) 8.2项目成员 (84) 8.3项目进度 (88) 第九章国都兴业服务特色 (90) 9.1丰富的服务经验 (90) 9.2有保障的服务团队 (90)

信息安全等级保护工作实施细则.doc

内部明电 发往：签发： 信息安全等级保护工作实施细则 第一章总则 第一条信息安全等级保护制度是国家在国民经济和 社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、 社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。为加 强本局信息安全等级保护工作，规范信息安全等级保护安全管理，促进各职能 部门之间的分工与协调合作，提高信息安全保障能力和水平，制定本实施细则。 第二条信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织 的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行 安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中 发生的信息安全事件分等级响应、处置。 第三条本实施细则所指的重要信息系统，是指包括本局公共服务网络与管理信息系统。 第四条信息系统运营、使用单位是指信息系统的所有者或信息系统所承载 业务的主管单位，且对该信息系统的安全运行负主要责任的县区分局。本实施 细则适用于新建和已建的所有信息系统。 第五条本局内的信息系统运营、使用单位按照谁主管谁负责、谁运营谁负

责的原则，对其信息系统分等级进行保护，履行信息安全等级保护职责。 第六条信息系统安全保护等级分为五级： （一）第一级为自主保护级，信息系统运营、使用单位可以依据相关管理规范和技术标准进行保护。 （二）第二级为指导保护级，信息系统运营、使用单位应当依据相关管理规范和技术标准进行保护。必要时，相关职能部门可以对其信息安全等级保护工作进行指导。 （三）第三级为监督保护级，信息系统运营、使用单位应当依据相关管理规范和技术标准进行保护，相关职能部门对其信息安全等级保护工作进行监督、管理、检查、指导。 （四）第四级为强制保护级，信息系统运营、使用单位应当依据相关管理规范和技术标准进行保护，相关职能部门对其信息安全等级保护工作进行强制监督、管理、检查、指导。 第七条市局成立信息安全等级保护领导小组，负责市局信息安 全等级保护工作的整体协调和指导。市局信息安全等级保护领导小组下设办公室负责： （一）对市信息安全等级保护领导小组决定的有关信息安全等级保护工作的落实情况进行督办和检查； （二）对各区县、各相关职能单位的信息系统安全等级保护工作进行监督、协调和指导；

信息安全等级保护制度

第一条 为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。 第二条 国家通过制定统一的信息安全等级保护管理规范和技术 标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。 第三条 公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 第四条

信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 第五条 信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。 第二章等级划分与保护 第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。 信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。 第七条 信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 第八条 信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。 第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。 第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。

信息安全等级保护建设方案

信息安全等级保护 建设方案 1 2020年4月19日

信息安全等级保护（二级）建设方案 3月 目录 1.项目概述错误!未定义书签。 1.1.项目建设目标 2 2020年4月19日

1.2.项目参考标准 错误!未定义书签。 1.3.方案设计原则 错误!未定义书签。 2. 系统现状分析........................................ 错误!未定义书签。 2.1.系统定级情况说明 错误!未定义书签。 2.2.业务系统说明 错误!未定义书签。 2.3.网络结构说明 错误!未定义书签。 3. 安全需求分析........................................ 错误!未定义书签。 3.1.物理安全需求分析 错误!未定义书签。 3.2.网络安全需求分析 错误!未定义书签。 3.3.主机安全需求分析 错误!未定义书签。 3.4.应用安全需求分析 错误!未定义书签。 3.5.数据安全需求分析 错误!未定义书签。 3.6.安全管理制度需求分析 3 2020年4月19日

4. 总体方案设计........................................ 错误!未定义书签。 4.1.总体设计目标 错误!未定义书签。 4.2.总体安全体系设计 错误!未定义书签。 4.3.总体网络架构设计 错误!未定义书签。 4.4.安全域划分说明 错误!未定义书签。 5. 详细方案设计技术部分................................ 错误!未定义书签。 5.1.物理安全 错误!未定义书签。 5.2.网络安全 错误!未定义书签。 5.2.1.安全域边界隔离技术 错误!未定义书签。 5.2.2.入侵防范技术 错误!未定义书签。 5.2.3.网页防篡改技术 错误!未定义书签。 5.2.4.链路负载均衡技术 错误!未定义书签。 5.2.5.网络安全审计 4 2020年4月19日

信息系统安全等级保护定级报告示例

信息系统安全等级保护定级报告 一、XX平台系统描述 （一）2014年8月，XX正式上线，XX隶属于北京XX科技有限公司，该公司是从事网络借贷信息中介业务活动的金融信息服务企业。主要是通过线上XX平台，将出借人和借款人衔接，为二者提供中介服务进而实现借贷关系。通过提供信息搜集、信息公布、资信评估、信息交互、借贷撮合等服务解决借款人和出借人的投融资难的问题。目前该XX平台系统由公司运维部负责维护。我公司是该平台系统业务的主要负责机构，也是为该信息系统定级的责任单位。 （二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对该系统金融业务数据信息进行存储、传输、检索等处理的人机机制。 该系统相关的用户数据中心网络，资金管理等边界部分都是等级保护定级的范围和对象。在此次定级过程中，将该系统的网络设备和数据中心连同业务数据作为一个定级对象加以考虑，统一进行定级、备案。该系统的网络设备和数据中心还要作为整个系统的分系统分别进行定级、备案。 （三）该系统业务主要包含：用户身份安全信息、业务平台数据、购买服务等业务，并新增加了法务审核，风险控制等等业

务。系统针对业务实现的差异分别提供实时联机处理和批量处理两种方式。其中：通过网络与第三方支付平台的连接，均采用约定好的报文格式进行通讯，业务处理流程实时完成。 业务处理系统以内部财务结算模式，负责各类买入转让还款的业务处理，包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业务处理逻辑的实现、与会计核算系统的连接等。系统结构拓扑图如下： 二、XX平台系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》） （一）业务信息安全保护等级的确定 1、业务信息描述 北京XX科技有限公司是从事网络借贷信息中介业务活动的金融信息服务企业，XX为旗下借贷平台主要是通过线上平台，将出借人和借款人衔接，为二者提供中介服务实现借贷关系。通过提供信息搜集、信息公布、资信评估、信息交互、借贷撮合等服务，解决借款人和出借人的投融资难的问题。 2、业务信息受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。 侵害的客观方面表现为：一旦信息系统的业务信息遭到入侵、

信息安全等级保护工作计划

竭诚为您提供优质文档/双击可除信息安全等级保护工作计划 篇一：信息安全等级保护工作计划 篇一：信息安全等级保护工作实施方案 白鲁础九年制学校 信息安全等级保护工作实施方案 为加强信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进我校信息化建设。根据商教发【20XX】321号文件精神，结合我校实际，制订本实施方案。 一、指导思想 以科学发展观为指导，以党的十七大、十七届五中全会精神为指针，深入贯彻执行《信息安全等级保护管理办法》等文件精神，全面推进信息安全等级保护工作，维护我校基础信息网络和重要信息系统安全稳定运行。 二、定级范围 学校管理、办公系统、教育教学系统、财务管理等重要信息系统以及其他重要信息系统。

三、组织领导 （一）工作分工。定级工作由电教组牵头，会同学校办公室、安全保卫处等共同组织实施。学校办公室负责定级工作的部门间协调。 安全保卫处负责定级工作的监督。 电教组负责定级工作的检查、指导、评审。 各部门依据《信息安全等级保护管理办法》和本方案要求，开展信息系统自评工作。 （二）协调领导机制。1、成立领导小组，校长任组长，副校长任副组长、各部门负责人为成员，负责我校信息安全等级保护工作的领导、协调工作。督促各部门按照总体方案落实工作任务和责任，对等级保护工作整体推进情况进行检查监督，指导安全保密方案制定。 2、成立由电教组牵头的工作机构，主要职责：在领导小组的领导下，切实抓好我校定级保护工作的日常工作。做好组织各信息系统运营使用部门参加信息系统安全等级保 护定级相关会议；组织开展政策和技术培训，掌握定级工作规范和技术要求，为定级工作打好基础；全面掌握学校各部门定级保护工作的进展情况和存在的问题，对存在的问题及时协调解决，形成定级工作总结并按时上报领导小组。 3、成立由赴省参加过计算机培训的教师组成的评审组，主要负责：一是为我校信息与网络安全提供技术支持与服务

信息系统安全等级保护定级指南

1信息系统安全等级保护定级指南 为宣贯《信息系统安全等级保护定级指南》（以下简称《定级指南》）国家标准，由标准起草人介绍标准制、修订过程，讲解标准的主要内容,解答标准执行中可能遇到的问题。1.1定级指南标准制修订过程 1.1.1制定背景 本标准是公安部落实66号文件，满足开展等级保护工作所需要的重要规范性文件之一，是其他标准规范文件的基础。本标准依据66号文件和“信息安全等级保护管理办法”的精神和原则，从信息系统对国家安全、经济建设、社会生活重要作用，信息系统承载业务的重要性、业务对信息系统的依赖程度和信息系统的安全需求等方面的因素，确定信息系统的安全保护等级，提出了分级的原则和方法。 本任务来自全国信息系统安全标准化技术委员会，由全国信息安全标准化技术委员会WG5工作组负责管理。 1.1.2国外相关资料分析 本标准编制前，编制人员收集与信息系统确定等级相关的国外资料，其中主要是来自美国的标准或文献资料，例如： ●FIPS 199 Standards for Security Categorization of Federal Information and Information Systems（美国国家标准和技术研究所） ●DoD INSTRUCTION 8510.1-M DoD Information Technology Security Certification and Accreditation Process Application Manual（美国国防部） ●DoD INSTRUCTION 8500.2 Information Assurance (IA) Implementation（美国国防 部） ●Information Assurance Technology Framework3.1（美国国家安全局） 这些资料表明，美国政府及军方也在积极进行信息系统分等级保护的尝试，从一个侧面反映了分等级对重要信息系统实施重点保护的思想不仅适用于像我国这样的信息技术水平不高的发展中国家，也适用于信息化发达国家。但仔细分析起来，这些文献资料中所描述的等级在其适用对象、定级方法、划定的等级和定级要素选择方面各有不同。 FIPS 199作为美国联邦政府标准，依据2002年通过的联邦信息安全管理法，适用于所有联邦政府内的信息（除其它规定外的）和除已定义为国家安全系统之外的联邦信息系统。根据FIPS 199，信息和信息系统根据信息系统中信息的保密性、完整性和可用性被破坏的

档案信息系统安全等级保护

档案信息系统安全等级保护定级工作指南 国家档案局 2013年7月

目录 1.工作背景 (2) 2.适用范围 (2) 3.编制依据 (2) 4.档案信息系统类型的划分 (3) 5.档案信息系统的定级 (4) 5.1档案信息系统的定级原则 (4) 5.2档案信息系统安全保护等级的划分 (5) 5.2.1受侵害客体 (5) 5.2.2对客体侵害程度的划分 (5) 5.2.3档案信息系统安全等级的划分 (6) 5.3档案信息系统安全保护等级确定的方法 (6) 5.3.1确定定级对象 (7) 5.3.2确定受侵害的客体 (7) 5.3.3确定对客体的侵害程度 (7) 5.3.4确定档案信息系统的安全保护等级 (8) 5.3.5编制定级报告 (10) 6.评审 (10) 7.备案与报备 (11) 8.等级变更 (11) 附录1《信息系统安全等级保护定级报告》模版 (12) 附录2《信息系统安全等级保护备案表》 (14)

1.工作背景 1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，计算机信息系统实行安全等级保护，公安部主管全国计算机信息系统安全保护工作。近年来，公安部会同有关部门组织制订了一系列有关计算机信息系统安全等级保护的规章和标准，加强了对重点行业信息系统安全等级保护工作的监督、检查和指导，并于2011年建立了54个行业主管部门参加的等级保护联络员制度，档案行业为其中之一。 随着档案信息化进程的不断加快，档案部门通过档案信息系统管理的数字档案资源越来越多，提高档案信息系统的安全防护能力和水平，已经成为加强档案信息安全管理、促进档案事业健康发展的一项重要内容。为做好档案信息系统安全等级保护工作，国家档案局编制《档案信息系统安全等级保护定级工作指南》（以下简称《指南》），以指导档案信息系统安全等级保护的定级工作。 2.适用范围 本《指南》是档案信息系统安全等级保护定级工作的操作规范，适用于省级（含计划单列市、副省级市，下同）及以上档案行政管理部门及国家综合档案馆非涉密信息系统安全等级保护定级工作。地市级档案局馆和其他档案馆可参照执行。 3.编制依据 本《指南》的编制主要依据以下标准、规范： ●《中华人民共和国计算机信息系统安全保护条例》（国务院147号令） ●《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发〔2003〕27号） ●《关于信息安全等级保护工作的实施意见》（公通字〔2004〕66号）

医院信息系统安全等级保护工作实施方案实施计划书

关于做好信息安全等级保护工作的通知 各科室： 医院信息系统是医疗服务的重要支撑体系。为贯彻落实国家信息安全等级保护制度，确保我院信息系统安全可靠运行，根据《省卫生厅省公安厅关于开展全省卫生行业信息安全等级保护工作通知》（鄂卫发〔2012〕14号）精神，并结合我院信息系统应用的特点，就相关事项通知如下。 一、组织领导 组长： 副组长： 组员： 领导小组办公室设在XX科，由XX同志兼任主任，ＸＸＸ等同志负责具体工作。 二、工作任务 1、做好系统定级工作。定级系统包括基础支撑系统，面向患者服务信息系统，部行政管理信息系统、网络直报系统及门户，定级方法由市卫生局统一与市公安局等信息安全相关部门协商。 2、做好系统备案工作。按照市卫生系统信息安全等级保护划分定级要求，对信息系统进行定级后，将本单位《信息系统安全等级保护备案表》《信息系统定级报告》和备案电子数据报卫生局，由卫生局报属地公安机关办理备案手续。 3、做好系统等级测评工作。完成定级备案后，选择市卫生局推荐的等级测评机构，对已确定安全保护等级信息系统，按照国家信息安全等级保护工作规和《信息安全技术信息系统安

全等级保护基本要求》等国家标准开展等级测评，信息系统测评后，及时将测评机构出具的《信息系统等级测评报告》向属地公安机关报备。 4、完善等级保护体系建设做好整改工作。按照测评报告评测结果，对照《信息系统安全等级保护基本要求》等有关标准，组织开展等级保护安全建设整改工作，具体要求如下： 安全类别 控制项 主要安全措施 二级保护措施 三级保护措施 物理安全 物理访问控制 机房安排专人负责，来访人员须审批和陪同 √

信息系统安全等级

附件乐3：乐山《信息系统安全等级保护定级报告》模 金阳县人民医院 《信息系统安全等级保护定级报告》 一、金阳县人民医院信息系统描述 金阳县人民医院信息系统主要有医院信息管理系统（HIS）、LIS、PACS、卫生统计直报系统、传染性疾病报告系统、医院门户网站等系统组成。本系统对医院及其所属各部门的人流、物流、财流进行综合管理，对医院从事医疗、办公等活动在各阶段中产生的数据进行采集、存储、分析、处理、汇总，为医院的整体运行提供信息支撑。该信息系统的平台运行维护主要有网络中心承担，医院始终将信息安全建设作为安全重中之重建设和管理，将其确定为定级对象进行监督，网络中心为信息安全保护主体。此系统主要由提供网络连接、网络服务的硬件和数据控制的软件程序两大要素构成，提供网络连接和服务的硬件设备如路由器、交换机和服务器构成了该信息系统的基础，其主要为保障数据的传输和程序文件的运行；数据控制文件系统、程序源码成为信息表现的载体，二者共同完成院内医疗、办公等信息的综合管理。 二、金阳县人民医院信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》） （一）业务信息安全保护等级的确定 1、业务信息描述 本信息系统主要处理的业务有医院日常业务运行、医院最新动态、院务公开、等。旨在保障医院业务正常运行、提高工作效率、增强院务透明度、扩大医院社会影响力。 2、业务信息受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是患者、法人和医院职工的合法权益。侵害的客观方面（客观方面是指定级对象的具体侵害行为，侵害形式以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对患者、医院和医院职工的合法权益造成严重影响和损害。本信息系统由于具有一定的脆弱性，需要不定时进行对该系统进行程序升级和漏洞防范，所以很容易受到“黑客”攻击和破坏，可能会影响医疗、办公正常秩序和正常行使工作职能，导致业务能力下降，从某种角度可侵害患者、医院和医院职工的合法权益，造成一定范围的不良影响等。 3、信息受到破坏后对侵害客体的侵害程度的确定 当此信息受到破坏后，会对患者、医院和医院职工造成一些严重损害。 4、业务信息安全等级的确定 依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级为二级。 （二）系统服务安全保护等级的确定 1、系统服务描述 本信息系统主要为医院业务的正常运行、日常办公活动正常开展和提供医疗咨询等服务。2、系统服务受到破坏时所侵害客体的确定 该系统服务遭到破坏后，所侵害的客体是公民、医院和其他组织的合法权益，同时也侵害社会秩序和公共利益但不损害国家安全。客观方面表现得侵害结果为：可以对患者、法人和医院职工的合法权益造成侵害（影响正常工作的开展，导致业务能力下降，造成不良影响，引起医患法律纠纷等）。 3、系统服务受到破坏后对侵害客体的侵害程度的确定 上述结果的程度表现为：患者、医院和医院职工的合法权益造成一般损害，即会出现一定范围的社会不良影响和一定程度的公共利益的损害等。

(整理)信息系统等级保护安全.

1建设方案 根据信息安全等级保护工作要求，并考虑信息系统实际情况，从计算环境、区域边界和通信网络出发，按照“分级分域、深层防护”的安全策略，提出信息安全等级保护深度防御方案。建设中，拟采用具有我国自主知识产权的信息安全产品，实现对信息系统的等级化防护，结合技术措施，实现具有等级保护深度防御体系。 1.1 建设方法原则 以自主知识产权和国产化信息装置为基础，建成“分级分域、深层保护”的信息安全等级保护深度防御体系。在建设过程中，遵循统筹规划、深度防御，统一标准、统一规范，自主产权、国产为主，强化管理、注重技术的原则。 统筹规划深度防御：信息安全等级保护深度防御工程是庞大的系统工程，必须达到国家等级保护对信息系统的各种安全要求。制定落实等级保护政策的安全总体防护方案，做好统筹规划是前提，完成自主研发的应用和数据库防护设备、移动存储安全管理系统进行网络隔离，建设符合需要的三级安全管理中心是防护基础，对信息系统的等级化深度防御是核心。以“分级分域、深层保护”策略为核心的信息安全等级保护深度防御工程总体将达到国内先进水平。 统一标准、统一规范：统一标准是建设信息安全等级保护深度防御工程的最基本要求，是各单位横向集成、纵向贯通，信息共享的前提。同时，在全面推广信息安全等级保护深度防御工程时，按照统一信息系统安全管理的规范进行规划和设计，确保信息安全防护水平的

一致。 自主产权，国产为主：确保信息安全，核心安全防护设备要立足于国产产品，选用满足等级保护要求的安全技术方案和管理措施,以有效抵御互联网风险。 1.2 系统安全建设方案 1.2.1 等级保护三级系统技术要求 按照《信息系统等级保护安全设计技术要求》，三级系统的安全建设要在安全管理中心支撑下，按照计算环境安全、区域边界安全、通信网络安全构筑三重防护体系。 其具体描述包括： 1）计算环境安全设计 用户标识和用户鉴别。在每一个用户注册到系统时，应采用用户名和用户标识符的方式进行用户标识，并确保在系统整个生存周期用户标识的唯一性；在每次用户登录系统时，采用强化管理的口令、基于生物特征、基于数字证书以及其他具有相应安全强度的两种或两种以上机制的组合进行用户身份鉴别，并对鉴别数据进行保密性和完整性保护。 强制访问控制。对在对安全管理员进行严格的身份鉴别和权限控制基础上，由安全管理员通过特定操作界面对主、客体进行安全标记；应按安全标记和强制访问控制规则，对确定主体访问客体的操作进行控制；强制访问控制主体的粒度应为用户级，客体的粒度应为文件或数据库表级；应确保安全计算环境内所有主、客体具有一致的标记信息，并实施相同的强制访问控制规则。

信息安全等级保护解决方案

地市电子政务网络的信息安全等级保护（一） 一、背景 自从国家启动政府信息化建设以来，各地市政府大都已经完成了从无到有的电子政务网络建设。但是，初期的地市电子政务网连接范围一般较小，纵向上，没有连接起区县一级的政府办公网络；横向上，没有连接起各局、委、办的办公网络；相互之间缺乏有机联系，形成了信息孤岛，导致无论是政府内部办公还是公众服务，都存在沟通不畅、效率低的问题。为了加强政府内部的交流、提高政府的整体办公效率和服务水平，许多地市已经开始规划、建设具有更大连接范围、更快传输速度的大型电子政务网络。 大型地市电子政务网络建设的基本目标是为各接入单位提供统一、优质的信息化传输平台。但与此同时，由于接入人员的身份复杂（分属不同的行政部门），各部门对信息安全的要求也存在差异，所以电子政务网在为正常业务数据提供高速通路的同时，也有可能成为网络安全威胁快速扩散和蔓延的温床。这已经成为地市电子政务网络建设中需要考虑的头号问题，换句话说：“大型地市电子政务网建设的好与不好，标准就是网络安全是否达标”。 二、“等保”与电子政务网 适逢其时的是，国家的相关部门已经制订了标准、规范，可以非常细致地指导地市电子政务网的“网络安全规划、建设和监管”。这个标准和规范就是“信息安全等级保护”。 信息安全等级保护（简称“等保”）就是国家通过制订统一的标准，根据信息系统不同重要程度，有针对性开展保护工作，分等级对信息系统进行保护，国家对不同等级的信息系统实行不同强度的监督管理。“等保”将信息系统的安全等级分为5级，1级最低，5级最高。例如，电子政务内网要达到4级保护要求，电子政务外网要达到3级保护要求。

《信息系统安全等级保护定级报告》.doc

《信息系统安全等级保护定级报告》 一、马尔康县人民检察院门户网站信息系统描述 （一）该信息系统于2014年4月上线。目前该系统由马尔康县人民检察院办信息股负责运行维护。九龙县县政府办是该信息系统业务的主管部门，信息股为该信息系统定级的责任单位。 （二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对门户网站信息进行采集、加工、存储、传输、检索等处理的人机系统。 服务器托管在九龙县电信公司机房 （三）该信息系统业务主要包含：等业务。 二、马尔康县人民检察院门户网站信息系统安全保护等级确定 （一）业务信息安全保护等级的确定 1、业务信息描述 该信息系统业务主要包含：九龙新闻、信息公开、在线下载、旅游在线、县长信箱等业务。 2、业务信息受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是社会秩序和公众利 —9 —

益。 侵害的客观方面（客观方面是指定级对象的具体侵害行为，侵害形式以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对社会秩序和公众利益造成影响和损害，可以表现为：发布虚假信息，影响公共利益，造成不良影响，引起法律纠纷等。 3、信息受到破坏后对侵害客体的侵害程度的确定 上述结果的程度表现为严重损害，即工作职能受到严重影响，造成较大范围的不良影响等。 4、业务信息安全等级的确定 业务信息安全保护等级为第二级。 （二）系统服务安全保护等级的确定 1、系统服务描述 该系统属于为民生、经济、建设等提供信息服务的信息系统，其服务范围为全国范围内的普通公民、法人等。 2、系统服务受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益，同时也侵害社会秩序和公共利益。客观方面表现得侵害结果为：一可以对公民、法人和其他组织的合法权益造成侵害（影响正常工作的开展，造成不良影响，引起法律纠纷等）；—10 —

信息系统安全等级保护测评及服务要求

成都农业科技职业学院 信息系统安全等级保护测评及服务要求 一、投标人资质要求 1.在中华人民共和国境内注册成立（港澳台地区除外），具有独立承担民事责任的能力；由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）。（提供营业执照副本、组织机构代码证副本、税务登记证副本复印件）； 2.测评机构应为成都市本地机构或在成都有常驻服务机构； 3. 参选人必须具有四川省公安厅颁发的《信息安全等级保护测评机构推荐证书》； 4. 参选人必须具有近3年内1例以上，市级以上企事业单位信息安全等级保护测评项目的实施业绩（以合同或协议为准）； 5. 参选人须具有良好的商业信誉和健全的财务会计制度；具有履行合同所必需的设备和专业技术能力；具有依法缴纳税收和社会保障资金的良好记录；有良好的财务状况和商业信誉。没有处于被责令停产、财产被接管、冻结或破产状态，有足够的流动资金来履行本项目合同。 6. 参与项目实施人员中应至少具备3名以上通过公安部信息安全等级保护测评师资格证书的测评工程师。 7.本包不接受联合体参加。 二、信息系统安全等级保护测评目标 本项目将按照《信息系统安全等级保护基本要求》、《信息系统安全

等级保护测评准则》和有关规定及要求，对我单位的重要业务信息系统开展信息安全等级保护测评工作，通过开展测评，了解与《信息系统安全等级保护基本要求》的差距，出具相应的测评报告、整改建议，根据测评结果，协助招标方完成信息安全等级保护后期整改工作，落实等级保护的各项要求，提高信息安全水平和安全防范能力，并配合完成公安系统等级保护备案。 等级保护测评主要是基于《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）和《信息系统安全等级保护测评准则》中的相关内容和要求进行测评。测评主要包括安全技术和安全管理两个方面的内容，其中安全技术方面主要涉及物理安全、网络安全、主机安全、应用安全与数据安全等方面的内容；安全管理方面主要涉及安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等方面的内容，配合相应等级的安全技术措施，提供相应的安全管理措施和安全保障。 三、测评内容及要求 1.完成上述信息系统的等级保护定级工作，协助学院编写相应的《信息系统安全等级保护定级报告》； 2.完成上述信息系统安全等级测评工作，测评后经用户方确认，出具符合信息系统等级测评要求的测评报告； 3.协助完成上述信息系统安全等级保护备案工作； 4.对上述信息系统不符合信息安全等级保护有关管理规范和技术

信息安全等级保护建设方案

信息安全等级保护（二级）建设方案 ２016年3月 目录 1．?项目概述 ............................................................................................................................................................. ４1.1．?项目建设目标?４ 1.２．?项目参考标准 (4) １.3.?方案设计原则 ............................................................................................................................................... ６

２.系统现状分析7? 2．1.系统定级情况说明..................................................................................................................................... ７2．２.?业务系统说明 .............................................................................................................. 错误!未定义书签。 2.3．?网络结构说明 (7) 3．1．?物理安全需求分析8? 3.?安全需求分析 (8) 3.2．?网络安全需求分析?错误!未定义书签。 ３.３.主机安全需求分析?错误!未定义书签。 3．4.应用安全需求分析9? 3.5.数据安全需求分析9? 3.6．安全管理制度需求分析9? 4.?总体方案设计 ............................................................................................................................................................ ９ 4.1．总体设计目标 ............................................................................................................................................ ９4.3．?总体网络架构设计 .. (12) 4.2.?总体安全体系设计10? 4．４.?安全域划分说明?１2 5.?详细方案设计技术部分?１3 5.１.物理安全13? 5.２．?网络安全 .................................................................................................................................................. 1３ ５.２.１.?安全域边界隔离技术 (13) 5.2.2．?入侵防范技术13? ５.2.3．网页防篡改技术14? 5.2.4．链路负载均衡技术14? 5.2.5.?网络安全审计 .......................................................................................................................................... １４ 5．3.?主机安全 (15) ５.3．1.数据库安全审计................................................................................................................................... １5 ５.3.２．?运维堡垒主机?１５ ５.4.?应用安全 ..................................................................................................................................................... １6 5.3.3.?主机防病毒技术1?６ 6.详细方案设计管理部分 (16) 6．1.总体安全方针与安全策略 (17) 6.2.信息安全管理制度18? 6.３.安全管理机构 (18) 6.4．?人员安全管理 .......................................................................................................................................... １８ 6.5.系统建设管理19? 6.6．?系统运维管理1?９ ６．7.安全管理制度汇总21? 7.?咨询服务和系统测评 (22) 7.1.系统定级服务22? 7．２.风险评估和安全加固服务?２2 ７.2.1．?漏洞扫描2?２ 7.2.２.渗透测试2?２ 7.2.3.配置核查....................................................................................................................................... ２2 7.2.4.?安全加固?２2 7.2.5.安全管理制度编写 (24)