终端安全管理体系设计开发与建设要求(编辑修改稿)

终端安全管理体系设计开发与建设要求(编辑修改稿)内容摘要：

ISO 27001:20xx 已经成为世界上应用最广泛与典型的信息安全管理标准。 目前国家已经等同采用该国际标准成为国家标准《信息技术 安全技术 信息安全管理体系要求》（ GB/T 2208020xx）。 它 详细说明了建立、实施和维护信息安全管理体系的要求，指出实施机构应该遵循的风险评估标准。  《 信息技术 安全技术 信息安全管理实用规则》 （ ISO/IEC 27002:20xx） 信息安全管理使用规则 ISO27002:20xx 综合了信息安全管理方面优秀的控制措施，为组织在信息安全方面提供建议性指南。 目前我国已经等同采用了 ISO 27002:20xx 国际标准，成为了国家标准《信息技术 安全技术 信息安全管理实用规则》（ GB/T 2208120xx）。 在本项目中，对于内网终端安全管理体系的设计与建设，也应遵循和参考上述两个信息安全管理体系的实践和要求。  《江苏省地方税务系统工作人员信息安全手册》 该手册结合江苏地税工作实际，立足地税干部的日常应用，从增强全员信息安全意识出发， 提出了“ 四禁止”、“三不准”、“三必须”的要求。 通过强化技术手段，安装内网外联监控、外网内联监控等等系统来提高税务系统技术防护能力。  其它有关法律法规和规范制度要求 13 4 项目建设原则 对于本项目， 面对 数万台计算机终端这一个 庞大、复杂的 内网终端安全管理系统建设，构建稳固、完整的技术 防护和管理 平台是实现信息系统安全、稳定运行的关键，而这也是设计的难点。 因此，在设计和建设本项目时，应该首先 以保证应用系统安全运行为前提 ，确保系统自身的 安全可靠性和安全管理提升的可持续性， 遵循一体化建设原则。 此外， 本系统还将主要遵循统一规 划、分步实施、立足现状、节省投资、科学规范、严谨管理的原则进行安全体系的整体设计和实施，并要充分考虑到合规性、系统化、完整性、可扩展性等。 合规性原则 任何行业信息系统的安全建设除了满足自身行业信息化和行业运营的发展之外，也必须按照国家、行业的相关法律法规的要求下进行。 因此，对于本项目，必须在国家相关法律法规的要求下进行，而且必须合规、合法，不能偏离国家、行业相关法律法规和安全标准。 安全风险与建设投入平衡原则 任何网络的绝对安全都是难以达到的‚也不一定是必要的，必须考虑安全需求、安全风险与安全建设代 价之间的平衡。 对于本系统而言，要进行实际的研究，并对网络面临的威胁及可能承担的风险进行分析‚然后确定本系统的安全策略。 综合性、整体性原则 应运用系统工程的观点、方法、分析网络的安全及具体的措施。 安全措施可以包括：行政法律手段、各种管理制度 (人员审查、工作流等 )以及专业技术措施。 14 一个较好的安全措施往往是多种方法适当综合的应用结果。 总之，不同的安全措施的代价、效果对不同的网络并不完全相同。 在本项目中，应根据确定的安全策略制定出合理的内网终端安全防护设计体系结构和内网终端安全管理体系建设结构。 一致性原则 一致性原则是指网络安全问题应存在于整个网络的工作周期‚必须与终端安全管理的需求相一致‚系统设计及实施计划、网络验证、验收、运行等‚都要满足安全管理的内容及措施。 因此，在本项目建设的初期就要考虑相应的内网终端安全管理体系对策，不仅较为容易地进行内网终端安全设计与建设，而且也会节省项目建设成本。 易操作性原则 任何 安全措施需要人为去完成，如果措施过于复杂，对人 员 的要求过高，本身就降低了安全性。 因此，对于本系统的设计与建设必须围绕符合易于操作、易于使用、易于管理和易于维护的“四易”原则。 无缝接入 原则 安全 系统 的 部署 、运行 和应用 应不改变 现有 网络的拓扑结构，对网络内的用户应是透明的，不可见的。 同时，安全 系统 的运行应该不会对网络传输造成通信“ 瓶颈 ” 和对其他应用产生影响。 因此，本系统中涉及的安全技术和产品应尽量遵循无缝接入原则，不应轻易改变网络结构和业务系统的配置。 系统的各个基础功能模块应尽可能地实现可选择性地独立应用。 保护原有投资的原则 在进行本项目内网终端安全体系建设时，应充分考虑原有的安全投资，要充分利用系统中已有的建设基础，然后进行相应的体系设计与建设。 15 综合治理 原则 在本项目中，内网终端系统 的安全 保护 同样也绝不仅仅是一个技术问题，各种安全技术应该与运行管理机制、人员的思想教育与技术培训、安全法律法规建设相结合，从社会系统工程的角度综合考虑。 16 5 项目建设预期效果 预期效果 通过在全省全行业内网中部署内网终端安全管理系统，将构建出一个完整的覆盖至全省全行业（省局－地市，含区县）办公内网的内网终端安全管理体系。 建立全新的内网终端安全管理理念，构建一个可集中管理的内网终端安全管理平台，保证行业内网终端的安全性。 示例如下：  对目前行业内存在的所有安全风险做到可知、可管和可控，从内网终端的状态、行为、事件三个方 面进行防御。 在加强安全管理的同时，提供安全预警机制，针对所有安全事件采集出的数据进行统计分析，并按照不同的安全等级，加以预警，形成安全规范－行为管理－行为分析－安全预警－安全规范一整套的管理流程；将在内网终端安全管理过程中遇到的问题进行积累，并吸收归纳形成经验库，在全省，直至全行业进行推广和应用。  通过统一实施部署内网终端安全管理系统，江苏全省地税行业内网将在风险事件管理、终端安全加固、终端安全管理三个方面实现全面的安全防护，杜绝各类安全事件的发生。 对系统审计的信息通过统一的管理平台能够进行展示、统计、分析 ，并根据不同的风险等级加以归类，以供管理员评估当前内网的风险态势。  对于重要风险优先进行解决，能从源头上对所有风险进行识别和防范，即使不能完全避免某些风险，也应当能够主动管控的方式降低这些风险的级别、减少风险发生的次数。  通过终端安全防护平台对终端的系统自身类、基础管理类、运行安全管理类及信息安全管理类的功能进行控制，而在终端安全管理平台上对安全防护平台处理的审计信息和报警记录进行各种所需的汇总展示、历史分析，并通过各种技术展现方式将这些信息进行推送服务。 最终，通过终端安全管理平台所展示的信息能够根据风险 级别进行分类展17 现，危险级别高的信息将在最前端提醒管理员及时处理，对于所有的风险的处理都能产生记录，具体如处理管理员名、处理时间、是否处理等信息都能够清晰可见。 尚存隐患 本次项目的要求本着从全方位的角度对整个行业内网终端安全管理存在的问题进行设计和构架，尽量解决考虑到的所有风险，但并不能代表完全杜绝安全隐患必须明确说明，及时提供相关信息和处理建议。 18 6 现有产品功能要求 本项目中的招标产品是需要各厂商基于现有产品基础上经过二次开发进行功能完善，因此要求各厂商现有产品应具备以下列举功能 ， 并要求在投标现场进行演 示。 以下内容必须提供可完整说明现有产品的总体设计及实现功能的相关文档资料。 序号 功能分类 功能名称 对现有产品功能的具体要求 现有产品具备的功能 满足情况 说明 1 准入控制 未授权终端准入管理 系统能发现并阻止未授权终端接入内网；允许未授权终端进入访客区，只能使用有限的网络资源。 2 授权未注册终端强制安装客户端程序管理 未通过准入认证的授权终端能自动进入待安装客户端程序的区域，在该区域内系统能够强制其安装系统的客户端程序。 3 授权已注册终端准入管理 已授权的终端能够自动进 行准入认证，通过认证后接入内网，接受系统的管控。 4 授权已注册终端安全检测管理 系统能对已接入内网的终端进行安全检测，包括检测系统漏洞、杀毒软件病毒库版本、木马检测等，对不符合安全检测标准的终端能及时隔离其与内网的连接，终端自动转入修复区进行相应的安全修复。 5 准入系统实施部署适应性 准入系统能在多种网络环境中部署实施，包括在网络设备全部或部分支持 协议的环境下都能实现对单个终端的准入控制功能。 用户准入控制 根据不同的用户类型进入不同的访问区域；准入用户可自行 注销登录，长时间无操作应强制注销登录 快速撤消 具备在紧急情况下快速撤销 19 或恢复准入控制 或恢复本地网络准入控制功能，确保网络或系统在遭遇严重故障时，保障正常工作不受影响。 分级认证和双机热备 认证服务器设置双机热备，在紧急情况下由上级认证服务器进行认证 6 桌面管理 黑白名单管理 系统能够自定义终端上禁止或只允许运行的进程、软件的名单。 7 违规外联管理 系统能及时发现终端在任何情况 意环境 下违规接入除内网以外其他任意网络的行为，并能对违规行为进行取证，同时能及时阻断其 与违规网络的连接。 8 进程管理 系统能监控终端进程运行的情况，自动禁止非法进程、强制运行必须运行的进程，并能对终端的违规行为进行审计。 9 终端服务管理 系统能自动监控终端的服务运行情况，自动禁用违规服务、强制启用必须开启的服务等，并能对违规行为进行审计。 10 软件管理 系统能对终端安装的软件情况进行统计和监控，自动统计终端安装的各类软件，通过黑白名单对应用软件进行管控。 11 外设端口管理 系统能对终端外设及各类硬件接口进行管理，禁用违规外设端口，强制启用必须开 启的外设端口等。 12 终端流量管理 系统能够对终端流量进行管理，统计流量异常的终端，并能控制终端流量。 13 安全策略及注册表项管理 系统能够监控终端的本地安全策略管理及对注册表项、键的各类操作，同时对于一些重要或敏感的注册表项、键值具有保护功能。 14 终端安全管理查询统计 系统的管理端能够及时查询终端实时的各类信息，包括运行的进程、服务开启禁用情 20 况、终端各类日志情况、运行资源等，并能根据需要及时管控终端。 桌面行为审计 对终端的各类行为进行审计 终 端发现 可以在短时间内发现私接入网的设备 ,不论此设备是否安装防火墙或安装准入软件 15 资产管理 硬件资产统计 系统能自动采集终端的硬件信息，并能统计所有终端的硬件资产信息。 16 硬件资产变更管理 系统能及时发现并审计终端的硬件变更信息。 17 软件资产统计 系统能自动采集终端的软件信息，并能统计所有终端的软件资产信息。 18 软件资产变化管理 系统能及时发现并审计终端的软件变更信息。 漏洞扫描及补丁管理 漏洞扫描 对终端进行漏洞扫描，发现系 统漏洞 19 补丁自动分发 能够自动检测终端已安装和未安装补丁，针对未安装补丁终端能够自动分发并安装。 补丁下载和安装要求支持前台和后台的选择。 根据补丁的重要性强制安装补丁和选择性安装补丁。 20 补丁手动分发 能够对单个或多个补丁进行选择性的分发。 补丁下载和安装要求支持前台和后台的选择。 21 补丁导入 能够支持补丁增量更新导入 22 补丁测试 能够对下载的补丁首先进行完整性和安全性测试，再进行大范围分发。 23 已安装补丁统计 能够统计各个终端已安装哪些补丁及安装补丁数。 24 未安装补丁统计 能够统计各个终端未安装哪些补丁及未安装补丁数。 25 补丁安全级别统计 能够对于已安装补丁和未安装补丁的终端按照补丁的重要性级别进行百分比统计。 26 移动存储管理 移动存储介质登记 对每一个在内网中使用的存储介质必须进行登记和认证， 21 及认证 并进行认证控制 移动存储介质控制 能够对移动存储介质的使用方式进行控制（禁止、只读、读写）。 27 移动存储介质接入控制（授权） 授权的移动存储介质不能在非授权终端或非授权区域使用。 28 移动存储介质接入控制（非授权） 非授权移动存储介质不能在授权终端或授权区域内使用。 29 移动存储介质分级管理 能够实现分级权限控制，对移动存储介质进行分区管理 30 移动存储介质操作统计 能够对所有类型的移动存储介质在终端上所有操作进行审计，包括接入、拔出。 31 移动存储介质授权审计 能够对移动存储介质的授权过程进行审计。 32 统计报表 能够生成详细的报表，支持报 表的导出。 33 文档加密管理 电子文档使用权限控制 能够对电子文档使用时的读。