信息安全建设规划方案

信息安全建设规划方案内容摘要：

要相结合， 分阶段完成商密网的整体建设。 充分评估系统风险，以解决基本风险为安全防护需求，逐步完善商密网 安全保障体系 建设。 在保证应用需求的基础上， 各接入单位采用按需接入的方式， 逐步拓展商密网规模，最终实现商密网对 XXXX 内所有商密内网的完全覆盖；在保证基本安全的基础 上，根据风险需求与应用情况，不断完善商密网安全建设，最终建立起全面、可持续发展的商密网信息安全保障体系。 四、 建设依据 基础类标准  《计算机信息系统安全保护等级划分准则》（ GB178591999）  《信息系统安全等级保护基本要求》（ GB/T222392020）。 应用类标准  《信息系统安全保护等级定级指南》（ GB/T222402020）  《信息系统安全等级保护实施指南》（信安字 [2020]10 号） 商密网建设规划方案（初稿） 5  《信息系统通用安全技术要求》（ GB/T202712020）  《信 息系统等级 保护安全 设计技术要 求》（信安 秘字[2020]059）  《信息系统安全管理要求》（ GB/T202692020）  《信息系统安全工程管理要求》（ GB/T202822020）  《信息系统物理安全技术要求》（ GB/T210522020）  《网络基础安全技术要求》（ GB/T202702020）  《信息系统安全等级保护体系框架》（ GA/T7082020）  《信息系统安全等级保护基本模型》）（ GA/T7092020）  《信息系统安全等级保护基本配置》（ GA/T7102020） 其他类标准  《信息安全风险评估规范》（ GB/T209842020）  《信息安全事件管理指南》（ GB/Z209852020）  《信息安全事件分类分级指南》（ GB/Z209862020）  《信息系统灾难恢复规范》（ GB/T 209882020） 信息安全框架  开放系统安全框架（ ISO 101811)  鉴别框架 (ISO 101812)  访问控制框架 (ISO 101813)  抗抵赖框架 (ISO l01814) 商密网建设规划方案（初稿） 6  完整性框架 (ISO 1018l5)  保密性框架 (ISO l018l6)  安全审计框架 (ISO 1018l7)  管理框架 (ISO 74984)  安全保证框架 (ISO /IEC WD l5443:1999) 五、 建设规划 商密网建设涵盖 XXXX 内部各单位， 总体建设上需要完成 XXXX 商密网的整体建设，实现北京中心和上海中心的建设布局，结合管理与运维需求建立网络安全管理平台，综合考虑应用管理需求建立统一身份认证与访问控制平台并完成基于虚拟化技术的应用服务支撑平台。 在集中建设的同时，通过制定网络建设与管理指南规范 商密接入网 的建设与改造工作。 商密网网络建设 结合 XXXX 商密网应用与标准要求，综合考虑成本与信息安全，完成商密网的整体规划与建设。 实 现 XXXX 总部和下属企业的商密 网的连通，为 XXXX 总部层面的业务应用系统提供一个安全、可靠、高效、可管理、可扩展的网络通信环境。 各单位商密网络需要根据统一的安全规范要求进行网络安全改造，根据应用需要进行商密网的接入。 商密网建设规划方案（初稿） 7 商密网基础平台建设 根据商密网统一管理、统一运维的需求，建设商密网基础平台，支持 根据 XXXX 部署，在北京总部和上海总部建设商密网应用与管理中心，搭建 XXXX 级应用系统为商密网全体接入用户服务，建设统一的安全管理平台实现对商密网的整体管理。 商密网应用建设 根据 XXXX 统一管控与信息集中需求，建 设 XXXX 级商密网应用。 充分考虑应用系统的覆盖范围与功能性能需求，建设基础支撑平台，合理分配系统资源。 保证应用系统稳定运行并接受商密网的统一安全管理。 商密网安全体系建设 建设商密网安全防护体系，保证商密网上运行的业务应用系统及其数据的安全保密性，使商密网达到国家信息系统安全等级保护第三级信息系统的标准，为商密网提供一个安全、可靠、稳定的运行环境。 六、 商密网网络建设 网络通信平台设计目标 网络通信平台的设计目标是利用 Inter 技术和标准，实现XXXX 总部 和下属企业的 商密 局域网的连通，为 XXXX 总部 层面的 业务应用系统提供一个安全、可靠、高效、可管理、可扩展的网络通信环境。 商密网建设规划方案（初稿） 8 方案 简述 商密网网络建设 以互联网为基础，充分利用 互联网现有的路由环境，实现各个接入网络之间的互联互通。 各个接入网络相互对等，通过 VPN 方案建立起来的虚拟网络进行接入网络之间的信息通讯。 采用国家密码管理部门认可的 SM1 商密加密算法对网络通讯数据进行加密。 确保通讯数据在公网传输过程中的有效保密。 网络通信平台结构 网络层次结构 商密网采用平级 结构，如 图 1 所示。 互 联 网下 属 企 业网 络下 属 企 业网 络下 属 企 业网 络管 理 中 心 应 用 中 心 、数 据 中 心 图 1 网络层次结构 网络冗余设计 考虑 XXXX 的应用中心、数据中心和管理中心对网络构架与服务提供的核心地位 ，出现故障对整个网络的影响比较大。 因此， 需要在中心引入多条不同提供商的链路，充分考虑南北网络特点以及各企业商密网建设规划方案（初稿） 9 接入网络供应商情况。 确保各企业能够通过高速链路连入到整个商密网。 多条链路通过路由器或加密设备本身实现路由负载均衡，确保出现个别链路故障的情况下，中心仍旧能够对下属船厂提供网络服务。 网络线路及带宽选择 商密网网络线路 选择充分考虑应用的需求以及建设成本，以优质互联网 专线作为主要的网 络通讯线路。 在 XXXX 中心，建立由多条供应商链路组合而成的 100M 出口带宽。 各企业根据对商密网应用的需求，建立 10M~100M 互联网出口 带宽。 商密接入网 改造 商密接入网 是商密网的主要组成部分，各企业需要根据商密网接入要求以及自身应用需求，对自身的 商密接入网 进行改造与建设。 对于没有商密内网的企业，需要根据商密使用需求，进行 商密接入网 的建设。 对于已有商密内网的企业，需要根据 商密接入网 建设规范进行改造，使之达到 XXXX 对 商密接入网 的统一安全防护与管理需求。 确保在接入 XXXX 商密网后，不会对 XXXX 商密网造成影响 ，并能够纳入到 XXXX 商密网的整体管理中。 各 商密接入网 需要达到国家信息系统安全等级保护标准对第三级信息系统的要求，通过主管部门的安全检测，满足商密网的安全管理要求后，才允许接入商密网。 网络建设 目前，部分企业没有建设非涉密办公网络。 为保证商密网到这些单位的延伸，需要根据企业接入的需求进行 商密接入网 的建设。 需要商密网建设规划方案（初稿） 10 建设 商密接入网 的企业主要包括如下类型：  企业内以建立了内部网络，但为涉密信息系统。 没有其他的网络布线。  企业建立了与互联网连接的网络，用于互联网信息的使用与检索。 未建立办公内网。  企业目前没有建立成规模的网络。 对于以涉密信息系统为主体的企业，需要充分评估涉密信息系统的需求，在确保涉密信息系统规模符合工作需要的同时，调整涉密信息系统范围。 改造已有网络布线，在保证隔离要求的情况下形成内网网络基础。 对于建立了外网的企业，需要根据需求进行网络的调整，缩小互联网范围，建立办公内网。 未 建立规模网络的企业，需要根据办公需求进行网络设计，完成综合布线，建立办公内网。 网络结构改造 已有 商密接入网 的企业，在 商密接入网 接入商密网前，要进行必要的网络结构调整。 根据 商密接入网 建设规范要求，按照职能对网 络进行安全域的划分，通过逻辑隔离设备和边界安全控制设备进行隔离和数据控制。 根据应用部署的需求，制定细致的安全访问控制策略。 北京总部商密接入网建设 北京总部目前没有商密网络 ，主要网络节点均为涉密信息系统节商密网建设规划方案（初稿） 11 点。 作为商密网重要接入单位，需要在北京总部进行商密接入网的建设。 规划在现有布线条件基础上，充分利用空闲布线以及互联网布线，根据 XXXX 商密使用需求，建立商密接入网。 形成外网、商密网、涉密网并行的局面。 在后续的建设中，根据商密使用需求，在保证涉密工作正常开展的前提下，适度调整商密网和涉密网规模，采用变换网络点 性质以及增加布线点的方法，保证商密接入网的规模符合北京总部的使用需求。 基础 接入 设备 方案 为接入到网络中，每个 商密接入网 的 XXXX 接入 区域 需要具备以下三个功能： a) 加密功能：实现符合国家密码管理部门要求的 SM1 商密算法的链路加密。 b) 路由功能：实现平级网络内部的互联互通。 c) 访问控制功能：实现基于多级管理要求的网络及应用通讯访问控制。 在实际接入设计中，可以根据 投资的情况以及网络冗余设计的需求，建立多种设备组合的接入防护区域。 其中最简单方案为部署具有 SM1 商密算法的具备防火墙功能的百兆 网络加密设备，实现加密、路 由、访问控制的全功能处理。 该方案投资较小，设备简单， 基本可以满足需求， 但设备压力较大，单点故障的风险较大。 对于接入单位来讲，除了采用简单方案以外，根据网络需求，可商密网建设规划方案（初稿） 12 以考虑部署路由器加加密机或加密机加防火墙的组合方式。 分别加强网络冗余能力和访问控制能力。 对于重要的 网络、管理、数据 中心，建议部署专用的路由设备，对多条接入宽带进行整合， 实现多接入 多冗余的 网络路由。 部署千兆加密机实现高速的信息加密。 部署防火墙设备，实现细粒度的网络控制。 IP 地址和域名规划 为保证业务应用系统能够在商密网上正常、稳定地运行，需要对商密网使用的 IP地址和域名进行统一规划。 建立一个统一的 VPN 虚地址网段，所有的服务提供均通过镜像的虚地址提供服务，所有的接入网均通过分配好的虚地址连入到整个商密网。 对商密网的访问通过对虚地址的路由实现。 由于各企业的信息化建设水平不同，有的已经有了非常成熟的应用，更换 IP 地址和域名可能会对其现有的业务应用系统产生较大的影响。 因此， 采用以下 IP地址和域名管理办法： 1） 确定一套完整的 IP 地址和域名规划方案，包括广域网通信平台的 虚拟 网段及各企业接入网的 IP 地址分配 建议 方案。 2） 虚拟网段 的 IP 地址和域名按照 XXXX 规划 方案统一配置。 3） 内部办公网段的 IP 地址和域名可以按照 XXXX 规划方案配置，也可以采用目前正在使用中的 IP 地址和域名。 内部办公网段 IP 地址可以分为用于在商密网上进行相互沟通的共享 IP 地址和用于获取商密网服务的企业内部网络地址。 商密网建设规划方案（初稿） 13 在 VPN 设备上对共享 IP 地址进行 NAT 映射，根据规定映射到规定中分配的虚拟网段中，对企业内部网络地址，则保持现状，并建立到虚拟网段的路由，实现对整个商密网的访问。 路由设计 本方案充分采用互联网的路由功能，同时在中心建立多路由的负载均衡体系，通过域名转换以及路由均衡实现网络的多冗余设计。 通信平台安全 通信 线路安全 通信线路安全是指商密网运行的物理通信线路的安全，要考虑线路的可用性和保密性。 由于物理线路的保护需要由电信商来实施，因此我们建议采取以下措施来加强通信线路的安全： 1） 采用冗余线路设计， 通过组合线路贷款或 租用备用的通信线路，提高网络通信平台的可用性。