第三级等级保护信息系统的安全应如何设计

来源: e-works
2013/12/13 11:54:45
信息系统的定级工作应在总体安全规划、设计之前进行,对于新建信息系统未确定安全等级情况,为了合理规划设计安全保障系统方案,应建议建设方尽快开展定级工作。

分享到: 新浪微博 腾讯微博

信息系统的定级工作应在总体安全规划、设计之前进行,对于新建信息系统未确定安全等级情况,为了合理规划设计安全保障系统方案,应建议建设方尽快开展定级工作。

2、第三级基本要求

第三级基本要求在技术上包括5个方面:物理安全、主机安全、网络安全、应用安全和数据安全,详见《基本要求》,这里总结了三级系统在二级系统基础上增加的主要安全要求。

1)物理安全:包括物理位置的选择、物理访问控制和防盗、防火、防水、防雷、温湿度控制、电力供应、防静电和电磁防护。三级系统主要在环境安全、物理访问控制和防盗窃防破坏等方面较二级系统应有所加强,例如重要区域配置电子门禁系统,机房设置防盗报警系统和设置火灾自动消防系统等。

2)网络安全:包括结构安全、安全审计、访问控制、边界完整性检查、恶意代码防范、入侵防范和网络设备防护等。三级要求主要增强点:结构安全扩展到对重要网段采取可靠的技术隔离,在网络边界增加对恶意代码检测和清除;安全审计增强审计数据分析和保护,生成审计报表;访问控制扩展到对进出网络的信息内容过滤,实现应用层HTTP、FTP、TELNET等协议命令级的控制;边界防护应能够对非授权设备私自联到内部网络的行为进行检查和有效阻断;主要网络设备要求采用两种或两种以上组合的鉴别技术实现身份鉴别;在网络入侵防范方面不仅能够被动的防护,还应能主动发出报警。

3)主机安全:包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范和资源控制等。三级要求主要增强点:身份鉴别要求对管理用户采用组合鉴别技术;通过设置敏感标记加强对重要信息资源的访问控制;安全审计应对记录数据进行分析、生成报表,保护审计进程;入侵防范应能检测到对重要服务器的入侵行为,并报警,保证重要程序的完整性;对恶意代码的防范应与网络防恶意代码产品异构。

4)应用安全:包括身份鉴别、访问控制、安全审计、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等。三级要求主要增强点:身份鉴别要求组合鉴别技术;访问控制和安全审计基本同主机安全增强要求;要求对通信过程中的整个报文或会话过程进行加密,采用密码技术保证通信过程中数据的完整性;增加抗抵赖要求,为数据原发者或接收者提供数据原发证据或接收证据;应用软件容错能力和资源控制方面要求也有所增强。

5)数据安全:包括数据完整性和保密性、数据的备份和恢复。三级要求主要增强点:对系统管理数据、鉴别信息和重要业务数据在存储过程和传输过程中完整性进行检测和恢复,采用加密或其他有效措施实现以上数据传输和存储的保密性;提供异地数据备份等。

共2页: [1]2 下一页
责编:王雅京
vsharing 微信扫一扫实时了解行业动态
portalart 微信扫一扫分享本文给好友
著作权声明:kaiyun体育官方人口 文章著作权分属kaiyun体育官方人口 、网友和合作伙伴,部分非原创文章作者信息可能有所缺失,如需补充或修改请与我们联系,工作人员会在1个工作日内配合处理。
最新专题
网络安全热点透析

随着移动互联、大数据、云计算、物联网等技术的日益发展,在这些热点技术为个人生活带来便利的同时,也为企业发展..

数据安全医药行业解决方案

采用身份鉴别、访问控制、数据加密以及权限控制等多种安全防护技术手段,保障数据库中医药数据只能被合法用户合规..

    畅享
    首页
    返回
    顶部
    ×
    畅享IT
      信息化规划
      IT总包
      供应商选型
      IT监理
      开发维护外包
      评估维权
    客服电话
    400-698-9918
    Baidu
    map