为规范重庆XX中学信息系统安全设计过程,确保整个信息安全管理体系在信息安全设计阶段即符合国家相关标准和要求,特制订本规范。

第一章 目的

第一条 为规范重庆XX中学信息系统安全设计过程,确保整个信息安全管理体系在信息安全设计阶段即符合国家相关标准和要求,特制订本规范。

第二章 范围

第二条 本规范适用于重庆XX中学在信息安全设计阶段的要求和规范管理。

第三章 职责

第三条 网络安全办公室负责信息安全系统设计,并会同上级单位、相关部门和有关专家对设计方案进行评审后报信息安全领导小组批准。

第四章 设计规范

第四条 物理机房安全设计

  1. 新机房建设根据物理安全主要包括:物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防 潮、防静电、温湿度控制、电力供应、电磁防护等,该部分 内容将主要参考 GB/T22239‐2008《信息系统安全等级保护 基本要求》(以下简称《基本要求》)要求的第三级标准进行 建设,建设过程中可以参考的标准主要包括:
    • GB50174-93《电子计算机机房设计规范》
    • GB 50057-1994《建筑物防雷设计规范》
    • GB 2887-88《计算站场地安全要求》
    • GB 2887-89《计算站场地技术条件》
  2. 应从安全技术设施和安全技术措施两方面对信息系统所涉及到的主机房、辅助机房和办公环境等进行物理安全设计,设计内容包括防震、防雷、防火、防水、防盗窃、防破坏、温湿度控制、电力供应、电磁防护等方面。物理安全设计是对采用的安全技术设施或安全技术措施的物理部署、 物理尺寸、功能指标、性能指标等内容提出具体设计参数。 具体依据《基本要求》中的“物理安全”内容,同时可以参照《信息系统物理安全技术要求》等。

第五条 通信网络与区域边界安全设计

  1. 网络设计、建设、维护过程中应参考 GB/T22239‐2008)《信息系统安全等级保护基本要求》第三级网络部分要求。 对信息系统所涉及的通信网络,包括骨干网络、城域网络和其他通信网络(租用线路)等进行安全设计,设计内容包括通信过程数据完整性、数据保密性、保证通信可靠性的设备和线路冗余、通信网络的网络管理等方面。
  2. 通信网络安全设计涉及所需采用的安全技术机制或 安全技术措施的设计,对技术实现机制、产品形态、具体部署形式、功能指标、性能指标和配置参数等提出具体设计细节。具体依据《基本要求》中“网络安全”内容,同时可以参照《网络基础安全技术要求》等。
  3. 对信息系统所涉及的区域网络边界进行安全设计,内容包括对区域网络的边界保护、区域划分、身份认证、访问控制、安全审计、入侵防范、恶意代码防范和网络设备自身保护等方面。应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段。应完善并加强不同网络区域的隔离,根据安全区域和业务系统不同安全域细化不同的 VLAN 和访问控制。
  4. 区域边界安全设计涉及所需采用的安全技术机制或安全技术措施的设计,对技术实现机制、产品形态、具体部署形式、功能指标、性能指标和配置策略和参数等提出具体设计细节。具体依据《基本要求》中的“网络安全”内容,同时可以参照《信息系统等级保护安全设计技术要求》、《网络基础安全技术要求》等。

第六条 主机系统安全设计

对信息系统涉及到的服务器和工作站进行主机系统安 全设计,内容包括操作系统或数据库管理系统的选择、安装和安全配置,主机入侵防范、恶意代码防范、资源使用情况监控等。其中,安全配置细分为身份鉴别、访问控制、安全审计等方面的配置内容。具体依据《基本要求》中的“主机安全”内容,同时可以参照《信息系统等级保护安全设计技术要求》、《信息系统通用安全技术要求》等。

第七条 应用系统安全设计

  1. 对信息系统涉及到的应用系统软件(含应用/中间件平台)进行安全设计,设计内容包括身份鉴别、访问控制、 安全标记、可信路径、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等。具体依据《基本要求》中的“应用安全”内容,同时可以参照《信息系统等级保护安全设计技术要求》、《信息系统通用安全技术要求》等。
  2. 网络安全的数据库系统主要包括共享交换平台、业务监管平台数据库服务器群,这些数据库分别为重庆XX中学各核心业务系统提供数据服务。通常这些数据库系统自身都提供了完善的安全机制,同时如果需要更精细的安全功能也可以通过一些数据库安全增强选件来实现。

第八条 备份和恢复安全设计

  1. 针对信息系统的业务数据安全和系统服务连续性进行安全设计,设计内容包括数据备份系统、备用基础设施以及相关技术设施。针对业务数据安全的数据备份系统可考虑数据备份的范围、时间间隔、实现技术与介质以及数据备份线路的速率以及相关通信设备的规格和要求;针对信息系统服务连续性的安全设计可考虑连续性保证方式(设备冗余、 系统级冗余直至远程集群支持)与实现细节,包括相关的基础设施支持、冗余/集群机制的选择、硬件设备的功能/性能指标以及软硬件的部署形式与参数配置等。具体依据《基本要求》中的“数据安全和备份恢复”内容,同时可以参照《信息系统灾难恢复规范》等。
  2. 重庆XX中学网络与信息系统中存储大量 重要的数据,网络内分布众多的数据库服务器,这些数据大量集中,且为众多用户直接共享,在重庆XX中学项目工程中,需要对数据库进行实时的审计监控,以全面保障数据库的安全。
  3. 应建立灾备中心,已防止在线系统出现事故、自然灾害时无法恢复,并且建立完毕后,应该每年都进行灾备切换演练,以防止恢复过程出现意外。

第九条 建设经费预算和工程实施计划

  1. 建设经费预算,根据信息系统的安全建设整改内容提出详细的经费预算,包括产品名称、型号、配置、数量、单价、总价和合计等,同时应包括集成费用、等级测评费用、 服务费用和管理费用等。对于跨年度的安全建设整改或安全改建,提供分年度的经费预算。
  2. 根据信息系统的安全建设整改内容提出详细的工程 实施计划,包括建设内容、工程组织、阶段划分、项目分解、时间计划和进度安排等。对于跨年度的安全建设整改或安全改建,要对安全建设整改方案明确的主要安全建设整改内容进行适当的项目分解,比如分解成机房安全改造项目、网络安全建设整改项目、系统平台和应用平台安全建设整改项目等,分别制定中期和短期的实施计划,短期内主要解决目前急迫和关键的问题。

相关文章

  • 智慧城市建设与大数据安全问题研究

    智慧城市建设与大数据安全问题研究

    通过对智慧城市建设总体架构、大数据安全等内容进行研究,归纳整理了智慧城市建设过程中面临的大数据安全问题。通过分析大数据安全问题产生的原因,给出提升大数据安全能力的方案建议,从而保证智慧城市建设中真正实现数据融通、信息安全,进而促进智慧城市建设持续、健康发展。 这是一篇原载于《信息通信技术与政策(2020年11期)》的论文,作者是徐明慧等人,本站分享仅限技术交流学习之用。 1引言 随着“网络强国”战略、“大数据”战略、“互联网+”行动计划的实施和“数字中国”建设的不断发展,我国智慧城市建设步伐不断…

  • 系统备份与恢复管理制度

    系统备份与恢复管理制度

    本办法涉及的存储备份系统包括:存储设备、光纤交换机、磁带库、移动介质、备份软件;管理适用对象包括网络安全办公室相关运维人员。 第一章 目的 第一条 为规范重庆XX中学存储备份系统管理,加强存储备份工作的日常管理及考核水平,保障系统安全稳定运行,明确管理责任,特制定本办法。 第二章 范围 第二条 本办法涉及的存储备份系统包括:存储设备、光纤交换机、磁带库、移动介质、备份软件;管理适用对象包括网络安全办公室相关运维人员。 第三章 职责 第三条 数据库管理员:负责存储备份系统的管理,包括存储设备的规划…

  • 网络与信息安全管理制度(简版)

    网络与信息安全管理制度(简版)

    根据众平科技的经验,在一个基本的网络信息系统中,造成信息泄露或损害的原因,更多的是系统运维制度和人员的缺失,是网络安全体系的建设不足,相对而言其实网络信息安全设备更多的是个辅助。 本文是一个简版的网络与信息安全管理制度,内容比较少,但该有的都有了,各位在参考使用时注意把内文所涉用户信息删除。整理不易,投个币再下载吧,相关文章: 网络安全管理制度 网络机房管理制度 监控中心管理制度 信息系统建设的安全机制建设 网络与信息安全管理制度(简版) 第一章 目的 第一条 为规范重庆市XX网络信息系统安全管…

  • 信息安全管理岗位人员管理制度

    信息安全管理岗位人员管理制度

    为防止品质不良、技能欠佳的人员进入重庆XX中学从事信息岗位,降低职工因信息系使用不当所带来的差错、欺诈及滥用设施的风险,减少人员对于信息安全保密性、完整性、可用性的负面影响,特制定本制度。 第一章 目的 第一条 为防止品质不良、技能欠佳的人员进入重庆XX中学从事信息岗位,降低职工因信息系使用不当所带来的差错、欺诈及滥用设施的风险,减少人员对于信息安全保密性、完整性、可用性的负面影响,特制定本制度。 第二章 范围 第二条 本规定适用于重庆XX中学信息系统岗位人员的聘用、任职、离职的安全考察、保密控…

  • 大数据信息系统中的系统审计、日志审计和数据库审计

    大数据信息系统中的系统审计、日志审计和数据库审计

    在服务器端部署轻量级蜜罐系统ShellLog,攻击者一旦入侵服务器将会获得console和正常使用的shell,该console基于攻击防御安全实践进行深度定制,一方面实现对攻击者渗透系统后主机操作系统后的shell操作全记录,记录攻击者或恶意使用用户登录服务器后的各项操作并形成分类日志,实时发送至蜜罐系统日志服务器。 管理后台能够对日志服务器的收集的日志进行分析和规则匹配,能够对高危操作命令、关联恶意操作命令,提权操作进行告警,还能够自定义安全规则,安全人员登录管理后台对告警shell操作进行…

  • 集团公司信息安全方针与政策模板

    集团公司信息安全方针与政策模板

    此前说到,一个系统若没有有效的制度协助管理运营人员来管理,那么即便再好的系统和设备,不日也会逐渐臃肿直至瘫痪。公司也是一样,良好的公司制度有助于企业健康、快速的发展;本篇分享的公司信息安全方针与政策,可作为公司制度的一部分,合理应用将有效地保障企业的信息资产安全。以下内容来自于网络,众平稍作修改分享。 XX公司信息安全方针与政策 第一章 总则 第一条 本方针政策旨在为重庆众平科技有限公司(Chongqing Zhongping Technology Co., Ltd.,下同)及其所有子公司、分支…

- 联 系 我 们 -

+86 186-2315-0440

在线咨询:点击这里给我发消息

电子邮箱:i@zzptech.com

工作时间:7*24h,全年无休

关注微信