为规范重庆 XX 中学信息系统安全设计过程,确保整个信息安全管理体系在信息安全设计阶段即符合国家相关标准和要求,特制订本规范。

第一章 目的

第一条 为规范重庆 XX 中学信息系统安全设计过程,确保整个信息安全管理体系在信息安全设计阶段即符合国家相关标准和要求,特制订本规范。

第二章 范围

第二条 本规范适用于重庆 XX 中学在信息安全设计阶段的要求和规范管理。

第三章 职责

第三条 网络安全办公室负责信息安全系统设计,并会同上级单位、相关部门和有关专家对设计方案进行评审后报信息安全领导小组批准。

第四章 设计规范

第四条 物理机房安全设计

  1. 新机房建设根据物理安全主要包括:物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防 潮、防静电、温湿度控制、电力供应、电磁防护等,该部分 内容将主要参考 GB/T22239‐2008《信息系统安全等级保护 基本要求》(以下简称《基本要求》)要求的第三级标准进行 建设,建设过程中可以参考的标准主要包括:
    • GB50174-93《电子计算机机房设计规范》
    • GB 50057-1994《建筑物防雷设计规范》
    • GB 2887-88《计算站场地安全要求》
    • GB 2887-89《计算站场地技术条件》
  2. 应从安全技术设施和安全技术措施两方面对信息系统所涉及到的主机房、辅助机房和办公环境等进行物理安全设计,设计内容包括防震、防雷、防火、防水、防盗窃、防破坏、温湿度控制、电力供应、电磁防护等方面。物理安全设计是对采用的安全技术设施或安全技术措施的物理部署、 物理尺寸、功能指标、性能指标等内容提出具体设计参数。 具体依据《基本要求》中的“物理安全”内容,同时可以参照《信息系统物理安全技术要求》等。

第五条 通信网络与区域边界安全设计

  1. 网络设计、建设、维护过程中应参考 GB/T22239‐2008)《信息系统安全等级保护基本要求》第三级网络部分要求。 对信息系统所涉及的通信网络,包括骨干网络、城域网络和其他通信网络(租用线路)等进行安全设计,设计内容包括通信过程数据完整性、数据保密性、保证通信可靠性的设备和线路冗余、通信网络的网络管理等方面。
  2. 通信网络安全设计涉及所需采用的安全技术机制或 安全技术措施的设计,对技术实现机制、产品形态、具体部署形式、功能指标、性能指标和配置参数等提出具体设计细节。具体依据《基本要求》中“网络安全”内容,同时可以参照《网络基础安全技术要求》等。
  3. 对信息系统所涉及的区域网络边界进行安全设计,内容包括对区域网络的边界保护、区域划分、身份认证、访问控制、安全审计、入侵防范、恶意代码防范和网络设备自身保护等方面。应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段。应完善并加强不同网络区域的隔离,根据安全区域和业务系统不同安全域细化不同的 VLAN 和访问控制。
  4. 区域边界安全设计涉及所需采用的安全技术机制或安全技术措施的设计,对技术实现机制、产品形态、具体部署形式、功能指标、性能指标和配置策略和参数等提出具体设计细节。具体依据《基本要求》中的“网络安全”内容,同时可以参照《信息系统等级保护安全设计技术要求》、《网络基础安全技术要求》等。

第六条 主机系统安全设计

对信息系统涉及到的服务器和工作站进行主机系统安 全设计,内容包括操作系统或数据库管理系统的选择、安装和安全配置,主机入侵防范、恶意代码防范、资源使用情况监控等。其中,安全配置细分为身份鉴别、访问控制、安全审计等方面的配置内容。具体依据《基本要求》中的“主机安全”内容,同时可以参照《信息系统等级保护安全设计技术要求》、《信息系统通用安全技术要求》等。

第七条 应用系统安全设计

  1. 对信息系统涉及到的应用系统软件(含应用/中间件平台)进行安全设计,设计内容包括身份鉴别、访问控制、 安全标记、可信路径、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等。具体依据《基本要求》中的“应用安全”内容,同时可以参照《信息系统等级保护安全设计技术要求》、《信息系统通用安全技术要求》等。
  2. 网络安全的数据库系统主要包括共享交换平台、业务监管平台数据库服务器群,这些数据库分别为重庆 XX 中学各核心业务系统提供数据服务。通常这些数据库系统自身都提供了完善的安全机制,同时如果需要更精细的安全功能也可以通过一些数据库安全增强选件来实现。

第八条 备份和恢复安全设计

  1. 针对信息系统的业务数据安全和系统服务连续性进行安全设计,设计内容包括数据备份系统、备用基础设施以及相关技术设施。针对业务数据安全的数据备份系统可考虑数据备份的范围、时间间隔、实现技术与介质以及数据备份线路的速率以及相关通信设备的规格和要求;针对信息系统服务连续性的安全设计可考虑连续性保证方式(设备冗余、 系统级冗余直至远程集群支持)与实现细节,包括相关的基础设施支持、冗余/集群机制的选择、硬件设备的功能/性能指标以及软硬件的部署形式与参数配置等。具体依据《基本要求》中的“数据安全和备份恢复”内容,同时可以参照《信息系统灾难恢复规范》等。
  2. 重庆 XX 中学网络与信息系统中存储大量 重要的数据,网络内分布众多的数据库服务器,这些数据大量集中,且为众多用户直接共享,在重庆 XX 中学项目工程中,需要对数据库进行实时的审计监控,以全面保障数据库的安全。
  3. 应建立灾备中心,已防止在线系统出现事故、自然灾害时无法恢复,并且建立完毕后,应该每年都进行灾备切换演练,以防止恢复过程出现意外。

第九条 建设经费预算和工程实施计划

  1. 建设经费预算,根据信息系统的安全建设整改内容提出详细的经费预算,包括产品名称、型号、配置、数量、单价、总价和合计等,同时应包括集成费用、等级测评费用、 服务费用和管理费用等。对于跨年度的安全建设整改或安全改建,提供分年度的经费预算。
  2. 根据信息系统的安全建设整改内容提出详细的工程 实施计划,包括建设内容、工程组织、阶段划分、项目分解、时间计划和进度安排等。对于跨年度的安全建设整改或安全改建,要对安全建设整改方案明确的主要安全建设整改内容进行适当的项目分解,比如分解成机房安全改造项目、网络安全建设整改项目、系统平台和应用平台安全建设整改项目等,分别制定中期和短期的实施计划,短期内主要解决目前急迫和关键的问题。

相关文章

  • 信息系统的工程测试验收管理

    信息系统的工程测试验收管理

    为规范重庆 XX 中学系统建设和工程项目测试验收准则,特制订本管理制度。本制度适用于系统建设或信息工程类项目的测试和验收管理。信息系统建设和其他信息系统工程类项目的测试和验收主要由网络安全办公室负责,必要的时候可协调相关科室使用人员参与测试和验收。 第一章 目的 第一条 为规范重庆 XX 中学系统建设和工程项目测试验收准则,特制订本管理制度。 第二章 范围 第二条 本制度适用于重庆 XX 中学系统建设或信息工程类项目的测试和验收管理。 第三章 职责 第三条 信息系统建设和其他信息系统工程类项目的…

  • 系统运维保密协议,科技装设备维护服务保密协议

    系统运维保密协议,科技装设备维护服务保密协议

    甲方:重庆市 x 乙方:重庆众平科技有限公司 受甲方委托,乙方对委托的 XXXX2023 年度科技装设备进行维护服务,为了促进双方合作,依据《中华人民共和国合同法》的规定并经双方经友好协商,签订如下协议(以下简称本协议)。 1.乙方不得在维护服务中获取非甲方提供的保密信息,乙方不得将甲方的保密信息透露给任何第三方,而应尽力避免由于疏忽将保密信息披露给任何第三方,所使用的计算机必须坚持“专网专用”、“专机专用”的原则,实行“谁管理、谁负责”、“谁使用、谁负责”的安全责任制,严禁私自将自带笔记本电脑…

  • 网络信息安全责任追究制度

    网络信息安全责任追究制度

    为明确网络与信息安全事故责任主体(以下简称“责任主体”),追究网络与信息安全事故的责任,结合实际情况,制定本制度。责任主体的范围包括部门、科室或个人等。本制度适用于 XXXX,各部门应根据本制度制定具体实施细则。 第一章 总则 第一条 为明确网络与信息安全事故责任主体(以下简称“责任主体”),追究网络与信息安全事故的责任,结合实际情况,制定本制度。责任主体的范围包括部门、科室或个人等。 第二章 范围 第二条 本制度适用于重庆 XX 中学,各部门应根据本制度制定具体实施细则。 第三章 原则 第三条…

  • 信息系统资产安全管理制度

    信息系统资产安全管理制度

    规范重庆 XX 中学信息资产的管理、使用和处置,防止其滥用和丢失,保护数据安全。适用于重庆 XX 中学信息资产的管理, 包括:获得、分类分级、使用和处置。 第一章 目的 第一条 规范重庆 XX 中学信息资产的管理、使用和处置,防止其滥用和丢失,保护数据安全。 第二章 范围 第二条 适用于重庆 XX 中学信息资产的管理, 包括:获得、分类分级、使用和处置。 第三章 职责 第三条 网络安全办公室:主要负责信息资产的采购、入库、领用、为资产建立台账,负责使用与处置方法,并监督各部门的执行情况。各部门:…

  • 数据安全事件应急预案模板

    数据安全事件应急预案模板

    在学习、工作或生活中,保不准会发⽣突发事件,为了避免造成更严重的后果,常常需要预先准备应急预案。我们应该怎么编制应急预案呢?以下是众平帮⼤家整理的数据安全事件应急预案,欢迎⼤家借鉴与参考,希望对⼤家有所帮助。 第⼀章 总则 为建⽴健全公司数据安全事件应急响应机制,提⾼应对数据安全事件的应急处置能⼒,预防和减少数据安全事件造成的损失和危害,全⾯提升公司的数据安全事件应急管理水平,保障公司数据资产安全和用户合法权益,特制定本预案。 第⼆章 应急响应组织机构 一、公司成立数据安全事件应急响应领导小组,…

  • 制造业客户数据安全解决方案(终端安全/文件加密/介质管理等)

    制造业客户数据安全解决方案(终端安全/文件加密/介质管理等)

    针对前文制造业客户数据安全解决方案(数据防泄密需求分析)提到的泄密风险,本文详细介绍一套完整、合理的解决方案,通过该方案构建公司数据安全防护边界,自动加密、全方位保护数据安全。 1 电脑终端数据的保护 1.1 电脑图纸文件的自动加密,从源头保护数据 对于电脑终端核心数据文件会自动强制透明加密,比如通过 PRO/E,UG,CATIA 等软件从文档创建图纸文件开始即可自动加密保护。加密前后对于数据合法使用者无任何差异,不增加用户负担、不改变任何工作流程及使用习惯。文件的保存加密、打开解密完全由后台加…

- 联 系 我 们 -

+86 186-2315-0440

在线咨询:点击这里给我发消息

电子邮箱:i@zzptech.com

工作时间:7*24h,全年无休

关注微信