濡囧辜淇濆仴闄�淇℃伅绯荤粺绛夌骇淇濇姢涓夌骇绛変繚淇℃伅鍖栧缓璁炬柟妗� - 鐧惧害鏂囧簱

妇幼保健院等保三级测评方案

妇幼保健院信息系统

网络安全等级保护三级

建 设 方 案

北京XX科技有限公司

2020年2月

妇幼保健院等保三级测评方案

目录

第1章 方案概述 ............................................................................................................................ 5 1.1 背景 ...................................................................................................................................... 5 1.2 方案设计目标 ...................................................................................................................... 7 1.3 方案设计原则 ...................................................................................................................... 8 1.4 方案设计依据 ...................................................................................................................... 9 第2章 信息系统定级情况........................................................................................................... 12 第3章 安全需求分析................................................................................................................... 13 3.1 安全指标与需求分析 ........................................................................................................ 13 第4章 信息安全体系框架设计................................................................................................... 16 第5章 管理体系整改方案........................................................................................................... 17 5.1 安全制度制定解决方案 .................................................................................................... 17 5.1.1 策略结构描述 ............................................................................................................ 17 5.1.2 安全制度制定 ............................................................................................................ 20 5.1.3 满足指标 .................................................................................................................... 21 5.2 安全制度管理解决方案 .................................................................................................... 21 5.2.1 安全制度发布 ............................................................................................................ 21 5.2.2 安全制度修改与废止 ................................................................................................ 22 5.2.3 安全制度监督和检查 ................................................................................................ 22 5.2.4 安全制度管理流程 .................................................................................................... 23 5.2.5 满足指标 .................................................................................................................... 26 5.3 安全教育与培训解决方案 ................................................................................................ 27 5.3.1 信息安全培训的对象 ................................................................................................ 27 5.3.2 信息安全培训的内容 ................................................................................................ 28 5.3.3 信息安全培训的管理 ................................................................................................ 29 5.3.4 满足指标 .................................................................................................................... 30 5.4 人员安全管理解决方案 .................................................................................................... 30 5.4.1 普通员工安全管理 .................................................................................................... 30 5.4.2 安全岗位人员管理 .................................................................................................... 32 5.4.3 满足指标 .................................................................................................................... 37 5.5 第三方人员安全管理解决方案 ........................................................................................ 37 5.5.1 第三方人员短期访问安全管理 ................................................................................ 38 5.5.2 第三方人员长期访问安全管理 ................................................................................ 39 5.5.3 第三方人员访问申请审批流程信息表 .................................................................... 41 5.5.4 第三方人员访问申请审批流程图 ............................................................................ 42 5.5.5 满足指标 .................................................................................................................... 42 5.6 系统建设安全管理解决方案 ............................................................................................ 43 5.6.1 系统安全建设审批流程 ............................................................................................ 43 5.6.2 项目立项安全管理 .................................................................................................... 45 5.6.3 信息安全项目建设管理 ............................................................................................ 47 5.6.4 满足指标 .................................................................................................................... 53

I

妇幼保健院等保三级测评方案

5.7 等级保护实施管理解决方案 ............................................................................................ 57 5.7.1 信息系统描述 ............................................................................................................ 59 5.7.2 等级指标选择 ............................................................................................................ 68 5.7.3 安全评估与自测评 .................................................................................................... 71 5.7.4 方案与规划 ................................................................................................................ 77 5.7.5 建设整改 .................................................................................................................... 79 5.7.6 运维 ............................................................................................................................ 84 5.7.7 满足指标 .................................................................................................................... 87 5.8 软件开发安全管理解决方案 ............................................................................................ 88 5.8.1 软件安全需求管理 .................................................................................................... 89 5.8.2 软件设计安全管理 .................................................................................................... 91 5.8.3 软件开发过程安全管理 ............................................................................................ 96 5.8.4 软件维护安全管理 .................................................................................................... 99 5.8.5 软件管理的安全管理 .............................................................................................. 101 5.8.6 软件系统安全审计管理 .......................................................................................... 102 5.8.7 满足指标 .................................................................................................................. 103 5.9 安全事件处置与应急解决方案 ...................................................................................... 103 5.9.1 安全事件预警与分级 .............................................................................................. 104 5.9.2 安全事件处理 .......................................................................................................... 110 5.9.3 安全事件通报 .......................................................................................................... 116 5.9.4 应急响应流程 .......................................................................................................... 118 5.9.5 应急预案的制定 ...................................................................................................... 119 5.9.6 满足指标 .................................................................................................................. 133 5.10 日常安全运维管理解决方案 ........................................................................................ 135 5.10.1 运维管理 ................................................................................................................ 135 5.10.2 介质管理 ................................................................................................................ 137 5.10.3 恶意代码管理 ........................................................................................................ 139 5.10.4 变更管理管理 ........................................................................................................ 141 5.10.5 备份与恢复管理 .................................................................................................... 143 5.10.6 设备管理管理 ........................................................................................................ 147 5.10.7 网络安全管理 ........................................................................................................ 152 5.10.8 系统安全管理 ........................................................................................................ 156 5.10.9 满足指标 ................................................................................................................ 160 5.11 安全组织机构设置解决方案 ........................................................................................ 168 5.11.1 安全组织总体架构 ................................................................................................ 168 5.11.2 满足指标 ................................................................................................................ 174 5.12 安全沟通与合作解决方案 ............................................................................................ 176 5.12.1 沟通与合作的分类 ................................................................................................ 176 5.12.2 风险管理不同阶段中的沟通与合作 .................................................................... 178 5.12.3 满足指标 ................................................................................................................ 179 5.13 定期风险评估解决方案 ................................................................................................ 180 5.13.1 评估方式 ................................................................................................................ 181 5.13.2 评估内容 ................................................................................................................ 182 5.13.3 评估流程 ................................................................................................................ 184 5.13.4 满足指标 ................................................................................................................ 186 第6章 技术体系整改方案......................................................................................................... 188

II

妇幼保健院等保三级测评方案

6.1 总体部署说明 .................................................................................................................. 188 6.1.1 内网网络部署方案 .................................................................................................. 188 6.1.2 外网网络部署方案 .................................................................................................. 190 6.1.3 DMZ数据交换区域部署方案 ................................................................................. 191 6.2 边界访问控制解决方案 .................................................................................................. 193 6.2.1 需求分析 .................................................................................................................. 193 6.2.2 方案设计 .................................................................................................................. 194 6.2.3 方案效果 .................................................................................................................. 196 6.2.4 满足指标 .................................................................................................................. 199 6.3 边界入侵防御解决方案 .................................................................................................. 200 6.3.1 需求分析 .................................................................................................................. 200 6.3.2 方案设计 .................................................................................................................. 201 6.3.3 方案效果 .................................................................................................................. 205 6.3.4 满足指标 .................................................................................................................. 207 6.4 网关防病毒解决方案 ...................................................................................................... 208 6.4.1 需求分析 .................................................................................................................. 208 6.4.2 方案设计 .................................................................................................................. 209 6.4.3 方案效果 .................................................................................................................. 211 6.4.4 满足指标 .................................................................................................................. 211 6.5 网络安全审计解决方案 .................................................................................................. 213 6.5.1 需求分析 .................................................................................................................. 213 6.5.2 方案设计 .................................................................................................................. 214 6.5.3 方案效果 .................................................................................................................. 224 6.5.4 满足指标 .................................................................................................................. 229 6.6 漏洞扫描解决方案 .......................................................................................................... 232 6.6.1 需求分析 .................................................................................................................. 232 6.6.2 方案设计 .................................................................................................................. 235 6.6.3 方案效果 .................................................................................................................. 241 6.6.4 满足指标 .................................................................................................................. 245 6.7 应用监控解决方案 .......................................................................................................... 246 6.7.1 需求分析 .................................................................................................................. 246 6.7.2 方案设计 .................................................................................................................. 246 6.7.3 方案效果 .................................................................................................................. 249 6.7.4 满足指标 .................................................................................................................. 252 6.8 安全管理中心解决方案 .................................................................................................. 253 6.8.1 需求分析 .................................................................................................................. 253 6.8.2 方案设计 .................................................................................................................. 254 6.8.3 方案效果 .................................................................................................................. 276 6.8.4 满足指标 .................................................................................................................. 279 第7章 技术体系符合性分析..................................................................................................... 282 7.1 物理安全 .......................................................................................................................... 282 7.2 网络安全 .......................................................................................................................... 287 7.3 主机安全 .......................................................................................................................... 295 7.4 应用安全 .......................................................................................................................... 302 7.5 数据安全与备份恢复 ...................................................................................................... 309

III