某某医院信息系统安全等级保护建设方案设计

《某某医院信息系统安全等级保护建设方案设计》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、XXXX医院信息系统安全等级保护建设方案北京天融信公司2014年07月目录第一章项目概述41.1项目背景41.2设计依据51.3政策标准51.4设计原则6第二章建设目标与任务82.1建设目标82.2建设任务92.3建设范围11第三章安全需求分析113.1安全现状描述123.2政策法规要求123.3等保合规性需求163.4安全风险防范需求163.4.1安全风险识别163.4.2现存安全风险183.4.3安全风险防范19第四章总体方案设计214.1设计原则214.2等级保护建设过程234.3总体建设内容244.3.1差距分析评估244.3.2总体规划设计254.3.3安全整改实施254.3.4

2、等级保护测评254.3.5系统安全运维254.4安全保障体系构成264.4.1安全技术体系274.4.2安全管理体系294.4.3安全运维体系30第五章等级保护差距分析305.1确定差距分析评估指标305.1.1形成评估指标305.1.2制定差距分析评估方案315.2等级指标对比评估315.2.1安全技术评估325.2.2安全管理评估325.3差距分析评估风险规避33第六章安全技术体系方案设计346.1设计思路346.2总体框架366.3方案编写结构386.4安全技术体系设计386.4.1确定保护对象386.4.2方案设计架构396.4.3安全域划分396.4.4计算环境防护436.4.5

3、区域边界防护676.4.6通信网络防护726.4.7安全管理中心设计766.4.8系统安全加固81第七章安全管理体系设计867.1安全管理体系建设目标867.2安全管理体系建设流程877.3建立安全管理组织，落实信息安全责任制927.3.1安全管理组织建设原则927.3.2安全管理组织总体架构947.3.3安全管理岗位和职责967.4确定安全管理策略，制定安全管理制度1017.4.1信息安全管理策略体系建设过程1017.4.2信息安全管理策略体系框架1027.4.3信息安全总体方针1047.4.4信息安全策略1067.4.5信息安全管理体系文档清单1147.4.6信息安全管理制度的有效发布

4、和执行1157.4.7信息安全管理制度的运作1167.5落实人员安全管理措施1177.5.1人员录用1177.5.2人员离岗1187.5.3人员考核1187.5.4安全意识教育和培训1197.5.5外部人员访问管理1197.6落实系统运维管理措施1207.6.1信息资产分类管理1207.6.2运行维护管理1227.6.3存储介质管理1237.6.4账号与口令安全管理1247.6.5防病毒管理1267.6.6设备配置安全管理1277.6.7周期性安全风险评估1287.6.8周期性设备弱点加固1307.6.9安全监控和安全事件处置1317.6.10备份与恢复管理1337.6.11应急预案管理1

5、367.6.12安全运维服务1387.7落实系统建设管理措施1397.7.1系统定级1397.7.2安全方案设计1407.7.3安全产品采购1407.7.4自主软件开发1417.7.5外包软件开发1417.7.6工程实施1427.7.7测试验收1427.7.8系统交付1437.7.9系统备案1437.7.10等级测评1437.7.11安全服务商选择144第八章整改的落实1448.1安全集成1458.2安全加固1458.2.1安全加固设计方案1458.2.2安全加固实施方法146第九章保合规审计1499.1现场检查测试前的准备1509.2现场检查测试1529.3综合测评分析154第十章协助测

6、评15610.1准备资料15610.2现场协助156第十一章项目实施内容15711.1安全集成15711.2安全服务158第一章项目概述1.1项目背景为贯彻落实国家信息安全等级保护制度，规范和指导全国卫生行业信息安全等级保护工作，按照公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安〔2009〕1429号）要求，卫生部结合卫生行业实际，也研究制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发〔2011〕85号）。同时，为了落实85号文，全面提高卫生行业信息安全保障能力和水平，保障和促进卫生信息化健康发展，卫生部决定全面开展信息安全等级保护工作。其中规定：1）2011

7、年12月30日前将本地区已定级备案的卫生信息系统情况报送卫生部；2）卫生行业各单位要于2012年5月30日前完成本单位信息系统的定级备案工作。3）于2015年12月30日前完成信息安全等级保护建设整改工作，并通过等级测评。在这样的大背景下，对于新建XXXX医院，在信息系统建设同时需要考虑信息安全的同步建设。在系统建设完成同时，信息安全的防护能力也达到一定级别，以避免重复建设或整改建设所带来的巨大资金投入和人力投入。信息安