集团公司信息系统等级保护建设方案v21-2009

《集团公司信息系统等级保护建设方案v21-2009》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、山东省电力集团公司信息系统等级保护建设方案二零零九年八月66版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属国网电力科学研究院/国网信息网络安全实验室和山东省电力集团公司所有，受到有关产权及版权法保护。任何个人、机构未经国网电力科学研究院/国网信息网络安全实验室和山东省电力集团公司的书面授权许可，不得以任何方式复制或引用本文的任何片断。文档信息文档名称山东省电力集团公司信息系统等级保护建设方案文档管理编号INSL-SDDL-BLT-2009-FA保密级别商密文档版本号V3.0制作人郭骞制作日期2009年6月复审人余勇复审日期2

2、009年6月扩散范围国家电网公司信息网络安全实验室山东省电力集团公司扩散批准人林为民版本变更记录时间版本说明修改人2009-８V1.0创建文档郭　骞2009-８V2.0修改文档俞庚申2009-８V3.0文档复审定稿余勇适用性声明本报告由国网电力科学研究院/国网信息网络安全实验室撰写，适用于山东省电力集团公司信息系统等级保护项目。66目录1.项目概述11.1目标与范围11.2方案设计21.3参照标准22.等保现状及建设总目标22.1等级保护现状22.1.1国家电网公司等保评测结果22.1.2公安部等保测评结果42.2等级保护建设总体目标53.安全域及网络边界防护53.1信息网络

3、现状53.2安全域划分方法83.3安全域边界93.3.1二级系统边界93.3.2三级系统边界103.4安全域的实现形式113.5安全域划分及边界防护123.5.1安全域的划分124.信息安全管理建设164.1建设目标164.2安全管理机构建设174.3安全管理制度完善175.二级系统域建设175.1概述与建设目标175.2网络安全185.2.1网络安全建设目标185.2.2地市公司建设方案195.3主机安全245.3.1主机安全建设目标24665.3.2主机身份鉴别255.3.3访问控制275.3.4安全审计295.3.5入侵防范315.3.6恶意代码防范335.3.7资源控

4、制335.4应用安全355.4.1应用安全建设目标355.4.2身份鉴别365.4.3安全审计365.4.4通信完整性、通信保密性375.4.5资源控制385.5数据安全及备份恢复395.5.1数据安全及备份恢复建设目标395.5.2数据完整性、数据保密性396.三级系统域建设416.1概述与建设目标416.2物理安全416.2.1物理安全建设目标416.2.2机房感应雷防护措施426.2.3物理访问控制426.2.4防盗措施426.2.5防火措施436.2.6防水和防潮446.2.7电磁防护446.3网络安全建设方案456.3.1网络安全建设目标456.3.2山东省电力集团

5、公司建设方案456.4主机安全516.4.1主机安全建设目标516.4.2主机身份鉴别51666.4.3访问控制546.4.4安全审计576.4.5剩余信息保护606.4.6入侵防范606.4.7恶意代码防范626.4.8资源控制636.5应用安全646.5.1应用安全建设目标646.5.2身份鉴别646.5.3访问控制666.5.4安全审计666.5.5剩余信息保护686.5.6通信完整性、通信保密性、抗抵赖686.5.7资源控制706.6数据安全及备份恢复716.6.1数据安全及备份恢复建设目标716.6.2数据完整性、数据保密性716.6.3备份和恢复72661.项目概

6、述根据国家电网公司《关于信息安全等级保护建设的实施指导意见（信息运安〔2009〕27号）》和山东省电力集团公司对等级保护相关工作提出的要求，落实等级保护各项任务，提高山东省电力集团公司信息系统安全防护能力，特制定本方案。1.1目标与范围公司为了落实和贯彻公安部、国家保密局、国家密码管理局、电监会等国家有关部门信息安全等级保护工作要求，全面完善公司信息安全防护体系，落实公司“双网双机、分区分域、等级防护、多层防御”的安全防护策略，确保等级保护工作在各单位的顺利实施，提高公司整体信息安全防护水平，开展等级保护建设工作。前期在省公司及地市公司开展等级保护符合性测评工作，对地市公司进

7、行测评调研工作，范围涵盖内网门户、外网门户、财务管理系统、营销管理系统、电力市场交易系统、生产管理信息系统、协同办公系统、人力资源管理系统、物资管理系统、项目管理系统、邮件系统、公司广域网SGInet、管理制度这13个业务系统分类，分析测评结果与等级保护要求之间的差距，提出本的安全建设方案。本方案主要遵循GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《信息安全等级保护管理办法》（公通字[2007]43号）、《信息安全技术信息安全风险评估规范》（GB/T20984-2007）、《国