十、安全保障体系规划

    随着信息化应用的发展，积累的信息越来越多，区（局）丰富的各类信息以及具有园文特色的数据将成为宝贵财富之一，信息安全问题已关系到各应用系统安全、稳定运行，已经成为区（局）日常管理执行的重要组成部分，需要建立完善的信息安全体系标准和基本结构框架，指导规范信息安全体系建设工作。

    （一）安全保障构架

    信息化安全保障体系建设一般都遵循现有的标准模型，主要包括：策略（Policy）、人员（People）、操作（Operation）、技术（Technology)、保护（Protection）、检测（Detection）、响应（Response）、恢复（Recovery）、培训（Training）几方面,如图：

图10-1 信息化安全体系模型图

    该模型最核心的部分就是安全策略，安全策略在整个安全体系的设计、实施、维护和改进过程中都起着重要的指导作用，是一切信息安全实践活动的方针和指南。模型的中间层次是信息安全的三个基本要素，即人员、技术和操作，这构成了整个安全体系的骨架。在模型的外围，是构成信息安全完整功能的四个环节，信息安全三要素在这四个环节中都有渗透，并最终表现出信息安全完整的目标形态。概括来说，模型各层次间的关系是：在策略核心的指导下，三个要素紧密结合协同作用，最终实现信息安全的四项功能，构成完整的信息安全体系。

    （二）安全保障体系措施

    根据上述的安全保障体系规划，可将信息安全保障体系划分为管理层安全、物理层安全、系统层安全、网络层安全和应用层安全，不同层次反映了不同的安全问题。如下图所示：

图10-2    区（局）信息安全保障体系

    1、管理层安全措施

    管理安全包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等。管理的制度化极大程度地影响着整个网络的安全，严格的安全管理制度、明确的部门安全职责划分、合理的人员角色配置都可以在很大程度上降低其它层次的安全漏洞。

    2、物理层安全措施

    该层次的安全包括通信线路的安全，物理设备的安全，机房的安全等。物理层的安全主要体现在通信线路的可靠性（线路备份、网管软件、传输介质），软硬件设备安全性（替换设备、拆卸设备、增加设备），设备的备份，防灾害能力、防干扰能力，设备的运行环境（温度、湿度、烟尘），不间断电源保障等。

    3、网络层安全措施

    该层次的安全问题主要体现在网络方面的安全性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的安全，域名系统的安全，路由系统的安全，入侵检测的手段，网络设施防病毒等。

    4、系统层安全措施

    该层次的安全问题来自网络内使用的操作系统的安全，主要表现在三方面：一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是对操作系统的安全配置问题；三是病毒对操作系统的威胁。

    5、应用层安全措施

    该层次的安全问题主要由提供服务所采用的应用软件和数据的安全性产生，包括Web服务、电子邮件系统、DNS等。此外，还包括病毒对系统的威胁。

    6、数据层安全措施

    在安全防护体系中，数据库的备份问题最难解决，由于各种应用系统的加入，数据库日趋增长，要确保数据在发生故障或灾难性事件情况下不丢失。

    （三）信息安全保障要求

    区（局）在信息化安全防护体系建设中需要重点做好以下几方面的工作：

    1、定期进行安全风险评估

    依据信息安全策略，定期进行安全检查和风险评估，并形成制度，积极提高信息安全的事前控制能力，提高信息化系统的安全运行水平。

    2、完善安全管理制度和安全责任制度

    建立健全各项信息安全管理和防范制度，如《区（局）信息安全管理制度》、《区（局）信息安全责任制度》，根据职责分离和多人负责的原则，各负其责，同时加强要害岗位管理，建立和完善要害岗位人员管理制度。

    3、建立较为完善的应急保障体系应对突发事件

    在区（局）建立信息安全小组，明确工作职责，负责信息安全的管理、应急，并建立应急预案，开展演练，提高突发事故的应急处理能力，和系统的快速恢复能力。

    4、建立完善的备份体系

    完善现有备份系统，建立灾备机构，应对重大事故和重大安全事件的业务连续性管理。

    5、定期开展系统性的安全培训

    由区（局）信息安全小组组织定期开展系统性、多层面的人员安全培训，使工作人员具备对信息系统安全管理体系和安全管理执行过程中存在缺陷的发现、纠正和改进的能力。

    6、配备较为完善的安全设备

    建立灾备中心，配备磁盘阵列等备份设备，为服务器配备UPS、防火墙、防毒杀毒软件、入侵检测系统。

    7、进行身份认证，完善权限系统

    引入身份认证系统，对区（局）内用户进行认证，并建立完善的权限管理系统，对各类用户权限进行严格控制。 

    十一、信息化实施计划

    （一）整体实施流程

    在信息技术时代，信息化可以为区（局）“十二五”事业规划的实现提供技术基础，是重要支持手段。信息化的所有主体工作，都是建立在区（局）“十二五”事业规划基础上的，是规划的技术表现形式。

图11-1 信息化建设整体实施流程图

    1、商业性需求分析

    针对规划中的应用系统，每个应用系统在招标选型前需要做商业性需求分析的工作。商业性需求分析的主要作用是确定单个应用系统所要实现的商业需求和实现的业务范围，提出技术实现途径，做出概要的功能模型和技术方案，供后期招标选型的界定标准。所谓商业需求，指单个业务系统绩效的具体要求，比如实现公文流转效率提高XX％等。

    2、流程分析与优化（BPI）

    流程分析与优化重组是将全面质量管理（TQM）理论应用到实际的一种重要工作，它是在TQM思想的指导下，对工作流程进行彻底的分析，找出已经觉察到的问题和潜在的问题，对这些问题进行分析讨论，找出解决或优化的方法并切实地实施，不断收集反馈，进行总结，提出新方案，这样循环向前，从而减少问题，优化流程，提高效率，完善质量。

    3、系统招标选型

    最终选择什么样的系统和合作伙伴，受单位规模、引进目的、双方技术力量、投资预算等诸多因素的影响。主要包括实施商（或供应商）实力、价格和费用、产品技术、产品应用、系统实施、服务与技术支持等核心指标。

    4、系统开发实施

    系统开发实施的过程中，软件开发商依照软件工程进行开发工作，用户进行相关监控与参与，也可以引入相关监理公司，对整个过程进行全程监理。

    5、推广应用反馈

    通过对领导、各部门和分支机构负责人员以及应用系统主要使用人员进行访谈和调研，了解单位管理和业务发展情况以及对区（局）应用系统实施的期望、需求，运用信息化咨询工具和方法论，建立系统应用评估体系，客观真实的反映单位通过应用信息系统后在管理方面的改进、提高和创新，以及信息系统实施应用过程中存在的一些问题和障碍。

    （二）实施计划

    信息化建设是一个渐进的长期建设过程，需要按照整体规划分阶段实施。具体实施计划见表11-1。  

表11-1  区（局）信息化“十二五”建设实施计划表