信息安全管理体系解决方案

目录

信息安全管理体系解决方案 ................................................................................................................. 1 第一章 安全风险评估服务 ............................................................................................................... 2 第二章 安全管理体系咨询 ............................................................................................................... 3 第三章 应用系统安全评估 ............................................................................................................... 4 第四章 敏感信息保护咨询 ............................................................................................................... 5 第五章 业务连续性咨询 ................................................................................................................... 6 第六章 IT审计服务 ........................................................................................................................... 7 第七章 SDL开发安全咨询 ................................................................................................................ 8 第八章 ISO27001认证咨询 ............................................................................................................... 9 第九章 等级保护体系咨询 ............................................................................................................. 10 第十章 ISO20000认证咨询 ............................................................................................................. 12 第十一章 IT服务管理产品实施 ..................................................................................................... 13 第十二章 信息安全管理体系咨询 ................................................................................................. 15 第十三章 技术方案 ......................................................................................................................... 17 1、信息安全风险管理系统 ......................................................................................................... 17 2、合规管理系统——等级保护 .................................................................................................. 18 3、合规管理系统——ISO27000 ................................................................................................... 19 4、信息安全管理平台 ................................................................................................................. 21 第十四章 解决方案 ......................................................................................................................... 22 1、金融行业解决方案 .................................................................................... 错误!未定义书签。 2、通信行业解决方案 ................................................................................................................. 24 3、央企解决方案 ......................................................................................................................... 24 4、开发安全解决方案 ................................................................................................................. 24 5、大型企业解决方案 ................................................................................................................. 28

第一章 安全风险评估服务

GooAnn 基于国际信息安全体系进行信息安全风险评估服务，协助企业识别信息资产及业务流程的信息安全弱点，并针对信息安全威胁提供信息安全风险处理规划建议。在企业实施信息安全管理之前的风险评估服务，可以帮助企业认识现状与信息安全标准及规范要求的差距，并可以协助客户制订改进规划。在需要时进一步提供信息安全保障体系或管理体系的咨询服务。

价值提升：

基于以上核心优势，GooAnn 的风险评估服务为客户提供额外的附加价值，包括：  基于行业风险知识库，评估的风险更加充分并具有针对性；

 基于全方位的风险评估，为客户识别IT组织规划、业务流程、信息系统及信息资产面对的IT风险；  结合管理与技术的风险评估结果，能够帮助客户更加有效地识别安全隐患，风险评估结论可以用于建立管理制度，并通过建立针对于技术评估发现的技术风险的控制措施，真正将风险处理落到实处；

 GooAnn 不但能够在风险评估中帮助客户发现问题，并且通过全面IT服务能力帮助客户真正解决涵盖IT治理、IT服务管理及信息安全方面的问题。 为什么选择我们：

 GooAnn 的风险评估服务具有不同于别家的特性和优势，以区隔通常的信息安全评估服务：

 基于不同行业，建立有基于GooAnn 自主知识产权的 IT风险管理软件的行业风险知识库；

GooAnn 的咨询服务涵盖IT内控、IT规划、软件开发、IT服务管理及信息安全。因此评估过程中，基于自身的综合IT管理咨询经验，能够更加充分有效地评估在组织结构、业务流程及信息资产等方面的信息安全风险，提供全方位立体的结论；

GooAnn 具有全面强大的后续服务能力，基于评估发现的风险，GooAnn 可以提供IT规划、IT服务管理、软件开发及信息安全管理体系建设服务。

第二章 安全管理体系咨询

GooAnn 依据信息安全相关国际标准，提供信息安全保障体系与信息安全管理体系（ISMS） 咨询和实施服务，从管理、技术、人员、过程的角度来定义、建立、实施信息安全体系，保障组织的信息安全 “ 滴水不漏 ”，确保组织业务的持续运营，维护企业的竞争优势。

价值提升：

通过建立信息安全管理体系，明确安全管理对于业务促进的重要作用，使安全风险和责任意识从传统的IT部门扩展到企业每个员工，提高了安全管理的整体效率；

通过PDCA过程方法和相应的组织保障体系，使企业安全管理从“无序、零散、被动”的风险补救行为转变为“系统、科学、连贯、主动”的风险驾驭状态；通过完善各类安全管理制度，使企业具有处理突发事件的能力，在制度上和管理上保证企业核心业务的可持续运行。

通过建立统一的信息安全策略指导各业务部门在处理业务敏感信息方面的行为，防止机密信息泄露；为业务系统的设计、开发和运行维护方面提供统一的安全规则。

信息安全管理体系（ISMS）体系的实施，不仅能改善企业的安全风险水平，而且能让企业拥有可控的风险管理架构、方法和保障落实机制。正是因为拥有这套机制，才确保企业在不断变化的安全风险环境中，始终能够通过科学的方法和持续的改进，达到管理者可接受的安全风险水平。 为什么选择我们：

GooAnn 由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、ITIL实施证书、CISA、CISM等。

GooAnn 顾问团队很好地把信息安全领域的专业技术及实践经验与以业务为驱动的管理咨询方法及体系实施特点有机结合在一起，即能够深入到细节，又能够站在高层次上全面而系统地看待问题。 顾问式培训贯穿项目实施全过程。

GooAnn 与国内外的信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。 是国内大型企业实施案例最多的咨询公司。 我们的承诺：

GooAnn 参照信息安全管理体系相关国际标准，建立内部信息安全管理体系。顾问必须遵守GooAnn 顾问职业道德规范保守客户商业机密。

帮助客户建立一套能够完全符合企业实际需求的信息安全管理体系，培养企业内部信息安全人员及内部顾问，企业不会因为顾问结束服务后而不知如何实施与维护。

第三章 应用系统安全评估

应用系统安全评估：

从系统研发、身份鉴别、访问控制、流程安全、异常处理、备份与故障恢复、密码安全、输入输出合法性、安全审计、数据安全性十个方面评价应用系统的整体安全，发现应用程序在设计、运营和管理方面存在的安全风险，并提供具体的修改意见，确保应用系统自身的安全。 业务流程安全评估：

从企业的业务层面来看，信息安全应当不仅仅是信息资产本身是否安全可靠，还要关注资产在其所运行的环境和经历的流程中保证安全，IT资产可能经历的流程有需要IT支撑的业务流程（如：跨部门业务处理流程），支撑业务过程的IT流程（即纵向IT过程，如：软件开发、测试和上线流程）。也有支撑IT本身的绩效及安全的IT流程（即横向IT过程，如变更管理过程）。

通过风险评估，分析其可能存在的风险和对业务影响，提出了有针对性的风险处置办法，建立适用的IT流程控制目标，及这些控制目标对应的控制实施、控制原因及绩效属性，以便于对风险的精细化管理。

价值提升：提高应用系统的安全性和稳定性，防止业务数据的丢失。规范客户的业务流程，优化客户的业务结构，有效提升客户的业务效率和降低客户的运营成本。

核心优势：国内首家开展面向业务层面安全保障的服务商，成熟的方法论和多个典型的具有代表性的案例。

第四章 敏感信息保护咨询

GooAnn敏感信息保护咨询，是在数据信息生命周期的各个环节，针对各类结构化、半结构化及非结构化的敏感数据，分析是否在数据获取、数据存储、数据使用、数据共享、数据归档、数据销毁过程中，可能由于技术缺陷、管理不到位、安全意识薄弱等原因，造成敏感数据泄漏事件的发生。

价值提升：

通过实施敏感信息保护咨询，可以根据存在的敏感信息保护风险，从策略管理与技术控制两个层面进行管控。 全面分析信息泄露途径，实施各种安全控制措施，从而达到早预防早控制的效果。 高度的适应性，可以根据客户的信息系统获取方式进行定制。

GooAnn简化安全管理。明确敏感信息防护的部门和角色来执行，分工明确，责任落实，便于量化考核。 为什么选择GooAnn：

GooAnn由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富

的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、ITIL实施证书、CISA、CISM等。

GooAnn顾问团队均具备十多年的安全经验，具备丰富的经验，既能够深入到细节，又能够站在高层次上全面而

系统地看待问题。

顾问式培训贯穿项目实施全过程。

GooAnn 与国内外的相关信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的

成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。 是国内大型企业实施敏感数据保护案例最多的咨询公司。

第五章 业务连续性咨询

GooAnn 基于BS 25999及BCI (Business Continuity Institute) Business Continuity Guide提供业务连续性管理咨询服务。内容包括日常运作流程设计、危机管理和大型灾害的应对计划和策略，业务持续性管理团队建设和咨询等诸多方面的服务，可以帮助客户从技术、流程、人员三方面提高业务持续能力，保证企业的正常运作和发展，不仅仅包括灾难恢复、危机管理、风险管理，也不仅仅是一个IT问题，而是企业整体运营战略的一部分。它的建立包括重新审视企业的组织结构操作流程，发现其中不能适应意外风险和灾难的弱点，通过改进和提高这些结构和流程来避免企业业务运行的中断和丢失。

通过对企业业务的深入评估，GooAnn与客户高层一起进行业务影响分析，并通过业务需求与客户一起识别业务连续性目标，诸如MTO (Maximum Tolerable Outage ) 、RTO (Recovery Time Objectives)以及RPO(Recovery Point Objectives)等关键指标。在业务连续性风险评估后，与客户一起建立业务连续性计划，并指导进行演练，最终协助客户建立业务连续性管理体系。 价值提升：

GooAnn与金融系统灾备中心建立有紧密合作关系。不但能够为客户提供业务连续性管理体系建设服务，并且可以与合作伙伴一起帮助客户基于业务连续性计划建立灾备中心，真正帮助客户把业务连续性管理落到实处。

为什么选择我们：

GooAnn 拥有自己的业务连续性管理专家， 精通BS 25999标准要求，并且具有实际建立业务连续性体系的实施经验。

第六章 IT审计服务

IT控制审计服务的目的就是根据组织的业务需求及相关法律法规要求，在Cobit框架下，参照与IT相关的具体控制标准、指南或最佳实践，从实体、IT流程、IT资源三个层面出发，采用访谈、核查、测试等信息收集手段，分析评价IT系统及其相关业务应用是否满足相关法规制度、标准指南及最佳实践要求，并针对不符合部分提出改进建议。IT控制审计服务包括内部审计策划、审计准备、审计对象调查、实施审计、审计发现复核及沟通、审计报告六大步骤，共分四个阶段，各个阶段说明如下：

为什么选择我们：

GooAnn合规部门拥有一支具有丰富的国内外IT治理、IT风险控制及信息安全咨询经验的专家顾问团队，主要由国际大型咨询顾问公司（毕马威/毕博/安永/埃森哲)及国内大型信息安全厂商公司人员组成。

拥有国内最大的信息安全培训公司和完善的知识库体系。

拥有自主研发的IT风险管理软件，提升项目实施效率降低了客户投入费用。 拥有众多实施案例。

国内最大的IT审计培训机构，拥有国内最强的IT审计的师资力量。

第七章 SDL开发安全咨询

GooAnn公司SDL开发安全咨询重点参考了微软SDL相关推荐文档1和《GB/T 20274 信息安全技术 信息系统安全保障评估框架》，为客户建立全面的信息系统生命周期安全保障体系框架。框架将考虑到各种信息系统的获取方式以及客户内部的组织机构特点，可以进行多种定制，具有高度的适应性。实施保障体系可以为客户明确信息系统生命周期各阶段的各种安全保障流程，方法，活动，以及实施这些流程，方法，活动的组织机构建设和责任划分。

价值提升：

 通过建立SDL开发安全体系，可以为信息系统提供全生命周期安全。安全保障贯穿信息系统生命周期始终，覆

盖信息系统生命周期各项活动。

为用户节省安全成本。可以在信息系统开始规划阶段就会全面考虑系统安全问题，实施各种安全控制措施，从而

达到早预防，节省成本的效果。

 高度的适应性，可以根据客户的信息系统获取方式进行定制。

简化安全管理。实施SDL后，信息系统生命周期各阶段的安全活动有明确的部门和角色来执行，分工明确，责任

落实，便于量化考核。

为什么选择我们：

 GooAnn 由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富

的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、ITIL实施证书、CISA、CISM等。

 GooAnn 开发安全顾问团队具备十多年的安全开发经验，具备丰富的经验，既能够深入到细节，又能够站在高层

次上全面而系统地看待问题。  顾问式培训贯穿项目实施全过程。

 GooAnn 与国内外的相关信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的

成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。  是国内大型企业实施开发安全案例最多的咨询公司。

第八章 ISO27001认证咨询

GooAnn 参照ISO27000信息安全管理体系国际标准，为企业提供信息安全管理体系实施服务，并获得相关信息安全证书，以专业的服务精神帮助企业建立符合国际标准要求的信息安全管理体系。

价值提升：

通过ISO27001认证能保证和证明组织所有的部门对信息安全的承诺。

通过ISO27001认证可改善全体的业绩、消除不信任感。

获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。

建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。 组织按照信息安全体系相关标准建立信息安全管理体系，会有一定的投入，但是若能通过认证机关的审核，获得认证，将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息安全性的依据、信任、信用及信心,使客户及利益相关方感受到组织对信息安全的承诺。 通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。 为什么选择我们：

与认证机构的紧密沟通，与中国信息安全认证中心、BSI、DNV、BV、等国际、国内著名的认证机构建立了战略合作关系。GooAnn 多名顾问是国外认证公司的兼职审核员。

GooAnn 由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、CISA、CISM、ITIL证书等。

GooAnn 顾问团队很好地把信息安全领域的专业技术及实践经验与以业务为驱动的管理咨询方法及体系实施特点有机结合在一起，即能够深入到细节，又能够站在高层次上全面而系统地看待问题。 顾问式培训贯穿项目实施全过程。

GooAnn 与国内外的信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。 是国内大型企业ISO27001认证咨询实施案例最多的咨询公司。 我们的承诺：

GooAnn 参照相关标准，建立内部信息安全管理体系。顾问必须遵守GooAnn 顾问职业道德规范保守客户商业机密。

专业顾问协助企业共同拟定推动计划，并定期进行进度跟踪、检查与改善。协助通过信息安全国际标准ISO 27001:2005的认证。

第九章 等级保护体系咨询

依照国家等级保护制度，帮助客户达到体系化的安全保障水平，采用体系化和等级化相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。

价值提升：

建立一套持续运行、涵盖所有安全内容的安全保障体系

等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求 整体性：结构化，系统化，内容全面

针对性：针对实际情况，符合业务特性和发展战略 持续性：可持续发展和完善，持续运行

为什么选择我们：

GooAnn 顾问参与等保标准的制定，对等保标准有深刻理解与实践。 与公安部和业务知名等保专家紧密沟通，及时了解等保相关最新动态。 第三方公司客观公正为客户提供产品解决方案。

有来自各大信息安全厂商顾问，对信息安全产品集成有丰富经验。 我们的承诺：

GooAnn参照信息安全国际标准，建立内部信息安全管理体系。顾问必须遵守GooAnn顾问职业道德规范保守客户商业机密。

我们的解决方案以客户利益出发，GooAnn做为第三方咨询公司绝不参与信息安全技术产品销售。

第十章 ISO20000认证咨询

提供基于PDCA用方法和相关国际标准的IT服务管理体系建设服务，并结合认证机构提供IT服务管理体系咨询服务，改变企业IT管理现状，提升企业IT管理水平，提升市场竞争力。 价值提升：

获得ISO20000相关证书：

意味着您的组织达到了世界公认的领先的IT服务管理标准。

意味着您的服务管理采用于IT服务管理最佳实践，确保为客户提供有效的、可靠的IT服务。

通过实施IT服务管理体系相关标准，能够有效改变企业IT管理现状，提升企业IT管理水平，使企业IT部门由被动转化为主动，而且还可获取大量的业务和财务受益。

ISO 20000标准还有助于在既定资源约束下为客户提供优质的服务以满足他们的业务需求，如专业、成本效益和风险受控的服务。 为什么选择我们：

与认证机构的紧密沟通，与BSI、DNV、BV、中国信息安全认证中心等国际、国内著名的认证机构建立了战略合作关系。

GooAnn 多名顾问是国外公司的兼职审核员。

GooAnn 一直致力于IT服务治理、风险控制、信息安全等在各个行业的应用，拥有数位资深顾问，拥有在金融、通讯、能源、制造业、BPO等各行业的成功实施经验，且可以结合客户自身特点，提供不同的咨询指导方式，帮助客户建立基于国际相关标准的IT服务管理体系，并有效地和客户原有管理模式和管理体系进行融合，使流程高效率低投入的运转。

第十一章 IT服务管理产品实施

依据ITIL、等国际标准，吸取业界广泛采用的IT管理、运营与规划领域的核心理念、方法论和最佳实践，为我们的客户提供完整的IT服务管理（ITSM）咨询和实施服务，降低服务成本、提高服务质量。

价值提升：

应用IT服务管理体系能够使组织建立起一套IT服务管理的最佳流程，从而系统地、有序地提供管理服务，为组织带来以下益处：

有效地管理服务以满足客户和业务需求

获得权威认证机构（由itSMF认可）颁发的证书，能够提升市场竞争优势 建立透明、优化的组织架构，降低IT运营成本 将服务管理与整体业务流程相结合 对服务管理进行测评及控制

建立清晰的、集中的关于服务流程和常规实践的文件系统 使员工提高对服务管理责任的理解 定期评估服务管理流程，维护和改进其有效性 有效的业务持续性管理 广泛认可的IT服务管理实践 易于和其他管理体系整合 为什么选择我们：

GooAnn ITIL部门合伙人都是国内最早从事ITIL咨询和培训的专家。顾问都是来自BSI 、IBM、西门子等业内知名企业。都具备扎实的专业技能、优秀的行业背景和丰富的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、IT服务管理体系主任审核员、ITIL实施证书、CISA、CISM等。 顾问式培训贯穿项目实施全过程。 我们的承诺：

GooAnn 参照IT服务管理体系相关标准，建立内部信息安全管理体系。顾问必须遵守GooAnn 顾问职业道德规范保守客户商业机密。

建立一套能够完全符合企业实际需求的IT服务管理体系，培养企业内部顾问，企业不会因为顾问结束服务后而不知如何实施与维护。

第十二章 信息安全管理体系咨询

信息安全管理体系咨询服务的目的就是根据ISO27001标准的要求，采用PDCA的过程模型，通过基于资产的风险评估，帮助客户建立文件化的信息安全管理体系，辅导客户在其组织范围内实施、运行、评审信息安全管理体系，从而确保客户信息系统的正常运行，提高服务竞争力，最终促进客户业务的开展。 信息安全管理体系建设咨询服务包括准备、风险评估、安全体系规划与设计、安全体系实施/调整/评审四个阶段，各个阶段如图所示:

第十三章 技术方案 1、信息安全风险管理系统

显著提高信息安全风险工作效率 轻松成为信息风险管理专家 产品简介：

信息安全风险管理系统（Goo-ISRM），通过信息化手段，在综合考虑成本效益的前提下，通过安全措施控制风险，使残余风险降低到组织可以接收的程度。本系统依据国内外有关信息安全相关标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程，从信息资产、信息系统、业务流程等多个维度，评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。风险管理的意义和作用在于发现和识别组织所有潜在的信息安全风险，通过科学统一的、可重复比对的方法论进行分析评价，进而为信息安全的投资、信息安全措施的选择、信息安全保障体系的建设做出合理的决策。

风险管理工作是一项费时、需要人力支持以及相关专业或业务知识支持的工作。信息安全风险管理系统（Goo-ISRM）不仅把技术人员从繁杂的资产统计、风险评估的工作过程中解脱出来，还可以完成一些人力无法完成的工作。 该软件的风险评估和风险管理过程既满足国际标准ISO27001、ISO27002和ISO27005的要求，也满足国家标准GB20984《信息安全风险评估规范》的要求，以及公安部等级保护测评要求。 信息安全风险管理系统（Goo-ISRM）的内部结构模块如下图所示：

产品特点：

* 专业丰富的知识经验库：GooAnn-信息安全风险管理系统汇聚了专家顾问多年的行业经验，形成了专业丰富的知识

经验库，使得用户无需具备较高专业知识也可以开展信息安全风险管理工作，降低了信息安全工作的门槛，提高信息安全工作的效率。

* 化繁为简的评估流程：GooAnn-信息安全风险管理系统将复杂的风险评估流程固化到系统之中。

* 高效可靠的风险管理：GooAnn-信息安全风险管理系统充分利用信息化手段来提高风险管理的工作效率，保障风险管理工作的质量。

* 持续有效的风险管控：GooAnn-信息安全风险管理系统中可以便宜的管理着历次的信息安全风险评估结果，清晰的了解风险变化趋势，准确的查阅出风险的控制措施和责任人员，实现持续有效的风险管控。 * 清晰多样的效果展示：GooAnn-信息安全风险管理系统中清晰多样的展现了组织当前的风险情况。 给用户带来的收益：

* 帮助企业轻松完成复杂的资产统计、风险评估工作，最大程度的为企业降低风险评估工作管理成本并提高效率。

2、合规管理系统——等级保护

对国家基本制度——等级保护建设工作的创新推动

产品简介：

等级保护合规管理系统是谷安天下根据国家信息系统等级保护标准研发的管理系统平台，专为等级保护项目的建设过程和管理过程提供工具和知识支持。 该软件平台满足

* GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》 * GB/T 22240-2008《信息安全技术 信息系统安全等级保护定级指南》 * 《信息安全技术 信息系统安全等级保护测评要求》（报批稿） * 《信息安全技术 信息系统等级保护测评过程指南》（报批稿） * 《信息安全技术 信息系统等级保护实施指南》（报批稿）

系统根据等级保护建设项目流程，分为等级、备案、现状调研、差距分析、体系建设、报告与报表等功能模块，提供数据信息管理、表单方案报告自动生成和数据汇总分析支撑。

产品特点：

* 为信息系统等级保护建设工作提供全方位工具支撑 * 加强信息系统等级保护建设工作的规范性，降低专业难度 * 减少信息系统强等级保护建设工作的工作量

* 将信息系统强等级保护建设工作过程、管理、工具一体化 * 以等级保护知识库为现状调研、差距分析、体系建设的核心基础 给用户带来的收益：

* 帮助企业在等级保护项目建设中降低管理成本，提高管理效率，增进管理效果

3、合规管理系统——ISO27000

有条不紊，让ISO27000合规不再无序

产品简介：

合规管理系统-ISO27000是谷安天下根据国际标准ISO27000而研发的管理系统软件，专为信息安全管理体系的建设和认证过程的管理提供信息化工具和知识支持。 该软件平台满足：

* GB/T 20984-2007《信息安全技术 信息安全风险评估规范》 * GB/T 18336—2001《信息安全技术 信息技术安全性评估准则》 * GB/T 19715.1-2005《信息技术 信息技术安全管理指南》 * NIST SP 800-26《信息技术系统安全自评估指南》 * NIST SP 800-30《信息技术系统风险管理指南》

* IDT ISO/IEC 27001:2005《信息技术 安全技术 信息安全管理体系要求》 * IDT ISO/IEC 27002:2005《信息技术 安全技术 信息安全管理实用细则》

系统根据信息安全管理体系建设流程，包括：基本信息、差距评估、风险评估、整改追踪、ISMS内审、ISMS文件管理、报告与报表等功能模块以及ISMS知识库，支持组织开展信息安全管理体系合规工作流程。系统提供数据信息管理、表单方案报告自动生成和数据汇总分析支撑 。

产品特点：

* 为信息安全管理体系建设工作提供全方位工具支撑 * 加强信息安全管理体系建设工作的规范性，降低专业难度

* 减少信息安全管理体系建设工作的工作量

* 将信息安全管理体系建设工作过程、管理、工具一体化

* 以ISMS知识库为差距评估、风险评估、体系建设、体系文档的编写提供知识基础 给用户带来的收益：

* 帮助企业在信息安全管理体系建设中降低管理成本，提高管理效率，增进管理效果

4、信息安全管理平台

国内首创，治理-风险-合规类平台产品（GRC）

产品简介：

谷安天下提供的信息安全管控工作平台是一款帮助企业建立、发布、执行与审核信息安全工作的平台工具，能够有效促进企业信息安全体系的建设与落地执行。该解决方案能够使组织采用信息化和自动化的方法在全组织范围内开发、维护和检查安全工作和安全管控措施的执行状况。

G（治理）信息安全管控工作平台支持信息安全管理工作的计划-执行-检查-改善（PDCA）四个阶段的工作过程： 在计划阶段，系统帮助管理部门建立安全管控体系，通过5P法（人员-规章制度-实施流程-产品工具-执行记录）规划具体安全工作，落实到各个部门；

在运行阶段：系统支持安全管控体系的运行，下发安全工作到各个部门并确认，定期/不定期发起安全工作自评估工作；

在检查阶段，系统支持开展安全检查工作，系统提供检查单，检查辅助等功能，来检验安全管控体系的落实情况； 在改进阶段，针对自评估、安全检查、风险控制等发现的问题都要进行跟踪，确保整改得以落实，同时针对整改完成后及时反馈至安全管控体系，这样形成闭环管理，并始终在改进同一个安全管控体系。

R（风险）信息安全管控平台在风险管理方面通过风险环境定义，风险识别与评价，整改跟踪，风险监控四个功能，来识别、管理、控制、监控企业内的风险，形成了风险管理闭环。

C（合规）信息安全管控平台在合规管理方面通过建立相关法律法规、行业要求、行业规范与组织安全管控体系之间的映射，实现动态合规，动态生成合规视图。 产品功能视图：

产品特点：

* 为安全管理工作的各个角色设计了不同的功能和使用界面，使客户在组织结构上自上到下实现安全管控体系的落地；

*集成协作和工作流引擎能够在可控的条件下实现安全管控体系的实施和落地，；

*内置强大复杂的知识库，安全管控体系最佳实践库，自动映射的合规库，安全检查知识库等；

*强大的分析和报告与图形仪表板，对每项安全工作进行全程跟踪管理，让管理人员通过系统的完全可视性，实现治理、风险与合规的全面掌控。 给客户带来的价值： *帮助组织快速建立管控体系

*推动管控体系落地，实现P-D-C-A改进过程 *规范安全检查/审计工作

*动态合规，极大简化管理者和执行者工作 *有效管理和监控风险

第十四章 解决方案

银行

方案背景：

目前，银行监管部门对IT风险监管的要求越来越高。在银行的企业风险管理中，银行三大风险分别为信用风险、市场风险和操作风险，当前IT风险已经成为操作风险的重要组成部分，监管部门针对银行IT风险近年来出台了多个的监管规范。

2009年3月银监会发布新版《商业银行信息系统风险管理指引》，系统地对银行IT风险的控制提出了基本要求，涉及信息科技管理的各个业务领域，重点提出了IT治理机制、IT风险管理的制度与流程、IT运维、应用开发、IT审计、客户数据保护方面的管控要求，可以有效地指导商业银行系统地对IT风险进行管理。

银监会还将正式发布 《商业银行信息科技治理建设指导意见》、《业务连续性监管指引》、 《外包监管指引》等专项指引，以指导商业银行全方位推进IT风险管理工作。

近年来，人民银行陆续发布了《银行信息系统信息安全等级保护实施指引》、《银行信息系统信息安全等级保护测评指南》等，对商业银行的信息安全提出的明确的要求。

此外，根据监管部门的规划，银行IT风险年度评级要纳入银行整体评级之中，银监会在十二五规划中还提出了“科技引领业务发展”的要求，包括IT风险在内的银行操作风险将变得和信用风险、市场风险一样重要，IT风险管理将得到银行高级管理层的真正重视。考虑到国内银行IT管理的成熟度普遍较低，因此，在未来8~10年内，国内银行界将掀起轰轰烈烈的IT风险管理热潮。

方案内容：

因此，在银行业信息科技风险体系建设时，要考虑到设计与建立适宜的科技风险管理体系与有效的IT内控制与信息安全控制机制，建立与巴塞尔新资本协议所要求的操作风险的接口，同时探索建立与信息科技风险相关的操作风险评估的实现方法。

证券

方案背景：

随着证券行业与业务的发展，业务资料的机密性、完整性及可用性对证券公司越来越重要。用户网上交易量的巨增，跨行业、跨市场、跨境大量业务的出现，需要更多地使用互联网进行在线交易和数据交换，因而，证券机构由于安全隔离不充分而面临的外部入侵风险将越来越大。一旦由于内部疏忽和外部入侵造成了业务敏感信息泄露，不仅造成证券公司的重大经济损失，而且对公司的声誉造成了极大的负面影响，这是证券公司当前普通面临的严峻挑战。

另一方面，为了保障证券期货信息系统安全运行，加强证券期货业信息安全管理工作，促进证券期货市场稳定健康发展，保护投资者合法权益，证监会根据《证券法》、《证券投资基金法》、《期货交易管理条例》及信息安全保障相关的法律、行政法规，制定并发布了《证券期货业信息安全保障管理办法（征求意见稿）》。 因此建立一整套适合证券行业的信息系统安全体系，并能够切实可行地贯彻在证券行业IT相关工作的各个环节，成为信息安全建设的战略目标。

保险

方案背景：

现代保险业的运转对信息化的依赖程度与日俱增，信息化不再只是一种辅助的手段，而是已成为保险机构的大动脉，一旦断裂，不但使保险机构遭受巨额经济损失，降低企业自身的声誉，而且将不可避免地对整个保险业的发展带来信任危机。随着我国保险业快速发展，保险公司信息化建设的需求和实践更加深入。因此，加强对保险业的信息安全建设，是保障保险业安全、稳健发展的现实需要。

保险业是信息密集型行业，保险信息系统作为国家重要信息系统之一，其信息安全和网络安全面临着严峻的考验。一旦信息安全受到损害，将严重扰乱国家经济秩序，威胁国家金融安全，而且由于保户数量巨大，将不可避免地损害广大被保险人的切身利益。

目前，各保险机构对于信息安全问题都给予重视和投入，并建立了信息安全管理办法。但由于各保险机构在规模实力、信息技术力量方面有很大差别，信息安全管理水平参差不齐，各保险机构的信息安全建设状况差别较大。缺乏统一规范和指导，保险业信息安全管理的整体水平有待提高。

2、通信行业解决方案

方案背景：

在电信运营市场竞争日趋激烈，通信技术不断更新发展，客户及市场日渐成熟的新形式下，中国移动、中国电信、中国联通均提出了加强企业信息化安全的总体目标，狠抓企业内部的信息安全建设，实现“以业务为导向、以客户为中心、以安全为保障”的服务模式。

网络与信息安全保障体系建设是一个长期的建设和改进过程，也需要有一定的衡量指标来度量网络与信息安全保障体系建设是否达到一定的水平，并以此作为改进的机会和方向。我们结合运营商行业集团要求、国内外标准及业界最佳安全实践为运营商量身定制了信息安全解决方案。

3、央企解决方案

方案背景：

目前国有中央企业信息化建设逐步完善，ERP、财务、预算、资金、决策支持、OA等各类主线业务系统陆续上线运行，对央企IT基础设施以及信息系统的支撑能力提出了更高的要求，也日益暴露出潜在的信息安全风险和隐患，需要从权威性、专业性和全面性出发，分析梳理信息安全现状，对存在的各类风险和隐患进行科学评估，并制定后续整改方案。

同时，国资委对中央企业的信息化水平评价指标中，信息安全、IT服务、IT审计都是重要的指标项。近年来，

国资委对信息安全管理、商业秘密保护、企业内部控制等都提出了明确的监管要求。

4、开发安全解决方案

软件开发安全方案背景：

应用软件占据了所有漏洞的92%” – NIST

“在过去10年中，那些重要应用软件的缺陷每年增长43%” – CERT “75%的黑客攻击发生在应用软件层面” – Gartner

“对Internet系统的攻击每隔39秒发生一次” –University of Maryland 以上这些权威数字清晰表明两方面的结论：

应用软件在漏洞比例中占据了绝对的比重，并且呈现快速增长趋势 应用软件已经成为黑客攻击的主要目标

近年来，国内外发生了许多由系统缺陷引发的重大信息安全事件层出不穷，让我们不得不正视应用安全问题。这些信息安全事件不但给相关公司在市场上造成了重大不良影响，事后的声誉弥补和系统修复花费了大量的人力，物力和财力。那么是否存在一种方法对这种情况进行改观呢？它既能大量减少花费，又能在系统生产阶段规避或大量减少这些信息安全事件.事实上，业界给出了一致的答案 -- 安全开发。安全开发是由微软、思科等软件业巨头在实践中总结提炼而出，是一种系统化的，成效卓著的应用安全解决方案，他将一系列的安全活动、安全管理实践和安全开发工具系统化的结合在一起，将应用软件中主要的安全漏洞在开发阶段予以解决。

软件开发中的安全问题

人员的问题：绝大多数的开发人员不具备安全需求分析，安全架构设计，安全编码和安全测试的能力，安全意识亦十分淡薄。

管理的问题：大多数的应用开发过程缺少安全关注，没有相应环节对安全问题进行研究和评审把关，忽视安全过程管理。

工具的问题：大多数的公司在开发过程中，没有使用相应安全工具，如威胁建模工具，代码自动化扫描工具等，无法有效发现和解决安全漏洞。在一些拥有安全开发工具的公司，其使用效率和有效性低下，亟待提高。

GooAnn软件开发安全解决方案： SDL开发安全咨询

SDL开发安全咨询重点参考了微软SDL相关推荐文档和《GB/T 20274 信息安全技术 信息系统安全保障评估框架》，为客户建立全面的信息系统生命周期安全保障体系框架。框架将考虑到各种信息系统的获取方式以及客户内部的组织机构特点，可以进行多种定制，具有高度的适应性。实施保障体系可以为客户明确信息系统生命周期各阶段的各种安全保障流程，方法，活动，以及实施这些流程，方法，活动的组织机构建设和责任划分。

源码安全测试服务

源码安全测试发现代码构造期间引入实现级别的安全漏洞，并为这些编码错误建议补救措施。代码审查对现有代码库进行分析，并对导致安全漏洞的代码构造进行定位。我们的专业安全团队将静态分析工具和\"眼睛\"手动审查相结合来尽可能揭示所有的可能存在的漏洞。

源码测试可以在以C, C++, C#, VB, VB.Net, Java, ABAP 语言以及包括 Ruby, PHP, AJAX, 和 Perl 在内的各种Web技术编写的应用程序下运行。代码审查的结果应以一份详细报告表现出来，概述代码问题，并提出提高安全性的修复方案。从而使开发团队能够更好地了解代码的问题区域，以便将来防止常见的逻辑错误及其他错误。

开发安全相关培训

谷安提供全方位的安全开发培训服务，包括安全开发SDL培训、安全意识培训，安全编码培训，渗透测试培训

课程名称 安全开发SDL培训 Web应用安通过本课程学习，学员可以了解web安全现状及趋势，可以了解一系列的web安全攻击原理及其防范对策，可以掌握对web系统安全进行监测的一课程内容与收益 通过本课程学习，学员可以了解安全开发的来龙去脉与核心思想。培训后，学员可以掌握执行安全开发SDL全过程的方法 全防护培训 Java安全编码培训 C/C++安全编码培训 渗透测试与黑客技能培训 系列方法。课程讲解结合实际操作演练，学员在课程结束后，不仅会有全面的web安全知识，并且具有实际的web安全操作能力。 本课程讲解如何编写安全的java代码，例如怎样在代码中避免一系列的注入攻击，跨站脚本攻击，缓冲区溢出攻击等，通过本课程，学员可以了解这些代码缺陷的原因，并且可以在今后的工作编写安全的java代码。 本课程讲解如何编写安全的C/C++代码，例如怎样在代码中避免一系列的注入攻击，跨站脚本攻击，缓冲区溢出攻击等，通过本课程，学员可以了解这些代码缺陷的原因，并且可以在今后的工作编写安全的C/C++代码 本课程讲解各种黑客攻击技巧，并进行上机实际操作。通过本培训课程，学员不仅可以掌握各种黑客攻击方法，还可以掌握黑客的思维方式，对所掌握的黑客攻击技巧加以灵活应用。

CheckMarx源码安全分析工具

CheckMarx CxSuite是目前最强有力的下一代静态源代码安全扫描测试方案，专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全缺陷。首创了以查询语言定位代码安全问题，其采用独特的词汇分析技术和CxQL专利查询技术，快速扫描和分析源代码中的安全漏洞和弱点，克服了传统静态分析工具误报率高和漏报的缺陷，扫描结果几乎达到误报为零的效果，不需要像传统的静态分析工具，需要花费巨大的人力、时间和管理成本消除扫描结果中的误报。

Checkmarx Cxsuite支持极其广泛的软件安全漏洞和安全弱点 、操作系统平台、多种编程语言和框架，无缝集成到软件开发生命周期。 Cxsuit的自动代码审计功能允许开发组织以最少的时间和成本去应对安全代码的挑战。

支持的开发语言及脚本语言：

C/C++，Java，Jscript，javascript, C#, VB.net, APEX等 集成的IDE开发环境： Microsoft Visual Studio，Eclipse

为什么选择GooAnn 解决方案特点

融合的咨询、服务、培训、工具的一体化解决方案；

汇聚了国内顶尖的应用安全核心团队； 具备丰富的客户服务经验与案例；

部分成功案例

中国农业银行 中国太平保险 北京银行 中国银联 华为 北京大学

中国信息安全测评中心 中国信息安全认证中心

5、大型企业解决方案

方案背景：

经济的全球化，技术变革的日新月异，已经使全世界的经济环境发生了深刻的变化。2008年，全球范围内的金融危机，对中国每一个大型企业提出了更高的要求。企业迫切需要改变经济和业务增长方式。在这一转型过程中，中国企业建立在旧有的资源高消耗、劳动力低成本上的竞争优势已经走到了时代的尽头。要开启一个新的时代，中国企业必须实现转型，而转型过程中必然有大批无法适应新时代来临的企业被淘汰出局。而信息技术则是帮助企业应对挑战的重要手段，信息化和工业化的融合势在必行。企业将自己越来越多的业务架构在了IT系统之上，而一旦信息系统安全发生问题，后果就难以想象。

由于种种原因，大型企业只注重企业网络系统的建设，而对安全问题没有引起足够的重视。这些对信息安全的漠视，或者是信息安全方案的不完善，将会给企业网络带来巨大的威胁。信息安全 “三分技术、七分管理”。在现在的信息安全技术环境下，攻击成本越来越小，防御成本越来越大，网络的安全环境并未有所好转，反而有日益恶化之虞。而企业整体安全的水平往往取决于最弱的一环，而不是最强的地方。在复杂的企业网络中，任何一个员工的疏漏、漏洞管理疏漏，都会给企业安全带来威胁。

在这种情况下，企业信息安全的集中管理是根本，并需要依靠全新的技术手段来实现。一般而言，企业建立集中管理的原则包括：基于风险管理，投入有的放矢;注重体系化采用系统方法，确保万无一失;注重策略和管理，建立文件管理体系等。

信息安全管理体系解决方案

目录

信息安全管理体系解决方案 ................................................................................................................. 1 第一章 安全风险评估服务 ............................................................................................................... 2 第二章 安全管理体系咨询 ............................................................................................................... 3 第三章 应用系统安全评估 ............................................................................................................... 4 第四章 敏感信息保护咨询 ............................................................................................................... 5 第五章 业务连续性咨询 ................................................................................................................... 6 第六章 IT审计服务 ........................................................................................................................... 7 第七章 SDL开发安全咨询 ................................................................................................................ 8 第八章 ISO27001认证咨询 ............................................................................................................... 9 第九章 等级保护体系咨询 ............................................................................................................. 10 第十章 ISO20000认证咨询 ............................................................................................................. 12 第十一章 IT服务管理产品实施 ..................................................................................................... 13 第十二章 信息安全管理体系咨询 ................................................................................................. 15 第十三章 技术方案 ......................................................................................................................... 17 1、信息安全风险管理系统 ......................................................................................................... 17 2、合规管理系统——等级保护 .................................................................................................. 18 3、合规管理系统——ISO27000 ................................................................................................... 19 4、信息安全管理平台 ................................................................................................................. 21 第十四章 解决方案 ......................................................................................................................... 22 1、金融行业解决方案 .................................................................................... 错误!未定义书签。 2、通信行业解决方案 ................................................................................................................. 24 3、央企解决方案 ......................................................................................................................... 24 4、开发安全解决方案 ................................................................................................................. 24 5、大型企业解决方案 ................................................................................................................. 28

第一章 安全风险评估服务

GooAnn 基于国际信息安全体系进行信息安全风险评估服务，协助企业识别信息资产及业务流程的信息安全弱点，并针对信息安全威胁提供信息安全风险处理规划建议。在企业实施信息安全管理之前的风险评估服务，可以帮助企业认识现状与信息安全标准及规范要求的差距，并可以协助客户制订改进规划。在需要时进一步提供信息安全保障体系或管理体系的咨询服务。

价值提升：

基于以上核心优势，GooAnn 的风险评估服务为客户提供额外的附加价值，包括：  基于行业风险知识库，评估的风险更加充分并具有针对性；

 基于全方位的风险评估，为客户识别IT组织规划、业务流程、信息系统及信息资产面对的IT风险；  结合管理与技术的风险评估结果，能够帮助客户更加有效地识别安全隐患，风险评估结论可以用于建立管理制度，并通过建立针对于技术评估发现的技术风险的控制措施，真正将风险处理落到实处；

 GooAnn 不但能够在风险评估中帮助客户发现问题，并且通过全面IT服务能力帮助客户真正解决涵盖IT治理、IT服务管理及信息安全方面的问题。 为什么选择我们：

 GooAnn 的风险评估服务具有不同于别家的特性和优势，以区隔通常的信息安全评估服务：

 基于不同行业，建立有基于GooAnn 自主知识产权的 IT风险管理软件的行业风险知识库；

GooAnn 的咨询服务涵盖IT内控、IT规划、软件开发、IT服务管理及信息安全。因此评估过程中，基于自身的综合IT管理咨询经验，能够更加充分有效地评估在组织结构、业务流程及信息资产等方面的信息安全风险，提供全方位立体的结论；

GooAnn 具有全面强大的后续服务能力，基于评估发现的风险，GooAnn 可以提供IT规划、IT服务管理、软件开发及信息安全管理体系建设服务。

第二章 安全管理体系咨询

GooAnn 依据信息安全相关国际标准，提供信息安全保障体系与信息安全管理体系（ISMS） 咨询和实施服务，从管理、技术、人员、过程的角度来定义、建立、实施信息安全体系，保障组织的信息安全 “ 滴水不漏 ”，确保组织业务的持续运营，维护企业的竞争优势。

价值提升：

通过建立信息安全管理体系，明确安全管理对于业务促进的重要作用，使安全风险和责任意识从传统的IT部门扩展到企业每个员工，提高了安全管理的整体效率；

通过PDCA过程方法和相应的组织保障体系，使企业安全管理从“无序、零散、被动”的风险补救行为转变为“系统、科学、连贯、主动”的风险驾驭状态；通过完善各类安全管理制度，使企业具有处理突发事件的能力，在制度上和管理上保证企业核心业务的可持续运行。

通过建立统一的信息安全策略指导各业务部门在处理业务敏感信息方面的行为，防止机密信息泄露；为业务系统的设计、开发和运行维护方面提供统一的安全规则。

信息安全管理体系（ISMS）体系的实施，不仅能改善企业的安全风险水平，而且能让企业拥有可控的风险管理架构、方法和保障落实机制。正是因为拥有这套机制，才确保企业在不断变化的安全风险环境中，始终能够通过科学的方法和持续的改进，达到管理者可接受的安全风险水平。 为什么选择我们：

GooAnn 由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、ITIL实施证书、CISA、CISM等。

GooAnn 顾问团队很好地把信息安全领域的专业技术及实践经验与以业务为驱动的管理咨询方法及体系实施特点有机结合在一起，即能够深入到细节，又能够站在高层次上全面而系统地看待问题。 顾问式培训贯穿项目实施全过程。

GooAnn 与国内外的信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。 是国内大型企业实施案例最多的咨询公司。 我们的承诺：

GooAnn 参照信息安全管理体系相关国际标准，建立内部信息安全管理体系。顾问必须遵守GooAnn 顾问职业道德规范保守客户商业机密。

帮助客户建立一套能够完全符合企业实际需求的信息安全管理体系，培养企业内部信息安全人员及内部顾问，企业不会因为顾问结束服务后而不知如何实施与维护。

第三章 应用系统安全评估

应用系统安全评估：

从系统研发、身份鉴别、访问控制、流程安全、异常处理、备份与故障恢复、密码安全、输入输出合法性、安全审计、数据安全性十个方面评价应用系统的整体安全，发现应用程序在设计、运营和管理方面存在的安全风险，并提供具体的修改意见，确保应用系统自身的安全。 业务流程安全评估：

从企业的业务层面来看，信息安全应当不仅仅是信息资产本身是否安全可靠，还要关注资产在其所运行的环境和经历的流程中保证安全，IT资产可能经历的流程有需要IT支撑的业务流程（如：跨部门业务处理流程），支撑业务过程的IT流程（即纵向IT过程，如：软件开发、测试和上线流程）。也有支撑IT本身的绩效及安全的IT流程（即横向IT过程，如变更管理过程）。

通过风险评估，分析其可能存在的风险和对业务影响，提出了有针对性的风险处置办法，建立适用的IT流程控制目标，及这些控制目标对应的控制实施、控制原因及绩效属性，以便于对风险的精细化管理。

价值提升：提高应用系统的安全性和稳定性，防止业务数据的丢失。规范客户的业务流程，优化客户的业务结构，有效提升客户的业务效率和降低客户的运营成本。

核心优势：国内首家开展面向业务层面安全保障的服务商，成熟的方法论和多个典型的具有代表性的案例。

第四章 敏感信息保护咨询

GooAnn敏感信息保护咨询，是在数据信息生命周期的各个环节，针对各类结构化、半结构化及非结构化的敏感数据，分析是否在数据获取、数据存储、数据使用、数据共享、数据归档、数据销毁过程中，可能由于技术缺陷、管理不到位、安全意识薄弱等原因，造成敏感数据泄漏事件的发生。

价值提升：

通过实施敏感信息保护咨询，可以根据存在的敏感信息保护风险，从策略管理与技术控制两个层面进行管控。 全面分析信息泄露途径，实施各种安全控制措施，从而达到早预防早控制的效果。 高度的适应性，可以根据客户的信息系统获取方式进行定制。

GooAnn简化安全管理。明确敏感信息防护的部门和角色来执行，分工明确，责任落实，便于量化考核。 为什么选择GooAnn：

GooAnn由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富

的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、ITIL实施证书、CISA、CISM等。

GooAnn顾问团队均具备十多年的安全经验，具备丰富的经验，既能够深入到细节，又能够站在高层次上全面而

系统地看待问题。

顾问式培训贯穿项目实施全过程。

GooAnn 与国内外的相关信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的

成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。 是国内大型企业实施敏感数据保护案例最多的咨询公司。

第五章 业务连续性咨询

GooAnn 基于BS 25999及BCI (Business Continuity Institute) Business Continuity Guide提供业务连续性管理咨询服务。内容包括日常运作流程设计、危机管理和大型灾害的应对计划和策略，业务持续性管理团队建设和咨询等诸多方面的服务，可以帮助客户从技术、流程、人员三方面提高业务持续能力，保证企业的正常运作和发展，不仅仅包括灾难恢复、危机管理、风险管理，也不仅仅是一个IT问题，而是企业整体运营战略的一部分。它的建立包括重新审视企业的组织结构操作流程，发现其中不能适应意外风险和灾难的弱点，通过改进和提高这些结构和流程来避免企业业务运行的中断和丢失。

通过对企业业务的深入评估，GooAnn与客户高层一起进行业务影响分析，并通过业务需求与客户一起识别业务连续性目标，诸如MTO (Maximum Tolerable Outage ) 、RTO (Recovery Time Objectives)以及RPO(Recovery Point Objectives)等关键指标。在业务连续性风险评估后，与客户一起建立业务连续性计划，并指导进行演练，最终协助客户建立业务连续性管理体系。 价值提升：

GooAnn与金融系统灾备中心建立有紧密合作关系。不但能够为客户提供业务连续性管理体系建设服务，并且可以与合作伙伴一起帮助客户基于业务连续性计划建立灾备中心，真正帮助客户把业务连续性管理落到实处。

为什么选择我们：

GooAnn 拥有自己的业务连续性管理专家， 精通BS 25999标准要求，并且具有实际建立业务连续性体系的实施经验。

第六章 IT审计服务

IT控制审计服务的目的就是根据组织的业务需求及相关法律法规要求，在Cobit框架下，参照与IT相关的具体控制标准、指南或最佳实践，从实体、IT流程、IT资源三个层面出发，采用访谈、核查、测试等信息收集手段，分析评价IT系统及其相关业务应用是否满足相关法规制度、标准指南及最佳实践要求，并针对不符合部分提出改进建议。IT控制审计服务包括内部审计策划、审计准备、审计对象调查、实施审计、审计发现复核及沟通、审计报告六大步骤，共分四个阶段，各个阶段说明如下：

为什么选择我们：

GooAnn合规部门拥有一支具有丰富的国内外IT治理、IT风险控制及信息安全咨询经验的专家顾问团队，主要由国际大型咨询顾问公司（毕马威/毕博/安永/埃森哲)及国内大型信息安全厂商公司人员组成。

拥有国内最大的信息安全培训公司和完善的知识库体系。

拥有自主研发的IT风险管理软件，提升项目实施效率降低了客户投入费用。 拥有众多实施案例。

国内最大的IT审计培训机构，拥有国内最强的IT审计的师资力量。

第七章 SDL开发安全咨询

GooAnn公司SDL开发安全咨询重点参考了微软SDL相关推荐文档1和《GB/T 20274 信息安全技术 信息系统安全保障评估框架》，为客户建立全面的信息系统生命周期安全保障体系框架。框架将考虑到各种信息系统的获取方式以及客户内部的组织机构特点，可以进行多种定制，具有高度的适应性。实施保障体系可以为客户明确信息系统生命周期各阶段的各种安全保障流程，方法，活动，以及实施这些流程，方法，活动的组织机构建设和责任划分。

价值提升：

 通过建立SDL开发安全体系，可以为信息系统提供全生命周期安全。安全保障贯穿信息系统生命周期始终，覆

盖信息系统生命周期各项活动。

为用户节省安全成本。可以在信息系统开始规划阶段就会全面考虑系统安全问题，实施各种安全控制措施，从而

达到早预防，节省成本的效果。

 高度的适应性，可以根据客户的信息系统获取方式进行定制。

简化安全管理。实施SDL后，信息系统生命周期各阶段的安全活动有明确的部门和角色来执行，分工明确，责任

落实，便于量化考核。

为什么选择我们：

 GooAnn 由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富

的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、ITIL实施证书、CISA、CISM等。

 GooAnn 开发安全顾问团队具备十多年的安全开发经验，具备丰富的经验，既能够深入到细节，又能够站在高层

次上全面而系统地看待问题。  顾问式培训贯穿项目实施全过程。

 GooAnn 与国内外的相关信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的

成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。  是国内大型企业实施开发安全案例最多的咨询公司。

第八章 ISO27001认证咨询

GooAnn 参照ISO27000信息安全管理体系国际标准，为企业提供信息安全管理体系实施服务，并获得相关信息安全证书，以专业的服务精神帮助企业建立符合国际标准要求的信息安全管理体系。

价值提升：

通过ISO27001认证能保证和证明组织所有的部门对信息安全的承诺。

通过ISO27001认证可改善全体的业绩、消除不信任感。

获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。

建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。 组织按照信息安全体系相关标准建立信息安全管理体系，会有一定的投入，但是若能通过认证机关的审核，获得认证，将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息安全性的依据、信任、信用及信心,使客户及利益相关方感受到组织对信息安全的承诺。 通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。 为什么选择我们：

与认证机构的紧密沟通，与中国信息安全认证中心、BSI、DNV、BV、等国际、国内著名的认证机构建立了战略合作关系。GooAnn 多名顾问是国外认证公司的兼职审核员。

GooAnn 由一批高素质、专业化的骨干力量凝聚而成，顾问人员都具备扎实的专业技能、优秀的行业背景和丰富的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、BS7799主任审核员、CISA、CISM、ITIL证书等。

GooAnn 顾问团队很好地把信息安全领域的专业技术及实践经验与以业务为驱动的管理咨询方法及体系实施特点有机结合在一起，即能够深入到细节，又能够站在高层次上全面而系统地看待问题。 顾问式培训贯穿项目实施全过程。

GooAnn 与国内外的信息安全产品与解决方案提供商保持着良好的沟通，了解业界最新的技术动态和最新的成果，同时GooAnn 也担任国内多家著名安全公司的安全管理咨询指导工作。 是国内大型企业ISO27001认证咨询实施案例最多的咨询公司。 我们的承诺：

GooAnn 参照相关标准，建立内部信息安全管理体系。顾问必须遵守GooAnn 顾问职业道德规范保守客户商业机密。

专业顾问协助企业共同拟定推动计划，并定期进行进度跟踪、检查与改善。协助通过信息安全国际标准ISO 27001:2005的认证。

第九章 等级保护体系咨询

依照国家等级保护制度，帮助客户达到体系化的安全保障水平，采用体系化和等级化相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。

价值提升：

建立一套持续运行、涵盖所有安全内容的安全保障体系

等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求 整体性：结构化，系统化，内容全面

针对性：针对实际情况，符合业务特性和发展战略 持续性：可持续发展和完善，持续运行

为什么选择我们：

GooAnn 顾问参与等保标准的制定，对等保标准有深刻理解与实践。 与公安部和业务知名等保专家紧密沟通，及时了解等保相关最新动态。 第三方公司客观公正为客户提供产品解决方案。

有来自各大信息安全厂商顾问，对信息安全产品集成有丰富经验。 我们的承诺：

GooAnn参照信息安全国际标准，建立内部信息安全管理体系。顾问必须遵守GooAnn顾问职业道德规范保守客户商业机密。

我们的解决方案以客户利益出发，GooAnn做为第三方咨询公司绝不参与信息安全技术产品销售。

第十章 ISO20000认证咨询

提供基于PDCA用方法和相关国际标准的IT服务管理体系建设服务，并结合认证机构提供IT服务管理体系咨询服务，改变企业IT管理现状，提升企业IT管理水平，提升市场竞争力。 价值提升：

获得ISO20000相关证书：

意味着您的组织达到了世界公认的领先的IT服务管理标准。

意味着您的服务管理采用于IT服务管理最佳实践，确保为客户提供有效的、可靠的IT服务。

通过实施IT服务管理体系相关标准，能够有效改变企业IT管理现状，提升企业IT管理水平，使企业IT部门由被动转化为主动，而且还可获取大量的业务和财务受益。

ISO 20000标准还有助于在既定资源约束下为客户提供优质的服务以满足他们的业务需求，如专业、成本效益和风险受控的服务。 为什么选择我们：

与认证机构的紧密沟通，与BSI、DNV、BV、中国信息安全认证中心等国际、国内著名的认证机构建立了战略合作关系。

GooAnn 多名顾问是国外公司的兼职审核员。

GooAnn 一直致力于IT服务治理、风险控制、信息安全等在各个行业的应用，拥有数位资深顾问，拥有在金融、通讯、能源、制造业、BPO等各行业的成功实施经验，且可以结合客户自身特点，提供不同的咨询指导方式，帮助客户建立基于国际相关标准的IT服务管理体系，并有效地和客户原有管理模式和管理体系进行融合，使流程高效率低投入的运转。

第十一章 IT服务管理产品实施

依据ITIL、等国际标准，吸取业界广泛采用的IT管理、运营与规划领域的核心理念、方法论和最佳实践，为我们的客户提供完整的IT服务管理（ITSM）咨询和实施服务，降低服务成本、提高服务质量。

价值提升：

应用IT服务管理体系能够使组织建立起一套IT服务管理的最佳流程，从而系统地、有序地提供管理服务，为组织带来以下益处：

有效地管理服务以满足客户和业务需求

获得权威认证机构（由itSMF认可）颁发的证书，能够提升市场竞争优势 建立透明、优化的组织架构，降低IT运营成本 将服务管理与整体业务流程相结合 对服务管理进行测评及控制

建立清晰的、集中的关于服务流程和常规实践的文件系统 使员工提高对服务管理责任的理解 定期评估服务管理流程，维护和改进其有效性 有效的业务持续性管理 广泛认可的IT服务管理实践 易于和其他管理体系整合 为什么选择我们：

GooAnn ITIL部门合伙人都是国内最早从事ITIL咨询和培训的专家。顾问都是来自BSI 、IBM、西门子等业内知名企业。都具备扎实的专业技能、优秀的行业背景和丰富的项目实施经验，同时具备诸多国际上最为认可的高级资质，包括CISSP、IT服务管理体系主任审核员、ITIL实施证书、CISA、CISM等。 顾问式培训贯穿项目实施全过程。 我们的承诺：

GooAnn 参照IT服务管理体系相关标准，建立内部信息安全管理体系。顾问必须遵守GooAnn 顾问职业道德规范保守客户商业机密。

建立一套能够完全符合企业实际需求的IT服务管理体系，培养企业内部顾问，企业不会因为顾问结束服务后而不知如何实施与维护。

第十二章 信息安全管理体系咨询

信息安全管理体系咨询服务的目的就是根据ISO27001标准的要求，采用PDCA的过程模型，通过基于资产的风险评估，帮助客户建立文件化的信息安全管理体系，辅导客户在其组织范围内实施、运行、评审信息安全管理体系，从而确保客户信息系统的正常运行，提高服务竞争力，最终促进客户业务的开展。 信息安全管理体系建设咨询服务包括准备、风险评估、安全体系规划与设计、安全体系实施/调整/评审四个阶段，各个阶段如图所示:

第十三章 技术方案 1、信息安全风险管理系统

显著提高信息安全风险工作效率 轻松成为信息风险管理专家 产品简介：

信息安全风险管理系统（Goo-ISRM），通过信息化手段，在综合考虑成本效益的前提下，通过安全措施控制风险，使残余风险降低到组织可以接收的程度。本系统依据国内外有关信息安全相关标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程，从信息资产、信息系统、业务流程等多个维度，评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。风险管理的意义和作用在于发现和识别组织所有潜在的信息安全风险，通过科学统一的、可重复比对的方法论进行分析评价，进而为信息安全的投资、信息安全措施的选择、信息安全保障体系的建设做出合理的决策。

风险管理工作是一项费时、需要人力支持以及相关专业或业务知识支持的工作。信息安全风险管理系统（Goo-ISRM）不仅把技术人员从繁杂的资产统计、风险评估的工作过程中解脱出来，还可以完成一些人力无法完成的工作。 该软件的风险评估和风险管理过程既满足国际标准ISO27001、ISO27002和ISO27005的要求，也满足国家标准GB20984《信息安全风险评估规范》的要求，以及公安部等级保护测评要求。 信息安全风险管理系统（Goo-ISRM）的内部结构模块如下图所示：

产品特点：

* 专业丰富的知识经验库：GooAnn-信息安全风险管理系统汇聚了专家顾问多年的行业经验，形成了专业丰富的知识

经验库，使得用户无需具备较高专业知识也可以开展信息安全风险管理工作，降低了信息安全工作的门槛，提高信息安全工作的效率。

* 化繁为简的评估流程：GooAnn-信息安全风险管理系统将复杂的风险评估流程固化到系统之中。

* 高效可靠的风险管理：GooAnn-信息安全风险管理系统充分利用信息化手段来提高风险管理的工作效率，保障风险管理工作的质量。

* 持续有效的风险管控：GooAnn-信息安全风险管理系统中可以便宜的管理着历次的信息安全风险评估结果，清晰的了解风险变化趋势，准确的查阅出风险的控制措施和责任人员，实现持续有效的风险管控。 * 清晰多样的效果展示：GooAnn-信息安全风险管理系统中清晰多样的展现了组织当前的风险情况。 给用户带来的收益：

* 帮助企业轻松完成复杂的资产统计、风险评估工作，最大程度的为企业降低风险评估工作管理成本并提高效率。

2、合规管理系统——等级保护

对国家基本制度——等级保护建设工作的创新推动

产品简介：

等级保护合规管理系统是谷安天下根据国家信息系统等级保护标准研发的管理系统平台，专为等级保护项目的建设过程和管理过程提供工具和知识支持。 该软件平台满足

* GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》 * GB/T 22240-2008《信息安全技术 信息系统安全等级保护定级指南》 * 《信息安全技术 信息系统安全等级保护测评要求》（报批稿） * 《信息安全技术 信息系统等级保护测评过程指南》（报批稿） * 《信息安全技术 信息系统等级保护实施指南》（报批稿）

系统根据等级保护建设项目流程，分为等级、备案、现状调研、差距分析、体系建设、报告与报表等功能模块，提供数据信息管理、表单方案报告自动生成和数据汇总分析支撑。

产品特点：

* 为信息系统等级保护建设工作提供全方位工具支撑 * 加强信息系统等级保护建设工作的规范性，降低专业难度 * 减少信息系统强等级保护建设工作的工作量

* 将信息系统强等级保护建设工作过程、管理、工具一体化 * 以等级保护知识库为现状调研、差距分析、体系建设的核心基础 给用户带来的收益：

* 帮助企业在等级保护项目建设中降低管理成本，提高管理效率，增进管理效果

3、合规管理系统——ISO27000

有条不紊，让ISO27000合规不再无序

产品简介：

合规管理系统-ISO27000是谷安天下根据国际标准ISO27000而研发的管理系统软件，专为信息安全管理体系的建设和认证过程的管理提供信息化工具和知识支持。 该软件平台满足：

* GB/T 20984-2007《信息安全技术 信息安全风险评估规范》 * GB/T 18336—2001《信息安全技术 信息技术安全性评估准则》 * GB/T 19715.1-2005《信息技术 信息技术安全管理指南》 * NIST SP 800-26《信息技术系统安全自评估指南》 * NIST SP 800-30《信息技术系统风险管理指南》

* IDT ISO/IEC 27001:2005《信息技术 安全技术 信息安全管理体系要求》 * IDT ISO/IEC 27002:2005《信息技术 安全技术 信息安全管理实用细则》

系统根据信息安全管理体系建设流程，包括：基本信息、差距评估、风险评估、整改追踪、ISMS内审、ISMS文件管理、报告与报表等功能模块以及ISMS知识库，支持组织开展信息安全管理体系合规工作流程。系统提供数据信息管理、表单方案报告自动生成和数据汇总分析支撑 。

产品特点：

* 为信息安全管理体系建设工作提供全方位工具支撑 * 加强信息安全管理体系建设工作的规范性，降低专业难度

* 减少信息安全管理体系建设工作的工作量

* 将信息安全管理体系建设工作过程、管理、工具一体化

* 以ISMS知识库为差距评估、风险评估、体系建设、体系文档的编写提供知识基础 给用户带来的收益：

* 帮助企业在信息安全管理体系建设中降低管理成本，提高管理效率，增进管理效果

4、信息安全管理平台

国内首创，治理-风险-合规类平台产品（GRC）

产品简介：

谷安天下提供的信息安全管控工作平台是一款帮助企业建立、发布、执行与审核信息安全工作的平台工具，能够有效促进企业信息安全体系的建设与落地执行。该解决方案能够使组织采用信息化和自动化的方法在全组织范围内开发、维护和检查安全工作和安全管控措施的执行状况。

G（治理）信息安全管控工作平台支持信息安全管理工作的计划-执行-检查-改善（PDCA）四个阶段的工作过程： 在计划阶段，系统帮助管理部门建立安全管控体系，通过5P法（人员-规章制度-实施流程-产品工具-执行记录）规划具体安全工作，落实到各个部门；

在运行阶段：系统支持安全管控体系的运行，下发安全工作到各个部门并确认，定期/不定期发起安全工作自评估工作；

在检查阶段，系统支持开展安全检查工作，系统提供检查单，检查辅助等功能，来检验安全管控体系的落实情况； 在改进阶段，针对自评估、安全检查、风险控制等发现的问题都要进行跟踪，确保整改得以落实，同时针对整改完成后及时反馈至安全管控体系，这样形成闭环管理，并始终在改进同一个安全管控体系。

R（风险）信息安全管控平台在风险管理方面通过风险环境定义，风险识别与评价，整改跟踪，风险监控四个功能，来识别、管理、控制、监控企业内的风险，形成了风险管理闭环。

C（合规）信息安全管控平台在合规管理方面通过建立相关法律法规、行业要求、行业规范与组织安全管控体系之间的映射，实现动态合规，动态生成合规视图。 产品功能视图：

产品特点：

* 为安全管理工作的各个角色设计了不同的功能和使用界面，使客户在组织结构上自上到下实现安全管控体系的落地；

*集成协作和工作流引擎能够在可控的条件下实现安全管控体系的实施和落地，；

*内置强大复杂的知识库，安全管控体系最佳实践库，自动映射的合规库，安全检查知识库等；

*强大的分析和报告与图形仪表板，对每项安全工作进行全程跟踪管理，让管理人员通过系统的完全可视性，实现治理、风险与合规的全面掌控。 给客户带来的价值： *帮助组织快速建立管控体系

*推动管控体系落地，实现P-D-C-A改进过程 *规范安全检查/审计工作

*动态合规，极大简化管理者和执行者工作 *有效管理和监控风险

第十四章 解决方案

银行

方案背景：

目前，银行监管部门对IT风险监管的要求越来越高。在银行的企业风险管理中，银行三大风险分别为信用风险、市场风险和操作风险，当前IT风险已经成为操作风险的重要组成部分，监管部门针对银行IT风险近年来出台了多个的监管规范。

2009年3月银监会发布新版《商业银行信息系统风险管理指引》，系统地对银行IT风险的控制提出了基本要求，涉及信息科技管理的各个业务领域，重点提出了IT治理机制、IT风险管理的制度与流程、IT运维、应用开发、IT审计、客户数据保护方面的管控要求，可以有效地指导商业银行系统地对IT风险进行管理。

银监会还将正式发布 《商业银行信息科技治理建设指导意见》、《业务连续性监管指引》、 《外包监管指引》等专项指引，以指导商业银行全方位推进IT风险管理工作。

近年来，人民银行陆续发布了《银行信息系统信息安全等级保护实施指引》、《银行信息系统信息安全等级保护测评指南》等，对商业银行的信息安全提出的明确的要求。

此外，根据监管部门的规划，银行IT风险年度评级要纳入银行整体评级之中，银监会在十二五规划中还提出了“科技引领业务发展”的要求，包括IT风险在内的银行操作风险将变得和信用风险、市场风险一样重要，IT风险管理将得到银行高级管理层的真正重视。考虑到国内银行IT管理的成熟度普遍较低，因此，在未来8~10年内，国内银行界将掀起轰轰烈烈的IT风险管理热潮。

方案内容：

因此，在银行业信息科技风险体系建设时，要考虑到设计与建立适宜的科技风险管理体系与有效的IT内控制与信息安全控制机制，建立与巴塞尔新资本协议所要求的操作风险的接口，同时探索建立与信息科技风险相关的操作风险评估的实现方法。

证券

方案背景：

随着证券行业与业务的发展，业务资料的机密性、完整性及可用性对证券公司越来越重要。用户网上交易量的巨增，跨行业、跨市场、跨境大量业务的出现，需要更多地使用互联网进行在线交易和数据交换，因而，证券机构由于安全隔离不充分而面临的外部入侵风险将越来越大。一旦由于内部疏忽和外部入侵造成了业务敏感信息泄露，不仅造成证券公司的重大经济损失，而且对公司的声誉造成了极大的负面影响，这是证券公司当前普通面临的严峻挑战。

另一方面，为了保障证券期货信息系统安全运行，加强证券期货业信息安全管理工作，促进证券期货市场稳定健康发展，保护投资者合法权益，证监会根据《证券法》、《证券投资基金法》、《期货交易管理条例》及信息安全保障相关的法律、行政法规，制定并发布了《证券期货业信息安全保障管理办法（征求意见稿）》。 因此建立一整套适合证券行业的信息系统安全体系，并能够切实可行地贯彻在证券行业IT相关工作的各个环节，成为信息安全建设的战略目标。

保险

方案背景：

现代保险业的运转对信息化的依赖程度与日俱增，信息化不再只是一种辅助的手段，而是已成为保险机构的大动脉，一旦断裂，不但使保险机构遭受巨额经济损失，降低企业自身的声誉，而且将不可避免地对整个保险业的发展带来信任危机。随着我国保险业快速发展，保险公司信息化建设的需求和实践更加深入。因此，加强对保险业的信息安全建设，是保障保险业安全、稳健发展的现实需要。

保险业是信息密集型行业，保险信息系统作为国家重要信息系统之一，其信息安全和网络安全面临着严峻的考验。一旦信息安全受到损害，将严重扰乱国家经济秩序，威胁国家金融安全，而且由于保户数量巨大，将不可避免地损害广大被保险人的切身利益。

目前，各保险机构对于信息安全问题都给予重视和投入，并建立了信息安全管理办法。但由于各保险机构在规模实力、信息技术力量方面有很大差别，信息安全管理水平参差不齐，各保险机构的信息安全建设状况差别较大。缺乏统一规范和指导，保险业信息安全管理的整体水平有待提高。

2、通信行业解决方案

方案背景：

在电信运营市场竞争日趋激烈，通信技术不断更新发展，客户及市场日渐成熟的新形式下，中国移动、中国电信、中国联通均提出了加强企业信息化安全的总体目标，狠抓企业内部的信息安全建设，实现“以业务为导向、以客户为中心、以安全为保障”的服务模式。

网络与信息安全保障体系建设是一个长期的建设和改进过程，也需要有一定的衡量指标来度量网络与信息安全保障体系建设是否达到一定的水平，并以此作为改进的机会和方向。我们结合运营商行业集团要求、国内外标准及业界最佳安全实践为运营商量身定制了信息安全解决方案。

3、央企解决方案

方案背景：

目前国有中央企业信息化建设逐步完善，ERP、财务、预算、资金、决策支持、OA等各类主线业务系统陆续上线运行，对央企IT基础设施以及信息系统的支撑能力提出了更高的要求，也日益暴露出潜在的信息安全风险和隐患，需要从权威性、专业性和全面性出发，分析梳理信息安全现状，对存在的各类风险和隐患进行科学评估，并制定后续整改方案。

同时，国资委对中央企业的信息化水平评价指标中，信息安全、IT服务、IT审计都是重要的指标项。近年来，

国资委对信息安全管理、商业秘密保护、企业内部控制等都提出了明确的监管要求。

4、开发安全解决方案

软件开发安全方案背景：

应用软件占据了所有漏洞的92%” – NIST

“在过去10年中，那些重要应用软件的缺陷每年增长43%” – CERT “75%的黑客攻击发生在应用软件层面” – Gartner

“对Internet系统的攻击每隔39秒发生一次” –University of Maryland 以上这些权威数字清晰表明两方面的结论：

应用软件在漏洞比例中占据了绝对的比重，并且呈现快速增长趋势 应用软件已经成为黑客攻击的主要目标

近年来，国内外发生了许多由系统缺陷引发的重大信息安全事件层出不穷，让我们不得不正视应用安全问题。这些信息安全事件不但给相关公司在市场上造成了重大不良影响，事后的声誉弥补和系统修复花费了大量的人力，物力和财力。那么是否存在一种方法对这种情况进行改观呢？它既能大量减少花费，又能在系统生产阶段规避或大量减少这些信息安全事件.事实上，业界给出了一致的答案 -- 安全开发。安全开发是由微软、思科等软件业巨头在实践中总结提炼而出，是一种系统化的，成效卓著的应用安全解决方案，他将一系列的安全活动、安全管理实践和安全开发工具系统化的结合在一起，将应用软件中主要的安全漏洞在开发阶段予以解决。

软件开发中的安全问题

人员的问题：绝大多数的开发人员不具备安全需求分析，安全架构设计，安全编码和安全测试的能力，安全意识亦十分淡薄。

管理的问题：大多数的应用开发过程缺少安全关注，没有相应环节对安全问题进行研究和评审把关，忽视安全过程管理。

工具的问题：大多数的公司在开发过程中，没有使用相应安全工具，如威胁建模工具，代码自动化扫描工具等，无法有效发现和解决安全漏洞。在一些拥有安全开发工具的公司，其使用效率和有效性低下，亟待提高。

GooAnn软件开发安全解决方案： SDL开发安全咨询

SDL开发安全咨询重点参考了微软SDL相关推荐文档和《GB/T 20274 信息安全技术 信息系统安全保障评估框架》，为客户建立全面的信息系统生命周期安全保障体系框架。框架将考虑到各种信息系统的获取方式以及客户内部的组织机构特点，可以进行多种定制，具有高度的适应性。实施保障体系可以为客户明确信息系统生命周期各阶段的各种安全保障流程，方法，活动，以及实施这些流程，方法，活动的组织机构建设和责任划分。

源码安全测试服务

源码安全测试发现代码构造期间引入实现级别的安全漏洞，并为这些编码错误建议补救措施。代码审查对现有代码库进行分析，并对导致安全漏洞的代码构造进行定位。我们的专业安全团队将静态分析工具和\"眼睛\"手动审查相结合来尽可能揭示所有的可能存在的漏洞。

源码测试可以在以C, C++, C#, VB, VB.Net, Java, ABAP 语言以及包括 Ruby, PHP, AJAX, 和 Perl 在内的各种Web技术编写的应用程序下运行。代码审查的结果应以一份详细报告表现出来，概述代码问题，并提出提高安全性的修复方案。从而使开发团队能够更好地了解代码的问题区域，以便将来防止常见的逻辑错误及其他错误。

开发安全相关培训

谷安提供全方位的安全开发培训服务，包括安全开发SDL培训、安全意识培训，安全编码培训，渗透测试培训

课程名称 安全开发SDL培训 Web应用安通过本课程学习，学员可以了解web安全现状及趋势，可以了解一系列的web安全攻击原理及其防范对策，可以掌握对web系统安全进行监测的一课程内容与收益 通过本课程学习，学员可以了解安全开发的来龙去脉与核心思想。培训后，学员可以掌握执行安全开发SDL全过程的方法 全防护培训 Java安全编码培训 C/C++安全编码培训 渗透测试与黑客技能培训 系列方法。课程讲解结合实际操作演练，学员在课程结束后，不仅会有全面的web安全知识，并且具有实际的web安全操作能力。 本课程讲解如何编写安全的java代码，例如怎样在代码中避免一系列的注入攻击，跨站脚本攻击，缓冲区溢出攻击等，通过本课程，学员可以了解这些代码缺陷的原因，并且可以在今后的工作编写安全的java代码。 本课程讲解如何编写安全的C/C++代码，例如怎样在代码中避免一系列的注入攻击，跨站脚本攻击，缓冲区溢出攻击等，通过本课程，学员可以了解这些代码缺陷的原因，并且可以在今后的工作编写安全的C/C++代码 本课程讲解各种黑客攻击技巧，并进行上机实际操作。通过本培训课程，学员不仅可以掌握各种黑客攻击方法，还可以掌握黑客的思维方式，对所掌握的黑客攻击技巧加以灵活应用。

CheckMarx源码安全分析工具

CheckMarx CxSuite是目前最强有力的下一代静态源代码安全扫描测试方案，专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全缺陷。首创了以查询语言定位代码安全问题，其采用独特的词汇分析技术和CxQL专利查询技术，快速扫描和分析源代码中的安全漏洞和弱点，克服了传统静态分析工具误报率高和漏报的缺陷，扫描结果几乎达到误报为零的效果，不需要像传统的静态分析工具，需要花费巨大的人力、时间和管理成本消除扫描结果中的误报。

Checkmarx Cxsuite支持极其广泛的软件安全漏洞和安全弱点 、操作系统平台、多种编程语言和框架，无缝集成到软件开发生命周期。 Cxsuit的自动代码审计功能允许开发组织以最少的时间和成本去应对安全代码的挑战。

支持的开发语言及脚本语言：

C/C++，Java，Jscript，javascript, C#, VB.net, APEX等 集成的IDE开发环境： Microsoft Visual Studio，Eclipse

为什么选择GooAnn 解决方案特点

融合的咨询、服务、培训、工具的一体化解决方案；

汇聚了国内顶尖的应用安全核心团队； 具备丰富的客户服务经验与案例；

部分成功案例

中国农业银行 中国太平保险 北京银行 中国银联 华为 北京大学

中国信息安全测评中心 中国信息安全认证中心

5、大型企业解决方案

方案背景：

经济的全球化，技术变革的日新月异，已经使全世界的经济环境发生了深刻的变化。2008年，全球范围内的金融危机，对中国每一个大型企业提出了更高的要求。企业迫切需要改变经济和业务增长方式。在这一转型过程中，中国企业建立在旧有的资源高消耗、劳动力低成本上的竞争优势已经走到了时代的尽头。要开启一个新的时代，中国企业必须实现转型，而转型过程中必然有大批无法适应新时代来临的企业被淘汰出局。而信息技术则是帮助企业应对挑战的重要手段，信息化和工业化的融合势在必行。企业将自己越来越多的业务架构在了IT系统之上，而一旦信息系统安全发生问题，后果就难以想象。

由于种种原因，大型企业只注重企业网络系统的建设，而对安全问题没有引起足够的重视。这些对信息安全的漠视，或者是信息安全方案的不完善，将会给企业网络带来巨大的威胁。信息安全 “三分技术、七分管理”。在现在的信息安全技术环境下，攻击成本越来越小，防御成本越来越大，网络的安全环境并未有所好转，反而有日益恶化之虞。而企业整体安全的水平往往取决于最弱的一环，而不是最强的地方。在复杂的企业网络中，任何一个员工的疏漏、漏洞管理疏漏，都会给企业安全带来威胁。

在这种情况下，企业信息安全的集中管理是根本，并需要依靠全新的技术手段来实现。一般而言，企业建立集中管理的原则包括：基于风险管理，投入有的放矢;注重体系化采用系统方法，确保万无一失;注重策略和管理，建立文件管理体系等。

芜湖市社保局信息安全解决方案

北京天融信科技有限公司

2012年3月

目 录

第一章 项目背景 ····························1.1 信息安全严峻形势 ·······················1.2 单位职能简介 ·························第二章 安全风险分析 ··························59596061

2.1 风险分析方法 ························· 61 2.2 网络安全弱点分析 ······················· 62

2.2.1 网络结构脆弱性 ····················· 62 2.2.2 系统和应用脆弱性 ···················· 62 2.2.3 网络访问脆弱性 ····················· 63 2.2.4 硬件平台脆弱性 ····················· 64 2.2.5 管理脆弱性 ·······················2.3 网络安全威胁分析 ·······················2.3.1 威胁来源 ························2.3.2 非人为的安全威胁 ····················2.3.3 人为的安全威胁 ·····················2.4 网络安全风险分析 ·······················2.4.1 物理安全风险 ······················2.4.2 终端安全风险 ······················2.4.3 网络安全风险 ······················2.4.4 系统安全风险 ······················2.4.5 管理安全风险 ······················第三章 建设需求分析 ··························3.1 自身安全防护的需求 ······················3.1.1 互联网出口单点故障 ···················3.1.2 对基础防护平台的需求 ··················3.1.3 对统一运维审计平台的需求 ················3.1.4 对集中安全管理的需求 ··················3.1.5 管理安全的需求 ·····················3.2 芜湖社保局的符合政策层面的需求 ················第四章 整体方案设计 ··························4.1 方案设计原则 ·························4.2 信息安全规划图 ························4.3 规划内容简介 ·························第五章 方案详细设计 ··························64 65

65 65 66 67

67 67 68 69 69

70

70

70 71 72 72 73 73 74

74 75 75 76

5.1 详细设计概述 ························· 76 5.2 计算环境防护 ························· 76

5.2.1 终端安全管理 ······················ 76 5.3 安全边界防护 ························· 78

5.3.1 防火墙部署 ······················· 78 5.3.2 网闸部署 ························ 79 5.4 保护通信网络 ························· 80

5.4.1 负载均衡系统 ······················ 80 5.4.2 安全运维审计 ······················ 83 5.5 安全管理平台 ························· 85

5.5.1 安全措施选择 ······················ 85 5.5.2 安全措施整合 ······················ 86 5.5.3 技术部署选择 ······················ 86 5.5.4 安全策略设计 ······················ 86 5.5.5 安全功能要求 ······················ 87

第六章 天融信公司简介 ························· 88

项目背景

信息安全严峻形势

近几年以来全球网络威胁持续增长，网络罪犯在恶意代码和服务的开发、传播和使用上愈发趋于专业化，目的愈发商业化，行为愈发组织化，手段愈发多样化。网络犯罪背后的黑色产业链获利能力大幅提高，互联网的无国界性使得全球各国用户都避之不及，造成的损失也随着范围的扩散而快速增多。

二十年前，黑客攻击网络、窃取信息主要是为了好奇或者想炫耀自己的能力。而今，网络攻击更多的是获取经济利益的目的，已经形成了黑色产业链。这意味着，网络安全形势已日趋严峻。

此外，近年来随着全球网络通讯技术高度发展，带宽的不断增加，互联网兼容人数迅速增长。与此同时，公民的隐私及安全问题很突出，特别是涉及公众个人的隐私泄露，如银行卡及手机支付等个人账号密码信息的窃取，给公众带来很多损害，引起群众的强烈反响。

新兴IT技术的应用，物联网、云计算、移动互联、社交网络以及三网融合等等技术正成为IT领域发展的新动向，引起了企业的关注、用户的关注。但是它们的发展正在成为病毒泛滥和黑客攻击的新的温床。而且一旦出现问题，其破坏力将会越来越大。

近年来，利用信息网络的安全漏洞或后门窃取、倒卖涉密信息获取利益，或在互联网上恶意公开个人私密信息的事件频繁发生；而传统网络IP化、设备实现软件化、3G业务等新技术、新形式的出现，电信网、互联网和重要信息系统面临的安全形势越来越严峻。尤其是公共电话网络，已逐渐变成继互联网、短信网络之后一个新的骚扰平台，仅在2008年有记录可查的骚扰电话数量就超过9000万次，而未被投诉和发现的骚扰电话数量则至少超过2亿次。

信息安全问题随着国家信息化战略的推广凸显其重要地位。信息安全不仅给国家信息化进程带来现实的挑战，而且基于信息网络的渗透、攻防、电子战等概念，也影响到国防安全，给国家与国家之间带来新的竞争关系，直接影响到国家安全和社会稳定。

芜湖市人力资源与社会保障局各层领导对安全工作非常重视，从逐年加大在安全建设方面的投资，进行了一系列的安全组织、制度、管理和技术方面的安全建设工作，在近期要求的安全工作包括加强基础安全管理，包括落实组织保障和安全责任；逐步开展安全建设。要从网络、主机、应用系统不同层面建设多层次、立体化安全防护体系；要集中统一建设必备的网络安全防护手段；在划分安全区域，统一边界的基础上，实现重点防护和隔离。

单位职能简介

芜湖市人力资源和社会保障局主要职责

 贯彻执行国家、省人力资源和社会保障工作方针政策和法律法规；起

草有关地方性法规规章草案；

 拟订人力资源和社会保障事业发展规划、政策并组织实施和监督检查。

拟订并组织实施全市人力资源发展规划、需求目录工作，拟定人才流动政策法规，负责全市人才开发、人才引进工作，建立全市统一规范的人力资源市场，促进人力资源合理、有效配置。

 负责促进就业工作，拟订统筹城乡就业发展的规划和政策，完善公共

就业服务体系；建立就业援助制度，完善职业资格制度；统筹建立面向城乡劳动者的职业培训制度。

安全风险分析

风险分析方法

分析安全风险的方法，主要参考ISO13335，从信息资产、漏洞（弱点）、威胁等多个因素进行全面的评估，具体分析模型如下图所表示：

图3.3.1 ISO13335以风险为核心的安全模型示意图

说明：

➢ 芜湖社保局所面临的安全风险的大小，是与芜湖社保局所拥有的信息资产对应的，因为

信息资产拥有价值，这种价值则增加了安全风险的等级； ➢ 芜湖社保局信息资产总是存在一些弱点（即漏洞），这些弱点被安全威胁利用后，造成

安全风险的增加；

➢ 针对芜湖社保局的信息资产，总是存在一些人为的或者非人为的威胁因素，而威胁只有

利用了信息资产的弱点之后，才会转换为对信息资产的风险； ➢ 因为芜湖社保局存在安全风险，为降低安全风险，芜湖社保局必须采取必要的安全措施；

同时安全风险的存在使芜湖社保局产生了对安全的需求，安全需求只有在采取了相当的安全措施以后，才能够被满足。

下面，我们将根据所描述的信息资产分析的结果，进一步从安全威胁、安全弱点进行全面的分析，从而归纳出芜湖社保局信息网所存在的安全风险，并引导出芜湖社保局信息网对安全防护体系的需求。

网络安全弱点分析

弱点是资产本身存在的，可以被威胁利用、引起组织信息资产或业务目标的损害，一般的，安全风险总是针对系统的安全弱点，所谓安全弱点就是系统在某个方面存在缺陷，而有可能被系统的攻击者利用，对系统发起攻击。所以安全弱点是分析安全风险的首要因素，针对芜湖社保局信息网络，我们分析其存在以下的安全弱点：

网络结构脆弱性

针对芜湖社保局信息网络的基础协议-TCP/IP，由于其自身的缺陷，也使芜湖社保局信息网络存在先天的一些弱点。TCP/IP协议在产生之处，还没有全面考虑安全方面的因素，因而在安全方面存在先天的不足，典型利用TCP/IP协议的弱点，发起攻击行为的就是“拒绝服务攻击”，比如“SYN FLOOD”攻击，它就是利用了TCP协议中，建立可靠连接所必须经过的三次握手行为，攻击者只向攻击目标发送带“SYN”表示的数据包，导致攻击目标一味地等待发起连接请求的源地址再次发送确认信息，而导致系统处于长期等待状态，直至系统的资源耗尽，而无法正常处理其他合法的连接请求。

利用TCP/IP协议弱点例子还有就是IP欺骗攻击，IP欺骗由若干步骤组成，首先，目标主机已经选定。其次，信任模式已被发现，并找到了一个被目标主机信任的主机。黑客为了进行IP欺骗，进行以下工作：使得被信任的主机丧失工作能力，同时采样目标主机发出的TCP序列号，猜测出它的数据序列号。然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。使被信任主机丧失工作能力，攻击者将要代替真正的被信任主机。

系统和应用脆弱性

芜湖社保局信息网络运行有大量的重要服务器，众所周知，每一种操作系统都包含有漏洞（如下表所示），开发厂商也会定期发布不订包。如何对重要服务器进行漏洞扫描、入侵检测、补丁管理成为日常安全维护的重要工作。芜湖社保局信息网络网络内部缺乏有效的设备和系统对系统级、应用级的脆弱性进行定期分析、评估和管理。 ID 名称 说明举例 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 Backdoor Brute Force CGI-BIN Daemons DCOM DNS E-mail Firewalls FTP Information Gathering 各种后门和远程控制软件，例如BO、Netbus等 各种浏览器相关的弱点，例如自动执行移动代码等 各种CGI-BIN相关的弱点，例如PHF、wwwboard等 服务器中各种监守程序产生弱点，例如amd, nntp等 微软公司DCOM控件产生的相关弱点 DNS服务相关弱点，例如BIND 8.2远程溢出弱点 各种邮件服务器、客户端相关的安全弱点，例如Qpopper的远程溢出弱点 各种防火墙及其代理产生的安全弱点，例如Gauntlet Firewall CyberPatrol内容检查弱点 各种FTP服务器和客户端相关程序或配置弱点，例如WuFTPD site exec弱点 各种由于协议或配置不当造成信息泄露弱点，例如finger或rstat的输出 Instant Messaging 当前各种即时消息传递工具相关弱点，例如OICQ、IRC、Yahoo messager等相关弱点 LDAP Network Network Sniffers NFS NIS NT Related Router/Switch RPC Shares SNMP UDP Web Scan X Windows Management LDAP服务相关的安全弱点， 网络层协议处理不当引发的安全弱点，例如LAND攻击弱点 各种窃听器相关的安全弱点，例如NetXRay访问控制弱点 NFS服务相关的安全弱点，例如NFS信任关系弱点 NIS服务相关的安全弱点，例如知道NIS域名后可以猜测口令弱点 微软公司NT操作系统相关安全弱点 各种路由器、交换机等网络设备中存在的安全弱点，例如Cisco IOS 10.3存在拒绝服务攻击弱点 RPC（SUN公司远程过程调用）服务相关的弱点，例如rpc.ttdbserver远程缓冲区溢出弱点 文件共享服务相关的安全弱点，i.e. NetBIOS/Samba等相关弱点，例如Samba缓冲区溢出弱点 SNMP协议相关的安全弱点，例如利用“public”进行SNMP_SET操作 UDP协议相关弱点，例如允许端口扫描等 Web服务器相关安全弱点，例如IIS ASP dot弱点 X服务相关安全弱点 安全管理类漏洞 Protocol Spoofing 协议中存在的安全弱点，例如TCP序列号猜测弱点 网络访问脆弱性

网络的访问策略是不是合理，访问是不是有序，访问的目标资源是否受控等问题，都会

直接影响到政府机关网络的稳定与安全。如果存在网络内访问混乱，外来人员也很容易接入网络，地址被随意使用等问题，将导致网络难以管理，网络工作效率下将，无法部署安全设备、对攻击者也无法进行追踪审计。

这就要求系统能够对网络中发生的各种访问，乃至网络中传递的数据包进行很好的监控，特别是针对芜湖社保局信息网络，由于其既存在对内提供服务的设备，也存在对外提供服务的设备，这些服务器在安装的过程中有可能没有关闭掉一些毫无用处的服务，或者即使关闭了这些服务，也因为操作系统自身存在的漏洞而给攻击者可乘之机，特别是对互联网提供服务的设备，很容易成为政务网络的“安全短板”，被来自互联网的攻击者利用，从而发起对内网的攻击。

同时我们还看到，芜湖社保局信息网络除了对互联网存在接口以外，对其他专网也存在较多的接口，这些外联系统对于芜湖社保局来讲，是不可信任或者不可管理的，那么如果对这些外联系统发出的访问范围，访问内容脱离控制，后果是不堪设想的。

硬件平台脆弱性

硬件平台的脆弱性指硬件平台包括硬件平台的纠错能力，它的脆弱性直接影响着软件资产和数据资产的强壮性。具体而言，软件是安装在服务器、工作站等硬件之上的，所以软件资产的安全威胁和脆弱性也就必然要包括这些硬件所受的技术故障、人员错误以及物理和环境的威胁和脆弱性。而数据是依赖于软件而存在的，也就是说数据资产也间接地依赖于某些硬件，因此数据资产的安全威胁和脆弱性也显然包括了服务器、工作站等硬件所受的技术故障、人员错误以及物理和环境的威胁和脆弱性。

管理脆弱性

再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环。我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。对于芜湖社保局信息网络，在管理方面的弱点包括：

✓ 缺乏针对性的安全策略和安全技术规范，安全管理和运行维护的组织不健全。 ✓ 缺乏有效的安全监控措施和评估检查制度，无法有效的发现和监控安全事件，不利

于及时发现安全事件并采取相应的措施。 ✓ 缺乏完善的灾难应急计划和制度，对突发的安全事件没有制定有效的应对措施，没

有有效的对安全事件的处理流程和制度。

随着芜湖社保局信息网络安全建设的深入，将有越来越多的安全防护产品被引入到网络中，这样多种技术和产品多层面、分布式共存，不同厂商的不同产品产生大量不同形式的安全信息，使得整个系统的相互协作和统一管理成为安全管理的难点。整体的安全管理体制也变得非常复杂，其系统配置、规则设置、反应处理、设备管理、运行管理的复杂性所带来的管理成本和管理难度直接制约了安全防御体系的有效性，因而导致了网络安全的重大隐患。

网络安全威胁分析

威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件,包括威胁来源和威胁手段，网络安全所面临的威胁来自很多方面，针对芜湖社保局信息网络，其面临的安全威胁有非人为威胁和人为的威胁。

威胁来源

➢

对于芜湖社保局信息网络的主要威胁来源包括：

敌对国家：由政府主导，有很好的组织和充足的财力； 利用国外的服务引擎来收集来自被认为是敌对国的信息。而芜湖社保局是国家职能的重要组成，其信息网络与国际互联网连接，必然会成为敌对国家的关注焦点；

黑客：攻击网络和系统以发现在运行系统中的弱点或其它错误的一些个人，这些人员可能在系统外部，也可能在系统内部，其对网络的攻击带有很强的预谋性，往往对系统的正常运行造成很大的破坏，或者造成机密信息的外泄。

恐怖分子/计算机恐怖分子：使用暴力或威胁使用暴力以迫使政府或社会同意其条件的恐怖分子或团伙，这些组织或团体会采用收买的方式，利用社交工程侵入芜湖社保局信息网络，造成涉密信息外泄。

国际媒体：向纸业和娱乐业的媒体收集并散发——有时是非授权的——新闻的组织。包括收集任何时间关于任何一个人的任意一件新闻，特别是针对政府涉密类信息，有着狂热的执着。

有怨言的员工：怀有危害局域网络或系统想法的气愤、不满的员工，或者是一些技术爱好者，希望尝试一些技术，这些员工由于掌握了芜湖社保局信息网络的一些访问资源（比如访问帐号，访问某些业务系统的权限，IP地址等信息），所以攻击成功的可能性很高，并且对系统的破坏也很可观。

➢

➢

➢

➢

非人为的安全威胁

非人为的安全威胁主要分为两类：一类是自然灾难，另一类为技术局限性。

典型的自然灾难包括：地震、水灾、火灾、风灾等。自然灾难可以对网络系统造成毁灭性的破坏，其特点是：发生概率小，但后果严重。

技术局限性体现在网络技术本身的局限性、漏洞和缺陷，典型的漏洞包括：链路老化、电磁辐射、设备以外鼓掌、自然威胁可能来自于各种自然灾害、恶劣的场地环境、电磁辐射和电磁干扰、网络设备自然老化等。这些无目的的事件，有时会直接威胁网络的安全，影响信息的存储媒体。

对于芜湖社保局信息网络来讲，技术局限性还表现在系统、硬件、软件的设计上可能存在存在，实现上存在不足，配置上没有完全执行即定的安全策略等，这些都将威胁到系统运行的强壮性、可靠性和安全性。

信息系统的高度复杂性以及信息技术的高速发展和变化，使得信息系统的技术局限性成为严重威胁信息系统安全的重大隐患。

人为的安全威胁

主要指对网络的人为攻击。这些攻击手段都是通过过寻找系统的弱点，以便达到破坏、欺骗、窃取数据等目的，造成经济上和政治上不可估量的损失。一般来讲，这种人为的安全威胁主要包括被动攻击、主动攻击、邻近攻击、分发攻击和内部威胁。

被动攻击 被动攻击包括分析通信流，监视未被保护的通讯，解密弱加密通讯，获取鉴别信息（比如口令）。被动攻击可能造成在没有得到用户同意或告知用户的情况下，将信息或文件泄露给攻击者。

对于芜湖社保局信息网络来讲，被动攻击的行为可能有以下几种形式： ➢ 监听网络中传输的数据包；

➢ 对明文传递的数据、报文进行截取或篡改；

➢ 对加密不善的帐号和口令进行截取，从而在网络内获得更大的访问权限； ➢ 对网络中存在漏洞的操作系统进行探测； ➢ 对信息进行未授权的访问；

主动攻击 主动攻击包括试图阻断或攻破保护机制、引入恶意代码、偷窃或篡改信息。主动进攻可能造成数据资料的泄露和散播，或导致拒绝服务以及数据的篡改。

对于芜湖社保局信息网络来讲，主动攻击的行为可能有以下几种形式：

➢

假冒：某个实体假装成另外一个实体，以便使一线的防卫者相信它是一个合法的实体，取得合法用户的权利和特权，这是侵入安全防线最为常用的方法； ➢ 截取：企图截取并修改在芜湖社保局信息网络内传输的数据；

➢ 欺骗：进行IP地址欺骗，在设备之间发布假路由，虚假ARP数据包，比如一个互联

网上的攻击者将数据包的源地址更改为内网地址，就有可能越过外网边界部署的问控制设备；

➢ 重放：攻击者对截获的某次合法数据进行拷贝，以后出于非法目的而重新发送。 ➢ 篡改：通信数据在传输过程中被改变、删除或替代。 ➢ 业务拒绝：对通信设备的使用和管理被无条件地拒绝。

绝对防止主动攻击是十分困难的，因为需要随时随地对通信设备和通信线路进行物理保护，因此抗击主动攻击的主要途径是检测，以及对此攻击造成的破坏进行恢复。

物理临近攻击 是指一未被授权的个人，在物理意义上接近网络、系统或设备，试图改变、收集信息或拒绝他人对信息的访问。

对于芜湖社保局信息网络来讲，物理临近攻击的行为可能有以下几种形式： ➢ 对骨干交换设备的毁坏、偷窃； ➢ 对配置数据的收集、修改；

➢ 对通信线路物理破坏或数据阻塞，影响网络的可用性； ➢ 利用电磁干扰，破坏线路的传输。

分发攻击 指在工厂生产或分销过程中对硬件和软件进行的恶意修改。这种攻击可能是在产品里引入恶意代码，比如后门。

对于芜湖社保局信息网络来讲，物理临近攻击的行为可能有以下几种形式：

➢ ➢

利用制造商在设备上进行软硬件配置修改； 在设备分发、安装时修改软、硬件配置。 内部人员攻击 内部人员攻击可以分为恶意或无恶意攻击。前者指内部人员对信息的恶意破坏或不当使用，或使他人的访问遭到拒绝；后者指由于粗心、无知以及其它非恶意的原因而造成的破坏。

对于芜湖社保局信息网络来讲，内部人员攻击的行为可能有以下几种形式：

➢ 恶意修改设备的配置参数，比如修改网络中部署的防火墙访问控制策略，扩大自己的

访问权限；

➢ 恶意进行设备、传输线路的物理损坏和破坏；

➢ 出于粗心、好奇或技术尝试进行无意的配置，这种行为往往对组织造成严重的后果，

而且防范难度比较高。

网络安全风险分析

根据业界的标准，我们知道，信息安全的三个特征是： ➢ 保密性：确保只有被授权的人才可以访问信息；

➢ 完整性：确保信息和信息处理方法的准确性和完整性；

➢ 可用性：确保在需要时，被授权的用户可以访问信息和相关的资产。

那么，信息安全风险是指信息资产的保密性、完整性和可用性遭到破坏的可能性。在考虑芜湖社保局所面临的信息安全风险时，我们主要考虑那些对组织有负面影响的事件，安全风险的存在来源于两个方面，一是信息资产的价值，所谓信息资产的价值就是指因信息的泄露、系统的停滞或网络的破坏，对组织正常运作所带来的损失，信息资产价值越高，那么安全风险也必然越高；二是威胁的来源和威胁转换为攻击的可能，综合上述的弱点分析，威胁分析，我们意识到，芜湖社保局信息网络存在以下的安全风险。

物理安全风险

➢ 地震、水灾、火灾等环境事故造成整个系统毁灭；

➢ 电源故障造成设备断电以至操作系统引导失败或数据库信息丢失； ➢ 设备被盗、被毁造成数据丢失或信息泄漏； ➢ 电磁辐射可能造成数据信息被窃取或偷阅； ➢ 不严格的机房管理制度使系统遭受物理临近攻击；

终端安全风险

风险还体现在对网络内一些突发事件很难进行范围的控制，比如对于芜湖社保局的某台机器，如果遭受蠕虫病毒的感染后（可能在下载文件或者拷贝文件的过程中感染），由于大多数机器处于一个大的网络，因此导致蠕虫病毒在网络

中很容易大面积传播；

终端的自身安全性，是决定了芜湖社保局信息网络是否能够持续、稳定支撑上层业务应用的关键，而我们看到，芜湖社保局内终端的数量众多，管理起来难度很大，很容易造成安全管理的盲区，而一旦形成安全管理的盲区后，对整个系统都会造成不良的后果。（比如被档案馆信息网络外部的访问者利用，形成进一步攻击档案馆信息网络的跳板）

终端访问行为的安全性，也是芜湖社保局信息网络整体安全性确保的关键因素，特别是终端在访问互联网时，是否访问了不安全的网站，造成恶意脚本的传播，或者终端使用者由于好奇心的驱使，在信息网络内尝试一些攻击工具，从而造成大面积的网络瘫痪或服务停滞等后果。

终端行为的安全性，还体现在对外存设备的使用方面，即终端使用者是否利用外存，拷贝了一些敏感信息，造成信息外泄；是否安装了一些非法的软件，进入系统；

终端自身的强壮性：终端是否有足够的抗攻击能力，是否能够检测出针对终端攻击行为，并能够保护终端设备的可用性。

网络安全风险

➢ 非授权的访问和攻击行为，或者假冒身份、伪装类攻击行为，对芜湖社保局信息网络形成渗透，获取关键信息；

➢ DOS/DDOS攻击、DNS欺骗攻击，会造成服务器服务的中断，影响业务的正常运行；

➢ 内部用户通过Sniffer等嗅探程序在网络内部抓包，获得系统用户名和口令等关键信息或其他机密数据，进而假冒内部合法身份进行非法登录，窃取内部网重要信息；

➢ 内部用户通过扫描软件或取其他用户系统或服务器的各种信息，并利用这些信息对整个网络或其他系统进行破坏。

➢ 病毒，尤其是蠕虫病毒爆发，将使整个网络处于瘫痪状态； ➢ 目前，垃圾邮件已经成为网络安全的又一种重大威胁，垃圾邮件或邮件炸弹的爆发将使网络带宽大量被消耗，邮件服务器系统资源消耗殆尽，

不能够进行正常的邮件转发服务。

系统安全风险

目前芜湖社保局信息网络中所使用的操作系统主要是WINDOWS系统，我们知道，WINDOWS系统中存在众多的安全隐患，这些安全隐患很容易被攻击者利用，对芜湖社保局信息网络造成很大的破坏，严重地将导致系统的崩溃和瘫痪。

系统自身存在的安全漏洞，还将导致系统被非法接管，将导致芜湖社保局大量的信息被非法获得，从而导致无法估量的损失。

管理安全风险

对于管理风险包括：

➢ 内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。

➢ 机房重地却被任何人都可以进进出出，来去自由。存有恶意的入侵者便有机会得到入侵的条件。

➢ 内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的弱点。利用网络开些小玩笑，甚至破坏，如传出至关重要的信息、错误地进入数据库、删除数据等等。这些都将给网络造成极大的安全风险。

➢ 非法人员进入重要部门或机房，非法获得资料或对设备进行破坏； ➢ 员工有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上，可能被外部人员轻易偷取或被内部其他员工窃取并传播出去造成泄密，因为缺少必要的访问控制策略。

➢ 大量的人为因素的安全隐患，为破坏着进入系统造成了便利，例如：

1. 部分系统管理员密码强度不够，或没有设置密码； 2. 密码和帐号名相同或者采用帐号名翻转作为密码； 3. 采用电话号码作为密码；

4. 采用单一字符集作为密码，例如“qqqqqq”； 5. 密码的复杂程度不够；

管理是网络中安全得到保证的重要组成部分，是防止来自内部网络入侵必须的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。即除了从技术上下功夫外，还得依靠安全管理技术来实现。

建设需求分析

作为政府机关的重要组成，芜湖社保局的安全建设需求可分为政策性需求和自身防护需求两个方面，结合前面所描述的芜湖社保局的安全风险，我们归纳出系统对安全防护系统的建设需求包括：

自身安全防护的需求

根据芜湖社保局的网络结构，和一些主要的应用系统，以及前期对芜湖社保局信息网络的交流结果，从自身安全防护的角度出发，总结出芜湖社保局信息网络存在以下的安全防护需求：

互联网出口单点故障

当只有一条链路接入Internet时，单点故障往往会引起整个网络的瘫痪，并导致重要应用无法交付。为了确保网络传输不间断，采用多条广域网链路并与不同的网络服务提供商（ISP）连接的方式得到普遍应用，这种连接方式称为多重链路网络架构。多重链路的架构提供了更可靠、效能更好的网络传输。在此架构下，一旦某一链路发生错误，网络仍能继续运作；另外，由于网络的总带宽来自于各条链路带宽的总和，因此效能更好。

 二合一负载均衡：

集成高性能链路负载均衡和服务器负载均衡，保证应用数据在错综复杂的网络中获得最佳传输路径。完善的链路、应用服务健康检查机制，及时诊断出不能正常工作或负载过重的链路和服务器。能够根据应用、链路的健康状况，

智能调整流量在多链路、多服务器之间的分配，并自动完成切换，提升网络和应用的可用性。

 精确带宽控制提升带宽价值

端到端精确带宽控制与均衡技术避免了传统队列机制所带来的广域网下行带宽的浪费，真正实现优先级管理、带宽限制、带宽保障以及带宽的公平使用，提升带宽价值。

 高可用性保证

实现多机集群及Active-Standby、Active-Acitive模式的高可用性部署，最大化应用运行时间，避免了设备或网络故障对业务的影响。

 强化的安全防护

状态检测防火墙实现高性能的访问控制，双向NAT支持多对一、一对多和一对一等多种方式的地址转换，IP/MAC地址自动扫描及绑定，有效抵御数十种网络攻击。

 易于使用及部署

透明、路由及混合接入模式最大程度上减少用户网络结构的调整。负载均衡算法的自适应管理、加速模块的“一键开关”设置、内置中国ISP地址列表、服务器故障自动通知及应用故障自动修复等降低了用户配置管理的复杂性。基于网络层的加速、压缩对应用完全透明。多设备部署时，不需要对“对端设备”做任何配置，设备之间也不需要做任何隧道配置，便于轻松扩展并实现大规模自动部署。多设备自动探测技术实现多设备自动协调工作达到最优效果。

对基础防护平台的需求

✓ 对不同区域的设备进行逻辑隔离，并执行严格的访问控制策略； ✓ 针对网络访问数据包进行细化分析与检测，判断是否存在攻击行为； ✓ 系统具备防范病毒、蠕虫和恶意代码的能力；

✓ 系统应能够对内部员工的操作行为进行实时检测，能够针对存在安全威

胁的行为提出报警，并进行记录；

✓ 系统应能够对芜湖社保局信息网络内的终端操作系统补丁进行统一升

级；

✓ 芜湖社保局内的终端应具备良好的病毒防护能力；

✓ 内部服务器区域与互联网办公网之间物理隔离； ✓ 系统应具备自动发现自身弱点的能力；

对统一运维审计平台的需求

✓ 为使内部网络设备和服务器需要更安全的环境，保护企业内部网络设备

及服务器资源的安全性，使得企业内部网络管理合理化和专业化。 ✓ 对用户的网络设备、服务器等核心资产的常用访问方式，例如Telnet、

SSH、ftp等字符终端访问及RDP、XWindow等图形终端访问，通过协议代理的技术进行访问控制和审计，实现对用户行为的控制、追踪、判定，满足企业内部网络对资源安全性的要求。

✓ 能够拦截非法访问和恶意攻击，对不合法命令进行阻断、过滤掉所有对

目标设备的非法访问行为。

✓ 具备强大的输入输出审计功能，不仅能够详细记录用户操作的每一条指

令，而且能够将所有的输出信息全部记录下来；具备审计回放功能，能够模拟用户的在线操作过程，丰富和完善了网络的内控审计功能。 ✓ 还具备图形终端操作的审计功能，能够对多平台的多种图形终端操作做

审计，例如Windows平台的RDP方式图形终端操作，Linux/Unix平台的X11方式图形终端操作。

✓ 为方便系统管理员查看审计信息，提供了审计查看检索功能。系统管理

员可以通过多种查询条件查看审计信息。

对集中安全管理的需求

✓ 能够实现对芜湖社保局信息网络内终端的集中管理； ✓ 能够实现对终端操作系统补丁的统一升级； ✓ 能够实现对终端系统进程的集中监控； ✓ 能够实现对全网设备的集中管理； ✓ 能够实现对全网访问事件的集中监管；

✓ 能够实现对全网安全事件的关联分析，发生安全事故时，能够准确定位

事故产生的节点和事故原因；

✓ 能够实现安全策略的统一管理。

管理安全的需求

如前所术，管理安全主要考虑的是“人”的因素，即在安全建设及维护的过程中，如何通过“人”来对技术进行安全的“操作”和“配置”，针对芜湖社保局，在管理方面存在以下需求：

➢ 需要建立完善的机房管理制度，确保重要的安全区域内，只有授权的人员才能进入； ➢ 需要建立完善的网络与安全人员管理制度； ➢ 需要定期进行培训，提升网络管理人员的技术水平，还需要对全员进行安全意识的

培训；

➢ 需要对重要的信息资产进行统一的管理，防范信息资产被破坏或窃取； ➢ 需要对异构的信息安全平台实现统一的策略下发，安全事件集中关联分析，从而最

大化发挥信息安全平台的防护功效。

芜湖社保局的符合政策层面的需求

正如前面所述，芜湖社保局是芜湖市市政府的重要组成部门，其信息化建设必须符合国家和芜湖市政府的相关规定和要求，从安全的角度，必须遵从国信办、信息化办公室等相关部门的要求，对信息安全保障体系进行全面的规划和设计，符合相关标准，确保芜湖社保局信息网络安全保障体系的广度和深度。从政策符合性的角度，芜湖社保局信息安全保障体系建设必须要满足：

➢ 安全方案的设计及规划，必须符合《电子政务信息安全保障技术框架》

的思路与技术要求；

➢ 从信息资产划分和等级化保护设计的角度，必须符合《计算机信息系统

安全保护等级划分准则》GB17859的技术准则，同时必须符合《北京市党政机关网络于信息系统安全定级指南》的等级建议，对芜湖社保局信息资产进行分级分类的设计和规划；

➢ 从等级化防护体系设计的角度，必须符合《关于信息安全等级保护工作

的实施意见》（公通字[2004]66号文件）对应五个等级信息系统防护体系的要求，必须符合《北京市党政机关信息系统安全测评规范》中，对不同级别信息网络的安全基本要求，重点针对芜湖社保局的实际情况，进行定级，并根据定级结果和对相应等级的技术要，进行安全防护系统

的划分；

➢ 方案的建设原则必须以《国家信息化领导小组关于加强信息安全保障工

作的意见》（中办[2003]27号文件）的指导思想为准则，坚持“积极防御、综合防范”的建设方针，坚持“用发展的思路来解决信息安全问题，从发展中求安全，以安全保发展”的设计思路，规划并实施芜湖社保局整体安全保障体系。

整体方案设计

1.1 方案设计原则

根据网络的多样性和灵活性，以及面向互联网开发的特殊性，本方案在设计中将严格遵

循以下原则：

需求、风险、代价平衡分析的原则 对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络要进行实际的研究(包括任务、性能、结构、可靠性、可维护性等)，并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定系统的安全策略；

综合性、整体性原则 应运用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度(人员审查、工作流程、维护保障制度等)以及专业技术措施(访问控制、加密技术、认证技术、攻出检测技术、容错、防病毒等)。一个较好的安全措施往往是多种方法适当综合的应用结果。

计算机网络的各个环节，包括个人(使用、维护、管理)、设备(含设施)、软件(含应用系统)、数据等，在网络安全中的地位和影响作用，也只有从系统整体的角度去看待、分析，才可能得到有效、可行的措施。不同的安全措施其代价、效果对不同网络并不完全相同。计算机网络安全应遵循整体安全性原则，根据确定的安全策略制定出合理的网络体系结构及网络安全体系结构；

动态保护原则 网络安全是整体的、动态的。网络安全的整体性是指一个安全系统的建立，即包括采用相应的安全设备，又包括相应的管理手段。安全设备不是指单一的某种安全设备，而是指几种安全设备的综合。网站安全系统的动态性是指，安全是随着环境、时间的变化而变化的，在一定环境下是安全的系统，环境发生变化了（如更换了某个机器），原来安全的系统就变的不安全了；在一段时间里安全的系统，时间发生变化了（如今天是安全的系统，可能因为黑客发现了某种系统的漏洞，明天就会变的不安全了），原来的系统就会变的不安全。所以，建设网站的安全防护系统不是一劳永逸的事情；

一致性原则 一致性原则主要是指网络安全问题应当与具体的安全措施保持同步，并且在网站安全建设中所采取的各类安全措施应当执行统一的安全策略，各个策略之间能够相互互补，并针对具体的问题，从不同的侧面执行一致性的策略，避免出现策略自身的矛盾和失误；

强制性原则 安全措施的策略应当统一下发，强制执行，应避免各个环节的安全措施各自为政，从而也保障了安全策略的一致性，保障各个环节的安全措施能够相互互补，真正的为网站系统提供有效的保护；

易操作性原则 安全措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性；其次，措施的采用不能影响系统的正常运行。

多重保护原则 任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

信息安全规划图

规划内容简介

如上图所示，在互联网边界处部署防火墙，在防火墙上划分安全区域，DMZ区域和互联网办公区域。DMZ区域部署网站服务器等，提供互联网用户访问和查询等业务。

在核心交换机通过网络隔离与交换系统与内网服务器相连接，所有用户访问内网服务器全面通过网闸做数据摆渡。在安全管理区部署安全运维审计（堡垒主机）和网络安全管理。所有对服务器的运维操作全部通过安全运维审计来实现。

全网安全管理通过安全管理平台实现，可整合和集中管理企业内部现有安全资源，通过关联分析、智能响应、专家建议以及与其他TSM组件的组合，实现安全预警、防护、响应的闭环管理。同时，还可帮助企业及时准确地了解自身安全现状和走势，从而以最小的投入获取最大的安全。

方案详细设计

详细设计概述

参考等级保护技术方案设计规范，从信息系统安全涉及角度，安全信息系统可以看成是由安全应用支撑平台和在其上运行的应用软件系统两部分组成，而安全应用支撑平台又是由信息安全机制和信息安全基础技术支持来实现的，其中信息安全基础技术包括密码基基础、系统安全技术、网络安全技术以及其他安全技术；这些基础提供了身份认证、访问控制、安全审计、可用性保护、机密性保护、完整性保护、监控、隔离、过滤等安全机制，用以形成覆盖计算环境、区域边界、通信网络的等级保护技术方案，同时通过引入多级互联机制以及安全管理中心，则构成了多级的安全信息系统。

本方案将按照分区保护的原则，对信息系统进行安全区域的划分，并确定要保护的计算环境、区域边界和通信网络，并根据安全区域内保护对象来分别确定各个环节的保护强度，并根据保护强度来设计不同的安全防护系统。然后在实现基础性保护措施的基础上，利用安全管理平台来进行总体安全管理中心的设计，实现对网络统一安全管理。

计算环境防护 终端安全管理

技术措施选择

终端防护系统是对局域网内部的网络安全行为进行全面监管，检测并保障桌面系统的安全的产品。常常包括四大模块：桌面行为监管、桌面系统监管、系统资源管理，通过统一定制、下发安全策略并强制执行的机制，实现对局域网内部桌面系统的管理和维护，能有效保障桌面系统及机密数据的安全。

在终端防护系统的众多功能中，本方案充分利用以下功能：

 终端管理系统能提高终端自身防护能力：它自动检测桌面系统的安全状态，能针



 





对桌面系统的补丁自动检测、下发和安装，修复存在的安全漏洞，满足系统自身安全防护的需求，防止漏洞被木马和病毒利用。该功能提高了非法外联后终端的抗攻击能力。

终端管理系统监管桌面行为：对桌面系统上拨号行为、打印行为、外存使用行为、外存设备的监控，通过策略定制限制主机是否允许使用外存设备，确保机密数据的安全，避免了内部保密数据的泄漏和减少了非法外联可能。

非法接入控制功能：通过多种方式来检测并限制非法接入的终端，执行严格的访问控制，防止对内网的非授权访问；

终端自身健康性检查：对终端的补丁状态、防病毒软件的运行状态、病毒库版本信息以及终端是否有病毒等进行实时检查，对不符合健康性要求的终端进行阻断，防止因终端自身问题带来的安全隐患；

网络切换控制：根据要求，终端虽然可以访问互联网，也可以访问内网服务器，但是在一个时点上只能访问一个网络，因此可利用终端管理平台的功能，对终端的外访状态进行检测，当发现终端在访问内网的时候，自动断开与互联网的连接；当发现终端在访问互联网时，自动断开与内网的连接。这样避免了终端同时访问互联网和内网服务器的情况；

终端文件保护：在终端上设置专用的内网文件保险柜，保险柜内存放了终端在访问内网服务器时的很多缓存信息，当终端访问互联网的时候，该文件保险柜自动隐藏，从而防止互联网攻击者对缓存文件的窃取，造成信息泄密。

安全措施整合

终端安全管理平台与防火墙的认证整合

其整合控制过程为：

 终端接入网络并需要访问互联网时，向防火墙发起OPT认证请求，只有认证通过的可确

定为合法访问用户，并且可以正常访问互联网；  终端在访问互联网的同时，运行在终端上的安全管理代理会监视终端的访问目标，并限

制终端访问内网服务器；

 终端通过认证后，需要进行健康性检查，当发现终端操作系统补丁不是最新的，或者终

端的防病毒软件运行不正常，或者终端的病毒库没有更新到最新版本，防火墙会终止终端的访问；

 同时终端安全管理平台会限制终端上的加密文件夹（文件保险柜），将其隐藏起来，防

止被互联网上的用户看到，造成重要文件的泄露；  当终端开始访问内网服务器时，终端安全管理平台终止终端对互联网的访问，并进行与

交换机的802.1X认证。

安全策略设计 终端安全防护系统策略设计  终端准入检测策略：这里主要通过三种手段来实现准入控制，一是与交换机进行802.1X

认证，从而限制非法的主机接入；二是与防火墙进行OPT认证，限制了非法终端的接入；三是利用终端安全管理平台，对非法终端（没有安装代理的终端）进行ARP欺骗，第三种方式是针对没有智能交换机的网络（无法进行802.1X认证）进行的准入控制；

 终端健康性检查策略：系统能够自动检测内网终端桌面系统的病毒防护工作是否正常，

如果发觉终端未安装防病毒系统，或者安装的防病毒系统没有及时升级到最新版本，那么终端防护系统将自动通知终端用户，督促其尽快安装防病毒软件或者将病毒库进行升级。系统还能检测内网终端桌面系统有哪些补丁漏洞，并根据漏洞情况自动进行补丁审计。系统还能检测内网终端桌面系统的软件资源、软件进程，当发现有非法软件安装、









 



异常软件进程时，进行报警和阻断。

终端访问网络切换策略：当终端访问网络时，终端代理会弹出网络选择托盘，提示终端用户选择访问目标，包括选择内网、外网或者互联网，当用户选择内网，那么终端代理与交换机进行802.1X的认证，通过后即可进行访问；如果选择外网，终端代理需要与防火墙进行认证，通过后捷克进行访问。同时终端代理限制了在一个时间终端只能访问一个网络，从而避免因同时访问互联网和内网，形成了互联网到内网的隐蔽通道； 终端文件保险柜策略：终端代理在终端硬盘上划分出专用文件夹（文件保险柜），所有存储在本文件夹下的文件都将加密，并且策略限制该文件夹只对内网开放，如果终端访问内网，那么该文件夹可见，并且存放的文件可读，可写，可删除；但是如果终端访问互联网或外网，那么该文件夹不可见，也无法进行写和删除的操作； 补丁自动升级：帮助企业管理员对内网终端快速部署最新的重要更新和安全更新。能够检测内网终端桌面系统已安全的补丁和需要安装的补丁，企业管理员能通过企业办公网中管理服务器区的终端安全防护管理服务器对内网终端桌面系统下发安装未安装补丁的命令。只要终端接入到网络中，通过统一的终端安全防护平台，便可自动获得补丁，实现操作系统补丁的自动升级，从而确保操作系统的强壮性。

桌面安全监管策略：通过统一策略配置的内网终端上主机防火墙和主机IDS，实现对桌面系统的网络安全检测和防护，当主机IDS检测到报警后能够与主机防火墙进行联动，自动阻断外部攻击行为。 行为监管策略，对内网终端桌面系统打印行为、外存使用行为、文件操作行为的监控（文件操作只进行监视），确保数据的安全，避免泄密。 IP管理策略：终端安全防护平台配置策略，限制终端用户私自修改终端的IP地址、MAC地址等，防止假冒攻击；另外该策略也体现在对IP地址的分配与管理，对于未分配的IP地址可限制被使用； 终端访问行为策略：终端安全防护平台通过策略对终端主机用户的网络访问行为进行记录，当用户访问了受限的站点时，系统发出告警并限制访问。

安全边界防护 防火墙部署

技术措施选择

网络卫士防火墙NGFW4000系列TopASIC（猎豹III）平台产品，是天融信公司在多年网络安全产品开发与实践经验的基础上开发的最新一代芯片加速防火墙。

该系列产品继承了天融信公司十多年来在安全产品研发中的积累的多项成果，以自主知识产权的网络安全操作系统TOS（Topsec Operating System）为系统平台，采用开放性的系统架构及模块化的设计思想，充分体现了天融信公司在长期的产品开发和市场推广过程中对于用户需求的深刻理解。

同时，该系列产品采用了天融信完全自主研发的最新一代TopASIC安全芯片，它是天融信公司在第一代、第二代芯片的基础上开发实践的最新成果，该芯片容量更大，性能更高，运行更稳定。该系列产品具有高可靠性、高扩展性，确保业务端口在各种应用下达到线速转发。 安全措施整合

请查看5.2.1.2安全措施整合章节。 安全策略设计 

防火墙策略设计 划分安全区域：在网络中每个网络区域的访问授权、访问内容、安全水平各不相同，为了更好的实现访问控制，一个常用的方法就是根据网络不同部分的重要性划分为不同的安全区域，并着重对其中重要的安全区域进行隔离和保护；这里通过防火墙将内网终端、服务器、安全管理系统、互联网分别隔离为不同的安全区域，各区域成为相对独立的计算环境，这种隔离的好处就是减少了安全区域之间的干扰，避免因个别方位出现安全问题后，会迅速地蔓延到全网；同时也成为防火墙进行强制认证的基础； 身份认证策略：防火墙和终端安全防护系统采用专用的OTP认证策略，只有安装了终端安全防护，并且通过终端健康性检查的设备方可与防火墙进行OTP认证，认证通过后防火墙将根据终端用户身份，允许终端对互联网的访问，并且同时要断开终端与内网的链接；

访问控制策略：防火墙将执行包含源地址、目的地址、网络协议、服务、时间、用户、带宽等的访问控制，确保互联网无法访问内网； 日志和审计策略：防火墙针对内网终端的外访行为进行有效的监控，实现日志的分级管理、自动报表、自动报警功能，并且产生的日志能够以多种方式导出，有利于安全事情发生后的日志查看和取证统一的管理。



 

网闸部署

安全措施选择

随着电子政务建设的不断深化发展，很多组织的内部网络与外部网络之间需要交换的信息越来越多，传统的方式很难兼顾安全隔离与信息交换两者的需求，更缺乏对信息安全的严格审查，极易导致攻击代码的流入和重要信息的泄漏。因此，在电子政务系统的内外网络之间迫切需要一种安全设备，它既能保证重要网络与其它网络安全隔离，又能实现网络之间有效的数据交换。

网闸是一种利用物理隔离技术实现的可以做准实时交互的安全保密设备，早已通过国家保密局保密技术研究所的技术鉴定，具有极高的安全性与保密性。网闸有应用响应速度快，传输数据安全检查，无应用局限，能满足各种应用场合等优势。

目前，北京天融信科技有限公司利用自身的技术优势和在安全体系结构方面的研究成果，经过长期研发的过程，推出了一种全新的、高效的、安全的网

间隔离产品——天融信网络卫士安全隔离与信息交换系统TopRules V3.0（以下简称TopRules）。该产品基于完整的安全体系结构设计理念，率先完善了安全隔离的概念。该产品采用多机系统架构，通过对信息进行落地、还原、扫描、过滤、防病毒、入侵检测、审计等一系列安全处理，有效防止黑客攻击、恶意代码和病毒渗入，同时防止内部机密信息的泄露，实现网间安全隔离和信息交换。

安全策略设计

 

根据电子政务的应用特点配置网闸应用策略，一般网闸的配置策略如下：

数据库访问：政务内网管理员可以通过网闸在政务内网管理政务外网数据库服务器。 数据库同步：政务内外网之间的数据库数据双向同步，使内外网业务数据库的数据信息保持一致。另外也可以根据实际应用情况，进行有选择的数据库同步，如个别表同步、字段同步等。

Web访问：政务内网用户可通过网闸维护政务外网Web服务器，进行信息发布等操作。 特定服务控制：政务内网与政务专网之间可通过网闸开放指定的应用，只有指定的应用系统能过通过网闸进行访问。

 

实际解决问题

 实时可信信息交互。通过天融信网闸可以保障电子政务内网与电子政务外网在隔离的前

提下进行快速、实时、可信的信息交互。

 防止敏感信息泄漏。通过天融信网闸的应用层信息过滤功能，可以过滤敏感信息，防范

电子政务内网的敏感信息泄漏到电子政务外或互联网上。  防止非授权访问。天融信网闸采用白名单的工作机制，只有授权的特定应用能通过网闸，

而在这之外的应用一律禁止似乎，杜绝非授权访问事件的发生。  防范网络攻击。天融信网闸在内核中嵌入了专用的入侵检测引擎，能够对进出网络的原

始数据进行攻击检测和过滤。有了这种机制，可以最大程度上降低网络攻击事件的发生。  病毒查杀。天融信网闸可在内部定制集成杀毒引擎，能够对一些主流的病毒进行检测与

查杀。一旦政务外网感染病毒，网闸能确保病毒不会扩散到政务内网或政务专网上。  访问控制。基于用户、IP地址、IP/MAC绑定、时间段对用户进行访问控制，确保只有

合法的用户才能通过网闸系统访问应用系统，而其它非授权的用户则不能通过。

保护通信网络 负载均衡系统

安全措施选择

伴随着网络应用发展的日新月异、移动办公人员的指数级增长、数据大集中的高速发展、云计算时代的临近，巨量的数据将跨越广域网传输，应用交付日益凸显其重要性，并跨入了高速成长期。

而天融信的广域网优化、带宽保障及负载均衡，正是应用交付的核心功能。目前中国应用交付市场主要为几大国际厂商所占据，作为老牌安全公司的天融信，也迈开了进入国内应用交付市场的重要一步。

天融信负载均衡系统集成高性能链路负载均衡和服务器负载均衡，保证应用数据在错综复杂的网络中获得最佳传输路径。完善的链路、应用服务健康检查机制，及时诊断出不能正常工作或负载过重的链路和服务器。能够根据应用、链路的健康状况，智能调整流量在多链路、多服务器之间的分配，并自动完成切换，提升网络和应用的可用性。 安全措施整合

基于策略路由的优化（Policy Based Routing），根据目的地网络地址及应用类型选择最有利的网络路径。该功能最典型的应用是根据目的地网络地址选择使用该网络地址所在的运营商的线路。这样就避开了跨越运营商网络，从而降低了丢包的几率。例如：为解决电信、网通互连而经常采用的双线接入。

智能DNS均衡，用户访问服务器时，根据用户所在的运营商智能选择最有利的网络路径。

图2 天融信负载均衡系统TopApp-LB智能DNS均衡算法

天融信负载均衡系统通过对多个ISP（或者同一ISP的多条链路）连接的可用性和性能进行实时监测，提高网络连接的容错能力，将流量导向最优的链接和ISP以提高服务质量和访问速度，通过多条低成本链路的聚合降低带宽成本，全面提高应用交付能力。

安全策略选择

链路负载均衡

                

支持单臂接入模式和双臂接入模式 全面的服务监测及服务健康检查

支持TCP、HTTP、HTTPS等多种服务健康检查方式 支持自定义的服务健康检查方式

自动选择最佳服务器并智能地均衡服务器流量

隐藏服务器真实IP，对于应用和用户透明，可伸缩性强 支持各种应用服务器的负载均衡

至少10种以上快速高效的智能负载均衡算法 具有快速高效的非持续性负载均衡算法 具有多种持续性负载均衡算法

支持专为Cache服务器设定的负载均衡算法 支持服务器流量的自动均衡 支持服务器最大连接数限制 具有会话保持功能 自定修复故障应用 实现服务故障自动通知

支持服务器负载均衡高可用性部署

带宽保障策略

         

实现精确的端到端带宽控制与均衡

不损失任何带宽的情况下精确控制下载方向的带宽使用 不是通过丢弃已收到数据包的方式限制下载方向流量 流量整形功能解决非对称带宽上行压死下行问题 支持入站以及出站双向流量的带宽管理与控制 对用户及应用进行优先级管理 保证关键用户及关键应用带宽 限制非关键用户及非关键应用带宽 实现带宽自动借用 实现带宽自动检测

    实现智能主机带宽分配 VoIP自动识别及优先保障 基于行为的P2P识别与控制

基于用户或用户组进行连接数限制

安全运维审计

技术措施选择

为使企业内部网络设备和服务器需要更安全的环境，保护企业内部网络设备及服务器资源的安全性，使得企业内部网络管理合理化和专业化。北京天融信公司基于多年网络安全产品研发经验推出网络卫士网络审计系统简称TA-SAG。

TA-SAG集帐号管理、授权管理、认证管理和综合审计于一体，为企业提供统一框架，整合企业应用系统、网络设备、主机系统，确保合法用户安全、方便使用特定资源。既能有效地保障合法用户的权益，又能有效地保障支撑系统安全可靠地运行。

TA-SAG应用了目前先进的技术作为支持，对用户的网络设备、服务器等核心资产的常用访问方式，例如Telnet、SSH、ftp等字符终端访问及RDP、XWindow等图形终端访问，通过协议代理的技术进行访问控制和审计，实现对用户行为的控制、追踪、判定，满足企业内部网络对资源安全性的要求。

TA-SAG是一种被加固的可以防御进攻的计算机，具备坚强的安全防护能力，扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过，因此网络卫士网络审计系统能够拦截非法访问和恶意攻击，对不合法命令进行阻断、过滤掉所有对目标设备的非法访问行为。

TA-SAG具备强大的输入输出审计功能，不仅能够详细记录用户操作的每一条指令，而且能够将所有的输出信息全部记录下来；具备审计回放功能，能够模拟用户的在线操作过程，丰富和完善了网络的内控审计功能。TA-SAG能够在自身记录审计信息的同时在外部某台计算机上做存储备份，可以极大增强审计信息的安全性，保证审计人员有据可查。

TA-SAG还具备图形终端操作的审计功能，能够对多平台的多种图形终端操作做审计，例如Windows平台的RDP方式图形终端操作，Linux/Unix平台的X11方式图形终端操作。

为方便系统管理员查看审计信息，TA-SAG提供了审计查看检索功能。系统管理员可以通过多种查询条件查看审计信息。 安全措施整合

网络卫士网络审计系统部署在被管服务器区的访问路径上，通过防火墙或者交换机的访问控制策略限定只能由网络卫士网络审计系统直接访问服务器的远程维护端口。 安全策略设计

 单点登录

用户通过访问WEB页面一次登录系统后，就可以无需认证的访问被授权的多种基于B/S和C/S的应用系统。单点登录为具有多账号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令。

 集中账号管理

集中账号管理包含对所有服务器、网络设备账号的集中管理。账号和资源的集中管理是集中授权、认证和审计的基础。集中账号管理可以完成对账号整个生命周期的监控和管理，而且还降低了管理大量用户账号的难度和工作量。同时，通过统一的管理还能够发现账号中存在的安全隐患，并且制定统一的、标准的用户账号安全策略。

 运维操作审计

操作审计管理主要审计操作人员的账号使用（登录、资源访问）情况、资源使用情况等。在各服务器主机、网络设备的访问日志记录都采用统一的账号、资源进行标识后，操作审计能更好地对账号的完整使用过程进行追踪。

 运维工作站的安全检查

在运维人员使用单点登录前对运维工作站做安全合规检查，包括防病毒检查、系统补丁检查、系统配置检查，并提供修复功能，从而防止其安全隐患影响到核心IT设备。

安全管理平台 安全措施选择

在本案中我们推荐采用的是北京天融信公司自主研发的网络卫士安全管理系统（TSM-TopAnalyzer）。

天融信网络卫士安全管理系统（TSM）是天融信集十年网络安全研发经验，推出的基于可信网络架构（TNA）的网络安全管理平台。TopAnalyzer是网络卫士安全管理系统（TSM）的核心组件之一。TSM主要由五部分组成：TopAnalyzer安全管理、TopDesk终端管理、资产管理、用户管理以及报表管理。本方案将涉及除了TopDesk终端管理之外的其他各个子系统。

TopAnalyzer作为构建SOC（安全运营中心）的基础软件平台，以资产管理为基础，风险管理为核心，事件管理为主线，辅以有效的管理、监视与响应功能，为用户构建动态的可信安全管理体系。

TopAnalyzer基于J2EE架构开发，数据库采用Oracle9i/10g企业版或者sqlserver2000/2005，具有极强的开放性与可移植性。在统一安全管理框架下实现对各种系统、应用、设备、安全产品的集中管理和监控，大大减轻了管理

员的操作负担，提高了管理效率。系统具有智能处理海量事件，快速判断，应对网络威胁的强大功能。

安全措施整合 技术部署选择

安全管理中心新通过采用多种技术、手段，收集和整合各类安全事件，并运用实时关联分析技术、智能推理技术和风险管理技术，实现对安全事件的深度分析，能快速做出智能响应，实现对安全风险的统一监控分析和预警处理。

安全管理运营中心的技术支撑平台，主要依据ISO/IEC 27000系列信息安全标准，结合安全服务的最佳实践，以资产管理为基础，以风险管理为核心，以事件管理为主线，通过深度数据挖掘、事件关联等技术，辅以有效的网络管理与监视，安全报警响应，工单处理等功能，对内部各类安全事件进行集中管理和智能分析，最终实现对安全风险态势的统一监控分析和预警处理。

从系统组件上，安全管理中心系统可以分为三大组件：管理服务器（Manager）、代理（Agent）和数据库（DataBase）。代理（Agent）负责在网络中采集全网安全事件，预处理（对原始安全事件进行收集、过滤、归并等操作）后发送给管理服务器（Manager）；管理服务器负责对预处理后的安全事件进行集中分析、响应、可视化输出以及做出专家建议；数据库则负责集中存储预处理后的安全事件。

安全策略设计

各下级单位系统代理（Agent）负责在网络中采集安全事件，经过预处理后发送给省厅管理服务器（Manager）；管理服务器负责对预处理（对原始安全事件进行收集、过滤、归并等操作）后的安全事件进行统一的实时关联分析、风险管理、安全预警、报警与响应、报表输出以及决策建议等；数据库则负责集中存储预处理后的安全事件。

安全功能要求

安全管理中心共包括五个子系统：资产管理子系统、用户管理子系统、报表管理子系统、网络管理子系统，以及安全信息管理子系统。

资产管理子系统：该子系统提供了资产分类管理功能。管理员能够在此系统中对重要资产进行管理，如添加、修改、删除等操作，确定所管理的资产范围，并根据资产的不同属性进行分类。

用户管理子系统：该子系统提供了用户管理功能。通过用户管理子系统可以进行用户管理工作，如用户的添加、删除、授权等工作。

报表管理子系统：报表子系统提供了报表的创建、生成、查看及导出等功能，通过该子系统用户可以定义各类报表的格式与生成方式。

网络管理子系统：该子系统提供网络设备自动扫描和绘制拓扑功能。通过网络管理子系统可以设置网络设备自动发现、拓扑管理、视图管理等功能。

安全信息管理子系统：该子系统包括了不同的功能模块，每个模块所实现的功能如下：

 事件查看。管理员通过事件查看功能可以定义事件的收集范围和内容，

并进行事件查看、处理等操作。

 工单处理。管理员通过工单处理功能可以设定工单的创建和派发规则，

并对工单进行管理。

 脆弱性管理。管理员通过设置脆弱性监视与收集，可以了解系统中所

有资产的脆弱程度。

 风险管理。管理员通过风险管理功能可以设定资产的风险参数，定义

风险的相应方式，并查看特定资产的风险状况。

 监视仪表盘。管理员通过监视仪表盘可对系统进行基于事件、性能、

状态、安全等方面的360度健康观察。

天融信公司简介

天融信公司1995年成立，总部设在北京。作为中国信息安全行业领导企业，十五年来天融信人凭借着高度民族使命感和责任感，秉承“融天下英才、筑可信网络”的人才理念，成功打造出中国信息安全产业领先品牌TOPSEC。

从1996年率先推出填补国内空白的自主知识产权防火墙产品，到自主研发的可编程ASIC安全芯片，到全球首发新一代可信并行计算安全平台，再到云时代超百G机架式“擎天”安全网关；天融信公司坚持自主创新完成了国内安全产品跟随、跟近甚至超越国际知名产品的过渡。2001年天融信率先推出“TOPSEC”联动协议标准，2005年提出“可信网络架构（TNA）”，2008年提出构建“可信网络世界（TNW）”。无论安全技术还是安全理念，天融信始终引领和见证着中国信息安全产业发展的每一个里程碑。

历经十六年的市场考验与技术积累，天融信目前拥有包括政府、军队、金融、能源、电信、教育等众多行业的数万家客户，同时积极尝试拓展海外市场。公司建立了以北京为中心覆盖全国三十多个省市的支撑服务平台，拥有由近千名信息安全专业研发、技术与服务人员构成的强大服务团队。据权威机构统计，天融信品牌连续多年位居中国信息安全产品市场占有率领先地位。时至今日，公司已经发展成为中国知名的信息安全技术研究、产品开发和安全服务的高科技企业，正在努力向世界级信息安全企业的目标迈进。

天融信将“可信网络 安全世界”作为品牌理念，以“可信安全管理(TSM)”为架构核心，携手客户和合作伙伴整合资源，共同创建一个可信的、安全的网络世界。