XXXX集团公司成立信息安全领导小组，该小组是信息安全的最高决策机构。安全领导小组下XXXX工作组、XXXX工作组负责具体工作；各个分公司成立XXXX工作负责分公司的具体工作。
XXXX集团公司信息安全领导小组负责组织相关人员对信息系统的安全建设和安全改造进行统一规划，各分公司和直属单位根据统一规划进行具体建设实施。
由XXXX集团公司负责对信息安全设备的选型、采购和验收等方面制定具体管理规定，各分公司和直属单位根据上述具体管理规定进行信息安全设备的采购和使用。
集团公司本部局域网由本部XXXX部门负责管理；各分公司和直属单位局域网由XXXX部门负责管理；骨干网由XXXX部分负责管理；各分公司城域网由各分公司XXXX部门负责管理。
等等
2）、系统分级
集团公司本部和分公司局域网划分为XXXX四个级别的安全域，其中XXXX为4级，XXXX为3级，XXXX为2级，XXXX为1级。
XXXX业务、XXXX业务、……等划归在4级安全域，……。 等等
3）、网络互联
同级的安全域通过骨干网/城域网只能与上级或下级单位的同级安全域进行连接；4级安全域通过二层的VPN通道进行数据交换、3级安全域通过二层或三层的VPN通道进行数据交换；
4级安全域不能与2级安全域、1级安全域直接连接；3级安全域不能与1级安全域直接连接；
分公司不允许有Internet出口，分公司到Internet的访问必须通过集团公司本部的Internet出口，仅集团公司本部有唯一的Internet连接；Internet出口只能与1级安全域连接；
等等
36
4）、安全控制
4级安全域与3级安全域之间必须采用接近物理隔离的专用设备进行隔离； 各级别安全域的网络对外接口处必须使用防火墙进行有效的边界保护；
3级安全域和2级安全域外部单位进行数据交换时，不允许直接交换，必须把要交换的数据送到外部接入网络的前置机或中间件，由外部单位从外部接入网络的前置机或中间件将数据取走；反之亦然；
等等
11、选择和规定骨干网/城域网的安全保护技术措施
针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出骨干网/城域网的安全保护策略和安全技术措施。
例如：
1）、网络设备安全
网络设备应位于XXXX机房内；
网络设备应提供远程管理和本地管理两种管理方式； 网络设备应设置通过特定的端口才可以进行配置；
网络设备上应设置访问控制列表，限制对网络设备的可访问人员；
应对访问网络设备的用户进行身份认证，确保只有授权的网络管理员可以进行配置管理；
网络设备的身份认证采用用户名/口令方式，应保证口令数字字母混合，且长度不少于8位；
等等。
2）、网络通信安全
确保为3级以上安全域之间的通信开通VPN通道； 确保二个局域网之间有二条路由通道；
确保对网络设备的管理使用一个独立的网络，与普通用户使用的网络隔离； 开通一个专用的VPN通道，使网络设备与网络管理中心的网络管理数据交换通过此
37
VPN通道传输；
等等
12、选择和规定不同级别安全域的边界保护技术措施
针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出不同级别安全域边界的安全保护策略和安全技术措施。安全域边界安全保护策略和安全技术措施提出时应考虑边界设备共享的情况，如果不同级别的安全域通过同一设备进行边界保护，这个边界设备的安全保护策略和安全技术措施应满足最高级别安全域的等级保护基本要求。
例如：
1）、1级安全域边界
在1级安全域、外部单位接入点和Internet接入点处部署防火墙设备、网络入侵检测系统、防病毒网关设备实施边界防护；
……
应保证防火墙启动了“除许可的以外拒绝所有服务”的模式； 应保证防火墙使用了地址转换功能隐藏了内部网络结构； ……
应在防火墙的内部接口网段上配置入侵检测传感器； 应在重要的服务器所在网段上配置入侵监测传感器； …… 等等
2）、2级安全域边界
在2级安全域和外部单位接入点处部署防火墙设备、网络入侵检测系统、防病毒网关设备实施边界防护；
…… 等等
38
13、选择和规定不同级别安全域内部系统平台和业务应用的安全保护技术措施 针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出不同级别安全域内部网络平台、系统平台和业务应用的安全保护策略和安全技术措施。
例如：
1）、各级安全域网络结构
将网络划分为不同的子网或VLAN，使不同业务应用系统的工作站和服务器位于不同的子网或VLAN中；
将同一业务应用系统的服务器尽量集中放置于一个区域，并使访问服务器的工作站通过特定的路径对服务器进行访问；
在连接服务器和工作站的线路之间使用可以设置访问规则的网络连接设备，并根据访问策略设置合适的访问规则；
…… 等等
2）、各级安全域服务器基本要求
及时修补本身存在的漏洞，安装相应的补丁程序。 关闭所有不需要的服务端口。 删除或关闭所有不需要的账户。
设置口令，并基于标识号和口令对用户的身份进行认证。 …….。 等等。
3）、3、4级安全域服务器增强要求 对于操作系统，进行必要的剪裁。 对于操作系统，安装加固软件。
使用数字证书标识用户，并基于数字证书进行用户身份认证。 开启审计机制记录下重要操作的过程。
39
安装主机入侵检测系统。 …… 等等。
3）、应用系统安全
各级应用系统基本安全策略：
应用系统应该对每个请求进入应用系统的用户给予一个标识，以便区分用户，同时标识必须唯一。
应用系统应该对请求访问的用户进行鉴别，至少使用个人标识和口令进行身份认证。 应用程序应该对用户区分角色，并对不同的用户角色分配不同的操作权限。 应用程序应该采用菜单方式，通过菜单的变化，根据用户的权限进行访问控制。 应用程序在传送和接受数据时、在存入和读出数据时，应该至少采用校验和、循环冗余码技术保证数据完整性。
应用程序的输入界面应该具有容错能力和错误处理能力，不能因为某个误操作或数据输入不合适而造成应用系统程序中断或出现故障。
…… 等等。
3，4级应用系统增强安全策略：
采用数字证书标识用户和实体，并对用户和实体进行基于数字证书的身份认证。 除采用校验和、循环冗余码技术外，还应该采用数字摘要技术等，确保数据的完整性。 对敏感数据采用数据标签技术标识数据的重要级别。
对数据的发送方和接受方在身份认证的基础上对处理的数据使用数字签名技术，以防止出现抵赖现象。
…… 等等
14、选择和规定不同级别信息系统机房的安全保护技术措施
40