6.3　總體安全設計

6.3　總體安全設計

6.3.1　總體安全策略設計

活動目標：
本活動的目標是形成機構綱領性的安全策略文件，包括確定安全方針，制定安全策略，以便結合等級保護基本要求系列標準、行業基本要求和安全保護特殊要求，構建機構等級保護對象的安全技術體系結構和安全管理體系結構。對于新建的等級保護對象，應在立項時明確其安全保護等級，并按照相應的保護等級要求進行總體安全策略設計。
參與角色：運營、使用單位，網絡安全服務機構。
活動輸入：等級保護對象詳細描述文件，等級保護對象安全保護等級定級報告，安全需求分析報告。
活動描述：
本活動主要包括以下子活動內容：
a) 確定安全方針
形成機構最高層次的安全方針文件，闡明安全工作的使命和意愿，定義網絡安全的總體目標，規定網絡安全責任機構和職責，建立安全工作運行模式等。
b) 制定安全策略
形成機構高層次的安全策略文件，說明安全工作的主要策略，包括安全組織機構劃分策略、業務系統分級策略、數據信息分級策略、等級保護對象互連策略、信息流控制策略等。

6.3.2　安全技術體系結構設計

活動目標：
本活動的目標是根據GB/T 22239、行業基本要求、安全需求分析報告、機構總體安全策略文件等，提出等級保護對象需要實現的安全技術措施，形成機構特定的等級保護對象安全技術體系結構，用以指導等級保護對象分等級保護的具體實現。
參與角色：運營、使用單位，網絡安全服務機構。
活動輸入：總體安全策略文件，等級保護對象詳細描述文件，等級保護對象安全保護等級定級報告，安全需求分析報告，GB/T 22239，行業基本要求。
活動描述：
本活動主要包括以下子活動內容：
a) 設計安全技術體系架構
根據機構總體安全策略文件、GB/T 22239、行業基本要求和安全需求，設計安全技術體系架構。安全技術防護體系由從外到內的“縱深防御”體系構成，“物理環境安全防護”保護服務器、網絡設備以及其他設備設施免遭地震、火災、水災、盜竊等事故導致的破壞，“通信網絡安全防護”保護暴露于外部的通信線路和通信設備，“網絡邊界安全防護”對等級保護對象實施邊界安全防護，內部不同級別定級對象盡量分別部署在相應保護等級的內部安全區域，低級別定級對象部署在高等級安全區域時應遵循“就高保護”原則，內部安全區域將實施“主機設備安全防護”和“應用和數據安全防護”，“安全管理中心”對整個等級保護對象實施統一的安全技術管理。

b) 規定不同級別定級對象物理環境的安全保護技術措施
根據機構總體安全策略文件、等級保護基本要求和安全需求，提出不同級別定級對象物理環境的安全保護策略和安全技術措施。定級對象物理環境安全保護策略和安全技術措施提出時應考慮不同級別的定級對象共享物理環境的情況，如果不同級別的定級對象共享同一物理環境，物理環境的安全保護策略和安全技術措施應滿足最高級別定級對象的等級保護基本要求。
c) 規定通信網絡的安全保護技術措施
根據機構總體安全策略文件、等級保護基本要求和安全需求，提出通信網絡的安全保護策略和安全技術措施。通信網絡的安全保護策略和安全技術措施提出時應考慮網絡線路和網絡設備共享的情況，如果不同級別的定級對象通過通信網絡的同一線路和設備傳輸數據，線路和設備的安全保護策略和安全技術措施應滿足最高級別定級對象的等級保護基本要求。
d) 規定不同級別定級對象的邊界保護技術措施
根據機構總體安全策略文件、等級保護基本要求和安全需求，提出不同級別定級對象邊界的安全保護策略和安全技術措施。如果不同級別的定級對象共享同一設備進行邊界保護，則該邊界設備的安全保護策略和安全技術措施應滿足最高級別定級對象的等級保護基本要求。
e) 規定定級對象之間互聯的安全技術措施
根據機構總體安全策略文件、等級保護基本要求和安全需求，提出跨局域網互聯的定級對象之間的信息傳輸保護策略要求和具體的安全技術措施，包括同級互聯的策略、不同級別互聯的策略等；提出局域網內部互聯的定級對象之間的信息傳輸保護策略要求和具體的安全技術保護措施，包括同級互聯的策略、不同級別互聯的策略等。
f) 規定不同級別定級對象內部的安全保護技術措施
根據機構總體安全策略文件、等級保護基本要求和安全需求，提出不同級別定級對象內部網絡平臺、系統平臺、業務應用和數據的安全保護策略和安全技術保護措施。如果低級別定級對象部署在高級別定級對象的網絡區域，則低級別定級對象的系統平臺、業務應用和數據的安全保護策略和安全技術措施應滿足高級別定級對象的等級保護基本要求。
g) 規定云計算、移動互聯網等新技術的安全保護技術措施
根據機構總體安全策略文件、等級保護基本要求、行業基本要求和安全需求，提出云計算、移動互聯網等新技術的安全保護策略和安全技術措施。云計算平臺應至少滿足其承載的最高級別定級對象的等級保護基本要求。
h) 形成等級保護對象安全技術體系結構
將骨干網或城域網、通過骨干網或城域網的定級對象互聯、局域網內部的定級對象互聯、定級對象的邊界、定級對象內部各類平臺、機房以及其他方面的安全保護策略和安全技術措施進行整理、匯總，形成等級保護對象的安全技術體系結構。

6.3.3　整體安全管理體系結構設計

活動目標：
本活動的目標是根據等級保護基本要求系列標準、行業基本要求、安全需求分析報告、機構總體安全策略文件等，調整原有管理模式和管理策略，既從全局高度考慮為每個等級的定級對象制定統一的安全管理策略，又從每個定級對象的實際需求出發，選擇和調整具體的安全管理措施，最后形成統一的整體安全管理體系結構。
參與角色：運營、使用單位，網絡安全服務機構。
活動輸入：總體安全策略文件，等級保護對象詳細描述文件，等級保護對象安全保護等級定級報告，安全需求分析報告，GB/T 22239，行業基本要求。
活動描述：
本活動主要包括以下子活動內容：
a) 設計等級保護對象的安全管理體系框架
根據等級保護基本要求系列標準、行業基本要求、安全需求分析報告等，設計等級保護對象安全管理體系框架。等級保護對象安全管理體系框架分為四層。第一層為總體方針、安全策略，通過網絡安全總體方針、安全策略明確機構網絡安全工作的總體目標、范圍、原則等。第二層為網絡安全管理制度，通過對網絡安全活動中的各類內容建立管理制度，約束網絡安全相關行為。第三層為安全技術標準、操作規程，通過對管理人員或操作人員執行的日常管理行為建立操作規程，規范網絡安全管理制度的具體技術實現細節。第四層為記錄、表單，網絡安全管理制度、操作規程實施時需填寫和需保留的表單、操作記錄。

b) 規定網絡安全的組織管理體系和對不同級別定級對象的安全管理職責
根據機構總體安全策略文件、等級保護基本要求系列標準、行業基本要求和安全需求，提出機構的安全組織管理機構框架，分配不同級別定級對象的安全管理職責、規定不同級別定級對象的安全管理策略等。
c) 規定不同級別定級對象的人員安全管理策略
根據機構總體安全策略文件、等級保護基本要求系列標準、行業基本要求和安全需求，提出不同級別定級對象的管理人員框架，分配不同級別定級對象的管理人員職責、規定不同級別定級對象的人員安全管理策略等。
d) 規定不同級別定級對象機房及辦公區等物理環境的安全管理策略
根據機構總體安全策略文件、等級保護基本要求系列標準、行業基本要求和安全需求，提出各個不同級別定級對象的機房和辦公環境的安全策略。
e) 規定不同級別定級對象介質、設備等的安全管理策略
根據機構總體安全策略文件、等級保護基本要求系列標準、行業基本要求和安全需求，提出各個不同級別定級對象的介質、設備等的安全策略。
f) 規定不同級別定級對象運行安全管理策略
根據機構總體安全策略文件、等級保護基本要求系列標準、行業基本要求和安全需求，提出各個不同級別定級對象的安全運行與維護框架和運維安全策略等。
g) 規定不同級別定級對象安全事件處置和應急管理策略
根據機構總體安全策略文件、等級保護基本要求系列標準、行業基本要求和安全需求，提出各個不同級別定級對象的安全事件處置和應急管理策略等。
h) 形成等級保護對象安全管理策略框架
將上述各個方面的安全管理策略進行整理、匯總，形成等級保護對象的整體安全管理體系結構。

6.3.4　設計結果文檔化

活動目標：
本活動的目標是將總體安全設計工作的結果文檔化，最后形成一套指導機構網絡安全工作的指導性文件。
參與角色：運營、使用單位，網絡安全服務機構。
活動輸入：安全需求分析報告，等級保護對象安全技術體系結構，等級保護對象安全管理體系結構。
活動描述：
對安全需求分析報告、等級保護對象安全技術體系結構和安全管理體系結構等文檔進行整理，形成等級保護對象總體安全方案。
等級保護對象總體安全方案包含以下內容：
a) 等級保護對象概述；
b) 總體安全策略；
c) 等級保護對象安全技術體系結構；
d) 等級保護對象安全管理體系結構。