三级等级保护下的信息系统安全加固

报告、事故追根溯源，同时加强内外部数据库网络行为记录，提高数据资产的安全。

2.4 安全管理平台

在安全区深度安全网关主机上旁路的安全管理平台集成了日志采集器、数据库、日志分析、审计、报表等功能模块，支持对网络内出口安全网关、防火墙、入侵防御、WEB应用防火墙、数据库审计等设备的统一安全管理，实现策略集中配置、全局日志集中存储审计分析，有助于网络管理员全面掌握安全状况。

3 安全管理体系建设

在进行技术建设的同时，安全管理体系的建设也尤为重要，只有制定相应的安全管理制度并加以落实，才能真正保障网络信息安全。对此，核工业西南物理研究院成立了由院党委书记任组长、院长和常务副院长任副组长、各部门和二级单位负责人为成员的网络安全领导小组，主要负责研究决策网络安全目标、基本原则和要求;建立网络安全责任体系和制度体系，推动网络安全责任落实;建立网络安全工作机构，确保相关资源保障条件落实;组织部署网络安全重点工作，领导重大事件处置工作，决策重大事项。

网络安全领导小组办公室作为日常工作机构，设置在院长办公室，负责具体安全工作的组织、实施和协调，并且协调指导计算机网络中心设置专职安全岗位负责安全工作的落实和执行，组织结构图如图3所示。

按照相应制度安排，设置了以下重要安全岗位的职责。

（1）计算机网络中心主任：1负责日常网络和信息安全整体协调及管理;2负责重大安全事件的具体指挥和沟通。

（2）安全管理员：1负责执行日常网络和信息安全协调及管理工作;2负责日常安全监控管理，处置各类安全事件;3负责制定安全管理平台策略;4负责进行定期安全检查。

（3）安全审计员：1负责检查、监督各类安全管理制度的落实情况;2负责审核安全策略的执行情况。

（4）系统管理员：1负责系统安全运行的日常维护管理;2负责日常防病毒和入侵检测系统数据库更新。

（5）网络管理员：1负责网络设备安全运行的日常维护管理;2负责按业务需求更改网络路由、映射等配置并做好记录和备份。

除了以上重要岗位以外，还设置物理安全管理员、档案资产管理员、应用安全管理员等岗位，其安全职责也通过相关制度落实。

4 信息系统安全等级保护测评

在按照信息系统三级等级保护的要求进行安全加固建设、整改并经过自评达到相关标准后，核工业西南物理研究院启动对门户网站和邮件系统的测评工作。委托第三方有资质的等级评测机构对两个信息系统进行评测范围主要包括系统的物理环境、主机、网络、业务应用系统、安全管理制度和人员等。安全测评通过静态评估、现场测试、综合评估等相关环节和阶段，从物理安全、网络安全、主机安全、应用安全、数据安全与备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理十个方面进行综合测评。在总体评价中给出了如下结论：安全管理机构较为完善，责任明确，已建立较为完整的信息安全保障制度体系;重要网络、安全设备处理能力具备冗余空间，具备高可用性;在防攻击、防病毒、审计方面措施较为完备;系统规划与建设的安全需求设计方案，在定级、备案、测评、整改等方面严格遵守了等级保护的工作要求;建立了包括基础设施、应用、安全等各个层次的运维保障、监控和应急响应体系。

两个系统的综合得分均在80分以上，测评结论为“基本符合”。属地公安机关在检查各项资料和评测报告后分别核发了信息系统安全等级保护备案证明。

5 结束语

网絡安全法已于2017年6月1日正式实施。网络安全法第二十一条明确国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改，各单位运行的互联网信息系统也必须尽快完成安全等级保护备案工作。但是在完成备案工作后，还需要按照国家相关法律法规，定期开展后续的风险评估和问题隐患整改，组织做好安全运维管理，保障网络安全。信息系统的安全风险是客观存在的，只要我们做好风险的控制，就能确保系统稳定安全的运行。

参考文献

[1] 习近平.《在中央网络安全和信息化领导小组第一次会议上的讲话》（2014年2月27日）[N].人民日报，2014-2-28.

[2] 张伟丽.信息安全等级保护现状浅析[J].信息安全与技术，2014（09）：9-13.

[3] 李晓燕.以信息安全等级保护为依托推进电子档案安全保障体系建设[J].城建档案，2014（12）：24-25.

[4]汤斌.三级等保下医院信息系统安全优化方案实践[J].中国医疗设备，2018，33（09）：136-140.

[5]吴奎.基于等保的信息系统风险分析与安全防护[J].通讯世界，2017（10）：229-230.

相关热词搜索： 加固 等级 保护 信息系统安全