税务系统网络及信息安全教育课件.ppt

1、税务系统网络与信息安全系统税务系统网络与信息安全系统培训培训 税务系统信息安全体系总体方案简介税务系统信息安全体系总体方案简介 税务系统首期网络与信息安全防护体税务系统首期网络与信息安全防护体系建设项目工程简介系建设项目工程简介税务系统信息安全体系税务系统信息安全体系总体方案简介总体方案简介 项目背景项目背景 建设内容和目标建设内容和目标 总体结构总体结构 网络防护子系统网络防护子系统 安全基础设施子系统安全基础设施子系统 安全应用子系统安全应用子系统 安全管理子系统安全管理子系统 InternetInternet应用应用 实施规划实施规划 信息安全策略需求信息安全策略需求 信息安全标准规范需

2、求信息安全标准规范需求 信息安全技术需求信息安全技术需求 信息安全工程需求信息安全工程需求 信息安全组织保障需求信息安全组织保障需求 信息安全管理需求信息安全管理需求税务系统信息安全体系需求分析税务系统信息安全体系需求分析税务信息系统安全体系建设内容税务信息系统安全体系建设内容 在全网范围建设涵在全网范围建设涵盖物理环境、网络、操盖物理环境、网络、操作系统、数据库、应用作系统、数据库、应用系统和数据安全等各个系统和数据安全等各个层面的信息安全体系和层面的信息安全体系和信息安全组织保障架构，信息安全组织保障架构，抵御各种抵御各种攻击与风险攻击与风险。国家税务总局国家税务总局省级国地税局省级国地税

3、局地市级国地税局地市级国地税局区县级国地税局区县级国地税局征收分局（税务所）征收分局（税务所）总体方案设计依据总体方案设计依据系统建设目标系统建设目标税务系统信息安全体系平面逻辑结构 税务信息系统网络的划分与连接 技术体系架构：技术体系架构： 三个平台三个平台四个安全子系统四个安全子系统 网络防护子系统网络防护子系统网络防护子系统构造了安全边界网络防护子系统构造了安全边界安全认证与授权子系统的组成安全认证与授权子系统的组成主要由主要由CACA认证系统、认证系统、KMCKMC密钥管理系统和密钥管理系统和AAAA授授权系统组成。权系统组成。主要由主要由CACA认证系统和认证系统和KMCKMC密钥管

4、理系统组密钥管理系统组成。成。安全认证技术：安全认证技术：主要用于识别网络行为主体的主要用于识别网络行为主体的身份（你是谁？），再通过身份来决定行为的身份（你是谁？），再通过身份来决定行为的合法性。合法性。访问控制授权技术：访问控制授权技术：主要用于确定资源访问者主要用于确定资源访问者的的“权限权限”，通过权限划分出信息的安全域等，通过权限划分出信息的安全域等级，根据等级要求对访问者进行集中授权（你级，根据等级要求对访问者进行集中授权（你能干什么？）控制。能干什么？）控制。安全认证与授权子系统的作用安全认证与授权子系统的作用 业务专网的业务专网的CACA与与AAAA系统主要用于内部业务系统对操

5、系统主要用于内部业务系统对操作者身份认证与授权。作者身份认证与授权。 在在InternetInternet上的上的CACA系统主要用于鉴别访问者真实系统主要用于鉴别访问者真实身份，仅服务于应用层面。身份，仅服务于应用层面。 其中，其中，CACA服务于网络、操作系统和应用三个层面，服务于网络、操作系统和应用三个层面，解决网络安全连接；系统安全登录与管理；应用安全鉴解决网络安全连接；系统安全登录与管理；应用安全鉴别等问题。别等问题。AAAA只服务于应用层面，解决对信息资源的安只服务于应用层面，解决对信息资源的安全管理问题。全管理问题。安全认证与授权子系统安全认证与授权子系统认证证书的种类与作用认证

6、证书的种类与作用数据等级的划分与控制数据等级的划分与控制数据安全域的应用要求与原理数据安全域的应用要求与原理安全认证与授权子系统安全认证与授权子系统安全认证与授权子系统安全认证与授权子系统“权限权限”在国税业务系统中的在国税业务系统中的 访问控制原理和应用访问控制原理和应用 级别角色 F 业务系统需要什么样的安全？业务系统需要什么样的安全？常用的解决办法常用的解决办法业务系统需要什么样的安全？业务系统需要什么样的安全？常用的解决办法常用的解决办法业务系统需要什么样的安全？业务系统需要什么样的安全？常用的解决办法常用的解决办法业务系统需要什么样的安全？业务系统需要什么样的安全？常用的解决办法常用

7、的解决办法安全应用子系统安全应用子系统出示证书出示证书访问控制访问控制权限控制权限控制数字签名数字签名安全审计安全审计安全管理子系统的组成安全管理子系统的组成信息安全策略体系 定定义：义： 信息安全策略是为发布、管理和保护税务信息安全策略是为发布、管理和保护税务系统内部信息资源而制定的一组法律、法规和措系统内部信息资源而制定的一组法律、法规和措施的总和，是对税务系统信息资源使用和管理的施的总和，是对税务系统信息资源使用和管理的规范描述，是全系统都要遵守的规则。规范描述，是全系统都要遵守的规则。 地位：策略体系是税务信息安全体系的核心。安地位：策略体系是税务信息安全体系的核心。安全策略内容由信息

8、安全目标制约，安全策略实施全策略内容由信息安全目标制约，安全策略实施依靠安全体系的各种执行系统。依靠安全体系的各种执行系统。 税务系统信息安全策略创建与执行流程图 总局信息安全管理中心信息安全管理平台 目 标信息安全策略管理系统信息安全策略管理系统创创 建建安全机制审 计 评 估安全要求规 章规 范标 准主策略上层策略发 布中层策略不可否认可用性保密性访问控制鉴 别执 行策略库底层策略访问控制口令配置IDS配置防火墙安全性能要求信息共享策略维护翻 译翻 译省局信息安全管理中心地市局信息安全管理中心税务信息安全策略体系的主要内容1.1. 策略管理和建设策略管理和建设 2.2. 职责管理策略职责管

9、理策略 3.3. 技术管理策略技术管理策略 4.4. 人员管理策略人员管理策略 5.5. 运行管理策略运行管理策略 6.6. 信息资产管理策略信息资产管理策略 7.7. 业务连续性策略业务连续性策略 8.8. 法律和其它策略的符合性法律和其它策略的符合性 安全管理子系统的逻辑图安全管理子系统的逻辑图总局总局省局省局策略策略日志日志地市局地市局策略策略日志日志地市局安全管理平台省局安全管理平台策略策略安全管理子系统的结构安全管理子系统的结构行业主管部门总局领导总局安全管理中心网络管理运行管理人员管理法规管理病毒防治安全设备总局安全领导小组总局安全领导小组办公室训练管理对外联络专家管理策略制订标准

10、化制订论坛省局领导地市局领导省局安全领导小组总局安全领导小组办公室训练管理对外联络专家管理策略制订标准化制订论坛地市局安全领导小组办公室训练管理对外联络专家管理策略标制论坛省局安全管理中心网络管理运行管理人员管理法规管理病毒防治安全管理地市局安全管理中心网络管理运行管理人 员管理法 规管理病 毒管理安全管理税务系统信息安全组织保障子系统税务系统信息安全组织保障子系统 行业主管部门行业主管部门总总 局局 领领 导导总局安全管理中心总局安全管理中心总局安全领导小组总局安全领导小组领导小组办公室领导小组办公室省局领导省局领导地市局领导地市局领导省局安全领导小组省局安全领导小组领导小组办公室领导小组办

11、公室省局安全管理中心省局安全管理中心地市局安全管理中心地市局安全领导小组领导小组办公室安安 全全 领领 导导 决决 策策 体体 系系安全管理执行体系安全管理执行体系审计监督 审计监督审计监督安全审计监督体系税务系统信息安全组织保障子系统税务系统信息安全组织保障子系统 Internet( Internet( 外网）外网）CACA的应用的应用CARAInternet鉴别鉴别LDAP入侵检测管理中心入侵检测管理中心信息安全管理工作的一般过程信息安全管理工作的一般过程风险分析风险分析制定安全策略制定安全策略选择解决方案选择解决方案施工过程管理施工过程管理与控制与控制技术跟踪检查技术跟踪检查项目验收管理项目验收管理系统运行管理系统运行管理安全监督与审计安全监督与审计