安全规划课件.pptx

1、Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential目录目录一一安全需求、理念和实施思路安全需求、理念和实施思路二安全建设目标2.1 安全不违规2.2 攻击进不来2.3 信息拿不走2.4 特权不滥用三安全措施总结与计划四管理层批准事项Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential业务安全需求业务安全需求安全挑战安全挑战核心数据不外泄，保证内部系统和数据安全核心数据不外泄，保证

2、内部系统和数据安全 核心数据泄露 核心数据损坏 核心数据可用合作伙伴间信息交互合作伙伴间信息交互 信息窃取 非授权访问安全智能的产品安全智能的产品 车联网易被入侵 整车接口易被入侵安全稳定的服务安全稳定的服务 安全事件处理不当不及时 无法发现攻击行为汽车生产合规汽车生产合规 汽车行业安全须遵从多种行业要求法律法规要求法律法规要求 遵从网络安全法、等级保护、刑法第九条、密码法、个人信息保护法等法律法规上市公司要求上市公司要求 SOX中关于信息安全方面的要求 作为美国上市企业必须满足资本市场的要求，按时、全面、系统地建立符合符合SOX404SOX404的内控体系的内控体系。塞班斯法案涉及到公司治理

3、、内部控制、财务报告、管理流程、信息系统、法律责任等各个方面。SOX法案规定，上市公司的内控管理必须切实做到保护财务数据、维护系统安全、保护客户数据保护财务数据、维护系统安全、保护客户数据免遭盗窃与破坏免遭盗窃与破坏，以提高公司披露的准确性和可靠性。企业需求法规要求当前安全的迫切需求当前安全的迫切需求要求建立：弱点管理和要求建立：弱点管理和安全符合性检查系统安全符合性检查系统要求：安全事件监控与审要求：安全事件监控与审计系统计系统要求建立：数据保护系统要求建立：数据保护系统建立弱点管理和安全符合性检查系统，全面持续持续收集收集企业IT系统内的安全安全弱点弱点信息、安全策略的符合性状况，保障系统

4、安全。建立安全事件监控与审计系统，及时发现及时发现对于企业IT系统和数据的非法访问非法访问以及事后审计事后审计能力，获得企业风险状况的动态视图。建立数据保护平台，对客户数据、企业财务数据等企业敏企业敏感数据感数据在其生命周期内的保密性、可用性和完整性提供保护提供保护。Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential-安全意识安全意识-安全行为安全行为-安全文化安全文化技术技术信息安全风险和信息信息安全风险和信息安全事件的发现安全事件的发现/控制控制/保护保护/审计审计制度制度-数据资

5、产分类分级数据资产分类分级-数据安全制度和流程数据安全制度和流程 1.1.安全制度（安全制度（PolicyPolicy）：）：-明确定义组织责任、策略要求、流程固化，构建信息安全建设的体系和运营基础。2.2.安全技术（安全技术（TechnologyTechnology）：）：-对标信息安全建设最佳实践模型，定位出公司在信息安全技术架构中的薄弱环节；-分析技术系统部署优先级及关联性，确保关键信息安全风险的可发现，可控制，和可追溯审计。3.3.安全意识（安全意识（PeoplePeople）：）：-采用教育和惩戒结合的方式，促进员工的信息安全意识，行为和文化的形成。信息安全建设工作，不是仅靠技术系统

6、上线就可完成，而是融合的管理和技术两方面的投入，进而改变员工的思想、行为和企业安全文化的一个持续过程。信息安全建设理念信息安全建设理念Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential信息安全规划原则信息安全规划原则信息安全实施思路信息安全实施思路信息安全技术驱动信息安全技术驱动 完善基础设施安全，部署先进的信息安全运维工具，加强信息安全工具联动发挥作用事件驱动事件驱动 静态的、局部的、事后补救的被动式信息安全管理模式信息安全管理驱动信息安全管理驱动 建立正式的信息安全组织、完善的信息

7、安全策略、标准及流程，提升员工信息安全意识技术与管理相结合技术与管理相结合 信息安全的技术手段由管理制度和标准来支持，对环境的变化作主动的适应和调整，建立动态的、全面的、预防为主的主动式信息安全管理模式u 整体规划、分步实施原则 u 全面保障原则u 同步建设原则u 技术与管理并重原则使IT能力成为公司全球化核心竞争力的重要支撑以业务为中心，优先支持业务流程和业务系统需求，提高业务运营效率支持管理和决策，保证企业信息及数据的安全性（机密性、完整性、可用性）建立高效的IT系统和IT服务IT IT 战略战略ITIT愿景愿景ITIT 建设原则建设原则 信息安全实施思路信息安全实施思路Copyright

8、 Human Horizons and/or its affiliates.All Rights Reserved.|Confidential目录目录一安全需求、理念和实施思路二二安全建设目标安全建设目标2.1 安全不违规2.2 攻击进不来2.3 信息拿不走2.4 特权不滥用三安全措施总结与计划四管理层批准事项Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential二、信息安全建设目标二、信息安全建设目标n防止特权用户利用运维权限窃取或破坏n防止特权用户误操作导致系统故障n遵从国内外法律法规

9、的要求n防范外部攻击导致系统瘫痪n防范外部攻击导致数据泄漏或破坏n防范员工无意泄密n防范员工故意泄密n防范外来人员窃取攻击进不来攻击进不来特权不滥用特权不滥用信息拿不走信息拿不走安全不违规安全不违规1.1.安全不违规安全不违规2.2.“攻击攻击”进不来进不来4.4.特权不滥用特权不滥用3.3.信息拿不走信息拿不走涉密员工涉密员工网络黑客网络黑客特权用户特权用户监管机构监管机构公司信息安全建设目标应包括公司信息安全建设目标应包括“人防人防+技防技防”，全面降低信息安全风险，最终实现，全面降低信息安全风险，最终实现企业合规经营企业合规经营目标。目标。Copyright Human Horizons

10、 and/or its affiliates.All Rights Reserved.|Confidential2.1 2.1“安全不违规安全不违规”管理措施管理措施1.1.法律法规条目化：法律法规条目化：梳理合规要求（网络安全法、刑法第九条、密码法、SOX）等法律法规信息安全管理要求2.2.差距分析：差距分析：结合考虑IT管理、系统开发、基础设施、生产运行、综合管理等进行差距分析，设计安全管理体系3.3.管理体系建设：管理体系建设：依据国际标准ISO27001建设信息安全管理体系，制定信息安全管理制度、流程、规范等4.4.技术体系建设：技术体系建设：采取必要的安全技术手段，实施安全控制措施，

11、逐步建立完善信息安全技术体系，满足安全合规的相关要求5.5.安全意识全员培训：安全意识全员培训：信息安全意识持续教育、安全能力逐步提升实施策略第九条第九条 网络服务提供者拒不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential2.2 2.2“攻击进不来攻击进不来”实施策略管理措施管理

12、措施1.1.漏洞管理：漏洞管理：定义漏洞管理策略，执行漏洞管理机制，将漏洞管理纳入日常管理运维机制。2.2.邮件安全：邮件安全：加强垃圾邮件、钓鱼网站、木马邮件的鉴别能力，通过持续的安全教育和培训，加强人员安全防护意识。技术措施技术措施1.1.网络安全域划分：网络安全域划分：将网络划分互联网区、DMZ、内部区域、内部核心区等，做好安全防护策略2.2.网络准入：网络准入：建立网络准入控制系统，实现终端接入认证、违规报警3.3.漏洞扫描：漏洞扫描：对主机、操作系统、中间件、数据库、应用等进行安全漏洞扫描并进行安全加固4.4.代码审计代码审计+渗透测试：渗透测试：使用工具检查程序源代码和应用程序是否

13、存在安全缺陷，提供代码缺陷引发的安全问题修订措施和建议5.5.邮件安全网关：邮件安全网关：部署邮件安全网关拦截垃圾邮件、木马邮件及钓鱼网站现状非法端口外部入侵病毒攻击内部用户垃圾邮件生产服务器测试服务器对外服务器公司信息公司信息安全边界安全边界Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential2.3 2.3“信息拿不走信息拿不走”实施策略管理措施管理措施制度建设制度建设编制数据资产安全管理办法等相关制度，对华人运通数据进行分类、分级，明确数据安全管理职责，制定数据操作流程资产识别：资产

14、识别：梳理数据资产，建立完善华人运通数据资产清单并持续更新技术措施技术措施1.1.企业云盘：企业云盘：通过使用企业云盘的方式将分散在终端的非结构化数据在企业云盘上进行集中存储，统一管理和文件共享交互2.2.数据防泄密数据防泄密DLPDLP部署数据防泄密DLP工具监控和阻拦所有禁止传输到安全边界外的敏感数据，防范数据泄露3.3.硬盘加密硬盘加密通过客户端、服务器硬盘加密方式，防止拆除硬盘后可直接读取、拷贝数据，绕过DLP防护措施共享文件30%企业云盘100%现状公司信息公司信息安全边界安全边界终端通道网络访问通道外部邮箱登陆通道USB蓝牙光盘特殊网站微信 外部云盘QQ邮箱 163邮箱数据备份系统

15、数据用户数据用户数据用户数据用户数据分散数据70%邮箱正常网站合作伙伴FTP服务器Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential2.4 2.4“特权不滥用特权不滥用”实施策略管理措施管理措施1.1.账号策略：账号策略：定义账号权限管理策略并定期开展账号权限审查严格禁止共享账号策略特权账号密码分段保存策略密码复杂度策略密码错误次数锁定策略强制定期改密策略禁止密码自动保存策略技术措施技术措施1.1.统一账号管理平台：统一账号管理平台：建立统一账号管理平台对系统账号权限统一集中管控。在终

16、端、应用层分别实现身份认证和识别，即统一管理、统一认证、授权和安全审计2.2.堡垒机堡垒机;部署集中运维及审系统，内外部用户利用堡垒机作为统一运维平台，避免用户直接访问服务器进而对服务器做破坏性工作。现状公司公司信息信息安全安全边界边界内部员工驻场供应商出差员工外部供应商加密通道服务器应用系统特权员工统一账号管理平台堡垒机Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential目录目录一安全需求、理念和实施思路二安全建设目标2.1 安全不违规2.2 攻击进不来2.3 信息拿不走2.4 特权不

17、滥用三三安全措施总结与计划安全措施总结与计划四管理层批准事项Copyright Human Horizons and/or its affiliates.All Rights Reserved.|ConfidentialNONO类别类别项目名称项目名称描述描述涉及范围涉及范围实现目标实现目标预算预算优先级优先级1管理安全组织结构优化优化信息安全组织明确职责全体安全不违规2建立信息安全制度体系建立信息安全管理制度规范与技术标准全体安全不违规3信息安全培训针对安全管理人员和安全技术人员，定期开展专项安全意识培训、安全技能提升培训等；通过定期的安全宣传（如宣传图片、宣传专题活动），逐步提高人员安全意

18、识全体安全不违规4技术 数据防泄密DLP采购部署数据防泄漏工具监控和阻拦所有传输到安全边界外的重要和敏感数据全体信息拿不走5统一账号管理平台采购统一账号管理平台，实现账号、权限和统一管理、认证、审计全体、第三方特权不滥用6漏洞扫描软件采购扫描软件，对操作系统、中间件、数据库进行漏洞扫描并加固测试团队、运维团队攻击进不来7堡垒机内外部用户利用堡垒机作为统一运维平台，避免用户直接访问服务器进而对服务器做破坏性工作运维团队特权不滥用8企业云盘通过企业云盘的方式集中存放与管理分散在客户端的数据全体信息拿不走9网络准入实现终端接入认证、违规报警，可实时管理终端接入状态，检测网络流量，监控各种网络行为，对

19、违规行为及时报警和阻断全体、第三方攻击进不来10代码仓库实现源代码集中、构建、版本控制、发布和源代码的安全管理开发团队信息拿不走11邮件安全网关利用安全邮件网关拦截垃圾邮件、木马邮件及钓鱼网站全体攻击进不来12网络安全域划分网络划分互联网区、DMZ、内部区域、内部核心区等，实现不同区域的安全访问控制全体攻击进不来代码审计+渗透测试使用漏洞工具扫描应用系统源代码和应用程序是否存在安全缺陷或“后门”程序等，并提供安全问题修订措施和建议，跟踪整改软件开发攻击进不来13安全措施总结与计划安全措施总结与计划Copyright Human Horizons and/or its affiliates.Al

20、l Rights Reserved.|Confidential项目实施计划项目实施计划2019年4月2019年6月2019年8月2019年9月2019年10月2019年11月2019年12月安全不违规信息安全培训统一账号管理平台企业云盘代码仓库堡垒机信息安全管理体系制度流程编写数据防泄漏DLP网络安全域划分网络准入邮件安全网关攻击进不来信息拿不走特权不滥用2019年7月2019年5月漏洞扫描软件安全组织结构优化信息安全检查、体系运行有效性测量、管理评审、持续改进代码审计 渗透测试代码审计 渗透测试代码审计 渗透测试Copyright Human Horizons and/or its affi

21、liates.All Rights Reserved.|Confidential目录目录一安全需求、理念和实施思路二安全建设目标2.1 安全不违规2.2 攻击进不来2.3 信息拿不走2.4 特权不滥用三安全措施总结与计划四四管理层批准事项管理层批准事项Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目1-1-信息安全委员会职责信息安全委员会职责Copyright Human Horizons and/or its affiliates.All Rights Reserved.|

22、Confidential项目项目2-2-建立信息安全制度体系建立信息安全制度体系通过工作讨论会，将培训、知识传递、现状分析和改进结合为一体，共同确认出可执行的制度和流程n一级文件：为信息安全的原则、方针和总则，是整个体系的纲领性文件。定义了信息安全管理目标、工作原则等内容；n二级文件：主要为信息安全各领域的制度、管理办法，是一级文件的具体阐述，为相关领域信息安全工作提供更具体的控制和指导；n三级文件：针对一级、二级文件所提出的原则、要求，规定如何达到这些要求的程序文件，如实施细则、规范、指引、指南、规定等；n四级文件：依据一级文件、二级文件、三级文件的规范与要求而制作的操作说明、操作记录和相关

23、表单文件等。一阶二阶三阶表单、记录文件安全方针、策略安全原则标准、指南、流程制度层级制度层级制（修）订制（修）订协助协助批准批准适用范围适用范围一阶安全部门信息安全委员会公司二阶安全部门信息安全委员会公司三阶主要责任部门安全部门制订部门负责人制订范围内Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目2-2-体系文件目录体系文件目录L1：信息安全方针L2人力资源安全管理办法L3机房安全管理规范L3软件开发安全管理规范数据安全管理规范L3机房人员进出管理规范L2 信息安全组织管理

24、办法L1：信息安全策略L3员工信息安全守则L3第三方人员安全管理规范L3人员离职转岗管理规范L2 访问控制管理办法L2 密钥安全管理办法（暂不适用）L2 信息资产管理办法数据分类分级管理规范L2 物理与环境安全管理办法L2 操作安全管理办法L2 通信安全管理办法L2 信息系统建设安全管理办法L3软件测试安全管理规范L3软件编码规范L2法律法规符合性管理办法L2供应商安全管理办法L2 IT业务连续性管理管理办法L2信息安全事件管理办法L4 进出记录、表单软件正版化管理规范L4 变更记录、表单L3变更管理规范L3软件测试规范L3漏洞安全管理规范Copyright Human Horizons an

25、d/or its affiliates.All Rights Reserved.|Confidential项目项目3-3-信息安全培训信息安全培训Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目4-4-数据防泄密数据防泄密DLPDLP如何防止数据泄露是信息安全工作的重大课题1敏感数据发现按预先配置的策略扫描敏感数据，了解敏感数据存在哪些位置。敏感数据监控识别数据所有者监控数据的使用过程，这些数据是如何被使用的，被谁使用。敏感数据保护阻止违规使用的行为，防止数据丢失。数据防泄漏

26、两大方式2终端防泄漏终端防泄漏终端DLP主要依赖于运行于桌面、笔记本电脑、服务器、Apple OS的设备上的软件客户端。该客户端提供可见性，并且在有需要的时候，对数据进行控制网络防泄漏网络防泄漏网络DLP，通常称为无代理DLP，提供网络流量的可见性并可以对流量进行控制。检查物理机或虚拟机的所有流量，如：邮件、网络、即时通讯，然后可以执行强制的数据策略。部署则是通过物理设备或者虚拟机，然后配置网络流量通过其进行检查DLP邮件审批用户USB蓝牙光盘打印离线用户DLP监控、阻断DLP监控、阻断用户用户用户DLP监控、阻断网络DLP终端DLP外部云盘外部邮箱网站应用内部邮箱Outlook邮件DLP存储

27、发现DLPDLP共享存储数据发现DLP审批、阻断DLP报表展示管理员数据库云存储文件系统SharePoint云存储Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential管理员员工最终客户最终客户供应商经销商长期外包PRPRHRMSHRMSPDMPDMBOMBOMSRMSRMTDMTDMERPERPQMSQMS知识库知识库源码库源码库构件库构件库云盘云盘文档库文档库OAOAMESMES统一身份认证管理平台（统一身份认证管理平台（IDMIDM）内部用户目录统一身份认证和单点登录统一授权管理用户

28、账号生命周期管理用户访问行为异常事件行为账号管理行为账号申请行为安全审计用户身份信息统一存储外部用户目录最终客户目录中央用户目录项目项目5-5-统一账号管理平台统一账号管理平台应用系统）应用系统）用户用户Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目6-6-漏洞扫描软件漏洞扫描软件高风险漏洞成为企业安全的最大隐患1针对操作系统的攻击针对操作系统的攻击内容包括病毒、后门程序、勒索软件、权限提升等针对数据库或业务系统针对数据库或业务系统黑客有目的的针对公网的业务系统和地址进行的

29、远程攻击内部网络安全性内部网络安全性内部网络被渗透攻击的最主要方式就是漏洞利用。漏洞管理的挑战2漏洞数量漏洞数量全球漏洞数量都在快速增长，内部需要监控和追踪的漏洞超10万。漏洞的风险漏洞的风险病毒、后门程序的传播都和漏洞相关。针对性的黑客攻击针对性的黑客攻击黑客攻击往往和漏洞相关，有针对性的渗透往往因为漏洞才会成功漏洞管理工作缺失的后果3影响内部业务，黑客远程攻击和渗透成功，合规需求不满足，主管部门影响内部业务，黑客远程攻击和渗透成功，合规需求不满足，主管部门的压力和监管部门的责罚、的压力和监管部门的责罚、漏洞扫描和管理的需求漏洞管理流程：资产发现和分组：发现IT基础架构中的所有目标系统和设备

30、，并合理分组，划分责任人 漏洞扫描：设定需要的评估策略，完成漏洞评估和扫描，可以支持自动的周期性扫描 风险分析和降低：分析高风险漏洞，完成高危漏洞的修补 报告及合规：生成需要的各类汇报报告，满足各类合规需求。活跃漏洞数量：100000+漏洞带来整体安全问题操作系统12345商业软件开源和免费软件各类应用系统防火墙、交换机等设备漏洞管理也是合规需求漏洞管理是信息安全合规的基础12345等级化保护BSISOX法案 网络安全法ISO27001Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential

31、IT运维人员所面临的问题1u 如何通过等保、SOX、ISO27001u 如何确定共享帐号的操作u 如何提升IT运维响应效率u 如何管理海量帐号/密码等资产u 如何完整审计数据库操作u 如何针对RDP和X window审计u 如何规避IT运维过程中的误操作u 如何保证IT运维过程中的安全u 需求分析2分散管理，松散权限分散管理，松散权限控制，无过程、无状控制，无过程、无状态、无时间点；态、无时间点；没有统一的用户操作没有统一的用户操作管理机制；管理机制；没有监控审计操作过没有监控审计操作过程。程。ITIT运维人员拥有后台运维人员拥有后台ITIT系统的权限过高帐系统的权限过高帐号，同一个管理员账号

32、，同一个管理员账号多人拥有，发生误号多人拥有，发生误操作无法定位自然人；操作无法定位自然人；针对异常操作以及危针对异常操作以及危害范围，无法控制和害范围，无法控制和审计。审计。无法根据用户限制访无法根据用户限制访问核心主机系统；问核心主机系统；管理员需要记住多个管理员需要记住多个需要管理需要管理ITIT系统的账系统的账户；户；第三方公司及人员众第三方公司及人员众多，第三方多，第三方ITIT运维误运维误操作时，无法准确操操作时，无法准确操作人定位。作人定位。多点访问,帐号交叉使用12多种方式访问,分散式管理ITIT运维需求运维需求运维现状运维现状为什么使用堡垒机？为什么使用堡垒机？公安部88号令

33、、中华人民共和国网络安全法、信息安全等级保护管理办法、公安部151号令等，企业配置相应的堡垒机有助于快速通过等保测试，达到合规要求。堡垒机能给公司带来什么？堡垒机能给公司带来什么？运维过程中所存在的事前身份不确定、授权不清晰，事中操作不透明、过程不可控，事后结果无法审计、责任不明确等一系列问题，均可通过堡垒机来解决。项目项目7-7-堡垒机堡垒机Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目8-8-企业云盘企业云盘设计数模算法软件产品物料人员组织个人电脑分散文档个人电脑分散文

34、档Office文档PDF文件多媒体文件应用程序终端防控终端防控DLP杀毒磁盘加密文件加密数据中心集中管控数据中心集中管控PDMPDMBOMBOMOAOATFSTFSSRMSRMERPERP已建已建未建未建企业云盘企业云盘设计数模产品物料算法软件人员组织数字数字资产资产集中集中管控管控财务数据供应商数据知识知识中心中心工程文档过程文档共享文件夹FTP统一统一身份身份管理管理员工驻场供应商实习生出差员工外部合作伙伴外部共享计划计划备份监控防火墙项目项目实施实施统一身份管理统一身份管理IDMIDM平台平台企业文档知识中心企业文档知识中心企业共享云盘企业共享云盘统一管理员工，驻场供应商，外部供应商，短

35、期合同工的实名用户身份信息，分配用户资源访问权限，进行访问控制，使得用户身份信息、授权信息、身份认证和访问控制机制规范化、标准化，真正做到4A（账户Account、认证Authentication、授权Authorization、审计Audit）统一，全面控制企业安全风险。将工程项目文档，流程规章制度，企业知识Knowhow聚集起来，形成组织的知识库，在部门、团队间进行信息共享和协同编辑。使得文档的发布，访问权限设定，历史版本控制以及知识内容的检索规范化。PC笔记本手机/pad将任何文件和文件夹同步到共享云盘，设置访问权限，合法用户随时可以访问到最新文件，可以通过邮件或URL链接分享文件给内外

36、部用户，外部用户通过专属外部共享区域访问文件内容，取代共享文件夹，U盘，移动硬盘和FTP。数据集中策略Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目9-9-网络准入网络准入接入网络的终端和使用人合规性不受控1u 接入网络的用户（人）是谁？怎么接入的？u 接入网络的终端是公司的么？在哪个位置接入？u 终端的操作系统？补丁情况？u 终端的安全情况？4大盲点2u 终端设备不明u 使用人员不明u 终端安全不明u 接入方式不明网络准入3网络准入控制是指对网络 的边界进行保护，对接入网

37、络的终端和终端的使用人进行合规性检查，只允许合法的、值得信任的终端设备接入网络，而不允许其他设备接入。功功能能口用户身份认证从接入层对访问的用户进行最小授权控制，根据用户身份严格控制用户对内部网络访问范围，确保企业内网资源安全口终端完整性检查通过身份认证的用户还必须通过终端完整性检查，查看连入系统的补丁、放病毒等功能是否已及时升级，是否具有潜在安全隐患口终端安全隔离与修补对通过身份认证但不满足安全检查的终端不予以网络接入，并强制引导至隔离修复区，提示用户安装有关补丁、杀毒软件、配置操作系统有关安全设置等。口非法终端网络阻断能及时发现并组织未授权终端对内网资源的访问，降低非法终端对内网进行攻击、

38、窃密等安全威胁，从而确保内部网络的安全网络准入控制网络准入控制受益受益威胁控制减少终端感染减轻IT查毒负担增强网络复原力细粒度访问控制减少安全事故放敏感数据泄露行业规范遵从提高安全性满足安全审计需要提高运维效率便捷的访客网络设备自动识别和监控网络准入实现的功能网络准入实现的功能Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential目的：有效阻截外界入侵和垃圾邮件，隔离所有可疑内容，全面保护企业电子邮件系统的安全目的：有效阻截外界入侵和垃圾邮件，隔离所有可疑内容，全面保护企业电子邮件系统的安

39、全垃圾邮件成为网络安全的最大威胁1恶意垃圾邮件恶意垃圾邮件内容包括色情、暴力、安全威胁等电子邮件广告性质的垃圾邮件广告性质的垃圾邮件广告性质的垃圾邮件由合法组织大量寄送的广告邮件来自朋友的垃圾邮件来自朋友的垃圾邮件认识的使用者寄送内容包含笑话、网站链接等无企业价值的信息垃圾邮件带来很多不安全因素2病毒和木马病毒和木马80%以上病毒通过邮件传播,其中70%通过垃圾邮件传播。后门程序后门程序后门程序占到恶意代码的21.7%,傀儡程序BOT四处流窜。间谍软件间谍软件间谍软件已经占到了与Internet连接电脑的80%垃圾邮件对企业的不利因素3影响正常业务开展、影响企业生产效率、丢失业务机会、信息泄密

40、、信影响正常业务开展、影响企业生产效率、丢失业务机会、信息泄密、信任诈骗、任诈骗、垃圾邮件趋势选择反垃圾邮件产品的原则功能全面、准确度高辩识率(垃圾邮件辩识的百分比)误判率(被删除或隔离的正常邮件百分比)漏判率(被当成正常邮件的垃圾邮件百分比)高效率、可快捷部署，具备良好的易用性和可管理性产品的可靠性，持续的服务项目项目10-10-邮件安全网关邮件安全网关Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目11-11-网络安全域划分网络安全域划分信息系统现状组网方式随意性强，缺乏

41、统一规划，扩展性差网络区域之间边界不清晰，互联互通没有统一控制规范业务系统各自为政，与外网存在多个出口，无法统一管理安全防护策略不统一，安全防护手段部署原则不明确对访问关键业务的相对不可信终端缺乏有效控制导致的问题无法有效隔离不同业务领域，跨业务领域的非授权互访难于发现和控制无法有效控制入侵和网络病毒的发作区域和影响不能及时发现安全事件和响应第三方维护人员没有访问控制和授权合作伙伴的身份无法准确认证关键服务器、信息资产缺乏重点防护安全域防护把复杂的系统的安全保护问题，分解为更小、结构化的区域的安全保护问题。按照“统一防护、重点把守、纵深防御”的原则，实现对系统的分域、分级的安全保护一般服务区计

42、算环境 核心区重要服务区计算环境域计算环境域互联网接入区外联网接入区内联网接入区内部网接入区边界接入域边界接入域骨干区 汇聚区 接入区网络基础设施域网络基础设施域安全系统网管系统其他支撑系统支撑性设施域支撑性设施域Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential项目项目12-12-代码审计代码审计1 1源代码审计方法源代码审计方法n 收益提高代码质量发现应用风险点避免损失提高安全技能目的：通过源代码静态分析工具扫描、分析，发现应用程序编码过程中造成的目的：通过源代码静态分析工具扫描、

43、分析，发现应用程序编码过程中造成的安全漏洞，对导致安全漏洞的错误代码进行人工定位和验证，并提供代码修订措施安全漏洞，对导致安全漏洞的错误代码进行人工定位和验证，并提供代码修订措施和建议和建议。以功能为主，忽略安全的重要性以功能为主，忽略安全的重要性缺乏完全适用的安全设计开发流程缺乏完全适用的安全设计开发流程 开发者缺乏安全开发经验开发者缺乏安全开发经验企业应用安全主要依赖于企业应用安全主要依赖于发现问题和修复问题，主发现问题和修复问题，主要原因有三：要原因有三：2 2源代码审计内容源代码审计内容Copyright Human Horizons and/or its affiliates.All

44、 Rights Reserved.|ConfidentialITIT安全建议事项安全建议事项1.建立公司级健全的信息安全组织，各部门设立信息安全专员，定期参加公司信息安全培训，并负责监督各部门信息安全违规行为，公司信息安全部门月度发布信息安全管理简报2.公司IT设备统一归口管理，财务部及采购部配合执行，业务部门自主购买IT设备的申请不予受理，避免由于设备标准不一造成的信息安全管理漏洞3.修订公司电脑配备标准，不再全员发放移动笔记本，部分无强移动办公需求的岗位配发台式机，Mac电脑原则上不予发放（特殊岗位需报执委会同意），避免由于苹果系统封闭的原因，导致部分安全策略失效4.研发部门互联网服务关闭

45、，按需进行审批，并经信息安全确认联网设备无信息安全风险及软件license法规风险后，进行开放5.公司数据统一存储、备份管理，核心敏感岗位个人终端数据进行备份6.设备终端（终端屏幕及打印机）进行水印控制，避免拍照及打印方式泄密7.全公司企业微信等即时通讯类工具禁止文件传输，所有文件传输通过邮件及企业云盘进行交互Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential华人运通员工信息安全工作要点华人运通员工信息安全工作要点每个人都是信息安全的主体，都有责任保证公司信息安全除了自己要保护公司信息

46、安全，也要教导他人保护公司信息安全在公司没有技术手段的情况下，员工也应自觉保护公司信息安全熟读公司发布的信息安全制度，遵照制度中的条例行事工作中除了考虑工作效率，也要考虑是否注意到了信息安全发现不正常的人和事，及时通知IT信息安全部门，避免公司损失123456Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidential信息安全框架设计信息安全框架设计信息安全方针信息安全组织人力资源安全资产管理访问控制密码学物理环境安全操作安全通信安全系统获取开发、维护供应商管理信息安全事件业务连续性的信息安全方

47、面符合性ISMSISMSCHECK 检查ACT 行动PLAN 计划DO 实施ISO27001 标准计算机信息系统 安全保护等级划分准则SOX法案信息安全管理框架信息安全策略信息安全方针人力资源安全资产管理物理与环境安全操作安全通信安全信息系统获取、开发与维护密码学访问控制供应商管理信息安全事件管理业务连续性的信息安全方面符合性信息安全技术框架 终端安全 数据安全 应用安全 网络安全 物理安全 系统安全身份认证访问控制内容安全监控审计恢复备份领域领域维度维度Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Co

48、nfidential安全建设落地安全建设落地-关键点关键点u全方位多样式的安全意识宣贯u简化有效的风险评估方法u建立合理化、层次化的信息安全组织u全员积极参与信息安全管理体系建设并严格按照安全管理要求执行u和业务目标保持一致，与现有管理体系有效融合u建立明确的信息安全工作职责矩阵u切实推动风险整改工作u做实做细体系有效性测量和内部审核工作落落地地关关键键u持续改进Copyright Human Horizons and/or its affiliates.All Rights Reserved.|Confidentialn国家信息安全技术信息系统安全等级保护基本要求从物理安全、网络安全、主机安

49、全、应用安全、数据安全提出了技术方面的需求。物理安全 主机安全 数据安全物理位置的选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁防护身份鉴别访问控制安全审计剩余信息保护入侵防范恶意代码防范资源控制数据完整性数据保密性备份和恢复 网络安全 应用安全 总体性要求结构安全访问控制安全审计边界完整性检查入侵防范恶意代码防范网络设备防护身份鉴别访问控制安全审计剩余信息保护通信完整性通信保密性抗抵赖软件容错资源控制构建纵深的防御体系采取互补的安全措施保证一致的安全强度建立统一的支撑平台进行集中的安全管理安全不违规安全不违规-国家等保要求国家等保要求Copyright Hum

50、an Horizons and/or its affiliates.All Rights Reserved.|Confidentiall作为美国上市企业必须满足资本市场的要求，按时、全面、系统地建立符合作为美国上市企业必须满足资本市场的要求，按时、全面、系统地建立符合SOX404的内的内控体系。控体系。l塞班斯法案涉及到公司治理、内部控制、财务报告、管理流程、信息系统、法律责任等各塞班斯法案涉及到公司治理、内部控制、财务报告、管理流程、信息系统、法律责任等各个方面。个方面。SOX法案规定，上市公司的内控管理必须切实做到保护财务数据、维护系统安全、法案规定，上市公司的内控管理必须切实做到保护财务