一、信息安全规划完整大纲

1. 信息安全基础概述

1.1 信息安全定义

立足企业战略与业务需求制定安全规划；防护范畴：企业机密防泄露、不良信息管控、个人信息保护。

1.2 信息安全五大基本属性

保密性、完整性、可用性、可控性、不可否认性。

1.3 常见信息安全威胁

信息泄露、数据篡改、拒绝服务、非授权访问、窃听、业务流分析、假冒、木马、病毒、后门、抵赖、重放、人员渎职、物理入侵、设备窃取、业务欺骗等。

2. 信息安全规划原则与关键配套工作

2.1 规划时效划分

• 短期规划：紧急高危风险整改，以落地实施方案为主
• 中长期规划（1～3 年）：体系化建设、路线与任务规划（主流）
• 远景规划（3 年以上）：基于行业趋势的战略思路设计

2.2 规划核心注意事项

1. 安全建设紧扣业务，安全战略对齐企业整体战略、IT 战略
2. 基于业务开展全流程风险管理

2.2.1 完整风险管理六环节

风险识别→风险分析（定性 + 定量）→风险应对（规避 / 减轻 / 转移 / 接受）→风险持续监控→沟通培训→应急准备→审计优化改进

2.2.2 风险偏好与合规管理

• 风险偏好：组织对待风险的整体态度
• 外部合规：国家法律法规、地方法规、行业监管政策
• 内部合规：匹配企业内部管理制度；安全管控落地两条路径：管理制度、IT 安全系统（制度为根本，IT 是管控落地工具）

3. 信息安全架构体系

3.1 三道安全防线架构

系统安全架构、安全技术体系架构、安全审计架构

1. 系统安全架构：从系统内生实现安全，减少对外防护依赖
2. 安全技术体系架构：搭建安全基础设施、安全组件、配套工具
3. 审计架构：独立审计能力，覆盖全类型风险发现

3.2 SABSA 安全架构（六层视图 + 全生命周期）

1. 六层模型：业务视图 (情境安全架构)、架构视图 (概念安全架构)、设计视图 (逻辑安全架构)、构建视图 (物理安全架构)、实施视图 (组件安全架构)、服务管理视图 (安全服务管理架构)
2. SABSA 四阶段周期：战略规划→多维度架构设计→落地实施→运行度量与偏差管控

3.3 GB/T20274.1 安全保障三维模型

三维度：保障要素、全生命周期、安全能力成熟度

1. 生命周期五阶段：规划组织、开发采购、实施交付、运行维护、废弃
2. 四大保障要素：技术、工程、管理、人员
3. 能力成熟度五级：基本执行级→计划跟踪级→充分定义级→量化控制级→持续优化级
4. 核心逻辑：以风险 + 安全策略为根基，全生命周期落地综合保障。

4. 信息安全规划四大核心内容

4.1 安全组织体系规划

1. 顶层治理层：安全治理 + 执行管理者
2. 跨部门协调机构：高管 + 各业务部门负责人
3. 内部执行组织：安全主管部门 + 业务配合部门
4. 外部联络：监管机关、行业安全机构、消防等外部单位

4.2 信息安全管理体系规划

1. 体系特征：基于风险评估、预防为主、合规守法、全生命周期动态管控、平衡投入与风险、聚焦关键资产、保障 CIA 三元组
2. 网络安全等级保护（等保）

• 五级分级：1 自主保护、2 指导保护、3 监督保护、4 强制保护、5 专控保护
• 架构：一个安全管理中心 + 三重防御（计算环境、区域边界、通信网络）
• 落地步骤：系统定级→安全要求分析→风险评估→安全措施选型→安全建设落地

4.3 安全技术体系规划

（1）身份认证

静态密码、智能卡、短信口令、动态口令、USBKey (PKI / 挑战应答)、生物识别 (人脸 / 虹膜)、多因素认证 (VIEID 等)

（2）访问控制四类模型

DAC 自主访问、RBAC 基于角色、RBAC 规则型、MAC 强制访问

（3）边界与主机防护

防火墙、网闸（物理隔离摆渡）、入侵检测 (实时 / 事后)、防病毒体系（6 项防护准则：准入、查毒、控传播、清除、数据恢复、备用系统）

（4）数据加密

对称加密、非对称加密；链路加密、节点加密、端到端加密

4.4 安全运营体系规划

1. 基础运营原则：按需可知、最小特权、职责分离
2. 常用管控手段：双人控制、岗位轮换、强制休假、特权账号管控
3. 安全培训：基础常识、操作规范、实战演练、常态化宣教
4. 应急响应全流程：制定策略→联络渠道→处置流程→定期演练→事后复盘优化（问题收集→评估→整改落地→效果监控）

5. 信息安全规划落地实施流程

总体路径：确定安全战略目标→现状调研（风险评估 + 合规差距分析）→总体安全架构蓝图设计→差距对标分析→拆分建设项目→分阶段排期落地→落地监督与迭代优化

概述，信息安全规划应从企业的发展战略和业务需求出发，信息安全的定义，信息安全也包括防范商业企业机密泄露、防范青少年对不良信息的浏览、防范个人信息的泄露等，信息安全的基本属性包括以下五个方面，保密性，不泄漏给未经授权者，完整性，传送过程中没有被非法用户添加、删除、替换等，可用性，随时为授权者提供服务，可控性，能够对信息实施必要的控制管理，不可否认性，人们要为自己的信息行为负责

信息安全面临的威胁，具体来讲常见的安全威胁有以下几种，信息泄露，破坏信息的完整性、拒绝服务、非法使用（非授权访问）窃听、业务流分析、假冒、旁路控制、授权侵犯、特洛伊木马、陷阱门、抵赖、重放、计算机病毒、人员渎职、媒体废弃、物理侵入、窃取、业务欺骗

信息安全规划的原则，时效性，规划可分为短期规划、中长期规划、远景规划，短期规划主要适用于短期内针对风险比较严重或紧迫度较高的方面进行紧急规划，主要以方案性内容为主，中长期规划主要是针对1-3年的工作进行规划，主要以体系化规划为主，内容偏路线、任务性质，目前这种规划应用较多，远景规划则是3年以上的规划，通过对多种趋势的分析和研判，从战略、形势上进行思路性构想

信息安全规划的注意事项，所有的信息安全活动都应该围绕组织业务展开，组织的IT战略和信息安全战略都需要与组织战略保持一致，基于业务的风险理解，基于业务的风险分析不仅是一个风险管理过程，也是一个决策支持过程，关键风险区域，一个完整的风险管理过程应该包括，风险识别，识别可能对业务目标产生负面影响的事项，这需要收集和分析关于潜在风险的信息，并考虑可能影响业务的内部和外部因素，风险分析，评估已识别风险发生的可能性及可能造成的后果，这需要对风险进行量化和定性分析，以确定风险的大小和影响程度，风险应对，制定策略和措施以处理已识别的风险，这可能包括风险规避、减轻、转移或接受等策略，风险监控，持续监控风险的发展和变化，以及监控风险管理措施的效果，这需要定期回顾和更新风险管理策略，以应对新的风险和变化，沟通和培训，确保员工了解风险管理的重要性，以及他们在风险管理中的角色，同时，需要及时、透明地进行风险沟通，使相关人员了解风险的状况和应对措施，应急准备，制订应急计划，以应对可能对业务产生重大影响的突发事件或危机，应急计划应包括响应机制、资源分配和恢复策略，审计与改进，定期对风险管理过程进行审计，以确保其有效性和合规性，同时，应不断寻求改进的机会，以提高风险管理过程的效率和效果

风险偏好是组织对风险的态度，识别出合规性要求，合规是组织套用或遵循统一的标准、惯用的方法而执行规范性框架、流程、操作，已达到或满足相关利益方期望的一系列行为，合规有时是出于被动的被监管有时是出于一定内在、外在需求的主动遵从

外部合规要求，外部合规是指企业与外部监管制度的符合程度，主要包括法律、法规和监管政策，这个逻辑只是将法律体系延伸至更微观的领域，各个省、自治区、直辖市也有地方立法权，但是这些法律不能与国家立法冲突，内部合规要求，内部合规是指信息安全规划应该与企业内部制度保持一致，解决信息安全问题有两种基本途径，一是通过IT系统，二是通过制度，而且IT系统不是必选的，一个组织可以通过制度解决所有的信息安全问题，在信息安全中，控制措施不是随着it系统产生的，恰恰相反，it系统只是作为控制措施存在，是为了实现管理要求

信息安全架构，安全架构的定义和范围，通常的系统安全架构、安全技术体系架构和审计架构可组成三道安全防线，系统安全架构，系统安全架构指构建信息系统安全质量属性的主要组成部分以及他们之间的关系，系统安全架构的目标是如何在不依赖外部防御系统的情况下，从源头打造自身的安全，安全技术体系架构，安全技术体系架构指构建安全技术体系的主要组成部分以及他们之间的关系，安全技术体系架构的任务是构建通用的安全技术基础设施，包括安全基础设施、安全工具和技术，安全组件与支持系统等，系统性地增强各部分的安全防御能力，审计架构，审计架构指独立的审计部门或所能提供的风险发现能力，审计的范围主要包括安全风险在内的所有风险，我们在系统设计时，通常要识别系统可能遇到的安全威胁，通过对系统面临的安全威胁和实施的相应控制措施进行合理评价，提出有效合理的安全技术，形成提升信息系统安全性的安全方案，这是安全架构设计的根本目标

商业应用安全架构，SABSA是一套信息系统安全架构框架，它以业务视角作为起点，六层模型，业务视图，情境安全架构，架构视图，概念安全架构， 设计视图，逻辑安全架构，构建视图，物理安全架构，实施视图，组件安全架构，服务管理视图，安全服务管理架构

SABSA周期，开始为战略和规划活动，然后是设计活动，包含逻辑、物理、组件和服务管理架构的设计，第三个是实施活动，最后是管理和衡量活动，管理和衡量活动的意义在于，在流程的早期设置目标绩效指标，一旦系统投入运行，则必须根据目标衡量实际绩效，并管理观察到的任何偏差

信息系统安全保障模型，在国家标准GB/T20274.1（信息安全技术信息系统安全保障评估框架第1部分：简介和一般模型）中描述了信息系统安全保障模型，该模型包含保障要素、生命周期和能力成熟度三个维度，该信息系统安全保障模型将风险和策略作为信息系统安全保障的基础和核心，首先，强调信息系统安全保障持续发展的动态安全模型，即信息系统安全保障应该贯穿于整个信息系统生命周期的全过程，其次，强调综合保障的观念，信息系统的安全保障是通过综合技术、管理和工程的安全保障来实施和实现信息系统的安全保障目标，通过对信息系统的技术、管理和工程的评估，提供对信息系统安全保障的信心，第三以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理和工程保障要素，从而使信息系统安全保障实现信息安全的安全特征，达到保障组织机构执行其实名的根本目的，生命周期是指信息系统保障应贯穿信息系统整个生命周期，包括规划组织、开发采购、实施交付、运行维护和废弃五个阶段，保障要素是指信息系统安全保障需要从技术、工程、管理和人员四个领域进行综合保障，安全能力成熟度等级用来评价基于生命周期的过程安全保障要素的保障能力，划分为五个等级，从低到高依次是，基本执行级，特征为随机、被动的实现基本实践，依赖个人经验，无法复制，计划跟踪级，特征为主动的实现基本实践的计划与执行，但没有形成体系化，充分定义级，特征为基本实践的规范定义与执行，量化控制级，特征为建立了量化目标，基本实践的实现能进行度量与预测，持续优化级，特征为能根据组织的整体目标，不断改进和优化实现基本实践

信息安全规划的主要内容，信息安全组织体系规划，信息安全规划成功的一个重要保障就是建立起信息安全组织体系，以协调推动信息安全工作，有力的组织支撑是信息安全实践成功的关键要素之一，在任何管理实践中，技术都只能有限地提高战斗力，组织形式才是基础，一个合理的组织框架至少应包括，信息安全的最高管理层，其中包括治理者和执行管理者，信息安全的协调机构，协调机构应该包括最高管理层和各个部门的负责人，信息安全的内部组织，内部组织包括主管部门和配合部门，组织可以新增信息安全部门主管，也可以制定信息技术部门主管，信息安全的外部联系，外部联系指组织应与诸多外部组织保持固定的联系，例如，与消防部门保持联系，以定期进行消防演练，与信息安全专业组织保持联系，以获取最新的信息安全行业资讯，与政府、地方监管部门等诸多组织都应该保持联系，信息安全管理体系规划，信息安全管理体系是一个系统化、程序化和文件化的管理体系，应具有以下特点，体系的建立基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律法规及其他合同方要求，强调全过程和动态控制，本着控制费用和风险平衡的原则合理选择安全控制方式，强调保护组织所拥有的关键性信息资产，而不是全部信息资产，确保信息的机密性、完整性和可用性，保持组织的竞争优势和业务运作的持续性，基于等级保护的信息安全管理体系，信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息机公开信息和储存、传输、处理这些信息的信息资源分等级实行安全保护，对信息资源中使用的信息安全产品实行按等级管理，对信息资源中发生的信息安全事件分等级响应、处置，等级保护对象主要包括运营商和服务提供商、重点行业和重要机关等，等保等级的定义如下：第一级（自主保护级）等级保护对象收到破坏后，会对公民、法人和其他组织的合法权限造成损害，但不损害国家安全、社会秩序和公共利益，第二级（指导保护级）等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全，第三级（监督保护级）等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害，第四级（强制保护级）等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害，第五级（专控等级保护）等级保护对象受到破坏后，会对国家安全造成特别严重损害，等保基本框架，等保充分体现了一个中心三重防御的思想，一个中心指安全管理中心，三重防御指安全计算环境、安全区域边界、安全网络通信，等保2.0强化可信计算安全技术要求的使用，实施方法，等保的实施方法中主要涉及以下内容，安全定级，对系统进行安全等级的确定，基本安全要求分析，对应安全等级划分标准，分析、检查系统的基本安全要求，系统特定安全要求分析，根据系统的重要性、涉密程度及具体应用情况，分析系统特定安全要求，风险评估，分析和评估系统所面临的安全风险，改进和选择安全措施，根据系统安全级别的保护要求和风险分析的结果，改进现有安全保护措施，选择新的安全保护措施，实施安全保护，信息安全技术体系规划，理解和应用信息安全技术的首要前提就是能够将信息系统所需的安全技术提前规划到信息安全策略和设计当中，通过使用许多的信息安全技术和机制为信息系统提供保密性、完整性和可用性，身份认证，是在计算机网络中确认操作者身份的过程，身份认证可以分为用户和主机间的认证和主机与主机之间的认证，虚拟身份电子标识（vieid）虚拟身份电子标识俗称网络身份证，失望明仔网络上的身份标识，交由唯一性，静态密码，智能卡，短信密码，他利用what you have 的方法，日常生活中经常用到的认证方法之一，动态口令，他也是利用what you have方法，动态口令牌是客户手持用来生成动态密码的终端，大多是基于时间同步方式的，USB key，基于usb key 的身份认证系统主要两种应用模式，一种是基于冲击、响应（挑战、应答）的认证模式，另一种是基于公钥基础设施（PKI）体系的认证模式。比较多地运用在电子政务、网上银行等方面，生物识别，生物识别运用了 who you are方法，生物特征分为身份特征（人脸识别）和行为特征（左右转头、眨眼、张嘴等）两类，双因素认证，infogo认证，虹膜认证，访问控制，访问控制技术指防止对任何资源进行未授权的访问，访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问，常见的访问控制机制有以下四种，自主访问控制（DAC）让客体的所有者来定义访问控制规则，基于角色的访问控制（role-BAC）将主体划分为不同的角色，然后对每个桔色的权限进行定义，基于规划的访问控制（rule-BAC）制定某种规则，将主体、请求和客体的信息结合起来进行判定，强制访问控制（MAC）一种基于安全级别标签的访问控制策略，入侵检测，入侵检测可以分为实时入侵检测和事后入侵检测两种，实时入侵检测在网络连接过程中进行，系统根据用户的历史行为模型、存储在计算机中的专家知识及神经网络模型对用户当前的操作进行判断，一旦发现入侵迹象立即断开入侵者与主机的连接，并收集证据和实施数据恢复，这个检测过程是不断循环进行的，而事后入侵检测则是由具体网络安全专业知识的网络管理人员定期或不定期进行的，它不具有实时性，因此防御入侵的能力不如实时入侵检测系统，防火墙，目前的防火墙已经是一个由软件和硬件设备组合而成的，在内部网和外部网之间、专用网和公共网，之间的界面上构造的保护屏障，是一种获取安全性方法的形象说法，防火墙主要由服务访问规则、验证工具、包过滤和应用网关四个部分组成，网闸，网闸技术也称网络隔离技术，由两套各自独立的系统分别连接安全和非安全的网络，两套系统之间通过网闸进行信息摆渡，保障两套系统之间没有直接的物理通路，防病毒，常见的病毒防护策略准则包括，拒绝访问能力，来历不明的入侵软件（尤其是通过网络传输的软件）不得进入系统，病毒检测能力，应当认识到，病毒总是有可能进入系统的，系统中应设置检测病毒的机制，除了检测已知病毒外，能否检测未知病毒是一个重要的指标，控制病毒传播的能力，应当认识到，没有一种方法能检测出所有病毒，一旦病毒进入系统，不应让病毒在系统中到处传播，系统一定要有控制病毒传播的能力，清除能力，如果病毒突破了系统的防护，即使他的传播受到了控制， 也要有相应的措施将他清除掉，对于已知病毒，可以使用专用杀毒软件，对于未知病毒，在发现后使用软件工具对他进行分析，尽快编写出消杀软件，当然如果有后备文件，也可以使用它直接覆盖受感染文件，但一定要查清楚病毒的来源，恢复能力，有坑呢在消除病毒以前，病毒就破坏了系统的数据，系统应提供一种高效的方法来恢复这些数据，替代操作，系统应该提供一种替代操作方案，在恢复系统时可用替代系统工作，问题解决后再换回来，这一准则对于某些关键的系统应用是必须予以保证的，数据加密技术，数据加密是一种保护数据在传输或存储过程中不被未授权访问或泄露的技术，数据加密技术可以分为对称加密和非对称加密两种，对称加密是指加密和解密使用相同的密钥，如单密钥体制，这种加密方式的特点是加密和解密速度快，但密钥的分发和管理比较困难，非对称加密则使用一对密钥，其中公钥用于加密数据，私钥用于解密数据，这种加密方式的特点是密钥管理相对简单，但加密和解密速度较慢，除了对称加密和非对称加密外，还有其他的数据加密技术，如链路加密，节点加密和端到端加密等，链路加密实在通信链路上对数据进行加密，保证数据在传输过程中不被泄露，节点加密是在通信节点上对数据进行加密和解密，保证数据在整个传输过程中的安全性

信息安全运营体系规划，安全运营是一个长期持续的过程，因需可知和最小特权，因需可知和最小特权是任何安全的信息系统环境都要遵循的两个标准原则，因需可知是指仅授予用户执行工作所需数据或资源的访问权限，他的主要目的是让秘密信息保持秘密状态，最小特权是指主体仅被授予执行指定工作所需的特权，这里的特权既包括访问数据的权限，也包括执行信息系统任务的权利，对于数据，特权是指控制写入、创建、更改或删除数据的能力，因此，限制和控制特权即可保护数据的完整性和保密性，例如如果用户仅可以修改工作要求的数据文件，最小特权原则就可以保护环境中其他文件的完整性，职责分离和责任，其他常用安全运营方法，双人控制，岗位轮换，强制休假，特权账户管理，安全培训和意识提升，安全培训应该包括以下几个方面，基础知识培训，操作规范培训，模拟演练培训，持续宣传教育，应急响应，应急响应式信息安全规划中的重要组成部分，它确保在发生安全事件或紧急情况时，能够迅速、有效地应对和恢复，在信息系统安全运营规则中，应急响应计划必须规划成周期性活动，需要管理人员定期组织应急响应计划的演练，以检验当前应急响应计划是否符合组织的实际情况，并能及时发现其中的问题，针对性地进行应急响应计划的修改和完善，以下是一个具体的应急响应计划的示例，制定应急响应策略，建立紧急联系渠道，制定应急响应流程，进行应急演练，建立应急响应报告和记录，事后总结与改进，在事后总结与改进阶段，以下步骤是必不可少的，收集数据和信息，分析和评估，制定改进措施，实施改进措施，监控和评估改进效果，信息安全规划案例，信息安全总体战略目标是信息安全规划的起点，明确信息安全发展方向和战略目标也就决定了企业信息安全总体架构模式，通过风险评估、合规差距评估、组织自身需求等手段，开展针对性地信息安全现状分析，信息安全总体架构和蓝图设计是信息安全规划的核心部分，根据信息安全战略目标的安全需求分析结果，构建符合客户未来发展的信息安全总体架构和基础架构，并提炼出信息建设重点及蓝图，明确信息安全总体架构的建设重点后，需对安全现状及总体架构之间的差距进行分析，提出改进措施，明确所需关键项目，并从阶段目标、项目优先级以及相关性进行分析，制订关键项目实施计划，并监督执行，从而最终实现整体安全信息发展战略目标