业务背景

中保办2011年下发《关于加强涉密网络测评审批工作的通知》，明确要求“中央和国家机关在用涉密网络及各省（区、市）机关、单位在用涉密网络，需要根据要求完成测评审批”，捷普在全国个省（区、市）重点推广分级保护咨询、继承业务项目，用自身的安全技术和涉密网建设经验优势服务客户。

依据《中华人民共和国保守国家秘密法》和国家秘密及其密级具体范围的规定,国家秘密信息的密级分为秘密级、机密级和绝密级。涉密信息系统应按照所处理信息的最高密级，由低到高划分为秘密、机密和绝密三个等级，涉密信息系统以系统内所处理信息的最高密级确定系统密级。

安全挑战

涉密改造需要严格按照国家保密局新颁布的国家保密标准BMB23-2008《涉及国家秘密的信息系统分级保护方案设计指南》进行设计，参照BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》对机密级信息系统的技术要求进行设计，参照BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》对机密级信息系统的管理要求进行设计。

涉密信息系统安全需求如下：

1.物理隔离

涉密信息系统不得直接或间接连接互联网，应实行物理隔离。

2.安全保密产品选择

涉密信息系统中使用的安全保密产品原则上应选用国产设备。安全保密产品应通过国家相关主管部门授权的测评机构的检测。

3.安全域边界防护

1) 安全域之间的边界应划分明确，安全域与安全域之间的所有数据通信都应安全可控：

2) 对于不同等级的安全域间通信，应禁止高密级信息由高等级安全域流向低等级安全域。

4.密级标识

涉密信息系统中的信息应有相应的密级标识。密级标识应与信息主体不可分离，其自身不可篡改。

针对以上整改需求，本方案主要针对安全域边界防护部分。

解决方案

根据上述技术要求，在方案设计时应采取的技术措施包括防火墙、入侵防御系统、防病毒网关、信息审计系统、漏洞扫描系统等，如下表所示。

在涉密信息系统分级保护设计中，应遵循物理隔离、分域分级、技管并重、最小授权与分权管理几个原则。

其中分域分级是网络安全设计中一个非常重要的理念。具体来说，不同的安全域可单独确定等级，并应按照相应等级的保护要求进行保护。同一等级的不同安全域可根据风险分析的结果和实际安全需求，选择采用不同的保护要求进行保护。

对安全域之间的通信，要求做到：

安全域之间的边界应划分明确，安全域与安全域之间的所有数据通信都应安全可控。

对于不同等级的安全域间通信，应禁止高密级信息由高等级安全域流向低等级安全域。

在BMB17-2006【涉及国家秘密的信息系统分级保护技术要求】中，明确规定的网络边界安全技术措施包括：

防止计算机病毒或恶意代码通过网络、电子邮件及其附件和移动存储介质等途径进行传播等。

采用国家相关主管部门批准使用的检测工具对系统进行安全性能检测，检测工具版本应及时更新。

应根据信息安全对抗技术的发展，在系统或安全域边界的关键点采用严格的安全防护机制，如严格的登录／连接控制，高性能的防火墙、防病毒网关、入侵防范、信息过滤、边界完整性检查等。

应对进出系统或安全域的事件进行审计，审计记录至少包括时间、地点、类型、主体、客体和结果等情况。

应采用相应的工具（如入侵检系统、日志分析软件、网络取证分析工具等）对系统内的安全事件进行监控，检测攻击行为并能及时发现系统内非授权使用情况。

应集中管理系统内的所有入侵监控设备；入侵监控系统应与访问控制或流向控制联动，以便及时隔离或消除攻击。

客户价值

所有产品均为国内生产，且具有国家保密局检测证书，完全满足分级保护建设要求。

提供建设咨询、方案设计、继承实施全套服务。

资质齐全，专业技术分保建设团队。