一、项目背景

为了加快国民经济与社会信息化进程，国家在众多领域实施的一系列的金字号工程。国家安全生产总局是国务院直属单位及重要办事机构，下辖生产、监察、应急指挥、事业单位等机构，通过多年的信息化建设，网络信息系统建设已经具有一定的规模，并为国家安全生产提供了强有力的支持。随着时间的推移，现有信息系统已经不能完全满足对业务的支撑作用。为此，国家信息化领导小组已将国家安全生产信息系统建设项目正式列为“金安”工程，与金财、金关、金税、金宏、金审等金字号工程一起写入了有关文件。

国家安全生产监督管理总局是国务院主管安全生产综合监督管理的直属机构，也是国务院安全生产委员会的办事机构。作为资源专网建设的主要项目即“国家安全生产信息系统”第一阶段（“金安”工程一期）已在“十五”期间得到国家发展改革委的批准并正式立项，在“十一五”期间作为重点项目予以实施。

二、现状描述

从系统总体结构上，国家安全生产信息系统（“金安”工程一期项目）覆盖国家安全生产监管总局到省级机构（共45个）、部分地级机构（共116）和区（县）机构（共900个）以及地区煤矿监察分局（共71个）四级安全生产监管和监察部门，四级网络通过广域网互联。

三、需要解决的问题

本次国家安全生产信息系统建设（“金安”工程一期项目）是包含了网络基础设施建设、应用系统建设和安全保障体系建设三大方面的内容，信息安全保障体系是建立在网络平台设施的基础上为应用系统提供安全运行保障体系，因此对于国家安全生产信息系统安全系统的建设，必须以全局的目光看待整个项目的需求建设情况，根据网络平台体系架构，应用系统架构和业务流程而综合得出安全系统的最终要求。

经分析，本次项目的需求如下：

● 根据国家安全生产信息系统的建设情况提出有针对性的安全解决方案；

● 充分考虑国家安全生产信息系统未来业务发展的需求，提出有计划的安全体系建设步骤；

● 根据国家安全生产监督管理总局的产品需求，综合考虑国内外众多安全厂商的主流安全产品，提出有针对性的安全产品解决方案和产品管理部署方案；

四、解决方案

国家安全生产信息系统的安全体系建设应当从整体安全的角度出发，纵向贯穿安全管理，安全技术，服务支持三大体系，形成国家安全生产信息系统安全保障体系。如下图所示：

该体系架构通过安全管理平台将安全技术和管理相融合，并与网络管理平台相互联动，通过统一管理界面对网络安全系统的风险进行可视化管理，同时依托安全服务业务确保该体系的持续改进。

1.安全管理体系设计

安全管理体系的设计包括安全组织体系的建设和安全策略体系的建设。安全组织作为安全工作的管理和实施体系，主要负责网络安全策略、制度、规划的制订和实施，确定网络中各种安全管理岗位和相应的安全职责，并负责选用合适的人员来完成相应岗位的安全管理工作，监督各种网络安全工作的开展，协调各种不同部门在安全实施中的分工和合作，保证安全目标的实现。信息安全策略体系为信息安全提供管理指导和支持。国家安全生产监督管理总局应该制定一套清晰的指导方针，并通过在组织内对信息安全策略的发布和保持来证明对信息安全的支持与承诺。信息安全策略指的是从网络信息资产安全管理的角度出发，为了保护信息资产，消除或降低风险而制订的各种纲领、制度、规范和操作流程的总和。网络安全策略是一个层次化的概念，包含上到指导方针，下到实施细则的一系列指导性文档体系。 

2.安全技术体系设计

安全技术体系包括监控体系和支撑性基础设施两个方面的内容。

安全监控平台包括网络管理平台和安全管理平台两大平台，其中网络管理平台的管理对象主要包括网络交换机、路由器以及服务器等；安全管理平台的管理对象主要是网络安全系统或设备，如防火墙、入侵检测、终端安全管理、病毒防护系统、漏洞扫描系统等，其中网络安全审计作为安全管理平台的一个功能（或作为管理对象）。安全管理平台可以收集来自于网络管理平台的设备状态等信息，然后通过统一的管理界面进行统一的展示。

支撑性基础设施的建设采取的技术安全措施主要有：访问控制、内容过滤、身份鉴别、授权管理、审计追踪、数据加密、入侵分析、安全加固、容灾备份等内容。在国家安全生产信息系统我们采用了如下技术：

防病毒系统：在国家安全生产信息系统所有的工作站和服务器上分别部署防病毒软件，实施“层层设防、集中控制、以防为主、防杀结合”的策略，建立完善的网络病毒防治服务体系。

可信终端系统：在国家安全生产信息系统的每一台终端上安装可信终端系统的代理程序，从而实现以下几个方面来保证系统的安全：操作人员身份的标识和鉴别；访问控制；信息保密；可信应用；补丁升级；审计。

数据库审计系统：通过建立数据库审计机制，审计用户访问数据库系统的操作行为，并进行审计记录，以便事后追查取证，

主页防篡改系统：国家安全生产信息系统的网站的网页代表着国家权威，无论如何不能够出现网页被篡改的事故，网页篡改是最高级别的安全事故，针对这个安全问题，采用网页修复技术，一旦发现网页信息被篡改，将立即修复。

邮件过滤子系统设计：部署邮件过滤子系统，有效过滤传递的垃圾信息和敏感的非法信息，避免工作人员因为查看删除垃圾邮件带来生产效率的下降。同时通过邮件过滤子系统的病毒查杀模块实现对邮件病毒的查杀，保证内网的清洁。

网络行为监控系统：通过该系统实时抓取网络中的数据进行分析审计匹配、统计，通过特定的协议算法，从而实现入侵检测、信息还原等网络审计监控功能。

防火墙系统：在总局和省级局专网出口和外网的互联网出口处分别部署网神防火墙系统，在地级局及县级局专网出口出部署网神防火墙，并执行严格的访问控制策略，实现内部网络和各广域网的逻辑隔离，杜绝未授权的访问进入内网。

入侵防御系统：在总局互联网出口出部署入侵防御系统，对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意流量传送时或传送后才发出警报，真正做到主动防护。

AAA认证系统：提供可靠的身份认证保证，同时提供较高的兼容性与可扩展能力，建立一个真正的安全可靠的安全身份认证平台，实现多种应用，统一认证平台管理。

VPN系统：为了满足移动人员办公的需要，防止通过广域网传输数据被非授权截取、修改，采用VPN技术构建虚拟专用网络，实现在广域网传输数据的加密，保障传输数据的安全性。

安全管理平台（SOC）：通过集中安全管理中心总体配置、调控整个网络多层面、分布式的安全系统，实现对各种网络安全资源的集中监控、网络安全保护策略集中部署，简化对安全部件的管理，确保网络安全策略的统一。

3.服务支持体系

安全体系建设的根本目标是为了保障支持信息应用的业务系统的持续可靠运行。而对于以生产及业务为主的组织来讲，往往因为安全专业技术能力欠缺、安全信息缺乏及关注程度不够等问题，无法把握信息安全的发展。通过引进网御神州服务支持体系，有效提高了国家安全生产监督管理局相关人员的专业技术能力，在保证业务发展的同时，充分利用现有安全技术体系，不断提升信息安全保障水平。