卫生局医疗云信息安全等级保护建设方案

卫生局医疗云信息安全等级保护建设方案V3.0

卫生局医疗云信息安全等级保护

建 设 方 案

1

卫生局医疗云信息安全等级保护建设方案V3.0

目录

1 项目综述 ................................................... 5 1.1 项目背景 ................................................. 5 1.2 安全目标 ................................................. 5 1.3 建设范围 ................................................. 6 1.4 建设依据 ................................................. 6 1.4.1 国家相关政策要求 ..................................... 6 1.4.2 等级保护及信息安全相关国家标准 ....................... 7 2 云安全等保风险分析 ......................................... 8 2.1 合规性风险 .............................................. 11 2.2 系统建设风险 ............................................ 11 2.2.1 应用迁入阻力风险 .................................... 12 2.2.2 虚拟化平台品牌选择风险 .............................. 12 2.2.3 建设质量计量、监督风险 .............................. 12 2.2.4 安全规划风险 ........................................ 12 2.2.5 建设计划风险 ........................................ 13 2.3 安全技术风险 ............................................ 14 2.3.1 物理安全风险 ........................................ 14 2.3.2 网络安全风险 ........................................ 14 2.3.3 主机安全风险 ........................................ 16 2.3.4 应用安全风险 ........................................ 17 2.3.5 数据安全风险 ........................................ 18 2.3.6 虚拟化平台安全风险 .................................. 20 2.3.7 虚拟化网络安全风险 .................................. 21 2.3.8 虚拟化主机安全风险 .................................. 22 2.3.1 安全管理风险 .......................................... 23 2.3.2 云环境下的特有安全管理风险 .......................... 23

2

卫生局医疗云信息安全等级保护建设方案V3.0

2.3.3 安全组织建设风险 .................................... 24 2.3.4 人员风险 ............................................ 24 2.3.5 安全策略风险 ........................................ 25 2.3.6 安全审计风险 ........................................ 25 2.4 安全运维风险 ............................................ 25 2.4.1 云环境下的特有运维风险 .............................. 26 2.4.2 环境与资产风险 ...................................... 27 2.4.3 操作与运维风险 ...................................... 27 2.4.4 业务连续性风险 ...................................... 27 2.4.5 监督和检查风险 ...................................... 28 2.4.6 第三方服务风险 ...................................... 28 3 解决方案总体设计 .......................................... 29 3.1 设计原则 ................................................ 29 3.2 安全保障体系构成 ........................................ 31 3.2.1 安全技术体系 ........................................ 32 3.2.2 安全管理体系 ........................................ 36 3.2.3 安全运维体系 ........................................ 36 3.3 安全技术方案详细设计 .................................... 37 3.3.1 信息安全拓扑设计 .................................... 38 3.3.2 安全计算环境设计 .................................... 52 3.3.3 安全区域边界设计 .................................... 64 3.3.4 安全通信网络设计 .................................... 68 3.3.5 安全管理中心设计 .................................... 72 3.4 安全管理体系详细设计 .................................... 76 3.4.1 安全管理建设设计指导思想 ............................ 76 3.4.2 建立安全管理制度及策略体系的目的 .................... 77 3.4.3 设计原则 ............................................ 77 3.4.4 安全方针 ............................................ 78 3.4.5 信息安全策略框架 .................................... 78

3