###############################################################################
本章节根据已确定的安全等级要求和需求，规划设计技术和管理两方面的具体建设内容。
- 6 总体安全规划
- 6.1 总体安全规划阶段的工作流程
- 6.2 安全需求分析
- 6.3 总体安全设计
- 6.4 安全建设项目规划
################################################################################
6. 总体安全规划
6.1 总体安全规划阶段的工作流程
总体安全规划阶段的目标是根据等级保护对象的划分情况、等级保护对象的定级情况、等级保护对象承载业务情况，通过分析明确等级保护对象安全需求，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划，以指导后续的等级保护对象安全建设工程实施。
总体安全规划阶段的工作流程见图3。
6.2 安全需求分析
6.2.1 基本安全需求的确定
活动目标：
根据等级保护对象的安全保护等级，提出等级保护对象的基本安全保护需求。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象详细描述文件，安全保护等级定级报告，等级保护对象相关的其他文档， GB/T 22239,行业基本要求。
活动描述：
本活动主要包括以下子活动内容：
a) 确定等级保护对象范围和分析对象
明确不同等级的等级保护对象的范围和边界，通过调查或查阅资料的方式，了解等级保护对象的业务应用、业务流程等情况。
b) 形成基本安全需求
根据各个等级保护对象的安全保护等级从GB/T 22239、行业基本要求中选择相应等级的要求，形成基本安全需求。
对于已建等级保护对象，应根据等级测评结果分析整改需求，形成基本安全需求。
活动输出：基本安全需求。
6.2.2 特殊安全需求的确定
活动目标：
通过分析重要资产的特殊保护要求，采用需求分析或风险分析的方法，确定可能的安全风险，判断实施特殊安全措施的必要性，提出等级保护对象的特殊安全保护需求。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象详细描述文件，安全保护等级定级报告，等级保护对象相关的其他文档。
活动描述：
确定特殊安全需求可以采用目前成熟或流行的需求分析或风险分析方法，或者采用下面介绍的活动：
a) 重要资产分析
明确等级保护对象中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。
b) 重要资产安全弱点评估
检查或判断上述重要部件可能存在的弱点(包括技术和管理两方面),分析安全弱点被利用的可能性。
c) 重要资产面临威胁评估
分析和判断上述重要部件可能面临的威胁，包括外部、内部的威胁，威胁发生的可能性或概率。
d) 综合风险分析
分析威胁利用弱点可能产生的结果，结果产生的可能性或概率，结果造成的损害或影响的大小，以及避免上述结果产生的可能性、必要性和经济性。
按照重要资产的排序和风险的排序确定安全保护的要求。
活动输出：重要资产的特殊保护要求。
6.2.3 形成安全需求分析报告
活动目标：
总结基本安全需求和特殊安全需求，形成安全需求分析报告。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象详细描述文件，安全保护等级定级报告，基本安全需求，重要资产的特殊保 护要求。
活动描述：
本活动主要的子活动是完成安全需求分析报告。根据基本安全需求和特殊的安全保护需求等形成 安全需求分析报告。
安全需求分析报告可以包含以下内容：
a) 等级保护对象描述；
b) 基本安全需求描述；
c) 特殊安全需求描述。
活动输出：安全需求分析报告。
6.3 总体安全设计
6.3.1 总体安全策略设计
活动目标：
形成机构纲领性的安全策略文件，包括确定安全方针，制定安全策略，以便结合等级保护基本要求系列标准、行业基本要求和安全保护特殊要求，构建机构等级保护对象的安全技术体系结构和安全管理体系结构。
对于新建的等级保护对象，应在立项时明确其安全保护等级，并按照相应的保护等级要求进行总体安全策略设计。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象详细描述文件，安全保护等级定级报告，安全需求分析报告。
活动描述：
本活动主要包括以下子活动内容：
a) 确定安全方针
形成机构最高层次的安全方针文件，阐明安全工作的使命和意愿，定义网络安全的总体目标，规定网络安全责任机构和职责，建立安全工作运行模式等。
b) 制定安全策略
形成机构高层次的安全策略文件，说明安全工作的主要策略，包括安全组织机构划分策略、业务系统分级策略、数据信息分级策略、等级保护对象互连策略、信息流控制策略等。
活动输出：总体安全策略文件。
6.3.2 安全技术体系结构设计
#总结一下安全技术体系结构设计的一个基本原则：就高不就低。各个防护层面，包括云环境下只要有高级别的要求，就按照最高级别要求进行设计。
活动目标：
根据GB/T 22239、行业基本要求、安全需求分析报告、机构总体安全策略文件等，提出等级保护对象需要实现的安全技术措施，形成机构特定的等级保护对象安全技术体系结构，用以指导等级保护对象分等级保护的具体实现。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：总体安全策略文件，等级保护对象详细描述文件，安全保护等级定级报告，安全需求分析 报告，GB/T 22239,行业基本要求。
活动描述：
本活动主要包括以下子活动内容：
a) 设计安全技术体系架构
根据机构总体安全策略文件、GB/T 22239、行业基本要求和安全需求，设计安全技术体系架构。
安全技术防护体系由从外到内的“纵深防御”体系构成，
-
- “物理环境安全防护”保护服务器、网络设备以及其 他设备设施免遭地震、火灾、水灾、盗窃等事故导致的破坏，
- “通信网络安全防护”保护暴露于外部的通信 线路和通信设备，
- “网络边界安全防护”对等级保护对象实施边界安全防护，内部不同级别定级对象尽量 分别部署在相应保护等级的内部安全区域，低级别定级对象部署在高等级安全区域时应遵循“就高保护”原则，
- 内部安全区域即“计算环境安全防护”将实施“主机设备安全防护”和“应用和数据安全防护”
- “安全管理中心”对整个等级保护对象实施统一的安全技术管理。
等级保护对象的安全技术体系架构见图4。
b) 规定不同级别定级对象物理环境的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别定级对象物理环境的安全保护策略和安全技术措施。
定级对象物理环境安全保护策略和安全技术措施提出时应考虑不同级别的定级对象共享物理环境的情况，如果不同级别的定级对象共享同一物理环境，物理环境的安全保护策略和安全技术措施应满足最高级别定级对象的等级保护基本要求。
c) 规定通信网络的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出通信网络的安全保护策略和安全技术措施。
通信网络的安全保护策略和安全技术措施提出时应考虑网络线路和网络设备共享的情况， 如果不同级别的定级对象通过通信网络的同一线路和设备传输数据，线路和设备的安全保护策略和安全技术措施应满足最高级别定级对象的等级保护基本要求。
d) 规定不同级别定级对象的边界保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别定级对象边界的安全保护策略和安全技术措施。
如果不同级别的定级对象共享同一设备进行边界保护，则该边界设备的安全保护策略和安全技术措施应满足最高级别定级对象的等级保护基本要求。
e) 规定定级对象之间互联的安全技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出跨局域网互联的定级对象之间的信息传输保护策略要求和具体的安全技术措施，包括同级互联的策略、不同级别互联的策略等；
提出局域网内部互联的定级对象之间的信息传输保护策略要求和具体的安全技术保护措施，包括同级互联的 策略、不同级别互联的策略等。
f) 规定不同级别定级对象内部的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别定级对象内部网络平台、系统平台、业务应用和数据的安全保护策略和安全技术保护措施。
如果低级别定级对象部署在高级别定级对象的网络区域，则低级别定级对象的系统平台、业务应用和数据的安全保护策略和安全技术措施应满足高级别定级对象的等级保护基本要求。
g) 规定云计算、移动互联等新技术的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求、行业基本要求和安全需求，提出云计算、移动互联等新技术的安全保护策略和安全技术措施。
云计算平台应至少满足其承载的最高级别定级对象的等级保护基本要求。
h) 形成等级保护对象安全技术体系结构
将骨干网或城域网、通过骨干网或城域网的定级对象互联、 局域网内部的定级对象互联、 定级对象的边界、 定级对象内部各类平台、 机房以及其他方面的安全保护策略和安全技术措施进行整理、汇总，形成等级保护对象的安全技术体系结构。
活动输出：等级保护对象安全技术体系结构。
6.3.3 整体安全管理体系结构设计
活动目标：
根据等级保护基本要求系列标准、行业基本要求、安全需求分析报告、机构总体安全策略文件等，调整原有管理模式和管理策略，既从全局高度考虑为每个等级的定级对象制定统一的安全管理策略，又从每个定级对象的实际需求出发，选择和调整具体的安全管理措施，最后形成统一的整体安全管理体系结构。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：总体安全策略文件，等级保护对象详细描述文件，安全保护等级定级报告，安全需求分析 报告，GB/T 22239,行业基本要求。
活动描述：
本活动主要包括以下子活动内容：
a) 设计等级保护对象的安全管理体系框架
根据等级保护基本要求系列标准、行业基本要求、安全需求分析报告等，设计等级保护对象安全管理体系框架。
等级保护对象安全管理体系框架分为四层。
-
- 第一层为总体方针、安全策略，通过网络安全总体方针、安全策略明确机构网络安全工作的总体目标、范围、原则等。
- 第二层为网络安全管理制度，通过对网络安全活动中的各类内容建立管理制度，约束网络安全相关行为。
- 第三层为安全技术标准、操作规程，通过对管理人员或操作人员执行的日常管理行为建立操作规程，规范网络安全管理制度的具体技术实现细节。
- 第四层为记录、表单，网络安全管理制度、操作规程实施时需填写和需保留的表单、操作记录。
等级保护对象的安全管理体系框架见图5。
b) 规定网络安全的组织管理体系和对不同级别定级对象的安全管理职责
根据机构总体安全策略文件、等级保护基本要求系列标准、行业基本要求和安全需求，提出机构的安全组织管理机构框架，分配不同级别定级对象的安全管理职责、规定不同级别定级对象的安全管理策略等。
c) 规定不同级别定级对象的人员安全管理策略
根据机构总体安全策略文件、等级保护基本要求系列标准、行业基本要求和安全需求，提出不同级别定级对象的管理人员框架，分配不同级别定级对象的管理人员职责、规定不同级别定级对象的人员安全管理策略等。
d) 规定不同级别定级对象机房及办公区等物理环境的安全管理策略
根据机构总体安全策略文件、等级保护基本要求系列标准、行业基本要求和安全需求，提出各个不同级别定级对象的机房和办公环境的安全策略。
e) 规定不同级别定级对象介质、设备等的安全管理策略
根据机构总体安全策略文件、等级保护基本要求系列标准、行业基本要求和安全需求，提出各个不同级别定级对象的介质、设备等的安全策略。
f) 规定不同级别定级对象运行安全管理策略
根据机构总体安全策略文件、等级保护基本要求系列标准、行业基本要求和安全需求，提出各个不同级别定级对象的安全运行与维护框架和运维安全策略等。
g) 规定不同级别定级对象安全事件处置和应急管理策略
根据机构总体安全策略文件、等级保护基本要求系列标准、行业基本要求和安全需求，提出各个不同级别定级对象的安全事件处置和应急管理策略等。
h) 形成等级保护对象安全管理策略框架
将上述各个方面的安全管理策略进行整理、汇总，形成等级保护对象的整体安全管理体系结构。
活动输出：等级保护对象安全管理体系结构。
6.3.4 设计结果文档化
活动目标：
将总体安全设计工作的结果文档化，最后形成一套指导机构网络安全工作的指导性文件。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：安全需求分析报告，等级保护对象安全技术体系结构，等级保护对象安全管理体系结构。
活动描述：
对安全需求分析报告、等级保护对象安全技术体系结构和安全管理体系结构等文档进行整理，形成 等级保护对象总体安全方案。
等级保护对象总体安全方案包含以下内容：
a) 等级保护对象概述；
b) 总体安全策略；
c) 等级保护对象安全技术体系结构；
d) 等级保护对象安全管理体系结构。
活动输出：等级保护对象安全总体方案。
6.4 安全建设项目规划
6.4.1 安全建设目标确定
活动目标：
依据等级保护对象安全总体方案(一个或多个文件构成)、单位信息化建设的中长期发展规划和机构的安全建设资金状况确定各个时期的安全建设目标。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象安全总体方案、机构或单位信息化建设的中长期发展规划。
活动描述：
本活动主要包括以下子活动内容：
a) 信息化建设中长期发展规划和安全需求调查
了解和调查单位信息化建设的现况、中长期信息化建设的目标、主管部门对信息化的投入，对比信 息化建设过程中阶段状态与安全策略规划之间的差距，分析急迫和关键的安全问题，考虑可以同步进行 的安全建设内容等。
b) 提出等级保护对象安全建设分阶段目标
制定等级保护对象在规划期内(一般安全规划期为3年)所要实现的总体安全目标；制定等级保护 对象短期(1年以内)要实现的安全目标，主要解决目前急迫和关键的问题，争取在短期内安全状况有大 幅度提高。
活动输出：等级保护对象分阶段安全建设目标。
6.4.2 安全建设内容规划
活动目标：
根据安全建设目标和等级保护对象安全总体方案的要求，设计分期分批的主要建设内容，并将建设内容组合成不同的项目，阐明项目之间的依赖或促进关系等。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象安全总体方案，等级保护对象分阶段安全建设目标。
活动描述：
本活动主要包括以下子活动内容：
a) 确定主要安全建设内容
根据等级保护对象安全总体方案明确主要的安全建设内容，并将其适当的分解。
主要建设内容可 能分解为但不限于以下内容：
1) 安全基础设施建设；
2) 网络安全建设；
3) 系统平台和应用平台安全建设；
4) 数据系统安全建设；
5) 安全标准体系建设；
6) 人才培养体系建设；
7) 安全管理体系建设。
b) 确定主要安全建设项目
将安全建设内容组合为不同的安全建设项目，描述项目所解决的主要安全问题及所要达到的安全目标，对项目进行支持或依赖等相关性分析，对项目进行紧迫性分析，对项目进行实施难易程度分析，对项目进行预期效果分析，描述项目的具体工作内容、建设方案，形成安全建设项目列表。
活动输出：安全建设项目列表(含安全建设内容)。
6.4.3 形成安全建设项目规划
活动目标：
根据建设目标和建设内容，在时间和经费上对安全建设项目列表进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形成安全建设项目规划。
参与角色：运营、使用单位，网络安全服务机构。
活动输入：等级保护对象安全总体方案，等级保护对象分阶段安全建设目标，安全建设内容等。
活动描述：
对等级保护对象分阶段安全建设目标、安全总体方案和安全建设内容等文档进行整理，形成等级保护对象安全建设项目规划。
安全建设项目规划可包含以下内容：
a) 规划建设的依据和原则；
b) 规划建设的目标和范围；
c) 等级保护对象安全现状；
d) 信息化的中长期发展规划；
e) 等级保护对象安全建设的总体框架；
f) 安全技术体系建设规划；
g) 安全管理与安全保障体系建设规划；
h) 安全建设投资估算(含测试及运维估算等内容);
i) 等级保护对象安全建设的实施保障等内容。
活动输出：等级保护对象安全建设项目规划。
###################################################################################
愿各位在进步中安心。
2025.05.19 禾木
- ———GB/T 22239-2019 《信息安全技术 网络安全等级保护基础要求》
- ———GB/T25058 信息安全技术 信息系统安全等级保护实施指南;
- ———GB/T22240 信息安全技术 信息系统安全等级保护定级指南;
- ———GB/T25070 信息安全技术 网络安全等级保护安全设计技术要求;
- ———GB/T28448 信息安全技术 网络安全等级保护测评要求;
- ———GB/T28449 信息安全技术 网络安全等级保护测评过程指南。
2. 等保2.0标准执行之高风险判定
3. GBT 22239-2019 《信息安全技术 网络安全等级保护基础要求》一到四级对比表格(按照十大方面整理，每方面包含四级要求并标记高风险项)
4. GBT 22239-2019 +GBT 25070—2019 《信息安全技术 网络安全等级保护基础要求》+《信息安全技术 网络安全等级保护安全设计技术要求》一到四级对比表格(在基础要求中添加安全设计技术要求，安全设计技术要求主要用于开发人员和产品经理)
5. GBT 36958—2018 《信息安全技术 网络安全等级保护安全管理中心技术要求》一到四级对比表格(说明安全管理中心技术要求：系统管理要求、安全管理要求、审计管理要求、接口要求、自身安全要求)
6. GBT 22239-2019+GBT 28448-2019 《信息安全技术 网络安全等级保护基础要求》+《信息安全技术 网络安全等级保护测评要求》一到四级对比表格(在基础要求中添加等保测评要求，可用于实施过程)
7. 等保项目预调研情况汇报表(博主整理word，用于项目前期调研和高风险项判定，分为2级和3级两个文档，并根据项目经验整理和标准整理前期项目调研内容)
###################################################################################