信息安全等级保护三级测评建设方案

三级信息系统进行等保建设，需要先落实定级备案，取得等保备案证明，然后做好整改工作，通过等级测评。其中最重要的就是信息系统的整改建设，企业或者企业委托的安全机构，需以等保标准为参照，对信息系统进行安全建设，使得信息系统满足等保要求。只有这样，企业信息系统才能通过等级测评，企业才算是真正落实了等保工作。

中联信科为企业提供等保三级信息系统安全建设方案：

等保三级信息系统安全建设分为技术方面的建设和管理方面的建设。其中，管理方面的建设主要包括:明确主管领导和责任部门，落实安全岗位和人员，对安全管理现状进行分析，确定安全管理策略，制定安全管理制度等。其中，安全管理策略和制度又包括人员安全管理事件处置、应急响应、日常运行维护设备、介质管理安全监测等。技术方面的建设包括但不限于主机基线核查与配置、主机漏洞扫描、信息系统加固、网络架构升级、安全产品部署等。

就管理方面的建设而言，企业需要按照等级保护管理部分标准，从5个方面补充及完善等级保护要求的管理体系建设中涉及到的制度文档，以及相关记录的完善。

就技术方面的建设而言，企业需要依照差距分析结果，制定合适的技术建设方案，从网络、主机、应用、数据库层面进行技术加固实施落地，包括：

▪ 主机基线核查与配置：对信息系统的主机基线进行配置及加固，消除弱口令与权限风险，防止潜在风险攻击与数据泄露。

▪ 主机漏洞扫描：用专业扫描工具以及人工验证等手段，检测网络协议、网络服务、网路设备、应用系统等各种信息资产所存在的安全隐患，风险隐患和漏洞，形成《漏洞扫描报告》，修复高危风险项。

▪ 网络架构升级加固：对网络架构进行安全加固升级，完善网络配置(含云上安全产品的测试与配置)，以及适应等级保护网络安全的要求并修正运维环境下的不符合项目。

最后，企业进行等保建设，可以是本地线下进行，可以是在云上进行等保建设，也可以是本地+云同时建设。如果选择在云上进行等保建设，由于省去了线下机房设备购买和机房维护等内容，企业等保建设成本会更低一点，也更容易合规。

整合云安全产品的技术优势，中联信科为企业提供专业等保安全建设服务，助力企业合规满足等保要求，成功通过等保三级测评。

如下是中联信科为某中医信息系统提供的等保三级建设方案的部分内容：

1.业务入口通过WAF+SSL证书，提供来自互联网的CC攻击、SQL注入、XSS跨站攻击、木马上传等所有web攻击，保障业务的可用性、机密性和安全性；

2.系统通过ECS自建Nginx负载流量至后端应用服务器，应用服务器共用一个数据库；

3.云安全中心带有主机防病毒、漏洞扫描，补丁修复，密码防暴力破解等功能，结合基于大数据安全分析，看清业务的安全现状；

4.通过数据库审计对所有数据库会话行为进行审计和应用关联，及时发现非法操作行为；

5.ECS快照备份实现每日一全备，数据库通过DBS实现异地备份；

6.堡垒机实现主机管理的双因子认证，统一运维管理入口，实现运维审计。