行业背景概述

人力资源社会保障信息系统支撑的业务和应用面向社会各类群体。系统中存有关键业务数据和敏感信息,其业务信息安全性或业务服务保证受到破坏后,会对国家安全、社会秩序和公共利益造成严重损害,存在社会政治经济风险。其作为国家的重要信息系统应予以重点保护,信息安全建设至关重要。

——摘自《人力资源和社会保障事业发展统计与信息化建设》

人力资源社会保障信息化建设是一项定位于关注民生、服务民众的电子政务工程。国家十三五规划中明确提出对国家重要基础行业进行信息化及信息安全保障体系建设。而当前,国家而涉及国计民生的重要信息系统防护能力却不强,面临的信息安全形势非常严峻,为此,健全信息安全保障体系,切实增强信息安全保障能力已成为信息化建设的重要议题。

行业整体安全体系设计

信息安全保障体系架构

人力资源社会保障信息安全体系包括物理安全设施、基础安全防护系统、电子认证和应用安全支撑系统 、灾难备份系统、信息安全管理体系和信息安全服务体系。

信息安全技术体系

人力资源社会保障基础安全防护总体架构可分为安全技术体系结构、安全管理体系结构和安全服务体系结构三大组成部分。

(一)安全域总体结构

(1)安全域的划分

按照由外向内多级防护的总体策略,结合各应用分类和等级保护分级要求,人力资源社会保障应用系统和网络的安全域结构划分为“2网、4域、3子域”。即业务专网和公众服务网构成2网,其中公众服务网包含公共服务域和综合业务域两个安全域,业务专网包含(协同和)资源交换域、核心业务域两个安全域。安全域下又划分服务器子域、网络和安全管理子域、终端接入子域共3个安全子域。网络、安全域和安全子域之间的关系如下表。

(2)安全域边界的隔离和访问控制

通过在安全域之间设定安全边界,实现安全域间的隔离和访问控制机制。根据人力资源社会保障网络系统结构和纵深防御思路,人力资源社会保障安全域边界定义为外边界和内边界。安全域外联的外边界一般采用防火墙、网闸等安全隔离机制。安全子域之间通过基于策略实现访问控制。如VLAN、终端准入、基于应用安全网关、堡垒机的授权认证控制。

(二)总体安全防护控制要求

总体安全防护策略依据安全域结构划分,结合网络系统和安全建设现状,根据“一个中心、三重防护”和“纵深防御体系”的设计思路,分别从计算环境、区域边界、网络通信和统一安全监控管理等几方面设计。由于人力资源社会保障信息系统等级保护级别主要是等级保护3级和2级,因此总体安全防护策略设计要求重点以等级保护3级为防护要求基线,部分防护环节根据威胁和脆弱程度会适当低于等级保护3级基本要求提出。

信息安全管理体系与信息安全服务体系

人力资源社会保障信息安全管理体系建设的主要内容是按照信息安全等级保护有关信息安全管理基本要求进一步完善信息安全管理机构、人员、制度和策略等,建立符合人力资源社会保障信息化管理模式的信息安全管理制度,建立人力资源社会保障信息安全等级保护和安全检查基本指标标准规范等,特别是建立一整套面向较大规模数据中心安全运维管理的流程、策略和机制等。人力资源信息安全服务体系建设的主要内容是建立信息安全风险分析和评估加固的保障机制、落实等级保护制度的保障机制、信息安全检查和有效性评估检测的保障机制,以及支撑信息安全等级保护、信息安全通报、信息安全检查、信息安全应急处理协调等信息安全管理工作的综合信息安全管理和监督平台。

人力资源社会保障信息安全管理体系主要建立健全信息安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等内容。特别是要进一步完善信息安全管理策略,提升安全管理的有效性和可操作性,同时重点对信息安全运维和系统建设管理体系等薄弱环节进行补充完善。信息安全管理体系建设要求参照以等级保护3级有关安全管理基本要求为基线要求。

人力资源社会保障信息安全服务体系建设主要是建立信息安全风险分析和评估、网络系统安全加固、等级保护定级和测评、信息安全检查检测、信息安全事件应急响应等服务保障机制,以及支撑信息安全保障服务的综合信息安全管理和监督平台。

方案价值

通过将人社行业信息安全保护工作分成若干个承上启下的建设阶段和实施要点,为人社行业信息安全建设提供了清晰的工作思路;

通过对信息系统实际面临的安全风险深入了解,为建设强化技术防范、严格安全管理的信息安全保障体系提供了强有力的保证;

基于对安全攻防技术发展方向和发展动态的整体把握,将信息系统运营使用单位的总体安全建设规划和等级保护整改建设有机结合起来,为建立信息安全等级保护的长效工作机制打下了坚实的基础。

信息安全管理体系与信息安全服务体系
立体性

基于对安全攻防技术发展方向和发展动态的整体把握,将信息系统运营使用单位的总体安全建设规划和等级保护整改建设有机结合起来,为建立信息安全等级保护的长效工作机制打下了坚实的基础。

先进性

充分利用先进的高可靠性的安全服务及安全产品,达到针对人社行业持续高效防御的目的。

合规性

使系统满足国家等级保护制度2级和3级要求。

行业背景概述

人力资源社会保障信息系统支撑的业务和应用面向社会各类群体。系统中存有关键业务数据和敏感信息,其业务信息安全性或业务服务保证受到破坏后,会对国家安全、社会秩序和公共利益造成严重损害,存在社会政治经济风险。其作为国家的重要信息系统应予以重点保护,信息安全建设至关重要。

——摘自《人力资源和社会保障事业发展统计与信息化建设》

人力资源社会保障信息化建设是一项定位于关注民生、服务民众的电子政务工程。国家十三五规划中明确提出对国家重要基础行业进行信息化及信息安全保障体系建设。而当前,国家而涉及国计民生的重要信息系统防护能力却不强,面临的信息安全形势非常严峻,为此,健全信息安全保障体系,切实增强信息安全保障能力已成为信息化建设的重要议题。

行业数据安全解决方案

人力资源社会保障信息系统采用中央—省—市三级分布的数据分布策略,在中央、省、市三级分别建设统一的人力资源社会保障数据中心,三级数据中心相互配合,共同为各项任务的开展提供技术支持。各级数据中心根据功能设立生产区、交换区和决策区三个逻辑分区。生产区主要承载相关业务数据的集中管理,支持各项业务工作,同时承担面向社会公众的各类信息服务;交换区是部、省、市,以及与外部机构之间的数据交换共享平台,支持联网监测、基金监管等本级业务应用,其数据由生产区转换获得,并进一步为决策区提供数据基础;决策区主要支持相应层级的宏观决策类应用及本级内部办公应用,其主要来源于交换区。

敏感数据类别

终端重要数据
所有的数据都是由终端生成,再流转和交换,因此任何的涉密数据来源都来自于终端,这些数据包括图纸资料,包括办公文档,甚至包括各种格式转换而来的内部信息。总而言之,终端数据含盖了几乎所有的涉密数据。而这些终端的数据安全如果得不到有效的保障,会给内部的数据安全带来了严重的威胁。
数据中心重要数据
随着人社行业信息化的发展,数据越来越走向集中化管理道路,因此各业务系统成了人社工作中不可缺少的一部分,而服务器的涉密数据由于集中性强,一旦被他人而已登陆或者入侵,损失的数据远远大于单台终端的数据。

敏感数据使用方式

部门内部的数据使用
由于部门内部对于数据的使用相对比较统一和规范,所以同一部门之间对于数据安全的需求程度也高度类似。同时由于工作交集点比较多,因此数据的沟通情况最为频繁。
部门之间的数据使用
互联网的发展在于信息的共享,不同部门之间对数据不同的使用目的造就成了数据最终的价值,而在人社行业中部门的联动性非常强,数据交流比较频繁。
其他单位的数据使用
人力资源社会保障信息系统网络系统由办公网、业务专网和公众服务网构成。办公网在部、省、市三级分别部署。因此人社信息会与上下级单位进行大量数据共享。
数据安全体系的建立解决方案

人力资源社会保障信息系统数据安全体系的建立主要解决数据在生成、存储、交互、使用的过程中所接触的载体、使用者、传输渠道的总体方案。

存储加密

存储过程的数据安全:强制加密除所有保存的文件。加密后的磁盘只能在内部的终端中使用,磁盘脱离内网无法使用。有效防止了因为硬盘丢失、多操作系统和光盘启动等造成的数据泄密事件的发生。

传输保密

网络传输的信息防泄密:网络传输的控制是从网络层进行的传输控制,只在规定的范围内和特定的应用系统进行连接访问,而无法通过网络对外传播数据。

对于网络传输保密,主要目的是通过对网络数据的加密,来防止数据非法传播,并且以环境区域为单位进行管理,通过VPN构建安全传输通道,而此环境区域可以是个人,也可以是部门,也可以跨部门的逻辑划分,完全不受到网络架构的影响。

数据库脱敏

如何满足日常工作中对数据外发应用的需求,又确保人社敏感信息不泄露,在屏蔽敏感信息的同时又能满足海量数据的快速提供,同时也可以用于人社行业进行数据挖掘、数据交易之前的数据脱敏。

按照预设规则屏蔽敏感信息,并使屏蔽的信息保留其原始数据格式和属性,以确保应用程序可使用脱敏后的数据。通过这种方式确保了用户的核心数据不泄漏、不丢失、不篡改。

数据交换

随着人社行业信息化建设的不断深入,跨网络信息共享的需求逐渐显现出来:比如人社与其他政府部门间数据交换,门户网站上为社会公众提供政策信息查询等都要求人社内部网络与其他外部网络之间进行数据库数据、文件的交换。

以网闸为核心的数据交换平台终止网络层攻击,同时保证交换数据的安全性、可靠性、完整性。构建人社业务专网与公民、横向关联单位、上下属机构之间可信赖的安全接入架构。

方案价值

通过构建人社行业数据安全体系,可以实现以下效果:

价值一:整体性的解决方案。实现了数据安全体系的建设,实现了服务器加固、数据运行环境加密、数据外发行为监控与审计等多种功能,从多个角度提升数据保护力度;
价值二:对于数据在其流转的过程当中实现了全方位的保护,对数据的生存环境进行了有效控制。
价值三:在内外网络边界处建立相应的信息安全交换区域,作为内外网之间唯一的数据通道,实现统一管理,并建立完善的安全体系实现安全可控的跨网络信息共享。
价值四:提高敏感信息防护水平,健全数据安全管理体系,落实国家关于信息系统数据安全规范的要求。