机器人|什么是网络安全等级保护( 二 ) 赛格威

3.2.2 明确设计依据
设计依据应包含国家和行业的网络安全等级保护相关的政策、法律法规、标准规范以及系统集成、安全开发等方面的工程规范。
3.2.3 明确设计思路
设计思路是指导总体及后续详细设计的灵魂，一般而言，应把握以下几点：
（1）构建分域的控制体系
按照分域保护思路设计安全体系架构，从结构上划分为不同的安全区域，以安全区域为单位进行安全防护技术措施的建设，各个安全区域内部还可根据安全需求的不同进一步划分子安全域和三级安全域。子安全域和三级安全域的边界也采用与一级安全域相同的边界安全防护措施，从而构成了分域的安全控制体系。
（2）构建纵深的防御体系
按照纵深防御思路设计安全体系架构，纵深防御体系根据“一个中心”管理下的“三重保护”体系框架进行设计，从物理环境安全防护、通信网络安全防护、网络边界安全防护、计算环境安全防护（主机设备安全防护/应用和数据安全防护）进行安全技术和措施的设计，以及通过安全管理中心对整个等级保护对象实施统一的安全技术管理。充分考虑各种技术的组合和功能的互补性，提供多重安全措施的综合防护能力，从外到内形成纵深防御体系。
（3）保证一致的安全强度
对于部署于同一安全区域的等级保护对象采取强度一致的安全措施，并采取统一的防护策略（低级别定级对象部署在高等级安全区域时应遵循“就高保护”原则），使各安全措施在作用和功能上相互补充，形成动态的防护体系。
3.3 安全域划分设计一般而言，对等级保护对象进行安全保护时，不是对整个等级保护对象进行同一等级的保护，而是对等级保护对象内不同业务区域进行不同等级的保护。因此，安全域划分是进行网络安全等级保护的重要环节。
安全域是指同一系统内根据信息性质、使用主体、安全目标和策略等元素的不同来划分不同逻辑子网，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域内具有相互信任关系，同一安全域共享同样的安全策略。简单来说，安全域是指具有相同或相近的安全需求、相互信任的网络区域或网络实体的集合。
3.3.1 安全域划分原则
安全域划分的基本原则如下：

3.3.2 安全域划分方式
安全域划分需考虑网络中业务系统访问终端与业务主机的访问关系以及业务主机间的访问关系。若业务主机间没有任何访问关系，则单独考虑各业务系统安全域的划分；若业务主机间有访问关系，则几个业务系统一起考虑安全域的划分。
一个物理网络区域可以对应多个安全区域，而一个安全区域一般只对应一个物理网络区域。

3.3.3 局域网安全域划分
局域网内部安全域划分是安全域划分的重点，可以依据业务的安全策略进行划分，主要参考在各业务的业务功能、安全等级以及局域网网络结构三方面因素。
（1）根据业务功能特点划分
不改变当前业务逻辑，可以使用两级三层结构进行划分：

（2）根据安全等级要求划分
网络安全等级保护是通过安全域划分将信息系统划分为多个子系统。实施等级保护时，一定会落实到每一个安全域中去。
等级保护的对象其实是安全域。在重要信息系统进行网络安全等级保护定级工作后，将相同安全等级的应用业务系统部署在相同的安全域。
（3）根据VLAN划分
局域网内部安全域划分的技术基础是VLAN 。同一个VLAN内部的成员可以视为具有相同安全策略的对象，相互信任。 VLAN边界可以视为网络边界，在VLAN之间使用相应的安全策略，便实现了简单的安全域划分。