本發(fā)明涉及信息保密安全
技術領域：
，具體涉及一種滿足分級保護要求的信息系統(tǒng)設計方法。
背景技術：
：涉密信息系統(tǒng)分級保護要求是保密安全領域的通用性規(guī)范，其對信息系統(tǒng)在涉密網(wǎng)運行環(huán)境下提出了相關的系統(tǒng)建設要求，包括數(shù)據(jù)管理、訪問控制、流程管理等方面。技術實現(xiàn)要素：本發(fā)明旨在提出一種滿足分級保護技術要求的信息系統(tǒng)設計方法，為信息化系統(tǒng)的分級保護設計提供指導。本發(fā)明的技術方案如下：一種滿足分級保護要求的信息系統(tǒng)設計方法，其特征在于包括數(shù)據(jù)管理、角色權限管理、流程控制；所述數(shù)據(jù)管理針對數(shù)據(jù)的存儲方式、數(shù)據(jù)類型及內容進行規(guī)劃，對于視頻類較大數(shù)量且密級較高的數(shù)據(jù)，選擇分布式存儲，對于結構化數(shù)據(jù)，分為基礎數(shù)據(jù)、業(yè)務數(shù)據(jù)、實時數(shù)據(jù)，進行集中存儲，存儲時間依業(yè)務規(guī)則不同而定；所述通過角色權限管理建立角色權限授予機制，在系統(tǒng)角色方面，嚴格遵循涉密信息系統(tǒng)分級保護要求，設置“三員”角色；在功能訪問方面，將建立“用戶-角色-權限”的訪問控制機制，通過角色建立用戶和系統(tǒng)功能訪問之間的關系；在數(shù)據(jù)資源訪問方面，根據(jù)資源屬性訪問的基礎上，實現(xiàn)基于角色的更加靈活的數(shù)據(jù)范圍訪問控制；所述流程控制是在業(yè)務辦理提交時，按照流程明確提示需要提交的相關人員，使業(yè)務辦理人員明確業(yè)務的流程去向；在業(yè)務辦理過程中，業(yè)務提交人可隨時查看業(yè)務辦理的情況，可查看完整的業(yè)務流程圖、業(yè)務辦理過程中經(jīng)歷的各節(jié)點，各節(jié)點處理情況；流程定制化，業(yè)務用戶可針對每一類流程自定義具體內容。本發(fā)明的有益效果在于：該發(fā)明與涉密信息系統(tǒng)分級保護技術要求相吻合，實現(xiàn)了規(guī)范的落實；該發(fā)明充分考慮了企業(yè)現(xiàn)有信息化系統(tǒng)的應用，更進一步提升信息系統(tǒng)的保密安全性；該發(fā)明為信息系統(tǒng)的分級保護改造提供了指導。具體實施方式本設計方法由三個方面構成，分別是數(shù)據(jù)管理、角色權限管理、流程控制。(1)數(shù)據(jù)管理針對數(shù)據(jù)的存儲方式、數(shù)據(jù)類型及內容進行規(guī)劃，并在數(shù)據(jù)備份方面按照分級保護要求做進一步的深化工作。對于視頻類較大數(shù)量且密級較高的數(shù)據(jù)，盡量選擇分布式存儲。對于結構化數(shù)據(jù)，原則上分為基礎數(shù)據(jù)、業(yè)務數(shù)據(jù)、實時數(shù)據(jù)，這類數(shù)據(jù)可進行集中存儲，存儲時間依業(yè)務規(guī)則不同而定。在數(shù)據(jù)規(guī)劃方面，應按照業(yè)務規(guī)則進行數(shù)據(jù)表空間劃分，便于后續(xù)的數(shù)據(jù)備份與恢復。(2)角色權限管理建立角色權限授予機制，在系統(tǒng)角色方面，嚴格遵循涉密信息系統(tǒng)分級保護要求，設置“三員”角色；在功能訪問方面，將建立“用戶-角色-權限”的訪問控制機制，通過角色建立用戶和系統(tǒng)功能訪問之間的關系；在數(shù)據(jù)資源訪問方面，要在根據(jù)資源屬性訪問的基礎上，實現(xiàn)基于角色的更加靈活的數(shù)據(jù)范圍訪問控制。實現(xiàn)具體內容包括以下幾點：1)“三員”角色設置“三員”角色包括系統(tǒng)管理員、安全保密員、安全審計員，具體權限分配如下表所示：角色可訪問的功能權限系統(tǒng)管理員用戶管理、角色管理、角色權限配置安全保密員用戶角色配置安全審計員系統(tǒng)日志查詢及導出、操作日志查詢及導出上表所示的“三員”角色是系統(tǒng)在初始化時候就已作為基礎數(shù)據(jù)內定的，此“三員”角色的名稱禁止修改，其擁有的功能權限不允許做任何刪減，同時這些功能權限也不允許授予至其他自定義角色。2)“用戶-角色-權限”訪問控制系統(tǒng)將按照“用戶-角色-權限”的設計思路實現(xiàn)用戶對功能的訪問控制。權限對應系統(tǒng)中可以被訪問的功能。權限分為兩級，一級權限代表業(yè)務功能，此類權限在系統(tǒng)中以一級菜單的形式展現(xiàn)；二級權限代表各業(yè)務功能下按照具體業(yè)務流程的各類操 作。此類權限或者通過二級子菜單的方式展現(xiàn)，或者通過不同用戶界面展現(xiàn)。權限基礎數(shù)據(jù)與系統(tǒng)自身的功能模塊相關，因此也是系統(tǒng)內定的，只允許針對某個角色做動態(tài)配置，不允許做任何權限自身的修改。角色是擁有一定數(shù)量權限的集合。每個用戶可通過角色的授予獲得相應的功能訪問權限。本系統(tǒng)中角色分為兩類。一類是系統(tǒng)內定角色，即前文所說的“三員”角色；另一類是用戶自定義角色，系統(tǒng)管理員可根據(jù)需要進行角色添加，并可針對新添加的角色配置相應的權限，可配置的權限包括了除“三員”角色對應權限之外的所有權限。用戶是訪問系統(tǒng)的個體，用戶是依托組織機構存在的，每一個用戶都有所屬單位屬性，不同的用戶通過系統(tǒng)管理員授予角色獲得相應的權限，用戶不可直接進行權限配置。3)資源訪問控制系統(tǒng)之中的資源是各類業(yè)務數(shù)據(jù)的統(tǒng)稱。每一個資源均有所屬單位屬性，在默認情況，用戶能夠訪問的資源僅限于所在組織機構及下屬機構的資源。在某些情況下，用戶所訪問的資源需要特別指定，此時系統(tǒng)允許通過對角色所能訪問的資源進行配置，可以增加訪問資源，也可以減少訪問資源。(3)流程控制流程控制具體內容包括以下幾點：1)明確業(yè)務去向在業(yè)務辦理提交時，按照流程明確提示需要提交的相關人員，使業(yè)務辦理人員明確業(yè)務的流程去向。2)明確業(yè)務辦理狀態(tài)在業(yè)務辦理過程中，業(yè)務提交人可隨時查看業(yè)務辦理的情況，可查看完整的業(yè)務流程圖、業(yè)務辦理過程中經(jīng)歷的各節(jié)點，各節(jié)點處理情況，使業(yè)務提交人能夠很清晰的了解到業(yè)務辦理的進度。3)流程定制化業(yè)務用戶可針對每一類流程自定義具體內容。包括定義工作節(jié)點、工作內容、流程流向等。對已定義的工作流程支持修改功能，修改后業(yè)務的辦理可自動按照新流程進行。當前第1頁1 2 3