等级保护工作中的重点和难点等级保护工作中的重点和难点 马力马力 公安部信息安全等级保护评估中心公安部信息安全等级保护评估中心信息安全等级保护培训信息安全等级保护培训目录目录o 等级保护的工作环节和技术标准等级保护的工作环节和技术标准o 等级保护系统定级中的技术难点等级保护系统定级中的技术难点o 等级保护建设整改中的技术难点等级保护建设整改中的技术难点 等级保护 根据信息系统在国家安全、经济建设、社会根据信息系统在国家安全、经济建设、社会生活中的重要程度；遭到破坏后对国家安全、社生活中的重要程度；遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；将信息系统划分为不同的合法权益的危害程度；将信息系统划分为不同的安全保护等级安全保护等级并对其实施不同的并对其实施不同的保护保护和和监管监管。 o警察法警察法规定：警察履行规定：警察履行“监督管理计算机信息系监督管理计算机信息系统的安全保护工作统的安全保护工作”的职责。的职责。o国务院令第国务院令第147147号规定：号规定：“公安部主管全国计算机信息公安部主管全国计算机信息系统安全保护工作系统安全保护工作”，“等级保护的具体办法，由公等级保护的具体办法，由公安部会同有关部门制定安部会同有关部门制定”。o20082008年国务院三定方案，公安部新增职能：年国务院三定方案，公安部新增职能：“监督、监督、检查、指导信息安全等级保护工作检查、指导信息安全等级保护工作”。 公安机关组织开展等级保护工作的依据o职能部门：职能部门：制定管理规范和技术标准制定管理规范和技术标准 ，组织实施，开展，组织实施，开展监督、检查、指导。监督、检查、指导。o行业主管部门：行业主管部门：督促、检查、指导本行业、本部门开展督促、检查、指导本行业、本部门开展等级保护工作。等级保护工作。o运营使用单位：运营使用单位：开展信息系统定级、备案、建设整改、开展信息系统定级、备案、建设整改、等级测评、自查等工作，落实等级保护制度的各项要求。等级测评、自查等工作，落实等级保护制度的各项要求。o安全服务机构：安全服务机构：开展技术支持、服务等工作，并接受监开展技术支持、服务等工作，并接受监管部门的监督管理。管部门的监督管理。相关部门的责任和义务等级保护主要工作等级保护主要工作一是：定级备案一是：定级备案二是：建设整改二是：建设整改三是：等级测评三是：等级测评四是：监督检查四是：监督检查 近几年，公安部根据国务院近几年，公安部根据国务院147147号令号令的授权，会同国家保密局、国家密码管的授权，会同国家保密局、国家密码管理局、发改委、原国务院信息办出台了理局、发改委、原国务院信息办出台了一些文件，公安部对有些具体工作出台一些文件，公安部对有些具体工作出台了一些指导意见和规范，构成了信息安了一些指导意见和规范，构成了信息安全等级保护政策体系。全等级保护政策体系。 汇集成汇集成信息安全等级保护政策汇编信息安全等级保护政策汇编供有关单位、部门使用。供有关单位、部门使用。等级保护政策体系在安全建设整改工作中的作用 等级保护有关政策1、关于信息安全等级保护工作的实施意见（公通字200466号） 2、信息安全等级保护管理办法公通字200743号） 3、关于开展全国重要信息系统安全等级保护定级工作的通知（公通字2007861号）4、信息安全等级保护备案实施细则（公信安20071360号） 5、关于开展信息系统等级保护安全建设整改工作的指导意见公信安20091429号）等级保护政策体系6、关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技20082071号）7、关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安2010303号）。 8、关于印发信息系统安全等级测评报告模版（试行）的通知（公信安20091487号）9、公安机关信息安全等级保护检查工作规范（公信安2008736号 ）等级保护政策体系 多年来，在有关部门支持下，在国多年来，在有关部门支持下，在国内有关专家、企业的共同努力下，全国信内有关专家、企业的共同努力下，全国信息安全标准化技术委员会和公安部信息系息安全标准化技术委员会和公安部信息系统安全标准化技术委员会组织制订了信息统安全标准化技术委员会组织制订了信息安全等级保护工作需要的一系列标准，形安全等级保护工作需要的一系列标准，形成了比较完整的信息安全等级保护标准体成了比较完整的信息安全等级保护标准体系。汇集成系。汇集成信息安全等级保护标准汇编信息安全等级保护标准汇编供有关单位、部门使用。供有关单位、部门使用。 等级保护标准体系在安全建设整改工作中的作用 等级保护有关标准等级保护工作中用到的主要标准（一）基础（一）基础1 1、计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则GB17859-1999GB17859-19992 2、信息系统安全等级保护实施指南信息系统安全等级保护实施指南GB/T 25058-2010GB/T 25058-2010（二）系统定级环节（二）系统定级环节3 3、信息系统安全保护等级定级指南信息系统安全保护等级定级指南GB/T22240-2008GB/T22240-2008（三）建设整改环节（三）建设整改环节4 4、信息系统安全等级保护基本要求信息系统安全等级保护基本要求GB/T22239-2008GB/T22239-2008（四）等级测评环节（四）等级测评环节5 5、信息系统安全等级保护测评要求信息系统安全等级保护测评要求( (国标报批稿国标报批稿) )6 6、信息系统安全等级保护测评过程指南信息系统安全等级保护测评过程指南( (国标报批稿国标报批稿) )小结小结-等级保护主要政策和标准等级保护主要政策和标准o信息安全等级保护管理办法（公通字200743号，以下简称管理办法）o计算机信息安全保护等级划分准则（GB 17859-1999，简称划分准则）o信息系统安全等级保护实施指南 GB/T 25058-2010 （简称实施指南）o信息系统安全保护等级定级指南（GB/T 22240-2008，简称定级指南）o信息系统安全等级保护基本要求（GB/T 22239-2008，简称基本要求）o信息系统安全等级保护测评要求（简称测评要求）o信息系统安全等级保护测评过程指南 （简称测评过程指南）目录目录o 等级保护的工作环节和技术标准等级保护的工作环节和技术标准o 等级保护系统定级中的技术难点等级保护系统定级中的技术难点o 等级保护建设整改中的技术难点等级保护建设整改中的技术难点 目录目录o 等级保护系统定级中的技术难点等级保护系统定级中的技术难点n 等级的概念等级的概念n 定级对象的确定定级对象的确定n 影响及后果的判断影响及后果的判断 系统定级系统定级-工作的部署工作的部署工作的部署工作的部署o2007年关于开展全国重要信息系统安全等级保护定级工作的通知 （公通字2007861号）o全国重要信息系统安全等级保护定级工作开展以来，各地区、各部门高度重视，按照定级工作的要求，认真组织落实，到2009年,基本完成了定级工作任务。系统定级系统定级-等级的概念等级的概念o先后在划分准则、基本要求等技术标准和管理办法等文件中出现了多个有关等级的概念系统定级系统定级-等级的概念等级的概念o等级的概念首先出现在国家标准划分准则中o从安全保护能力角度，根据安全功能的实现情况，将计算机信息系统安全保护能力划分为五个级别n用户自主保护级n系统审计保护级n安全标记保护级n结构化保护级n访问验证保护级系统定级系统定级-等级的概念等级的概念o该标准仅明确了信息系统安全保护能力的五个等级的划分，但是没有考虑“信息系统重要程度”这个属性，在等级保护的推进过程中，难以依据该标准开展信息安全等级保护定级工作系统定级系统定级-等级的概念等级的概念 - -信息系统重要程度的等级信息系统重要程度的等级信息系统重要程度的等级信息系统重要程度的等级o在管理办法中，明确了“信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定”系统定级系统定级-等级的概念等级的概念 - -信息系统重要程度的等级信息系统重要程度的等级信息系统重要程度的等级信息系统重要程度的等级o管理办法从信息系统重要程度及其社会属性考虑，再次给出了信息系统五个级别的定义n第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。n第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。n第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。n第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。n第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。系统定级系统定级系统定级系统定级- -等级的概念等级的概念等级的概念等级的概念-信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级划分准则级别安全功能要求用户自主保护级自主访问控制、身份鉴别 、数据完整性保护系统审计保护级自主访问控制 、身份鉴别 、客体重用、安全审计、数据完整性保护安全标记保护级自主访问控制 、强制访问控制、安全标记、身份鉴别 、客体重用、安全审计、数据完整性保护结构化保护级自主访问控制 、强制访问控制、安全标记、身份鉴别 、客体重用、安全审计、数据完整性保护、隐蔽信道分析 、可信路径 访问验证保护级自主访问控制 、强制访问控制、安全标记、身份鉴别 、客体重用、安全审计、数据完整性保护、隐蔽信道分析 、可信路径、可信恢复系统定级系统定级系统定级系统定级- -等级的概念等级的概念等级的概念等级的概念 信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级o为了保证不同级别的系统通过安全保护具有划分准则提出的安全保护能力，考虑到划分准则对安全保护能力描述的抽象性和概括性，基本要求重新诠释了划分准则的安全保护能力，给出了安全保护能力的新定义系统定级系统定级系统定级系统定级- -等级的概念等级的概念等级的概念等级的概念 信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级o安全保护能力的级别：n一级安全保护能力：n二级安全保护能力：n三级安全保护能力：n四级安全保护能力；n五级安全保护能力； （未公布）系统定级系统定级系统定级系统定级- -等级的概念等级的概念等级的概念等级的概念 信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级o三级安全保护能力：应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。系统定级系统定级系统定级系统定级- -等级的概念等级的概念等级的概念等级的概念 信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级o为了便于指导信息系统的安全建设整改工作，落实各项安全管理和技术措施，在有关信息系统建设整改的工作指南中，对上述安全保护能力给出了更加通俗的描述系统定级系统定级系统定级系统定级- -等级的概念等级的概念等级的概念等级的概念 信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级信息系统安全保护能力的等级o第三级信息系统安全保护能力：o信息系统在统一的安全保护策略下具有抵御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能力，防范计算机病毒和恶意代码危害的能力；具有检测、发现、报警、记录入侵行为的能力；具有对安全事件进行响应处置，并能够追踪安全责任的能力；在系统遭到损害后，具有能够较快恢复正常运行状态的能力；对于服务保障性要求高的系统，应能快速恢复正常运行状态；具有对系统资源、用户、安全机制等进行集中控管的能力系统定级系统定级系统定级系统定级- -等级概念的相互关系等级概念的相互关系等级概念的相互关系等级概念的相互关系- -重要性等级是等级的核心重要性等级是等级的核心重要性等级是等级的核心重要性等级是等级的核心o管理办法中信息系统重要程度的等级的概念，是信息安全等级保护工作中的系统定级和备案、安全建设整改、等级测评和监督检查等工作的依据系统定级系统定级系统定级系统定级- -等级概念的相互关系等级概念的相互关系等级概念的相互关系等级概念的相互关系- -重要性等级和监督管理强度的等级重要性等级和监督管理强度的等级重要性等级和监督管理强度的等级重要性等级和监督管理强度的等级信息系统级别信息系统重要性监督管理强度等级第一级一般信息系统自主保护级第二级一般信息系统指导保护级第三级重要信息系统监督保护级第四级重要信息系统强制保护级第五级重要信息系统专控保护级系统定级系统定级系统定级系统定级- -等级概念的相互关系等级概念的相互关系等级概念的相互关系等级概念的相互关系- -重要性等级和安全保护能力等级重要性等级和安全保护能力等级重要性等级和安全保护能力等级重要性等级和安全保护能力等级o信息系统重要程度不同意味着外部威胁源的兴趣点也不同，较高级别的系统可能面临更多的威胁或更强能力的威胁，因此级别更高的系统需要具备更强的安全保护能力才能实现基本安全系统定级系统定级系统定级系统定级- -等级概念的相互关系等级概念的相互关系等级概念的相互关系等级概念的相互关系- -重要性等级和安全保护能力等级重要性等级和安全保护能力等级重要性等级和安全保护能力等级重要性等级和安全保护能力等级信息系统级别重要性安全保护能力级别第一级一般信息系统一级安全保护能力第二级一般信息系统二级安全保护能力第三级重要信息系统三级安全保护能力第四级重要信息系统四级安全保护能力第五级重要信息系统未公布系统定级系统定级系统定级系统定级- -等级概念的相互关系等级概念的相互关系等级概念的相互关系等级概念的相互关系o最后，为了保证三级系统具备或实现三级的安全保护能力目标，三级信息系统应按照划分准则和基本要求等技术标准落实三级系统的各项安全管理和技术措施标准的结构标准的结构o正文由6个章节构成n1. 范围n2. 规范性引用文件n3. 术语定义n4. 定级原理n5. 定级方法n6. 级别变更-定级原理定级原理受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级-定级流程定级流程3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全等级4、业务信息安全等级8、定级对象的安全保护等级1、确定定级对象-定级方法定级方法o确定定级对象；o确定业务信息安全受到破坏时所侵害的客体；o综合评定业务信息安全被破坏对客体的侵害程度；o得到业务信息安全等级；o确定系统服务安全受到破坏时所侵害的客体；o综合评定系统服务安全被破坏对客体的侵害程度；o得到系统服务安全等级；o由业务信息安全等级和系统服务安全等级的较高者确定定级对象的安全保护等级。 定级对象的三个条件o具有唯一确定的安全责任单位n作为定级对象的信息系统应能够唯一地确定其安全责任单位，这个安全责任单位就是负责等级保护工作部署、实施的单位，也是完成等级保护备案和接受监督检查的直接责任单位。o满足信息系统的基本要素n作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如单台的服务器、终端或网络设备等作为定级对象。定级阶段定级阶段- -关于定级对象确定关于定级对象确定关于定级对象确定关于定级对象确定o承载相对独立的业务应用n定级对象承载“相对独立”的业务应用是指其中的一个或多个业务应用的主要业务流程、部分业务功能独立，同时与其他信息系统的业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。“相对独立”的业务应用并不意味着整个业务流程，可以使完整的业务流程的一部分。定级阶段定级阶段- -关于定级对象确定关于定级对象确定关于定级对象确定关于定级对象确定定级阶段定级阶段-定级对象举例定级对象举例o某期货交易所n办公系统n生产系统o交易系统o清算系统o网站系统定级阶段定级阶段-定级对象举例定级对象举例o定级对象结果1n办公信息系统n生产信息系统o定级对象结果2n办公信息系统n生产信息系统o交易信息系统o清算信息系统o网站信息系统定级阶段定级阶段-定级对象举例定级对象举例o证券公司集中交易系统n公司总部o数据中心n各个营业部o柜台委托o自助委托o电话委托o网上委托定级阶段定级阶段-定级对象举例定级对象举例n交易系统n行情系统n清算系统n客户管理系统n等定级阶段定级阶段-定级对象举例定级对象举例o定级对象结果1n总部信息系统n营业部信息系统o定级对象结果2n总部o数据中心系统(平台)o外部委托系统(平台)n营业部o外部委托系统(平台)定级阶段定级阶段-定级对象举例定级对象举例o定级对象结果3n总部o交易系统o行情系统o清算系统o客户管理系统n营业部o交易系统o行情系统o客户管理系统定级阶段定级阶段-定级对象举例定级对象举例o某电力集团公司n公司本部n供电局(分公司)o电力调度系统o综合信息系统定级阶段定级阶段-定级对象举例定级对象举例n骨干网n城域网n数据中心局域网n大楼用户局域网n供电所局域网n三产公司局域网n等定级阶段定级阶段-定级对象举例定级对象举例n电力营销系统n生产管理系统n工程管理系统n物资管理系统n财务管理系统nOA系统nEAI/EIP系统n等定级阶段定级阶段-定级对象举例定级对象举例o定级对象结果1n本部信息系统n供电局信息系统o定级对象结果2n本部o电力调度系统o综合信息系统n营业部o电力调度系统o综合信息系统定级阶段定级阶段-定级对象举例定级对象举例o定级对象结果3n本部o数据中心系统o用户局域网系统o骨干网系统n供电局o数据中心系统o用户局域网系统o城域网系统定级阶段定级阶段-定级对象举例定级对象举例o定级对象结果4n电力营销系统n生产管理系统n工程管理系统n物资管理系统n财务管理系统nOA系统nEAI/EIP系统o处理不同类型业务的系统。o本身运行在不同的网络环境中的系统。o分不开的系统，按照高级别保护。定级阶段定级阶段- -关于定级对象确定关于定级对象确定关于定级对象确定关于定级对象确定o系统边界不应出现在服务器内部，服务器共用的系统一般归入同一个信息系统，因此不同信息系统的共用设备一般是网络/边界设备或终端设备。o两个信息系统边界存在共用设备时，共用设备的安全保护等级按两个信息系统安全保护等级较高者确定。o例如，一个2级系统和一个3级系统之间有一个防火墙或两个系统共用一个核心交换机，此时防火墙和交换机可以作为两个系统的边界设备，但应满足3级系统的要求。定级阶段定级阶段- -关于系统边界关于系统边界关于系统边界关于系统边界o信息系统的管理终端是与相应被管理设备相对应的，服务器、网络设备及安全设备等属于哪个系统，终端就应归在哪个信息系统中。o如果无法做到不同等级的信息系统使用不同的终端设备，则应将终端设备划分为其他的信息系统，并在服务器与内部用户终端之间建立边界保护，对终端通过身份鉴别和访问控制等措施加以控制。定级阶段定级阶段- -关于系统边界关于系统边界关于系统边界关于系统边界o业务信息n业务系统处理的不同类型的数据o系统服务n业务系统的服务范围n业务系统的服务对象n业务系统的服务人数n业务系统的服务时间要求定级阶段定级阶段- -关于业务信息和系统服务的确定关于业务信息和系统服务的确定关于业务信息和系统服务的确定关于业务信息和系统服务的确定国家安全n体现了国家层面、与全局相关的国家政治安全、军事安全、经济安全、社会安全、科技安全等方面利益。o社会秩序和公共利益n包括政治、经济、生产、生活、科研、工作等各方面的正常秩序和社会公众生产、生活、教育、卫生等方面的利益。o合法权益n是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益， 定级阶段定级阶段- -关于影响和后果关于影响和后果关于影响和后果关于影响和后果o关于国家安全n重要的国家事务处理系统、国防工业生产系统和国防设施的控制系统等；广播、电视、网络等重要新闻媒体的发布或播出系统，其受到非法控制可能引发影响国家统一、民族团结和社会安定的重大事件；尖端科技领域的研发、生产系统等影响国家经济竞争力和科技实力的信息系统，以及电力、通信、能源、交通运输、金融等国家重要基础设施的生产、控制、管理系统等。定级阶段定级阶段-关于影响和后果关于影响和后果关于影响和后果关于影响和后果o关于社会秩序n各级政府机构的社会管理和公共服务系统，如财政、金融、工商、税务、公检法、海关、社保等领域的信息系统，也包括教育、科研机构的工作系统，以及所有为公众提供医疗卫生、应急服务、供水、供电、邮政等必要服务的生产系统或管理系统。 定级阶段定级阶段-关于影响和后果关于影响和后果关于影响和后果关于影响和后果o关于公共利益n借助信息化手段为社会成员提供使用的公共设施和通过信息系统对公共设施进行进行管理控制都应当是要考虑的方面，例如：公共通信设施、公共卫生设施、公共休闲娱乐设施、公共管理设施、公共服务设施等。n公共利益与社会秩序密切相关，社会秩序的破坏一般会造成对公共利益的损害。 定级阶段定级阶段-关于影响和后果关于影响和后果关于影响和后果关于影响和后果o直接的结果和间接的影响o按照国家安全社会秩序和公共利益-公民、法人和组织的合法利益的顺序考虑定级阶段定级阶段-关于影响和后果关于影响和后果关于影响和后果关于影响和后果可能的系统级别o第一级第一级 S1A1G1S1A1G1o第二级第二级 S1A2G2S1A2G2，S2A2G2S2A2G2，S2A1G2S2A1G2o第三级第三级 S1A3G3S1A3G3，S2A3G3S2A3G3，S3A3G3S3A3G3，S3A2G3S3A2G3，S3A1G3S3A1G3o第四级第四级 S1A4G4S1A4G4，S2A4G4S2A4G4，S3A4G4S3A4G4，S4A4G4S4A4G4，S4A3G4S4A3G4，S4A2G4S4A2G4，S4A1G4S4A1G4目录目录o 等级保护的工作环节和技术标准等级保护的工作环节和技术标准o 等级保护系统定级中的技术难点等级保护系统定级中的技术难点o 等级保护建设整改中的技术难点等级保护建设整改中的技术难点 目录目录o 等级保护建设整改中的技术难点等级保护建设整改中的技术难点o 标准的理解标准的理解o 方案的设计方案的设计o 产品的使用产品的使用 建设整改建设整改-工作的部署工作的部署工作的部署工作的部署o2009年，关于印送的函（公信安20091429号），标志着等级保护建设整改工作的启动。、o全国已定级信息系统安全建设整改工作总体上用三年时间完成。安全建设整改技术安全建设整改技术o安全建设整改过程是一个工程过程，通过使用工程技术方法落实各项技术措施和管理措施o安全建设整改可以分为安全管理建设整改和安全技术建设整改两个部分进行安全建设整改技术安全建设整改技术o详细的工作流程和工作内容说明可参见公安部印发的关于开展信息系统等级保护安全建设整改工作的指导意见（公信安20091429号）及其附件：信息安全等级保护安全建设整改工作指南安安全全建建设设整整改改基基本本流流程程信息系统安全管理建设信息系统安全管理建设信息系统安全技术建设信息系统安全技术建设开展信息系统安全自查和等级测评开展信息系统安全自查和等级测评信息系统安全保护现状分析信息系统安全保护现状分析信息系统安全建设整改工作规划和工作部署信息系统安全建设整改工作规划和工作部署确定安全策略，制定安全建设整改方案确定安全策略，制定安全建设整改方案物物 理理 安安 全全网网 络络 安安 全全主主 机机 安安 全全应应 用用 安安 全全数数 据据 安安 全全安安全全管管理理机机构构安安全全管管理理制制度度人人员员安安全全管管理理系系统统建建设设管管理理系系统统运运行行管管理理建设整改建设整改-管理办法要求管理办法要求管理办法要求管理办法要求o管理办法第十二条:o在信息系统建设过程中，运营、使用单位应当按照计算机信息系统安全保护等级划分准则（GB17859-1999）、信息系统安全等级保护基本要求等技术标准，参照等技术标准同步建设符合该等级要求的信息安全设施。建设整改用到的主要标准o计算机信息系统安全保护等级划分准则GB17859-1999o信息系统安全等级保护基本要求 GB/T22239-2008o信息系统等级保护安全设计技术要求 GB/T 25070-2010标准的编制思路n门槛合理对每个级别的信息系统安全要求设置合理，按照基本要求建设后，确实达到期望的安全保护能力n内容完整综合技术、管理各个方面的要求，安全要求内容考虑全面、完整，覆盖信息系统生命周期n便于使用安全要求分类方式合理，便于安全保护、检测评估、监督检查实施各方的灵活使用7071描述模型描述模型不同级别信息系统不同级别信息系统不同级别安全威胁不同级别安全威胁不同级别能力目标不同级别能力目标不同级别基本要求不同级别基本要求系统重要程度不同系统重要程度不同应应对对72基本安全保护能力o对抗能力和恢复能力共同构成了信息系统的安全保护能力。o安全保护能力主要表现为信息系统应对威胁的能力，称为对抗能力，但当信息系统无法阻挡威胁对自身的破坏时，信息系统的恢复能力使系统在一定时间内恢复到原有状态，从而降低负面影响。73能力目标o第三级安全保护能力n应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。74描述结构某级系统类技术要求管理要求基本要求类控制点要求项控制点要求项75安全类物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全及备份恢复安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理类76示例7 第三级基本要求7.1 技术要求 物理安全 物理位置的选择 本项要求包括 a) 机房和办公场地应选择在具有防震、防 风和防雨等能力的建筑内 b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 。类要求项控制点77控制点标注n业务信息安全相关要求（标记为S）n系统服务保证相关要求（标记为A）n通用安全保护要求（标记为G）n技术要求（3种标注）n管理要求（统属G）78描述模型o业务信息安全相关要求（S）n电磁防护n访问控制n数据完整性n数据保密性o系统服务保证相关要求（A）n电力供应n软件容错n备份与恢复n资源控制o通用安全保护要求（G）n管理要求和大部分技术要求79逐级增强的特点o控制点增加o要求项增加o要求项增强范围增大要求细化要求粒度细化80逐级增强的特点-控制点增加控制点增加o三级基本要求：在二级基本要求的基础上，技术方面，在控制点上增加了网络恶意代码防范、剩余信息保护、软件容错、抗抵赖等。管理方面，增加了系统备案、安全测评、监控管理和安全管理中心等控制点。o四级基本要求：在三级基本要求的基础上，技术方面，在系统和应用层面控制点上增加了安全标记、可信路径，81不同级别系统控制点的差异汇总不同级别系统控制点的差异汇总安全要求类类/层面一级二级三级四级技术要求物理安全7101010网络安全3677主机安全4679应用安全47911数据安全及备份恢复2333管理要求安全管理制度2333安全管理机构4555人员安全管理4555系统建设管理991111系统运维管理9121313合计/48667377级差/187482逐级增强的特点-要求项增加要求项增加o要求项增多，如，对“身份鉴别”，一级要求“进行身份标识和鉴别”，二级增加要求“口令复杂度、登录失败保护等”；而三级则要求“采用两种或两种以上组合的鉴别技术”。o项目增加，要求增强。83不同级别系统要求项的差异汇总不同级别系统要求项的差异汇总安全要求安全要求类/层面面一一级二二级三三级四四级技技术要求要求物理安全物理安全9193233网网络安全安全9183332主机安全主机安全6193236应用安全用安全7193136数据安全及数据安全及备份恢复份恢复24811管理要求管理要求安全管理制度安全管理制度371114安全管理机构安全管理机构492020人人员安全管理安全管理7111618系系统建建设管理管理20284548系系统运运维管理管理18416270合合计/85175290318级差差/901152884逐级增强的特点-要求项增强要求项增强o范围增大，如，对物理安全的“防静电”，二级只要求“关键设备应采用必要的接地防静电措施”；而三级则在对象的范围上发生了变化，为“主要设备应采用必要的接地防静电措施”。范围的扩大，表明了该要求项强度的增强。85逐级增强的特点-要求项增强要求项增强o要求细化：如，人员安全管理中的“安全意识教育和培训”，二级要求“应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训”，而三级在对培训计划进行了进一步的细化，为“应针对不同岗位制定不同培训计划”，培训计划有了针对性，更符合各个岗位人员的实际需要。86逐级增强的特点-要求项增强要求项增强o粒度细化：如，网络安全中的“访问控制”，二级要求“控制粒度为网段级”，而三级要求则将控制粒度细化，为“控制粒度为端口级”。由“网段级”到“端口级”，粒度上的细化，同样也增强了要求的强度。谢 谢