犐犆犛３５．０２０

犔０９

中華人民共和國公共安全行業(yè)標(biāo)準(zhǔn)

犌犃／犜７０８—２００７

信息安全技術(shù)

信息系統(tǒng)安全等級保護體系框架

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犃狉犮犺犻狋犲犮狋狌狉犲犳狉犪犿犲狑狅狉犽狅犳狊犲犮狌狉犻狋狔犮犾犪狊狊犻犳犻犮犪狋犻狅狀

狆狉狅狋犲犮狋犻狅狀犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿

２００７０８１３發(fā)布２００７１００１實施

中華人民共和國公安部發(fā)布

書

犌犃／犜７０８—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統(tǒng)安全等級保護體系簡介!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１信息系統(tǒng)安全等級保護體系的組成!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２信息系統(tǒng)安全等級保護體系概要說明!!!!!!!!!!!!!!!!!!!!!!!!２

５信息系統(tǒng)安全等級保護法律法規(guī)和政策依據(jù)!!!!!!!!!!!!!!!!!!!!!!３

５．１法律法規(guī)和政策分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２信息系統(tǒng)安全等級保護的現(xiàn)有政策法規(guī)!!!!!!!!!!!!!!!!!!!!!!!３

６信息系統(tǒng)安全等級保護標(biāo)準(zhǔn)體系!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６．１標(biāo)準(zhǔn)的分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６．２標(biāo)準(zhǔn)的具體組成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．１基礎(chǔ)性標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．２系統(tǒng)設(shè)計指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．３系統(tǒng)實施指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．４要求類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．５檢查／測評類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．２．６各應(yīng)用領(lǐng)域?qū)嵤┲笇?dǎo)方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．３標(biāo)準(zhǔn)所涉及的內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．４各類標(biāo)準(zhǔn)的作用及編寫要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．１基礎(chǔ)性標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．２系統(tǒng)設(shè)計指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．３要求類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．４．４檢查／測評類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．４．５實施指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．４．６各應(yīng)用領(lǐng)域?qū)嵤┲笇?dǎo)方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７信息系統(tǒng)安全等級保護管理體系!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１信息系統(tǒng)安全工程管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．１目標(biāo)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．２內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．３工程管理分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．２安全系統(tǒng)運行管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．１目標(biāo)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．２內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．３運行管理分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．３信息系統(tǒng)安全監(jiān)督檢查和管理!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

Ⅰ

書

犌犃／犜７０８—２００７

８信息系統(tǒng)安全等級保護技術(shù)體系!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．１信息系統(tǒng)安全的基本屬性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．２信息系統(tǒng)安全的組成與相互關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．３信息系統(tǒng)的安全等級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３．１五個安全等級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３．２安全保護等級的確定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

８．４信息系統(tǒng)安全等級保護基本框架!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４．１信息系統(tǒng)安全保護總體框架!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４．２信息系統(tǒng)安全等級保護的基本原理和方法!!!!!!!!!!!!!!!!!!!!!２２

８．５信息系統(tǒng)安全等級保護基本技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．１標(biāo)識與鑒別技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．２訪問控制技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．３存儲和傳輸數(shù)據(jù)的完整性保護技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．４存儲和傳輸數(shù)據(jù)的保密性保護技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．５邊界隔離與防護技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．６系統(tǒng)安全運行及可用性保護技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．７密碼技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６信息系統(tǒng)安全等級保護支撐平臺!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．１信息系統(tǒng)密碼基礎(chǔ)設(shè)施平臺!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．２信息系統(tǒng)應(yīng)用安全支撐平臺設(shè)計!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．３信息系統(tǒng)災(zāi)難備份與恢復(fù)平臺!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．６．４信息系統(tǒng)安全事件應(yīng)急響應(yīng)與管理平臺!!!!!!!!!!!!!!!!!!!!!!２７

８．６．５信息系統(tǒng)安全管理平臺!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

８．７等級化安全信息系統(tǒng)構(gòu)建技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

附錄Ａ（資料性附錄）基本概念說明!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．１業(yè)務(wù)應(yīng)用軟件系統(tǒng)及其子系統(tǒng)!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．２信息系統(tǒng)及其子系統(tǒng)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．３關(guān)于安全域!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

附錄Ｂ（資料性附錄）實施等級保護的方法!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．１全系統(tǒng)同一安全等級安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．２分系統(tǒng)不同安全等級安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．３虛擬系統(tǒng)不同安全等級安全保護!!!!!!!!!!!!!!!!!!!!!!!!!３１

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

Ⅱ

犌犃／犜７０８—２００７

前言

本標(biāo)準(zhǔn)的附錄Ａ、附錄Ｂ為資料性附錄。

本標(biāo)準(zhǔn)由公安部信息系統(tǒng)安全標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口。

本標(biāo)準(zhǔn)起草單位：北京江南天安科技有限公司，北京思源新創(chuàng)信息安全資訊有限公司。

本標(biāo)準(zhǔn)主要起草人：吉增瑞、王志強、陳冠直、景乾元、宋健平。

Ⅲ

犌犃／犜７０８—２００７

引言

信息系統(tǒng)安全等級保護通過三大功能和五個環(huán)節(jié)，對國家、社會、集團和個人所建立和使用的信息

系統(tǒng)，分等級實施必要的安全保護。

實現(xiàn)信息系統(tǒng)安全等級保護的三大功能是：

———防范與保護功能：從物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用和管理等組成部分，實現(xiàn)整體防范與保護；

———監(jiān)督與檢查功能：各單位自我檢查與政府職能部門監(jiān)督檢查相結(jié)合，從技術(shù)和管理兩個方面，

確保信息系統(tǒng)的安全性達到確定安全等級的要求；

———響應(yīng)與處置功能：信息系統(tǒng)擁有者，對系統(tǒng)的安全事件應(yīng)有快速響應(yīng)與處置的能力，并在發(fā)現(xiàn)

重大問題時能及時向主管部門反映，與有關(guān)單位溝通。

實現(xiàn)信息系統(tǒng)安全等級保護的五個環(huán)節(jié)是指：

———政策、法規(guī)環(huán)節(jié)：制定完善的信息安全等級保護政策、法規(guī)，建立專門的管理機構(gòu)，明確實施的

程序和方法。

———規(guī)范化技術(shù)與管理環(huán)節(jié)：制定符合國情的信息系統(tǒng)安全等級保護技術(shù)和管理標(biāo)準(zhǔn)，并按標(biāo)準(zhǔn)要

求實施安全管理，進行安全技術(shù)和產(chǎn)品的研究和開發(fā)。

———系統(tǒng)構(gòu)建過程控制環(huán)節(jié)：按照誰主管誰負責(zé)的要求，對安全信息系統(tǒng)的構(gòu)建過程進行全方位控

制，并通過檢測機構(gòu)嚴格的檢測評估，確保所構(gòu)建的安全信息系統(tǒng)達到所需要的安全性要求。

———系統(tǒng)運行過程控制環(huán)節(jié)：按照誰運營誰負責(zé)的要求，對安全信息系統(tǒng)的運行過程進行全方位控

制，并通過職能部門的監(jiān)督檢查，確保所運行的安全信息系統(tǒng)達到所設(shè)計的安全性要求。

———系統(tǒng)監(jiān)督、檢查環(huán)節(jié)：信息安全相關(guān)職能部門，依照法律、法規(guī)和標(biāo)準(zhǔn)，制定完善信息安全監(jiān)管

規(guī)章制度，開展信息安全等級保護專項管理工作。督促安全等級保護責(zé)任制的落實，監(jiān)督、檢

查并指導(dǎo)信息系統(tǒng)所屬部門和單位的信息系統(tǒng)安全等級保護的建設(shè)和管理，對安全技術(shù)產(chǎn)品

實行監(jiān)管，對安全檢測機構(gòu)實施監(jiān)管。建立非盈利的覆蓋全國的系統(tǒng)安全等級保護執(zhí)法檢查

與檢測支持體系，使用統(tǒng)一標(biāo)準(zhǔn)對運行中的安全信息系統(tǒng)進行檢查、檢測、評估，確保其實際運

行過程中的安全性達到設(shè)計的目標(biāo)要求。

本標(biāo)準(zhǔn)是對信息系統(tǒng)安全等級保護各個組成部分及其相互關(guān)系的描述，首先對信息系統(tǒng)安全等級

保護的組成部分的主要內(nèi)容及其相互關(guān)系做簡要說明，然后對每一個組成部分的主要內(nèi)容做比較詳細

的說明。

Ⅳ

犌犃／犜７０８—２００７

信息安全技術(shù)

信息系統(tǒng)安全等級保護體系框架

１范圍

本標(biāo)準(zhǔn)規(guī)定了