第5講信息安全防護措施與等級保護課前檢查李國華是一個計算機記錄員，在一個數(shù)據(jù)收集記錄部門工作，可以訪問有關(guān)財產(chǎn)稅記錄的相關(guān)文件。為了作一項科學研究，王愛民被授權(quán)訪問記錄的數(shù)字部分，但無權(quán)訪問相關(guān)人的姓名部分。王愛民找到了想要使用的一些信息，但是需要對應的姓名和地址信息。于是他向李國華索要相關(guān)人的姓名、地址，以便與這些研究對象進行聯(lián)系，從而獲得更多信息，開展進一步研究。李國華是否應該將姓名、地址信息告訴王愛民呢？案例1分析1、工作權(quán)限與責任問題。記錄員沒有權(quán)力決定數(shù)據(jù)信息是否可以給別人使用。應該請示上級。2、隱私數(shù)據(jù)使用問題?？茖W研究只能訪問統(tǒng)計數(shù)據(jù)，而不能隨便訪問涉及個人隱私的信息數(shù)據(jù)3、使用隱私數(shù)據(jù)動機問題。聲稱作研究用，但也可能有其他目的。4、工作權(quán)限的確定問題。只允許訪問統(tǒng)計數(shù)據(jù)，不允許訪問個體姓名、地址，說明科學研究的范圍。只能在此范圍內(nèi)完成。類似的還有醫(yī)學研究，要訪問醫(yī)療疾病數(shù)據(jù)。也有隱私問題郭某是一個程序員，在一家大公司下的計算機子公司X工作。這家公司有很多政府合同。陸某是郭某的上級，分配郭某去編寫不同種類的仿真程序。為了提高工作效率，郭某編寫了一些工具程序，如交叉引用等工具。但這些都不是分配給他的工作，而是郭某晚上在自己家里使用自己的計算機編寫完成的。他在工作中使用，沒有將這些告訴任何人。郭某決定出售自己的這些工具程序。當公司經(jīng)理得知后，命陸某轉(zhuǎn)告郭某，無權(quán)出售這些工具，因為受聘時簽訂的合同，注明了他的所有發(fā)明都屬于公司。案例2分析陸某不同意這個觀點，因為他知道郭某是自行完成這些工具的。所有他很不情愿地告訴郭某不要在市場上出售這些工具，并叫郭某復制了一份給他。之后，陸某辭去了該公司的工作，并在另一計算機公司Y當上了管理人員。該公司是X公司的競爭對手。他把郭某的工具復制版發(fā)給和他一起工作的員工們。使他們大大提高了工作效率。因而陸某受到經(jīng)理嘉獎，獲得一大筆獎金。郭某聽說后就和陸某聯(lián)系交涉，而陸某爭辯說，因為這些工具屬于X公司，且它的運轉(zhuǎn)靠的是政府資金，所以這些工具是公共產(chǎn)品，并不屬于任何人。1、權(quán)利問題。對于這些工具軟件。郭某、陸某、X公司、Y公司各自的權(quán)利是什么？2、權(quán)利的根據(jù)。誰給了他們的這些權(quán)利？這個案例牽涉到哪些有關(guān)公平競爭、商業(yè)、財產(chǎn)權(quán)的原則。3、在公司開發(fā)產(chǎn)品的考慮。郭某能作什么事？4、對員工自己開發(fā)的產(chǎn)品應該如何處理。X公司如何作？陸某如何作？Y公司如何作？1.信息安全防護措施2.信息安全等級保護等級保護基本概念介紹等級保護定級等級保護基本要求等級保護實施等級保護測評第5講

信息安全防護措施與

等級保護學習目標技能目標1.能構(gòu)建信息泄密風險防護整體解決方案2.能根據(jù)相應的法律法規(guī)，判斷信息安全的合法性知識目標1.了解信息安全等級保護的含義2.知道信息安全等級保護制度體系的組成

3.熟悉信息安全等級保護制度4.了解有哪些信息安全保護措施信息安全等級保護為什么要進行等級保護如何進行等級保護什么是等級保護等級保護標準整體框架等級保護定級等級保護基本要求什么是等級保護？信息系統(tǒng)安全等級保護是指對信息和信息系統(tǒng)劃分為五個安全保護和監(jiān)管等級，實行分等級保護。

每月新增計算機病毒幾千種，感染計算機1000多萬臺。10多萬個網(wǎng)絡地址對應的主機被木馬控制300多臺被利用作為僵尸網(wǎng)絡控制端服務器網(wǎng)頁篡改事件達5000多次。為什么實行等級保護？

據(jù)英國一家報紙報道，最近該國國家醫(yī)療服務系統(tǒng)和10多家政府網(wǎng)站被入侵并植入病毒，登錄這些網(wǎng)站的用戶都可能感染病毒并導致個人信息泄露。

為什么實行等級保護？我國2003-2007被篡改網(wǎng)站數(shù)量

黑客入侵了美國某銀行在某商店的自動提款機網(wǎng)絡，盜取客戶識別碼，繼而使用空白卡從自動提款機提取現(xiàn)金。

為什么實行等級保護？

為什么實行等級保護？真正的中國工商銀行網(wǎng)站

假冒的中國工商銀行網(wǎng)站

如何進行等級保護？根據(jù)信息系統(tǒng)應用業(yè)務重要程度及其實際安全需求，實行分級、分類、分階段實施保護，保障信息安全和系統(tǒng)安全正常運行，維護國家利益、公共利益和社會穩(wěn)定。如何進行等級保護？等級保護的核心是對信息系統(tǒng)特別是對業(yè)務應用系統(tǒng)安全分等級、按標準進行建設(shè)、管理和監(jiān)督。國家對信息安全等級保護工作運用法律和技術(shù)規(guī)范逐級加強監(jiān)管力度。突出重點，保障重要信息資源和重要信息系統(tǒng)的安全。等級保護標準總體框架中辦發(fā)[2003]27號《國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見》公通字[2004]66號《關(guān)于信息安全等級保護工作的實施意見》公通字[2006]43號《信息安全登記保護管理辦法》實施指南等級劃分準則定級指南測評準則基本要求通用安全技術(shù)要求網(wǎng)絡基礎(chǔ)安全技術(shù)要求操作系統(tǒng)安全技術(shù)要求數(shù)據(jù)庫安全技術(shù)要求服務器安全技術(shù)要求終端安全技術(shù)要求中保委發(fā)[2004]7號國保發(fā)[2005]16號BMB17-2006BMB20-2007BMB22-2007分級保護方案設(shè)計指南等級保護標準制修訂背景2003年9月中辦國辦頒發(fā)《關(guān)于加強信息安全保障工作的意見》中辦發(fā)[2003]27號2005年9月國信辦文件《關(guān)于轉(zhuǎn)發(fā)《電子政務信息安全等級保護實施指南》的通知》國信辦[2004]25號2006年1月四部委會簽《關(guān)于印發(fā)《信息安全等級保護管理辦法的通知》公通字[2006]7號2005年

公安部標準《基本要求》《定級指南》《實施指南》《測評準則》2004年11月四部委會簽《關(guān)于信息安全等級保護工作的實施意見》公通字[2004]66號云南云南省人民政府第130號令

浙江浙江省人民政府令

北京北京政府第9號令

國家級政策文件國家級技術(shù)標準國家級政策文件地方政策文件安全控制定級指南過程方法確定系統(tǒng)等級啟動采購/開發(fā)實施運行/維護廢棄確定安全需求設(shè)計安全方案安全建設(shè)安全測評監(jiān)督管理運行維護暫不考慮特殊需求等級需求基本要求產(chǎn)品使用選型監(jiān)督管理測評準則流程方法監(jiān)管流程應急預案應急響應等級保護標準制修訂背景課堂檢測等級保護保護對象有哪些？哪些對象不屬于等級保護范圍？等級保護有幾個等級？各級名稱？等級保護有哪些步驟？等級保護標準有哪些？等級保護定級維度等級保護對象受到破壞時所侵害的客體對客體造成侵害的程度

定級階段-關(guān)于定級范圍（一）電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng)絡，經(jīng)營性公眾互聯(lián)網(wǎng)信息服務單位、互聯(lián)網(wǎng)接入服務單位、數(shù)據(jù)中心等單位的重要信息系統(tǒng)。（二）鐵路、銀行、海關(guān)、稅務、民航、電力、證券、保險、外交、科技、發(fā)展改革、國防科技、公安、人事勞動和社會保障、財政、審計、商務、水利、國土資源、能源、交通、文化、教育、統(tǒng)計、工商行政管理、郵政等行業(yè)、部門的生產(chǎn)、調(diào)度、管理、辦公等重要信息系統(tǒng)。

（三）市（地）級以上黨政機關(guān)的重要網(wǎng)站和辦公信息系統(tǒng)

一、定級對象的三個條件具有唯一確定的安全責任單位作為定級對象的信息系統(tǒng)應能夠唯一地確定其安全責任單位，這個安全責任單位就是負責等級保護工作部署、實施的單位，也是完成等級保護備案和接受監(jiān)督檢查的直接責任單位。滿足信息系統(tǒng)的基本要素作為定級對象的信息系統(tǒng)應該是由相關(guān)的和配套的設(shè)備、設(shè)施按照一定的應用目標和規(guī)則組合而成的有形實體。應避免將某個單一的系統(tǒng)組件，如單臺的服務器、終端或網(wǎng)絡設(shè)備等作為定級對象。定級階段-關(guān)于定級對象確定一、定級對象的三個條件承載相對獨立的業(yè)務應用定級對象承載“相對獨立”的業(yè)務應用是指其中的一個或多個業(yè)務應用的主要業(yè)務流程、部分業(yè)務功能獨立，同時與其他信息系統(tǒng)的業(yè)務應用有少量的數(shù)據(jù)交換，定級對象可能會與其他業(yè)務應用共享一些設(shè)備，尤其是網(wǎng)絡傳輸設(shè)備?！跋鄬Κ毩ⅰ钡臉I(yè)務應用并不意味著整個業(yè)務流程，可以是完整的業(yè)務流程的一部分。定級階段-關(guān)于定級對象確定二、定級對象的識別和劃分可能使定級要素賦值不同因素可能涉及不同客體的系統(tǒng)?？赡軐腕w造成不同程度損害的系統(tǒng)。處理不同類型業(yè)務的系統(tǒng)。本身運行在不同的網(wǎng)絡環(huán)境中的系統(tǒng)。分不開的系統(tǒng)，按照高級別保護。定級階段-關(guān)于定級對象確定系統(tǒng)邊界不應出現(xiàn)在服務器內(nèi)部，服務器共用的系統(tǒng)一般歸入同一個信息系統(tǒng)，因此不同信息系統(tǒng)的共用設(shè)備一般是網(wǎng)絡/邊界設(shè)備或終端設(shè)備。兩個信息系統(tǒng)邊界存在共用設(shè)備時，共用設(shè)備的安全保護等級按兩個信息系統(tǒng)安全保護等級較高者確定。例如，一個2級系統(tǒng)和一個3級系統(tǒng)之間有一個防火墻或兩個系統(tǒng)共用一個核心交換機，此時防火墻和交換機可以作為兩個系統(tǒng)的邊界設(shè)備，但應滿足3級系統(tǒng)的要求。定級階段-關(guān)于系統(tǒng)邊界信息系統(tǒng)的管理終端是與相應被管理設(shè)備相對應的，服務器、網(wǎng)絡設(shè)備及安全設(shè)備等屬于哪個系統(tǒng)，終端就應歸在哪個信息系統(tǒng)中。如果無法做到不同等級的信息系統(tǒng)使用不同的終端設(shè)備，則應將終端設(shè)備劃分為其他的信息系統(tǒng)，并在服務器與內(nèi)部用戶終端之間建立邊界保護，對終端通過身份鑒別和訪問控制等措施加以控制。處理涉密信息的終端必須劃分到相應的信息系統(tǒng)中，且不能與非涉密系統(tǒng)共用終端。定級階段-關(guān)于系統(tǒng)邊界識別單位基本信息

了解單位基本信息有助于判斷單位的職能特點，單位所在行業(yè)及單位在行業(yè)所處的地位和所用，由此判斷單位主要信息系統(tǒng)的宏觀定位。識別業(yè)務種類、流程和服務應重點了解定級對象信息系統(tǒng)中不同業(yè)務系統(tǒng)提供的服務在影響履行單位職能方面具體方式和程度，影響的區(qū)域范圍、用戶人數(shù)、業(yè)務量的具體數(shù)據(jù)以及對本單位以外機構(gòu)或個人的影響等方面。這些具體數(shù)據(jù)即可以為主管部門制定定級指導意見提供參照，也可以作為主管部門審批定級結(jié)果的重要依據(jù)。定級階段-關(guān)于定級過程識別信息調(diào)查了解定級對象信息系統(tǒng)所處理的信息，了解單位對信息的三個安全屬性的需求，了解不同業(yè)務數(shù)據(jù)在其保密性、完整性和可用性被破壞后在單位職能、單位資金、單位信譽、人身安全等方面可能對國家、社會、本單位造成的影響，對影響程度的描述應盡可能量化。識別網(wǎng)絡結(jié)構(gòu)和邊界調(diào)查了解定級對象信息系統(tǒng)所在單位的整體網(wǎng)絡狀況、安全防護和外部連接情況，目的是了解信息系統(tǒng)所處的單位內(nèi)部網(wǎng)絡環(huán)境和外部環(huán)境特點，以及該信息系統(tǒng)的網(wǎng)絡安全保護與單位內(nèi)部網(wǎng)絡環(huán)境的安全保護的關(guān)系。定級階段-關(guān)于定級過程識別主要的軟硬件設(shè)備調(diào)查了解與定級對象信息系統(tǒng)相關(guān)的服務器、網(wǎng)絡、終端、存儲設(shè)備以及安全設(shè)備等，設(shè)備所在網(wǎng)段，在系統(tǒng)中的功能和作用。調(diào)查設(shè)備的位置和作用主要就是發(fā)現(xiàn)不同信息系統(tǒng)在設(shè)備使用方面的共用程度。識別用戶類型和分布調(diào)查了解各系統(tǒng)的管理用戶和一般用戶，內(nèi)部用戶和外部用戶，本地用戶和遠程用戶等類型，了解用戶或用戶群的數(shù)量分布，判斷系統(tǒng)服務中斷或系統(tǒng)信息被破壞可能影響的范圍和程度。形成定級結(jié)果取各類信息和服務的較高。定級階段-關(guān)于定級過程定級階段相關(guān)技術(shù)環(huán)節(jié)行業(yè)定級指導意見關(guān)鍵概念定級方法定級階段_相關(guān)技術(shù)環(huán)節(jié)根據(jù)《管理辦法》第十條：信息系統(tǒng)運營、使用單位應當依據(jù)本辦法和《信息系統(tǒng)安全等級保護定級指南》確定信息系統(tǒng)的安全保護等級。有主管部門的，應當經(jīng)主管部門審核批準。跨省或者全國統(tǒng)一聯(lián)網(wǎng)運行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護等級。根據(jù)《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》（以下簡稱《定級通知》）要求：各行業(yè)主管部門要根據(jù)行業(yè)特點提出指導本地區(qū)、本行業(yè)定級工作的指導意見。定級階段為什么需要行業(yè)對定級提出指導意見行業(yè)的職能不同信息系統(tǒng)在行業(yè)內(nèi)所發(fā)揮的作用不同信息系統(tǒng)被破壞后對國家和社會的危害后果不同行業(yè)主管部門比運營使用單位具有更高的站位、更宏觀的視野定級階段-關(guān)于行業(yè)定級指導意見行業(yè)定級指導意見的意義：貫徹四部委會簽的《管理辦法》闡明本行業(yè)實施等級保護工作的政策和方針制定本行業(yè)定級工作的階段計劃統(tǒng)一本行業(yè)對定級要素賦值規(guī)范定級階段-關(guān)于行業(yè)定級指導意見定級工作的指導意見應包括：對定級對象確定的指導符合哪些條件的信息系統(tǒng)的等級保護客體是國家安全、哪些是公共利益/社會秩序。。。對不同類型的等級保護客體，本行業(yè)主要關(guān)注哪些危害后果對于每一類等級保護客體，符合哪些條件可以判斷為一般損害、哪些是嚴重損害、哪些是非常嚴重損害定級階段-關(guān)于行業(yè)定級指導意見定級階段_關(guān)于三種危害程度

不同危害后果的三種危害程度描述如下：一般損害：工作職能受到局部影響，業(yè)務能力有所降低但不影響主要功能的執(zhí)行，出現(xiàn)較輕的法律問題，較低的財產(chǎn)損失，有限的社會不良影響，對其他組織和個人造成較低損害。嚴重損害：工作職能受到嚴重影響，業(yè)務能力顯著下降且嚴重影響主要功能執(zhí)行，出現(xiàn)較嚴重的法律問題，較高的財產(chǎn)損失，較大范圍的社會不良影響，對其他組織和個人造成較嚴重損害。特別嚴重損害：工作職能受到特別嚴重影響或喪失行使能力，業(yè)務能力嚴重下降且或功能無法執(zhí)行，出現(xiàn)極其嚴重的法律問題，極高的財產(chǎn)損失，大范圍的社會不良影響，對其他組織和個人造成非常嚴重損害。等級保護對象受到破壞時所侵害的客體包括以下三個方面：公民、法人和其他組織的合法權(quán)益；社會秩序、公共利益；國家安全。

定級階段-三種客體定級要素與安全保護等級的關(guān)系

對《定級指南》中有關(guān)概念的補充說明：三種客體對客體侵害程度定級階段_關(guān)鍵概念的補充說明

三種受侵害的客體體現(xiàn)了三種不同層次、不同覆蓋范圍的社會關(guān)系。國家安全利益體現(xiàn)了國家層面、與全局相關(guān)的國家政治安全、軍事安全、經(jīng)濟安全、社會安全、科技安全和資源環(huán)境安全等方面利益。社會秩序包括社會的政治、經(jīng)濟、生產(chǎn)、生活、科研、工作等各方面的正常秩序。公共利益是指不特定的社會成員所共同享有的，維持其生產(chǎn)、生活、教育、衛(wèi)生等方面的利益。合法權(quán)益是法律確認的并受法律保護的公民、法人和其他組織所享有的一定的社會權(quán)利和利益，

定級階段-三種客體說明對客體的侵害不是威脅直接作用的結(jié)果，而是通過對等級保護對象——信息系統(tǒng)的破壞而導致的，因此確定對客體侵害的程度時，必須考慮對等級保護對象所造成破壞的不同客觀表現(xiàn)形態(tài)以及不同程度的結(jié)果，也就是侵害的客觀方面。定級階段關(guān)于損害后果影響行使工作職能，工作職能包括國家管理職能、公共管理職能、公共服務職能等國家或社會方面的職能。導致業(yè)務能力下降，下降的表現(xiàn)形式可能包括業(yè)務范圍的減少、業(yè)務處理性能的下降、可服務的用戶數(shù)量的下降以及其他各種業(yè)務指標的下降，每個行業(yè)務都有本行業(yè)關(guān)注的業(yè)務指標。例如電力行業(yè)關(guān)注發(fā)電量和用電量，稅務行業(yè)關(guān)注稅費收入，銀行業(yè)關(guān)注存款額、貸款額、交易量等，證券經(jīng)紀行業(yè)關(guān)注股民數(shù)和交易額。定級階段-關(guān)于損害的詳述關(guān)于損害后果引起法律糾紛是比較嚴重的影響，在較輕的程度時可能表現(xiàn)為投訴、索賠、媒體曝光等形式。導致財產(chǎn)損失，包括系統(tǒng)資產(chǎn)被破壞的直接損失、業(yè)務量下降帶來的損失、直接的資金損失、為客戶索賠所支付的資金等，以及由于信譽下降、單位形象降低、客戶關(guān)系損失等導致的間接經(jīng)濟損失。直接造成人員傷亡，例如醫(yī)療服務系統(tǒng)，公安行業(yè)的某些系統(tǒng)等。造成社會不良影響，包括在社會風氣、執(zhí)政信心等方面的影響。定級階段-關(guān)于損害的詳述定級階段-關(guān)于損害的詳述安全保護級別信息和信息系統(tǒng)受到破壞后的影響1自主保護級不會損害國家安全、社會秩序和公共利益。2指導保護級會對社會秩序和公共利益造成輕微損害，但不損害國家安全。3監(jiān)督保護級會對國家安全、社會秩序和公共利益造成損害。4強制保護級

會對國家安全、社會秩序和公共利益造成嚴重損害。5專控保護級

會對國家安全、社會秩序和公共利益造成特別嚴重損害。定級階段-關(guān)于定級級別等級對象侵害客體侵害程度監(jiān)管強度第一級一般系統(tǒng)合法利益損害自主性保護第二級合法權(quán)益嚴重損害指導性保護社會秩序和公共利益損害第三級重要系統(tǒng)社會秩序和公共利益嚴重損害監(jiān)督性保護國家安全損害第四級社會秩序和公共利益特別嚴重損害強制性保護國家安全嚴重損害第五級極端重要系統(tǒng)國家安全特別嚴重損害專控性保護定級階段-關(guān)于定級方法定級的一般方法

信息系統(tǒng)安全包括業(yè)務信息安全和系統(tǒng)服務安全，與之相關(guān)的受侵害客體和對客體的侵害程度可能不同，因此，信息系統(tǒng)定級也應由業(yè)務信息安全和系統(tǒng)服務安全兩方面確定。

從業(yè)務信息安全角度反映的信息系統(tǒng)安全保護等級稱業(yè)務信息安全保護等級。

從系統(tǒng)服務安全角度反映的信息系統(tǒng)安全保護等級稱系統(tǒng)服務安全保護等級。定級階段-關(guān)于定級方法定級階段-關(guān)于定級方法與流程

根據(jù)業(yè)務信息安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據(jù)下表業(yè)務信息安全保護等級矩陣表，即可得到業(yè)務信息安全保護等級。

定級階段-關(guān)于定級方法與流程

根據(jù)系統(tǒng)服務安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據(jù)下表系統(tǒng)服務安全保護等級矩陣表，即可得到系統(tǒng)服務安全保護等級。

四個主要因素決定等級系統(tǒng)所屬類型業(yè)務信息類別系統(tǒng)服務范圍業(yè)務依賴程度業(yè)務信息安全性業(yè)務服務保證性信息系統(tǒng)安全保護等級侵害的程度如何？（對客體造成侵害的程度）

一般損害

嚴重損害

特別嚴重損害受到破壞時侵害了什么？（客體）

公民、法人

社會秩序、公共利益

國家安全定級階段-關(guān)于等級變更

在信息系統(tǒng)的運行過程中，安全保護等級應隨著信息系統(tǒng)所處理的信息和業(yè)務狀態(tài)的變化進行適當?shù)淖兏?，尤其是當狀態(tài)變化可能導致業(yè)務信息安全或系統(tǒng)服務受到破壞后的受侵害客體和對客體的侵害程度有較大的變化，可能影響到系統(tǒng)的安全保護等級時，應根據(jù)定級標準給出的定級方法重新定級定級案例-三級系統(tǒng)定級

定級案例-三級系統(tǒng)定級

定級案例-三級系統(tǒng)定級

定級案例-三級系統(tǒng)定級

小測試等級保護定級維度是那兩個？等級保護定級客體有哪些？一個對國家安全會造成一般損害的信息系統(tǒng)應該定為等級保護幾級？基本要求的作用信息系統(tǒng)安全等級保護基本要求運營、使用單位（安全服務商）主管部門（等級測評機構(gòu)）安全保護測評檢查基本要求的定位是系統(tǒng)安全保護、等級測評的一個基本“標尺”，同樣級別的系統(tǒng)使用統(tǒng)一的“標尺”來衡量，保證權(quán)威性，是一個達標線；每個級別的信息系統(tǒng)按照基本要求進行保護后，信息系統(tǒng)具有相應等級的基本安全保護能力，達到一種基本的安全狀態(tài);是每個級別信息系統(tǒng)進行安全保護工作的一個基本出發(fā)點，更加貼切的保護可以通過需求分析對基本要求進行補充，參考其他有關(guān)等級保護或安全方面的標準來實現(xiàn);基本要求的定位某級信息系統(tǒng)基本保護精確保護基本要求保護基本要求測評補充的安全措施GB17859-1999通用技術(shù)要求安全管理要求高級別的基本要求等級保護其他標準安全方面相關(guān)標準等等基本保護特殊需求補充措施基本要求基本思路不同級別信息系統(tǒng)重要程度不同應對不同威脅的能力(威脅\弱點)具有不同的安全保護能力不同的基本要求各個要素之間的關(guān)系安全保護能力基本安全要求每個等級的信息系統(tǒng)基本技術(shù)措施基本管理措施具備包含包含滿足滿足實現(xiàn)基本要求核心思路某級系統(tǒng)技術(shù)要求管理要求基本要求建立安全技術(shù)體系建立安全管理體系具有某級安全保護能力的系統(tǒng)各級系統(tǒng)的保護要求差異（宏觀）安全保護模型PPDRR

Protection防護

PolicyDetection

策略

檢測

Response

響應

Recovery恢復各級系統(tǒng)的保護要求差異（宏觀）一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)防護防護/監(jiān)測策略/防護/監(jiān)測/恢復策略/防護/監(jiān)測/恢復/響應各級系統(tǒng)的保護要求差異（宏觀）成功的完成業(yè)務信息保障深度防御戰(zhàn)略人技術(shù)操作防御網(wǎng)絡與基礎(chǔ)設(shè)施防御飛地邊界防御計算環(huán)境支撐性基礎(chǔ)設(shè)施安全保護模型IATF各級系統(tǒng)的保護要求差異（宏觀）一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)通信/邊界（基本）通信/邊界/內(nèi)部（關(guān)鍵設(shè)備）通信/邊界/內(nèi)部（主要設(shè)備）通信/邊界/內(nèi)部/基礎(chǔ)設(shè)施（所有設(shè)備）各級系統(tǒng)的保護要求差異（宏觀）一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)計劃和跟蹤（主要制度）計劃和跟蹤（主要制度）良好定義（管理活動制度化）持續(xù)改進（管理活動制度化/及時改進）等級保護基本要求構(gòu)架某級系統(tǒng)物理安全技術(shù)要求管理要求基本要求網(wǎng)絡安全主機安全應用安全數(shù)據(jù)安全安全管理機構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理等級保護基本要求效果基本要求的主要內(nèi)容由9個章節(jié)2個附錄構(gòu)成1.適用范圍2.規(guī)范性引用文件3術(shù)語定義4.等級保護概述5.6.7.8.9基本要求附錄A關(guān)于信息系統(tǒng)整體安全保護能力的要求附錄B基本安全要求的選擇和使用基本要求的組織方式某級系統(tǒng)類技術(shù)要求管理要求基本要求類控制點具體要求控制點具體要求………………………………基本要求-組織方式某級系統(tǒng)物理安全技術(shù)要求管理要求基本要求網(wǎng)絡安全主機安全應用安全數(shù)據(jù)安全安全管理機構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理基本要求標注方式基本要求技術(shù)要求管理要求要求標注業(yè)務信息安全類要求（標記為S類）系統(tǒng)服務保證類要求（標記為A類）通用安全保護類要求（標記為G類）

三類要求之間的關(guān)系通用安全保護類要求（G）業(yè)務信息安全類（S）系統(tǒng)服務保證類（A安全要求基本要求的選擇和使用一個3級系統(tǒng),定級結(jié)果為S3A2，保護類型應該是S3A2G3第1步:選擇標準中3級基本要求的技術(shù)要求和管理要求;第2步:要求中標注為S類和G類的不變;標注為A類的要求可以選用2級基本要求中的A類作為基本要求;安全保護和系統(tǒng)定級的關(guān)系安全等級信息系統(tǒng)保護要求的組合第一級S1A1G1第二級S1A2G2，S2A2G2，S2A1G2第三級S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四級S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4定級指南要求按照“業(yè)務信息”和“系統(tǒng)服務”的需求確定整個系統(tǒng)的安全保護等級定級過程反映了信息系統(tǒng)的保護要求不同級別系統(tǒng)控制點的差異安全要求類層面一級二級三級四級技術(shù)要求物理安全7101010網(wǎng)絡安全3677主機安全4679應用安全47911數(shù)據(jù)安全及備份恢復2333管理要求安全管理制度2333安全管理機構(gòu)4555人員安全管理4555系統(tǒng)建設(shè)管理991111系統(tǒng)運維管理9121313合計/48667377級差//1874不同級別系統(tǒng)要求項的差異安全要求類層面一級二級三級四級技術(shù)要求物理安全9193233網(wǎng)絡安全9183332主機安全6193236應用安全7193136數(shù)據(jù)安全及備份恢復24811管理要求安全管理制度371114安全管理機構(gòu)492020人員安全管理7111618系統(tǒng)建設(shè)管理20284548系統(tǒng)運維管理18416270合計/85175290318級差//9011528小測試等級保護基本要求共有幾個控制層面？一個定為三級的信息系統(tǒng)可能有幾種不同的等級保護要求組合？等級保護基本要求對我公司的意義？目錄等級保護基本概念介紹等級保護定級等級保護基本要求等級保護實施等級保護測評我公司開展的等級保護支持服務等級保護角色和職責國家管理部門信息系統(tǒng)主管部門安全服務商安全產(chǎn)品提供商安全測評機構(gòu)部門系統(tǒng)定級安全保護檢測評估監(jiān)督檢查技術(shù)標準管理規(guī)范等級保護實施原則自主保護原則信息系統(tǒng)運營、使用單位及其主管部門按照國家相關(guān)法規(guī)和標準，自主確定信息系統(tǒng)的安全保護等級，自行組織實施安全保護。重點保護原則根據(jù)信息系統(tǒng)的重要程度、業(yè)務特點，通過劃分不同安全保護等級的信息系統(tǒng)，實現(xiàn)不同強度的安全保護，集中資源優(yōu)先保護涉及核心業(yè)務或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)。同步建設(shè)原則信息系統(tǒng)在新建、改建、擴建時應當同步規(guī)劃和設(shè)計安全方案，投入一定比例的資金建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相適應。動態(tài)調(diào)整原則要跟蹤信息系統(tǒng)的變化情況，調(diào)整安全保護措施。由于信息系統(tǒng)的應用類型、范圍等條件的變化及其他原因，安全保護等級需要變更的，應當根據(jù)等級保護的管理規(guī)范和技術(shù)標準的要求，重新確定信息系統(tǒng)的安全保護等級，根據(jù)信息系統(tǒng)安全保護等級的調(diào)整情況，重新實施安全保護。等級保護實施流程信息系統(tǒng)全生命周期系統(tǒng)定級規(guī)劃設(shè)計安全實施安全運維（變更管理/定期安全測評/監(jiān)督檢查）系統(tǒng)終止啟動階段設(shè)計/開發(fā)階段實施階段運行維護階段廢棄階段系統(tǒng)定級安全實施安全運維（變更管理/定期安全測評/監(jiān)督檢查）系統(tǒng)終止已建信息系統(tǒng)等級保護實施過程新建信息系統(tǒng)等級保護實施過程實程信息系統(tǒng)生命周期生期規(guī)劃設(shè)計等級保護測評流程等級保護測評中的角色關(guān)系系統(tǒng)承建單位主管\使用\運行單位測評機構(gòu)專家組支持測評提供技術(shù)、工程和質(zhì)量文檔實施的配合公安網(wǎng)監(jiān)部門測評工作組織協(xié)調(diào)確保技術(shù)、工程和質(zhì)量文檔、提供運營相關(guān)文檔的提供評審實施方案等相關(guān)文檔配合等級測評實施測評過程中的風險管理和應急管理制定測評計劃和方案等相關(guān)文檔在相關(guān)單位支持下實施等級測評提交測評報告監(jiān)督方案評審和系統(tǒng)測評監(jiān)督確保遵守公正的測評原則和方法對評估結(jié)論進行評審測評工作

組織與監(jiān)管等級保護測評案例(1)某公司（簡稱“AAA”）用電信息系統(tǒng)承載著該公司的電力營銷業(yè)務，由數(shù)據(jù)存儲、業(yè)務處理、接入、對外服務和外聯(lián)等五個功能區(qū)域組成，是一個安全等級為三級的信息系統(tǒng)。(2)現(xiàn)場測評時間為X年X月X日至X年X月X日，現(xiàn)場測評小組分為管理組（2人）和技術(shù)組（4人）兩組，分別完成安全管理和安全技術(shù)方面的測評。

等級保護被測評案例(3)被測系統(tǒng)為承載著AAA公司電力營銷業(yè)務，是AAA公司的重要信息系統(tǒng)，其安全等級定為三級（S3A2G3）。

(4)被測系統(tǒng)由數(shù)據(jù)存儲、業(yè)務處理、接入、對外服務和外聯(lián)等五個功能區(qū)域組成.對外有可以為大客戶單位、internet網(wǎng)、撥號用戶等提供電費數(shù)據(jù)查詢、交納、業(yè)務擴充、投訴等服務的功能模塊。數(shù)據(jù)存儲功能區(qū)位于屏蔽機房，其它功能區(qū)域位于中心機房。

測評對象根據(jù)用電信息系統(tǒng)的實際情況，分別確定物理安全、網(wǎng)絡安全、主機系統(tǒng)安全、應用安全等各層面的測評對象。物理方面主要是測評屏蔽機房和主機房。網(wǎng)絡方面主要測評的設(shè)備有：路由器、交換機、防火墻、IDS、外聯(lián)檢測、防病毒等

。測評對象（2）主機方面主要測評的主機服務器（包括數(shù)據(jù)庫服務器）

。測評對象（3）應用方面主要測評的應用系統(tǒng)

。測評對象（4）安全管理，主要測評對象為與信息安全管理有關(guān)的策略、制度、操作規(guī)程、運行記錄、管理人員、技術(shù)人員和相關(guān)設(shè)備設(shè)施等。測評指標選取

被測系統(tǒng)的定級結(jié)果為：安全保護等級為3級，業(yè)務信息安全等級為S3，系統(tǒng)服務安全等級為A2；則該系統(tǒng)的測評指標應包括GB/T22239-2008“技術(shù)要求”中的3級通用指標類（G3），3級業(yè)務信息安全指標類（S3），2級系統(tǒng)服務安全指標類（A2），以及第3級“管理要求”中的所有指標類。

測評工具和接入點

根據(jù)3級信息系統(tǒng)的測評強度要求，在測試的廣度上，應基本覆蓋不同類型的機制，在數(shù)量、范圍上可以抽樣；在測試的深度上，應執(zhí)行功能測試和滲透測試，功能測試可能涉及機制的功能規(guī)范、高級設(shè)計和操作規(guī)程等文檔，滲透測試可能涉及機制的所有可用文檔，并試圖智取進入信息系統(tǒng)等。因此，對其進行測評，應涉及到漏洞掃描工具、滲透測評工具集等多種測試工具。使用的測試工具主要有：網(wǎng)絡漏洞掃描器、數(shù)據(jù)庫安全掃描器、滲透測試工具集等。

測評內(nèi)容--物理安全

物理安全測評將通過訪談、文檔審查和實地察看的方式測評信息系統(tǒng)的的物理安全保障情況。主要涉及對象為屏蔽機房和主機房。

測評內(nèi)容—網(wǎng)絡安全

網(wǎng)絡安全測評將通過訪談、配置檢查和工具測試的方式測評信息系統(tǒng)的的網(wǎng)絡安全保障情況。主要涉及對象為網(wǎng)絡互聯(lián)設(shè)備、網(wǎng)絡安全設(shè)備和網(wǎng)絡拓撲結(jié)構(gòu)等三大類對象。

測評內(nèi)容—主機安全

主機系統(tǒng)安全測評將通過訪談、配置檢查和工具測試的方式測評主機系統(tǒng)安全保障情況。本次重點測評的操作系統(tǒng)包括各網(wǎng)站服務器、應用服務器和數(shù)據(jù)庫服務器等的操作系統(tǒng)，數(shù)據(jù)庫管理系統(tǒng)為數(shù)據(jù)庫服務器Sybase。

。

測評內(nèi)容—應用安全和數(shù)據(jù)安全

應用安全測評將通過訪談、配置檢查和工具測試的方式測評應用安全保障情況，主要涉及對象為用電信息系統(tǒng)、對外服務網(wǎng)站系統(tǒng)和遠程客戶服務系統(tǒng)。

測評內(nèi)容—安全管理部分安全管理部分為全局性問題，涉及安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等五個方面。主要是審查相關(guān)管理文檔和記錄文件。

等級保護測評實施—物理安全要求：對于溫濕度控制（G3），在GB/T22239-2008中的描述為“機房應設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使