信息网络安全等级保护

1、信息网络安全等级保护1 信息网络安全等级保护工作介绍信息网络安全等级保护工作介绍 信息网络安全等级保护2 一、相关概念一、相关概念 o信息网络安全：指计算机网络硬件设备、软件、数据不信息网络安全：指计算机网络硬件设备、软件、数据不 因偶然的或恶意的原因而遭到破坏、更改、泄漏。包括：因偶然的或恶意的原因而遭到破坏、更改、泄漏。包括： 基础信息网络和重要信息系统。基础信息网络和重要信息系统。 o信息网络安全等级保护：指将安全策略、安全责任和安信息网络安全等级保护：指将安全策略、安全责任和安 全保障等计算机信息网络全保障等计算机信息网络安全需求安全需求划分划分不同的不同的等级等级，国，国 家、企业和

2、个人家、企业和个人依据不同等级依据不同等级的要求有针对性地的要求有针对性地保护保护信信 息网络安全。息网络安全。 信息网络安全等级保护3 二、目的和依据二、目的和依据 o目的：为了加强信息安全等级保护定级工作的目的：为了加强信息安全等级保护定级工作的组织实施组织实施 和监督指导和监督指导，科学、，科学、准确准确、合理地评审、确、合理地评审、确定定信息系统信息系统 等等级级，促进等级保护，促进等级保护管理工作规范化、制度化管理工作规范化、制度化。 o依据：依据：浙江信息安全等级保护管理办法浙江信息安全等级保护管理办法省政府省政府223 号令。号令。 信息网络安全等级保护4 三、确定基础信息网络和

3、重要信息系统的依据三、确定基础信息网络和重要信息系统的依据 o主要是根据其在国家安全、经济建设、社会生主要是根据其在国家安全、经济建设、社会生 活中的活中的重要程度重要程度及实际安全需要，遭到破坏后及实际安全需要，遭到破坏后 对国家安全、社会秩序、经济建设、公共利益对国家安全、社会秩序、经济建设、公共利益 以及公民、法人和其他组织的合法权益的以及公民、法人和其他组织的合法权益的危害危害 程度程度来确定的。来确定的。 o基础信息网络主要包括公用通信网、广播电视基础信息网络主要包括公用通信网、广播电视 传输网等。传输网等。 信息网络安全等级保护5 o重要信息系统主要包括：重要信息系统主要包括： n

4、党政事务处理信息系统；党政事务处理信息系统； n金融、财税、海关业务信息系统；金融、财税、海关业务信息系统； n铁路、机场、交通（港口）等业务信息系统；铁路、机场、交通（港口）等业务信息系统； n医疗、社（医）保、供水、电力、燃气等业医疗、社（医）保、供水、电力、燃气等业 务信息系统；务信息系统； n国家和省规定的其他重要信息系统。国家和省规定的其他重要信息系统。 信息网络安全等级保护6 四、等级评审流程四、等级评审流程 1、提交申请资料、提交申请资料 o保护等级应当在信息系统规划设计时按照保护等级应当在信息系统规划设计时按照223号令第十号令第十 条规定报经审定。（新建、扩建，现在已建成）条

5、规定报经审定。（新建、扩建，现在已建成） o省级部门在确定安全保护等级后，直接向省信息化行政省级部门在确定安全保护等级后，直接向省信息化行政 主管部门（省信息产业厅）提交申请资料。主管部门（省信息产业厅）提交申请资料。 o设区的市：各信息系统运营、使用单位确定安全保护等设区的市：各信息系统运营、使用单位确定安全保护等 级后，定为二、三级的向当地的市信息化行政主管部门级后，定为二、三级的向当地的市信息化行政主管部门 提交申请资料；提交申请资料；定为四级的直接向省信息化行政主管部定为四级的直接向省信息化行政主管部 门（省信息产业厅）提交申请资料。门（省信息产业厅）提交申请资料。 信息网络安全等级保

6、护7 提交申请材料内容提交申请材料内容 o4个方面（个方面（1个情况、个情况、1个信息、个信息、2个资料）个资料） o申报单位基本情况：单位名称、法定代表人、通信地申报单位基本情况：单位名称、法定代表人、通信地 址、联络方式等基本情况。址、联络方式等基本情况。 o信息系统基本信息信息系统基本信息 o1、信息系统的行业特征、主管机构、地理位置、业务、信息系统的行业特征、主管机构、地理位置、业务 范围、业务种类和特性等基本情况。范围、业务种类和特性等基本情况。 o2、信息系统管理框架，主要包括组织管理结构、管理、信息系统管理框架，主要包括组织管理结构、管理 策略、部门设置和部门在业务运行中的作用、

7、岗位职责、策略、部门设置和部门在业务运行中的作用、岗位职责、 用户范围和用户类型基本情况；用户范围和用户类型基本情况； o3、信息系统的网络及设备部署，主要包括信息系统的、信息系统的网络及设备部署，主要包括信息系统的 物理环境、网络拓扑结构、网络边界描述和硬件设备的物理环境、网络拓扑结构、网络边界描述和硬件设备的 部署等情况。部署等情况。 信息网络安全等级保护8 o信息系统划分资料信息系统划分资料 o1、划分原则和方法；、划分原则和方法； o2、信息系统列表；、信息系统列表； o3、每个信息系统的概述；、每个信息系统的概述； o4、每个信息系统支撑的业务应用的列表；、每个信息系统支撑的业务应用

8、的列表； o5、每个业务应用处理的信息资产类型；、每个业务应用处理的信息资产类型； o6、每个业务应用的服务范围和用户类型；、每个业务应用的服务范围和用户类型； o7、每个业务应用的其他特性。、每个业务应用的其他特性。 信息网络安全等级保护9 o等级确定资料等级确定资料 o1、安全需求分析：安全需求分析报告、等级保护基本、安全需求分析：安全需求分析报告、等级保护基本 要求；要求； o2、总体安全设计规划（总体安全策略、总体安全方案、总体安全设计规划（总体安全策略、总体安全方案、 安全技术防护措施、安全保护管理制度、信息安全应急安全技术防护措施、安全保护管理制度、信息安全应急 预案等）；预案等）

9、； o3、信息系统安全自评估报告；、信息系统安全自评估报告； o4、安全保护等级自定级报告；、安全保护等级自定级报告； 信息网络安全等级保护10 2、受理、受理 o省信息化行政主管部门受理省级单位信息系统安全等级省信息化行政主管部门受理省级单位信息系统安全等级 定级、等级变更的评审申请；受理四级重要信息系统安定级、等级变更的评审申请；受理四级重要信息系统安 全等级的评审申请；全等级的评审申请； o设区的市信息化行政主管部门受理二、三级信息系统安设区的市信息化行政主管部门受理二、三级信息系统安 全等级定级、等级变更的评审申请。全等级定级、等级变更的评审申请。 信息网络安全等级保护11 3、评审、

10、评审 o受理申请的信息化行政主管部门，应当自受理之日起受理申请的信息化行政主管部门，应当自受理之日起20 个工作日内，委托专家组进行评审。信息化行政主管部个工作日内，委托专家组进行评审。信息化行政主管部 门应当自评审之日起门应当自评审之日起45个工作日内审定专家组提出评审个工作日内审定专家组提出评审 意见并书面通报。意见并书面通报。 o省信息化行政主管部门组织专家组进行评审，审定省级省信息化行政主管部门组织专家组进行评审，审定省级 及三级专家组评审意见；对拟确定为四级信息系统安全及三级专家组评审意见；对拟确定为四级信息系统安全 等级申请提出初审意见。等级申请提出初审意见。 o设区的市信息化行政

11、主管部门组织专家组进行评审，审设区的市信息化行政主管部门组织专家组进行评审，审 定二级专家组评审意见，并向省信息化行政主管部门报定二级专家组评审意见，并向省信息化行政主管部门报 备；对三级信息系统安全等级定级、等级变更的申请提备；对三级信息系统安全等级定级、等级变更的申请提 出初审意见。出初审意见。 信息网络安全等级保护12 4、复审申请、复审申请 o对审定结果有异议的，应当自收到该审定结果之日起对审定结果有异议的，应当自收到该审定结果之日起60 日内，可以向省信息化行政主管部门提出复审申请。日内，可以向省信息化行政主管部门提出复审申请。 信息网络安全等级保护13 5、变更、变更 o信息系统运

12、营、使用单位需要变更安全等级的，应当向信息系统运营、使用单位需要变更安全等级的，应当向 原审定的信息化行政主管部门提出等级变更申请。受理原审定的信息化行政主管部门提出等级变更申请。受理 申请的信息化行政主管部门按照本细则第十条规定重新申请的信息化行政主管部门按照本细则第十条规定重新 组织审定。组织审定。 信息网络安全等级保护14 五、实施等级保护工作的主要阶段五、实施等级保护工作的主要阶段 o第一阶段：系统定级 o第二阶段：定级评审 o第三阶段：系统备案 o第四阶段：等级测评、整改 o第五阶段：安全管理、建设 信息网络安全等级保护15 第一阶段：系统定级第一阶段：系统定级 o信息系统使用单位按

13、照等级保护的管理规范和技术标准，信息系统使用单位按照等级保护的管理规范和技术标准， 确定其信息系统的安全保护等级，并报其主管部门审批确定其信息系统的安全保护等级，并报其主管部门审批 同意。同意。 o系统涉及国家秘密的部分按照系统涉及国家秘密的部分按照涉密信息系统分级保护涉密信息系统分级保护 管理办法管理办法(国保发国保发200516号号)和和涉及国家秘密的信涉及国家秘密的信 息系统分级保护技术要求息系统分级保护技术要求（国家保密标准（国家保密标准BMBl7- 2006）确定信息系统的安全保护等级。跨市或者全省统）确定信息系统的安全保护等级。跨市或者全省统 一联网运行的信息系统可以由主管部门统一

14、确定安全保一联网运行的信息系统可以由主管部门统一确定安全保 护等级。护等级。 信息网络安全等级保护16 信息系统等级安全保护定级原则信息系统等级安全保护定级原则 o信息系统安全保护等级既不是信息系统安全保障等级，信息系统安全保护等级既不是信息系统安全保障等级， 也不是信息系统所能达到的技术能力等级，而是从国家也不是信息系统所能达到的技术能力等级，而是从国家 管理的需要出发，从信息系统对国家安全、经济建设、管理的需要出发，从信息系统对国家安全、经济建设、 公共利益等方面的重要性，以及信息或信息系统被破坏公共利益等方面的重要性，以及信息或信息系统被破坏 后造成危害的严重性角度确定的信息系统应达到的

15、安全后造成危害的严重性角度确定的信息系统应达到的安全 等级。等级。 信息网络安全等级保护17 定级工作原则定级工作原则 o原则一：自主定级原则。原则一：自主定级原则。“依照标准，自行保护依照标准，自行保护”，因，因 此定级工作必须由单位依照相关法律规范和标准来自行此定级工作必须由单位依照相关法律规范和标准来自行 定级。定级工作的责任主体为信息系统主管单位。定级。定级工作的责任主体为信息系统主管单位。 o原则二：满足国家管理要求原则。信息系统安全保护等原则二：满足国家管理要求原则。信息系统安全保护等 级既不是信息系统安全保障等级，也不是信息系统所能级既不是信息系统安全保障等级，也不是信息系统所能

16、 达到的技术能力等级，而是从国家管理的需要出发，立达到的技术能力等级，而是从国家管理的需要出发，立 足信息系统对国家安全、经济建设、公共利益等方面的足信息系统对国家安全、经济建设、公共利益等方面的 重要性角度，及信息或信息系统被破坏后造成危害的严重要性角度，及信息或信息系统被破坏后造成危害的严 重性角度来确定的信息系统应达到的安全等级。重性角度来确定的信息系统应达到的安全等级。 信息网络安全等级保护18 定级工作原则定级工作原则 o原则三：全局性原则原则三：全局性原则 。信息系统安全等级保护是针对。信息系统安全等级保护是针对 全国范围内、涵盖各个行业信息系统的管理制度，信息全国范围内、涵盖各个

17、行业信息系统的管理制度，信息 系统安全保护等级的划分也必须从国家层面考虑，体现系统安全保护等级的划分也必须从国家层面考虑，体现 全局性。全局性。 o原则四：业务为核心原则。信息系统是为业务应用服务原则四：业务为核心原则。信息系统是为业务应用服务 的，信息系统的安全保护等级应当依据信息系统承载业的，信息系统的安全保护等级应当依据信息系统承载业 务的重要性、业务对信息系统的依赖度和系统特殊的安务的重要性、业务对信息系统的依赖度和系统特殊的安 全需求确定。全需求确定。 o原则五：合理性原则。不同于信息安全产品，信息系统原则五：合理性原则。不同于信息安全产品，信息系统 千差万别，各具特色，只有在划分安

18、全保护等级的过程千差万别，各具特色，只有在划分安全保护等级的过程 中，尽可能反映出信息系统的主要安全特征，合理划分中，尽可能反映出信息系统的主要安全特征，合理划分 等级，才能做到突出重点，适度保护。等级，才能做到突出重点，适度保护。 信息网络安全等级保护19 五级安全等级描述五级安全等级描述 o第一级:受到破坏后，会对公民、法人和其他组织的合法 权益造成损害，但不损害国家安全、社会秩序和公共利 益会秩序和公共利益。 o第二级:受到破坏后，会对公民、法人和其他组织的合法 权益产生严重损害，或者对社会秩序和公共利益造成损 害，但不损害国家安全。 o第三级:受到破坏后，会对社会秩序和公共利益造成严重

19、 损害，或者对国家安全造成损害。 o第四级:受到破坏后，会对社会秩序和公共利益造成特别 严重损害，或者对国家安全造成严重损害。 o第五级:受到破坏后，会对国家安全造成特别严重损害。 信息网络安全等级保护20 系统服务安全被破系统服务安全被破 坏时所侵害的客体坏时所侵害的客体 对相应客体的侵害程度对相应客体的侵害程度 一般损害一般损害严重损害严重损害特别严重损害特别严重损害 公民、法人和其他公民、法人和其他 组织的合法权益组织的合法权益 第一级第一级第二级第二级第二级第二级 社会秩序、公共利社会秩序、公共利 益益 第二级第二级第三级第三级第四级第四级 国家安全国家安全第三级第三级第四级第四级第五

20、级第五级 信息网络安全等级保护21 一级信息系统举例：一级信息系统举例： o公民个人的单机系统，小型集体、民营企业公民个人的单机系统，小型集体、民营企业 所属的信所属的信 息系统，中、小学校的信息系统，乡镇级党政机关、事息系统，中、小学校的信息系统，乡镇级党政机关、事 业单位的信息系统，其他小型组织的信息系统。业单位的信息系统，其他小型组织的信息系统。 信息网络安全等级保护22 二级信息系统举例：二级信息系统举例： o县级、地市级电信、广电、银行、铁道、海关、税务、县级、地市级电信、广电、银行、铁道、海关、税务、 民航、证券、电力、保险、公安、财务、财政、金融、民航、证券、电力、保险、公安、财

21、务、财政、金融、 社保、工商、审计、能源、化工、社会服务保障、卫生、社保、工商、审计、能源、化工、社会服务保障、卫生、 交通运输、国土资源、邮政、交通运输、国土资源、邮政、 应急抢险、农业等行业应急抢险、农业等行业 所属独立的信息系统，中型集体、民营企业、小型国有所属独立的信息系统，中型集体、民营企业、小型国有 企业所属的信息系统，县级党政机关、事业单位的信息企业所属的信息系统，县级党政机关、事业单位的信息 系统，普通高等院校和科研机构的信息系统，其他中型系统，普通高等院校和科研机构的信息系统，其他中型 组织的信息系统。组织的信息系统。 信息网络安全等级保护23 三级信息系统举例：三级信息系统

22、举例： o省级和副省级电信、广电、银行、铁道、海关、税务、省级和副省级电信、广电、银行、铁道、海关、税务、 民航、证券、电力、保险、公安、财政、金融、社保、民航、证券、电力、保险、公安、财政、金融、社保、 工商、审计、能源、化工、社会服工商、审计、能源、化工、社会服 金融、社保、工商、金融、社保、工商、 审计、能源、化工、社会服务保障、卫生、交通运输、审计、能源、化工、社会服务保障、卫生、交通运输、 国土资源、邮政、应急抢险、农业等行业所属独立的重国土资源、邮政、应急抢险、农业等行业所属独立的重 要信息系统，大型集体、民营企业、大中型国有企业所要信息系统，大型集体、民营企业、大中型国有企业所

23、属的重要信息系统，地市级党政机关、事业单位的重要属的重要信息系统，地市级党政机关、事业单位的重要 信息系统，重点高等院校和科研机构的重要信息系统，信息系统，重点高等院校和科研机构的重要信息系统， 其他大中型组织的信息系统。其他大中型组织的信息系统。 信息网络安全等级保护24 四级信息系统举例：四级信息系统举例： o国家级电信、广电、银行、铁道、海关、税务、民航、国家级电信、广电、银行、铁道、海关、税务、民航、 证券、电力、保险、公安、财政、金融、社保、工商、证券、电力、保险、公安、财政、金融、社保、工商、 审计、能源、化工、社会服务保障、卫生、交通运输、审计、能源、化工、社会服务保障、卫生、交

24、通运输、 国土资源、邮政、应急抢险等行业所属全程全网的特大国土资源、邮政、应急抢险等行业所属全程全网的特大 型信息系统，特大型国有企业型信息系统，特大型国有企业 所属全程全网的特大型所属全程全网的特大型 信息系统，省级党政机关、事业单位所属的重要信息系信息系统，省级党政机关、事业单位所属的重要信息系 统，重点科研机构的重要信息系统。统，重点科研机构的重要信息系统。 信息网络安全等级保护25 五级信息系统举例：五级信息系统举例： o国家级电信、广电、银行、铁道、海关、税务、民航、国家级电信、广电、银行、铁道、海关、税务、民航、 证券、电力、保险等重要信息系统中的核心子系统，涉证券、电力、保险等重

25、要信息系统中的核心子系统，涉 及国防、重大外交、航天航空、核能源、及国防、重大外交、航天航空、核能源、 尖端科学技尖端科学技 术等重要信息系统中的核心子系统，国家级党政机关重术等重要信息系统中的核心子系统，国家级党政机关重 要信息系统中的核心子系统。要信息系统中的核心子系统。 信息网络安全等级保护26 第二阶段：定级评审第二阶段：定级评审 o使用单位初步确定安全保护等级后，应聘请专家进行评使用单位初步确定安全保护等级后，应聘请专家进行评 审。审。 o对拟确定为第四级、第五级信息系统，使用单位或主管对拟确定为第四级、第五级信息系统，使用单位或主管 部门应经省信息化行政主管部门初审后，请国家信息安

26、部门应经省信息化行政主管部门初审后，请国家信息安 全等级保护专家评审委员会评审。全等级保护专家评审委员会评审。 o其它定级评审，依照其它定级评审，依照浙江省信息安全等级评审实施细浙江省信息安全等级评审实施细 则则执行。执行。 信息网络安全等级保护27 第三阶段：系统备案第三阶段：系统备案 o在信息系统安全保护等级确定三十天内，使用单位填写在信息系统安全保护等级确定三十天内，使用单位填写 备案表，向公安机关办理备案手续，提交有关备案材料备案表，向公安机关办理备案手续，提交有关备案材料 及电子数据文件。系统涉及国家秘密的，向保密工作部及电子数据文件。系统涉及国家秘密的，向保密工作部 门备案。系统中使用的密码设备向