信息安全等级保护培训教材

1、 信息安全等级保护培训教材 等级保护实施主要技术环节说明 公安部 20XX 年 7 月 目录 1 定级阶段 1 矚慫润厲钐瘗睞枥庑赖賃軔朧。 1.1 关于行业的定级指导意见 1 聞創沟燴鐺險爱氇谴净祸測樅。 1.2 关于确定定级对象 3 残骛楼諍锩瀨濟溆塹籟婭骒東。 1.2.1 定级对象的三个条件 3 酽锕极額閉镇桧猪訣锥顧荭钯。 1.2.2 定级对象识别 4 彈贸摄尔霁毙攬砖卤庑诒尔肤。 1.2.3 确定定级对象信息系统边界和边界设备 5 謀荞抟箧飆鐸怼类蒋薔點鉍杂。 1.3 关于定级过程 6 厦礴恳蹒骈時盡继價骚卺癩龔。 2 系统建设和改建阶段 7 茕桢广鳓鯡选块网羈泪镀齐鈞。 2.1 安

2、全需求分析方法 8 鹅娅尽損鹌惨歷茏鴛賴縈诘聾。 2.1.1 选择、调整基本安全要求 8 籟丛妈羥为贍偾蛏练淨槠挞曉。 2.1.2 明确系统特殊安全需求 10 預頌圣鉉儐歲龈讶骅籴買闥龅。 2.2 新建系统的安全等级保护设计方案 10 渗釤呛俨匀谔鱉调硯錦鋇絨钞。 2.2.1 总体安全设计方法 11 铙誅卧泻噦圣骋贶頂廡缝勵罴。 2.2.2 总体安全设计方案大纲 15 擁締凤袜备訊顎轮烂蔷報赢无。 2.2.3 设计实施方案 15 贓熱俣阃歲匱阊邺镓騷鯛汉鼉。 2.3 系统改建实施方案设计 16 坛摶乡囂忏蒌鍥铃氈淚跻馱釣。 2.3.1 确定系统改建的安全需求 16 蜡變黲癟報伥铉锚鈰赘籜葦繯。

3、 2.3.2 差距原因分析 17 買鲷鴯譖昙膚遙闫撷凄届嬌擻。 2.3.3 分类处理的改建措施 17 綾镝鯛駕櫬鹕踪韦辚糴飙钪麦。 2.3.4 改建措施详细设计 18 驅踬髏彦浃绥譎饴憂锦諑琼针。 根据信息安全等级保护管理办法 （以下简称管理办法 ），信息安全等级保护的实施工 作包括信息系统定级与评审、 信息系统安全建设或者改建、 对信息系统定期的等级测评与安 全自查、办理备案手续并提供相关材料、 接受公安机关、 国家指定的专门部门监督检查、选 择使用符合条件的信息安全产品、 选择符合条件的等级保护测评机构等， 其中涉及信息系统 运营使用单位 /主管部门需要作较多技术工作的环节是系统定级和系统

4、建设或改建。本教材 主要对这两个阶段工作中可能涉及的特殊概念，可能采用的技术方法和步骤等方面给出说 明。 猫虿驢绘燈鮒诛髅貺庑献鵬缩。 定级阶段 关于行业的定级指导意见 根据管理办法第十条：信息系统运营、使用单位应当依据本办法和信息系统安全等级 保护定级指南确定信息系统的安全保护等级。有主管部门的，应当经主管部门审核批准。 跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。 锹籁饗迳琐筆 襖鸥娅薔嗚訝摈。 根据关于开展全国重要信息系统安全等级保护定级工作的通知 （以下简称定级通知 ） 要求：各行业主管部门要根据行业特点提出指导本地区、本行业定级工作的指导意见。 構氽 頑黉碩

5、饨荠龈话骛門戲鷯。 与此相对应，在定级指南中提出 “各行业可根据本行业业务特点，分析各类信息和各类 信息系统与国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的关系， 从而确定本行业各类信息和各类信息系统受到破坏时所侵害的客体。 ”輒峄陽檉簖疖網儂號泶蛴镧 釃。 每个行业在国家政治、经济、军事、 外交等活动中的职能不同，信息系统在行业内所发挥的 作用对行业职能影响不同， 信息和信息系统被破坏后对等级保护客体的影响也有所不同。 对 本行业职能的认识， 行业主管部门一般比信息系统的运营、 使用单位具有更高的站位、 更宏 观的视野， 从而可以做出更准确2 / 18 的判断， 因此需要行

6、业主管部门对本行业哪些业务系统的等 级保护客体是国家安全、 哪些是社会秩序、公共利益、哪些是公民、法人和其他组织的合法 权益给出基本判断，从而指导本行信息系统的不同的运营使用单位作出一致的判断。 尧侧閆 繭絳闕绚勵蜆贅瀝纰縭。 以下概念说明供行业主管部门参考： 1关于国家安全 随着信息化的不断推进， 我国国家安全和经济生活已经极大地依赖于信息技术和信息基础设 施，尤其是国防、电力、银行、政府机构、电信系统以及运输系统等重要基础设施一旦受到 破坏， 会对国家安全构成严重威胁。 因此在考虑信息系统的信息和服务安全被破坏后， 可能 对国家安全的影响时，也应从多方面加以考虑。 识饒鎂錕缢灩筧嚌俨淒侬减

7、攙。 举例来说， 涉及影响国家安全事项的信息系统可能包括： 重要的国家事务处理系统、 国防工 业生产系统和国防设施的控制系统等属于影响国家政权稳固和国防实力的信息系统；广播、 电视、 网络等重要新闻媒体的发布或播出系统， 其受到非法控制可能引发影响国家统一、 民 族团结和社会安定的重大事件； 处理国家对外活动信息的信息系统； 处理国家重要安全保卫 工作信息的信息系统和重大刑事案件的侦查系统； 尖端科技领域的研发、 生产系统等影响国 家经济竞争力和科技实力的信息系统，以及电力、通信、能源、交通运输、金融等国家重要 基础设施的生产、控制、管理系统等。 凍鈹鋨劳臘锴痫婦胫籴铍賄鹗。 2 关于社会秩序

8、 完善社会管理体系， 维护良好的社会秩序是建设社会主义和谐社会的重要任务之一， 借助信 息化手段提高国家机关的社会管理和公共服务水平， 提高经济活动效率， 更方便地从事科研、 生产、生活活动正是维护良好社会秩序的表现。 恥諤銪灭萦欢煬鞏鹜錦聰櫻郐。 可能影响到社会秩序的信息系统非常多， 包括各级政府机构的社会管理和公共服务系统， 如 财政、金融、工商、税务、公检法、海关、社保等领域的信息系统，也包括教育、科研机构 的工作系统，以及所有为公众提供医疗卫生、应急服务、供水、供电、邮政等必要服务的生 产系统或管理系统。 鯊腎鑰诎褳鉀沩懼統庫摇饬缗。 3关于公共利益 公共利益所包括的范围是非常宽泛的，

9、既可能是经济利益，也可能是包括教育、卫生、 环境 等各个方面的利益。 借助信息化手段为社会成员提供使用的公共设施和通过信息系统对公共设施进行进行管理 控制都应当是要考虑的方面，例如：公共通信设施、公共卫生设施、公共休闲娱乐设施、公 共管理设施、公共服务设施等。 硕癘鄴颃诌攆檸攜驤蔹鸶胶据。 公共利益与社会秩序密切相关，社会秩序的破坏一般会造成对公共利益的损害。 4关于公民、法人和其他组织的合法权益 定级指南 中的公民、 法人和其他组织的合法权益则是指拥有信息系统的个体或确定组织 所享有的社会权力和利益。 它不同于公共利益， 选择客体为公共利益是指受侵害的对象是 “不 特定的社会成员 ”，而选择

10、公民、法人和其他组织的合法权益时，受侵害的对象是明确的， 就是拥有信息系统的个体或某个单位。 阌擻輳嬪諫迁择楨秘騖輛埙鵜。 为确定信息系统安全保护等级， 除了要确定等级保护客体外， 还必须确定信息系统受到破坏 后对客体的侵害程度，因此在定级指南中还提出 “由于各行业信息系统所处理的信息种 类和系统服务特点各不相同， 信息安全和系统服务安全受到破坏后关注的危害结果、 危害程 度的计算方式均可能不同， 各行业可根据本行业信息特点和系统服务特点， 制定危害程度的 综合评定方法， 并给出侵害不同客体造成一般损害、 严重损害、 特别严重损害的具体定义。 ” 氬嚕躑竄贸恳彈瀘颔澩纷釓鄧。 行业主管部门需要

11、根据本行业特点， 确定对客体的侵害程度， 对于定级指南给出了以下 几种危害后果具体说明如下： 釷鹆資贏車贖孙滅獅赘慶獷緞。 影响行使工作职能， 工作职能包括国家管理职能、 公共管理职能、 公共服务职能等国家或社 会方面的职能。 导致业务能力下降， 下降的表现形式可能包括业务范围的减少、 业务处理性能的下降、 可服 务的用户数量的下降以及其他各种业务指标的下降，每个行业务都有本行业关注的业务指 标。例如电力行业关注发电量和用电量， 税务行业关注税费收入， 银行业关注存款额、 贷款 额、交易量等，证券经纪行业关注股民数和交易额。 怂阐譜鯪迳導嘯畫長凉馴鸨撟。 引起法律纠纷是比较严重的影响， 在较轻

12、的程度时可能3 / 18 表现为投诉、 索赔、媒体曝光等形式。 导致财产损失， 包括系统资产被破坏的直接损失、 业务量下降带来的损失、 直接的资金损失、 为客户索赔所支付的资金等， 以及由于信誉下降、 单位形象降低、 客户关系损失等导致的间 接经济损失。 谚辞調担鈧谄动禪泻類谨觋鸾。 直接造成人员伤亡，例如医疗服务系统，公安行业的某些系统等。 造成社会不良影响，包括在社会风气、执政信心等方面的影响。 上述几类影响不一定是独立的， 有时也会是相关的， 例如人员伤亡可能引发法律纠纷， 进而 可能造成资金的赔偿， 业务能力下降既可能影响管理职能的履行， 同时也可能造成单位收入 的下降。 嘰觐詿缧铴嗫

13、偽純铪锩癱恳迹。 在上述危害后果中， 各行业的某个类型的信息系统一般主要关注其中的一种后果， 例如银行 系统一般关注业务能力下降的影响， 党政系统主要关注管理职能的履行等， 而将其他后果作 为参考。 行业主管部门通过梳理本行业信息系统的现状， 通过对这些不同类型、 不同程度后 果的定量、 半定量描述， 给出对等级保护客体的一般损害、 严重损害和特别严重损害的指导 性意见， 以便本行业的信息系统运营使用单位可以参照执行， 确定本单位系统的安全保护等 级，只有这样， 一个行业内确定的安全保护等级才具有较好的一致性 熒绐譏钲鏌觶鷹緇機库圆鍰缄。 关于确定定级对象 定级对象的三个条件 定级工作是信息系

14、统等级保护工作的起点，定级结果直接决定了后续安全保障工作的开展。 在定级之前，首先必须明确定级的对象，即，对哪个信息系统进行定级。 定级指南中指 出，作为定级对象的信息系统应当具备以下三个条件： 鶼渍螻偉阅劍鲰腎邏蘞阕簣择。 具有唯一确定的安全责任单位 作为定级对象的信息系统应能够唯一地确定其安全责任单位， 这个安全责任单位就是负责等 级保护工作部署、 实施的单位， 也是完成等级保护备案和接受监督检查的直接责任单位。 如 果一个单位的某个下级单位负责信息系统安全建设、 运行维护等过程的全部安全责任， 而其 上级部门仅负有监督、 指导责任， 则这个下级单位可以成为信息系统的安全责任单位； 如果

15、一个单位中的不同下级单位分别承担信息系统不同方面的安全责任， 则该信息系统的安全责 任单位应是这些下级单位共同所属的单位。 纣忧蔣氳頑莶驅藥悯骛覲僨鴛。 具有信息系统的基本要素 作为定级对象的信息系统应该是由相关的和配套的设备、 设施按照一定的应用目标和规则组 合而成的有形实体。 应避免将某个单一的系统组件， 如单台的服务器、 终端或网络设备等作 为定级对象。 颖刍莖蛺饽亿顿裊赔泷涨负這。 单台的设备或由单台设备构成的安全域本身无法实现所要求的信息系统保护， 不能抵御来自 内部或外部的攻击，这样的设备或区域必然依靠其所在环境所提供的网络安全和边界防护。 因此作为定级对象的信息系统应当是包括信息

16、系统的核心资产 保护目标，以及对保护目 标提供保护的所有相关设备和人员 保护机制， 只有涵盖了这两部分， 才能使信息系统实 现其应用目标。 濫驂膽閉驟羥闈詔寢賻減栖綜。 承载相对独立的业务应用 定级对象承载 “相对独立 ”的业务应用是指其中的一个或多个业务应用的主要业务流程、 部分 业务功能独立， 同时与其他信息系统的业务应用有少量的数据交换， 定级对象可能会与其他 业务应用共享一些设备， 尤其是网络传输设备。 “相对独立 ”的业务应用并不意味着整个业务 流程，可以使完整的业务流程的一部分。 銚銻縵哜鳗鸿锓謎諏涼鏗穎報。 承载 “相对独立 ”业务应用的信息系统在一个单位的整个信息系统中像一个子

17、系统， 其业务功 能是相对独立的并明显区别于其他系统的，与其他系统有明确的业务边界和信息交换方式。 挤貼綬电麥结鈺贖哓类芈罷鸨。 上述三个条件给出定级对象确定的原则， 在这个原则的基础上， 针对不同规模、 不同复杂程 度、不同隶属关系的信息系统， 运营使用单位和服务机构人员可以寻找适合自身的划分方法， 以下给出的定级对象的识别方法和定级过程的操作方法已经在某些信息系统中得到认可， 作 为例子，供运营使用单位和有关各方参考。 赔荊紳谘侖驟辽輩袜錈極嚕辫。 定级对象识别 一般来讲单位信息系统可以划分为几个定级对象， 如何划分系统是定级之前的主要问题。 信 息系统的划分没有绝对的对与错， 只有合理与

18、不合理， 合理地划分信息系统有利于信息系统 的保护及安全规划， 反之可能给将来的应用和安全保护带来不便， 又可能需要重新进行信息 系统的划分。 由4 / 18 于信息系统的多样性， 不同的信息系统在划分过程中所侧重考虑的划分依据 会有所不同。通常， 在信息系统划分过程中， 应当结合信息系统的现状，从信息系统的管理 机构、业务特点或物理位置等几个方面考虑对信息系统进行划分， 当然也可以根据信息系统 的实际情况， 选择其他的划分依据， 只要最终划分结果合理就可以。 塤礙籟馐决穩賽釙冊庫麩适绲。 安全责任单位 依据安全责任单位的不同， 划分信息系统。 如果信息系统由不同的单位负责运行维护和管理， 或

19、者说信息系统的安全责任分属不同机构， 则可以根据安全责任单位的不同划分成不同的信 息系统。 一个运行在局域网的信息系统， 其安全责任单位一般只有一个， 但对一个跨不同地 域运行的信息系统来说， 就可能存在不同的安全责任单位， 此时可以考虑根据不同地域的信 息系统的安全责任单位的不同，划分出不同的信息系统。 裊樣祕廬廂颤谚鍘羋蔺递灿扰。 在一个单位中， 信息系统的业务管理和运行维护可能由不同部门负责， 例如科技部门或信息 中心负责信息系统所有设备和设施的运行、 维护和管理， 各业务部门负责其中的业务流程的 制定和业务操作， 信息系统的安全管理责任不仅指在信息系统的运行、 维护和管理方面的责 任，

20、承担安全管理责任的不应是科技部门，而应当是该单位。 仓嫗盤紲嘱珑詁鍬齊驁絛鯛鱧。 一个运行在局域网的信息系统， 其管理边界比较明确， 但对一个跨不同地域运行的信息系统， 其管理边界可能有不同情况： 如果不同地域运行的信息系统分属不同单位 （如上级单位和下 级单位） 负责运行和管理， 上下级单位的管理边界为本地的信息系统， 则该信息系统可以划 分为两个信息系统； 如果不同地域运行的信息系统均由其上级单位直接负责运行和管理， 运 维人员由上级单位指派， 安全责任由上级单位负责， 则上级单位的管理边界应包括本地和远 程的运行环境。 绽萬璉轆娛閬蛏鬮绾瀧恒蟬轅。 业务类型和业务重要性 根据业务的类型、

21、功能、 阶段的不同，对信息系统进行划分， 不同类型的业务之间会存在重 要程度、 环境、 用户数量等方面的不同， 这些不同会带来安全需求和受破坏后的影响程度的 差异， 例如，一个是以信息处理为主的系统， 其重要性体现在信息的保密性，而另一个是以 业务处理为主的系统， 其重要性体现在其所提供服务的连续性， 因此， 可以按照业务类型的 不同划分为不同的信息系统。 又比如， 在整个业务流程中， 核心处理系统的功能重要性可能 远大于终端处理系统， 有需要时， 可以将其划分为不同的信息系统。 骁顾燁鶚巯瀆蕪領鲡赙骠弒綈。 归结起来，以下几种情况可能划分为不同等级的信息系统： 可能涉及不同客体的系统。 例如

22、对内服务与对外运营的业务系统， 对内服务的办公系统， 一 般来说其中的信息和提供的服务是面向本单位的， 涉及到的等级保护客体一般是本单位， 而 对外运营的业务系统往往关系到其他单位、 个人或面向社会， 因此这两类业务可能涉及不同 的客体， 可能具有不同的安全保护等级， 可以考虑划分为不同的信息系统。 又比如处理涉及 国家秘密信息的信息系统与处理一般单位敏感信息的信息系统应分开。 瑣钋濺暧惲锟缟馭篩凉貿 锕戧。 可能对客体造成不同程度损害的系统。 例如全国大集中系统数据中心的数据量和服务范围都 远大于各省级节点和市级节点， 其受到破坏后的损害程度和影响范围也有很大差别， 可能具 有不同的安全等级

23、，可以考虑划分为不同的信息系统。 鎦诗涇艳损楼紲鯗餳類碍穑鳓。 处理不同类型业务的系统。 分析物理位置的差异 根据物理位置的不同， 对信息系统进行划分。 物理位置的不同， 信息系统面临的安全威胁就 不同，不同物理位置之间通信信道的不可信， 使不同物理位置的信息系统也不能视为可以互 相访问的一个安全域， 即使等级相同可能也需要划分为不同的信息系统分别加以保护， 因此， 物理位置也可以作为信息系统划分的考虑因素之一。 栉缏歐锄棗鈕种鵑瑶锬奧伛辊。 在进行信息系统的划分过程中， 进行分析， 可以选择上述三个方面中的一个方面因素作为划 分的依据， 也可以综合几个方面因素作为划分的依据。同时， 还要结合

24、信息系统的现状，避 免由于信息系统的划分而引起大量的网络改造和重复建设工作，影响原有系统的正常运行。 一般单位的信息系统建设和网络布局， 一般都会或多或少考虑系统的特点、 业务重要性及不 同系统之间的关系， 进行信息系统的等级划分应尽可能以现有网络条件为基础进行划分， 以 免引起不必要的网络改造和建设工作， 影响原有系统的业务运行。 例如政府机构内部一般由 三个网络区域组成， 政务内网、 政务外网和互联网接入网，三个网络相对独立，可以先以已 有的网络边界将单位的整个系统划分为三个大的信息系统， 然后再分析各信息系统内部的业 务特点、 业务重要性及不同系统之间的关系， 如果内部还存在相对独立的网

25、络结构， 业务边 界也比较清晰， 也可以再进一步将该信息系统细分为更小规模的信息系统。 辔烨棟剛殓攬瑤丽阄 应頁諳绞。 5 / 18 此外，有些信息系统中不同业务的重要程度虽然会有所差异，但是由于业务之间联系紧密， 不容易拆分， 可以作为一个信息系统按照同样级别保护。 但是， 如果其中某一个业务面临风 险或威胁较大， 比如与互联网相连， 可能会影响到其它的业务， 就应当将其从该信息系统中 分离出来，单独作为一个信息系统而实施保护。 峴扬斕滾澗辐滠兴渙藺诈機愦。 经过合理划分， 一个单位或机构的信息系统最终可能会划分为不同等级的多个信息系统。 同 时，通过在信息系统划分阶段对各种系统服务业务信息

26、、 业务流程的深入分析， 明确了各个 信息系统之间的边界和逻辑关系以及他们各自的安全需求，有利于信息系统安全保护的实 施。 詩叁撻訥烬忧毀厉鋨骜靈韬鰍。 确定定级对象信息系统边界和边界设备 定级对象确定后就需要确定定级对象信息系统的边界和边界设备。 由于定级对象信息系统有 可能是单位信息系统的一部分， 如果该信息系统与其他系统在网络上是独立的， 没有设备共 用情况，边界则容易确定，但当不同信息系统之间存在共用设备时，应加以分析。 则鯤愜韋瘓 賈晖园栋泷华缙輅。 由于信息系统的边界保护一般在物理边界或网络边界上实现， 系统边界不应出现在服务器内 部，服务器共用的系统一般归入同一个信息系统， 因此

27、不同信息系统的共用设备一般是网络 /边界设备或终端设备。 胀鏝彈奥秘孫戶孪钇賻锵咏繞。 两个信息系统边界存在共用设备时， 共用设备的安全保护等级按两个信息系统安全保护等级 较高者确定。 例如，一个 2 级系统和一个 3 级系统之间有一个防火墙或两个系统共用一个核 心交换机，此时防火墙和交换机可以作为两个系统的边界设备，但应满足 3 级系统的要求。 鳃躋峽祷紉诵帮废掃減萵輳慘。 终端设备一般包括系统管理终端 （如服务器和网络设备的管理终端， 业务管理终端， 安全设 备管理终端等） ，内部用户终端（如办公系统用户的终端，银行系统的业务终端、移动用户 终端等）和外部用户终端 （如网银用户终端， 清算

28、系统中的商业银行终端， 证券交易系统的 交易客户等） 。对于外部用户终端，由于用户和设备一般都不在信息系统的管理边界内，这 些终端设备不在信息系统的边界范围内。信息系统的管理终端是与相应被管理设备相对应 的，服务器、网络设备及安全设备等属于哪个系统，终端就应归在哪个信息系统中。内部用 户终端就比较复杂， 内部用户终端往往与多个系统相连， 当信息系统进行等级化保护后， 应 尽可能为不同的信息系统分配不共用的终端设备， 以免在终端处形成不同等级信息系统的边 界。但如果无法做到不同等级的信息系统使用不同的终端设备， 则应将终端设备划分为其他 的信息系统， 并在服务器与内部用户终端之间建立边界保护，

29、对终端通过身份鉴别和访问控 制等措施加以控制。 稟虛嬪赈维哜妝扩踴粜椤灣鲳。 处理涉密信息的终端必须划分到相应的信息系统中，且不能与非涉密系统共用终端。 关于定级过程 信息系统定级既可以在新系统建设之初进行， 也可在已建成系统中进行。 对于新建系统， 尽 管信息系统尚未建成，但信息系统的运营使用者应首先分析该信息系统处理哪几种主要业 务，预计处理的业务信息和服务安全被破坏所侵害的客体、 以及根据可能的对信息系统的损 害方式判断可能的客体侵害程度等基本信息，确定信息系统的安全保护等级。 陽簍埡鲑罷規呜 旧岿錟麗鲍轸。 对于已建系统， 可以通过系统基本情况调查、 调查结果分析、 确定等级，形成定级

30、报告等过 程完成。 通过定级调查， 可以了解单位信息系统的全貌， 了解定级对象信息系统与单位其他信息系统 的关系。 根据用户需求或工作需要， 定级调查活动既可以针对单位整个信息系统进行， 也可 在用户指定的范围内进行。 沩氣嘮戇苌鑿鑿槠谔應釵蔼绋。 识别单位基本信息 调查了解对目标系统负有安全责任的单位的单位性质、隶属关系、 所属行业、 业务范围、 地 理位置等基本情况，以及其上级主管机构（如果有）的信息。 钡嵐縣緱虜荣产涛團蔺缔嵛恽。 了解单位基本信息有助于判断单位的职能特点， 单位所在行业及单位在行业所处的地位和所 用，由此判断单位主要信息系统的宏观定位。 懨俠劑鈍触乐鹇烬觶騮揚銥鯊。 识

31、别管理框架 调查了解定级对象信息系统所在单位的组织管理结构、 管理策略、 部门设置和部门在业务运 行中的作用、岗位职责。了解信息系统的管理、使用、运维的责任部门，特别是当该单位的 信息系统存在分布于不同的物理区域的情况时，应了解不同区域系统运行的安全管理责任。 安全管理的责任单位就是等级保护备案工作的责任单位。 謾饱兗争詣繚鮐癞别瀘鯽礎輪。 了解管理框架还有利于将来对整个单位6 / 18 制定等级保护管理框架及单个定级对象等级管理策 略。 识别业务种类、流程和服务 调查了解定级对象信息系统内部处理多少种业务， 各项业务具体要完成的工作内容、 服务目 标和业务流程等。 了解这些业务与单位职能的关

32、联， 单位对定级对象信息系统完成业务使命 的期待和依赖程度， 由此判断该信息系统在单位的作用和影响程度。 呙铉們欤谦鸪饺竞荡赚趱為練。 调查还应关注每个信息系统的业务流， 以及不同信息系统之间的业务关系， 因为不同信息系 统之间的业务关系和数据关系表明其他信息系统对该信息系统的服务的关联和依赖。 莹谐龌 蕲賞组靄绉嚴减籩诹戀。 应重点了解定级对象信息系统中不同业务系统提供的服务在影响履行单位职能方面具体方 式和程度， 影响的区域范围、 用户人数、 业务量的具体数据以及对本单位以外机构或个人的 影响等方面。 这些具体数据即可以为主管部门制定定级指导意见提供参照， 也可以作为主管 部门审批定级结果

33、的重要依据。 麸肃鹏镟轿騍镣缚縟糶尔摊鲟。 识别信息 调查了解定级对象信息系统所处理的信息， 了解单位对信息的三个安全属性的需求， 了解不 同业务数据在其保密性、 完整性和可用性被破坏后在单位职能、单位资金、 单位信誉、 人身 安全等方面可能对国家、社会、本单位造成的影响，对影响程度的描述应尽可能量化。 納畴 鳗吶鄖禎銣腻鰲锬颤階躜。 根据系统不同业务数据可能是用户数据、业务处理数据、业务过程记录（流水）数据、系统 控制数据或文件等。 了解数据信息还应关注信息系统的数据流，以及不同信息系统之间的数据交换或共享关系。 识别网络结构和边界 调查了解定级对象信息系统所在单位的整体网络状况和安全防护情

34、况，包括网络覆盖范围 （全国、全省或本地区） ，网络的构成（广域网、城域网或局域网等） ，内部网段 /VLAN 划 分，网段 /VLAN 划分与系统的关系，与上级单位、下级单位、外部用户、合作单位等的网 络连接方式， 与互联网的连接方式。 目的是了解定级对象信息系统自身网络在单位整个网络 中的位置， 该信息系统所处的单位内部网络环境和外部环境特点， 以及该信息系统的网络安 全保护与单位内部网络环境的安全保护的关系。 風撵鲔貓铁频钙蓟纠庙誑繃纸。 识别主要的软硬件设备 调查了解与定级对象信息系统相关的服务器、 网络、终端、存储设备以及安全设备等， 设备 所在网段， 在系统中的功能和作用。 信息系

35、统定级本应仅与信息系统有关， 与具体设备没有 多大关系， 但由于在划分信息系统时， 不可避免地会涉及到设备共用问题， 调查设备的位置 和作用主要就是发现不同信息系统在设备使用方面的共用程度。 灭嗳骇諗鋅猎輛觏馊藹狰廚怃。 识别用户类型和分布 调查了解各系统的管理用户和一般用户， 内部用户和外部用户， 本地用户和远程用户等类型， 了解用户或用户群的数量分布，各类用户可访问的数据信息类型和操作权限。 铹鸝饷飾镡閌赀 诨癱骝吶转鮭。 了解用户类型和数量，有助于判断系统服务中断或系统信息被破坏可能影响的范围和程度。 形成定级结果 定级人员需要将定级对象信息系统中的不同类重要信息分别分析其安全性受到破坏

36、后所侵 害的客体及对客体的侵害程度，取其中最高结果作为业务信息安全保护等级。 攙閿频嵘陣澇諗 谴隴泸鐙浍蹤。 再将定级对象信息系统中的不同类重要系统服务分别分析其受到破坏后所侵害的客体及对 客体的侵害程度，取其中最高结果作为业务服务安全保护等级。 趕輾雏纨颗锊讨跃满賺蚬騍純。 系统建设和改建阶段 根据管理办法第十一条 信息系统的安全保护等级确定后，运营、使用单位应当按照国 家信息安全等级保护管理规范和技术标准， 使用符合国家有关规定， 满足信息系统安全保护 等级需求的信息技术产品，开展信息系统安全建设或者改建工作。 夹覡闾辁駁档驀迁锬減汆藥徑。 如何根据等级保护的管理规范和技术标准对新系统的实

37、施建设和对原有系统实施改建工作 是每个单位面临的工作， 本章在 信息系统安全等级保护实施指南 中的安全规划设计阶段 主要内容的基础上，从安全需求分析方法、系统改建方案设计方法以及安全管理制度制定方 法几个方面，说明如何根据管理办法中的要求开展这方面工作。 视絀镘鸸鲚鐘脑钧欖粝佥爾鱿。 安全需求分析方法 对一个正在运行的信息系统确定定级之后， 运行使用单位最关心的是系统当前的保护状况是 否满足等级保护的基本安全要求。产生该问题的原因是，等级保护作为政策性要求在系统建 设之初并没有作为安全需求加以考虑， 因此系统的安全保障体系或安全保护措施只能满足本 部门、本单位的安全需求。信息系统定级之后就会发现，对于业务重要性相同的不同行业或 地区的信息7 /