等级保护相关基础知识

1、等级保护相关基础知识等级保护相关基础知识一、相关概念一、相关概念o 信息网络安全：指计算机网络硬件设备、软件、数据不信息网络安全：指计算机网络硬件设备、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、泄漏。包括：因偶然的或恶意的原因而遭到破坏、更改、泄漏。包括：基础信息网络和重要信息系统。基础信息网络和重要信息系统。o 信息网络安全等级保护：指将安全策略、安全责任和安信息网络安全等级保护：指将安全策略、安全责任和安全保障等计算机信息网络全保障等计算机信息网络安全需求安全需求划分划分不同的不同的等级等级，国，国家、企业和个人家、企业和个人依据不同等级依据不同等级的要求有针对性地的要求有针对性地

2、保护保护信信息网络安全。息网络安全。二、目的和依据二、目的和依据o 目的：为了加强信息安全等级保护定级工作的目的：为了加强信息安全等级保护定级工作的组织实施组织实施和监督指导和监督指导，科学、，科学、准确准确、合理地评审、确、合理地评审、确定定信息系统信息系统等等级级，促进等级保护，促进等级保护管理工作规范化、制度化管理工作规范化、制度化。o 依据：依据：浙江信息安全等级保护管理办法浙江信息安全等级保护管理办法省政府省政府223号令。号令。三、确定基础信息网络和重要信息系统的依据三、确定基础信息网络和重要信息系统的依据o 主要是根据其在国家安全、经济建设、社会生主要是根据其在国家安全、经济建设

3、、社会生活中的活中的重要程度重要程度及实际安全需要，遭到破坏后及实际安全需要，遭到破坏后对国家安全、社会秩序、经济建设、公共利益对国家安全、社会秩序、经济建设、公共利益以及公民、法人和其他组织的合法权益的以及公民、法人和其他组织的合法权益的危害危害程度程度来确定的。来确定的。o 基础信息网络主要包括公用通信网、广播电视基础信息网络主要包括公用通信网、广播电视传输网等。传输网等。o 重要信息系统主要包括：重要信息系统主要包括：n 党政事务处理信息系统；党政事务处理信息系统；n 金融、财税、海关业务信息系统；金融、财税、海关业务信息系统；n 铁路、机场、交通（港口）等业务信息系统；铁路、机场、交通

4、（港口）等业务信息系统；n 医疗、社（医）保、供水、电力、燃气等业医疗、社（医）保、供水、电力、燃气等业务信息系统；务信息系统；n 国家和省规定的其他重要信息系统。国家和省规定的其他重要信息系统。四、等级评审流程四、等级评审流程1、提交申请资料、提交申请资料o 保护等级应当在信息系统规划设计时按照保护等级应当在信息系统规划设计时按照223号令第十号令第十条规定报经审定。（新建、扩建，现在已建成）条规定报经审定。（新建、扩建，现在已建成）o 省级部门在确定安全保护等级后，直接向省信息化行政省级部门在确定安全保护等级后，直接向省信息化行政主管部门（省信息产业厅）提交申请资料。主管部门（省信息产业厅

5、）提交申请资料。o 设区的市：各信息系统运营、使用单位确定安全保护等设区的市：各信息系统运营、使用单位确定安全保护等级后，定为二、三级的向当地的市信息化行政主管部门级后，定为二、三级的向当地的市信息化行政主管部门提交申请资料；提交申请资料；定为四级的直接向省信息化行政主管部定为四级的直接向省信息化行政主管部门（省信息产业厅）提交申请资料。门（省信息产业厅）提交申请资料。提交申请材料内容提交申请材料内容o 4个方面（个方面（1个情况、个情况、1个信息、个信息、2个资料）个资料）o 申报单位基本情况：单位名称、法定代表人、通信地申报单位基本情况：单位名称、法定代表人、通信地址、联络方式等基本情况。

6、址、联络方式等基本情况。o 信息系统基本信息信息系统基本信息o 1、信息系统的行业特征、主管机构、地理位置、业务、信息系统的行业特征、主管机构、地理位置、业务范围、业务种类和特性等基本情况。范围、业务种类和特性等基本情况。o 2、信息系统管理框架，主要包括组织管理结构、管理、信息系统管理框架，主要包括组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责、策略、部门设置和部门在业务运行中的作用、岗位职责、用户范围和用户类型基本情况；用户范围和用户类型基本情况；o 3、信息系统的网络及设备部署，主要包括信息系统的、信息系统的网络及设备部署，主要包括信息系统的物理环境、网络拓扑结构、网

7、络边界描述和硬件设备的物理环境、网络拓扑结构、网络边界描述和硬件设备的部署等情况。部署等情况。o 信息系统划分资料信息系统划分资料o 1、划分原则和方法；、划分原则和方法；o 2、信息系统列表；、信息系统列表；o 3、每个信息系统的概述；、每个信息系统的概述；o 4、每个信息系统支撑的业务应用的列表；、每个信息系统支撑的业务应用的列表；o 5、每个业务应用处理的信息资产类型；、每个业务应用处理的信息资产类型；o 6、每个业务应用的服务范围和用户类型；、每个业务应用的服务范围和用户类型；o 7、每个业务应用的其他特性。、每个业务应用的其他特性。o 等级确定资料等级确定资料o 1、安全需求分析：安

8、全需求分析报告、等级保护基本、安全需求分析：安全需求分析报告、等级保护基本要求；要求；o 2、总体安全设计规划（总体安全策略、总体安全方案、总体安全设计规划（总体安全策略、总体安全方案、安全技术防护措施、安全保护管理制度、信息安全应急安全技术防护措施、安全保护管理制度、信息安全应急预案等）；预案等）；o 3、信息系统安全自评估报告；、信息系统安全自评估报告；o 4、安全保护等级自定级报告；、安全保护等级自定级报告；2、受理、受理o 省信息化行政主管部门受理省级单位信息系统安全等级省信息化行政主管部门受理省级单位信息系统安全等级定级、等级变更的评审申请；受理四级重要信息系统安定级、等级变更的评审

9、申请；受理四级重要信息系统安全等级的评审申请；全等级的评审申请；o 设区的市信息化行政主管部门受理二、三级信息系统安设区的市信息化行政主管部门受理二、三级信息系统安全等级定级、等级变更的评审申请。全等级定级、等级变更的评审申请。3、评审、评审o 受理申请的信息化行政主管部门，应当自受理之日起受理申请的信息化行政主管部门，应当自受理之日起20个工作日内，委托专家组进行评审。信息化行政主管部个工作日内，委托专家组进行评审。信息化行政主管部门应当自评审之日起门应当自评审之日起45个工作日内审定专家组提出评审个工作日内审定专家组提出评审意见并书面通报。意见并书面通报。o 省信息化行政主管部门组织专家组

10、进行评审，审定省级省信息化行政主管部门组织专家组进行评审，审定省级及三级专家组评审意见；对拟确定为四级信息系统安全及三级专家组评审意见；对拟确定为四级信息系统安全等级申请提出初审意见。等级申请提出初审意见。o 设区的市信息化行政主管部门组织专家组进行评审，审设区的市信息化行政主管部门组织专家组进行评审，审定二级专家组评审意见，并向省信息化行政主管部门报定二级专家组评审意见，并向省信息化行政主管部门报备；对三级信息系统安全等级定级、等级变更的申请提备；对三级信息系统安全等级定级、等级变更的申请提出初审意见。出初审意见。4、复审申请、复审申请o 对审定结果有异议的，应当自收到该审定结果之日起对审定

11、结果有异议的，应当自收到该审定结果之日起60日内，可以向省信息化行政主管部门提出复审申请。日内，可以向省信息化行政主管部门提出复审申请。5、变更、变更o 信息系统运营、使用单位需要变更安全等级的，应当向信息系统运营、使用单位需要变更安全等级的，应当向原审定的信息化行政主管部门提出等级变更申请。受理原审定的信息化行政主管部门提出等级变更申请。受理申请的信息化行政主管部门按照本细则第十条规定重新申请的信息化行政主管部门按照本细则第十条规定重新组织审定。组织审定。五、实施等级保护工作的主要阶段五、实施等级保护工作的主要阶段o 第一阶段：系统定级o 第二阶段：定级评审o 第三阶段：系统备案o 第四阶段

12、：等级测评、整改o 第五阶段：安全管理、建设第一阶段：系统定级第一阶段：系统定级o 信息系统使用单位按照等级保护的管理规范和技术标准，信息系统使用单位按照等级保护的管理规范和技术标准，确定其信息系统的安全保护等级，并报其主管部门审批确定其信息系统的安全保护等级，并报其主管部门审批同意。同意。o 系统涉及国家秘密的部分按照系统涉及国家秘密的部分按照涉密信息系统分级保护涉密信息系统分级保护管理办法管理办法(国保发国保发200516号号)和和涉及国家秘密的信涉及国家秘密的信息系统分级保护技术要求息系统分级保护技术要求（国家保密标准（国家保密标准BMBl7-2006）确定信息系统的安全保护等级。跨市或

13、者全省统）确定信息系统的安全保护等级。跨市或者全省统一联网运行的信息系统可以由主管部门统一确定安全保一联网运行的信息系统可以由主管部门统一确定安全保护等级。护等级。信息系统等级安全保护定级原则信息系统等级安全保护定级原则o 信息系统安全保护等级既不是信息系统安全保障等级，信息系统安全保护等级既不是信息系统安全保障等级，也不是信息系统所能达到的技术能力等级，而是从国家也不是信息系统所能达到的技术能力等级，而是从国家管理的需要出发，从信息系统对国家安全、经济建设、管理的需要出发，从信息系统对国家安全、经济建设、公共利益等方面的重要性，以及信息或信息系统被破坏公共利益等方面的重要性，以及信息或信息系

14、统被破坏后造成危害的严重性角度确定的信息系统应达到的安全后造成危害的严重性角度确定的信息系统应达到的安全等级。等级。定级工作原则定级工作原则o 原则一：自主定级原则。原则一：自主定级原则。“依照标准，自行保护依照标准，自行保护”，因，因此定级工作必须由单位依照相关法律规范和标准来自行此定级工作必须由单位依照相关法律规范和标准来自行定级。定级工作的责任主体为信息系统主管单位。定级。定级工作的责任主体为信息系统主管单位。o 原则二：满足国家管理要求原则。信息系统安全保护等原则二：满足国家管理要求原则。信息系统安全保护等级既不是信息系统安全保障等级，也不是信息系统所能级既不是信息系统安全保障等级，也

15、不是信息系统所能达到的技术能力等级，而是从国家管理的需要出发，立达到的技术能力等级，而是从国家管理的需要出发，立足信息系统对国家安全、经济建设、公共利益等方面的足信息系统对国家安全、经济建设、公共利益等方面的重要性角度，及信息或信息系统被破坏后造成危害的严重要性角度，及信息或信息系统被破坏后造成危害的严重性角度来确定的信息系统应达到的安全等级。重性角度来确定的信息系统应达到的安全等级。定级工作原则定级工作原则o 原则三：全局性原则原则三：全局性原则 。信息系统安全等级保护是针对。信息系统安全等级保护是针对全国范围内、涵盖各个行业信息系统的管理制度，信息全国范围内、涵盖各个行业信息系统的管理制度

16、，信息系统安全保护等级的划分也必须从国家层面考虑，体现系统安全保护等级的划分也必须从国家层面考虑，体现全局性。全局性。o 原则四：业务为核心原则。信息系统是为业务应用服务原则四：业务为核心原则。信息系统是为业务应用服务的，信息系统的安全保护等级应当依据信息系统承载业的，信息系统的安全保护等级应当依据信息系统承载业务的重要性、业务对信息系统的依赖度和系统特殊的安务的重要性、业务对信息系统的依赖度和系统特殊的安全需求确定。全需求确定。o 原则五：合理性原则。不同于信息安全产品，信息系统原则五：合理性原则。不同于信息安全产品，信息系统千差万别，各具特色，只有在划分安全保护等级的过程千差万别，各具特色

17、，只有在划分安全保护等级的过程中，尽可能反映出信息系统的主要安全特征，合理划分中，尽可能反映出信息系统的主要安全特征，合理划分等级，才能做到突出重点，适度保护。等级，才能做到突出重点，适度保护。五级安全等级描述五级安全等级描述o 第一级:受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益会秩序和公共利益。 o 第二级:受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 o 第三级:受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 o 第四级:受到破坏后，会对社会秩序和

18、公共利益造成特别严重损害，或者对国家安全造成严重损害。 o 第五级:受到破坏后，会对国家安全造成特别严重损害。 系统服务安全被破系统服务安全被破坏时所侵害的客体坏时所侵害的客体对相应客体的侵害程度对相应客体的侵害程度一般损害一般损害严重损害严重损害特别严重损害特别严重损害公民、法人和其他公民、法人和其他组织的合法权益组织的合法权益第一级第一级第二级第二级第二级第二级社会秩序、公共利社会秩序、公共利益益第二级第二级第三级第三级第四级第四级国家安全国家安全第三级第三级第四级第四级第五级第五级一级信息系统举例：一级信息系统举例：o 公民个人的单机系统，小型集体、民营企业公民个人的单机系统，小型集体、

19、民营企业 所属的信所属的信息系统，中、小学校的信息系统，乡镇级党政机关、事息系统，中、小学校的信息系统，乡镇级党政机关、事业单位的信息系统，其他小型组织的信息系统。业单位的信息系统，其他小型组织的信息系统。 二级信息系统举例：二级信息系统举例：o 县级、地市级电信、广电、银行、铁道、海关、税务、县级、地市级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财务、财政、金融、民航、证券、电力、保险、公安、财务、财政、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、交通运输、国土资源、邮政、 应急抢

20、险、农业等行业应急抢险、农业等行业所属独立的信息系统，中型集体、民营企业、小型国有所属独立的信息系统，中型集体、民营企业、小型国有企业所属的信息系统，县级党政机关、事业单位的信息企业所属的信息系统，县级党政机关、事业单位的信息系统，普通高等院校和科研机构的信息系统，其他中型系统，普通高等院校和科研机构的信息系统，其他中型组织的信息系统。组织的信息系统。三级信息系统举例：三级信息系统举例：o 省级和副省级电信、广电、银行、铁道、海关、税务、省级和副省级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、民航、证券、电力、保险、公安、财政、金融、社保、工商、审计、能

21、源、化工、社会服工商、审计、能源、化工、社会服 金融、社保、工商、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险、农业等行业所属独立的重国土资源、邮政、应急抢险、农业等行业所属独立的重要信息系统，大型集体、民营企业、大中型国有企业所要信息系统，大型集体、民营企业、大中型国有企业所属的重要信息系统，地市级党政机关、事业单位的重要属的重要信息系统，地市级党政机关、事业单位的重要信息系统，重点高等院校和科研机构的重要信息系统，信息系统，重点高等院校和科研机构的重要信息系统，其他大中型组织的信息系统。其他大中型

22、组织的信息系统。四级信息系统举例：四级信息系统举例：o 国家级电信、广电、银行、铁道、海关、税务、民航、国家级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、工商、证券、电力、保险、公安、财政、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险等行业所属全程全网的特大国土资源、邮政、应急抢险等行业所属全程全网的特大型信息系统，特大型国有企业型信息系统，特大型国有企业 所属全程全网的特大型所属全程全网的特大型信息系统，省级党政机关、事业单位所属的重要信息系信息系统，省级党政

23、机关、事业单位所属的重要信息系统，重点科研机构的重要信息系统。统，重点科研机构的重要信息系统。五级信息系统举例：五级信息系统举例：o 国家级电信、广电、银行、铁道、海关、税务、民航、国家级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险等重要信息系统中的核心子系统，涉证券、电力、保险等重要信息系统中的核心子系统，涉及国防、重大外交、航天航空、核能源、及国防、重大外交、航天航空、核能源、 尖端科学技尖端科学技术等重要信息系统中的核心子系统，国家级党政机关重术等重要信息系统中的核心子系统，国家级党政机关重要信息系统中的核心子系统。要信息系统中的核心子系统。第二阶段：定级评审第二阶段：定级

24、评审o 使用单位初步确定安全保护等级后，应聘请专家进行评使用单位初步确定安全保护等级后，应聘请专家进行评审。审。o 对拟确定为第四级、第五级信息系统，使用单位或主管对拟确定为第四级、第五级信息系统，使用单位或主管部门应经省信息化行政主管部门初审后，请国家信息安部门应经省信息化行政主管部门初审后，请国家信息安全等级保护专家评审委员会评审。全等级保护专家评审委员会评审。o 其它定级评审，依照其它定级评审，依照浙江省信息安全等级评审实施细浙江省信息安全等级评审实施细则则执行。执行。第三阶段：系统备案第三阶段：系统备案o 在信息系统安全保护等级确定三十天内，使用单位填写在信息系统安全保护等级确定三十天内，使用单位填写备案表，向公安机关办理备案手续，提交有关备案材料备案表，向公安机关办理备案手续，提交有关备案材料及电子数据文件。系统涉及国家秘密的，向保密工作部及电子数据文件。系统涉及国家秘密的，向保密工作部门备案。系统中使用的密码设备向密码管理部门备案。门备