信息安全等级保护技术交流材料

信息安全等级保护技术

11提纲等级保护总体介绍2等级保护定级介绍1等级保护设计实施3等级保护系统测评42什么是信息安全等级保护信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

－－《信息安全等级保护管理办法（试行）》

3等级保护的政策法规《中华人民共和国计算机信息系统安全保护条例》（1994年）其中规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”

信息系统安全等级保护的政策法规《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）《信息安全等级保护管理办法》（公通字[2007]43号）《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）《关于印发北京市开展信息安全等级保护工作的实施方案的通知》(京公网监字[2007]788号)

4等级保护的技术标准和管理规范基础标准：《计算机信息系统安全等级保护划分准则》（GB17859）基线标准：《信息系统安全等级保护基本要求》（国标报批稿）辅助标准：《信息系统安全等级保护定级指南》（国标报批稿）《信息系统安全等级保护实施指南》（国标报批稿）《信息系统安全等级保护测评要求》（国标报批稿）目标标准：《信息系统通用安全技术要求》（GB/T20271）《网络基础安全技术要求》（GB/T20270）《操作系统安全技术要求》（GB/T20272）《数据库管理系统安全技术要求》（GB/T20273）《终端计算机系统安全等级技术要求》（GA/T671）《信息系统安全管理要求》（GB/T20269）《信息系统安全工程管理要求》（GB/T20282）5技术标准和管理规范的作用技术标准和管理规范信息系统定级信息系统安全建设或改建安全状况达到等级保护要求的信息系统6等级变更局部调整信息系统定级总体安全规划安全设计与实施安全运行维护信息系统终止信息系统安全等级保护流程安全等级评测7标准规范在等级保护流程中的作用安全控制定级指南过程方法确定系统等级启动采购/开发实施运行/维护废弃确定安全需求设计安全方案安全建设安全测评监督管理运行维护暂不考虑特殊需求等级需求基本要求产品使用选型监督管理测评准则流程方法监管流程应急预案应急响应8三种受侵害的客体体现了三种不同层次、不同覆盖范围的社会关系国家安全体现了国家层面、与全局相关的国家政治安全、军事安全、经济安全、社会安全、科技安全和资源环境安全等方面利益。社会秩序和公共利益包括社会的政治、经济、生产、生活、科研、工作等各方面的正常秩序。公共利益是指不特定的社会成员所共同享有的，维持其生产、生活、教育、卫生等方面的利益。合法权益是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益，三类受侵害客体9定级要素与安全保护等级的关系受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级10安全保护等级的划分

1111提纲等级保护总体介绍1等级保护定级介绍等级保护设计实施32等级保护系统测评412信息系统安全保护等级定级原则等级确定原则和要求“自主定级、自主保护”与国家监管相统一原则“谁主管谁负责，谁运营谁负责”的原则定级工作的要求加强领导，落实保障明确责任，密切配合动员部署，开展培训及时总结，提出建议13S类—业务信息安全保护类，关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改A类—系统服务安全保护类，关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用G类—通用安全保护类，既关注保护业务信息的安全性，同时也关注保护系统的连续可用性

例如，以S2表示2级的业务信息安全保护类要求，A3表示3级的系统服务安全保护类要求。信息系统三类要求14信息系统三类要求之间的关系通用安全保护类要求（G）业务信息安全类（S）系统服务保证类（A）安全要求15信息系统安全保护等级的确定1、确定定级对象3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体4、业务信息安全等级6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全等级8、定级对象的安全保护等级16安全保护和系统定级的关系安全等级信息系统保护要求的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4定级指南要求按照“业务信息”和“系统服务”的需求确定整个系统的安全保护等级系统的安全保护等级=L(信息等级，服务等级)

=Max(信息等级，服务等级）

例如：L(3,1)=L(3,2)=L(3,3)=L(1,3)=L(2,3)=31717提纲等级保护总体介绍1等级保护定级介绍等级保护设计实施23等级保护系统测评418《基本要求》的作用安全保护能力基本安全要求每个等级的信息系统基本技术措施基本管理措施具备包含包含满足满足实现19《基本要求》核心思路信息系统技术要求管理要求基本要求建立安全技术体系建立安全管理体系具有某级安全保护能力的系统20各级系统的保护要求差异（宏观）一级系统二级系统三级系统四级系统防护防护/监测策略/防护/监测/恢复策略/防护/监测/恢复/响应21各级系统的保护要求差异（宏观）一级系统二级系统三级系统四级系统通信/边界（基本）通信/边界/内部（关键设备）通信/边界/内部（主要设备）通信/边界/内部/基础设施（所有设备）22各级系统的保护管理要求差异（宏观）一级系统二级系统三级系统四级系统计划和跟踪（主要制度）计划和跟踪（主要制度）良好定义（管理活动制度化）持续改进（管理活动制度化/及时改进）23各级系统的保护要求差异（微观）信息系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理24各级系统安全保护要求-物理安全控制点一级二级三级四级物理位置的选择***物理访问控制****防盗窃和防破坏****防雷击****防火****防水和防潮****防静电***温湿度控制****电力供应****电磁防护***合计710101025各级系统安全保护要求-物理安全一级物理安全要求：主要要求对物理环境进行基本的防护，对出入进行基本控制，环境安全能够对自然威胁进行基本的防护，电力则要求提供供电电压的正常。二级物理安全要求：对物理安全进行了进一步的防护，不仅对出入进行基本的控制，对进入后的活动也要进行控制；物理环境方面，则加强了各方面的防护，采取更细的要求来多方面进行防护。三级物理安全要求：对出入加强了控制，做到人、电子设备共同监控；物理环境方面，进一步采取各种控制措施来进行防护。如，防火要求，不仅要求自动消防系统，而且要求区域隔离防火，建筑材料防火等方面，将防火的范围增大，从而使火灾发生的几率和损失降低。四级物理安全要求：对机房出入的要求进一步增强，要求多道电子设备监控；物理环境方面，要求采用一定的防护设备进行防护，如静电消除装置等。26各级系统安全保护要求-网络安全控制点一级二级三级四级结构安全****访问控制****安全审计***边界完整性检查***入侵防范***恶意代码防范**网络设备防护****合计367727各级系统安全保护要求-网络安全一级网络安全要求：主要提供网络安全运行的基本保障，包括网络结构能够基本满足业务运行需要，网络边界处对进出的数据包头进行基本过滤等访问控制措施。二级网络安全要求：不仅要满足网络安全运行的基本保障，同时还要考虑网络处理能力要满足业务极限时的需要。对网络边界的访问控制粒度进一步增强。同时，加强了网络边界的防护，增加了安全审计、边界完整性检查、入侵防范等控制点。对网络设备的防护不仅局限于简单的身份鉴别，同时对标识和鉴别信息都有了相应的要求。三级网络安全要求：对网络处理能力增加了“优先级”考虑，保证重要主机能够在网络拥堵时仍能够正常运行；网络边界的访问控制扩展到应用层，网络边界的其他防护措施进一步增强，不仅能够被动的“防”，还应能够主动发出一些动作，如报警、阻断等。网络设备的防护手段要求两种身份鉴别技术综合使用。四级网络安全要求：对网络边界的访问控制做出了更为严格的要求，禁止远程拨号访问，不允许数据带通用协议通过；边界的其他防护措施也加强了要求。网络安全审计着眼于全局，做到集中审计分析，以便得到更多的综合信息。网络设备的防护，在身份鉴别手段上除要求两种技术外，其中一种鉴别技术必须是不可伪造的，进一步加强了对网络设备的防护。28网络安全程度说明结构安全：1级提供基本保障；2级要满足高峰需要并以网段形式分隔；3级增加优先级保障重要主机；4级同3级访问控制：1级进行包头信息的过滤；2级根据会话过滤、粒度细化、限制访问用户数量；3级过滤粒度扩展到了应用层，对设备接入网络进行控制；4级对数据协议以及敏感标记进行控制，禁止远程拨号访问安全审计：2级记录设备运行和网络流量；3级要求分析形成报表、保护审计记录；4级设置审计跟踪极限阈值，做到集中审计。（其中要求发出报警、阻断工作）29网络安全程度说明边界完整性检查：2级检测到内部的非法联出情况；3级能够准确定位并阻断；4级同3级入侵防范：2级能够检测常见攻击的发生；3级能发出报警；4级自动采取相应动作阻断

恶意代码防范：3级、4级在网络边界处防范恶意代码，并保持代码库的及时更新网络设备防护：1级基本的登录鉴别；2级鉴别标识唯一、鉴别信息复杂；3级两种以上鉴别技术，特权用户权限分离；4级其中一种鉴别技术为是不可伪造的30各级系统安全保护要求-主机安全控制点一级二级三级四级身份鉴别****安全标记*访问控制****可信路径*安全审计***剩余信息保护**入侵防范****恶意代码防范****资源控制***合计467931各级系统安全保护要求-主机安全一级主机系统安全要求：对主机进行基本的防护，要求主机做到简单的身份鉴别，粗粒度的访问控制以及重要主机能够进行恶意代码防范。二级主机系统安全要求：在控制点上增加了安全审计和资源控制等。同时，对身份鉴别和访问控制都进一步加强，鉴别的标识、信息等都提出了具体的要求；访问控制的粒度进行了细化等，恶意代码增加了统一管理等。三级主机系统安全要求：在控制点上增加了剩余信息保护，即，访问控制增加了设置敏感标记等，力度变强。同样，身份鉴别的力度进一步增强，要求两种以上鉴别技术同时使用。安全审计已不满足于对安全事件的记录，而要进行分析、生成报表。对恶意代码的防范综合考虑网络上的防范措施，做到二者相互补充。对资源控制的增加了对服务器的监视和最小服务水平的监测和报警等。四级主机系统安全要求：在控制点上增加了安全标记和可信路径，其他控制点在强度上也分别增强，如，身份鉴别要求使用不可伪造的鉴别技术，访问控制要求部分按照强制访问控制的力度实现，安全审计能够做到统一集中审计等。32各级系统安全保护要求-应用安全控制点一级二级三级四级身份鉴别****安全标记*访问控制****可信路经*安全审计***剩余信息保护**通信完整性****通信保密性***抗抵赖**软件容错****资源控制***合计4791133各级系统安全保护要求-应用安全一级应用安全要求：对应用进行基本的防护，要求做到简单的身份鉴别，粗粒度的访问控制以及数据有效性检验等基本防护。二级应用安全要求：在控制点上增加了安全审计、通信保密性和资源控制等。同时，对身份鉴别和访问控制都进一步加强，鉴别的标识、信息等都提出了具体的要求。访问控制的粒度进行了细化，对通信过程的完整性保护提出了特定的校验码技术。应用软件自身的安全要求进一步增强，软件容错能力增强。三级应用安全要求：在控制点上增加了剩余信息保护和抗抵赖等。同时，身份鉴别的力度进一步增强，要求组合鉴别技术，访问控制增加了敏感标记功能，安全审计已不满足于对安全事件的记录，而要进行分析等。对通信过程的完整性保护提出了特定的密码技术。应用软件自身的安全要求进一步增强，软件容错能力增强，增加了自动保护功能。四级应用安全要求：在控制点上增加了安全标记和可信路径等。部分控制点在强度上进一步增强，如，身份鉴别要求使用不可伪造的鉴别技术，安全审计能够做到统一安全策略提供集中审计接口等，软件应具有自动恢复的能力等。34各级系统安全保护要求-数据安全及备份恢复控制点一级二级三级四级数据完整性****数据保密性***备份和恢复****合计233335各级系统安全保护要求-数据安全及备份恢复一级数据安全及备份恢复要求：对数据完整性用户数据在传输过程提出要求，能够检测出数据完整性受到破坏；同时能够对重要信息进行备份。二级数据及备份恢复安全要求：对数据完整性的要求增强，范围扩大，要求鉴别信息和重要业务数据在传输过程中都要保证其完整性。对数据保密性要求实现鉴别信息存储保密性，数据备份增强，要求一定的硬件冗余。三级数据及备份恢复安全要求：对数据完整性的要求增强，范围扩大，增加了系统管理数据的传输完整性，不仅能够检测出数据受到破坏，并能进行恢复。对数据保密性要求范围扩大到实现系统管理数据、鉴别信息和重要业务数据的传输和存储的保密性，数据的备份不仅要求本地完全数据备份，还要求异地备份和冗余网络拓扑。四级数据及备份恢复安全要求：为进一步保证数据的完整性和保密性，提出使用专有的安全协议的要求。同时，备份方式增加了建立异地适时灾难备份中心，在灾难发生后系统能够自动切换和恢复。36各级系统安全保护要求-安全管理制度控制点一级二级三级四级管理制度****制定和发布****评审和修订***合计233337各级系统安全保护要求-安全管理制度一级安全管理制度要求：主要明确了制定日常常用的管理制度，并对管理制度的制定和发布提出基本要求。二级安全管理制度要求：在控制点上增加了评审和修订，管理制度增加了总体方针和安全策略，和对各类重要操作建立规程的要求，并且管理制度的制定和发布要求组织论证。三级安全管理制度要求：在二级要求的基础上，要求机构形成信息安全管理制度体系，对管理制度的制定要求和发布过程进一步严格和规范。对安全制度的评审和修订要求领导小组的负责。四级安全管理制度要求：在三级要求的基础上，主要考虑了对带有密级的管理制度的管理和管理制度的日常维护等。38各级系统安全保护要求-安全管理机构安全管理，首先要建立一个健全、务实、有效、统一指挥、统一步调的完善的安全管理机构，明确机构成员的安全职责，这是信息安全管理得以实施、推广的基础。在单位的内部结构上必须建立一整套从单位最高管理层（董事会）到执行管理层以及业务运营层的管理结构来约束和保证各项安全管理措施的执行。其主要工作内容包括对机构内重要的信息安全工作进行授权和审批、内部相关业务部门和安全管理部门之间的沟通协调以及与机构外部各类单位的合作、定期对系统的安全措施落实情况进行检查，以发现问题进行改进。安全管理机构主要包括：岗位设置、人员配备、授权和审批、沟通和合作以及审核和检查等五个控制点。39各级系统安全保护要求-安全管理机构控制点一级二级三级四级岗位设置****人员配备****授权和审批****沟通和合作****审核和检查***合计455540各级系统安全保护要求-安全管理机构一级安全管理机构要求：主要要求对开展信息安全工作的基本工作岗位进行配备，对机构重要的安全活动进行审批，加强对外的沟通和合作。二级安全管理机构要求：在控制点上增加了审核和检查，同时，在一级基础上，明确要求设立安全主管等重要岗位；人员配备方面提出安全管理员不可兼任其它岗位原则；沟通与合作的范围增加与机构内部及与其他部门的合作和沟通。三级安全管理机构要求：对于岗位设置，不仅要求设置信息安全的职能部门，而且机构上层应有一定的领导小组全面负责机构的信息安全全局工作。授权审批方面加强了授权流程控制以及阶段性审查。沟通与合作方面加强了与外部组织的沟通和合作，并聘用安全顾问。同时对审核和检查工作进一步规范。四级安全管理机构要求：同三级要求。41各级系统安全保护要求-人员安全管理控制点一级二级三级四级人员录用****人员离岗****人员考核***安全意识教育和培训****外部人员访问管理****合计455542各级系统安全保护要求-人员安全管理一级人员安全管理要求：对人员在机构的工作周期（即，录用、日常培训、离岗）的活动提出基本的管理要求。同时，对外部人员访问要求得到授权和审批。二级人员安全管理要求：在控制点上增加了人员考核，对人员的录用和离岗要求进一步增强，过程性要求增加，安全教育培训更正规化，对外部人员的访问活动约束其访问行为。三级人员安全管理要求：在二级要求的基础上，增强了对关键岗位人员的录用、离岗和考核要求，对人员的培训教育更具有针对性，外部人员访问要求更具体。四级人员安全管理要求：在三级要求的基础上，提出了保密要求和关键区域禁止外部人员访问的要求。43各级系统安全保护要求-系统建设管理控制点一级二级三级四级系统定级****安全方案设计****产品采购和使用****自行软件开发****外包软件开发****工程实施****测试验收****系统交付****系统备案***等级测评***安全服务商选择****合计99111144各级系统安全保护要求-系统建设管理一级系统建设管理要求：对系统建设整体过程所涉及的各项活动进行基本的规范，如，先定级，方案准备、安全产品按要求采购，软件开发（自行、外包）的基本安全，实施的基本管理，建设后的安全性验收、交付等都进行要求。二级系统建设管理要求：在控制点上增加了系统备案和安全测评，增加了某些活动的文档化要求，如软件开发管理制度，工程实施应有实施方案要求等。同时，对安全方案、验收报告等增加了审定要求，产品的采购增加了密码产品的采购要求等。三级系统建设管理要求：对建设过程的各项活动都要求进行制度化规范，按照制度要求进行活动的开展。对建设前的安全方案设计提出体系化要求，并加强了对其的论证工作。四级系统建设管理要求：主要对软件开发活动进一步加强了要求，以保证软件开发的安全性。对工程实施过程提出了监理要求。45各级系统安全保护要求-系统运维管理控制点一级二级三级四级环境管理****资产管理****介质管理****设备管理****监控管理和安全管理中心****网络安全管理****系统安全管理****恶意代码防范管理****密码管理***变更管理***备份与恢复管理****安全事件处置****应急预案管理***合计1013131346各级系统安全保护要求-系统运维管理一级系统运维管理要求：主要对机房运行环境、资产的隶属管理、介质的保存、设备维护使用管理等方面提出基本管理要求，使得系统在这些方面的管理下能够基本运行正常。二级系统运维管理要求：在控制点上增加了密码管理、变更管理、应急预案管理，同时加强了其他各方面的要求，主要表现在：对环境的关注扩展到办公环境的保密性管理；同时提出资产标识管理；对介质和设备的出入使用加强控制；网络和系统安全方面进行制度化管理；对系统内发生的安全事件进行分类、分级等。三级系统运维管理要求：在控制点上增加了监控管理和安全管理中心，对介质、设备、密码、变更、备份与恢复等都采用制度化管理，并更加注意过程管理的控制，其中对介质的管理重点关注了介质保密性和可用性管理；安全事件根据等级分级响应，同时加强了对应急预案的演练和审查等。四级系统运维管理要求：将机房环境管理和办公环境管理提到同等重要的程度，二者统一管理；对介质的管理主要关注了对介质销毁时的保密管理；应急响应重点关注了灾难恢复计划的制定等。47等级保护的设计实施运营、使用单位/安全服务商安全规划设计技术体系设计管理体系设计分期/分步安全实施物理环境安全建设机房、办公环境安全建设网络安全建设安全域划分、边界设备设置、边界访问控制、边界数据过滤网络传输加密、网络协议保护、网络防病毒等主机安全防护操作系统配置和加固、桌面保护等应用系统安全开发或改造身份鉴别、访问控制、安全审计、传输加密等48实施方案的设计过程包括结构框架设计功能要求设计性能要求设计部署方案设计制定安全策略实现计划管理措施实现内容设计形成系统建设的安全实施方案等级保护实施方案49系统建设的安全实施方案包含以下内容本期建设目标和建设内容技术实现框架信息安全产品或组件功能及性能信息安全产品或组件部署安全策略和配置配套的安全管理建设内容工程实施计划项目投资概算。安全实施方案内容5050提纲等级保护总体介绍1等级保护定级介绍等级保护设计实施2等级保护系统测评4351测评原则客观性和公