2、等级保护工作各环节服务方案

等级保护工作开展参考资料文档说明目标对象： 客户单位的信息主管/计算机信息系统运维治理人员文档功能： 与客户一起探讨“信息安全等级保护工作开展”工作方法一等级保护整体效劳方案1〕分析信息系统特点1〕明确整改思路1〕制定测评询问工作1〕开展自查2〕对重要信息系统进2〕进展风险评估打算2〕进展行业检查行摸底调查，确定定3〕通过现场访谈、现2〕预备等保测评所需3〕预备检查所需要的级对象场测试等方式，完成要的文档和资料文档和资料3〕完成《定级报告》《差距分析报告》3〕协作测评机构的现4〕协作公安机关的现4〕帮助专家评审和审4〕形成等保整改和安场测评工作场检查工作批全建设方案5〕完成定级备案工作5〕进展等保整改建设等保定级备案等保整改与安全建设等保测评等保检查1等级保护整体效劳方案工作流程图等保定级备案等保整改与安全建设等保测评等保检查等级保护的建设是个长期的过程，需要花费大量的时间、精力和财力，本着为用户服包括定级备案、差距分析、方案制订、实施、测评、检查等各个环节的效劳，通过自身的安安全保障体系“保驾护航”。测评效劳方在等级保护各个阶段将帮助用户完成上图的任务和工作。具体包括：等级保护定级备案评效劳方将帮助用户完成保护等级的备案工作。等级保护差距分析通过风险评估可以觉察信息系统的安全现状与需要到达的安全等级或目标的差异息系统的治理和使用单位可以在技术和治理方面进展有针对性的加强和完善系统安全工作有的放矢。等级保护整改建议方案定相应的安全保护措施，完成等级保护整改建议方案的设计。依据公通字[2023]43安全保护等级需求的信息技术产品，进展信息系统安全建设或者改建工作。信息安全规划、建设、评估、运行和维护等各个环节，保障企业的信息安全。等级保护整改实施测评效劳方将依据规划向用户供给具体设计和等级保护系统建设效劳监理。等级保护测评询问在信息系统进展完成定级和整改实施之后安全治理上各个层面的安全把握进展整体性验证户通过等级保护测评工作。等级保护检查询问在信息系统进展完成定级和整改实施之后全治理各个层面的安全把握进展检查，测评效劳方将帮助用户预备检查所需要的文档和资料，协作公安机关开呈现场的检查工作。二等级保护定级过程方法/方案定级工作的重要性从自身安全需求动身，进展有针对性的信息安全规划、建设、运维的实际要求。定级过程等级保护定级与备案工作是基于国家信息系统安全等级保护相关文件的要求〔可选〕的效劳。共分为七个〔可选、评审和审批阶段、帮助备案阶段、工程总结阶段。定级之后，随着业务的变化，信息系统的级别可能需要进展适当的调整、变更，此时需要进展等级变更。定级预备阶段业务部门对信息系统的业务要求甚至主导对业务信息系统的定级工作。使用的承载生产、调度、治理、办公等重要业务的信息系统。测评效劳方依据已了解的初步根本信息、定级范围，依据国家等级保护相关文件〔如861号文、国家《定级指南级工作打算。信息系统识别由定级工作工程组中的信息治理部门相关人员牵头摸底调查工作，把握信息系统的根本状况，了解信息系统〔包括信息网络〕的业务类型、应用或效劳范围、用户数量、系统构造、部署方式等信息，为下一步明确定级范围、进展定级奠定根底。测评效劳方会预备《信息系统调查表作，组织相关业务部门填写调查表。写以及填报系统使用等问题。初步定级测评效劳方预备《信息系统安全等级保护定级报告模板虽然国家《定级指南》已经给出了定级的原则和指南，但在具体定级过程中，由于各行的级别不全都、下级单位定级高于上级单位定级等不合理等状况。测评效劳方依据已经把握的信息系统状况等级的要求，在报告内容、行文格式、定级准确性等方面给出修改意见。工程组，由定级工作工程组统一汇总、整理后，形成定级报告的专家评审稿。行业化定级指导建议〔可选导本行业、本地区的定级工作。评审和审批成评审意见。步修改各信息系统的《定级报告》和行业化定级指导建议〔假设有，形成最终的定级报告。将信息系统安全保护等级定级报告报经上级主管部门审批同意。帮助备案43《信息安全等级保护治理方法持填写的备案表纸制版及其电子版(均为word表格)，到公安机关办理备案手续，提交有关备案材料。测评效劳方将帮助客户填写《信息系统安全等级保护备案表作。总结报告阶段各单位对本单位的定级工作进展总结并报给定级工程工作组息治理部门主管领导，并可同时报送给备案的公安机关。三.整改与安全建设效劳方案等级保护整改与安全建设工作重要性依据公通字[2023]43安全保护等级需求的信息技术产品，进展信息系统安全建设或者改建工作。等级保护整改的核心是依据用户的实际信息安全需求、业务特点及应用重点，在确定不同系统重要程度的根底上，进展重点保护。整改工作要遵循国家等级保护相关要求，将等信息安全规划、建设、评估、运行和维护等各个环节，保障企业的信息安全。等级保护整改与安全建设过程等级保护整改与安全建设是基于国家信息系统安全等级保护相关标准和文件的要求改和安全建设工作。改实施三个阶段。等级保护差距分析等级保护风险评估评估目的对信息系统进展安全等级评估是国家推行等级保护制度的一个重要环节统进展安全建设和治理的重要组成局部。分析结果都是整改建议方案的输入。测评效劳方通过专业的等级评估效劳，帮助用户完成以下的目标：了解信息系统的治理、网络和系统安全现状；确定可能对资产造成危害的威逼；确定威逼实施的可能性；哪些资产是最重要的；对最重要的、最敏感的资产，确定一旦威逼发生其潜在的损失或破坏；明确信息系统的已有安全措施的有效性；明晰信息系统的安全治理需求。评估内容资产识别与赋值主机安全性评估数据库安全性评估安全设备评估现场风险评估用到的主要评估方法包括：漏洞扫描把握台审计技术访谈评估分析依据现场收集的信息及对这些信息的分析，评估小组形成定级信息系统的弱点评估报重要输入，并作为后续整改建设的重要依据。等保差距分析的差距，确定不符合安全项。预备差距分析表工程组通过预备好的差距分析表，与客户确认现场沟通的对象〔部门和人员应的检查内容。息系统需求的安全要求。差距分析表包含以下内容：安全技术差距分析：包括网络安全、主机安全、应用安全、数据安全及备份恢复；治理；系统运维差距分析：包括环境治理、资产治理、介质治理、监控治理和安全治理中心、网络安全治理、系统安全治理、恶意代码防范治理、密码治理、变更治理、备份与恢复治理、安全大事处置；物理安全差距分析：包括物理位置的选择、物理访问把握、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度把握、电力供给、电磁防护。不同安全保护级别的系统所使用的差距分析表的内容也不同。现场差距分析整改工程组依据差距分析表中的各项安全要求，比照信息系统现状和安全要求之间的差距，确定不符合项。现场工作阶段，整改工程组可分为治理检查组和技术检查组两个小组。哪些方面的整改。查验文档资料人员访谈现场测试生成差距分析报告级保护安全要求之间的差距，明确不符合项，生成《等级保护差距分析报告等级保护整改建议方案整改目标沟通确认整改建议方案。对临时难以进展整改的局部内容总体框架依据等保安全要求，测评效劳方提出如下的安全整改建议，其中PMOT体系是信息安全保障总体框架模型。图信息安全PMOT体系模型系、安全治理体系及安全运维体系，具体内容包括：义信息安全工作的总体目标。统安全、检测响应体系、冗余与备份以及安全治理中心。和系统建议治理。等。开放后的等级保护整改与安全建设总体框架如以以下图所示，从信息安全整体策略Policy、安全治理体系ManagementTechnologyOperation四个层面落实等级保护安全根本要求。4等级保护整改与安全建设总体框架方案说明信息安全策略信息安全策略是最高治理层对信息安全的期望和承诺的表达，位于整个PMOT信息安和治理各方面的安全工作具有通用指导性。安全技术体系测评效劳方依据整改目标提出整改方案的安全技术保障体系，将保障体系框架中要求具有依据，主要内容包括：网络边界护御、安全通信网络、主机与应用防护体系、检测响应体系、冗余与备份、信息安全治理中心。安全治理体系为满足等保根本要求，应建立和完善安全治理体系，包括：完善安全制度体系、完善安全组织、标准人员治理、标准系统建设治理。安全运维体系为满足等保根本要求，应建立和完善安全运维体系，包括：环境治理、资产治理、介质治理、设备治理、网络与系统安全治理、系统安全治理、备份与恢复、恶意代码防范、变更治理、信息安全大事治理等。等级保护整改实施为了更好地帮助客户落实等保的整改工作，测评效劳方可以作为集成商、询问方、或理等工作，以完成系统整改和安全建设工作。制定整改实施方案在确定整改实施的承建单位后，测评效劳方会提交相关的工程实施文档，包括参照整要有：工程产品配置清单实施设计方案实施预备工作描述，实施工作步骤实施风险躲避方案实施验证方案现场培训