《信息安全工程与管理(第二版)》 课件 第4章-信息安全工程与等级保护

信息安全工程与管理第4章、信息安全工程与等级保护本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.1概述信息系统等级保护的定义是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。4.1概述等级保护的核心观念是保护重点、适度安全。思想源头可以追溯到美国的军事保密制度（文件保密制度），即著名的“多级安全”（MLS，MultilevelSecurity）体系。本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.2等级保护的发展4.2.1

信息安全评估准则的发展4.2等级保护的发展4.2.1

信息安全评估准则的发展－其他准则2003年12月，美国通过了《联邦信息和信息系统安全分类标准》（FIPS199），描述了如何确定一个信息系统的安全类别。为配合FIPS199的实施，NIST分别于2004年6月推出了SP800-60第一、第二部分《将信息和信息系统映射到安全类别的指南》及其附件。4.2等级保护的发展4.2.1

信息安全评估准则的发展信息系统的保护等级确定后，需要有一整套的标准和指南规定如何为其选择相应的安全措施。NIST的SP800-53《联邦信息系统推荐安全控制》为不同级别的系统推荐了不同强度的安全控制集（包括管理、技术和运行类）。SP800-53还提出了3类安全控制（包括管理、技术和运行），它汇集了美国各方面的控制措施的要求。SP800系列标准都对我国《信息系统安全等级保护基本要求》（GB/T22239-2008）等标准有直接的影响。4.2等级保护的发展4.2.2

中国的等级保护的发展颁布时间文件名称文号颁布机构内容及意义1994年2月18日《中华人民共和国计算机信息系统安全保护条例》国务院147号令国务院第一次提出信息系统要实行等级保护，并确定了等级保护的职责单位，并成为等保的法律基础。1999年9月13日《计算机信息系统安全保护等级划分准则》GB17859-1999国家质量技术监督局将我国计算机信息系统安全保护划分为五个等级，这成为等保的技术基础和依据。2003年9月7日《国家信息化领导小组关于加强信息安全保障工作的意见》中办国办发[2003]27号中共中央办公厅、国务院办公厅明确指出“实行信息安全等级保护”，并确定了信息安全等级保护制度的基本内容。2004年9月15日《关于信息安全等级保护工作的实施意见》公通字[2004]66号公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室将等级保护从计算机信息系统安全保护的一项制度提升到国家信息安全保障的一项基本制度。2007年6月22日《信息安全等级保护管理办法》公通字[2007]43号明确了信息安全等级保护制度的基本内容、流程及工作要求，明确了信息系统运营使用单位和主管部门、监管部门在信息安全等级保护工作中的职责、任务。2009年10月27日《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号公安部指导各地区、部门在等级保护定级工作基础上，开展已定级系统（除涉国家机密）的安全整改工作。4.2等级保护的发展4.2.2

中国的等级保护的发展颁布时间文件名称文号颁布机构内容及意义2010年3月12日《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》公信安〔2010〕303号公安部结合全国等级保护工作的实际开展情况，对等级测评体系的建设工作提出了明确的要求2018年6月27日《网络安全等级保护条例（征求意见稿）》

公安部启动网络安全等级保护条例立法程序2019年5月10日

《信息安全技术—网络安全安全等级保护基本要求》GB/T22239—2019全国信息安全标准化技术委员会网络安全等级保护制度2.0新标准，2019年12月1日开始实施，正式进入“网络安全等级保护2.0（等保2.0）”时代，具有里程碑意义《信息安全技术—网络安全等级保护测评要求》GB/T28448—2019《信息安全技术—网络安全等级保护安全设计技术要求》GB/T25070—20192022年5月11日《工业和信息化部办公厅关于开展工业互联网安全深度行活动的通知》工信厅网安函〔2022〕97号工信部推动在全国范围内贯彻工业互联网企业网络安全分类分级管理，指导督促企业落实网络安全主体责任，共同提升工业互联网安全保障能力4.2等级保护的发展4.2.2

中国的等级保护的发展－网络安全等级保护2.0的由来4.2等级保护的发展4.2.3

网络安全等级保护2.0信息安全等级保护1.0相比，网络安全等级保护2.0主要有以下变化：1、名称的变化:保2.0将原来的标准名称《信息安全技术—信息系统安全等级保护XXX》改为《信息安全技术—网络安全等级保护XXXX》，与《网络安全法》提出的“网络安全等级保护制度”保持一致。另外，在各标准的正文中，将等级保护目标的描述由“信息系统”调整为“等级保护对象”或“定级对象”。4.2等级保护的发展4.2.3

网络安全等级保护2.0２、定级对象的变化:4.2等级保护的发展4.2.3

网络安全等级保护2.03、安全基本要求的变化:4.2等级保护的发展4.2.3

网络安全等级保护2.04、控制措施分类结构的变化:本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.3

等级保护与信息保障各环节的关系等级保护，以及风险评估、应急处理和灾难恢复是信息安全保障的主要环节，对等于PDRR安全模型中的保护、检测、响应和恢复等要素。各环节前后连接、融为一体。等级保护是以制度的方式确定保护对象的重要程度和要求，风险评估是检测评估是否达到保护要求的量度工具，应急处理是将剩余风险因突发事件引起的损失降低到可接受程度的对应手段，而灾难恢复是针对发生灾难性破坏时所采取的由备份进行恢复的措施。等级保护不仅是对信息安全产品或系统的检测、评估以及定级，更重要的是围绕信息安全保障全过程的一项基础性的管理制度，是一项基础性和制度性的工作，贯穿于信息安全保障各环节工作的全过程，而不是一个具体的措施。本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.4实施等级保护的意义信息安全等级保护制度是国家信息安全保障的基本制度、基本策略、基本方法；是当今发达国家的通行做法，也是我国多年来信息安全工作经验的总结。开展信息安全等级保护工作：有利于同步建设有利于指导和服务有利于保障重点有利于明确责任有利于产业发展本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.5等级保护的基本原理和方法根据信息系统所承载的业务应用的不同安全需求，采用不同的安全保护等级，对不同的信息系统或同一信息系统中的不同安全域进行不同程度的安全保护，以实现对信息系统及其所存储、传输和处理的数据信息在安全保护方面，达到确保重点，照顾一般，适度保护，合理共享的目标。4.5.1

等级保护的基本原理4.5等级保护的基本原理和方法4.5.2

等级保护的基本方法-分区域分等级安全保护等级保护对象的安全防护一般按照

分区域分等级安全保护、内部与边界保护、网络安全保护、主机安全保护和应用安全保护等层次性进行防护措施设计并开展工作。4.5等级保护的基本原理和方法4.5.2

等级保护的基本方法-内部保护与边界保护信息安全系统的安全包括内部安全和边界防护。边界防护又分为外部边界防护和内部边界防护。典型的边界防护可采用防火墙、信息过滤、信息交换控制等。它们既可以用于最外部边界防护，也可以用于内部各安全域的边界防护。入侵检测、病毒防杀既可以用于边界防护也可以用于内部保护。身份鉴别、访问控制、安全审计、数据存储保护、数据传输保护等是内部保护常用的安全机制，也可用作对用户和信息进/出边界的安全控制。4.5等级保护的基本原理和方法4.5.2

等级保护的基本方法-网络安全保护由相同安全等级的服务器组成的安全局域计算环境需要相应安全等级的局域网实现连接，由相同安全等级的终端计算机组成的安全用户环境需要相应安全等级的局域网实现连接。一个安全的信息系统是由组成该信息系统的各个安全局域计算环境和安全用户环境及实现这些安全局域计算环境和安全用户环境连接的安全广域网共同组成的。4.5等级保护的基本原理和方法4.5.2

等级保护的基本方法-主机安全保护保证等级保护对象中的主机进行数据存储和处理的保密性、完整性，可用性，它包括硬件、固件、系统软件的自身安全，以及一系列附加的安全技术和安全管理措施，从而建立一个完整的主机安全保护环境。主机网络安全是以被保护主机为中心构建的安全体系，它考虑的元素有IP地址端口号协议，甚至MAC地址等网络特性和用户资源权限，以及访问时间等操作系统特性。另外，考虑到网络传输过程中的安全性，主机网络安全系统还包括与用户和相邻服务器之间的安全传输，以及为防止身份欺骗的认证服务。4.5等级保护的基本原理和方法4.5.2

等级保护的基本方法-应用安全保护应用安全保护的目标是从应用系统建设的全生命周期入手，通过安全需求、安全设计、安全开发、安全测试以及应用系统上线后的安全加固，尽量减少应用系统安全和风险暴露面，从而实现应用系统安全、稳定、可靠地运行。在安全事件发生前发现入侵企图或在安全事件发生后进行审计追踪。应用安全保护包括对于应用系统本身的防护、用户接口安全防护和对于数据间接口的安全防护。4.5等级保护的基本原理和方法4.5.3

关于安全域本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.6信息系统的安全保护等级的划分等级保护中涉及的几个基本概念主动用户、进程主体被动文件、存储设备客体访问：读、写、执行权限安全策略安全审计强制访问控制4.6信息系统的安全保护等级的划分4.6.1

等级的划分第一级用户自主保护级第二级系统审计保护级第三级安全标记保护级第四级结构化保护级第五级访问验证保护级用户自主控制资源访问访问行为需要被审计通过标记实现强制访问控制可信计算机结构化所有的过程都需要验证4.6信息系统的安全保护等级的划分4.6.2

等级的安全控制要求第一级自主安全保护第二级审计安全保护第三级强制安全保护第四级结构化保护第五级访问验证保护级自主访问控制身份鉴别完整性保护自主访问控制身份鉴别完整性保护系统审计客体重用自主访问控制身份鉴别完整性保护系统审计客体重用强制访问控制标记自主访问控制身份鉴别完整性保护系统审计客体重用强制访问控制标记自主访问控制身份鉴别完整性保护系统审计客体重用强制访问控制标记隐蔽通道分析可信路径隐蔽通道分析可信路径可信恢复

本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.7

等级保护工作的实施等级保护工作实施中的基本原则与流程（1）自主保护原则。（2）重点保护原则。（3）同步建设原则。（4）动态调整原则。4.7

等级保护工作的实施4.7.1等级保护对象定级与备案定级要素与安全保护等级的关系保护等级受侵害的客体对客体的侵害程度系统的重要性监管等级第一级公民、法人和其他组织的合法权益一般侵害一般系统自主保护级第二级公民、法人和其他组织的合法权益严重或特别严重侵害指导保护级社会秩序和公共利益一般侵害第三级社会秩序和公共利益严重侵害重要系统监督保护级国家安全一般侵害第四级社会秩序和公共利益特别严重侵害强制保护级国家安全严重侵害第五级国家安全特别严重侵害极端重要系统专控保护级4.7

等级保护工作的实施4.7.1等级保护对象定级与备案定级对象的定级方法流程4.7

等级保护工作的实施4.7.2总体安全规划根据等级保护对象的划分情况、等级保护对象的定级情况、等级保护对象承载业务情况，通过分析明确等级保护对象安全需求，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划，以指导后续的等级保护对象安全建设工程实施。流程如下：4.7

等级保护工作的实施4.7.3安全设计与实施安全设计与实施阶段的目标是按照等级保护对象安全总体方案的要求，结合等级保护对象安全建设项目计划，分期分步落实安全措施：安全方案详细设计：包括技术措施实现内容的设计、管理措施实现内容的设计、设计结果的文档化。技术措施的实现：包括网络安全产品或服务采购、安全控制的开发、安全控制集成、系统验收。管理措施的实现：包括安全管理制度的建设和修订、安全管理机构和人员的设置、安全实施过程管理。4.7

等级保护工作的实施4.7.4安全运行与维护安全运行与维护是等级保护实施过程中确保等级保护对象正常运行的必要环节，涉及内容较多，包括安全运行与维护机构和安全运行与维护机制的建立，环境、资产、设备、介质的管理，网络、系统的管理，密码、密钥的管理，运行、变更的管理，安全状态监控和安全事件处置，安全审计和安全检查等内容。4.7

等级保护工作的实施4.7.5应用响应与保障应急响应与保障是网络安全工作的一个重要环节，也是网络安全保障工作的最后手段，包括：应急准备与预案：包括应急组织、应急预案、应急演练。应急监测与响应：包括监测预警、信息报送与共享、应急响应。后期评估与改进：对安全事件原因、处置过程进行调查分析，并根据分析结果进行责任认定及制定改进预防措施。应急保障：建立健全应急保障体系，实现应急预案保障工作科学化。4.7

等级保护工作的实施4.7.6等级保护对象终止当等级保护对象被转移、终止或废弃时，正确处理其中的敏感信息对于确保机构信息资产的安全是至关重要的：信息转移、暂存和清除。设备迁移或废弃。存储介质的清除或销毁。本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.8

网络安全等级保护体系4.8网络安全等级保护体系4.8.1

等级保护相关的法律、法规和政策依据法律法规和政策分类全国性法律：如《网络安全法》、《密码法》、《数据安全法》等。全国性政策和法规：如《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发〔2003〕27号）等。地区性政策和法规：如《北京市公共服务网络与信息系统安全管理规定》（北京市人民政府令第163号）等。4.8网络安全等级保护体系4.8.1

等级保护相关的法律、法规和政策依据已发布对信息系统实施等级保护的政策法规（部分）：1994《中华人民共和国计算机信息系统安全保护条例》。2003年中办发[2003]27号文件《国家信息化领导小组关于加强信息安全保障工作的意见》。2004年《关于信息安全等级保护工作的实施意见》。2006年《国务院办公厅转发国家网络与信息安全协调小组关于网络信任体系若干意见的通知》。2009年《关于印送<关于开展信息安全等级保护安全建设整改工作的指导意见>的函》。2020年《贯彻落实网络安全等保制度和关键信息基础设施安全保护制度的指导意见》。2021年《关于开展工业互联网企业网络安全分类分级管理试点工作的通知》。4.8网络安全等级保护体系4.8.2

等级保护标准体系网络安全等级保护相关标准大致可以分为五类：基础类、应用类、泛行业类、产品类和其他类。4.8网络安全等级保护体系4.8.2

等级保护标准体系-基础类标准《计算机信息系统安全保护等级划分准则》（GB17859-1999）《信息安全技术—网络安全安全等级保护基本要求》（GB/T22239—2019）4.8网络安全等级保护体系4.8.2

等级保护标准体系-应用类标准系统定级与实施《信息安全技术—网络安全等级保护定级指南》（GB/T22240—2020）《信息安全技术—网络安全等级保护实施指南》（GB/T25058—2019）信息系统安全建设《信息安全技术—网络安全等级保护安全设计技术要求》（GB/T25070—2019）

《信息安全技术—智慧城市建设信息安全保障指南》（GB/Z38649—2020）

等级测评《信息安全技术—网络安全等级保护测评要求》（GB/T28448—2019）4.8网络安全等级保护体系4.8.2

等级保护标准体系-泛行业标准移动互联网《信息安全技术—移动互联网安全审计指南》（GB/Z41290—2022）云计算《信息安全技术—网站安全云防护平台技术要求》（GB/T37956—2019）大数据《信息安全技术—大数据安全管理指南》（GB/T37973—2019）物联网《信息安全技术—物联网安全参考模型及通用要求》（GB/T37044—2018）工业控制系统《信息安全技术—工业控制系统信息安全分级规范》（GB/T36324—2018）4.8网络安全等级保护体系4.8.2

等级保护标准体系-产品类标准操作系统《信息安全技术—操作系统安全技术要求》（GB/T20272—2019）

数据库《信息安全技术—数据库管理系统安全技术要求》（GB/T20273—2019）网络《信息安全技术—网络安全漏洞分类分级指南》（GB/T30279—2020）4.8网络安全等级保护体系4.8.2

等级保护标准体系-产品类标准PKI《信息安全技术—公钥基础设施—数字证书格式》（GB/T20518—2018）网关《信息安全技术—网关安全技术要求》（GA/T681—2018）服务器《信息安全技术—签名验签服务器技术规范》（GB/T38629—2020）入侵检测《信息安全技术—网络入侵检测系统技术要求和测试评价方法》（GB/T20275—2021）4.8网络安全等级保护体系4.8.2

等级保护标准体系-产品类标准防火墙《信息安全技术—防火墙安全技术要求和测试评价方法》（GB/T20281—2020）路由器《信息安全技术—路由器安全技术要求》（GB/T18018—2019）交换机《信息安全技术—网络交换机安全技术要求》（GB/T21050—2019）扫描器《信息安全技术—网络脆弱性扫描产品安全技术要求和测试评价方法》（GB/T20278—2022）4.8网络安全等级保护体系4.8.2

等级保护标准体系-其他类标准风险评估《信息安全技术—信息安全风险评估方法》（GB/T20984—2022）《信息安全技术—信息安全风险管理指南》（GB/Z24364—2009）事件管理《信息安全技术—恶意软件事件预防和处理指南》（GB/T40652—2021）《信息安全技术—网络安全事件应急演练指南》（GB/T38645—2020）灾难恢复《信息安全技术—灾难恢复服务要求》（GB/T36957—2018）《信息安全技术—灾难恢复服务能力评估准则》（GB/T37046—2018）4.8网络安全等级保护体系4.8.2

等级保护标准体系-标准的应用在我国，信息安全工程实施是基于等级保护制度，信息系统安全建设是根据《信息安全技术—网络安全安全等级保护基本要求》（GB/T22239—2019），在不同阶段、针对不同技术活动参照相应的标准规范进行。4.8网络安全等级保护体系4.8.3

等级保护管理体系-工程管理分等级要求目标：对按照等级保护要求开发的信息安全系统的整个开发过程实施管理，确保所开发的安全系统达到预期的安全要求。包括：工程管理计划。工程资格保障。工程组织保障。工程实施管理。项目实施管理。4.8网络安全等级保护体系4.8.3

等级保护管理体系-运行管理分等级要求通过对按照等级保护要求开发的信息安全系统的运行过程，按照相应的安全保护等级的要求实施安全管理，确保其在运行过程中所提供的安全功能达到预期的安全要求。包括：系统安全管理计划、管理机构和人员配置、规章制度、人员审查与管理、人员培训考核与操作管理、安全管理中心、风险管理、密码管理4.8网络安全等级保护体系4.8.3

等级保护管理体系-安全监督检查与管理安全产品的监督检查和管理：通过对安全产品进行测评，并实行市场准入许可证制度等，确保安全产品的安全性和质量要求达到规定的目标。安全系统的监督检查和管理：由国家指定的信息安全监管职能部门，通过备案、指导、检查、督促整改等方式，对重要信息和信息系统的信息安全保护工作进行指导监督。长效持续的监督检查和管理：信息系统安全监督检查和管理是一项长期的持续性工作，需要制定相应的管理制度与实施规程，以确保在人员和机构等发生变化的情况下，仍能以规范化的要求开展工作。4.8网络安全等级保护体系4.8.4

等级保护技术体系-信息系统安全组成及相互关系4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护安全技术的设计框架通用网络安全等级保护安全技术设计框架：4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护基本技术安全计算环境相关技术：用户身份鉴别：口令、生物特征、数字证书等自主访问控制：文件或数据库表级和（或）记录或字段级标记和强制访问控制：对主、客体进行安全标记，控制操作用户数据完整性保护：采用密码等技术支持的完整性校验用户数据保密性保护：采用密码等技术支持的保密性保护机制恶意代码防范：入侵检测和恶意代码防范系统安全审计：审计记录查询、分类、分析和存储保护客体安全重用：采用具有安全客体复用功能的系统软件或产品可信验证：基于可信根对计算节点的BIOS、引导程序、操作系统内核、应用程序等进行可信验证配置可信检查：将感知结果形成基准值按照安全等级的提升，并适应安全通用要求和安全扩展要求的需要，网络安全等级保护在安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心等方面相关的技术要求也是不断增高。4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护基本技术安全区域边界相关技术：区域边界访问控制：在安全区域边界设置自主和强制访问控制机制区域边界包过滤：区域边界安全控制策略区域边界恶意代码防范：设置防恶意代码网关，由安全管理中心管理区域边界完整性保护：设置探测器，探测非法外联和入侵行为区域边界安全审计：设置审计机制，并由安全管理中心统一管理可信验证：基于可信根对区域边界计算节点的BIOS、引导程序、操作系统内核、区域边界安全管控程序等进行可信验证4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护基本技术安全通信网络相关技术：通信网络数据传输完整性保护：采用由密码等技术支持的完整性校验机制通信网络数据传输保密性保护：采用由密码等技术支持的保密性保护机制，以实现通信网络数据传输保密性保护通信网络安全审计：在安全通信网络设置审计机制，由安全管理中心集中管理可信连接验证：采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护支撑平台信息系统密码基础设施平台：由密码技术所构成的密码基础设施平台，由基于公钥基础设施（PKI）、授权管理基础设施（PMI）、密钥管理基础设施（KMI）等密码安全机制和授权管理机制等组成，它为安全信息系统实现保密性、完整性、真实性、抗抵赖、访问控制等安全机制提供支持。4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护支撑平台信息系统应用安全支撑平台：利用密码基础设施平台提供的基于PKI/PMI/KMI技术的安全服务，采用安全中间件及一站式服务理论和技术，支持面向业务应用的各种应用软件系统安全机制的设计，实现包括真实性鉴别、访问控制、信息安全交换、数据安全传输以及数据的保密性、完整性保护等应用软件系统的安全功能，是应用软件系统安全支撑平台的设计目标。分等级要求4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护支撑平台信息系统灾难备份与恢复平台：灾难备份灾难恢复分等级要求4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护支撑平台信息系统安全事件应急响应与管理平台：应急响应与管理应急计划联动要求标准化要求4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护支撑平台信息系统安全管理平台：信息系统安全管理平台既是一个管理机构，又具有强烈的技术特色。通过对各种信息安全设备、安全软件、人员角色等进行集中监控与管理，把原本分离的各种信息资源联系成一个有机协作的整体，实现信息安全管理过程中的实时状态监测与风险评估、动态策略调整、综合安全审计、数据关联处理，以及恰当及时的威胁响应，从而有效地提升信息系统的安全保障能力和用户的管理水平。4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级保护支撑平台一个单层的信息系统安全管理平台架构：4.8网络安全等级保护体系4.8.4

等级保护技术体系-等级化安全信息系统构建技术等级化安全信息系统的设计与实现。等级化安全信息系统的测试与评估。4.8网络安全等级保护体系4.8.4

等级保护技术体系-安全技术措施建设

本章目录4.1概述4.2等级保护的发展4.3等级保护与信息保障各环节的关系4.4实施等级保护的意义4.5等级保护的基本原理和方法4.6信息系统的安全保护等级的划分4.7等级保护工作的实施4.8网络安全等级保护体系4.9等级保护的建设工作4.10有关部门信息安全等级保护工作经验4.9等级保护的建设工作4.9.1

等级保护的建设目标与内容某级信息系统技术要求管理要求基本要求建立安全技术体系建立安全管理体系具有某级安全保护能力的系统物理安全网络安全系统安全应用安全技术安全管理安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理4.9等级保护的建设工作4.9.2

等级保护的建设要求大类控制点控制项网络安全1.网络结构安全2.网络访问控制3.网络安全审计4.边界完整性检查5.网络入侵防范6.恶意代码防护7.网络防护设备1.机房与设施安全2.防其他自然灾害3.环境与人员安全1.防盗与防毁2.防止电磁泄露发射3.防电磁干扰1.介质的分类2.介质的管理3.介质的防护物理安全1.环境安全2.设备安全3.介质安全4.9等级保护的建设工作4.9.2

等级保护的建设要求对不同大类下各控制点按等级有不同的安全要求：网络安全－－>入侵防范：(G3)a.应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；b.当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。网络安全－－>入侵防范：(G4）a.应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；b.当检测到攻击行为时，应记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警及自动采取相应动作。4.9等级保护的建设工作4.9.3

等级保护的建设模式满足政策要求满足标准要求满足用户自身要求安全现状差异性分析基本要求需求物理安全网络安全系统安全应用安全数据安全与备份恢复4.9等级保护的建设工作4.9.4

等级保护的建设流程达标等保体系安全措施业务应用信息网络已运营系统业务应用安全措施新建系统等保整改等保建设4.9等级保护的建设工作4.9.5

等级保护的整改流程1.信息系统定级2.等保建设立项3.信息安全风险评估4.等保方案设计5.安全体系部署6.等保体系测评7.等保整改建设完成4.9等级保护的建设工作4.9.5

等级保护的整改流程1-信息系统定级按部门重要性的方式定级按照一个单位的信息系统所承载的业务应用软件系统所管理和控制的相关资源（含信息资源和其他资源）的重要性，根据公通字[2004]66号文件的规定，可以定性地对该单位的信息系统应具有的总体安全保护要求进行评估，确定目标信息系统需要进行保护的等级。66号文件所规定的安全等级划分，是在假定安全威胁相同的情况下，从国家利益出发考虑信息系统资产价值（重要性）的角度提出的安全需求。在具体进行安全需求等级的确定时，还应充分考虑该单位自身的安全要求。一级：信息系统所存储、传输和处理的信息从总体上被认为是公开信息。二级：信息系统所存储、传输和处理的信息从总体上被认为是一般信息。三级：信息系统所存储、传输和处理的信息从总体上被认为是重要信息。四级：信息系统所存储、传输和处理的信息从总体上被认为是关键信息。五级：信息系统所存储、传输和处理的信息从总体上被认为是核心信息。4.9等级保护的建设工作4.9.5

等级保护的整改流程1-信息系统定级第二步：对目标信息系统（安全域）及其相关设施的资产价值及该信息系统（安全域）可能受到的威胁进行综合评估与审计，确定其相应的资产价值级别和威胁级别，并据此确定目标信息系统（安全域）应具有的安全保护等级。按资产价值和威胁的方式定级第一步：根据确定信息系统的总体安全需求等级过程中对信息和信息系统安全保护需求的分析，明确信息系统的安全保护需求是否需要进一步划分安全域。如果不需要划分安全域，则以下的工作以信息系统为基本单元进行，如果需要划分安全域，则以下的工作在划分和确定安全域以后，以安全域为基本单元进行。4.9等级保护的建设工作4.9.5

等级保护的整改流程1-信息系统定级按资产价值和威胁的方式定级第三步：按照确定的安全保护等级，从等级保护的相关标准中选取对应等级的安全措施（包括技术措施和管理措施），用系统化方法设计具有相应安全保护等级的安全子系统，并对设计好的安全子系统的脆弱性进行评估。第四步：用风险分析的方法对已经设计好安全子系统的目标信息系统（安全域）的资产价值、安全威胁和脆弱性进行评估，确定该信息系统（安全域）具有的剩余风险。如果其剩余风险从总体上是可接受的，则所确定的信息系统（安全域）的安全保护等级即为该信息系统（安全域）最终的安全保护等级，并可按照所设计的安全子系统进行目标信息系统的安全建设。如果其剩余风险是不可接受的，或者有些安全措施明显的超过保护需求，则应对安全子系统的相关安全措施进行调整，再对调整后的信息系统（安全域）的脆弱性进行评估，得到新的剩余风险。如此循环，直至剩余风险可接受为止。第五步：再根据安全措施的调整情况，对照等级保护的相关标准中不同安全保护等级的安全技术和安全管理的要求，确定目标信息系统（安全域）的最终安全保护等级。4.9等级保护的建设工作定级实例1：某省政府网站系统ZFWZ，用于发布政务公开信息、地方行政法规和管理措施、领导讲话、政府办事流程、新闻发布、政府公告、举报投诉、省内经济形势介绍、电子表单下载等信息，服务对象主要是省内企业和市民。ZFWZ系统是省政府对社会办公的窗口，其中发布的信息内容代表政府形象和体现政府的社会管理和社会服务职能，因此该信息安全被破坏可能对社会秩序造成一定影响；由于省政府网站的访问量并不很大，信息被篡改可能造成的不良社会影响不会很大，因此对社会秩序的侵害程度为一般损害；查表知ZFWZ系统的业务信息安全保护等级为第二级，如下表所示。业务信息安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级4.9等级保护的建设工作定级实例2：某省电力集团公司的省级电力实时监控系统，主要运行调度自动化控制系统和能量管理系统（SCADA/EMS）DDZDH，负责省级超高压输电变电站的调度控制和数据采集。系统实时性要求极高，达到秒级。电力系统是国家重要基础设施，省级DDZDH系统负责全省范围内的电力调度，调度控制指令或调度程序被修改，可能造成的停电事故会影响几乎所有行业的正常生产和工作，其所侵害的客体为社会秩序和公共利益；调度控制指令或调度程序被修改可能造成全省范围大面积停电、人员伤亡和巨额财产损失，同时对其它行业的生产和工作造成非常严重的影响，因此对社会秩序和公共利益的侵害程度为特别严重损害；查表知DDZDH系统的业务信息安全保护等级为第四级，如下表所示。业务信息安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级4.9等级保护的建设工作4.9.5

等级保护的整改流程2-等保建设立项信息系统等级保护建设，经过信息系统的运营、管理部门以及有关政府部门的批准，并列入信息系统运营单位或政府计划的过程。4.9等级保护的建设工作4.9.5

等级保护的整改流程3-风险评估风险评估是对信息资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用而带来风险的可能性的评估。风险评估是确定信息安全需求的一个重要途径。风险评估完成后出具《评估报告》和《整改意见报告》。需请相应级别、具有资质的测评中心进行风险评估。4.9等级保护的建设工作4.9.5

等级保护的整改流程4-等保方案设计1整改意见需求分析2总体设计详细设计3应急方案灾备方案5方案与产品安全性论证6项目预算7项目实施方案设计4产品选型技术指标信息系统等保体系建设目标4.9等级保护的建设工作4.9.5

等级保护的整改流程4-等保方案设计二、安全需求分析一、项目背景四、等保技术体系设计三、方案总体设计六、等保管理安全设计五、等保物理安全设计八、产品选型与技术指标七、应急与灾备设计九、方案与产品安全性论证十一、实施方案设计十、项目预算需求背景政策依据以《基本要求》中“网络、主机、应用、数据”部分要求为目标，以《设计要求》为方法以《基本要求》中物理安全部分为依据以《基本要求》中管理安全部分为依据经过信息安全等级保护专家论证通过4.9等级保护的建设工作4.9.5

等级保护的整改流程5-安全体系部署统一规划，分步实施规范管理，责任落实确保安全，影响最小专家论证，内部验收计算环境区域边界通信网络4.9等级保护的建设工作4.9.5

等级保护的整改流程6-等保体系测评等保体系达标等保体系测评信息等保整改通过未通过以相应的政策、标准为基准，对等保体系进行风险评测，从面临的威胁、存在的弱点、造成的影响，以及三者综合作用角度，分析信息系统的等保体系是否达标。需请相应级别、具有资质的测评中心进行等保测评。等保测评完成后出具《测评报告》和《整改