《信息系统安全等级保护定级指南精编版[24页].docx》由会员分享，可在线阅读，更多相关《信息系统安全等级保护定级指南精编版[24页].docx（24页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、最新资料推荐1 信息系统安全等级保护定级指南为宣贯信息系统安全等级保护定级指南（以下简称定级指南）国家标准，由标准起草人介绍标准制、修订过程，讲解标准的主要内容,解答标准执行中可能遇到的问题。1.1 定级指南标准制修订过程1.1.1 制定背景本标准是公安部落实66号文件，满足开展等级保护工作所需要的重要规范性文件之一，是其他标准规范文件的基础。本标准依据66号文件和“信息安全等级保护管理办法”的精神和原则，从信息系统对国家安全、经济建设、社会生活重要作用，信息系统承载业务的重要性、业务对信息系统的依赖程度和信息系统的安全需求等方面的因素，确定信息系统的安全保护等级，提出了分级的原则和方法。本任
2、务来自全国信息系统安全标准化技术委员会，由全国信息安全标准化技术委员会WG5工作组负责管理。1.1.2 国外相关资料分析本标准编制前，编制人员收集与信息系统确定等级相关的国外资料，其中主要是来自美国的标准或文献资料，例如：l FIPS 199 Standards for Security Categorization of Federal Information and Information Systems（美国国家标准和技术研究所）l DoD INSTRUCTION 8510.1-M DoD Information Technology Security Certification and
3、 Accreditation Process Application Manual（美国国防部）l DoD INSTRUCTION 8500.2 Information Assurance (IA) Implementation（美国国防部）l Information Assurance Technology Framework3.1（美国国家安全局）这些资料表明，美国政府及军方也在积极进行信息系统分等级保护的尝试，从一个侧面反映了分等级对重要信息系统实施重点保护的思想不仅适用于像我国这样的信息技术水平不高的发展中国家，也适用于信息化发达国家。但仔细分析起来，这些文献资料中所描述的等级在其适用
4、对象、定级方法、划定的等级和定级要素选择方面各有不同。FIPS 199作为美国联邦政府标准，依据2002年通过的联邦信息安全管理法，适用于所有联邦政府内的信息（除其它规定外的）和除已定义为国家安全系统之外的联邦信息系统。根据FIPS 199，信息和信息系统根据信息系统中信息的保密性、完整性和可用性被破坏的潜在影响将信息分类，影响程度可为高、中或低。例如某政府采购系统中，包含合同信息和管理信息，各自的信息分类为：SC合同信息=(保密性，中)，（完整性，中），（可用性，低）SC管理信息=(保密性，低)，（完整性，低），（可用性，低）该政府采购系统分类的各项，将是系统中所有信息分类的三性取值中的最高
5、值：SC政府采购系统=(保密性，中)，（完整性，中），（可用性，低）尽管该标准仅将信息系统按照对信息安全三性的安全需求进行了分类，没有明确说明信息系统的安全等级，但从与该标准配套的安全控制措施（SP800-53等）内容来看，最终信息系统的等级是由分类中的较高者决定。8510.1-M为美国国防部发布的DITSCAP计划提供实施手册，DITSCAP计划的主要目的是保护国防信息基础设施，适用于国防大臣办公室、军事部门、参谋长联席会议主席、作战指挥部、国防机构、DoD组成部门及其承包商和机构。在考虑系统的功能、国家和国防的安全要求以及系统的使命的危险程度、系统所处理的数据和用户类型等因素的基础上，DI
6、TSCAP的认证任务要求每个系统在四个认证级别中确定一个适合自身的认证级别。这四个认证级别是：1级基本的安全评审，2级最小分析，3级详细分析，4级复杂分析。8510.1-M提出用于描述系统的7个特征量，互联模式、处理模式、归因性（责任追溯）业务依赖性、信息三性等，根据对这7个特征量赋权值，得出某个信息系统的总的权值，再根据权值所处的区间，确定信息系统的认证级别。8500.2 没有直接针对信息系统分级，但给出了两种分等级的信息保障需求，一种是按信息保密性分级，DoD定义了三个保密性等级：保密、敏感和公开，另一种是按业务保障分类（Mission Assurance Category）：MAC、MA
7、CII和MACIII，由此可以排列出9种组合。保密性分级反映了系统内所处理的信息的重要程度，业务保障类反映了与DoD实现业务目标相关的重要性，业务保障类主要用于满足完整性和可用性方面的需求，其中MAC系统比MACII和MACIII系统要求有更为严格的保护措施。信息保障技术框架（IATF）由美国国家安全局主持编制，其所面向的对象既包括Internet这样的全球信息基础设施，也包括国家信息基础设施，以及作为机构专有资源以实现其业务的本地信息基础设施。IATF为安全机制的强度和实现保证提出了三个强健度等级(SML)，并对资产按其信息价值分为5个等级，威胁环境按其强弱分为7个等级，以矩阵表的方式给出了
8、35种情况下可以选择的强健度等级。信息系统的所有者可以根据其信息价值与可能面临的威胁环境，选择系统安全保护的强健度等级和信息技术产品的评估保证级别（EAL）。1.1.3 定级指南编制原则通过分析可以发现上述定级方法分别在不同方面不能满足我国等级保护的需要，具体分析如下：l FIPS199可能是与我们的需求最为接近的一种信息系统定级方法，它以信息安全保密性、完整性和可用性需求中的最高者作为信息系统的安全等级，用于美国联邦政府信息系统的保护可能合适，但我国的等级保护面向国内所有行业，包括那些生产系统和自动化处理系统，这些系统对信息保密性要求不高，而对业务安全保障要求非常高，三性取高的定级方法，没有
9、反映出这些系统的安全需求特点，可能造成对多数系统要求过高而无法实现。l 8510.1-M确定的是用于管理的认证级，各等级之间没有安全保护强度的差别，而等级保护的定级应当反映保护强度和保护能力的逐级提高。l 8500.2 没有明确提出定级方法，当两种信息保障类别排列出不同组合时，没有给出信息系统等级如何确定，但它提出两类信息保障的不同需求组合，反映信息系统不同安全需求的做法值得借鉴。l IATF提出的是信息系统的强健性等级，不是信息系统安全等级，没有反映信息系统的安全需求。但它提出了根据信息价值和信息系统面临的威胁环境强度决定信息系统的保护强度的概念，值得借鉴。究其原因，上述国外标准和文献资料一
10、般针对特定系统，在特定系统中适用，但不能满足我国在全国范围内、在所有行业内开展等级保护工作的要求。因此必须在对国外资料进行研究和吸收的基础上，探索适合我国国情、简便易行的定级方法。因此，等级保护的定级方法应反映出信息系统对国家安全、经济建设、社会生活重要程度的差异。从这一点出发考虑，信息系统安全保护等级定级的出发点应当是信息系统所承载的业务，或称业务应用的重要性。此外，我国的等级保护制度针对“涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统，主要包括：国家事务处理信息系统（党政机关办公系统）；财政、金融、税务、海关、审计、工商、社会保障、能源、交通运输、国防工业等关系到国计民生的信
11、息系统；教育、国家科研等单位的信息系统；公用通信、广播电视传输等基础信息网络中的信息系统；网络管理中心、重要网站中的重要信息系统和其他领域的重要信息系统。”（摘自实施意见）。由此可以看出，定级指南既要有较大的通用性，也应具备一定的灵活性。因此在编制过程中坚持以下原则：l 满足管理要求原则：定级指南所确定的信息系统安全保护等级不是信息系统安全保障程度等级，因此也不是信息系统的技术能力等级，而是从国家管理的需要出发，从信息系统对国家安全、经济建设、公共利益等方面的重要性，以及信息或信息系统被破坏后造成危害的严重性角度对信息系统确定的等级；l 全局性原则：信息系统安全等级保护是针对全国范围内、涵盖各
12、个行业信息系统的管理制度，信息系统安全保护等级的定级也必须从国家层面考虑，体现全局性；l 业务为核心原则：信息系统是为业务应用服务的，信息系统的安全保护等级应当反映信息系统承载业务的重要性，应以业务为出发点和核心，将信息重要性纳入业务重要性统筹考虑；l 合理性原则：充分反映出信息系统的主要安全特征，优化结构、降低投资、突出重点，有效保护。1.1.4 主要编制过程信息系统安全保护等级划分准则初稿于2005年5月完成，其中提出了定级的四个要素：信息系统所属类型、业务数据类型、信息系统服务范围和业务自动化处理程度，通过信息系统所属类型和业务数据类型可以确定业务数据安全性等级，通过信息系统服务范围和业
13、务自动化处理程度及调节因子，可以确定业务服务连续性等级。经向业内专家，安全服务企业专家以及部分用户进行了较为广泛的征求意见，根据各方意见，编制小组对文档名称（建议改为定级指南）、形式和内容均进行了多处修改，形成信息系统安全保护等级分准则定级指南（以下简称定级指南）征求意见稿第1稿。2005年10月国信办安全组召开定级评审专家组对定级指南征求意见稿第1稿进行了专家评审，根据评审意见，编制小组对文稿进行了修改。主要修改为：在信息系统划分中将从业务流程角度划分与从业务类型角度划分两方面合并，补充说明设置调节因子的理由，将第五级的定级方法处理成在四级的基础上根据有关部门的需要另行制定。由此形成定级指南
14、征求意见稿第2稿。2005年11月编制组分两次向定级评审专家组专家征求对定级指南征求意见稿第2稿的意见，根据专家意见，修改子系统划分方面内容，将信息系统/子系统统称为信息系统，明确定级对象是信息系统，信息系统内可以包含业务子系统，突出根据业务重要性划分信息系统。进一步强调三性作为信息系统重要安全属性在确定定级要素赋值方面的作用，突出信息和服务两个定级指标，将调节因子的赋值方法从定值改为区间赋值，由此形成定级指南征求意见稿第3稿，即等级保护试点工作中采用的试用版本。通过2006年1月-10月在全国开展的信息系统基础调查工作和等级保护试点工作，各试点单位将定级指南使用过程中发现的问题以书面形式提交
15、公安部。编写组根据试点单位提出的意见，取消调节因子，将四个定级要素改为业务信息类型、业务信息受到破坏影响的客体，系统服务类型和系统服务受到破坏影响的客体,由前两个要素确定业务信息安全性等级，后两个要素确定系统服务安全性等级。为帮助使用者确定定级对象，增加了定级对象三个特征的描述，形成定级指南征求意见稿第4稿。2007年4月对定级指南征求意见稿第4稿评审专家提出四个要素应分出主次，应当明确体现影响程度等意见。经修改，为区别信息系统本身与信息系统安全受到破坏所影响的客体，在本次修改中提出了等级保护对象、受侵害的客体、客体侵害的客观方面等援引自法律文件中的术语，以更加准确地表达等级差别的内在含义，并
16、将受侵害的客体作为主导要素，侵害的程度作为相关要素，相应地修改了定级步骤。由此形成定级指南征求意见稿第5稿。2007年5月全国信息安全标准化技术委员会第五工作组组织工作组成员对定级指南征求意见稿第5稿进行了评审，专家主要对法律上“客体”概念与技术标准中的“客体”概念不一致，容易造成混淆，建议更改，但由于没有更合适的概念替代，暂时没有修改，这个概念一直保留到报批稿。1.2 定级原理和定级要素1.2.1 定级原理等级保护是我国实施信息安全管理的基本制度，信息系统安全保护等级是为行政管理服务的等级，不是纯粹的技术等级。因此定级指南确定的等级必须与相关管理文件的规定保持一致。根据信息安全等级保护管理办
17、法，信息系统的5个安全保护等级为：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。从上述描述可以看出，信息系统的安全保护等级的高低并不决定于信息系统的规模、价值、服务
18、对象等本身因素，而是决定于信息系统被破坏后产生的损害，包括受到侵害的各方利益和损害程度。如果我们将使信息系统受到破坏的原因称为威胁源，在威胁源、信息系统和受侵害的各方利益之间存在下图所示的关系：威胁源信息系统各方利益破坏侵害威胁源是安全问题产生的原因，它直接破坏的是信息系统的安全性，但信息系统的安全保护等级并不是根据信息系统本身被破坏的程度而确定的，而是根据对各方利益的侵害程度确定，这是信息系统安全保护等级确定的核心所在。为了给国家安全、社会秩序和公共利益以及公民、法人和其他组织的合法权益一个简短的表述方式，借鉴中国刑法理论中描述方式。刑法学中犯罪主体、犯罪对象和犯罪客体三者关系与上面描述的威
19、胁源，信息系统和受侵害的各方利益之间关系非常接近，如下图所示：直接客体客体主体犯罪主体犯罪对象犯罪客体直接作用实质侵害实际客体客体图X-1 刑法中的主客体关系其中的犯罪对象是犯罪主体，例如小偷，偷窃行为作用的直接客体，例如被小偷偷窃的钱物，但定罪量刑的依据不是对犯罪对象的损害（在偷窃过程中，犯罪对象没有损害），而是对犯罪客体的侵害，是犯罪主体侵害的实际客体。根据刑法学，犯罪客体是指我国刑法所保护的，而为犯罪行为所侵害的社会主义社会关系，刑法所保护的社会关系包括社会主义的国体、政体和国家安全，社会公共安全，社会主义市场经济秩序，公民人身权利和民主权利，社会主义制度下各种财产权利，社会秩序，国防利
20、益和军事利益，国家机关行政和司法秩序及公务活动等。这样的社会关系与等级保护关注的国家安全、社会秩序和公共利益以及公民、法人和其他组织的合法权益是相同的。因此在定级指南标准中引用了刑法学中的“客体”概念代指信息系统受到破坏后所侵害的不同社会关系。“客体”概念定义：受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。将威胁源直接作用的信息系统定义为等级保护对象。由于对客体的侵害是通过对信息系统的破坏实现的，因此保护信息系统才能最终保护客体社会主义社会关系。与GB17859中定义的客体相比，定级指南对客体定义据有不同的关注点，信息安
21、全等级保护定级的关注点是对社会关系的侵害，信息系统安全保护的关注点是对信息和服务的保护，两者内在相关，概念表述不同，反映了行政管理与技术关注点的不同。根据管理办法对5个等级信息系统的定义，定义指南使用客体概念，提出信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度，表示如下：受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级1.2.2 受侵害的客体等级保护对象受到破坏时所侵害的客体包括三个方面：a) 国家安全；b) 社会秩序和公共利
22、益；c) 公民、法人和其他组织的合法权益。这三种受侵害的客体体现了三种不同层次、不同覆盖范围的社会关系。国家安全利益体现了国家层面、与全局相关的国家政治安全、军事安全、经济安全、社会安全、科技安全和资源环境安全等方面利益。社会秩序包括社会的政治、经济、生产、生活、科研、工作等各方面的正常秩序。公共利益是指不特定的社会成员所共同享有的，维持其生产、生活、教育、卫生等方面的利益。定级指南中的社会秩序和公共利益体现了在一定范围的或对不特定群体的利益。合法权益是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益，定级指南中特指公民、法人和其他组织的合法权益则是指拥有信息系统的个体
23、或确定组织所享有的社会权力和利益。1.2.3 对客体造成侵害的程度等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：a) 造成一般损害；b) 造成严重损害；c) 造成特别严重损害。造成一般损害是指对客体造成一定损害和影响，经采取恢复或弥补措施，可消除部分影响。 造成严重损害是指对客体造成严重损害，经采取恢复或弥补措施，仍产生较大影响。造成特别严重损害是指对客体造成特别严重损害，后果特别严重，影响重大且无法弥补。 对客体的侵害不是威胁直接作用的结果，而是通过对等级保护对象信息系统的破坏而导致的，因此确定对客体侵害的程度时，必须考虑对等级保护对象所造成破坏的不同客观表现形态以及不同程度的结
24、果，也就是侵害的客观方面。在分析侵害的客观方面时，为区别针对信息系统的破坏程度和对客体的侵害程度，定级指南使用了“危害”一词，用于描述对信息系统的破坏，例如危害方式、危害后果、危害程度等。综合评定不同危害方式、不同危害后果所造成的不同危害程度，才可以确定对客体的侵害程度。1.2.4 影响安全保护等级的信息系统元素分析为分析侵害的客观方面，编制组对含有安全等级的相关国外的文献资料进行了研究，目的是从信息系统本身找出影响安全保护等级的核心元素。不同定级方法决定出的等级包括信息系统安全等级、认证等级、两种等级的交叉分类以及系统强健度等级等。在不同的方法中，都会涉及到这样三个方面：根据信息系统的哪些元
25、素定级，这些元素的哪些属性决定了系统的安全，这些属性的哪些不同性质决定了重要性的等级差别，以下逐一分析。1. FIPS199FIPS199根据信息在保密性、完整性和可用性三个属性被破坏后的安全影响决定信息的安全分类和信息系统的等级。在这里决定系统安全等级的唯一元素是信息，保密性、完整性和可用性是信息的三个安全属性，信息三性丧失后对机构运行、机构财产和个人的安全影响是决定重要性的因素，根据安全影响大小分成低、中、高三个等级，描述方式为：表4-1 FIPS199定义的安全影响等级潜在影响描述低保密性、完整性和可用性的丧失，可能对机构运行、机构财产和个人产生有限的负面影响中保密性、完整性和可用性的丧
26、失，可能对机构运行、机构财产和个人产生严重的负面影响高保密性、完整性和可用性的丧失，可能对机构运行、机构财产和个人产生十分严重或灾难性的负面影响2. 8510.1-M8510.1-M定级的系统元素比较复杂，从7个方面综合确定信息系统的认证等级，包括系统外部因素，系统的业务，系统中的实体资产，信息等，这些元素的安全属性和重要性没有明确分开，表现为系统互连模式、系统处理、传输、储存数据的方法、业务使命对系统的依赖度、信息敏感性分类、系统完整性要求、系统实时性要求、系统实体的可审查性需求等。3. 8500.2 8500.2主要关注的系统元素是信息和业务（或称使命），对于信息关注其保密性，对于业务则关
27、注其完整性和可用性两个安全属性。信息保密性分为三个等级：秘密、敏感和公开；业务保障分类为三个等级：高完整性和高可用性（MAC）高完整性和中可用性（MAC）和基本的完整性和可用性（MAC），两个等级相互独立，可以构成9种组合，8500.2没有提出信息系统整体等级的概念。4. IATFIATF从信息价值和预期对抗的威胁两个元素决定系统的强健度等级，其中信息价值关注的不是三性受到破坏而是对信息保护策略的违背，信息价值的高低取决于造成负面影响的程度，共分五级，分别为：可以忽略、不良影响或较小破坏、一定破坏、严重破坏和十分严重破坏；威胁等级由攻击者能力和攻击者愿冒风险的大小两个方面组合形成，分为7个等级
28、。在上述定级方法中所体现的主要定级元素有：信息、系统、业务和威胁，在这里可以首先排除威胁。因为威胁本身是一个不定因素，任何系统都有可能面临所有种类和所有等级的威胁，对信息系统的保护也没有必要做到能够对抗所有威胁。因此可以考虑为每个等级的系统确定一个较为合理的威胁等级（可由威胁主体能力、动机决定）。根据该威胁等级确定该等级系统的技术或管理控制目标，且允许不同的系统根据其所面临威胁的差异性，对保护措施进行适当调整。实际情况应当是，当某个等级的系统选择了相应等级的保护措施，一般可以对抗相应级别的威胁，但并不能对抗所有的威胁，因此不能说用该等级保护措施保护系统其安全性就高枕无忧。对于系统所有者来讲，安
29、全目标一定是有限的，是考虑了成本与效益的平衡，考虑了更高威胁所造成损失的可接受。因此，威胁可以不作为确定信息系统安全等级所考虑的系统元素，而放在确定保护各级别系统的控制目标和控制措施时考虑。此外，系统是指通过软件、硬件等组成的有机整体所提供的功能和服务，业务是由信息系统所承载的，对内部或外部用户提供的信息化服务，它们的核心内容都是功能和服务，因此将影响安全等级的一个系统元素确定为服务，信息系统提供的服务，另一个元素为信息。根据上述分析，信息系统重要程度可以从信息系统所处理的信息和信息系统所提供的服务两方面来体现，对信息系统的破坏也应从对业务信息安全的破坏和对系统服务安全的破坏两方面来考虑。因此
30、，在定级指南中也是分别从这两个方面确定信息系统安全被破坏后所影响的客体及对客体的影响程度。1.3 定级过程和方法1.3.1 定级对象概述定级工作是信息系统等级保护工作的起点，定级结果直接决定了后续安全保障工作的开展。在定级之前，首先必须明确定级的对象，即，对哪个信息系统进行定级。定级指南中指出，作为定级对象的信息系统应当具备以下三个条件：a) 具有唯一确定的安全责任单位作为定级对象的信息系统应能够唯一地确定其安全责任单位，这个安全责任单位就是负责等级保护工作部署、实施的单位，也是完成等级保护备案和接受监督检查的直接责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安
31、全责任，而其上级部门仅负有监督、指导责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。b) 具有信息系统的基本要素作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如单台的服务器、终端或网络设备等作为定级对象。单台的设备或有单台设备构成的安全域本身无法实现完整的信息系统保护，不能抵御来自内部或外部的攻击，这样的设备或区域必然依靠其所在环境所提供的网络安全和边界防护。因此作为定级对象的信息系统应当是
32、包括信息系统的核心资产保护目标，以及对保护目标提供保护的所有相关设备和人员保护机制，只有涵盖了这两部分，才能使信息系统实现其应用目标。c) 承载单一或相对独立的业务应用定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程、部分业务功能独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。“相对独立”的业务应用并不意味着整个业务流程，可以使完整的业务流程的一部分。承载“相对独立”业务应用的信息系统在一个单位的整个信息系统中像
33、一个子系统，其业务功能是相对独立的并明显区别于其他系统的，与其他系统有明确的业务边界和信息交换方式。上述三个条件给出定级对象确定的原则，在这个原则的基础上，针对不同规模、不同复杂程度、不同隶属关系的信息系统，运营使用单位和服务机构人员可以寻找适合自身的划分方法，以下给出的定级对象的确定方法和定级流程在某些信息系统中得到认可，作为例子，供运营使用单位和有关各方参考。信息系统定级既可以在新系统建设之初进行，也可在已建成系统中进行。对于新建系统，尽管信息系统尚未建成，但信息系统的运营使用者应首先分析该信息系统处理哪几种主要业务，预计处理的业务信息和服务安全被破坏所侵害的客体、以及根据可能的对信息系统
34、的损害方式判断可能的客体侵害程度等基本信息，由此确定信息系统的安全保护等级。对于已建系统可参照以下流程完成定级工作。1系统识别和描述l 识别基本信息l 识别管理框架l 识别业务种类和业务流程l 识别信息资产l 识别网络结构l 识别软硬件设备l 识别用户类型和分布l 描述试点单位信息系统2信息系统划分l 分析安全管理责任，确定管理边界l 分析网络结构和已有内外部边界l 分析业务流程和业务间关系l 初步划定信息系统，确定定级对象l 各信息系统描述4产生定级报告l 完成定级报告初稿l 定级报告评审l 定级报告批准3安全等级确定l 为定级四要素赋值l 确定业务信息安全保护等级和系统服务安全保护等级l
35、确定信息系统安全保护等级图X-2 定级流程图以下将根据此流程图详细介绍其中的各个步骤。1.3.2 系统识别和描述定级人员最初面临的往往不是已划分好的信息系统，而是单位的整个信息系统，或即使只是单位信息系统的一部分，由于等级保护需求不同，也有可能需要对该部分系统进行划分，区别出不同等级的信息系统。通过系统识别和描述活动，可以了解单位信息系统的全貌，了解需要定级的信息系统与单位其他信息系统的关系。根据用户需求或工作需要，系统识别与描述活动既可以针对单位整个信息系统进行，也可在用户指定的范围内进行。1. 识别单位基本信息 可以采用调查表的方式调查了解对目标系统负有安全责任的单位的单位性质、隶属关系、
36、所属行业、业务范围、地理位置等基本情况，以及其上级主管机构（如果有）的信息。2. 识别管理框架可以采用调查表的方式调查了解目标系统所在单位的组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责。特别是当该单位的信息系统存在分布于不同的物理区域的情况时，应了解不同区域系统运行的安全管理责任，一般来说，安全管理职责是进行信息系统划分的首要参考因素，因为具有一定等级的信息系统也应当是一个安全域，应当遵循相同的安全策略，没有统一管理作保证则无法实现统一的安全策略。3. 识别业务种类、流程和服务可以采用调查表的方式调查了解机构内主要依靠信息系统处理的有多少种业务，哪些业务是主要业务，哪些业
37、务是支撑型业务，各项业务具体要完成的工作内容和业务流程等。了解单位的职能与这些业务的关联，单位对信息系统完成业务使命的期待或关注点。如果对某个信息系统的主要关注点是其中的信息，该系统可能属于信息处理型系统，如果对信息系统的主要关注点是业务流程的连续，该系统可能属于业务处理型系统，例如多数生产系统属于业务处理型系统，当然也有信息系统两个方面都关注，可以称之为均衡型系统。调查还应关注每个信息系统的业务流，以及不同信息系统之间的业务关系，因为不同信息系统之间的业务关系和数据关系将对信息系统划分起重要作用，应了解单位内不同业务系统提供的服务在影响履行单位职能方面，影响的区域范围、用户人数、业务量以及对
38、本单位以外机构或个人的影响等方面的差异。4. 识别信息可以采用调查表的方式调查了解各信息系统所处理的信息特点，了解单位对信息的三个安全属性的需求，了解不同业务数据在其保密性、完整性和可用性被破坏后对单位职能、单位资金、单位信誉、人身安全等方面可能对国家、社会、本单位造成的影响。根据系统不同业务数据可能是用户数据、业务处理数据、业务过程记录（流水）数据、系统控制数据或文件等。了解数据信息还应关注信息系统的数据流，以及不同信息系统之间的数据交换或共享关系。5. 识别网络结构可以采用调查表的方式调查了解目标信息系统所在单位的网络状况，包括网络覆盖范围（全国、全省或本地区），网络的构成（广域网、城域网
39、或局域网等），内部网段/VLAN划分，网段/VLAN划分与系统的关系，与上级单位、下级单位、外部用户、合作单位等的网络连接方式，与互联网的连接方式。目的是了解目标信息系统自身网络在单位整个网络中的位置，目标信息系统所处的单位内部网络环境和外部环境特点，以及目标信息系统的网络安全保护与单位内部网络环境的安全保护的关系。6. 识别主要的软硬件设备可以采用调查表的方式调查了解与目标信息系统相关的服务器、网络、终端、存储设备以及安全设备等，设备所在网段，在系统中的功能和作用。信息系统定级本应仅与信息系统有关，与具体设备没有多大关系，但由于在划分信息系统时，不可避免地会涉及到设备共用问题，调查设备的位置
40、和作用主要就是发现不同信息系统在设备使用方面的共用程度。7. 识别用户类型和分布可以采用调查表的方式调查了解各系统的管理用户和一般用户，内部用户和外部用户，本地用户和远程用户等类型，了解用户或用户群的数量分布，各类用户可访问的数据信息类型和操作权限。8. 单位信息系统描述通过上述调查，可以较为全面地了解单位信息系统的基本信息、管理信息、业务信息、网络信息、设备信息和用户信息等，信息系统描述是信息系统划分和定级的基础，描述信息的准确和详细决定了系统划分是否合理以及定级结果是否准确。1.3.3 信息系统划分1.3.3.1 调查结果分析1. 分析安全管理责任，确定管理边界在一个单位中，信息系统的业务
41、管理和运行维护可能由不同部门负责，例如科技部门或信息中心负责信息系统所有设备和设施的运行、维护和管理，各业务部门负责其中的业务流程的制定和业务操作，信息系统的安全管理责任不仅指在信息系统的运行、维护和管理方面的责任，承担安全管理责任的不应是科技部门，而应当是该单位。一个运行在局域网的信息系统，其管理边界比较明确，但对一个跨不同地域运行的信息系统，其管理边界可能有不同情况：如果不同地域运行的信息系统分属不同单位（如上级单位和下级单位）负责运行和管理，上下级单位的管理边界为本地的信息系统，则该信息系统可以划分为两个信息系统；如果不同地域运行的信息系统均由其上级单位直接负责运行和管理，运维人员由上级
42、单位指派，安全责任由上级单位负责，则上级单位的管理边界应包括本地和远程的运行环境。2. 分析网络结构和已有内外部边界一般单位的信息系统建设和网络布局，一般都会或多或少考虑系统的特点、业务重要性及不同系统之间的关系，进行信息系统的等级划分应尽可能以现有网络条件为基础进行划分，以免引起不必要的网络改造和建设工作，影响原有系统的业务运行。例如政府机构内部一般由三个网络区域组成，政务内网、政务外网和互联网接入网，三个网络相对独立，可以先以已有的网络边界将单位的整个系统划分为三个大的信息系统，然后再分析各信息系统内部的业务特点、业务重要性及不同系统之间的关系，如果内部还存在相对独立的网络结构，业务边界也
43、比较清晰，也可以再进一步将该信息系统细分为更小规模的信息系统。3. 分析业务流程和业务间关系根据调查结果，分析每个业务流和数据流，不同业务之间的业务关系和数据关系。根据信息系统确定原则，信息系统内所承载的业务是相对独立或单一的,并不意味着该信息系统是孤立的和隔离的，信息系统在边界可以与其他信息系统又数据交换，即,一个系统的数据输出可能是另外一个系统的数据输入，尽管如此，重要的业务流程和系统功能都应在信息系统内部完成，以此反映其相对独立的特性。因此，需要分析数据流在不同业务、不同系统之间的关系，以便正确划分系统。1.3.3.2 系统划分方法一般来讲试点单位信息系统可以划分为几个作为定级对象的信息
44、系统，如何划分系统是定级之前的主要问题。信息系统的划分没有绝对的对与错，只有合理与不合理，合理地划分信息系统有利于信息系统的保护及安全规划，反之可能给将来的应用和安全保护带来不便，又可能需要重新进行信息系统的划分。由于信息系统的多样性，不同的信息系统在划分过程中所侧重考虑的划分依据会有所不同。通常，在信息系统划分过程中，应当结合信息系统的现状，从信息系统的管理机构、业务特点或物理位置等几个方面考虑对信息系统进行划分，当然也可以根据信息系统的实际情况，选择其他的划分依据，只要最终划分结果合理就可以。l 安全责任单位依据安全责任单位的不同，划分信息系统。如果信息系统由不同的单位负责运行维护和管理，
45、或者说信息系统的安全责任分属不同机构，则可以根据安全责任单位的不同划分成不同的信息系统。一个运行在局域网的信息系统，其安全责任单位一般只有一个，但对一个跨不同地域运行的信息系统来说，就可能存在不同的安全责任单位，此时可以考虑根据不同地域的信息系统的安全责任单位的不同，划分出不同的信息系统。l 业务特点根据业务的类型、功能、阶段的不同，对信息系统进行划分。不同类型的业务之间会存在重要程度、环境、用户数量等方面的不同，这些不同会带来安全需求和受破坏后的影响程度的差异，例如，一个是以信息处理为主的系统，其重要性体现在信息的保密性，而另一个是以业务处理为主的系统，其重要性体现在其所提供服务的连续性，因
46、此，可以按照业务类型的不同划分为不同的信息系统。又比如，在整个业务流程中，核心处理系统的功能重要性可能远大于终端处理系统，有需要时，可以将其划分为不同的信息系统。l 分析物理位置的差异根据物理位置的不同，对信息系统进行划分。物理位置的不同，信息系统面临的安全威胁就不同，不同物理位置之间通信信道的不可信，使不同物理位置的信息系统也不能视为可以互相访问的一个安全域，即使等级相同可能也需要划分为不同的信息系统分别加以保护，因此，物理位置也可以作为信息系统划分的考虑因素之一。在进行信息系统的划分过程中，进行分析，可以选择上述三个方面中的一个方面因素作为划分的依据，也可以综合几个方面因素作为划分的依据。
47、同时，还要结合信息系统的现状，避免由于信息系统的划分而引起大量的网络改造和重复建设工作，影响原有系统的正常运行。有些信息系统中不同业务的重要程度虽然会有所差异，但是由于业务之间联系紧密，不容易拆分，可以作为一个信息系统按照同样级别保护。但是，如果其中某一个业务面临风险或威胁较大，比如与互联网相连，可能会影响到其它的业务，就应当将其从该信息系统中分离出来，单独作为一个信息系统而实施保护。经过合理划分，一个单位或机构的信息系统最终可能会划分为不同等级的多个信息系统。同时，通过在信息系统划分阶段对各种系统服务业务信息、业务流程的深入分析，明确了各个信息系统之间的边界和逻辑关系以及他们各自的安全需求，
48、有利于信息系统安全保护的实施。1.3.3.3 信息系统描述这里的信息系统描述就是对信息系统划分结果进行描述，主要描述单位内每个信息系统的管理机构、涵盖的几种业务或业务流程的阶段和所处的地理位置，而不必要描述具体的设备类型和边界。可以通过列表的方式将单位内的信息系统名称列成清单。如果仅列名称还不能确切描述该系统，可用备注加以解释。1.3.3.4 信息系统边界信息系统划分后就需要确定信息系统的边界（物理边界往往比较容易界定），由于等级化信息系统有可能是单位信息系统的一部分，如果该信息系统与其他系统在网络上是独立的，没有设备共用情况，边界则容易确定，但当不同信息系统之间存在共用设备时，应加以分析。由于信息系统的边界保护一般在物理边界或网络边界上实现，系统边界不应出