《[精选]信息系统安全等级保护等级保护基本要求36676.pptx》由会员分享，可在线阅读，更多相关《[精选]信息系统安全等级保护等级保护基本要求36676.pptx（144页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、信息系统安全等级保护等级保护基本要求武汉安域信息安全技术有限公司余少波 博士地址：湖北武汉东湖开发区武大园路6号电话：13281151232电邮：车机模式深受手机模式的影响1内容为王，服务至上2未来中国TSP，谁主沉浮 3后装市场必然成为主导地位 4Telematics发展 依据标准规范GB 17859-1999 计算机信息系统 安全等级保护划分准则GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南GB/T 25058-2010 信息安全技术 信息系统安全等级保护实施指南 基本要求要求项在各层面的
2、分布安全要求类层面一级二级三级四级级差/90 115 28合计/85 175 290 318系统运维管理18 41 62 70系统建设管理20 28 45 48人员管理安全7 11 16 18安全管理机构4 9 20 20安全管理制度3 7 11 14管理要求数据安全及备2 4 8 11份应用安全7 19 31 36主机安全6 19 32 36网络安全9 18 33 32物理安全9 19 32 33技术要求 技术要求-物理安全合计7 10 10 10电磁防护*电力供应*温湿度控制*防静电*防水和防潮*防火*防雷击*防盗窃和防破坏*物理访问控制*物理位置的选择*控制点一级二级三级四级 技术要求-
3、网络安全控制点一级二级三级四级合计3 6 7 7网络设备防护*恶意代码防范*入侵防范*边界完整性检查*安全审计*访问控制*结构安全*技术要求-主机安全控制点一级二级三级四级合计4 6 7 9资源控制*恶意代码防范*入侵防范*剩余信息保护*安全审计*可信路径*访问控制*安全标记*身份鉴别*合计4 7 9 11资源控制*软件容错*抗抵赖*通信保密性*通信完整性*剩余信息保护*安全审计*可信路经*访问控制*安全标记*身份鉴别*技术要求-应用安全控制点一级二级三级四级 技术要求-数据安全及备份恢复合计2 3 3 3备份和恢复*数据保密性*数据完整性*控制点一级二级三级四级 管理要求-安全管理制度合计2
4、 3 3 3评审和修订*制定和发布*管理制度*控制点一级二级三级四级 管理要求-安全管理机构合计4 5 5 5审核和检查*沟通和合作*授权和审批*人员配备*岗位设置*控制点一级二级三级四级 管理要求-人员安全管理合计4 5 5 5外部人员访问管*理安全意识教育和*培训人员考核*人员离岗*人员录用*控制点一级二级三级四级 管理要求-系统建设管理合计9 9 11 11安全服务商选择*等级测评*系统备案*系统交付*测试验收*工程实施*外包软件开发*自行软件开发*产品采购和使用*安全方案设计*系统定级*控制点一级二级三级四级 管理要求-系统运维管理合计10 13 13 13应急预案管理*安全事件处置*
5、备份与恢复管理*变更管理*密码管理*恶意代码防范管理*系统安全管理*网络安全管理*监控管理和安全管理中心*设备管理*介质管理*资产管理*环境管理*控制点一级二级三级四级 安全要素与安全保护等级的关系国家安全特别严重损害第五级极端重要系统专门监督检查国家安全严重损害第四级强制监督检查社会秩序和特别严重损害公共利益国家安全一般损害监督检查重要系统第三级社会秩序和严重损害公共利益社会秩序和一般损害公共利益第二级指导保护严重损害自主保护一般系统一般损害第一级合法权益侵害客体侵害程度等级对象监管强度 GB/T22239-2008 信息系统安全等级保护基本要求 贯彻落实党中央、国务院关于节能减排工作部署，
6、以实现重点污染物减排的目标指标为紧要任务，为实现节能减排和环境保护工作目标奠定基础统计基础能力数据传输能力数据共享能力数据应用能力指标体系监测体系考核体系业务应用支撑能力总体目标 项目目的 分省建设目标（1）在项目实施过程中贯彻落实工程标准规范；（2）建设省环境保护厅（局）到地市环境保护局，地市环境保护局到区县环境保护局，以及省环境保护厅（局）到省直属机构、市环境保护局到市直属机构的网络系统，并通过国家电子政务外网实现与环境保护部的连通；（直辖市为市、区县两级网络）；（3）组织落实本省（直辖市、自治区）范围内网络安全体系的建设和省级CA系统的建设；（4）组织所辖各级机构接收部里统一下发的环境统
7、计专项设备，保证专项专用；（5）准备机房环境，组织所辖各级机构接收并配合部署部里统一采购的服务器、存储、网络、安全等设备和系统软件；分省建设目标（6）部署部里统一下发的省级综合数据库平台和地理信息系统平台；组织所辖市、区县部署部里统一下发的数据传输与交换平台，建立数据交换传输体系，实现国家、省、下辖市、区县的数据交换与共享；（7）部署部里统一下发的省级减排应用系统支撑平台；在省级集中部署环境统计业务系统、建设项目管理系统、减排数据管理与综合分析系统，按照需要集成已有六个应用系统；组织所辖市、区县相关业务部门推广应用环境统计业务系统和建设项目管理系统。（8）组织建立省及所辖市、区县运维组织机构，
8、健全运维制度，明确运维人员，部署部里统一下发的运行维护管理系统，建立省级运维管理平台。省、自治区 直辖市 基本要求的定位 基本要求中相应等级的要求是根据各等级系统需要对抗的威胁和应具备的能力而确定的。判断基本要求是否达到应按此原则分析。基本要求给出了各级信息系统每一保护方面需达到的要求，但不是具体的安全建设整改方案或作业指导书，实现基本要求的措施或方式并不局限于基本要求给出的内容，要结合系统自身的特点综合考虑采取的措施来达到基本要求提出的保护能力 基本要求定位举例 A点B点，500KM 5H 飞机 OK 火车 OK 汽车 OK 自行车 NO 等级保护的基本要求 内容与作用 为信息系统主管和运营
9、、使用单位提供技术指导 为测评机构提供测评依据 为监管职能部门提供监督检查依据 适用环节 建设整改、验收、测评、运维、检查 基本要求的描述模型 控制点标注 业务信息安全相关要求（标记为S）系统服务保证相关要求（标记为A）通用安全保护要求（标记为G）技术要求（3种标注）管理要求（统属G）系统基本保护要求的组合 第一级 S1A1G1 第二级 S1A2G2，S2A2G2，S2A1G2 第三级 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3 第四级 S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4 如何实现 落实信息安全等级保护基本
10、要求，确保系统基本安全；结合系统自身安全需求，力求系统相对安全。基本要求的文档结构物理安全技术要求 管理要求基本要求网络安全主机安全应用安全数据安全及备份恢复安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理类 安全建设基本流程信息系统安全管理建设 信息系统安全技术建设开展信息系统安全自查和等级测评信息系统安全需求分析/相应级别的要求确定安全策略，制定安全建设方案物 理 安 全网 络 安 全主 机 安 全应 用 安 全数 据 安 全安全管理机构安全管理制度人员安全管理系统建设管理系统运行管理 信息系统安全技术体系设计物理安全设计 数据安全设计备份与恢复应用系统应用平台其他安全设计机房
11、办公环境设备和介质网络安全设计通信网络区网边界主机安全设计 应用安全设计服务器工作站其他安全设计其他安全设计其他安全设计 基本要求中的安全保护技术 身份鉴别 访问控制 安全审计 数据完整性 数据保密性 数据可用性o 病毒防范o 入侵检测o 安全监控o 备份与恢复o 密码使用o 等等 基本要求中的安全保护技术 确定安全策略 落实信息安全责任制 建立安全组织机构 加强人员管理 加强系统建设的安全管理 加强运行维护的安全管理 安全技术要求-物理安全 物理安全是指对信息系统所涉及到的主机房、辅助机房、办公环境等进行物理安全保护。具体关注内容包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防
12、火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等方面 安全技术要求-物理安全序号 安全关注点 一级 二级 三级 四级1物理位置的选择0 1 2 22物理访问控制1 2 4 4+3防盗窃和防破坏2 5 6+64防雷击1 2 3 35防火1 1+3+36防水和防潮2 3 4 47防静电0 1 2 38温湿度控制1 1+1 19电力供应1 2 4 410电磁防护0 1 3 3+合计9 19 32 33 安全技术要求-网络安全 网络安全是指对信息系统所涉及的通信网络、网络边界、网络区域和网络设备等进行安全保护。具体关注内容包括通信过程数据完整性、通信过程数据保密性、保证通信可靠性的设备和线路冗
13、余、区域网络的边界保护、区域划分、身份认证、访问控制、安全审计、入侵防范、恶意代码防范、网络设备自身保护和网络的网络管理等方面 安全技术要求-网络安全序号 安全关注点 一级 二级 三级 四级1网络结构安全3 4+7 72网络访问控制3 4+8 43网络安全审计0 2 4 64边界完整性检查0 1 2 25网络入侵防范0 1 2 2+6恶意代码防范0 0 2 27网络设备防护3 6 8 9合计9 18 33 32 安全技术要求-主机安全 主机安全是指对信息系统涉及到的服务器和工作站进行主机系统安全保护。具体关注内容包括操作系统或数据库管理系统的选择、安装和安全配置、主机入侵防范、恶意代码防范、资
14、源使用和运行情况监控等。其中，安全配置细分为身份鉴别、访问控制、安全审计等方面的配置内容 安全技术要求-主机安全序号 安全关注点 一级 二级 三级 四级1身份鉴别1 5 6 72安全标记0 0 0 13访问控制3 4 7 64可信路径0 0 0 25安全审计0 4 6+7+6剩余信息保护0 0 2 27入侵防范1 1 3 38恶意代码防范1 2 3 39资源控制0 3 5 5合计6 19 32 36 安全技术要求-应用安全 应用安全是指对信息系统涉及到的应用系统进行安全保护。具体关注内容包括应用系统实现身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控
15、制等功能方面 安全技术要求-应用安全序号 安全关注点 一级 二级 三级 四级1身份鉴别3 4 5 52安全标记0 0 0 13访问控制2 4 6 54可信路径0 0 0 25安全审计0 3 4 56剩余信息保护0 0 2 27通信完整性1 1+1+18通信保密性0 2 2+39抗抵赖0 0 2 210软件容错1 2 2 311资源控制0 3 7 7合计7 19 31 36 安全技术要求-数据安全 数据安全是指对信息系统中业务数据的传输、存储和备份恢复进行安全保护。具体关注内容包括数据备份系统、冗余备用设备以及备份恢复相关技术设施等方面 安全技术要求-数据安全序号 安全关注点 一级 二级 三级
16、四级1数据完整性1 1 2 32数据保密性0 1 2 33数据备份与恢复1 2 4 5合计2 4 8 11 安全管理要求-安全管理机构 安全管理结构是指明确领导机构和责任部门。设立或明确信息安全领导机构，明确主管领导，落实责任部门，建立岗位和人员管理制度，根据职责分工，分别设置安全管理机构和岗位，明确每个岗位的职责与任务，落实安全管理责任制 安全管理要求-安全管理机构序号 安全关注点 一级 二级 三级 四级1岗位设置1 2 4 42人员配备1 2 3 33授权和审批1 2 4 44沟通和合作1 2 5 55审核和检查0 1 4 4合计4 9 20 20 安全管理要求-安全管理制度 安全管理制度
17、是指确定安全管理策略，制定安全管理制度。确定安全管理目标和安全策略，针对信息系统的各类管理活动，制定人员安全管理制度、系统建设管理制度、系统运维管理制度、定期检查制度等，规范安全管理人员或操作人员的操作规程等，形成安全管理体系 安全管理要求-安全管理制度序号 安全关注点 一级 二级 三级 四级1管理制度1 3 4 42制定和发布2 3 5 63评审和修订0 1 2 4合计3 7 11 14 安全管理要求-人员安全管理 人员安全管理是指加强人员的安全管理。规范人员录用、离岗过程，关键岗位签署保密协议，对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训，对关键岗位的人员进行全面、严格的安全
18、审查和技能考核。对外部人员允许访问的区域、系统、设备、信息等进行控制 安全管理要求-人员安全管理序号 安全关注点 一级 二级 三级 四级1人员录用2 3+4+42人员离岗2 3 3+3+3人员考核0 1 3 44安全意识教育和培训2 3+4 45外部人员访问管理1 1 2 3合计7 11 16 18 安全管理要求-人员安全管理 人员安全管理是指加强人员的安全管理。规范人员录用、离岗过程，关键岗位签署保密协议，对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训，对关键岗位的人员进行全面、严格的安全审查和技能考核。对外部人员允许访问的区域、系统、设备、信息等进行控制 安全管理要求-人员安全
19、管理序号 安全关注点 一级 二级 三级 四级1人员录用2 3+4+42人员离岗2 3 3+3+3人员考核0 1 3 44安全意识教育和培训2 3+4 45外部人员访问管理1 1 2 3合计7 11 16 18 安全管理要求-系统建设安全管理 系统建设管理是指加强系统建设过程的管理。制定系统建设相关的管理制度，明确系统定级备案、方案设计、产品采购使用、软件开发、工程实施、验收交付、等级测评、安全服务等内容的管理责任部门、具体管理内容和控制方法，并按照管理制度落实各项管理措施 安全管理要求-系统建设安全管理序号 安全关注点 一级 二级 三级 四级1系统定级3 3 4 42安全方案设计3 4 5 5
20、3产品采购1 3 4 54自行软件开发2 3 5 65外包软件开发3 4 4 46工程实施1 2 3+47测试验收2 3 4+48系统交付2 3 5 59系统备案0 0 3 310安全测评0 0 4 4+11安全服务商选择2 3 3 3合计20 28 45 48 安全管理要求-系统运维安全管理 系统运维管理是指加强系统运维过程的管理。制定系统运维相关的管理制度，明确环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等内容的管理责任部门、具体管理内容和控制方法，并按照管理制度落实各项管理措
21、施 安全管理要求-系统运维安全管理序号 安全关注点 一级 二级 三级 四级1环境管理3 4 4 52资产管理1 2 4 43介质管理2 4 6+6+4设备管理2 4 5 55安全管理中心0 0 3 36网络安全管理2 6 8 97系统安全管理3 6 7 88恶意代码防范1 3 4 49密码管理0 1 1+110变更管理0 2 4 511备份与恢复管理2 3 5 612安全事件处置2 4 6 813应急预案管理0 2 5 6合计18 41 62 70 Telematics的产业链（以车厂为主）feefeefeefeeContentsContentsCRM DataMonthly Subscrip
22、tionMobility ServicesWireless ConnectionsConnection FeeTelematics Services内容采集商 内容整合商 终端厂商通信运营商Telematics 服务提供商汽车厂商客户Telematics发展信息系统安全等级保护基本要求使用介绍公安部信息安全等级保护评估中心马力 目录 使用时机和主要作用 保护要求分级描述的主要思想 各级系统保护的主要内容 一、使用时机和主要作用 管理办法”等级划分和保护“第八条 信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。管理办
23、法”等级保护的实施与管理“第十二条 在信息系统建设过程中，运营、使用单位应当按照计算机信息系统安全保护等级划分准则（GB17859-1999）、信息系统安全等级保护基本要求等技术标准，参照等技术标准同步建设符合该等级要求的信息安全设施。管理办法”等级保护的实施与管理“第十三条 运营、使用单位应当参照信息安全技术信息系统安全管理要求（GB/T20269-2006）、信息安全技术信息系统安全工程管理要求（GB/T20282-2006）、信息系统安全等级保护基本要求等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。管理办法”等级保护的实施与管理“第十四条 信息系统建设完成后，运营、使用
24、单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据信息系统安全等级保护测评要求等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。管理办法”等级保护的实施与管理“第十四条 信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查，第四级信息系统应当每半年至少进行一次自查，第五级信息系统应当依据特殊安全需求进行自查。管理办法”等级保护的实施与管理“第十四条 经测评或者自
25、查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位应当制定方案进行整改。技术标准和管理规范的作用技术标准和管理规范信息系统定级信息系统安全建设或改建安全状况达到等级保护要求的信息系统 涉及的管理规范和技术标准 信息安全等级保护管理办法公通字200743号 计算机信息系统安全保护等级划分准则（GB17859-1999）信息安全等级保护实施指南 信息安全等级保护定级指南 信息安全等级保护基本要求 信息安全等级保护测评要求 信息安全技术 网络基础安全技术要求（GB/T20270-2006）信息安全技术 信息系统通用安全技术要求GB/T20271-2006）信息安全技术 操作系统安全技术要求
26、（GB/T20272-2006）信息安全技术 数据库管理系统安全技术要求（GB/T20273-2006）涉及的管理规范和技术标准 信息安全技术 信息系统安全管理要求（GB/T20269-2006）信息安全技术 信息系统安全工程管理要求（GB/T20282-2006）信息安全技术 信息系统安全工程管理要求（GB/T20282-2006）整体要求的管理规范和技术标准 信息安全等级保护管理办法 计算机信息系统安全保护等级划分准则（GB17859-1999）信息系统安全等级保护实施指南 信息系统安全保护等级定级指南 信息系统安全等级保护基本要求 信息系统安全等级保护测评要求 等等 基本要求的作用信息系
27、统安全等级保护基本要求运营、使用单位（安全服务商）主管部门（等级测评机构）安全保护 测评检查 基本要求的定位 是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线；每个级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态;是每个级别信息系统进行安全保护工作的一个基本出发点，更加贴切的保护可以通过需求分析对基本要求进行补充，参考其他有关等级保护或安全方面的标准来实现;基本要求的定位某级信息系统 基本保护 精确保护基本要求保护基本要求测评补充的安全措施GB17859-1999通用技术要求安全管理
28、要求高级别的基本要求等级保护其他标准安全方面相关标准等等基本保护特殊需求补充措施二、保护要求分级描述的主要思想 基本要求基本思路不同级别信息系统重要程度不同应对不同威胁的能力(威胁弱点)具有不同的安全保护能力不同的基本要求 不同级别的安全保护能力要求 第一级安全保护能力 应能够防护系统免受来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。第二级安全保护能力 应能够防护系统免受来自外部小型组织的（如自发的三两人组成
29、的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。不同级别的安全保护能力要求 第三级安全保护能力 应能够在统一安全策略下防护系统免受来自外部有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广等）以及其他相当
30、危害程度的威胁（内部人员的恶意威胁、无意失误、较严重的技术故障等）所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。第四级安全保护能力 应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无意失误、严重的技术故障等）所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。各个要素之间的关系安全保护能力基本安全要求每个等级的信息系统基本技术措施 基本管理措施具备包含 包含
31、满足 满足实现 基本要求核心思路某级系统技术要求 管理要求基本要求建立安全技术体系建立安全管理体系具有某级安全保护能力的系统 各级系统的保护要求差异（宏观）安全保护模型PPDRR Protection防护 Policy Detection 策略 检测 Response 响应 Recovery恢复 各级系统的保护要求差异（宏观）一级系统二级系统三级系统四级系统防护防护/监测策略/防护/监测/恢复策略/防护/监测/恢复/响应 各级系统的保护要求差异（宏观）成功的完成业务信息保障人技术操作防御网络与基础设施防御飞地边界防御计算环境支 撑性 基础 设施安全保护模型IATF 各级系统的保护要求差异（宏观
32、）一级系统二级系统三级系统四级系统通信/边界（基本）通信/边界/内部（关键设备）通信/边界/内部（主要设备）通信/边界/内部/基础设施（所有设备）各级系统的保护要求差异（宏观）一级系统二级系统三级系统四级系统计划和跟踪（主要制度）计划和跟踪（主要制度）良好定义（管理活动制度化）持续改进（管理活动制度化/及时改进）各级系统的保护要求差异（微观）某级系统物理安全技术要求 管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理三、各级系统保护的主要内容 各级系统的安全保护的核心某级系统技术要求 管理要求基本要求建立安全技术体系建立安全管理体系具有
33、某级安全保护能力的系统 基本要求的主要内容 由9个章节2个附录构成 1.适用范围 2.规范性引用文件 3术语定义 4.等级保护概述 5.6.7.8.9基本要求附录A 关于信息系统整体安全保护能力的要求附录B 基本安全要求的选择和使用 基本要求的组织方式某级系统类技术要求 管理要求基本要求类控制点具体要求控制点具体要求 基本要求-组织方式某级系统物理安全技术要求 管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理 基本要求-组织方式物理位置选择物理安全(四级)物理访问控制防盗窃和防破坏防雷击防火防水和防潮温湿度控制电力供应电磁防护 基本要
34、求-组织方式结构安全和网段划分网络安全(四级)网络访问控制拨号访问控制网络安全审计边界完整性检查网络入侵检测恶意代码防护网络设备防护 基本要求-组织方式身份鉴别主机系统安全(四级)自主访问控制强制访问控制可信路径安全审计剩余信息保护入侵防范恶意代码防范系统资源控制系统自我保护 基本要求-组织方式身份鉴别应用安全(四级)访问控制通信完整性通信保密性安全审计剩余信息保护抗抵赖软件容错资源控制代码安全 基本要求-组织方式数据完整性数据安全(四级)数据保密性 安全备份 基本要求-组织方式岗位设置安全管理机构(四级)人员配备授权和审批沟通与合作审核和检查 基本要求-组织方式管理制度安全管理制度(四级)制
35、订和发布 评审和修订 基本要求-组织方式人员录用人员安全管理(四级)人员离岗人员考核安全意识教育和培训第三方人员访问管理 基本要求-组织方式系统定级系统建设管理(四级)安全风险评估安全方案设计产品采购自行软件开发外包软件开发工程实施测试验收系统交付安全服务商选择系统备案 基本要求-组织方式环境管理系统运维管理(四级)资产管理设备管理介质管理运行维护和监控管理网络安全管理系统安全管理恶意代码防范管理变更管理密码管理系统备案备份和恢复管理安全事件处置应急计划管理 基本要求标注方式 基本要求技术要求管理要求 要求标注业务信息安全类要求（标记为S类）系统服务保证类要求（标记为A类）通用安全保护类要求（
36、标记为G类）三类要求之间的关系通用安全保护类要求（G）业务信息安全类（S）系统服务保证类（A安全要求 基本要求的选择和使用 一个3级系统,定级结果为S3A2，保护类型应该是S3A2G3 第1步:选择标准中3级基本要求的技术要求和管理要求;第2步:要求中标注为S类和G类的不变;标注为A类的要求可以选用2级基本要求中的A类作为基本要求;安全保护和系统定级的关系安全等级 信息系统保护要求的组合第一级 S1A1G1第二级 S1A2G2，S2A2G2，S2A1G2第三级 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级 S1A4G4，S2A4G4，S3A4G4，S4A4G4，S
37、4A3G4，S4A2G4，S4A1G4 定级指南要求按照“业务信息”和“系统服务”的需求确定整个系统的安全保护等级 定级过程反映了信息系统的保护要求 不同级别系统控制点的差异安全要求类层面 一级 二级 三级 四级技术要求物理安全 7 10 10 10网络安全 3 6 7 7主机安全 4 6 7 9应用安全 4 7 9 11数据安全及备份恢复2 3 3 3管理要求安全管理制度2 3 3 3安全管理机构4 5 5 5人员安全管理4 5 5 5系统建设管理9 9 11 11系统运维管理9 12 13 13合计/48 66 73 77级差/18 7 4 不同级别系统要求项的差异安全要求类 层面 一级
38、二级 三级 四级技术要求 物理安全 9 19 32 33网络安全 9 18 33 32主机安全 6 19 32 36应用安全 7 19 31 36数据安全及备份恢复2 4 8 11管理要求 安全管理制度 3 7 11 14安全管理机构 4 9 20 20人员安全管理 7 11 16 18系统建设管理 20 28 45 48系统运维管理 18 41 62 70合计/85 175 290 318级差/90 115 28 各级系统安全保护要求-物理安全 物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。具体包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防
39、雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等十个控制点。各级系统安全保护要求-物理安全控制点 一级 二级 三级 四级物理位置的选择*物理访问控制*防盗窃和防破坏*防雷击*防火*防水和防潮*防静电*温湿度控制*电力供应*电磁防护*合计 7 10 10 10 各级系统安全保护要求-物理安全 一级物理安全要求：主要要求对物理环境进行基本的防护，对出入进行基本控制，环境安全能够对自然威胁进行基本的防护，电力则要求提供供电电压的正常。二级物理安全要求：对物理安全进行了进一步的防护，不仅对出入进行基本的控制，对进入后的活动也要进行控制；物理环境方面，则加强了各方面的防护，采取更细的要求
40、来多方面进行防护。三级物理安全要求：对出入加强了控制，做到人、电子设备共同监控；物理环境方面，进一步采取各种控制措施来进行防护。如，防火要求，不仅要求自动消防系统，而且要求区域隔离防火，建筑材料防火等方面，将防火的范围增大，从而使火灾发生的几率和损失降低。四级物理安全要求：对机房出入的要求进一步增强，要求多道电子设备监控；物理环境方面，要求采用一定的防护设备进行防护，如静电消除装置等。各级系统安全保护要求-网络安全 网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等。具体的控制点包括：结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制
41、点。各级系统安全保护要求-网络安全控制点 一级 二级 三级 四级结构安全*访问控制*安全审计*边界完整性检查*入侵防范*恶意代码防范*网络设备防护*合计 3 6 7 7 各级系统安全保护要求-网络安全 一级网络安全要求：主要提供网络安全运行的基本保障，包括网络结构能够基本满足业务运行需要，网络边界处对进出的数据包头进行基本过滤等访问控制措施。二级网络安全要求：不仅要满足网络安全运行的基本保障，同时还要考虑网络处理能力要满足业务极限时的需要。对网络边界的访问控制粒度进一步增强。同时，加强了网络边界的防护，增加了安全审计、边界完整性检查、入侵防范等控制点。对网络设备的防护不仅局限于简单的身份鉴别，
42、同时对标识和鉴别信息都有了相应的要求。三级网络安全要求：对网络处理能力增加了“优先级”考虑，保证重要主机能够在网络拥堵时仍能够正常运行；网络边界的访问控制扩展到应用层，网络边界的其他防护措施进一步增强，不仅能够被动的“防”，还应能够主动发出一些动作，如报警、阻断等。网络设备的防护手段要求两种身份鉴别技术综合使用。四级网络安全要求：对网络边界的访问控制做出了更为严格的要求，禁止远程拨号访问，不允许数据带通用协议通过；边界的其他防护措施也加强了要求。网络安全审计着眼于全局，做到集中审计分析，以便得到更多的综合信息。网络设备的防护，在身份鉴别手段上除要求两种技术外，其中一种鉴别技术必须是不可伪造的，
43、进一步加强了对网络设备的防护。各级系统安全保护要求-主机安全 主机系统安全是包括服务器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的安全。终端/工作站是带外设的台式机与笔记本计算机，服务器则包括应用程序、网络、web、文件与通信等服务器。主机系统是构成信息系统的主要部分，其上承载着各种应用。因此，主机系统安全是保护信息系统安全的中坚力量。主机系统安全涉及的控制点包括：身份鉴别、安全标记、访问控制、可信路径、安全审计、剩余信息保护、入侵防范、恶意代码防范和资源控制等九个控制点。各级系统安全保护要求-主机安全控制点 一级 二级 三级 四级身份鉴别*安全标记*访问控制*可信路径*安全审
44、计*剩余信息保护*入侵防范*恶意代码防范*资源控制*合计 4 6 7 9 各级系统安全保护要求-主机安全 一级主机系统安全要求：对主机进行基本的防护，要求主机做到简单的身份鉴别，粗粒度的访问控制以及重要主机能够进行恶意代码防范。二级主机系统安全要求：在控制点上增加了安全审计和资源控制等。同时，对身份鉴别和访问控制都进一步加强，鉴别的标识、信息等都提出了具体的要求；访问控制的粒度进行了细化等，恶意代码增加了统一管理等。三级主机系统安全要求：在控制点上增加了剩余信息保护，即，访问控制增加了设置敏感标记等，力度变强。同样，身份鉴别的力度进一步增强，要求两种以上鉴别技术同时使用。安全审计已不满足于对安
45、全事件的记录，而要进行分析、生成报表。对恶意代码的防范综合考虑网络上的防范措施，做到二者相互补充。对资源控制的增加了对服务器的监视和最小服务水平的监测和报警等。四级主机系统安全要求：在控制点上增加了安全标记和可信路径，其他控制点在强度上也分别增强，如，身份鉴别要求使用不可伪造的鉴别技术，访问控制要求部分按照强制访问控制的力度实现，安全审计能够做到统一集中审计等。各级系统安全保护要求-应用安全 通过网络、主机系统的安全防护，最终应用安全成为信息系统整体防御的最后一道防线。在应用层面运行着信息系统的基于网络的应用以及特定业务应用。基于网络的应用是形成其他应用的基础，包括消息发送、web浏览等，可以
46、说是基本的应用。业务应用采纳基本应用的功能以满足特定业务的要求，如电子商务、电子政务等。由于各种基本应用最终是为业务应用服务的，因此对应用系统的安全保护最终就是如何保护系统的各种业务应用程序安全运行。应用安全主要涉及的安全控制点包括：身份鉴别、安全标记、访问控制、可信路径、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等十一个控制点。各级系统安全保护要求-应用安全控制点 一级 二级 三级 四级身份鉴别*安全标记*访问控制*可信路经*安全审计*剩余信息保护*通信完整性*通信保密性*抗抵赖*软件容错*资源控制*合计 4 7 9 11 各级系统安全保护要求-应用安全 一级
47、应用安全要求：对应用进行基本的防护，要求做到简单的身份鉴别，粗粒度的访问控制以及数据有效性检验等基本防护。二级应用安全要求：在控制点上增加了安全审计、通信保密性和资源控制等。同时，对身份鉴别和访问控制都进一步加强，鉴别的标识、信息等都提出了具体的要求。访问控制的粒度进行了细化，对通信过程的完整性保护提出了特定的校验码技术。应用软件自身的安全要求进一步增强，软件容错能力增强。三级应用安全要求：在控制点上增加了剩余信息保护和抗抵赖等。同时，身份鉴别的力度进一步增强，要求组合鉴别技术，访问控制增加了敏感标记功能，安全审计已不满足于对安全事件的记录，而要进行分析等。对通信过程的完整性保护提出了特定的密
48、码技术。应用软件自身的安全要求进一步增强，软件容错能力增强，增加了自动保护功能。四级应用安全要求：在控制点上增加了安全标记和可信路径等。部分控制点在强度上进一步增强，如，身份鉴别要求使用不可伪造的鉴别技术，安全审计能够做到统一安全策略提供集中审计接口等，软件应具有自动恢复的能力等。各级系统安全保护要求-数据安全及备份恢复 信息系统处理的各种数据（用户数据、系统数据、业务数据等）在维持系统正常运行上起着至关重要的作用。一旦数据遭到破坏（泄漏、修改、毁坏），都会在不同程度上造成影响，从而危害到系统的正常运行。由于信息系统的各个层面（网络、主机、应用等）都对各类数据进行传输、存储和处理等，因此，对数
49、据的保护需要物理环境、网络、数据库和操作系统、应用程序等提供支持。各个“关口”把好了，数据本身再具有一些防御和修复手段，必然将对数据造成的损害降至最小。另外，数据备份也是防止数据被破坏后无法恢复的重要手段，而硬件备份等更是保证系统可用的重要内容，在高级别的信息系统中采用异地适时备份会有效的防治灾难发生时可能造成的系统危害。保证数据安全和备份恢复主要从：数据完整性、数据保密性、备份和恢复等三个控制点考虑。各级系统安全保护要求-数据安全及备份恢复控制点 一级 二级 三级 四级数据完整性*数据保密性*备份和恢复*合计 2 3 3 3 各级系统安全保护要求-数据安全及备份恢复 一级数据安全及备份恢复要
50、求：对数据完整性用户数据在传输过程提出要求，能够检测出数据完整性受到破坏；同时能够对重要信息进行备份。二级数据及备份恢复安全要求：对数据完整性的要求增强，范围扩大，要求鉴别信息和重要业务数据在传输过程中都要保证其完整性。对数据保密性要求实现鉴别信息存储保密性，数据备份增强，要求一定的硬件冗余。三级数据及备份恢复安全要求：对数据完整性的要求增强，范围扩大，增加了系统管理数据的传输完整性，不仅能够检测出数据受到破坏，并能进行恢复。对数据保密性要求范围扩大到实现系统管理数据、鉴别信息和重要业务数据的传输和存储的保密性，数据的备份不仅要求本地完全数据备份，还要求异地备份和冗余网络拓扑。四级数据及备份恢