信息安全等級保護概述(編輯修改稿)

　

【文章內容簡介】 查和分析進行信息系統劃分，確定包括相對獨立的信息系統的個數，選擇合適的信息系統安全等級定級方法，科學、準確地確定每個信息系統的安全等級。 ?通常情況下，系統定級階段包括系統識別和描述、信息系統劃分和安全等級確定等幾個主要活動。 （二）安全規劃設計階段 ?安全規劃設計階段通過安全需求分析判斷信息系統的安全保護現狀與國家等級保護基本要求之間的差距，確定安全需求，然后根據信息系統的劃分情況、信息系統定級情況、信息系統承載業務情況和安全需求等，設計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施規劃等，以指導后續的信息系統安全建設工程的實施。 ?通常情況下，安全規劃設計階段包括安全需求分析、安全總體設計、安全建設規劃等幾個主要活動。 （三）安全實施階段 ?安全實施階段通過安全方案詳細設計、安全產品的采購、安全控制的開發、安全控制集成、機構和人員的配置、安全管理制度的建設、人員的安全技能培訓等環節，將安全規劃設計階段的安全方針和策略，具體落實到信息系統中去，其最終的成果是提交滿足用戶安全需求的信息系統以及配套的安全管理體系。 ?通常情況下，安全實施階段包括安全方案詳細設計、等級保護安全測評、等級保護技術實施和等級保護管理實施等幾個主要活動。安全管理體系的建設應該貫穿信息系統的整個生命周期，涉及等級保護實施過程的各個階段。 （四）安全運行維護階段 ?安全運行維護階段將介紹運行管理和控制、變更管理和控制、安全狀態監控以及安全事件處置和應急預案等過程；通過運行管理和控制、變更管理和控制、對安全狀態進行監控、對發生的安全事件及時響應，確保信息系統正常運行；通過安全檢查和持續改進不斷跟蹤信息系統的變化，并依據變化進行調整，確保信息系統滿足相應等級的安全要求，處于良好安全狀態。安全運行維護階段需要進行的安全控制活動很多，如運行管理和控制、變更管理和控制、安全狀態監控以及安全事件處置和應急預案等。 （五）系統終止階段 ?系統終止階段是對信息系統的過時或無用部分進行報廢處理的過程，主要涉及對信息、設備、存儲介質或整個信息系統的廢棄處理。系統終止階段的主要活動可能包括對信息的轉移、暫存或清除，對設備的遷移或廢棄，對存儲介質的清除或銷毀。系統終止階段遷移或廢棄系統組件時，核心關注點是防止敏感信息泄漏。 四、安全等級保護與信息系統生命周期的關系 ?信息系統生命周期包括五個階段，即啟動準備階段、設計 /開發階段、實施 /實現階段、運行維護階段和系統終止階段。 ?安全等級保護實施活動與信息系統生命周期中的其他活動有著不可分割的關系；同時，安全等級保護實施活動又有自己的特點，安全等級保護工作將貫穿信息系統生命周期的各個階段。 安全等級保護實施的過程與信息系統生命周期的關系 安全等級保護實施的過程與信息系統生命周期的關系 ?安全等級保護的實施分為： ? 新建信息系統安全等級保護的實施 ? 已建信息系統安全等級保護的實施 ?兩者在信息系統生命周期中的切入點是不同的。 新建信息系統安全等級保護的實施 ? 新建信息系統在生命周期中的各個階段應同步考慮安全等級保護實施的主要活動。 ? 在啟動準備階段，應該仔細分析和合理劃分各個信息系統，確定各個信息系統的安全等級，定級過程也可能在設計 /開發階段實施； ? 在設計 /開發階段，應該根據各個信息系統的安全等級，進行安全需求分析，合理規劃設計網絡結構、應用系統、安全保護措施等，確保各個信息系統按照國家等級保護的要求進行規劃設計； ? 在實施 /實現階段，應在系統建設的同時，同步進行安全措施的落實和實現； ? 在運行維護階段，應按照國家等級保護的要求進行安全維護和安全管理； ? 在系統終止階段，應對系統的廢棄過程進行有效安全管理。 已建信息系統安全等級保護的實施 ?已建信息系統通常處于系統運行維護階段，但由于在啟動準備階段、設計 /開發階段和實施 /實現階段可能沒有同步考慮國家等級保護的要求，因此，應在信息系統運行維護階段開始啟動等級保護工作，等級保護實施過程中的系統定級階段、安全規劃設計階段、安全實施階段的主要活動都將在信息系統生命周期的系統運行維護階段完成。 ?由于是已經存在的信息系統，工作的重點應放在系統定級階段如何劃分信息系統并確定安全等級、在安全規劃設計階段如何規劃設計出符合國家等級保護要求的安全改造方案、在安全實施階段如何保證在不影響現有業務應用的情況下使各類安全措施可以順利落實等方面。 第三節 信息系統安全等級確定 ?一、信息系統和業務子系統 ?二、決定信息系統安全保護等級的因素 ?三、確定信息系統安全保護等級的步驟 ?四、信息系統安全保護等級的確定方法 ?五、定級案例分析 第三節 信息系統安全等級確定 ?系統定級是實施等級保護的前提和基礎。信息系統安全等級的確定是否準確直接關系到是否對信息系統采取了足夠的安全保護措施，是否能夠將信息系統遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度降到最低。 ?《 信息系統安全保護等級定級指南 》 中闡述了如何對信息系統的安全級別進行定級，提出了量化流程和方法，各行業信息系統的主管部門可以根據該指南制定適合本行業或部門的具體定級方法和指導意見。 一、信息系統和業務子系統 ?信息系統是基于計算機或計算機網絡，按照一定的應用目標和規則對信息進行采集、加工、存儲、傳輸、檢索和服務的人機系統。 ?業務子系統由信息系統的一部分組件構成，是信息系統中能夠承載某項業務工作的子系統。 ?按照信息系統的定義，典型的信息系統應由計算機硬件設備（包括服務器設備、客戶端設備、打印機及存儲器等外圍設備）、計算機網絡硬件設備（包括交換機、路由器、各種適配器以及通信線路等）、安裝于這些硬件設備上的軟件、所提供的服務以及相關的人員構成。信息系統內的各業務子系統一般有較為緊密的關聯，可能存在共用設備或較為頻繁的數據交換。 ?業務子系統是按照信息系統所承載的業務對信息系統進行劃分所形成的子系統。業務子系統是信息系統中可以為定級要素賦值的最小單元。業務子系統應具有信息系統的全部特點，是由計算機硬件、計算機網絡硬件以及安裝于這些硬件上的軟件、提供的服務以及相關人員構成的一個有形實體，并且承載確定的業務。 ?如果信息系統只承載一項業務，可以直接為該信息系統確定安全等級，不必劃分業務子系統。如果信息系統承載多項業務，應根據各項業務的性質和特點，將信息系統分成若干業務子系統，分別為各業務子系統確定安全保護等級。信息系統的安全保護等級由各業務子系統的最高等級決定。信息系統是進行等級確定和等級保護管理的最終對象。 二、決定信息系統安全保護等級的因素 ?信息系統的安全保護等級應當根據信息系統在國家安全、經濟建設、社會生活中的重要程度決定。從另一個角度看，信息系統重要程度越高，其遭到破壞后對國家安全、經濟建設、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度也越高。 決定信息系統重要性的要素 ? （一）信息系統所屬類型，即信息系統資產的安全利益主體 ? 信息系統所屬類型在較大程度上決定了信息系統受到破壞后對其社會價值的影響程度。根據社會影響高低，典型的信息系統所屬類型、賦值及其社會影響如下表所示。 信息系統所屬類型舉例 賦值 信息系統的社會影響 屬于一般企事業單位處理其內部事務的信息系統。 1 信息系統資產受到破壞會對本單位利益有直接影響。 屬于重要行業、重要領域和國家基礎設施為國計民生、經濟建設等提供重要服務的信息系統，或本身雖屬于一般企事業單位，但為黨政或重要信息系統提供支撐服務的信息系統。 2 信息系統資產受到破壞會對公共利益有直接影響，或對國家安全利益有間接影響。 屬于黨政機關處理國家事務的信息系統。 3 信息系統資產受到破壞會對國家安全利益有直接影響。 決定信息系統重要性的要素 ? （二）信息系統主要處理的業務信息類型 ? 根據信息系統中業務信息保密性、完整性或可用性被破壞后，對國家安全利益、經濟建設、公共利益或單位利益的影響程度，典型的業務信息類型、賦值及其安全影響如下表所示。 業務信息類型舉例 賦值 業務信息的安全影響 可以對外公開發布的信息，或不對外發布的單位內部一般信息。 1 業務信息保密性、完整性或可用性被破壞會對公共利益或本單位經濟利益造成一定損害。 法人和其他組織及公民的專有信息，如內部敏感信息、關鍵技術數據、科技情報、商業秘密等。 2 業務信息保密性、完整性或可用性被破壞會對公共利益或本單位經濟利益造成嚴重損害。 涉及國家安全利益，影響國家經濟建設的信息。 3 業務信息保密性、完整性或可用性被破壞會對國家安全利益和國家經濟建設造成損害。 決定信息系統重要性的要素 ?（三）信息系統服務范圍，包括服務對象和服務網絡覆蓋范圍 ?根據信息系統因完整性和可用性受到破壞，無法提供服務或無法提供有效服務造成的社會影響范圍大小，典型的信息系統服務范圍、賦值和相關影響如下表所示。 信息系統服務范圍舉例 賦值 服務范圍的影響 地區范圍的服務網絡。 1 信息系統因無法提供服務或無法提供有效服務會對局部范圍的資產造成損害。 省級范圍的服務網絡。 2 信息系統因無法提供服務或無法提供有效服務會對較大范圍的資產造成損害。 全國范圍的服務網絡。 3 信息系統因無法提供服務或無法提供有效服務會對全國范圍的資產造成損害。 決定信息系統重要性的要素 ? （四）業務對信息系統的依賴程度 ? 根據信息系統因完整性和可用性受到破壞，無法提供服務或無法提供有效服務對單位完成其業務使命的最大影響程度，典型的業務依賴程度、賦值及相關影響如下表所示。 業務依賴程度舉例 賦值 業務系統影響 業務處理流程的大部分可以通過手工方式或其他方式替代完成，自動化程度低。 1 信息系統無法提供服務或無法提供有效服務對單位完成其業務使命影響較小。 業務處理流程的部分環節可以通過手工方式或其他方式替代完成，自動化程度中。 2 信息系統無法提供服務或無法提供有效服務對單位完成其業務使命影響較大。 業務處理流程完全依賴信息系統，手工方式無法完成，自動化程度高。 3 信息系統無法提供服務或無法提供有效服務使單位無法完成其業務使命。 等級確定的原則 ? 滿足國家管理要求原則 ? 信息系統安全保護等級既不是信息系統安全保障等級，也不是信息系統所能達到的技術能力等級，而是從國家管理的需要出發，從信息系統對國家安全、經濟建設、公共利益等方面的重要性，以及信息或信息系統被破壞后造成危害的嚴重性角度確定的