信息安全等級保護(hù)操作指南和操作流程(共31頁)

1、精選優(yōu)質(zhì)文檔-傾情為你奉上信息安全等級保護(hù)操作流程1 信息系統(tǒng)定級1.1 定級工作實(shí)施范圍“關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知”對于重要信息系統(tǒng)的范圍規(guī)定如下：（一）電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)，經(jīng)營性公眾互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、數(shù)據(jù)中心等單位的重要信息系統(tǒng)。（二）鐵路、銀行、海關(guān)、稅務(wù)、民航、電力、證券、保險、外交、科技、發(fā)展改革、國防科技、公安、人事勞動和社會保障、財(cái)政、審計(jì)、商務(wù)、水利、國土資源、能源、交通、文化、教育、統(tǒng)計(jì)、工商行政管理、郵政等行業(yè)、部門的生產(chǎn)、調(diào)度、管理、辦公等重要信息系統(tǒng)。（三）市（地）級以上黨政機(jī)關(guān)的重要

2、網(wǎng)站和辦公信息系統(tǒng)。（四）涉及國家秘密的信息系統(tǒng)（以下簡稱“涉密信息系統(tǒng)”）。注：跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護(hù)等級。涉密信息系統(tǒng)的等級確定按照國家保密局的有關(guān)規(guī)定和標(biāo)準(zhǔn)執(zhí)行。1.2 定級依據(jù)標(biāo)準(zhǔn)國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見（中辦發(fā)【2003】27號文件）關(guān)于信息安全等級保護(hù)工作的實(shí)施意見（公通字【2004】66號文件）電子政務(wù)信息系統(tǒng)安全等級保護(hù)實(shí)施指南（試行）（國信辦【2005】25號文件）信息安全等級保護(hù)管理辦法（公通字【2007】43號文件）計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則電子政務(wù)信息安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)定級指

3、南信息系統(tǒng)安全等級保護(hù)基本要求信息系統(tǒng)安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)測評指南1.3 定級工作流程圖1-1 信息系統(tǒng)定級工作流程1.3.1 信息系統(tǒng)調(diào)查信息系統(tǒng)調(diào)查是通過一系列的信息系統(tǒng)情況調(diào)查表對信息系統(tǒng)基本情況進(jìn)行摸底調(diào)查，全面掌握信息系統(tǒng)的數(shù)量、分布、業(yè)務(wù)類型、應(yīng)用、服務(wù)范圍、系統(tǒng)結(jié)構(gòu)、管理組織和管理方式等基本情況。同時，通過信息系統(tǒng)調(diào)查還可以明確信息系統(tǒng)存在的資產(chǎn)價值、威脅等級、風(fēng)險等級以及可能造成的影響客體、影響范圍等基本情況。信息系統(tǒng)調(diào)查結(jié)果將作為信息系統(tǒng)安全等級保護(hù)定級工作的主要依據(jù)，保證定級結(jié)果的客觀、合理和準(zhǔn)確。1.3.1.1 調(diào)查工具表通常，信息系統(tǒng)調(diào)查工具表包括系

4、統(tǒng)資產(chǎn)調(diào)查表、系統(tǒng)應(yīng)用調(diào)查表、和管理信息調(diào)查表等。l 系統(tǒng)資產(chǎn)調(diào)查表用于調(diào)查信息系統(tǒng)的基本情況，主要包括主機(jī)、網(wǎng)絡(luò)設(shè)備、人員、人員、服務(wù)等信息。在調(diào)查過程中，可以得到系統(tǒng)資產(chǎn)的基本信息、主要用途、重要程度、服務(wù)對象等相關(guān)信息。l 系統(tǒng)應(yīng)用調(diào)查表用于明確系統(tǒng)應(yīng)用的基本狀況。明確各個系統(tǒng)應(yīng)用的拓?fù)湫畔ⅰ⑦吔缧畔?、?yīng)用架構(gòu)、數(shù)據(jù)流等基本情況，為確定和分析定級對象提供詳細(xì)信息。l 管理信息調(diào)查表用于明確信息系統(tǒng)的組織結(jié)構(gòu)、隸屬關(guān)系等管理信息。1.3.1.2 調(diào)查方法信息系統(tǒng)調(diào)查的實(shí)施包括信息收集、訪談和核查三個步驟。l 信息收集協(xié)助信息系統(tǒng)使用管理單位完成系統(tǒng)資產(chǎn)調(diào)查表填寫工作，同時收集信息系統(tǒng)所涉及

5、的一系列l(wèi) 訪談l 核查對調(diào)查表中的信息進(jìn)行驗(yàn)證的過程，驗(yàn)證包括檢查和測試等方式。1.3.2 確定定級對象一個單位可能運(yùn)行了比較龐大的信息系統(tǒng)，為了重點(diǎn)保護(hù)重要部分，有效控制信息安全建設(shè)和管理成本，優(yōu)化信息安全資源配置等保護(hù)原則，可將較大的信息系統(tǒng)劃分為若干個較小的、相對獨(dú)立的、具有不同安全保護(hù)等級的定級對象。這樣，可以保證信息系統(tǒng)安全建設(shè)能夠突出重點(diǎn)、兼顧一般。1.3.2.1 基本原則如果信息系統(tǒng)只承載一項(xiàng)業(yè)務(wù)，可以直接為該信息系統(tǒng)確定等級，不必劃分業(yè)務(wù)子系統(tǒng)。如果信息系統(tǒng)承載多項(xiàng)業(yè)務(wù)，應(yīng)根據(jù)各項(xiàng)業(yè)務(wù)的性質(zhì)和特點(diǎn)，將信息系統(tǒng)分成若干業(yè)務(wù)子系統(tǒng)，分別為各業(yè)務(wù)子系統(tǒng)確定安全保護(hù)等級，信息系統(tǒng)的安

6、全保護(hù)等級由各業(yè)務(wù)子系統(tǒng)的最高等級決定。信息系統(tǒng)是進(jìn)行等級確定和等級保護(hù)管理的最終對象。主要劃分原則有：一、 具有唯一確定的安全責(zé)任單位作為定級對象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。如果一個單位的某個下級單位負(fù)責(zé)信息系統(tǒng)安全建設(shè)、運(yùn)行維護(hù)等過程的全部安全責(zé)任，則這個下級單位可以成為信息系統(tǒng)的安全責(zé)任單位；如果一個單位中的不同下級單位分別承擔(dān)信息系統(tǒng)不同方面的安全責(zé)任，則該信息系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級單位共同所屬的單位。二、 具有信息系統(tǒng)的基本要素作為定級對象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備、設(shè)施按照一定的應(yīng)用目標(biāo)和規(guī)則組合而成的有形實(shí)體。應(yīng)避免將某個單一的系統(tǒng)組件，如服務(wù)器、

7、終端、網(wǎng)絡(luò)設(shè)備等作為定級對象。三、 承載單一或相對獨(dú)立的業(yè)務(wù)應(yīng)用定級對象承載“單一”的業(yè)務(wù)應(yīng)用是指該業(yè)務(wù)應(yīng)用的業(yè)務(wù)流程獨(dú)立，且與其他業(yè)務(wù)應(yīng)用沒有數(shù)據(jù)交換，且獨(dú)享所有信息處理設(shè)備。定級對象承載“相對獨(dú)立”的業(yè)務(wù)應(yīng)用是指其業(yè)務(wù)應(yīng)用的主要業(yè)務(wù)流程獨(dú)立，同時與其他業(yè)務(wù)應(yīng)用有少量的數(shù)據(jù)交換，定級對象可能會與其他業(yè)務(wù)應(yīng)用共享一些設(shè)備，尤其是網(wǎng)絡(luò)傳輸設(shè)備。1.3.2.2 信息系統(tǒng)的劃分方法一個組織機(jī)構(gòu)內(nèi)可能運(yùn)行一個或多個信息系統(tǒng)，這些信息系統(tǒng)的安全保護(hù)等級可以是相同的，也可以是不同的。為體現(xiàn)重點(diǎn)保護(hù)重要信息系統(tǒng)安全，有效控制信息安全建設(shè)成本，優(yōu)化信息安全資源配置的等級保護(hù)原則，在進(jìn)行信息系統(tǒng)的劃分時應(yīng)考慮以

8、下幾個方面：一、 相同的管理機(jī)構(gòu)信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)在同一個管理機(jī)構(gòu)的管理控制之下，可以保證遵循相同的安全管理策略。二、 相同的業(yè)務(wù)類型信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的業(yè)務(wù)類型，安全需求相近，可以保證遵循相同的安全策略。三、 相同的物理位置或相似的運(yùn)行環(huán)境信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的物理位置或相似的運(yùn)行環(huán)境意味著系統(tǒng)所面臨的威脅相似，有利于采取統(tǒng)一的安全保護(hù)。1.3.3 定級要素分析通過針對定級對象分別進(jìn)行業(yè)務(wù)信息安全分析和系統(tǒng)服務(wù)安全分析，最終確定信息系統(tǒng)安全等級保護(hù)系統(tǒng)等級。在進(jìn)行業(yè)務(wù)信息安全分析和系統(tǒng)服務(wù)安全分析時，充分考慮行業(yè)特點(diǎn)、業(yè)務(wù)應(yīng)用特點(diǎn)等因素，細(xì)化受侵害客體組成及損

9、害程度判定要素，從而確保信息系統(tǒng)定級的合理準(zhǔn)確。1.3.3.1 定級流程根據(jù)定級流程，在定級要素分析時需對業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級進(jìn)行分析，分析內(nèi)容包括確定受侵害的客體、確定對客體的侵害程度，從而確定相應(yīng)的業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級。最后，綜合業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級得到信息系統(tǒng)安全等級保護(hù)系統(tǒng)等級。1.3.3.2 確定受侵害客體定級對象收到破壞時所侵害的客體包括國家安全、社會秩序、公眾利益及公民、法人和其他組織的合法權(quán)益。l 國家安全n 影響國家政權(quán)穩(wěn)固和國防實(shí)力；n 影響國家統(tǒng)一、民族團(tuán)結(jié)和社會安定；n 影響國家對外活動中的政治、經(jīng)濟(jì)利益；n 影響國家重要的安全

10、保衛(wèi)工作；n 影響國家經(jīng)濟(jì)競爭力和科技實(shí)力；n 其他影響國家安全的事項(xiàng)。l 社會秩序n 影響國家機(jī)關(guān)社會管理和公共服務(wù)的工作秩序；n 影響各種類型的經(jīng)濟(jì)活動秩序；n 影響各行業(yè)的科研、生產(chǎn)秩序；n 影響公眾在法律約束和道德規(guī)范下的正常生活秩序等；n 其他影響社會秩序的事項(xiàng)。l 公共利益n 影響社會成員使用公共設(shè)施；n 影響社會成員獲取公開信息資源；n 影響社會成員接受公共服務(wù)等方面；n 其他影響公共利益的事項(xiàng)。l 公民、法人和其他組織n 由法律確認(rèn)的并受法律保護(hù)的公民、法人和其他組織所享有的一定的社會權(quán)利和利益。確定作為定級對象的信息系統(tǒng)受到破壞后所侵害的客體時，應(yīng)首先判斷是否侵害國家安全，然

11、后判斷是否侵害社會秩序或公眾利益，最后判斷是否侵害公民、法人和其他組織的合法權(quán)益的關(guān)系，從而確定信息和信息系統(tǒng)受到破壞時所侵害的客體。1.3.3.3 確定對客體的損害程度在針對不同的受侵害客體進(jìn)行侵害程度的判斷時，應(yīng)參照以下的判別基準(zhǔn)。l 如果受侵害客體是公民、法人或其他組織的合法權(quán)益，則以本人或本單位的總體利益作為判斷侵害程度的基準(zhǔn)。l 如果受侵害客體是社會秩序、公共利益或國家安全，則應(yīng)以整個行業(yè)或國家的總體利益作為判斷侵害程度的基準(zhǔn)。不同危害后果的三種危害程度危害程度描述如下：l 一般損害工作職能受到局部影響，業(yè)務(wù)能力有所降低但不影響主要功能的執(zhí)行，出現(xiàn)較輕的法律問題，較低的財(cái)產(chǎn)損失，有限

12、的社會不良影響，對其他組織和個人造成較低損害。l 嚴(yán)重?fù)p害工作職能受到嚴(yán)重影響，業(yè)務(wù)能力顯著下降且嚴(yán)重影響主要功能執(zhí)行，出現(xiàn)較嚴(yán)重的法律問題，較高的財(cái)產(chǎn)損失，較大范圍的社會不良影響，對其他組織和個人造成較嚴(yán)重?fù)p害。l 特別嚴(yán)重?fù)p害工作職能受到特別嚴(yán)重影響或喪失行使能力，業(yè)務(wù)能力嚴(yán)重下降且或功能無法執(zhí)行，出現(xiàn)極其嚴(yán)重的法律問題，極高的財(cái)產(chǎn)損失，大范圍的社會不良影響，對其他組織和個人造成非常嚴(yán)重?fù)p害。1.3.3.4 確定定級對象的安全保護(hù)等級在確定完成受侵害客體以及對客體的侵害程度后，依據(jù)表1分別確定業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級。作為定級對象的信息系統(tǒng)的安全保護(hù)等級由業(yè)務(wù)信息安全等級和系統(tǒng)服

13、務(wù)安全等級的較高者決定。表1 定級要素與安全保護(hù)等級的關(guān)系受侵害的客體對客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級1.3.4 編寫定級報告根據(jù)定級過程和定級結(jié)果，編寫初步信息系統(tǒng)定級報告。1.3.5 協(xié)助定級備案在完成初步定級報告后，協(xié)助信息系統(tǒng)管理使用單位進(jìn)行評審與審批，并最終確定定級報告，完成信息系統(tǒng)備案工作。2 等級測試2.1 工作內(nèi)容等級測評是信息安全等級保護(hù)實(shí)施中的一個重要環(huán)節(jié)。等級測評是指具有相關(guān)資質(zhì)的、獨(dú)立的第三方評測服務(wù)機(jī)構(gòu)，對信息系統(tǒng)的等級保護(hù)落實(shí)情況與信息安全等級保

14、護(hù)相關(guān)標(biāo)準(zhǔn)要求之間的符合程度的測試判定。2.2 依據(jù)標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則信息系統(tǒng)安全等級保護(hù)基本要求信息系統(tǒng)安全等級保護(hù)定級指南電子政務(wù)信息安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)測評指南信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求信息安全技術(shù) 服務(wù)器技術(shù)要求信息安全技術(shù) 終端計(jì)算機(jī)系統(tǒng)安全等級技術(shù)要求2.3 等級評測內(nèi)容2.3.1 基本內(nèi)容對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行測試評估，應(yīng)包括兩個方面的內(nèi)容：一是安全控制測評，主要測評信息安全等級保護(hù)要求

15、的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況；二是系統(tǒng)整體測評，主要測評分析信息系統(tǒng)的整體安全性。其中，安全控制測評是信息系統(tǒng)整體安全測評的基礎(chǔ)。對安全控制測評的描述，使用工作單元方式組織。工作單元分為安全技術(shù)測評和安全管理測評兩大類。安全技術(shù)測評包括：物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個層面上的安全控制測評；安全管理測評包括：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個方面的安全控制測評。系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu)，也關(guān)系到信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實(shí)際情況緊密相關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個性。因

16、此，全面地給出系統(tǒng)整體測評要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方法是很困難的。測評人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況，結(jié)合標(biāo)準(zhǔn)要求，確定系統(tǒng)整體測評的具體內(nèi)容，在安全控制測評的基礎(chǔ)上，重點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，測評安全控制間、層面間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱作用以及信息系統(tǒng)整體結(jié)構(gòu)安全性、不同信息系統(tǒng)之間整體安全性等，等級測評基本內(nèi)容如圖1所示。圖1 等級測評基本內(nèi)容2.3.2 等級測評工作單元工作單元是安全測評的基本工作單位，對應(yīng)一組相對獨(dú)立和完整的測評內(nèi)容。工作單元由測評項(xiàng)、測評對象、測評方式、測評實(shí)施和結(jié)果判定組成，如圖2示。圖2 工作單

17、元構(gòu)成測評項(xiàng)描述測評目的和測評內(nèi)容，與信息安全等級保護(hù)要求的基本安全控制要求相一致。測評方式是指測評人員依據(jù)測評目的和測評內(nèi)容應(yīng)選取的、實(shí)施特定測評操作的方式方法，包括三種基本測評方式：訪談、檢查和測試。測評對象是測評實(shí)施過程中涉及到的信息系統(tǒng)的構(gòu)成成分，是客觀存在的人員、文檔、機(jī)制或者設(shè)備等。測評對象是根據(jù)該工作單元中的測評項(xiàng)要求提出的，與測評項(xiàng)的要求相適應(yīng)。一般來說，實(shí)施測評時，面臨的具體測評對象可以是單個人員、文檔、機(jī)制或者設(shè)備等，也可能是由多個人員、文檔、機(jī)制或者設(shè)備等構(gòu)成的集合，它們分別需要使用到某個特定安全控制的功能。測評實(shí)施是工作單元的主要組成部分，它是依據(jù)測評目的，針對具體測評

18、內(nèi)容開發(fā)出來的具體測評執(zhí)行實(shí)施過程要求。測評實(shí)施描述測評過程中涉及到的具體測評方式、內(nèi)容以及需要實(shí)現(xiàn)的和/或應(yīng)該取得的測評結(jié)果。結(jié)果判定描述測評人員執(zhí)行完測評實(shí)施過程，產(chǎn)生各種測評證據(jù)后，如何依據(jù)這些測評證據(jù)來判定被測系統(tǒng)是否滿足測評項(xiàng)要求的方法和原則。在給出整個工作單元的測評結(jié)論前，需要先給出單項(xiàng)測評實(shí)施過程的結(jié)論。一般來說，單項(xiàng)測評實(shí)施過程的結(jié)論判定不是直接的，常常需要測評人員的主觀判斷，通常認(rèn)為取得正確的、關(guān)鍵性證據(jù)，該單項(xiàng)測評實(shí)施過程就得到滿足。某些安全控制可能在多個具體測評對象上實(shí)現(xiàn)（如主機(jī)系統(tǒng)的身份鑒別），在測評時發(fā)現(xiàn)只有部分測評對象上的安全控制滿足要求，它們的結(jié)果判定應(yīng)根據(jù)實(shí)際情

19、況給出。2.4 測評方法主要采用訪談、檢查、測試等方法進(jìn)行等級保護(hù)測評。一、 訪談（ interview）測評人員通過與信息系統(tǒng)相關(guān)人員（個人/群體）進(jìn)行交流、討論等活動，獲取證據(jù)以證明信息系統(tǒng)安全等級保護(hù)措施是否有效的一種方法。使用各類調(diào)查問卷和訪談大綱實(shí)施訪談。二、 檢查（examine）不同于行政執(zhí)法意義上的監(jiān)督檢查，而是指測評人員通過對測評對象進(jìn)行觀察、查驗(yàn)、分析等活動，獲取證據(jù)以證明信息系統(tǒng)安全等級保護(hù)措施是否有效的一種方法?？梢允褂酶鞣N檢查表和相應(yīng)的安全調(diào)查工具實(shí)施檢查。三、 測試（test）測評人員通過對測評對象按照預(yù)定的方法/工具使其產(chǎn)生特定的行為等活動，查看、分析輸出結(jié)果，獲

20、取證據(jù)以證明信息系統(tǒng)安全等級保護(hù)措施是否有效的一種方法。包括功能測試和滲透性測試、系統(tǒng)漏洞掃描等。滲透性測試：等級測評的一個重要內(nèi)容是對測試目標(biāo)進(jìn)行脆弱性分析，探知產(chǎn)品或系統(tǒng)安全脆弱性的存在，其主要目的是確定測試目標(biāo)能夠抵抗具有不同等級攻擊潛能的攻擊者發(fā)起的滲透性攻擊。因此，滲透性測試就是在測試目標(biāo)預(yù)期使用環(huán)境下進(jìn)行的測試，以確定測試目標(biāo)中潛在的脆弱性的可利用程度。系統(tǒng)漏洞掃描：要是利用掃描工具對系統(tǒng)進(jìn)行自動檢查，根據(jù)漏洞庫的描述對系統(tǒng)進(jìn)行模擬攻擊測試，如果系統(tǒng)被成功入侵，說明存在漏洞。主要分為網(wǎng)絡(luò)漏洞掃描和主機(jī)漏洞掃描等方式。2.5 等級測評工作流程一、 測評準(zhǔn)備階段本階段是開展現(xiàn)場測評工作

21、的前提和基礎(chǔ)，是整個等級測評過程有效性的保證。測評準(zhǔn)備工作是否充分直接關(guān)系到現(xiàn)場測評工作能否順利開展。本階段的主要工作是掌握被測方系統(tǒng)的詳細(xì)情況和為實(shí)施現(xiàn)場測評做好方案、文檔及測試工具等方面的準(zhǔn)備。二、 現(xiàn)場實(shí)施階段本階段是開展等級測評工作的關(guān)鍵階段。本階段的主要工作是按照測評方案的總體要求，嚴(yán)格執(zhí)行作業(yè)指導(dǎo)書，分步實(shí)施所有測評項(xiàng)目，包括單項(xiàng)測評和系統(tǒng)整體測評兩個方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。三、 分析與報告編制階段該階段是等級測評工作的最后環(huán)節(jié)，是對被測方系統(tǒng)整體安全保護(hù)能力的綜合評價過程。主要工作是根據(jù)現(xiàn)場測評結(jié)果和測評準(zhǔn)則的有關(guān)要求，通過單項(xiàng)測評結(jié)

22、論判定和系統(tǒng)整體測評分析等方法，分析整個系統(tǒng)的安全保護(hù)現(xiàn)狀與相應(yīng)等級的保護(hù)要求之間的差距，編制測評報告。等級測評基本流程如圖3示。圖3 等級測評基本流程2.6 系統(tǒng)整體測評系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu)，也關(guān)系到信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實(shí)際情況緊密相關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個性。因此，全面地給出系統(tǒng)整體測評要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方法是很困難的。首先測評人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況，結(jié)合標(biāo)準(zhǔn)要求，確定系統(tǒng)整體測評的具體內(nèi)容。其次在安全控制測評的基礎(chǔ)上，重點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，測評安全控制間、層面

23、間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱作用，最后才能得出測評結(jié)論。2.6.1 安全控制間安全測評安全控制間的安全測評主要考慮同一區(qū)域內(nèi)、同一層面上的不同安全控制間存在的功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用。安全功能上的增強(qiáng)和補(bǔ)充可以使兩個不同強(qiáng)度、不同等級的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個低等級安全控制在特定環(huán)境中達(dá)到高等級信息系統(tǒng)的安全要求。安全功能上的削弱會使一個安全控制的引入影響另一個安全控制的功能發(fā)揮或者給其帶來新的脆弱性。例如，某金融機(jī)構(gòu)的核心系統(tǒng)，它的訪問路徑未采用SSL加密設(shè)置，容易導(dǎo)致數(shù)據(jù)被嗅探和非法篡改，但核心系統(tǒng)采用SSL加速器對網(wǎng)絡(luò)上數(shù)據(jù)傳輸進(jìn)行加密，可以有效保護(hù)

24、網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)陌踩?。所以，在進(jìn)行測評綜合判定時，該測評項(xiàng)就可以判為通過。2.6.2 層面間安全測評層面間的安全測評主要考慮同一區(qū)域內(nèi)的不同層面之間存在的功能增強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用。安全功能上的增強(qiáng)和補(bǔ)充可以使兩個不同層面上的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個低等級安全控制在特定環(huán)境中達(dá)到高等級信息系統(tǒng)的安全要求。安全功能上的削弱會使一個層面上的安全控制影響另一個層面安全控制的功能發(fā)揮或者給其帶來新的脆弱性。例如，某金融機(jī)構(gòu)，它的網(wǎng)絡(luò)核心設(shè)備對內(nèi)部的訪問控制存在不足，安全風(fēng)險主要來自內(nèi)部人員的誤用、濫用和惡用，但是它的教育、管理和考核制度都比較完善，對內(nèi)部員工要求也比較嚴(yán)格，所以在一定程

25、度上降低了這種來自內(nèi)部的風(fēng)險，對網(wǎng)絡(luò)訪問控制進(jìn)行了相應(yīng)的補(bǔ)充和增強(qiáng)。2.6.3 區(qū)域間安全測評區(qū)域間的安全測評主要考慮互連互通（包括物理上和邏輯上的互連互通等）的不同區(qū)域之間存在的安全功能增強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用，特別是有數(shù)據(jù)交換的兩個不同區(qū)域。安全功能上的增強(qiáng)和補(bǔ)充可以使兩個不同區(qū)域上的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個低等級安全控制在特定環(huán)境中達(dá)到高等級信息系統(tǒng)的安全要求。安全功能上的削弱會使一個區(qū)域上的安全功能影響另一個區(qū)域安全功能的發(fā)揮或者給其帶來新的脆弱性。例如，某金融機(jī)構(gòu)的核心數(shù)據(jù)機(jī)房位于中心機(jī)房內(nèi)部，它只有一個出入口，該出入口在中心機(jī)房內(nèi)。因此，在中心機(jī)房的出入口上安排24

26、小時專人值守等措施，可以解決核心數(shù)據(jù)機(jī)房區(qū)域上的物理訪問控制等相應(yīng)措施的安全功能，使其達(dá)到該區(qū)域物理安全所要求的安全保護(hù)強(qiáng)度。3 全面認(rèn)識和正確實(shí)施信息安全等級保護(hù)3.1 全面認(rèn)識信息安全等級保護(hù)信息安全等級保護(hù)信息安全等級保護(hù)的各項(xiàng)工作是圍繞對信息系統(tǒng)的安全等級保護(hù)開展的。全面認(rèn)識信息安全等級保護(hù)，需要確立以下基本觀點(diǎn)：1) 整體看，信息安全等級保護(hù)是制度；分開看，信息安全是目的，等級保護(hù)是方法；2) 對信息安全劃分等級是管理的需要；3) 信息安全是圍繞信息系統(tǒng)安全開展的一系列工作的總稱；4) 風(fēng)險等級、需求等級、安全保護(hù)等級、安全技術(shù)等級和安全管理等級是信息系統(tǒng)安全等級保護(hù)對等級劃分的全面

27、反映；5) 安全系統(tǒng)等級與安全技術(shù)等級和安全管理等級既相互關(guān)聯(lián)又各有其不同的含義；6) 安全管理是信息安全的生命線。整體看，“信息安全等級保護(hù)”是制度；分開看，“信息安全是目的，等級保護(hù)是方法”，這一基本認(rèn)識明確定位了信息安全等級保護(hù)的重要位置以及信息安全與等級保護(hù)之間的關(guān)系。用分等級保護(hù)的方法實(shí)現(xiàn)國家信息安全的總體目標(biāo)，既是一項(xiàng)制度，也是一種方法。其基本思想是：重點(diǎn)保護(hù)和適度保護(hù)。進(jìn)一步理解可以包括以下含義：方法是可選的，不是唯一的；但制度一經(jīng)確定就是不可改變的；等級的劃分可以是多種多樣的，但作為要具體執(zhí)行的制度，就應(yīng)有確定的等級劃分；對已經(jīng)確定的等級劃分，如果沒有發(fā)現(xiàn)其不可執(zhí)行的缺陷，就不

28、要輕易改變?！皩π畔踩珓澐值燃壥枪芾淼男枰保@一基本認(rèn)識表明：分等級保護(hù)是從便于管理的角度對實(shí)現(xiàn)信息安全的考慮。其實(shí)，等級化管理是人類社會普遍采用的管理方法。縱觀人類社會活動的各個環(huán)節(jié)，無不存在著按等級管理的情況。就信息安全而言，等級化管理在國際和國內(nèi)也是普遍采用的方法。經(jīng)典的安全標(biāo)準(zhǔn)-TCSEC和最新國際信息安全技術(shù)標(biāo)準(zhǔn)-CC等無不以分等級的方法對信息安全技術(shù)的不同要求進(jìn)行描述，盡管他們各自在描述方法上有所不同（CC沒有對安全功能要求進(jìn)行等級劃分，很大程度上是因?yàn)楦鱾€國家沒有取得共識）。從我國當(dāng)前的實(shí)際情況出發(fā)，采用分等級保護(hù)的方法實(shí)現(xiàn)信息安全，無疑是適用于我國當(dāng)前實(shí)際的一種有效的信息安

29、全管理方法。“信息安全是圍繞信息系統(tǒng)安全開展的一系列工作的總稱”。這一基本認(rèn)識表明：信息安全是指信息系統(tǒng)和信息系統(tǒng)中存儲、傳輸和處理的數(shù)據(jù)信息的安全。一方面“信息安全”是一個具有較廣泛概念的稱謂，是包括從中央到地方、從法律到法規(guī)、從管理到技術(shù)、從系統(tǒng)到產(chǎn)品等，涉及國家有關(guān)機(jī)構(gòu)和部門圍繞對信息的安全保護(hù)所進(jìn)行的所有活動；另一方面“，信息安全”的所有活動則完全是圍繞對信息系統(tǒng)和信息系統(tǒng)中所存儲、傳輸和處理的數(shù)據(jù)信息進(jìn)行安全保護(hù)應(yīng)采取的安全技術(shù)和安全管理措施這一目標(biāo)開展的，并且具體落實(shí)到各個單位和部門的所有信息系統(tǒng)的建設(shè)和運(yùn)行控制的全過程?！帮L(fēng)險等級、需求等級、安全保護(hù)等級、安全技術(shù)和安全管理等級是

30、信息系統(tǒng)安全等級保護(hù)對等級劃分的全面反映”這一基本認(rèn)識表明：圍繞信息系統(tǒng)的安全等級保護(hù)，需要對信息系統(tǒng)的安全風(fēng)險、安全需求、安全保護(hù)、安全技術(shù)和安全管理等各個階段和層面進(jìn)行等級劃分。信息系統(tǒng)的安全風(fēng)險等級是根據(jù)對目標(biāo)信息系統(tǒng)進(jìn)行風(fēng)險分析所確定的風(fēng)險度的表示，66號文件所規(guī)定的5個安全等級，就是建立在對國家各行各業(yè)的信息系統(tǒng)的安全保護(hù)要求進(jìn)行總體風(fēng)險分析的基礎(chǔ)上確定的信息系統(tǒng)的安全風(fēng)險框架，是各有關(guān)單位確定其所屬信息系統(tǒng)的安全風(fēng)險等級的基本依據(jù)；信息系統(tǒng)安全需求等級是根據(jù)目標(biāo)信息系統(tǒng)的安全風(fēng)險等級確定的；信息系統(tǒng)的安全保護(hù)等級是對信息系統(tǒng)安全保護(hù)的總體要求，是確定目標(biāo)信息系統(tǒng)應(yīng)選取何種等級的安全

31、保護(hù)措施（包括安全技術(shù)措施和安全管理措施）的基本依據(jù)，這些安全措施共同確保信息系統(tǒng)安全達(dá)到其安全性目標(biāo)；安全技術(shù)等級和安全管理等級分別從技術(shù)和管理的角度對安全保護(hù)措施的安全性進(jìn)行區(qū)分，為不同安全等級的信息系統(tǒng)進(jìn)行技術(shù)和管理措施的選擇提供支持。“安全系統(tǒng)等級與安全技術(shù)等級和安全管理等級既相互關(guān)聯(lián)又各有其不同的含義”。這一基本認(rèn)識表明：安全技術(shù)等級和安全管理等級與系統(tǒng)安全等級有著十分密切的關(guān)系但兩者并不是等同的關(guān)系。為了貫徹重點(diǎn)保護(hù)和適度保護(hù)的原則，信息系統(tǒng)需要劃分等級，信息安全技術(shù)和信息安全管理同樣需要劃分等級。然而，信息系統(tǒng)的安全等級與安全技術(shù)的安全等級和安全管理的安全等級（以下簡稱“技術(shù)和管

32、理的安全等級”）是兩個既有聯(lián)系又不完全相同的概念。信息系統(tǒng)的安全等級是根據(jù)信息系統(tǒng)的風(fēng)險程度（或者說風(fēng)險等級）確定的，是與信息系統(tǒng)的重要性（或資產(chǎn)價值）及其所處的環(huán)境和條件（或安全威脅）有關(guān)的。而技術(shù)和管理的安全等級則是按安全技術(shù)和安全管理要素的安全性強(qiáng)度劃分并與環(huán)境和條件無關(guān)的。由于信息系統(tǒng)所處環(huán)境和條件的各不相同，信息系統(tǒng)的安全等級劃分難以制定出明確的標(biāo)準(zhǔn)，而技術(shù)和管理的安全等級完全可以根據(jù)其所實(shí)現(xiàn)的安全功能和所采取的安全保證措施制定出明確的劃分標(biāo)準(zhǔn)。到目前為止，所制定的一系列與信息安全等級保護(hù)相關(guān)的標(biāo)準(zhǔn)，其等級的劃分都是以安全要素為單位進(jìn)行劃分的。不同安全要素所實(shí)現(xiàn)的安全功能的安全性強(qiáng)度

33、（也就是安全等級），根據(jù)其所采用的安全機(jī)制的不同和安全保證措施的不同而定。至于劃分為幾個等級和每個安全等級之間的差異，完全是人為確定的。當(dāng)然，這里所說的人為確定并是由哪一個隨意確定的，而是由有關(guān)主管部門組織業(yè)內(nèi)有關(guān)專家，根據(jù)信息安全等級保護(hù)的需要，參考國際和國外的相關(guān)標(biāo)準(zhǔn)，結(jié)合我國安全技術(shù)發(fā)展和信息系統(tǒng)安全等級劃分的具體情況，認(rèn)真研究確定的。這就是我們當(dāng)前所制定的一系列安全技術(shù)和安全管理標(biāo)準(zhǔn)等級劃分的基礎(chǔ)和依據(jù)。對一個具體的信息系統(tǒng)，在選擇采用何種等級的安全技術(shù)和安全管理措施時，需要考慮目標(biāo)信息系統(tǒng)所處的環(huán)境和條件對安全性要求的影響，而并非簡單的按對應(yīng)等級進(jìn)行選擇?！鞍踩芾硎切畔踩纳€

34、”。這一基本認(rèn)識表明：安全管理在信息安全等級保護(hù)制度實(shí)施過程中重要作用。人們通常用“三分技術(shù)，七分管理”來形容管理對技術(shù)的重要性。其實(shí)，用“安全管理是信息安全的生命線”來描述安全管理對信息安全的重要性可能更為貼切。對信息安全等級保護(hù)的管理分為“宏觀管理”和“微觀管理”。宏觀管理是指從國家的政策法規(guī)到設(shè)置各種管理機(jī)構(gòu)等全局性的管理措施微觀管理是指圍繞信息系統(tǒng)的安全等級保護(hù)所實(shí)施的一系具體管理。從宏觀管理看，沒有政策法規(guī)的明確要求，信息安全等級保護(hù)就是依據(jù)空話。從微觀管理看，安全管理貫穿從確定信息系統(tǒng)安全需求到控制信息系統(tǒng)安全運(yùn)行的信息系統(tǒng)整個生命周期的全過程，是信息安全的每一個環(huán)節(jié)實(shí)現(xiàn)的前提和保

35、證。沒有嚴(yán)格的組織管理，無法進(jìn)行信息安全的需求分析，從而無法確定信息安全的等級需求；無法確定信息系統(tǒng)的安全方案；無法確保信息系統(tǒng)安全工程按確定的安全目標(biāo)實(shí)現(xiàn)；無法確保設(shè)計(jì)、實(shí)現(xiàn)的信息安全系統(tǒng)的運(yùn)行達(dá)到所要求的安全目標(biāo)；無法應(yīng)對安全系統(tǒng)運(yùn)行中出現(xiàn)的新情況和新問題?？傊谛畔踩到y(tǒng)生周期的每一個環(huán)節(jié)，沒有嚴(yán)格的符合要求的管理，安全技術(shù)的作用就會打折扣，甚至成為攻擊的弱點(diǎn)和漏洞。技術(shù)是手段，管理是前提和保證目標(biāo)只有一個，那就是信息安全。根據(jù)我國的國情，管理的重要性還體現(xiàn)在領(lǐng)導(dǎo)的重要性。實(shí)踐證明，在我國信息系統(tǒng)建設(shè)階段，單位領(lǐng)導(dǎo)的重視與支持對單位的信息系統(tǒng)建設(shè)和發(fā)展的重要性已經(jīng)成為不爭的事實(shí)。同樣

36、，單位領(lǐng)導(dǎo)，特別是主要領(lǐng)導(dǎo)的重視與支持，對單位信息安全系統(tǒng)建設(shè)和運(yùn)行具有十分重要的作用。3.2 正確實(shí)施信息安全等級保護(hù)正確實(shí)施信息安全等級保護(hù)需要采用以下基本方法：1) 風(fēng)險管理與信息安全等級保護(hù)相結(jié)合是貫穿信息系統(tǒng)整個生命周期的有效措施；2) 構(gòu)建等級化的信息安全保障體系是實(shí)施信息安全等級保護(hù)的正確途徑；3) 按區(qū)域分類、分層、分等級保護(hù)是對信息系統(tǒng)實(shí)施安全等級保護(hù)的有效方法；4) 安全的一致性原理是等級化信息系統(tǒng)安全設(shè)計(jì)的重要思想。在進(jìn)行等級化的信息系統(tǒng)安全設(shè)計(jì)時，首先采用風(fēng)險分析的方法確定安全風(fēng)險程度（等級）和安全需求，然后將這些安全需求轉(zhuǎn)化為相應(yīng)的安全要求，再根據(jù)這些安全要求，確定對

37、應(yīng)的安全技術(shù)和安全管理措施。根據(jù)這些安全技術(shù)和安全管理措施在相關(guān)的安全技術(shù)標(biāo)準(zhǔn)和安全管理標(biāo)準(zhǔn)中的安全級，從而最終確定信息系統(tǒng)的安全等級。由于安全技術(shù)和安全管理標(biāo)準(zhǔn)的等級劃分已經(jīng)充分考慮到信息系統(tǒng)安全等級的劃分，所以從整體上兩者的等級應(yīng)該是基本一致的。但這里并不要求完全對應(yīng)。因?yàn)閺谋举|(zhì)上講，技術(shù)和管理的安全等級的劃分是比較單一的，而信息系統(tǒng)安全等級的劃分是比較復(fù)雜的，而且與信息系統(tǒng)所在的環(huán)境和條件有關(guān)的?？梢詭椭覀兝斫膺@一觀點(diǎn)的一個例子是，美國的NIST系列文檔將信息系統(tǒng)的安全等級劃分為基本級、增強(qiáng)級、強(qiáng)健級三個等級，并通過選取C C中的相應(yīng)安全組件來構(gòu)建所需要的信息安全系統(tǒng)。通過風(fēng)險分析確定安全風(fēng)險等級，威脅針對脆弱性和資產(chǎn)所產(chǎn)生的后果是，在脆弱性和資產(chǎn)確定的情況下，安全風(fēng)險隨威脅的增加而增加；在威脅確定的情況下，安全風(fēng)險隨資產(chǎn)和/或脆弱性的增加而增加；安全需求等級由安全風(fēng)險等級產(chǎn)生，安全目標(biāo)等級由安全需求等級確定，安全目標(biāo)等級通過選擇相應(yīng)安全等級的安全措施（安全技術(shù)措施和安全管理措施）來實(shí)現(xiàn)；安全措施通過對抗威脅、保護(hù)資產(chǎn)和降低脆弱性來減少安全風(fēng)險，使剩余風(fēng)險降低到可接受的范圍，從而達(dá)到對信息系統(tǒng)進(jìn)行安全保護(hù)的目標(biāo)?！皹?gòu)建等級化的信息安全保障體系是實(shí)施信息安全等級保護(hù)的正確途徑”，這一基本方法表明：對信息系統(tǒng)實(shí)施安全等級保護(hù)，需要