信息安全等級保護操作指南和操作流程

1、信息安全等級保護操作流程1信息系統(tǒng)定級1.1定級工作實施范圍“關于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知”對于重 要信息系統(tǒng)的范圍規(guī)定如下：（-）電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎信息網(wǎng) 絡，經(jīng)營性公眾互聯(lián)網(wǎng)信息服務單位、互聯(lián)網(wǎng)接入服務單位、數(shù)據(jù)中心等單 位的重要信息系統(tǒng)。（二）鐵路、銀行、海關、稅務、民航、電力、證券、保險、外 交、 科技、發(fā)展改革、國防科技、公安、人事勞動和社會保障、財政、審計、商 務、水利、國土資源、能源、交通、文化、教育、統(tǒng)計、工商行政管理、郵 政等行業(yè)、部門的生產(chǎn)、調(diào)度、管理、辦公等重要信息系統(tǒng)。（三）市（地）級以上黨政機關的重要網(wǎng)站和辦公信息系

2、統(tǒng)。（四）涉及國家秘密的信息系統(tǒng)（以下簡稱“涉密信息系 統(tǒng)”）。注：跨省或者全國統(tǒng)一聯(lián)網(wǎng)運行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安 全保護等級。涉密信息系統(tǒng)的等級確定按照國家保密局的有關規(guī)定和標準 執(zhí)行。1.2定級依據(jù)標準國家信息化領導小組關于加強信息安全保障工作的意見（中辦發(fā)2003 27號文件）關于信息安全等級保護工作的實施意見（公通字【2004 66號文 件）電子政務信息系統(tǒng)安全等級保護實施指南（試行）（國信辦2005 25號文件）信息安全等級保護管理辦法（公通字【2007】43號文件）計算機信息系統(tǒng)安全保護等級劃分準則電子政務信息安全等級保護實施指南信息系統(tǒng)安全等級保護定級指南信息系統(tǒng)安全

3、等級保護基木要求信息系統(tǒng)安全等級保護實施指南 信息系統(tǒng)安全等級保護測評指南1.3定級工作流程網(wǎng)絡拓撲調(diào)杳資產(chǎn)信息調(diào)査服務信息漓査系統(tǒng)邊界洞査,管理機構分析業(yè)務類型分析物理位宜分析運行環(huán)境分析業(yè)務信息分析 系統(tǒng)服務分析綜合分析確定等級編寫定級報吿廠孫助評審審批形戍扇終報告圖信息系統(tǒng)定級工作流程13.1信息系統(tǒng)調(diào)查信息系統(tǒng)調(diào)查是通過一系列的信息系統(tǒng)情況調(diào)查表對信息系統(tǒng)基本情況 進行摸底調(diào)查，全面掌握信息系統(tǒng)的數(shù)量、分布、業(yè)務類型、應用、服務范 圍、系統(tǒng)結構、管理組織和管理方式等基本情況。同時，通過信息系統(tǒng)調(diào)查 還可以明確信息系統(tǒng)存在的資產(chǎn)價值、威脅等級、風險等級以及可能造成的 影響客體、影響范圍等

4、基 本情況。信息系統(tǒng)調(diào)查結果將作為信息系統(tǒng)安全等級保護定級工作的主要依據(jù)，保證定級結果的客觀、合理和準確。通常，信息系統(tǒng)調(diào)查工具表包括系統(tǒng)資產(chǎn)調(diào)查表、系統(tǒng)應用調(diào)查表、和 管理信息調(diào)查表等。系統(tǒng)資產(chǎn)調(diào)査表用于調(diào)查信息系統(tǒng)的基本情況，主要包括主機、網(wǎng)絡設備、人員、人 員、服務等信息。在調(diào)查過程中，可以得到系統(tǒng)資產(chǎn)的基本信息、主要用 途、重要程度、服務對象等相關信息。系統(tǒng)應用調(diào)査表用于明確系統(tǒng)應用的基本狀況。明確各個系統(tǒng)應用的拓撲信息、邊界信 息、應用架構、數(shù)據(jù)流等基本情況，為確定和分析定級對象提供詳細信 息。管理信息調(diào)査表用于明確信息系統(tǒng)的組織結構、隸屬關系等管理信息。1.3.1.2調(diào)査方法信息系

5、統(tǒng)調(diào)查的實施包括信息收集、訪談和核查三個步驟。信息收集協(xié)助信息系統(tǒng)使用管理單位完成系統(tǒng)資產(chǎn)調(diào)查表填寫工作，同時收集信息系統(tǒng)所涉及的一系列訪談核查對調(diào)查表中的信息進行驗證的過程，驗證包括檢查和測試等方式。13.2確定定級對象一個單位可能運行了比較龐大的信息系統(tǒng)，為了重點保護重要部分，有 效控制信息安全建設和管理成本，優(yōu)化信息安全資源配置等保護原則，可將 較大的信息系統(tǒng)劃分為若干個較小的、相對獨立的、具有不同安全保護等級 的定級對象。這樣，可以保證信息系統(tǒng)安全建設能夠突出重點、兼顧一般。1.3.2.1基本原則如果信息系統(tǒng)只承載一項業(yè)務，可以直接為該信息系統(tǒng)確定等級，不必 劃分業(yè)務子系統(tǒng)。如果信息系

6、統(tǒng)承載多項業(yè)務，應根據(jù)各項業(yè)務的性質(zhì)和特點，將信息系 統(tǒng)分成若干業(yè)務子系統(tǒng)，分別為各業(yè)務子系統(tǒng)確定安全保護等級，信息系 統(tǒng)的安全保護等級由各業(yè)務子系統(tǒng)的最高等級決定。信息系統(tǒng)是進行等級 確定和等級保護管理的最終對象。主要劃分原則有：一、具有唯一確定的安全責任單位作為定級對象的信息系統(tǒng)應能夠唯一地確定其安全責任單位。如果一個 單位的某個下級單位負責信息系統(tǒng)安全建設、運行維護等過程的全部安全 責任，則這個下級單位可以成為信息系統(tǒng)的安全責任單位；如果一個單位 中的不同下級單位分別承擔信息系統(tǒng)不同方面的安全責任，則該信息系統(tǒng) 的安全責任單位應是這些下級單位共同所屬的單位。 保證遵循相同的安全策略。三、

7、相同的物理位置或相似的運行環(huán)境信息系統(tǒng)內(nèi)的各業(yè)務子系統(tǒng)具有相同的物理位置或相似的運行環(huán)境意味 著系統(tǒng)所而臨的威脅相似，有利于采取統(tǒng)一的安全保護。13.3定級要素分析通過針對定級對象分別進行業(yè)務信息安全分析和系統(tǒng)服務安全分析，最 終確定信息系統(tǒng)安全等級保護系統(tǒng)等級。在進行業(yè)務信息安全分析和系統(tǒng)服務安全分析時，充分考慮行業(yè)特點、業(yè)務應用特點等因素，細化受侵害客體組成及損害程度判定要素，從而確 保信息系統(tǒng)定級的合理準確。1.3.3.1定級流程根據(jù)定級流程，在定級要素分析時需對業(yè)務信息安全等級和系統(tǒng)服務安 全等級進行分析，分析內(nèi)容包括確定受侵害的客體、確定對客體的侵害程 度，從而確定相應的業(yè)務信息安全

8、等級和系統(tǒng)服務安 全等級。最后，綜合 業(yè)務信息安全等級和系統(tǒng)服務安全等級得到信息系統(tǒng)安全等級保護系統(tǒng)等 級。13.3.2確定受侵害客體定級對象收到破壞時所侵害的客體包括國家安全、社會秩序、公眾利益 及公民、法人和其他組織的合法權益。國家安全影響國家政權穩(wěn)固和國防實力； 影響國家統(tǒng)一、民族團結和社會安定;影響國家對外活動中的政治、經(jīng)濟利益；影響國家重要的安全保衛(wèi)工作；影響國家經(jīng)濟競爭力和科技實力；其他影響國家安全的事項。社會秩序影響國家機關社會管理和公共服務的工作秩序；影響各種類型的經(jīng)濟活動秩序；影響各行業(yè)的科研、生產(chǎn)秩序；影響公眾在法律約束和道德規(guī)范下的正常生活秩序等；其他影響社會秩序的事項。

9、公共利益影響社會成員使用公共設施；影響社會成員獲取公開信息資源；影響社會成員接受公共服務等方面；其他影響公共利益的事項。公民、法人和其他組織由法律確認的并受法律保護的公民、法人和其他組織所享有的一定的社會權利和利益。確定作為定級對象的信息系統(tǒng)受到破壞后所侵害的客體時，應首先判斷 是否侵害國家安全，然后判斷是否侵害社會秩序或公眾利益，最后判斷是 否侵害公民、法人和其他組織的合法權益的關系，從而確定信息和信息系 統(tǒng)受到破壞時所侵害的客體。1.3.3.3確定對客體的損害程度在針對不同的受侵害客體進行侵害程度的判斷時，應參照以下的判別基 準。如果受侵害客體是公民、法人或其他組織的合法權益，則以本人或木

10、 單位的總體利益作為判斷侵害程度的基準。如果受侵害客體是社會秩序、公共利益或國家安全，則應以整 個行業(yè) 或國家的總體利益作為判斷侵害程度的基準。不同危害后果的三種危害程度危害程度描述如下： 一般損害工作職能受到局部影響，業(yè)務能力有所降低但不影響主要功能的執(zhí) 行，出現(xiàn)較輕的法律問題，較低的財產(chǎn)損失，有限的社會不良影響，對 其他組織和個人造成較低損害。嚴重損害工作職能受到嚴重影響，業(yè)務能力顯著下降且嚴重影響主要功能執(zhí) 行，出現(xiàn)較嚴重的法律問題，較高的財產(chǎn)損失，較大范圍的社會不良影響，對其他組織和個人造成較嚴重損害。特別嚴重損害工作職能受到特別嚴重影響或喪失行使能力，業(yè)務能力嚴重下降 且或功能無法執(zhí)

11、行，出現(xiàn)極其嚴重的法律問題，極高的財產(chǎn)損失，大 范圍的社會不良影響，對其他組織和個人造成非常嚴重損害。1.3.3.4確定定級對象的安全保護等級在確定完成受侵害客體以及對客體的侵害程度后，依據(jù)表1分別確定 業(yè)務信息安全等級和系統(tǒng)服務安全等級。作為定級對象的信息系統(tǒng)的安全 保護等級由業(yè)務信息安全等級和系統(tǒng)服務安全等級的較高者決定。表1定級要素與安全保護等級的關系受侵害的客體對客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩療：、公共利益第二級第三級第四級國家安全第三級第四級第五級13.4編寫定級報告根據(jù)定級過程和定級結果，編寫初步信息系統(tǒng)定級報告。1

12、3.5協(xié)助定級備案在完成初步定級報告后，協(xié)助信息系統(tǒng)管理使用單位進行評審與審批， 并最終確定定級報告，完成信息系統(tǒng)備案工作。2等級測試2.作內(nèi)容等級測評是信息安全等級保護實施中的一個重要環(huán)節(jié)。等級測評是指具 有相關資質(zhì)的、獨立的第三方評測服務機構，對信息系統(tǒng)的等級保護落實 情況與信息安全等級保護相關標準要求之間的符合程度的測試判定。2.2依據(jù)標準計算機信息系統(tǒng)安全保護等級劃分準則信息系統(tǒng)安全等級保護基木要求信息系統(tǒng)安全等級保護定級指南電子政務信息安全等級保護實施指南信息系統(tǒng)安全等級保護實施指南信息系統(tǒng)安全等級保護測評指南信息安全技術信息系統(tǒng)通用安全技術要求 信息安全技術網(wǎng)絡基礎安全技術要求信息

13、安全技術操作系統(tǒng)安全技術要求信息安全技術數(shù)據(jù)庫管理系統(tǒng)安全技術要求信息安全技術服務器技術要求信息安全技術終端計算機系統(tǒng)安全等級技術要求2.3等級評測內(nèi)容2.3.1基本內(nèi)容對信息系統(tǒng)安全等級保護狀況進行測試評估，應包括兩個方面的內(nèi)容： 一是安全控制測評，主要測評信息安全等級保護要求的基木安全控制在信 息系統(tǒng)中的實施配置情況；二是系統(tǒng)整體測評，主要測評分析信息系統(tǒng)的 整體安全性。其中，安全控制測評是信息系統(tǒng)整體安全測評的基礎。對安全控制測評的描述，使用工作單元方式組織。工作單元分為安全技 術測評和安全管理測評兩大類。安全技術測評包括：物理安全、網(wǎng)絡安 全、主機系統(tǒng)安全、應用安全和數(shù)據(jù)安全等五個層面

14、上的安全控制測評； 安全管理測評包括：安全管理機構、安全管理制度、人員安全管理、系統(tǒng) 建設管理和系統(tǒng)運維管理等五個方而的安全控制測評。系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓撲、局部結構，也關系到信息系統(tǒng) 的具體安全功能實現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實際情況緊密相 關，內(nèi)容復雜且充滿系統(tǒng)個性。因此，全面地給出系統(tǒng)整體測評要求的完 整內(nèi)容、具體實施方法和明確的結果判定方 法是很困難的。測評人員應根 據(jù)特定信息系統(tǒng)的具體情況，結合標準要求，確定系統(tǒng)整體測評的具體內(nèi) 容，在安全控制測評的基礎上，重點考慮安全控制間、層面間以及區(qū)域間 的相互關聯(lián)關系，測 評安全控制間、層面間和區(qū)域間是否存在安全功能上

15、的增強、補充和削弱作用以及信息系統(tǒng)整體結構安全性、不同信息系統(tǒng)之 間整體安全性等，等級測評基本內(nèi)容如圖2所示。系統(tǒng)整體測評信息系統(tǒng)等級測評安全控制測評安全技術測評安全管理測評安全控制間層面間區(qū)域間選2充殳里箕建管不同信息系統(tǒng)之間整體安全性整體結構安全整體拓撲/局部結構圖1等級測評基本內(nèi)容232等級測評工作單元工作單元是安全測評的基木工作單位，對應一組相對獨立和完整的測評 內(nèi)容。工作單元由測評項、測評對象、測評方式、測評實施和結果判定組成， 如圖2示。工作單元廠一I測評項IS具體技術和管理要或IJ_丿J丿C' ,、 “ 、測評方式 訪談應查t試_Ie-Beee-eeeeeeeBee-Be

16、eeIBeeeB-Be測評對象J人員戊檔燦制/沒備i J測評實施 r. 測評方式對參÷接作 '丿 結果判定 是否符合測評項要求丿i 川I i.1“丿圖2工作單元構成測評項描述測評目的和測評內(nèi)容，與信息安全等級保護要求的基木安全 控制要求相一致。測評方式是指測評人員依據(jù)測評目的和測評內(nèi)容應選取的、實施特定測 評操作的方式方法，包插三種基木測評方式：訪談、檢查和測試。測評對象是測評實施過程中涉及到的信息系統(tǒng)的構成成分，是客觀存在 的人員、文檔、機制或者設備等。測評對象是根據(jù)該工作單元中的測評項要 求提出的，與測評項的要求相適應。一般來說，實施測評時，面臨的具體測 評對象可以是單個

17、人員、文檔、機制或者設備等，也可能是由多個人員、文 檔、機制或者設備等構成的集合，它們分別需要使用到某個特定安全控制的不同于行政執(zhí)法意義上的監(jiān)督檢查，而是指測評人員通過對測評對象進 行觀察、查驗、分析等活動，獲取證據(jù)以證明信息系統(tǒng)安全等級保護措施是 否有效的一種方法。可以使用各種檢查表和相應的安全調(diào)查工具實施檢查。三、測試(test)測評人員通過對測評對象按照預定的方法/工具使其產(chǎn)生特定的行為等 活動，查看、分析輸出結果，獲取證據(jù)以證明信息系統(tǒng)安全等級保護措施 是否有效的一種方法。包括功能測試和滲透性測試、系統(tǒng)漏洞掃描等。滲透性測試：等級測評的一個重要內(nèi)容是對測試目標進行脆弱性分 析，探知產(chǎn)品

18、或系統(tǒng)安全脆弱性的存在，其主要目的是確定測試目標能夠 抵抗具有不同等級攻擊潛能的攻擊者發(fā)起的滲透性攻擊。因此，滲透性測 試就是在測試目標預期使用環(huán)境下進行的測試，以確定測試目標中潛在的 脆弱性的可利用程度。系統(tǒng)漏洞掃描：要是利用掃描工具對系統(tǒng)進行自動檢查，根據(jù)漏洞庫 的描述對系統(tǒng)進行模擬攻擊測試，如果系統(tǒng)被成功入侵，說明存在漏洞。 主要分為網(wǎng)絡漏洞掃描和主機漏洞掃描等方式。2.5等級測評工作流程一、測評準備階段本階段是開展現(xiàn)場測評工作的前提和基礎，是整個等級測評過程有效 性的保證。測評準備工作是否充分直接關系到現(xiàn)場測評工作能 否順利開 展。本階段的主要工作是掌握被測方系統(tǒng)的詳細情況和為實施現(xiàn)場

19、測評做 好方案、文檔及測試工具等方面的準備。二、現(xiàn)場實施階段木階段是開展等級測評工作的關鍵階段。本階段的主要工作是按照測 評方案的總體要求，嚴格執(zhí)行作業(yè)指導書，分步實施所有測評項目，包括 單項測評和系統(tǒng)整體測評兩個方面，以了解系統(tǒng)的真實保護情況，獲取足 夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。三、分析與報告編制階段該階段是等級測評工作的最后環(huán)節(jié)，是對被測方系統(tǒng)整體安全保護能 力的綜合評價過程。主要工作是根據(jù)現(xiàn)場測評結果和測評準貝0的有關 要求，通過單項測評結論判定和系統(tǒng)整體測評分析等方法，分析整個系統(tǒng) 的安全保護現(xiàn)狀與相應等級的保護要求之間的差距，編制測評報告。等級測評基本流程如圖3示。等級側評項Ll

20、啟動溝通與洽談測評準備階段現(xiàn)場實施階段信息收集和分析編制測評方案工具和文檔準備方案確認和資源協(xié)調(diào)現(xiàn)場測評和記錄結果結果確認和資料歸還分析與報告編制階段分析測評結果形成等級評測結論說明：圖中底線框中的活動不是一個獨立的活動或稱，它貫穿尊級測評的各個階段中，需耍戎方配合共同完成等級測評工作圖3等級測評基本流程2.6系統(tǒng)整體測評系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓撲、局部結構，也關系到信息系 統(tǒng)的具體安全功能實現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實際情況緊密 相關，內(nèi)容復雜且充滿系統(tǒng)個性。因此，全面地給出系統(tǒng)整體測評要求的完整內(nèi)容、具體實施方法和明確的結果判定方 法是很困難的。首先測評人員應根據(jù)特定信息

21、系統(tǒng)的具體情況，結合標準要求，確定 系統(tǒng)整體測評的具體內(nèi)容。其次在安全控制測評的基礎上，重點考慮安全 控制間、層面間以及區(qū)域間的相互關聯(lián)關系，測評安全控制間、層面間和 區(qū)域間是否存在安全功能上的增強、補充和削弱 作用，最后才能得出測評 結論。2.6.1安全控制間安全測評安全控制間的安全測評主要考慮同一區(qū)域內(nèi)、同一層而上的不同安全控 制間存在的功能增強、補充或削弱等關聯(lián)作用。安全功能上的增強和補充可 以使兩個不同強度、不同等級的安全控制發(fā)揮更強的綜合效能，可以使單個 低等級安全控制在特定環(huán)境中達到高等級信息系統(tǒng)的安全要求。安全功能 上的削弱會使一個安全控制的引入影響另一個安全控制的功能發(fā)揮或者給

22、 其帶來新的脆弱性。例如，某金融機構的核心系統(tǒng)，它的訪問路徑未采用 SSL加密設置，容易導致數(shù)據(jù)被嗅探和非法篡改，但核心系統(tǒng)采用SSL加 速器對網(wǎng)絡上數(shù)據(jù)傳輸進行加密，可以有效保護網(wǎng)絡數(shù)據(jù)傳輸?shù)陌踩?。?以，在進行測評綜合判定時，該測評項就可以判為通過。2.6.2層面間安全測評層面間的安全測評主要考慮同一區(qū)域內(nèi)的不同層而之間存在的功能增 強、補充和削弱等關聯(lián)作用。安全功能上的增強和補充可以使兩個不同層面 上的安全控制發(fā)揮更強的綜合效能，可以使單個低等級安全控制在特定環(huán) 境中達到高等級信息系統(tǒng)的安全要求。安全功能上的削弱會使一個層面上 的安全控制影響另一個層而安全控制的功能發(fā)揮或者給其帶來新的脆

23、弱性。 例如，某金融機構，它的網(wǎng)絡核心設備對內(nèi)部的訪問控制存在不足，安全風 險主要來自內(nèi)部人員的誤用、濫用和惡用，但是它的教育、管理和考核制度 都比較完善，對內(nèi)部員工要求也比較嚴格，所以在一定程度上降低了這種來 自內(nèi)部的風險，對網(wǎng)絡訪問控制進行了相應的補充和增強。2.6.3區(qū)域間安全測評區(qū)域間的安全測評主要考慮互連互通（包括物理上和邏輯上的互連互通 等）的不同區(qū)域之間存在的安全功能增強、補充和削弱等關聯(lián)作用，特別是 有數(shù)據(jù)交換的兩個不同區(qū)域。安全功能上的增強和 補充可以使兩個不同區(qū) 域上的安全控制發(fā)揮更強的綜合效能，可以使單個低等級安全控制在特定 環(huán)境中達到高等級信息系統(tǒng)的安全要求。安全功能上

24、的削弱會使一個區(qū)域 上的安全功能影響另一個區(qū)域安全功能的發(fā)揮或者給其帶來新的脆弱性。 例如，某金融機構的核心數(shù)據(jù)機房位于中心機房內(nèi)部，它只有一個出入口, 該出入口在中心機房內(nèi)。因此，在中心機房的出入口上安排24小時專人值 守等措施，可以解決核心數(shù)據(jù)機房區(qū)域上的物理訪問控制等相應措施的安 全功能，使其達到該區(qū)域物理安全所要求的安全保護強度。3全面認識和正確實施信息安全等級保護3.1全面認識信息安全等級保護信息安全等級保護信息安全等級保護的各項工作是圍繞對信息系統(tǒng)的安全等級保護開展的。全面認識信息安全等級保護，需要確立 以下基木觀占八、1）整體看，信息安全等級保護是制度；分開看，信息安全是目的，等

25、級保護是方法；2）對信息安全劃分等級是管理的需要；3）信息安全是圍繞信息系統(tǒng)安全開展的一系列工作的總稱；4）風險等級、需求等級、安全保護等級、安全技術等級和安全管理等級是信息系統(tǒng)安全等級保護對等級劃分的全面反映；5）安全系統(tǒng)等級與安全技術等級和安全管理等級既相互關聯(lián)又各有其不同的含義；6）安全管理是信息安全的生命線。整體看，“信息安全等級保護”是制度；分開看，“信息安全是 目的, 等級保護是方法”，這一基本認識明確定位了信息安全等級保護的重要位 置以及信息安全與等級保護之間的關系。用分等級保護的方法實現(xiàn)國家信 息安全的總體目標，既是一項制度，也是一種方法。其基本思想是：重點保 護和適度保護。進

26、一步理解可以包扌舌以下含義：方法是可選的，不是唯一 的；但制度一經(jīng)確定就是不可改變的；等級的劃分可以是多種多樣的，但作 為要具體執(zhí)行的制度，就應有確定的等級劃分；對已經(jīng)確定的等級劃分，如 果沒有發(fā)現(xiàn)其不可執(zhí)行的缺陷，就不要輕易改變?！皩π畔踩珓澐值燃壥枪芾淼男枰保@一基木認識表明：分等級保 護是從便于管理的角度對實現(xiàn)信息安全的考慮。其實，等級化管理是人類社 會普遍采用的管理方法。縱觀人類社會活動的各個環(huán)節(jié)，無不存在著按等級 管理的情況。就信息安全而言，等級化管理在國際和國內(nèi)也是普遍采用的方 法。經(jīng)典的安全標準-TCSEC和最新國際信息安全技術標準-CC等無不以分 等級的方法對信息安全技術的

27、不同要求進行描述，盡管他們各自在描述方 法上有所不同（CC沒有對安全功能要求進行等級劃分，很大程度上是因為 各個國家沒有取得共識）。從我國當前的實際情況出發(fā)，采用分等級保護的 方法實現(xiàn)信息安全，無疑是適用于我國當前實際的一種有效的信息安全管 理方法。“信息安全是圍繞信息系統(tǒng)安全開展的一系列工作的總稱”。這一基 本認識表明：信息安全是指信息系統(tǒng)和信息系統(tǒng)中存儲、傳輸和處理的數(shù)據(jù) 信息的安全。一方面“信息安全”是一個具有較廣泛概念的稱謂，是包括從 中央到地方、從法律到法規(guī)、從管理到技術、從系統(tǒng)到產(chǎn)品等，涉及國家有 關機構和部門圍繞對信息的安全保護所進行的所有活動；另一方面“，信息 安全”的所有活動

28、則完全是圍繞對信息系統(tǒng)和信息系統(tǒng)中所存儲、傳輸和 處理的數(shù)據(jù)信息進行安全保護應采取的安全技術和安全管理措施這一目標 開展的，并且具體落實到各個單位和部門的所有信息系統(tǒng)的建設和運行控 制的全過程。“風險等級、需求等級、安全保護等級、安全技術和安全管理等級是信 息系統(tǒng)安全等級保護對等級劃分的全而反映”這一基木認識表明：圍繞信 息系統(tǒng)的安全等級保護，需要對信息系統(tǒng)的安全風險、安全需求、安全保護、 安全技術和安全管理等各個階段和層面進行等級劃分。信息系統(tǒng)的安全風 險等級是根據(jù)對目標信息系統(tǒng)進行風險分析所確定的風險度的表示，66號 文件所規(guī)定的5個安全等級，就是建立在對國家各行各業(yè)的信息系統(tǒng)的安 全保護

29、要求進行總體風險分析的基礎上確定的信息系統(tǒng)的安全風險框架， 是各有關單位確定其所屬信息系統(tǒng)的安全風險等級的基木依據(jù)；信息系統(tǒng) 安全需求等級是根據(jù)目標信息系統(tǒng)的安全風險等級確定的；信息系統(tǒng)的安 全保護等級是對信息系統(tǒng)安全保護的總體要求，是確定目標信息系統(tǒng)應選 取何種等級的安全保護措施（包扌舌安全技術措施和安全管理措施）的基本 依據(jù)，這些安全措施共同確保信息系統(tǒng)安全達到其安全性目標；安全技術等 級和安全管理等級分別從技術和管理的角度對安全保護措施的安全性進行 區(qū)分，為不同安全等級的信息系統(tǒng)進行技術和管理措施的選擇提供支持。“安全系統(tǒng)等級與安全技術等級和安全管理等級既相互關聯(lián)又各有其 不同的含義”。

30、這一基本認識表明：安全技術等級和安全管理等級與系統(tǒng)安 全等級有著十分密切的關系但兩者并不是等同的關系。為了貫徹重點保護 和適度保護的原則，信息系統(tǒng)需要劃分等級，信息安全技術和信息安全管理 同樣需要劃分等級。然而，信息系統(tǒng)的安全等級與安全技術的安全等級和安 全管理的安全等級（以下簡稱“技術和管理的安全等級”）是兩個既有聯(lián)系 又不完全相同的概念。信息系統(tǒng)的安全等級是根據(jù)信息系統(tǒng)的風險程度（或 者說風險等級）確定的，是與信息系統(tǒng)的重要性（或資產(chǎn)價值）及其所處 的環(huán)境和條件（或安全威脅）有關的。而技術和管理的安全等級則是按安全 技術和安全管理要素的安全性強度劃分并與環(huán)境和條件無關的。由于信息 系統(tǒng)所處

31、環(huán)境和條件的各不相同，信息系統(tǒng)的安全等級劃分難以制定出明 確的標準，而技術和管理的安全等級完全可以根據(jù)其所實現(xiàn)的安全功能和 所采取的安全保證措施制定出明確的劃分標準。到目前為止，所制定的一系 列與信息安全等級保護相關的標準，其等級的劃分都是以安全要素為單位 進行劃分的。不同安全要素所實現(xiàn)的安全功能的安全性強度（也就是安全等 級），根據(jù)其所采用的安全機制的不同和安全保證措施的不同而定。至于劃 分為幾個等級和每個安全等級之間的差異，完全是人為確定的。當然，這里 所說的人為確定并是由哪一個隨意確定的，而是由有關主管部門組織業(yè)內(nèi) 有關專家，根據(jù)信息安全等級保護的需要，參考國際和國外的相關標準，結 合我

32、國安全技術發(fā)展和信息系統(tǒng)安全等級劃分的具體情況，認真研究確定 的。這就是我們當前所制定的一系列安全技術和安全管理標準等級劃分的 基礎和依據(jù)。對一個具體的信息系統(tǒng)，在選擇采用何種等級的安全技術和安 全管理措施時，需要考慮目標信息系統(tǒng)所處的環(huán)境和條件對安全性要求的 影響，而并非簡單的按對應等級進行選擇。“安全管理是信息安全的生命線”。這一基本認識表明：安全管理在信 息安全等級保護制度實施過程中重要作用。人們通常用'三分技術，七分管 理”來形容管理對技術的重要性。其實，用“安全 管理是信息安全的生命 線”來描述安全管理對信息安全的重要性可能更為貼切。對信息安全等級 保護的管理分為“宏觀管理”

33、和“微 觀管理”。宏觀管理是指從國家的政 策法規(guī)到設置各種管理機構等全局性的管理措施微觀管理是指圍繞信息系 統(tǒng)的安全等級保護所實施的一系具體管理。從宏觀管理看，沒有政策法規(guī)的 明確要求，信息安全等級保護就是依據(jù)空話。從微觀管理看，安全管理貫穿 從確定信息系統(tǒng)安全需求到控制信息系統(tǒng)安全運行的信息系統(tǒng)整個生命周 期的全過程，是信息安全的每一個環(huán)節(jié)實現(xiàn)的前提和保證。沒有嚴格的組織 管理，無法進行信息安全的需求分析，從而無法確定信息安全的等級需求; 無法確定信息系統(tǒng)的安全方案；無法確保信息系統(tǒng)安全工程按確定的安全 目標實現(xiàn)；無法確保設計、實現(xiàn)的信息安全系統(tǒng)的運行達到所要求的安全目 標；無法應對安全系統(tǒng)

34、運行中出現(xiàn)的新情況和新問題。總之，在信息安全系 統(tǒng)生周期的每一個環(huán)節(jié)，沒有嚴格的符合要求的管理，安全技術的作用就會 打折扣，甚至成為攻擊的弱點和漏洞。技術是手段，管理是前提和保證目標 只有一個，那就是信息安全。根據(jù)我國的國情，管理的重要性還體現(xiàn)在領 導的重要性。實踐證明，在我國信息系統(tǒng)建設階段，單位領導的重視與支持 對單位的信息系統(tǒng)建設和發(fā)展的重要性己經(jīng)成為不爭的事實。同樣，單位領 導，特別是主要領導的重視與支持，對單位信息安全系統(tǒng)建設和運行具有十 分重要的作用。3.2正確實施信息安全等級保護正確實施信息安全等級保護需要采用以下基本方法：1）風險管理與信息安全等級保護相結合是貫穿信息系統(tǒng)整個生

35、命周期的有效措施；2）構建等級化的信息安全保障體系是實施信息安全等級保護的正確途徑；3）按區(qū)域分類、分層、分等級保護是對信息系統(tǒng)實施安全等級保護的有效方法；4）安全的一致性原理是等級化信息系統(tǒng)安全設計的重耍思想。在進行等級化的信息系統(tǒng)安全設計時，首先采用風險分析的方法確定安 全風險程度（等級）和安全需求，然后將這些安全需求轉化為相應的安全要 求，再根據(jù)這些安全要求，確定對應的安全技術和安全管理措施。根據(jù)這些 安全技術和安全管理措施在相關的安全技術標準和安全管理標準中的安全 級，從而最終確定信息系統(tǒng)的安全等級。由于安全技術和安全管理標準的等 級劃分己經(jīng)充分考慮到信息系統(tǒng)安全等級的劃分，所以從整體

36、上兩者的等 級應該是基木一致的。但這里并不要求完全對應。因為從木質(zhì)上講，技術和 管理的安全等級的劃分是比較單一的，而信息系統(tǒng)安全等級的劃分是比較 復雜的，而且與信息系統(tǒng)所在的環(huán)境和條件有關的?？梢詭椭覀兝斫膺@ 一觀點的一個例子是，美國的NIST系列文檔將信息系統(tǒng)的安全等級劃分為 基本級、增強級、強健級三個等級，并通過選取CC中的相應安全組件來構 建所需要的信息安全系統(tǒng)。通過風險分析確定安全風險等級，威脅針對脆弱性和資產(chǎn)所產(chǎn)生的后果 是，在脆弱性和資產(chǎn)確定的情況下，安全風險隨威脅的增加而增加；在威脅 確定的情況下，安全風險隨資產(chǎn)和/或脆弱性的增加而增加；安全需求等級 由安全風險等級產(chǎn)生，安全目標等級由安全需求等級確定，安全目標等級通 過選擇相應安全等級的安全措施（安全技術措施和安全管理措施）來實現(xiàn); 安全措施通過對抗威脅、保護資產(chǎn)和降低脆弱性來減少安全風險，使剩余風 險降低到可接受的范圍，從而達到對信息系統(tǒng)進行安全保護的目標?！皹嫿ǖ燃壔男畔踩Ｕ象w系是實施信息安全等級保護的正確途 徑”，這一基本方法表明：對信息系統(tǒng)實施安全等級保護，需要根據(jù)其承載 的各個業(yè)務應用的不同安全需求確定不同的安全保護等級，從而構成等級 化的信息系統(tǒng)安全保障體系。一個大型復雜的信息系統(tǒng)，其所承載的業(yè)務應 用會有各