信息系統(tǒng)安全等級保護定級報告(實例)

1、信息系統(tǒng)安全等級保護定級報告（起草參考實例）一、 支付通網(wǎng)上支付服務(wù)系統(tǒng)描述（一）該中間業(yè)務(wù)于 *年*月*日由 *省郵政局科技立項，省郵 政信息技術(shù)局自主研發(fā)。 目前該系統(tǒng)由技術(shù)局運行維護部負責運 行維護。 省郵政局是該信息系統(tǒng)業(yè)務(wù)的主管部門， 省郵政局委托 技術(shù)局為該信息系統(tǒng)定級的責任單位。（二）此系統(tǒng)是計算機及其相關(guān)的和配套的設(shè)備、 設(shè)施構(gòu)成 的，是按照一定的應(yīng)用目標和規(guī)則對郵儲金融中間業(yè)務(wù)信息進行 采集、加工、存儲、傳輸、檢索等處理的人機系統(tǒng)。整個網(wǎng)絡(luò)分 為兩部分，（圖略），第一部分為省數(shù)據(jù)中心，第二部分為市局局 域網(wǎng)。在 省 數(shù) 據(jù) 中 心 的 核 心 設(shè) 備 部 署 了 華 為 的

2、S* 三 層 交 換 機，在省數(shù)據(jù)中心的網(wǎng)絡(luò)中配置了兩臺與外部網(wǎng)絡(luò)互聯(lián)的邊界 設(shè)備：天融信 NGFW 4*防* 火墻和 Cisco 2*路由器省數(shù)據(jù)中心網(wǎng)絡(luò)中剩下的一部分就是與下面各個地市的互 聯(lián)。其中主要設(shè)備部署的是整個省數(shù)據(jù)中心網(wǎng)絡(luò)中的所有設(shè) 備系統(tǒng)都按照統(tǒng)一的設(shè)備管理策略， 只能現(xiàn)場配置， 不可遠程撥 號登錄。整個信息系統(tǒng)的網(wǎng)絡(luò)系統(tǒng)邊界設(shè)備可定為 NGFW 4* 與Cisco 2*。 Cisco 2* 外聯(lián)的其它系統(tǒng)都劃分為外部網(wǎng)絡(luò)部分，而NGFW 4* 以內(nèi)的部分包括與各地市互聯(lián)的部分都可歸為中心的 內(nèi)部網(wǎng)絡(luò)，與中間業(yè)務(wù)系統(tǒng)相關(guān)的省數(shù)據(jù)中心網(wǎng)絡(luò)邊界部分和內(nèi) 部網(wǎng)絡(luò)部分都是等級保護定級的

3、范圍和對象。在此次定級過程 中，將各市的網(wǎng)絡(luò)和數(shù)據(jù)中心連同省中心統(tǒng)一作為一個定級對象 加以考慮， 統(tǒng)一進行定級、 備案。 各市的網(wǎng)絡(luò)和數(shù)據(jù)中心還要作 為整個系統(tǒng)的分系統(tǒng)分別進行定級、備案。（三）該支付服務(wù)系統(tǒng)業(yè)務(wù)主要包含：網(wǎng)絡(luò)表夠電、 IC卡購電、 抄表購電等便民繳費服務(wù)。用戶不必受網(wǎng)點營業(yè)時間限制，足 不出戶在線完成各類行業(yè) IC卡的充值及信用卡還款、 手機充值、 游戲點卡、航空客票購買等增值服務(wù)。支付寶賬號充值和訂單 支付服務(wù)。為銀行和銀行卡用戶提供服務(wù)通道，借助支付通平 臺和支付通終端提供的通路，銀行卡用戶可在線辦理銀行卡余 額查詢、轉(zhuǎn)賬等銀行卡業(yè)務(wù)。信息訂閱：針對支付通平臺用戶 提供各

4、類信息訂閱，為用戶提供合作商戶及支付通的各類優(yōu)惠 打折信息訂閱，主要是通過手機短信或彩信、網(wǎng)頁顯示方式推 送給用戶。支付寶賬號充值和訂單支付服務(wù)。后續(xù)還會有諸如 歌華寬帶、速通卡業(yè)務(wù)、各類手機賬單繳費業(yè)務(wù)、賬單支付業(yè) 務(wù)等。涵蓋了網(wǎng)上購物、保險、教育、旅游、交通等行業(yè)的電子商 務(wù)業(yè)務(wù)的網(wǎng)絡(luò)支付服務(wù)。 系統(tǒng)針對業(yè)務(wù)實現(xiàn)的差異分別提供實時 聯(lián)機處理和批量處理兩種方式。 其中： 通過網(wǎng)絡(luò)與第三方機構(gòu)的 連接，均采用約定好的報文格式進行通訊， 業(yè)務(wù)處理流程實時完成。業(yè)務(wù)處理系統(tǒng)以省集中結(jié)構(gòu)模式， 負責各類中間業(yè)務(wù)的業(yè)務(wù) 處理，包括與第三方實時連接、接口協(xié)議轉(zhuǎn)換、非實時批量數(shù)據(jù) 的采集、業(yè)務(wù)處理邏輯的實

5、現(xiàn)、與會計核算系統(tǒng)的連接等。 二、 X 省郵政金融網(wǎng)中間業(yè)務(wù)系統(tǒng)安全保護等級的確定（一）業(yè)務(wù)信息安全保護等級的確定1、業(yè)務(wù)信息描述金融網(wǎng)中間業(yè)務(wù)信息包括：代收費情況信息，繳費公民、法人 和其他組織的的個人（單位）信息，欠費情況，以及代收費的銀行、 電信、燃氣、稅務(wù)、保險等部門的信息等。屬于公民、法人和其他組 織的專有信息。2、業(yè)務(wù)信息受到破壞時所侵害客體的確定 （侵害的客體包括： 1 國家安全， 2 社會秩序和公共利益， 3 公民、法人和其他組織的合 法權(quán)益等共三個客體 ）該業(yè)務(wù)信息遭到破壞后， 所侵害的客體是公民、 法人和其他 組織的合法權(quán)益。侵害的客觀方面（ 客觀方面是指定級對象的具體侵害

6、行為，侵 害形式以及對客體的造成的侵害結(jié)果 ）表現(xiàn)為：一旦信息系統(tǒng)的業(yè) 務(wù)信息遭到入侵、修改、增加、刪除等不明侵害（形式可以包括 丟失、破壞、損壞等） ，會對公民、法人和其他組織的合法權(quán)益 造成影響和損害，可以表現(xiàn)為：影響正常工作的開展，導致業(yè)務(wù) 能力下降，造成不良影響，引起法律糾紛等。3、信息受到破壞后對侵害客體的侵害程度 （ 即上述分析的結(jié) 果的表現(xiàn)程度 ）上述結(jié)果的程度表現(xiàn)為 嚴重損害 ，即工作職能收到 嚴重 影 響，業(yè)務(wù)能力顯著先將，出現(xiàn) 較嚴重 的法律問題， 較大范圍 的不 良影響等。4、確定業(yè)務(wù)信息安全等級查定級指南表 2 知，業(yè)務(wù)信息安全保護等級為第二級。業(yè)務(wù)信息安全被破壞時所侵

7、害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級（二）系統(tǒng)服務(wù)安全保護等級的確定1、系統(tǒng)服務(wù)描述該系統(tǒng)屬于提供第三方支付服務(wù)的系統(tǒng) ，其服務(wù)范圍為全 省范圍內(nèi)的普通公民、法人等。2、系統(tǒng)服務(wù)受到破壞時所侵害客體的確定 該業(yè)務(wù)信息遭到破壞后， 所侵害的客體是公民、 法人和其他 組織的合法權(quán)益， 同時也侵害社會秩序和公共利益但不損害國家 安全?？陀^方面表現(xiàn)得侵害結(jié)果為： 1 可以對公民、法人和其他 組織的合法權(quán)益造成侵害 （影響正常工作的開展， 導致業(yè)務(wù)能力 下降，造成不良影響，引

8、起法律糾紛等） ； 2 可以對社會秩序公 共利益造成侵害 （造成社會不良影響， 引起公共利益的損害等） 根據(jù)定級指南的要求，出現(xiàn)上述兩個侵害客體時，優(yōu)先考慮 社會秩序和公共利益，另外一個不做考慮。3、信息受到破壞后對侵害客體的侵害程度 （ 即上述分析的結(jié)果的表現(xiàn)程度 ）上述結(jié)果的程度表現(xiàn)為： 對社會秩序和公共利益造成 嚴重損害，即會出現(xiàn) 較大范圍 的社會不良影響和 較大程度 的公共利益的 損害等。4、確定系統(tǒng)服務(wù)安全等級查定級指南表 3 知，由于侵害的客體有兩個，侵害的程度也有兩個，則業(yè)務(wù)信息安全保護等級為第二級。系統(tǒng)服務(wù)被破壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五