等級保護相關(guān)標(biāo)準(zhǔn)解讀課件

等級保護相關(guān)標(biāo)準(zhǔn)解讀等級保護相關(guān)標(biāo)準(zhǔn)解讀.c

提綱等級保護背景等保相關(guān)標(biāo)準(zhǔn)中軟華泰公司參與等級保護建設(shè)工作設(shè)計技術(shù)要求的框架和方案安全建設(shè)整改技術(shù)路線提綱一、等級保護背景一、等級保護背景政策和標(biāo)準(zhǔn)國務(wù)院147號文法律政策依據(jù)科學(xué)技術(shù)依據(jù)GB17859－199950多個配套標(biāo)準(zhǔn)中辦國辦27號文四部委66號文件四部委43號文件第一次提出信息系統(tǒng)要實行等級保護，并確定了等級保護的職責(zé)單位----公安部會同有關(guān)部門。要重點保護基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)。等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保障的一項基本制度。等級保護工作的開展必須分步驟、分階段、有計劃的實施。明確了信息安全等級保護制度的基本內(nèi)容。明確了信息安全等級保護制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責(zé)、任務(wù)。政策和標(biāo)準(zhǔn)國務(wù)院147號文法律政策依據(jù)科學(xué)技術(shù)依據(jù)GB1785等級保護的標(biāo)準(zhǔn)體系GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則信息系統(tǒng)安全等級保護定級指南GB/T20269-2006信息系統(tǒng)安全管理要求GB/T20282-2006信息安全技術(shù)信息系統(tǒng)安全工程管理要求GB/T20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T20272-2006信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求GB/T20273-2006信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)通用安全技術(shù)要求GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求GB/T24856-2009信息安全技術(shù)信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求

信息系統(tǒng)安全等級保護實施指南……5等級保護的標(biāo)準(zhǔn)體系GB17859-1999計算機信息系信息系統(tǒng)等級保護分級標(biāo)準(zhǔn)信息系統(tǒng)等級保護分級標(biāo)準(zhǔn)07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全等級保護定級工作,到去年為止定級工作基本上已經(jīng)落實。通過信息系統(tǒng)的定級，國家掌握了重要信息系統(tǒng)在全國范圍內(nèi)的分布、使用情況以及其重要程度。在定級基礎(chǔ)上，應(yīng)開展信息系統(tǒng)安全建設(shè)和整改，達到相應(yīng)等級的安全防護能力。07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全二、等級保護相關(guān)標(biāo)準(zhǔn)解讀二、等級保護相關(guān)標(biāo)準(zhǔn)解讀

需要了解的幾個法規(guī)、政策9幾個與等級保護有關(guān)的標(biāo)志性政策、文件：《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）?！缎畔踩燃壉Ｗo管理辦法》（公通字[2007]43號）《關(guān)于信息安全等級保護工作的實施意見》（公通字[2004]66號）

《中華人民共和國計算機信息系統(tǒng)安全保護條例》（147號令）

需要了解的幾個法規(guī)、政策9幾個與等級保護有關(guān)的標(biāo)志性政策、

幾個重要的技術(shù)標(biāo)準(zhǔn)10《信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》（GB/T24856-2009）《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》（GB17859-1999）國家已出臺約50余個標(biāo)準(zhǔn)，重點需要了解的有：最早提出的基礎(chǔ)性、強制性標(biāo)準(zhǔn)；粒度較粗，是一個指導(dǎo)性標(biāo)準(zhǔn)；強調(diào)基本的技術(shù)和管理要求我們在進行產(chǎn)品開發(fā)、等保系統(tǒng)設(shè)計時的主要依據(jù)：（一個中心三重防御） 幾個重要的技術(shù)標(biāo)準(zhǔn)10《信息系統(tǒng)安全等級保護基本要求》(G11標(biāo)準(zhǔn)間的關(guān)系介紹GB/T22239-2008信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則11標(biāo)準(zhǔn)間的關(guān)系介紹GB/T22239-2008信息系統(tǒng)安《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》12第一級用戶自主保護級第二級系統(tǒng)審計保護級第三級安全標(biāo)記保護級第四級結(jié)構(gòu)化保護級第五級訪問驗證保護級自主訪問控制身份鑒別完整性保護自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標(biāo)記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標(biāo)記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標(biāo)記隱蔽通道分析可信路徑隱蔽通道分析可信路徑可信恢復(fù)《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》12第一級用戶自主?！缎畔⑾到y(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級測評的一個基本“標(biāo)尺”；按照基本要求進行保護后，信息系統(tǒng)具有相應(yīng)等級的基本安全保護能力;針對本系統(tǒng)更具體的保護要求可以參考相關(guān)標(biāo)準(zhǔn)實現(xiàn)。13《信息系統(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術(shù)要求管理要求基本要求網(wǎng)絡(luò)安全主機安全應(yīng)用安全數(shù)據(jù)安全安全管理機構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理14各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術(shù)要求管理要求基本技術(shù)設(shè)計要求的思路《信息系統(tǒng)等級保護安全技術(shù)設(shè)計要求》以信息（應(yīng)用）系統(tǒng)為核心，統(tǒng)籌規(guī)劃強調(diào)安全體系，一個中心支撐下的三重防御體系（計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)）嚴格的訪問控制，操作人員行為控制將網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全綜合考慮技術(shù)設(shè)計要求的思路《信息系統(tǒng)等級保護安全技術(shù)設(shè)計要求》

信息系統(tǒng)等級保護安全技術(shù)設(shè)計框架16安全計算環(huán)境由定級系統(tǒng)中完成信息存儲與處理的計算機系統(tǒng)硬件和系統(tǒng)軟件以及外部設(shè)備及其連接部件組成，也可以是獨立的或移動的計算機系統(tǒng)。安全區(qū)域邊界是定級系統(tǒng)中安全計算環(huán)境的邊界以及安全計算環(huán)境與安全通信網(wǎng)絡(luò)之間實現(xiàn)聯(lián)接功能的部分，對安全計算環(huán)境及進出安全計算環(huán)境的信息進行保護。安全通信網(wǎng)絡(luò)是定級系統(tǒng)中實現(xiàn)安全計算環(huán)境之間信息傳輸功能的部分。安全管理中心是對部署在安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)上的安全策略與機制實施統(tǒng)一管理的設(shè)施。信息系統(tǒng)等級保護安全技術(shù)設(shè)計框架16安全計算環(huán)境由定級系統(tǒng)等級保護核心要求（三級及以上）身份鑒別安全標(biāo)記（保密性級別、完整性級別、范疇）主體（用戶、進程）客體（文件、程序、設(shè)備、網(wǎng)絡(luò)端口等）強制訪問控制自主訪問控制客體重用數(shù)據(jù)完整性審計非授權(quán)用戶“五不” “進不來” “拿不走” “看不懂” “改不了” “賴不掉”等級保護核心要求（三級及以上）身份鑒別非授權(quán)用戶防內(nèi)為主安全標(biāo)記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有抵御來自外部有組織的惡意攻擊能力，和防內(nèi)部人員攻擊的能力，不僅要對安全事件有審計紀錄，還要能追蹤、能響應(yīng)處理，要實現(xiàn)多重保護制度。結(jié)構(gòu)化保護級（四級）要有能抵御來自敵對組織的大規(guī)模攻擊的能力，和防止內(nèi)部人員內(nèi)外勾結(jié)的惡意攻擊的能力。不僅要全面審計違規(guī)行為還要具有及時報警和應(yīng)急處理能力。防內(nèi)為主安全標(biāo)記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有三、我公司參與等級保護建設(shè)情況等級保護相關(guān)標(biāo)準(zhǔn)解讀課件中軟華泰致力于等級保護建設(shè)2008年初，公安部為制訂《信息系統(tǒng)等級保護安全技術(shù)設(shè)計要求》的國家標(biāo)準(zhǔn)，進行等級安全應(yīng)用技術(shù)平臺示范系統(tǒng)搭建工作。我公司在眾多競爭者中脫穎而出，承接了目前最高等級四級系統(tǒng)的建設(shè)任務(wù)，目前已經(jīng)完成項目驗收。國家標(biāo)準(zhǔn)即將出臺；示范系統(tǒng)搭建在公安部第一研究所；我公司還成為等級保護國家標(biāo)準(zhǔn)863課題研究參與單位，目前正在配合國家主管單位參與國家重大支持項目的研究工作。中軟華泰致力于等級保護建設(shè)2008年初，公安部為制訂《信息系二、我公司參與等級保護建設(shè)情況等級保護相關(guān)標(biāo)準(zhǔn)解讀課件等級保護相關(guān)標(biāo)準(zhǔn)解讀課件產(chǎn)品和服務(wù)體系形成了信息系統(tǒng)等級保護建設(shè)和整改的體系結(jié)構(gòu)、技術(shù)框架、解決方案體系相關(guān)安全產(chǎn)品高等級操作系統(tǒng)終端安全防護服務(wù)器安全防護應(yīng)用安全網(wǎng)關(guān)網(wǎng)站防護系統(tǒng)安全管理平臺等產(chǎn)品和服務(wù)體系四、技術(shù)設(shè)計框架和方案等級保護相關(guān)標(biāo)準(zhǔn)解讀課件建設(shè)信息系統(tǒng)的可信計算基（TCB），即為信息系統(tǒng)建立基本的保護環(huán)境，并提供安全保護所要求的附加服務(wù)。下面以三級系統(tǒng)為例，展示在安全管理中心支持下的計算環(huán)境、區(qū)域邊界和通信網(wǎng)絡(luò)三重安全防護結(jié)構(gòu)框架。等級保護相關(guān)標(biāo)準(zhǔn)解讀課件26 等保系統(tǒng)整體架構(gòu)其它定級系統(tǒng)安全接入/隔離設(shè)備計算環(huán)境區(qū)域邊界通信網(wǎng)絡(luò)網(wǎng)站/應(yīng)用服務(wù)器交換設(shè)備用戶終端安全管理中心通信網(wǎng)絡(luò)區(qū)域邊界計算環(huán)境安全管理中心26 等保系統(tǒng)整體架構(gòu)其它定級系統(tǒng)安全接入/隔離設(shè)備計算環(huán)境

保護環(huán)境框架圖

通過在操作系統(tǒng)核心層、系統(tǒng)層設(shè)置以強制訪問控制為主體的系統(tǒng)安全機制，形成了一個嚴密牢固的防護層，通過對用戶行為的控制，可以有效防止非授權(quán)用戶訪問和授權(quán)用戶越權(quán)訪問，確保信息和信息系統(tǒng)的保密性和完整性安全，從而為典型應(yīng)用子系統(tǒng)的正常運行和免遭惡意破壞提供支撐和保障。保護環(huán)境框架圖通過在操作系統(tǒng)核心層、系統(tǒng)層設(shè)置以

保護環(huán)境框架圖

安全保護環(huán)境為應(yīng)用系統(tǒng)（如安全OA系統(tǒng)等）提供安全支撐服務(wù)。通過實施三級安全要求的業(yè)務(wù)應(yīng)用系統(tǒng)，使用安全保護環(huán)境所提供的安全機制，為應(yīng)用提供符合三級要求的安全功能支持和安全服務(wù)。保護環(huán)境框架圖安全保護環(huán)境為應(yīng)用系統(tǒng)（如安全OA

保護環(huán)境框架圖

區(qū)域邊界子系統(tǒng)通過對進入和流出安全保護環(huán)境的信息流進行安全檢查，確保不會有違背系統(tǒng)安全策略的信息流經(jīng)過邊界，是三級信息系統(tǒng)的第二道安全屏障。保護環(huán)境框架圖區(qū)域邊界子系統(tǒng)通過對進入和流出安全

保護環(huán)境框架圖

通信網(wǎng)絡(luò)子系統(tǒng)通過對通信數(shù)據(jù)包的保密性和完整性進行保護，確保其在傳輸過程中不會被非授權(quán)竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障，是三級信息系統(tǒng)的外層安全屏障。保護環(huán)境框架圖通信網(wǎng)絡(luò)子系統(tǒng)通過對通信數(shù)據(jù)包的保

保護環(huán)境框架圖

系統(tǒng)管理子系統(tǒng)用戶身份管理，資源管理，應(yīng)急處理等。保護環(huán)境框架圖系統(tǒng)管理子系統(tǒng)

保護環(huán)境框架圖

標(biāo)記管理，授權(quán)管理，策略管理等。安全管理子系統(tǒng)通過制定相應(yīng)的系統(tǒng)安全策略，并且強制節(jié)點子系統(tǒng)、區(qū)域邊界子系統(tǒng)、通信網(wǎng)絡(luò)子系統(tǒng)及節(jié)點子系統(tǒng)執(zhí)行，從而實現(xiàn)對整個信息系統(tǒng)的集中管理，為三級信息系統(tǒng)的安全提供了有力保障保護環(huán)境框架圖標(biāo)記管理，授權(quán)管理，策略管理等。

保護環(huán)境框架圖

審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計員通過制定審計策略，強制實現(xiàn)對整個信息系統(tǒng)的行為審計，確保用戶無法抵賴違背系統(tǒng)安全策略的行為，同時為應(yīng)急處理提供依據(jù)。保護環(huán)境框架圖審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計安全管理流程安全管理流程主要由安全管理中心的安全管理員系統(tǒng)管理員和系統(tǒng)審計員實施，分別實施系統(tǒng)維護、安全策略部署和審計策略部署等機制。訪問控制流程訪問控制流程是在系統(tǒng)運行時執(zhí)行，實施自主訪問控制、強制訪問控制等。 主要流程 主要流程1）策略初始化流程節(jié)點子系統(tǒng)在運行之前，系統(tǒng)管理員確定所有用戶的身份、工作密鑰、證書等，即確定業(yè)務(wù)系統(tǒng)正常運行所需要使用的執(zhí)行程序等資源配置。安全管理員為所有主\客體實施標(biāo)記管理，生成全局客體安全標(biāo)記列表和全局主體安全標(biāo)記列表，為主體實施授權(quán)管理，生成訪問控制列表和級別調(diào)整檢查列表。安全審計員制定審計策略，實施系統(tǒng)的審計跟蹤管理。1）策略初始化流程2）計算節(jié)點啟動流程策略初始化完成后，節(jié)點系統(tǒng)在啟動時需要對所裝載的可執(zhí)行代碼進行可信驗證，確保其在可執(zhí)行代碼預(yù)期值列表中。用戶登錄系統(tǒng)驗證登錄用戶是否是該節(jié)點上的授權(quán)用戶。下載與該用戶相關(guān)的系統(tǒng)安全策略，并初始化用戶工作空間。2）計算節(jié)點啟動流程37

全程訪問控制其它定級系統(tǒng)安全接入/隔離設(shè)備區(qū)域邊界通信網(wǎng)絡(luò)網(wǎng)站/應(yīng)用服務(wù)器交換設(shè)備用戶終端安全管理中心通信網(wǎng)絡(luò)區(qū)域邊界37 全程訪問控制其它定級系統(tǒng)安全接入/隔離設(shè)備區(qū)域邊界通信五、安全建設(shè)整改技術(shù)路線五、安全建設(shè)整改技術(shù)路線

1）要加強定級對象信息系統(tǒng)整體防護

建設(shè)管理中心支持下的計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)三重防護體系結(jié)構(gòu)，實施多層隔離和保護，以防止某薄弱環(huán)節(jié)影響整體安全。1）要加強定級對象信息系統(tǒng)整體防護建設(shè)管理

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護

要在框架體系上解決問題，而不是在一些內(nèi)部的點上解決問題。要創(chuàng)造可信安全的保護環(huán)境，然后在可信的環(huán)境中實施各種操作。要重點做好操作人員行為控制，使其不能違規(guī)操作，防止發(fā)生攻擊行為。要改變以往在網(wǎng)絡(luò)上封堵的觀念，首先搞好終端源頭的防御這樣才能符合人、技術(shù)、操作的縱深防御策略，而且將降低建設(shè)成本。1）要加強定級對象信息系統(tǒng)整體防護要在框架

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護3）要以防內(nèi)為主，內(nèi)外兼防

安全保護體系搭建好以后，病毒失去了對系統(tǒng)的攻擊能力。三級以上的系統(tǒng)強制訪問控制，嚴格控制了幾乎所有的有害程序，并通過校驗方法對文件真實性加以驗證，使病毒無法發(fā)揮作用。要實施自主防御，加強內(nèi)部的控制，這樣可以降低保護成本。要使非法攻擊者進不去，進去以后拿不到，拿到了以后也看不懂，想篡改也改不掉。1）要加強定級對象信息系統(tǒng)整體防護安全保護

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護3）要以防內(nèi)為主，內(nèi)外兼防

4）加強技術(shù)平臺支持下的安全管理，與日常安全管理制度相適應(yīng)

以前的安全管理比較抽象，譬如防火墻和IDS的配置不同，難以理解和管理。我們要求安全管理跟日常的管理一樣，規(guī)定什么級別的人只能做與其權(quán)限相符的事，對照著進行管理就行。應(yīng)該技術(shù)與管理并重，要在技術(shù)平臺支持下進行管理，才能做到真正的有效管理。1）要加強定級對象信息系統(tǒng)整體防護以前的

1）要加強定級對象信息系統(tǒng)整體防護2）要重點做好操作人員使用的終端防護3）要以防內(nèi)為主，內(nèi)外兼防

4）加強技術(shù)平臺支持下的安全管理，與日常安全管理制度相適應(yīng)

5）為便于技術(shù)方案實施，整改時不改或少改原有的應(yīng)用系統(tǒng)，尤其是用戶應(yīng)用程序不能改

如果對原應(yīng)用和數(shù)據(jù)要進行安全設(shè)計和改造，那么會涉及整個系統(tǒng)，修改程序就要重新調(diào)試系統(tǒng)，是不可行的。1）要加強定級對象信息系統(tǒng)整體防護如果對謝謝!謝謝!等級保護相關(guān)標(biāo)準(zhǔn)解讀等級保護相關(guān)標(biāo)準(zhǔn)解讀.c

提綱等級保護背景等保相關(guān)標(biāo)準(zhǔn)中軟華泰公司參與等級保護建設(shè)工作設(shè)計技術(shù)要求的框架和方案安全建設(shè)整改技術(shù)路線提綱一、等級保護背景一、等級保護背景政策和標(biāo)準(zhǔn)國務(wù)院147號文法律政策依據(jù)科學(xué)技術(shù)依據(jù)GB17859－199950多個配套標(biāo)準(zhǔn)中辦國辦27號文四部委66號文件四部委43號文件第一次提出信息系統(tǒng)要實行等級保護，并確定了等級保護的職責(zé)單位----公安部會同有關(guān)部門。要重點保護基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)。等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保障的一項基本制度。等級保護工作的開展必須分步驟、分階段、有計劃的實施。明確了信息安全等級保護制度的基本內(nèi)容。明確了信息安全等級保護制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責(zé)、任務(wù)。政策和標(biāo)準(zhǔn)國務(wù)院147號文法律政策依據(jù)科學(xué)技術(shù)依據(jù)GB17849等級保護的標(biāo)準(zhǔn)體系GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則信息系統(tǒng)安全等級保護定級指南GB/T20269-2006信息系統(tǒng)安全管理要求GB/T20282-2006信息安全技術(shù)信息系統(tǒng)安全工程管理要求GB/T20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T20271-2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T20272-2006信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求GB/T20273-2006信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)通用安全技術(shù)要求GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求GB/T24856-2009信息安全技術(shù)信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求

信息系統(tǒng)安全等級保護實施指南……5等級保護的標(biāo)準(zhǔn)體系GB17859-1999計算機信息系信息系統(tǒng)等級保護分級標(biāo)準(zhǔn)信息系統(tǒng)等級保護分級標(biāo)準(zhǔn)07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全等級保護定級工作,到去年為止定級工作基本上已經(jīng)落實。通過信息系統(tǒng)的定級，國家掌握了重要信息系統(tǒng)在全國范圍內(nèi)的分布、使用情況以及其重要程度。在定級基礎(chǔ)上，應(yīng)開展信息系統(tǒng)安全建設(shè)和整改，達到相應(yīng)等級的安全防護能力。07年6月份開始，全國范圍內(nèi)的重要信息系統(tǒng)普遍開展了信息安全二、等級保護相關(guān)標(biāo)準(zhǔn)解讀二、等級保護相關(guān)標(biāo)準(zhǔn)解讀

需要了解的幾個法規(guī)、政策53幾個與等級保護有關(guān)的標(biāo)志性政策、文件：《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）?！缎畔踩燃壉Ｗo管理辦法》（公通字[2007]43號）《關(guān)于信息安全等級保護工作的實施意見》（公通字[2004]66號）

《中華人民共和國計算機信息系統(tǒng)安全保護條例》（147號令）

需要了解的幾個法規(guī)、政策9幾個與等級保護有關(guān)的標(biāo)志性政策、

幾個重要的技術(shù)標(biāo)準(zhǔn)54《信息系統(tǒng)安全等級保護基本要求》(GB/T22239-2008)《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》（GB/T24856-2009）《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》（GB17859-1999）國家已出臺約50余個標(biāo)準(zhǔn)，重點需要了解的有：最早提出的基礎(chǔ)性、強制性標(biāo)準(zhǔn)；粒度較粗，是一個指導(dǎo)性標(biāo)準(zhǔn)；強調(diào)基本的技術(shù)和管理要求我們在進行產(chǎn)品開發(fā)、等保系統(tǒng)設(shè)計時的主要依據(jù)：（一個中心三重防御） 幾個重要的技術(shù)標(biāo)準(zhǔn)10《信息系統(tǒng)安全等級保護基本要求》(G55標(biāo)準(zhǔn)間的關(guān)系介紹GB/T22239-2008信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則11標(biāo)準(zhǔn)間的關(guān)系介紹GB/T22239-2008信息系統(tǒng)安《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》56第一級用戶自主保護級第二級系統(tǒng)審計保護級第三級安全標(biāo)記保護級第四級結(jié)構(gòu)化保護級第五級訪問驗證保護級自主訪問控制身份鑒別完整性保護自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標(biāo)記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標(biāo)記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標(biāo)記隱蔽通道分析可信路徑隱蔽通道分析可信路徑可信恢復(fù)《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》12第一級用戶自主保《信息系統(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級測評的一個基本“標(biāo)尺”；按照基本要求進行保護后，信息系統(tǒng)具有相應(yīng)等級的基本安全保護能力;針對本系統(tǒng)更具體的保護要求可以參考相關(guān)標(biāo)準(zhǔn)實現(xiàn)。57《信息系統(tǒng)安全等級保護基本要求》的定位是系統(tǒng)安全保護、等級各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術(shù)要求管理要求基本要求網(wǎng)絡(luò)安全主機安全應(yīng)用安全數(shù)據(jù)安全安全管理機構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理58各級系統(tǒng)的保護要求的內(nèi)容某級系統(tǒng)物理安全技術(shù)要求管理要求基本技術(shù)設(shè)計要求的思路《信息系統(tǒng)等級保護安全技術(shù)設(shè)計要求》以信息（應(yīng)用）系統(tǒng)為核心，統(tǒng)籌規(guī)劃強調(diào)安全體系，一個中心支撐下的三重防御體系（計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)）嚴格的訪問控制，操作人員行為控制將網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全綜合考慮技術(shù)設(shè)計要求的思路《信息系統(tǒng)等級保護安全技術(shù)設(shè)計要求》

信息系統(tǒng)等級保護安全技術(shù)設(shè)計框架60安全計算環(huán)境由定級系統(tǒng)中完成信息存儲與處理的計算機系統(tǒng)硬件和系統(tǒng)軟件以及外部設(shè)備及其連接部件組成，也可以是獨立的或移動的計算機系統(tǒng)。安全區(qū)域邊界是定級系統(tǒng)中安全計算環(huán)境的邊界以及安全計算環(huán)境與安全通信網(wǎng)絡(luò)之間實現(xiàn)聯(lián)接功能的部分，對安全計算環(huán)境及進出安全計算環(huán)境的信息進行保護。安全通信網(wǎng)絡(luò)是定級系統(tǒng)中實現(xiàn)安全計算環(huán)境之間信息傳輸功能的部分。安全管理中心是對部署在安全計算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)上的安全策略與機制實施統(tǒng)一管理的設(shè)施。信息系統(tǒng)等級保護安全技術(shù)設(shè)計框架16安全計算環(huán)境由定級系統(tǒng)等級保護核心要求（三級及以上）身份鑒別安全標(biāo)記（保密性級別、完整性級別、范疇）主體（用戶、進程）客體（文件、程序、設(shè)備、網(wǎng)絡(luò)端口等）強制訪問控制自主訪問控制客體重用數(shù)據(jù)完整性審計非授權(quán)用戶“五不” “進不來” “拿不走” “看不懂” “改不了” “賴不掉”等級保護核心要求（三級及以上）身份鑒別非授權(quán)用戶防內(nèi)為主安全標(biāo)記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有抵御來自外部有組織的惡意攻擊能力，和防內(nèi)部人員攻擊的能力，不僅要對安全事件有審計紀錄，還要能追蹤、能響應(yīng)處理，要實現(xiàn)多重保護制度。結(jié)構(gòu)化保護級（四級）要有能抵御來自敵對組織的大規(guī)模攻擊的能力，和防止內(nèi)部人員內(nèi)外勾結(jié)的惡意攻擊的能力。不僅要全面審計違規(guī)行為還要具有及時報警和應(yīng)急處理能力。防內(nèi)為主安全標(biāo)記保護級（三級）涉及到重要性信息的系統(tǒng)，要具有三、我公司參與等級保護建設(shè)情況等級保護相關(guān)標(biāo)準(zhǔn)解讀課件中軟華泰致力于等級保護建設(shè)2008年初，公安部為制訂《信息系統(tǒng)等級保護安全技術(shù)設(shè)計要求》的國家標(biāo)準(zhǔn)，進行等級安全應(yīng)用技術(shù)平臺示范系統(tǒng)搭建工作。我公司在眾多競爭者中脫穎而出，承接了目前最高等級四級系統(tǒng)的建設(shè)任務(wù)，目前已經(jīng)完成項目驗收。國家標(biāo)準(zhǔn)即將出臺；示范系統(tǒng)搭建在公安部第一研究所；我公司還成為等級保護國家標(biāo)準(zhǔn)863課題研究參與單位，目前正在配合國家主管單位參與國家重大支持項目的研究工作。中軟華泰致力于等級保護建設(shè)2008年初，公安部為制訂《信息系二、我公司參與等級保護建設(shè)情況等級保護相關(guān)標(biāo)準(zhǔn)解讀課件等級保護相關(guān)標(biāo)準(zhǔn)解讀課件產(chǎn)品和服務(wù)體系形成了信息系統(tǒng)等級保護建設(shè)和整改的體系結(jié)構(gòu)、技術(shù)框架、解決方案體系相關(guān)安全產(chǎn)品高等級操作系統(tǒng)終端安全防護服務(wù)器安全防護應(yīng)用安全網(wǎng)關(guān)網(wǎng)站防護系統(tǒng)安全管理平臺等產(chǎn)品和服務(wù)體系四、技術(shù)設(shè)計框架和方案等級保護相關(guān)標(biāo)準(zhǔn)解讀課件建設(shè)信息系統(tǒng)的可信計算基（TCB），即為信息系統(tǒng)建立基本的保護環(huán)境，并提供安全保護所要求的附加服務(wù)。下面以三級系統(tǒng)為例，展示在安全管理中心支持下的計算環(huán)境、區(qū)域邊界和通信網(wǎng)絡(luò)三重安全防護結(jié)構(gòu)框架。等級保護相關(guān)標(biāo)準(zhǔn)解讀課件70 等保系統(tǒng)整體架構(gòu)其它定級系統(tǒng)安全接入/隔離設(shè)備計算環(huán)境區(qū)域邊界通信網(wǎng)絡(luò)網(wǎng)站/應(yīng)用服務(wù)器交換設(shè)備用戶終端安全管理中心通信網(wǎng)絡(luò)區(qū)域邊界計算環(huán)境安全管理中心26 等保系統(tǒng)整體架構(gòu)其它定級系統(tǒng)安全接入/隔離設(shè)備計算環(huán)境

保護環(huán)境框架圖

通過在操作系統(tǒng)核心層、系統(tǒng)層設(shè)置以強制訪問控制為主體的系統(tǒng)安全機制，形成了一個嚴密牢固的防護層，通過對用戶行為的控制，可以有效防止非授權(quán)用戶訪問和授權(quán)用戶越權(quán)訪問，確保信息和信息系統(tǒng)的保密性和完整性安全，從而為典型應(yīng)用子系統(tǒng)的正常運行和免遭惡意破壞提供支撐和保障。保護環(huán)境框架圖通過在操作系統(tǒng)核心層、系統(tǒng)層設(shè)置以

保護環(huán)境框架圖

安全保護環(huán)境為應(yīng)用系統(tǒng)（如安全OA系統(tǒng)等）提供安全支撐服務(wù)。通過實施三級安全要求的業(yè)務(wù)應(yīng)用系統(tǒng)，使用安全保護環(huán)境所提供的安全機制，為應(yīng)用提供符合三級要求的安全功能支持和安全服務(wù)。保護環(huán)境框架圖安全保護環(huán)境為應(yīng)用系統(tǒng)（如安全OA

保護環(huán)境框架圖

區(qū)域邊界子系統(tǒng)通過對進入和流出安全保護環(huán)境的信息流進行安全檢查，確保不會有違背系統(tǒng)安全策略的信息流經(jīng)過邊界，是三級信息系統(tǒng)的第二道安全屏障。保護環(huán)境框架圖區(qū)域邊界子系統(tǒng)通過對進入和流出安全

保護環(huán)境框架圖

通信網(wǎng)絡(luò)子系統(tǒng)通過對通信數(shù)據(jù)包的保密性和完整性進行保護，確保其在傳輸過程中不會被非授權(quán)竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障，是三級信息系統(tǒng)的外層安全屏障。保護環(huán)境框架圖通信網(wǎng)絡(luò)子系統(tǒng)通過對通信數(shù)據(jù)包的保

保護環(huán)境框架圖

系統(tǒng)管理子系統(tǒng)用戶身份管理，資源管理，應(yīng)急處理等。保護環(huán)境框架圖系統(tǒng)管理子系統(tǒng)

保護環(huán)境框架圖

標(biāo)記管理，授權(quán)管理，策略管理等。安全管理子系統(tǒng)通過制定相應(yīng)的系統(tǒng)安全策略，并且強制節(jié)點子系統(tǒng)、區(qū)域邊界子系統(tǒng)、通信網(wǎng)絡(luò)子系統(tǒng)及節(jié)點子系統(tǒng)執(zhí)行，從而實現(xiàn)對整個信息系統(tǒng)的集中管理，為三級信息系統(tǒng)的安全提供了有力保障保護環(huán)境框架圖標(biāo)記管理，授權(quán)管理，策略管理等。

保護環(huán)境框架圖

審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計員通過制定審計策略，強制實現(xiàn)對整個信息系統(tǒng)的行為審計，確保用戶無法抵賴違背系統(tǒng)安全策略的行為，同時為應(yīng)急處理提供依據(jù)。保護環(huán)境框架圖審計子系統(tǒng)是系統(tǒng)的監(jiān)督中樞，安全審計安全管理流程安全管理流程主要由安全管理中心的安全管理員系統(tǒng)管理員和系統(tǒng)審計員實施，分別實施系統(tǒng)維護、安全策略部署和審計策略部署等機制。訪問控制流程訪問控制流程是在系統(tǒng)運行時執(zhí)行，實施自主訪問控制、強制訪問控制等。 主要流程 主要流程1）策略初始化流程節(jié)點子系統(tǒng)在運行之前，系統(tǒng)管理員確定所有用戶的身份、工作密鑰、證書等，即確定業(yè)務(wù)系統(tǒng)正常運行所需要使用的執(zhí)行程序等資源配置。安全管理員為所有主\客體實施標(biāo)記管理，生成全局客體安全標(biāo)記列表和全局主體安全標(biāo)記列表，為主體實施授權(quán)管理，生成訪問控制列表和級別調(diào)整檢查列表。安全審計員制定審計策略，實施系統(tǒng)的審計跟蹤管理。1）策略初始化流程2）計算節(jié)點啟動流程策略初始化完成后，節(jié)點系統(tǒng)在啟動時需要對所裝載的可執(zhí)行代碼進行可信驗證，確保其在可執(zhí)行代碼預(yù)期值列表中。用戶登錄系統(tǒng)驗證登錄用戶是否是該節(jié)點上的授權(quán)用戶。下載與該用戶相關(guān)的系統(tǒng)安全策略，并初始化用戶工作空間。2）計算節(jié)點啟動流程81

全程訪問控制其它定級系統(tǒng)安全接入/隔離設(shè)備區(qū)域邊界通信網(wǎng)絡(luò)網(wǎng)站/應(yīng)用服務(wù)器交換設(shè)備用戶終端安全管理中心通信網(wǎng)絡(luò)區(qū)域邊界37