GA/T 708-2007信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)體系框架

犐犆犛３５．０２０

犔０９

中華人民共和國(guó)公共安全行業(yè)標(biāo)準(zhǔn)

犌犃／犜７０８—２００７

信息安全技術(shù)

信息系統(tǒng)安全等級(jí)保護(hù)體系框架

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犃狉犮犺犻狋犲犮狋狌狉犲犳狉犪犿犲狑狅狉犽狅犳狊犲犮狌狉犻狋狔犮犾犪狊狊犻犳犻犮犪狋犻狅狀

狆狉狅狋犲犮狋犻狅狀犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿

２００７０８１３發(fā)布２００７１００１實(shí)施

中華人民共和國(guó)公安部發(fā)布

書

犌犃／犜７０８—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語(yǔ)和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統(tǒng)安全等級(jí)保護(hù)體系簡(jiǎn)介!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１信息系統(tǒng)安全等級(jí)保護(hù)體系的組成!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２信息系統(tǒng)安全等級(jí)保護(hù)體系概要說(shuō)明!!!!!!!!!!!!!!!!!!!!!!!!２

５信息系統(tǒng)安全等級(jí)保護(hù)法律法規(guī)和政策依據(jù)!!!!!!!!!!!!!!!!!!!!!!３

５．１法律法規(guī)和政策分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２信息系統(tǒng)安全等級(jí)保護(hù)的現(xiàn)有政策法規(guī)!!!!!!!!!!!!!!!!!!!!!!!３

６信息系統(tǒng)安全等級(jí)保護(hù)標(biāo)準(zhǔn)體系!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６．１標(biāo)準(zhǔn)的分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６．２標(biāo)準(zhǔn)的具體組成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．１基礎(chǔ)性標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．２系統(tǒng)設(shè)計(jì)指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．３系統(tǒng)實(shí)施指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．４要求類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．５檢查／測(cè)評(píng)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．２．６各應(yīng)用領(lǐng)域?qū)嵤┲笇?dǎo)方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．３標(biāo)準(zhǔn)所涉及的內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．４各類標(biāo)準(zhǔn)的作用及編寫要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．１基礎(chǔ)性標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．２系統(tǒng)設(shè)計(jì)指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．３要求類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．４．４檢查／測(cè)評(píng)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．４．５實(shí)施指導(dǎo)類標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．４．６各應(yīng)用領(lǐng)域?qū)嵤┲笇?dǎo)方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７信息系統(tǒng)安全等級(jí)保護(hù)管理體系!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１信息系統(tǒng)安全工程管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．１目標(biāo)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．２內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．３工程管理分等級(jí)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．２安全系統(tǒng)運(yùn)行管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．１目標(biāo)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．２內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．３運(yùn)行管理分等級(jí)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．３信息系統(tǒng)安全監(jiān)督檢查和管理!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

Ⅰ

書

犌犃／犜７０８—２００７

８信息系統(tǒng)安全等級(jí)保護(hù)技術(shù)體系!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．１信息系統(tǒng)安全的基本屬性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．２信息系統(tǒng)安全的組成與相互關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．３信息系統(tǒng)的安全等級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３．１五個(gè)安全等級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３．２安全保護(hù)等級(jí)的確定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

８．４信息系統(tǒng)安全等級(jí)保護(hù)基本框架!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４．１信息系統(tǒng)安全保護(hù)總體框架!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４．２信息系統(tǒng)安全等級(jí)保護(hù)的基本原理和方法!!!!!!!!!!!!!!!!!!!!!２２

８．５信息系統(tǒng)安全等級(jí)保護(hù)基本技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．１標(biāo)識(shí)與鑒別技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．２訪問(wèn)控制技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．３存儲(chǔ)和傳輸數(shù)據(jù)的完整性保護(hù)技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．４存儲(chǔ)和傳輸數(shù)據(jù)的保密性保護(hù)技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．５邊界隔離與防護(hù)技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．６系統(tǒng)安全運(yùn)行及可用性保護(hù)技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．７密碼技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６信息系統(tǒng)安全等級(jí)保護(hù)支撐平臺(tái)!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．１信息系統(tǒng)密碼基礎(chǔ)設(shè)施平臺(tái)!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．２信息系統(tǒng)應(yīng)用安全支撐平臺(tái)設(shè)計(jì)!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．３信息系統(tǒng)災(zāi)難備份與恢復(fù)平臺(tái)!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．６．４信息系統(tǒng)安全事件應(yīng)急響應(yīng)與管理平臺(tái)!!!!!!!!!!!!!!!!!!!!!!２７

８．６．５信息系統(tǒng)安全管理平臺(tái)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

８．７等級(jí)化安全信息系統(tǒng)構(gòu)建技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

附錄Ａ（資料性附錄）基本概念說(shuō)明!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．１業(yè)務(wù)應(yīng)用軟件系統(tǒng)及其子系統(tǒng)!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．２信息系統(tǒng)及其子系統(tǒng)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．３關(guān)于安全域!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

附錄Ｂ（資料性附錄）實(shí)施等級(jí)保護(hù)的方法!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．１全系統(tǒng)同一安全等級(jí)安全保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．２分系統(tǒng)不同安全等級(jí)安全保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．３虛擬系統(tǒng)不同安全等級(jí)安全保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!３１

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

Ⅱ

犌犃／犜７０８—２００７

前言

本標(biāo)準(zhǔn)的附錄Ａ、附錄Ｂ為資料性附錄。

本標(biāo)準(zhǔn)由公安部信息系統(tǒng)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口。

本標(biāo)準(zhǔn)起草單位：北京江南天安科技有限公司，北京思源新創(chuàng)信息安全資訊有限公司。

本標(biāo)準(zhǔn)主要起草人：吉增瑞、王志強(qiáng)、陳冠直、景乾元、宋健平。

Ⅲ

犌犃／犜７０８—２００７

引言

信息系統(tǒng)安全等級(jí)保護(hù)通過(guò)三大功能和五個(gè)環(huán)節(jié)，對(duì)國(guó)家、社會(huì)、集團(tuán)和個(gè)人所建立和使用的信息

系統(tǒng)，分等級(jí)實(shí)施必要的安全保護(hù)。

實(shí)現(xiàn)信息系統(tǒng)安全等級(jí)保護(hù)的三大功能是：

———防范與保護(hù)功能：從物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用和管理等組成部分，實(shí)現(xiàn)整體防范與保護(hù)；

———監(jiān)督與檢查功能：各單位自我檢查與政府職能部門監(jiān)督檢查相結(jié)合，從技術(shù)和管理兩個(gè)方面，

確保信息系統(tǒng)的安全性達(dá)到確定安全等級(jí)的要求；

———響應(yīng)與處置功能：信息系統(tǒng)擁有者，對(duì)系統(tǒng)的安全事件應(yīng)有快速響應(yīng)與處置的能力，并在發(fā)現(xiàn)

重大問(wèn)題時(shí)能及時(shí)向主管部門反映，與有關(guān)單位溝通。

實(shí)現(xiàn)信息系統(tǒng)安全等級(jí)保護(hù)的五個(gè)環(huán)節(jié)是指：

———政策、法規(guī)環(huán)節(jié)：制定完善的信息安全等級(jí)保護(hù)政策、法規(guī)，建立專門的管理機(jī)構(gòu)，明確實(shí)施的

程序和方法。

———規(guī)范化技術(shù)與管理環(huán)節(jié)：制定符合國(guó)情的信息系統(tǒng)安全等級(jí)保護(hù)技術(shù)和管理標(biāo)準(zhǔn)，并按標(biāo)準(zhǔn)要

求實(shí)施安全管理，進(jìn)行安全技術(shù)和產(chǎn)品的研究和開發(fā)。

———系統(tǒng)構(gòu)建過(guò)程控制環(huán)節(jié)：按照誰(shuí)主管誰(shuí)負(fù)責(zé)的要求，對(duì)安全信息系統(tǒng)的構(gòu)建過(guò)程進(jìn)行全方位控

制，并通過(guò)檢測(cè)機(jī)構(gòu)嚴(yán)格的檢測(cè)評(píng)估，確保所構(gòu)建的安全信息系統(tǒng)達(dá)到所需要的安全性要求。

———系統(tǒng)運(yùn)行過(guò)程控制環(huán)節(jié)：按照誰(shuí)運(yùn)營(yíng)誰(shuí)負(fù)責(zé)的要求，對(duì)安全信息系統(tǒng)的運(yùn)行過(guò)程進(jìn)行全方位控

制，并通過(guò)職能部門的監(jiān)督檢查，確保所運(yùn)行的安全信息系統(tǒng)達(dá)到所設(shè)計(jì)的安全性要求。

———系統(tǒng)監(jiān)督、檢查環(huán)節(jié)：信息安全相關(guān)職能部門，依照法律、法規(guī)和標(biāo)準(zhǔn)，制定完善信息安全監(jiān)管

規(guī)章制度，開展信息安全等級(jí)保護(hù)專項(xiàng)管理工作。督促安全等級(jí)保護(hù)責(zé)任制的落實(shí)，監(jiān)督、檢

查并指導(dǎo)信息系統(tǒng)所屬部門和單位的信息系統(tǒng)安全等級(jí)保護(hù)的建設(shè)和管理，對(duì)安全技術(shù)產(chǎn)品

實(shí)行監(jiān)管，對(duì)安全檢測(cè)機(jī)構(gòu)實(shí)施監(jiān)管。建立非盈利的覆蓋全國(guó)的系統(tǒng)安全等級(jí)保護(hù)執(zhí)法檢查

與檢測(cè)支持體系，使用統(tǒng)一標(biāo)準(zhǔn)對(duì)運(yùn)行中的安全信息系統(tǒng)進(jìn)行檢查、檢測(cè)、評(píng)估，確保其實(shí)際運(yùn)

行過(guò)程中的安全性達(dá)到設(shè)計(jì)的目標(biāo)要求。

本標(biāo)準(zhǔn)是對(duì)信息系統(tǒng)安全等級(jí)保護(hù)各個(gè)組成部分及其相互關(guān)系的描述，首先對(duì)信息系統(tǒng)安全等級(jí)

保護(hù)的組成部分的主要內(nèi)容及其相互關(guān)系做簡(jiǎn)要說(shuō)明，然后對(duì)每一個(gè)組成部分的主要內(nèi)容做比較詳細(xì)

的說(shuō)明。

Ⅳ

犌犃／犜７０８—２００７

信息安全技術(shù)

信息系統(tǒng)安全等級(jí)保護(hù)體系框架

１范圍

本標(biāo)準(zhǔn)規(guī)定了