《信息安全工程與管理(第二版)》 課件 第4章-信息安全工程與等級保護

信息安全工程與管理第4章、信息安全工程與等級保護本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.1概述信息系統(tǒng)等級保護的定義是指對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應、處置。4.1概述等級保護的核心觀念是保護重點、適度安全。思想源頭可以追溯到美國的軍事保密制度（文件保密制度），即著名的“多級安全”（MLS，MultilevelSecurity）體系。本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.2等級保護的發(fā)展4.2.1

信息安全評估準則的發(fā)展4.2等級保護的發(fā)展4.2.1

信息安全評估準則的發(fā)展－其他準則2003年12月，美國通過了《聯(lián)邦信息和信息系統(tǒng)安全分類標準》（FIPS199），描述了如何確定一個信息系統(tǒng)的安全類別。為配合FIPS199的實施，NIST分別于2004年6月推出了SP800-60第一、第二部分《將信息和信息系統(tǒng)映射到安全類別的指南》及其附件。4.2等級保護的發(fā)展4.2.1

信息安全評估準則的發(fā)展信息系統(tǒng)的保護等級確定后，需要有一整套的標準和指南規(guī)定如何為其選擇相應的安全措施。NIST的SP800-53《聯(lián)邦信息系統(tǒng)推薦安全控制》為不同級別的系統(tǒng)推薦了不同強度的安全控制集（包括管理、技術和運行類）。SP800-53還提出了3類安全控制（包括管理、技術和運行），它匯集了美國各方面的控制措施的要求。SP800系列標準都對我國《信息系統(tǒng)安全等級保護基本要求》（GB/T22239-2008）等標準有直接的影響。4.2等級保護的發(fā)展4.2.2

中國的等級保護的發(fā)展頒布時間文件名稱文號頒布機構內(nèi)容及意義1994年2月18日《中華人民共和國計算機信息系統(tǒng)安全保護條例》國務院147號令國務院第一次提出信息系統(tǒng)要實行等級保護，并確定了等級保護的職責單位，并成為等保的法律基礎。1999年9月13日《計算機信息系統(tǒng)安全保護等級劃分準則》GB17859-1999國家質量技術監(jiān)督局將我國計算機信息系統(tǒng)安全保護劃分為五個等級，這成為等保的技術基礎和依據(jù)。2003年9月7日《國家信息化領導小組關于加強信息安全保障工作的意見》中辦國辦發(fā)[2003]27號中共中央辦公廳、國務院辦公廳明確指出“實行信息安全等級保護”，并確定了信息安全等級保護制度的基本內(nèi)容。2004年9月15日《關于信息安全等級保護工作的實施意見》公通字[2004]66號公安部、國家保密局、國家密碼管理委員會辦公室、國務院信息化工作辦公室將等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保障的一項基本制度。2007年6月22日《信息安全等級保護管理辦法》公通字[2007]43號明確了信息安全等級保護制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責、任務。2009年10月27日《關于開展信息安全等級保護安全建設整改工作的指導意見》公信安[2009]1429號公安部指導各地區(qū)、部門在等級保護定級工作基礎上，開展已定級系統(tǒng)（除涉國家機密）的安全整改工作。4.2等級保護的發(fā)展4.2.2

中國的等級保護的發(fā)展頒布時間文件名稱文號頒布機構內(nèi)容及意義2010年3月12日《關于推動信息安全等級保護測評體系建設和開展等級測評工作的通知》公信安〔2010〕303號公安部結合全國等級保護工作的實際開展情況，對等級測評體系的建設工作提出了明確的要求2018年6月27日《網(wǎng)絡安全等級保護條例（征求意見稿）》

公安部啟動網(wǎng)絡安全等級保護條例立法程序2019年5月10日

《信息安全技術—網(wǎng)絡安全安全等級保護基本要求》GB/T22239—2019全國信息安全標準化技術委員會網(wǎng)絡安全等級保護制度2.0新標準，2019年12月1日開始實施，正式進入“網(wǎng)絡安全等級保護2.0（等保2.0）”時代，具有里程碑意義《信息安全技術—網(wǎng)絡安全等級保護測評要求》GB/T28448—2019《信息安全技術—網(wǎng)絡安全等級保護安全設計技術要求》GB/T25070—20192022年5月11日《工業(yè)和信息化部辦公廳關于開展工業(yè)互聯(lián)網(wǎng)安全深度行活動的通知》工信廳網(wǎng)安函〔2022〕97號工信部推動在全國范圍內(nèi)貫徹工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全分類分級管理，指導督促企業(yè)落實網(wǎng)絡安全主體責任，共同提升工業(yè)互聯(lián)網(wǎng)安全保障能力4.2等級保護的發(fā)展4.2.2

中國的等級保護的發(fā)展－網(wǎng)絡安全等級保護2.0的由來4.2等級保護的發(fā)展4.2.3

網(wǎng)絡安全等級保護2.0信息安全等級保護1.0相比，網(wǎng)絡安全等級保護2.0主要有以下變化：1、名稱的變化:保2.0將原來的標準名稱《信息安全技術—信息系統(tǒng)安全等級保護XXX》改為《信息安全技術—網(wǎng)絡安全等級保護XXXX》，與《網(wǎng)絡安全法》提出的“網(wǎng)絡安全等級保護制度”保持一致。另外，在各標準的正文中，將等級保護目標的描述由“信息系統(tǒng)”調(diào)整為“等級保護對象”或“定級對象”。4.2等級保護的發(fā)展4.2.3

網(wǎng)絡安全等級保護2.0２、定級對象的變化:4.2等級保護的發(fā)展4.2.3

網(wǎng)絡安全等級保護2.03、安全基本要求的變化:4.2等級保護的發(fā)展4.2.3

網(wǎng)絡安全等級保護2.04、控制措施分類結構的變化:本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.3

等級保護與信息保障各環(huán)節(jié)的關系等級保護，以及風險評估、應急處理和災難恢復是信息安全保障的主要環(huán)節(jié)，對等于PDRR安全模型中的保護、檢測、響應和恢復等要素。各環(huán)節(jié)前后連接、融為一體。等級保護是以制度的方式確定保護對象的重要程度和要求，風險評估是檢測評估是否達到保護要求的量度工具，應急處理是將剩余風險因突發(fā)事件引起的損失降低到可接受程度的對應手段，而災難恢復是針對發(fā)生災難性破壞時所采取的由備份進行恢復的措施。等級保護不僅是對信息安全產(chǎn)品或系統(tǒng)的檢測、評估以及定級，更重要的是圍繞信息安全保障全過程的一項基礎性的管理制度，是一項基礎性和制度性的工作，貫穿于信息安全保障各環(huán)節(jié)工作的全過程，而不是一個具體的措施。本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.4實施等級保護的意義信息安全等級保護制度是國家信息安全保障的基本制度、基本策略、基本方法；是當今發(fā)達國家的通行做法，也是我國多年來信息安全工作經(jīng)驗的總結。開展信息安全等級保護工作：有利于同步建設有利于指導和服務有利于保障重點有利于明確責任有利于產(chǎn)業(yè)發(fā)展本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.5等級保護的基本原理和方法根據(jù)信息系統(tǒng)所承載的業(yè)務應用的不同安全需求，采用不同的安全保護等級，對不同的信息系統(tǒng)或同一信息系統(tǒng)中的不同安全域進行不同程度的安全保護，以實現(xiàn)對信息系統(tǒng)及其所存儲、傳輸和處理的數(shù)據(jù)信息在安全保護方面，達到確保重點，照顧一般，適度保護，合理共享的目標。4.5.1

等級保護的基本原理4.5等級保護的基本原理和方法4.5.2

等級保護的基本方法-分區(qū)域分等級安全保護等級保護對象的安全防護一般按照

分區(qū)域分等級安全保護、內(nèi)部與邊界保護、網(wǎng)絡安全保護、主機安全保護和應用安全保護等層次性進行防護措施設計并開展工作。4.5等級保護的基本原理和方法4.5.2

等級保護的基本方法-內(nèi)部保護與邊界保護信息安全系統(tǒng)的安全包括內(nèi)部安全和邊界防護。邊界防護又分為外部邊界防護和內(nèi)部邊界防護。典型的邊界防護可采用防火墻、信息過濾、信息交換控制等。它們既可以用于最外部邊界防護，也可以用于內(nèi)部各安全域的邊界防護。入侵檢測、病毒防殺既可以用于邊界防護也可以用于內(nèi)部保護。身份鑒別、訪問控制、安全審計、數(shù)據(jù)存儲保護、數(shù)據(jù)傳輸保護等是內(nèi)部保護常用的安全機制，也可用作對用戶和信息進/出邊界的安全控制。4.5等級保護的基本原理和方法4.5.2

等級保護的基本方法-網(wǎng)絡安全保護由相同安全等級的服務器組成的安全局域計算環(huán)境需要相應安全等級的局域網(wǎng)實現(xiàn)連接，由相同安全等級的終端計算機組成的安全用戶環(huán)境需要相應安全等級的局域網(wǎng)實現(xiàn)連接。一個安全的信息系統(tǒng)是由組成該信息系統(tǒng)的各個安全局域計算環(huán)境和安全用戶環(huán)境及實現(xiàn)這些安全局域計算環(huán)境和安全用戶環(huán)境連接的安全廣域網(wǎng)共同組成的。4.5等級保護的基本原理和方法4.5.2

等級保護的基本方法-主機安全保護保證等級保護對象中的主機進行數(shù)據(jù)存儲和處理的保密性、完整性，可用性，它包括硬件、固件、系統(tǒng)軟件的自身安全，以及一系列附加的安全技術和安全管理措施，從而建立一個完整的主機安全保護環(huán)境。主機網(wǎng)絡安全是以被保護主機為中心構建的安全體系，它考慮的元素有IP地址端口號協(xié)議，甚至MAC地址等網(wǎng)絡特性和用戶資源權限，以及訪問時間等操作系統(tǒng)特性。另外，考慮到網(wǎng)絡傳輸過程中的安全性，主機網(wǎng)絡安全系統(tǒng)還包括與用戶和相鄰服務器之間的安全傳輸，以及為防止身份欺騙的認證服務。4.5等級保護的基本原理和方法4.5.2

等級保護的基本方法-應用安全保護應用安全保護的目標是從應用系統(tǒng)建設的全生命周期入手，通過安全需求、安全設計、安全開發(fā)、安全測試以及應用系統(tǒng)上線后的安全加固，盡量減少應用系統(tǒng)安全和風險暴露面，從而實現(xiàn)應用系統(tǒng)安全、穩(wěn)定、可靠地運行。在安全事件發(fā)生前發(fā)現(xiàn)入侵企圖或在安全事件發(fā)生后進行審計追蹤。應用安全保護包括對于應用系統(tǒng)本身的防護、用戶接口安全防護和對于數(shù)據(jù)間接口的安全防護。4.5等級保護的基本原理和方法4.5.3

關于安全域本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.6信息系統(tǒng)的安全保護等級的劃分等級保護中涉及的幾個基本概念主動用戶、進程主體被動文件、存儲設備客體訪問：讀、寫、執(zhí)行權限安全策略安全審計強制訪問控制4.6信息系統(tǒng)的安全保護等級的劃分4.6.1

等級的劃分第一級用戶自主保護級第二級系統(tǒng)審計保護級第三級安全標記保護級第四級結構化保護級第五級訪問驗證保護級用戶自主控制資源訪問訪問行為需要被審計通過標記實現(xiàn)強制訪問控制可信計算機結構化所有的過程都需要驗證4.6信息系統(tǒng)的安全保護等級的劃分4.6.2

等級的安全控制要求第一級自主安全保護第二級審計安全保護第三級強制安全保護第四級結構化保護第五級訪問驗證保護級自主訪問控制身份鑒別完整性保護自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記自主訪問控制身份鑒別完整性保護系統(tǒng)審計客體重用強制訪問控制標記隱蔽通道分析可信路徑隱蔽通道分析可信路徑可信恢復

本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.7

等級保護工作的實施等級保護工作實施中的基本原則與流程（1）自主保護原則。（2）重點保護原則。（3）同步建設原則。（4）動態(tài)調(diào)整原則。4.7

等級保護工作的實施4.7.1等級保護對象定級與備案定級要素與安全保護等級的關系保護等級受侵害的客體對客體的侵害程度系統(tǒng)的重要性監(jiān)管等級第一級公民、法人和其他組織的合法權益一般侵害一般系統(tǒng)自主保護級第二級公民、法人和其他組織的合法權益嚴重或特別嚴重侵害指導保護級社會秩序和公共利益一般侵害第三級社會秩序和公共利益嚴重侵害重要系統(tǒng)監(jiān)督保護級國家安全一般侵害第四級社會秩序和公共利益特別嚴重侵害強制保護級國家安全嚴重侵害第五級國家安全特別嚴重侵害極端重要系統(tǒng)專控保護級4.7

等級保護工作的實施4.7.1等級保護對象定級與備案定級對象的定級方法流程4.7

等級保護工作的實施4.7.2總體安全規(guī)劃根據(jù)等級保護對象的劃分情況、等級保護對象的定級情況、等級保護對象承載業(yè)務情況，通過分析明確等級保護對象安全需求，設計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施計劃，以指導后續(xù)的等級保護對象安全建設工程實施。流程如下：4.7

等級保護工作的實施4.7.3安全設計與實施安全設計與實施階段的目標是按照等級保護對象安全總體方案的要求，結合等級保護對象安全建設項目計劃，分期分步落實安全措施：安全方案詳細設計：包括技術措施實現(xiàn)內(nèi)容的設計、管理措施實現(xiàn)內(nèi)容的設計、設計結果的文檔化。技術措施的實現(xiàn)：包括網(wǎng)絡安全產(chǎn)品或服務采購、安全控制的開發(fā)、安全控制集成、系統(tǒng)驗收。管理措施的實現(xiàn)：包括安全管理制度的建設和修訂、安全管理機構和人員的設置、安全實施過程管理。4.7

等級保護工作的實施4.7.4安全運行與維護安全運行與維護是等級保護實施過程中確保等級保護對象正常運行的必要環(huán)節(jié)，涉及內(nèi)容較多，包括安全運行與維護機構和安全運行與維護機制的建立，環(huán)境、資產(chǎn)、設備、介質的管理，網(wǎng)絡、系統(tǒng)的管理，密碼、密鑰的管理，運行、變更的管理，安全狀態(tài)監(jiān)控和安全事件處置，安全審計和安全檢查等內(nèi)容。4.7

等級保護工作的實施4.7.5應用響應與保障應急響應與保障是網(wǎng)絡安全工作的一個重要環(huán)節(jié)，也是網(wǎng)絡安全保障工作的最后手段，包括：應急準備與預案：包括應急組織、應急預案、應急演練。應急監(jiān)測與響應：包括監(jiān)測預警、信息報送與共享、應急響應。后期評估與改進：對安全事件原因、處置過程進行調(diào)查分析，并根據(jù)分析結果進行責任認定及制定改進預防措施。應急保障：建立健全應急保障體系，實現(xiàn)應急預案保障工作科學化。4.7

等級保護工作的實施4.7.6等級保護對象終止當?shù)燃壉Ｗo對象被轉移、終止或廢棄時，正確處理其中的敏感信息對于確保機構信息資產(chǎn)的安全是至關重要的：信息轉移、暫存和清除。設備遷移或廢棄。存儲介質的清除或銷毀。本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.8

網(wǎng)絡安全等級保護體系4.8網(wǎng)絡安全等級保護體系4.8.1

等級保護相關的法律、法規(guī)和政策依據(jù)法律法規(guī)和政策分類全國性法律：如《網(wǎng)絡安全法》、《密碼法》、《數(shù)據(jù)安全法》等。全國性政策和法規(guī)：如《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發(fā)〔2003〕27號）等。地區(qū)性政策和法規(guī)：如《北京市公共服務網(wǎng)絡與信息系統(tǒng)安全管理規(guī)定》（北京市人民政府令第163號）等。4.8網(wǎng)絡安全等級保護體系4.8.1

等級保護相關的法律、法規(guī)和政策依據(jù)已發(fā)布對信息系統(tǒng)實施等級保護的政策法規(guī)（部分）：1994《中華人民共和國計算機信息系統(tǒng)安全保護條例》。2003年中辦發(fā)[2003]27號文件《國家信息化領導小組關于加強信息安全保障工作的意見》。2004年《關于信息安全等級保護工作的實施意見》。2006年《國務院辦公廳轉發(fā)國家網(wǎng)絡與信息安全協(xié)調(diào)小組關于網(wǎng)絡信任體系若干意見的通知》。2009年《關于印送<關于開展信息安全等級保護安全建設整改工作的指導意見>的函》。2020年《貫徹落實網(wǎng)絡安全等保制度和關鍵信息基礎設施安全保護制度的指導意見》。2021年《關于開展工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全分類分級管理試點工作的通知》。4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系網(wǎng)絡安全等級保護相關標準大致可以分為五類：基礎類、應用類、泛行業(yè)類、產(chǎn)品類和其他類。4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-基礎類標準《計算機信息系統(tǒng)安全保護等級劃分準則》（GB17859-1999）《信息安全技術—網(wǎng)絡安全安全等級保護基本要求》（GB/T22239—2019）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-應用類標準系統(tǒng)定級與實施《信息安全技術—網(wǎng)絡安全等級保護定級指南》（GB/T22240—2020）《信息安全技術—網(wǎng)絡安全等級保護實施指南》（GB/T25058—2019）信息系統(tǒng)安全建設《信息安全技術—網(wǎng)絡安全等級保護安全設計技術要求》（GB/T25070—2019）

《信息安全技術—智慧城市建設信息安全保障指南》（GB/Z38649—2020）

等級測評《信息安全技術—網(wǎng)絡安全等級保護測評要求》（GB/T28448—2019）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-泛行業(yè)標準移動互聯(lián)網(wǎng)《信息安全技術—移動互聯(lián)網(wǎng)安全審計指南》（GB/Z41290—2022）云計算《信息安全技術—網(wǎng)站安全云防護平臺技術要求》（GB/T37956—2019）大數(shù)據(jù)《信息安全技術—大數(shù)據(jù)安全管理指南》（GB/T37973—2019）物聯(lián)網(wǎng)《信息安全技術—物聯(lián)網(wǎng)安全參考模型及通用要求》（GB/T37044—2018）工業(yè)控制系統(tǒng)《信息安全技術—工業(yè)控制系統(tǒng)信息安全分級規(guī)范》（GB/T36324—2018）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-產(chǎn)品類標準操作系統(tǒng)《信息安全技術—操作系統(tǒng)安全技術要求》（GB/T20272—2019）

數(shù)據(jù)庫《信息安全技術—數(shù)據(jù)庫管理系統(tǒng)安全技術要求》（GB/T20273—2019）網(wǎng)絡《信息安全技術—網(wǎng)絡安全漏洞分類分級指南》（GB/T30279—2020）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-產(chǎn)品類標準PKI《信息安全技術—公鑰基礎設施—數(shù)字證書格式》（GB/T20518—2018）網(wǎng)關《信息安全技術—網(wǎng)關安全技術要求》（GA/T681—2018）服務器《信息安全技術—簽名驗簽服務器技術規(guī)范》（GB/T38629—2020）入侵檢測《信息安全技術—網(wǎng)絡入侵檢測系統(tǒng)技術要求和測試評價方法》（GB/T20275—2021）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-產(chǎn)品類標準防火墻《信息安全技術—防火墻安全技術要求和測試評價方法》（GB/T20281—2020）路由器《信息安全技術—路由器安全技術要求》（GB/T18018—2019）交換機《信息安全技術—網(wǎng)絡交換機安全技術要求》（GB/T21050—2019）掃描器《信息安全技術—網(wǎng)絡脆弱性掃描產(chǎn)品安全技術要求和測試評價方法》（GB/T20278—2022）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-其他類標準風險評估《信息安全技術—信息安全風險評估方法》（GB/T20984—2022）《信息安全技術—信息安全風險管理指南》（GB/Z24364—2009）事件管理《信息安全技術—惡意軟件事件預防和處理指南》（GB/T40652—2021）《信息安全技術—網(wǎng)絡安全事件應急演練指南》（GB/T38645—2020）災難恢復《信息安全技術—災難恢復服務要求》（GB/T36957—2018）《信息安全技術—災難恢復服務能力評估準則》（GB/T37046—2018）4.8網(wǎng)絡安全等級保護體系4.8.2

等級保護標準體系-標準的應用在我國，信息安全工程實施是基于等級保護制度，信息系統(tǒng)安全建設是根據(jù)《信息安全技術—網(wǎng)絡安全安全等級保護基本要求》（GB/T22239—2019），在不同階段、針對不同技術活動參照相應的標準規(guī)范進行。4.8網(wǎng)絡安全等級保護體系4.8.3

等級保護管理體系-工程管理分等級要求目標：對按照等級保護要求開發(fā)的信息安全系統(tǒng)的整個開發(fā)過程實施管理，確保所開發(fā)的安全系統(tǒng)達到預期的安全要求。包括：工程管理計劃。工程資格保障。工程組織保障。工程實施管理。項目實施管理。4.8網(wǎng)絡安全等級保護體系4.8.3

等級保護管理體系-運行管理分等級要求通過對按照等級保護要求開發(fā)的信息安全系統(tǒng)的運行過程，按照相應的安全保護等級的要求實施安全管理，確保其在運行過程中所提供的安全功能達到預期的安全要求。包括：系統(tǒng)安全管理計劃、管理機構和人員配置、規(guī)章制度、人員審查與管理、人員培訓考核與操作管理、安全管理中心、風險管理、密碼管理4.8網(wǎng)絡安全等級保護體系4.8.3

等級保護管理體系-安全監(jiān)督檢查與管理安全產(chǎn)品的監(jiān)督檢查和管理：通過對安全產(chǎn)品進行測評，并實行市場準入許可證制度等，確保安全產(chǎn)品的安全性和質量要求達到規(guī)定的目標。安全系統(tǒng)的監(jiān)督檢查和管理：由國家指定的信息安全監(jiān)管職能部門，通過備案、指導、檢查、督促整改等方式，對重要信息和信息系統(tǒng)的信息安全保護工作進行指導監(jiān)督。長效持續(xù)的監(jiān)督檢查和管理：信息系統(tǒng)安全監(jiān)督檢查和管理是一項長期的持續(xù)性工作，需要制定相應的管理制度與實施規(guī)程，以確保在人員和機構等發(fā)生變化的情況下，仍能以規(guī)范化的要求開展工作。4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-信息系統(tǒng)安全組成及相互關系4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護安全技術的設計框架通用網(wǎng)絡安全等級保護安全技術設計框架：4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護基本技術安全計算環(huán)境相關技術：用戶身份鑒別：口令、生物特征、數(shù)字證書等自主訪問控制：文件或數(shù)據(jù)庫表級和（或）記錄或字段級標記和強制訪問控制：對主、客體進行安全標記，控制操作用戶數(shù)據(jù)完整性保護：采用密碼等技術支持的完整性校驗用戶數(shù)據(jù)保密性保護：采用密碼等技術支持的保密性保護機制惡意代碼防范：入侵檢測和惡意代碼防范系統(tǒng)安全審計：審計記錄查詢、分類、分析和存儲保護客體安全重用：采用具有安全客體復用功能的系統(tǒng)軟件或產(chǎn)品可信驗證：基于可信根對計算節(jié)點的BIOS、引導程序、操作系統(tǒng)內(nèi)核、應用程序等進行可信驗證配置可信檢查：將感知結果形成基準值按照安全等級的提升，并適應安全通用要求和安全擴展要求的需要，網(wǎng)絡安全等級保護在安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡和（或）安全管理中心等方面相關的技術要求也是不斷增高。4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護基本技術安全區(qū)域邊界相關技術：區(qū)域邊界訪問控制：在安全區(qū)域邊界設置自主和強制訪問控制機制區(qū)域邊界包過濾：區(qū)域邊界安全控制策略區(qū)域邊界惡意代碼防范：設置防惡意代碼網(wǎng)關，由安全管理中心管理區(qū)域邊界完整性保護：設置探測器，探測非法外聯(lián)和入侵行為區(qū)域邊界安全審計：設置審計機制，并由安全管理中心統(tǒng)一管理可信驗證：基于可信根對區(qū)域邊界計算節(jié)點的BIOS、引導程序、操作系統(tǒng)內(nèi)核、區(qū)域邊界安全管控程序等進行可信驗證4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護基本技術安全通信網(wǎng)絡相關技術：通信網(wǎng)絡數(shù)據(jù)傳輸完整性保護：采用由密碼等技術支持的完整性校驗機制通信網(wǎng)絡數(shù)據(jù)傳輸保密性保護：采用由密碼等技術支持的保密性保護機制，以實現(xiàn)通信網(wǎng)絡數(shù)據(jù)傳輸保密性保護通信網(wǎng)絡安全審計：在安全通信網(wǎng)絡設置審計機制，由安全管理中心集中管理可信連接驗證：采用具有網(wǎng)絡可信連接保護功能的系統(tǒng)軟件或可信根支撐的信息技術產(chǎn)品4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護支撐平臺信息系統(tǒng)密碼基礎設施平臺：由密碼技術所構成的密碼基礎設施平臺，由基于公鑰基礎設施（PKI）、授權管理基礎設施（PMI）、密鑰管理基礎設施（KMI）等密碼安全機制和授權管理機制等組成，它為安全信息系統(tǒng)實現(xiàn)保密性、完整性、真實性、抗抵賴、訪問控制等安全機制提供支持。4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護支撐平臺信息系統(tǒng)應用安全支撐平臺：利用密碼基礎設施平臺提供的基于PKI/PMI/KMI技術的安全服務，采用安全中間件及一站式服務理論和技術，支持面向業(yè)務應用的各種應用軟件系統(tǒng)安全機制的設計，實現(xiàn)包括真實性鑒別、訪問控制、信息安全交換、數(shù)據(jù)安全傳輸以及數(shù)據(jù)的保密性、完整性保護等應用軟件系統(tǒng)的安全功能，是應用軟件系統(tǒng)安全支撐平臺的設計目標。分等級要求4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護支撐平臺信息系統(tǒng)災難備份與恢復平臺：災難備份災難恢復分等級要求4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護支撐平臺信息系統(tǒng)安全事件應急響應與管理平臺：應急響應與管理應急計劃聯(lián)動要求標準化要求4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護支撐平臺信息系統(tǒng)安全管理平臺：信息系統(tǒng)安全管理平臺既是一個管理機構，又具有強烈的技術特色。通過對各種信息安全設備、安全軟件、人員角色等進行集中監(jiān)控與管理，把原本分離的各種信息資源聯(lián)系成一個有機協(xié)作的整體，實現(xiàn)信息安全管理過程中的實時狀態(tài)監(jiān)測與風險評估、動態(tài)策略調(diào)整、綜合安全審計、數(shù)據(jù)關聯(lián)處理，以及恰當及時的威脅響應，從而有效地提升信息系統(tǒng)的安全保障能力和用戶的管理水平。4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級保護支撐平臺一個單層的信息系統(tǒng)安全管理平臺架構：4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-等級化安全信息系統(tǒng)構建技術等級化安全信息系統(tǒng)的設計與實現(xiàn)。等級化安全信息系統(tǒng)的測試與評估。4.8網(wǎng)絡安全等級保護體系4.8.4

等級保護技術體系-安全技術措施建設

本章目錄4.1概述4.2等級保護的發(fā)展4.3等級保護與信息保障各環(huán)節(jié)的關系4.4實施等級保護的意義4.5等級保護的基本原理和方法4.6信息系統(tǒng)的安全保護等級的劃分4.7等級保護工作的實施4.8網(wǎng)絡安全等級保護體系4.9等級保護的建設工作4.10有關部門信息安全等級保護工作經(jīng)驗4.9等級保護的建設工作4.9.1

等級保護的建設目標與內(nèi)容某級信息系統(tǒng)技術要求管理要求基本要求建立安全技術體系建立安全管理體系具有某級安全保護能力的系統(tǒng)物理安全網(wǎng)絡安全系統(tǒng)安全應用安全技術安全管理安全管理機構安全管理制度人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理4.9等級保護的建設工作4.9.2

等級保護的建設要求大類控制點控制項網(wǎng)絡安全1.網(wǎng)絡結構安全2.網(wǎng)絡訪問控制3.網(wǎng)絡安全審計4.邊界完整性檢查5.網(wǎng)絡入侵防范6.惡意代碼防護7.網(wǎng)絡防護設備1.機房與設施安全2.防其他自然災害3.環(huán)境與人員安全1.防盜與防毀2.防止電磁泄露發(fā)射3.防電磁干擾1.介質的分類2.介質的管理3.介質的防護物理安全1.環(huán)境安全2.設備安全3.介質安全4.9等級保護的建設工作4.9.2

等級保護的建設要求對不同大類下各控制點按等級有不同的安全要求：網(wǎng)絡安全－－>入侵防范：(G3)a.應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等；b.當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警。網(wǎng)絡安全－－>入侵防范：(G4）a.應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等；b.當檢測到攻擊行為時，應記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警及自動采取相應動作。4.9等級保護的建設工作4.9.3

等級保護的建設模式滿足政策要求滿足標準要求滿足用戶自身要求安全現(xiàn)狀差異性分析基本要求需求物理安全網(wǎng)絡安全系統(tǒng)安全應用安全數(shù)據(jù)安全與備份恢復4.9等級保護的建設工作4.9.4

等級保護的建設流程達標等保體系安全措施業(yè)務應用信息網(wǎng)絡已運營系統(tǒng)業(yè)務應用安全措施新建系統(tǒng)等保整改等保建設4.9等級保護的建設工作4.9.5

等級保護的整改流程1.信息系統(tǒng)定級2.等保建設立項3.信息安全風險評估4.等保方案設計5.安全體系部署6.等保體系測評7.等保整改建設完成4.9等級保護的建設工作4.9.5

等級保護的整改流程1-信息系統(tǒng)定級按部門重要性的方式定級按照一個單位的信息系統(tǒng)所承載的業(yè)務應用軟件系統(tǒng)所管理和控制的相關資源（含信息資源和其他資源）的重要性，根據(jù)公通字[2004]66號文件的規(guī)定，可以定性地對該單位的信息系統(tǒng)應具有的總體安全保護要求進行評估，確定目標信息系統(tǒng)需要進行保護的等級。66號文件所規(guī)定的安全等級劃分，是在假定安全威脅相同的情況下，從國家利益出發(fā)考慮信息系統(tǒng)資產(chǎn)價值（重要性）的角度提出的安全需求。在具體進行安全需求等級的確定時，還應充分考慮該單位自身的安全要求。一級：信息系統(tǒng)所存儲、傳輸和處理的信息從總體上被認為是公開信息。二級：信息系統(tǒng)所存儲、傳輸和處理的信息從總體上被認為是一般信息。三級：信息系統(tǒng)所存儲、傳輸和處理的信息從總體上被認為是重要信息。四級：信息系統(tǒng)所存儲、傳輸和處理的信息從總體上被認為是關鍵信息。五級：信息系統(tǒng)所存儲、傳輸和處理的信息從總體上被認為是核心信息。4.9等級保護的建設工作4.9.5

等級保護的整改流程1-信息系統(tǒng)定級第二步：對目標信息系統(tǒng)（安全域）及其相關設施的資產(chǎn)價值及該信息系統(tǒng)（安全域）可能受到的威脅進行綜合評估與審計，確定其相應的資產(chǎn)價值級別和威脅級別，并據(jù)此確定目標信息系統(tǒng)（安全域）應具有的安全保護等級。按資產(chǎn)價值和威脅的方式定級第一步：根據(jù)確定信息系統(tǒng)的總體安全需求等級過程中對信息和信息系統(tǒng)安全保護需求的分析，明確信息系統(tǒng)的安全保護需求是否需要進一步劃分安全域。如果不需要劃分安全域，則以下的工作以信息系統(tǒng)為基本單元進行，如果需要劃分安全域，則以下的工作在劃分和確定安全域以后，以安全域為基本單元進行。4.9等級保護的建設工作4.9.5

等級保護的整改流程1-信息系統(tǒng)定級按資產(chǎn)價值和威脅的方式定級第三步：按照確定的安全保護等級，從等級保護的相關標準中選取對應等級的安全措施（包括技術措施和管理措施），用系統(tǒng)化方法設計具有相應安全保護等級的安全子系統(tǒng)，并對設計好的安全子系統(tǒng)的脆弱性進行評估。第四步：用風險分析的方法對已經(jīng)設計好安全子系統(tǒng)的目標信息系統(tǒng)（安全域）的資產(chǎn)價值、安全威脅和脆弱性進行評估，確定該信息系統(tǒng)（安全域）具有的剩余風險。如果其剩余風險從總體上是可接受的，則所確定的信息系統(tǒng)（安全域）的安全保護等級即為該信息系統(tǒng)（安全域）最終的安全保護等級，并可按照所設計的安全子系統(tǒng)進行目標信息系統(tǒng)的安全建設。如果其剩余風險是不可接受的，或者有些安全措施明顯的超過保護需求，則應對安全子系統(tǒng)的相關安全措施進行調(diào)整，再對調(diào)整后的信息系統(tǒng)（安全域）的脆弱性進行評估，得到新的剩余風險。如此循環(huán)，直至剩余風險可接受為止。第五步：再根據(jù)安全措施的調(diào)整情況，對照等級保護的相關標準中不同安全保護等級的安全技術和安全管理的要求，確定目標信息系統(tǒng)（安全域）的最終安全保護等級。4.9等級保護的建設工作定級實例1：某省政府網(wǎng)站系統(tǒng)ZFWZ，用于發(fā)布政務公開信息、地方行政法規(guī)和管理措施、領導講話、政府辦事流程、新聞發(fā)布、政府公告、舉報投訴、省內(nèi)經(jīng)濟形勢介紹、電子表單下載等信息，服務對象主要是省內(nèi)企業(yè)和市民。ZFWZ系統(tǒng)是省政府對社會辦公的窗口，其中發(fā)布的信息內(nèi)容代表政府形象和體現(xiàn)政府的社會管理和社會服務職能，因此該信息安全被破壞可能對社會秩序造成一定影響；由于省政府網(wǎng)站的訪問量并不很大，信息被篡改可能造成的不良社會影響不會很大，因此對社會秩序的侵害程度為一般損害；查表知ZFWZ系統(tǒng)的業(yè)務信息安全保護等級為第二級，如下表所示。業(yè)務信息安全被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級4.9等級保護的建設工作定級實例2：某省電力集團公司的省級電力實時監(jiān)控系統(tǒng)，主要運行調(diào)度自動化控制系統(tǒng)和能量管理系統(tǒng)（SCADA/EMS）DDZDH，負責省級超高壓輸電變電站的調(diào)度控制和數(shù)據(jù)采集。系統(tǒng)實時性要求極高，達到秒級。電力系統(tǒng)是國家重要基礎設施，省級DDZDH系統(tǒng)負責全省范圍內(nèi)的電力調(diào)度，調(diào)度控制指令或調(diào)度程序被修改，可能造成的停電事故會影響幾乎所有行業(yè)的正常生產(chǎn)和工作，其所侵害的客體為社會秩序和公共利益；調(diào)度控制指令或調(diào)度程序被修改可能造成全省范圍大面積停電、人員傷亡和巨額財產(chǎn)損失，同時對其它行業(yè)的生產(chǎn)和工作造成非常嚴重的影響，因此對社會秩序和公共利益的侵害程度為特別嚴重損害；查表知DDZDH系統(tǒng)的業(yè)務信息安全保護等級為第四級，如下表所示。業(yè)務信息安全被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級4.9等級保護的建設工作4.9.5

等級保護的整改流程2-等保建設立項信息系統(tǒng)等級保護建設，經(jīng)過信息系統(tǒng)的運營、管理部門以及有關政府部門的批準，并列入信息系統(tǒng)運營單位或政府計劃的過程。4.9等級保護的建設工作4.9.5

等級保護的整改流程3-風險評估風險評估是對信息資產(chǎn)面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用而帶來風險的可能性的評估。風險評估是確定信息安全需求的一個重要途徑。風險評估完成后出具《評估報告》和《整改意見報告》。需請相應級別、具有資質的測評中心進行風險評估。4.9等級保護的建設工作4.9.5

等級保護的整改流程4-等保方案設計1整改意見需求分析2總體設計詳細設計3應急方案災備方案5方案與產(chǎn)品安全性論證6項目預算7項目實施方案設計4產(chǎn)品選型技術指標信息系統(tǒng)等保體系建設目標4.9等級保護的建設工作4.9.5

等級保護的整改流程4-等保方案設計二、安全需求分析一、項目背景四、等保技術體系設計三、方案總體設計六、等保管理安全設計五、等保物理安全設計八、產(chǎn)品選型與技術指標七、應急與災備設計九、方案與產(chǎn)品安全性論證十一、實施方案設計十、項目預算需求背景政策依據(jù)以《基本要求》中“網(wǎng)絡、主機、應用、數(shù)據(jù)”部分要求為目標，以《設計要求》為方法以《基本要求》中物理安全部分為依據(jù)以《基本要求》中管理安全部分為依據(jù)經(jīng)過信息安全等級保護專家論證通過4.9等級保護的建設工作4.9.5

等級保護的整改流程5-安全體系部署統(tǒng)一規(guī)劃，分步實施規(guī)范管理，責任落實確保安全，影響最小專家論證，內(nèi)部驗收計算環(huán)境區(qū)域邊界通信網(wǎng)絡4.9等級保護的建設工作4.9.5

等級保護的整改流程6-等保體系測評等保體系達標等保體系測評信息等保整改通過未通過以相應的政策、標準為基準，對等保體系進行風險評測，從面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用角度，分析信息系統(tǒng)的等保體系是否達標。需請相應級別、具有資質的測評中心進行等保測評。等保測評完成后出具《測評報告》和《整改