信息安全等級(jí)保護(hù)定級(jí)和備案.ppt

1、信息安全等級(jí)保護(hù)制度,信息安全等級(jí)保護(hù)定級(jí)和備案 廣東省公安廳網(wǎng)警總隊(duì) 林雁飛 2007年8月,提 綱,一、主要工作措施 二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn) 三、信息系統(tǒng)安全保護(hù)等級(jí)的確定 四、備案和備案審核 五、時(shí)間要求,一、主要工作措施,開(kāi)展信息系統(tǒng)基本情況的摸底調(diào)查 初步確定安全保護(hù)等級(jí) 評(píng)審與審批 備案 備案管理,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),信息系統(tǒng)的安全保護(hù)等級(jí)應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，遭到破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),第一級(jí)，信息系統(tǒng)受到破壞后，會(huì)

2、對(duì)公民、法人和其他組織的合法權(quán)益造成損害，但不損害國(guó)家安全、社會(huì)秩序和公共利益。,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),第二級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國(guó)家安全。,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),第三級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成損害。,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),第四級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成嚴(yán)重?fù)p害。,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),第五級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)國(guó)家安全造成特別嚴(yán)重?fù)p害。,二、

3、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),決定信息系統(tǒng)的安全保護(hù)等級(jí)由兩個(gè)定級(jí)要素 等級(jí)保護(hù)對(duì)象受到破壞時(shí)所侵害的客體 對(duì)客體造成侵害的程度,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),決定信息系統(tǒng)的安全保護(hù)等級(jí)由兩個(gè)定級(jí)要素 等級(jí)保護(hù)對(duì)象受到破壞時(shí)所侵害的客體 公民、法人和其他組織的合法權(quán)益 社會(huì)秩序、公共利益 國(guó)家安全,二、信息安全保護(hù)等級(jí)的劃分和標(biāo)準(zhǔn),對(duì)客體造成侵害的程度 造成一般損害 造成嚴(yán)重?fù)p害 造成特別嚴(yán)重?fù)p害,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,定級(jí)范圍 電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)，經(jīng)營(yíng)性公眾互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、數(shù)據(jù)中心等單位的重要信息系統(tǒng)。 鐵路、銀行、

4、海關(guān)、稅務(wù)、民航、電力、證券、保險(xiǎn)、外交、科技、發(fā)展改革、國(guó)防科技、公安、人事勞動(dòng)和社會(huì)保障、財(cái)政、審計(jì)、商務(wù)、水利、國(guó)土資源、能源、交通、文化、教育、統(tǒng)計(jì)、工商行政管理、郵政等行業(yè)、部門(mén)的生產(chǎn)、調(diào)度、管理、辦公等重要信息系統(tǒng)。 市（地）級(jí)以上黨政機(jī)關(guān)的重要網(wǎng)站和辦公信息系統(tǒng)。 涉及國(guó)家秘密的信息系統(tǒng)（以下簡(jiǎn)稱涉密信息系統(tǒng)）,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,定級(jí)工作步驟 第一步：確定定級(jí)對(duì)象 作為定級(jí)對(duì)象的信息系統(tǒng)應(yīng)具有如下基本特征： 1 .具有唯一確定的安全責(zé)任單位。 2 .具有信息系統(tǒng)的基本要素。 3 .承載單一或相對(duì)獨(dú)立的業(yè)務(wù)應(yīng)用。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,定級(jí)工作步驟 第二步：

5、初步確定信息系統(tǒng)等級(jí) 1定級(jí)的一般流程。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,2確定受侵害的客體。 定級(jí)對(duì)象受到破壞時(shí)所侵害的客體包括國(guó)家安全、社會(huì)秩序、公眾利益以及公民、法人和其他組織的合法權(quán)益。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,侵害國(guó)家安全的事項(xiàng)包括以下方面 影響國(guó)家政權(quán)穩(wěn)固和國(guó)防實(shí)力 影響國(guó)家統(tǒng)一、民族團(tuán)結(jié)和社會(huì)安定 影響國(guó)家對(duì)外活動(dòng)中的政治、經(jīng)濟(jì)利益 影響國(guó)家重要的安全保衛(wèi)工作 影響國(guó)家經(jīng)濟(jì)競(jìng)爭(zhēng)力和科技實(shí)力 其他影響國(guó)家安全的事項(xiàng)。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,侵害社會(huì)秩序的事項(xiàng)包括以下方面 影響國(guó)家機(jī)關(guān)社會(huì)管理和公共服務(wù)的工作秩序 影響各種類型的經(jīng)濟(jì)活

6、動(dòng)秩序 影響各行業(yè)的科研、生產(chǎn)秩序 影響公眾在法律約束和道德規(guī)范下的正常生活秩序等 其他影響社會(huì)秩序的事項(xiàng),三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,影響公共利益的事項(xiàng)包括以下方面 影響社會(huì)成員使用公共設(shè)施 影響社會(huì)成員獲取公開(kāi)信息資源 影響社會(huì)成員接受公共服務(wù)等方面 其他影響公共利益的事項(xiàng) 影響公民、法人和其他組織的合法權(quán)益是指 由法律確認(rèn)的并受法律保護(hù)的公民、法人和其他組織所享有的一定的社會(huì)權(quán)利和利益,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,確定作為定級(jí)對(duì)象的信息系統(tǒng)受到破壞后所侵害的客體時(shí)，應(yīng)首先判斷是否侵害國(guó)家安全，然后判斷是否侵害社會(huì)秩序或公眾利益，最后判斷是否侵害公民、法人和其他組織的合法權(quán)益。,三

7、、信息系統(tǒng)安全保護(hù)等級(jí)的確定,3確定侵害的客觀方面。 在客觀方面，對(duì)客體的侵害外在表現(xiàn)為對(duì)定級(jí)對(duì)象的破壞，其危害方式表現(xiàn)為對(duì)信息安全的破壞和對(duì)信息系統(tǒng)服務(wù)的破壞。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,信息安全和系統(tǒng)服務(wù)安全受到破壞后，可能產(chǎn)生以下危害后果： 影響行使工作職能 導(dǎo)致業(yè)務(wù)能力下降 引起法律糾紛 導(dǎo)致財(cái)務(wù)損失 造成社會(huì)不良影響 對(duì)其他組織和個(gè)人造成損失 其他影響。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,4綜合判定侵害程度 系統(tǒng)服務(wù)安全被破壞導(dǎo)致業(yè)務(wù)能力下降的程度可以從信息系統(tǒng)服務(wù)覆蓋的區(qū)域范圍、用戶人數(shù)或業(yè)務(wù)量等不同方面確定。 業(yè)務(wù)信息安全被破壞導(dǎo)致的財(cái)物損失可以從直接的資金損失大小、間接的信

8、息恢復(fù)費(fèi)用等方面進(jìn)行確定。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,不同危害后果的三種危害程度描述如下： 一般損害：工作職能受到局部影響，業(yè)務(wù)能力有所降低但不影響主要功能的執(zhí)行，出現(xiàn)較輕的法律問(wèn)題，較低的資產(chǎn)損失，有限的社會(huì)不良影響，對(duì)其他組織和個(gè)人造成較低損害。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,嚴(yán)重?fù)p害：工作職能受到嚴(yán)重影響，業(yè)務(wù)能力顯著下降且嚴(yán)重影響主要功能執(zhí)行，出現(xiàn)較嚴(yán)重的法律問(wèn)題，較高的資產(chǎn)損失，較大范圍的社會(huì)不良影響，對(duì)其他組織和個(gè)人造成較嚴(yán)重?fù)p害。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,特別嚴(yán)重?fù)p害：工作職能受到特別嚴(yán)重影響或喪失行使能力，業(yè)務(wù)能力嚴(yán)重下降且或功能無(wú)法執(zhí)行，出現(xiàn)極其嚴(yán)重的法律問(wèn)題

9、，極高的資產(chǎn)損失，大范圍的社會(huì)不良影響，對(duì)其他組織和個(gè)人造成非常嚴(yán)重?fù)p害。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,5確定信息系統(tǒng)安全保護(hù)等級(jí)。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,作為定級(jí)對(duì)象的信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安全等級(jí)的較高者決定。定級(jí)對(duì)象等級(jí)確定后，可參照附件中的信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)報(bào)告模版起草定級(jí)報(bào)告。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,定級(jí)工作步驟 第三步：信息系統(tǒng)等級(jí)評(píng)審 在信息系統(tǒng)安全保護(hù)等級(jí)確定過(guò)程中，可以聘請(qǐng)專家進(jìn)行咨詢?cè)u(píng)審，并出具定級(jí)評(píng)審意見(jiàn) 對(duì)擬確定為第四級(jí)以上信息系統(tǒng)的，運(yùn)營(yíng)、使用單位或者主管部門(mén)應(yīng)當(dāng)邀請(qǐng)國(guó)家信息安全

10、保護(hù)等級(jí)專家評(píng)審委員會(huì)評(píng)審，出具評(píng)審意見(jiàn)。,三、信息系統(tǒng)安全保護(hù)等級(jí)的確定,定級(jí)工作步驟 第四步：信息系統(tǒng)等級(jí)的最終確定與審批 信息系統(tǒng)運(yùn)營(yíng)使用單位參考專家定級(jí)評(píng)審意見(jiàn)，最終確定信息系統(tǒng)等級(jí)，形成定級(jí)報(bào)告。 如果專家評(píng)審意見(jiàn)與運(yùn)營(yíng)使用單位意見(jiàn)不一致時(shí)，由運(yùn)營(yíng)使用單位自主決定系統(tǒng)等級(jí)。 信息系統(tǒng)運(yùn)營(yíng)使用單位有上級(jí)主管部門(mén)的，應(yīng)當(dāng)經(jīng)上級(jí)主管部門(mén)對(duì)安全保護(hù)等級(jí)進(jìn)行審核批準(zhǔn)。,四、備案和備案審核,備案 已運(yùn)營(yíng)（運(yùn)行）的第二級(jí)以上信息系統(tǒng)，應(yīng)當(dāng)在安全保護(hù)等級(jí)確定后30日內(nèi)，由其運(yùn)營(yíng)、使用單位到所在地設(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)辦理備案手續(xù)。 新建第二級(jí)以上信息系統(tǒng)，應(yīng)當(dāng)在投入運(yùn)行后30日內(nèi)，由其運(yùn)營(yíng)、使用單位

11、到所在地設(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)辦理備案手續(xù)。,四、備案和備案審核,備案 隸屬于中央的在京單位，其跨省或者全國(guó)統(tǒng)一聯(lián)網(wǎng)運(yùn)行并由主管部門(mén)統(tǒng)一定級(jí)的信息系統(tǒng)，由主管部門(mén)向公安部辦理備案手續(xù)?？缡』蛘呷珖?guó)統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)在各地運(yùn)行、應(yīng)用的分支系統(tǒng)，應(yīng)當(dāng)向當(dāng)?shù)卦O(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)備案。 跨地區(qū)或全省統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)由省級(jí)主管部門(mén)組織向省公安廳備案?？绲貐^(qū)、跨省或者全省、全國(guó)統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)在各地運(yùn)行、應(yīng)用的分支系統(tǒng)，向地級(jí)以上市公安局備案。,四、備案和備案審核,備案審核 管理辦法第十七條規(guī)定，信息系統(tǒng)備案后，公安機(jī)關(guān)應(yīng)當(dāng)對(duì)信息系統(tǒng)的備案情況進(jìn)行審核，對(duì)符合等級(jí)保護(hù)要求的，應(yīng)當(dāng)在收到備案材料之日起的10個(gè)工作日內(nèi)頒發(fā)信息系統(tǒng)安全等級(jí)保護(hù)備案證明 發(fā)現(xiàn)不符合本辦法及有關(guān)標(biāo)準(zhǔn)的，應(yīng)當(dāng)在收到備案材料之日起的10個(gè)工作日內(nèi)通知備案單位予以糾正,四、備案和備案審