1、信息安全等級保護標準體系概述,目錄,信息安全等級保護標準體系 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要求,目錄,信息安全等級保護標準體系 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要求,等級保護標準體系,多年來，在有關部門支持下，在國內(nèi)有關專家、企業(yè)的共同努力下，全國信息安全標準化技術委員會和公安部信息系統(tǒng)安全標準化技術委員會組織制訂了信息安全等級保護工作需要的一系列標準，形成了比較完整的信息安全等級保護標準體系。匯集成信息安全等級保護標準匯編供有關單位、部門使用。,在安全建設整改工作中的作用 等級保護有關標準,等

2、級保護標準體系,信息安全等級保護標準體系由等級保護工作過程中所需的所有標準組成，整個標準體系可以從多個角度分析 從基本分類角度看 基礎類標準 技術類標準 管理類標準 從對象角度看 基礎標準 系統(tǒng)標準 產(chǎn)品標準 安全服務標準 安全事件標準等,等級保護標準體系,從等級保護生命周期看 通用/基礎標準 系統(tǒng)定級用標準 安全建設用標準 等級測評用標準 運行維護用標準等,等級保護主要工作,一是：定級備案 二是：建設整改 三是：等級測評 四是：監(jiān)督檢查,等級保護工作中用到的主要標準,（一）基礎 1、計算機信息系統(tǒng)安全保護等級劃分準則GB17859-1999 2、信息系統(tǒng)安全等級保護實施指南GB/T 2505

3、8-2010 （二）系統(tǒng)定級環(huán)節(jié) 3、信息系統(tǒng)安全保護等級定級指南GB/T22240-2008 （三）建設整改環(huán)節(jié) 4、信息系統(tǒng)安全等級保護基本要求GB/T22239-2008 （四）等級測評環(huán)節(jié) 5、信息系統(tǒng)安全等級保護測評要求(國標報批稿) 6、信息系統(tǒng)安全等級保護測評過程指南(國標報批稿),小結(jié)-等級保護主要政策和標準,信息安全等級保護管理辦法（公通字200743號，以下簡稱管理辦法） 計算機信息安全保護等級劃分準則（GB 17859-1999，簡稱劃分準則） 信息系統(tǒng)安全等級保護實施指南 GB/T 25058-2010 （簡稱實施指南） 信息系統(tǒng)安全保護等級定級指南（GB/T 2224

4、0-2008，簡稱定級指南） 信息系統(tǒng)安全等級保護基本要求（GB/T 22239-2008，簡稱基本要求） 信息系統(tǒng)安全等級保護測評要求（簡稱測評要求） 信息系統(tǒng)安全等級保護測評過程指南 （簡稱測評過程指南）,目錄,信息安全等級保護制度要干什么 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要求,具體做法,等級確定與備案,自查與等級測評,等級保護運行與管理,基本要求，實施指南、 安全產(chǎn)品標準,定級指南、實施指南,監(jiān)督管理要求、 基本要求、測評要求,基本要求，定級指南、 實施指南，設計規(guī)范、測評要求,安全規(guī)劃與設計,安全建設與實現(xiàn),監(jiān)督管理要求實施指南,標準定位

5、和關系,管理辦法(43文件)（總要求） 實施指南（GB/T25058-2010） 定級指南（GB/T22240-2008） 基本要求（GB/T22239-2008） 測評要求 建設指南,目錄,信息安全等級保護制度要干什么 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要求,管理辦法,管理辦法第八條: 信息系統(tǒng)運營、使用單位依據(jù)本辦法和相關技術標準對信息系統(tǒng)進行保護，國家有關信息安全職能部門對其信息安全等級保護工作進行監(jiān)督管理 。,管理辦法,管理辦法第九條: 信息系統(tǒng)運營、使用單位應當按照信息系統(tǒng)安全等級保護實施指南具體實施等級保護工作。,管理辦法,管理辦法第十

6、條: 信息系統(tǒng)運營、使用單位應當依據(jù)本辦法和信息系統(tǒng)安全等級保護定級指南確定信息系統(tǒng)的安全保護等級。有主管部門的，應當經(jīng)主管部門審核批準。,管理辦法,管理辦法第十二條: 在信息系統(tǒng)建設過程中，運營、使用單位應當按照計算機信息系統(tǒng)安全保護等級劃分準則（GB17859-1999）、信息系統(tǒng)安全等級保護基本要求等技術標準，參照等技術標準同步建設符合該等級要求的信息安全設施。,管理辦法,管理辦法第十三條: 運營、使用單位應當參照信息安全技術信息系統(tǒng)安全管理要求（GB/T20269-2006）、信息安全技術信息系統(tǒng)安全工程管理要求（GB/T20282-2006）、信息系統(tǒng)安全等級保護基本要求等管理規(guī)范，

7、制定并落實符合本系統(tǒng)安全保護等級要求的安全管理制度。,管理辦法,管理辦法第十四條: 信息系統(tǒng)建設完成后，運營、使用單位或者其主管部門應當選擇符合本辦法規(guī)定條件的測評單位，依據(jù)信息系統(tǒng)安全等級保護測評要求等技術標準，定期對信息系統(tǒng)安全等級狀況開展等級測評。第三級信息系統(tǒng)應當每年至少進行一次等級測評，第四級信息系統(tǒng)應當每半年至少進行一次等級測評，第五級信息系統(tǒng)應當依據(jù)特殊安全需求進行等級測評。,目錄,信息安全等級保護制度要干什么 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要求,實施指南,介紹和描述了實施信息系統(tǒng)等級保護過程中涉及的階段、過程和需要完成的活動，通

8、過對過程和活動的介紹，使大家了解對信息系統(tǒng)實施等級保護的流程方法，以及不同的角色在不同階段的作用等。,實施指南,等級變更,局部調(diào)整,信息系統(tǒng)定級,總體安全規(guī)劃,安全設計與實施,安全運行維護,信息系統(tǒng)終止,實施指南的主要思路,以信息系統(tǒng)安全等級保護建設為主要線索， 定義信息系統(tǒng)等級保護實施的主要階段和過程 對每個階段介紹和描述主要的過程和實施活動 對每個活動說明實施主體、主要活動內(nèi)容和輸入輸出等,實施指南標準的結(jié)構,正文由9個章節(jié)1個附錄構成 1. 范圍 2.規(guī)范性引用文件 3術語定義 4. 等級保護實施概述 5.信息系統(tǒng)定級 6.總體安全規(guī)劃 7.安全設計/實施 8.安全運行維護 9.信息系統(tǒng)

9、終止 附錄A 主要過程及其輸出,實施指南中的主要概念,階段 過程 主要活動 子活動 活動輸入 活動輸出,實施指南特點,階段 過程 活動 子活動 例如: 信息系統(tǒng)定級 信息系統(tǒng)分析 系統(tǒng)識別和描繪 識別信息系統(tǒng)的基本信息 識別信息系統(tǒng)的管理框架 信息系統(tǒng)劃分,系統(tǒng)定級階段-實施流程,主要輸入,主要輸出,過程,系統(tǒng)立項文檔 系統(tǒng)建設文檔 系統(tǒng)管理文檔,信息系統(tǒng)分析,系統(tǒng)總體描述文件 系統(tǒng)詳細描述文件,安全保護等級確定,系統(tǒng)總體描述文件 系統(tǒng)詳細描述文件,系統(tǒng)安全保護等級定級建議書,目錄,信息安全等級保護制度要干什么 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要

10、求,定級指南,安全保護等級 等級的確定是不依賴于安全保護措施的，具有一定的“客觀性”，即該系統(tǒng)在存在之初便由其自身所實現(xiàn)的使命決定了它的安全保護等級，而非由“后天”的安全保護措施決定。,標準的結(jié)構,正文由6個章節(jié)構成 1. 范圍 2. 規(guī)范性引用文件 3. 術語定義 4. 定級原理 5. 定級方法 6. 級別變更,-定級原理,五個等級的定義 第一級, 信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。 第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益產(chǎn)生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。 第三級，信息

11、系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。 第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。 第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴重損害。,-定級原理,-定級方法,確定定級對象； 確定業(yè)務信息安全受到破壞時所侵害的客體； 綜合評定業(yè)務信息安全被破壞對客體的侵害程度； 得到業(yè)務信息安全等級； 確定系統(tǒng)服務安全受到破壞時所侵害的客體； 綜合評定系統(tǒng)服務安全被破壞對客體的侵害程度； 得到系統(tǒng)服務安全等級； 由業(yè)務信息安全等級和系統(tǒng)服務安全等級的較高者確定定級對象的安全保護等級。,可能的系統(tǒng)級別,第一級 S

12、1A1G1 第二級 S1A2G2，S2A2G2，S2A1G2 第三級 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3 第四級 S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4,目錄,信息安全等級保護制度要干什么 信息安全等級保護工作使用的主要標準 管理辦法 實施指南 定級指南 基本要求 測評要求,37,標準背景,03年，27號文件進一步明確信息安全等級保護制度 04年，66號文件要求“盡快制定、完善法律法規(guī)和標準體系” 編制歷程 04年10月，接受公安部的標準編制任務 05年 6月，完成初稿，廣泛征求安全領域?qū)＜液托袠I(yè)用戶意

13、見； 05年10月，征求意見稿第一稿，國信辦、安標委評審 05年11月，征求意見稿第三稿 06年 6月，試點工作 07年04月，征求意見稿第四稿，安標委專家評審 07年05月，形成報批稿 08年6月19日，正式發(fā)布，08年11月1日正式實施。,38,標準定位,GB 17859-1999的細化和發(fā)展 吸收安全機制并擴展到不同層面 增加安全管理方面的內(nèi)容 借鑒PDR、CMM、17799 關注可操作性 最佳實踐 當前技術的發(fā)展 機制要求（目標/要求）,信息系統(tǒng)安全等級保護基本要求,計算機信息系統(tǒng)安全保護等級劃分準則（GB17859）,信息系統(tǒng)通用安全 技術要求,信息系統(tǒng)物理安全 技術要求,技術類,其

14、他技術類標準,信息系統(tǒng)安全 管理要求,信息系統(tǒng)安全工程 管理要求,其他管理類標準,信息系統(tǒng)安全等級保護定級指南,信息系統(tǒng)安全等級保護基本要求的行業(yè)細則,信息系統(tǒng)安全等級保護測評過程指南,信息系統(tǒng)安全等級保護測評要求,信息系統(tǒng)等級保護安全設計技術要求,管理類,產(chǎn)品類,數(shù)據(jù)庫管理系統(tǒng)安全技術要求,其他產(chǎn)品類標準,信息系統(tǒng)安全等級保護行業(yè)定級細則,操作系統(tǒng)安全技術 要求,信息系統(tǒng)安全等級保護建設整改,網(wǎng)絡基礎安全技術 要求,網(wǎng)絡和終端設備隔離部件技術要求,安全定級,基線要求,狀態(tài)分析,方法指導,信息系統(tǒng)安全等級保護實施指南,等級保護有關標準 在安全建設整改工作中的作用,39,40,與其他標準的關系,

15、GB17859-1999是基礎性標準，基本要求17859基礎上的進一步細化和擴展。 定級指南確定出系統(tǒng)等級以及業(yè)務信息安全性等級和業(yè)務服務保證性等級后，需要按照相應等級，根據(jù)基本要求選擇相應等級的安全保護要求進行系統(tǒng)建設實施。 測評要求是依據(jù)基本要求檢驗系統(tǒng)的各項保護措施是否達到相應等級的基本要求所規(guī)定的保護能力。,41,標準適用范圍,用戶范圍 信息系統(tǒng)的主管部門及運營使用單位 測評機構 安全服務機構（系統(tǒng)集成商，軟件開發(fā)商） 信息安全監(jiān)管職能部門 適用環(huán)節(jié) 需求分析 方案設計、系統(tǒng)建設與驗收 運行維護、等級測評、自查,標準的編制思路,門檻合理 對每個級別的信息系統(tǒng)安全要求設置合理，按照基本要

16、求建設后，確實達到期望的安全保護能力 內(nèi)容完整 綜合技術、管理各個方面的要求，安全要求內(nèi)容考慮全面、完整，覆蓋信息系統(tǒng)生命周期 便于使用 安全要求分類方式合理，便于安全保護、檢測評估、監(jiān)督檢查實施各方的靈活使用,42,43,描述模型,44,基本安全保護能力,對抗能力和恢復能力共同構成了信息系統(tǒng)的安全保護能力。 安全保護能力主要表現(xiàn)為信息系統(tǒng)應對威脅的能力，稱為對抗能力，但當信息系統(tǒng)無法阻擋威脅對自身的破壞時，信息系統(tǒng)的恢復能力使系統(tǒng)在一定時間內(nèi)恢復到原有狀態(tài)，從而降低負面影響。,45,能力目標,第一級安全保護能力 應具有能夠?qū)箒碜詡€人的、擁有很少資源（如利用公開可獲取的工具等）的威脅源發(fā)起的

17、惡意攻擊、一般的自然災難（災難發(fā)生的強度弱、持續(xù)時間很短、系統(tǒng)局部范圍等）、以及其他相當危害程度的威脅所造成的關鍵資源損害，并在威脅發(fā)生后，能夠恢復部分功能。,46,能力目標,第二級安全保護能力 應具有能夠?qū)箒碜孕⌒徒M織的（如自發(fā)的三兩人組成的黑客組織）、擁有少量資源（如個別人員能力、公開可獲或特定開發(fā)的工具等）的威脅源發(fā)起的惡意攻擊、一般的自然災難（災難發(fā)生的強度一般、持續(xù)時間短、覆蓋范圍?。ň植啃裕┑龋⒁约捌渌喈斘：Τ潭龋o意失誤、設備故障等）的威脅所造成的重要資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠在一段時間內(nèi)恢復部分功能。,47,能力目標,第三級安全保護

18、能力 應具有能夠?qū)箒碜源笮偷?、有組織的團體（如一個商業(yè)情報組織或犯罪組織等），擁有較為豐富資源（包括人員能力、計算能力等）的威脅源發(fā)起的惡意攻擊、較為嚴重的自然災難（災難發(fā)生的強度較大、持續(xù)時間較長、覆蓋范圍較廣（地區(qū)性）等）以及其他相當危害程度（內(nèi)部人員的惡意威脅、設備的較嚴重故障等）威脅的能力，并在威脅發(fā)生后，能夠較快恢復絕大部分功能。,48,能力目標,第四級安全保護能力 應具有能夠?qū)箒碜試壹墑e的、敵對組織的、擁有豐富資源的威脅源發(fā)起的惡意攻擊、嚴重的自然災難（災難發(fā)生的強度大、持續(xù)時間長、覆蓋范圍廣（多地區(qū)性）等）以及其他相當危害程度（內(nèi)部人員的惡意威脅、設備的嚴重故障等）威脅的能

19、力，并在威脅發(fā)生后，能夠迅速恢復所有功能。,49,描述模型,一級系統(tǒng),二級系統(tǒng),三級系統(tǒng),防護,防護/檢測,策略/防護/檢測/恢復,策略/防護/檢測/恢復/響應,四級系統(tǒng),技術要求特點,50,描述模型,一級系統(tǒng),二級系統(tǒng),三級系統(tǒng),四級系統(tǒng),管理要求特點,一般執(zhí)行（部分活動建制度）,計劃實施（主要過程建制度）,統(tǒng)一策略（管理制度體系化）,持續(xù)改進（管理制度體系化/驗證/改進）,51,描述模型,一級系統(tǒng),二級系統(tǒng),三級系統(tǒng),四級系統(tǒng),覆蓋范圍特點,通信/邊界（關鍵資源）,通信/邊界/內(nèi)部（重要設備）,通信/邊界/內(nèi)部（主要設備）,通信/邊界/內(nèi)部/基礎設施（所有設備）,描述結(jié)構,52,安全類,5

20、3,物理安全,技術要求,管理要求,基本要求,網(wǎng)絡安全,主機安全,應用安全,數(shù)據(jù)安全及備份恢復,安全管理制度,安全管理機構,人員安全管理,系統(tǒng)建設管理,系統(tǒng)運維管理,類,示例,7 第三級基本要求 7.1 技術要求 7.1.1 物理安全 7.1.1.1 物理位置的選擇 本項要求包括 a) 機房和辦公場地應選擇在具有防震、防 風和防雨等能力的建筑內(nèi) b) 機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。 。,54,類,要求項,控制點,控制點標注,業(yè)務信息安全相關要求（標記為S） 系統(tǒng)服務保證相關要求（標記為A） 通用安全保護要求（標記為G） 技術要求（3種標注） 管理要求（統(tǒng)屬G）

21、,55,描述模型,業(yè)務信息安全相關要求（S） 電磁防護 訪問控制 數(shù)據(jù)完整性 數(shù)據(jù)保密性 系統(tǒng)服務保證相關要求（A） 電力供應 軟件容錯 備份與恢復 資源控制 通用安全保護要求（G） 管理要求和大部分技術要求,56,逐級增強的特點,控制點增加 要求項增加 要求項增強 范圍增大 要求細化 要求粒度細化,逐級增強的特點-控制點增加,58,三級基本要求：在二級基本要求的基礎上，技術方面，在控制點上增加了網(wǎng)絡惡意代碼防范、剩余信息保護、軟件容錯、抗抵賴等。管理方面，增加了系統(tǒng)備案、安全測評、監(jiān)控管理和安全管理中心等控制點。 四級基本要求：在三級基本要求的基礎上，技術方面，在系統(tǒng)和應用層面控制點上增加了

22、安全標記、可信路徑，,不同級別系統(tǒng)控制點的差異匯總,59,逐級增強的特點-要求項增加,60,要求項增多，如，對“身份鑒別”，一級要求“進行身份標識和鑒別”，二級增加要求“口令復雜度、登錄失敗保護等”；而三級則要求“采用兩種或兩種以上組合的鑒別技術 ”。 項目增加，要求增強。,不同級別系統(tǒng)要求項的差異匯總,61,逐級增強的特點-要求項增強,62,范圍增大，如，對物理安全的“防靜電”，二級只要求“關鍵設備應采用必要的接地防靜電措施”；而三級則在對象的范圍上發(fā)生了變化，為“主要設備應采用必要的接地防靜電措施”。范圍的擴大，表明了該要求項強度的增強。 。,逐級增強的特點-要求項增強,63,要求細化：如

23、，人員安全管理中的“安全意識教育和培訓”，二級要求“應制定安全教育和培訓計劃，對信息安全基礎知識、崗位操作規(guī)程等進行培訓”，而三級在對培訓計劃進行了進一步的細化，為“應針對不同崗位制定不同培訓計劃”，培訓計劃有了針對性，更符合各個崗位人員的實際需要。,逐級增強的特點-要求項增強,64,粒度細化：如，網(wǎng)絡安全中的“訪問控制”，二級要求“控制粒度為網(wǎng)段級”，而三級要求則將控制粒度細化，為“控制粒度為端口級”。由“網(wǎng)段級”到“端口級”，粒度上的細化，同樣也增強了要求的強度。,基本要求文檔結(jié)構,由9個章節(jié)2個附錄構成 1.適用范圍 2.規(guī)范性引用文件 3.術語定義 4.信息系統(tǒng)安全等級保護概述 5.6

24、.7.8.9五個等級的基本要求 附錄A 關于信息系統(tǒng)整體安全保護能力的要求 附錄B 基本安全要求的選擇和使用,65,各級的要求-物理安全,66,物理位置選擇,物理安全,物理訪問控制,防盜竊和防破壞,防 雷 擊,防火,防 水 和 防 潮,電力供應,電磁防護,防 靜 電,溫 濕 度 控 制,等級要求-物理安全,67,物理安全要求主要由機房（包括主、輔機房、介質(zhì)存放間等）所部署的設備設施和采取的安全技術措施兩方面提供的功能來滿足。 部分物理安全要求涉及到終端所在的辦公場地。,68,各級的要求-網(wǎng)絡安全,69,網(wǎng)絡安全,結(jié)構安全,網(wǎng)絡訪問控制,網(wǎng)絡安全審計,邊界完整性檢查,網(wǎng)絡入侵檢測,惡意代碼防護,

25、網(wǎng)絡設備防護,等級要求-網(wǎng)絡安全,70,網(wǎng)絡安全要求中對廣域網(wǎng)絡、城域網(wǎng)絡等通信網(wǎng)絡的要求由構成通信網(wǎng)絡的網(wǎng)絡設備、安全設備等的網(wǎng)絡管理機制提供的功能來滿足。 對局域網(wǎng)安全的要求主要通過采用、防火墻、入侵檢測系統(tǒng)、惡意代碼防范系統(tǒng)、安全管理中心等設備提供的安全功能來滿足。,71,各級的要求-主機安全,72,主機安全,身份鑒別,訪問控制,可信路徑,安全審計,剩余信息保護,入侵防范,惡意代碼防范,資源控制,安全標記,等級要求-主機安全,73,主機包括應用服務器、數(shù)據(jù)庫服務器、安全軟件所安裝的服務器及管理終端、業(yè)務終端、辦公終端等。 主機安全要求通過操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)及其他安全軟件（包括防病毒

26、、防入侵、木馬檢測等軟件）實現(xiàn)的安全功能來滿足。,74,各級的要求-應用安全,75,應用安全,身份鑒別,訪問控制,通信完整性,通信保密性,安全審計,剩余信息保護,抗抵賴,軟件容錯,資源控制,代碼安全,等級要求-應用安全,76,應用安全要求通過應用系統(tǒng)、應用平臺系統(tǒng)等實現(xiàn)的安全功能來滿足。 如果應用系統(tǒng)是多層結(jié)構的，一般不同層的應用都需要實現(xiàn)同樣強度的身份鑒別、訪問控制、安全審計、剩余信息保護及資源控制等。 通信保密性、完整性一般在一個層面實現(xiàn)。,各級的要求-數(shù)據(jù)安全及備份和恢復,77,數(shù)據(jù)安全,數(shù)據(jù)完整性,數(shù)據(jù)保密性,備份和恢復,78,各級的要求-安全管理,79,各級的要求-安全管理機構,80,崗位設置,安全管理機構,人員配備,授權和審批,溝通與合作,審核和檢查,81,各級的要求-安全管理制度,82,管理制度,安全管理制度,制定和發(fā)布,評審和修訂,83,各級的要求-人員安全管理,84,人員安全管理,人員錄用,人員離崗,人員考核,