信息网络安全等级保护
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息网络安全等级保护工作介绍
一、相关概念
信息网络安全：指计算机网络硬件设备、软件、数据 不因偶然的或恶意的原因而遭到破坏、更改、泄漏。 包括：基础信息网络和重要信息系统。
信息网络安全等级保护：指将安全策略、安全责任和 安全保障等计算机信息网络安全需求划分不同的等级， 国家、企业和个人依据不同等级的要求有针对性地保 护信息网络安全。
条规定报经审定。（新建、扩建，现在已建成） 省级部门在确定安全保护等级后，直接向省信息化行
政主管部门（省信息产业厅）提交申请资料。 设区的市：各信息系统运营、使用单位确定安全保护
等级后，定为二、三级的向当地的市信息化行政主管 部门提交申请资料；定为四级的直接向省信息化行政 主管部门（省信息产业厅）提交申请资料。
基础信息网络主要包括公用通信网、广播电视 传输网等。
重要信息系统主要包括：
党政事务处理信息系统； 金融、财税、海关业务信息系统； 铁路、机场、交通（港口）等业务信息系统； 医疗、社（医）保、供水、电力、燃气等业
务信息系统； 国家和省规定的其他重要信息系统。
四、等级评审流程
1、提交申请资料 保护等级应当在信息系统规划设计时按照223号令第十
设区的市信息化行政主管部门受理二、三级信息系统 安全等级定级、等级变更的评审申请。
3、评审
受理申请的信息化行政主管部门，应当自受理之日起 20个工作日内，委托专家组进行评审。信息化行政主 管部门应当自评审之日起45个工作日内审定专家组提 出评审意见并书面通报。
省信息化行政主管部门组织专家组进行评审，审定省 级及三级专家组评审意见；对拟确定为四级信息系统 安全等级申请提出初审意见。
信息系统等级安全保护定级原则
信息系统安全保护等级既不是信息系统安全保障等级， 也不是信息系统所能达到的技术能力等级，而是从国 家管理的需要出发，从信息系统对国家安全、经济建 设、公共利益等方面的重要性，以及信息或信息系统 被破坏后造成危害的严重性角度确定的信息系统应达 到的安全等级。
定级工作原则
五、实施等级保护工作的主要阶段
第一阶段：系统定级 第二阶段：定级评审 第三阶段：系统备案 第四阶段：等级测评、整改 第五阶段：安全管理、建设
第一阶段：系统定级
信息系统使用单位按照等级保护的管理规范和技术标 准，确定其信息系统的安全保护等级，并报其主管部 门审批同意。
系统涉及国家秘密的部分按照《涉密信息系统分级保 护管理办法》(国保发[2005]16号)和《涉及国家秘密的 信息系统分级保护技术要求》（国家保密标准BMBl72006）确定信息系统的安全保护等级。跨市或者全省 统一联网运行的信息系统可以由主管部门统一确定安 全保护等级。
㈣等级确定资料 1、安全需求分析：安全需求分析报告、等级保护基本
要求； 2、总体安全设计规划（总体安全策略、总体安全方案、
安全技术防护措施、安全保护管理制度、信息安全应 急预案等）；
3、信息系统安全自评估报告； 4、安全保护等级自定级报告；
2、受理
省信息化行政主管部门受理省级单位信息系统安全等 级定级、等级变更的评审申请；受理四级重要信息系 统安全等级的评审申请；
ቤተ መጻሕፍቲ ባይዱ、目的和依据
目的：为了加强信息安全等级保护定级工作的组织实 施和监督指导，科学、准确、合理地评审、确定信息 系统等级，促进等级保护管理工作规范化、制度化。
依据：《浙江信息安全等级保护管理办法》省政府223 号令。
三、确定基础信息网络和重要信息系统的依据
主要是根据其在国家安全、经济建设、社会生 活中的重要程度及实际安全需要，遭到破坏后 对国家安全、社会秩序、经济建设、公共利益 以及公民、法人和其他组织的合法权益的危害 程度来确定的。
3、信息系统的网络及设备部署，主要包括信息系统的 物理环境、网络拓扑结构、网络边界描述和硬件设备 的部署等情况。
㈢信息系统划分资料 1、划分原则和方法； 2、信息系统列表； 3、每个信息系统的概述； 4、每个信息系统支撑的业务应用的列表； 5、每个业务应用处理的信息资产类型； 6、每个业务应用的服务范围和用户类型； 7、每个业务应用的其他特性。
原则一：自主定级原则。“依照标准，自行保护”， 因此定级工作必须由单位依照相关法律规范和标准来 自行定级。定级工作的责任主体为信息系统主管单位。
原则二：满足国家管理要求原则。信息系统安全保护 等级既不是信息系统安全保障等级，也不是信息系统 所能达到的技术能力等级，而是从国家管理的需要出 发，立足信息系统对国家安全、经济建设、公共利益 等方面的重要性角度，及信息或信息系统被破坏后造 成危害的严重性角度来确定的信息系统应达到的安全 等级。
定级工作原则
原则三：全局性原则 。信息系统安全等级保护是针对 全国范围内、涵盖各个行业信息系统的管理制度，信 息系统安全保护等级的划分也必须从国家层面考虑， 体现全局性。
原则四：业务为核心原则。信息系统是为业务应用服 务的，信息系统的安全保护等级应当依据信息系统承 载业务的重要性、业务对信息系统的依赖度和系统特 殊的安全需求确定。
设区的市信息化行政主管部门组织专家组进行评审， 审定二级专家组评审意见，并向省信息化行政主管部 门报备；对三级信息系统安全等级定级、等级变更的 申请提出初审意见。
4、复审申请
对审定结果有异议的，应当自收到该审定结果之日起 60日内，可以向省信息化行政主管部门提出复审申请。
5、变更
信息系统运营、使用单位需要变更安全等级的，应当 向原审定的信息化行政主管部门提出等级变更申请。 受理申请的信息化行政主管部门按照本细则第十条规 定重新组织审定。
提交申请材料内容
4个方面（1个情况、1个信息、2个资料） ㈠申报单位基本情况：单位名称、法定代表人、通信
地址、联络方式等基本情况。
㈡信息系统基本信息
1、信息系统的行业特征、主管机构、地理位置、业务 范围、业务种类和特性等基本情况。
2、信息系统管理框架，主要包括组织管理结构、管理 策略、部门设置和部门在业务运行中的作用、岗位职 责、用户范围和用户类型基本情况；
一、相关概念
信息网络安全：指计算机网络硬件设备、软件、数据 不因偶然的或恶意的原因而遭到破坏、更改、泄漏。 包括：基础信息网络和重要信息系统。
信息网络安全等级保护：指将安全策略、安全责任和 安全保障等计算机信息网络安全需求划分不同的等级， 国家、企业和个人依据不同等级的要求有针对性地保 护信息网络安全。
条规定报经审定。（新建、扩建，现在已建成） 省级部门在确定安全保护等级后，直接向省信息化行
政主管部门（省信息产业厅）提交申请资料。 设区的市：各信息系统运营、使用单位确定安全保护
等级后，定为二、三级的向当地的市信息化行政主管 部门提交申请资料；定为四级的直接向省信息化行政 主管部门（省信息产业厅）提交申请资料。
基础信息网络主要包括公用通信网、广播电视 传输网等。
重要信息系统主要包括：
党政事务处理信息系统； 金融、财税、海关业务信息系统； 铁路、机场、交通（港口）等业务信息系统； 医疗、社（医）保、供水、电力、燃气等业
务信息系统； 国家和省规定的其他重要信息系统。
四、等级评审流程
1、提交申请资料 保护等级应当在信息系统规划设计时按照223号令第十
设区的市信息化行政主管部门受理二、三级信息系统 安全等级定级、等级变更的评审申请。
3、评审
受理申请的信息化行政主管部门，应当自受理之日起 20个工作日内，委托专家组进行评审。信息化行政主 管部门应当自评审之日起45个工作日内审定专家组提 出评审意见并书面通报。
省信息化行政主管部门组织专家组进行评审，审定省 级及三级专家组评审意见；对拟确定为四级信息系统 安全等级申请提出初审意见。
信息系统等级安全保护定级原则
信息系统安全保护等级既不是信息系统安全保障等级， 也不是信息系统所能达到的技术能力等级，而是从国 家管理的需要出发，从信息系统对国家安全、经济建 设、公共利益等方面的重要性，以及信息或信息系统 被破坏后造成危害的严重性角度确定的信息系统应达 到的安全等级。
定级工作原则
五、实施等级保护工作的主要阶段
第一阶段：系统定级 第二阶段：定级评审 第三阶段：系统备案 第四阶段：等级测评、整改 第五阶段：安全管理、建设
第一阶段：系统定级
信息系统使用单位按照等级保护的管理规范和技术标 准，确定其信息系统的安全保护等级，并报其主管部 门审批同意。
系统涉及国家秘密的部分按照《涉密信息系统分级保 护管理办法》(国保发[2005]16号)和《涉及国家秘密的 信息系统分级保护技术要求》（国家保密标准BMBl72006）确定信息系统的安全保护等级。跨市或者全省 统一联网运行的信息系统可以由主管部门统一确定安 全保护等级。
㈣等级确定资料 1、安全需求分析：安全需求分析报告、等级保护基本
要求； 2、总体安全设计规划（总体安全策略、总体安全方案、
安全技术防护措施、安全保护管理制度、信息安全应 急预案等）；
3、信息系统安全自评估报告； 4、安全保护等级自定级报告；
2、受理
省信息化行政主管部门受理省级单位信息系统安全等 级定级、等级变更的评审申请；受理四级重要信息系 统安全等级的评审申请；
ቤተ መጻሕፍቲ ባይዱ、目的和依据
目的：为了加强信息安全等级保护定级工作的组织实 施和监督指导，科学、准确、合理地评审、确定信息 系统等级，促进等级保护管理工作规范化、制度化。
依据：《浙江信息安全等级保护管理办法》省政府223 号令。
三、确定基础信息网络和重要信息系统的依据
主要是根据其在国家安全、经济建设、社会生 活中的重要程度及实际安全需要，遭到破坏后 对国家安全、社会秩序、经济建设、公共利益 以及公民、法人和其他组织的合法权益的危害 程度来确定的。
3、信息系统的网络及设备部署，主要包括信息系统的 物理环境、网络拓扑结构、网络边界描述和硬件设备 的部署等情况。
㈢信息系统划分资料 1、划分原则和方法； 2、信息系统列表； 3、每个信息系统的概述； 4、每个信息系统支撑的业务应用的列表； 5、每个业务应用处理的信息资产类型； 6、每个业务应用的服务范围和用户类型； 7、每个业务应用的其他特性。
原则一：自主定级原则。“依照标准，自行保护”， 因此定级工作必须由单位依照相关法律规范和标准来 自行定级。定级工作的责任主体为信息系统主管单位。
原则二：满足国家管理要求原则。信息系统安全保护 等级既不是信息系统安全保障等级，也不是信息系统 所能达到的技术能力等级，而是从国家管理的需要出 发，立足信息系统对国家安全、经济建设、公共利益 等方面的重要性角度，及信息或信息系统被破坏后造 成危害的严重性角度来确定的信息系统应达到的安全 等级。
定级工作原则
原则三：全局性原则 。信息系统安全等级保护是针对 全国范围内、涵盖各个行业信息系统的管理制度，信 息系统安全保护等级的划分也必须从国家层面考虑， 体现全局性。
原则四：业务为核心原则。信息系统是为业务应用服 务的，信息系统的安全保护等级应当依据信息系统承 载业务的重要性、业务对信息系统的依赖度和系统特 殊的安全需求确定。
设区的市信息化行政主管部门组织专家组进行评审， 审定二级专家组评审意见，并向省信息化行政主管部 门报备；对三级信息系统安全等级定级、等级变更的 申请提出初审意见。
4、复审申请
对审定结果有异议的，应当自收到该审定结果之日起 60日内，可以向省信息化行政主管部门提出复审申请。
5、变更
信息系统运营、使用单位需要变更安全等级的，应当 向原审定的信息化行政主管部门提出等级变更申请。 受理申请的信息化行政主管部门按照本细则第十条规 定重新组织审定。
提交申请材料内容
4个方面（1个情况、1个信息、2个资料） ㈠申报单位基本情况：单位名称、法定代表人、通信
地址、联络方式等基本情况。
㈡信息系统基本信息
1、信息系统的行业特征、主管机构、地理位置、业务 范围、业务种类和特性等基本情况。
2、信息系统管理框架，主要包括组织管理结构、管理 策略、部门设置和部门在业务运行中的作用、岗位职 责、用户范围和用户类型基本情况；