信息安全等级保护安全建设整改工程
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
开展信息安全等级保护安全技术措施建设，提高信息系统安 全保护能力；
开展信息系统安全等级测评，使信息系统安全保护状况逐步 达到等级保护要求。
（摘自“公信安[2009]1429号”文件）
建设整改工作要求
统一组织，加强领导； 循序渐进，分步实施； 结合实际，制定规范； 认真总结，按时报送。
（摘自“公信安[2009]1429号”文件）
技术类
信息系统通用安全
管理类
信息系统安全
产品类
操作系统安全技术
系统定级中的S、A
五个等级的定义
第一级, 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成 损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生 严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安 [2009]1429号）
等级的概念-重要程度等级
在《管理办法》中，明确了“信息系统的安全 保护等级应当根据信息系统在国家安全、经济 建设、社会生活中的重要程度，信息系统遭到 破坏后对国家安全、社会秩序、公共利益以及 公民、法人和其他组织的合法权益的危害程度 等因素确定”
管理办法（43号文）规定的等级保护工作
一是：定级。 二是：备案。 三是：系统建设、整改。 四是：开展等级测评。 五是：信息安全监管部门定期开展监督检查
等级保护“规定动作”
系统定级
系统备案
建设整改
监督检查
等级测评
- 16 -
安全建设整改的地位和作用
信息系统安全等级保护定级指南 信息系统安全等级保护行业定级细则
安全建设整改的目的
使确定了等级的信息系统能够达到相应等级的 基本的保护水平和满足自身需求的安全保护能力。
第一级信息系统安全保护能力
经过安全建设整改，信息系统具有抵御一般 性攻击的能力，防范常见计算机病毒和恶意 代码危害的能力；系统遭到损害后，具有恢 复系统主要功能的能力 。
第二级信息系统安全保护能力
有关等级保护建设整改的文件和标准
<关于开展信息安全等级保护安全建设整改工作的指导意 见>的函》（公信安[2009]1429号）
安全建设整改的工作流程
《信息系统安全等级保护实施指南》（GB/T25058-2010） 《信息系统安全等级保护基本要求》GB/T22239-2008
明确了信息系统安全等级保护建设整改的保护要求 提供了信息系统安全等级保护建设整改的参考方法
第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安 全监管部门对该级信息系统信息安全等级保护工作进行指导。属于指导保护级。
第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安 全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。属于监督保护级。
信息安全等级保护
安全建设整改工程
目录
与安全建设相关的概念 安全建设整改工程方法 安全建设整改工程中的关键环节
目录
与安全建设相关的概念
等级的概念 等级保护主要工作环节 系统定级中的S、A在安全建设中的作用 等级保护基本要求和测评要求标准的关系
等级的概念
信息系统重要程度等级 安全保护能力等级 监督管理强度等级
等级的概念-重要程度等级
第二级信息系统 信息系统受到破坏后，会对公民、法人和其他组织的合
法权益产生严重损害，或者对社会秩序和公共利益造成 损害，但不损害国家安全。 第三级信息系统 信息系统受到破坏后，会对社会秩序和公共利益造成严 重损害，或者对国家安全造成损害等级的概念-安全保 Nhomakorabea能力等级
SSE-CMM的两维模型
能力级别 0 级 未实施 1 级 非正规执行 2 级 计划与跟踪
3 级 充分定义
4 级 量化控制 5 级 连续改进
公共特征 无公共特征； 执行基本实施 规划执行 规范化执行 验证执行 跟踪执行 定义标准化过程 执行已定义过程 协调安全实施 建立可测量的质量目标 客观地管理过程的执行 改进组织能力 改进过程的有效性
S4A1
S和A决定了基本安全措施的使用
1、一级系统选择第一级基本安全要求，二级系统选择第二级基本安全要 求，三级系统选择第三级基本安全要求，四级系统选择第四级基本安全要 求，以此作为出发点。
2、根据系统服务保证性等级选择相应等级的系统服务保证类（A类）基本 安全要求；根据业务信息安全性等级选择相应等级的业务信息安全类（S 类）基本安全要求。
建设整改工作目标
实现五方面目标： 一是信息系统安全管理水平明显提高； 二是信息系统安全防范能力明显增强； 三是信息系统安全隐患和安全事故明显减少； 四是有效保障信息化健康发展； 五是有效维护国家安全、社会秩序和公共利益。
（摘自“公信安[2009]1429号”文件）
建设整改工作内容
开展信息安全等级保护安全管理制度建设，提高信息系统安 全管理水平；
第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保 护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。属于 强制保护级。
第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保 护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。属于专控 保护级。
一般损害
严重损害 特别严重损害
公民、法人和其他组织的合法权 益
社会秩序、公共利益
第一级 第二级
第二级 第三级
第二级 第四级
国家安全
第三级
第四级
第五级
定级过程中的“S”、“A”
1、确定定级对象
信息系统安全包括业务信息安全和系统服务安全
S：业务信息安全 2、确定业务信息安全受到破坏时所侵害 的客体
5、确定系统服务安全受到破坏时所侵害 的客体
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或 者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害， 或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
系统定级中的S、A
对客体的侵害程度
受侵害的客体
A：系统服务安全 3、综合评定对客体的侵害程度
6、综合评定对客体的侵害程度
4、业务信息安全等级
7、系统服务安全等级
8、定级对象的安全保护等级
可能的系统级别
第一级 S1A1 第二级 S1A2，S2A2，S2A1 第三级 S1A3，S2A3，S3A3，S3A2，S3A1 第四级 S1A4，S2A4，S3A4，S4A4，S4A3，S4A2，
评信 过息 程系 指统 南安
全 等 级 保 护 测
评信 要息 求系
统 安 全 等 级 保 护 测
安全等级
状 况 分 析
信息安全等级 保护安全建设
整改工作
方 法 指 导
基线要求
信息系统安全等级保护基本要求的行业细则
信
信
息
息
系
系
统
统
等
安
级
全
保
等
护
级
安
保
全
护
设
实
计
施
技
指
术
南
要
求
信息系统安全等级保护基本要求
信息系统重要性 一般信息系统 一般信息系统 重要信息系统 重要信息系统 重要信息系统
安全保护能力级别 一级安全保护能力 二级安全保护能力 三级安全保护能力 四级安全保护能力
未公布
等级的概念-总结
信息系统重要程度等级是信息安全等级保护工作中定级 备案、建设整改、等级测评和监督检查等工作的基础。 确定了重要程度等级后，不同级别的信息系统应具备相 应级别的安全保护能力。为了实现安全保护能力，应依 据《划分准则》和《基本要求》等技术标准，落实各项 安全技术和管理措施。信息安全监管部门将根据信息系 统的重要程度等级对信息系统实施不同强度的监督管理
等级的概念
《计算机信息安全保护等级划分准则》（GB 17859-1999，以下简称《划 分准则》）
《信息系统安全保护等级定级指南》（GB/T 22240-2008，以下简称《定 级指南》）
《信息系统安全等级保护基本要求》（GB/T 22239-2008，以下简称《基 本要求》）
《信息安全等级保护管理办法》（公通字[2007]43号，以下简称《管理办 法》）
立项 阶段
项目目标 需求识别 可研分析 立项批准 - 25 -
设计 阶段
实施 阶段
招标采购 定制开发 系统集成 系统测试 上线运行
完工 阶段
传统的工程建设方法-基本工作流程
项目立项 需求分析 总体设计 详细设计 工程实施 工程验收
安全工程能力成熟模型-(SSE CMM)
系统安全工程能力成熟模型（Systems Security Engineering Capability Maturity Model）
第四级信息系统安全保护能力
经过安全建设整改，信息系统在统一的安全保护策略下 具有抵御敌对势力有组织的大规模攻击的能力，抵抗严 重的自然灾害的能力，防范计算机病毒和恶意代码危害 的能力；具有检测、发现、报警、记录入侵行为的能力； 具有对安全事件进行快速响应处置，并能够追踪安全责 任的能力；在系统遭到损害后，具有能够较快恢复正常 运行状态的能力；对于服务保障性要求高的系统，应能 立即恢复正常运行状态；具有对系统资源、用户、安全 机制等进行集中控管的能力
WHAT/HOW
目录
安全建设整改工程方法
传统的工程建设方法
安全工程的方法论 等级保护的安全建设整改方法 等级保护安全管理建设整改工作流程 等级保护安全技术建设等级工作流程
传统的工程建设方法-项目生命周期
总体设计 详细设计 功能性能 项目概算
系统验收 工程验收 正式运行 项目竣工
3、针对不同行业或不同系统的特点，分析可能在某些方面的特殊安全保 护能力要求，选择较高级别的基本安全要求或补充基本安全要求。
基本要求和测评要求标准的关系
《信息系统安全等级保护基本要求》 GB/T22239-2008 （简称基本要求）
《信息系统安全等级保护测评要求》 GB/T28448-2012 （简称测评要求）
等级的概念-相互之间的关系
信息系统级别 第一级 第二级 第三级 第四级 第五级
信息系统重要性 一般信息系统 一般信息系统 重要信息系统 重要信息系统 重要信息系统
监督管理强度等级 自主保护级 指导保护级 监督保护级 强制保护级 专控保护级
等级的概念-相互之间的关系
信息系统级别 第一级 第二级 第三级 第四级 第五级
《基本要求》给出了安全保护能力的新定义
一级安全保护能力 二级安全保护能力 三级安全保护能力 四级安全保护能力
等级的概念-安全保护能力等级
第三级安全保护能力：信息系统在统一的安全保护策略下具有抵 御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能 力，防范计算机病毒和恶意代码危害的能力；具有检测、发现、 报警、记录入侵行为的能力；具有对安全事件进行响应处置，并 能够追踪安全责任的能力；在系统遭到损害后，具有能够较快恢 复正常运行状态的能力；对于服务保障性要求高的系统，应能快 速恢复正常运行状态；具有对系统资源、用户、安全机制等进行 集中控管的能力
《信息技术.系统安全工程.能力成熟度模型(SSECMM)》ISO/IEC 21827-2002（2009）
《信息技术.系统安全工程.能力成熟度模型》 GB/T 20261-2006
安全工程方法论
SSE-CMM规定了整个可信产品或安全系统生命周期的工程活动， 包括概念定义、需求风险、设计、开发、集成、安装、运行、维护 及淘汰
等级的概念-“监督管理”等级
为了便于国家有关信息安全职能部门对信 息安全等级保护工作进行监督管理，《管 理办法》同时提出了对不同级别信息系统 的监督管理要求，有的材料和文件称为 “监督管理”等级
等级的概念-“监督管理”等级
第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。属于自主保 护级。
经过安全建设整改，信息系统具有抵御小规模、 较弱强度恶意攻击的能力，抵抗一般的自然灾 害的能力，防范一般性计算机病毒和恶意代码 危害的能力；具有检测常见的攻击行为，并对 安全事件进行记录的能力；系统遭到损害后， 具有恢复系统正常运行状态的能力。
第三级信息系统安全保护能力
经过安全建设整改，信息系统在统一的安全保护策略下 具有抵御大规模、较强恶意攻击的能力，抵抗较为严重 的自然灾害的能力，防范计算机病毒和恶意代码危害的 能力；具有检测、发现、报警、记录入侵行为的能力； 具有对安全事件进行响应处置，并能够追踪安全责任的 能力；在系统遭到损害后，具有能够较快恢复正常运行 状态的能力；对于服务保障性要求高的系统，应能快速 恢复正常运行状态；具有对系统资源、用户、安全机制 等进行集中控管的能力。
开展信息系统安全等级测评，使信息系统安全保护状况逐步 达到等级保护要求。
（摘自“公信安[2009]1429号”文件）
建设整改工作要求
统一组织，加强领导； 循序渐进，分步实施； 结合实际，制定规范； 认真总结，按时报送。
（摘自“公信安[2009]1429号”文件）
技术类
信息系统通用安全
管理类
信息系统安全
产品类
操作系统安全技术
系统定级中的S、A
五个等级的定义
第一级, 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成 损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生 严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安 [2009]1429号）
等级的概念-重要程度等级
在《管理办法》中，明确了“信息系统的安全 保护等级应当根据信息系统在国家安全、经济 建设、社会生活中的重要程度，信息系统遭到 破坏后对国家安全、社会秩序、公共利益以及 公民、法人和其他组织的合法权益的危害程度 等因素确定”
管理办法（43号文）规定的等级保护工作
一是：定级。 二是：备案。 三是：系统建设、整改。 四是：开展等级测评。 五是：信息安全监管部门定期开展监督检查
等级保护“规定动作”
系统定级
系统备案
建设整改
监督检查
等级测评
- 16 -
安全建设整改的地位和作用
信息系统安全等级保护定级指南 信息系统安全等级保护行业定级细则
安全建设整改的目的
使确定了等级的信息系统能够达到相应等级的 基本的保护水平和满足自身需求的安全保护能力。
第一级信息系统安全保护能力
经过安全建设整改，信息系统具有抵御一般 性攻击的能力，防范常见计算机病毒和恶意 代码危害的能力；系统遭到损害后，具有恢 复系统主要功能的能力 。
第二级信息系统安全保护能力
有关等级保护建设整改的文件和标准
<关于开展信息安全等级保护安全建设整改工作的指导意 见>的函》（公信安[2009]1429号）
安全建设整改的工作流程
《信息系统安全等级保护实施指南》（GB/T25058-2010） 《信息系统安全等级保护基本要求》GB/T22239-2008
明确了信息系统安全等级保护建设整改的保护要求 提供了信息系统安全等级保护建设整改的参考方法
第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安 全监管部门对该级信息系统信息安全等级保护工作进行指导。属于指导保护级。
第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安 全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。属于监督保护级。
信息安全等级保护
安全建设整改工程
目录
与安全建设相关的概念 安全建设整改工程方法 安全建设整改工程中的关键环节
目录
与安全建设相关的概念
等级的概念 等级保护主要工作环节 系统定级中的S、A在安全建设中的作用 等级保护基本要求和测评要求标准的关系
等级的概念
信息系统重要程度等级 安全保护能力等级 监督管理强度等级
等级的概念-重要程度等级
第二级信息系统 信息系统受到破坏后，会对公民、法人和其他组织的合
法权益产生严重损害，或者对社会秩序和公共利益造成 损害，但不损害国家安全。 第三级信息系统 信息系统受到破坏后，会对社会秩序和公共利益造成严 重损害，或者对国家安全造成损害等级的概念-安全保 Nhomakorabea能力等级
SSE-CMM的两维模型
能力级别 0 级 未实施 1 级 非正规执行 2 级 计划与跟踪
3 级 充分定义
4 级 量化控制 5 级 连续改进
公共特征 无公共特征； 执行基本实施 规划执行 规范化执行 验证执行 跟踪执行 定义标准化过程 执行已定义过程 协调安全实施 建立可测量的质量目标 客观地管理过程的执行 改进组织能力 改进过程的有效性
S4A1
S和A决定了基本安全措施的使用
1、一级系统选择第一级基本安全要求，二级系统选择第二级基本安全要 求，三级系统选择第三级基本安全要求，四级系统选择第四级基本安全要 求，以此作为出发点。
2、根据系统服务保证性等级选择相应等级的系统服务保证类（A类）基本 安全要求；根据业务信息安全性等级选择相应等级的业务信息安全类（S 类）基本安全要求。
建设整改工作目标
实现五方面目标： 一是信息系统安全管理水平明显提高； 二是信息系统安全防范能力明显增强； 三是信息系统安全隐患和安全事故明显减少； 四是有效保障信息化健康发展； 五是有效维护国家安全、社会秩序和公共利益。
（摘自“公信安[2009]1429号”文件）
建设整改工作内容
开展信息安全等级保护安全管理制度建设，提高信息系统安 全管理水平；
第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保 护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。属于 强制保护级。
第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保 护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。属于专控 保护级。
一般损害
严重损害 特别严重损害
公民、法人和其他组织的合法权 益
社会秩序、公共利益
第一级 第二级
第二级 第三级
第二级 第四级
国家安全
第三级
第四级
第五级
定级过程中的“S”、“A”
1、确定定级对象
信息系统安全包括业务信息安全和系统服务安全
S：业务信息安全 2、确定业务信息安全受到破坏时所侵害 的客体
5、确定系统服务安全受到破坏时所侵害 的客体
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或 者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害， 或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
系统定级中的S、A
对客体的侵害程度
受侵害的客体
A：系统服务安全 3、综合评定对客体的侵害程度
6、综合评定对客体的侵害程度
4、业务信息安全等级
7、系统服务安全等级
8、定级对象的安全保护等级
可能的系统级别
第一级 S1A1 第二级 S1A2，S2A2，S2A1 第三级 S1A3，S2A3，S3A3，S3A2，S3A1 第四级 S1A4，S2A4，S3A4，S4A4，S4A3，S4A2，
评信 过息 程系 指统 南安
全 等 级 保 护 测
评信 要息 求系
统 安 全 等 级 保 护 测
安全等级
状 况 分 析
信息安全等级 保护安全建设
整改工作
方 法 指 导
基线要求
信息系统安全等级保护基本要求的行业细则
信
信
息
息
系
系
统
统
等
安
级
全
保
等
护
级
安
保
全
护
设
实
计
施
技
指
术
南
要
求
信息系统安全等级保护基本要求
信息系统重要性 一般信息系统 一般信息系统 重要信息系统 重要信息系统 重要信息系统
安全保护能力级别 一级安全保护能力 二级安全保护能力 三级安全保护能力 四级安全保护能力
未公布
等级的概念-总结
信息系统重要程度等级是信息安全等级保护工作中定级 备案、建设整改、等级测评和监督检查等工作的基础。 确定了重要程度等级后，不同级别的信息系统应具备相 应级别的安全保护能力。为了实现安全保护能力，应依 据《划分准则》和《基本要求》等技术标准，落实各项 安全技术和管理措施。信息安全监管部门将根据信息系 统的重要程度等级对信息系统实施不同强度的监督管理
等级的概念
《计算机信息安全保护等级划分准则》（GB 17859-1999，以下简称《划 分准则》）
《信息系统安全保护等级定级指南》（GB/T 22240-2008，以下简称《定 级指南》）
《信息系统安全等级保护基本要求》（GB/T 22239-2008，以下简称《基 本要求》）
《信息安全等级保护管理办法》（公通字[2007]43号，以下简称《管理办 法》）
立项 阶段
项目目标 需求识别 可研分析 立项批准 - 25 -
设计 阶段
实施 阶段
招标采购 定制开发 系统集成 系统测试 上线运行
完工 阶段
传统的工程建设方法-基本工作流程
项目立项 需求分析 总体设计 详细设计 工程实施 工程验收
安全工程能力成熟模型-(SSE CMM)
系统安全工程能力成熟模型（Systems Security Engineering Capability Maturity Model）
第四级信息系统安全保护能力
经过安全建设整改，信息系统在统一的安全保护策略下 具有抵御敌对势力有组织的大规模攻击的能力，抵抗严 重的自然灾害的能力，防范计算机病毒和恶意代码危害 的能力；具有检测、发现、报警、记录入侵行为的能力； 具有对安全事件进行快速响应处置，并能够追踪安全责 任的能力；在系统遭到损害后，具有能够较快恢复正常 运行状态的能力；对于服务保障性要求高的系统，应能 立即恢复正常运行状态；具有对系统资源、用户、安全 机制等进行集中控管的能力
WHAT/HOW
目录
安全建设整改工程方法
传统的工程建设方法
安全工程的方法论 等级保护的安全建设整改方法 等级保护安全管理建设整改工作流程 等级保护安全技术建设等级工作流程
传统的工程建设方法-项目生命周期
总体设计 详细设计 功能性能 项目概算
系统验收 工程验收 正式运行 项目竣工
3、针对不同行业或不同系统的特点，分析可能在某些方面的特殊安全保 护能力要求，选择较高级别的基本安全要求或补充基本安全要求。
基本要求和测评要求标准的关系
《信息系统安全等级保护基本要求》 GB/T22239-2008 （简称基本要求）
《信息系统安全等级保护测评要求》 GB/T28448-2012 （简称测评要求）
等级的概念-相互之间的关系
信息系统级别 第一级 第二级 第三级 第四级 第五级
信息系统重要性 一般信息系统 一般信息系统 重要信息系统 重要信息系统 重要信息系统
监督管理强度等级 自主保护级 指导保护级 监督保护级 强制保护级 专控保护级
等级的概念-相互之间的关系
信息系统级别 第一级 第二级 第三级 第四级 第五级
《基本要求》给出了安全保护能力的新定义
一级安全保护能力 二级安全保护能力 三级安全保护能力 四级安全保护能力
等级的概念-安全保护能力等级
第三级安全保护能力：信息系统在统一的安全保护策略下具有抵 御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能 力，防范计算机病毒和恶意代码危害的能力；具有检测、发现、 报警、记录入侵行为的能力；具有对安全事件进行响应处置，并 能够追踪安全责任的能力；在系统遭到损害后，具有能够较快恢 复正常运行状态的能力；对于服务保障性要求高的系统，应能快 速恢复正常运行状态；具有对系统资源、用户、安全机制等进行 集中控管的能力
《信息技术.系统安全工程.能力成熟度模型(SSECMM)》ISO/IEC 21827-2002（2009）
《信息技术.系统安全工程.能力成熟度模型》 GB/T 20261-2006
安全工程方法论
SSE-CMM规定了整个可信产品或安全系统生命周期的工程活动， 包括概念定义、需求风险、设计、开发、集成、安装、运行、维护 及淘汰
等级的概念-“监督管理”等级
为了便于国家有关信息安全职能部门对信 息安全等级保护工作进行监督管理，《管 理办法》同时提出了对不同级别信息系统 的监督管理要求，有的材料和文件称为 “监督管理”等级
等级的概念-“监督管理”等级
第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。属于自主保 护级。
经过安全建设整改，信息系统具有抵御小规模、 较弱强度恶意攻击的能力，抵抗一般的自然灾 害的能力，防范一般性计算机病毒和恶意代码 危害的能力；具有检测常见的攻击行为，并对 安全事件进行记录的能力；系统遭到损害后， 具有恢复系统正常运行状态的能力。
第三级信息系统安全保护能力
经过安全建设整改，信息系统在统一的安全保护策略下 具有抵御大规模、较强恶意攻击的能力，抵抗较为严重 的自然灾害的能力，防范计算机病毒和恶意代码危害的 能力；具有检测、发现、报警、记录入侵行为的能力； 具有对安全事件进行响应处置，并能够追踪安全责任的 能力；在系统遭到损害后，具有能够较快恢复正常运行 状态的能力；对于服务保障性要求高的系统，应能快速 恢复正常运行状态；具有对系统资源、用户、安全机制 等进行集中控管的能力。