安全域划分和等级保护

近年来，随着我国信息化发展的逐步深入，我们对信息系统的依赖越来越强，国家信息基础设施和重要信息系统能否安全正常地运行直接关系到国家安全和社会秩序。

但是大型信息系统的安全保障体系建设是一个极为复杂的工作，为大型组织设计一套完整和有效的安全体系一直是个世界性的难题。

一些行业性机构或大型企业的信息系统应用众多、结构复杂、覆盖地域广阔、涉及的行政部门和人员众多；系统面临着各种性质的安全威胁，间谍、黑客、病毒蠕虫、木后门、非法的合作伙伴、本地维护的第三方、内部员工等；安全保障要求的内容极为广泛，从物理安全、网络安全、系统安全、应用安全一直到安全管理、安全组织建设等等，凡是涉及到影响正常运行的和业务连续性的都可以认为是信息安全问题；不同业务系统、不同发展阶段、不同地域和行政隶属层次的安全要求属性和强度存在较大差异性。

国内的政策及发展
面对严峻的形势和严重的问题，如何解决大型信息系统的信息安全问题，是摆在我国信息化建设人员面前的重大关键问题。

美国及西方发达国家为了抵御信息网络的脆弱性和安全威胁，制定了一系列强化信息网络安全建设的政策和标准，其中一个很重要思想就是按照安全保护强度划分不同的安全等级，以指导不同领域的信息安全工作。

经过我国信息安全领域有关部门和专家学者的多年研究，在借鉴国外先进经验和结合我国国情的基础上，提出了分等级保护的策略来解决我国信息网络安全问题，即针对信息系统建设和使用单位，根据其单位的重要程度、信息系统承载业务的重要程度、信息内容的重要程度、系统遭到攻击破坏后造成的危害程度等安全需求以及安全成本等因素，依据国家规定的等级划分标准，设定其保护等级，自主进行信息系统安全建设和安全管理，提高安全保护的科学性、整体性、实用性。

2003 年，中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》(27号文)中，已将信息安全等级保护作为国家信息安全保障工作的重中之重，要求各级党委、人民政府认真组织贯彻落实。

《意见》中明确指出，信息化发展的不同阶段和不同的信息系统，有着不同的安全需求，必须从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，确保重点。

之后，一系列的国家部委、行业组织下发了关于信息系统等级保护方面的政策和规范。

2004年，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合下发
了《关于信息安全等级保护工作的实施意见》（66 号文）。

2005年国信办下发了《电子政务信息安全等级保护实施指南》（25号文）。

2005年底，公安部下发了《关于开展信息系统安全等级保护基础调查工作的通知》（公信安[2005]1431号），并从2006年1月由全国各级公安机关组织开展了全国范围内各行业、企业信息系统的基础信息调研工作，并先后出台了《信息系统安全保护等级定级指南（试用稿）》、《信息系统安全等级保护基本要求（试用稿）》、《信息系统安全等级保护测评准则（送审稿）》、《信息系统安全等级保护实施指南（送审稿）》等指导性文件。

安全域划分的方法和步骤
对大型信息系统进行等级保护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护。

因此，安全域划分是进行信息安全等级保护的首要步骤。

安全域是指同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全策略。

当然，安全域的划分不能单纯从安全角度考虑，而是应该以业务角度为主，辅以安全角度，并充分参照现有网络结构和管理现状，才能以较小的代价完成安全域划分和网络梳理，而又能保障其安全性。

以某单位信息系统总体信息系统安全域划分和单独一个业务区域内部安全域划分为例（参考例图1和例图2），对信息系统安全域（保护对象）的划分应主要考虑如下方面因素：
1.业务和功能特性
–业务系统逻辑和应用关联性
–业务系统对外连接：对外业务，支撑，内部管理
2.安全特性的要求
–安全要求相似性：可用性、保密性和完整性的要求–威胁相似性：威胁来源、威胁方式和强度
–资产价值相近性：重要与非重要资产分离
3.参照现有状况
–现有网络结构的状况：现有网络结构、地域和机房等–参照现有的管理部门职权划分
例图2：某业务安全区域内部安全域划分图
划分一个独立的业务信息系统的内部安全域的划分主要参考如下步骤：
1.查看网络上承载的业务系统的访问终端与业务主机的访问关系以及业务主机之间的访问关系，若业务主机之间没有任何访问关系的则单独考虑各业务系统安全域的划分，若业务主机之间有访问关系，则几个业务系统一起考虑安全域的划分；
2. 划分安全计算域：根据业务系统的业务功能实现机制、保护等级程度进行安全计算域的划分，一般分为核心处理域和访问域，其中数据库服务器等后台处理设备归入核心处理域，前台直接面对用户的应用服务器归入访问域；{参考：局域网访问域可以有多种类型，包括：开发区，测试区，数据共享区，数据交换区，第三方维护管理区，VPN接入区等；局域网的内部核心处理域包括：数据库，安全控制管理，后台维护区（网管工作区）等，核心处理域应具有隔离设备对该区域进行安全隔离，如防火墙，路由器（使用ACL），交换机（使用VLAN）等。

}
3.划分安全用户域：根据业务系统的访问用户分类进行安全用户域的划分，访问同类数据的
用户终端、需要进行相同级别保护划为一类安全用户域，一般分为管理用户域、内部用户域、外部用户域；
4.划分安全网络域：安全网络域是由连接具有相同安全等级的计算域和（或）用户域组成的网络域。

网络域的安全等级的确定与网络所连接的安全用户域和（或）安全计算域的安全等级有关。

一般同一网络内化分三种安全域：外部域、接入域、内部域。

安全保护级别的确定和等级管理
信息系统的安全保护可以理解为：为确保信息系统能够抗御来自人为的和自然的原因引起的威胁和破坏而采取的有效机制和措施。

这些机制和措施包括技术和管理两方面的内容。

信息系统安全等级保护所规定的五个安全保护等级，是实施安全等级保护的基础。

计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。

安全域的等级和安全保护等级之间有一定的关系，主要体现在当安全域属于同一个网络时，安全域的保护等级随着这种等级的增高而增高，但当安全域属于不同的网络，且网络的等级不相同时，和安全保护等级没有直接的关系，如对于同处在内部区域的不同等级的安全域的安全保护等级可能是相同的。

安全保护级别的确定主要根据业务系统中应用的重要程度、敏感程度以及信息资产的客观条件。

信息系统包含了多个操作系统和多个数据库，以及多个独立的网络产品，网络系统也十分复杂。

在对大型信息系统的安全保护等级进行划分时，通常需要对构成信息系统的操作系统、网络系统、数据库系统和独立的网络产品等子系统的安全性进行考虑，在确定各子系统对应的安全等级保护技术要求的前提下，依据木桶原理综合分析，确定对该计算机信息系统安全保护等级的划分。

目前，国内对信息系统等级定级可以参考公安部的《信息系统安全保护等级定级指南（试用稿）》。

等级保护的定级问题是一个比较复杂的问题，确定的等级将涉及以下几个方面因素：
1）信息系统所属类型，即信息系统资产的安全利益主体。

2）信息系统主要处理的业务信息类别。

3）信息系统服务范围，包括服务对象和服务网络覆盖范围。

4）业务对信息系统的依赖程度。

信息系统的安全保护等级确定之后，系统管理人员应根据安全域划分情况进行边界整合和优化，确定对重要安全域的重点保护、分类保护，制定不同子安全域的基线安全保护策略和入域安全策略。

目前，系统管理人员可以参考《信息系统安全等级保护基本要求（试用稿）》进行相应等级的安全技术和安全管理建设。

安全技术方面主要包括：身份鉴别与访问控制、物理安全、网络安全、节点安全、应用与数据安全等方面；安全管理方面主要包括：政策和制度、机构与人员、安全风险管理、工程建设管理、运行与维护管理、业务连续性管理、符合性管理等方面。

总结
安全域与等级化安全体系的设计需要充分考虑大型信息系统的复杂性和信息安全保障的系统性与长期性，需要系统化的统一规划设计。

信息系统的管理者应坚持在风险评估的基础上，采取适当、管用、足够的措施来加强其信息系统的安全。

实现等级保护，应该采取分级、分类、分阶段的策略坚持分级实施保护，加强安全，突出关注重点、要害部位，实现纵深防护；依据各大系统应用和结构的不同特点，采取不同的方法，分类加以指导和推进；照顾信息化发展阶段的不平衡，依据信息资产的大小，信息化依赖度的不同，按阶段分步骤，逐步实现等级保护的各项要求。

（作者为中联绿盟信息技术（北京）有限公司专业服务部高级咨询顾问，多次参加国家网络安全标准的制定与大型企业的安全建设咨询工作。

）。