等级保护专题培训课件
合集下载
《等级保护培训》课件
等保工作的法律法规要求
网络安全法
网络安全法是我国关于网络安 全的基本法律，对等保工作的 法律责任和义务进行了明确规 定。
相关政策和标准
国家制定了一系列相关政策和 标准，如《信息安全等级保护 管理办法》等，用于指导和推 动等保工作。
行业规范和标准
各行各业也发布了一些行业规 范和标准，用于指导该行业的 等保工作。
熟悉国家相关护基础
等级保护定义
等级保护指基于网络安全等级划分，对信息系 统进行的防护和管理。
等级划分原则
根据信息系统的安全需求和重要程度进行分类 划分。
等级保护目的
确保信息系统的稳定运行，防止信息泄露、丢 失和被破坏。
评估与认证
对等级保护措施进行定期评估和认证，确保其 有效性。
通过加密数据和通信传输，保护 敏感信息不被非法获取。
多因素认证
采用多个身份验证步骤，提高用 户身份识别的安全性。
等级保护组织和管理
等级保护责任人 等级保护管理员 等级评估人员
负责制定和实施等级保护策略，并组织相关培训 和评估。
负责监督和管理信息系统的等级保护工作，确保 措施得到有效执行。
负责对信息系统进行等级评估和认证，确保安全 等级达到要求。
《等级保护培训》PPT课 件
现在，我们一起来探索《等级保护培训》吧！这个课件将帮助您了解等级保 护的基础知识和相关的法律法规要求，以及网络安全风险管理和防范措施。
课程目标
1 全面认识等级保护
了解等级保护的定义、目的和重要性。
2 掌握等保基础知识
学习等级保护的基本概念、等级划分和评估要求。
3 了解等保法律要求
网络安全风险管理
1
风险控制
2
采取适当的安全策略和措施，降低网络
等级保护宣讲 ppt课件
等级保护交流
汇报人：
CONTENTS
背景知识 1
3 等级保护政策标准 2
4
等级保护流程 等级保护解决方案
PPT模板下载： 行业PPT模板：
节日PPT模板：
PPT素材下载：
PPT背景图片： PPT图表下载：
优秀PPT下载： PPT教程：
W ord教程：
Excel教程：
资料下载：
PPT课件下载：
范文下载：
利用等级保护 开展安全工作 是国家的唯一选择
政策支撑
①等级保护制度是所有 安全中发文次数最多最 权威的制度，22年历 史； ②等级保护是唯一建立 系列标准覆盖实施落地 全流程，并向云移工扩 展的安全管理要求。
执行队伍
① 建立由中央、省、 市、县四级的网络 警察队伍，警察的 执行力度在所有国 家机关中最强。 ②全国133家测评 中心的技术支撑单 位；
高端手法：信息安全集成（等级保护）独立运作
为什么选择等级保护？ 1、国家政策 2、安全不是产品的简单堆积，也不是一次性的静态过程，它是
人员、技术、操作三者紧密结合的系统工程，是不断演进、循环 发展的动态过程
3、信息安全是一把手工程，信息安全是全员工程，信息安全工 作是三分技术、七分管理。
高层牵头 领导负责 全员参与
1 背景知识
用户开展等级保护建设的意义
安全建设体系化
以等级保护为标准开展安全 建设，让安全建设更加体系 化，可以从物理、网络、主 机、应用和数据多个方面成 体系的进行安全建设，再也 不是头痛医头脚痛医脚，对 本单位的安全建设有整体的 规划和思路。
安全 体系
责任 分担
责任更清晰
完成等保测评意味着公安机关 认可你的安全现状，一旦发生 安全事件是意外。如果没有进 行等级保护测评意味着你没有 达到国家要求，一旦发生安全 事件要自己承担相关责任。
汇报人：
CONTENTS
背景知识 1
3 等级保护政策标准 2
4
等级保护流程 等级保护解决方案
PPT模板下载： 行业PPT模板：
节日PPT模板：
PPT素材下载：
PPT背景图片： PPT图表下载：
优秀PPT下载： PPT教程：
W ord教程：
Excel教程：
资料下载：
PPT课件下载：
范文下载：
利用等级保护 开展安全工作 是国家的唯一选择
政策支撑
①等级保护制度是所有 安全中发文次数最多最 权威的制度，22年历 史； ②等级保护是唯一建立 系列标准覆盖实施落地 全流程，并向云移工扩 展的安全管理要求。
执行队伍
① 建立由中央、省、 市、县四级的网络 警察队伍，警察的 执行力度在所有国 家机关中最强。 ②全国133家测评 中心的技术支撑单 位；
高端手法：信息安全集成（等级保护）独立运作
为什么选择等级保护？ 1、国家政策 2、安全不是产品的简单堆积，也不是一次性的静态过程，它是
人员、技术、操作三者紧密结合的系统工程，是不断演进、循环 发展的动态过程
3、信息安全是一把手工程，信息安全是全员工程，信息安全工 作是三分技术、七分管理。
高层牵头 领导负责 全员参与
1 背景知识
用户开展等级保护建设的意义
安全建设体系化
以等级保护为标准开展安全 建设，让安全建设更加体系 化，可以从物理、网络、主 机、应用和数据多个方面成 体系的进行安全建设，再也 不是头痛医头脚痛医脚，对 本单位的安全建设有整体的 规划和思路。
安全 体系
责任 分担
责任更清晰
完成等保测评意味着公安机关 认可你的安全现状，一旦发生 安全事件是意外。如果没有进 行等级保护测评意味着你没有 达到国家要求，一旦发生安全 事件要自己承担相关责任。
等级保护讲解PPT
二级以上 三级以上
10
系统定级
系统备案
安全 建设整改
等级测评
安全自查与监 督检查
1、信息系统备案
• 第二级以上信息系统，由信息系统运营使用单位到所在地的市级以上公安机关网络安全保卫部门办理备案手续，填写《信息系统 安全等级保护备案表》。
• 隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部备案；其他信息 系统向北京市公安局备案。
第四级信息系统：一般适用于国家重要领域、重要部门中的特别重要系统以及核心系统。例如全国铁路、民 航、电力等部门的调度系统，银行、证券、保险、税务、海关等几十个重要行业、部门中的涉及国计民生的 核心系统。
第五级信息系统：一般适用于国家重要领域、重要部门9中的极端重要系统。
系统定级
系统备案
安全 建设整改
定级对象确定
重要性分析
确定安全保护等级 组织专家评审 主管部门审批 公安机关审核
分析一期工程信息系统边界、各系统组成部分关系，确定定级对象
分别分析业务信息和系统服务被破坏后的损害客体及损害程度，确 定业务信息和系统服务安全保护级别
根据定级原则，确定系统整体保护级别为3级
邀请国家等保建设专家委专家对定级成果进行评审，确定保护等级。 定级资料报送委信息化工作办公室审批 定级资料报送给公8安部审核备案
5
基本要求修订-一个标准变为系列标准
第1部分：安全通用要求（送审稿） 第2部分：云计算安全扩展要求（送审稿） 第3部分：移动互联安全扩展要求（送审稿） 第4部分：物联网安全扩展要求（送审稿） 第5部分：工业控制系统安全扩展要求（送审稿）
第6部分：大数据安全扩展要求（立项阶段）
等级保护宣讲 ppt课件
安全 建设整改
等级测评
安全自查与 监督检查
3 等保工作
电力供应 防盗窃和防破坏 物理访问控制 物理位置选择
电磁防护
不做硬 性要求
防雷击、防火、防水和防潮、防静电、温湿度控制
3 等保工作
物理安全的整改要点（10个）
物理位置的选择
基本防护能力
物理访问控制
基本出入控制 在机房中的活动
7 信息系统安全保护等级专家评审 意见
8 主管部门审核批准信息系统安全 保护等级的意见
3 等保工作
系统定级
系统备案
安全 建设整改
等级测评
安全自查与 监督检查
范围：已备案的第二级（含）以上信息系统纳入安全建设整改的范围。 • 尚未开展定级备案的信息系统，要先定级备案，定级不准的 要先纠正，再开展安全建设整改。 • 新建系统要同步开展安全建设工作。
防静电地板 冗余/并行线路 备用供电系统
3 等保工作
系统定级
系统备案
安全 建设整改
等级测评
安全自查与 监督检查
3 等保工作
网络安全的整改要点（7个）
结构安全
关键设备冗余空间 核心网络带宽 子网/网段控制
访问控制
访问控制设备（用户、网段） 拨号访问限制
主要设备冗防余火空墙间（网安）路由控制 整体网络带宽流量控制 带宽分配优先级 重要网段部署
资料下载：
PPT课件下载：
范文下载：
试卷下载：
教案下载： PPT论坛：
2
等级保护政策标准
2 政策体系
2 标准体系
2 标准体系
基础类 《计算机信息系统安全保护等级划分准则》GB 17859-1999 《信息系统安全等级保护实施指南》 GB/T25058-2010
2024年度-信息系统安全等级保护培训课件
数据备份与恢复技术
定期备份重要数据，并制定详细的数据恢复计划 ，确保在数据丢失或损坏时能够及时恢复。
3
数据脱敏技术
对敏感数据进行脱敏处理，降低数据泄露风险。
14
应用安全技术
身份认证与授权技术
采用用户名/密码、数字证书等身份认证方式，确保用户身份的真 实性和合法性；同时根据用户角色分配相应的权限，防止越权访问 。
某中学在线教育平台
该平台为学生提供在线学习资源和交流互动功能，按照等级保护一级标准进行建 设，通过加强网络安全和内容过滤等措施，确保平台健康安全运行。
23
06
CATALOGUE
信息系统安全等级保护挑战与展望
24
当前面临的主要挑战
网络安全威胁日益严重
网络攻击手段不断翻新，高级持续性 威胁（APT）等网络攻击对信息系统 安全构成严重威胁。
通过实施等级保护，能够有效提高我 国信息安全工作的整体水平，提升我 国网络和信息安全的核心竞争力。
实施等级保护可以规范信息安全管理 ，提高信息系统的安全防护能力，从 而保障信息化的健康发展。
维护国家安全和社会稳定
等级保护制度是国家信息安全保障的 基本制度，对于维护国家安全和社会 稳定具有重要意义。
6
4
等级划分及标准
等级划分
根据信息系统受到破坏后，会对国家 安全、社会秩序、公共利益以及公民 、法人和其他组织的合法权益的危害 程度等因素，将其划分为五个等级。
标准
《信息系统安全等级保护基本要求》 等标准规范了不同等级信息系统的安 全保护要求。
5
重要意义和作用
落实国家信息安全战略
促进信息化健康发展
某ቤተ መጻሕፍቲ ባይዱ商公司交易平台
该平台涉及大量用户数据和交易信息，按照等级保护二级标 准进行建设，通过部署安全防护设备和加强安全管理，确保 平台数据安全和用户隐私。
定期备份重要数据，并制定详细的数据恢复计划 ，确保在数据丢失或损坏时能够及时恢复。
3
数据脱敏技术
对敏感数据进行脱敏处理，降低数据泄露风险。
14
应用安全技术
身份认证与授权技术
采用用户名/密码、数字证书等身份认证方式，确保用户身份的真 实性和合法性；同时根据用户角色分配相应的权限，防止越权访问 。
某中学在线教育平台
该平台为学生提供在线学习资源和交流互动功能，按照等级保护一级标准进行建 设，通过加强网络安全和内容过滤等措施，确保平台健康安全运行。
23
06
CATALOGUE
信息系统安全等级保护挑战与展望
24
当前面临的主要挑战
网络安全威胁日益严重
网络攻击手段不断翻新，高级持续性 威胁（APT）等网络攻击对信息系统 安全构成严重威胁。
通过实施等级保护，能够有效提高我 国信息安全工作的整体水平，提升我 国网络和信息安全的核心竞争力。
实施等级保护可以规范信息安全管理 ，提高信息系统的安全防护能力，从 而保障信息化的健康发展。
维护国家安全和社会稳定
等级保护制度是国家信息安全保障的 基本制度，对于维护国家安全和社会 稳定具有重要意义。
6
4
等级划分及标准
等级划分
根据信息系统受到破坏后，会对国家 安全、社会秩序、公共利益以及公民 、法人和其他组织的合法权益的危害 程度等因素，将其划分为五个等级。
标准
《信息系统安全等级保护基本要求》 等标准规范了不同等级信息系统的安 全保护要求。
5
重要意义和作用
落实国家信息安全战略
促进信息化健康发展
某ቤተ መጻሕፍቲ ባይዱ商公司交易平台
该平台涉及大量用户数据和交易信息，按照等级保护二级标 准进行建设，通过部署安全防护设备和加强安全管理，确保 平台数据安全和用户隐私。
等保交流-基础知识ppt课件
6
等级保护目标客户：
（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性 公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系 统。
（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展 改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土 资源、能源、交通、文化、统计、工商行政管理、邮政、国防工业等关系到国计 民生的信息系统（生产、调度、管理、办公等重要信息系统）。
技术要求：
应用安全-身份鉴别、访问控制、安全审计 应用安全-通信保密性、通信完整性
方案：
SSL VPN：远程用户接入时的身份鉴别、权限控制、安全审计，并保证通信保密性和完 整性； 服务器群组防护：用户访问时进行身份鉴别，保证访问业务系统的安全性与边界隔离； 堡垒机：设备用户权限管理的安全问题；
22
安全管理中心
挖掘需求：
随着信息化建设的进行，服务器和网络设备越来越多，业务系统越来越多，用户没有 精力逐个监控，迫切的需要有一个系统能够监控整个网络的情况，尤其是监控所有业 务系统的健康状况，并且当业务系统出现问题时，能够进行即使的告警。另外，需要 实现对设备的统一的策略管理和下发。
技术要求：
应用安全-资源控制 主机安全-资源控制 监控管理和安全管理中心 网络安全管理
（三）教育、国家科研等单位的信息系统
（四）市（地）级以上党政机关的重要网站和办公信息系统
（五）中央企业以及国资委下属企业
7
• 目前国家出台了哪些有关等保的政策？
– 国家： • 国务院147号令《中华人民共和国计算机信息系统安全保护条例》（94年） • 公通字[2004]66号《关于信息安全等级保护工作的实施意见》 • 公通字[2007]43号《信息安全等级保护管理办法》
信息系统安全等级保护培训课件(PPT 36页)
区域边界保护
保护计算环境
保护计算环境
实现集中安全管理
落实安全管理措施
三级系统安全管理措施
- 建立全面的安全管理制度，并安排专人负责并监控执行情况； - 建立全面的人员管理体系，制定严格的考核标准 - 建设过程的各项活动都要求进行制度化规范，按照制度要求进行 活动的开展 - 实现严格的保密性管理 - 成立安全运维小组，对安全维护的责任落实到具体的人 - 引入第三方专业安全服务
物理安 • 需要到物理机房实地检查，请提前申请进入机房的相关手续，并协调查看机房管理相关管理记录 全
网络安 • 需要登录网络设备、安全设备检查相关配置及漏洞扫描，请分配可接入的网络端口及地址，提供配置文件
全 主机安 • 需要登录相关主机设备检查相关配置及漏洞扫描，请分配可接入的网络端口及地址 全 应用安 • 请提供应用系统访问地址，以及访问该应用所需的网络地址，帐户名称、口令以及其它鉴别方式所需软硬件设备 全
分级保护系列标准规范
《涉及国家秘密的计算机信息系统分级保 护技术要求》BMB17-2006 《涉及国家秘密计算机信息系统安全保密 方案设计指南》 BMB23-2008 涉密信息系统安全保障建设 《涉及国家秘密计算机信息系统分级保护 指南 管理规范》BMB20-2007 《涉及国家秘密的信息系统分级保护测评 指南》BMB22—2007 《涉及国家秘密计算机信息系统分级保护 管理办法 》国家保密局16号
管理制 • 请提供安全管理制度电子档或纸质版本，以及相关记录文件
度
1、最灵繁的人也看不见自己的背脊。——非洲 2、最困难的事情就是认识自己。——希腊 3、勇猛、大胆和坚定的决心能够抵得上武器的精良。——达· 芬奇 4、与肝胆人共事，无字句处读书。——周恩来 5、一个人即使已登上顶峰，也仍要自强不息。——罗素· 贝克 6、一切节省，归根到底都归结为时间的节省。——马克思 7、自知之明是最难得的知识。——西班牙 8、勇气通往天堂，怯懦通往地狱。——塞内加 9、有时候读书是一种巧妙地避开思考的方法。——赫尔普斯 10、阅读一切好书如同和过去最杰出的人谈话。——笛卡儿 11、有勇气承担命运这才是英雄好汉。——黑塞 12、只有把抱怨环境的心情，化为上进的力量，才是成功的保证。——罗曼· 罗兰 13、知人者智，自知者明。胜人者有力，自胜者强。——老子 14、意志坚强的人能把世界放在手中像泥块一样任意揉捏。——歌德 15、最具挑战性的挑战莫过于提升自我。——迈克尔· F· 斯特利 16、业余生活要有意义，不要越轨。——华盛顿 17、意志是一个强壮的盲人，倚靠在明眼的跛子肩上。——叔本华 18、最大的挑战和突破在于用人，而用人最大的突破在于信任人。——马云 19、我这个人走得很慢，但是我从不后退。——亚伯拉罕· 林肯 20、要掌握书，莫被书掌握；要为生而读，莫为读而生。——布尔沃 21、要知道对好事的称颂过于夸大，也会招来人们的反感轻蔑和嫉妒。——培根 22、业精于勤，荒于嬉；行成于思，毁于随。——韩愈 23、最大的骄傲于最大的自卑都表示心灵的最软弱无力。——斯宾诺莎 24、知之者不如好之者，好之者不如乐之者。——孔子 25、学习是劳动，是充满思想的劳动。——乌申斯基 26、要使整个人生都过得舒适、愉快，这是不可能的，因为人类必须具备一种能应付逆境的态度。——卢梭 27、越是无能的人，越喜欢挑剔别人的错儿。——爱尔兰 28、意志命运往往背道而驰，决心到最后会全部推倒。——莎士比亚 29、越是没有本领的就越加自命不凡。——邓拓 30、阅读使人充实，会谈使人敏捷，写作使人精确。——培根
等保培训PPT课件
马等程序和功能； （五）对国家安全、社会秩序、公共利益不构成危害； （六）对已列入信息安全产品认证目录的，应当取得国家信息安全产品
认证机构颁发的认证证书。
13
等级保护政策依据
公通字[2007]43号文 第三级以上信息系统的安全测评机构应具备的条件： （一）在中华人民共和国境内注册成立（港澳台地区除外）； （二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区
《关于开展全国重要信息系统安全等级保护定级工作的通 知》（公信安[2007]861号）
关于印发《信息安全等级保护管理办法》的通知（公通字
[2007]43号）
4
等级保护政策依据
中办发[2003]27号文 明确指出“实行信息安全等级保护”。 “要重点保护基础
信息网络和关系国家安全、经济命脉、社会稳定等方面的 重要信息系统，抓紧建立信息安全等级保护制度，制定信 息安全等级保护的管理办法和技术指南”。
公通字[2007]43号文 测评周期要求 第三级信息系统应当每年至少进行一次等级测评； 第四级信息系统应当每半年至少进行一次等级测评； 第五级信息系统应当依据特殊安全需求进行等级测评。 自查周期要求 第三级信息系统应当每年至少进行一次自查； 第四级信息系统应当每半年至少进行一次自查； 第五级信息系统应当依据特殊安全需求进行自查。 根据测评、自查情况制定整改方案并实施。
12
等级保护政策依据
公通字[2007]43号文 第三级以上信息系统应当选择使用符合以下条件的信息安全产品： （一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者
控股的，在中华人民共和国境内具有独立的法人资格； （二）产品的核心技术、关键部件具有我国自主知识产权； （三）产品研制、生产单位及其主要业务、技术人员无犯罪记录； （四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木
认证机构颁发的认证证书。
13
等级保护政策依据
公通字[2007]43号文 第三级以上信息系统的安全测评机构应具备的条件： （一）在中华人民共和国境内注册成立（港澳台地区除外）； （二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区
《关于开展全国重要信息系统安全等级保护定级工作的通 知》（公信安[2007]861号）
关于印发《信息安全等级保护管理办法》的通知（公通字
[2007]43号）
4
等级保护政策依据
中办发[2003]27号文 明确指出“实行信息安全等级保护”。 “要重点保护基础
信息网络和关系国家安全、经济命脉、社会稳定等方面的 重要信息系统，抓紧建立信息安全等级保护制度，制定信 息安全等级保护的管理办法和技术指南”。
公通字[2007]43号文 测评周期要求 第三级信息系统应当每年至少进行一次等级测评； 第四级信息系统应当每半年至少进行一次等级测评； 第五级信息系统应当依据特殊安全需求进行等级测评。 自查周期要求 第三级信息系统应当每年至少进行一次自查； 第四级信息系统应当每半年至少进行一次自查； 第五级信息系统应当依据特殊安全需求进行自查。 根据测评、自查情况制定整改方案并实施。
12
等级保护政策依据
公通字[2007]43号文 第三级以上信息系统应当选择使用符合以下条件的信息安全产品： （一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者
控股的，在中华人民共和国境内具有独立的法人资格； （二）产品的核心技术、关键部件具有我国自主知识产权； （三）产品研制、生产单位及其主要业务、技术人员无犯罪记录； （四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木
《等级保护培训》课件
意义
通过实施等级保护，可以有效地 保障国家安全、社会秩序和公共 利益，维护公民、法人和其他组 织的合法权益。
等级保护的重要性
保障国家安全
等级保护制度能够确保关键信息 基础设施的安全，防止敌对势力 、间谍机构等对国家安全造成威
胁。
维护社会秩序
通过实施等级保护，可以防止网络 犯罪、网络攻击等行为，维护社会 秩序的稳定。
提出了加强宣传教育、开展培训等措施，以提高全社会的等级保护意识和能力。
完善法律法规和标准体系，加强监督检查和评估
提出了完善相关法律法规和标准体系、加强监督检查和评估等措施，以保障等级保护工作 的有效实施。
加强技术研发和创新，提高安全防护能力
提出了加强技术研发和创新、推广新技术应用等措施，以提高安全防护能力和应对新威胁 的能力。
THANKS
谢谢
等级保护标准的实施
等级保护标准的实施需要采取一系列的安全措施和技术手段，包括 物理安全、网络安全、应用安全等方面的防护措施。
等级保护政策
等级保护政策定义
01
等级保护政策是国家为了保障信息安全而制定的一系列政策，
用于规范不同等级的信息系统安全保护工作。
等级保护政策的主要内容
02
包括信息系统定级、备案、安全监测、通报预警等方面的政策
安全体系实施
按照安全体系设计的要求，实施安全设备和安全控制措施。 对实施过程进行监督和检查，确保安全设备和控制措施的有效性和合规性。
安全体系运行与维护
对信息系统的安全体系进行日常运行 和维护，包括安全监控、日志审计、 漏洞扫描等方面的操作。
对发现的安全问题和隐患进行及时处 理和修复，确保信息系统的安全性得 到持续保障。
安全策略制定
通过实施等级保护，可以有效地 保障国家安全、社会秩序和公共 利益，维护公民、法人和其他组 织的合法权益。
等级保护的重要性
保障国家安全
等级保护制度能够确保关键信息 基础设施的安全，防止敌对势力 、间谍机构等对国家安全造成威
胁。
维护社会秩序
通过实施等级保护，可以防止网络 犯罪、网络攻击等行为，维护社会 秩序的稳定。
提出了加强宣传教育、开展培训等措施，以提高全社会的等级保护意识和能力。
完善法律法规和标准体系，加强监督检查和评估
提出了完善相关法律法规和标准体系、加强监督检查和评估等措施，以保障等级保护工作 的有效实施。
加强技术研发和创新，提高安全防护能力
提出了加强技术研发和创新、推广新技术应用等措施，以提高安全防护能力和应对新威胁 的能力。
THANKS
谢谢
等级保护标准的实施
等级保护标准的实施需要采取一系列的安全措施和技术手段，包括 物理安全、网络安全、应用安全等方面的防护措施。
等级保护政策
等级保护政策定义
01
等级保护政策是国家为了保障信息安全而制定的一系列政策，
用于规范不同等级的信息系统安全保护工作。
等级保护政策的主要内容
02
包括信息系统定级、备案、安全监测、通报预警等方面的政策
安全体系实施
按照安全体系设计的要求，实施安全设备和安全控制措施。 对实施过程进行监督和检查，确保安全设备和控制措施的有效性和合规性。
安全体系运行与维护
对信息系统的安全体系进行日常运行 和维护，包括安全监控、日志审计、 漏洞扫描等方面的操作。
对发现的安全问题和隐患进行及时处 理和修复，确保信息系统的安全性得 到持续保障。
安全策略制定
等保培训PPT课件
21
各级系统的保护要求差异
一级系统
计划和跟踪（主要制度）
二级系统
计划和跟踪（主要制度）
三级系统
良好定义（管理活动制度化）
四级系统
持续改进（管理活动制度化/及时改进）
22
构建系统模型_技术模型
应用系统
医疗
教育
科研
管理
主机系统
网络系统 物理环境
Web 服务 Mail 服务 数据库 多媒体平台 中间件 ……
32
物理安全
公通字[2007]43号文 测评周期要求 ➢ 第三级信息系统应当每年至少进行一次等级测评； ➢ 第四级信息系统应当每半年至少进行一次等级测评； ➢ 第五级信息系统应当依据特殊安全需求进行等级测评。 自查周期要求 ➢ 第三级信息系统应当每年至少进行一次自查； ➢ 第四级信息系统应当每半年至少进行一次自查； ➢ 第五级信息系统应当依据特殊安全需求进行自查。 根据测评、自查情况制定整改方案并实施。
除外）； （三）从事相关检测评估工作两年以上，无违法记录； （四）工作人员仅限于中国公民； （五）法人及主要业务、技术人员无犯罪记录； （六）使用的技术装备、设施应当符合本办法对信息安全产品的要求； （七）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全
管理制度； （八）对国家安全、社会秩序、公共利益不构成威胁。
目录
□等级保护基本知识介绍 □等级保护基本要求的具体介绍 □信息安全等级保护检查问题发现和总结
1
等级保护基本知识介绍
□等级保护的政策依据 □等级保护的关键环节（流程） □等级保护的现实意义 □等级保护的相关标准 □《基本要求》核心思想解读
2
等级保护政策依据
✓ 《国家信息化领导小组关于加强信息安全保障工作的意见 》（中办发[2003]27号 ）
最新等级保护ppt课件
➢ 测评双方现场确认
准 料 测评所需的各种资
源
记 ➢ 被测单位签署现场 备 录 归 测评授权委托书
➢ 访谈 ➢ 文档审查 ➢ 配置检查 ➢ 工具测试 ➢ 实地查看
➢ 召开测评现场结束会， 确认测评过程的问题， 对漏掉的和改进的信息 进一步验证和补充测评
➢ 归还测评过程中借阅的 所有文档资料，并由被 测单位文档资料提供者 签字确认
定级对象识别与划分
• 可能使定级要素赋值不同因素 – 可能涉及不同客体的系统。 – 可能对客体造成不同程度损害的系统。 – 处理不同类型业务的系统。
• 本身运行在不同的网络环境中的系统。 • 分不开的系统，按照高级别保护。
两种安全定义
定级流程
S
A
G=MAX(S,A)
业务信息安全等级矩阵表
系统服务安全等级矩阵表
➢ 安全保障管理体系描述
析备
测测
等级保护实施流程
评对测工评具评 指 系统定级
备案
安全建 设整改
等级 测评
监督 检查
➢分析确定被测试系统的对象与指标
方 案
象测测接评 评入标 ➢使用漏洞扫描器、渗透测试工具集等测 试工具，网络拓扑内外部，及边界等位 置进行测试
编 制
确测点内指评确 容 导确
➢根据具体测评指标结合到测评对象上， 构成具体测评单元
➢ 针对单项测评的不符合项，采取逐条判定的 方法，从安全控制间、层面间和区域间触发 考虑，给出系统整体测评的具体结果和结论， 并对系统结构进行整体安全测评
➢ 在单项测评结果汇总分析和系统整体测评分 析的基础上，找出系统保护现状与等级保护 基本要求之间的差距，并形成等级测评结论
➢ 结果汇总分析、系统整体测评分析、综合结 论、改进建议和附录等
准 料 测评所需的各种资
源
记 ➢ 被测单位签署现场 备 录 归 测评授权委托书
➢ 访谈 ➢ 文档审查 ➢ 配置检查 ➢ 工具测试 ➢ 实地查看
➢ 召开测评现场结束会， 确认测评过程的问题， 对漏掉的和改进的信息 进一步验证和补充测评
➢ 归还测评过程中借阅的 所有文档资料，并由被 测单位文档资料提供者 签字确认
定级对象识别与划分
• 可能使定级要素赋值不同因素 – 可能涉及不同客体的系统。 – 可能对客体造成不同程度损害的系统。 – 处理不同类型业务的系统。
• 本身运行在不同的网络环境中的系统。 • 分不开的系统，按照高级别保护。
两种安全定义
定级流程
S
A
G=MAX(S,A)
业务信息安全等级矩阵表
系统服务安全等级矩阵表
➢ 安全保障管理体系描述
析备
测测
等级保护实施流程
评对测工评具评 指 系统定级
备案
安全建 设整改
等级 测评
监督 检查
➢分析确定被测试系统的对象与指标
方 案
象测测接评 评入标 ➢使用漏洞扫描器、渗透测试工具集等测 试工具，网络拓扑内外部，及边界等位 置进行测试
编 制
确测点内指评确 容 导确
➢根据具体测评指标结合到测评对象上， 构成具体测评单元
➢ 针对单项测评的不符合项，采取逐条判定的 方法，从安全控制间、层面间和区域间触发 考虑，给出系统整体测评的具体结果和结论， 并对系统结构进行整体安全测评
➢ 在单项测评结果汇总分析和系统整体测评分 析的基础上，找出系统保护现状与等级保护 基本要求之间的差距，并形成等级测评结论
➢ 结果汇总分析、系统整体测评分析、综合结 论、改进建议和附录等
信息安全等级保护PPT课件
20
应用安全整改要点
21
数据库安全及备份恢复整改要点
22
二级和三级等保具体要求对比
23
THANK YOU
By：cqvip - 张泽军
24
20
系统运维管理
18
—
85
—
—
4
8
7
11
9
20
11
16
28
45
41
62
175
290
90
115
14
安全策略体系
15
等级划分准则（GB 17859—1999）
16
等保要求(技术&管理)
物理安全；网络安全；主机安全； 应用安全；数据库安全及备份恢复
17
物理安全整改要点
18
网络安全整改要点
19
主机安全整改要点
等 级 保 张泽军 护
1
目录 CONTENTS
一、等级保护背景 二、等级保护要点 三、等级保护（技术&管理）
2
等级保护背景
信息安全作用和战略意义 信息安全保护发展历史 我国重要的信息安全保护标准
3
信息安全作用和战略意义
威胁事件
2012.7 雅虎服务器被黑 45万用户信息泄露 2013.10 慧达驿站软件漏洞导致连锁酒店数据库被拖库
2000万条开房记录泄露 2018.3 facebook数据外泄，被欧美等国问责调查，市
值蒸发360亿美元
2004 英国多家银行被“特洛伊木马”病毒攻击，约 10亿英镑被盗
2002.7 首都机场因计算机故障导致6000多人滞留，150 多架飞机延误
2016.10 美国Dyn DNS遭到DDoS攻击，造成大量网站一 度瘫痪，Twitter24小时0访问
应用安全整改要点
21
数据库安全及备份恢复整改要点
22
二级和三级等保具体要求对比
23
THANK YOU
By：cqvip - 张泽军
24
20
系统运维管理
18
—
85
—
—
4
8
7
11
9
20
11
16
28
45
41
62
175
290
90
115
14
安全策略体系
15
等级划分准则（GB 17859—1999）
16
等保要求(技术&管理)
物理安全；网络安全；主机安全； 应用安全；数据库安全及备份恢复
17
物理安全整改要点
18
网络安全整改要点
19
主机安全整改要点
等 级 保 张泽军 护
1
目录 CONTENTS
一、等级保护背景 二、等级保护要点 三、等级保护（技术&管理）
2
等级保护背景
信息安全作用和战略意义 信息安全保护发展历史 我国重要的信息安全保护标准
3
信息安全作用和战略意义
威胁事件
2012.7 雅虎服务器被黑 45万用户信息泄露 2013.10 慧达驿站软件漏洞导致连锁酒店数据库被拖库
2000万条开房记录泄露 2018.3 facebook数据外泄，被欧美等国问责调查，市
值蒸发360亿美元
2004 英国多家银行被“特洛伊木马”病毒攻击，约 10亿英镑被盗
2002.7 首都机场因计算机故障导致6000多人滞留，150 多架飞机延误
2016.10 美国Dyn DNS遭到DDoS攻击，造成大量网站一 度瘫痪，Twitter24小时0访问
等级保护PPT课件
.
17
基本概念
• 访问控制机制
– 自主访问控制（Discretionary Access Control）
• 如果作为客体的拥有者的个人用户可以设置访问控 制属性来许可或拒绝对客体的访问，那么这样的机 制就称为自主访问控制。
• 例：一个小孩有本笔记。她允许妈妈读，但其他人 不可以读。
• 访问控制取决于拥有者. 的判断力。
TCB
安全域
TCB安全功能 （TSF）
TCB安全策略 （TSP）
TCB安全功能 （TSF）
TCB安全策略 （TSP）
.
26
基本概念
• 可信计算基（trusted computing base）
– 高安全级别操作系统中TCB的设计原则
• TCB独立于系统的其他部分 • TCB不含有和安全无关的内容 • 具有引用监视器的特性
.
5
等级保护与分级保护的关系
• 涉密信息系统分级保护保护的对象是所有涉及国 家秘密的信息系统，重点是：
– 党政机关 – 军队和军工单位，
• 由各级保密工作部门根据涉密信息系统的保护等 级实施监督管理，确保系统和信息安全，确保国 家秘密不被泄漏
.
6
等级保护与分级保护的关系
• 国家信息安全等级保护是国家从整体上、根本上 解决国家信息安全问题的办法, 对信息系统实行等 级保护是国家法定制度和基本国策，是信息安全 保护工作的发展方向。
• 战略高度
– 通过提高国家信息安全综合防护能力
– 保障国家安全，维护和稳定信息社会秩序，促 进经济发展，提高综合国力
• 核心
– 对信息安全分等级、按标准进行建设、管理和
监督
.
32
2.信息安全等级保护综述
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基本要求子类
物理和环境安全 网络和通信安全
信息系统安全等级保 护级别
等保二级 等保三级
15
22
16
33
设备和计算安全
17
26
应用和数据安全
22
34
管理 安全策略和管理
6
7
要求
制度
安全管理机构和
16
26
人员
安全建设管理
25
34
安全运维管理
30
48
合计
/
147
230
总体上看，等保2.0通用要求在技术部分的基础上进行了一 些调整，但控制点要求上并没有明显增加，通过合并整合 后相对旧标准略有缩减。
边界防护设备接入内部网络。
入侵防范
无
b) 应在关键网络节点处检测、防止或限制从内部发起 入侵防范 的网络攻击行为； (新增)
无
c) 应采取技术措施对网络行为进行分析，实现对网络 攻击特别是新型网络攻击行为的分析； (新增)
原控制项
新控制项
恶意代码防范
无
恶意代码防范
b) 应在关键网络节点处对垃圾邮件进行检测和防护， 并维护垃圾邮件防护机制的升级和更新。 (新增)
(新增)
原控制点 要求项数
新控制点 要求项数
1结构安全
7
1 网络架构
5
2访问控制
8
2通信传输
2
3安全审计
4
3边界防护
4
网络安全
4边界完整性 检查
5入侵防范
2
4 访问控制
5
网络和通信安全
2
5 入侵防范
4
6 恶意代码防 范
2
7 网络设备防 护
8
6 恶意代码 防范
2
7 安全审计
5
8 集中管控
6
原控制项
第二级 信息系统受到破坏后，会对公民、法人和其他组织 的合法权益产生严重损害，或者对社会秩序和公共利益造 成损害，但不损害国家安全
第三级 信息系统受到破坏后，会对社会秩序和公共利益造 成严重损害，或者对国家安全造成损害
第四级 信息系统受到破坏后，会对社会秩序和公共利益造 成特别严重损害，或者对国家安全造成严重损害
管理要求
安全运维管理
控制点对比
基本 要求 大类 1.0
技术 要求
基本要求子类
物理安全 网络安全
信息系统安全等级保护 级别
等保二级 等保三级
10
10
6
7
主机安全
6
7
应用安全
7
9
数据安全
3
3
管理 安全管理制度
3
3
要求
安全管理机构
5
5
人员安全管理
5
5
系统建设管理
9
11
系统运维管理
12
13
合计
/
66
73
的安全设备或安全组件进行管理； (新增)
新控制项
a) 应采用校验码技术或密码技术保证通信过程中数据
的完整性；
无
通信传输
b) 应采用密码技术保证通信过程中敏感信息字段或整
个报文的保密性。
a) 应能够对非授权设备私自联到内部网络的
a) 应保证跨越边界的访问和数据流通过边界防护设备 提供的受控接口进行通信；
行为进行检查，准确定出位置，并对其进行
d) 应确保审计记录的留存时间符合法律法规要求；
安全审计
无
安全审计
(新增) e) 应能对远程访问的用户行为、访问互联网的用户
行为等单独进行行为审计和数据分析。 (新增)
a) 应划分出特定的管理区域，对分布在网络中的安
全设备或安全组件进行管控； (新增)
b) 应能够建立一条安全的信息传输路径，对网络中
基本 要求 大类 2.0
技术 要求
基本要求子类
物理和环境安全 网络和通信安全
信息系统安全等级保 护级别
等保二级 等保三级
10
10
7
8
设备和计算安全
6
6
应用和数据安全
9
10
管理 安全策略和管理
4
4
要求
制度
安全管理机构和
9
9
人员
安全建设管理
10
10
安全运维管理
14
14
合计
/
69
71
要求项对比
基本 要求 大类 1.0
有效阻断；
b) 应能够对非授权设备私自联到内部网络的行为进行
边界完整 性检查
b)
应能够对内部网络用户私自联到外部网络
边界防护
限制或检查；
c) 应能够对内部用户非授权联到外部网络的行为进行 限制或检查；
的行为进行检查，准确定出位置，并对其进
行有效阻断。
d) 应限制无线网络的使用，确保无线网络通过受控的
标准内容的变化
控制结构的变化
等级保护1.0 旧标准
物理安全
网络安全
技术要求
主机安全
应用安全
数据安全及备份恢复
安全管理制度
安全管理机构
管理要求
人员安全管理
系统建设管理
系统运维管理
结构图
等级保护2.0
新标准 物理和环境安全
网络和通信安全 设备和计算安全
技术要求
应用和数据安全
安全策略和管理制度
安全管理机构和人员 安全建设管理
原控制点 要求项数
新控制点 要求项数
1 物理位置的 选择
2
2 物理访问控 制
4
3 防盗窃和防 破坏
6
1 物理位置的 选择
2
2 物理访问控 制
1
3 防盗窃和防 破坏
3
4 防雷击
3
4 防雷击
2
物理安全 5 防火
物理和环境安
3
全
5 防火
3
6 防水和防潮
4
6 防水和防潮
3
7 防静电
2
7 防静电
2
8 温湿度控制
等级保护工作主要的流程
一是定级 二是备案（二级以上的信息系统） 三是系统建设、整改 四是开展等级测评 五是信息安全监管部门定期开展监督检查
等级保护的对象演变
标准名称的变化
等保2.0将原来的标准《信息安全技术 信息系统安全等级 保护基本要求》改为《信息安全技术 网络安全等级保护基 本要求》，与《中华人民共和国网络安全法》中的相关法 律条文保持一致
1
8 温湿度控制
1
9 电力供应
4
9 电力供应
3
10 电磁防护
3
10 电磁防护
2
原控制项
新控制项
b) 机房场地应避免设在建筑物的高层
物理位置的选择
或地下室，以及用水设备的下层或隔 壁。
物理位置的 选择
b) 机房场地应避免设在建筑物的顶层或 地下室，否则应加强防水和防潮措施
防静电
无
防静电
b) 应采取措施防止静电的产生，例如采 用静电消除器、佩戴防静电手环等。
等级保护2.0
什么是等级保护？
网络安全等级保护是指对国家重要信息、法人和其他组织及公民的 专有信息以及公开信息和存储、传输、处理这些信息的信息系统分 等级实行安全保护，对信息系统中使用的信息安全产品实行按等级 管理，对信息系统中发生的信息安全事件分等级响应、处置。
等级保护的划分
第一级 信息系统受到破坏后，会对公民、法人和其他组织 的合法权益造成损害，但不损害国家安全、社会秩序和公 共利益
技术 要求
基本要求子类
物理安全 网络安全
信息系统安全等级保护 级别
等保二级 等保三级
19
32
18
33
主机安全
19
32
应用安全
19
31
数据安全
4
8
管理 安全管理制度
7
11
要求
安全管理机构
9
20
人员安全管理
11
16
系统建设管理
28
45
系统运维管理
41
62
合计/Biblioteka 175290基本 要求 大类 2.0
技术 要求