信息安全等级保护各级对比表
等保2.0基本要求-各级对比
应保证跨越边界的访问和数据流 通过边界设备提供的受控接口进 行通信。
a) 应划分不同的网络区域，并按 照方便管理和控制的原则为各网 络区域分配地址；
a) 应保证网络设备的业务处理能力满 足业务高峰期需要； b) 应保证网络各个部分的带宽满足业 务高峰期需要；
b) 应删除多余或无效的访问控制规 则，优化访问控制列表，并保证访 问控制规则数量最小化；
b) 应删除多余或无效的访问控制规 则，优化访问控制列表，并保证访问 控制规则数量最小化；
b) 应删除多余或无效的访问控制规 则，优化访问控制列表，并保证访问 控制规则数量最小化；
c) 应对源地址、目的地址、源端 口、目的端口和协议等进行检 查，以允许／拒绝数据包进出。
7.1.1.10 电磁防护
8.1.1.10 电磁防护
d)应提供应急供电设施。 9.1.1.10 电磁防护
电源线和通信线缆应隔离铺设， 避免互相干扰。
a)电源线和通信线缆应隔离铺设，避 免互相干扰；
a)电源线和通信线缆应隔离铺设，避 免互相干扰；
b)应对关键设备实施电磁屏蔽。
b)应对关键设备或关键区实施电磁屏 蔽。
c)应划分不同的网络区域，并按照方 便管理和控制的原则为各网络区域分 配地址；
a) 应保证网络设备的业务处理能力满 足业务高峰期需要； b) 应保证网络各个部分的带宽满足业 务高峰期需要；
c)应划分不同的网络区域，并按照方 便管理和控制的原则为各网络区域分 配地址；
b) 应避免将重要网络区域部署在 边界处，重要网络区域与其他网 络区域之间应采取可靠的技术隔 离手段。
c) 应安装对水敏感的检测仪表或元 件，对机房进行防水检测和报警。
信息系统等级保护相关表格
附件1：国家信息安全等级保护工作协调小组组长：张新枫（公安部副部长）成员：李昭（公安部十一局局长）闻荣友（国家保密局副局长）任守信（国家密码管理局副局长）附件2：《信息系统安全等级保护定级报告》模版《信息系统安全等级保护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。
从三方面进行说明：一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。
二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）（一）业务信息安全保护等级的确定1、业务信息描述描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定说明信息受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全保护等级的确定1、系统服务描述描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、系统服务安全等级的确定依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
信息系统安全等级保护分为几级
信息系统安全等级保护分为几级信息系统安全等级保护分为四级，分别为一级、二级、三级和四级。
不同等级的保护标准和要求也各不相同。
一级信息系统安全等级保护是指对一般信息系统的安全保护等级要求。
这类信息系统主要用于非涉密信息的存储、处理和传输，一般不涉及国家秘密，但仍需保护系统的完整性、可用性和保密性。
一级信息系统安全等级保护的实施，需要采取一定的技术和管理措施，确保系统的基本安全。
二级信息系统安全等级保护是指对较为重要的信息系统的安全保护等级要求。
这类信息系统可能涉及一定程度的国家秘密，需要更加严格的安全保护措施。
在二级信息系统安全等级保护中，除了要求满足一级的保护标准外，还需要加强对系统的访问控制、数据加密、安全审计等方面的保护措施。
三级信息系统安全等级保护是指对涉密信息系统的安全保护等级要求。
这类信息系统涉及国家秘密，对系统的安全保护要求非常高。
在三级信息系统安全等级保护中，需要采取更加严格的控制措施，包括身份认证、访问控制、数据加密、安全审计、物理环境保护等方面的措施，以确保系统的安全可靠。
四级信息系统安全等级保护是指对绝密信息系统的安全保护等级要求。
这类信息系统涉及国家绝密信息，对系统的安全保护要求极其严格。
在四级信息系统安全等级保护中，需要采取最高级别的安全保护措施，包括严格的身份认证、严密的访问控制、高强度的数据加密、严格的安全审计、严密的物理环境保护等方面的措施，以确保系统的安全性和可靠性。
总之，信息系统安全等级保护分为一级、二级、三级和四级，每个等级都有其特定的安全保护要求。
不同等级的信息系统需要采取相应的安全保护措施，以确保系统的安全可靠。
在实际的信息系统建设和运行中，必须严格按照相应等级的安全保护要求来进行设计、实施和管理，以保障信息系统的安全性和稳定性。
信息安全等级保护二级与三级的区别
信息安全等级保护二级与三级的区别
信息安全等级保护二级与三级的区别
1、定级规定不同
便是测评定级规定不同，二级对行为主体对象的干扰和危害小于三级。
此外，二级保护测评当定级对象受损时，不会对国防安全造成危害。
而等保三级定级对象的破坏可能会对国防安全造成危害。
2.可用场景不同
三级信息和数据信息覆盖范围更广，跨度也更高：
二级信息系统适用于市级以上公司、事业单位的一般信息系统、小型局域网、不涉及秘密和敏感信息的协作办公系统。
就公司而言，一般网站评审填写公安局备案信息时，可参照社区论坛、新浪微博、博客填写二级；所有其他类型的网站都可以填写三级。
三级信息系统适用于地市以上公司、机关、事业单位的内部关键信息系统、跨地区或者全国各地连接的网络经营性的系统等。
3、级别测评抗压强度不同
级别测评抗压强度测评深度和深度的叙述：测评深度越大，类别越大，包括测评对象越大，测评具体资本投入水平越高。
测评越深越重，越必须在关键点上进行，测评具体资本投入水平也越高。
4、级别测评抗压强度
就高度而言，二级测评不需要进行实验认证，而三级是进行实验认证，而就检测类别而言，三级测评对象越来越多，越来越全面，而二级只进行多类型取样测评。
等保二级测评每2年进行一次，等保三级测评，是每年进行一次。
等级保护2.0基本要求二级三级对比表(二)通用管理要求
þ
6
网络和系统安全管理
a)应划分不同的管理员角色进行网络和系统
的运维管理，明确各个角色的责任和权限；
þ
þ
b)应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制；
þ
þ
c)应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定；
h)应严格控制运维工具的使用，经过审批后才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工具中的敏感数据；
i)应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道；
j)应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为。
þ
þ
a)应成立指导和管理网络安全工作的委员会
或领导小组，其最高领导由单位主管领导担任或授权；
ý
þ
2
人员配备
应配备一定数量的系统管理员、审计管理员和安全管理员等。
þ
þ
b)应配备专职安全管理员，不可兼任。
ý
þ
3
授权和审批
a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；
þ
þ
b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度；
þ
ý
b)应建立机房安全管理制度，对有关物理访问、物品带进出和环境安全等方面的管理作出规定；
ý
þ
c)应不在重要区域接待来访人员，不随意放
置含有敏感信息的纸档文件和移动介质等。
等保基本要求二三级对比表
c）网络设备用户的标识应唯一；
d）身份鉴别信息应具有不易被冒用的特点，口令应 有复杂度要求并定期更换；
d）主要网络设备应对冋一用户选择两种或两种以上组 合的鉴别技术来进行身份鉴别；
e）应具有登录失败处理功能，可米取结束会话、限 制非法登录次数和当网络登录连接超时自动退出等 措施；
h）应限制具有拨号访问权限的用户数量。
安全审计
a）应对网络系统中的网络设备运行状况、网络流量、
用户行为等进行日志记录；
a）应对网络系统中的网络设备运行状况、网络流量、用
户行为等进行日志记录；
b）审计记录应包括事件的日期和时间、用户、事件 类型、事件是否成功及其他与审计相关的信息。
b）审计记录应包括： 事件的日期和时间、 用户、事件类 型、事件是否成功及其他与审计相关的信息；
c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道 中；
d）应对介质分类标识，存储在介质库或档案至中；
d）应对介质分类标识，存储在介质库或档案至中；
e）主机房应安装必要的防盗报警设施。
:e）应利用光、电等技术设置机房防盗报警系统；
f）应对机房设置监控报警系统。
防雷击
a）机房建筑应设置避雷装置；
a）机房建筑应设置避雷装置；
电力供应
a）应在机房供电线路上配置稳压器和过电压防护设 备；
a）应在机房供电线路上配置稳压器和过电压防护设备；
b）应提供短期的备用电力供应，至少满足关键设备 在断电情况下的正常运行要求。
b）应提供短期的备用电力供应， 至少满足 主要设备 在断 电情况下的正常运行要求；
c）应设置冗余或并行的电力电缆线路为计算机系统供 电；
b）应能够对重要程序的完整性进行检测，并在检测到完
信息系统安全等级保护2级和3级标准差异对比
管理大概80，外网大概40，服务器数外网网络边界进行访问控制，基本的终端数量：内网大概80，外网大概40，服务器数量：11网络现况：电信宽带30MB（互联网），电信专网4MB（一门诊）、10MB（城北门诊）,医保电信ADSL，电子远程药品监空系统移动光缆（带宽不详）现有应用系统：HIS、LIS、PACS 、EMR、物资资产财务、CA认证、医保数据备份：没有现有网络安全产品：防火墙1台（网神）在互联网出口处；服务器及内网终端安装Mcafee杀毒软件终端安全管理产品：没有分支机构远程连接：有2个分门诊，使用Radmin 、飞秋、远程桌面等局域网内部远程工具终端使用操作系统：WinXP、win8、win sever 2003、win sever 2008操作系统补丁更新：服务器与内网终端没有更新过终端杀毒软件：服务器、内网终端安装华军软件及功能：1)外网防火墙(对外网网络边界进行访问控制，基本的入侵防护的，可考虑原有网神防火墙利旧，需确认原有网神防火墙是否满足需求)2)内网防火墙(对内部网络边界进行访问控制，基本的入侵防护等)3)终端企业版杀毒软件(服务器及终端主机的防病毒统一管理、可进行终端个体的漏洞扫描及补丁更新)4)终端安全产品(对终端的信息安全进行防护，后期可根据需求增加和调整功能模块) 5)上网行为管理设备(对外网终端的上网行为进行监测，必要时进行管控)后期三级等保可考虑增加设备：1)入侵防御设备(IPS)：网络边界处2)防病毒网关(多功能安全网关)：网络边界处3)入侵检测设备(IDS)：内网核心交换机处4)堡垒主机(运维网关、安全管理平台)：核心交换机处5)网闸(信息交换与隔离系统)：内外网边界处6)数据库审计(综合审计类产品)：新：服务器与内网终端没有更新处5)网闸(信息交换系统运维管理。
等保一级二级三级四级测评项对比
等保一级二级三级四级测评项对比今天咱们聊聊“等保”四个等级的事儿，啥叫等保呢？就是“等级保护”，全称叫做《信息安全技术网络安全等级保护基本要求》。
简单来说就是根据你单位、你网站、你系统的“重要程度”来划分的安全等级。
简单点说，就是你的网站有多重要，相关部门对你要求的安全防护就有多高。
等保的等级从一级到四级，四级就等于是“顶级防护”，一级呢，就是最基础的保护。
你看哈，就像是咱家的门锁一样，一星级门锁只能防止小偷偷东西，四星级门锁嘛，就算是黑客来也得瑟瑟发抖。
所以今天咱就来看看这四个等级有啥不一样，各自的测评项有哪些区别。
咱先从等保一级说起，基本上属于“随便打个防护墙也就够了”的级别，主要适用于一些没有啥敏感数据、对安全要求不高的小系统。
你想啊，像咱家的WiFi密码，可能也就不过是一个简单的“123456”，那啥，基本上是不会有黑客来攻破你家防线的。
这个级别的测评项主要是看你有没有做一些基本的安全措施，比如设置了防火墙没有、默认密码改了没、是不是有一些简单的入侵检测。
低调，简单，只要能防住一般的小问题就行了。
再说等保二级吧，哎呦，这就好像是换了个更结实的门锁，防盗网也加上了，不单单是防止普通的黑客攻击了，还得防止一些有点儿“水平”的攻击者。
这个级别的测评就多了，比如会看看你的系统有没有定期做漏洞扫描，系统的日志有没有记录，权限控制是不是合理。
这个就像你家门锁不光得结实，还得有个监控摄像头，看见有可疑的人就能报警。
简单说吧，二级安全还是比较基础的，差不多能防住那些不太专业的攻击了。
然后咱说说三级，这就厉害了，三级差不多就相当于家里换了带密码的智能锁，防盗网也升级为全自动的那种。
三级的测评项可就多了，不光得看防护能力，还得看管理、运维、数据保护等各方面。
比如有没有定期的安全巡检？系统的漏洞有没有及时打补丁？数据的备份是不是做好了？这个时候，系统的安全防护已经不只是看“有没有密码”，而是更侧重于“如何保护”了。
信息系统安全等级保护定级指南
信息系统安全等级保护定级指南(总6页)-CAL-FENGHAI.-(YICAI)-Company One1-CAL-本页仅作为文档封面，使用请直接删除前言本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：公安部信息安全等级保护评估中心。
本标准主要起草人：任卫红、曲洁、马力、朱建平、李明、李升、谢朝海、毕马宁、陈雪秀。
引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T BBBBB-BBBB信息系统安全等级保护基本要求；——GB/T CCCCC-CCCC信息系统安全等级保护实施指南；——GB/T DDDDD-DDDD信息系统安全等级保护测评准则。
本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。
信息系统安全等级保护定级指南1?范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8 信息技术词汇第8部分：安全GB17859-1999 计算机信息系统安全保护等级划分准则3术语和定义GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
信息安全技术 网络安全等级保护基本要求 第3部分：移动互联安全扩展要求 详细表格对比
产品采购 和使用
移动互联信息安全产品采购 移动互联信息安全产品采购和使用 和使用应符合国家的有关规 应符合国家的有关规定 定 本项要求包括： a) 应对移动业务应用软件开发者 进行资格审查； b) 应要求开发移动业务应用软件 的签名证书合法性； c) 应要求移动应用软件开发完提 供软件设计文档和使用指南； d) 应要求应用软件开发使用的工 具来源可靠； e) 自行开发移动应用软件,开发环 境与实际运行环境应物理分开，测 试数据和测试结果受到控制； f) 自行开发移动应用软件,应制定 软件开发管理制度，明确说明开发 过程的控制方法和人员行为准则； g) 自行开发移动应用软件,应具备 软件设计的相关文档和使用指南， 并对文档使用进行控制； h) 自行开发移动应用软件,对程序 资源库的修改、更新、发布应进行 授权和批准，并严格进行版本控制 。 应指定或授权专门的部门或人员负 责系统移动互联工程实施过程的管 理。 应对系统的移动互联部分进行必要 的安全性测试验收。
安全方案 设计
本项要求包括： a) 应根据等级保护对象的安全保护 应根据等级保护对象的安全 等级选择移动互联基本安全措施， 保护选择移动互联基本措 依据风险分析的结果补充和调整安 施，依据风险分析结果补充 全措施； 和调整安全措施 b) 应根据等级保护对象的安全保 护等级进行移动互联安全方案设计 。
移动应用 软件开发
安全建设 管理
工程实施 测试验收
应指定或授权专门的部门或 人员负责系统移动互联工程 实施过程的管理。 应对系统的移动互联部分进 行必要的安全性测试验收。
管理要求
系统交付
a) 应根据交付清单对所交 接的移动互联设备、移动应 用软件和文档等进行清点； b) 应对负责系统移动互联 运行维护的技术人员进行相 应的技能培训。
信息系统信息安全等级保护情况统计表
附件1:信息系统信息安全等级保护情况统计表信息系统信息安全等级保护情况统计表单位名称（盖公章）：填表人：日期:填表说明：统计范围包括本单位所有已定级和未定级信息系统。
除信息系统名称外，其他列请填写相应代码：1.业务类型：①生产作业②指挥调度③管理控制④内部办公⑤公众服务⑥其他。
2.服务范围：①全国②全省（区、市）③地（市、区）内④其他。
3.服务对象：①单位内部人员②社会公众人员③两者均包括④其他。
4.网络性质：①业务专网②互联网③其他。
5.保护等级：①第一级②第二级③第三级④第四级⑤第五级⑥未定级。
6.备案情况：①未备案②已备案。
7•安全建设整改情况：①未整改②已制定整改方案正组织实施③完成整改。
8,等级测评工作开展情况：①未测评②已制定测评计划③已测评。
9.达标情况：①已达到等级保护要求②未达到等级保护要求。
阳•件2信,包率统垄经才艮告槎板及备案登母已袭《布,昼系统交圣号统侔扰1足统寸艮3》——、XXX ［言息奉绕与苗迂简迷确I定诺星优为定绫对爱的理由。
从三方面迸彳亍说明：一是描述不担信，量系统安全重任的才目关单信装荀 3 I口，说明本单信或荀3门可信，包系统具宥信，氢安全保护责任，运信,氢系统为丰单位或音|3 ］］的定家讨案；二是修定经又寸•象是否具右信,皂奉统的至车要素，描F进至丰萼素、系统网络名吉才勾、系统边界矛口边界设备；三是恢定经又寸象是否承袭看单——或才目对为虫立的业芬，业务情况描述。
—x xxx彳言言系统玄金保护等级石角走C定级方法畲见国家木示:隹《1言息奉2充安金等级保护定级寺旨前》)( ——)业多信，皂、安全供护普统白勺确定1、业务信，氢寸苗述寺苗迷信，忠奉统夕b淳的主翼业备信，黑等°2、业备抬，包受至U 破坏日寸所侵善宣件的确定说明信，包芟：至U 破坏日寸■侵善的春年是什么，艮P又寸三个左体《国享安全；社会秩序不口公众矛U 薪；公民、法人矛口其他组织的合法权益) 中的席F 些宣件造成侵善。
信息安全等级保护定级指南
信息安全等级保护定级指南The document was finally revised on 2021附件2信息系统安全保护等级定级指南（试用稿）公安部二〇〇五年十二月目次信息系统安全保护等级定级指南1范围本指南适用于为4级及4级以下的信息系统确定安全保护等级提供指导。
有关部门根据文件确定涉及最高国家利益的重要信息系统的核心子系统，该系统的安全保护等级定为5级，不再使用本指南的方法定级。
各行业信息系统的主管部门可以根据本指南制定适合本行业或部门的具体定级方法和指导意见。
2术语和定义下列术语和定义适用于本指南。
2.1 业务信息（Business Information）为完成业务工作而通过信息系统进行采集、加工、存储、传输、检索和使用的各种信息。
2.2 业务信息安全性（Security of Business Information）保证业务信息机密性、完整性和可用性程度的表征。
2.3 业务服务保证性（Assurance of Business Service）保证信息系统完成业务使命程度的表征。
业务使命可能因信息系统无法提供服务或无法提供有效服务而不能完成或不能按照要求的目标完成。
2.4 信息系统（Information System）基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索和服务的人机系统。
2.5 业务子系统（Business Subsystem）由信息系统的一部分组件构成，是信息系统中能够承载某项业务工作的子系统。
3定级对象如果信息系统只承载一项业务，可以直接为该信息系统确定等级，不必划分业务子系统。
如果信息系统承载多项业务，应根据各项业务的性质和特点，将信息系统分成若干业务子系统，分别为各业务子系统确定安全保护等级，信息系统的安全保护等级由各业务子系统的最高等级决定。
信息系统是进行等级确定和等级保护管理的最终对象。
3.1 信息系统的划分一个组织机构内可能运行一个或多个信息系统，这些信息系统的安全保护等级可以是相同的，也可以是不同的。
信息系统等级保护相关表格
附件1：国家信息安全等级保护工作协调小组组长：张新枫（公安部副部长）成员：李昭（公安部十一局局长）闻荣友（国家保密局副局长）任守信（国家密码管理局副局长）附件2：《信息系统安全等级保护定级报告》模版《信息系统安全等级保护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。
从三方面进行说明：一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。
二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）（一）业务信息安全保护等级的确定1、业务信息描述描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定说明信息受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全保护等级的确定1、系统服务描述描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、系统服务安全等级的确定依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
网络信息安全风险等级划分
网络信息安全风险等级划分知识点：网络信息安全风险等级划分一、概念解析1. 网络信息安全：保护网络系统及其数据的保密性、完整性、可用性、真实性和合法性。
2. 风险等级划分：根据网络信息安全风险的严重程度和对国家安全、社会秩序、公共利益、企业利益等方面的影响，将风险分为不同的等级。
二、风险等级划分标准1. 威胁：恶意程序、病毒、木马、钓鱼、黑客攻击等。
2. 漏洞：系统漏洞、软件漏洞、配置缺陷、弱口令等。
3. 资产：重要信息系统、关键业务数据、个人隐私等。
4. 影响：对国家安全、经济安全、社会稳定、企业运营等方面的影响程度。
三、风险等级划分体系1. 等级保护体系：根据《网络安全法》规定，实行网络安全等级保护制度，分为五个等级。
a. 第一级：信息系统受到破坏，会对国家安全、社会秩序、公共利益造成损害。
b. 第二级：信息系统受到破坏，会对国家安全、社会秩序、公共利益造成严重损害。
c. 第三级：信息系统受到破坏，会对国家安全、社会秩序、公共利益造成特别严重损害。
d. 第四级：信息系统受到破坏，会对国家安全、社会秩序、公共利益造成特别严重损害，且具有较大范围和影响力。
e. 第五级：信息系统受到破坏，会对国家安全、社会秩序、公共利益造成特别严重损害，具有广泛范围和极大影响力。
2. 风险评估体系：根据资产重要性、漏洞严重性、威胁活跃度等因素，将风险分为高、中、低三个等级。
a. 高风险：严重威胁、高漏洞、重要资产，需立即整改。
b. 中风险：一般威胁、一般漏洞、一般资产，需关注并适时整改。
c. 低风险：较小威胁、较小漏洞、较小资产，需定期关注。
四、风险等级划分流程1. 信息收集：收集网络系统的资产信息、漏洞信息、威胁信息等。
2. 风险评估：根据收集到的信息，进行风险评估，确定风险等级。
3. 风险处置：针对不同风险等级，采取相应的风险控制措施，如修复漏洞、加强监控、制定应急预案等。
4. 风险监控：持续监控网络信息安全风险，及时发现并处理新的风险。
等保20通用要求VS等保10(三级)技术部分要求详细对比
等保 2.0系列标准即将发布，网络安全等级保护基本要求通用要求在信息安全等级保护基本要求技术部分的基础上进行了一些调整，湖南金盾就网络安全等级保护基本要求通用要求在信息安全等级保护基本要求进行了详细对比，下面以三级为例进行一个对比。
网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分结构由原来的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全，调整为四个部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；技术要求“从面到点”提出安全要求，“物
理和环境安全”主要对机房设施提出要求，“网络和通信安全”主要对网络整
体提出要求，“设备和计算安全”主要对构成节点（包括网络设备、安全设备、
操作系统、数据库、中间件等）提出要求，“应用和数据安全”主要对业务应
用和数据提出要求。
（标粗内容为三级和二级的变化，标红部门为新标准主要变化）
•
物理与环境安全VS原来物理安全
•
控制点未发生变化，要求项数由原来的32项调整为22项。
控制点
•
网络和通信安全VS原来网络安全
•
新标准减少了结构安全、边界完整性检查、网络设备防护三个控制
•
设备和计算安全VS原来主机安全
•
新标准减少了剩余信息保护一个控制点，在测评对象上，把网络设
•
应用和数据安全VS原来应用安全+数据安全及备份恢复
•
新标准将应用安全、数据安全及备份恢复两个层面合并成了应用和数据安全一个层面，减少了通信完整性、通信保密性和抗抵赖三个控制点，增加了个人信息保护控制点。
通信完整性和通信保密性的要求纳入了网络。
信息安全评估级别表
信息安全评估级别表
信息安全评估级别表是一个用于评估信息系统或网络的安全性的工具，根据不同的评估指标和风险等级，给出相应的评估级别。
评估级别通常分为以下几个等级：
1. 非常高风险级别：表示系统或网络的安全性非常低，存在非常严重的安全漏洞或风险，需要立即采取行动来解决问题。
2. 高风险级别：表示系统或网络的安全性较低，存在较严重的安全漏洞或风险，需要采取紧急的安全措施来加强保护。
3. 中等风险级别：表示系统或网络的安全性一般，存在一些安全漏洞或风险，需要采取相应的措施来提高安全性。
4. 低风险级别：表示系统或网络的安全性较高，存在少量的安全漏洞或风险，需要采取适当的安全措施来进一步加固。
5. 很低风险级别：表示系统或网络的安全性非常高，基本没有安全漏洞或风险，仅需采取一些基本的安全措施来保护系统。
评估级别的具体划分可以根据实际情况和需求进行调整和定制，以适应不同组织或系统的安全评估需求。
评估级别表可以作为评估报告的一部分，用于向相关人员传达系统或网络的安全风险状况，并为制定相应的安全措施提供参考。
等保1-5级理解
等保1-5级理解
等保1-5级是信息安全领域中的一种等级分类，用于评估和确定不同系统和网络的安全性。
它是根据信息系统的重要性和风险程度而划分的，等级越高，安全要求越严格。
下面我将以人类视角，用简洁流畅的语言，为您介绍等保1-5级的相关内容。
等保1级是最低等级的安全要求，通常应用于一些普通的信息系统，如企业内部的办公系统。
对于这类系统来说，主要目标是保护用户的个人信息和企业的内部数据，防止未经授权的访问和数据泄露。
等保2级相对于1级来说，安全要求更高。
它适用于一些对数据安全要求较高的系统，如电子商务平台。
在等保2级中，不仅要保护用户的个人信息和企业数据，还要确保交易过程的安全和可靠性，防止数据篡改和恶意攻击。
等保3级是一种更高级别的安全要求，适用于政府机关、金融机构等重要领域的信息系统。
在等保3级中，除了保护用户的个人信息和企业数据外，还需要保障系统的高可用性和故障容忍能力，以应对各种可能的攻击和故障。
等保4级是一种较高级别的安全要求，适用于军事、国防等领域的信息系统。
在等保4级中，要求系统具备强大的安全性能和防御能力，能够抵御各种高级攻击和间谍活动。
等保5级是最高级别的安全要求，适用于国家机密级别的信息系统。
在等保5级中，要求系统具备高度的安全性和保密性，能够抵御各种前沿攻击和情报渗透。
总结来说，等保1-5级是根据信息系统的重要性和风险程度而划分的安全等级。
从1级到5级，安全要求逐渐提高，包括了对用户个人信息、企业数据、系统可靠性和保密性的保护。
不同等级的系统需要采取不同的安全措施和技术手段来确保其安全性。
等级保护与分级保护的区别
国家安全信息等级保护重点保护的对象是涉及国计民生的重要信息系统和通信基础信息系统，而不论它是否涉密。
如：
(1) 国家事务处理信息系统（党政机关办公系统）；
(2) 金融、税务、工商、海关、能源、交通运输、社会保障、教育等基础设施的信息系统；
(3) 国防工业企业、科研等单位的信息系统；
(4) 公用通信、广播电视传输等基础信息网络中的计算机信息系统；
(5) 互联网网络管理中心、关键节点、重要网站以及重要应用系统；
分级保护管理过程：
六、等保和分保对厂商和产品的资质管理的异同
$\。
信息安全等级保护划分五级及等保级别适用行业
信息安全等级保护划分五级及等保级别适⽤⾏业⽹络信息系统安全等级保护分为五级，⼀级防护⽔平最低，最⾼等保为五级，运维FUN分享等保五级划分及适⽤⾏业：信息安全等级保护等级划分及适⽤⾏业⽹络信息系统安全等级保护分为五级，⼀级防护⽔平最低，最⾼等保为五级：等保登记适⽤信息系统及⾏业信息系统破坏后侵害程度第⼀级（⾃主保护级）⼀般适⽤于⼩型私营、个体企业、中⼩学，乡镇所属信息系统、县级单位中⼀般的信息统信息系统受到破坏后，会对公民、法⼈和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第⼆级（指导保护级）⼀般适⽤于县级其些单位中的重要信息系统；地市级以上国家机关、企事业单位内部⼀般的信息系统。
例如⾮涉及⼯作秘密、商业秘密、敏感信息的办公系统和管理系统等。
信息系统受到破坏后，会对公民、法⼈和其他组织的合法权益产⽣严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级（监督保护级）⼀般适⽤于地市级以上国家机关、企业、事业单位内部重要的信息系统，例如涉及⼯作秘密、商业秘密、敏感信息的办公系统和管理系统；跨省或全国联⽹运⾏的⽤于⽣产、调度、管理、指挥、作业、控制等⽅⾯的重要信息系统以及这类系统在省、地市的分⽀系统；中央各部委、省（区、市）门户⽹站和重要⽹站；跨省连接的⽹络系统等。
信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级（强制保护级）⼀般适⽤于国家重要领域、重要部门中的特别重要系统以及核⼼系统。
例如电⼒、电信、⼴电、铁路、民航、银⾏、税务等重要、部门的⽣产、调度、指挥等涉及国家安全、国计民⽣的核⼼系统。
信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级（专控保护级）⼀般适⽤于国家重要领域、重要部门中的极端重要系统。
信息系统受到破坏后，会对国家安全造成特别严重损害。
信息系统安全等级保护的定级准则和等级划分运维FUN发现很多⼤⼚都提供等保解决⽅案，对等保⽐较陌⽣的⽤户可以参考，写的很明确，⽹络信息安全值得重视！。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
目录1概述 (2)1.1 背景介绍 (2)1.2 主要作用及特点 (2)1.3 与其他标准的关系 (3)1.4 框架结构 (3)2描述模型 (4)2.1 总体描述 (4)2.2 保护对象 (5)2.3 安全保护能力 (5)2.4 安全要求 (7)3逐级增强的特点 (8)3.1 增强原则 (8)3.2 总体描述 (9)3.3 控制点增加 (10)3.4 要求项增加 (10)3.5 控制强度增强 (11)4各级安全要求 (12)4.1 技术要求 (12)4.1.1 物理安全 (12)4.1.2 网络安全 (18)4.1.3 主机安全 (23)4.1.4 应用安全 (28)4.1.5 数据安全及备份恢复 (34)4.2 管理要求 (37)4.2.1 安全管理制度 (37)4.2.2 安全管理机构 (39)4.2.3 人员安全管理 (42)4.2.4 系统建设管理 (46)4.2.5 系统运维管理 (51)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。
依据此要求，《基本要求》列入了首批需完成的6个标准之一。
1.2主要作用及特点1.主要作用《基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：a)为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，《基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。
b)为测评机构提供评估依据《基本要求》为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据。
c)为职能监管部门提供监督检查依据《基本要求》为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。
2.主要特点《基本要求》是针对每个等级的信息系统提出相应安全保护要求，“基本”意味着这些要求是针对该等级的信息系统达到基本保护能力而提出的，也就是说，这些要求的实现能够保证系统达到相应等级的基本保护能力，但反过来说，系统达到相应等级的保护能力并不仅仅完全依靠这些安全保护要求。
同时，《基本要求》强调的是“要求”，而不是具体实施方案或作业指导书，《基本要求》给出了系统每一保护方面需达到的要求，至于这种要求采取何种方式实现，不在《基本要求》的描述范围内。
按照《基本要求》进行保护后，信息系统达到一种安全状态，具备了相应等级的保护能力。
1.3与其他标准的关系从标准间的承接关系上讲：●《信息系统安全等级保护定级指南》确定出系统等级以及业务信息安全性等级和系统服务安全等级后，需要按照相应等级，根据《基本要求》选择相应等级的安全保护要求进行系统建设实施。
●《信息系统安全等级保护测评准则》是针对《基本要求》的具体控制要求开发的测评要求，旨在强调系统按照《基本要求》进行建设完毕后，检验系统的各项保护要求是否符合相应等级的基本要求。
由上可见，《基本要求》在整个标准体系中起着承上启下的作用。
从技术角度上讲：《基本要求》的技术部分吸收和借鉴了GB 17859:1999标准，采纳其中的身份鉴别、数据完整性、自主访问控制、强制访问控制、审计、客体重用（改为剩余信息保护）标记、可信路径等8个安全机制的部分或全部内容，并将这些机制扩展到网络层、主机系统层、应用层和数据层。
《基本要求》的技术部分弱化了在信息系统中实现安全机制结构化设计及安全机制可信性方面的要求，例如没有提出信息系统的可信恢复，但在4级系统提出了灾难备份与恢复的要求，保证业务连续运行。
《基本要求》没有对隐蔽通道分析的安全机制提出要求。
此外，《基本要求》的管理部分充分借鉴了ISO/IEC 17799:2005等国际上流行的信息安全管理方面的标准，尽量做到全方位的安全管理。
1.4框架结构《基本要求》在整体框架结构上以三种分类为支撑点，自上而下分别为：类、控制点和项。
其中，类表示《基本要求》在整体上大的分类，其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复等5大类，管理部分分为：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类，一共分为10大类。
控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。
而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。
”具体框架结构如图所示：图1-1 《基本要求》的框架结构2 描述模型2.1 总体描述信息系统是颇受诱惑力的被攻击目标。
它们抵抗着来自各方面威胁实体的攻击。
对信息系统实行安全保护的目的就是要对抗系统面临的各种威胁，从而尽量降低由于威胁给系统带来的损失。
能够应对威胁的能力构成了系统的安全保护能力之一——对抗能力。
但在某些情况下，信息系统无法阻挡威胁对自身的破坏时，如果系统具有很好的恢复能力，那么即使遭到破坏，也能在很短的时间内恢复系统原有的状态。
能够在一定时间内恢复系统原有状态的能力构成了系统的另一种安全保护能力——恢复能力。
对抗能力和恢复能力共同形成了信息系统的安全保护能力。
不同级别的信息系统应具备相应等级的安全保护能力，即应该具备不同的对抗能力和恢复能力，以对抗不同的威胁和能够在不同的时间内恢复系统原有的状态。
针对各等级系统应当对抗的安全威胁和应具有的恢复能力，《基本要求》提出各等级的基本安全要求。
基本安全要求包括了基本技术要求和基本管理要求，基本技术要求主要用于对抗威胁和实现技术能力，基本管理要求主要为安全技术实现提供组织、人员、程序等方面的保障。
各等级的基本安全要求，由包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面的基本安全技术措施和包括安全管理机构、安全管理制度、人员安全管理、第三级基本 要求 物理安全 网络安全 主机安全 应用安全第一级基本要求 第二级基本要求 第四级基本要求 第五级基本要求数据 安全 及 备份 恢复技术要求 管理要求安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理系统建设管理和系统运维管理等五个方面的基本安全管理措施来实现和保证。
下图表明了《基本要求》的描述模型。
图1-2《基本要求》的描述模型2.2保护对象作为保护对象，《管理办法》中将信息系统分为五级，分别为：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
2.3安全保护能力1.定义a)对抗能力能够应对威胁的能力构成了系统的安全保护能力之一—对抗能力。
不同等级系统所应对抗的威胁主要从威胁源（自然、环境、系统、人为）动机（不可抗外力、无意、有意）范围（局部、全局）能力（工具、技术、资源等）四个要素来考虑。
在对威胁进行级别划分前，我们首先解释以上几个要素：●威胁源——是指任何能够导致非预期的不利事件发生的因素，通常分为自然（如自然灾害）环境（如电力故障）IT系统（如系统故障）和人员（如心怀不满的员工）四类。
●动机——与威胁源和目标有着密切的联系，不同的威胁源对应不同的目标有着不同的动机，通常可分为不可抗外力（如自然灾害）无意的（如员工的疏忽大意）和故意的（如情报机构的信息收集活动）。
●范围——是指威胁潜在的危害范畴，分为局部和整体两种情况；如病毒威胁，有些计算机病毒的传染性较弱，危害范围是有限的；但是蠕虫类病毒则相反，它们可以在网络中以惊人的速度迅速扩散并导致整个网络瘫痪。
●能力——主要是针对威胁源为人的情况，它是衡量攻击成功可能性的主要因素。
能力主要体现在威胁源占有的计算资源的多少、工具的先进程度、人力资源（包括经验）等方面。
通过对威胁主要因素的分析，我们可以组合得到不同等级的威胁：第一级：本等级的威胁是1）危害范围为局部的环境或者设备故障、2）无意的员工失误以及3）低能力的渗透攻击等威胁情景。
典型情况如灰尘超标（环境）单个非重要工作站（设备）崩溃等。
第二级：本等级的威胁主要是1）危害局部的较严重的自然事件、2）具备中等能力、有预设目标的威胁情景。
典型情况如有组织的情报搜集等。
第三级：本等级的威胁主要是1）危害整体的自然事件、2）具备较高能力、大范围的、有预设目标的渗透攻击。
典型情况如较严重的自然灾害、大型情报组织的情报搜集等。
第四级：本等级的威胁主要是1）危害整体的严重的自然事件、2）国家级渗透攻击。
典型情况如国家经营，组织精良，有很好的财政资助，从其他具有经济、军事或政治优势的国家收集机密信息等。
b)恢复能力但在某些情况下，信息系统无法阻挡威胁对自身的破坏时，如果系统具有很好的恢复能力，那么即使遭到破坏，也能在很短的时间内恢复系统原有的状态。
能够在一定时间内恢复系统原有状态的能力构成了另一种安全保护能力——恢复能力。
恢复能力主要从恢复时间和恢复程度上来衡量其不同级别。
恢复时间越短、恢复程度越接近系统正常运行状态，表明恢复能力越高。
第一级：系统具有基本的数据备份功能，在遭到破坏后能够不限时的恢复部分系统功能。
第二级：系统具有一定的数据备份功能，在遭到破坏后能够在一段时间内恢复部分功能。
第三级：系统具有较高的数据备份和系统备份功能，在遭到破坏后能够较快的恢复绝大部分功能。
第四级：系统具有极高的数据备份和系统备份功能，在遭到破坏后能够迅速恢复所有系统功能。