新版等级保护分级保护.pdf

合集下载

等级保护与分级保护

等级保护与分级保护一、信息系统等级保护1999年国家发布并于2001年1月1日开始实施GB17859计算机信息系统安全保护等级划分准则;2003年,中办、国办转发国家信息化领导小组关于加强信息安全保障工作的意见中办发〔2003〕27号,提出实行信息安全等级保护,建立国家信息安全保障体系的明确要求;2004年9月17日,公安部、国家保密局、国家密码管理委员会办公室、国务院信息办下发了关于信息安全等级保护工作的实施意见,明确了信息安全等级保护的重要意义、原则、基本内容、工作职责分工、要求和实施计划;2006年1月17日,四部门又下发了信息安全等级保护管理办法试行,进一步确定职责分工,明确了公安机关负责全面工作、国家保密工作部门负责涉密信息系统、国家密码管理部门负责密码工作、国务院信息办负责的管理职责和要求;涉及国家秘密的信息系统应当依据国家信息安全等级保护的基本要求,按照国家保密工作部门涉密信息系统分级保护的管理规定和技术标准,结合系统实际情况进行保护;由于信息系统结构是应社会发展、社会生活和工作的需要而设计、建立的,是社会构成、行政组织体系的反映,因而这种系统结构是分层次和级别的,而其中的各种信息系统具有重要的社会和经济价值,不同的系统具有不同的价值;系统基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统重要程度的区别等就是级别的客观体现;信息安全保护必须符合客观存在和发展规律,其分级、分区域、分类和分阶段是做好国家信息安全保护的前提;信息系统安全等级保护将安全保护的监管级别划分为五个级别：第一级：用户自主保护级完全由用户自己来决定如何对资源进行保护,以及采用何种方式进行保护;第二级：系统审计保护级本级的安全保护机制受到信息系统等级保护的指导,支持用户具有更强的自主保护能力,特别是具有访问审计能力;即能创建、维护受保护对象的访问审计跟踪记录,记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息,所有和安全相关的操作都能够被记录下来,以便当系统发生安全问题时,可以根据审计记录,分析追查事故责任人,使所有的用户对自己行为的合法性负责;第三级：安全标记保护级除具有第二级系统审计保护级的所有功能外,还它要求对访问者和访问对象实施强制访问控制,并能够进行记录,以便事后的监督、审计;通过对访问者和访问对象指定不同安全标记,监督、限制访问者的权限,实现对访问对象的强制访问控制;第四级：结构化保护级将前三级的安全保护能力扩展到所有访问者和访问对象,支持形式化的安全保护策略;其本身构造也是结构化的,将安全保护机制划分为关键部分和非关键部分,对关键部分强制性地直接控制访问者对访问对象的存取,使之具有相当的抗渗透能力;本级的安全保护机制能够使信息系统实施一种系统化的安全保护;第五级：访问验证保护级这一个级别除了具备前四级的所有功能外还特别增设了访问验证功能,负责仲裁访问者对访问对象的所有访问活动,仲裁访问者能否访问某些对象从而对访问对象实行专控,保护信息不能被非授权获取;因此,本级的安全保护机制不易被攻击、被篡改,具有极强的抗渗透的保护能力;在等级保护的实际操作中,强调从五个部分进行保护,即：物理部分：包括周边环境,门禁检查,防火、防水、防潮、防鼠、虫害和防雷,防电磁泄漏和干扰,电源备份和管理,设备的标识、使用、存放和管理等；支撑系统：包括计算机系统、操作系统、数据库系统和通信系统；网络部分：包括网络的拓扑结构、网络的布线和防护、网络设备的管理和报警,网络攻击的监察和处理；应用系统：包括系统登录、权限划分与识别、数据备份与容灾处理,运行管理和访问控制,密码保护机制和信息存储管理；管理制度：包括管理的组织机构和各级的职责、权限划分和责任追究制度,人员的管理和培训、教育制度,设备的管理和引进、退出制度,环境管理和监控,安防和巡查制度,应急响应制度和程序,规章制度的建立、更改和废止的控制程序;由这五部分的安全控制机制构成系统整体安全控制机制;二、涉密信息系统分级保护1997年中共中央关于加强新形势下保密工作的决定明确了在新形势下保密工作的指导思想和基本任务,提出要建立与保密法相配套的保密法规体系和执法体系,建立现代化的保密技术防范体系;中央保密委员会于2004年12月23日下发了关于加强信息安全保障工作中保密管理若干意见明确提出要建立健全涉密信息系统分级保护制度;2005年12月28日,国家保密局下发了涉及国家秘密的信息系统分级保护管理办法,同时,保密法修订草案也增加了网络安全保密管理的条款;随着保密法的贯彻实施,国家已经基本形成了完善的保密法规体系;涉密信息系统实行分级保护,先要根据涉密信息的涉密等级,涉密信息系统的重要性,遭到破坏后对国计民生造成的危害性,以及涉密信息系统必须达到的安全保护水平来确定信息安全的保护等级；涉密信息系统分级保护的核心是对信息系统安全进行合理分级、按标准进行建设、管理和监督;国家保密局专门对涉密信息系统如何进行分级保护制定了一系列的管理办法和技术标准,目前,正在执行的两个分级保护的国家保密标准是BMB17涉及国家秘密的信息系统分级保护技术要求和BMB20涉及国家秘密的信息系统分级保护管理规范;从物理安全、信息安全、运行安全和安全保密管理等方面,对不同级别的涉密信息系统有明确的分级保护措施,从技术要求和管理标准两个层面解决涉密信息系统的分级保护问题;涉密信息系统安全分级保护根据其涉密信息系统处理信息的最高密级,可以划分为秘密级、机密级和机密级增强、绝密级三个等级：秘密级：信息系统中包含有最高为秘密级的国家秘密,其防护水平不低于国家信息安全等级保护三级的要求,并且还必须符合分级保护的保密技术要求;机密级：信息系统中包含有最高为机密级的国家秘密,其防护水平不低于国家信息安全等级保护四级的要求,还必须符合分级保护的保密技术要求;属于下列情况之一的机密级信息系统应选择机密级增强的要求：1信息系统的使用单位为副省级以上的党政首脑机关,以及国防、外交、国家安全、军工等要害部门；2信息系统中的机密级信息含量较高或数量较多；3信息系统使用单位对信息系统的依赖程度较高;绝密级：信息系统中包含有最高为绝密级的国家秘密,其防护水平不低于国家信息安全等级保护五级的要求,还必须符合分级保护的保密技术要求,绝密级信息系统应限定在封闭的安全可控的独立建筑内,不能与城域网或广域网相联;涉密信息系统分级保护的管理过程分为八个阶段,即系统定级阶段、安全规划方案设计阶段、安全工程实施阶段、信息系统测评阶段、系统审批阶段、安全运行及维护阶段、定期评测与检查阶段和系统隐退终止阶段等;在实际工作中,涉密信息系统的定级、安全规划方案设计的实施与调整、安全运行及维护三个阶段,尤其要引起重视;系统定级决定了系统方案的设计实施、安全措施、运行维护等涉密信息系统建设的各个环节,因此如何准确地对涉密信息系统进行定级在涉密信息系统实施分级保护中尤为重要;涉密信息系统定级遵循“谁建设、谁定级"的原则,可以根据信息密级、系统重要性和安全策略划分为不同的安全域,针对不同的安全域确定不同的等级,并进行相应的保护;在涉密信息系统定级时,可以综合考虑涉密信息系统中资产、威胁、受到损害后的影响,以及使用单位对涉密信息系统的信赖性等因素对涉密信息系统进行整体定级;同时,在同一个系统里,还允许划分不同的安全域,在每个安全域可以分别定级,不同的级别采取不同的安全措施,更加科学地实施分级保护,在一定程度上可以解决保重点,保核心的问题,也可以有效地避免因过度保护而造成应用系统运行效能降低以及投资浪费等问题;涉密信息系统建设单位在定级的同时,必须报主管部门审批;涉密信息系统要按照分级保护的标准,结合涉密信息系统应用的实际情况进行方案设计;设计时要逐项进行安全风险分析,并根据安全风险分析的结果,对部分保护要求进行适当的调整和改造,调整应以不降低涉密信息系统整体安全保护强度,确保国家秘密安全为原则;当保护要求不能满足实际安全需求时,应适当选择采用部分较高的保护要求,当保护要求明显高于实际安全需求时,可适当选择采用部分较低的保护要求;对于安全策略的调整以及改造方案进行论证,综合考虑修改项和其他保护要求之间的相关性,综合分析,改造方案的实施以及后续测评要按照国家的标准执行,并且要求文档化;在设计完成之后要进行方案论证,由建设使用单位组织有关的专家和部门进行方案设计论证,确定总体方案达到分级保护技术的要求后再开始实施；在工程建设实施过程中注意工程监理的要求；建设完成之后应该进行审批；审批前由国家保密局授权的涉密信息系统测评机构进行系统测评,确定在技术层面是否达到了涉密信息系统分级保护的要求;运行及维护过程的不可控性以及随意性,往往是涉密信息系统安全运行的重大隐患;通过运行管理和控制、变更管理和控制,对安全状态进行监控,对发生的安全事件及时响应,在流程上对系统的运行维护进行规范,从而确保涉密信息系统正常运行;通过安全检查和持续改进,不断跟踪涉密信息系统的变化,并依据变化进行调整,确保涉密信息系统满足相应分级的安全要求,并处于良好安全状态;由于运行维护的规范化能够大幅度地提高系统运行及维护的安全级别,所以在运行维护中应尽可能地实现流程固化,操作自动化,减少人员参与带来的风险;还需要注意的是在安全运行及维护中保持系统安全策略的准确性以及与安全目标的一致性,使安全策略作为安全运行的驱动力以及重要的制约规则,从而保持整个涉密信息系统能够按照既定的安全策略运行;在安全运行及维护阶段,当局部调整等原因导致安全措施变化时,如果不影响系统的安全分级,应从安全运行及维护阶段进入安全工程实施阶段,重新调整和实施安全措施,确保满足分级保护的要求；当系统发生重大变更影响系统的安全分级时,应从安全运行及维护阶段进入系统定级阶段,重新开始一次分级保护实施过程;随着我们国家民主与法制建设进程的不断推进,保密的范围和事项正在逐步减少,致使一些涉密人员保密意识和敌情观念淡化,对保密工作的必要性和重要性认识不足;虽然长期处于和平时期,但并不意味着无密可保;事实上,政府部门掌握着大量重要甚至核心的机密,已成为各种窃密活动的重点目标;我党政机关和军工单位也是国家秘密非常集中的领域,一直是窃密与反窃密,渗透与反渗透的主战场;据国家有关部门统计,在全国泄密事件中,军工系统占有很大比例;境内外敌对势力和情报机构以我党政军机关和军工单位为主要目标的窃密活动更加突出,渗透与反渗透、窃密与反窃密的斗争更加激烈;由于一些单位涉密信息系统安全保障能力不够、管理不力,导致涉密信息系统泄密案件的比例逐年上升,安全保密形势非常严峻;因此严格按照涉密信息系统分级保护的要求,加强涉密信息系统建设意义重大;三、等级保护和分级保护之间的关系国家信息安全等级保护与涉密信息系统分级保护是两个既有联系又有区别的概念;涉密信息系统分级保护是国家信息安全等级保护的重要组成部分,是等级保护在涉密领域的具体体现;国家安全信息等级保护重点保护的对象是涉及国计民生的重要信息系统和通信基础信息系统,而不论它是否涉密;如：1 国家事务处理信息系统党政机关办公系统；2 金融、税务、工商、海关、能源、交通运输、社会保障、教育等基础设施的信息系统；3 国防工业企业、科研等单位的信息系统；4 公用通信、广播电视传输等基础信息网络中的计算机信息系统；5 互联网网络管理中心、关键节点、重要网站以及重要应用系统；6其他领域的重要信息系统;国家实行信息安全等级保护制度,有利于建立长效机制,保证安全保护工作稳固、持久地进行下去；有利于在信息化建设过程中同步建设信息安全设施,保障信息安全与信息化建设相协调；有利于突出重点,加强对涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统的安全保护和管理监督；有利于明确国家、企业、个人的安全责任,强化政府监管职能,共同落实各项安全建设和安全管理措施；有利于提高安全保护的科学性、针对性,推动网络安全服务机制的建立和完善；有利于采取系统、规范、经济有效、科学的管理和技术保障措施,提高整体安全保护水平,保障信息系统安全正常运行,保障信息安全,进而保障各行业、部门和单位的职能与业务安全、高速、高效地运转；有利于根据所保护的信息的重要程度,决定保护等级,防止“过保护”和“欠保护”的情况发生；有利于信息安全保护科学技术和产业化发展;涉密信息系统分级保护保护的对象是所有涉及国家秘密的信息系统,重点是党政机关、军队和军工单位,由各级保密工作部门根据涉密信息系统的保护等级实施监督管理,确保系统和信息安全,确保国家秘密不被泄漏;国家秘密信息是国家主权的重要内容,关系到国家的安全和利益,一旦泄露,必将直接危害国家的政治安全、经济安全、国防安全、科技安全和文化安全;没有国家秘密的信息安全,国家就会丧失信息主权和信息控制权,所以国家秘密的信息安全是国家信息安全保障体系中的重要组成部分;因为不同类别、不同层次的国家秘密信息,对于维护国家安全和利益具有不同的价值,所以需要不同的保护强度种措施;对不同密级的信息,应当合理平衡安全风险与成本,采取不同强度的保护措施,这就是分级保护的核心思想;对涉密信息系统的保护,既要反对只重应用不讲安全,防护措施不到位造成各种泄密隐患和漏洞的“弱保护”现象；同时也要反对不从实际出发,防护措施“一刀切”,造成经费与资源浪费的“过保护”现象;对涉密信息系统实行分级保护,就是要使保护重点更加突出,保护方法更加科学,保护的投入产出比更加合理,从而彻底解决长期困扰涉密单位在涉密信息系统建设使用中的网络互联与安全保密问题;由上可以看出国家信息安全等级保护是国家从整体上、根本上解决国家信息安全问题的办法, 进一步确定了信息安全发展的主线和中心任务, 提出了总体要求;对信息系统实行等级保护是国家法定制度和基本国策,是开展信息安全保护工作的有效办法,是信息安全保护工作的发展方向;而涉密信息系统分级保护则是国家信息安全等级保护在涉及国家秘密信息的信息系统中的特殊保护措施与方法;由于国家秘密信息与公开信息在内容和特性上有着明显的区别,所以涉密信息系统和公众信息系统在保障安全的原则、系统和方法等方面也有不同的要求;既不能用维护国家秘密信息安全的办法去维护国家公众信息安全,以至于影响信息的合理利用,阻碍信息化的发展；也不能用维护公众信息安全的办法来维护国家的秘密信息安全,以至于窃密、泄密事件的发生,危害国家的安全和利益,同样影响信息化的健康发展;。

等级保护

26
等级保护-主机安全整改要点
27
入侵防范
剩余信息保护
比较超前较难实现
安全审计
访问控制
身份鉴别
资源控制
恶意代码防范
28
ቤተ መጻሕፍቲ ባይዱ
等级保护-应用安全概述
应用系统的安全就是保护系统的各种应用程序安全运行。包括基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等。应用安全具体包括：9个控制点身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）
二级一级
• 信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 • 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
9
等级保护-定级
定级建议参考
一级信息系统：公民个人的单机系统，小型集体、民营企业所属的信息系统，中、小学校的信息系统，乡镇级党政机关、事业单位的信息系统，其他小型组织的信息系统。二级信息系统：县级、地市级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财务、财政、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险、农业等行业所属独立的信息系统，中型集体、民营企业、小型国有企业所属的信息系统，县级党政机关、事业单位的信息系统，普通高等院校和科研机构的信息系统，其他中型组织的信息系统。三级信息系统：省级和副省级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、工商、审计、能源、化工、社会服金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险、农业等行业所属独立的重要信息系统，大型集体、民营企业、大中型国有企业所属的重要信息系统，地市级党政机关、事业单位的重要信息系统，重点高等院校和科研机构的重要信息系统，其他大中型组织的信息系统。

等级保护2.0基本要求二级三级对比表格

1通用技术要求安全物理环境需要知足切合项的，不需要知足切合项的或许空序号名称详细要求2级3级1物理地点的a) 机房场所应选择在拥有防震、防风和防雨等能选择力的建筑内；b) 机房场所应防止设在建筑物的顶层或地下室，2物理接见控制不然应增强防水和防潮举措。

机房进出口应安排专人值守或配置电子门禁系统，控制、鉴识和记录进入的人员。

机房进出口应配置电子门禁系统，控制、鉴识和记录进入的人员。

3防偷窃和防a) 应将设备或主要零件进行固定，并设置显然的损坏不易除掉的表记；b)应将通讯线缆铺设在隐蔽安全处。

c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。

4防雷击应将各种机柜、设备和设备等经过接地系统安全接地。

b)应采纳举措防备感觉雷，比如设置防雷保安器或过压保护装置等。

5防火a)机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；b)机房及有关的工作房间和协助房应采纳拥有耐火等级的建筑资料。

c)应付机房区分地区进行管理，地区和地区之间设置隔绝防火举措。

6防水和防潮a) 应采纳举措防备雨水经过机房窗户、屋顶和墙壁浸透；b) 应采纳举措防备机房内水蒸气结露和地下积水的转移与浸透。

c)应安装对水敏感的检测仪表或元件，对机房进7防静电行防水检测和报警。

应采纳防静电地板或地面并采纳必需的接地防静电举措。

b)应采纳举措防备静电的产生，比如采纳静电消除器、佩带防静电手环等。

8湿温度控制应设置温湿度自动调理设备，使机房温湿度的变化在设备运转所同意的范围以内。

9电力供给a) 应在机房供电线路上配置稳压器和过电压防备设备；b)应供给短期的备用电力供给，起码知足设备在断电状况下的正常运转要求。

c)应设置冗余或并行的电力电缆线路为计算机系统供电。

10电磁防备a) 电源线和通讯线缆应隔绝铺设，防止相互扰乱。

b)应付重点设备实行电磁障蔽。

安全通讯网络序号名称详细要求2级3级a)应保证网络设备的业务办理能力知足业务顶峰期需要；b)应保证网络各个部分的带宽知足业务顶峰期需要；c)应区分不一样的网络地区，并依照方便管理和控制的原则为各网络地区分派地址；1网络架构d)应防止将重要网络地区部署在界限处，重要网络地区与其余网络地区之间应采纳靠谱的技术隔绝手段e)应供给通讯线路、重点网络设备和重点计算设备的硬件冗余，保证系统的可用性。

等级保护分级保护政策学习

在分级保护方面，国家保密局发布了《涉及国家秘密的信息系统分级保护管理
办法》（国保发[2005]16号），之后陆续发布了《涉及国家秘密的信息系统分级保护技术要求》、《涉及国家秘密的信息系统分级保护管理规范》、《涉及国家秘密的信息系统分级保护方案设计指南》、《涉及国家秘密的信息系统分级保护测评指南》等一系列分级保护的国家保密标准。
导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）和 2005年发布的《关于信息安全等级保护的实施意见》（公通字 [2005] 66号），确立了等级保护作为国家信息安全保障的基本制度。
等级保护制度是从国家的视角，依据信息系统被破坏后，对国家安全、
社会秩序和公共利益造成的影响程度来划分系统的安全等级。等级保护制度充分体现了信息安全的国家意志。
内容概要
政策背景等保/分保概念
等保/分保制度与标准等保/分保职能分工等保/分保各相关方职责实施要求管理过程资质管理
等保/分保概念
1、什么是等级保护？【解释】是我国实施信息安全管理的一项法定制度，1994年147号令、 2003年27号文件、2004年66号文件都有明确规定，信息系统安全实施等级化保护和等级化管理。 2、什么是分级保护？涉密信息系统依据国家信息安全等级保护的基本要求，按照国家保密工作部门有关涉密信息系统分级保护的管理规定和技术标准，实施信息安全分级保护的强制执行制度。涉密信息系统按照所处理信息的最高密级，由低到高分为秘密、机密、绝密三个等级。
分级保护实施流程方案设计工程实施系统测评保密局评审专日常管理系统废止标准保密局备案系统定级涉及单位阶段工作管理办法技术要求保密法设计指南技术要求管理规范安全产品标准工程监理规范测评指南技术要求管理规范保密管理指南详细系统识别确定最高密级确定保护等级上报审批风险评估确定保护要求规划设计方案上报审查论证制定实施保密制度确定工程监理方确定产品集成方提交测评申请提交测评资料提交审批申请提交审批资料系统审批测试与检查工程监理方保密局结论专测评指南制定保密管理制度组建安全保密机构设置安全保密专员定期风险自查动态调整防护措施定期进行保密测评提交废止批申请销毁涉密设备资料分级保护主管部门的管理手段

【精品】安全等级保护2级和3级等保要求

主机系统安全
身份鉴别
1）操作系统和数据库管理系统用户的身份标识应具有唯一性；
2）应对登录操作系统和数据库管理系统的用户进行身份标识和鉴别；
3）操作系统和数据库管理系统身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；
4）应具有登录失败处理功能，如：结束会话、限制非法登录次数，当登录连接超时，自动退出。
1）应在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生；
2）当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。
恶意代码防范
1）应在网络边界及核心业务网段处对恶意代码进行检测和清除；
3）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过度区域；
4）应对重要区域配置电子门禁系统，鉴别和记录进入的人员身份并监控其活动。
防盗窃和防破坏
1）应将主要设备放置在物理受限的范围内；
2）应对设备或主要部件进行固定，并设置明显的不易除去的标记；
3）应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等；
1）操作系统和数据库管理系统用户的身份标识应具有唯一性；
2）应对登录操作系统和数据库管理系统的用户进行身份标识和鉴别；
3）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；
4）操作系统和数据库管理系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；
5）应具有登录失败处理功能，如：结束会话、限制非法登录次数，当登录连接超时，自动退出；
6）应实现操作系统和数据库管理系统特权用户的权限分离；

等级保护新标准(2.0)介绍

等级保护新标准(2.0)介绍等级保护新标准(2.0)介绍1. 引言等级保护是一种对信息进行分类和保护的方法，在信息管理和安全领域有着广泛应用。

为了适应快速发展的信息技术和信息系统，旨在介绍等级保护新标准(2.0)，包括标准的背景、目的、适用范围、基本原则和标准要求等内容。

2. 标准背景等级保护新标准(2.0)是在等级保护(1.0)标准的基础上进行修订和完善而成。

鉴于信息系统的规模和复杂度不断增加，现有的等级保护标准已经不能满足相关需求，因此迫切需要制定新的标准。

3. 标准目的本标准的目的在于规范等级保护工作，明确保护信息的等级和控制措施，提高信息系统的安全性和可信度，确保信息的保密性、完整性和可用性。

4. 标准应用范围本标准适用于所有需要进行等级保护的信息系统，包括但不限于政府机构、企事业单位、科研机构以及其他组织。

5. 基本原则本标准制定基于以下基本原则：5.1 需求驱动原则：等级保护工作应以用户需求为导向，根据不同信息系统的特点和安全需求，制定相应的等级保护要求。

5.2 风险管理原则：等级保护工作应基于风险管理的方法，通过对信息资产的价值和威胁进行评估，确定等级保护方案。

5.3 分级管理原则：等级保护应按照信息的重要性和风险进行分级管理，确保信息系统的安全性和可信度。

5.4 统一标准原则：等级保护工作应按照国家和行业标准进行，确保等级保护的一致性和可比性。

6. 标准要求本标准主要包括以下方面的要求：6.1 等级保护分类：根据信息系统的重要性和对安全的需求，将信息分为不同的等级，确定相应的保护措施。

6.2 等级保护管理：建立等级保护管理制度，包括等级保护的组织架构、职责分工、评估审批流程等内容。

6.3 等级保护措施：根据不同等级的需求，确定相应的技术和管理措施，包括访问控制、加密算法、防火墙配置等。

6.4 安全评估和监测：建立安全评估和监测机制，对等级保护的效果进行评估，及时发现和解决安全问题。

等级保护新标准(2.0)介绍

等级保护新标准(2.0)介绍等级保护新标准(2.0)介绍一、引言1.1 编写目的旨在介绍等级保护新标准(2.0)的内容、原则和应用范围，为相关人员提供参考依据。

1.2 背景随着信息技术的发展，现有的等级保护标准逐渐不能满足对信息安全的要求。

为适应新的安全环境和技术发展，需要制定新的等级保护标准。

二、等级保护新标准(2.0)概述2.1 定义等级保护新标准(2.0)是针对信息系统、网络和数据等级分类，并提供相应的保护措施的标准。

2.2 内容2.2.1 等级分类：将信息系统、网络和数据划分为不同的等级，包括高级、中级和低级等级。

2.2.2 保护要求：对不同等级的信息系统、网络和数据提出相应的保护要求，包括物理安全、网络安全、数据安全等方面。

2.2.3 保护措施：根据保护要求，采取相应的技术和管理措施来保护信息系统、网络和数据的安全。

2.2.4 评估和认证：对符合等级保护新标准的信息系统、网络和数据进行评估和认证。

三、等级保护新标准(2.0)详细说明3.1 等级分类3.1.1 高级等级：适用于国家级涉密信息系统、网络和数据，要求最严格的保护措施。

3.1.2 中级等级：适用于省级涉密信息系统、网络和数据，要求较高的保护措施。

3.1.3 低级等级：适用于市级涉密信息系统、网络和数据，要求一般的保护措施。

3.2 保护要求3.2.1 物理安全要求：包括设备存放、防火防灾、门禁控制等方面的要求。

3.2.2 网络安全要求：包括网络隔离、入侵检测、安全传输等方面的要求。

3.2.3 数据安全要求：包括数据备份、加密传输、权限控制等方面的要求。

3.3 保护措施3.3.1 技术措施：采用防火墙、入侵检测系统、加密技术等技术手段来实现保护要求。

3.3.2 管理措施：制定安全管理制度、进行安全培训、定期演练等管理手段来实现保护要求。

3.4 评估和认证3.4.1 评估要求：对符合等级保护新标准的信息系统、网络和数据进行评估，评估包括安全性能测试、漏洞扫描等。

新版等级保护分级保护.pdf

1.6 国家密码管理部门在等级保护 /分级保护工作中的职责是什么？ ............................................................................... 4
1.7 等级保护的政策依据是哪个文件？ ................................................................................................................................ 4
1.8 公安机关对等级保护的管理模式是什么，等级保护定级到哪里备案？
..................................................................... 5
1.9 等级保护是否是强制性的，可以不做吗？
.................................................................................................................... 5
2 分级保护 FAQ............................................................................................................................................................................. 7
1.2 信息安全等级保护制度的意义与作用？
........................................................................................................................ 3

等级保护分级保护

- - -等级保护/分级保护目录1等级保护FAQ21.1什么是等级保护、有什么用？21.2信息平安等级保护制度的意义与作用？31.3等级保护与分级保护各分为几个等级，对应关系是什么？31.4等级保护的重要信息系统〔8+2〕有哪些？31.5等级保护的主管部门是谁？41.6国家密码管理部门在等级保护/分级保护工作中的职责是什么？41.7等级保护的政策依据是哪个文件？41.8公安机关对等级保护的管理模式是什么，等级保护定级到哪里备案？41.9等级保护是否是强制性的，可以不做吗？51.10等级保护的主要标准有哪些，是否已发布为正式的国家标准？51.11哪些单位可以做等级保护的测评？61.12做了等级测评之后，是否会给发合格证书？61.13是否只是在政府行业实行？企业是否也在等级保护和分级保护范畴之内？61.14等级保护检查的责任单位是谁？62分级保护FAQ72.1分级保护是什么？72.2分级保护的主管部门是谁？72.3分级保护定级到哪里备案？72.4分级保护的政策依据是哪个文件？72.5分级保护与等级保护的适用对象分别是什么？72.6分级保护有关信息平安的标准相互关系是什么？82.7分级保护与等级保护的定级依据有何区别？82.8分级保护的建立依据、方案设计、测评分别依据哪些标准？82.9分级保护设计方案是否需要经过评审和审批，谁来评审和审批？82.10涉密信息系统投入使用前，是否需要经过审批，由谁来审批？82.11分级保护系统测评的作用是什么，是否必须做？92.12哪些单位可以做分级保护的测评，有什么资质要求？92.13分级保护对涉密系统中使用的平安保密产品有哪些要求？92.14涉密系统分级保护多长时间需进展一次平安保密检查？102.15各级保密局与各单位保密办的关系是什么？102.16分级保护的系统集成对厂商的资质有什么要求？102.17分级保护的平安建立是否必须监理，对监理资质有什么要求？102.18分级保护的哪些具体工作对厂商有单项资质的要求？113综合问题113.1等保与分保的本质区别是什么？113.2等保与分保各有几种级别？113.3等级保护/分级保护什么区别哪些部门在管理，怎么做？113.4企业出现泄密事件上报那些单位？123.5等保定级备案是依据单位还是系统？123.6风险评估和等级保护的关系？123.7方案设计阶段及实施前是否需要报批？123.8对于等保中产品使用及密码产品是否有要求？12等级保护/分级保护FAQ1等级保护FAQ1.1什么是等级保护、有什么用？【解释】是我国实施信息平安管理的一项法定制度，1994年147号令、2003年27号文件、2004年66号文件都有明确规定，信息系统平安实施等级化保护和等级化管理。

等级保护2.0讲解PPT课件

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月； 2021
第三十四条除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：
5
2访问控制
8
2通信传输
2
3安全审计
4
3边界防护
4
网络安全
4边界完整性检查
5入侵防范
2
4 访问控制
5
网络和通信安全
2
5 入侵防范
4
6 恶意代码防范
2
7 网络设备防护
8
6 恶意代码防范
2
7 安全审计
5
8 集中管控
6
2021
原控制项
新控制项
a) 应采用校验码技术或密码技术保证通信过程中数据
的完整性；
25
34
安全运维管理
30
48
合计
/
147
230
2021
总体上看，等保2.0通用要求在技术部分的基础上进行了一些调整，但控制点要求上并没有明显增加，通过合并整合后相对旧标准略有缩减。
2021
原控制点要求项数
新控制点要求项数
1 物理位置的选择
2
2 物理访问控制
4
3 防盗窃和防破坏
6
1 物理位置的选择
物理位置的选择
或地下室，以及用水设备的下层或隔壁。
物理位置的选择
b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施

新版等级保护安全风险评估报告模版.pdf

附件：信息安全等级保护风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日目录一、风险评估项目概述 (1)1.1工程项目概况 (1)1.1.1 建设项目基本信息 (1)1.1.2 建设单位基本信息 (1)1.1.3承建单位基本信息 (2)1.2风险评估实施单位基本情况 (2)二、风险评估活动概述 (2)2.1风险评估工作组织管理 (2)2.2风险评估工作过程 (2)2.3依据的技术标准及相关法规文件 (2)2.4保障与限制条件 (3)三、评估对象 (3)3.1评估对象构成与定级 (3)3.1.1 网络结构 (3)3.1.2 业务应用 (3)3.1.3 子系统构成及定级 (3)3.2评估对象等级保护措施 (3)3.2.1XX子系统的等级保护措施 (3)3.2.2子系统N的等级保护措施 (3)四、资产识别与分析 (4)4.1资产类型与赋值 (4)4.1.1资产类型 (4)4.1.2资产赋值 (4)4.2关键资产说明 (4)五、威胁识别与分析 (4)5.2威胁描述与分析 (5)5.2.1 威胁源分析 (5)5.2.2 威胁行为分析 (5)5.2.3 威胁能量分析 (5)5.3威胁赋值 (5)六、脆弱性识别与分析 (5)6.1常规脆弱性描述 (5)6.1.1 管理脆弱性 (5)6.1.2 网络脆弱性 (5)6.1.3系统脆弱性 (5)6.1.4应用脆弱性 (5)6.1.5数据处理和存储脆弱性 (6)6.1.6运行维护脆弱性 (6)6.1.7灾备与应急响应脆弱性 (6)6.1.8物理脆弱性 (6)6.2脆弱性专项检测 (6)6.2.1木马病毒专项检查 (6)6.2.2渗透与攻击性专项测试 (6)6.2.3关键设备安全性专项测试 (6)6.2.4设备采购和维保服务专项检测 (6)6.2.5其他专项检测 (6)6.2.6安全保护效果综合验证 (6)6.3脆弱性综合列表 (6)七、风险分析 (6)7.1关键资产的风险计算结果 (6)7.2关键资产的风险等级 (7)7.2.1 风险等级列表 (7)7.2.3 基于脆弱性的风险排名 (7)7.2.4 风险结果分析 (7)八、综合分析与评价 (7)九、整改意见 (7)附件1：管理措施表 (8)附件2：技术措施表 (9)附件3：资产类型与赋值表 (11)附件4：威胁赋值表 (11)附件5：脆弱性分析赋值表 (12)一、风险评估项目概述1.1 工程项目概况1.1.1 建设项目基本信息工程项目名称工程项目批复的建设内容非涉密信息系统部分的建设内容相应的信息安全保护系统建设内容项目完成时间项目试运行时间1.1.2 建设单位基本信息工程建设牵头部门部门名称工程责任人通信地址联系电话电子邮件工程建设参与部门部门名称工程责任人通信地址联系电话电子邮件如有多个参与部门，分别填写上1.1.3承建单位基本信息如有多个承建单位，分别填写下表。

等级保护分级保护

等级保护/分级保护目录1等级保护FAQ .................................................................... 错误!未指定书签。

1.1什么是等级保护、有什么用？................................................... 错误!未指定书签。

1.2信息安全等级保护制度的意义与作用？ ........................................... 错误!未指定书签。

1.3等级保护与分级保护各分为几个等级，对应关系是什么？ ........................... 错误!未指定书签。

1.4等级保护的重要信息系统（8+2）有哪些？ ........................................ 错误!未指定书签。

1.5等级保护的主管部门是谁？..................................................... 错误!未指定书签。

1.6国家密码管理部门在等级保护/分级保护工作中的职责是什么？ ...................... 错误!未指定书签。

1.7等级保护的政策依据是哪个文件？ ............................................... 错误!未指定书签。

1.8公安机关对等级保护的管理模式是什么，等级保护定级到哪里备案？.................. 错误!未指定书签。

1.9等级保护是否是强制性的，可以不做吗？ ......................................... 错误!未指定书签。

1.10等级保护的主要标准有哪些，是否已发布为正式的国家标准？ ..................... 错误!未指定书签。

1.11哪些单位可以做等级保护的测评？............................................. 错误!未指定书签。

等级保护分级保护

等级保护/分级保护目录1等级保护FAQ.............................................................................................................................................. 错误!未定义书签。

什么是等级保护、有什么用？......................................................................................................... 错误!未定义书签。

信息安全等级保护制度的意义与作用？ ......................................................................................... 错误!未定义书签。

等级保护与分级保护各分为几个等级，对应关系是什么？ ......................................................... 错误!未定义书签。

等级保护的重要信息系统（8+2）有哪些？................................................................................... 错误!未定义书签。

等级保护的主管部门是谁？............................................................................................................. 错误!未定义书签。

国家密码管理部门在等级保护/分级保护工作中的职责是什么？ ................................................ 错误!未定义书签。

等级保护与分级保护的区别定稿版

等级保护与分级保护的区别精编W O R D版 IBM system office room 【A0816H-A0912AAAHH-GX8Q8-GNTHHJ8】关于信息安全制度中等级保护与分级保护的异同时间：2013-04-15 11:41:06来源：作者：等级保护和分级保护是在信息安全领域经常遇到的两个概念，那么这两个概念有什么区别与联系呢那些系统需要进行等级保护那些系统又需要进行分级保护涉密信息系统如何分级这都是时常困扰我们的问题，在此和大家一起探讨一个等保和分保的问题。

一、等保的全称是信息安全等级保护1999年国家发布并于2001年1月1日开始实施GB17859《计算机信息系统安全保护等级划分准则》。

2003年中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号) 提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。

信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

信息系统的安全保护等级分为五级。

第一级信息系统受到破坏后会对公民、法人和其他组织的合法权益造成损害但不损害国家安全、社会秩序和公共利益。

第二级信息系统受到破坏后会对公民、法人和其他组织的合法权益产生严重损害或者对社会秩序和公共利益造成损害但不损害国家安全。

第三级信息系统受到破坏后会对社会秩序和公共利益造成严重损害或者对国家安全造成损害。

第四级信息系统受到破坏后会对社会秩序和公共利益造成特别严重损害或者对国家安全造成严重损害。

第五级信息系统受到破坏后会对国家安全造成特别严重损害。

二、分保的全称是涉密信息系统分级保护1997年《中共中央关于加强新形势下保密工作的决定》明确了在新形势下保密工作的指导思想和基本任务，提出要建立与《保密法》相配套的保密法规体系和执法体系，建立现代化的保密技术防范体系。