信息安全等级保护及行业案例分析
等级保护基本要求培训(第十二期)
等级保护的背景与发展
背景
随着信息技术的发展，信息安全问题日益突出，为应对这一挑战，我国政府制 定了一系列的信息安全法律法规和标准，等级保护制度就是其中之一。
发展
等级保护制度经历了从初步建立到逐步完善的过程，目前已经成为我国信息安 全保障的基本制度。
等级保护的基本原则
分级管理
对不同等级的信息和信 息系统实行不同的管理
安全物理环境问题
缺乏对物理访问的严格控制，可能导 致未经授权的人员进入关键区域。
安全通信网络问题与解决方案
总结词
安全通信网络问题主要涉及网络安全设备和通信保密。
安全通信网络问题
网络设备可能存在安全漏洞，通信过程中信息可能被窃取或篡改。
安全通信网络解决方案
及时更新网络设备的安全补丁，使用加密技术确保通信保密。
应用边界等。
网络边界应采取必要的安全防护 措施，如防火墙、入侵检测系统 等，以防止未经授权的访问和攻
击。
应用边界应采取身份认证和访问 控制措施，防止非法用户和恶意
软件的入侵。
安全计算环境
01
安全计算环境是保障信 息系统安全的核心，包 括操作系统、数据库、 应用程序等。
02
操作系统应采取必要的 安全配置和管理措施， 如账户管理、权限控制 等。
温湿度应控制在适宜范围内，并定期进 行环境清洁和消毒。
供电应采用专线专用，并配置防雷击和 浪涌保护器。
场地应选择具备良好电磁屏蔽和抗干扰 能力的区域，并采取物理访问控制和监 控措施。
机房应满足防水、防潮、防雷、防震等 要求，配备UPS电源和消防报警系统。
安全通信网络
01
02
03
04
安全通信网络是保障信息系统 安全运行的关键，包括内网、
信息安全等级保护及行业案例分析
信息安全等级保护及行业案例分析信息安全是指对信息进行保护，并保证信息的机密性、完整性、可用性和不可抵赖性。
为了有效保护信息安全，各国纷纷设立了信息安全等级保护体系。
本文将对信息安全等级保护进行介绍，并通过分析行业案例来探讨其重要性和应用。
信息安全等级保护是一个由高至低分为5个级别的体系，对信息系统进行等级划分。
不同级别的信息系统对应不同的保护措施和要求。
一般分为三个方面进行等级划分，即信息的保密性、完整性和可用性。
保密性是指信息对未授权人员的保密程度，完整性是指信息的完整程度，可用性是指信息系统正常运行的能力。
信息安全等级保护的首要目标是保障国家和社会信息的安全。
对于国家机关和军事系统等重要信息系统，要求较高的保护措施和技术手段，以防止敌对势力的渗透和攻击。
对于大中型企事业单位和重要行业，也有相应的保护要求，以防止敏感信息泄露、数据被篡改或服务中断对企业或行业造成损失。
对于非重要行业和个人用户，虽然对信息安全的要求相对较低，但也需要基本的防护措施，避免个人隐私泄露和财产损失。
信息安全等级保护在各个行业中都有广泛的应用。
以金融行业为例，金融机构是社会经济运行的核心环节，对信息安全的要求尤为严格。
在金融行业中，涉及大量的个人客户和企业的财务信息，如果泄露或被篡改，将对金融机构和客户造成极大的损失。
因此，金融行业的信息系统往往采用高等级的安全防护措施，包括数据加密、访问控制、审计日志等。
同时，金融行业也注重内部员工的信息安全意识和培训，加强对员工的监管和管理。
另外一个行业是电子商务。
随着网络技术的发展和普及，电子商务已经成为经济社会发展的重要组成部分。
在电子商务中，用户的个人隐私和财务信息往往需要提供给电商平台，以完成购物和支付等操作。
为了保护用户的信息安全，电商平台需要采取一系列的技术措施，例如使用安全的数据传输协议、加密用户的个人信息、建立安全的支付系统等。
还有一个行业是医疗保健。
医疗保健行业涉及大量的个人健康信息和医疗记录，如果这些信息泄露或被篡改，将对患者的身体和隐私造成极大的伤害。
等级保护解读与案例介绍
等级保护1.0与2.0主要内容差异
素简出品
等级保护总体指导思想
等级保护2.0指导思想
突出保01护重点
升级防Te护xt 理念
注重联Te防xt 联控
强化集中管控
关键信息基础设施是国家 网络安全的重点保护对象，要举全国之力，不断强 化保卫、保障和保护。
从等保1.0标准被动防御的安 全体系向事前防范、事中响
边界接入区
行业专网
核心交换区
终端安全软件
移动办公
SSL VPN接入
防火墙
数据库 审计
网络流量分析探针
网络流量分析系统
网络流量分析探针Web 防火墙
APT检测
素简出品
等级保护通用安全解决方案
互联网接入区
SSL VPN网关
内部业务区
上网行为管理
IPS
DDoS防御
外部业务区
务器
Web
安全沙箱
IPS/AV
公通字[2007]43号四部门联合下发《信息安 全等级保护管理办法》；以及 《关于开展信 息安全等级保护试点工作的通知》标志着信息安全等级保护制度正式 开始实施。
等保2.0标准实施2019 年 5 月 10 日《GB/T22239-2019 信息安全技术网络安全等级保护 基本要求 》正式发布，称 为等保2.0标准。
在修订）
基本要求GB/T 22239-2019
设计要求GB/T 25070-2019
实施指南GB/T 25058（正
在修订）
测评要求GB/T 28448- 2019 测评过程指南GB/T 28449-2018
安全通用要求
云计算安全 扩展要求
移动互联安 全扩展要求
物联网安全 扩展要求
信息安全等级保护制度
感谢您的观看
T测技术
通过部署监测设备，实时监测网络 流量和安全事件，及时发现并处置
网络安全威胁。
数据加密技术
通过加密算法对数据进行加密处理 ，保护数据的安全性和完整性。
安全审计技术
通过审计系统对网络流量和安全事 件进行审计，发现并纠正可能存在 的安全问题。
信息安全等级保护制度的应急响应技术
等级划分
根据信息和信息载体的重要性，一般将信息安全等级划分为 五级，分别是一级、二级、三级、四级和五级。每个级别都 有相应的保护要求和措施。
等级保护制度的基本原则
统一规划、分级实施
信息安全等级保护制度要求对信息和信息载体进行统一规划，并 按照分级原则进行实施。
全面覆盖、突出重点
信息安全等级保护制度要求对所有重要信息和信息载体进行全面 覆盖，同时突出重点，对关键信息基础设施实行重点保护。
定义
信息安全等级保护制度是对信息和信息载体按照重要性等级分级别进行保护 的一种工作机制。
重要性
信息安全等级保护制度旨在保障国家关键信息基础设施的安全运行，降低信 息和数据泄露的风险，维护社会稳定和公共利益。
等级保护制度的法规要求
法规依据
信息安全等级保护制度主要依据《中华人民共和国网络安全 法》、《信息安全等级保护管理办法》等法律法规制定。
要点二
实施过程
在信息安全等级保护制度下，大型企 业根据自身业务特点和安全风险评估 结果，将信息系统划分为不同的安全 等级，并制定相应的安全管理制度。 同时，还加强了对合作伙伴的安全管 理和风险控制。
要点三
效果评估
通过信息安全等级保护制度的实施， 大型企业有效地降低了信息安全风险 ，保障了客户信息和资金的安全。同 时，也提高了企业形象和市场竞争力 。
网络安全等级保护：TOP客户案例分享
建立“持续、主动、动态、闭环”的 安全运营体系，持续地监测；主动地 服务；动态地调整，安全事件的闭环。
l 随需可得的高阶安全专家
云端高阶安全专家形成安全专家池，提出专家共享 模式。就安全问题的必要性自动介入更多的安全专 家或更高阶的安全专家，让用户在短时间内扩展出 专业安全团队，解决服务效果达不到预期问题。
数据中心 转运中心
数据中心 转运中心
分拨中心
分拨中心
分拨中心
分拨中心
配送站
配送站
配送站
配送站
配送站
安全接入多样化落地
补全组网短板 降低IT投入
组网最小单位从站点下 沉到人，安全传输更灵 活，管理更加集中，实 施成本更低
扩大使用规模 从驻外出差到全员推广
并发数量从千百级上升 到10万级，项目规模大 大提升
STAGE3技术认可
Ø 核心检测能力； Ø 安全可视能力； Ø 联动响应能力
STAGE2竞争测试
Ø 安恒：设备日志为主，流量为辅； Ø 360：威胁情报和设备日志为主，
流量为辅； Ø 深信服：全流量为主，威胁情报和
关键设备日志为辅
文广集团安全感知项目方案概览
Ø 核心检测能力：基于真实流量分析，使得大 数据分析、机器学习、人工智能技术实现真 正的安全检测能力落地，不存在第三方设备 日志分析的准确性问题；
Ø array无法依赖于自身做集群，只能主备模式部署，主备切换经常故障导致设备宕机，业务中断。 Ø 不支持多因素认证，仅支持双因素，身份认证手段单一。 Ø array日志审计不够完善，出问题后溯源能力匮乏。 Ø 与终端杀软等软件及最新版浏览器兼容性极差，增加大量的运维成本和压力。
组网方案延伸——SSL安全接入
信息系统安全等级保护
安全运维管理
安全运维管理是信息系 统安全等级保护的重要 实践之一，旨在确保信 息系统的安全稳定运行。
安全运维管理涉及多个 方面，包括安全监控、 安全审计、安全配置管 理、安全漏洞管理等。
安全运维管理的目标是 及时发现和解决信息系 统存在的安全隐患，防 止信息泄露和系统崩溃 等安全事件的发生。
安全运维管理需要专业 的安全运维团队和技术 支持，以确保信息系统 的安全性和可靠性。
措施
法律法规：相关 法律法规对不同 等级的信息系统 提出了不同的安 全保护要求，企 业应遵守相关法 律法规，确保信 息系统的合法性
和安全性
等级保护工作的流程
信息系统定级 信息系统备案 开展安全建设 等级测评
03
信息系统安全等级保护 的实践
信息系统定级
信息系统等级保护的定级依据 信息系统等级保护的定级流程 信息系统等级保护的定级方法 信息系统等级保护的定级标准
国际相关法规和标准
ISO 27001： 信息安全管理 体系标准，规 定了组织应遵 循的信息安全 管理最佳实践
要求。
ISO 27002： 信息安全控制 实践指南，提 供了控制措施 的分类和示例， 帮助组织识别 和实施所需的
安全控制。
ISO 22301： 业务连续性管 理体系，旨在 确保组织能够 在发生灾难性 事件时快速恢
信息系统安全等级保 护
,
汇报人：
目录 /目录
01
点击此处添加 目录标题
04
信息系统安全 等级保护的法 规和标准
02
信息系统安全 等级保护概述
05
信息系统安全 等级保护的挑 战与对策
03
信息系统安全 等级保护的实 践
06
信息系统安全 等级保护的案 例分析
信息安全等级保护与解决方案
信息安全等级保护与解决方案信息安全是当今社会中一个十分重要的领域，尤其是在数字化和网络化的环境下，各种信息安全漏洞和威胁随之而来。
因此，信息安全等级保护和解决方案变得至关重要。
以下是一些常见的信息安全等级保护和解决方案的例子：1. 加强网络安全：通过建立有效的网络安全策略和防火墙来保护企业的网络系统，防止网络攻击、病毒和恶意软件的侵入。
2. 数据加密：对重要和敏感的数据进行加密，以防止数据泄露和未经授权的访问。
同时，建立有效的数据备份和恢复系统，以保证数据的安全性和可靠性。
3. 安全认证和访问控制：建立有效的安全认证和访问控制机制，对系统和数据进行严格的访问权限管理，确保只有经过授权的用户可以访问和操作系统和数据。
4. 安全意识教育：加强员工的信息安全意识培训，使其能够识别和应对各种信息安全威胁和攻击，从而减少内部安全风险。
5. 安全审计和监控：建立有效的安全审计和监控系统，对网络、系统和应用进行实时的监控和审计，及时发现和应对潜在的安全问题。
这些信息安全等级保护和解决方案的实施可以大大提高企业的信息安全等级，减少信息安全风险，并保护企业的核心业务和机密数据。
同时，信息安全技术和方法也在不断发展和演变，企业需要及时关注和应用最新的信息安全技术，以保证信息安全等级的持续提升。
信息安全等级保护和解决方案是企业在数字化时代面临的重要任务之一。
随着信息技术的发展和普及，企业面临的信息安全威胁也变得更加复杂和严峻。
因此，企业需要采取一系列有效的措施来保护其信息资产和业务运作的安全。
以下将继续探讨一些与信息安全等级保护和解决方案相关的内容。
6. 漏洞管理：定期对系统、应用和设备进行漏洞扫描和评估，及时修复和更新系统补丁，以减少安全漏洞对企业信息资产的潜在威胁。
7. 外部安全合作：建立外部安全合作关系，与专业的安全厂商、组织或机构合作，获取最新的安全威胁情报和解决方案，及时了解和应对新的安全威胁。
8. 持续改进：信息安全工作是一个持续改进的过程，企业需要建立信息安全管理体系，不断评估和改进安全策略、流程和控制措施，以适应不断变化的安全威胁和环境。
信息安全等级保护与整体解决方案介绍
02
信息安全等级保护体系
信息安全等级保护体系框架
01
02
03
组织结构
明确各级组织在信息安全 等级保护体系中的角色和 职责，建立完善的安全管 理责任体系。
安全管理
制定和实施安全管理制度 、流程和策略，确保信息 系统的安全运行。
安全技术
采用先进的安全技术手段 ，如加密、防火墙、入侵 检测等，以保护信息系统 免受攻击和破坏。
《中华人民共和国网络安全法》 明确规定了信息安全等级保护的 责任和义务，对网络运营者、网 络产品和服务提供者等提出了具
体要求。
行政法规
国务院《关于加强网络信息保护 的决定》等行政法规进一步细化 了信息安全等级保护的具体要求
和措施。
地方法规
各省市也相继出台了相关的地方 法规和政策，如《XX省网络安全
管理条例》等。
技术架构特点
我们的技术架构具有以下特点：分层次、模块化、开放性、可扩展性、可定制 性。
解决方案的实施流程
实施流程设计
我们的解决方案实施流程包括项目立项 、需求分析、设计开发、测试验收、上 线运行五个阶段。每个阶段都有明确的 任务和目标，确保项目的顺利进行。
VS
实施流程特点
我们的实施流程具有以下特点：标准化、 可操作性强、易于管理、可控性高。
通过信息安全等级保护实践，大型 企业提高了信息系统的安全性和可 靠性，保障了企业的商业机密和客 户信息的安全，提高了企业的市场 竞争力。
05
总结与展望
总结
信息安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。它涉及到信息安全的各个方面， 包括数据的保密性、完整性、可用性等。
2022下半年(11月)信息安全工程师真题(案例分析)【完整版】
2022下半年（11月）信息安全工程师真题（案例分析）【完整版】试题一（20分）已知某公司网络环境结构主要由三个部分组成，分别是DMZ区、内网办公区和生产区，其拓扑结构如图1-1所示。
信息安全部的王工正在按照等级保护2.0的要求对部分业务系统开展安全配置。
图1-1【问题1】（2分）为了防止生产网受到外部的网络安全威胁，安全策略要求生产网和其他网之间部署安全隔离装置，隔离强度达到接近物理隔离。
请问图中X最有可能代表的安全设备是什么?【问题2】（2分）防火墙是网络安全区域边界保护的重要技术，防火墙防御体系结构主要有基于双宿主主机防火墙、基于代理型防火墙和基于屏蔽子网的防火墙。
图1-1拓扑图中的防火墙布局属于哪种体系结构类型?【问题3】（2分）通常网络安全需要建立四道防线，第一道是保护，阻止网络入侵，第二道是监测，及时发现入侵和破坏，第三道是响应，攻击发生时确保网络打不垮，第四道是恢复，使网络在遭受攻击时能以最快速度起死回生。
请问拓扑图1-1中防火墙1属于第几道防线?【问题4】（6分）图1-1中防火墙1和防火墙2都采用Ubuntu系统自带的iptables防火墙，其默认的过滤规则如图1-2所示Chain INPUT（policy ACCEPT）Target prot opt source destinationChain FORWARD （policy ACCEPT）Target prot opt source destinationChain OUTPUT （policy ACCEPT）Target prot opt source destination（1）请说明上述防火墙采取的是白名单还是黑名单安全策略（2）图1-2显示的是iptables 哪个表的信息，请写出表名。
（3）如果要设置iptables 防火墙默认不允许任何数据包进入，请写出相应命令【问题5】（8分）DMZ 区的网站服务器是允许互联网进行访问的，为了实现这个目标，王工需要对防火墙进行有效配置。
信息安全等级保护概念及案例分析
信息安全管理案例基于等级保护的信息安全管理测评
案例二
基于等级保护 地信息安全管 理测评
第三节 测评对象地定级与样本确定
三.二．测评样本选取
XX集团核查设备清单
设备名称
设备信息
抽查说明
WS-二九五零
根据定级结果,XX集团信息管理系统 防火墙
将按照《信息系统安全等级保护测评准 防火墙
WS-六五零九
则》关于二级地有关安全要求,开展具 WS-二九五零-EI
要求
计算机信息系 统安全保护等 级划分准则
信息系统安 全等级保护
测评准则
信息系统安全 等级保护实施
指南
案例二
基于等级保护 地信息安全管 理测评
第二节 测评对象基本情况
二.一．测评系统对象
XX集团地信息管理系统以推该集团信息化建设, 构建先,安全地信息系统与建立健全地信息管理制度 为目地,面向提高集团核心竞争力,全面提升集团地经 营与管理水而建设,其根本功能在于为集团提供全面, 先,高效,及时地信息技术服务与支持。
调节因子k选为零.五,参照《定级指南》六.二节关于L与业务服 务保证等级地对应表,综合XX集团地实际情况,最终确定调节后地 XX集团信息系统地业务服务保证等级为二级。
案例二
基于等级保护 地信息安全管 理测评
第三节 测评对象地定级与样本确定
三.一．系统定级
(三) 确定XX集团信息管理系统安全保护等级
信息系统地安全保护等级分为五级:
第一级 自主保护级
适用于一般地信息系统,其受到 破坏后,会对公,法与其它组织 地合法权益产生损害,但不损害 家安全,社会秩序与公利益。
案例二
基于等级保护 地信息安全管 理测评
第三节 测评对象地定级与样本确定
三.一．系统定级
等级保护安全建设案例
等级保护安全建设案例等级保护安全建设案例：1. 政府机构信息系统安全等级保护建设政府机构作为重要的信息系统运营主体，面临着大量的信息资产和敏感数据的存储和管理。
为了保护这些信息资产的安全，政府机构需要进行等级保护安全建设。
通过对信息系统进行分级，采取相应的安全防护措施，确保政府机构的信息安全。
2. 金融机构网络安全等级保护建设金融机构作为重要的经济运行主体，承载着大量的金融交易和用户隐私数据。
为了确保金融机构的网络安全，需要进行等级保护安全建设。
通过对金融机构的信息系统进行等级划分，制定相应的安全标准和措施，保护用户的资金安全和个人信息安全。
3. 电信运营商通信网络安全等级保护建设电信运营商作为通信网络的提供者，承载着大量的通信数据传输和用户隐私信息。
为了保障通信网络的安全，电信运营商需要进行等级保护安全建设。
通过对通信网络进行等级划分，采取相应的安全措施，确保通信数据的机密性、完整性和可用性。
4. 医疗机构医疗信息系统安全等级保护建设医疗机构的信息系统承载着大量的患者隐私数据和医疗机密信息。
为了保护患者的隐私和医疗信息的安全，医疗机构需要进行等级保护安全建设。
通过对医疗信息系统进行等级划分，制定相应的安全策略和措施，保障医疗信息的机密性和完整性。
5. 企事业单位内部网络安全等级保护建设企事业单位作为重要的经济运行主体，承载着大量的商业机密和员工信息。
为了保护企事业单位的网络安全，需要进行等级保护安全建设。
通过对内部网络进行等级划分，采取相应的安全措施，确保商业机密和员工信息的安全。
6. 交通运输行业信息系统安全等级保护建设交通运输行业的信息系统涉及到交通运输的安全和运行管理。
为了确保交通运输行业的信息安全，需要进行等级保护安全建设。
通过对信息系统进行等级划分，制定相应的安全标准和措施，保障交通运输的安全和正常运行。
7. 教育机构学校网络安全等级保护建设教育机构和学校的网络系统承载着大量的学生和教职员工的个人信息和学校教育资源。
信息系统安全等级保护定级报告(范例)
信息系统安全等级保护定级报告（范例）一、X省邮政金融网中间业务系统描述（一）该中间业务于*年*月*日由*省邮政局科技立项，省邮政信息技术局自主研发。
目前该系统由技术局运行维护部负责运行维护。
省邮政局是该信息系统业务的主管部门，省邮政局委托技术局为该信息系统定级的责任单位。
（二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对邮储金融中间业务信息进行采集、加工、存储、传输、检索等处理的人机系统。
整个网络分为两部分，（图略），第一部分为省数据中心，第二部分为市局局域网。
在省数据中心的核心设备部署了华为的S**三层交换机，在省数据中心的网络中配置了两台与外部网络互联的边界设备：天融信 NGFW 4**防火墙和Cisco 2**路由器省数据中心网络中剩下的一部分就是与下面各个地市的互联。
其中主要设备部署的是整个省数据中心网络中的所有设备系统都按照统一的设备管理策略，只能现场配置，不可远程拨号登录。
整个信息系统的网络系统边界设备可定为NGFW 4** 与 Cisco 2**。
Cisco 2** 外联的其它系统都划分为外部网络部分，而NGFW 4** 以内的部分包括与各地市互联的部分都可归为中心的内部网络，与中间业务系统相关的省数据中心网络边界部分和内部网络部分都是等级保护定级的范围和对象。
在此次定级过程中，将各市的网络和数据中心连同省中心统一作为一个定级对象加以考虑，统一进行定级、备案。
各市的网络和数据中心还要作为整个系统的分系统分别进行定级、备案。
（三）该信息系统业务主要包含：中国移动代收费、中国联通代收费、代理国债、批量工资代发、批量水电气等费用代扣、代收烟草款等业务，并新增加了代收国税、地税，代办保险等业务。
系统针对业务实现的差异分别提供实时联机处理和批量处理两种方式。
其中：通过网络与第三方机构的连接，均采用约定好的报文格式进行通讯，业务处理流程实时完成。
业务处理系统以省集中结构模式，负责各类中间业务的业务处理，包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业务处理逻辑的实现、与会计核算系统的连接等。
有关信息安全的案例
有关信息安全的案例案例一泸州某医院不履行网络安全保护义务案简要案情：2021年6月，泸州某医院遭受网络攻击，造成全院系统瘫痪。
泸州公安机关迅速调集技术力量赶赴现场，指导相关单位开展事件调查和应急处置工作。
经调查发现，该医院未制定内部安全管理制度和操作流程，未确定网络安全负责人，未采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施，导致被黑客攻击造成系统瘫痪。
泸州公安机关根据《中华人民共和国网络安全法》第二十一条和五十九条之规定，对该院处以责令改正并警告的行政处罚。
案件警示：部分单位在信息化建设和应用中，存在“重应用，轻防护”的思想，对网络安全工作不重视、安全防护意识淡薄，未严格按照法律要求履行网络安全主体责任，存在较大安全隐患和漏洞被黑客利用进行攻击，导致部分信息系统或数据遭到破坏。
公安机关通过开展“一案双查”，对于相关单位未履行安全管理义务情况开展调查并给予行政处罚，倒逼单位主动整改，切实履行网络安全保护义务。
案例二广安某单位不履行网络保护义务案简要案情：2021年2月，广安某单位所使用的智慧政务一体化平台被黑客攻击植入木马病毒，导致系统文件被加密勒索，广安公安机关立即以破坏计算机信息系统立案侦查。
通过一案双查发现，该单位未制定内部安全管理制度和操作规程，未采取防范计算机病毒的技术措施，未对重要数据备份和加密，未履行网络安全保护义务。
广安公安机关根据《中华人民共和国网络安全法》第二十一条和第五十九条之规定，对该单位作出罚款一万元、对单位具体责任人赵某作出罚款五千元的行政处罚。
案件警示：网络运营单位因未落实网络安全防护措施造成勒索病毒攻击破坏，不但要承担勒索病毒带来的损失，还要受到法律的惩处。
案例三凉山某单位未履行安全保护义务案简要案情：近日，凉山公安机关接到报案称，辖区某学校60余名学生中考志愿被他人篡改。
经连夜侦查发现，系因某单位网站密码安全等级低，存在网络漏洞，被一升学无望心生报复的不法分子恶意攻击篡改。
金融行业信息系统安全等级保护实施指南
持续改进的策略
持续改进是信息安全等级保护 的核心原则之一，我们需要通 过不断优化和完善，提升系统 的安全性能，确保金融信息的 安全。
评估与反馈的重要性
为了实现动态调整和持续改进 ，我们需要建立有效的评估和 反馈机制，通过收集和分析数 据，及时发现问题，制定改进 措施。
05 等级保护的实施步骤
确定等级保护的目标
设计有效的维护流程需要考虑系统的特性、业务
保障信息安全起到至关重要的作用。
需求和维护人员的技能等因素，以实现系统的高
效运行和及时响应可能出现的问题。
3
实施维护流程的策略
实施维护流程需要有明确的策略和计划，包括定
期的系统检查、问题的及时发现和解决，以及系
统的持续优化和改进。
等级保护更新策略的制定与执行
金融信息是金融机构的核心资 产，包含了客户信用、交易记 录等敏感数据，一旦泄露，将 对金融机构和客户造成重大损 失。
金融信息安全的威胁
随着网络技术的发展，金融信 息安全面临着来自黑客攻击、 内部泄露等多种威胁，这些威 胁可能导致金融机构的声誉受 损，甚至破产。
金融信息安全的重要性
金融信息安全不仅关系到金融 机构的生存发展，也影响到金 融市场的稳定和公众对金融系 统的信任，因此，保障金融信 息安全至关重要。
2 制定防护策略
基于确定的保护等级，制定相应的安全防护策略，包括技术防护和管理防护。
3 实施防护措施
根据防护策略，实施具体的防护措施，如防火墙、入侵检测系统等，并进行定期的检查和 维护。
评估结果的处理与反馈
评估结果的分类与整 反馈信息的制定与传 处理结果的跟踪与优
理
递
化
对评估结果进行详细的分类 和整理，以便于进一步的分 析和处理。
信息安全等级保护及行业案例分析
测评管理体系 2008-2010
落地实施 2010--
《计算机信息系统安全保护等级划分准则》GB 17859-1999 《信息系统安全等级保护实施指南》 定级：《信息系统安全保护等级定级指南》GB/T 22240-2008 建设：《信息系统安全等级保护基本要求》GB/T 22239-2008 《信息系统通用安全技术要求》GB/T 20271-2006 《信息系统等级保护安全设计技术要求》 测评：《信息系统安全等级保护测评要求》 《信息系统安全等级保护测评过程指南》 管理：《信息系统安全管理要求》GB/T 20269-2006 《信息系统安全工程管理要求》GB/T 20282-2006
技术要求 评估准则 测试方法 配置指南
应用类
网关 服务器 入侵检测
防火墙
路由器 交换机 其他产品
产品类
等保安全 建设整改
其他类
基础类 《计算机信息系统安全保护等级划分准则》
等级保护背景与必要性
省市/行业进展
《教育部办公厅关于开展信息系统安全等级保 护工作的通知》（教办厅函【2009】80号）
2010年6月，民政部启动《民政部信息系统等 级保护整体规划建设方案》
等级保护背景与必要性
《中华人民共和国计算机信息 系统安全保护条例》（1994年 国务院147号令） 《国家信息化领导小组关于加 强信息安全保障工作的意见》 （中办发[2003]27号）
网监->网安 测评机构认证（100多家） 测评师培训认证
政策法规 1994-2005
等保标准体系 2005-2008
2011年6月，国家广电总局科技司印发了《关 于开展广播电视相关信息系统安全等级保护定 级工作的通知》出台《广播电视相关信息系统 安全等级保护定级指南》和《广播电视相关信 息系统安全等级保护基本要求》行业标准
信息安全等保行业案例分析
政府：山西XX人民法院（三级）-等保一体机
一、项目背景
1、XX中院在2016年将全部业务迁移到我服超融合平 台，2017年，在《网络安全法》颁布，等保2.0的大 环境下，XX中院打算通过等保测评以履行法律义务
二、需求分析
1、安全规划，要贴合等保2.0标准规范 2、缺乏云内安全防护 3、需要感知资产，访问关系和基层法院的安全态势 4、方案要求创新，要具备可视化的展示 三、方案设计 1、边界采用下一代防火墙、上网行为管理、安全感知 等安全设备满足边界防护和全网感知 2、数据中心采用等保一体机保障云内安全，满足等保 2.0合规性。 四、方案价值 1、方案更加贴合等保2.0，帮助客户合规 2、用户关注创新，满足客户创新要求
•齐鲁医院，湘雅医院，中山大学附属第二医院，青海省第四人民医院，海南省人民医院，景德镇第三人民医院 •山东省中医院，太原市中医院，济南市第二人民医院，宁夏回族自治区第四人民法院，都匀市人民医院，商丘 市第四人民医院，重庆市黔江中心医院，蒙自市人民医院，保山市腾冲县中医院，钦州市第一人民医院…
03
区域等保故事框架
3、简化运维
医疗：深圳XX三甲医院（三级）
一、项目背景 1、深圳XX医院是深圳市唯一按照教育部高等医学院校 直属附属医院要求规划建设的医院，为新建医院。 2、《网络安全法》政策驱动 二、需求分析
1、需要整体统一网络规划
2、按照三级等保要求进行网络规划设计 三、方案设计 1、两套网络。内外网两套物理隔离网络
xx大学三级一项目背景1省教育厅公安厅収文要求网络安全法政策驱劢2业务系统如oa财务教务等业务系统面临严峻的安全挑战二需求分析1网络架构没有划分区域2安全架构无冗余设计易出现单点故障三方案设计1通过在互联网出口数据中心区运维区和二级业务区部署负载均衡下一代防火墙利旧防火墙设备等实现网络架构的区域划分2通过在关键节点双机部署安全设备实现冗余设计避免了关键节点的单点故障四方案价值1规范了客户网络架构实现了区域划分满足合规要求2简化运维难度
信息系统安全等级保护证书
信息系统安全等级保护证书摘要：一、信息系统安全等级保护证书的背景与意义二、信息系统安全等级保护证书的分类和标准三、信息系统安全等级保护证书的申请与审核四、信息系统安全等级保护证书的作用与价值五、信息系统安全等级保护证书在实际应用中的案例分析六、我国信息系统安全等级保护证书的发展趋势与展望正文：随着互联网的普及和信息技术的发展，信息系统安全问题日益突出，信息安全已成为国家安全的重要组成部分。
为了加强对信息系统的安全保护，我国制定了一系列信息系统安全等级保护制度，其中就包括信息系统安全等级保护证书。
信息系统安全等级保护证书是根据信息系统的重要程度、信息系统所处理信息的敏感程度以及信息系统受到破坏时对国家安全、社会秩序和公共利益的影响程度，将信息系统划分为五个等级，分别颁发不同级别的安全等级保护证书。
这五个等级分别为：信息系统安全等级保护第一级、信息系统安全等级保护第二级、信息系统安全等级保护第三级、信息系统安全等级保护第四级和信息系统安全等级保护第五级。
申请信息系统安全等级保护证书需要按照相关程序进行，首先要进行信息系统安全等级保护定级，然后根据定级结果选择相应的安全防护措施，并提交相关材料进行审核。
审核通过后，颁发相应级别的安全等级保护证书。
信息系统安全等级保护证书对于保障我国信息安全具有重要意义。
首先，它为信息系统安全提供了一个统一的评估标准，有助于提高信息系统的安全防护能力。
其次，通过对信息系统进行等级划分，可以有针对性地采取不同的安全防护措施，提高信息安全保障的效率。
最后，信息系统安全等级保护证书有助于规范信息系统的安全管理，降低信息安全风险。
在实际应用中，信息系统安全等级保护证书在政府部门、金融、电力、医疗等领域均有广泛应用。
例如，在银行业，为了保障客户的资金安全和个人信息安全，银行信息系统需要获得较高的安全等级保护证书。
在电力行业，电力系统是国家重要的基础设施，其信息系统安全等级保护证书要求更为严格。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
二级
信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重 损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 • 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害 ，但不损害国家安全、社会秩序和公共利益。
广电总局 等级保护
北京市
等级保护背景与必要性
教育部
2011年8月，《教育部办公厅关于进一步加强网络信息系统安全保 障工作的通知教办厅函》〔2011〕83号要求各地教育行政部门和学校要 将本单位的信息系统定级结果报主管部门审批，已定级的第三级及以上 信息系统要安全整改方案由教育部组织专家审定，在2012年底前完成首 次安全建设整改和等级测评工作。 2010年4月教育部教育管理信息中心成立“信息安全测评部”，负 责信息安全等级保护测评工作。 2009年11月，教育部办公厅印发《关于开展信息系统安全等级保护 工作的通知》（教办厅函[2009]80号），决定在教育系统全面开展信息 安全等级保护工作，并由教育部教育管理信息中心具体组织实施。 2013年，四川将推电子学籍，其发布信息的可靠性也将借助安全。 2013年，全国教育系统拟投入600亿，可直接做信息及信息安全建 设。
2011年6月，国家广电总局科技司印发了《关 于开展广播电视相关信息系统安全等级保护定 级工作的通知》出台《广播电视相关信息系统 安全等级保护定级指南》和《广播电视相关信 息系统安全等级保护基本要求》行业标准
2007年，发布《税务信息系统安全等级保护 定级工作指南》2010年8月25日，国家税总在 上海组织召开了税务系统信息安全等级保护 上海试点测评阶段总结会。 国家电网公司2011年完成10多个网省的等级 保护整改任务（二次防护）
二级系统：5万多个 三级系统：2万多个 四级系统：100多个 2011年三级系统增加100%
等级保护背景与必要性
国家政策、标准解读
信息系统定级：《定级指南》GB/T22240-2008 等级保护实施：《实施指南》信安字[2007]10号 操作系统 数据库 网络 PKI 信息系统安全建设：《基本要求》GB/T22239-2008 《通用安全技术要求》 GB/T20271-2006 《安全技术设计要求》GB/T24856-2009 等10个要求和规范 等级测评：《测评要求》报批稿/《测评过程要求》报批稿 / GA/T713-2007 风险评估：《信息安全 风险评估规范》 GB/T20984-2007 事件管理：《信息安全 事件管理指南》 GB/Z20985-2007 《信息安全事件分类分 级指南》 GB/Z209862007 《信息系统灾难恢复规 范》GB/T20988-2007
T2-9.
T2-10. T2-11.
等级保护背景与必要性
威胁需求
T2-11. T2-12. T2-13. T2-14. T2-15. T2-16. T2-17. T2-18. T2-19. T2-20. T2-21. T2-22.
信息安全面临的威胁
系统软件、应用软件过度使用内存、CPU等系统资源 应用软件、系统软件缺陷导致数据丢失或系统运行中断 设施、通信线路、设备或存储介质因使用、维护或保养不当等原 因导致故障 授权用户操作失误导致系统文件被覆盖、数据丢失或不能使用 授权用户对系统错误配置或更改 攻击者利用非法手段进入机房内部盗窃、破坏等 攻击者非法物理访问系统设备、网络设备或存储介质等 攻击者采用在通信线缆上搭接或切断等导致线路不可用 攻击者利用分布式拒绝服务攻击等拒绝服务攻击工具，恶意地消 耗网络、操作系统和应用系统资源，导致拒绝服务 攻击者利用网络协议、操作系统、应用系统漏洞，越权访问文件、 数据或其他资源 攻击者利用通过恶意代码或木马程序，对网络、操作系统或应用 系统进行攻击 攻击者利用网络结构设计缺陷旁路安全策略，未授权访问网络
等级保护背景与必要性
《中华人民共和国计算机信息 系统安全保护条例》（1994年 国务院147号令） 《国家信息化领导小组关于加 强信息安全保障工作的意见》 （中办发[2003]27号）
网监->网安 测评机构认证（100多家） 测评师培训认证
政策法规 1994-2005
等保标准体系 2005-2008
等级保护背景与必要性
等保发展状况
2007年，四部委联合发布的《关于开展全国重要信息系统安全等级保 护定级工作的通知》（公信安[2007]861号） 2008年，国家发展和改革委员会、中华人民共和国公安部、国家保密 局《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》 （发改高技[2008]2071号） 2009年，四部委联合发布《关于推动信息安全等级保护测评体系建设 和开展等级测评工作的通知》，要求2010年底前完成测评体系建设，完 成30%第三级（含）以上信息系统的测评工作，2012年底之前完成第三 级（含）以上信息系统的安全建设整改工作。
等级保护背景与必要性
威胁需求
T2-23. T2-24. T2-25. T2-26. T2-27.
信息安全面临的威胁
攻击者利用非法手段获得授权用户的鉴别信息或密码介质，访问网络、系统 攻击者利用伪造客户端进入业务系统，进行非法访问 攻击者截获、读取、破解介质的信息或剩余信息，进行敏感信息的窃取 攻击者截获、读取、破解通信线路中的信息 由于网络设备、主机系统和应用软件的故障或双机热备失效，造成业务应用的中断 数据在传输和存储过程中被错误修改或丢失 攻击者利用通用安全协议/算法/软件等缺陷，获取信息、解密密钥或破坏通信完整 性 攻击者在软硬件分发环节（生产、运输等）中恶意更改软硬件 攻击者和内部人员否认自己的操作行为 攻击者和内部人员利用网络扩散病毒 内部人员下载、拷贝软件或文件，打开可疑邮件时引入病毒 内部人员未授权接入外部网络（如Internet） 内部人员利用技术或管理漏洞，未授权修改系统数据或修改系统程序 内部人员未授权访问敏感信息，将信息带出或通过网络传出，导致信息泄露
目录
1
2 3 4 5
等级保护背景与必要性 等级保护安全等级划分 等级保护安全建设模型 等级保护整改方案设计 行业案例分析
等级保护背景与必要性
全球背景
全球网络安全形势严峻，信息安全问题不仅仅是组织自身的事情，也 涉及到国家和社会安全。计算机病毒、黑客攻击、信息泄露、软硬件故 障等信息安全问题给组织单位造成了极大的风险。 互联网空间正日益成为国际竞争的新焦点,在制定本国信息系统安全等 级管理标准之外，美国、英国、德国等欧美发达国家纷纷制定网络安全 国家战略，参与争夺全球网络空间主导权。 美国2009年6月，美军成立网络司令部；日本防卫省在2011年度建立 一支专门的“网络空间防卫队”；韩国在2009年宣布组建“网络司令 部”，2011年韩国国防部提升为独立部队。
等级保护背景与必要性
卫生部
2011年11月，卫生部印发了《卫生行业信息安全等级保护工作的 指导意见》通知，通知明确提出卫生行业信息安全等级保护工作的指导 意见，包括工作目标、工作原则、工作机制、工作任务、工作要求等， 有力促进卫生行业信息安全等级保护工作的开展。
等级保护背景与必要性
信息的损害等级
五级损害 四级损害
• 信息系统受到破坏后，会对国家安全 造成特别严重损害。
• 信息系统受到破坏后，会对社会秩序和公共利益造 成特别严重损害，或者对国家安全造成严重损害。
三级损害
信息系统受到破坏后，会对社会秩序和公共利益造成严 重损害，或者对国家安全造成损害。
二级损害
信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重 损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
等级保护安全等级划分
等保的级差
《信息安全等级 保护管理办法》 规定的五级要求
五级 四级
• 信息系统受到破坏后，会对国家安全 造成特别严重损害。 • 信息系统受到破坏后，会对社会秩序和公共利益造 成特别严重损害，或者对国家安全造成严重损害。
三级
信息系统受到破坏后，会对社会秩序和公共利益造成严 重损害，或者对国家安全造成损害。
等级保护安全等级划分
等保的称谓
《信息安全等级 保护管理办法》 规定的五级要求
五级：专控保护 四级：强制保护
•第五级：访问验证保护级
•第四级：结构化保护级
三级：监督保护
•第三级：安全标记保护级
二级：指导保护
•第二级：系统审计保护级
一级：自主保护
•第一级：用户自主保护级
《信息安全等级保护划分准 则》GB17859-1999-规定了 计算机信息系统安全保护能 力的五个级别
技术要求 评估准则 测试方法 配置指南
应用类
网关 服务器 入侵检测
防火墙
路由器 交换机 其他产品
产品类
等保安全 建设整改
其他类
基础类 《计算机信息系统安全保护等级划分准则》
等级保护背景与必要性
省市/行业进展
《教育部办公厅关于开展信息系统安全等级保 护工作的通知》（教办厅函【2009】80号）
2010年6月，民政部启动《民政部信息系统等 级保护整体规划建设方案》
等级保护背景与必要性
国内背景
国际信息安全环境日趋复杂，西方加紧对我国的网络遏制，并加快利用网络 进行意识形态渗透;另一方面，重要信息系统、工业控制系统的安全风险日益 突出，信息安全网络监管的难度和复杂性持续加大。
网络安全成为关系经济平稳运行和安全的重要因素，国民经济对信息网络和
系统的依赖性增强，我国重要信息系统和工业控制系统多使用国外的技术和产 品，这些技术和产品的漏洞不可控，使网络和系统更易受到攻击，致使敏感信 息泄露、系统停运等重大安全事件多发，安全状况堪忧。 信息安全领域存在多头管理现象，相关职能部门涉及多个部委和管理机构， 部门之间职责界定不清晰，管理权限存在交叉，决策权分散，各个相关管理机 构之间缺乏充分的沟通和协调，部门间作用发挥不均。
T2-28. T2-29. T2-30. T2-31. T2-32. T2-33. T2-34. T2-35. T2-36.