信息系统安全等级保护基本要求培训共84页文档
信息系统安全等级保护基本要求专业培训教程(doc 59页)
信息系统安全等级保护基本要求专业培训教程(doc 59页)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。
依据此要求，《基本要求》列入了首批需完成的6个标准之一。
1.2主要作用及特点1.主要作用《基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：a)为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，《基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。
b)为测评机构提供评估依据《基本要求》为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据。
c)为职能监管部门提供监督检查依据《基本要求》为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。
2.主要特点《基本要求》是针对每个等级的信息系统提出相应安全保护要求，“基本”意味着这些要求是针对该等级的信息系统达到基本保护能力而提出的，也就是说，这些要求的实现能够保证系统达到相应等级的基本保护能力，但反过来说，系统达到相应等级的保护能力并不仅仅完全依靠这些安全保护要求。
07《信息系统安全等级保护基本要求》培训教材
信息安全等级保护培训教材《信息系统安全等级保护基本要求》公安部2007年7月目录1概述 (3)1.1 背景介绍 (3)1.2 主要作用及特点 (3)1.3 与其他标准的关系 (4)1.4 框架结构 (4)2描述模型 (5)2.1 总体描述 (5)2.2 保护对象 (6)2.3 安全保护能力 (6)2.4 安全要求 (8)3逐级增强的特点 (9)3.1 增强原则 (9)3.2 总体描述 (10)3.3 控制点增加 (10)3.4 要求项增加 (11)3.5 控制强度增强 (12)4各级安全要求 (12)4.1 技术要求 (12)4.1.1 物理安全 (12)4.1.2 网络安全 (18)4.1.3 主机安全 (23)4.1.4 应用安全 (29)4.1.5 数据安全及备份恢复 (35)4.2 管理要求 (37)4.2.1 安全管理制度 (37)4.2.2 安全管理机构 (40)4.2.3 人员安全管理 (43)4.2.4 系统建设管理 (46)4.2.5 系统运维管理 (52)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
《信息系统安全等级保护基本要求》
《信息系统安全等级保护基本要求》1.引言2.术语和定义在标准中详细定义了一系列与信息系统安全相关的术语，如安全等级、安全需求、安全域等等。
这些术语的准确定义对于解读本标准具有重要意义。
3.安全等级保护原则本标准规定了信息系统安全等级的保护原则，包括综合控制、动态保护、等级保护和总体保护等。
通过明确这些原则，能够确保信息系统安全等级保护工作的目标达成。
4.安全等级划分和确定根据信息系统的重要性和风险程度，该标准将信息系统划分为若干安全等级，分别为一般等级、较低等级、低等级、中等级、高等级和较高等级。
此外，本标准还规定了安全等级确定的方法和准则，以便确保对信息系统安全等级的准确判定。
5.安全需求划分和确定安全需求是指为了保护信息系统免受威胁、危害和损失的要求。
本标准规定了安全需求的划分和确定方法。
在划分方面，将安全需求分为信息安全保护需求和信息安全支撑需求。
在确定方面，需要综合考虑信息系统的工作环境、信息资产特点、安全威胁等因素，通过需求分析和评估，确定适合的安全需求。
6.安全技术要求该标准列出了一系列信息系统安全等级保护的技术要求，包括安全域、访问控制、通信保护、密码算法、用户身份认证等方面。
这些技术要求的目的是为了确保信息系统的安全性能和可信度。
7.安全管理要求本标准规定了信息系统安全等级保护的管理要求，包括安全保密管理、安全责任、安全考核和安全应急等方面。
通过建立健全的安全管理机制，能够有效地管理和维护信息系统的安全性。
8.安全测试要求为确保信息系统安全等级保护工作的有效性，本标准还规定了相应的安全测试要求。
这些测试要求包括功能测试、性能测试、安全测试和评估等方面。
通过对信息系统进行全面的测试和评估，能够发现潜在的安全风险和问题，并进行相应的修复和优化工作。
9.安全验收要求安全验收是指对信息系统安全等级保护工作的评价和确认。
本标准规定了安全验收的要求和流程，包括现场验收、信息资产交接、安全资料验收和验收报告等方面。
2024年度信息系统安全等级保护建设培训
2024/3/23
4
等级划分及标准
等级划分
根据信息系统遭到破坏后，会对国家安全、社会秩序、公共利益以及公民、法 人和其他组织的合法权益造成危害的程度等因素，将其划分为五个等级。
标准
信息系统安全等级保护相关标准有《计算机信息系统安全保护等级划分准则》 、《信息安全技术 信息系统安全等级保护基本要求》等。
某高校教务管理系统
通过实施信息系统安全等级保护，加 强了系统安全防护，保障了教务数据 的完整性和保密性。
某中小学在线教育平台
针对在线教育平台的特点和安全需求 ，采用相应的安全等级保护措施，确 保平台的安全性和稳定性。
23
06
信息系统安全等级保 护挑战与趋势
2024/3/23
24
当前面临的主要挑战
19
05
信息系统安全等级保 护实践案例
2024/3/23
20
政府机构案例
某市政府门户网站
通过实施信息系统安全等级保护，建 立了完善的安全管理制度和技术防护 措施，确保了网站数据的机密性、完 整性和可用性。
某省公安厅信息化系统
针对公安业务数据的重要性和敏感性 ，采用高等级的安全保护措施，包括 物理安全、网络安全、应用安全等方 面的综合防护。
影响。
转移策略
接受策略
通过购买保险、外包等 方式，将部分风险转移
给第三方。
10
对于无法避免或减轻的 风险，制定应急计划并
接受潜在损失。
03
信息系统安全等级保 护技术体系
2024/3/23
11
物理安全技术
物理访问控制
通过门禁系统、监控摄像 头等手段，严格控制对信 息系统所在场所的物理访 问。
信息系统安全等级保护基本要求培训共84页文档
•
29、在一切能够接受法律支配的人类 的状态 中，哪 里没有 法律， 那里就 没有自 由。— —洛克
•
30、风俗可以造就法律，也可以废除 法律。 ——塞·约翰逊
公安部 信息安全 等公级安保部护 评估中心
信安标委会
《信息系统安全等级保护基本要求》
使用介绍
2021/7/29
目录
公安部 信息安全 等评公级 估安保中部护心
信安标委会
信息系统安全建设或改建 技术标准和管理规范
安全状况达到等级保护要求的信息系统
2021/7/29
涉及的管理规范和技术标准
公安部 信息安全 等评公级 估安保中部护心 信安标委会
《信息安全等级保护管理办法》公通字[2007]43号 《计算机信息系统安全保护等级划分准则》（GB17859-1999） 《信息安全等级保护实施指南》 《信息安全等级保护定级指南》 《信息安全等级保护基本要求》 《信息安全等级保护测评要求》 《信息安全技术 网络基础安全技术要求》（GB/T202702006） 《信息安全技术 信息系统通用安全技术要求》GB/T202712006） 《信息安全技术 操作系统安全技术要求》（GB/T202722006） 《信息安全技术 数据库管理系统安全技术要求》 （GB/T20273-2006）
2021/7/29
《管理办法》”等级保护的实施与管理“第十三条
公安部 信息安全 等评公级 估安保中部护心
信安标委会
运营、使用单位应当参照《信息安全技术信息 系统安全管理要求》（GB/T20269-2006）、 《信息安全技术信息系统安全工程管理要求》 （GB/T20282-2006）、《信息系统安全等级保 护基本要求》等管理规范，制定并落实符合本 系统安全保护等级要求的安全管理制度。
信息系统安全等级保护基本要求培训教材【精编版】
信息系统安全等级保护基本要求培训教材【精编版】信息安全等级保护培训教材《信息系统安全等级保护基本要求》公安部2007年7月目录1 概述 (3)1.1 背景介绍 (3)1.2 主要作用及特点 (3)1.3 与其他标准的关系 (4)1.4 框架结构 (4)2 描述模型 (5)2.1 总体描述 (5)2.2 保护对象 (6)2.3 安全保护能力 (6)2.4 安全要求 (8)3 逐级增强的特点 (9)3.1 增强原则 (9)3.2 总体描述 (10)3.3 控制点增加 (11)3.4 要求项增加 (11)3.5 控制强度增强 (12)4 各级安全要求 (13)4.1 技术要求 (13)4.1.1 物理安全 (13)4.1.2 网络安全 (19)4.1.3 主机安全 (24)4.1.4 应用安全 (30)4.1.5 数据安全及备份恢复 (36)4.2 管理要求 (38)4.2.1 安全管理制度 (38)4.2.2 安全管理机构 (41)4.2.3 人员安全管理 (44)4.2.4 系统建设管理 (47)4.2.5 系统运维管理 (52)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
信息系统安全等级保护基本要求培训课件
信息安全等级保护培训教材《信息系统安全等级保护基本要求》公安部2007年7月目录1概述 (3)1.1 背景介绍 (3)1.2 主要作用及特点 (3)1.3 与其他标准的关系 (4)1.4 框架结构 (4)2描述模型 (5)2.1 总体描述 (5)2.2 保护对象 (6)2.3 安全保护能力 (6)2.4 安全要求 (8)3逐级增强的特点 (9)3.1 增强原则 (9)3.2 总体描述 (10)3.3 控制点增加 (11)3.4 要求项增加 (11)3.5 控制强度增强 (12)4各级安全要求 (13)4.1 技术要求 (13)4.1.1 物理安全 (13)4.1.2 网络安全 (19)4.1.3 主机安全 (24)4.1.4 应用安全 (29)4.1.5 数据安全及备份恢复 (35)4.2 管理要求 (38)4.2.1 安全管理制度 (38)4.2.2 安全管理机构 (40)4.2.3 人员安全管理 (43)4.2.4 系统建设管理 (47)4.2.5 系统运维管理 (52)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
信息系统安全等级保护基本要求(doc 44页)
信息系统安全等级保护基本要求(doc 44页)b) 应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；c) 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
5.1.3主机安全5.1.3.1身份鉴别（S1）应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
5.1.3.2访问控制（S1）本项要求包括：a) 应启用访问控制功能，依据安全策略控制用户对资源的访问；b) 应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；c) 应及时删除多余的、过期的帐户，避免共享帐户的存在。
5.1.3.3入侵防范（G1）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并保持系统补丁及时得到更新。
5.1.3.4恶意代码防范（G1）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。
5.1.4应用安全5.1.4.1身份鉴别（S1）本项要求包括：a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别；b) 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；c) 应启用身份鉴别和登录失败处理功能，并根据安全策略配置相关参数。
5.1.4.2访问控制（S1）本项要求包括：a) 应提供访问控制功能控制用户组/用户对系统功能和用户数据的访问；b) 应由授权主体配置访问控制策略，并严格限制默认用户的访问权限。
5.1.4.3通信完整性（S1）应采用约定通信会话方式的方法保证通信过程中数据的完整性。
5.1.4.4软件容错（A1）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求。
5.1.5数据安全及备份恢复5.1.5.1数据完整性（S1）应能够检测到重要用户数据在传输过程中完整性受到破坏。
5.1.5.2备份和恢复（A1）应能够对重要信息进行备份和恢复。
5.2管理要求5.2.1安全管理制度5.2.1.1管理制度（G1）应建立日常管理活动中常用的安全管理制度。
信息系统安全等级保护基本要求
资料范本本资料为word版本，可以直接编辑和打印，感谢您的下载信息系统安全等级保护基本要求地点：__________________时间：__________________说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
信息系统安全等级保护培训
随着我国信息化建设的快速发展，信息安全问题日益突出，已经成为影响国家安全、社会稳定和人民 群众切身利益的重大问题。为加强信息安全保障工作，国家制定并实施了信息安全等级保护制度。
数据安全防护策略
数据加密存储
对重要数据进行加密存储，防止 数据被非法窃取或篡改。
数据备份与恢复
建立定期备份机制，确保在数据 损坏或丢失的情况下能够及时恢
复。
数据脱敏处理
对敏感数据进行脱敏处理，降低 数据泄露的风险。
应用系统安全防护策略
身份认证与授权
通过用户名/密码、数字证书等手段，确保只有授权用户能够访问 应用系统。
风险评估目的和意义
01
02
03
识别潜在威胁
通过对信息系统的全面分 析，识别可能对系统造成 危害的潜在威胁，如恶意 攻击、数据泄露等。
评估系统脆弱性
评估系统存在的安全漏洞 和弱点，确定系统可能受 到攻击的薄弱环节。
确定风险等级
根据威胁的可能性和系统 脆弱性的严重程度，确定 风险等级，为后续的安全 防护措施提供依据。
案例三：教育行业网络安全等级保护探索
背景介绍
教育行业网络涉及大量学生信息和教 学资源，其安全性对于保障教学质量 和学生权益具有重要意义。然而，当 前教育行业网络安全形势严峻，加强 教育行业网络安全等级保护势在必行 。
网络安全等级保护探 索
教育行业积极探索网络安全等级保护 实践，按照信息安全等级保护相关标 准，对教育网络进行定级、备案和测 评。通过完善网络安全管理制度、加 强网络安全技术防护、提高网络安全 意识等措施，提升教育网络的安全防 护能力。
信息系统安全等级保护基本要求专业培训教程(doc 59页)
信息系统安全等级保护基本要求专业培训教程(doc 59页)信息安全等级保护培训教材《信息系统安全等级保护基本要求》公安部2007年7月本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。
依据此要求，《基本要求》列入了首批需完成的6个标准之一。
1.2主要作用及特点1.主要作用《基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：a)为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，《基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。
b)为测评机构提供评估依据《基本要求》为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据。
c)为职能监管部门提供监督检查依据《基本要求》为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。