等级保护-政策要求和标准体系
信息安全等级保护制度
感谢您的观看
T测技术
通过部署监测设备，实时监测网络 流量和安全事件，及时发现并处置
网络安全威胁。
数据加密技术
通过加密算法对数据进行加密处理 ，保护数据的安全性和完整性。
安全审计技术
通过审计系统对网络流量和安全事 件进行审计，发现并纠正可能存在 的安全问题。
信息安全等级保护制度的应急响应技术
等级划分
根据信息和信息载体的重要性，一般将信息安全等级划分为 五级，分别是一级、二级、三级、四级和五级。每个级别都 有相应的保护要求和措施。
等级保护制度的基本原则
统一规划、分级实施
信息安全等级保护制度要求对信息和信息载体进行统一规划，并 按照分级原则进行实施。
全面覆盖、突出重点
信息安全等级保护制度要求对所有重要信息和信息载体进行全面 覆盖，同时突出重点，对关键信息基础设施实行重点保护。
定义
信息安全等级保护制度是对信息和信息载体按照重要性等级分级别进行保护 的一种工作机制。
重要性
信息安全等级保护制度旨在保障国家关键信息基础设施的安全运行，降低信 息和数据泄露的风险，维护社会稳定和公共利益。
等级保护制度的法规要求
法规依据
信息安全等级保护制度主要依据《中华人民共和国网络安全 法》、《信息安全等级保护管理办法》等法律法规制定。
要点二
实施过程
在信息安全等级保护制度下，大型企 业根据自身业务特点和安全风险评估 结果，将信息系统划分为不同的安全 等级，并制定相应的安全管理制度。 同时，还加强了对合作伙伴的安全管 理和风险控制。
要点三
效果评估
通过信息安全等级保护制度的实施， 大型企业有效地降低了信息安全风险 ，保障了客户信息和资金的安全。同 时，也提高了企业形象和市场竞争力 。
等保2.0政策规范解读(63页 PPT )
d) 应限制无线网络的使用，确保无线网络通过受控的边界防护设备 接入内部网络。
入侵防范
b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行 为； (新增)
设计要求
测评要求
通用要求
云计算
物联网
移动互联
工业控制
7
。 share
等保2.0标准解读
勇 share
等级保护1.0和2.0对比
旧标准(等级保护1.0)
技术要求
物理安全 网络安全 主机安全 应用安全
管理要求
数据安全及备份恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
9
新标准(等级保护2.0)
无 入侵防范
无
a) 应采用校验码技术或密码技术保证通信过程中数据的完整性；
通信传输 b) 应采用密码技术保证通信过程中敏感信息字段或整个报文的保密 性。
a) 应保证跨越边界的访问和数据流通过边界防护设备提供的受控接 口进行通信；
边界防护
b) 应能够对非授权设备私自联到内部网络的行为进行限制或检 查；
3
4
6 防水和防潮
3
2
7 防静电
2
1
8 温湿度控制
1
4
9 电力供应
3
3
10 电磁防护
2
。 share
物理位置的选择
原控制项
新控制项
b）机房场地应避免设在建筑物的高层或 地下室,以及用水设备的下层或隔壁。 物理位置的选择
b）机房场地应避免设在建筑物的顶层或地下室, 否则应加强防水和防潮措施
防静电
无
信息安全等级保护政策体系
第2部分
信息安全等级保护政策体系和标准体系
2.信息安全等级保护标准体系
（1）信息安全等级保护相关标准类别 产品类标准 10）交换机 《网络交换机安全技术要求》（GB/T 21050—2007）、《交换机安全测评要求》（GA/T 685—2007）。 11）其他产品 《终端计算机系统安全等级技术要求》（GA/T 671—2006）、《终端计算机系统测评方法》（GA/T 671-2006）； 《审计产品技术要求和测评方法》（GB/T 20945—2006）；《虹膜特征识别技术要求》（GB/T 20979—2007）； 《虚拟专网安全技术要求》（GA/T 686—2007）；《应用软件系统安全等级保护通用技术指南》（GA/T 711— 2007）； 《应用软件系统安全等级保护通用测试指南》（GA/T 712—2007）； 《网络和终端设备隔离部件测试评价方法》（GB/T 20277—2006）； 《网络脆弱性扫描产品测评方法》（GB/T 20280—2006）。
2.信息安全等级保护标准体系
（1）信息安全等级保护相关标准类别 产品类标准 1）操作系统 《操作系统安全技术要求》（GB/T 20272—2006） 《操作系统安全评估准则》（GB/T 20008—2005） 2）数据库 《数据库管理系统安全技术要求》（GB/T 20273—2006） 《数据库管理系统安全评估准则》（GB/T 20009—2005）
第2部分
信息安全等级保护政策体系和标准体系
2.信息安全等级保护标准体系
（1）信息安全等级保护相关标准类别 产品类标准 4）PKI 《公钥基础设施安全技术要求》（GA/T 687—2007） 《PKI 系统安全等级保护技术要求》（GB/T 21053—2007） 5）网关 《网关安全技术要求》（GA/T 681—2007） 6）服务器 《服务器安全技术要求》（GB/T 21028—2007） 7）入侵检测 《入侵检测系统技术要求和检测方法》（GB/T 20275—2006） 《计算机网络入侵分级要求》（GA/T 700—2007）
等级保护政策流程内容定级介绍素材
等级保护政策流程内容定级介绍素材等级保护政策是指政府或相关机构根据特定的标准对一些信息、内容或活动进行分类和管理的制度。
其目的是保护公众免受有害或不适宜的信息和内容的影响，同时确保社会的稳定和秩序。
在不同的国家或地区，等级保护政策可能会有所不同，但其核心原则通常是相似的。
流程、内容和定级介绍是等级保护政策的重要组成部分，下面将重点介绍这方面的内容。
流程：1.确定等级标准：政府或相关机构会制定一系列的等级标准，根据其中的要求，对信息、内容或活动进行分类。
等级标准通常会考虑到不同年龄段的人群的需求和特点。
2.审查和评估：相关机构会对信息、内容或活动进行审查和评估，将其分类到相应的等级中。
这通常需要一定的专业知识和经验。
3.资质认证：对于一些需要特殊资质或执照的信息、内容或活动，相关机构会进行资质认证，并对其进行相应的等级分类。
4.标识和提示：对于经过等级分类的信息、内容或活动，政府或相关机构会给予相应的标识和提示，以便公众能够根据自己的需求和偏好进行选择和筛选。
内容：1.广告和宣传：政府或相关机构会对广告和宣传内容进行等级保护，限制有害、虚假或误导性信息的传播。
2.电影和电视节目：对于电影和电视节目，政府或相关机构会对其进行等级分类，以便家长和观众能够根据实际情况选择适合自己或孩子观看的内容。
3.游戏和娱乐活动：政府或相关机构会对游戏和娱乐活动进行等级分类，以保护未成年人免受不适宜或有害的游戏和娱乐内容的影响。
4.互联网和社交媒体：政府或相关机构会对互联网和社交媒体上的信息和内容进行等级保护，限制不适宜或有害信息的传播和访问。
定级介绍素材：以下是一些定级介绍素材的例子1.儿童级：适合所有年龄段的观众或用户，内容健康、安全，适合儿童观看、使用。
2.青少年级：适合年龄在13岁以上的观众或用户，内容可能包含轻微的暴力、恐怖、恶搞或性暗示等，但不涉及过于暴力或性暗示的内容。
3.成人级：适合成年观众或用户，内容可能包含较为详细的暴力、恐怖、性暗示和血腥场面等，但不涉及过于露骨或残酷的内容。
国家信息安全等级保护制度建设政策要求(公安部)
公
的主要目的 ♦ 明确重点、突出重点、保护重点。
安 ♦有利于同步建设、协调发展。
♦ 优化信息安全资源的配置。
部 ♦明确信息安全责任。
♦ 推动信息安全产业发展。
一、信息安全等级保护工作的主要 任务和内容
（三）等级保护工作的主要内容
公
♦ 信息系统定级 ♦ 信息系统备案
安
♦ 安全建设整改 ♦ 等级测评
部
行政级别的降低而降低，例如地市级 的重要系统不能定为一、二级。
一、信息安全等级保护工作的主要 任务和内容
（六）相关部门责任和义务 ♦ 监管部门：制定管理规范和技术标准 ，
公 组织实施，监督、检查、指导。 ♦ 行业主管部门：督促、检查、指导本行
安 业、本部门开展等级保护工作。 ♦ 运营使用单位：开展信息系统定级、备 案、建设整改、等级测评、自查等工
有机结合，确保安全管理制度得到
部 有效落实。
（3）建立并落实监督检查机制。
三、信息安全等级保护安全建设 整改工作的主要内容和要求
2、等级保护安全技术措施建设
公
♦结合行业特点和安全需求，制定 符合相应等级要求的信息系统安
安
全技术建设整改方案，开展安全 技术措施建设。
部 ♦可以采取“一个中心三维防护”
任务和内容
♦ 第四级信息系统：一般适用于国家重 要领域、重要部门中涉及国计民生、
公
国家利益、国家安全，影响社会稳定 的核心系统。例如全国铁路客票系统、
列车指挥调度系统、民航离港系统、
安
空管系统、电力二次系统、银行核心 业务系统、电信基础平台等。
需特别注意的是：同类信息系统
部 的安全保护等级不能随着部、省、市
三、信息安全等级保护安全建设 整改工作的主要内容和要求
等级保护基本要求管理要求
等级保护基本要求管理要求1.等级保护工作原则（1）安全原则：确保人员和财产安全。
（2）保密原则：确保涉密信息的机密性和完整性。
（3）有序原则：确保工作按照一定的流程和条例进行。
（4）综合原则：充分考虑各方面利益，做到协调发展。
2.等级保护工作的层次划分（2）商业秘密：确保市场竞争的公平性。
（3）个人隐私：确保公民的合法权益。
（4）其他机关、企事业单位的重要信息和资料。
3.等级保护责任的划分（1）上级主管部门：负责制定等级保护政策和法规，并组织实施。
（3）各部门、岗位的工作人员：负责具体的等级保护工作，包括信息的记录、存档和处理等。
4.等级保护工作的机构设置和人员要求（1）等级保护工作机构：设立等级保护办公室或委托专门机构负责等级保护工作。
（2）等级保护工作人员：具有相关专业知识和技能，经过相关培训合格，具备较强的保密意识和责任感。
5.等级保护工作的培训和教育要求（1）定期进行等级保护知识和技能培训，使工作人员掌握保密法律法规和保密技术，提高保密意识。
（2）对新员工进行保密教育，确保他们了解保密政策和规定。
（3）定期组织保密知识考核，对考核不合格的人员进行再培训。
6.等级保护工作的制度建设（1）建立健全等级保护管理制度，明确各级保密责任部门的职责和权限。
（2）建立等级保护档案，对重要信息和资料进行分类、归档和管理。
（3）规范信息交流和传递渠道，明确人员准入制度，防止信息泄露。
7.等级保护工作的技术措施（1）建立信息系统安全防护体系，包括网络安全、物理安全等。
（2）加强对外来人员和设备的进出审查，确保信息不受到非法侵入。
（3）加密和备份重要信息，确保信息的完整性和可用性。
8.等级保护工作的监督和检查（1）建立等级保护工作督查制度，对各部门、岗位的工作人员进行定期检查和评估。
（2）加强对外部合作单位的审查，确保他们的保密制度和能力符合要求。
（3）建立举报奖励和处罚制度，鼓励人员报告违反保密规定的行为，坚决查处违法违规行为。
信息安全等级保护概述
华中测评中心广西办事处 测评组长
什么叫信息安全
信息本身的机密性（Confidentiality）、完整性（ Integrity）和可用性（Availability）的保持，即防止 未经授权使用信息、防止对信息的非法修改和破坏、 确保及时可靠地使用信息。
保密性：确保信息没有非授权的 泄漏，不被非授权的个人、组织 和计算机程序. 1.
3
2.
员的恶意威胁、无意失误、较严重的技术故障等）所造成的主要资源损害并能够检测到此类威胁
3. 1. 4 2.
在威胁发生造成损害后，能够较快恢复绝大部分功能。 应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击 严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广等）以及其他相当危害程度的威胁（内部人员的恶意威 胁、无意失误、严重的技术故障等）所造成的资源损害并能够检测到此类威胁
信息是指在信息系统中存储、传输、处理的数字化信息。
信息系统是指由计算机及其相关和配套的设备、设施构成的，按照一
定的应用目标和规则对信息进行存储、传输、处理的系统或者网络。
等级保护制度的原则
信息安全等级保护的核心是对信息安全分等级、按标准 进行建设、管理和监督。信息安全等级保护制度遵循以下基本 原则： • （一）明确责任，共同保护。通过等级保护，组织和动员 国家、法人和其他组织、公民共同参与信息安全保护工作 ；各方主体按照规范和标准分别承担相应的、明确具体的 信息安全保护责任。 • （二）依照标准，自行保护。信息系统运营、使用单位及 其主管部门按照国家相关法规和标准，自主确定信息系统 的安全保护等级，自行组织实施安全保护。 • （三）同步建设，动态调整。信息系统在新建、改建、扩 建时应当同步建设信息安全设施，保障信息安全与信息化 建设相适应。因信息和信息系统的应用类型、范围等条件 的变化及其他原因，安全保护等级需要变更的，应当根据 4
等级保护政策以及和标准体系
加强国际合作与交流
积极参与国际信息安全领域的合作与交流， 提高我国等级保护政策以及标准体系的国
际认可度和影响力。
2023
THANKS
感谢观看
https://
REPORTING
全面实施阶段
近年来，随着网络安全威胁的不断加剧，等级保 护政策得到了全面实施，并逐渐形成了较为完善 的信息安全保障体系。
等级保护政策的基本原则
分级管理
根据信息系统的重要性、涉密程 度和面临的风险程度等因素，将 信息系统分为不同的等级，并实 施不同级别的管理和保护。
依法管理
按照相关法律法规和政策要求， 对不同等级的信息系统实施依法 管理，确保信息系统的安全、稳 定、可靠运行。
促进信息化建设
等级保护政策能够规范信 息化建设，提高信息系统 的安全性和稳定性，为信 息化建设提供有力保障。
提高信息安全意识
等级保护政策能够提高全 社会对信息安全的重视程 度，促进信息安全意识的 普及和提高。
2023
PART 02
等级保护政策概述
REPORTING
等级保护政策的定义和重要性
定义
等级保护政策是我国信息安全保障的 基本制度，主要是对不同等级的信息 系统实施不同级别的安全保护。
规范发展
政策对标准体系的发展起到了规范作用，确保标准 体系在制定和实施过程中遵循相关法律法规和政策 要求。
推动创新
政策鼓励标准体系在保障安全的前提下，不 断进行技术和管理创新，提升安全防护水平 。
标准体系对等级保护政策的支撑作用
01
02
03
细化实施
提升可操作性
强化监督
标准体系将等级保护政策具体化， 为政策实施提供详细的操作指南 和技术规范。
国家实行网络安全等级保护制度：等级保护新标准2.0介绍
等级保护新标准（2.0）介绍1 2等级保护发展历程与展望等级保护2.0标准体系3等级保护2.0基本要求解析4等级保护2.0扩展要求解析等保1.0时代等保2.0工作展望1994-2003政策环境营造2004-2006工作开展准备2007-2010工作正式启动2010-2016工作规模推进•1994年，国务院颁布《中华人民共和国计算机信息系统安全保护条例》，规定计算机信息系统实行安全等级保护。
•2003年，中央办公厅、国务院办公厅颁发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）明确指出“实行信息安全等级保护”。
•2004-2006年，公安部联合四部委开展涉及65117家单位，共115319个信息系统的等级保护基础调查和等级保护试点工作，为全面开展等级保护工作奠定基础。
•2007年6月，四部门联合出台《信息安全等级保护管理办法》。
•2007年7月，四部门联合颁布《关于开展全国重要信息系统安全等级保护定级工作的通知》。
•2007年7月20日，召开全国重要信息系统安全等级保护定级工作部署专题电视电话会议，标志着信息安全等级保护制度正式开始实施。
•2010年4月，公安部出台《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》，提出等级保护工作的阶段性目标。
•2010年12月，公安部和国务院国有资产监督管理委员会联合出台《关于进一步推进中央企业信息安全等级保护工作的通知》，要求中央企业贯彻执行等级保护工作。
等保1.0时代等保2.0工作展望•2016年10月10日，第五届全国信息安全等级保护技术大召开，公安部网络安全保卫局郭启全总工指出“国家对网络安全等级保护制度提出了新的要求，等级保护制度已进入2.0时代”。
•2016年11月7日，《中华人民共和国网络安全法》正式颁布，第二十一条明确“国家实行网络安全等级保护制度……”•以《GB17859计算机信息系统安全保护等级划分准则》、《GB/T22239-2008 信息安全技术信息系统安全等级保护基本要求》为代表的等级保护系列配套标准，习惯称为等保1.0标准。
等保分级基本要求
等保分级基本要求
等级保护的基本要求主要包括以下几个方面：
1. 保障的等级应针对各类受困群体，从不同的维度提供社会保障，使受困者能够获得基本的生活保障。
2. 针对不同阶段的受困群体的特殊需求，可以分为三个等级：一级等级保护是针对受困群体的基本需求，提供基本的社会保障；二级等级保护是针对特殊需求的受困者，提供更多的社会保障；三级等级保护是针对极度贫困家庭，提供更多的帮扶性政策。
3. 保障的政策设计要求科学合理，有利于社会经济的可持续发展。
4. 针对不同类型的受困群体，提供性质、程度、形式不同的社会保障；政策的设计要科学合理，有利于社会经济的可持续发展；实施要有效、有力、有效。
5. 应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。
6. 根据实现方式的不同，基本安全要求分为基本技术要求和基本管理要求两大类。
如需更多关于“等保分级基本要求”的信息，建议查阅国家相关法律法规或咨询专业人士获取帮助。
网络安全等级保护2.0交流
2010年3月公安部发 文《关于推动信息 安全等级保护测评 体系建设和开展等 级测评工作的通知》 （公信安[303]号）
2009年公安部发文 《关于开展信息系 统等级保护安全建 设整改工作的指导 意见》（公信安 [2009] 1429号）
2008年发布GB/T 22239—2008 《信 息系统安全等级保 护基本要求》GB/T 22240-2008 《信 息系统安全等级保 护定级指南》
级以上公安机关
县级以上公安机关；
等保护1.0 VS 2.0基本要求的变化
等保1.0-基本要求
物理安全
网络安全
技术要求
主机安全
应用安全
数据安全及备份恢复
安全管理制度
安全管理机构
管理要求
人员安全管理
系统建设管理
系统运维管理
等保2.0-新基本要求
安全物理环境
安全通信网络
安全区域边界 技术要求
安全计算环境
• 定级指南 等待发布
新时期等级保护依据的法律、法规
法律、政策依据 • 《网络安全法》第二十一条明确要求：“国家实行网络安全等级保护制度”。
• 《网络安全等级保护条例》第三条【确立制度】国家实行网络安全等级保护制度，对网络实施分等 级保护、分等级监管（待发布）。
• 《关键信息基础设施安全保护条例》（待发布）。 • 《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安 [2009] 1429号）。 • 中央关于加强社会治安防控体系建设的意见、公安改革若干重大问题的框架意见要求“健全完善信
安全计算环境
安全计算环境
安全计算环境
安全计算环境
管理要求
【等保培训PPT】信息安全等级保护制度的主要内容
目录
第二章、等级保护政策体系和标准体系
① ② 信息安全等级保护政策体系 信息安全等级保护标准体系
2.1、信息安全等级保护政策体系
2.2、信息安全等级保护标准体系
在 安 等全 级建 保设 护整 有改 关工 标作 准的 作 用
目录
第三章、等级保护工作的具体内容和要求
① ② ③ ④ ⑤ 信息安全等级保护定级工作 信息安全等级保护备案工作 信息系统安全建设整改工作 信息安全等级保护测评工作 安全自查和监督检查
1.3、国家等级保护制度的要求
1、《中华人民共和国计算机信息系公统安全保护条例》（ 国务院147号令） “计算机信息系统实行安全等级保护，安 全等级的划分标准和安全等级保护的具体办法，由公安部会 同有关部门制定” 。 2.《国家信息化领导小组关于加强信息安全保障工作的意见 》（中公办发[2003]27号）规定：要重点保护基础信息网络 和关系国家安全、经济命脉、社会稳定等方面的重要信息系 统，抓紧建立信息安全等级保护制度，制定信息安全等级保 护的管理办法和技术指南。
信息安全等级保护制度 的主要内容和要求
苏阳浪 信息安全等级保护高级测评师 海南省信息安全等级保护专家组委员会技术组成员 邮箱：suyanglang@
目 录
• 一、信息安全等级保护工作概述 • 二、等级保护政策体系和标准体系 • 三、信息安全等级保护工作的具体内容与要求
目录
3.1、信息安全等级保护定级工作
• 是信息安全等级保护的首要环节 • 定级原则：“自主定级、专家评审、主管部门审批、公安 机关审核”。具体可按照《关于开展全国重要信息系统安 全等级保护定级工作的通知》 （公通字[2007]861号） 要求执行。 • 在等级保护工作中，信息系统运营使用单位和主管部门按 照“谁主管谁负责，谁运营谁负责”的原则开展工作，并 接受信息安全监管部门对开展等级保护工作的监管。 • 定级工作流程：确定定级对象、确定信息系统安全保护等 级、组织专家评审、主管部门审批、公安机关审核。
信息安全等级保护政策及标准解读
2. 1983 美国政府发布《可信计算机系统评估准则》 (TCSEC , Trusted Computer Security Evaluation Criteria3. 1991年英、德、法、荷 4国淘汰(TCSEC ,制定《信息技术安全评定标准》(ITSEC4. 1999年 ISO/IEC 15408:2009 (俗称 CC 标准CC 取代了 TCSEC 和 ITSEC 成为信息技术安全评估领域的唯一国际标准2. 1994年国务院颁发《中华人民共和国计算机信息系统安全保护条例》 (国务院 147号令3. 1999年《计算机信息系统等级保护划分准则》 GB17859— 1999 为此、后续发布了超过 60个关于等级保护的指导性文件计算机信息系统安全保护等级划分准则(GB17859— 1999信息系统安全等级保护基本要求(GB/T 22239— 2008安全等级保护实施指南GB /T25058— 2010信息系统等级保护安全设计技术要求 GB/T25070— 2010信息系统安全等级保护测评要求GB /T28448—2012信息系统等级保护测评过程指南 GB/T284492— 2012①用户自主保护级②系统审计保护级③安全标记保护级④结构化保护级⑤访问验证保护级③标记④身份鉴别⑤客体重用⑥审计⑦数据完整性⑧隐蔽信道分析⑨可信路径⑩可信恢复问题:它强调是什么,缺乏什么?它对系统定级是如何判定的?①物理安全②网络完全③应用安全④数据安全⑤主机安全②安全管理机构③人员安全管理④系统建设管理⑤系统运维管理只是给出要求、并不是具体的最终方案或指导书认为:不是全面实现,而是采用其他安全有效的措施替代不能实施的基本要求,但①信息系统定级②总体安全规划③安全设计与实施④安全运行与维护⑤信息系统终止①等级保护技术的整改②新建等级保护技术的架构1. 对等级保护的技术安全设计提出要求①安全计算环境②安全区域边界③安全通信网络④安全管理中心1. 包含了测评的原则、内容、强度、结果重用、使用方法2. 规定等级测评的单元和整体安全测评、以及等级测评结论的产生方法3. 测评的访谈、检查、测试等三个关键要素(三级以上还需要做渗透测试三、解读信息系统安全等级保护测评过程指南 GB/T 28492—2012 本规范是主要指导组织机构如何开展信息系统的安全测评工作 1. 信息系统建设完成后、运营、使用单位以及主管部分需要对信息系统安全等级状况进行等级测评（测评过程、工作任务、分析方法、工作结果等） 2. 当中有4的环节：测评准备、方案编制、现场测评、分析和报告编制 16三、解读信息系统安全等级保护测评过程指南 GB/T 28492—2012 本规范是主要指导组织机构如何开展信息系统的安全测评工作 1. 2. 测评准备：项目启动、信息收集及分析、工具/表单准备方案编制：对象确定、测评指标、测试工具接入点、测评内容、测评实施手册、测评方案编制 3. 4. 现场测评：现场测评准备、现场测评、结果记录、结果确认、资料归还分析报告编著：单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成、测评报告编制 17。
信息安全等级保护制度的主要内容和要求
• 2008年1月2日发布的国家安全总统令54/国土安全总统令 23，建立了国家网络安全综合计划(CNCI)。 • 三道防线 – 建立第一线防御：减少当前漏洞和隐患，预防入侵； – 全面应对各类威胁：增强反间能力，加强供应链安全 来抵御各种威胁； – 强化未来安全环境：增强研究、开发和教育以及投资 先进的技术来构建将来的环境。 • 十二项任务
重视关键基础设施信息安全保障，建立日尔曼人的“基线” 防御。 1997年建立部际关键基础设施工作组； 2005年出台《信息基础设施保护计划》和《关键基础设施保 护的基线保护概念》
法国信息安全保障体系建设动态
• 2003年12月总理办公室提出《强化信息系统安全国家计划 》并得到政府批准实施，四大目标： – 确保国家领导通信安全； – 确保政府信息通信安全； – 建立计算机反共济能力； – 将法国信息系统安全纳入欧盟颞部法国安全政策范围 。 • 2009年7月7日，成立国家级“网络和信息安全局”，置于 总理领导之下，隶属国防部。
印度
• 重点保护对象： – 银行和金融、保险、民航、电信、原子能、电力、邮政 、铁路、太空、石油和天然气、国防、执法机关
• 机构： – 国家信息委员会、国家信息安全协调中心、信息基础设 施保护中心、信息技术局、印度计算机应急响应小组 • 基本做法： – 2000年，颁布《信息安全法》； – 积极推广互联网和IT基础设施建设等； – 2009年印度政府宣布开发“中央监控系统”，直接连接 国内所有通信服务商，实现对印度境内所有电话和互联 网通信的监听
信息安全是国家安全的重要组成部分已成为世界各国 的共识;
各国纷纷出台自己的信息安全战略和政策，加强自身 的国家信息安全保障体系建设。
国外信息安全保障体系的最新趋势
等保2.0标准体系
等保2.0标准体系一、信息安全等级保护基本要求1.信息系统定级准确，满足等级保护基本要求。
2.信息系统安全保护等级符合国家信息安全等级保护政策要求。
3.信息系统安全保护等级与安全需求相适应。
4.信息系统安全保护措施合理有效，满足等级保护基本要求。
二、云计算安全扩展要求1.云计算平台应满足国家信息安全等级保护政策要求。
2.云计算平台应具备安全防护能力，包括虚拟化安全、存储安全、计算安全等方面。
3.云计算平台应具备数据保护能力，确保数据不被泄露或滥用。
4.云计算平台应具备安全审计能力，能够对云服务使用情况进行全面监控和审计。
三、大数据安全扩展要求1.大数据平台应满足国家信息安全等级保护政策要求。
2.大数据平台应具备数据安全防护能力，确保数据不被未经授权的访问、篡改或删除。
3.大数据平台应具备数据隐私保护能力，确保个人隐私和商业机密不被泄露。
4.大数据平台应具备安全审计能力，能够对大数据服务使用情况进行全面监控和审计。
四、物联网安全扩展要求1.物联网设备应满足国家信息安全等级保护政策要求。
2.物联网设备应具备网络安全防护能力，防止网络攻击和数据泄露。
3.物联网设备应具备数据隐私保护能力，确保个人隐私和商业机密不被泄露。
4.物联网设备应具备安全审计能力，能够对物联网服务使用情况进行全面监控和审计。
五、工业控制安全扩展要求1.工业控制系统应满足国家信息安全等级保护政策要求。
2.工业控制系统应具备网络安全防护能力，防止网络攻击和数据泄露。
3.工业控制系统应具备物理安全防护能力，防止未经授权的物理访问和数据泄露。
4.工业控制系统应具备安全审计能力，能够对工业控制服务使用情况进行全面监控和审计。
六、移动互联安全扩展要求1.移动应用应满足国家信息安全等级保护政策要求。
2.移动应用应具备网络安全防护能力，防止网络攻击和数据泄露。
3.移动应用应具备数据隐私保护能力，确保个人隐私和商业机密不被泄露。
4.移动应用应具备安全审计能力，能够对移动应用使用情况进行全面监控和审计。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
浪潮信息安全事业部
信息安全等级保护
一、基本情况
1、什么是信息安全等级保护 2、信息安全等级保护的作用 3、安全保护等级的划分 4、等级保护工作的职责分工 5、等级保护工作的进展 6、标准起草背景
Inspur浪潮
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--信息安全等级保护的作用
Inspur浪潮
浪潮信息安全事业部
Байду номын сангаас
信息安全等级保护
Inspur浪潮
一、基本情况--安全保护等级划分
等级 对象
侵害客体
第一级 第二级
一般 系统
第三级 第四级
重要 系统
第五级
极端 重要 系统
合法权益 合法权益 社会秩序和公共利益 社会秩序和公共利益 国家安全 社会秩序和公共利益 国家安全
国家安全
侵害程度
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--什么是信息安全等级保护
信息安全等级保护是国家信息安全保障的基本 制度、基本策略、基本方法。
开展信息安全等级保护工作是保护信息化发展、 维护国家信息安全的根本保障，是信息安全保障工 作中国家意志的体现。
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
浪潮信息安全事业部
求。
安全服务机构开展技术支持、服务等工作，并接受监
管部门的监督管理。
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--职责分工
公安机关负责信息安全等级保护工作的监督、检查、 指导；
国家保密工作部门负责等级保护工作中有关保密工 作的监督、检查、指导；
国家密码管理部门负责等级保护工作中有关密码工 作的监督、检查、指导；
Inspur浪潮
一、基本情况--什么是信息安全等级保护
国家层面 国家制定统一的信息安全等级保护管理规范和
技术标准，组织公民、法人和其他组织对信息系统 分等级实行安全保护，对信息安全产品的使用分等 级实行管理，对等级保护工作的实施进行监督、指 导。
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
Inspur浪潮
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--什么是信息安全等级保护
信息安全等级保护是指对国家秘密信息、法人 和其他组织及公民的专有信息以及公开信息和存储、 传输、处理这些信息的信息系统分等级实行安全保 护，对信息系统中使用的信息安全产品实行按等级 管理，对信息系统中发生的信息安全事件分等级响 应、处置。
Inspur浪潮
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--职责分工
职能部门制定管理规范和技术标准，组织实施，开展
监督、检查、指导。
行业主管部门督促、检查、指导本行业、本部门开展
等级保护工作。
运营使用单位开展信息系统定级、备案、建设整改、
等级测评、自查等工作，落实等级保护制度的各项要
一、基本情况--什么是信息安全等级保护
用户层面 公民、法人和其他组织应当按照国家有关等级
保护的管理规范和技术标准开展等级保护工作，服 从国家对信息安全等级保护工作的监督、指导，保 障信息系统安全。
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--什么是信息安全等级保护
社会层面 信息安全产品的研制、生产单位，信息系统的
有利于为信息系统安全建设和管理提供系统性、针对性、 可行性的指导和服务，有效控制信息安全建设成本；
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--信息安全等级保护的作用
有利于优化信息安全资源的配置，对信息系统分级实施 保护，重点保障基础信息网络和关系国家安全、经济命脉、 社会稳定等方面的重要信息系统的安全；
集成、等级测评、风险评估等安全服务机构，依据 国家有关管理规定和技术标准，开展相应工作，并 接受国家信息安全职能部门的监督管理。
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--什么是信息安全等级保护
流程
备案
B
定级 A 监督检查 E
等级保护 工作的主 要流程
C 建设整改
D 等级测评
信息安全等级保护
Inspur浪潮
信息安全等级保护 政策要求和标准体系
2014年11月
浪潮信息安全事业部
信息安全等级保护
提纲
一、基本情况 二、政策要求 三、标准体系 四、实施指南解读 五、基本要求解读
Inspur浪潮
浪潮信息安全事业部
信息安全等级保护
一、基本情况
1、什么是信息安全等级保护 2、信息安全等级保护的作用 3、安全保护等级的划分 4、等级保护工作的职责分工 5、等级保护工作的进展 6、标准起草背景
提出信息安全工作的思路 划定信息系统保护的基线 发现信息系统的问题和差距 明确信息系统安全保护的方向 提升信息系统的安全保护能力
浪潮信息安全事业部
信息安全等级保护
Inspur浪潮
一、基本情况--信息安全等级保护的作用
实施信息安全等级保护，能够有效地提高我国信息和信 息系统安全建设的整体水平，有利于在信息化建设过程中同 步建设信息安全设施，保障信息安全与信息化建设相协调；
涉及其他职能部门管辖范围的事项，由有关职能部 门依照国家法律法规的规定进行管理；
工业和信息化部负责等级保护工作的部门间协调。
浪潮信息安全事业部
信息安全等级保护
一、基本情况
1、什么是信息安全等级保护 2、信息安全等级保护的作用 3、安全保护等级的划分 4、等级保护工作的职责分工 5、等级保护工作的进展 6、标准起草背景
损害 严重损害
损害 严重损害
损害 特别严重损害
严重损害
特别严重损害
监管强度
自主保护
指导
监督检查
强制监督 检查
专门监督 检查
浪潮信息安全事业部
信息安全等级保护
一、基本情况
1、什么是信息安全等级保护 2、信息安全等级保护的作用 3、安全保护等级的划分 4、等级保护工作的职责分工 5、等级保护工作的进展 6、标准起草背景
有利于明确国家、法人和其他组织、公民的信息安全责 任，加强信息安全管理；
有利于推动信息安全产业的发展，逐步探索出一条适应 社会主义市场经济发展的信息安全模式。
浪潮信息安全事业部
信息安全等级保护
一、基本情况
1、什么是信息安全等级保护 2、信息安全等级保护的作用 3、安全保护等级的划分 4、等级保护工作的职责分工 5、等级保护工作的进展 6、标准起草背景