国土资源行业信息安全等级保护规范研究
自然资源部关于印发《自然资源领域数据安全管理办法》的通知
自然资源部关于印发《自然资源领域数据安全管理办法》的通知文章属性•【制定机关】自然资源部•【公布日期】2024.03.22•【文号】自然资发〔2024〕57号•【施行日期】2024.03.22•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】自然资源其他规定正文自然资源部关于印发《自然资源领域数据安全管理办法》的通知自然资发〔2024〕57号各省、自治区、直辖市自然资源主管部门，新疆生产建设兵团自然资源局，上海市海洋局、福建省海洋与渔业局、山东省海洋局、广西壮族自治区海洋局，国家林业和草原局，中国地质调查局及部其他直属单位，各派出机构，部机关各司局：经国家数据安全工作协调机制批准，部领导同意，现将《自然资源领域数据安全管理办法》印发给你们，请结合实际认真贯彻执行。
自然资源部2024年3月22日附件自然资源领域数据安全管理办法第一章总则第一条为规范自然资源领域数据处理活动，加强数据安全管理，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家安全和发展利益，根据《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《中华人民共和国密码法》等法律法规，制定本办法。
第二条在中华人民共和国境内开展的，或在境外履行自然资源部门职责过程中开展的自然资源领域非涉密数据处理活动及其安全监管，应当遵守相关法律法规和本办法的要求。
第三条本办法所称自然资源领域数据，是指在开展自然资源活动中收集和产生的数据，主要包括基础地理信息、遥感影像等地理信息数据，土地、矿产、森林、草原、水、湿地、海域海岛等自然资源调查监测数据，总体规划、详细规划、专项规划等国土空间规划数据，用途管制、资产管理、耕地保护、生态修复、开发利用、不动产登记等自然资源管理数据。
本办法所称自然资源领域数据处理者（以下简称数据处理者），是指开展自然资源领域数据处理活动的自然资源行业各类单位。
本办法所称数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。
关于信息安全等级保护的思考
关于信息安全等级保护的思考景乾元为什么要等级保护信息安全保护存在的主要问题与政策：正确的信息安全政策和策略是搞好国家信息安全保护工作的关键，而正确的信息安全保护政策和策略必须依赖于对信息安全问题的正确认识和信息安全保护抉择的正确取向。
社会发展的不同阶段有不同特质的信息安全问题，在社会发展要求网络化信息系统互连互通的信息化时代，信息安全问题的实质直接表现为国家主权、政治、经济、国防、社会安全和公民合法权益保障。
引发信息安全问题的因素有多个方面，有外部因素和内部的，但最主要的因素在于内部。
信息安全政策不确定、信息安全发展方向不明朗；信息安全保护工作组织管理制度不健全，安全责任制不落实，导致管理混乱与不规范、安全管理与技术规范不统一、没有形成配套体系；信息安全市场和服务混乱、不规范；国家监管机制（执法队伍及其技术支撑体系）不健全，监管手段缺乏等。
因此导致：国家对信息安全状况很信有效把握；信息系统主管、建设、使用者对如何搞好信息系统安全建设和管理，信息系统安全窨存在什么问题、如何改进、需要多少投资等，心中无数；科研单位和企业对开发生产什么样的安全产品心中无数；信息安全专家对安全产品审查不好提出评审结果意见；信息安全职能部门对如何进行有效监督、检查评估、服务指导，如何处罚违规者等，也是心中无数。
进而导致国家信息安全科学技术水平和整体信息安全保护能力很难提高，国家信息安全只好看国外，依赖国外，受国外思潮主导。
对这些问题认识不足，不尽快采取有效的解决办法，势必影响信息化建设、经济发展、社会稳定、国防建设、国家安全。
为此，国家高度重视信息安全保护工作。
经党中央和国务院批准，国家信息化领导小组决定加强信息安全保障工作，实行信息安全等级保护，重点保护基础信息网络和重要信息系统安全，要抓紧安全等级保护制度建设。
这一重大决定，明确落实了《中华人民共和国计算机信息系统安全保护条例》中关于实行信息安全等级保护制度的有关规定，提出了从整体上根本上解决国家信息安全问题的办法，进一步确定安全发展主线、中心任务，提出了总要求。
信息安全等级保护制度
信息安全等级保护制度1. 简介信息安全等级保护制度是为了保障机构和个人的信息安全，确保信息资源在使用、传输和存储过程中不受到非法获取、篡改和破坏的制度。
本文旨在介绍信息安全等级保护制度的背景、目的、原则以及具体实施步骤。
2. 背景随着信息技术的快速发展，信息安全面临越来越严峻的挑战。
大规模的网络攻击、数据泄露事件频发，给机构和个人带来了巨大的损失。
为了加强对信息安全的保护，确保国家安全和社会稳定，信息安全等级保护制度应运而生。
3. 目的信息安全等级保护制度的目的主要有以下几点：•统一信息安全管理标准：通过制定统一的标准和规范，确保信息安全管理工作的可操作性和一致性。
•提高信息安全保护水平：按照不同的安全等级要求，采取相应的措施和防护措施，提高信息安全的保护水平。
•促进信息安全技术的发展：制度的实施将推动信息安全技术的研究和应用，促进信息安全技术的发展和创新。
4. 原则信息安全等级保护制度的实施应遵循以下原则：•全面性原则：制度应对所有涉及信息资源的机构和个人适用，确保全面保护信息安全。
•灵活性原则：制度应根据不同的信息安全等级要求，采取相应的措施，灵活适应不同的情况和需求。
•风险管理原则：制度应建立完善的风险管理机制，评估和应对各种信息安全风险。
•法律依据原则：制度应遵循国家相关法律法规，确保合法合规。
•隐私保护原则：制度应保护个人隐私权益，禁止非法收集和使用个人信息。
5. 实施步骤5.1 制定信息安全等级分类标准制定信息安全等级分类标准是信息安全等级保护制度的重要基础，主要包括以下方面：•信息资源分类：对不同类型的信息资源进行分类，如国家秘密级、商业机密级、一般内部级等。
•安全等级划分：根据不同的信息资源分类，制定相应的安全等级划分标准，包括技术要求、管理要求等。
•安全风险评估：对各个安全等级进行安全风险评估，确定对应的安全等级控制要求。
5.2 制定信息安全等级保护标准与规范根据信息安全等级分类标准，制定相应的信息安全等级保护标准与规范，明确具体的安全保护要求和控制措施。
信息安全等级保护标准规范
信息安全等级保护标准规范一、开展信息安全等级保护工作的重要性和必要性信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。
信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。
实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对促进我国信息安全的发展将起到重要推动作用。
二、信息安全等级保护相关法律和文件1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。
1999年9月13日国家发布《计算机信息系统安全保护等级划分准则》。
2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。
2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》（以下简称《管理办法》），明确了信息安全等级保护的具体要求。
三、工作分工和组织协调（一）工作分工。
公安机关负责信息安全等级保护工作的监督、检查、指导。
国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。
国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。
涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。
国家标准 信息安全技术 信息系统安全等级保护定级指南
De 3ICS 35.040L 80信息安全技术信息系统安全等级保护定级指南Information security technology-Classification guide for classified protection of information system中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会发布GB/T 22240—2008目次目次 (I)前言...................................................................................................................................................................... I I 引言.. (III)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 定级原理 (1)4.1 信息系统安全保护等级 (1)4.2 信息系统安全保护等级的定级要素 (2)4.2.1 受侵害的客体 (2)4.2.2 对客体的侵害程度 (2)4.3 定级要素与等级的关系 (2)5 定级方法 (3)5.1 定级的一般流程 (3)5.2 确定定级对象 (4)5.3 确定受侵害的客体 (5)5.4 确定对客体的侵害程度 (5)5.4.1 侵害的客观方面 (6)5.4.2 综合判定侵害程度 (6)5.5 确定定级对象的安全保护等级 (7)6 等级变更 (8)IGB/T 22240—2008II 前言（略）GB/T 22240—2008引言依据国家信息安全等级保护管理规定制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T 22239—2008《信息系统安全等级保护基本要求》；——国家标准《信息系统安全等级保护实施指南》；——国家标准《信息系统安全等级保护测评准则》。
信息安全等级保护政策体系
第2部分
信息安全等级保护政策体系和标准体系
2.信息安全等级保护标准体系
（1）信息安全等级保护相关标准类别 产品类标准 10）交换机 《网络交换机安全技术要求》（GB/T 21050—2007）、《交换机安全测评要求》（GA/T 685—2007）。 11）其他产品 《终端计算机系统安全等级技术要求》（GA/T 671—2006）、《终端计算机系统测评方法》（GA/T 671-2006）； 《审计产品技术要求和测评方法》（GB/T 20945—2006）；《虹膜特征识别技术要求》（GB/T 20979—2007）； 《虚拟专网安全技术要求》（GA/T 686—2007）；《应用软件系统安全等级保护通用技术指南》（GA/T 711— 2007）； 《应用软件系统安全等级保护通用测试指南》（GA/T 712—2007）； 《网络和终端设备隔离部件测试评价方法》（GB/T 20277—2006）； 《网络脆弱性扫描产品测评方法》（GB/T 20280—2006）。
2.信息安全等级保护标准体系
（1）信息安全等级保护相关标准类别 产品类标准 1）操作系统 《操作系统安全技术要求》（GB/T 20272—2006） 《操作系统安全评估准则》（GB/T 20008—2005） 2）数据库 《数据库管理系统安全技术要求》（GB/T 20273—2006） 《数据库管理系统安全评估准则》（GB/T 20009—2005）
第2部分
信息安全等级保护政策体系和标准体系
2.信息安全等级保护标准体系
（1）信息安全等级保护相关标准类别 产品类标准 4）PKI 《公钥基础设施安全技术要求》（GA/T 687—2007） 《PKI 系统安全等级保护技术要求》（GB/T 21053—2007） 5）网关 《网关安全技术要求》（GA/T 681—2007） 6）服务器 《服务器安全技术要求》（GB/T 21028—2007） 7）入侵检测 《入侵检测系统技术要求和检测方法》（GB/T 20275—2006） 《计算机网络入侵分级要求》（GA/T 700—2007）
信息安全技术信息系统安全等级保护定级指南
信息安全技术信息系统安全等级保护定级指南在当今数字化的时代，信息系统已经成为了企业、组织乃至整个社会运转的重要支撑。
然而，伴随着信息系统的广泛应用，信息安全问题也日益凸显。
为了保障信息系统的安全稳定运行，保护公民、法人和其他组织的合法权益，我国制定了信息系统安全等级保护制度。
其中，定级是等级保护工作的首要环节和关键步骤，它决定了信息系统所需采取的安全保护措施和投入的资源。
本文将为您详细介绍信息系统安全等级保护定级的指南。
一、信息系统安全等级保护定级的重要性信息系统安全等级保护定级是对信息系统的重要性和潜在风险进行评估和划分等级的过程。
其重要性主要体现在以下几个方面：1、明确安全责任：通过定级，能够明确信息系统所有者、运营者和使用者在信息安全方面的责任和义务，确保各方对信息安全工作有清晰的认识和目标。
2、合理配置资源：根据信息系统的等级，合理分配安全防护资源，避免过度投入或投入不足，提高安全防护的效率和效果。
3、提高安全意识：定级过程能够促使相关人员增强对信息安全的重视，提升整体的安全意识和防范能力。
4、满足法律法规要求：符合国家关于信息安全等级保护的法律法规和政策要求，避免因未履行相关义务而面临法律风险。
二、信息系统安全等级保护定级的原则在进行信息系统安全等级保护定级时，需要遵循以下原则：1、自主定级原则：信息系统的运营使用单位应当按照相关标准规范，自主确定信息系统的安全保护等级。
2、客观公正原则：定级过程应当基于信息系统的实际情况，客观、公正地评估其重要性和潜在风险，不受主观因素的干扰。
3、科学合理原则：采用科学的方法和手段，综合考虑信息系统的业务特点、数据类型、用户规模等因素，合理确定等级。
4、动态调整原则：信息系统的安全保护等级应根据其变化情况进行动态调整，确保等级的准确性和有效性。
三、信息系统安全等级保护的等级划分信息系统安全等级保护分为五级，从低到高依次为：第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级）。
信息安全等级保护系列标准概述
一、标准化基础知识二、国家信息安全等级保护标准的要求三、我国信息安全标准化工作的发展四、信息安全标准体系与标准分类五、信息安全等级保护标准简介基本概念——“标准（ s tandard ）”定义：为在一定的范围内获得最佳秩序、经协商一致制定并由公认机构批准、共同使用和重复使用的一种规范性文件。
理解：1）制定标准的目的是“为在一定范围内获得最佳秩序”和“促进最佳的共同效益”。
2）标准是共同使用和重复使用的一种规范性文件。
3）制定标准的对象是“活动或其结果”。
4）标准产生的基础是“科学、技术和经验的综合成果”。
5）标准需经过有关方面协商一致。
6）标准需经“公认机构”的批准。
基本概念——“标准化（ s tandardization ）”定义：为了在既定范围内获得最佳秩序，促进共同效益，对现实问题或潜在问题确立共同使用和重复使用的条款，编制、发布和应用文件的活动。
注1：标准化活动确立的条款，可形成标准化文件，包括标准和其他标准化文件。
注2：标准化的主要效益在于为了产品、过程和服务的预期目的改进它们的适用性，促进贸易、交流以及技术合作标准项目制定流程①立项阶段②准备阶段③起草、征求意见阶段④送审阶段⑤报批阶段国家相关政策文件▪（一）中华人民共和国国务院1994年2月18日147号令《中华人民共和国计算机信息系统安全保护条例》第二章第九条规定“计算机信息系统实行安全等级保护。
安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。
（二）2003年中共中央办公厅和国务院办公厅联合发布的中办发[2003]27号文件中要求：“抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”，“要加强信息安全标准化工作，抓紧制定急需的信息安全管理和技术标准，形成与国际标准衔接的中国特色的信息安全标准体系。
要重视信息安全标准的贯彻实施，充分发挥其基础性、规范性作用”。
与27号文件相关的如66号等文件中进一步提出，信息系统安全、安全保护产品、安全事件处理等均贯彻分类、分级原则。
全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知
全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知文章属性•【制定机关】全国信息安全标准化技术委员会•【公布日期】2007.06.27•【文号】信安字[2007]12号•【施行日期】2007.06.27•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】标准化正文全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知（信安字〔2007〕12号）各有关单位：《信息安全技术信息系统安全等级保护基本要求》国家标准基本成熟，通过了全国信息安全标准化技术委员会的审查，已形成国家标准报批稿，正在报批过程中。
为推动正在进行的全国信息系统安全等级保护工作，经信安标委主任办公会议同意，现将该国家标准报批稿先印发给你们，供在工作中参考。
特此通知。
全国信息安全标准化技术委员会二00七年六月二十七日附件：《信息安全技术信息系统安全等级保护基本要求》信息安全技术信息系统安全等级保护基本要求GB/T 0000-0000Information security technology-Baseline for classified protection of information system前言本标准的附录A和附录B是规范性附录。
本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：公安部信息安全等级保护评估中心。
本标准主要起草人：马力、任卫红、李明、袁静、谢朝海、曲洁、李升、陈雪秀、朱建平、黄洪、刘静、罗峥、毕马宁。
引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
信息安全等级保护标准
信息安全等级保护标准信息安全等级保护标准（GB/T 22239-2008）是由中国国家标准化管理委员会发布的一项国家标准，旨在规范和指导各类信息系统的安全保护工作，保障国家重要信息基础设施的安全运行。
本标准适用于涉密信息系统、非涉密信息系统和非密级信息系统，是信息安全管理工作的重要依据。
一、信息安全等级划分。
根据GB/T 22239-2008标准，信息系统的安全等级划分包括四个等级，分别为一级、二级、三级和四级。
不同等级的信息系统对安全性的要求也不同，一级安全等级要求最严格，四级安全等级要求最低。
在具体的信息系统建设和运行中，应根据系统所处的环境和对信息安全的需求，确定相应的安全等级，并按照该等级的保护要求进行设计和实施。
二、信息安全等级保护的基本要求。
1. 安全保护目标明确，根据信息系统所处的环境和对信息安全的需求，明确安全保护的目标和要求，确保安全保护工作有的放矢。
2. 安全保护措施合理有效，采取符合实际情况的安全保护措施，包括技术措施、管理措施和物理措施，合理配置安全资源，确保安全保护措施的有效性。
3. 安全保护责任明确，明确信息系统安全保护的责任主体和责任范围，建立健全的安全管理机制，确保安全保护工作的有效实施。
4. 安全保护监督检查，建立健全的安全监督检查机制，对信息系统的安全保护工作进行定期检查和评估，及时发现和解决安全隐患。
5. 应急响应能力，建立健全的信息安全事件应急响应机制，对可能发生的安全事件进行预案设计和应急演练，提高信息系统的抗风险能力。
三、信息安全等级保护标准的意义。
信息安全等级保护标准的制定和实施，对于保障国家重要信息基础设施的安全运行，维护国家安全和社会稳定具有重要意义。
同时，对于促进信息技术的发展和应用，提高信息系统的安全性和可信度，也具有积极的推动作用。
在当前信息化的大背景下，信息系统的安全性问题日益突出，各类网络攻击、信息泄露事件层出不穷。
因此，加强信息安全等级保护工作，严格按照GB/T 22239-2008标准的要求，对信息系统进行科学合理的安全保护，已成为当务之急。
信息安全等级保护管理办法范本（2篇）
信息安全等级保护管理办法范本一、总则为加强对信息系统安全的管理，保护国家重要信息资源的安全，依据《中华人民共和国网络安全法》等相关法律法规，制定本办法。
二、管理要求（一）等级划分1.按照信息系统对国家安全、经济建设、社会生活等的重要程度，将信息系统划分为不同等级。
2.等级划分应综合考虑信息系统的规模、功能、对外联网情况、所属行业、技术复杂性等因素。
3.等级划分原则上采用五级，即绝密级、机密级、秘密级、内部资料级、一般级。
（二）安全保护要求1.绝密级信息系统应采取最高级别的安全保护措施，确保信息的机密性、完整性和可用性。
2.机密级信息系统应采取适当的安全保护措施，确保信息的机密性和完整性。
3.秘密级信息系统应采取一定程度的安全保护措施，确保信息的机密性。
4.内部资料级信息系统应采取基本的安全保护措施，确保信息的完整性。
5.一般级信息系统应采取相对较低的安全保护措施，确保信息的可用性。
（三）安全保护措施1.与信息系统安全等级相匹配的物理安全措施，包括安全区域划分、存储设备加密、门禁进出管控等。
2.与信息系统安全等级相匹配的网络安全措施，包括网络隔离、入侵检测和防护、数据加密传输等。
3.与信息系统安全等级相匹配的访问控制措施，包括用户权限管理、身份认证机制、审计日志监控等。
4.与信息系统安全等级相匹配的应用安全措施，包括软件漏洞管理、安全编码规范等。
（四）安全审计和评估1.定期对信息系统进行安全审计，评估其安全性。
2.安全审计应包括对物理安全、网络安全、访问控制和应用安全等方面的审查。
3.安全评估应通过实施网络渗透测试、漏洞扫描等方式进行。
三、保护措施（一）责任制度1.建立信息安全保护责任制，明确各级单位的安全管理责任和义务。
2.信息系统管理部门负责对本单位信息系统的安全管理和维护工作。
3.各部门及人员应按照安全保护要求，严格执行安全管理规定。
（二）人员管理1.对涉及信息系统安全的员工进行安全培训，提高其信息安全意识和技能。
信息安全等级保护管理办法模版（三篇）
信息安全等级保护管理办法模版第一章总则第一条为规范信息安全等级保护工作，根据《网络安全法》等相关法律法规，制定本管理办法。
第二条本管理办法适用于我国境内的各类组织、个人从事信息系统建设、运营维护和信息安全等级评定及保护工作。
第三条信息安全等级保护的原则是依法规范、综合治理、分类管理、动态调整、继续完善。
第四条信息安全等级保护的目标是明确组织责任、规范信息处理、保障信息安全、促进信息创新、保护国家安全。
第二章信息安全等级保护适用和等级评定第五条信息安全等级保护工作适用于以下情况：（一）网络和信息系统的建设、运营维护工作；（二）国家重点领域和关键信息基础设施的建设、运营维护工作；（三）信息系统运营商、信息系统运维服务商的服务提供和运营工作；（四）其他涉及本办法规定的信息系统管理和信息处理工作。
第六条信息安全等级评定是根据信息系统的安全风险等级、信息系统的功能需求等因素，对信息系统进行评估、等级划分和安全保护措施的确定；信息安全等级评定包括初评、核查、评定和审批等环节。
第七条信息安全等级评定按照国家标准进行评定，评定结果应当按照相关规定进行公示。
第三章信息安全等级保护责任和义务第八条信息安全等级保护责任和义务由信息系统运营者或者使用者承担。
第九条信息系统运营者应当履行以下责任和义务：（一）制定和完善信息安全管理制度和标准，按照评定结果确定的安全等级履行保护义务；（二）对信息系统进行保密、存储、传输和处理等安全管理，采取技术和管理手段保障信息安全；（三）提供必要的信息安全培训和教育，提升员工信息安全意识和能力；（四）及时报告和处理信息安全事件，采取措施防范和应对威胁和攻击；（五）按照国家有关规定进行备案和申报，接受相关部门的监督检查。
第十条信息系统使用者应当履行以下责任和义务：（一）遵守信息安全管理制度和安全操作规程，正确使用和保护系统和网络资源；（二）提供真实、准确、完整的个人和组织信息进行备案和/或注册；（三）按照规定的权限和职责使用信息系统，禁止未经授权的操作和访问；（四）对收集到的个人信息进行安全保护，不得泄露、篡改、毁损；（五）及时报告和处理信息安全事件，并积极配合有关部门的调查和处理。
公安部召开电视电话会议组织部署全国重要信息系统和政府网站安全专项检查工作
提高，网 络安全状况明显改善， 网络安全防护措施和能力明显增强，重要信 息 系统安全保护工作取得了 显著成效。
会议强调，网络安全问题已经从传统的技术安全、信息安全演变为实体安全、基础设施安全范畴，直接关系到国家安全和社 会稳定，我 国网络安全工作形势十分严峻，信 息系统和政府网站安全防护工作面临着前所未有的挑战。
个系统 ，分别设计，分别 保护。安全 区域划分应体现 “ 适度安 全 、注 重 实效 、分级保 护、突出重点 ”的等级保 护基 本原则
和信息系统部 署原则 ，将安 全等级 或者安 全 防护要求相 同的
护工作 的关 键和基 础，领 导重视是贯 彻落实 等级保护工作 的 决 定因素，等 级保 护工作是一 个需 要不断推 进、循序渐 进 的 过程，它不仅是 信息安全技术 部门的职责，更是 每一 个 国土 资源行业从业者 的义务和责任。
『 １ １ 中华人 民共和 国计算机信 息系统安全保护条例 『 Ｓ ］ ． １ ９ ９ ４ ． 『 ２ ｊ 公通字 【 ２ ０ ０ ４ ］ ６ ６ 号， ２ ０ ０ ４ ， 关于信 息安全等级保护Ｘ － 作的实施意见 【 ｓ ］ ． 【 ３ ］ 公通 字 ［ ２ ０ ０ ７ ］ ４ ３号，２ ０ ０ ７ ，信息安全等级保护管理办法 【 ｓ 】 ． 【 ４ 】公 信安 【 ２ ０ ０ ７ １ ８ ６ １号，２ ０ ０ ７ ，关于开展 全 国重要 信 息 系统安 全等
于安 全管理与建设 的全过程 ，以 自 查 为主，加强督导检查，建 立可操作性强 、制度化的安全检查体 系，提高检查工作效率 。
［ ６ 】 Ｇ Ｂ １ ７ ８ ５ ９ － １ ９ ９ ９ ，计算机信息 系统 安全等级保护划分准则 ｆ ｓ Ｉ ． 【 ７ 】 ＧＢ Ｔ ２ ０ ２ ６ ９ —２ ０ ０ ６ ，信 息安全技术 信 息系统安全管理要求 【 ｓ ］ ． ［ ８ ］ ＧＢ Ｔ ２ ０ ２ ７ １ －２ ０ ０ ６ ，信 息安全技术 信 息系统安全通 用技术要 求 ｆ Ｓ ｌ ｌ 【 ９ ］ Ｇ Ｂ Ｔ２ ０ ９ ８ ４ — ２ ０ ０ ７ ， 信息安－ ￣ ＇ ４ Ｋ 术 信息系统安全保护等级定级指南 【 Ｓ Ｊ ． ［ １ Ｏ ］ Ｇ Ｂ Ｔ２ ２ ２ ３ ９ — ２ ０ ０ ８ ， 信息安全技术 信息 系统安全等级保护基本要求 『 Ｓ １ ｌ ［ １ １ ］国土资信 办发 ［ ２ ０ ０ ７ ］ １ ４ 号 ，关于印发 《 国土资 源信 息 系统 安全 等级保护定级 工作方案 》的通知 『 ｓ １ ．
信息安全等级保护安全建设指导专家委员会会议在北京召开
监督检 查等 重要工作 ，初步 建立 了 有中国特 色的信息 安 全等级 保 具 护制度 ，有 力促进 了国家信 息安全 保障 工作 ，有效 提高 了我 国基础
信 息网络和重要信息 系统 的安全保护能力。
全标 ； 化技术委员会等单位的领导和有关 同志共 １ ２ 隹 ６ 人参加 了 会议 。 为办好此次会议 ，也为了充分调 动测评 机构开展等级保护理论和 技术研究 工作 ，公安部三所在 前期开展了会议论文征 集活动，得 到了
共评选 出优 秀论 文 １ 篇 ，特别论文和入选论 文 ６ 篇 ，汇编成 《 息 ５ ２ 信 网络安 全 》 刊发表。会议 期间，公 安部三所 对 １ 篇优 秀论文的作 增 ５ 者进行 了表彰，６ 位优 秀论文 的作 者和公安部信息安 全等级保护评估
中心的 ５位同志分别从等级保护定 级技术研究、等级测评与风 险评估、 测评机构和人 员管理、测评项 目实施、测评能 力和测评服务报价 等几 个主要方面 在会 议上进行了论文交流。与会代表还 分组 进行了热烈 的
总结 了 级保 护定 级工作 以来 ，公 等
安机 关开展 的各 项工作 以及等 级保 护取得 的各 项成 绩。他 指 出，近 几 年来 ，公 安 部会 同有关部 门切 实加 强对 等 级保 护工作 的组 织领 导 ，建 立健全 了等级 保护政 策体 系和 标准 体 系，在全 国范 围内先后 组 织开展 了信息 系统 定级 备案、安 全建 设整 改、等 级 测 评体 系建 设和 等 级 测 评、
工作 的责 任 感和 使命 感。对 于下一 步 的具体 工作，赵 副局 长指 出，
一
是要进 一步提 高对信息 安全 等级保 护的认识，学 习借鉴 美国等发
达 国家在关键基础 设施保护 （ 和关键信息基础设 旋保护 （ ｌ ＣＩ Ｐ） Ｃｌ Ｐ） 方面的政策、理论 、技术和方法 ， 不断丰富等级保护工作 内涵和 外延。 二是积极 推动 中央 企业等 级保护工作 ，各地 公安机 关要按 照公 安部
信息安全等级保护制度的主要内容
信息安全等级保护制度的主要内容目录一、内容概要 (3)1.1 制定背景与目的 (3)1.2 信息安全等级保护制度的意义 (4)二、信息安全等级保护制度的基本概念 (5)2.1 信息安全等级保护的定义 (7)2.2 信息安全等级保护制度的结构 (8)三、信息安全等级保护制度的主要内容 (9)3.1 第一级信息系统的安全保护 (10)3.1.1 安全物理环境 (12)3.1.2 安全通信网络 (13)3.1.3 安全区域边界 (14)3.1.4 安全计算环境 (15)3.1.5 安全建设管理 (16)3.1.6 安全运维管理 (17)3.2 第二级信息系统的安全保护 (18)3.2.1 安全物理环境 (20)3.2.2 安全通信网络 (21)3.2.3 安全区域边界 (22)3.2.4 安全计算环境 (23)3.2.5 安全建设管理 (25)3.2.6 安全运维管理 (26)3.3 第三级信息系统的安全保护 (27)3.3.1 安全物理环境 (28)3.3.2 安全通信网络 (29)3.3.3 安全区域边界 (30)3.3.4 安全计算环境 (31)3.3.5 安全建设管理 (32)3.3.6 安全运维管理 (33)3.4 第四级信息系统的安全保护 (34)3.4.1 安全物理环境 (36)3.4.2 安全通信网络 (37)3.4.3 安全区域边界 (38)3.4.4 安全计算环境 (39)3.4.5 安全建设管理 (41)3.4.6 安全运维管理 (42)四、信息安全等级保护制度的实施与管理 (43)4.1 实施原则与方法 (44)4.2 信息系统定级与备案 (45)4.3 安全建设与改造 (47)4.4 运维管理与安全检查 (48)五、信息安全等级保护制度的评估与升级 (49)5.1 评估流程与方法 (50)5.2 评估结果与应用 (52)5.3 升级与改造策略 (53)六、信息安全等级保护制度的法律法规与政策支持 (54)6.1 相关法律法规概述 (55)6.2 政策支持与引导 (56)七、结论与展望 (58)7.1 主要成果与贡献 (59)7.2 发展趋势与挑战 (60)一、内容概要信息安全等级保护制度是我国针对信息安全领域的一项基本国策，旨在保障国家关键信息基础设施和重要信息系统的安全稳定运行。
信息安全等级保护测评体系建设与测评工作规范性文件.
能够按照报告编制要求整理测评数据.
b)中级等级测评师
熟悉信息安全等级保护相关政策、法规；
正确理解信息安全等级保护标准体系和主要标准内容，能够跟踪国内、国际信息安全相关标准的发展；
掌握信息安全基础知识，熟悉信息安全测评方法，具有信息安全技术研究的基础和实践经验;
信息安全等级测评机构能力要求使用说明
1
本规范规定了测评机构的能力要求.
本规范适用于测评机构的建设和管理以及对测评机构能力进行评估等活动。
2
2.1
等级测评是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准,对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。
2.2
等级测评机构，是指具备测评机构基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室推荐，从事等级测评工作的机构。
c)产品研制、生产单位及其主要业务、技术人员无犯罪记录；
d)产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；
e)对国家安全、社会秩序、公共利益不构成危害。
f)信息安全产品应获得公安部计算机信息安全产品销售许可证.
说明：
机构应保证其所配备的防火墙、IDS等安全产品获得销售许可证。
说明：
1。测评人员应严格按照《信息系统安全等级测评报告模版（试行）》编制测评报告.
2。应通过评审、论证等手段对测评报告中的结果判断、问题分析、测评结论等内容的正确性进行确认。
6
6.1
a)产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格;
b)产品的核心技术、关键部件具有我国自主知识产权；
信息安全等级保护制度的主要内容和要求
• 2008年1月2日发布的国家安全总统令54/国土安全总统令 23，建立了国家网络安全综合计划(CNCI)。 • 三道防线 – 建立第一线防御：减少当前漏洞和隐患，预防入侵； – 全面应对各类威胁：增强反间能力，加强供应链安全 来抵御各种威胁； – 强化未来安全环境：增强研究、开发和教育以及投资 先进的技术来构建将来的环境。 • 十二项任务
重视关键基础设施信息安全保障，建立日尔曼人的“基线” 防御。 1997年建立部际关键基础设施工作组； 2005年出台《信息基础设施保护计划》和《关键基础设施保 护的基线保护概念》
法国信息安全保障体系建设动态
• 2003年12月总理办公室提出《强化信息系统安全国家计划 》并得到政府批准实施，四大目标： – 确保国家领导通信安全； – 确保政府信息通信安全； – 建立计算机反共济能力； – 将法国信息系统安全纳入欧盟颞部法国安全政策范围 。 • 2009年7月7日，成立国家级“网络和信息安全局”，置于 总理领导之下，隶属国防部。
印度
• 重点保护对象： – 银行和金融、保险、民航、电信、原子能、电力、邮政 、铁路、太空、石油和天然气、国防、执法机关
• 机构： – 国家信息委员会、国家信息安全协调中心、信息基础设 施保护中心、信息技术局、印度计算机应急响应小组 • 基本做法： – 2000年，颁布《信息安全法》； – 积极推广互联网和IT基础设施建设等； – 2009年印度政府宣布开发“中央监控系统”，直接连接 国内所有通信服务商，实现对印度境内所有电话和互联 网通信的监听
信息安全是国家安全的重要组成部分已成为世界各国 的共识;
各国纷纷出台自己的信息安全战略和政策，加强自身 的国家信息安全保障体系建设。
国外信息安全保障体系的最新趋势
关于开展信息安全等级保护安全建设整改工作的指导意见
关于开展信息安全等级保护安全建设整改工作的指导意见为进一步贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》和《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》（以下简称《管理办法》）精神，指导各部门在信息安全等级保护定级工作基础上，开展已定级信息系统（不包括涉及国家秘密信息系统）安全建设整改工作，特提出如下意见：一、明确工作目标依据信息安全等级保护有关政策和标准，通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益，力争在2012年底前完成已定级信息系统安全建设整改工作。
二、细化工作内容（一）开展信息安全等级保护安全管理制度建设，提高信息系统安全管理水平。
按照《管理办法》、《信息系统安全等级保护基本要求》，参照《信息系统安全管理要求》、《信息系统安全工程管理要求》等标准规范要求，建立健全并落实符合相应等级要求的安全管理制度：一是信息安全责任制，明确信息安全工作的主管领导、责任部门、人员及有关岗位的信息安全责任；二是人员安全管理制度，明确人员录用、离岗、考核、教育培训等管理内容；三是系统建设管理制度，明确系统定级备案、方案设计、产品采购使用、密码使用、软件开发、工程实施、验收交付、等级测评、安全服务等管理内容；四是系统运维管理制度，明确机房环境安全、存储介质安全、设备设施安全、安全监控、网络安全、系统安全、恶意代码防范、密码保护、备份与恢复、事件处置、应急预案等管理内容。
建立并落实监督检查机制，定期对各项制度的落实情况进行自查和监督检查。
（二）开展信息安全等级保护安全技术措施建设，提高信息系统安全保护能力。
按照《管理办法》、《信息系统安全等级保护基本要求》，参照《信息系统安全等级保护实施指南》、《信息系统通用安全技术要求》、《信息系统安全工程管理要求》、《信息系统等级保护安全设计技术要求》等标准规范要求，结合行业特点和安全需求，制定符合相应等级要求的信息系统安全技术建设整改方案，开展信息安全等级保护安全技术措施建设，落实相应的物理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施，建立并完善信息系统综合防护体系，提高信息系统的安全防护能力和水平。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
１研究背景
随着信息网络技术 的飞速 发展和广泛应 用，网络空间安全 成为 国际社会 共同面临的重大非传 统安全挑战 ，保 障信息安 全成 为各 国关注 的议题 。我国于 ８ ０年代 末开始研究信息系统安全 防护 问题 ，１ ９ ９ ４年 国务院颁布 《中华人 民共和国计算 机信息系统安
全保 护条例 国务院令第 １ ４ ７ 号） ， 规定计算机信息系统实行安全等级保 护， 将实行信息安全等级保 护作为提高信息安全保 障能力， 维护国家安全 、 社会稳定和公共利益， 保障信息化建设健康发 展的一项基本制度 、 基本策略、 基本方法和根本保 障。这一重大决定 ， 明确了关于实 行信息安 全等级保护制度的有关 规定 ，提出从 整体上、根本上解决国家信息安全 问题的办法。之后 陆续颁布 《 关于
ｃ ｌ ａ ｓ ｓ ｉ ｉｅ ｆ ｄ ｐｒ ｏ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ｏ ｆ ｉ ｎ ｆ ｏ ｒ ｍａ ｔ ｉ ｏ ｎ ｓ ｅ ｃ ｕ ｉｔ ｒ ｙ ，ｔ ｈｉ ｓ ｐ ａ ｐ ｅ ｒ ｍａ ｋ ｅ ｓ ｅ ｘ ｐｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｏｆ ｔ ｈｅ ｉ ｆ ｖｅ ａ ｓ ｐ ｅ ｃ ｔ ｓ ｉ ｎ ｃ ｌ ａ ｓ ｓ ｉ ｉｅ ｆ ｄ ｐ ｒ ｏ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ｗｏ ｒ ｋ ，ｓ ｕｃ ｈ ａ ｓ ｃ ｌ ａ ｓ ｓ ｉ ｉｃ ｆ ａ ｔ ｉ ｏｎ ，ｆ ｉｌ ｉ ｎｇ ，ｒ ｅ ｃ ｔ ｉ ｉｃ ｆ ａ ｔ ｉ ｏ ｎ，ｅ ｖａ ｌ ｕ ａ ｔ ｉ ｏ ｎ ，ｔ ｒ ａ ｉ ｎｉ ｎ ｇ，ａ ｎ ｄ ｍａ ｋ ｅ ｓ ｓ ｏ ｍｅ ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ ａ ｂｏ ｕ ｔ ｔ ｈ ｅ ｐｒ ｏ ｂ ｌ ｅ ｍ ｉ ｎ ｔ ｈ ｒ ｅ ｅ ａ ｓ ｐ ｅ ｃ ｔ ｓ ｗｈ ｉ ｃ ｈ ａ ｒ ｅ ｉｌ ｆ ｉ ｎ ｇ， ｒ ｅ ｃ ｔ ｉ ｉｃ ｆ ａ ｔ ｉ ｏｎ ａ ｎｄ ｃ ｈｅ ｃ ｋｉ ｎ ｇ． Ｔｈ ｅ ｓ ｐ ｅ ｃ ｉ ｉｃ ｆ ａ ｔ ｉ ｏ ｎ ｈ ａ ｓ ｂ ｅ ｅ ｎ ｗｉ ｄ ｅ ｌ ｙ ａ ｐ ｐｌ ｉ ｅ ｄ ｉ ｎ ｌ ｎ ｄ ａ ａ ｎｄ
Ｚ ＨＯＵ Ｚ ｈ ｏ ｕ ． Ｚ ＨＯ Ｕ Ｊ ｕ ｎ － ｊ ｉ ｅ
（ Ｉ ｎ ｆ ｏ ｒ ｍａ ｔ ｉ ｏ ｎ Ｃ ｅ ｎ ｔ ｅ ｒ ， Ｍｉ ｎ ｉ ｓ ｔ ｒ ｙ ｏ ｆ Ｌ ａ ｎ ｄ ａ ｎ ｄ Ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ ｓ ， Ｂ ｅ ｊ ｉ ｉ ｎ ｇ １ ０ ０ ８ １ ２ ， Ｃ ｈ ｉ ｎ ａ ）
２ ０ １ ３ 年第 ｌ １ 期
ｄ ｏ ｉ ： １ ０ ３ ９ ６ ９ ／ ｊ ｉ ｓ ｓ ｎ １ ６ ７ １ － １ １ ２ ２ ２ ０ １ ３ １ １ ． ０ ０ １
国土资源行业信息安全等级保护规范研究
周舟 ，周俊杰
（ 国土资 源部信 息 中心 ，北京 １ ０ ０ ８ １ ２）
ｏ ｆ ｔ ｈ ｅ ｉ ｎ ｏ— ｆ ｓ ｅ ｃ ｕ ｒ ｉ ｙ， ｔ ｂ ａ ｓ ｅ ｄ ｏ ｎ ｈｅ ｔ ｉ ｎ ｄ ｕ ｓ ｔ ｒ ｙ ｃ ｈ ａ ｒ ａ ｃ ｔ ｅ ｉｓ ｒ ｔ ｉ ｃ ｓ ａ ｎ ｄ ｔ ｈ ｅ ｐ ｒ ａ ｃ ｔ ｉ ｃ ａ ｌ ｗｏ ｒ ｋ ， ｔ ｏ ｓ ｐ ｅ ｃ ｉ ｆ ｙ ａ ｎ ｄ ｄ ｉ ｒ ｅ ｃ ｔ ｔ ｈ ｅ ｗｏ ｒ ｋ ｆ ｏ ｒ ｔ ｈ ｅ
摘 要： 为规 范和 指 导 国土 资 源行 业 开展 信 息 安全 等 级 保 护 工作 ，文 章 通过 对 信 息 安 全形 势 和 国土
资 源行 业 信 息安 全 现 状 的 分析 ，在 充分 结 合行 业特 点和 工作 实 际的 基础 上 ，对等 级保 护 工 作 涉及 的 定级 、 备案 、整 改 、 测评 、培 训 等 五 个方 面进 行 了详 细 阐述 ，并针 对 定级 、整 改 、检 查 三 个 方 面存在 的 问题 进 行 深 入 研 究 。该 规 范 已在 国土 资 源行 业 全 面推 广 应 用 。
ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ ｓ ｉ ｎ ｄｕ ｓ ｔ ｒ ｙ ．
Ｋｅ ｙ ｗｏ ｒ ｄ ｓ ： ｌ ａ ｎ ｄ ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ ｓ ； ｉ ｎ ｆ ｏ ｍａ ｒ ｔ ｉ ｏ ｎ ｓ ｅ ｃ ｕ ｉ ｒ ｙ； ｔ ｃ ｌ ａ ｓ ｓ ｉ ｉ ｆ ｅ ｄ ｐ ｒ ｏ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ； ｓ ｐ ｅ ｃ ｉ ｉ ｆ ｃ ａ ｔ ｉ ｏ ｎ
关 键词 ： 国土 资 源 ； 信 息安 全 ； 等级 保 护 ； 规 范 中图分 类号 ： Ｔ Ｐ ３ ０ ９ 文 献标 识码 ： Ａ 文 章编 号 ： １ ６ ７ １ — １ １ ２ ２（ ２ ０ １ ３） １ １ — ０ ０ ０ １ — ０ ３
Ｔｈｅ Ｒｅ ｓ ｅ ｒ ｃ ｈ ｏ ｎ ｔ ｈ ｅ Ｓ ｐｅ ｃ ｉ ｉｃ ｆ ａ ｔ ｉ ｏ ｎ ｆ ｏ ｒ ｔ ｈｅ Ｃｌ ａ ｓ ｓ ｉ ｉｅ ｆ ｄ Ｐｒ ｏ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ｏ ｆ ｔ ｈｅ Ｉ ｎｆ ｏ ｒ ｍａ ｔ ｉ ｏｎ Ｓｅ ｃ ｕｒ ｉ ｔ ｙ ｉ ｎ ｔ ｈ ｅ Ｌａ ｎｄ ａ ｎ ｄ Ｒｅ ｓ ｏ ｕｒ ｃ ｅ ｓ Ｉ ｎｄ ｕｓ ｔ ｒ ｙ