信息安全等级保护培训
信息安全等级保护培训试题集

信息安全等级保护培训试题集一、法律法规一、单选题1.根据《信息安全等级保护管理办法》,(A)负责信息安全等级保护工作的监督、检查、指导。
A.公安机关B.保密工作部门C.密码管理部门2.根据《信息安全等级保护管理办法》,(D)应当依照相关规和标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作。
A.公安机关B.保密工作部门C.密码管理部门D.信息系统的主管部门3.计算机信息系统安全保护等级根据计算机信息系统在安全、经济建设、社会生活中的_______,计算机信息系统受到破坏后对安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的_______等因素确定。
(B)A.经济价值经济损失B.重要程度危害程度C.经济价值危害程度D.重要程度经济损失4.对拟确定为(D)以上信息系统的,运营、使用单位或者主管部门应当请信息安全保护等级专家评审委员会评审。
A.第一级B.第二级C.第三级D.第四级5.一般来说,二级信息系统,适用于(D)A.乡镇所属信息系统、县级某些单位中不重要的信息系统。
小型个体、私营企业中的信息系统。
中小学中的信息系统。
B.适用于地市级以上机关、企业、事业单位部重要的信息系统;重要领域、重要部门跨省、跨市或全国(省)联网运行的信息系统;跨省或全国联网运行重要信息系统在省、地市的分支系统;各部委官;跨省(市)联接的信息网络等。
C.适用于重要领域、重要部门三级信息系统中的部分重要系统。
例如全国铁路、民航、电力等调度系统,银行、证券、保险、税务、海关等部门中的核心系统。
D.地市级以上机关、企业、事业单位部一般的信息系统。
例如小的局域网,非涉及秘密、敏感信息的办公系统等。
6.信息系统建设完成后,(A)的信息系统的运营使用单位应当选择符合规定的测评机构进行测评合格可投入使用。
A.二级以上B.三级以上C.四级以上D.五级以上7.安全测评报告由(D)报地级以上市公安机关公共信息网络安全监察部门。
等保培训复习资料

等保培训复习资料一、单项选择题1、首次以国家行政法规形式确立了信息安全等级保护制度的法律地位的政策文件是()A、《计算机信息安全保护等级划分准则》B、《信息系统安全等级保护基本要求》C、《中华人民共和国计算机信息系统安全保护条例》D、《信息安全等级保护管理办法》正确答案:C2、从安全保护能力角度,根据安全功能的实现情况,将计算机信息系统安全保护能力划分为五个级别,即:用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和()。
A、密码验证保护级 B、访问验证保护级 C、系统验证保护级 D、安全验证保护级正确答案:B3、信息安全等级保护工作的首要环节和关键环节是()A、评审B、安全测评C、定级D、整改正确答案:C4、《基本要求》中技术要求分为物理安全、网络安全、主机安全、应用安全、数据安全及其()五个方面A、数据恢复B、系统恢复C、信息恢复D、备份恢复正确答案:D5、安全建设整改无论是安全管理建设整改还是安全技术建设整改,使用的核心标准是( )A、《计算机信息安全保护等级划分准则》B、《信息系统安全等级保护基本要求》C、《中华人民共和国计算机信息系统安全保护条例》D、《信息安全等级保护管理办法》正确答案:B6、系统定级完成后,首要的工作是确定系统的(),也就是系统的保护需求。
A、安全需求B、安全方案设计C、安全性评估D、运行环境正确答案:A7、公安部()负责测评机构的能力评估和培训工作。
A、网络安全保卫局B、信息安全等级保护培训中心C、信息网络安全测评中心D、信息安全等级保护评估中心正确答案:D8、应用安全是指对信息系统涉及到的()进行安全保护。
A、主机系统B、网络系统C、应用系统D、操作系统正确答案:C9、安全建设整改无论是安全管理建设整改还是安全技术建设整改,使用的核心标准是()。
A、《信息系统安全等级保护基本要求》B、《信息系统安全保护等级定级指南》 C、《信息安全等级保护管理办法》 D、《信息安全等级保护安全建设整改工作指南》正确答案:A10、信息安全等级保护的第()级为监督保护级,适用于涉及国家安全、社会秩序、经济建设和公共利益的信息系统,其受到破坏后,会对国家安全、社会秩序、经济建设和公共利益造成较大损害。
国家信息安全等级制度与等级保护公需课

国家信息安全等级制度与等级保护公需课1. 信息安全意识的重要性在当今数字化社会,信息安全已经成为了必不可少的一部分。
随着互联网的快速发展,我们的生活离不开手机、电脑和其他智能设备,而这些设备无时无刻不在接收和传输着各种信息。
信息安全不仅仅关乎个人隐私,还关系到国家安全、经济安全以及社会稳定。
国家信息安全等级制度和等级保护公需课就显得尤为重要。
2. 国家信息安全等级制度的意义国家信息安全等级制度是为了更好地保护信息系统、网络和信息资源的安全而建立的。
该制度通过对不同信息系统和网络进行等级划分,标准化不同级别的信息系统和网络的安全防护要求,以确保各级信息系统和网络的安全性和稳定性。
这不仅有助于加强信息安全管理,还有助于提高国家信息基础设施的整体安全水平。
3. 国家信息安全等级制度的体系建设国家信息安全等级制度的体系建设包括等级划分、等级保护和等级评定三个方面。
等级划分是按照信息系统或网络的功能、重要性和风险程度将其划分为不同的安全等级。
等级保护是按照信息系统或网络的安全等级要求,采取相应的安全防护措施,确保其安全可靠运行。
等级评定是通过对信息系统或网络的安全性能进行评估,确认其安全等级和安全保护水平。
4. 等级保护公需课的意义和作用等级保护公需课是国家对信息系统和网络进行等级保护的重点领域和重点对象。
它包括政府机关、重要行业部门、关键信息基础设施等领域。
这些领域的信息系统和网络一旦受到破坏或泄露,将给国家安全和社会稳定带来严重的危害。
对这些领域的信息系统和网络进行等级保护,不仅有利于保障国家安全,还有利于促进经济社会发展。
5. 个人观点和理解作为一名信息安全专家,我认为国家信息安全等级制度和等级保护公需课的建设是非常必要的。
这不仅有助于规范信息安全管理,提高信息安全防护能力,还有助于保障国家信息基础设施的安全稳定运行。
在信息化快速发展的今天,我们每个人都应该增强信息安全意识,积极参与信息安全工作,共同为国家信息安全事业做出贡献。
信息安全等级保护培训

八、定级工作完成后需要开展哪 些工作
一是开展安全建设和整改。 二是开展等级测评。 三是开展自查。
24
九、开展安全等级保护工作依据的主
要标准有哪些
1、基础标准-划分准则(GB17859) 2、基线标准- 《信息系统安全等级保护基本要求》 3、辅助标准-定级指南、实施指南、测评准则 4、目标标准- 《信息系统通用安全技术要求》(GB/T20271) 《网络基础安全技术要求》(GB/T20270) 《操作系统安全技术要求》(GB/T20272) 《数据库管理系统安全技术要求》(GB/T20273) 《终端计算机系统安全等级技术要求》(GA/T671) 《信息系统安全管理要求》(GB/T20269) 《信息系统安全工程管理要求》(GB/T20282) 5、产品标准-防火墙、入侵检测、终端设备隔离部件等
20
第六步,备案
第二级以上信息系统,在安全保护等级确定后 30日内,由其运营、使用单位到所在地设区的市级 以上公安机关办理备案手续。隶属于中央的在京单 位,其跨省或者全国统一联网运行并由主管部门统 一定级的信息系统,由主管部门向公安部办理备案 手续。跨省或者全国统一联网运行的信息系统在各 地运行、应用的分支系统,应当向当地设区的市级 以上公安机关备案。定级工作的结果是以备案完成 为标志。基础信息网络和重要信息系统的定级、备 案工作9月底前完成。
15
安全保护等级的划分
对相应客体的侵害程度
业务信息安全被破坏时所侵害的客
体
一般损害 严重损害 特别严重损害
公民、法人和其他组织的合法权益 第一级 第二级 第二级
社会秩序、公共利益 国家安全
第二级 第三级
第三级 第四级 第四级 第五级
16
五级监管
万豪培训答案

万豪培训答案万豪信息安全与保护培训答案一、单选1、信息安全等级保护工作直接作用的具体的信息与信息系统称为( )A、答体B、客观方面C、等级保护对象D、系统服务正确答案:C2、根据《信息安全等级保护管理办法》,( )应当依照相关规范与标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作。
A、公安机关B、国家保密工作部门C、国家密码管理部门D、信息系统的主管部门正确答案:D3、对社会秩序、公共利益造成特别严重损害,定义为几级( )A、第一级B、第二级C、第三级D、第四级正确答案:D4、对国家安全造成特别严重损害定义为几级( )A、第二级B、第三级C、第四级D、第五级正确答案:D5、信息系统建设完成后,()的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。
A、二级及以上B、二级及以上C、网级及以上D、五级正确答家:B6、计算机信息系统实行安全等级保护,安全等级的划分标准与安全等级保护的具体办法,由()合同有关部门制定。
A、教育部B、国防部C、安全部D、公安部正确答案:B7、1999年,我国发布的第一个信息安全等级保护的国家标准GB 17859-1999,提出将信息系统的安全等级划分为个等级,并提出每个级别的安全功能要求。
A、7B、8C、6D、5正确答案:D8、信息系统受到破坏后,会对公民、法人与其她组织的合法权益造成损害,但不损害国家安全、社会秩序与公共利益,在等保定义中应定义为第几级A、第一级B、第二级C、第一级D、第四级正确给案:A9、《信息系统安全等级保护实施指南》将作为实施等级保护的第一项币要内容。
A、安全定级B、安全评估C、安全规划D、安全实施正确答案:A10、安全建设整改无论就是安全管理建设整改还就是安全技术建设整改,使用的与新标准就是()A、《计算机信息安全保护等级划分准则》B、《信息系统安全等级保护基木要求》C、《中华人民共与国计算机信息系统安全保护条例》D、《信息安全等级保护管理办法》正确答案:8。
信息系统安全等级保护培训课件(PPT 36页)

区域边界保护
保护计算环境
保护计算环境
实现集中安全管理
落实安全管理措施
三级系统安全管理措施
- 建立全面的安全管理制度,并安排专人负责并监控执行情况; - 建立全面的人员管理体系,制定严格的考核标准 - 建设过程的各项活动都要求进行制度化规范,按照制度要求进行 活动的开展 - 实现严格的保密性管理 - 成立安全运维小组,对安全维护的责任落实到具体的人 - 引入第三方专业安全服务
物理安 • 需要到物理机房实地检查,请提前申请进入机房的相关手续,并协调查看机房管理相关管理记录 全
网络安 • 需要登录网络设备、安全设备检查相关配置及漏洞扫描,请分配可接入的网络端口及地址,提供配置文件
全 主机安 • 需要登录相关主机设备检查相关配置及漏洞扫描,请分配可接入的网络端口及地址 全 应用安 • 请提供应用系统访问地址,以及访问该应用所需的网络地址,帐户名称、口令以及其它鉴别方式所需软硬件设备 全
分级保护系列标准规范
《涉及国家秘密的计算机信息系统分级保 护技术要求》BMB17-2006 《涉及国家秘密计算机信息系统安全保密 方案设计指南》 BMB23-2008 涉密信息系统安全保障建设 《涉及国家秘密计算机信息系统分级保护 指南 管理规范》BMB20-2007 《涉及国家秘密的信息系统分级保护测评 指南》BMB22—2007 《涉及国家秘密计算机信息系统分级保护 管理办法 》国家保密局16号
管理制 • 请提供安全管理制度电子档或纸质版本,以及相关记录文件
度
1、最灵繁的人也看不见自己的背脊。——非洲 2、最困难的事情就是认识自己。——希腊 3、勇猛、大胆和坚定的决心能够抵得上武器的精良。——达· 芬奇 4、与肝胆人共事,无字句处读书。——周恩来 5、一个人即使已登上顶峰,也仍要自强不息。——罗素· 贝克 6、一切节省,归根到底都归结为时间的节省。——马克思 7、自知之明是最难得的知识。——西班牙 8、勇气通往天堂,怯懦通往地狱。——塞内加 9、有时候读书是一种巧妙地避开思考的方法。——赫尔普斯 10、阅读一切好书如同和过去最杰出的人谈话。——笛卡儿 11、有勇气承担命运这才是英雄好汉。——黑塞 12、只有把抱怨环境的心情,化为上进的力量,才是成功的保证。——罗曼· 罗兰 13、知人者智,自知者明。胜人者有力,自胜者强。——老子 14、意志坚强的人能把世界放在手中像泥块一样任意揉捏。——歌德 15、最具挑战性的挑战莫过于提升自我。——迈克尔· F· 斯特利 16、业余生活要有意义,不要越轨。——华盛顿 17、意志是一个强壮的盲人,倚靠在明眼的跛子肩上。——叔本华 18、最大的挑战和突破在于用人,而用人最大的突破在于信任人。——马云 19、我这个人走得很慢,但是我从不后退。——亚伯拉罕· 林肯 20、要掌握书,莫被书掌握;要为生而读,莫为读而生。——布尔沃 21、要知道对好事的称颂过于夸大,也会招来人们的反感轻蔑和嫉妒。——培根 22、业精于勤,荒于嬉;行成于思,毁于随。——韩愈 23、最大的骄傲于最大的自卑都表示心灵的最软弱无力。——斯宾诺莎 24、知之者不如好之者,好之者不如乐之者。——孔子 25、学习是劳动,是充满思想的劳动。——乌申斯基 26、要使整个人生都过得舒适、愉快,这是不可能的,因为人类必须具备一种能应付逆境的态度。——卢梭 27、越是无能的人,越喜欢挑剔别人的错儿。——爱尔兰 28、意志命运往往背道而驰,决心到最后会全部推倒。——莎士比亚 29、越是没有本领的就越加自命不凡。——邓拓 30、阅读使人充实,会谈使人敏捷,写作使人精确。——培根
信息安全等级保护培训

信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以 及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护。
背景
随着信息化的发展,信息安全问题日益突出,等级保护制度应运而生,成为保 障国家信息安全的重要手段。
2024/1/30
4
等级保护的意义
01
02
03
保障信息安全
会话管理
对用户会话进行管理和控 制,包括会话超时、会话 中断等处理措施,确保会 话安全。
17
安全审计与监控
安全审计
记录和分析系统安全相关事件,如用 户登录、操作、资源访问等,以便事 后追踪和审计。
日志管理
对系统日志进行统一管理和存储,确 保日志的完整性和可用性,为安全审 计提供数据支持。
实时监控
对系统运行状态、网络流量、安全事 件等进行实时监控,及时发现和处理 潜在的安全威胁。
14
监督检查与持续改进
定期监督检查
持续改进
相关主管部门定期对已备案的信息系统进 行监督检查,确保其安全保护措施的有效 性。
针对监督检查中发现的问题和不足,及时 进行整改和改进,提高信息系统的安全防 护能力。
变更管理
应急响应
对于信息系统的重大变更,如业务调整、 技术升级等,应及时进行安全评估和调整 安全保护措施。
选择具有相应资质的测评机构进行等 级测评。
提交测评申请
向测评机构提交测评申请,并提供相 关材料,如定级报告、安全建设方案 等。
2024/1/30
现场测评
测评机构对信息系统进行现场测评, 包括技术和管理两个方面的检查。
出具测评报告
测评机构根据现场测评结果,出具详 细的测评报告,明确信息系统的安全 保护等级。
信息安全等级保护过程指南培训

方案编制活动
方案编制活动的目标是整理 测评准备活动中获取的信息 系统相关资料,为现场测评 活动提供最基本的文档和指 导方案。
方案编制活动包括测评对象 确定、测评指标确定、测试 工具接入点确定、测评内容 确定、测评指导书测评指导 书开发及测评方案编制六项 主要任务。
版本所有:广州竞远系统网络技术有限公司 技术总监 胡欣
接入点选择
3 1
版本所有:广州竞远系统网络技术有限公司
技术总监 胡欣
工具和表单准备
测评工具清单
打印的各类表单
版本所有:广州竞远系统网络技术有限公司
技术总监 胡欣
测评准备活动中双方的职责
测评机构职责: a) 组建等级测评项目组。 b) 指出测评委托单位应提供的基本资料。 c) 准备被测系统基本情况调查表格,并提交给测评 委托单位。 d) 向测评委托单位介绍安全测评工作流程和方法。 e) 向测评委托单位说明测评工作可能带来的风险和 规避方法。 f) 了解测评委托单位的信息化建设状况与发展,以 及被测系统的基本情况。 g) 初步分析系统的安全情况。 h) 准备测评工具和文档。
人员访谈 方
文档审查 式
单项测评 结果分析
单元测评 结果判定
整体测评
风险分析
等级测评 结论形成
测评报告 编制
分析与报 告编制阶 段
版本所有:广州竞远系统网络技术有限公司
技术总监 胡欣
等级测评的主要活动
测评准备活动(3个任务) 方案编制活动(6个任务) 现场测评活动(3个任务) 报告编制活动(6个任务)
项目质量管理和控制
过程质量控制管理、变更控制管理、项目风险管理、保密控制管理
《等级保护培训》课件

通过实施等级保护,可以有效地 保障国家安全、社会秩序和公共 利益,维护公民、法人和其他组 织的合法权益。
等级保护的重要性
保障国家安全
等级保护制度能够确保关键信息 基础设施的安全,防止敌对势力 、间谍机构等对国家安全造成威
胁。
维护社会秩序
通过实施等级保护,可以防止网络 犯罪、网络攻击等行为,维护社会 秩序的稳定。
提出了加强宣传教育、开展培训等措施,以提高全社会的等级保护意识和能力。
完善法律法规和标准体系,加强监督检查和评估
提出了完善相关法律法规和标准体系、加强监督检查和评估等措施,以保障等级保护工作 的有效实施。
加强技术研发和创新,提高安全防护能力
提出了加强技术研发和创新、推广新技术应用等措施,以提高安全防护能力和应对新威胁 的能力。
THANKS
谢谢
等级保护标准的实施
等级保护标准的实施需要采取一系列的安全措施和技术手段,包括 物理安全、网络安全、应用安全等方面的防护措施。
等级保护政策
等级保护政策定义
01
等级保护政策是国家为了保障信息安全而制定的一系列政策,
用于规范不同等级的信息系统安全保护工作。
等级保护政策的主要内容
02
包括信息系统定级、备案、安全监测、通报预警等方面的政策
安全体系实施
按照安全体系设计的要求,实施安全设备和安全控制措施。 对实施过程进行监督和检查,确保安全设备和控制措施的有效性和合规性。
安全体系运行与维护
对信息系统的安全体系进行日常运行 和维护,包括安全监控、日志审计、 漏洞扫描等方面的操作。
对发现的安全问题和隐患进行及时处 理和修复,确保信息系统的安全性得 到持续保障。
安全策略制定
信息系统安全等级保护培训证书

信息系统安全等级保护培训证书信息系统安全等级保护培训证书在当今数字化时代,信息安全成为了一个备受关注的话题。
随着网络技术的不断发展,信息系统的安全性保护显得尤为重要。
为了加强信息系统安全保护,许多国家都出台了相应的政策和法规,而信息系统安全等级保护培训证书便是在此背景下应运而生。
1. 信息系统安全等级保护培训证书的重要性信息系统安全等级保护培训证书作为一种专业资质认证,对于相关岗位的人员来说至关重要。
持有这样的证书意味着个人在信息系统安全等级保护方面有着深厚的理论基础和实践经验,能够更好地应对各类安全风险和威胁。
在就业市场上,持证人往往能够获得更多的机会和更高的待遇。
2. 信息系统安全等级保护培训证书的培训内容获得信息系统安全等级保护培训证书需要经历一定的培训和考核。
培训内容主要包括信息系统安全等级保护的基本概念、安全管理、风险评估、安全策略与控制、安全技术、安全事件处理等方面的知识。
通过系统的学习和实践训练,学员能够全面掌握信息系统安全等级保护的理论与实践,为日后的工作打下坚实的基础。
3. 信息系统安全等级保护培训证书的考试要求获得信息系统安全等级保护培训证书需要参加相应的考试。
考试内容包括理论知识的笔试和实际操作能力的考核,考试难度较大。
通过考试的学员将获得权威机构颁发的证书,这不仅是对个人能力的认可,也是对所在单位信息系统安全保护能力的一种保障。
4. 信息系统安全等级保护培训证书的未来发展随着互联网的普及和信息系统的不断发展,信息系统安全等级保护培训证书的重要性将逐渐凸显。
未来,这样的证书将成为企业招聘信息安全人员的标配条件,从业人员群体也会呈现出不断扩大的趋势。
及早获取这样的证书将对个人职业发展产生积极的影响。
总结信息系统安全等级保护培训证书不仅是对从业人员能力的认可,也是对信息系统安全保护的一种保障。
持有此证书的人员将更容易获得就业机会,并且有望在职业发展中获得更好的发展前景。
对于希望从事信息安全相关工作的人员来说,及早获取此证书将是一个明智的选择。
等保培训PPT课件

21
各级系统的保护要求差异
一级系统
计划和跟踪(主要制度)
二级系统
计划和跟踪(主要制度)
三级系统
良好定义(管理活动制度化)
四级系统
持续改进(管理活动制度化/及时改进)
22
构建系统模型_技术模型
应用系统
医疗
教育
科研
管理
主机系统
网络系统 物理环境
Web 服务 Mail 服务 数据库 多媒体平台 中间件 ……
32
物理安全
公通字[2007]43号文 测评周期要求 ➢ 第三级信息系统应当每年至少进行一次等级测评; ➢ 第四级信息系统应当每半年至少进行一次等级测评; ➢ 第五级信息系统应当依据特殊安全需求进行等级测评。 自查周期要求 ➢ 第三级信息系统应当每年至少进行一次自查; ➢ 第四级信息系统应当每半年至少进行一次自查; ➢ 第五级信息系统应当依据特殊安全需求进行自查。 根据测评、自查情况制定整改方案并实施。
除外); (三)从事相关检测评估工作两年以上,无违法记录; (四)工作人员仅限于中国公民; (五)法人及主要业务、技术人员无犯罪记录; (六)使用的技术装备、设施应当符合本办法对信息安全产品的要求; (七)具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全
管理制度; (八)对国家安全、社会秩序、公共利益不构成威胁。
目录
□等级保护基本知识介绍 □等级保护基本要求的具体介绍 □信息安全等级保护检查问题发现和总结
1
等级保护基本知识介绍
□等级保护的政策依据 □等级保护的关键环节(流程) □等级保护的现实意义 □等级保护的相关标准 □《基本要求》核心思想解读
2
等级保护政策依据
✓ 《国家信息化领导小组关于加强信息安全保障工作的意见 》(中办发[2003]27号 )
【等保培训PPT】信息安全等级保护制度的主要内容

目录
第二章、等级保护政策体系和标准体系
① ② 信息安全等级保护政策体系 信息安全等级保护标准体系
2.1、信息安全等级保护政策体系
2.2、信息安全等级保护标准体系
在 安 等全 级建 保设 护整 有改 关工 标作 准的 作 用
目录
第三章、等级保护工作的具体内容和要求
① ② ③ ④ ⑤ 信息安全等级保护定级工作 信息安全等级保护备案工作 信息系统安全建设整改工作 信息安全等级保护测评工作 安全自查和监督检查
1.3、国家等级保护制度的要求
1、《中华人民共和国计算机信息系公统安全保护条例》( 国务院147号令) “计算机信息系统实行安全等级保护,安 全等级的划分标准和安全等级保护的具体办法,由公安部会 同有关部门制定” 。 2.《国家信息化领导小组关于加强信息安全保障工作的意见 》(中公办发[2003]27号)规定:要重点保护基础信息网络 和关系国家安全、经济命脉、社会稳定等方面的重要信息系 统,抓紧建立信息安全等级保护制度,制定信息安全等级保 护的管理办法和技术指南。
信息安全等级保护制度 的主要内容和要求
苏阳浪 信息安全等级保护高级测评师 海南省信息安全等级保护专家组委员会技术组成员 邮箱:suyanglang@
目 录
• 一、信息安全等级保护工作概述 • 二、等级保护政策体系和标准体系 • 三、信息安全等级保护工作的具体内容与要求
目录
3.1、信息安全等级保护定级工作
• 是信息安全等级保护的首要环节 • 定级原则:“自主定级、专家评审、主管部门审批、公安 机关审核”。具体可按照《关于开展全国重要信息系统安 全等级保护定级工作的通知》 (公通字[2007]861号) 要求执行。 • 在等级保护工作中,信息系统运营使用单位和主管部门按 照“谁主管谁负责,谁运营谁负责”的原则开展工作,并 接受信息安全监管部门对开展等级保护工作的监管。 • 定级工作流程:确定定级对象、确定信息系统安全保护等 级、组织专家评审、主管部门审批、公安机关审核。
信息安全等级保护培训考试试题集

信息安全等级保护培训考试试题集CKBOOD was revised in the early morning of December 17, 2020.信息安全等级保护培训试题集一、法律法规一、单选题1.根据《信息安全等级保护管理办法》,(A)负责信息安全等级保护工作的监督、检查、指导。
A.公安机关B.国家保密工作部门C.国家密码管理部门2.根据《信息安全等级保护管理办法》,(D)应当依照相关规范和标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作。
A.公安机关B.国家保密工作部门C.国家密码管理部门D.信息系统的主管部门3.计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的_______,计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的_______等因素确定。
(B)A.经济价值经济损失B.重要程度危害程度C.经济价值危害程度D.重要程度经济损失4.对拟确定为(D)以上信息系统的,运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。
A.第一级B.第二级C.第三级D.第四级5.一般来说,二级信息系统,适用于(D)A.乡镇所属信息系统、县级某些单位中不重要的信息系统。
小型个体、私营企业中的信息系统。
中小学中的信息系统。
B.适用于地市级以上国家机关、企业、事业单位内部重要的信息系统;重要领域、重要部门跨省、跨市或全国(省)联网运行的信息系统;跨省或全国联网运行重要信息系统在省、地市的分支系统;各部委官方网站;跨省(市)联接的信息网络等。
C.适用于重要领域、重要部门三级信息系统中的部分重要系统。
例如全国铁路、民航、电力等调度系统,银行、证券、保险、税务、海关等部门中的核心系统。
D.地市级以上国家机关、企业、事业单位内部一般的信息系统。
例如小的局域网,非涉及秘密、敏感信息的办公系统等。
信息安全等级保护业务培训

信息安全等级保护业务培训信息安全等级保护业务培训是为了提高企业员工的信息安全意识和综合能力,培养信息安全保护业务人员的技能和知识。
以下是一个可能的培训计划:1. 信息安全基础知识:介绍信息安全的基本概念、原则和重要性,讲解常见的信息安全威胁和漏洞。
2. 信息安全法律法规:讲解国家相关的信息安全法律法规,使员工了解企业在信息安全方面的法律义务和责任。
3. 信息安全等级保护制度:介绍信息安全等级保护制度的基本框架、等级划分和评估流程,使员工了解企业的信息安全等级管理体系。
4. 信息资产分类与保护:讲解企业信息资产的分类和重要性,介绍常见的信息安全保护措施,如加密技术、访问控制、备份与恢复等。
5. 信息安全意识培养:通过实例和案例分析,增强员工的信息安全意识,引导员工养成良好的信息安全习惯和行为。
6. 信息安全事件应急处理:介绍信息安全事件的分类和处理流程,培养员工的信息安全事件应急处理能力,提高应对突发事件的能力。
7. 信息安全管理制度和规范:讲解企业内部的信息安全管理制度和规范,如员工的责任与义务、信息安全培训要求等,确保员工遵守信息安全相关规定。
8. 信息安全保护技术:介绍信息安全保护的技术手段和产品,如防火墙、入侵检测系统、安全审计系统等,使员工了解常用的信息安全技术。
9. 实际操作和演练:组织实际的操作和演练,模拟真实的信息安全场景,培养员工的信息安全应对能力和技能。
10. 考核和评估:进行培训结束后的考核和评估,以检验员工掌握的知识和技能,并为接下来的培训提供参考。
以上是一个具体的培训计划,具体的内容和安排可以根据企业的实际情况和需求进行调整。
培训应当注重理论与实践相结合,通过培训提升员工的信息安全意识和能力,确保企业的信息安全。
信息安全等级保护培训课程(PDF 99页)

方 法 指 导
基线要求
信息系统安全等级保护基本要求的行业细则
信
信
息
息
系
系
统
统
等
安
级
全
保
等
护
级
安
保
全
护
设
实
计
施
技
指
术
南
要
求
信息系统安全等级保护基本要求
技术类
信息系统通用安全
管理类
信息系统安全
产品类
操作系统安全技术
目录
有关的概念、政策和标准回顾 安全建设整改的具体要求和工作流程 安全建设整改的内容和方法
第四级 S1A4G4,S2A4G4,S3A4G4,S4A4G4,S4A3G4,
S4A2G4,S4A1G4
第五级 S1A5G5,S2A5G5,S3A5G5,S4A5G5,S5A5G5,
S5A4G5,S5A3G5,S5A2G5,S5A1G5
安全保护能力
系统能够抵御威胁、发现安全事件以及在系 统遭到损害后能够恢复先前状态等的程度
2008
信息安全技术
信息系安全统技安术全等级信保息护系基统本通要用求安全技术要求
3 GB/T 21052-2006 信息安全技术 信息系统物理安全技术要求
6
GB/T 244856-GB/T 2009
2信02息7安0-全20技0术6
信息系安全统技等术级保护网安络全基设础计安技全术技要术求要求
5 GB/T 20272-2006 信息安全技术 操作系统安全技术要求
指对国家秘密信息、法人和其他组织及公民的专有 信息以及公开信息和存储、传输、处理这些信息的 信息系统分等级实行安全保护;
CISP培训和等级保护介绍

CISP培训和等级保护介绍CISP(Certified Information Security Professional)是一项为从事信息安全管理工作的人员提供认证的国际标准。
这个认证标志着持有人在信息安全领域的专业素养和技能。
CISP培训和等级保护旨在帮助个人和机构提高信息安全意识,并能够应对不断变化的信息安全威胁和挑战。
一、CISP培训概述CISP培训旨在通过系统、全面的教育和培训帮助学员掌握信息安全的基本知识和技能。
培训内容包括但不限于安全风险管理、网络和系统安全、身份认证、加密技术以及物理安全措施等。
培训过程结合理论教学和实践操作,通过案例分析和模拟演练培养学员的解决问题和应对挑战的能力。
培训持续时间根据学习进度和难度级别而定,通常为数周至数月不等。
二、CISP等级保护介绍CISP等级保护是一种根据信息系统的安全等级划分,对采取相应安全措施的系统进行认证和评估的过程。
等级保护的目标是确保信息系统在各个等级具备相应的安全性和保护措施。
CISP等级保护的等级划分根据信息系统的重要性和敏感性,分为1-4级,其中1级为最低,4级为最高。
CISP等级保护的评估过程涉及对系统结构、安全策略、技术措施和管理程序的全面审查。
评估包括对系统漏洞和安全隐患的检测、安全配置的评估以及对安全策略和控制措施的合规性审查。
评估结果将根据安全等级要求进行等级认证,并提供相应的改进建议。
三、CISP培训和等级保护的重要性1. 提高信息安全水平:CISP培训和等级保护将帮助个人和机构建立起全面的信息安全意识,并提供一套可行的安全管理框架和措施,以应对日益严峻的信息安全威胁。
2. 资质认可和专业发展:持有CISP认证将成为个人在信息安全领域良好职业发展的敲门砖。
对于企业来说,CISP认证也是雇佣信息安全专业人员的重要参考。
3. 保护敏感信息和数据:培训和等级保护将帮助机构加强对敏感信息和数据的保护,有效防范信息泄露、网络攻击和恶意行为,维护用户数据安全和业务运营的可持续性。
信息安全等级保护培训试题集

信息安全等级保护培训试题集一、法律法规一、单选题1.根据信息安全等级保护管理办法,(A)负责信息安全等级保护工作(de)监督、检查、指导.A.公安机关B.国家保密工作部门C.国家密码管理部门2.根据信息安全等级保护管理办法,(D)应当依照相关规范和标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位(de)信息安全等级保护工作.A.公安机关B.国家保密工作部门C.国家密码管理部门D.信息系统(de)主管部门3.计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中(de)_______,计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织(de)合法权益(de)_______等因素确定.(B)A.经济价值经济损失B.重要程度危害程度C.经济价值危害程度D.重要程度经济损失4.对拟确定为(D)以上信息系统(de),运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审.A.第一级B.第二级C.第三级D.第四级5.一般来说,二级信息系统,适用于(D)A.乡镇所属信息系统、县级某些单位中不重要(de)信息系统.小型个体、私营企业中(de)信息系统.中小学中(de)信息系统.B.适用于地市级以上国家机关、企业、事业单位内部重要(de)信息系统;重要领域、重要部门跨省、跨市或全国(省)联网运行(de)信息系统;跨省或全国联网运行重要信息系统在省、地市(de)分支系统;各部委官方网站;跨省(市)联接(de)信息网络等.C.适用于重要领域、重要部门三级信息系统中(de)部分重要系统.例如全国铁路、民航、电力等调度系统,银行、证券、保险、税务、海关等部门中(de)核心系统.D.地市级以上国家机关、企业、事业单位内部一般(de)信息系统.例如小(de)局域网,非涉及秘密、敏感信息(de)办公系统等.6.信息系统建设完成后,(A)(de)信息系统(de)运营使用单位应当选择符合国家规定(de)测评机构进行测评合格方可投入使用.A.二级以上B.三级以上C.四级以上D.五级以上7.安全测评报告由(D)报地级以上市公安机关公共信息网络安全监察部门.A.安全服务机构B.县级公安机关公共信息网络安全监察部门C.测评机构D.计算机信息系统运营、使用单位8.新建()信息系统,应当在投入运行后(),由其运营、使用单位到所在地设区(de)市级以上公安机关办理备案手续.(D)A.第一级以上30日内B.第二级以上60日内C.第一级以上60日内D.第二级以上30日内9.根据广东省计算机信息系统安全保护条例规定,计算机信息系统(de)运营、使用单位没有向地级市以上人民政府公安机关备案(de),由公安机关处以(D)A.警告B.拘留15日C.罚款1500元D.警告或者停机整顿二、多选题1.根据关于信息安全等级保护(de)实施意见,信息系统安全等级保护应当遵循什么原则(ABCD)A.明确责任,共同保护B.依照标准,自行保护C.同步建设,动态调整D.指导监督,保护重点2.根据信息安全等级保护管理办法,关于信息系统安全保护等级(de)划分,下列表述正确(de)是(ABCDE).A.第一级,信息系统受到破坏后,会对公民、法人和其他组织(de)合法权益造成损害,但不损害国家安全、社会秩序和公共利益B.第二级,信息系统受到破坏后,会对公民、法人和其他组织(de)合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全C.第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害D.第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害E.第五级,信息系统受到破坏后,会对国家安全造成特别严重损害3.根据广东省计算机信息系统安全保护条例,计算机信息系统(ABCD)应当同步落实相应(de)安全措施.A.规划B.设计C.建设D.维护4.经测评,计算机信息系统安全状况未达到国家有关规定和标准(de)要求(de),(AB)A.委托单位应当根据测评报告(de)建议,完善计算机信息系统安全建设B.重新提出安全测评委托C.另行委托其他测评机构进行测评D.自行进行安全测评5.根据广东省信息安全等级测评工作细则,关于测评和自查工作,以下表述正确(de)是(ABCD).A.第三级计算机信息系统应当每年至少进行一次安全自查和安全测评B.第四级计算机信息系统应当每半年至少进行一次安全自查和安全测评C.第五级计算机信息系统应当依据特殊安全要求进行安全自查和安全测评D.自查报告连同测评报告应当由计算机信息系统运营、使用单位报地级以上市公安机关公共信息网络安全监察部门6.根据广东省公安厅关于计算机信息系统安全保护(de)实施办法,关于公安机关(de)进行安全检查(de)要求,下列表述正确(de)是(ABCD).A.对第三级计算机信息系统每年至少检查一次B.对第四级计算机信息系统每半年至少检查一次C.对第五级计算机信息系统,应当会同国家指定(de)专门部门进行检查D.对其他计算机信息系统应当不定期开展检查7.根据广东省计算机信息系统安全保护条例,计算机信息系统(de)运营、使用单位接到公安机关要求整改(de)通知后拒不按要求整改(de),由公安机关处以(CD).A.罚款5000元B.拘留15日C.警告D.停机整顿8.根据广东省计算机信息系统安全保护条例规定,第二级以上计算机信息系统(de)运营、使用单位计算机信息系统投入使用前未经符合国家规定(de)安全等级测评机构测评合格(de) ,由公安机关(ABCDE).A.责令限期改正,给予警告B.逾期不改(de),对单位(de)主管人员、其他直接责任人员可以处五千元以下罚款,对单位可以处一万五千元以下罚款C.有违法所得(de),没收违法所得D.情节严重(de),并给予六个月以内(de)停止联网、停机整顿(de)处罚E.必要时公安机关可以建议原许可机构撤销许可或者取消联网资格9.根据广东省公安厅关于计算机信息系统安全保护(de)实施办法,信息安全等级测评机构申请备案(AB)A.一般应当向地级以上市公安机关公共信息网络安全监察部门提出申请B.承担省直和中央驻粤单位信息安全等级测评工作(de)机构,直接向省公安厅公共信息网络安全监察部门提出申请C.一般应当向公安部公共信息网络安全监察部门提出申请D.一般应当向县级以上市公安机关公共信息网络安全监察部门提出申请10.根据信息安全等级保护管理办法,安全保护等级为第三级以上(de)计算机信息系统应当选用符合下列条件(de)安全专用产品:(ABCDE)A.产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股(de),在中华人民共和国境内具有独立(de)法人资格B.产品(de)核心技术、关键部件具有我国自主知识产权C.产品研制、生产单位及其主要业务、技术人员无犯罪记录D.产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能E.对国家安全、社会秩序、公共利益不构成危害三、判断题1.根据信息安全等级保护管理办法,第三级信息系统运营、使用单位应当依据国家管理规范和技术标准进行保护,国家有关信息安全职能部门对其信息安全等级保护工作进行强制监督、检查.(×)2.根据信息安全等级保护管理办法,国家保密工作部门负责等级保护工作中有关保密工作(de)监督、检查、指导(√)3.根据信息安全等级保护管理办法,信息系统(de)运营、使用单位应当根据本办法和有关标准,确定信息系统(de)安全保护等级并报公安机关审核批准.(×)4.根据信息安全等级保护管理办法,信息系统(de)运营、使用单位应当根据已确定(de)安全保护等级,依照本办法和有关技术标准,使用符合国家有关规定,满足信息系统安全保护等级需求(de)信息技术产品,进行信息系统建设.(√)5.根据信息安全等级保护管理办法,第十五条已运营(运行)(de)第二级以上信息系统,应当在安全保护等级确定后30日内,由其运营、使用单位到所在地设区(de)市级以上公安机关办理备案手续(√) 6.根据信息安全等级保护管理办法,公安机关应当掌握信息系统运营、使用单位(de)备案情况,发现不符合本办法及有关标准(de),应建议其予以纠正.(×)7.根据信息安全等级保护管理办法,公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准(de),应当向运营、使用单位发出整改通知(√)8.信息系统运营、使用单位应当依照相关规定和标准和行业指导意见自主确定信息系统(de)安全保护等级.即使有主管部门(de),也不必经主管部门审核批准.(×)二、实施指南一、单选题:1.1999年,我国发布(de)第一个信息安全等级保护(de)国家标准GB17859 — 1999,提出将信息系统(de)安全等级划分为______个等级,并提出每个级别(de)安全功能要求.A.7B.8C.6D.52.等级保护标准GB 17859主要是参考了______而提出.A.欧洲ITSECB.美国TCSECD.BS 77993.信息安全等级保护(de)5个级别中,______是最高级别,属于关系到国计民生(de)最关键信息系统(de)保护.A.强制保护级B.专控保护级C.监督保护级D.指导保护级E.自主保护级4.信息系统安全等级保护实施指南将______作为实施等级保护(de)第一项重要内容.A.安全定级B.安全评估C.安全规划D.安全实施5.______是进行等级确定和等级保护管理(de)最终对象.A.业务系统B.功能模块C.信息系统D.网络系统6.当信息系统中包含多个业务子系统时,对每个业务子系统进行安全等级确定,最终信息系统(de)安全等级应当由______所确定.A.业务子系统(de)安全等级平均值B.业务子系统(de)最高安全等级C.业务子系统(de)最低安全等级D.以上说法都错误7.关于资产价值(de)评估,______说法是正确(de).A.资产(de)价值指采购费用B.资产(de)价值无法估计C.资产价值(de)定量评估要比定性评估简单容易D.资产(de)价值与其重要性密切相关8.安全威胁是产生安全事件(de)______.A.内因B.外因C.根本原因D.不相关因素9.安全脆弱性是产生安全事件(de)______.A.内因B.外因C.根本原因D.不相关因素10.下列关于用户口令说法错误(de)是______.A.口令不能设置为空B.口令长度越长,安全性越高C.复杂口令安全性足够高,不需要定期修改D.口令认证是最常见(de)认证机制11.如果一个信息系统,其业务信息安全性或业务服务保证性受到破坏后,会对社会秩序和公共利益造成一定损害,但不损害国家安全;本级系统依照国家管理规范和技术标准进行自主保护,必要时,信息安全监管职能部门对其进行指导.那么该信息系统属于等级保护中(de)______.A.强制保护级B.监督保护级C.指导保护级D.自主保护级12.如果一个信息系统,其业务信息安全性或业务服务保证性受到破坏后,会对公民、法人和其他组织(de)合法权益产生损害,但不损害国家安全、社会秩序和公共利益;本级系统依照国家管理规范和技术标准进行自主保护.那么其在等级保护中属于______.A.强制保护级B.监督保护级C.指导保护级D.自主保护级13.如果一个信息系统,主要对象为涉及国家安全、社会秩序和公共利益(de)重要信息系统,其业务信息安全性或业务服务保证性受到破坏后,会对国家安全、社会秩序和公共利益造成较大损害;本级系统依照国家管理规范和技术标准进行自主保护,信息安全监管职能部门对其进行监督、检查.这应当属于等级保护(de)______.A.强制保护级B.监督保护级C.指导保护级D.自主保护级14.如果一个信息系统,主要对象为涉及国家安全、社会秩序和公共利益(de)重要信息系统,其业务信息安全性或业务服务保证性受到破坏后,会对国家安全、社会秩序和公共利益造成严重损害;本级系统依照国家管理规范和技术标准进行自主保护,信息安全监管职能部门对其进行强制监督、检查.这应当属于等级保护(de)______.A.强制保护级B.监督保护级C.指导保护级D.自主保护级15.如果一个信息系统,主要对象为涉及国家安全、社会秩序和公共利益(de)重要信息系统(de)核心子系统,其业务信息安全性或业务服务保证性受到破坏后,会对国家安全、社会秩序和公共利益造成特别严重损害;本级系统依照国家管理规范和技术标准进行自主保护,国家指定专门部门、专门机构进行专门监督、检查.这应当属于等级保护(de)______.A.专控保护级B.监督保护级C.指导保护级D.自主保护级16.在安全评估过程中,采取______手段,可以模拟黑客入侵过程,检测系统安全脆弱性.A.问卷调查B.人员访谈C.渗透性测试D.手工检查17.在需要保护(de)信息资产中,______是最重要(de).A.环境C.数据D.软件18.GB 17859与目前等级保护所规定(de)安全等级(de)含义不同,GB 17859中等级划分为现在(de)等级保护奠定了基础.A.正确B.错误19.虽然在安全评估过程中采取定量评估能获得准确(de)分析结果,但是由于参数确定较为困难,往往实际评估多采取定性评估,或者定性和定量评估相结合(de)方法.A.正确B.错误20.定性安全风险评估结果中,级别较高(de)安全风险应当优先采取控制措施予以应对.A.正确B.错误21.通常在风险评估(de)实践中,综合利用基线评估和详细评估(de)优点,将二者结合起来.A.正确B.错误22.脆弱性分析技术,也被通俗地称为漏洞扫描技术.该技术是检测远程或本地系统安全脆弱性(de)一种安全技术.B.错误23.信息系统安全等级保护实施(de)基本过程包括系统定级、、安全实施、安全运维、系统终止.A.风险评估B.安全规划C.安全加固D.安全应急24.安全规划设计基本过程包括、安全总体设计、安全建设规划.A.项目调研B.概要设计C.需求分析D.产品设计25.信息系统安全实施阶段(de)主要活动包括、等级保护管理实施、等级保护技术实施、等级保护安全测评.A.安全方案详细设计B.系统定级核定C.安全需求分析D.产品设计26.安全运维阶段(de)主要活动包括运行管理和控制、变更管理和控制、安全状态监控、、安全检查和持续改进、监督检查.A.安全事件处置和应急预案B.安全服务C.网络评估D.安全加固27.简述等级保护实施过程(de)基本原则包括, ,同步建设原则,重点保护原则,适当调整原则.A.自主保护原则B.整体保护原则C.一致性原则D.稳定性原则二、多选题:28.计算机信息网络国际联网安全保护管理办法规定,任何单位和个人不得从事下列危害计算机信息网络安全(de)活动:______.A.故意制作、传播计算机病毒等破坏性程序(de)B.未经允许,对计算机信息网络功能进行删除、修改或者增加(de)C.未经允许,对计算机信息网络中存储、处理或者传输(de)数据和应用程序进行删除、修改或者增加(de)D.未经允许,进入计算机信息网络或者使用计算机信息网络资源(de)29.我国信息安全等级保护(de)内容包括______.A.对国家秘密信息、法人和其他组织及公民(de)专有信息以及公开信息和存储、传输和处理这些信息(de)信息系统分等级实行安全保护B.对信息系统中使用(de)信息安全产品实行按等级管理C.对信息安全从业人员实行按等级管理D.对信息系统中发生(de)信息安全事件按照等级进行响应和处置E.对信息安全违反行为实行按等级惩处30.目前,我国在对信息系统进行安全等级保护时,划分了5个级别,包括______.A.专控保护级B.强制保护级C.监督保护级D.指导保护级E.自主保护级答案三、定级指南1、根据等级保护相关管理文件,信息系统(de)安全保护等级分为几个级别:(c)A.3B.4C.5D.62、等级保护对象受到破坏时所侵害(de)客体包括(de)三个方面为:(a b c)A.公民、法人和其他组织(de)合法权益B. 社会秩序、公共利益C. 国家安全D. 个人利益3、等级保护对象受到破坏后对客体造成侵害(de)程度归结为哪三种(b c d)A. 造成轻微损害B. 造成一般损害C. 造成严重损害D. 造成特别严重损害4、根据定级指南,信息系统安全包括哪两个方面(de)安全:(a b)A、业务信息安全B、系统服务安全C、系统运维安全D、系统建设安全5、作为定级对象(de)信息系统应具有如下基本特征:(a b c)A、具有唯一确定(de)安全责任单位B、具有信息系统(de)基本要素C、承载单一或相对独立(de)业务应用D、单位具有独立(de)法人6、以下哪一项不属于侵害国家安全(de)事项(d)A、影响国家政权稳固和国防实力B、影响国家统一、民族团结和社会安定C、影响国家对外活动中(de)政治、经济利益D、影响各种类型(de)经济活动秩序7、以下哪一项不属于侵害社会秩序(de)事项(a)A、影响国家经济竞争力和科技实力B、影响各种类型(de)经济活动秩序C、影响各行业(de)科研、生产秩序D、影响公众在法律约束和道德规范下(de)正常生活秩序等8、以下哪一项不属于影响公共利益(de)事项(d)A、影响社会成员使用公共设施B、影响社会成员获取公开信息资源C、影响社会成员接受公共服务等方面D、影响国家重要(de)安全保卫工作9、信息安全和系统服务安全受到破坏后,可能产生以下危害后果(a b c d)A、影响行使工作职能B.导致业务能力下降C.引起法律纠纷D.导致财产损失10、进行等级保护定义(de)最后一个环节是:(b)A、信息系统(de)安全保护等级由业务信息安全保护等级和系统服务安全保护等级(de)较低者决定B、信息系统(de)安全保护等级由业务信息安全保护等级和系统服务安全保护等级(de)较高者决定C、信息系统(de)安全保护等级由业务信息安全保护等级决定D、信息系统(de)安全保护等级由系统服务安全保护等级决定11、信息安全等级保护工作直接作用(de)具体(de)信息和信息系统称为(c)A、客体B、客观方面C、等级保护对象D、系统服务12、受法律保护(de)、等级保护对象受到破坏时所侵害(de)社会关系,如国家安全、社会秩序、公共利益以及公民、法人或其他组织(de)合法权益,称为(a)A、客体B、客观方面C、等级保护对象D、系统服务13、对客体造成侵害(de)客观外在表现,包括侵害方式和侵害结果等,称为(b)A、客体B、客观方面C、等级保护对象D、系统服务14、信息系统为支撑其所承载业务而提供(de)程序化过程,称为(d)A、客体B、客观方面C、等级保护对象D、系统服务15、信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害,在等保定义中应定义为第几级(d)A、第一级B、第二级C、第三级D、第四级E、第五级16、信息系统受到破坏后,会对国家安全造成特别严重损害,在等保定义中应定义为第几级(e)A、第一级B、第二级C、第三级D、第四级E、第五级17、信息系统受到破坏后,会对公民、法人和其他组织(de)合法权益造成损害,但不损害国家安全、社会秩序和公共利益,在等保定义中应定义为第几级(a)A、第一级B、第二级C、第三级D、第四级E、第五级18、信息系统受到破坏后,会对公民、法人和其他组织(de)合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全,在等保定义中应定义为第几级(b)A、第一级B、第二级C、第三级D、第四级E、第五级19、信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害,在等保定义中应定义为第几级(c)A、第一级B、第二级C、第三级D、第四级E、第五级20、对公民、法人和其他组织(de)合法权益造成一般损害,定义为几级(a)A、第一级B、第二级C、第三级D、第四级E、第五级21、对公民、法人和其他组织(de)合法权益造成特别严重损害,定义为几级(b)A、第一级B、第二级C、第三级D、第四级E、第五级22、对社会秩序、公共利益造成一般损害,定义为几级(b)A、第一级B、第二级C、第三级D、第四级E、第五级23、对社会秩序、公共利益造成特别严重损害,定义为几级(d)A、第一级B、第二级C、第三级D、第四级E、第五级24、对国家安全造成一般损害,定义为几级(c)A、第一级B、第二级C、第三级D、第四级E、第五级25、对国家安全造成特别严重损害,定义为几级(e)A、第一级B、第二级C、第三级D、第四级E、第五级26、从业务信息安全角度反映(de)信息系统安全保护等级称(d)A、安全等级保护B、信息系统等级保护C、系统服务安全保护等级D、业务信息安全保护等级27、从系统服务安全角度反映(de)信息系统安全保护等级称(c)A、安全等级保护B、信息系统等级保护C、系统服务安全保护等级D、业务信息安全保护等级28、一个单位内运行(de)信息系统可能比较庞大,为了体现重要部分重点保护,有效控制信息安全建设成本,优化信息安全资源配置(de)等级保护原则,可采取什么样(de)定级措施(a)A、可将较大(de)信息系统划分为若干个较小(de)、可能具有不同安全保护等级(de)定级对象B、作为一个信息系统来定级29、确定作为定级对象(de)信息系统受到破坏后所侵害(de)客体时,应首先判断是否侵害国家安全(a)A、国家安全B、社会秩序或公众利益C、公民、法人和其他组织(de)合法权益30、在信息系统(de)运行过程中,安全保护等级是否需要随着信息系统所处理(de)信息和业务状态(de)变化进行适当(de)变更.(a)A、需要B、不需要四、基本要求一、选择题1、基本要求分为技术要求和管理要求,其中技术要求包括物理安全、网络安全、主机系统安全、应用安全和A、整体安全B、数据安全C、操作系统安全D、数据库安全2、基本要求中管理要求中,下面那一个不是其中(de)内容A、安全管理机构B、安全管理制度C、人员安全管理D、病毒安全管理3、技术类安全要求按其保护(de)测重点不同,将依据三类控制点进行分类,其中S类代表是业务信息安全类,A类代表是什么A、通用安全保护等级B、业务服务保证类(应为系统服务保证类)C、用户服务保证类D业务安全保证类4、物理层面安全要求包括物理位置、物理访问控制、防盗窃和防破坏等,其中不是物理安全范围(de)是什么A、防静电B、防火C、防水和防潮D、防攻击5、应能够防护系统免受来自外部小型组织(de)、拥有少量资源(de)威胁源发起(de)恶意攻击、一般(de)自然灾难,所造成(de)重要资源损害,能。
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
□等级保护基本知识介绍 □等级保护基本要求的具体介绍 □信息安全等级保护检查问题发现和总结
等级保护基本知识介绍
□等级保护的政策依据 □等级保护的关键环节(流程) □等级保护的现实意义 □等级保护的相关标准 □《基本要求》核心思想解读
等级保护政策依据
✓ 《国家信息化领导小组关于加强信息安全保障工作的意见 》(中办发[2003]27号 )
除外); (三)从事相关检测评估工作两年以上,无违法记录; (四)工作人员仅限于中国公民; (五)法人及主要业务、技术人员无犯罪记录; (六)使用的技术装备、设施应当符合本办法对信息安全产品的要求; (七)具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全
管理制度; (八)对国家安全、社会秩序、公共利益不构成威胁。
应 安网 系 急 全络 统变 预 事安 安更 案 件全 全管 管 处管 管理
备 份 与 恢 复 管
理理 置理 理管理Fra bibliotek构管理制度
信息安全管理基础
人员安全
等级保护基本要求的具体介绍
主要内容
技术要求
□物理安全 □网络安全 □主机安全 □应用安全 □数据安全
管理要求
□安全管理制度 □安全管理机构 □人员安全管理 □系统建设管理 □系统运维管理
各级系统的保护要求差异
一级系统
计划和跟踪(主要制度)
二级系统
计划和跟踪(主要制度)
三级系统
良好定义(管理活动制度化)
四级系统
持续改进(管理活动制度化/及时改进)
构建系统模型_技术模型
应用系统
医疗
教育
科研
管理
主机系统
网络系统 物理环境
Web 服务 Mail 服务 数据库 多媒体平台 中间件 ……
Windows Solaris AIX HP-UX Linux
等级保护现实意义
✓ 确保重点:需要通过国家政策、制度来保障有关 国计民生、大型活动(如奥运、世博)信息系统 的安全。
✓ 适度防护:由于资金投入、人力资源是有限的, 因此要根据不同等级的安全需求进行安全建设与 管理,避免过度投入造成的浪费。
✓ 普及经验:信息安全工作到底怎样做,多数单位 缺乏办法、经验、底数。因此,等级保护吸取了 我国多年信息安全技术、管理成败经验教训,科 学的规范了信息安全工作的开展。
✓ 关于印发《信息安全等级保护管理办法》的通知(公通字 [2007]43号)
等级保护政策依据
中办发[2003]27号文
✓ 明确指出“实行信息安全等级保护”。 “要重点保护基础 信息网络和关系国家安全、经济命脉、社会稳定等方面的 重要信息系统,抓紧建立信息安全等级保护制度,制定信 息安全等级保护的管理办法和技术指南”。
等级保护政策依据
公通字[2004]66号文 进一步明确了信息安全等级保护制度的基本内容:
✓ 一是根据信息和信息系统在国家安全、社会秩序、公共利益、社会生活中的重 要程度;遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他 组织的合法权益的危害程度;针对信息的保密性、完整性和可用性要求及信息 系统必须要达到的基本的安全保护水平等因素,确定信息和信息系统的安全保 护等级,共分五级。
信息系统的定级
各级系统的保护要求差异
一级系统 二级系统 三级系统 四级系统
防护 防护/监测 策略/防护/监测/恢复 策略/防护/监测/恢复/响应
各级系统的保护要求差异
一级系统 二级系统 三级系统 四级系统
通信/边界(基本) 通信/边界/内部(关键设备) 通信/边界/内部(主要设备) 通信/边界/内部/基础设施(所有设备)
公通字[2006]7号文 ✓ 明确了信息安全等级保护的具体要求。 ✓ 为推广和实施信息安全等级保护提供法律保障。
公信安[2007]861号 ✓ 标志着等级保护工作正式推向实施阶段。
大家有疑问的,可以询问和交流
可以互相讨论下,但要小
等级保护政策依据
公通字[2007]43号文 2007.6.22
➢ 明确主管单位: 公安机关负责信息安全等级保护工作的监督、检查
等级保护相关标准
✓ 《计算机信息系统安全保护等级划分准则》(GB17859-1999) ✓ 《信息安全技术网络基础安全技术要求》(GB/T20270-2006) ✓ 《信息安全技术信息系统通用安全技术要求》GB/T20271-2006) ✓ 《信息安全技术操作系统安全技术要求》(GB/T20272-2006) ✓ 《信息安全技术数据库管理系统安全技术要求》(GB/T20273-2006
等级保护政策依据
公通字[2007]43号文 检查周期要求 ➢ 受理备案的公安机关应当对第三级、第四级信息系统的运
营、使用单位的信息安全等级保护工作情况进行检查。 ➢ 对第三级信息系统每年至少检查一次; ➢ 对第四级信息系统每半年至少检查一次。 ➢ 对第五级信息系统,应当由国家指定的专门部门进行检查
物理安全
(六)防水和防潮 ✓ 水管不穿过机房屋顶和活动地板下; ✓ 防止雨水通过机房窗户、屋顶和墙壁渗透; ✓ 防止机房内水蒸气结露和地下积水的转移与渗透; ✓ 对机房进行防水检测和报警。
物理安全
(七)防静电
✓ 防静电地板。
物理安全
(八)温湿度控制 ✓ 应设置温、湿度自动调节设施,使机房温、湿度的变化在
、指导。
国家保密部门负责等保中保密工作的监督、检查、 指导。
国家密码管理部门负责等保中有关密码工作的监督 、检查、指导。
➢ 确定5个等级,但去掉了[2006 7号文]“自主保护 ”、“指导保护”、“监督保护”等称为。
等级保护政策依据
公通字[2007]43号文
五个等级的基本情况
➢ 第一级:运营、使用单位根据国家管理规范、技术标准自 主防护。
……
TCP/IP IPX/SPX SNMP
……
场地 机房 网络布线 设备 存储设备
……
各级系统的保护要求差异
信息安全管理生命周期
建设管理
运维管理
系统定级 方案设计 产品使用 自行开发 系统交付 测试验收 工程实施 软件外包
设 介资 环密
备 质产 境码
恶 意 代 码 防 范 管
理
管 管管 管管 理 理理 理理
✓ 二是国家通过制定统一的管理规范和技术标准,组织行政机关、公民、法人和 其他组织根据信息和信息系统的不同重要程度开展有针对性的保护工作。国家 对不同安全保护级别的信息和信息系统实行不同强度的监管政策。
✓ 三是国家对信息安全产品的使用实行分等级管理。
✓ 四是信息安全事件实行分等级响应、处置的制度。
等级保护政策依据
➢ 第二级:运营、使用单位根据国家管理规范、技术标准自 主防护。国家有关部门进行指导。
➢ 第三级:自主防护。国家有关部门进行监督、检查。
➢ 第四级:运营、使用单位根据国家管理规范、技术标准和 业务专门需求进行保护,国家有关部门进行强制监督、检 查。
➢ 第五级:(略)。
等级保护政策依据
公通字[2007]43号文 测评周期要求 ➢ 第三级信息系统应当每年至少进行一次等级测评; ➢ 第四级信息系统应当每半年至少进行一次等级测评; ➢ 第五级信息系统应当依据特殊安全需求进行等级测评。 自查周期要求 ➢ 第三级信息系统应当每年至少进行一次自查; ➢ 第四级信息系统应当每半年至少进行一次自查; ➢ 第五级信息系统应当依据特殊安全需求进行自查。 根据测评、自查情况制定整改方案并实施。
设备运行所允许的范围之内(大型的精密空调)
物理安全
(九)电力供应 ✓ 供电线路上配置稳压器和过电压防护设备; ✓ 提供短期的备用电力供应(UPS设备); ✓ 设置并行电力线路为计算机系统供电(2路供电); ✓ 应建立备用供电系统(发电机)。
物理安全
(十)电磁防护 ✓ 电源线和通信线缆应隔离铺设,避免互相干扰;
) ✓ 《信息安全等级保护基本要求》(GB/T22239-2008) ✓ 《信息安全等级保护定级指南》(GB/T22240-2008) ✓ 《信息安全等级保护测评要求》(送审稿) ✓ 《信息安全技术 信息系统等级保护安全设计技术要求》(征求意见)
等级保护核心标准关系的说明
✓ 系统建设:《信息系统安全等级保护定级指南》确定出系统等级以及 业务信息安全性等级和系统服务安全等级后,需要按照相应等级,根 据《信息安全等级保护基本要求》选择相应等级的安全保护要求进行 系统建设实施。
✓ 对关键设备(泄露)和磁介质(损坏)实施电磁屏蔽。
网络安全
网络安全
网络安全
(二)访问控制 ✓ 边界部署访问控制设备(FW) ✓ 数据流控制粒度为端口级; ✓ 实现命令级(ftp、telnet)的控制; ✓ 会话终止(非活跃一定时间); ✓ 限制网络最大流量数及网络连接数; ✓ 重要网段应采取技术手段防止地址欺骗(MAC地址邦定); ✓ 限制具有拨号访问权限的用户数量
✓ 公安部、国家保密局、国家密码管理委员会办公室、国务 院信息化工作办公室联合下发的《关于信息安全等级保护 工作的实施意见》(公通字[2004]66号)
✓ 公安部、国家保密局、国家密码管理局、国务院信息化工 作办公室联合下发的《信息安全等级保护管理办法》(试 行)(公通字[2006]7号)
✓ 《关于开展全国重要信息系统安全等级保护定级工作的通 知》(公信安[2007]861号)
不同级别系统控制点的差异
不同级别系统要求项的差异
物理安全
物理安全
(一)物理位置选择 ✓ 机房防震、防风和防雨
✓ 应避免设在建筑物的高层或地下室,以及用水设备的下层 或隔壁。
物理安全
(二)物理访问控制 ✓ 专人值守 ✓ 申请和审批 ✓ 划分区域进行管理 ✓ 配置电子门禁
物理安全
(三)防盗窃和防破坏 ✓ 设备或主要部件进行固定 ✓ 设置标记(不易去除)。 ✓ 通信线缆铺设铺设在地下或管道中 ✓ 防盗报警