信息安全等级保护操作的指南和操作流程图.pdfVIP

1信息系统定级

1.1定级工作实施围

“关于开展全国重要信息系统安全等级保护定级工作的通知”对

于重要信息系统的围规定如下：

（一）电信、广电行业的公用通信网、广播电视传输网等基础信

息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数

据中心等单位的重要信息系统。

（二）铁路、银行、海关、税务、民航、电力、证券、保险、外

交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、

审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工

商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信

息系统。

（三）市（地）级以上党政机关的重要和办公信息系统。

（四）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。

注：跨省或者全国统一联网运行的信息系统可以由主管部门统一

确定安全保护等级。涉密信息系统的等级确定按照国家局的有

关规定和标准执行。

1.2定级依据标准

《国家信息化领导小组关于加强信息安全保障工作的意见》（中

办发【2003】27号文件）

《关于信息安全等级保护工作的实施意见》（公通字【2004】66

号文件）

《电子政务信息系统安全等级保护实施指南（试行）》（国信办

【2005】25号文件）

《信息安全等级保护管理办法》（公通字【2007】43号文件）

《计算机信息系统安全保护等级划分准则》

《电子政务信息安全等级保护实施指南》

《信息系统安全等级保护基本要求》

《信息系统安全等级保护实施指南》

《信息系统安全等级保护测评指南》

1.3定级工作流程

信息系统调查确定定级对象定级要素分析编写定级报告协助定级

备案?网络拓扑调查?资产信息调查?服务信息调查?系统边界调

查?……

管理机构分析?业务类型分析?物理位置分析?运行环境分析?……

业务信息分析?系统服务分析?综合分析?确定等级?……

编写定级报告?……

协助评审审批?形成最终报告?协助定级备案

图1-1信息系统定级工作流程

1.3.1信息系统调查

信息系统调查是通过一系列的信息系统情况调查表对信息系统基

本情况进行摸底调查，全面掌握信息系统的数量、分布、业务类型、

应用、服务围、系统结构、管理组织和管理方式等基本情况。同时，

通过信息系统调查还可以明确信息系统存在的资产价值、威胁等级、

风险等级以及可能造成的影响客体、影响围等基本情况。

信息系统调查结果将作为信息系统安全等级保护定级工作的主要

依据，保证定级结果的客观、合理和准确。

1.3.1.1调查工具表

通常，信息系统调查工具表包括系统资产调查表、系统应用调查

表、和管理信息调查表等。

●系统资产调查表

用于调查信息系统的基本情况，主要包括主机、网络设备、人员、

人员、服务等信息。在调查过程中，可以得到系统资产的基本信息、

主要用途、重要程度、服务对象等相关信息。

●系统应用调查表

用于明确系统应用的基本状况。明确各个系统应用的拓扑信息、

提供详细信息。

●管理信息调查表

用于明确信息系统的组织结构、隶属关系等管理信息。

1.3.1.2调查方法

信息系统调查的实施包括信息收集、访谈和核查三个步骤。

●信息收集

协助信息系统使用管理单位完成系统资产调查表填写工作，同时

收集信息系统所涉及的一系列

●访谈

核查

对调查表中的信息进行验证的过程，验证包括检查和测试等方式。

1.3.2确定定级对象

一个单位可能运行了比较庞大的信息系统，为了重点保护重要部

分，有效控制信息安全建设和管理成本，优化信息安全资源配置等

保护原则，可将较大的信息系统划分为若干个较小的、相对独立

的、具有不同安全保护等级的定级对象。这样，可以保证信息系统安

全

建设能够突出重点、兼顾一般。

1.3.

2.1基本原则

如果信息系统只承载一项业务，可以直接为该信息系