第六课 信息安全等级保护 信息安全体系结构课件.ppt

信息安全体系结构第六课 北京交通大学 计算机学院 2011年11月 信息安全等级保护 GB17859-1999: 《计算机信息系统安全保护等级划分准则 》 背景及过程 1994年2月18日国务院发布了《中华人民共和国计算机信息系统安全保护条例》，第四条规定“重点保护国家事务、国家经济建设、国防建设、国家尖端科学技术等重要领域的信息系统的安全。”第九条规定：“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。” 背景及过程 1998年12月，公安部与国家密码管理委员会、国家保密局、信息产业部、国家安全部等相关部门，就国家信息化建设中的安全保护政策和技术、安全等级保护制度基础建设等问题进行了深入研究，并在充分征求和吸收各方意见的基础上，起草了《计算机信息系统安全保护等级制度建设纲要》，确立了安全等级保护制度的适用范围、建设目标、建设原则、建设任务、实施步骤及措施等。 1999年 9月经国家质量技术监督局审查通过并正式发布了强制性国标－－《计算机信息系统安全保护等级划分准则》GB17859-1999 ，将计算机信息系统的安全保护划分为以下五级： 第一级：用户自主保护级； 第二级：系统审计保护级； 第三级：安全标记保护级； 第四级：结构化保护级； 第五级：访问验证保护级。 以第一级为基础,逐级增强保护能力. 为什么要实施等级安全？ 等级化保护是信息安全的客观体现 信息系统社会和经济价值保护的需求 系统中信息敏感性的体现 信息系统所属部门、单位重要性的体现 应用性质不同的体现 适度安全与效费合理的体现 不同的安全层次 国家主权、政治、经济、国防、社会安全 不同层次用户自主安全 第一级：用户自主保护级 用户自主保护级实施的是自主访问控制。系统用户或用户组可通过系统访问控制功能自主地定义对客体的访问权限。 即系统提供必要的资源访问控制措施，由资源所有者自行确定访问授权。 本级属基础级。 第二级：系统审计保护级 该级实施的是自主访问控制和客体的安全复用。系统对与安全相关的事件提供审计记录，并提供客体复用的安全机制。 该级主要增加了对资源访问事件要进行审计。 第三级：安全标记保护级 在前两级的基础上，对系统资源实施强制访问控制。 系统以敏感标记的方法，为主体和客体指定其安全等级。 第四级：结构化保护级 结构化保护级的主要特征为： 以明确定义的形式化安全保护策略，增强对系统安全核心部分的保护； 将访问控制扩展到所有主体和客体，实施更强的访问控制； 引入针对隐蔽信道的控制概念。 第五级：访问验证保护级 该级的主要特征： 系统控制所有从主体到客体的访问，并对从主体到客体的每一次访问活动必须通过验证。 系统具有很高的抗渗透能力 1110工程 GB17859-1999的发布实施，表明我国信息系统的安全实行五级保护。但是，GB17859-1999是个原则的基础性标准，其有效实施还必须完成以下配套：标准体系、等级产品及系统检测评估工具、检测评估机制等，使之构成完整的安全等级保护技术保障体系。 因此，2000年11月10日，国家计委向公安部下达了开展《计算机信息系统安全保护等级评估认证体系及互联网络电子身份认证管理与安全保护平台试点》项目建设的任务，简称“1110工程”。 Any question? 谢谢大家！ * * * *