做好国家信息系统等级保护的技术整改工作.pdfVIP

综 述 市 场 编者按 ： 本刊于上期报道了2009(第四届)中国电子政务论坛的概况，同期举办的电子政务信息安全分论坛也引起了 与会代表的强烈反响，分论坛主持人的开场白也许正代表了大家的心声，他说：信息安全是电子政务领域里的重要课题， 占据着举足轻重的地位，没有信息安全就没有电子政务。与会领导和专家就电子政务中信息安全重要性、等级保护迫切 性、办公应用信息防护、构建“终端无痕”安全电子办公环境等主题发表了精采演讲，本期我们整理刊登了部分演讲内容， 供读者参考。 做好国家信息系统等级保护的技术整改工作 国家信息化专家咨询委员会委员 沈昌祥院士 能力。不仅要全面审计违规行为，还要具有及时报警和应 急处理能力。 2 保护环境框架功能和流程 建设信息系统的可信计算基（TCB），即为信息系统 建立基本的保护环境，并提供安全保护所要求的附加服务。 下面以三级系统为例，展示在安全管理中心支持下的计算 2004年9月15日，由公安部、国家保密局、国家密码 环境、区域边界和通信网络三重安全防护结构框架，如图 管理局和国信办联合下发《关于信息安全等级保护工作的实 1 所示，可划分为节点、区域边界、通信网络、安全管理、 施意见》（66号文件），明确实施等级保护的基本做法。2007 审计管理、系统管理和应用支持等子系统。 年6月22 日又由四部委联合下发《信息安全等级保护管理 办法》（43号文件），规范了信息安全等级保护的管理。 去年 6 月份开始，全国范围内的重要信息系统普遍开 展了信息安全等级保护定级工作，到现在为止定级工作基 本上已经落实了。通过信息系统的定级，国家掌握了重要 信息系统在全国范围内的分布、使用情况以及其重要程度。 在定级基础上，应开展信息系统安全建设和整改，达到相 应等级的安全防护能力。 1 高安全等级技术防护要求 从总体上讲，信息系统安全建设要按照《信息安全等 级保护管理办法》、《计算机信息系统安全保护等级划分准 则》（GB17859-1999）等要求进行，从技术和管理两个方 面进行安全建设。 高安全等级技术保护要求主要是针对国家信息安全等 级保护第三以上的系统。 监督检查级（三级）涉及到重要性信息的系统，要具 有抵御来自外部有组织的恶意攻击能力和防内部人员攻击 的能力，不仅要对安全事件有审计纪录，还要能追踪、能 响应处理，要实现多重保护制度。 图1 保护环境框架图 强制监督检查级（四级）要有能抵御来自敌对组织的 2.1 各子系统的主要功能 大规模攻击的能力和防止内部人员内外勾结的恶意攻击的 三级信息系统安全保护环境各子系统的主要功能如下： 2009.6 计算机安 97 市 场 综 述 (1)计算环境 2.2 系统主要流程 1) 节点子系统 三级安全应用支撑平台的结构与流程可以分为安全管 节点子系统通过在操作系统核心层、系统层设置以强 理流程与访问控制流程。安全管理流程主要由安全管理中 制访问控制为主体的系统安全机制，形成了一个严密牢固 心的安全管理员、系统管理员和系统审计员实施，分别实 的防护层