五、等级保护实施new.pptVIP

太原清众鑫科技有限公司 《信息系统安全等级保护实施指南》 信息系统终止 安全运行与维护 安全设计与实施 总体安全规划 实施概述 信息系统定级 主要内容 一、等级保护实施概述 基本原则： 自主保护、重点保护、同步建设、动态调整 角色和职责 国家管理部门，信息系统主管部门，信息系统运营、使用单位，信息安全服务机构，信息安全等级测评机构，信息安全产品供应商。 信息系统定级 总体安全规划 安全设计与实施 安全运行与维护 等级变更 局部调整 信息系统终止 实施基本流程 二、信息系统定级 信息系统定级阶段的工作流程 输入 主要过程 输出 信息系统立项文档 信息系统建设文档 信息系统管理文档 信息系统总体描述文件 信息系统详细描述文件 信息系统分析 信息系统总体描述文件 信息系统详细描述文件 安全保护等级确定 信息系统安全保护等级定级报告 信息系统分析 目标是通过从信息系统运营、使用单位相关人员处收集有关信息系统的信息，并对信息进行综合分析和整理，依据分析和整理的内容形成组织机构内信息系统的总体描述性文档。 系统概述； 系统边界描述； 网络拓扑； 设备部署； 支撑的业务应用的种类和特性； 处理的信息资产； 用户的范围和用户类型； 信息系统的管理框架。 系统识别和描述 安全保护等级确定 信息系统运营、使用单位 初步定级 信息系统主管部门 审核和批准 定级报告 公安机关 备案 三、总体安全规划 总体安全规划阶段的工作流程 输入 主要过程 输出 信息系统详细描述文件 信息系统安全保护等级定级报告 信息系统相关的其它文档 信息系统安全等级保护基本要求 安全需求分析 安全需求分析报告 信息系统安全总体方案 信息系统详细描述文件 信息系统安全保护等级定级报告 信息系统安全等级保护基本要求 安全需求分析报告 信息系统安全建设项目计划 信息系统安全总体方案 机构或单位信息化建设的中长期发展规划 总体安全设计 安全建设项目规划 1、安全需求分析 根据信息系统的安全保护等级，判断信息系统现有的安全保护水平与国家等级保护管理规范和技术标准之间的差距，提出信息系统的基本安全保护需求。 安全需求报告 1) 信息系统描述； 2) 安全管理状况； 3) 安全技术状况； 4) 存在的不足和可能的风险； 5) 安全需求描述。 2、总体安全设计 根据信息系统安全等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，提出系统需要实现的安全技术、管理措施，形成机构特定的系统安全技术、管理体系结构，用以指导信息系统分等级保护的具体实现。 信息系统总体安全方案内容： 1) 信息系统概述； 2) 总体安全策略； 3) 信息系统安全技术体系结构； 4) 信息系统安全管理体系结构。 3、安全建设项目规划 安全建设目标确定 目标是依据信息系统安全总体方案（一个或多个文件构成）、机构或单位信息化建设的中长期发展规划和机构的安全建设资金状况确定各个时期的安全建设目标。 安全建设内容规划 1) 安全基础设施建设； 2) 网络安全建设； 3) 系统平台和应用平台安全建设； 4) 数据系统安全建设； 5) 安全标准体系建设； 6) 人才培养体系建设； 7) 安全管理体系建设。 安全建设项目计划 1) 规划建设的依据和原则； 2) 规划建设的目标和范围； 3) 信息系统安全现状； 4) 信息化的中长期发展规划； 5) 信息系统安全建设的总体框架； 6) 安全技术体系建设规划； 7) 安全管理与安全保障体系建