金融云信息安全等级保护之云定级.docVIP

PAGE  PAGE 9 金融云信息安全等级保护之云定级 　　摘要：自第一朵“金融云”飘荡在金融行业上空后，金融机构亟需为这朵云以及之后更多的云撑开绿色保护伞，信息安全等级保护便是其一。根据目前已建立的信息安全等级保护政策标准体系和实施框架，本文讨论金融云可否作为现行的信息安全等级保护对象，应用了多租户技术的金融云当如何确定自身的安全等级等问题，并针对多租户云定级等问题提出了解决方案，为金融云顺利全面撑开信息安全等级保护这把保护伞，提供了一种新的可能。 　　关键词：云定级；金融云；信息安全等级保护；多租户 　　中图分类号：TP309 文献识别码：A 文章编号：1001-828X（2016）009-000-03 　　Abstract：Since the first flower financial cloud floating in the financial industry over， financial institutions need to the cloud and more cloud distraction green protective umbrella ， information security level protection is the one. According to the established of hierarchical protection of information security policy and standard system and information security level protection implementation framework， this paper discuss the financial cloud could be used as the current information security level protection object， applied the multi tenant technology how to determine their own level of security and other issues， and the multi tenant cloud classification and propose solutions for financial cloud smooth comprehensive information security level of protection of the umbrella， provides a new possible. 　　Keywords：Cloud classification ； Financial cloud ； Information security level protection； Financial institution 　　一、背景 　　（一）信息安全等级保护中系统定级的认识 　　信息安全等级保护工作包括系统定级、系统备案、建设整改、等级测评、监督检查等内容。系统定级是开展工作的第一步，只有明确了系统的安全级别，才能明确开展后续的总体安全规划、安全设计与实施、安全运维等工作，在安全运维中通过反馈可局部调整安全设计实施，而当遇到较大变更时可能须重新确定系统级别，修改或重新建设总体安全规划。因此，需审慎确定系统级别。 　　在云计算技术在国内应用之前，随着实际工作在生产中逐步推??应用，在如何确定系统级别的认识上不断贴合实际需求，相关政策标准也因此在不断修订完善。《关于信息安全等级保护工作的实施意见》（公通字[2004]66号，以下简称《实施意见》）中规定了五级监督管理强度。《信息安全等级保护管理办法》（公通字[2007]43号，以下简称《管理办法》），明确了信息系统重要程度的等级的概念，从信息系统重要程度及其社会属性考虑给出了信息系统五个级别的定义。信息系统重要程度级别越高的系统可能面临更多的威胁或更强能力的威胁，因此需要具备更强的安全保护能力才能实现基本安全。《信息系统安全等级保护基本要求》（GB/T 22239-2008，以下简称《基本要求》）重新诠释了安全保护能力，将安全保护能力暂时划分为四级。《信息系统安全保护等级定级指南》（GB/T22240-2008，以下简称《定级指南》）详细阐明了定级的原理、流程、方法等。 　　信息系统确定了重要程度等级后，不同级别的信息系统须具备相应级别的安全保护能力，并为其实现，金融机构和运营单位须依据《划分准则》和《基本要求》等技术标准，落实各项安全技术和管理措施，信息安全监管部门根据信息系统的重要程度等级对信息系统实施不同强度的监督管理。 　　（二