基于信息系统安全保护等级的勘察设计企业信息安全保障体系建设.pdfVIP

第 3卷 第 2 期 V o.l 3 N o. 2 2 011年 6 月 Jun. 2 011 基 于 信 息 系 统 安 全 保 护 等 级 的 勘 察 设 计 企 业 信 息 安 全 保 障 体 系 建 设 张瑞祥 谢 卫 熊 炜 李永刚 ( 中国电子工程设计院, 北京 100 840) 摘 要 本文 以国家颁布的计算机信息系统安全保护等级划分准则等信息 安全管理标准、规范 为基线, 把确保企 业信息安全风险降低到可 以接受 程度作为安全 目标, 通 过对企 业信息安 全需求 的分析, 介绍 建立企 业信息 安全保 证体系的基本思路, 以及选择并实施有关信息安全管理措施 的方法 。 关键词 信息安全管理体系; 计算机信息系统安全保护等级划分准则 中图分类号 F 273. 4 文献标识码 A 文章编号 1674 - 74 61( 2011) 02 - 0086- 05 1 前言 2 适度确定企业信息安全保护级别 近年来, 随着 信息化发展 的逐步深入, 企业对 目前, 我国应用最为广泛 的是采用分等级保护 信息系统的依赖越来越强, 很多关系到企业命脉 的 的策略来解决网络信息安全问题, 即信息系统的使 重要数据、资料都 以电子 形式保存于信 息系统 中, 用单位依据 自身的重要程度、信息系统承载业务 的 因此企业信息基础设施 、信息系统是否安全正常地 重要程度 、信息 内容 的重要程度 、系统遭到攻 击破 运行, 将直接关系到企业能 否保持竞争能 力、利润 坏后造成 的危害程度等情况, 结合对信息安全 的需 及企业形象等重 要事项; 由于企业 的网络 、应用系 求以及实施安全措施 的成本等 因素, 参照 国家规定 统随时面对来 自四面八方 的威胁, 诸如企业数据库 的等级划分标准 [ 1] , 设定其保护等 级, 自主进 行信 被入侵攻击 、泄露或丢失企业机密信息等危害事件 息系统安全建设和安全管理。 时有发生, 如何保障企业信息系统安全是摆在企业 怎样依据信 息系统安全保 护等级划分标 准设 管理者、信息化建设人员和用户面前亟待解决的关 定企业的安全保护等级? 首先, 准确把握计算机信 键 问题 。 息系统安全保护 等级划分 的原则 。安全保护 级别 建立一套完善 的企业信息安全保 障体系是一 的确定主要根据业务系统 中应用 的重要程度、敏感 项极为复杂 的系 统工作, 以某 中型企业为 例, 该企 程度 以及信息资产的客观条件。一般来说, 信息系 业 的应用系统集 成面广、网络结构复杂、覆盖地域 统越重要, 需要具有 的保护能力就越高。因为系统 广 阔、下属单位和人员众多, 需要落实 安全保障的 越重要, 其所伴随的遭到破坏 的可能 性越大, 遭到 项 目极为广 泛, 包括 物理 安全 、网络 安全 、系 统安 破坏后的后果越严重, 因此需要提高相应 的安全保 全 、应用安全、安 全管理、安 全组织建设等 内容, 面 护能力。其次, 在对信息系统的安全保护等级进行 临着遵从 哪些安 全标准 规范、设 计怎样 的安 全架 划分时, 先对构成信息系统的操作系统、网络系统、 构、采取什么安全保障技术来构筑企业信息安全堡 数据库系统等子系统潜在 的不安全 因素进行判别, 垒一系列很 困难 的问题。