通过有效的安全域管理落实等级保护.pdfVIP

通过有效的安全域管理落实等级保护 余少云 福建省农业科学研究院生物技术研究所福建350003 摘要：本文先对等级保护的需求进行分析，根据四单位联合下发的文件精神，指出了等级划分与保护，最后针对等级保 护实施中的几个难点提出了解决方案并在实践中应用。 关键词：等级保护；安全域；信息保障体系 0 前言 在融合现有安全设施基础上，融合客户的其他符合性要 随着网络技术的发展，中文Web信息资源日益成为互联求，从整体出发，统一建设／履行一套符合等级保护制度的安 全体系。①采用安全域框架设计和风险评估的方法，反映行 网中的重要部分，并呈健康发展的态势。尤其是Web2．0技 业形象与业务特性，反映安全要求的差异性，并满足超过指 术的发展，各种终端服务，如wiki、RSS、网摘等已广泛应 标的高要求；②采用统一安全平台建设基础上各系统单独保 用到各政府网站、商业网站和学术网站。它们提供的交互服 护的方法，解决各系统单独保护形成信息的孤岛和分散重复 务、信息内容给用户带来极大的便利。同时，由于网络资源 建设；③采用建立一套安全运维体系的方法，来建立长效机 缺乏统一管理，很多单位为追求片面效益，使Web信息资源 制，做到可持续运行、发展和完善。 面临不良信息泛滥、使用权限、网络病毒、黑客攻击等安全 信息安全等级保护的基本需求分为两个方面：第一，政 威胁，这些将严重影响着网络文化的健康发展。最近，国家 策要求——符合等级保护的要求，包括系统定级并备案；系 在整治互联网低俗之风专项行动方面取得一定成效。为给网 统达到《基本要求》，并通过测评；符合《测评准则》要求， 络提供一片纯净的空间，必须采取攻防相结合的策略，进一 并通过测评。第二，实际需求——满足客户实际要求，包括 步加强各种内容安全技术，如：信息过滤、反垃圾邮件等技 融合现有的安全体系或安全设施；同时满足客户的其他符合 术的研究，对敏感信息进行监控，走综合治理的安全之路。 性要求，如SOX，行业标准等；适合业务特性与安全要求的 本文以等级保护策略为中心，提出针对Web信息资源的 差异性，并满足超过指标的高要求；需要整体考虑所有系统， 基于分级策略的安全模型和内容安全体系，以实现Web信息 统一进行安全建设和管理；需要建立长效机制，可持续运行、 资源的全面监控防护。 发展和完美。 1 等级保护需求分析 2信息安全等级划分与保护 近几年来，冠群金辰、瑞星科技、启明星辰、华能集团、 2004年9月15日由公安部、国家保密局、国家密码管 天融信、国家信息中心、国信天辰等各相关研究机构实施信 理局和国信办联合下发《关于信息安全等级保护工作的实施 息安全等级保护制度，开展了以下具体工作：一是制定了50 多个国标和行标，初步形成了信息安全等级保护标准体系； 6月22日又由四单位联合下发《信息安全等级保护管理办法》