信息安全等级保护工作培训材料.ppt

信息网络安全等级保护工作介绍 一、相关概念 信息网络安全：指计算机网络硬件设备、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、泄漏。包括：基础信息网络和重要信息系统。 信息网络安全等级保护：指将安全策略、安全责任和安全保障等计算机信息网络安全需求划分不同的等级，国家、企业和个人依据不同等级的要求有针对性地保护信息网络安全。 二、目的和依据 目的：为了加强信息安全等级保护定级工作的组织实施和监督指导，科学、准确、合理地评审、确定信息系统等级，促进等级保护管理工作规范化、制度化。 依据：《浙江信息安全等级保护管理办法》省政府223号令。 三、确定基础信息网络和重要信息系统的依据 主要是根据其在国家安全、经济建设、社会生活中的重要程度及实际安全需要，遭到破坏后对国家安全、社会秩序、经济建设、公共利益以及公民、法人和其他组织的合法权益的危害程度来确定的。 基础信息网络主要包括公用通信网、广播电视传输网等。 重要信息系统主要包括： 党政事务处理信息系统； 金融、财税、海关业务信息系统； 铁路、机场、交通（港口）等业务信息系统； 医疗、社（医）保、供水、电力、燃气等业务信息系统； 国家和省规定的其他重要信息系统。 四、等级评审流程 1、提交申请资料 保护等级应当在信息系统规划设计时按照223号令第十条规定报经审定。（新建、扩建，现在已建成） 省级部门在确定安全保护等级后，直接向省信息化行政主管部门（省信息产业厅）提交申请资料。 设区的市：各信息系统运营、使用单位确定安全保护等级后，定为二、三级的向当地的市信息化行政主管部门提交申请资料；定为四级的直接向省信息化行政主管部门（省信息产业厅）提交申请资料。 提交申请材料内容 4个方面（1个情况、1个信息、2个资料） ㈠申报单位基本情况：单位名称、法定代表人、通信地址、联络方式等基本情况。 ㈡信息系统基本信息 1、信息系统的行业特征、主管机构、地理位置、业务范围、业务种类和特性等基本情况。 2、信息系统管理框架，主要包括组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责、用户范围和用户类型基本情况； 3、信息系统的网络及设备部署，主要包括信息系统的物理环境、网络拓扑结构、网络边界描述和硬件设备的部署等情况。 ㈢信息系统划分资料 1、划分原则和方法； 2、信息系统列表； 3、每个信息系统的概述； 4、每个信息系统支撑的业务应用的列表； 5、每个业务应用处理的信息资产类型； 6、每个业务应用的服务范围和用户类型； 7、每个业务应用的其他特性。 ㈣等级确定资料 1、安全需求分析：安全需求分析报告、等级保护基本要求； 2、总体安全设计规划（总体安全策略、总体安全方案、安全技术防护措施、安全保护管理制度、信息安全应急预案等）； 3、信息系统安全自评估报告； 4、安全保护等级自定级报告； 2、受理 省信息化行政主管部门受理省级单位信息系统安全等级定级、等级变更的评审申请；受理四级重要信息系统安全等级的评审申请； 设区的市信息化行政主管部门受理二、三级信息系统安全等级定级、等级变更的评审申请。 3、评审 受理申请的信息化行政主管部门，应当自受理之日起20个工作日内，委托专家组进行评审。信息化行政主管部门应当自评审之日起45个工作日内审定专家组提出评审意见并书面通报。 省信息化行政主管部门组织专家组进行评审，审定省级及三级专家组评审意见；对拟确定为四级信息系统安全等级申请提出初审意见。 设区的市信息化行政主管部门组织专家组进行评审，审定二级专家组评审意见，并向省信息化行政主管部门报备；对三级信息系统安全等级定级、等级变更的申请提出初审意见。 4、复审申请 对审定结果有异议的，应当自收到该审定结果之日起60日内，可以向省信息化行政主管部门提出复审申请。 5、变更 信息系统运营、使用单位需要变更安全等级的，应当向原审定的信息化行政主管部门提出等级变更申请。受理申请的信息化行政主管部门按照本细则第十条规定重新组织审定。 五、实施等级保护工作的主要阶段 第一阶段：系统定级 第二阶段：定级评审 第三阶段：系统备案 第四阶段：等级测评、整改 第五阶段：安全管理、建设 第一阶段：系统定级 信息系统使用单位按照等级保护的管理规范和技术标准，确定其信息系统的安全保护等级，并报其主管部门审批同意。 系统涉及国家秘密的部分按照《涉密信息系统分级保护管理办法》(国保发[2005]16号)和《涉及国家秘密的信息系统分级保护技术要求》（国家保密标准BMBl7-2006）确定信息系统的安全保护等级。跨市或者全省统一联网运行的信息系统可以由主管部门统一确定安全保护等级。 信息系统等级安全保护定级原则 信息系统安全保护等级既不是信息系统安全保障等级，也不是信息系统所能达到的技术能力等级，而是从国家管理的需要出发，