谈信息安全等级保护实施中应注意的几个问题研究.pdfVIP

·166· 第二十次全国计算机安全学术交流会论文 谈信息安全等级保护实施中应注意的几个问题 王世铎 北京市公安局网监处 摘要：自1994年国务院颁布《中华人民共和国计算机信息系统安全保护条例》，规定“计 算机信息系统实行安全等级保护”至今，已有十多年了。虽然已经制定了·些技 术标准，但有关的法律法规还没有出台。2004年9月，公安部、国家保密局、国 家密码管理委员会办公室、国务院信息化工作办公室印发了《关于信息安全等级 保护工作的实施意见》，计划用三年左右的时间在全国范围内分三个阶段实施信息 安全等级保护制度。本文就实施过程中，应当注意的法律法规和执法中的问题、 安全等级确定问题，以及信息安全产品、信息安全技术和信息安全管理的问题提出 一些看法。 关键词：信息安全等级保护 计算机信息系统 1994年国务院颁布的《中华人民共和国计算机南”。2004年9月，公安部、国家保密局、国家密码管 信息系统安全保护条例》规定，“计算机信息系统实 理委员会办公室、国务院信息化工作办公室印发了 行安全等级保护，安全等级的划分标准和安全等级 《关于信息安全等级保护工作的实施意见》(以下简称 保护的具体办法，由公安部会同有关部门制定”。 《实施意见》)，全面规划了等级保护工作的发展方向， 1999年9月发布的《计算机信息系统安全保护等级进一步推动了等级保护工作的开展。自1994年至今， 划分准则》是我国计算机信息系统安全等级管理的 十年多来，我国在有关信息安全等级保护的技术标准 重要标准。2002年7月18日，全国正式发布实施了 方面做了大量的工作，为信息安全等级保护工作开展 《计算机信息系统安全等级保护数据库管理系统技 打下了坚实的技术基础。然而，这些技术标准和以后 术要求》；《计算机信息系统安全等级保护通用技术 将发布的技术标准只能解决每个安全等级应该采取 要求》；《计算机信息系统安全等级保护操作系统技 的技术措施，目前更需要解决的是怎样确定信息安全 术要求》；《计算机信息系统安全等级保护网络技术 等级的问题。这是实施信息安全权等级保护制度的关 要求》；《计算机信息系统安全等级保护管理要求》， 键。《实施意见》计划用三年左右的时间在全国范围内 五个中华人民共和国公共安全行业标准。这些标准 分三个阶段实施信息安全等级保护制度。现就信息安 是我国计算机信息系统安全保护等级系列标准的一 全等级保护工作的实施发表几点看法。 部分。一2003一年中央办公厅≮国务院办公厅转发的《国 一、应尽快制定有关信息安全等级保护工作实 家信息化领导小组关于加强信息安全保障工作的意 施的法律法规和解决执法的一些问题 见》(中办发[2003127号)明确指出，“要重点保护基础 。侉昏网络和关系-国+家安全≮经济命脉矗￡会稳定等方。 《中华大臣奇共和’国计算机信息承统-安全保护条 面的重要信息系统，抓紧建立信息安全等级保护制 例》第二十条规定，违反计算机信息系统安全等级保 度，制定信息安全等级保护的管理办法和技术指 护制度，危害计算机信息系统安全的，由公安机关处 大会论文 ·167· 以警告或者停机整顿。为了贯彻执行这一规定，首先 信息和信息系统的安全等级保护状况进行监督检查。 要有制度(或管理规范)，即计算机信息系统安全(或 发现确定的安全保护等级不符合等级保护的管理规 信息安全)等级保护制度(管理规范)。在这个制度或 范和技术标准的，要通知信息和信息系统的主管部门 管理规范中，要明确信息系统的主管部门和运营、使 及运营