电力行业-2017工业控制系统信息安全峰会.PPT

国家能源局信息中心 浅谈工控系统定级 国家能源局信息中心 2015年5月14日 一、信息安全等级保护简介 何谓等级保护？ 计算机信息系统实行等级保护（国务院147号令） 计算机信息系统computer information system：计算机信息系统是由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。 （引自GB17859-1999） 何谓等级：信息系统重要程度等级、安全保护能力等级、监督管理强度等级 定级备案 安全建设 等级测评 密码管理 监督检查 等级保护实施与管理 等级保护实施与管理 行业政策：电力监控系统信息安全等级测评工作应当与电力监控系统安全防护评估工作同步进行 行业管理部门 系统相关单位 公安机关 测评机构 密码管理部门 相关单位 整改 国家信息安全等级保护政策文件 标准类型 子类型 标准名称 基础类 // 计算机信息系统安全保护等级划分准则(GB 17859—1999) 应用类 信息系统定级 信息系统安全保护等级定级指南(GB/T 22240—2008) 等级保护实施 信息系统安全等级保护实施指南() 信息系统安全建设 信息系统安全等级保护基本要求(GB/T 22239—2008) 信息系统通用安全技术要求(GB/T 20271—2006) 信息系统等级保护安全设计技术要求(GB/T 24856—2009) 信息系统安全管理要求(GB/T 20269—2006) 信息系统安全工程管理要求(GB/T 20282—2006) 信息系统物理安全技术要求(GB/T 21052—2007) 网络基础安全技术要求(GB/T 20270—2006) 信息系统安全等级保护体系框架(GA/T 708—2007) 信息系统安全等级保护基本模型(GA/T 709—2007) 信息系统安全等级保护基本配置(GA/T 710—2007) 等级测评 信息系统安全等级保护测评要求(GB/T 28448—2012) 信息系统安全等级保护测评过程指南(GB/T 28449—2012) 信息系统安全管理测评(GA/T 713—2007) 信息安全等级保护标准文件（1） 标准类型 子类型 标准名称 产品类 操作系统 操作系统安全技术要求(GB/T 20272—2006) 操作系统安全评估准则(GB/T 20008—2005) 数据库 数据库管理系统安全技术要求(GB/T 20273—2006) 数据库管理系统安全评估准则(GB/T 20009—2005) 网络 网络端设备隔离部件技术要求(GB/T 20279—2006) 网络端设备隔离部件测试评价方法(GB/T 20277—2006) 网络脆弱性扫描产品技术要求(GB/T 20278—2006) 网络脆弱性扫描产品测试评价方法(GB/T 20280—2006) 网络交换机安全技术要求(GA/T 684—2007) 虚拟专用网安全技术要求(GA/T 686—2007) PKI 公钥基础设施安全技术要求(GA/T 687—2007) PKI系统安全等级保护技术要求(GB/T 21053—2007) 网关 网关安全技术要求(GA/T 681—2007) 服务器 服务器安全技术要求(GB/T 21028—2007) 入侵检测 入侵检测系统技术要求和检测方法(GB/T 20275—2006) 计算机网络入侵分级要求(GA/T 700—2007) 防火墙 防火墙安全技术要求(GA/T 683—2007) 防火墙技术要求和测评方法(GB/T 20281—2006) 包过滤防火墙评估准则(GB/T 20010—2005) 路由器 路由器安全技术要求(GB/T 18018—2007) 路由器安全评估准则(GB/T 20011—2005) 路由器安全测评要求(GA/T 682—2007) 交换机 网络交换机安全技术要求(GB/T 21050—2007) 交换机安全测评要求(GA/T 685—2007) 其他产品 终端计算机系统安全等级技术要求(GA/T 671—2006) 终端计算机系统测评方法(GA/T 671—2006) 审计产品技术要求和测评方法(GB/T 20945—2006) 虹膜特征识别技术要求(GB/T 20979—2007) 虚拟专网安全技术要求(GA/T 686—2007) 应用软件系统安全等级保护通用技术指南(GA/T 711—2007) 应用软件系统安全等级保护通用测试指南(GA/T 712—2007) 其他类 风险评估 信息安全风险评估规范(GB/T 20984—2007) 事件管理 信息安全事件管理指南(GB/Z20985—2007) 信息安全事件分类分级指南(GB/Z20986—2007) 信息