浅议政府行业信息安全等级保护中政策理解误区.docVIP

浅议政府行业信息安全等级保护中政策理解误区 　　［摘要］本文介绍了信息系统安全等级保护的起源及中国信息安全等级保护的发展现状；分析了国内政府行业在开展信息安全等级保护过程中存在政策理解误区，包括认识误区、定级对象误区、等级划分误区和实施与测评误区；指出政府行业信息安全等级保护应做到政策理解到位，定级范围合理，等保级别准确，实施过程完整，测评及时有效。 　　［关键词］政府行业；信息系统；等级保护；误区 　　doi：10.3969/j.issn.1673-0194.2013.02.040 　　［中图分类号］G203［文献标识码］A［文章编号］1673-0194（2012）24-0085-03 　　１　前言 　　等级保护原本是军事领域的安全保密体系，为了在计算机世界中实现这一体系，研究人员苦心奋斗多年。随着网络时代的到来，等级保护有了新的内涵：从保护对象上，不再局限于军事领域的大型主机，而是所有对国计民生有重要影响的信息系统；从实施的安全策略上，不再局限于军事安全保密规则，而是用于各种安全保护策略；从测评角度看，不再限于个别信息安全产品的静态测评，而是考查网络系统在实际运行中表现出的综合保护能力，是涵盖了架构、功能、管理和配置等各方面检查的全面、综合、动态的测评。一句话，等级保护逐步从一种技术思想发展为今天贯穿了信息安全保障各个工作环节的一个过程和一种制度。等级保护标准是等级保护思想进化历史的快照。各个标准的兴衰历史表明，标准必须与时俱进，跟得上用户的需求，才能得到有关各方（政府、用户与厂商等等）的积极响应，而只有得到积极响应的标准才能称得上有生命。 　　《中华人民共和国计算机信息系统安全保护条例》（国务院１４７号令）规定，信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法。开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障，是信息安全保障工作中国家意志的体现。 　　各级各类政府部门在推行信息安全等级保护工作的过程中，由于对相关政策和要求“吃不透”，在实施过程中出现了多种误读。本文旨在分析政府行业信息安全等级保护中存在的政策理解误区??提出相关建议。 　　２　国内信息安全等级保护实施现状 　　２．１　起源 　　中国早在１９８４年就开始收集国外等级保护的相关资料。１９９４年的《中华人民共和国计算机信息系统安全保护条例》（国务院１４７号令）被视为中国实施等级保护的法律基础。２００４年的《关于信息安全等级保护工作的实施意见》（公通字［２００４］６６号）和２００７年《信息安全等级保护管理办法》（公通字［２００７］４３号）等文件明确了等级保护的定位、基本内容、流程和工作要求以及相关部门的职责任务，为开展等级保护工作提供了规范保障。简单地说，中国实施等级保护的基本任务是：系统分等级保护、产品分等级管理、事件分等级处置。 　　随着《信息系统等级保护安全设计技术要求》（ＧＢ／Ｔ２５０７０）的发布和实施，中国的等级保护国家标准和行业标准已有５０多个，等级保护标准体系已初步形成。 　　２．２　实施现状 　　《信息安全等级保护管理办法》（公通字［２００７］４３号）（以下简称４３号文件）和《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安［２００７］８６１号）的出台，标志我国信息安全等级保护工作进入实质的实施阶段。自从２００７年６月份以来，全国范围内的重要系统普遍开展了信息安全等级保护工作，到目前为止，定级工作已经基本结束，将进入整改阶段。回顾我国的等级保护工作，可以看到两大成效，即定级保护的定级备案工作成效显著；各种政策标准体系日趋完善。 　　目前来看，定级工作已经圆满完成，接下来是建设和整改工作，之后进行一些等级测评工作，工作不断地暴露出一些问题和政策理解误区需要解决。 　　３　等级保护认识误区 　　不少部门和单位对等级保护的认识存在一定误区，较集中的问题是：等级保护的投资较高，对现有投资是一种浪费。用户经常会反映一些问题，历年来在安全建设方面已经进行了大量投资，现在建设等级保护是否要“推倒重来”。 　　对于是否要“推倒重来”，可以从两方面考虑： 　　（１）按照国家相关规定，三级以上网络不能采用国外产品。对于这种底线原则，应该毫不含糊地执行，而由此产生的重复投资，只能说明前期的安全建设没有遵循统一的标准。 　　（２）目前信息系统中存在着大量没有更新、升级，甚至淘汰落后的设备，通过等级保护的实施，需要对原有网络系统进行加固，重新购买某些产品的服务，这种投资不能称之为重复投资。 　　４　定级备案对象误区 　　４．１　定级范围 　　《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安［２００７］８６１号）规定了信息安全等级保护的定级范围，包括： 　　（