信息系统安全等级保护 标准.ppt

总体情况介绍----等级保护标准制修订背景 总体情况介绍----等级保护标准制修订背景 定级指南标准编制情况介绍 定级指南标准编制情况介绍 背景介绍 等级确定的原则 决定等级的主要因素分析 等级确定方法 等级划分流程 背景介绍 与系统等级相关的国外资料： FIPS 199（美国联邦政府） 根据信息系统所处理信息的机密性、完整性和可用性被破坏的影响确定。 IATF（NSA） 根据信息价值与威胁确定系统强健度等级。 DITSCAP （DOD） 根据互联模式、处理模式、业务依赖、三性、不可否认性等七个方面确定系统认证级。 背景介绍 上述定级方法存在问题 仅由信息重要性确定信息系统的等级，对大型企业和重点行业的重要业务系统不合适。 在通过三性影响分析，并根据三者取高的方法中，无法为可用性要求高和保密性要求高两类系统提出统一的技术要求。 确定系统等级，与业务无关，不满足等级保护的监管需要。 定级范围往往只在局部范围内。 等级确定的原则 全局性原则 信息系统安全等级保护是针对全国范围内、涵盖各个行业信息系统的管理制度，信息系统安全保护等级的划分也必须从国家层面考虑，体现全局性。 业务为核心原则 信息系统是为业务应用服务的，信息系统的安全保护等级应当依据信息系统承载业务的重要性、业务对信息系统的依赖度和系统特殊的安全需求确定。 等级确定的原则 满足监管要求原则 信息系统安