ch6信息安全工程与等级保护.ppt

第六章 信息安全工程与等级保护 本章学习目标 了解信息安全等级的划分与特征； 了解等级保护在信息安全工程的实施； 熟悉信息安全系统等级确定方法； 6.1等级保护概述 1994年国务院颁发《中华人民共和国计算机信息系统安全保护条例》规定“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定” 6.1等级保护概述 2007年，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合发布“关于印发《信息安全等级保护管理办法》的通知” （公通字[2007]43号）， 《信息安全等级保护管理办法》开始正式实施。 相关标准 《信息系统安全等级保护定级指南》 《信息系统安全等级保护实施指南》 《信息系统安全等级保护测评过程指南》 《信息系统安全等级保护测评要求》 《信息系统安全等级保护基本要求》 《信息系统等级保护安全设计技术要求》 GB17859-1999《计算机信息系统安全保护等级划分准则》 信息安全等级保护制度的原则 在《关于信息安全等级保护工作的实施意见 》公通字[2004]66号 文件中明确了信息安全等级保护制度的原则， （一）明确责任，共同保护。 通过等级保护，组织和动员国家、法人和其他组织、公民共同参与信息安全保护工作；各方主体按照规范和标准分别承担相应的、明确具体的信息安全保护责任。 信息安全等级保护制度的原则 （二）依照标准，自行保护。 国家运用强制性的规范及标准，要求信息和信息系统按照相应的建设和管理要求，自行定级、自行保护。 （三）同步建设，动态调整。 信息系统在新建、改建、扩建时应当同步建设信息安全设施，保障信息安全与信息化建设相适应。因信息和信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级。等级保护的管理规范和技术标准应按照等级保护工作开展的实际情况适时修订。 信息安全等级保护制度的原则 （四）指导监督，重点保护。 国家指定信息安全监管职能部门通过备案、指导、检查、督促整改等方式，对重要信息和信息系统的信息安全保护工作进行指导监督。国家重点保护涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统，主要包括：国家事务处理信息系统（党政机关办公系统）；财政、金融、税务、海关、审计、工商、社会保障、能源、交通运输、国防工业等关系到国计民生的信息系统；教育、国家科研等单位的信息系统；公用通信、广播电视传输等基础信息网络中的信息系统；网络管理中心、重要网站中的重要信息系统和其他领域的重要信息系统。 信息系统的安全保护等级划分 信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。 信息系统的安全保护等级分为五级 第一级为自主保护级 ，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。 第二级为指导保护级 ，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。 第三级为监督保护级 ，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。 第四级为强制保护级 ，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。 第五级为专控保护级 ，信息系统受到破坏后，会对国家安全造成特别严重损害。 第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。 注意等保分级与GB17859计算机信息系统安全保护等级划分的区分 两者划分准则不一样 等保分级，是根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素划分五个等级。 GB17