中石化 信息系统安全等级保护定级工作指导意见.doc

附件四： 中国石化信息系统安全等级保护定级工作 指导意见 总 则 为贯彻落实国家信息安全等级保护的有关文件精神，切实做好中国石化信息系统安全等级保护定级工作，根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室四部委联合发布的《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，结合中国石化实际，制定本指导意见。 信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，是中国石化开展信息系统安全保护工作的重要依据和有效途径。 定级是等级保护工作的首要环节，是开展信息系统安全建设整改、等级测评、监督检查等后续工作的重要基础，各企事业单位要高度重视，按照“正确理解，把握尺度，准确定级”的总体要求完成定级工作。 定级工作应遵循“谁主管谁负责，谁运行谁负责”、“自主定级，自主保护”、“属地化”与“总部管理”相结合的原则，各企事业单位应在总部和当地公安机关指导下，深入分析信息系统情况准确定级。 本次定级的范围为已投入运行并正在使用的信息系统。新建信息系统应在项目规划、设计的同期确定安全等级。 组织与职责 各企事业单位应明确责任部门，负责信息系统安全等级保护定级及其后续工作。 信息系统使用部门为信息系统定级的责任单位，应主导对业务信息系统定级，并根据业务需要，提出适当的安全要求。 信息管理部门负责组织定级工作，包括协助指导、组织评审、上报审批、备案等，并按照业务要求开展后续的安全保护工作。 等级划分 根据国家信息安全等级保护相关文件规定，信息系统的安全保护等级分为以下五级： 　　第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 　　第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 　　第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 　　第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 　　第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 信息系统的安全保护等级由两个定级要素决定，即等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。 等级保护对象受到破坏时所侵害的客体包括以下三个方面：　　(1)公民、法人和其他组织的合法权益； 　　(2)社会秩序、公共利益； 　　(3)国家安全。 等级保护对象受到破坏时对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。对客体造成侵害的程度归结为以下三种： 　　(1)造成一般损害； 　　(2)造成严重损害； 　　(3)造成特别严重损害。 定级要素与等级的关系如表1所示。 表1 定级要素与安全保护等级的关系 受侵害的客体 对客体的侵害程度 一般损害 严重损害 特别严重损害 公民、法人和其他组织的合法权益 第一级 第二级 第二级 社会秩序、公共利益 第二级 第三级 第四级 国家安全 第三级 第四级 第五级 定级方法 各企事业单位应深入分析信息系统的业务种类、工作流程、服务范围、信息类型、用户分布、管理模式及软硬件情况，合理划分定级对象，作为定级对象的信息系统应具备三个基本条件,即“具备唯一确定的安全责任单位”、“具备信息系统的基本要素”以及“承载单一或相对独立的业务应用”。 信息系统安全包括业务信息安全和系统服务安全，业务信息安全指确保信息系统内信息的保密性、完整性和可用性等，系统服务安全指确保信息系统可以及时、有效地提供服务，以完成预定的业务目标。 信息系统定级应分别从上述两个方面准确评定两个定级要素，确定安全等级。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。 定级要素与业务信息安全保护等级及系统服务安全保护等级的关系如表2所示。 表2定级要素与业务信息/系统服务安全保护等级的关系 受侵害的客体 对客体的侵害程度 一般损害 严重损害 特别严重损害 公民、法人和其他组织的合法权益 第一级 第二级 第二级 社会秩序、公共利益 第二级 第三级 第四级 国家安全 第三级 第四级 第五级 确定信息系统安全保护等级的一般流程如下： (1)确定作为定级对象的信息系统； (2)确定业务信息安全受到破坏时所侵害的客体； (3)根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度； (4)依据表2，得到业务信息安全保护等级； (5)确