等级保护政策与标体系.pptVIP

* 信息系统安全等级保护基本要求 计算机信息系统安全保护等级划分准则（GB17859） 信息系统通用安全 技术要求 信息系统物理安全 技术要求 技术类 其他技术类标准 信息系统安全 管理要求 信息系统安全工程 管理要求 其他管理类标准 信息系统安全等级保护定级指南 信息系统安全等级保护基本要求的行业细则 信息系统安全等级保护测评过程指南 信息系统安全等级保护测评要求 信息系统等级保护安全设计技术要求 管理类 产品类 数据库管理系统安全技术要求 其他产品类标准 信息系统安全等级保护行业定级细则 操作系统安全技术 要求 信息系统安全等级保护建设整改 网络基础安全技术 要求 网络和终端设备隔离部件技术要求 安全定级 基本要求 状态分析 方法指导 信息系统安全等级保护实施指南 * 基本要求地位 * 基本要求-与其他标准的关系 GB17859-1999是基础性标准，《基本要求》17859基础上的进一步细化和扩展。 《定级指南》确定出系统等级以及业务信息安全性等级和业务服务保证性等级后，需要按照相应等级，根据《基本要求》选择相应等级的安全保护要求进行系统建设实施。 《测评要求》是依据《基本要求》检验系统的各项保护措施是否达到相应等级的基本要求所规定的保护能力。 * 基本要求-标准适用范围 用户范围 信息系统的主管部门及运营使用单位 测评机构 安全服务机构（系统集成商，软件开发商） 信息安全监管职能部门 适用环节 需求分析 方案设计、系统建设与验收 运行维护、等级测评、自查 * 基本要求-标准的编制思路 门槛合理 对每个级别的信息系统安全要求设置合理，按照基本要求建设后，确实达到期望的安全保护能力 内容完整 综合技术、管理各个方面的要求，安全要求内容考虑全面、完整，覆盖信息系统生命周期 便于使用 安全要求分类方式合理，便于安全保护、检测评估、监督检查实施各方的灵活使用 * 基本要求-描述模型 * 不同级别信息系统 不同级别安全威胁 不同级别能力目标 不同级别基本要求 系统重要程度不同 应对 * 基本要求-基本安全保护能力 对抗能力和恢复能力共同构成了信息系统的安全保护能力。 安全保护能力主要表现为信息系统应对威胁的能力，称为对抗能力，但当信息系统无法阻挡威胁对自身的破坏时，信息系统的恢复能力使系统在一定时间内恢复到原有状态，从而降低负面影响。 * 基本要求-能力目标 第一级安全保护能力 应具有能够对抗来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短、系统局部范围等）、以及其他相当危害程度的威胁所造成的关键资源损害，并在威胁发生后，能够恢复部分功能。 * 基本要求-能力目标 第二级安全保护能力 应具有能够对抗来自小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等）、以及其他相当危害程度（无意失误、设备故障等）的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。 * 基本要求-能力目标 第三级安全保护能力 应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。 * 基本要求-能力目标 第四级安全保护能力 应具有能够对抗来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广（多地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的严重故障等）威胁的能力，并在威胁发生后，能够迅速恢复所有功能。 * 基本要求-描述模型 一级系统 二级系统 三级系统 防护 防护/检测 策略/防护/检测/恢复 策略/防护/检测/恢复/响应 四级系统 技术要求特点 * 基本要求-描述模型 一级系统 二级系统 三级系统 四级系统 管理要求特点 一般执行（部分活动建制度） 计划实施（主要过程建制度） 统一策略（管理制度体系化） 持续改进（管理制度体系化/验证/改进） * 基本要求-描述模型 一级系统 二级系统 三级系统 四级系统 覆盖范围特点 通信/边界（关键资源） 通信/边界/内部（重要设备） 通信/边界/内部（主要设备） 通信/边界/内部/基础设施（所有设备） * 基本要求-描述结构 某级系统 类 技术要求 管理要求 基本要求 类 控制点 要求项