等保安全定级介绍.pptVIP

信息安全等级保护定级方法介绍 术语和定义 定级原理 定级原理 确定等级一般流程 定级阶段 定级阶段关键技术环节 定级对象确定 业务信息和系统服务确定 受侵害客体和侵害程度的分析 定级阶段-关于定级对象确定 一、定级对象的三个条件 具有唯一确定的安全责任单位 作为定级对象的信息系统应能够唯一地确定其安全责任单位，这个安全责任单位就是负责等级保护工作部署、实施的单位，也是完成等级保护备案和接受监督检查的直接责任单位。 满足信息系统的基本要素 作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如单台的服务器、终端或网络设备等作为定级对象。 定级阶段-关于定级对象确定 承载相对独立的业务应用 定级对象承载“相对独立”的业务应用是指其中的一个或多个业务应用的主要业务流程、部分业务功能独立，同时与其他信息系统的业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。“相对独立”的业务应用并不意味着整个业务流程，可以使完整的业务流程的一部分。 定级阶段-定级对象举例 某期货交易所 办公系统 生产系统 交易系统 清算系统 网站系统 定级阶段-定级对象举例 定级对象结果1 办公信息系统 生产信息系统 定级对象结果2 办公信息系统 生产信息系统 交易信息系统 清算信息系统 网站信息系统 定级阶段-关于业务信息和系统服务的确定 业务信息 业务系统处理的不同类型的数据 系统服务 业务系统的服务范围 业务系统的服务对象 业务系统的服务人数 业务系统的服务时间要求 定级阶段-关于业务信息和系统服务的确定 常见情况 多类或多种业务信息 交易系统 客户信息 交易数据 行情数据 配置管理数据 等 处理方法 依此分析 选择重要的分析 定级阶段-关于侵害客体和侵害程度 三种受侵害的客体: 国家安全 体现了国家层面、与全局相关的国家政治安全、军事安全、经济安全、社会安全、科技安全等方面利益。 社会秩序和公共利益 包括政治、经济、生产、生活、科研、工作等各方面的正常秩序和社会公众生产、生活、教育、卫生等方面的利益。 合法权益 是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益， 定级阶段-关于侵害客体和侵害程度 关于国家安全 重要的国家事务处理系统、国防工业生产系统和国防设施的控制系统等；广播、电视、网络等重要新闻媒体的发布或播出系统，其受到非法控制可能引发影响国家统一、民族团结和社会安定的重大事件；尖端科技领域的研发、生产系统等影响国家经济竞争力和科技实力的信息系统，以及电力、通信、能源、交通运输、金融等国家重要基础设施的生产、控制、管理系统等。 定级阶段-关于侵害客体和侵害程度 关于社会秩序 各级政府机构的社会管理和公共服务系统，如财政、金融、工商、税务、公检法、海关、社保等领域的信息系统，也包括教育、科研机构的工作系统，以及所有为公众提供医疗卫生、应急服务、供水、供电、邮政等必要服务的生产系统或管理系统。 定级阶段-关于侵害客体和侵害程度 关于公共利益 借助信息化手段为社会成员提供使用的公共设施和通过信息系统对公共设施进行进行管理控制都应当是要考虑的方面，例如：公共通信设施、公共卫生设施、公共休闲娱乐设施、公共管理设施、公共服务设施等。 公共利益与社会秩序密切相关，社会秩序的破坏一般会造成对公共利益的损害。 定级阶段-关于侵害客体和侵害程度 直接的结果和间接的影响: 威胁直接作用的结果信息系统的破坏,但是确定对客体侵害的程度时，必须考虑间接的对客体产生的侵害和影响。 按照国家安全—社会秩序和公共利益---公民、法人和组织的合法利益的顺序考虑 系统等级划分 系统等级划分（续） 信息系统等级的确定 系统等级划分 定级举例1-商业银行网上银行 定级举例1-商业银行网上银行 定级举例3-某省电子政务系统 基本要求的选择和使用 一个3级系统,定级结果为S3A2，保护类型应该是S3A2G3 整体保护级别选S和A中最高的为整体保护要求，G类要求选S和A中最高的为G类保护要求。 第1步: 整体保护选择标准中3级《基本要求》的技术要求和管理要求; 第2步: 要求中标注为S类和G类的不变; 标注为A类的要求可以选用2级基本要求中的A类作为基本要求; 定级工作流程 定级准备阶段 应用系统梳理 梳理方法：用户访谈、填写系统基本情况表 注意事项：注意各应用系统之间的关系，由那些应用系统可以组成相对完整、独立的业务系统 输出文档：定级对象初步列表 专家评审会 参考文档：公安部专家名单、专家邀请函模版 注意事项：专家组成 输出文档：专家邀请函、专家评审会初步安排 系统初步定级阶段（1） 定级相关培训 培训内容：定级方法