信息系统安全等级保护基本要求.docxVIP

信息系统安全等级保护基本要求 信息系统平安等级爱护根本要求1 范围本标准规定了不同平安爱护等级信息系统的根本爱护要求，包括根本技术要求和根本管理要求，适用于指导分等级的信息系统的平安建立和监视管理。2 标准性引用文件以下文件中的条款通过在本标准的引用而成为本标准的条款。但凡注日期的引用文件，其随后全部的修改单〔不包括订正的内容〕或修订版均不适用于本标准，然而，鼓舞依据本标准达成协议的各方讨论是否用法这些文件的最新版本。但凡不注明日期的引用文件，其最新版本适用于本标准。GB/T 5271.8 信息技术词汇第8局部：平安GB17859-1999 计算机信息系统平安爱护等级划分准那么GB/T AAAA-AAAA 信息平安技术信息系统平安等级爱护定级指南3 术语和定义GB/T 5271.8和GB 17859-1999确立的以及以下术语和定义适用于本标准。平安爱护力量 security protection ability系统可以抵挡威逼、发觉平安大事以及在系统遭到损害后可以复原从前状态等的程度。4 信息系统平安等级爱护概述信息系统平安爱护等级信息系统依据其在国家平安、经济建立、社会生活中的重要程度，遭到破坏后对国家平安、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分为五级，五级定义见GB/T AAAA-AAAA。不同等级的平安爱护力量不同等级的信息系统应具备的根本平安爱护力量如下：第一级平安爱护力量：应可以防护系统免受来自个人的、拥有很少资源的威逼源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威逼所造成的关键资源损害，在系统遭到损害后，可以复原局部功能。其次级平安爱护力量：应可以防护系统免受来自外部小型组织的、拥有少量资源的威逼源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威逼所造成的重要资源损害，可以发觉重要的平安破绽和平安大事，在系统遭到损害后，可以在一段时间内复原局部功能。第三级平安爱护力量：应可以在统一平安策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威逼源发起的恶意攻击、较为严峻的自然灾难、以及其他相当危害程度的威逼所造成的主要资源损害，可以发觉平安破绽和平安大事，在系统遭到损害后，可以较快复原绝大局部功能。第四级平安爱护力量：应可以在统一平安策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威逼源发起的恶意攻击、严峻的自然灾难、以及其他相当危害程度的威逼所造成的资源损害，可以发觉平安破绽和平安大事，在系统遭到损害后，可以快速复原全部功能。第五级平安爱护力量：〔略〕。根本技术要求和根本管理要求信息系统平安等级爱护应根据信息系统的平安爱护等级状况保证它们具有相应等级的根本平安爱护力量，不同平安爱护等级的信息系统要求具有不同的平安爱护力量。根本平安要求是针对不同平安爱护等级信息系统应当具有的根本平安爱护力量提出的平安要求，依据实现方式的不同，根本平安要求分为根本技术要求和根本管理要求两大类。技术类平安要求与信息系统供应的技术平安机制有关，主要通过在信息系统中部署软硬件并正确的配置其平安功能来实现；管理类平安要求与信息系统中各种角色参加的活动有关，主要通过掌握各种角色的活动，从政策、制度、标准、流程以及记录等方面做出规定来实现。根本技术要求从物理平安、网络平安、主机平安、应用平安和数据平安几个层面提出；根本管理要求从平安管理制度、平安管理机构、人员平安管理、系统建立管理和系统运维管理几个方面提出，根本技术要求和根本管理要求是确保信息系统平安不行分割的两个局部。根本平安要求从各个层面或方面提出了系统的每个组件应当满足的平安要求，信息系统具有的整体平安爱护力量通过不同组件实现根本平安要求来保证。除了保证系统的每个组件满足根本平安要求外，还要考虑组件之间的互相关系，来保证信息系统的整体平安爱护力量。关于信息系统整体平安爱护力量的说明见附录A。对于涉及国家隐秘的信息系统，应根据国家保密工作部门的相关规定和标准进展爱护。对于涉及密码的用法和管理，应根据国家密码管理的相关规定和标准施行。根本技术要求的三种类型依据爱护侧重点的不同，技术类平安要求进一步细分为：爱护数据在存储、传输、处理过程中不被泄漏、破坏和免受未受权的修改的信息平安类要求〔简记为S〕；爱护系统连续正常的运行，免受对系统的未受权修改、破坏而导致系统不行用的效劳保证类要求〔简记为A〕；通用平安爱护类要求〔简记为G〕。本标准中对根本平安要求用法了标记，其中的字母表示平安要求的类型，数字表示适用的平安爱护等级。关于各类平安要求的选择和用法见附录B。5 第一级根本要求技术要求物理平安物理访问掌握〔G1〕机房出入应支配专人负责，掌握、鉴别和记录进