等级保护PPT课件.ppt

卫生行业定级参考 系统类别 系统名称 范围 建议等级 备注 公共卫生信息系统 血液信息管理系统 卫生监督管理系统 精神卫生管理信息系统 全市 三级 医疗机构信息系统 HIS系统 本单位 二级 LIS系统 本单位 二级 PACS系统 本单位 二级 医院网站 本单位 一级 OA系统 本单位 一级 电力行业等级保护定级 系统类别 系统名称 范围 建议等级 备注 生产控制系统 能量管理系统 省级及以上 4 省级以下 3 变电站自动化系统 220千伏及以上 3 含开关站、换流站 220千伏以下 2 配网自动化系统 3 电力负荷管理系统 3 火电机组控制系统DCS 单机容量300兆瓦及以上 3 含辅机控制系统 单机容量300兆瓦以下 2 水电厂监控系统 总装机1000兆瓦及以上 3 总装机1000兆瓦以下 2 梯级调度监测系统 总装机2000兆瓦及以上 3 若无控制功能则为生产管理系统 总装机2000兆瓦以下 2 电力行业等级保护定级 等级保护实施流程 等级确定 信息系统安全保护 等级确定 （第二级及以上） 手续办理 登记备案 下载备案表和 辅助备案工具 填写备案表 生成备案电子数据 去公安机关备案登记 系统定级 备案 安全建设整改 等级 测评 监督 检查 等级保护实施流程 系统定级 备案 安全建设整改 等级 测评 监督 检查 等级保护方案中涉及的技术和产品 标识与鉴别 （1）标识是指用户（或设备）向信息系统（或对等实体）表明其身份的行为。为证实其身份的真实性，用户还应在标识的同时提供一种或几种鉴别信息。 （2）鉴别是指信息系统利用单一或多重鉴别机制对用户所声称的真实性进行验证的过程。 鉴别信息 （1）用户所知道的信息，如口令、密钥等 （2）用户所拥有的物品，如硬件令牌等 （3）用户的特征，如指纹、虹膜等 典型产品 （1）硬件令牌 （2）CA数字证书 等级保护方案中涉及的技术和产品 访问控制 访问控制规定了信息系统中主体对客体的操作权限，能够有效防止对资源的非授权使用。 （1）物理访问控制：如房间加锁、门禁系统、给设备加锁等 （2）网络访问控制：在网络层面，限制网络设备或安全设备可以与哪些设备建立什么样的连接，以及通过网络传输什么样的数据。典型设备如交换机、路由器、防火墙、网络隔离交换产品。 （3）主机访问控制：操作系统或数据库的访问控制列表ACL等，需要进行安全配置，或加固使之达到安全操作系统或数据库要求 （4）应用访问控制：在应用软件嵌入更细粒度的数据访问控制策略等。 广州华南信息安全测评中心 编辑人：刘汉江 2013年05月 信息系统等级保护 提纲 什么是等级保护 为什么要开展等级保护 等级保护怎么做 等级保护工作的收益 什么是等级保护？ 根据我国信息安全标准GB/T22240—2008《信息系统安全等级保护定级指南》对我国非涉密信息系统划分为五个等级进行保护。 等级保护对象 为什么要实施等级保护？ ——中国互联网安全形势不容乐观! 网站篡改导致重大影响 CSDN泄密门 广东省公安厅出境申请信息泄密 “五一”一周网络病毒监测情况 网络病毒监测情况TOP3 钓鱼网站 真正的中国工商银行网站 假冒的中国工商银行网站 2012年，“中国反钓鱼网站联盟”处理钓鱼网站事件22308起 发达国家政府普遍加强网络安全管理 美国政府出台《加强网络安全法案》 欧盟正式发布《欧洲数字化议程》 瑞典政府设国家信息技术安全中心 新加坡信息通信发展管理局制定新信息安全准则 澳大利亚启动国家计算机应急响应官方机构 日本政府制定“保护国民信息安全战略” 怎么开展等级保护？ GB 17859-1999 计算机信息系统安全等级保护划分准则 GB/T 25058-2010 信息系统安全等级保护实施指南 GB/T 22240-2008 信息系统安全保护等级定级指南 GB/T 22239-2008 信息系统安全等级保护基本要求 GB/T 20271-2006 信息系统通用安全技术要求 GB/T 25070-2010 信息系统等级保护安全设计技术要求 GB/T 20269-2006 信息系统安全管理要求 GB/T 20282-2006 信息系统安全工程管理要求 信息系统安全等级保护测评要求 信息系统安全等级保护测评过程指南 等级保护的相关标准 系统定级 备案 安全建设整改 等级 测评 监督 检查 系统识别 系统划分 等级确定 识别信息系统的基本信息 识别信息系统的管理框架 识别信息系统的网络及设备部署 识别信息系统的业务种类和特性