安全等级评定要求 (1).pdfVIP

1.1 框架结构 《基本要求》在整体框架结构上以三种分类为支撑点，自上而下分别为：类、控制点和 项。其中，类表示《基本要求》在整体上大的分类，其中技术部分分为：物理安全、网络安 全、主机安全、应用安全和数据安全及备份恢复等5大类，管理部分分为：安全管理制度、 安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类，一共分为10大类。 控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制 点。而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进 入的人员。” 具体框架结构如图所示： 第一级基本 第二级基本 第三级基本 第四级基本 第五级基本 要求 要求 要求 要求 要求 技术要求 管理要求 物 网 主 应 数据 安 安 人 系 系 理 络 机 用 安全 全 全 员 统 统 安 安 安 安 及 管 管 安 建 运 全 全 全 全 备份 理 理 全 设 维 恢复 制 机 管 管 管 度 构 理 理 理 图1-1 《基本要求》的框架结构 安全等级划分： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不 损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害， 或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安 全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国 家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 恢复能力划分： 恢复能力主要从恢复时间和恢复程度上来衡量其不同级别。恢复时间越短、恢复程度越 接近系统正常运行状态，表明恢复能力越高。 第一级：系统具有基本的数据备份功能，在遭到破坏后能够不限时的恢复部分系统功能。 第二级：系统具有一定的数据备份功能，在遭到破坏后能够在一段时间内恢复部分功能。 第三级：系统具有较高的数据备份和系统备份功能，在遭到破坏后能够较快的恢复绝大 部分功能。 第四级：系统具有极高的数据备份和系统备份功能，在遭到破坏后能够迅速恢复所有系 统功能。 不同等级信息系统所具有的保护能力如下： 一级安全保护能力：应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶 意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害，在系统遭 到损害后，能够恢复部分功能。 二级安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源 发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害， 能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。 三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥 有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的 威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快 恢复绝大部分功能。 四级安全保护能力：应能够在统一安全策略下防护系统免受来自国家级别的、敌对组 织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的 威胁所造成的资源损害，能