证券网上委托系统方案安全评测总结.pptVIP

在分析侵害的客观方面时，为区别针对信息系统的破坏程度和对客体的侵害程度，《定级指南》使用了“危害”一词，用于描述对信息系统的破坏，例如危害方式、危害后果、危害程度等。综合评定不同危害方式、不同危害后果所造成的不同危害程度，才可以确定对客体的侵害程度。在《定级指南》中还提出“由于各行业信息系统所处理的信息种类和系统服务特点各不相同，信息安全和系统服务安全受到破坏后关注的危害结果、危害程度的计算方式均可能不同，各行业可根据本行业信息特点和系统服务特点，制定危害程度的综合评定方法，并给出侵害不同客体造成一般损害、严重损害、特别严重损害的具体定义。”可以借鉴安全事件定级，等级保护关注的是最严重的事件产生的影响。既考虑产生的影响，同时也需考虑影响消除。在上述危害后果中，各行业的某个类型的信息系统一般主要关注其中的一种后果，例如银行系统一般关注业务能力下降的影响，党政系统主要关注管理职能的履行等，而将其他后果作为参考。行业主管部门通过梳理本行业信息系统的现状，通过对这些不同类型、不同程度后果的定量、半定量描述，给出对等级保护客体的一般损害、严重损害和特别严重损害的指导性意见，以便本行业的信息系统运营使用单位可以参照执行，只有这样，一个行业内确定的安全保护等级才具有较好的一致性。例如对内服务与对外运营的业务系统，对内服务的办公系统，一般来说其中的信息和提供的服务是面向本单位的，涉及到的等级保护客体一般是本单位，而对外运营的业务系统往往关系到其他单位、个人或面向社会，因此这两类业务可能涉及不同的客体，可能具有不同的安全保护等级，可以考虑划分为不同的信息系统。又比如处理涉及国家秘密信息的信息系统与处理一般单位敏感信息的信息系统应分开。例如全国大集中系统数据中心的数据量和服务范围都远大于各省级节点和市级节点，其受到破坏后的损害程度和影响范围也有很大差别，可能具有不同的安全等级，可以考虑划分为不同的信息系统。一般单位的信息系统建设和网络布局，一般都会或多或少考虑系统的特点、业务重要性及不同系统之间的关系，进行信息系统的等级划分应尽可能以现有网络条件为基础进行划分，以免引起不必要的网络改造和建设工作，影响原有系统的业务运行。有些信息系统中不同业务的重要程度虽然会有所差异，但是由于业务之间联系紧密，不容易拆分，可以作为一个信息系统按照同样级别保护。但是，如果其中某一个业务面临风险或威胁较大，比如与互联网相连，可能会影响到其它的业务，就应当将其从该信息系统中分离出来，单独作为一个信息系统而实施保护。终端设备一般包括系统管理终端（如服务器和网络设备的管理终端，业务管理终端，安全设备管理终端等），内部用户终端（如办公系统用户的终端，银行系统的业务终端、移动用户终端等）和外部用户终端（如网银用户终端，清算系统中的商业银行终端，证券交易系统的交易客户等）。内部用户终端往往与多个系统相连，当信息系统进行等级化保护后，应尽可能为不同的信息系统分配不共用的终端设备，以免在终端处形成不同等级信息系统的边界。对于新建系统，尽管信息系统尚未建成，但信息系统的运营使用者应首先分析该信息系统处理哪几种主要业务，预计处理的业务信息和服务安全被破坏所侵害的客体、以及根据可能的对信息系统的损害方式判断可能的客体侵害程度等基本信息，确定信息系统的安全保护等级。对于已建系统，可以通过系统基本情况调查、调查结果分析、确定等级，形成定级报告等过程完成。根据系统不同业务数据可能是用户数据、业务处理数据、业务过程记录（流水）数据、系统控制数据或文件等。了解数据信息还应关注信息系统的数据流，以及不同信息系统之间的数据交换或共享关系。包括网络覆盖范围（全国、全省或本地区），网络的构成（广域网、城域网或局域网等），内部网段/VLAN划分，网段/VLAN划分与系统的关系，与上级单位、下级单位、外部用户、合作单位等的网络连接方式，与互联网的连接方式。应重点了解定级对象信息系统中不同业务系统提供的服务在影响履行单位职能方面具体方式和程度，影响的区域范围、用户人数、业务量的具体数据以及对本单位以外机构或个人的影响等方面。这些具体数据即可以为主管部门制定定级指导意见提供参照，也可以作为主管部门审批定级结果的重要依据。如果某个安全威胁对于该特定信息系统来讲是不会发生的，那么为对抗该威胁的相应安全要求对于该系统来讲，是不适用的。因此，需要进行相应的调整。这种情况在网络安全方面尤为明显，例如某个系统与互联网及本单位其他系统在网络上是物理隔离的，由于不会面临来自外部网络的安全威胁，该系统可以不选择相应的网络安全控制点或其中的要求项。如果某个安全威胁对于该特定信息系统来讲是不会发生的，那么为对抗该威胁的相应安全要求对于该系统来讲，是不适用的。因此，需要进行相应的调