信息安全技术-信息系统安全等级保护实施指南.docxVIP

信息平安技术信息系统平安等级保卫实施指南

前言

本标准的附录A是标准性附录。

本标准由公安部和全国信息平安标准化技术委员会提出。

本标准由全国信息平安标准化技术委员会回口。

本标准起草单位：公安部信息平安等级保卫评估中心。

本标准要紧起草人：毕马宁、马力、陈雪秀、李明、朱建平、任卫红、谢朝海、曲曲折折洁、袁静、李升、刘静、罗峥。

引言

依据?中华人民共和国计算机信息系统平安保卫条例?〔国务院147号令〕、?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号〕、?关于信息平安等级保卫工作的实施意见?〔公通字[2004]66号〕和?信息平安等级保卫治理方法?〔公通字[2007]43号〕，制定本标准。

本标准是信息平安等级保卫相关系列标准之一。

与本标准相关的系列标准包括：

——GB/TAAAA-AAAA信息平安技术信息系统平安等级保卫定级指南；

——GB/TBBBB-BBBB信息平安技术信息系统平安等级保卫全然要求。

在对信息系统实施信息平安等级保卫的过程中，除使用本标准外，在不同的时期，还应参照其他有关信息平安等级保卫的标准开展工作。

在信息系统定级时期，应按照GB/TAAAA-AAAA介绍的方法，确定信息系统平安保卫等级。

在信息系统总体平安规划，平安设计与实施，平安运行与维护和信息系统终止等时期，应按照GB17859-1999、GB/TBBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准，设计、建设符合信息平安等级保卫要求的信息系统，开展信息系统的运行维护治理工作。

GB17859-1999、GB/TBBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准是信息系统平安等级保卫的系列相关配套标准，其中GB17859-1999是根底性标准，GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等是对GB17859-1999的进一步细化和扩展，GB/TBBBB-BBBB是以GB17859-1999为根底，依据现有技术开展水平提出的对不同平安保卫等级信息系统的最全然平安要求，是其他标准的一个底线子集。

对信息系统的平安等级保卫应从GB/TBBBB-BBBB动身，在保证信息系统满足全然平安要求的根底上，逐步提高对信息系统的保卫水平，最终满足GB17859-1999、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等标准的要求。

除本标准和上述提到的标准外，在信息系统平安等级保卫实施过程中，还可参照和使用GB/T20272-2006和GB/T20273-2006等其它等级保卫相关技术标准。

信息系统平安等级保卫实施指南

1??范围

本标准规定了信息系统平安等级保卫实施的过程，适用于指导信息系统平安等级保卫的实施。

2??标准性引用文件

下列文件中的条款通过在本标准中的引用而成为本标准的条款。但凡注日期的引用文件，其随后所有的修改单〔不包括勘误的内容〕或修订版均不适用于本标准，然而，鼓舞依据本标准达成协议的各方研究是否使用这些文件的最新版本。但凡不注明日期的引用文件，其最新版本适用于本标准。

GB/T5271.8?信息技术词汇第8局部：平安

GB17859-1999?计算机信息系统平安保卫等级划分准那么

GB/TAAAA-AAAA信息平安技术信息系统平安等级保卫定级指南

3??术语和定义

和GB17859-1999确立的以及以下术语和定义适用于本标准。

等级测评classifiedsecuritytestingandevaluation

确定信息系统平安保卫能力是否到达相应等级全然要求的过程。

4??等级保卫实施概述

4.1??全然原那么

信息系统平安等级保卫的核心是对信息系统分等级、按标准进行建设、治理和监督。信息系统平安等级保卫实施过程中应遵循以下全然原那么：

a)??自主保卫原那么

信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的平安保卫等级，自行组织实施平安保卫。

b)??重点保卫原那么

依据信息系统的重要程度、业务特点，通过划分不同平安保卫等级的信息系统，实现不同强度的平安保卫，集中资源优先保卫涉及核心业务或要害信息资产的信息系统。

c)??同步建设原那么

信息系统在新建、改建、扩建时应当同步规划和设计平安方案，投进一定比例的资金建设信息平安设施，保障信息平安与信息化建设相习惯。

d)??动态调整原那么

要跟踪信息系统的变化情况，调整平安保卫措施。由于信息系统的应用类型、范围等条件的变化及其他缘故，平安保卫等级需要变更的，应当依据等级保卫的治理标准和技术标准的要求，重新确定信