网络安全等级保护合规要求与实施指引.docxVIP

网络安全等级保护合规要求与实施指引

前言

为贯彻落实国家网络安全等级保护制度，指导运营者（网络运营者）有效落实网络安全保护义务，确定网络安全保护等级，规范网络安全等级保护工作的具体实施，根据《中华人民共和国网络安全法》及配套规定，特制定本指引，主要依据《信息安全技术网络安全等级保护基本要求》（GB/TXXX）及相关行业标准。

本指引旨在提供一项通用性的参考，具体实施中应结合行业特殊要求和系统实际特点进行细化和调整。

一、等级保护要求概述

1.1适用范围

适用于识别范围内的网络（基础网络、云计算平台/系统、物联网、工业控制系统、移动互联网应用、大数据平台等）和系统（信息系统）。

1.2等级划分

信息系统安全保护等级（简称等级）由低到高分为五级：

第一级：自主访问控制

第二级：用户自主访问控制＋角色访问控制等

第三级：基于规则的访问控制＋完整性保护＋数据保密性保护

第四级：强访问控制＋强制访问控制＋完整性纠正处理＋数据完整性保护＋数据保密性保护＋访问控制安全审计等

第五级：可信验证＋多种形式身份鉴别＋安全审计＋电磁防护（部分等级涉及）＋灾难恢复＋非功能性安全要求（如性能、可靠性等）

等级确定考虑以下因素：

破坏后果：国家安全、社会秩序、公共利益、法人和公民合法权益、侵害程度

被破坏后的危害程度

系统受侵后国家安全、社会秩序、公共利益、法人和公民合法权益、侵害程度

1.3分