信息安全等級保護

1、1. 信息安全等級保護信息安全等級保護是對信息和信息載體按照重要性等級分級別進行保護的一種工作，在中國、美國等很多國家都存在的一種信息安全領(lǐng)域的工作。在中國，信息安全等級保護廣義上為涉及到該工作的標準、產(chǎn)品、系統(tǒng)、信息等均依據(jù)等級保護思想的安全工作；狹義上稱 為的一般指信息系統(tǒng)安全等級保護，是指對國家安全、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置的綜合性工作。國家通過制定統(tǒng)一的信息安全等級保護管理規(guī)范和技術(shù)標準，組織公民、法人和其他組織對信息系統(tǒng)

2、分等級實行安全保護，對等級保護工作的實施進行監(jiān)督、管理。公安機關(guān)負責信息安全等級保護工作的監(jiān)督、檢查、指導。國家保密工作部門負責等級保護工作中有關(guān)保密工作的監(jiān)督、檢查、指導。國家密碼管理部門負責等級保護工作中有關(guān)密碼工作的監(jiān)督、檢查、指導。涉及其他職能部門管轄范圍的事項，由有關(guān)職能部門依照國 家法律法規(guī)的規(guī)定進行管理。國務(wù)院信息化工作辦公室及地方信息化領(lǐng)導小組辦事機構(gòu)負責 等級保護工作的部門間協(xié)調(diào)。2. 信息安全等級保護工作內(nèi)容信息安全等級保護工作包括 定級、備案、安全建設(shè)和整改、信息安全等級測評、信息安全檢查五個階段。如圖i所示為具體流程。圖12.1信息安全保護等級劃分國家信息安全等級保護堅

3、持自主定級、自主保護的原則。信息系統(tǒng)的安全保護等級應(yīng)當根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。信息安全等級保護信息安全等級保護管理辦法規(guī)定：信息系統(tǒng)的安全保護等級分為以下五級：第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統(tǒng)受到破壞后， 會對社會秩序和公共利益造成嚴重損害，

4、或者對國家安全造成損害。第四級，信息系統(tǒng)受到破壞后， 會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴重損害。計算機信息系統(tǒng)安全保護等級劃分：第一級：用戶自主保護級第二級：系統(tǒng)審計保護級第三級：安全標記保護級第四級：結(jié)構(gòu)化保護級第五級：訪問驗證保護級3. 信息安全等級保護測評基本概念信息系統(tǒng)安全等級測評是驗證信息系統(tǒng)是否滿足相應(yīng)安全保護等級的評估 過程3.1 等級測評工作等級測評工作是指測評機構(gòu)依據(jù)國家信息安全等級保護制度規(guī)定， 按照有關(guān)管理規(guī)范和技術(shù)標準，對非涉及國家秘密信息系統(tǒng)安全等級保護狀況進行檢測評估的活動。通過信息

5、安全等級評測機構(gòu)對已完成的等級保護建設(shè)的信息系統(tǒng)定期進行等級測評， 確 保信息系統(tǒng)的安全保護措施符合相應(yīng)等級的安全要求。3.2 等級測評機構(gòu)等級測評機構(gòu)是指具備本規(guī)范的基本條件， 經(jīng)能力評估和審核， 由省級以上信息安全等級保護工作協(xié)調(diào)小組辦公室（等保辦）推薦，從事等級測評工作的機構(gòu)。? 等級保護測評的執(zhí)行主體應(yīng)當是具有相關(guān)資質(zhì)的、獨立的測評服務(wù)機構(gòu)。? 只有獨立的第三方，才能保證測評工作的客觀性和公正性。? 開展等級保護測評機構(gòu)通常符合 GB/T15481，通過計量認證和實驗室認可。? 通過檢查機構(gòu)認可。3.2 等級保護測評流程1 ）資料審查階段：對被測用戶提交的申請，進行文檔的形式化審查，確

6、認符合測評要求。2）核查測試階段：用戶進行充分溝通，指定測評計劃和測試方案，并實施現(xiàn)場測評，形成測評記錄。3）綜合評估階段：整理測評數(shù)據(jù)，對用戶資料和測評結(jié)果進行綜合分析，形成測評報告。召開專家委員會， 對測評報告進行評審， 最后由測評中心領(lǐng)導批準， 出具等級保護測評報告。具體流程如圖 2 所示。圖2321測評準備活動測評準備活動的主要任務(wù)包括：項目啟動、信息收集和分析、 工具和表單準備。這三項任務(wù)之間存在工作的先后次序，項目啟動任務(wù)完成之后才能開始信息收集和分析任務(wù)?？刹捎萌鐖D3所示的工作流程：1.頂目心訪出組建測評頊目組"編制壩目計劃書"砒企測評委托單位應(yīng)提供的資料4*

7、±.全息收集利細聲閱這級報告、系 統(tǒng)扌苗述支件-系統(tǒng) 安全設(shè)計方粟、自 査或上挨等級涮評 報告f如杲偽過甥 產(chǎn)或等級漏評）等根扼沓繭劃的殺銃 怙況調(diào)整凋直表內(nèi) 容"岌放調(diào)查表給刪評 晏托單位"協(xié)助測評萎捋單位 填占調(diào)杳表*收回調(diào)査結(jié)果卡帳扌用情乳確宦是否 安禰觀揚調(diào)査"*廿析調(diào)査蠟黒*43.丄貝和蠱里推詢試測訐工日摸擬鍛測矛統(tǒng)搭 建欄評壞境4模擬測評，準畬和打印表單-圖3322方案編制活動方案編制活動的主要任務(wù)包括：測評對象確定、測評指標確定、測評內(nèi)容確定、工具測試方法確定、測評指導書開發(fā)及測評方案編制。其中，測評對象確定與測評指標確定兩項任務(wù)可以并行實

8、施，其他四項任務(wù)之間存在工作的先后次序，測評內(nèi)容確定任務(wù)完成之后才能2-劇禪內(nèi)容識別甸個 則評對S 對應(yīng)的測 評指標識別每個 M評対S 対應(yīng)的毎 個測評指 標的測評 方潔確宗工具測說的測評吋 象選擇測試路 徑確定剩試工 具的擁入點4 -怨書有的測 評指導書中 選擇與測評 對象對應(yīng)的 手冊針對沒有現(xiàn) 成測評指導 書的測評対 熱開發(fā)新的 測評指導書制描逑卿評頂 目基本情:兄 和工作依拯栩述被測系 統(tǒng)的整體結(jié) 構(gòu)、邊畀和 網(wǎng)絡(luò)區(qū)域描謎被測乘 統(tǒng)的更更節(jié) 點和業(yè)勢應(yīng) 用描瀾評指 標*箱謎測評對 象*揚述測評內(nèi) 窖和方法1 -泗辟對轅謚識別顧懾瀟級訶別被測系纟克的整體箱 構(gòu)識別械測累養(yǎng)的邊畀說別被測系鐮

9、的網(wǎng)絡(luò)區(qū) 域*識別被測系統(tǒng)的重要節(jié) 點和11奔蠱用-確定的攜輛洼識象槪測奈鐮業(yè)務(wù)信息 和系統(tǒng)胭務(wù)安全慷護等 級選屋對血等級的ASG三 類安全豊求作為則評楷 標就高原則調(diào)整參嚇定級 耐象共用的某些物謹簣 全或管遲安全測評指標323現(xiàn)場測評活動現(xiàn)場測評活動的主要任務(wù)包括：現(xiàn)場測評準備、現(xiàn)場測評和結(jié)果記錄、結(jié)果確認和資料歸還。這三項任務(wù)之間存在工作的先后次序，現(xiàn)場測評準備任務(wù)完成之后才能開始后續(xù)任務(wù)。可采用如圖5所示的工作流程:圖5324報告編制活動報告編制活動的主要任務(wù)包括：單項測評結(jié)果判定、單元測評結(jié)果判定、整體測評、風險分析、等級測評結(jié)論形成及測評報告編制。這六項任務(wù)之間存在工作的先后次序，單

10、項測評結(jié)果判定任務(wù)完成之后才能開始后續(xù)任務(wù)。3.3等級保護測評方法3.3.1測評方法測評采用訪談、檢查和測試三種方法，測評對象是測評實施過程中涉及到的信息系統(tǒng)的 構(gòu)成成份，包括人員、文檔、機制、軟件、設(shè)備。測評的層面涉及物理安全、網(wǎng)絡(luò)安全、主 機安全、應(yīng)用系統(tǒng)安全、數(shù)據(jù)安全以及安全管理。3.3.2測評要求?使用測評表進行具體檢查時， 首先按詢問、查驗、檢測等工作方式將所有檢查項目分類。?所有以詢問方式檢查的項目，在與有關(guān)人員的談話或會議上進行。?所有以查驗方式檢查的項目，將需要的文檔清單在檢查現(xiàn)場提交給被檢查方，請被檢查方當前提供并進行查驗。所有需要以檢測方式檢查的項目，按檢測部門或設(shè)備分類后

11、， 根據(jù)具體情況選擇檢測順 序。333方法要求?“訪談”方法：目的是了解信息系統(tǒng)的全局性。范圍一般不覆蓋所有要求內(nèi)容。?“檢查”方法：目的是確認信息系統(tǒng)當前具體安全機制和運行的配置是否符合要求。范圍一般要覆蓋所有要求內(nèi)容。?“測試”方法：目的是驗證信息系統(tǒng)安全機制有效性和安全強度。范圍不覆蓋所有要求內(nèi)容。3.3.4管理要求? 對人員方面的要求，重點通過“訪談”的方式來測評，檢查為輔。? 對過程方面的要求，通過“訪談”和“檢查”的方式來測評。? 對規(guī)范方面的要求，以“檢查”文檔為主，“訪談”為輔。3.4等級保護測評中的角色和職責關(guān)系公安期曲靜門時評估跡進辿川T汀角色與職責關(guān)系如圖 6所示。 I：

12、 ；T.U ：1丨出叮門匕機評1：程和用 St 丈 FS賓廉的配卄評詡實嶽方集節(jié)相兀tn 配合幼唱測評上眄? 信息安全服務(wù)機構(gòu)： 協(xié)助信息系統(tǒng)運營、 使用單位完成等級保護的相關(guān)工作， 包括確定 其信息系統(tǒng)的安全保護等級、 進行安全需求分析、 安全總體規(guī)劃、 實施安全建設(shè)和安全 改造等。? 信息安全產(chǎn)品供應(yīng)商： 開發(fā)符合等級保護相關(guān)要求的信息安全產(chǎn)品， 接受安全測評， 按 照等級保護相關(guān)要求銷售信息安全產(chǎn)品并提供相關(guān)服務(wù)。? 應(yīng)用軟件開發(fā)機構(gòu)：將安全控制要求與應(yīng)用軟件結(jié)合，負責軟件開發(fā)。? 信息安全等級測評機構(gòu)： 協(xié)助信息系統(tǒng)運營、 使用單位或國家管理部門， 按照國家信息 安全等級保護的管理規(guī)范和技術(shù)標準，對已經(jīng)完成等級保護建設(shè)的信息系統(tǒng)進行測評； 對信息安全產(chǎn)品供應(yīng)商提供的信息安全產(chǎn)品進行安全測評。3.5 等級保護測評工作實施步驟3.5.1 首次會議? 參加人員：主管領(lǐng)導、技術(shù)人員、測評機構(gòu)人員? 被測評機構(gòu)工作匯報3.5.2 測評實施被測評單位派人負責測評過程聯(lián)絡(luò)和協(xié)助。3.5.3 末次會議? 參加人員：主管領(lǐng)導、技術(shù)人員、測評機構(gòu)人員? 測評機構(gòu)進行測試情況匯報3.6 等級保護測評項目組的構(gòu)成? 組長職責：管理測評過程、主持編制測評計劃、主持設(shè)計測評方案、負責訪談、檢查、 組織分析測評結(jié)果、主持編制測評總結(jié)報告；? 訪談和查看組：負責訪談、執(zhí)行測試，記錄和分