等級保護基本要求培訓ppt課件

1、信息系統(tǒng)平安等級維護根本要求.目錄.等級維護等級.等級維護重要規(guī)范GB 17859-1999 計算機信息系統(tǒng) 平安維護等級劃分準那么GB/T 222392021 信息系統(tǒng)平安等級維護根本要求GB/T 222402021 信息系統(tǒng)平安等級維護定級指南信息系統(tǒng)平安等級維護測評過程指南國標報批稿信息系統(tǒng)平安等級維護測評要求國標報批稿GB/T 25058-2021信息系統(tǒng)平安等級維護實施指南GB/T 25070-2021信息系統(tǒng)等級維護平安設計技術要求.等級維護相關規(guī)范GA/T 708-2007 信息系統(tǒng)平安等級維護體系框架GA/T 7092007 信息系統(tǒng)平安等級維護根本模型GA/T 710-200

2、7 信息系統(tǒng)平安等級維護根本配置GA/T 711-2007 運用軟件系統(tǒng)平安等級維護通用技術指南GA/T 7122007 運用軟件系統(tǒng)平安等級維護通用測試指南GA/T 713-2007 信息系統(tǒng)平安管理測評GB/T 180182007 路由器平安技術要求GB/T 202692006 信息系統(tǒng)平安管理要求GB/T 202702006 網(wǎng)絡根底平安技術要求GB/T 202712006 信息系統(tǒng)平安通用技術要求GB/T 202722006 操作系統(tǒng)平安技術要求GB/T 202732006 數(shù)據(jù)庫管理系統(tǒng)平安技術要求GB/T 202752006 入侵檢測系統(tǒng)技術要求和測試評價方法GB/T 202782

3、006 網(wǎng)絡脆弱性掃描產(chǎn)品技術要求GB/T 202792006 網(wǎng)絡和終端設備隔離部件平安技術要求GB/T 202812006 防火墻技術要求和測試評價方法GB/T 202822006 信息系統(tǒng)平安工程管理要求GB/T 209792007 虹膜識別系統(tǒng)技術要求GB/T 209842007 信息平安風險評價規(guī)范GB/T 209882007 信息系統(tǒng)災難恢復規(guī)范GB/T 210282007 效力器平安技術要求GB/T 210522007 信息系統(tǒng)物理平安技術要求GB/T 210532007 公鑰根底設備 PKI系統(tǒng)平安等級維護技術要求GB/Z 209852007 信息平安事件管理指南 YD/TGB

4、/Z 209862007 信息平安事件分類分級指南.定級流程G=MAX(S,A)SA.平安維護和系統(tǒng)定級的關系安全等級信息系統(tǒng)保護要求的組合第一級S1A1G1第二級S1A2G2，S2A2G2，S2A1G2第三級S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四級S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4.目錄.等級維護根本要求作用.等級劃分和維護“第八條信息系統(tǒng)運營、運用單位根據(jù)本方法和相關技術規(guī)范對信息系統(tǒng)進展維護，國家有關信息平安職能部門對其信息平安等級維護任務進展監(jiān)視管理。.等級維護的實施與管理“第十二條在信息系

5、統(tǒng)建立過程中，運營、運用單位該當按照GB17859-1999、等技術規(guī)范，參照等技術規(guī)范同步建立符合該等級要求的信息平安設備。.等級維護的實施與管理“第十三條運營、運用單位該當參照GB/T20269-2006、GB/T20282-2006、等管理規(guī)范，制定并落實符合本系統(tǒng)平安維護等級要求的平安管理制度。 .等級維護的實施與管理“第十四條信息系統(tǒng)建立完成后，運營、運用單位或者其主管部門應中選擇符合本方法規(guī)定條件的測評單位，根據(jù)等技術規(guī)范，定期對信息系統(tǒng)平安等級情況開展等級測評。第三級信息系統(tǒng)該當每年至少進展一次等級測評，第四級信息系統(tǒng)該當每半年至少進展一次等級測評，第五級信息系統(tǒng)該當根據(jù)特殊平安

6、需求進展等級測評。.等級維護的實施與管理“第十四條信息系統(tǒng)運營、運用單位及其主管部門該當定期對信息系統(tǒng)平安情況、平安維護制度及措施的落實情況進展自查。第三級信息系統(tǒng)該當每年至少進展一次自查，第四級信息系統(tǒng)該當每半年至少進展一次自查，第五級信息系統(tǒng)該當根據(jù)特殊平安需求進展自查。.等級維護的實施與管理“第十四條經(jīng)測評或者自查，信息系統(tǒng)平安情況未到達平安維護等級要求的，運營、運用單位該當制定方案進展整改。.技術規(guī)范和管理規(guī)范的作用技術規(guī)范和管理規(guī)范信息系統(tǒng)定級信息系統(tǒng)平安建立或改建平安情況到達等級維護要求的信息系統(tǒng).的定位是系統(tǒng)平安維護、等級測評的一個根本“標尺，同樣級別的系統(tǒng)運用一致的“標尺來衡量

7、，保證權(quán)威性，是一個達標線；每個級別的信息系統(tǒng)按照根本要求進展維護后，信息系統(tǒng)具有相應等級的根本平安維護才干，到達一種根本的平安形狀;是每個級別信息系統(tǒng)進展平安維護任務的一個根本出發(fā)點，更加貼切的維護可以經(jīng)過需求分析對根本要求進展補充，參考其他有關等級維護或平安方面的規(guī)范來實現(xiàn);.根本要求和其他規(guī)范關系.等級維護根本要求效果.的定位某級信息系統(tǒng)根本維護準確維護根本要求維護根本要求測評補充的平安措施GB17859-1999通用技術要求平安管理要求高級別的根本要求等級維護其他規(guī)范平安方面相關規(guī)范等等根本維護特殊需求補充措施.目錄.根本思緒.不同級別的平安維護才干要求第一級平安維護才干應可以防護系統(tǒng)

8、免受來自個人的、擁有很少資源如利用公開可獲取的工具等的要挾源發(fā)起的惡意攻擊、普通的自然災難災難發(fā)生的強度弱、繼續(xù)時間很短等以及其他相當危害程度的要挾無意失誤、技術缺點等所呵斥的關鍵資源損害，在系統(tǒng)遭到損害后，可以恢復部分功能。第二級平安維護才干應可以防護系統(tǒng)免受來自外部小型組織的如自發(fā)的三兩人組成的黑客組織、擁有少量資源如個他人員才干、公開可獲或特定開發(fā)的工具等的要挾源發(fā)起的惡意攻擊、普通的自然災難災難發(fā)生的強度普通、繼續(xù)時間短、覆蓋范圍小等以及其他相當危害程度的要挾無意失誤、技術缺點等所呵斥的重要資源損害，可以發(fā)現(xiàn)重要的平安破綻和平安事件，在系統(tǒng)遭到損害后，可以在一段時間內(nèi)恢復部分功能。.不

9、同級別的平安維護才干要求第三級平安維護才干應可以在一致平安戰(zhàn)略下防護系統(tǒng)免受來自外部有組織的團體如一個商業(yè)情報組織或犯罪組織等，擁有較為豐富資源包括人員才干、計算才干等的要挾源發(fā)起的惡意攻擊、較為嚴重的自然災難災難發(fā)生的強度較大、繼續(xù)時間較長、覆蓋范圍較廣等以及其他相當危害程度的要挾內(nèi)部人員的惡意要挾、無意失誤、較嚴重的技術缺點等所呵斥的主要資源損害，可以發(fā)現(xiàn)平安破綻和平安事件，在系統(tǒng)遭到損害后，可以較快恢復絕大部分功能。 第四級平安維護才干應可以在一致平安戰(zhàn)略下防護系統(tǒng)免受來自國家級別的、敵對組織的、擁有豐富資源的要挾源發(fā)起的惡意攻擊、嚴重的自然災難災難發(fā)生的強度大、繼續(xù)時間長、覆蓋范圍廣等

10、以及其他相當危害程度的要挾內(nèi)部人員的惡意要挾、無意失誤、嚴重的技術缺點等所呵斥的資源損害，可以發(fā)現(xiàn)平安破綻和平安事件，在系統(tǒng)遭到損害后，可以迅速恢復一切功能。 .各個要素之間的關系平安維護才干根本平安要求每個等級的信息系統(tǒng)根本技術措施根本管理措施具備包含包含滿足滿足實現(xiàn).中心思緒某級系統(tǒng)技術要求管理要求根本要求建立平安技術體系建立平安管理體系具有某級平安維護才干的系統(tǒng).各級系統(tǒng)的維護要求差別宏觀平安維護模型PPDRR Protection防護 Policy Detection 戰(zhàn)略 檢測 Response 呼應 Recovery恢復.各級系統(tǒng)的維護要求差別宏觀一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)防

11、護防護/監(jiān)測戰(zhàn)略/防護/監(jiān)測/恢復戰(zhàn)略/防護/監(jiān)測/恢復/呼應.各級系統(tǒng)的維護要求差別宏觀勝利的完成業(yè)務信息保證深度防御戰(zhàn)略人技術操作防御網(wǎng)絡與根底設備防御飛地邊境防御計算環(huán)境支撐性根底設備平安維護模型IATF.各級系統(tǒng)的維護要求差別宏觀一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)通訊/邊境根本通訊/邊境/內(nèi)部關鍵設備通訊/邊境/內(nèi)部主要設備通訊/邊境/內(nèi)部/根底設備一切設備.才干成熟度模型CMM.各級系統(tǒng)的維護要求差別宏觀一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)方案和跟蹤主要制度方案和跟蹤主要制度良好定義管理活動制度化繼續(xù)改良管理活動制度化/及時改良.各級系統(tǒng)的維護要求差別微觀某級系統(tǒng)物理平安技術要求管理要求根

12、本要求網(wǎng)絡平安主機平安運用平安數(shù)據(jù)平安平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.目錄.根本要求的主要內(nèi)容由9個章節(jié)2個附錄構(gòu)成1.適用范圍2.規(guī)范性援用文件3術語和定義4.等級維護概述5. 根本要求附錄A 關于信息系統(tǒng)整體平安維護才干的要求附錄B 根本平安要求的選擇和運用.根本要求的組織方式某級系統(tǒng)類技術要求管理要求根本要求類控制點詳細要求控制點詳細要求.根本要求舉例技術要求 網(wǎng)絡平安類 訪問控制(G2) 控制點本項要求包括: 詳細要求a) 應在網(wǎng)絡邊境部署訪問控制設備,啟用訪問控制功能; b) 應能根據(jù)會話形狀信息為數(shù)據(jù)流提供明確的允許/回絕訪問的才干,控制粒度為網(wǎng)段級。

13、c) 應按用戶和系統(tǒng)之間的允許訪問規(guī)那么,決議允許或回絕用戶對受控系統(tǒng)進展資源訪問,控制粒度為單個用戶; d) 應限制具有撥號訪問權(quán)限的用戶數(shù)量。.根本要求舉例技術要求 網(wǎng)絡平安類 訪問控制(G3)本項要求包括:a) 應在網(wǎng)絡邊境部署訪問控制設備,啟用訪問控制功能; b) 應能根據(jù)會話形狀信息為數(shù)據(jù)流提供明確的允許/回絕訪問的才干,控制粒度為端口級;c) 應對進出網(wǎng)絡的信息內(nèi)容進展過濾,實現(xiàn)對運用層 、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制; d) 應在會話處于非活潑一定時間或會話終了后終止網(wǎng)絡銜接; e) 應限制網(wǎng)絡最大流量數(shù)及網(wǎng)絡銜接數(shù); f) 重要網(wǎng)段應采取技術手段防

14、止地址欺騙; g) 應按用戶和系統(tǒng)之間的允許訪問規(guī)那么,決議允許或回絕用戶對受控系統(tǒng)進展資源訪問,控制粒度為單個用戶; h) 應限制具有撥號訪問權(quán)限的用戶數(shù)量。.根本要求標注方式根本要求技術要求管理要求要求標注業(yè)務信息平安類要求標志為S類系統(tǒng)效力保證類要求標志為A類通用平安維護類要求標志為G類 .三類要求之間的關系通用平安維護類要求G業(yè)務信息平安類S系統(tǒng)效力保證類A平安要求.根本要求的選擇和運用一個3級系統(tǒng),定級結(jié)果為S3A2，維護類型應該是S3A2G3第1步:選擇規(guī)范中3級根本要求的技術要求和管理要求;第2步:要求中標注為S類和G類的不變;標注為A類的要求可以選用2級根本要求中的A類作為根本

15、要求;.平安維護和系統(tǒng)定級的關系安全等級信息系統(tǒng)保護要求的組合第一級S1A1G1第二級S1A2G2，S2A2G2，S2A1G2第三級S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四級S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4定級指南要求按照“業(yè)務信息和“系統(tǒng)效力的需求確定整個系統(tǒng)的平安維護等級定級過程反映了信息系統(tǒng)的維護要求.電力控制(A):一級:計算機系統(tǒng)供電應與其他供電分開;應設置穩(wěn)壓器和過電壓防護設備 。二級:應提供短期的備用電力供應(如:UPS設備)。三級:應具備冗余或并行的電力電纜線路;備用供電系統(tǒng)(如備用

16、發(fā)電機) 。四級:與三級要求一樣。.電磁防護(S)一級:無此要求。二級:要求具有根本的電磁防護才干,如電源線和通訊線纜應隔離鋪設等。三級:除二級要求外,加強了防護才干,要求可以做到關鍵設備和磁介質(zhì)的電磁屏蔽。四級:在三級要求的根底上,要求屏蔽范圍擴展關鍵區(qū).不同級別系統(tǒng)控制點的差別安全要求類層面一級二級三級四級技術要求物理安全7101010網(wǎng)絡安全3677主機安全4679應用安全47911數(shù)據(jù)安全及備份恢復2333管理要求安全管理制度2333安全管理機構(gòu)4555人員安全管理4555系統(tǒng)建設管理991111系統(tǒng)運維管理9121313合計/48667377級差/1874.不同級別系統(tǒng)要求項的差別安

17、全要求類層面一級二級三級四級技術要求物理安全9193233網(wǎng)絡安全9183332主機安全6193236應用安全7193136數(shù)據(jù)安全及備份恢復24811管理要求安全管理制度371114安全管理機構(gòu)492021人員安全管理7111618系統(tǒng)建設管理20284548系統(tǒng)運維管理18416270合計/85175290319級差/9011529.根本要求組織方式.根本要求-組織方式某級系統(tǒng)物理平安技術要求管理要求根本要求網(wǎng)絡平安主機平安運用平安數(shù)據(jù)平安平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.技術要求-物理平安.技術要求-網(wǎng)絡平安.技術要求-主機平安.技術要求-運用平安.技術要求-

18、數(shù)據(jù)平安.根本要求-組織方式某級系統(tǒng)物理平安技術要求管理要求根本要求網(wǎng)絡平安主機平安運用平安數(shù)據(jù)平安平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.管理要求-平安管理機構(gòu)崗位設置人員配備授權(quán)和審批溝通和協(xié)作審核和檢查管理要求平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.根本要求-平安管理制度管理制度制定和發(fā)布評審和修訂管理要求平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.根本要求-人員平安管理人員錄用人員離崗人員考核平安認識教育和培訓外部人員訪問管理管理要求平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.根本要求-系統(tǒng)建立管理系統(tǒng)定級

19、等級測評平安方案設計產(chǎn)品采購和運用自行軟件開發(fā)外包軟件開發(fā)工程實施測實驗收系統(tǒng)交付系統(tǒng)備案平安效力商選擇管理要求平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.根本要求-系統(tǒng)運維管理環(huán)境管理資產(chǎn)管理介質(zhì)管理設備管理監(jiān)控管理和平安管理中心網(wǎng)絡平安管理系統(tǒng)平安管理惡意代碼防備管理密碼管理變卦管理備份與恢復管理平安事件處置應急預案管理管理要求平安管理機構(gòu)平安管理制度人員平安管理系統(tǒng)建立管理系統(tǒng)運維管理.各級系統(tǒng)平安維護要求-物理平安物理平安主要涉及的方面包括環(huán)境平安防火、防水、防雷擊等設備和介質(zhì)的防盜竊防破壞等方面。詳細包括：物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、

20、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護等十個控制點。.各級系統(tǒng)平安維護要求-物理平安控制點一級二級三級四級物理位置的選擇G*物理訪問控制G*防盜竊和防破壞G*防雷擊G*防火G*防水和防潮G*防靜電G*溫濕度控制G*電力供應A*電磁防護S*合計7101010.各級系統(tǒng)平安維護要求-物理平安一級物理平安要求：主要要求對物理環(huán)境進展根本的防護，對出入進展根本控制，環(huán)境平安可以對自然要挾進展根本的防護，電力那么要求提供供電電壓的正常。二級物理平安要求：對物理平安進展了進一步的防護，不僅對出入進展根本的控制，對進入后的活動也要進展控制；物理環(huán)境方面，那么加強了各方面的防護，采取更細的要求來多

21、方面進展防護。三級物理平安要求：對出入加強了控制，做到人、電子設備共同監(jiān)控；物理環(huán)境方面，進一步采取各種控制措施來進展防護。如，防火要求，不僅要求自動消防系統(tǒng)，而且要求區(qū)域隔離防火，建筑資料防火等方面，將防火的范圍增大，從而使火災發(fā)生的幾率和損失降低。四級物理平安要求：對機房出入的要求進一步加強，要求多道電子設備監(jiān)控；物理環(huán)境方面，要求采用一定的防護設備進展防護，如靜電消除安裝等。 .各級系統(tǒng)平安維護要求-網(wǎng)絡平安網(wǎng)絡平安主要關注的方面包括：網(wǎng)絡構(gòu)造、網(wǎng)絡邊境以及網(wǎng)絡設備本身平安等。詳細的控制點包括：構(gòu)造平安、訪問控制、平安審計、邊境完好性檢查、入侵防備、惡意代碼防備、網(wǎng)絡設備防護等七個控制點

22、。.各級系統(tǒng)平安維護要求-網(wǎng)絡平安控制點一級二級三級四級結(jié)構(gòu)安全G*訪問控制G*安全審計G*邊界完整性檢查S*入侵防范G*惡意代碼防范G*網(wǎng)絡設備防護G*合計3677.各級系統(tǒng)平安維護要求-網(wǎng)絡平安一級網(wǎng)絡平安要求：主要提供網(wǎng)絡平安運轉(zhuǎn)的根本保證，包括網(wǎng)絡構(gòu)造可以根本滿足業(yè)務運轉(zhuǎn)需求，網(wǎng)絡邊境處對進出的數(shù)據(jù)包頭進展根本過濾等訪問控制措施。二級網(wǎng)絡平安要求：不僅要滿足網(wǎng)絡平安運轉(zhuǎn)的根本保證，同時還要思索網(wǎng)絡處置才干要滿足業(yè)務極限時的需求。對網(wǎng)絡邊境的訪問控制粒度進一步加強。同時，加強了網(wǎng)絡邊境的防護，添加了平安審計、邊境完好性檢查、入侵防備等控制點。對網(wǎng)絡設備的防護不僅局限于簡單的身份鑒別，同時

23、對標識和鑒別信息都有了相應的要求。三級網(wǎng)絡平安要求：對網(wǎng)絡處置才干添加了“優(yōu)先級思索，保證重要主機可以在網(wǎng)絡擁堵時仍可以正常運轉(zhuǎn)；網(wǎng)絡邊境的訪問控制擴展到運用層，網(wǎng)絡邊境的其他防護措施進一步加強，不僅可以被動的“防，還應可以自動發(fā)出一些動作，如報警、阻斷等。網(wǎng)絡設備的防護手段要求兩種身份鑒別技術綜合運用。四級網(wǎng)絡平安要求：對網(wǎng)絡邊境的訪問控制做出了更為嚴厲的要求，制止遠程撥號訪問，不允許數(shù)據(jù)帶通用協(xié)議經(jīng)過；邊境的其他防護措施也加強了要求。網(wǎng)絡平安審計著眼于全局，做到集中審計分析，以便得到更多的綜合信息。網(wǎng)絡設備的防護，在身份鑒別手段上除要求兩種技術外，其中一種鑒別技術必需是不可偽造的，進一步加

24、強了對網(wǎng)絡設備的防護。.各級系統(tǒng)平安維護要求-主機平安主機系統(tǒng)平安是包括效力器、終端/任務站等在內(nèi)的計算機設備在操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)層面的平安。終端/任務站是帶外設的臺式機與筆記本計算機，效力器那么包括運用程序、網(wǎng)絡、web、文件與通訊等效力器。主機系統(tǒng)是構(gòu)成信息系統(tǒng)的主要部分，其上承載著各種運用。因此，主機系統(tǒng)平安是維護信息系統(tǒng)平安的中堅力量。主機系統(tǒng)平安涉及的控制點包括：身份鑒別、平安標志、訪問控制、可信途徑、平安審計、剩余信息維護、入侵防備、惡意代碼防備和資源控制等九個控制點。 .各級系統(tǒng)平安維護要求-主機平安控制點一級二級三級四級身份鑒別S*安全標記S*訪問控制G*可信路徑S*安全審計

25、G*剩余信息保護S*入侵防范G*惡意代碼防范G*資源控制A*合計4679.各級系統(tǒng)平安維護要求-主機平安一級主機系統(tǒng)平安要求：對主機進展根本的防護，要求主機做到簡單的身份鑒別，粗粒度的訪問控制以及重要主機可以進展惡意代碼防備。二級主機系統(tǒng)平安要求：在控制點上添加了平安審計和資源控制等。同時，對身份鑒別和訪問控制都進一步加強，鑒別的標識、信息等都提出了詳細的要求；訪問控制的粒度進展了細化等，惡意代碼添加了一致管理等。三級主機系統(tǒng)平安要求：在控制點上添加了剩余信息維護，即，訪問控制添加了設置敏感標志等，力度變強。同樣，身份鑒別的力度進一步加強，要求兩種以上鑒別技術同時運用。平安審計已不滿足于對平安

26、事件的記錄，而要進展分析、生成報表。對惡意代碼的防備綜合思索網(wǎng)絡上的防備措施，做到二者相互補充。對資源控制的添加了對效力器的監(jiān)視和最小效力程度的監(jiān)測和報警等。四級主機系統(tǒng)平安要求：在控制點上添加了平安標志和可信途徑，其他控制點在強度上也分別加強，如，身份鑒別要求運用不可偽造的鑒別技術，訪問控制要求部分按照強迫訪問控制的力度實現(xiàn)，平安審計可以做到一致集中審計等。.各級系統(tǒng)平安維護要求-運用平安經(jīng)過網(wǎng)絡、主機系統(tǒng)的平安防護，最終運用平安成為信息系統(tǒng)整體防御的最后一道防線。在運用層面運轉(zhuǎn)著信息系統(tǒng)的基于網(wǎng)絡的運用以及特定業(yè)務運用?；诰W(wǎng)絡的運用是構(gòu)成其他運用的根底，包括音訊發(fā)送、web閱讀等，可以說

27、是根本的運用。業(yè)務運用采用根本運用的功能以滿足特定業(yè)務的要求，如電子商務、電子政務等。由于各種根本運用最終是為業(yè)務運用效力的，因此對運用系統(tǒng)的平安維護最終就是如何維護系統(tǒng)的各種業(yè)務運用程序平安運轉(zhuǎn)。運用平安主要涉及的平安控制點包括：身份鑒別、平安標志、訪問控制、可信途徑、平安審計、剩余信息維護、通訊完好性、通訊嚴密性、抗抵賴、軟件容錯、資源控制等十一個控制點。.各級系統(tǒng)平安維護要求-運用平安控制點一級二級三級四級身份鑒別S*安全標記S*訪問控制S*可信路經(jīng)S*安全審計G*剩余信息保護S*通信完整性S*通信保密性S*抗抵賴G*軟件容錯A*資源控制A*合計47911.各級系統(tǒng)平安維護要求-運用平安

28、一級運用平安要求：對運用進展根本的防護，要求做到簡單的身份鑒別，粗粒度的訪問控制以及數(shù)據(jù)有效性檢驗等根本防護。二級運用平安要求：在控制點上添加了平安審計、通訊嚴密性和資源控制等。同時，對身份鑒別和訪問控制都進一步加強，鑒別的標識、信息等都提出了詳細的要求。訪問控制的粒度進展了細化，對通訊過程的完好性維護提出了特定的校驗碼技術。運用軟件本身的平安要求進一步加強，軟件容錯才干加強。三級運用平安要求：在控制點上添加了剩余信息維護和抗抵賴等。同時，身份鑒別的力度進一步加強，要求組合鑒別技術，訪問控制添加了敏感標志功能，平安審計已不滿足于對平安事件的記錄，而要進展分析等。對通訊過程的完好性維護提出了特定

29、的密碼技術。運用軟件本身的平安要求進一步加強，軟件容錯才干加強，添加了自動維護功能。四級運用平安要求：在控制點上添加了平安標志和可信途徑等。部分控制點在強度上進一步加強，如，身份鑒別要求運用不可偽造的鑒別技術，平安審計可以做到一致平安戰(zhàn)略提供集中審計接口等，軟件應具有自動恢復的才干等。.各級系統(tǒng)平安維護要求-數(shù)據(jù)平安及備份恢復信息系統(tǒng)處置的各種數(shù)據(jù)用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè)務數(shù)據(jù)等在維持系統(tǒng)正常運轉(zhuǎn)上起著至關重要的作用。一旦數(shù)據(jù)遭到破壞走漏、修正、毀壞，都會在不同程度上呵斥影響，從而危害到系統(tǒng)的正常運轉(zhuǎn)。由于信息系統(tǒng)的各個層面網(wǎng)絡、主機、運用等都對各類數(shù)據(jù)進展傳輸、存儲和處置等，因此，對數(shù)據(jù)的維護

30、需求物理環(huán)境、網(wǎng)絡、數(shù)據(jù)庫和操作系統(tǒng)、運用程序等提供支持。各個“關口把好了，數(shù)據(jù)本身再具有一些防御和修復手段，必然將對數(shù)據(jù)呵斥的損害降至最小。另外，數(shù)據(jù)備份也是防止數(shù)據(jù)被破壞后無法恢復的重要手段，而硬件備份等更是保證系統(tǒng)可用的重要內(nèi)容，在高級別的信息系統(tǒng)中采用異地適時備份會有效的防治災難發(fā)生時能夠呵斥的系統(tǒng)危害。保證數(shù)據(jù)平安和備份恢復主要從：數(shù)據(jù)完好性、數(shù)據(jù)嚴密性、備份和恢復等三個控制點思索。.各級系統(tǒng)平安維護要求-數(shù)據(jù)平安及備份恢復控制點一級二級三級四級數(shù)據(jù)完整性S*數(shù)據(jù)保密性S*備份和恢復A*合計2333.各級系統(tǒng)平安維護要求-數(shù)據(jù)平安及備份恢復一級數(shù)據(jù)平安及備份恢復要求：對數(shù)據(jù)完好性用戶

31、數(shù)據(jù)在傳輸過程提出要求，可以檢測出數(shù)據(jù)完好性遭到破壞；同時可以對重要信息進展備份。二級數(shù)據(jù)及備份恢復平安要求：對數(shù)據(jù)完好性的要求加強，范圍擴展，要求鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸過程中都要保證其完好性。對數(shù)據(jù)嚴密性要務虛現(xiàn)鑒別信息存儲嚴密性，數(shù)據(jù)備份加強，要求一定的硬件冗余。三級數(shù)據(jù)及備份恢復平安要求：對數(shù)據(jù)完好性的要求加強，范圍擴展，添加了系統(tǒng)管理數(shù)據(jù)的傳輸完好性，不僅可以檢測出數(shù)據(jù)遭到破壞，并能進展恢復。對數(shù)據(jù)嚴密性要求范圍擴展到實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)的傳輸和存儲的嚴密性，數(shù)據(jù)的備份不僅要求本地完全數(shù)據(jù)備份，還要求異地備份和冗余網(wǎng)絡拓撲。四級數(shù)據(jù)及備份恢復平安要求：為進一步

32、保證數(shù)據(jù)的完好性和嚴密性，提出運用專有的平安協(xié)議的要求。同時，備份方式添加了建立異地適時災難備份中心，在災難發(fā)生后系統(tǒng)可以自動切換和恢復。.各級系統(tǒng)平安維護要求-平安管理制度在信息平安中，最活潑的要素是人，對人的管理包括法律、法規(guī)與政策的約束、平安指南的協(xié)助、平安認識的提高、平安技藝的培訓、人力資源管理措施以及企業(yè)文化的熏陶，這些功能的實現(xiàn)都是以完備的平安管理政策和制度為前提。這里所說的平安管理制度包括信息平安任務的總體方針、戰(zhàn)略、規(guī)范各種平安管理活動的管理制度以及管理人員或操作人員日常操作的操作規(guī)程。平安管理制度主要包括：管理制度、制定和發(fā)布、評審和修訂三個控制點。.各級系統(tǒng)平安維護要求-平

33、安管理制度控制點一級二級三級四級管理制度*制定和發(fā)布*評審和修訂*合計2333.各級系統(tǒng)平安維護要求-平安管理制度一級平安管理制度要求：主要明確了制定日經(jīng)常用的管理制度，并對管理制度的制定和發(fā)布提出根本要求。二級平安管理制度要求：在控制點上添加了評審和修訂，管理制度添加了總體方針和平安戰(zhàn)略，和對各類重要操作建立規(guī)程的要求，并且管理制度的制定和發(fā)布要求組織論證。三級平安管理制度要求：在二級要求的根底上，要求機構(gòu)構(gòu)成信息平安管理制度體系，對管理制度的制定要求和發(fā)布過程進一步嚴厲和規(guī)范。對平安制度的評審和修訂要求指點小組的擔任。四級平安管理制度要求：在三級要求的根底上，主要思索了對帶有密級的管理制度

34、的管理和管理制度的日常維護等。.各級系統(tǒng)平安維護要求-平安管理機構(gòu)平安管理，首先要建立一個健全、務虛、有效、一致指揮、一致步伐的完善的平安管理機構(gòu)，明確機構(gòu)成員的平安職責，這是信息平安管理得以實施、推行的根底。在單位的內(nèi)部構(gòu)造上必需建立一整套從單位最高管理層董事會到執(zhí)行管理層以及業(yè)務運營層的管理構(gòu)造來約束和保證各項平安管理措施的執(zhí)行。其主要任務內(nèi)容包括對機構(gòu)內(nèi)重要的信息平安任務進展授權(quán)和審批、內(nèi)部相關業(yè)務部門和平安管理部門之間的溝通協(xié)調(diào)以及與機構(gòu)外部各類單位的協(xié)作、定期對系統(tǒng)的平安措施落實情況進展檢查，以發(fā)現(xiàn)問題進展改良。平安管理機構(gòu)主要包括：崗位設置、人員配備、授權(quán)和審批、溝通和協(xié)作以及審核

35、和檢查等五個控制點。.各級系統(tǒng)平安維護要求-平安管理機構(gòu)控制點一級二級三級四級崗位設置*人員配備*授權(quán)和審批*溝通和合作*審核和檢查*合計4555.各級系統(tǒng)平安維護要求-平安管理機構(gòu)一級平安管理機構(gòu)要求：主要要求對開展信息平安任務的根本任務崗位進展配備，對機構(gòu)重要的平安活動進展審批，加強對外的溝通和協(xié)作。二級平安管理機構(gòu)要求：在控制點上添加了審核和檢查，同時，在一級根底上，明確要求設立平安主管等重要崗位；人員配備方面提出平安管理員不可兼任其它崗位原那么；溝通與協(xié)作的范圍添加與機構(gòu)內(nèi)部及與其他部門的協(xié)作和溝通。三級平安管理機構(gòu)要求：對于崗位設置，不僅要求設置信息平安的職能部門，而且機構(gòu)上層應有一

36、定的指點小組全面擔任機構(gòu)的信息平安全局任務。授權(quán)審批方面加強了授權(quán)流程控制以及階段性審查。溝通與協(xié)作方面加強了與外部組織的溝通和協(xié)作，并聘用平安顧問。同時對審核和檢查任務進一步規(guī)范。四級平安管理機構(gòu)要求：同三級要求。.各級系統(tǒng)平安維護要求-人員平安管理人，是信息平安中最關鍵的要素，同時也是信息平安中最薄弱的環(huán)節(jié)。很多重要的信息系統(tǒng)平安問題都涉及到用戶、設計人員、實施人員以及管理人員。假設這些與人員有關的平安問題沒有得到很好的處理，任何一個信息系統(tǒng)都不能夠到達真正的平安。只需對人員進展了正確完善的管理，才有能夠降低人為錯誤、盜竊、詐騙和誤用設備的風險，從而減小了信息系統(tǒng)蒙受人員錯誤呵斥損失的概率

37、。對人員平安的管理，主要涉及兩方面：對內(nèi)部人員的平安管理和對外部人員的平安管理。詳細包括：人員錄用、人員離崗、人員考核、平安認識教育和培訓和外部人員訪問管理等五個控制點。.各級系統(tǒng)平安維護要求-人員平安管理控制點一級二級三級四級人員錄用*人員離崗*人員考核*安全意識教育和培訓*外部人員訪問管理*合計4555.各級系統(tǒng)平安維護要求-人員平安管理一級人員平安管理要求：對人員在機構(gòu)的任務周期即，錄用、日常培訓、離崗的活動提出根本的管理要求。同時，對外部人員訪問要求得到授權(quán)和審批。二級人員平安管理要求：在控制點上添加了人員考核，對人員的錄用和離崗要求進一步加強，過程性要求添加，平安教育培訓更正規(guī)化，對

38、外部人員的訪問活動約束其訪問行為。三級人員平安管理要求：在二級要求的根底上，加強了對關鍵崗位人員的錄用、離崗和考核要求，對人員的培訓教育更具有針對性，外部人員訪問要求更詳細。四級人員平安管理要求：在三級要求的根底上，提出了嚴密要求和關鍵區(qū)域制止外部人員訪問的要求。.各級系統(tǒng)平安維護要求-系統(tǒng)建立管理信息系統(tǒng)的平安管理貫穿系統(tǒng)的整個生命周期，系統(tǒng)建立管理主要關注的是生命周期中的前三個階段即，初始、采購、實施中各項平安管理活動。系統(tǒng)建立管理分別從工程實施建立前、建立過程以及建立終了交付等三方面思索，詳細包括：系統(tǒng)定級、平安方案設計、產(chǎn)品采購和運用、自行軟件開發(fā)、外包軟件開發(fā)、工程實施、測實驗收、系

39、統(tǒng)交付、系統(tǒng)備案、等級測評和平安效力商選擇等十一個控制點。.各級系統(tǒng)平安維護要求-系統(tǒng)建立管理控制點一級二級三級四級系統(tǒng)定級*安全方案設計*產(chǎn)品采購和使用*自行軟件開發(fā)*外包軟件開發(fā)*工程實施*測試驗收*系統(tǒng)交付*系統(tǒng)備案*等級測評*安全服務商選擇*合計991111.各級系統(tǒng)平安維護要求-系統(tǒng)建立管理一級系統(tǒng)建立管理要求：對系統(tǒng)建立整體過程所涉及的各項活動進展根本的規(guī)范，如，先定級，方案預備、平安產(chǎn)品按要求采購，軟件開發(fā)自行、外包的根本平安，實施的根本管理，建立后的平安性驗收、交付等都進展要求。二級系統(tǒng)建立管理要求：在控制點上添加了系統(tǒng)備案和平安測評，添加了某些活動的文檔化要求，如軟件開發(fā)管理制度，工程實施應有實施方案要求等。同時，對平安方案、驗收報告等添加了審定要求，產(chǎn)品的采購添加了密碼產(chǎn)品的采購要求等。三級系統(tǒng)建立管理要求：對建立過程的各項活動都要求進展制