關(guān)于對(duì)XXX信息系統(tǒng)

關(guān)于對(duì)XXX信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)審核的函廣西壯族自治區(qū)公安廳網(wǎng)絡(luò)安全保衛(wèi)總隊(duì):根據(jù)《自治區(qū)發(fā)展改革委、自治區(qū)公安廳、自治區(qū)國(guó)家保密局關(guān)于印發(fā)〈廣西壯族自治區(qū)電子政務(wù)工程建設(shè)項(xiàng)目信息安全風(fēng)險(xiǎn)評(píng)估工作方案〉的通知》（桂發(fā)改高技[2008]1097號(hào)）要求，我（單位）擬建設(shè)的xxx信息系統(tǒng)安全保護(hù)等級(jí)預(yù)定為X級(jí)，現(xiàn)將《XXX系統(tǒng)信息安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告》及相關(guān)材料送你總隊(duì)審核。XXX單位(蓋章)二Ｏ一Ｘ年X月X日

Xxxx單位Xxxx信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告申報(bào)單位：(蓋章）申報(bào)日期：聯(lián)系人：聯(lián)系電話：手機(jī)號(hào)碼：二Ｏ一X年X月X日目錄１、信息系統(tǒng)預(yù)定級(jí)情況匯總表 5２、信息系統(tǒng)建設(shè)（設(shè)計(jì)）方案 6（略） 6３、信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告 6一、XXX信息系統(tǒng)描述 6二、XXX信息系統(tǒng)安全保護(hù)等級(jí)確定 6（一）業(yè)務(wù)信息安全保護(hù)等級(jí)的確定 6（二）系統(tǒng)服務(wù)安全保護(hù)等級(jí)的確定 7（三）安全保護(hù)等級(jí)的確定 7

填寫 說 明1填報(bào)依根據(jù)《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)）之附則規(guī)定，制作本預(yù)定級(jí)申請(qǐng)報(bào)告；2、填報(bào)范。屬于國(guó)家電子政務(wù)建設(shè)項(xiàng)目的項(xiàng)目立項(xiàng)單位負(fù)責(zé)填寫本報(bào)告。3、系統(tǒng)預(yù)定級(jí)報(bào)告是指依據(jù)《關(guān)于開展全國(guó)重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知》（公信安[2007]861號(hào)）文的附件《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告》模版編寫的定級(jí)報(bào)告，每個(gè)信息系統(tǒng)均需要一個(gè)單獨(dú)的定級(jí)報(bào)告。

１、信息系統(tǒng)預(yù)定級(jí)情況匯總表系統(tǒng)編號(hào)信息系統(tǒng)名稱預(yù)定等級(jí)0001XXX業(yè)務(wù)系統(tǒng)三0002XXX平臺(tái)二

２、信息系統(tǒng)建設(shè)（設(shè)計(jì)）方案（略）３、信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告《信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告》一、XXX信息系統(tǒng)描述簡(jiǎn)述確定該系統(tǒng)為定級(jí)對(duì)象的理由。從三方面進(jìn)行說明：一是描述承擔(dān)信息系統(tǒng)安全責(zé)任的相關(guān)單位或部門，說明本單位或部門對(duì)信息系統(tǒng)具有信息安全保護(hù)責(zé)任，該信息系統(tǒng)為本單位或部門的定級(jí)對(duì)象；二是該定級(jí)對(duì)象是否具有信息系統(tǒng)的基本要素，描述基本要素、系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)、系統(tǒng)邊界和邊界設(shè)備；三是該定級(jí)對(duì)象是否承載著單一或相對(duì)獨(dú)立的業(yè)務(wù)，業(yè)務(wù)情況描述。二、XXX信息系統(tǒng)安全保護(hù)等級(jí)確定（一）業(yè)務(wù)信息安全保護(hù)等級(jí)的確定1、業(yè)務(wù)信息描述描述信息系統(tǒng)處理的主要業(yè)務(wù)信息等。2、業(yè)務(wù)信息受到破壞時(shí)所侵害客體的確定說明信息受到破壞時(shí)侵害的客體是什么，即對(duì)三個(gè)客體（國(guó)家安全；社會(huì)秩序和公眾利益；公民、法人和其他組織的合法權(quán)益）中的哪些客體造成侵害。3、信息受到破壞后對(duì)侵害客體的侵害程度的確定說明信息受到破壞后，會(huì)對(duì)侵害客體造成什么程度的侵害，即說明是一般損害、嚴(yán)重?fù)p害還是特別嚴(yán)重?fù)p害。4、業(yè)務(wù)信息安全等級(jí)的確定依據(jù)信息受到破壞時(shí)所侵害的客體以及侵害程度，確定業(yè)務(wù)信息安全等級(jí)。（二）系統(tǒng)服務(wù)安全保護(hù)等級(jí)的確定1、系統(tǒng)服務(wù)描述描述信息系統(tǒng)的服務(wù)范圍、服務(wù)對(duì)象等。2、系統(tǒng)服務(wù)受到破壞時(shí)所侵害客體的確定說明系統(tǒng)服務(wù)受到破壞時(shí)侵害的客體是什么，即對(duì)三個(gè)客體（國(guó)家安全；社會(huì)秩序和公眾利益；公民、法人和其他組織的合法權(quán)益）中的哪些客體造成侵害。3、系統(tǒng)服務(wù)受到破壞后對(duì)侵害客體的侵害程度的確定說明系統(tǒng)服務(wù)受到破壞后，會(huì)對(duì)侵害客體造成什么程度的侵害，即說明是一般損害、嚴(yán)重?fù)p害還是特別嚴(yán)重?fù)p害。4、系統(tǒng)服務(wù)安全等級(jí)的確定依據(jù)系統(tǒng)服務(wù)受到破壞時(shí)所侵害的客體以及侵害程度確定系統(tǒng)服務(wù)安全等級(jí)。（三）安全保護(hù)等級(jí)的確定信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安全等級(jí)較高者決定，最終確定XXX系統(tǒng)安全保護(hù)等級(jí)為第幾級(jí)。信息系統(tǒng)名稱安全保護(hù)等級(jí)業(yè)務(wù)信息安全等級(jí)系統(tǒng)服務(wù)安全等級(jí)XXX信息系統(tǒng)XXX４、附件預(yù)定級(jí)報(bào)告范例（注意：本附件用于指導(dǎo)單位編寫預(yù)定級(jí)報(bào)告，不需要提交）附件：信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告范例信息系統(tǒng)安全等級(jí)保護(hù)預(yù)定級(jí)報(bào)告X省郵政金融網(wǎng)中間業(yè)務(wù)系統(tǒng)描述（一）該中間業(yè)務(wù)于*年*月*日由*省郵政局科技立項(xiàng)，省郵政信息技術(shù)局自主研發(fā)。目前該系統(tǒng)由技術(shù)局運(yùn)行維護(hù)部負(fù)責(zé)運(yùn)行維護(hù)。省郵政局是該信息系統(tǒng)業(yè)務(wù)的主管部門，省郵政局委托技術(shù)局為該信息系統(tǒng)定級(jí)的責(zé)任單位。（二）此系統(tǒng)是計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施構(gòu)成的，是按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)郵儲(chǔ)金融中間業(yè)務(wù)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)。整個(gè)網(wǎng)絡(luò)分為兩部分，（圖略），第一部分為省數(shù)據(jù)中心，第二部分為市局局域網(wǎng)。在省數(shù)據(jù)中心的核心設(shè)備部署了華為的S8512三層交換機(jī)，……在省數(shù)據(jù)中心的網(wǎng)絡(luò)中配置了兩臺(tái)與外部網(wǎng)絡(luò)互聯(lián)的邊界設(shè)備：天融信NGFW4000防火墻和Cisco2600路由器……省數(shù)據(jù)中心網(wǎng)絡(luò)中剩下的一部分就是與下面各個(gè)地市的互聯(lián)。其中主要設(shè)備部署的是……整個(gè)省數(shù)據(jù)中心網(wǎng)絡(luò)中的所有設(shè)備系統(tǒng)都按照統(tǒng)一的設(shè)備管理策略，只能現(xiàn)場(chǎng)配置，不可遠(yuǎn)程撥號(hào)登錄。整個(gè)信息系統(tǒng)的網(wǎng)絡(luò)系統(tǒng)邊界設(shè)備可定為NGFW4000與Cisco2600。Cisco2600外聯(lián)的其它系統(tǒng)都劃分為外部網(wǎng)絡(luò)部分，而NGFW4000以內(nèi)的部分包括與各地市互聯(lián)的部分都可歸為中心的內(nèi)部網(wǎng)絡(luò)，與中間業(yè)務(wù)系統(tǒng)相關(guān)的省數(shù)據(jù)中心網(wǎng)絡(luò)邊界部分和內(nèi)部網(wǎng)絡(luò)部分都是等級(jí)保護(hù)定級(jí)的范圍和對(duì)象。在此次定級(jí)過程中，將各市的網(wǎng)絡(luò)和數(shù)據(jù)中心連同省中心統(tǒng)一作為一個(gè)定級(jí)對(duì)象加以考慮，統(tǒng)一進(jìn)行定級(jí)、備案。各市的網(wǎng)絡(luò)和數(shù)據(jù)中心還要作為整個(gè)系統(tǒng)的分系統(tǒng)分別進(jìn)行定級(jí)、備案。（三）該信息系統(tǒng)業(yè)務(wù)主要包含：中國(guó)移動(dòng)代收費(fèi)、中國(guó)聯(lián)通代收費(fèi)、代理國(guó)債、批量工資代發(fā)、批量水電氣等費(fèi)用代扣、代收煙草款等業(yè)務(wù)，并新增加了代收國(guó)稅、地稅，代辦保險(xiǎn)等業(yè)務(wù)。系統(tǒng)針對(duì)業(yè)務(wù)實(shí)現(xiàn)的差異分別提供實(shí)時(shí)聯(lián)機(jī)處理和批量處理兩種方式。其中：通過網(wǎng)絡(luò)與第三方機(jī)構(gòu)的連接，均采用約定好的報(bào)文格式進(jìn)行通訊，業(yè)務(wù)處理流程實(shí)時(shí)完成。業(yè)務(wù)處理系統(tǒng)以省集中結(jié)構(gòu)模式，負(fù)責(zé)各類中間業(yè)務(wù)的業(yè)務(wù)處理，包括與第三方實(shí)時(shí)連接、接口協(xié)議轉(zhuǎn)換、非實(shí)時(shí)批量數(shù)據(jù)的采集、業(yè)務(wù)處理邏輯的實(shí)現(xiàn)、與會(huì)計(jì)核算系統(tǒng)的連接等。X省郵政金融網(wǎng)中間業(yè)務(wù)系統(tǒng)安全保護(hù)等級(jí)的確定業(yè)務(wù)信息安全保護(hù)等級(jí)的確定1、業(yè)務(wù)信息描述金融網(wǎng)中間業(yè)務(wù)信息包括：代收費(fèi)情況信息，繳費(fèi)公民、法人和其他組織的的個(gè)人（單位）信息，欠費(fèi)情況，以及代收費(fèi)的銀行、電信、燃?xì)狻⒍悇?wù)、保險(xiǎn)等部門的信息等。屬于公民、法人和其他組織的專有信息。2、業(yè)務(wù)信息受到破壞時(shí)所侵害客體的確定（侵害的客體包括：1國(guó)家安全，2社會(huì)秩序和公共利益，3公民、法人和其他組織的合法權(quán)益等共三個(gè)客體）該業(yè)務(wù)信息遭到破壞后，所侵害的客體是公民、法人和其他組織的合法權(quán)益。侵害的客觀方面（客觀方面是指定級(jí)對(duì)象的具體侵害行為，侵害形式以及對(duì)客體的造成的侵害結(jié)果）表現(xiàn)為：一旦信息系統(tǒng)的業(yè)務(wù)信息遭到入侵、修改、增加、刪除等不明侵害（形式可以包括丟失、破壞、損壞等），會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成影響和損害，可以表現(xiàn)為：影響正常工作的開展，導(dǎo)致業(yè)務(wù)能力下降，造成不良影響，引起法律糾紛等。3、業(yè)務(wù)信息受到破壞后對(duì)侵害客體的侵害程度（即上述分析的結(jié)果的表現(xiàn)程度）上述結(jié)果的程度表現(xiàn)為嚴(yán)重?fù)p害，即工作職能收到嚴(yán)重影響，業(yè)務(wù)能力顯著先將，出現(xiàn)較嚴(yán)重的法律問題，較大范圍的不良影響等。4、確定業(yè)務(wù)信息安全等級(jí)查《定級(jí)指南》表2知，業(yè)務(wù)信息安全保護(hù)等級(jí)為第二級(jí)。業(yè)務(wù)信息安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家安全第三級(jí)第四級(jí)第五級(jí)系統(tǒng)服務(wù)安全保護(hù)等級(jí)的確定1、系統(tǒng)服務(wù)描述該系統(tǒng)屬于為國(guó)計(jì)民生、經(jīng)濟(jì)建設(shè)等提供服務(wù)的信息系統(tǒng)，其服務(wù)范圍為全省范圍內(nèi)的普通公民、法人等。2、系統(tǒng)服務(wù)受到破壞時(shí)所侵害客體的確定該系統(tǒng)服務(wù)遭到破壞后，所侵害的客體是公民、法人和其他組織的合法權(quán)益，同時(shí)也侵害社會(huì)秩序和公共利益但不損害國(guó)家安全?？陀^方面表現(xiàn)得侵害結(jié)果為：1可以對(duì)公民、法人和其他組織的合法權(quán)益造成侵害（影響正常工作的開展，導(dǎo)致業(yè)務(wù)能力下降，造成不良影響，引起法律糾紛等）；2可以對(duì)社會(huì)秩序公共利益造成侵害（造成社會(huì)不良影響，引起公共利益的損害等）。根據(jù)《定級(jí)指南》的要求，出現(xiàn)上述兩個(gè)侵害客體時(shí)，優(yōu)先考慮社會(huì)秩序和公共利益，另外一個(gè)不做考慮。3、系統(tǒng)服務(wù)受到破壞后對(duì)侵害客體的侵害程度（即上述分析的結(jié)果的表現(xiàn)程度）上述結(jié)果的程度表現(xiàn)為：對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，即會(huì)出現(xiàn)較大范圍的社會(huì)不良影響和較大程度的公共利益的損害等。4、確定系統(tǒng)服務(wù)安全等級(jí)查《定級(jí)指南》表3知，由于侵害的客體有兩個(gè)，侵害的程度也有兩個(gè)，則業(yè)務(wù)信息安全保護(hù)等