如何理解信息安全等級(jí)保護(hù)

徐蘇：如何理解信息安全等級(jí)保護(hù)與分級(jí)保護(hù)PAGEPAGE2《電信交換》2009年第2期如何理解信息安全等級(jí)保護(hù)與分級(jí)保護(hù)徐蘇（電信科學(xué)技術(shù)第十研究所陜西西安710061）摘要：信息安全保護(hù)分級(jí)、分區(qū)域、分類、分階段是做好國家信息安全保護(hù)應(yīng)遵循的準(zhǔn)則。國家信息安全等級(jí)保護(hù)與涉密信息系統(tǒng)分級(jí)保護(hù)是兩個(gè)既聯(lián)系又有區(qū)別的概念。國家安全信息等級(jí)保護(hù)，重點(diǎn)保護(hù)的對(duì)象是非涉密的涉及國計(jì)民生的重要信息系統(tǒng)和通信基礎(chǔ)信息系統(tǒng)；涉密信息系統(tǒng)分級(jí)保護(hù)是國家信息安全等級(jí)保護(hù)的重要組成部分，是等級(jí)保護(hù)在涉密領(lǐng)域的具體體現(xiàn)。關(guān)鍵字：國家信息安全公眾信息國家秘密信息等級(jí)保護(hù)分級(jí)保護(hù)在日常工作中和為用戶提供服務(wù)的過程中，什么是信息系統(tǒng)等級(jí)保護(hù)？什么是涉密信息系統(tǒng)分級(jí)保護(hù)？這兩者之間有什么關(guān)系？那些系統(tǒng)需要進(jìn)行等級(jí)保護(hù)？涉密信息系統(tǒng)如何分級(jí)？這是時(shí)常困擾我們的問題。一、信息系統(tǒng)等級(jí)保護(hù)1999年國家發(fā)布并于2001年1月1日開始實(shí)施GB17859《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》。2003年，中辦、國辦轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》(中辦發(fā)〔2003〕27號(hào))，提出實(shí)行信息安全等級(jí)保護(hù)，建立國家信息安全保障體系的明確要求。2004年9月17日，公安部、國家保密局、國家密碼管理委員會(huì)辦公室、國務(wù)院信息辦下發(fā)了《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》，明確了信息安全等級(jí)保護(hù)的重要意義、原則、基本內(nèi)容、工作職責(zé)分工、要求和實(shí)施計(jì)劃。2006年1月17日，四部門又下發(fā)了《信息安全等級(jí)保護(hù)管理辦法（試行）》，進(jìn)一步確定職責(zé)分工，明確了公安機(jī)關(guān)負(fù)責(zé)全面工作、國家保密工作部門負(fù)責(zé)涉密信息系統(tǒng)、國家密碼管理部門負(fù)責(zé)密碼工作、國務(wù)院信息辦負(fù)責(zé)的管理職責(zé)和要求。涉及國家秘密的信息系統(tǒng)應(yīng)當(dāng)依據(jù)國家信息安全等級(jí)保護(hù)的基本要求，按照國家保密工作部門涉密信息系統(tǒng)分級(jí)保護(hù)的管理規(guī)定和技術(shù)標(biāo)準(zhǔn)，結(jié)合系統(tǒng)實(shí)際情況進(jìn)行保護(hù)。由于信息系統(tǒng)結(jié)構(gòu)是應(yīng)社會(huì)發(fā)展、社會(huì)生活和工作的需要而設(shè)計(jì)、建立的，是社會(huì)構(gòu)成、行政組織體系的反映，因而這種系統(tǒng)結(jié)構(gòu)是分層次和級(jí)別的，而其中的各種信息系統(tǒng)具有重要的社會(huì)和經(jīng)濟(jì)價(jià)值，不同的系統(tǒng)具有不同的價(jià)值。系統(tǒng)基礎(chǔ)資源和信息資源的價(jià)值大小、用戶訪問權(quán)限的大小、大系統(tǒng)中各子系統(tǒng)重要程度的區(qū)別等就是級(jí)別的客觀體現(xiàn)。信息安全保護(hù)必須符合客觀存在和發(fā)展規(guī)律，其分級(jí)、分區(qū)域、分類和分階段是做好國家信息安全保護(hù)的前提。信息系統(tǒng)安全等級(jí)保護(hù)將安全保護(hù)的監(jiān)管級(jí)別劃分為五個(gè)級(jí)別：第一級(jí)：用戶自主保護(hù)級(jí)完全由用戶自己來決定如何對(duì)資源進(jìn)行保護(hù)，以及采用何種方式進(jìn)行保護(hù)。第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)本級(jí)的安全保護(hù)機(jī)制受到信息系統(tǒng)等級(jí)保護(hù)的指導(dǎo)，支持用戶具有更強(qiáng)的自主保護(hù)能力，特別是具有訪問審計(jì)能力。即能創(chuàng)建、維護(hù)受保護(hù)對(duì)象的訪問審計(jì)跟蹤記錄，記錄與系統(tǒng)安全相關(guān)事件發(fā)生的日期、時(shí)間、用戶和事件類型等信息，所有和安全相關(guān)的操作都能夠被記錄下來，以便當(dāng)系統(tǒng)發(fā)生安全問題時(shí)，可以根據(jù)審計(jì)記錄，分析追查事故責(zé)任人，使所有的用戶對(duì)自己行為的合法性負(fù)責(zé)。第三級(jí)：安全標(biāo)記保護(hù)級(jí)除具有第二級(jí)系統(tǒng)審計(jì)保護(hù)級(jí)的所有功能外，還它要求對(duì)訪問者和訪問對(duì)象實(shí)施強(qiáng)制訪問控制，并能夠進(jìn)行記錄，以便事后的監(jiān)督、審計(jì)。通過對(duì)訪問者和訪問對(duì)象指定不同安全標(biāo)記，監(jiān)督、限制訪問者的權(quán)限，實(shí)現(xiàn)對(duì)訪問對(duì)象的強(qiáng)制訪問控制。第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)將前三級(jí)的安全保護(hù)能力擴(kuò)展到所有訪問者和訪問對(duì)象，支持形式化的安全保護(hù)策略。其本身構(gòu)造也是結(jié)構(gòu)化的，將安全保護(hù)機(jī)制劃分為關(guān)鍵部分和非關(guān)鍵部分，對(duì)關(guān)鍵部分強(qiáng)制性地直接控制訪問者對(duì)訪問對(duì)象的存取，使之具有相當(dāng)?shù)目節(jié)B透能力。本級(jí)的安全保護(hù)機(jī)制能夠使信息系統(tǒng)實(shí)施一種系統(tǒng)化的安全保護(hù)。第五級(jí)：訪問驗(yàn)證保護(hù)級(jí)這一個(gè)級(jí)別除了具備前四級(jí)的所有功能外還特別增設(shè)了訪問驗(yàn)證功能，負(fù)責(zé)仲裁訪問者對(duì)訪問對(duì)象的所有訪問活動(dòng)，仲裁訪問者能否訪問某些對(duì)象從而對(duì)訪問對(duì)象實(shí)行專控，保護(hù)信息不能被非授權(quán)獲取。因此，本級(jí)的安全保護(hù)機(jī)制不易被攻擊、被篡改，具有極強(qiáng)的抗?jié)B透的保護(hù)能力。在等級(jí)保護(hù)的實(shí)際操作中，強(qiáng)調(diào)從五個(gè)部分進(jìn)行保護(hù)，即：物理部分：包括周邊環(huán)境，門禁檢查，防火、防水、防潮、防鼠、蟲害和防雷，防電磁泄漏和干擾，電源備份和管理，設(shè)備的標(biāo)識(shí)、使用、存放和管理等；支撐系統(tǒng)：包括計(jì)算機(jī)系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和通信系統(tǒng)；網(wǎng)絡(luò)部分：包括網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)的布線和防護(hù)、網(wǎng)絡(luò)設(shè)備的管理和報(bào)警，網(wǎng)絡(luò)攻擊的監(jiān)察和處理；應(yīng)用系統(tǒng)：包括系統(tǒng)登錄、權(quán)限劃分與識(shí)別、數(shù)據(jù)備份與容災(zāi)處理，運(yùn)行管理和訪問控制，密碼保護(hù)機(jī)制和信息存儲(chǔ)管理；管理制度：包括管理的組織機(jī)構(gòu)和各級(jí)的職責(zé)、權(quán)限劃分和責(zé)任追究制度，人員的管理和培訓(xùn)、教育制度，設(shè)備的管理和引進(jìn)、退出制度，環(huán)境管理和監(jiān)控，安防和巡查制度，應(yīng)急響應(yīng)制度和程序，規(guī)章制度的建立、更改和廢止的控制程序。由這五部分的安全控制機(jī)制構(gòu)成系統(tǒng)整體安全控制機(jī)制。二、涉密信息系統(tǒng)分級(jí)保護(hù)1997年《中共中央關(guān)于加強(qiáng)新形勢下保密工作的決定》明確了在新形勢下保密工作的指導(dǎo)思想和基本任務(wù)，提出要建立與《保密法》相配套的保密法規(guī)體系和執(zhí)法體系，建立現(xiàn)代化的保密技術(shù)防范體系。中央保密委員會(huì)于2004年12月23日下發(fā)了《關(guān)于加強(qiáng)信息安全保障工作中保密管理若干意見》明確提出要建立健全涉密信息系統(tǒng)分級(jí)保護(hù)制度。2005年12月28日，國家保密局下發(fā)了《涉及國家秘密的信息系統(tǒng)分級(jí)保護(hù)管理辦法》，同時(shí)，《保密法》修訂草案也增加了網(wǎng)絡(luò)安全保密管理的條款。隨著《保密法》的貫徹實(shí)施，國家已經(jīng)基本形成了完善的保密法規(guī)體系。涉密信息系統(tǒng)實(shí)行分級(jí)保護(hù)，先要根據(jù)涉密信息的涉密等級(jí)，涉密信息系統(tǒng)的重要性，遭到破壞后對(duì)國計(jì)民生造成的危害性，以及涉密信息系統(tǒng)必須達(dá)到的安全保護(hù)水平來確定信息安全的保護(hù)等級(jí)；涉密信息系統(tǒng)分級(jí)保護(hù)的核心是對(duì)信息系統(tǒng)安全進(jìn)行合理分級(jí)、按標(biāo)準(zhǔn)進(jìn)行建設(shè)、管理和監(jiān)督。國家保密局專門對(duì)涉密信息系統(tǒng)如何進(jìn)行分級(jí)保護(hù)制定了一系列的管理辦法和技術(shù)標(biāo)準(zhǔn)，目前，正在執(zhí)行的兩個(gè)分級(jí)保護(hù)的國家保密標(biāo)準(zhǔn)是BMB17《涉及國家秘密的信息系統(tǒng)分級(jí)保護(hù)技術(shù)要求》和BMB20《涉及國家秘密的信息系統(tǒng)分級(jí)保護(hù)管理規(guī)范》。從物理安全、信息安全、運(yùn)行安全和安全保密管理等方面，對(duì)不同級(jí)別的涉密信息系統(tǒng)有明確的分級(jí)保護(hù)措施，從技術(shù)要求和管理標(biāo)準(zhǔn)兩個(gè)層面解決涉密信息系統(tǒng)的分級(jí)保護(hù)問題。涉密信息系統(tǒng)安全分級(jí)保護(hù)根據(jù)其涉密信息系統(tǒng)處理信息的最高密級(jí)，可以劃分為秘密級(jí)、機(jī)密級(jí)和機(jī)密級(jí)（增強(qiáng)）、絕密級(jí)三個(gè)等級(jí)：秘密級(jí)：信息系統(tǒng)中包含有最高為秘密級(jí)的國家秘密，其防護(hù)水平不低于國家信息安全因?yàn)椴煌悇e、不同層次的國家秘密信息，對(duì)于維護(hù)國家安全和利益具有不同的價(jià)值，所以需要不同的保護(hù)強(qiáng)度種措施。對(duì)不同密級(jí)的信息，應(yīng)當(dāng)合理平衡安全風(fēng)險(xiǎn)與成本，采取不同強(qiáng)度的保護(hù)措施，這就是分級(jí)保護(hù)的核心思想。對(duì)涉密信息系統(tǒng)的保護(hù)，既要反對(duì)只重應(yīng)用不講安全，防護(hù)措施不到位造成各種泄密隱患和漏洞的“弱保護(hù)”現(xiàn)象；同時(shí)也要反對(duì)不從實(shí)際出發(fā)，防護(hù)措施“一刀切”，造成經(jīng)費(fèi)與資源浪費(fèi)的“過保護(hù)”現(xiàn)象。對(duì)涉密信息系統(tǒng)實(shí)行分級(jí)保護(hù)，就是要使保護(hù)重點(diǎn)更加突出，保護(hù)方法更加科學(xué)，保護(hù)的投入產(chǎn)出比更加合理，從而徹底解決長期困擾涉密單位在涉密信息系統(tǒng)建設(shè)使用中的網(wǎng)絡(luò)互聯(lián)與安全保密問題。由上可以看出國家信息安全等級(jí)保護(hù)是國家從整體上、根本上解決國家信息安全問題的辦法,進(jìn)一步確定了信息安全發(fā)展的主線和中心任務(wù),提出了總體要求。對(duì)信息系統(tǒng)實(shí)行等級(jí)保護(hù)是國家法定制度和基本國策，是開展信息安全保護(hù)工作的有效辦法，是信息安全保護(hù)工作的發(fā)展方向。而涉密信息系統(tǒng)分級(jí)保護(hù)則是國家信息安全等級(jí)保護(hù)在涉及國家秘密信息的信息系統(tǒng)中的特殊保護(hù)措施與方法。由于國家秘密信息與公開信息在內(nèi)容