包頭市信息系統(tǒng)安全等級(jí)保護(hù)培訓(xùn)

議題 包頭市信息系統(tǒng)平安等級(jí)保護(hù)培訓(xùn)

-定級(jí)、備案實(shí)例局部吳海燕1定級(jí)|審批|備案一般流程回憶 系統(tǒng)平安等級(jí)劃分： 第一級(jí)自主保護(hù)級(jí) 第二級(jí)指導(dǎo)保護(hù)級(jí) 第三級(jí)監(jiān)督保護(hù)級(jí) 第四級(jí)強(qiáng)制保護(hù)級(jí) 第五級(jí)專控保護(hù)級(jí)1定級(jí)|審批|備案一般流程回憶根本流程如以下圖所示：2.備案表填寫說明備案表的組成備案表由四張表單構(gòu)成：表一是單位信息，每個(gè)單位填寫一張。表二是信息系統(tǒng)根本信息。表三是信息系統(tǒng)定級(jí)信息；〔表二、表三每個(gè)信息系統(tǒng)填寫一張〕。表四為第三級(jí)以上信息系統(tǒng)需要在系統(tǒng)整改、測(cè)評(píng)等工作完成后再行提交的信息。表二、三、四可以復(fù)印使用，使用時(shí)要注意編號(hào)。如一個(gè)單位有6個(gè)信息系統(tǒng)，那么只需要填寫一張表一，分別填寫六個(gè)表二、三、四。備案表一式二份，由備案單位和受理備案的公安機(jī)關(guān)分別蓋章后，一份由備案單位保存，一份交受理備案公安機(jī)關(guān)存檔。2.備案表填寫說明填表范圍：本表由第二級(jí)〔含〕以上信息系統(tǒng)運(yùn)營(yíng)使用單位或主管部門〔以下簡(jiǎn)稱“備案單位〞〕填寫；如某單位共有6個(gè)信息系統(tǒng)進(jìn)行備案，那么填寫過程中要遵循表二〔1/6〕、表二〔2/6〕……表二〔6/6〕的編號(hào)和命名規(guī)那么。如果6個(gè)信息系統(tǒng)中有3個(gè)是第三級(jí)以上信息系統(tǒng)，那么表四的編號(hào)要和同一信息系統(tǒng)的表二、三的編號(hào)保持一致。如，單位共有6個(gè)信息系統(tǒng)，其中有一個(gè)第三級(jí)以上信息系統(tǒng)A，那么該單位需要填寫1張表一，6張表二和表三，1張表四。假設(shè)A系統(tǒng)表二的編號(hào)為表二〔2/6〕，那么相對(duì)應(yīng)的表四的編號(hào)也應(yīng)當(dāng)是表四〔2/6〕。2.備案表填寫說明六、備案單位：本表封面中的“備案單位〞填寫運(yùn)營(yíng)使用信息系統(tǒng)的法人單位全稱。七、受理備案單位：本表封面中的“受理備案單位〞填寫受理備案民警所在部門的名稱。此項(xiàng)由受理備案的公安機(jī)關(guān)負(fù)責(zé)填寫。八、行政區(qū)劃代碼：表一中04項(xiàng)“行政區(qū)劃代碼〞中6位代碼是指單位所在地縣(區(qū)、市、旗)的代碼，該代碼需與?中華人民共和國(guó)行政區(qū)劃代碼?〔GB2260-1995〕一致。以北京市舉例，標(biāo)準(zhǔn)6位地址碼的構(gòu)成如下：

110000北京市，110101東城區(qū)……。2.備案表填寫說明九、單位負(fù)責(zé)人：表一中的“單位負(fù)責(zé)人〞是指負(fù)責(zé)本單位信息平安的領(lǐng)導(dǎo)。十、責(zé)任部門：表一中的“責(zé)任部門〞是指單位內(nèi)負(fù)責(zé)信息系統(tǒng)平安的部門。如果單位內(nèi)的信息系統(tǒng)分別由不同的責(zé)任部門管理，那么可以分別填寫表一。責(zé)任部門聯(lián)系人：表一中的“責(zé)任部門聯(lián)系人〞是指本單位開展信息平安等級(jí)保護(hù)工作的聯(lián)系人。如果責(zé)任部門聯(lián)系人有多個(gè)，那么可以分別填寫表一。2.備案表填寫說明隸屬關(guān)系：表一中第08項(xiàng)“隸屬關(guān)系〞是指本單位隸屬于哪一級(jí)行政管理單位，按照國(guó)家標(biāo)準(zhǔn)?單位隸屬關(guān)系代碼?(GB/T12404-1997)分為：中央、省、市(地區(qū))、縣、街道、鎮(zhèn)、鄉(xiāng)、社區(qū)(居委會(huì))、村民委員會(huì)和其他單位類型：黨委機(jī)關(guān)是指隸屬于各級(jí)中國(guó)共產(chǎn)黨委員會(huì)及其所屬專門部門。政府機(jī)關(guān)是指隸屬于各級(jí)人民政府的部門或單位。行業(yè)類別：該項(xiàng)為單項(xiàng)選擇項(xiàng)。以單位主要從事的業(yè)務(wù)為依據(jù)進(jìn)行選擇，如公安院校，那么應(yīng)選擇教育而非公安。信息系統(tǒng)總數(shù)：是指本單位內(nèi)所擁有的信息系統(tǒng)個(gè)數(shù)，包括第一級(jí)信息系統(tǒng)。系統(tǒng)名稱：表二中“系統(tǒng)名稱〞是指信息系統(tǒng)進(jìn)行立項(xiàng)建設(shè)或有明文規(guī)定的全稱。2.備案表填寫說明 十二、系統(tǒng)編號(hào)：由備案單位給出的本單位備案信息系統(tǒng)的編號(hào)。備案單位所屬信息系統(tǒng)編號(hào)不能重復(fù)； 系統(tǒng)承載業(yè)務(wù)情況：〔1〕業(yè)務(wù)類型：該項(xiàng)為單項(xiàng)選擇項(xiàng)。是指信息系統(tǒng)所承載的主要業(yè)務(wù)。其中1生產(chǎn)作業(yè)是指：主要為完本錢單位生產(chǎn)直接提供效勞的。2指揮調(diào)度是指：主要用于本單位內(nèi)進(jìn)行指揮、調(diào)度等工作的。3管理控制是指：主要進(jìn)行管理工作的。4內(nèi)部辦公是指：主要為單位內(nèi)部辦公提供效勞的。5公眾效勞是指：主要為社會(huì)公眾提供效勞的?！?〕業(yè)務(wù)描述：是指系統(tǒng)所承載業(yè)務(wù)的具體描述，主要包括系統(tǒng)所承載的業(yè)務(wù)信息包括哪些，信息系統(tǒng)的主要功能等。 系統(tǒng)效勞情況：〔1〕效勞范圍：該項(xiàng)為單項(xiàng)選擇項(xiàng)。如果信息系統(tǒng)跨全國(guó)的所有省，那么選擇10全國(guó)，如果沒有跨全國(guó)所有省，那么選擇11跨省，同時(shí)填寫具體的跨省數(shù)?？绲亍彩小^(qū)〕類似。〔2〕效勞對(duì)象：該項(xiàng)為單項(xiàng)選擇項(xiàng)。單位內(nèi)部人員：是指僅為本單位內(nèi)部人員效勞。社會(huì)公眾人員：是指為社會(huì)群眾提供效勞。兩者均包括：是指既包括單位內(nèi)部人員也包括社會(huì)公眾人員。如果僅為某些特定人群效勞，請(qǐng)選擇其它，并填寫具體效勞的對(duì)象名稱。2.備案表填寫說明十三、系統(tǒng)網(wǎng)絡(luò)平臺(tái)：〔1〕覆蓋范圍：該項(xiàng)為單項(xiàng)選擇項(xiàng)。1局域網(wǎng)：信息系統(tǒng)所依托的網(wǎng)絡(luò)結(jié)構(gòu)是在某一區(qū)域內(nèi)由多臺(tái)計(jì)算機(jī)互聯(lián)成的計(jì)算機(jī)組?！澳骋粎^(qū)域〞指的是同一辦公室、同一建筑物、同一公司和同一學(xué)校等；2城域網(wǎng)：是指該信息系統(tǒng)所依托的網(wǎng)絡(luò)是一種大型的局域網(wǎng)，通常使用與局域網(wǎng)相似的技術(shù)。它可以覆蓋一組鄰近的公司辦公室和一個(gè)城市，既可能是私有的也可能是公用的。比較常見的一個(gè)城市的政府公務(wù)網(wǎng)、教育城域網(wǎng)等；3廣域網(wǎng)：是指信息系統(tǒng)所依托的網(wǎng)絡(luò)是一種跨越大的、地域性的計(jì)算機(jī)網(wǎng)絡(luò)的集合。通?？缭绞　⑹?，甚至一個(gè)國(guó)家；如上述三個(gè)選項(xiàng)均不是，請(qǐng)選擇其他，并在其后的橫線中填寫具體的網(wǎng)絡(luò)覆蓋范圍類型名稱。〔2〕網(wǎng)絡(luò)性質(zhì)：1業(yè)務(wù)專網(wǎng)：是指信息系統(tǒng)所依托的網(wǎng)絡(luò)是單位為開展某項(xiàng)業(yè)務(wù)專門架設(shè)或租用專門線路構(gòu)成的；2互聯(lián)網(wǎng)：是指承載信息系統(tǒng)的網(wǎng)絡(luò)是完全依托互聯(lián)網(wǎng)〔Internet〕的。2.備案表填寫說明系統(tǒng)互聯(lián)情況：該項(xiàng)為多項(xiàng)選擇項(xiàng)。1與其它行業(yè)系統(tǒng)連接：是指該信息系統(tǒng)與本行業(yè)以外的其他行業(yè)的信息系統(tǒng)進(jìn)行連接或共享數(shù)據(jù)。2與本行業(yè)其他單位系統(tǒng)連接：是指該信息系統(tǒng)與行業(yè)內(nèi)其他單位的信息系統(tǒng)進(jìn)行連接或共享數(shù)據(jù)。3與本單位其他系統(tǒng)連接：是指該信息系統(tǒng)與本單位內(nèi)的其他信息系統(tǒng)進(jìn)行連接。如果上述選項(xiàng)均不是，那么選擇其它，并在其后的橫線中注明具體的互聯(lián)情況。2.備案表填寫說明十四、關(guān)鍵產(chǎn)品使用情況：〔1〕產(chǎn)品類型：是指信息系統(tǒng)〔包括網(wǎng)絡(luò)〕中使用的信息技術(shù)產(chǎn)品的類型，其中平安專用產(chǎn)品：是指根據(jù)?計(jì)算機(jī)信息系統(tǒng)平安專用產(chǎn)品檢測(cè)和銷售許可證管理方法?規(guī)定，用于保護(hù)計(jì)算機(jī)信息系統(tǒng)平安的專用硬件和軟件產(chǎn)品，主要包括：掃描類產(chǎn)品〔包括入侵檢測(cè)、防御等產(chǎn)品〕，防雷產(chǎn)品，防火墻，數(shù)據(jù)完整類〔包括身份認(rèn)證、訪問控制、簽章、指紋識(shí)別等〕，網(wǎng)絡(luò)平安〔包括網(wǎng)吧平安管理、審計(jì)產(chǎn)品等〕，病毒產(chǎn)品等。網(wǎng)絡(luò)產(chǎn)品：是指除上述平安產(chǎn)品外的其它網(wǎng)絡(luò)產(chǎn)品，主管包括：路由器、網(wǎng)關(guān)、網(wǎng)閘等。操作系統(tǒng)：是指管理計(jì)算機(jī)系統(tǒng)全部硬件、軟件資源及數(shù)據(jù)資源，控制程序運(yùn)行，改善人機(jī)界面，為其它應(yīng)用軟件提供支持等的，使計(jì)算機(jī)系統(tǒng)所有資源最大限度地發(fā)揮作用，為用戶提供方便的、有效的、友善的效勞界面的專用軟件，常見的操作系統(tǒng)有Windows系列，Linux系列，Unix系列等；數(shù)據(jù)庫(kù)：是指幫助用戶依照某種數(shù)據(jù)模型組織起來(lái)并存放數(shù)據(jù)的軟件，這里主要指數(shù)據(jù)庫(kù)軟件。常見的數(shù)據(jù)庫(kù)軟件有Oracle、Sybase、DB2、SQLserver、Access、MySQL、BD2等；效勞器：又叫主機(jī)。主要是為信息系統(tǒng)集中提供各種類型效勞的主機(jī)。2.備案表填寫說明〔2〕數(shù)量：軟件產(chǎn)品的數(shù)量按購(gòu)置的套數(shù)算，不以實(shí)際安裝的臺(tái)數(shù)計(jì)算。硬件產(chǎn)品的數(shù)量以購(gòu)置的臺(tái)〔件〕數(shù)計(jì)算，如果沒有那么數(shù)量填0。〔3〕使用國(guó)產(chǎn)品率：是指信息系統(tǒng)中使用國(guó)產(chǎn)的某類信息技術(shù)產(chǎn)品數(shù)量占使用該類信息技術(shù)產(chǎn)品總數(shù)量的比例。全部使用，是指該信息系統(tǒng)中使用的該類信息技術(shù)產(chǎn)品全都是國(guó)產(chǎn)品〔品牌、型號(hào)等可以不同〕。全部未使用，是指該信息系統(tǒng)中使用的該類信息技術(shù)產(chǎn)品全都不是國(guó)產(chǎn)品。局部使用率，是指當(dāng)某類產(chǎn)品局部使用國(guó)產(chǎn)品時(shí)，國(guó)產(chǎn)品的使用率。以某類操作系統(tǒng)為例，如某信息系統(tǒng)的主機(jī)〔效勞器〕上共使用了3套操作系統(tǒng)，其中微軟操作系統(tǒng)2套，紅旗操作系統(tǒng)1套，那么該信息系統(tǒng)中使用操作系統(tǒng)的國(guó)產(chǎn)品率就是33%〔1/3〕，再如某信息系統(tǒng)中共使用了20個(gè)路由器，其中10個(gè)國(guó)內(nèi)產(chǎn)品，10個(gè)國(guó)外產(chǎn)品，此外還使用了20個(gè)網(wǎng)關(guān)，其中15個(gè)國(guó)內(nèi)產(chǎn)品，5個(gè)國(guó)外產(chǎn)品，那么該信息系統(tǒng)中使用網(wǎng)絡(luò)產(chǎn)品的國(guó)產(chǎn)品率就是62.5%〔10+15/20+20〕。國(guó)產(chǎn)品是指該類產(chǎn)品的研制、生產(chǎn)單位是由中國(guó)公民、法人投資或者國(guó)家投資或者控股，在中華人民共和國(guó)境內(nèi)具有獨(dú)立的法人資格，產(chǎn)品的核心技術(shù)、關(guān)鍵部件具有我國(guó)自主知識(shí)產(chǎn)權(quán)。2.備案表填寫說明十五、系統(tǒng)采用效勞情況：是指信息系統(tǒng)在規(guī)劃、設(shè)計(jì)、建設(shè)、運(yùn)維、終止等生命周期的各個(gè)階段采用的由供給商、組織機(jī)構(gòu)或人員所執(zhí)行的一系列的平安過程或任務(wù)?！?〕效勞類型。等級(jí)測(cè)評(píng)：是指依據(jù)等級(jí)保護(hù)測(cè)評(píng)標(biāo)準(zhǔn)對(duì)相應(yīng)等級(jí)信息系統(tǒng)開展的標(biāo)準(zhǔn)符合性測(cè)評(píng)，測(cè)評(píng)完成后出具符合相應(yīng)等級(jí)要求〔符合?根本要求?〕的測(cè)評(píng)報(bào)告，報(bào)公安機(jī)關(guān)備案；風(fēng)險(xiǎn)評(píng)估：是指信息平安風(fēng)險(xiǎn)評(píng)估；災(zāi)難恢復(fù)：是指將信息系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到可正常運(yùn)行狀態(tài)，并將其支持的業(yè)務(wù)功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)的活動(dòng)和流程；應(yīng)急響應(yīng)：是指對(duì)影響計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)平安的不當(dāng)行為〔事件〕進(jìn)行標(biāo)識(shí)、記錄、分類和處理，直到受影響的效勞恢復(fù)正常運(yùn)行的過程；系統(tǒng)集成：是指系統(tǒng)集成商使用硬件和軟件資源來(lái)滿足用戶的特定需求的過程；平安咨詢：是指為開展信息系統(tǒng)平安工作，由信息系統(tǒng)運(yùn)營(yíng)使用或主管部門發(fā)起的咨詢工作；平安培訓(xùn)：是指為開展平安工作對(duì)相應(yīng)人員進(jìn)行的培訓(xùn)；如果在上述效勞外還采用了其他效勞，可以選其它，并在其后的橫線中標(biāo)明具體的內(nèi)容。2.備案表填寫說明〔2〕效勞責(zé)任方類型：是指提供效勞的效勞單位是屬于本行業(yè)的，還是屬于國(guó)內(nèi)其他行業(yè)〔單位〕，還是國(guó)外效勞商。國(guó)內(nèi)效勞商是指效勞機(jī)構(gòu)在我國(guó)境內(nèi)注冊(cè)成立，由中國(guó)公民、法人或國(guó)家投資的企事業(yè)單位。等級(jí)測(cè)評(píng)單位名稱：是指開展等級(jí)測(cè)評(píng)工作的測(cè)評(píng)單位的全稱。何時(shí)投入運(yùn)行使用：是指信息系統(tǒng)正式投入運(yùn)行使用的時(shí)間。試運(yùn)行時(shí)間不算在內(nèi)。系統(tǒng)是否是分系統(tǒng)：分系統(tǒng)是指大系統(tǒng)分支應(yīng)用的信息系統(tǒng)或完成大系統(tǒng)局部功能的信息系統(tǒng)。上級(jí)系統(tǒng)名稱：如果該信息系統(tǒng)是分系統(tǒng)，那么需要填寫該項(xiàng)。上級(jí)系統(tǒng)是指分系統(tǒng)所隸屬或歸屬的信息系統(tǒng)。2.備案表填寫說明十六、確定業(yè)務(wù)信息平安保護(hù)等級(jí)、確定系統(tǒng)效勞平安保護(hù)等級(jí)、信息系統(tǒng)平安保護(hù)等級(jí)：是指根據(jù)?定級(jí)指南?確定業(yè)務(wù)和系統(tǒng)效勞等級(jí)后，信息系統(tǒng)最終的平安保護(hù)等級(jí)由業(yè)務(wù)信息平安等級(jí)和系統(tǒng)效勞平安等級(jí)兩個(gè)較高者確定。專家評(píng)審情況：是指請(qǐng)專家對(duì)信息系統(tǒng)定級(jí)情況進(jìn)行評(píng)審的情況。其中第四級(jí)以上信息系統(tǒng)須由國(guó)家信息平安保護(hù)等級(jí)專家評(píng)審委進(jìn)行評(píng)審。主管部門：是指本單位信息系統(tǒng)所承載業(yè)務(wù)的上級(jí)主管部門。只有該類主管部門對(duì)信息系統(tǒng)定級(jí)的準(zhǔn)確與否具有發(fā)言權(quán)。如果業(yè)務(wù)主管部門不明確，也可以將本單位的上級(jí)行政主管部門作為其主管部門。如果業(yè)務(wù)主管部門和行政主管部門均不明確，那么可以不填。一般而言，部委的主管部門就是其自身，省廳的主管部門也是其自身。2.備案表填寫說明系統(tǒng)定級(jí)報(bào)告：是指依據(jù)?定級(jí)報(bào)告模版?編寫的定級(jí)報(bào)告。所有信息系統(tǒng)均應(yīng)該填寫。系統(tǒng)拓?fù)浣Y(jié)構(gòu)及說明：是指信息系統(tǒng)中的效勞器、工作站的網(wǎng)絡(luò)配置和相互間的連接方式圖及其說明。系統(tǒng)平安組織機(jī)構(gòu)及管理制度：是指根據(jù)?根本要求?進(jìn)行系統(tǒng)整改后建立的信息平安組織機(jī)構(gòu)及管理制度。系統(tǒng)平安保護(hù)設(shè)施設(shè)計(jì)實(shí)施方案或改建實(shí)施方案：是指根據(jù)信息系統(tǒng)所定平安保護(hù)等級(jí)與?根本要求?對(duì)相應(yīng)等級(jí)的要求，制定的系統(tǒng)設(shè)計(jì)實(shí)施方案〔新建系統(tǒng)〕或改建實(shí)施方案〔已有系統(tǒng)〕。2.備案表填寫說明系統(tǒng)使用的平安產(chǎn)品清單及認(rèn)證、銷售許可證明：是指該信息系統(tǒng)具體使用的信息平安產(chǎn)品名稱、型號(hào)、數(shù)量、購(gòu)置日期、生產(chǎn)單位、銷售單位、是否取得計(jì)算機(jī)平安專用產(chǎn)品銷售許可證、銷售許可證號(hào)、在同類型〔功能〕產(chǎn)品中該產(chǎn)品的使用率等信息。系統(tǒng)等級(jí)測(cè)評(píng)報(bào)告：是指由符合條件的等級(jí)測(cè)評(píng)單位根據(jù)信息系統(tǒng)確定的平安保護(hù)等級(jí)，依據(jù)?根本要求?、?測(cè)評(píng)準(zhǔn)那么?等標(biāo)準(zhǔn)對(duì)信息系統(tǒng)開展測(cè)評(píng)后出具的報(bào)告，提交公安機(jī)關(guān)備案的測(cè)評(píng)報(bào)告必須是測(cè)評(píng)合格的報(bào)告。十七、上級(jí)主管部門審批意見：是指上級(jí)主管部門對(duì)信息系統(tǒng)定級(jí)情況的審批意見。3定級(jí)|備案實(shí)例1單位背景:XXX保險(xiǎn)股份成立于XXX年，是由中國(guó)保險(xiǎn)監(jiān)督管理委員會(huì)直接管理的全國(guó)性保險(xiǎn)公司之一。公司十分重視信息化建設(shè)，目前完成了辦公、核心業(yè)務(wù)、電子商務(wù)平臺(tái)的建設(shè)。3定級(jí)|備案實(shí)例1確定定級(jí)對(duì)象電子商務(wù)系統(tǒng)核心業(yè)務(wù)系統(tǒng)辦公系統(tǒng)3定級(jí)|備案實(shí)例1定級(jí)對(duì)象分析——結(jié)構(gòu)示意圖3定級(jí)|備案實(shí)例1定級(jí)對(duì)象分析——硬件設(shè)備信息詳細(xì)清單服務(wù)器型號(hào)操作系統(tǒng)CPU內(nèi)存硬盤IPWeb服務(wù)IBMx365TurboLinuxx.x.x.xORACLE數(shù)據(jù)庫(kù)IBMx365TurboLinuxx.x.x.x前置機(jī)IBMx235TurboLinux512x.x.x.x內(nèi)容管理(CMS)IBMx365TurboLinuxx.x.x.x維護(hù)專用機(jī)IBMx365Windows2000px.x.x.x3定級(jí)|備案實(shí)例1定級(jí)要素分析——業(yè)務(wù)信息核心業(yè)務(wù)數(shù)據(jù)電子商務(wù)數(shù)據(jù)客戶信息數(shù)據(jù)網(wǎng)站內(nèi)容管理數(shù)據(jù)3定級(jí)|備案實(shí)例1業(yè)務(wù)信息平安等級(jí)確定業(yè)務(wù)信息被破壞后受侵害的客體和侵害程度：公民、法人和其他組織的合法