2007-09-25用7个习惯看等级保护的落实
20070602信息安全等级保护管理办法(公通字【2007】43号)
关于印发《信息安全等级保护管理办法》的通知各省、自治区、直辖市公安厅（局）、保密局、国家密码管理局（国家密码管理委员会办公室）、信息化领导小组办公室，新疆生产建设兵团公安局、保密局、国家密码管理局、信息化领导小组办公室，中央和国家机关各部委保密委员会办公室、密码工作领导小组办公室、信息化领导小组办公室，各人民团体保密委员会办公室：为加快推进信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》。
现印发给你们，请认真贯彻执行。
公安部国家保密局国家密码管理局国务院信息工作办公室二〇〇七年六月二十二日主题词：信息安全等级保护管理办法抄送：中央办公厅、国务院办公厅。
中央和国家机关各部委，国务院各直属机构、办事机构、事业单位，国务院部委管理的各国家局。
国家保密局、国家密码管理局、国务院信息化工作办公室有关部门。
公安部党委，部属有关局级单位。
（存档3份共印2500份）公安部办公厅2007年6月27日印发承办人：郭启全刘伟校对：郭启全信息安全等级保护管理办法第一章总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。
第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。
第三条公安机关负责信息安全等级保护工作的监督、检查、指导。
国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。
国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。
涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。
等级保护讲解
05
等级保护的挑战与未来
等级保护当前面临的挑战
法规和标准不完善
当前等级保护相关的法规和标准尚不 完善，需要进一步完善和补充。
技术手段不足
现有的技术手段不足以应对不断变化 的网络攻击手段，需要加强技术创新 和研发。
意识和重视程度不够
部分单位和企业对等级保护的意识和 重视程度不够，需要加强宣传和教育 。
目的
通过信息安全等级保护，发现和纠正存在的薄弱环节，提高 信息系统的安全防范能力，预防和减少信息安全事件的发生 。
等级保护的历史与发展
起源
等级保护起源于美国，最初针对 核设施的安全管理，后来逐步扩 大到其他重要基础设施和信息系 统的安全管理。
我国等级保护
我国于2007年6月开始实施信息 安全等级保护制度，标志着我国 信息安全工作进入一个新的发展 阶段。
需要加强等级保护的培训和教育，提高全社 会的信息安全意识，培养更多的信息安全专 业人才。
THANKS
谢谢您的观看
加强网络和系统安全 防护
医疗机构应加强网络和系统安全 防护，建立完善的网络安全体系 和应急预案，并定期开展安全风 险评估和演练，确保医疗信息的 安全性和可靠性。
加强数据管理和应用 安全
医疗机构应加强数据管理和应用 安全，建立完善的数据管理制度 和流程，并采取加密和安全存储 等措施，确保医疗数据的机密性 和完整性。
保障国家安全和社会稳定
信息安全事件可能对国家安全和社会稳定造成严重影响，等级保护有助于预防和减少这类事件的发生，保障国家安全和社 会稳定。
促进信息化建设健康发展
随着信息化建设的深入发展，信息和信息系统的安全问题越来越突出，等级保护可以促进信息化建设健康发展，推动信息 化建设的良性循环。
信息安全等级保护管理规定公通字文件定稿版
信息安全等级保护管理规定公通字文件精编W O R D版IBM system office room 【A0816H-A0912AAAHH-GX8Q8-GNTHHJ8】信息安全等级保护管理办法（公通字[2007]43号）作者 : 来源 : 公安部、国家保密局、国家密码管理局、国务院信息工作办公室时间：2007-字体：大中小06-22第一章?总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。
第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。
第三条公安机关负责信息安全等级保护工作的监督、检查、指导。
国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。
国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。
涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。
国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。
第二章等级划分与保护第六条国家信息安全等级保护坚持自主定级、自主保护的原则。
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
第七条信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
信息安全等级保护管理办法公通字
信息安全等级保护管理办法（公通字[2007]43号）作者 : 来源 : 公安部、国家保密局、国家密码管理局、字体：大中小国务院信息工作办公室时间：2007-06-22第一章总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。
第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。
第三条公安机关负责信息安全等级保护工作的监督、检查、指导。
国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。
国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。
涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。
国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。
第二章等级划分与保护第六条国家信息安全等级保护坚持自主定级、自主保护的原则。
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
第七条信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
国家信息安全等级保护制度
1四部委下发公通字[2007]43号文《信息安全等级保护管理办法》是为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规而制定的办法。
由四部委下发，公通字200743号文。
2 制定目的规范信息安全等级保护管理。
文号公通字200743号文第一章总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。
第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。
第三条公安机关负责信息安全等级保护工作的监督、检查、指导。
国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。
国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。
涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。
国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。
第二章等级划分与保护第六条国家信息安全等级保护坚持自主定级、自主保护的原则。
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
第七条信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
信息安全等级保护管理办法(公通字(精选)[2007]43号)
![信息安全等级保护管理办法(公通字(精选)[2007]43号)](https://img.taocdn.com/s3/m/3e4221b681c758f5f61f67f6.png)
精心整理信息安全等级保护管理办法（公通字[2007]43号）第一章?总则????第一条?为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国????管理。
????????第四条?信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
????第五条?信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。
????第二章?等级划分与保护????????????????????????或者对国家安全造成严重损害。
????第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
????第八条?信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。
????第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
????第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保????护。
检查。
????????????第三章?等级保护的实施与管理????第九条?信息系统运营、使用单位应当按照《信息系统安全等级保护实施指南》具体实施等级保护工作。
????第十条?信息系统运营、使用单位应当依据本办法和《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。
有主管部门的，应当经主管部门审核批准。
????跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。
????对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。
????????）、《信（????第十三条?运营、使用单位应当参照《信息安全技术?信息系统安全管理要求》（GB/T20269-2006）、《信息安全技术?信息系统安全工程管理要求》（GB/T20282-2006）、《信息系统安全等级保护基本要求》等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。
信息安全等级保护管理办法(公通字[2007]43号)
![信息安全等级保护管理办法(公通字[2007]43号)](https://img.taocdn.com/s3/m/f61a7ea4dd3383c4bb4cd286.png)
信息安全等级保护管理办法第一章总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。
第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。
第三条公安机关负责信息安全等级保护工作的监督、检查、指导。
国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。
国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。
涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。
国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。
第二章等级划分与保护第六条国家信息安全等级保护坚持自主定级、自主保护的原则。
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
第七条信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
等级保护
26
等级保护-主机安全整改要点
27
入侵防范
剩余信息保护
比较超前 较难实现
安全审计
访问控制
身份鉴别
资源控制
恶意代码防范
28
ቤተ መጻሕፍቲ ባይዱ
等级保护-应用安全概述
应用系统的安全就是保护系统的各种应用程序安全运行。包括 基本应用，如：消息发送、web浏览等；业务应用，如：电子 商务、电子政务等。 应用安全具体包括：9个控制点 身份鉴别（S）、访问控制（S）、安全审计 （G）、 剩余信息保护（S）、 通信完整性（S）、通信保密性（S）、抗抵赖（G）、 软件容错（A）、资源控制（A）
二级 一级
• 信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或 者对社会秩序和公共利益造成损害，但不损害国家安全。 • 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害 国家安全、社会秩序和公共利益。
9
等级保护-定级
定级建议参考
一级信息系统：公民个人的单机系统，小型集体、民营企业 所属的信息系统，中、小学 校的信息系统，乡镇级党政机关、事业单位的信息系统，其他小型组织的信息系统。 二级信息系统：县级、地市级电信、广电、银行、铁道、海关、税务、民航、证券、电力、 保险、公安、财务、财政、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、 交通运输、国土资源、邮政、 应急抢险、农业等行业所属独立的信息系统，中型集体、 民营企业、小型国有企业所属的信息系统，县级党政机关、事业单位的信息系统，普通高 等院校和科研机构的信息系统，其他中型组织的信息系统。 三级信息系统：省级和副省级电信、广电、银行、铁道、海关、税务、民航、证券、电力、 保险、公安、财政、金融、社保、工商、审计、能源、化工、社会服 金融、社保、工商、 审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险、农业 等行业所属独立的重要信息系统，大型集体、民营企业、大中型国有企业所属的重要信息 系统，地市级党政机关、事业单位的重要信息系统，重点高等院校和科研机构的重要信息 系统，其他大中型组织的信息系统。