1等级保护工作主要内容
4、等级保护工作的主要流程
4、等级保护工作的主要流程
等级保护工作的主要流程如下：
1. 制定保护等级：首先，确定需要保护的目标，如机密文件、计算机系统或设备等。
然后，根据目标的重要性和敏感程度，制定相应的保护等级，如机密、秘密或非密。
2. 确定保护措施：根据目标的保护等级，确定相应的保护措施。
这包括物理安全措施，如安装安全门、摄像头、防盗报警系统等；以及逻辑安全措施，如访问控制、加密、
网络安全等。
3. 建立保护控制措施：依据确定的保护措施，建立相应的防护控制措施。
这包括确保
物理安全设备的运行正常，配置适当的访问控制策略，制定密码策略等。
4. 实施保护措施：根据建立的保护控制措施，进行实施。
这包括布置物理安全设备，
配置访问控制系统，加密数据，更新安全补丁等。
5. 监控与评估：对已实施的保护措施进行监控与评估，确保其有效性和适应性。
包括
定期检查物理安全设备的运行情况，审查访问日志，进行漏洞扫描等。
6. 修正与改进：根据监控和评估结果，及时修正和改进保护措施。
如修复发现的漏洞，更新访问控制策略，加强员工培训等。
7. 培训与意识教育：定期开展培训和意识教育活动，提高员工对保护等级的认识和重
视程度。
这有助于提高员工的安全意识，降低内部人员因疏忽或错误导致的安全风险。
8. 应急响应与恢复：建立应急响应与恢复机制，以应对可能发生的安全事件。
包括建
立应急预案，培训应急响应人员，演练应急响应等。
以上是等级保护工作的主要流程，通过逐步执行这些流程，可以建立起一套完整的等级保护机制，确保目标的安全性和机密性。
等级保护知识点总结
等级保护知识点总结等级保护是一种保护措施，旨在确保特定资源得到适当保护和管理，以维持其自然状态。
等级保护通常适用于受到威胁的自然资源，包括野生动植物、生态系统、文化遗产等。
在国际、国家和地方层面，等级保护都是以不同的形式和标准存在的。
在国际上，联合国和其他国际组织通常会制定国际标准和指南，以便各国共同采取行动。
在国家层面，政府通常会设立相应的法律法规和管理机构，以保护和管理本国的自然资源。
在地方层面，各级政府和社会组织通常会根据具体情况采取相应措施进行保护和管理。
等级保护的目标是确保受到威胁的资源得到有效的保护和管理，以维持其生态平衡和文化价值。
等级保护通常包括以下几个方面：1. 制定保护计划和措施。
为了实现保护目标，通常需要制定具体的保护计划和措施。
例如，针对某个物种或生态系统，可以制定种群保护计划和栖息地保护计划，以确保其得到有效的保护和管理。
此外，还可以制定相关的法律法规，设立专门的管理机构，开展宣传和教育活动等。
2. 进行监测和评估。
为了了解受保护资源的现状和变化，需要进行定期的监测和评估工作。
通过监测和评估，可以及时发现问题和风险，采取相应的措施进行调整。
3. 加强执法和监管。
为了确保保护措施得到有效实施，需要加强执法和监管工作。
否则，很难保证资源得到有效的保护和管理。
4. 加强国际合作。
许多受保护资源具有跨国或跨区域性的特点，需要通过国际合作来加强保护和管理。
例如，野生动物迁徙、跨境水域保护等问题都需要加强国际合作。
5. 促进可持续利用。
很多受保护资源具有经济利用价值，需要在保护的前提下促进其可持续利用。
例如，通过野生动植物保护区的建设和管理，可以促进野生动植物的保护和可持续利用。
在实践中，等级保护通常面临以下一些挑战和问题：1. 资源有限。
很多受保护资源受到威胁的原因之一就是资源有限，因此保护工作往往面临资金、人力和技术等方面的限制。
2. 利益冲突。
受保护资源的保护和利用往往会涉及到各种利益冲突，如开发利益、利益分配等问题。
国家信息安全等级保护制度的主要内容和要求
公
安
公安部 网络安全保卫局 郭启全
部
全国公安机关网络安全保卫部门 机构和职责
机构：公安部：网络安全保卫局
公
各省：网络警察总队 地市：网络警察支队
区县：网络警察大队
安 职责：制定信息安全政策
互联网安全管理，网上监控
部
打击网络犯罪
重要系统安全监察
网络与信息安全通报
部 对故意将信息系统安全级别定低，逃避公 安、保密、密码部门监管，造成信息系统 出现重大安全事故的，要追究单位和人员 的责任。
二、等级保护政策体系和标准体系
（一）信息安全等级保护政策体系
公
近几年，公安部根据国务院147号 令的授权，会同国家保密局、国家密
码管理局、发改委、原国务院信息办
安
出台了一些文件，公安部对有些具体 工作出台了一些指导意见和规范，构
部 （三）通过对信息系统开展等级测评，及时 发现了信息系统的安全隐患、漏洞和薄弱 环节，初步掌握了重要信息系统安全保护 状况。
近年来等级保护工作成效
（四）通过开展信息安全等级保护安全
公
建设整改，重要信息系统安全防护能 力显著增强，信息安全事件（事故）
数量明显下降。
安 （五）重要行业、部门以等级保护工作
部 支持、服务等工作，并接受监管部门的
监督管理。
一、等级保护制度的主要内容
专家组
公 宣传等级保护相关政策、标准； 指 导备案单位研究拟定贯彻实施意见和建设 规划、技术标准的行业应用；参与定级和
安 安全建设整改方案论证、评审；协助发现
树立典型、总结经验并推广；跟踪国内外
部 信息安全技术最新发展，开展等级保护关
等级保护定级工作指南
等级保护定级工作指南好吧，今天咱们聊聊等级保护定级工作，嘿，别一听到这些大词就觉得一头雾水，这个事情其实跟咱们生活中的很多事儿都有点儿像——就好比你家里的钥匙，锁得严严实实，万一丢了咋办？怎么才能保证东西不丢，安全系数足够高呢？这个就是“等级保护定级”的核心思想。
简单说，就是怎么让你的数据、系统、设备都能妥妥地处在一个安全的位置，不容易被外界搞乱。
这可不是随便玩玩的事情，搞不好就会变成“瓮中捉鳖”，说不定你的数据就被人悄悄拿走了。
要是这么简单，哪还需要什么定级呢？你看，等级保护定级听上去有点复杂，但其实道理很简单，什么呢？就是你得评估你的网络系统、应用程序，甚至是你那台随时待命的服务器，这些东西对你来说到底有多重要。
如果说你一个小公司，数据就几条，根本没啥价值，那你可能用个低一点的保护级别就够了。
但如果你是个大企业，客户的数据、公司的财务状况甚至是战略规划都在你的系统里，哎呀，那保护级别可得往上调，得像守着黄金一样。
不信你问问那些大公司，哪家公司敢随便放松数据保护的标准？他们可都是把所有的安全措施当成金子一样，分分钟把你掏空了，自己的数据还得好好藏着。
等级保护定级，就是给这些数据和系统划个“安全等级”——分高低的，就像酒店的星级一样。
五星级的，当然是最严密的保护；而一星级的，呵呵，估计也就用个密码锁差不多了。
要是你公司啥都没保护，别人随便一入侵，那就真是“有便宜谁不捡”的事情了。
再说了，这个“定级”可不是瞎定的，是要有一定的标准、规则的。
没错，国家也规定了哪些东西必须分成几个等级，分别对应不同的保护力度。
等级从一级到五级不等，第五级的就是最为严密的，一级的是最简单的，主要看你的业务内容、存储的数据类型、系统的运行环境等多方面的因素。
你要想知道自己属于哪个等级，就得先仔细审视一下自己到底存储了哪些内容，有没有涉及国家机密、用户隐私之类的。
如果你是个互联网平台，每天处理几百万的用户数据，那你的系统肯定要上个高等级。
等级保护工作的正确流程
等级保护工作的正确流程等级保护是现代社会中一种重要的安全措施，它旨在保护机构、组织或个人的信息和资产免受未经授权的访问、使用、披露、破坏、修改、复制或移动等风险。
为了确保等级保护工作的有效性和顺利进行，需要遵循一定的流程和步骤。
本文将介绍等级保护工作的正确流程。
第一步：制定等级保护策略制定等级保护策略是等级保护工作的首要任务。
等级保护策略应根据机构、组织或个人的实际情况和需求来制定，包括确定等级保护的目标、范围、等级划分标准、等级保护措施等内容。
制定等级保护策略需要综合考虑信息的重要性、敏感性、机密性以及可能面临的威胁和风险。
第二步：评估风险和威胁评估风险和威胁是等级保护工作的关键环节。
通过对信息系统和资产的风险和威胁进行全面、系统的评估，可以确定哪些信息系统和资产是最容易受到攻击和侵害的，从而为等级保护工作的重点确定提供依据。
评估风险和威胁需要考虑各种可能的威胁来源，如黑客攻击、病毒感染、数据泄露等，以及可能造成的损失和影响。
第三步：制定等级保护方案根据对风险和威胁的评估结果，制定等级保护方案是等级保护工作的重要环节。
等级保护方案应包括详细的技术和管理措施，以确保信息系统和资产的安全性和保密性。
技术措施包括网络防火墙、入侵检测系统、加密技术等，而管理措施包括人员培训、访问控制、备份和恢复等。
制定等级保护方案需要充分考虑实际情况和可行性，确保措施的有效性和可操作性。
第四步：实施等级保护措施根据等级保护方案，对信息系统和资产进行相应的安全措施实施。
实施等级保护措施需要根据实际情况和需求，有计划、有步骤地进行。
在实施过程中，需要充分考虑措施的可行性和有效性，确保措施的顺利实施和达到预期的效果。
第五步：监控和评估等级保护工作等级保护工作不是一次性的，而是一个持续不断的过程。
在实施等级保护措施后，需要建立监控机制，及时发现和处理安全事件和漏洞。
监控可以通过日志审计、安全漏洞扫描、入侵检测等手段进行。
同时，还需要定期评估等级保护工作的效果和成果，及时调整和改进等级保护策略和方案。
信息安全等级保护制度的主要内容和工作要求概述
三、等级保护(bǎohù)工作的具体内容和 要求
第三级信息系统：一般适用于地市级以上国家
机关、企业、事业单位内部重要的信息系统，
信息安全等级保护制度 的主要内容(nèiróng)和
工作要求概述
2002211//1111/5/5
第一页，共38页。
目录
一、信息安全等级保护制度的主要内容 二、信息安全等级保护政策、标准(biāozhǔn)
体系 三、等级保护工作的具体内容和工作要求
第二页，共38页。
一、等级保护制度的主要(zhǔyào) 内容
◆第五级，信息系统受到破坏后，会对国家
第二十七页，共38页。
三、等级(děngjí)保护工作的具体内容 和要求
实际操作中参考(cānkǎo)确定信息系统等级： ◆第一级信息系统：适用于小型私营、个体企业、
中小学、乡镇所属信息系统、县级单位中一般的 信息系统。
◆第二级信息系统：适用于县级某些单位中的重要 信息系统；地市级以上国家机关、企事业单位内 部一般的信息系统。例如非涉及工作秘密、商业 秘密、敏感信息的办公系统和管理系统等。
第十八页，共38页。
第十九页，共38页。
（二）信息安全等级保护标准 (biāozhǔn)体系
基础标准： 《计算机信息系统安全保护等级(děngjí)划分
准则》。 在此基础上制定出技术类、管理类、 产品类标准。 安全要求：
《信息系统安全等级(děngjí)保护基本要求》 信息系统安全等级(děngjí)保护的行业规范
导《
意关
见于
》开
公 信 安
展 信 息 安
全
等
级
保
号
护 安
全
等级保护制度介绍
等级保护制度介绍
等级保护制度是指根据个人的能力、资历和职务等级，对其进行特定的保护和福利待遇的一种制度。
其主要目的是确保人力资源的合理配置，提高员工的工作积极性和幸福感，同时促进组织的稳定发展。
等级保护制度通常适用于政府机关、企事业单位等组织中的工作人员。
根据不同的岗位等级、职务级别和工作年限等因素，员工被分为不同的等级。
不同等级的员工享受不同的保护和福利待遇。
等级保护制度一般包括以下方面：
1. 薪资待遇保护：员工的薪资水平与其等级相匹配，不会因为其他因素而降低或受到不公平待遇。
一般来说，较高等级的员工享受较高的薪资水平。
2. 晋升机会保护：等级较高的员工有更多的晋升机会，可以提升职务及工资水平。
这种制度可以激励员工努力工作，提高自身能力水平，从而获得更好的职业发展。
3. 福利保障：等级较高的员工通常享受更多的福利待遇，包括但不限于年终奖金、住房补贴、医疗保险等。
这些福利可以提高员工的生活质量，增强其对组织的归属感和忠诚度。
4. 工作环境保护：等级较高的员工通常享受较好的工作环境，包括舒适的办公场所、配备完善的办公设备等。
这些条件可以
提高员工的工作效率和工作满意度。
5. 培训和发展机会：等级较高的员工通常享有更多的培训和发展机会，可以提高自身的能力和知识水平。
这有助于员工不断提升自己，适应组织的发展需要。
通过等级保护制度，组织可以更好地管理人力资源，激发员工的工作动力，提高员工的工作积极性和职业发展机会。
同时，该制度也能够增强员工对组织的归属感和忠诚度，促进组织的稳定发展。
等级保护测评工作内容
等级保护测评工作内容
1.系统调查：深入了解系统的基本情况和特点，包括系统的用途、功能、组成结构、重要性等。
2. 安全威胁分析：分析系统所面临的安全威胁，包括黑客攻击、病毒、木马、恶意软件等，以及可能导致系统瘫痪、数据泄露等问题。
3. 安全等级评定：根据系统的安全性能、保密性、可用性等方面的要求，评定系统的安全等级，并提供安全等级评定报告。
4. 安全加固建议：针对评定结果，提供相应的安全加固建议，包括技术加固、管理加固等方面的措施。
5. 测评报告：提供详细的测评报告，包括系统安全状态、安全等级评定结果、安全威胁分析及加固建议等内容，供相关单位参考。
以上是等级保护测评工作的主要内容。
通过等级保护测评工作，能够全面评估国家重要信息系统的安全性，并提出有效的加固建议，为信息安全提供保障。
- 1 -。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息系统安全等级保护 测评过程及方法
公安部信息安全等级保护评估中心
1
内容目录
1. 等级测评概述 2. 相关标准 3. 测评实施工作流程
2
几个问题
为什么需要对信息系统进行等级测评？ 什么是“等级测评” ？
如何开展等级测评？
3 3
规定步骤
定级
备案
安全建设整改
等级测评
安全 策略
环 设 网 系 运 … 境 备 络 统 行
策略
制度
出 入 登 记
介 质 使 用
资 产 登 记
漏 洞 扫 描
口 令 更 换
版 本 升 级
文 档 管 理
…
操作 规程
相应表格 相应操作记录
53
记录
现场测评—现场测评记录表
网络安全现场测评记录表 管理安全现场测评记录表 物理安全测评测评记录表 应用安全现场测评记录表 主机安全测评测评记录表
模拟攻击工具 渗透工具
36
编制测评方案—结构
37
编制测评方案—概述
38
编制测评方案—被测信息系统情况
39
编制测评方案—被测信息系统情况
40
编制测评方案—测评对象
41
编制测评方案—漏洞扫描
42
编制测评工作计划
43
编制测评工作计划
44
测评流程
单项符合性判定 选择测评对象 选择测评指标 确定测评方法 编制测评计划 整体测评 安全问题分析 形成测评结论 提出整改建议
10
等测特点
执行主体：符合条件的测评机构 执行的强制性：管理办法强制周期性执行 执行对象：已经定级的信息系统 测评依据：依据《基本要求》 测评内容：单元测评（技术和管理）和整体测评 测评付出：不同级别的测评力度不同 测评方式：访谈、检查和测试 服务对象：主管部门，运维、使用单位，信息安全监管部门
测评对象：
应用系统 网络设备、安全设备 主机、数据库管理系统
51
单元测评－管理
人员 安全主管/主机、应用、网络等安全管理员 机房管理员/文档管理员等 文档
管理文档（策略、制度、规程）
记录类（会议记录、运维记录） 其它类（机房验收证明等）
52
安全管理制度 文档体系
网络互联设备 网络安全设备 网络管理平台
相应设计/验收文档，设备的运行日志等
49
单元测评－应用系统
测评对象包括 业务应用系统 委托第三方定制开发业务应用系统
50
单元测评－数据层面
数据层面构成组件主要包括信息系统安全功能数据和 用户数据。对于传输和处理过程中的数据，一般有机 密性和完整性的安全要求，而对于存储中的数据，还 需要有备份恢复的安全要求。
信息系统定期开展等级测评,查找发现信息系统的 安全问题、漏洞和安全隐患并及时整改。
-8-
了解现状 明确整改
国家要求 行业要求
等保
9
②等级测评
等级测评是指，测评机构依据国家信息安全 等级保护制度规定，按照有关管理规范和技术标 准，对非涉及国家秘密的信息系统的安全等级保 护状况进行检测评估的活动。
内容目录
1. 等级测评概述 2. 相关标准 3. 测评实施工作流程
14
信息系统安全 等级保护测评要求
1 范围 2 规范性引用文件 3 术语和定义 等级 4 概述 5 第一级信息系统单元测评 安全分类 5.1 安全技术测评 5.1.1 物理安全 安全控制点（子类） 单元测评描述 技术/管理
5.2 安全管理测评
全建设整改、信息安全等级保护宣传教育等工作的技术支持。
不得从事下列活动：
（一）泄露知悉的被测评单位及被测评信息系统的国家秘密和工
作秘密；
（二）故意隐瞒测评过程中发现的安全问题，或者在测评过程中 弄虚作假，未如实出具等级测评报告； （三）未按规定格式出具等级测评报告；
13
（四）信息安全产品开发、销售和信息系统安全集成；
工验收申请时，应提交非涉密信息系统安全保 护等级备案证明，以及相应的安全等级测评报 告和信息安全风险评估报告等。
-7-
公安部/国资委
关于进一步推进中央企业信息安全等级保护工作 的通知（公通字[2010]70号）：各企业要根据企业特
点，从《全国信息安全等级保护测评机构推荐目录》
中择优选择测评机构，对本企业第三级（含）以上
测评 准备
方案 编制
现场 测评
报告 编制
基本情况调研 结果数据分析 测评工具准备
网络安全测评 管理安全测评 物理安全测评 应用安全测评 主机安全测评 27
方案编制
抽样选择测评对象 根据定级情况选择测评指标
确定测评方法
编制现场工作计划
28 28
方案编制
22 22
测评准备阶段
基本情况调研
23 23
测评准备阶段
基本情况调研
24 24
测评准备阶段
基本情况调研
25 25
测评准备阶段
基本情况调研
26 26
测评流程
单项符合性判定 选择测评对象 选择测评指标 确定测评方法 编制测评计划 整体测评 安全问题分析 形成测评结论 提出整改建议
测评 准备
方案 编制
现场 测评
报告 编制
基本情况调研 结果数据分析 测评工具准备
网络安全测评 管理安全测评 物理安全测评 应用安全测评 主机安全测评 20
测评准备阶段
基本情况调研结构
21 21
测评准备阶段
基本情况调研需要获得如下信息： 被测单位、被测系统情况 拓扑图、网络设备、安全设备相关信息 管理文档、人员相关信息 机房相关信息 应用系统相关信息 主机设备相关信息
测评 准备
方案 编制
现场 测评
报告 编制
基本情况调研 结果数据分析 测评工具准备
网络安全测评 管理安全测评 物理安全测评 应用安全测评 主机安全测评 58
报告编制
单项符合性判定 整体测评 安全问题分析 形成测评结论 提出整改建议
59 59
报告编制--单项符合性判定
6 第二级信息系统单元测评 7 第三级信息系统单元测评 8 第四级信息系统单元测评 9 第五级信息系统单元测评 10 信息系统整体测评 11 等级测评结论 附录A 附录B
...
...
5.1.1.1 物理访问控制 5.1.1.1.1 测评指标 5.1.1.1.2 测评实施 5.1.1.1.3 结果判定
员、资产管理员等。
工具：管理核查表（checklist）
有目的的（有针对性的）
32
检查
访谈 检查
是指测评人员通过对测评对象（如制度文档、各类设备、 安全配置等）进行观察、查验、分析以帮助测评人员理 解、澄清或取得证据的过程。
测试
33
检查对象
检查对象包括：
文档、各类设备、安全配置、机房、存储 介质等。
测评 准备
方案 编制
现场 测评
报告 编制
基本情况调研 结果数据分析 测评工具准备
网络安全测评 管理安全测评 物理安全测评 应用安全测评 主机安全测评 19
测评流程
单项符合性判定 选择测评对象 选择测评指标 确定测评方法 编制测评计划 整体测评 安全问题分析 形成测评结论 提出整改建议
54
现场测评
渗透工作 漏洞扫描工作 现场测评人员安排至少在5个以上，渗透人员根 据单位情况而定。
55
现场测评—网络安全现场记录表
签字页
56
现场测评—网络安全现场记录表
现场记录页
57
测评流程
单项符合性判定 选择测评对象 选择测评指标 确定测评方法 编制测评计划 整体测评 安全问题分析 形成测评结论 提出整改建议
抽样选择测评对象
完整性 重要性 安全性
共享性
代表性
29 29
方案编制
30 30
测评方法
方法种类
访谈、检查、测试
目的
理解、澄清或取得证据的过程
适用对象
3-31
访谈
访谈的对象是配合人员。 典型的访谈人员包括信息安全主管、信息 系统安全管理员、系统管理员、网络管理
46
单元测评－物理安全
支持信息系统运行的设施环境和构成信息系统的硬 件设备和介质
测评对象包括：
机房（含各类基础设备）
存储介质
安全管理人员/文档管理员 文档（制度类、规程类、记录/证据类等）
47
单元测评－系统层面
系统层面主要是指主机系统，构成组件有服务器、 终端/工作站等计算机设备，包括他们的操作系统、 数据库系统及其相关环境等 操作系统, 如Windows / Linux系列 / 类UNIX系列 /
11
测评机构
是指具备本规范的基本条件，经能力评估和审核，由 省级以上信息安全等级保护工作协调（领导）小组办 公室（以下简称为“等保办”）推荐，从事等级测评 工作的机构。
机构职责
省级以上等保办审核 评估中心：技术培训/能力评估 省级以上等保办推荐
12
测评机构
可以从事：等级测评活动以及信息系统安全等级保护定级、安
测评 准备
方案 编制
现场 测评
报告 编制
基本情况调研 结果数据分析 测评工具准备
网络安全测评 管理安全测评 物理安全测评 应用安全测评 主机安全测评 45