信息系统等级保护现状的几点思考

信息系统等级保护现状的几点思考曹兆泉，徐国爱，杨义先北京邮电大学信息安全中心，北京（100876）E-mail:caozhaoquan100@摘要:文章通过回顾近年来国内外信息系统等级保护的发展，看到我国等级保护工作在取得重大成效的同时，也存在如宣传不足、分级分类不准、行业化不够和测评机构亟待加强等问题，在对这些问题的原因加以思考和总结之后，得出一些改进的启示，可以为信息安全从业人员提供有益的参考。

关键字：等级保护；信息安全；风险评估1 引言信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法。

开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障，是信息安全保障工作中国家意志的体现[1]。

2 国外等级保护的发展2.1 可信计算评估准则（TCSEC）在20世纪60年代后期，美国国防部（DOD）开始对计算机安全评估标准进行研究，其中第一个较为成熟、具有较大影响的是1985年发布的“可信计算机系统评估准则（TCSEC）”（即桔皮书）[TCSEC85] [2]。

TCSEC是当时美国国防部为适应军事计算机的保密需要、在70年代的基础理论研究成果Bell& La Padula模型[BELL76] [3]基础上提出的由于当时技术和应用的限制性，提出的要求主要针对没有外部连接的多用户操作系统。

安全要求从低到高分为D，C，B，A四类，类下分为D，Cl，C2，B1， B2，B3，Al等7个安全级别，每一级要求涵盖安全策略、责任、保证、文档等四个方面。

TCSEC的初衷是针对操作系统的安全性进行评估，后来DOD又发布了可信数据库解释（TDI）[TDI91]、可信网络解释（TNI）[TNI87]等一系列相关的说明和指南，由于这些文档发行时封面均为不同的颜色，故常被称为“彩虹系列”。

2.2 信息技术安全评估准则（ITSEC）90年代初，英、法、德、荷等四国针对TCSEC准则的局限性，提出了包含保密性、完整性、可用性等概念的“信息技术安全评估准则”（ITSEC）[ITSEC91]，定义了从E0级到E6级的七个安全等级。

ITSEC作为多国安全评估标准的综合产物，适用于军队、政府和商业部门。

它以超越TCSEC为目的，将安全性要求分为“功能”和“保证”两部分。

其中，“功能”指为满足安全需求而采取的一系列技术安全措施，如访问控制、审计、鉴别和数字签名等;“保证”指确保“功能”正确实现及其有效性的安全措施[4]。

2.3 加拿大可信计算机产品评估标准（CTCPEC）加拿大1988年开始制订《The Canadian Trusted Computer Product Evaluation Criteria》（CTCPEC），1989年5月公布第一版，并在结合TCSEC与ITSEC的基础上，于1993年1月公布了第三版[CTCPEC93] [5]。

2.4 通用准则（CC）在1993年6月，CTCPEC、FC、TCSEC和ITSEC的发起者开始联合起来，将各自独立的准则组合成一个单一的、能被广泛使用的IT安全准则。

这一行动被称为CC项目，它的目的是解决原标准中出现的概念和技术上的差异，并把结果作为国际标准提交给ISO。

这些发起组织包括六国七方：加拿大、法国、德国、荷兰、英国、美国NIST及美国NSA[6]。

2.5 ISO 15408CC 2.1版于1999年发布，并被ISO采纳作为国际标准ISO 15408发布[CC99] [7]。

CC 虽然在ISO行文中的正式名称应为“信息技术安全评估准则”，但出于历史的和连续性的目的，ISO/IEC第一联合技术委员会已经同意在文档中继续使用“通用准则（CC）”这一术语。

国际信息系统主要等级划分标准演进见下图：表1 国际等级保护标准发展时间国家名称基本内容1985年美国 TCSEC（橘皮书）依据访问控制、审计等计算机系统分四类、七个安全级别1991年欧洲ITSEC 提出机密性、完整性和可用性保护目标提高到可信信息技术（不仅是计算机系统）1996年欧美CC 欧美通用的产品和系统安全评估准则将安全分为安全功能和安全保证15408 源于CC1999年ISO ISO/IEC定义了一套能够满足各种需求的IT安全准则3 我国等级保护的现状《信息安全等级保护管理办法》（公通字[2007]43号）（以下简称43号文件）[8]和《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）[9]（以下简称861号）的出台，标志我国信息安全等级保护工作进入实质的实施阶段。

自从2007年6月份以来，全国范围内的重要系统普遍开展了信息安全等级保护工作，到目前为止，定级工作已经基本结束，将进入整改阶段。

回顾我国的等级保护工作，可以看到：第一，定级保护的定级备案工作成效显著[10]。

全国范围内的重要信息系统安全等级保护定级、备案工作已经基本完成。

通过定级备案工作的开展，掌握了关系国计民生重要信息系统的基本情况，为全面落实信息安全等级保护制度、推动国家信息安全保障工作的深入开展奠定了坚实的基础。

第二，各种政策标准体系日趋完善。

1994年，《中华人民共和国计算机信息系统安全保护条路》（国务院147号令）（以下简称147号令）[11]的出台，第一次提出我国要实行等级保护制度，并确定了公安部牵头制定相关配套标准和法规；1999年，公安部会同有关专家制定了《计算机信息系统安全等级标准划分准则》（GB17859-1999）（以下简称17859标准）[12]；为了弥补17859标准的不足，为等级保护的实施提供了较全面的法规上的要求和技术上依据，2002年，公安部又出台了6套有关信息安全等级保护的部标，从操作系统[13]、数据库[14]、网络[15]、终端[16]、管理[17]和工程[18]等方面，提出了对信息系统安全等级保护相应的技术要求；2003年，《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)（以下简称27号文件）[19]的颁布，标志着等级保护从计算机信息系统安全保护的一项制度提升到国家信息安全保障一项基本制度；2004年9月，公安部、国家保密局、国家密码管理委员会和国家信息办（以下简称四部委）联合出台《信息安全等级保护的实施意见》（公通字 2004第66号）（以下简称66号文件）[20]，明确了等级保护原则、内容、要求，等级保护工作的部门分工和实施计划，标志着信息安全等级保护要在我国开始实施；2007年6月，四部委出台的43号文件，规定了定级保护工作实施和管理细节，加快推进步伐；2007年7月，四部委又联合下发了861号文件，就定级范围、定级工作主要内容、定级工作要求等事项进行了通知；为了促进定级工作的进行，公安部又出台了《信息安全等级保护备案实施细则》（公信安[2007]1360号）[21]和《公安机关信息安全等级保护检查工作规范（试行）》（公信安[2007]736号）[22]文件，为定级备案工作提供了有力的规范。

我国政策规范的演进见下图：表2 我国等级保护发展演进表时间名称目标1994 国务院 147号令需要实施分等级保护2003 中发办27号文件需抓紧建立等级保护制度2004 公通字66号文件明确等保原则、内容、要求，等保工作的部门分工、实施计划2007.6 公通字43号文件规定实施、管理细节，加快推进步伐2007.7 公信安 861号文件确定定级范围，给出定级工作的主要内容和要求2007 公信安[2007]1360号为定级备案工作提供了有力的规范2007 公信安[2007]736号目前来看，定级工作已经圆满完成，接下来是建设和整改工作，之后进行一些等级测评工作，工作不断的暴露出一些问题，如果不解决好这些问题，将对我国信息安全等级保护工作带来不利影响，具体表现在以下方面：第一，各级信息系统的负责人和行业负责人对等级保护工作的认识不足，导致某些信息系统等级保护工作定级偏低[23]。

第二，定级过程中，对信息系统缺乏准确的认识，导致某些重要的信息系统分级分类不准。

第三，各个行业的行业标准缺乏，使等级保护无法准确与本行业实际业务相结合，出现了落地难的问题[24]。

第四，各地测评机构数目较少，缺乏有效地监督办法[25]，阻碍整改工作的进步一发展。

4 等级保护的几点思考4.1 大力加强等级保护工作的宣传教育工作在2007 年的定级工作中，某些金融、广电用户都曾出现过将本行业重要的信息系统定为二级。

国家及时发现了这些问题，要求重新定级。

仔细分析这些企业的想法，不难发现其中企业中确实存在着一些不愿投资，不愿受监管的思想，认为三级以上的网络投资太大，受限制太多[23]。

可以看到，当前我国基础信息网络和重要信息系统安全面临的形势十分严峻，既有外部威胁，又有自身脆弱性和薄弱环节。

第一，针对基础信息网络和重要信息系统的违法犯罪持续上升。

第二，基础信息网络和重要信息系统安全隐患严重，第三，我国的信息安全保障工作基础还很薄弱。

等级保护是信息安全保障工作的核心，需要动员社会力量参与到这一工作中来，这就需要加大宣传教育的力度，提高全社会特别是信息系统主管部门对信息安全等级保护工作重要性的认识,积极参与到信息安全等级保护工作中来。

对故意将信息系统安全级别定低，逃避公安、保密、密码部门监管，造成信息系统出现重大安全事故的，要追究单位和人员的责任[20]。

4.2 分级分类应该与风险评估相结合分级分类是等级保护的关键。

对信息系统的分级分类十分关键，如果信息系统的分级分类不科学，则安全保障建设将事与愿违，甚至可能使我国的基础信息网络和重要信息系统面临严重安全隐患。

等级保护中的分级实际上涉及了两项工作，不能混为一谈：一是如何将信息系统划归到各个安全级别中，二是为每一级的信息系统规定安全要求[26]。

关于信息系统的分类，应该随时根据需要、需求，这个系统具有什么样的价值，具有什么样的风险，来决定它属于哪一类。

因此，对信息系统的分类过程，就是对信息资产的识别及赋值过程[27]。

这正是风险评估对信息资产进行识别并赋值的过程[28]。

关于分级，就是我们怎么样保护有价值，而且有风险威胁的系统，一个很重要的原则，首先不去考虑它已经采取了什么措施，目前存在哪些漏洞暂时不考虑，从客观来分析这个系统价值怎么样，它客观地存在哪些威胁。

而17859等标准，没有从威胁的角度提出对信息系统的安全要求，而是单纯的从消除脆弱性角度提出了信息系统的安全要求。

对于一个安全事件来说，是威胁利用脆弱性导致的，在没有威胁的情况下，信息系统的脆弱性不会自己导致安全事件的发生。

因此，威胁的分析与识别时等级保护安全要求的基本前提[29]。

5 等级保护需要行业化5.1 等保行业化是等级保护的内在要求66号文的等级划分，明确的指出了信息系统的安全等级与所承载业务是密切相关的，是依据信息系统的重要程度和受到破坏后所导致的后果而确定的。