信息系统安全保护等级的确定
信息系统安全等级保护定级报告
信息系统安全等级保护定级报告一、宁德职业技术学院教学教务管理信息系统描述我校教学教务管理系统主要涵盖本校教务管理工作所有环节，提供学校信息发布，政策宣传，学生学籍注册信息，教育教学文章等信息，服务对象为本校师生。
该信息系统的平台搭建、程序设计和运行维护主要由本校教务处、计算机网络中心等承担，并将其确定为定级对象进行监督。
本系统具有信息系统的基本要素，主要由提供网络连接、网络服务的硬件和数据控制的软件程序两大要素构成，提供网络连接和服务的硬件设备如路由器、交换机和服务器构成了该信息系统的基础，其主要为保障数据的传输和程序文件的运行；数据控制文件系统、程序源码如新闻发布程序文件等成为信息表现的载体，二者共同完成校内相关公文、学生信息、通知、公告信息、思政宣传和校务公开的管理。
二、教学教务管理信息系统安全保护等级确定（一）业务信息安全保护等级的确定1.业务信息描述我校教学教务管理系统主要涵盖本校教务管理工作所有环节，提供学校信息发布，政策宣传，学生学籍注册信息，教育教学文章等信息。
本信息系统旨在提高工作效率、明细办事职责、增强校务透明度、扩大学校社会影响力。
2.业务信息受到破坏时所侵害客体的确定本系统受到破坏后会严重影响宁德职业技术学院的正常教学秩序，严重影响本校学生的学习和老师的工作。
3.信息受到破坏后对侵害客体的侵害程度的确定本系统受到破坏后，对本校师生的学习和工作造成严重损害。
4.业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级为二级。
（二）系统服务安全保护等级的确定1.系统服务描述本系统主要承载教务处日常工作，管理本校教学的教务信息，及相关课程信息，服务对象是本校所有师生。
2.系统服务受到破坏时所侵害客体的确定本系统受到破坏后会严重影响宁德职业技术学院的正常教学秩序，严重影响本校学生的学习和老师的工作。
3.系统服务受到破坏后对侵害客体的侵害程度的确定本系统受到破坏后，对本校师生的学习和工作造成严重损害。
信息系统安全等级保护定级要素
信息系统安全等级保护定级要素信息系统安全等级保护是指根据信息系统的重要性和敏感程度，将其划分为不同的安全等级，并采取相应的安全保护措施。
信息系统安全等级保护定级要素主要包括保护对象、保护标准、保护措施和保护责任。
一、保护对象保护对象是指需要进行安全保护的信息系统。
信息系统可以是计算机系统、通信系统、数据库系统等各种形式的信息处理系统。
在进行等级保护定级时，需要明确保护对象的边界，确定需要纳入保护范围的要素，如硬件设备、软件系统、网络设备、数据等。
二、保护标准保护标准是根据信息系统的特点和需求，确定信息系统安全等级的基本依据。
保护标准主要包括安全性、可用性、完整性和可控性等几个方面。
安全性是指信息系统在面临各种威胁和风险时能够保持不受损害的能力；可用性是指信息系统在需要时能够正常使用的能力；完整性是指信息系统的数据和功能能够保持完整和正确的能力；可控性是指信息系统能够按照规定的政策和流程进行管理和控制的能力。
三、保护措施保护措施是指采取的技术和管理手段来保障信息系统的安全。
保护措施主要包括物理安全、网络安全、系统安全和数据安全等方面。
物理安全是指通过门禁、监控等手段，保护信息系统的硬件设备免受物理攻击和破坏；网络安全是指通过防火墙、入侵检测系统等技术手段，保护信息系统的网络免受网络攻击和恶意访问；系统安全是指通过操作系统和应用软件的安全配置和漏洞修复，保护信息系统的软件系统免受恶意代码和攻击；数据安全是指通过加密、备份和权限控制等手段，保护信息系统中的数据不被非法获取和篡改。
四、保护责任保护责任是指各个相关方在信息系统安全等级保护中应承担的责任和义务。
保护责任主要包括政府责任、企业责任和个人责任。
政府在信息系统安全等级保护中应制定相应的法律法规和政策，对信息系统进行监管和管理；企业在信息系统安全等级保护中应建立健全的安全管理体系，为信息系统提供安全保障；个人在信息系统安全等级保护中应遵守相关规定，不泄露机密信息，不进行非法操作。
信息系统安全等级保护定级--备案--测评流程概要
信息系统安全等级保护法规及依据在信息系统安全等级保护定级备案、信息系统安全等级保护测评等方面测评依据如下：1、《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）2、《信息安全等级保护管理办法》（公通字[2007]43号）3、GB/T 17859-1999《计算机信息系统安全保护等级划分准则》4、GB/T 20274《信息安全技术信息系统安全保障评估框架》5、GB/T 22081-2008《信息技术安全技术信息安全管理实用规则》6、GB/T 20271-2006《信息系统通用安全技术要求》7、GB/T 18336-2008《信息技术安全技术信息技术安全性评估准则》8、GB 17859-1999《计算机信息系统安全保护等级划分准则》9、GB/T 22239-2008《信息安全技术信息系统安全等级保护基本要求》10、GB/T 22240-2008《信息安全技术信息系统安全等级保护定级指南》11、《信息安全技术信息系统安全等级保护测评要求》12、《信息安全技术信息系统安全等级保护实施指南》13、《信息安全等级保护管理办法》信息系统安全等级保护定级备案流程1、定级原理信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
计算机信息系统安全保护等级划分准则
计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则是指根据信息系统的重要性和保密性等级，对信息系统进行等级划分，并按照相应的安全保护要求进行安全保护的规范。
在信息化时代，计算机信息系统的安全保护至关重要，不仅关乎国家安全和社会稳定，也关系到个人隐私和财产安全。
因此，制定和实施计算机信息系统安全保护等级划分准则对于保障信息系统安全具有重要意义。
首先，计算机信息系统安全保护等级划分准则需要根据信息系统的重要性和保密性等级进行划分。
信息系统的重要性可根据其对国家安全、经济发展、社会稳定等方面的影响程度来评定，而保密性等级则是根据信息系统所涉及的信息的机密程度来划分。
根据不同的等级划分，可以对信息系统的安全保护要求进行相应的规范，以确保信息系统的安全性。
其次，计算机信息系统安全保护等级划分准则需要明确不同等级信息系统的安全保护要求。
对于不同等级的信息系统，其安全保护要求也会有所不同。
一般来说，高等级的信息系统需要具备更严格的安全保护要求，包括严格的访问控制、完善的安全审计、可靠的数据备份和恢复机制等。
而对于低等级的信息系统，安全保护要求则相对较低，但也不能忽视安全保护的必要性。
此外，计算机信息系统安全保护等级划分准则还需要明确不同等级信息系统的安全保护措施。
针对不同等级的信息系统，需要采取相应的安全保护措施来确保其安全性。
这些安全保护措施包括加密通信、安全接入控制、恶意代码防护、安全审计和监控等方面的措施。
通过采取这些安全保护措施，可以有效地提高信息系统的安全性，防范各类安全威胁和风险。
最后，计算机信息系统安全保护等级划分准则需要建立健全的安全管理制度和安全保护责任制。
安全管理制度是保障信息系统安全的重要基础，它包括安全策略、安全标准、安全流程和安全管理措施等方面的内容。
同时，建立健全的安全保护责任制也是确保信息系统安全的关键，只有明确各方的安全保护责任，才能有效地推动安全保护工作的落实。
信息安全技术信息系统安全等级保护定级指南
信息安全技术信息系统安全等级保护定级指南在当今数字化的时代，信息系统已经成为了企业、组织乃至整个社会运转的重要支撑。
然而，伴随着信息系统的广泛应用，信息安全问题也日益凸显。
为了保障信息系统的安全稳定运行，保护公民、法人和其他组织的合法权益，我国制定了信息系统安全等级保护制度。
其中，定级是等级保护工作的首要环节和关键步骤，它决定了信息系统所需采取的安全保护措施和投入的资源。
本文将为您详细介绍信息系统安全等级保护定级的指南。
一、信息系统安全等级保护定级的重要性信息系统安全等级保护定级是对信息系统的重要性和潜在风险进行评估和划分等级的过程。
其重要性主要体现在以下几个方面：1、明确安全责任：通过定级，能够明确信息系统所有者、运营者和使用者在信息安全方面的责任和义务，确保各方对信息安全工作有清晰的认识和目标。
2、合理配置资源：根据信息系统的等级，合理分配安全防护资源，避免过度投入或投入不足，提高安全防护的效率和效果。
3、提高安全意识：定级过程能够促使相关人员增强对信息安全的重视，提升整体的安全意识和防范能力。
4、满足法律法规要求：符合国家关于信息安全等级保护的法律法规和政策要求，避免因未履行相关义务而面临法律风险。
二、信息系统安全等级保护定级的原则在进行信息系统安全等级保护定级时，需要遵循以下原则：1、自主定级原则：信息系统的运营使用单位应当按照相关标准规范，自主确定信息系统的安全保护等级。
2、客观公正原则：定级过程应当基于信息系统的实际情况，客观、公正地评估其重要性和潜在风险，不受主观因素的干扰。
3、科学合理原则：采用科学的方法和手段，综合考虑信息系统的业务特点、数据类型、用户规模等因素，合理确定等级。
4、动态调整原则：信息系统的安全保护等级应根据其变化情况进行动态调整，确保等级的准确性和有效性。
三、信息系统安全等级保护的等级划分信息系统安全等级保护分为五级，从低到高依次为：第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级）。
信息系统安全等级保护定级报告模板
《信息系统安全等级保护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。
从三方面进行说明：一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。
二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）（一）业务信息安全保护等级的确定1、业务信息描述描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定说明信息受到破坏后，会对侵害客体造成什么程度的侵—9 —害，即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全保护等级的确定1、系统服务描述描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、系统服务安全等级的确定依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
（三）安全保护等级的确定信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定，最终确定XXX系统安全保护等级为第几级。
—10 ——11 —。
信息系统安全等级保护定级指南
信息系统安全等级保护定级指南1. 引言信息系统的安全等级保护定级对于保障信息系统的安全性至关重要。
本指南旨在给予系统管理员和安全团队一个关于信息系统安全等级保护定级的概述，以及相关的指导原则和建议。
2. 定义2.1 信息系统安全等级信息系统安全等级是对信息系统重要性和需求的一种标识。
根据信息系统对机密性、完整性、可用性、可信任性等方面的需求，将信息系统划分为不同的安全等级。
2.2 信息系统安全等级保护定级信息系统安全等级保护定级是根据信息系统的特性、功能、数据资产等因素，对信息系统进行安全等级评估，并给予相应的等级保护定级。
3. 安全等级保护定级的原则安全等级保护定级需要遵循以下原则：3.1 风险分析和评估在进行定级之前，需要对信息系统进行全面的风险分析和评估。
考虑到信息系统的特点和可能存在的威胁，以及可能造成的损失，评估系统中的安全风险。
3.2 机密性、完整性和可用性考虑信息系统的机密性、完整性和可用性需求。
不同的信息系统可能对这些方面的需求有所不同，因此在定级时需要充分考虑这些需求。
3.3 法律法规和标准要求根据相关的法律法规和标准要求，确定信息系统的安全等级。
不同的行业和地区对信息系统的安全等级有不同的要求，需要充分考虑这些因素。
3.4 保护资源的价值和重要性保护资源的价值和重要性是定级的重要因素。
信息系统中的数据、设备以及其他资源可能具有不同的价值和重要性，需要根据这些因素来确定安全等级。
3.5 平衡成本和效益定级需要在成本和效益之间进行平衡。
评估不同等级所需的投入和可能获得的效益，选择适当的等级保护方案。
4. 安全等级保护定级方法4.1 安全等级划分根据系统的特点和需求，将信息系统划分为不同的安全等级。
常见的安全等级划分包括：低、中、高三个等级，也可以根据实际情况划分更多的等级。
4.2 安全需求分析对不同安全等级的信息系统，进行安全需求分析。
根据机密性、完整性、可用性等方面的需求，确定不同等级信息系统的安全要求。
信息系统安全等级保护定级指南
前言本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：公安部信息安全等级保护评估中心。
本标准主要起草人：任卫红、曲洁、马力、朱建平、李明、李升、谢朝海、毕马宁、陈雪秀。
引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T BBBBB-BBBB信息系统安全等级保护基本要求；——GB/T CCCCC-CCCC信息系统安全等级保护实施指南；——GB/T DDDDD-DDDD信息系统安全等级保护测评准则。
本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。
信息系统安全等级保护定级指南1 范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。
2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8 信息技术词汇第8部分：安全GB17859-1999 计算机信息系统安全保护等级划分准则3 术语和定义GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1等级保护对象 target of classified security信息安全等级保护工作直接作用的具体的信息和信息系统。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
不同危害后果的三种危害程度描述如下： 一般损害：工作职能受到局部影响，业务能力有所降低但不 影响主要功能的执行，出现较轻的法律问题，较低的资产损 失，有限的社会不良影响，对其他组织和个人造成较低损害。
3、信息系统安全保护等级的确定
严重损害：工作职能受到严重影响，业务能力显著下降且严重 影响主要功能执行，出现较严重的法律问题，较高的资产损 失，较大范围的社会不良影响，对其他组织和个人造成较严 重损害。
3、信息系统安全保护等级的确定
侵害国家安全的事项包括以下方面 影响国家政权稳固和国防实力 影响国家统一、民族团结和社会安定 影响国家对外活动中的政治、经济利益 影响国家重要的安全保卫工作 影响国家经济竞争力和科技实力 其他影响国家安全的事项。
3、信息系统安全保护等级的确定
侵害社会秩序的事项包括以下方面 影响国家机关社会管理和公共服务的工作秩序 影响各种类型的经济活动秩序 影响各行业的科研、生产秩序 影响公众在法律约束和道德规范下的正常生活秩序等 其他影响社会秩序的事项
2、信息安全保护等级的划分和标准
信息系统分为所处理的业务信息和作为整体的系统服务两个 层次 信息系统安全保护等级由业务信息和系统服务两个层次的安 全等级之中的较高中决定
2、信息安全保护等级的划分和标准
决定信息系统的安全保护等级由两个定级要素决定 受到破坏时侵害了什么（客体） 侵害的程度如何（对客体造成侵害的程度） 等级保护对象受到破坏时所侵害的客体 公民、法人和其他组织的合法权益 社会秩序、公共利益 国家安全 对客体造成侵害的程度 造成一般损害 造成严重损害 造成特别严重损害
三、等级保护工作的具体内容和要求 •
•
实际操作中参考确定信息系统等级：
第一级 信息系统：适用于小型私营、个体企业、中小学、 乡镇所属信息系统、县级单位中一般的信息系统。
•
第二级 信息系统：适用于县级某些单位中的重要信息系 统；地市级以上国家机关、企事业单位内部一般的信息 系统。例如非涉及工作秘密、商业秘密、敏感信息的办 公系统和管理系统等。
1、主要工作措施
开展信息系统基本情况的摸底调查 初步确定安全保护等级 评审与审批
2、信息安全保护等级的划分和标准
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社 会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公 民、法人和其他组织的合法权益的危害程度等因素确定。 第一级，信息系统受到破坏后 会对公民、法人和其他组织的合法权益造成损害 但不损害国家安全、社会秩序和公共利益
确定作为定级对象的信息系统受到破坏后所侵害的客体时， 应首先判断是否侵害国家安全，然后判断是否侵害社会秩序 或公众利益，最后判断是否侵害公民、法人和其他组织的合 法权益。
3、信息系统安全保护等级的确定
3．在客观方面，对客体的侵害外在表现为对定级对象的破坏， 其危害方式表现为对信息安全的破坏和对信息系统服务的破 坏。
三、等级保护工作的具体内容和要求
• 第四级信息系统：
• 一般适用于国家重要领域、部门中涉及国计民生、国家利益、 国 家安全，影响社会稳定的核心系统。例如 电力生产控制系统、 银行核心业务系统、 电信核心网络、铁路客票系统、列车指挥 调度系统等。
• 第五级信息系统：
• • 适用于国家重要领域、重要部门中的极端重要系统。
3、信息系统安全保护等级的确定
特别严重损害：工作职能受到特别严重影响或丧失行使能力， 业务能力严重下降且或功能无法执行，出现极其严重的法律 问题，极高的资产损失，大范围的社会不良影响，对其他组 织和个人造成非常严重损害。
3、信息系统安全保护等级的确定
对相应客体的侵害程度 系统服务安全被破坏时所侵 害的客体 一般损害 公民、 公民、法人和其他组织的合 第一级 法权益 社会秩序、 社会秩序、公共利益 国家安全 第二级 第三级 严重损害 第二级 第三级 第四级 特别严重损 害 第二级 第四级 第五级
三、等级保护工作的具体内容和要求 • 第三级信息系统：
• 一般适用于地市级以上国家机关、企业、事业单位内部 重要的信息系统，例如涉及工作秘密、商业秘密、敏感信息的 办公系统和管理系统；跨省或全国联网运行的用于生产、调度、 管理、指挥、作业、控制等方面的重要信息系统以及这类系统 在省、地市的分支系统；中央各部委、省（区、市）门户网站 和重要网站；跨省联接的网络系统等。
3、信息系统安全保护等级的确定
作为定级对象的信息系统的安全保护等级由业务信息安全 等级和系统服务安全等级的较高者决定。定级对象等级确定 后，起草《信息系统安全保护等级定级报告》。
3、信息系统安全保护等级的确定
定级工作步骤 第三步：信息系统等级评审 在信息系统安全保护等级确定过程中，可以聘请专家进 行咨询评审，并出具定级评审意见 对拟确定为第四级以上信息系统的，运营、使用单位或 者主管部门应当邀请国家信息安全保护等级专家评审委员 会评审，出具评审意见。
3、信息系统安全保护等级的确定
信息安全和系统服务安全受到破坏后，可能产生以下危害后 果： 影响行使工作职能 导致业务能力下降 引起法律纠纷 导致财务损失 造成社会不良影响 对其他组织和个人造成损失 其他影响
3、信息系统安全保护等级的确定
4．综合判定侵害程度 系统服务安全被破坏导致业务能力下降的程度可以从信息系统 服务覆盖的区域范围、用户人数、业务量、业务性质等不同 方面确定。 业务信息安全被破坏导致的财物损失可以从直接的资金损失大 小、间接的信息恢复费用等方面进行确定。
2、信息安全保护等级的划分和标准
第二级信息系统受到破坏后 会对公民、法人和其他组织的合法权益产生严重损害 或者 对社会秩序和公共利益造成损害， 但不损害国家安全 第三级信息系统受到破坏后 会对社会秩序和公共利益造成严重损害或者对国家安全造成损害 第四级信息系统受到破坏后 会对社会秩序和公共利益造成特别严重损害或者对国家安全 造成严重损害 第五级信息系统受到破坏后 会对国家安全造成特别严重损害
3、信息系统安全保护等级的确定
定级工作步骤 第四步：信息系统等级的最终确定与审批 信息系统运营使用单位参考专家定级评审意见，最终确定 信息系统等级，形成《定级报告》。 如果专家评审意见与运营使用单位意见不一致时，由运营 使用单位自主决定系统等级。 信息系统运营使用单位有上级主管部门的，应当经上级主 管部门对安全保护等级进行审核批准。
3、信息系统安全保护等级的确定
影响公共利益的事项包括以下方面 影响社会成员使用公共设施 影响社会成员获取公开信息资源 影响社会成员接受公共服务等方面 其他影响公共利益的事项 影响公民、法人和其他组织的合法权益是指 由法律确认的并受法律保护的公民、法人和其他组织所享有的 一定的社会权利和利益
3、信息系统安全保护等级的确定