信息安全等级保护详解
信息系统安全等级保护
等级保护要求的组合
安全保护等级定级参考
1）一级，小型私营、个体企业、中小学，乡镇所属信息系统，县级单位一般的信息系统 2）二级，县级某些单位重要信息系统；地市级以上国家机关、企事业单位内部一般信息系统 （例如非涉及工作、商业秘密，敏感信息的办公系统和管理系统） 3）三级，地市级以上国家机关、企事业单位内部重要信息系统（例如涉及工作、商业秘密， 敏感信息的办公系统和管理系统）。跨省或全国联网运行的用于生产、调度、管理、控制等 方面的重要系统及在省、地市的分支系统；中央各部委、省（区、市）门户网站和重要网站 4）四级，国家重要领域、重要部门中的特别重要系统以及核心系统，电力、电信、广电、税 务等 5）五级，国家重要领域、重要部门中的极端重要系统
- 在信息系统确定安全保护等级过程中，可以进行必要的业务和技术评估，组织专家进行咨询评 审。对拟确定为第四级以上的信息系统的运营、使用单位或主管部门应当邀请国家信息安全等级 保护专家评审委员会评审。
- 第二级以上信息系统由其运营使用单位到所在地设区的市级以上公安机关办理备案手续。隶属 于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部 门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统， 应当向当地设区的市级以上公安机关备案。
▪ 《涉及国家秘密计算机信息系统安全保密
涉方密案信设计息指系南》统B安MB全23-保20障08 建设 ▪指《管南涉 理及 规国 范》家B秘M密B计20算-2机0信07息系统分级保护
▪ 《涉及国家秘密的信息系统分级保护测评 指南》BMB22—2007
▪ 《涉及国家秘密计算机信息系统分级保护 管理办法 》国家保密局16号
等级保护的主要工作流程
信息安全等级保护体系解读
信息系统安全等级保护基础要求定级细则
信息系 统安全 等级保 护测评 过程指 南
信息
实 信息安全等级保护 法
状 安全建设整改工作 指
况
导
分
安全要求
析
信息系统安全等级保护基础要求行业细则
信息系统安全等级保护基础要求
信息系 统安全 等级保 护实施 指南
第10页
信息安全等级保护—定级
定义
由信息系统运行单位确定信息系统安全保护等级。
1
2
3
由运行单位业务部 门确定实施信息安 全等级保护信息系 统。
参考定级标准和流 程取得信息等级安 全保护等级信息。
最终形成信息系统 安全保护等级确认 汇报。
信息安全等级保护体系解读
第11页
定级参考信息
业务信息安全保护等级矩阵表
边界防护
安全审计
防雷/火/水/潮
访问控制
入侵防范
防静电
入侵防范
恶意代码防范
温湿度控制
恶意代码防范
资源控制
电力供应
安全设计
电磁防护
集中管控
信息安全等级保护体系解读
应用和数据安全
身份鉴别
访问控制
安全审计
软件容错
资源控制
数据完整性
数据保密性
数据备份恢复
剩余信息保护
个人信息保护
第20页
经典等级保护安全技术方案
《关于加 强国家电 子政务工 程建设项 目信息安 全风险评 定工作通 知》（发 改高技 []2071号）
《关于推 进信息安 全等级保 护测评体 系建设和 开展等级 测评工作 通知》 （公信安 303号文）
关于印发 《信息系 统安全等 级测评汇 报模版 （试行）》 通知（公 信安 []1487号）
信息安全等级保护的5个级别
信息安全等级保护的5个级别
信息安全等级保护是现在信息技术发展的重要方面，它是指采取一定管理措施，确保信息系统以及信息资源安全，维护信息传输的完整性、机密性和可用性。
随着网络技术的发展，信息安全等级保护也在不断发展，并形成了五个级别。
首先，实施管理措施能够有效地改善信息安全等级保护。
这是最基本的信息安全等级保护的级别，要求实施有效的安全管理措施，以保护信息系统及信息资源，并且提供安全的网络环境。
其次，访问控制是提高信息安全等级保护的重要手段。
它要求对信息系统及信息资源的访问进行有效管控，以确保信息系统及信息资源的安全性。
三，安全审计是一种安全保护机制，它要求对信息系统及信息资源进行审计，以确保信息系统及信息资源的安全性。
第
四，安全配置管理是改善信息安全等级保护的重要措施，它要求对信息系统及信息资源的配置进行有效管控，以确保信息系统及信息资源的安全性。
最后，漏洞管理是一种信息安全等级保护的重要组成部分，它要求对信息系统及信息资源进行实时监控，以及及时发现和修复漏洞，以确保信息系统及信息资源的安全性。
总之，信息安全等级保护具有重要意义，它的等级越高，保护的安全性也越高。
上述五个级别是实施信息安全等级保护
的重要措施，它们能够有效地提高信息安全等级保护的实效性，以确保信息系统及信息资源的安全性。
因此，建议大家加强对信息安全等级保护的管理措施，确保信息系统及信息资源的安全性。
信息安全等级保护详解
信息系统安全测评
管理体系不同 等级保护 公安机关 国家标准 （GB、GB/T） 各种信息系统 第一级：自主保护级 第二级：指导保护级 第三级：监督保护级 第四级：强制保护级 第五级：专控保护级 各级等级保护测评机构和部门
标准体系不同 保护对象不同
级别划分不同
评估队伍不同
等级保护之十大标准
3
等级保护标准系列的逻辑关系
等级保护
划分准则
GB/T 20269 安全管理
定级指南
GB/T 20282 安全工程管理 GB/T 20270 网络基础
实施指南
基本要求
技术设计要求
GB/T 20271 通用安全技术 GB/T 20272 操作系统
测评要求 测评过程指南
GB/T 20273 数据库 GB/T 20984 风险评估
8
一级 9 9 6 7 2 3 4 7 20 18 85 /
二级 19 18 19 19 4 7 9 11 28 41 175 90
三级 32 33 32 31 8 11 20 16 45 62 290 115
四级 33 32 36 36 11 14 20 18 48 70 318 28
管理要求
合计 级差
保护能力
技术要求＋管理要求
制度、机构、人员、建设、运维 制度、机构、人员、建设、运维
整体安全保护能力
纵深防御、互补关联、强度一致、 纵深防御、互补关联、强度一致、 平台统一、集中安管 平台统一、集中安管 业务信息安全类要求 S 系统服务保证类要求 A 通用安全保护类要求 通用安全保护类要求 G G 安全类 安全类 关键控制点 关键控制点 具体要求项 控制强度
数据有效性检验、部分运行保护
信息安全保护等级
信息安全保护等级信息安全保护等级是指根据信息系统的安全需求和保护目标，对信息系统的安全等级进行划分和评定，以确定信息系统所需的安全保护措施和技术措施的等级。
信息安全保护等级的划分和评定是信息安全管理的重要组成部分，对于保障信息系统的安全性和可靠性具有重要意义。
一、信息安全保护等级的划分根据《信息安全技术信息安全等级保护》（GB/T 22239-2008）的规定，信息安全保护等级分为四个等级：一级、二级、三级、四级。
其中，一级为最高等级，四级为最低等级。
1. 一级信息安全保护等级一级信息安全保护等级适用于国家重要信息系统和涉及国家安全、国计民生、重要经济利益和公共利益的信息系统。
该等级的信息系统具有极高的安全需求，需要采取最高级别的安全保护措施和技术措施。
2. 二级信息安全保护等级二级信息安全保护等级适用于重要信息系统和涉及重要经济利益、公共安全和公共利益的信息系统。
该等级的信息系统具有高安全需求，需要采取高级别的安全保护措施和技术措施。
3. 三级信息安全保护等级三级信息安全保护等级适用于一般信息系统和涉及个人隐私、商业秘密等重要信息的信息系统。
该等级的信息系统具有一定的安全需求，需要采取一定级别的安全保护措施和技术措施。
4. 四级信息安全保护等级四级信息安全保护等级适用于一般信息系统和涉及一般信息的信息系统。
该等级的信息系统具有较低的安全需求，需要采取基本的安全保护措施和技术措施。
二、信息安全保护等级的评定信息安全保护等级的评定是指根据信息系统的安全需求和保护目标，对信息系统的安全等级进行划分和评定，以确定信息系统所需的安全保护措施和技术措施的等级。
信息安全保护等级的评定需要考虑以下因素：1. 信息系统的安全需求和保护目标2. 信息系统的功能和使用环境3. 信息系统的安全威胁和风险4. 信息系统的安全保护措施和技术措施5. 信息系统的管理和运维能力评定信息安全保护等级的过程需要遵循相关的评定标准和方法，例如《信息安全技术信息安全等级保护》（GB/T 22239-2008）、《信息安全技术信息安全风险评估指南》（GB/T 25070-2010）等。
信息安全等级保护制度
信息安全等级保护制度1. 引言信息安全等级保护制度是指为了保护国家和个人的信息安全，确保信息基础设施的正常运行和信息资产的安全，制定的相关规定和制度。
该制度对于国家、企事业单位以及个人用户来说都具有重要意义。
本文将对信息安全等级保护制度进行详细探讨。
2. 规定背景随着信息技术的迅猛发展，信息安全问题日益严重。
在互联网时代，信息安全已成为国家安全的重要一环。
为了加强信息安全，防范各种网络攻击和威胁，各国纷纷制定了信息安全等级保护制度。
中国的信息安全等级保护制度是在我国《网络安全法》和相关法律法规的基础上制定的，旨在明确信息安全工作的目标和要求，保护国家重要信息基础设施和重要信息资源的安全。
3. 制度内容信息安全等级保护制度主要包含以下内容：3.1 等级划分根据信息系统的重要性和安全性需求，将信息系统划分为不同的等级。
常用的等级划分包括国家秘密级、机密级、绝密级等。
每个等级都有相应的安全要求和保护措施。
3.2 安全评估与认证对信息系统进行安全评估，评估其符合各个等级的安全要求的程度。
评估结果作为制定安全防护措施和决策的依据。
同时，对符合要求的信息系统进行认证，确保其安全性和可信度。
3.3 安全保护要求根据不同等级的信息系统，制定相应的安全保护要求。
包括网络安全、数据安全、物理安全等方面的要求，确保信息系统在日常运行中的安全性。
3.4 安全检测与监管建立安全检测机制，对不同等级的信息系统进行定期的安全检测。
同时，加强对信息系统的监管，及时发现和处理安全漏洞和威胁。
4. 实施策略为了有效实施信息安全等级保护制度，需要采取以下策略：4.1 加强法律法规建设完善相关法律法规，明确信息安全等级保护的法律责任和监管机制。
同时，加大对信息安全等级保护制度的宣传和推广力度，提高全民对信息安全的重视程度。
4.2 建立完善的机制和体系建立信息安全等级保护的机制和体系，明确责任、权责、流程和标准。
形成科学、有效的管理模式，提升信息安全保护水平。
信息安全等级保护与整体解决方案介绍
02
信息安全等级保护体系
信息安全等级保护体系框架
01
02
03
组织结构
明确各级组织在信息安全 等级保护体系中的角色和 职责，建立完善的安全管 理责任体系。
安全管理
制定和实施安全管理制度 、流程和策略，确保信息 系统的安全运行。
安全技术
采用先进的安全技术手段 ，如加密、防火墙、入侵 检测等，以保护信息系统 免受攻击和破坏。
《中华人民共和国网络安全法》 明确规定了信息安全等级保护的 责任和义务，对网络运营者、网 络产品和服务提供者等提出了具
体要求。
行政法规
国务院《关于加强网络信息保护 的决定》等行政法规进一步细化 了信息安全等级保护的具体要求
和措施。
地方法规
各省市也相继出台了相关的地方 法规和政策，如《XX省网络安全
管理条例》等。
技术架构特点
我们的技术架构具有以下特点：分层次、模块化、开放性、可扩展性、可定制 性。
解决方案的实施流程
实施流程设计
我们的解决方案实施流程包括项目立项 、需求分析、设计开发、测试验收、上 线运行五个阶段。每个阶段都有明确的 任务和目标，确保项目的顺利进行。
VS
实施流程特点
我们的实施流程具有以下特点：标准化、 可操作性强、易于管理、可控性高。
通过信息安全等级保护实践，大型 企业提高了信息系统的安全性和可 靠性，保障了企业的商业机密和客 户信息的安全，提高了企业的市场 竞争力。
05
总结与展望
总结
信息安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。它涉及到信息安全的各个方面， 包括数据的保密性、完整性、可用性等。
信息安全等保等级
信息安全等保等级信息安全等保等级是指对信息系统的安全性进行评估和等级划分的一种方法。
根据信息系统的重要性和敏感程度，将其划分为不同的等级，并为每个等级制定不同的安全措施和管理要求。
本文将从不同等级的定义和特点、等级划分的依据和方法、等级保护的措施和管理要求等方面进行阐述。
一、不同等级的定义和特点信息安全等保等级分为四个等级，即一级、二级、三级和四级。
不同等级之间的主要区别在于信息系统的重要性和敏感程度。
一级等保是对国家重要信息系统的保护，主要面向国家安全和国家利益；二级等保是对重要信息系统的保护，主要面向国家安全和社会公共利益；三级等保是对较重要信息系统的保护，主要面向社会公共安全和社会公共利益；四级等保是对一般信息系统的保护，主要面向社会公共利益和个人权益。
不同等级之间的特点也有所不同。
一级等保的特点是安全性要求极高，需要采用最严格的安全措施和管理要求；二级等保的特点是安全性要求较高，需要采用较严格的安全措施和管理要求；三级等保的特点是安全性要求一般，需要采用一般的安全措施和管理要求；四级等保的特点是安全性要求较低，需要采用较宽松的安全措施和管理要求。
二、等级划分的依据和方法信息安全等保等级的划分主要依据是信息系统的重要性和敏感程度。
划分等级的方法可以采用定性和定量相结合的方法。
定性方法是根据信息系统的功能、用途、数据类型等进行判断和划分；定量方法是通过对信息系统的安全风险进行评估和量化，然后根据评估结果进行划分。
在等级划分的过程中，需要考虑的因素包括信息系统的功能、用途、数据类型、对外联网情况、系统规模、关键业务流程等。
同时，还需要参考相关的法律法规、标准规范和行业要求，以确保等级划分的准确性和合理性。
三、等级保护的措施和管理要求不同等级的信息安全等保有不同的措施和管理要求。
一级等保需要采取最高级别的安全措施，包括安全审计、安全监控、安全漏洞修复、安全事件响应等；同时，还需要建立完善的安全管理制度，包括安全策略、安全规范、安全培训等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
网络安全的整改要点
结构安全
关键设备冗余空间 核心网络带宽 子网/网段控制
主要设备冗余空间 整体网络带宽 重要网段部署
路由控制 带宽分配优先级
访问控制
访问控制设备（用户、网段） 拨号访问限制
端口控制防止地址欺骗应用层协议过滤会话终止
最大流量数及最大连接数
安全审计
日志记录
审计报表
审计记录的保护
边界完整性检查
4
等级保护定级指南－－GB/T 22240
等级保护定级方法
保护对象 一般流程
信息系统安全 客体：社会关系
业务信息安全 系统服务安全 受侵害的客体 对客体的侵害程度
1、确定定级对象（系统边界）
等级确定
2、确定业务信息安全受到破坏 时所侵害的客体
5、确定系统服务安全受到破坏 时所侵害的客体
3、综合评定对客体的侵害程度
6、综合评定对客体的侵害程度
4、业务信息安全等级
7、系统服务安全等级
8、定级对象的安全保护等级 8＝MAX（4，7）
保护对象受到破坏时受侵害的客体
对客体的侵害程度 一般损害 严重损害 特别严重损害
公民、法人和其他组织的合法权益 第一级
第二级
第二级
社会秩序、公共利益
第二级
第三级
第四级
国家安全
第三级
第四级
第五级
5
基本要求－－GB/T 22239
基本保护要求（最低） 保护能力
对抗能力＋恢复能力 技术要求＋管理要求 整体安全保护能力
物物理理、、网网络络、、主主机机、、应应用用、、数数据据
制制度度、、机机构构、、人人员员、、建建设设、、运运维维
纵纵深深防防御御、、互互补补关关联联、、强强度度一一致致、、 平平台台统统一一、、集集中中安安管管
S5A1G5
安安全全类类 关关键键控控制制点点 具体要求项
控制强度
基本要求－－GB/T 22239
控
制 点
安全要求类 层面
技术要求 物理安全
一级 二级 三级 四级 7 10 10 10
网络安全
3
6
77
主机安全
4
6
79
应用安全
4
7
9 11
数据安全及备份恢复
2
3
33
管理要求 安全管理制度
2
3
33
安全管理机构
4
5
55
人员安全管理
4
5
55
系统建设管理
9
9 11 11
系统运维管理
9 12 13 13
合计
/
48 66 73 77
级差
/
/ 18 7 4
基本要求－－GB/T 22239
安全要求类 层面
控 技术要求
制 项
物理安全 网络安全 主机安全
应用安全
数据安全及备份恢复
管理要求 安全管理制度
安全管理机构
人员安全管理
8
等级保护相关的 主要方法
分域分级防护示意
监督保护级网络
安全域 （第3级）
安全域 （第3级）
安全域 （第2级）
安全域 （第2级）
安全域 （第2级）
禁止高敏感级信息由高等级安全域流向低等级安全域
主要防护措施
防火墙系统 隔离与交换系统 网络入侵防御系统 主页防篡改系统 防病毒网关 抗DDos系统 VPN网关 安全认证网关 主机、服务器安全加固 文件安全系统 电子邮件安全等等
3
等级保护标准系列的逻辑关系
等级保护
实施指南
划分准则
定级指南
基本要求
技术设计要求
测评要求 测评过程指南
GB/T 20269 安全管理 GB/T 20282 安全工程管理 GB/T 20270 网络基础 GB/T 20271 通用安全技术 GB/T 20272 操作系统 GB/T 20273 数据库 GB/T 20984 风险评估
内部的非法联出
非授权设备私自外联 定位及阻断
入侵防范
安全管理平台
各级安全管理中心对管辖网络实施 安全集中管理。
主机监控与审计系统 网络安全审计系统 综合安全管理平台 数字证书颁发和管理平台 。。。
等级保护要求 （技术&管理）
物理位置的选择 物理访问控制
防盗窃和防破坏 防雷击 防火 防静电
电力供应 电磁防护 防水和防潮
物理安全的整改要点
• 应用类 – 定级：《信息系统安全保护等级定级指南》GB/T 22240-2008 – 建设：《信息系统安全等级保护基本要求》GB/T 22239-2008 《信息系统通用安全技术要求》GB/T 20271-2006 《信息系统等级保护安全设计技术要求》GB/T 25070-2010 – 测评：《信息系统安全等级保护测评要求 《信息系统安全等级保护测评过程指南》 – 管理：《信息系统安全管理要求》GB/T 20269-2006 《信息系统安全工程管理要求》GB/T 20282-2006
业务信息安全类要求 S
系统服务保证类要求 A
通通用用安安全全保保护护类类要要求求 GG
安全保护等级 第一级 第二级 第三级 第四级
第五级
信息系统定级结果的组合
S1A1G1 S1A2G2，S2A2G2，S2A1G2 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3 S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4 S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A4G5，S5A3G5，S5A2G5，
系统建设管理
系统运维管理
合计
/
级差
/
一级 9 9 6 7 2 3 4 7 20 18 85 /
二级 19 18 19 19 4 7 9 11 28 41 175 90
三级 32 33 32 31 8 11 20 16 45 62 290 115
四级 33 32 36 36 11 14 20 18 48 70 318 28
基本防护能力 基本出入控制 在机房中的活动
高层、地下室 分区域管理
存放位置、标记标识
监控报警系统
建筑防雷、机房接地
设备防雷
灭火设备、自动报警 关键设备
稳定电压、短期供应 线缆隔离
温湿度控制
自动消防系统 主要设备 主要设备 接地防干扰 电磁屏蔽
电子门禁
区域隔离措施 防静电地板
冗余/并行线路 备用供电系统
等级保护
管理体系不同 标准体系不同 保护对象不同
级别划分不同
评估队伍不同
信息系统安全测评
等级保护 公安机关 国家标准 （GB、GB/T） 各种信息系统 第一级：自主保护级 第二级：指导保护级 第三级：监督保护级 第四级：强制保护级 第五级：专控保护级
各级等级保护测评机构和部门
等级保护之十大标准
• 基础类 – 《计算机信息系统安全保护等级划分准则》GB 17859-1999 – 《信息系统安全等级保护实施指南》GB/T 25058-2010