信息安全等级保护与整体解决方案PPT课件
合集下载
《信息安全等级保护》PPT课件
• 信息安全等级保护的关键所在正是基于信息系 统所承载应用的重要性，以及该应用损毁后带 来的影响程度来判断风险是否控制在可接受的 范围内。
精选PPT
6
原则
• 谁主管谁负责、谁运营谁负责 • 自主定级、自主保护、监督指导
精选PPT
7
主要流程
一是：定级。
二是：备案。
三是：系统建设、整改。
四是：等级测评。
• 对技术要求
– ‘访谈’方法：
• 目的是了解信息系统的全局性。 • 范围一般不覆盖所有要求内容。
– ‘检查’方法：
• 目的是确认信息系统当前具体安全机制和运行的配 置是否符合要求 。
• 范围一般要覆盖所有要求内容。
– ‘测试’方法：
• 目的是验证信息系统安全机制有效性和安全强度。
• 范围不覆盖所有要求内容。
– 第三级，信息系统受到破坏后，会对社会秩序和公共 利益造成严重损害，或者对国家安全造成损害。
– 第四级，信息系统受到破坏后，会对社会秩序和公共 利益造成特别严重损害，或者对国家安全造成严重损 害。
– 第五级，信息系统受到破坏后，会对国家安全造成特 别严重损害。
精选PPT
10
定级原理(2)
• 定级要素
精选PPT
22
22
关系2
一级系统
通信/边界（基本）
二级系统
通信/边界/内部（关键设备）
三级系统
通信/边界/内部（主要设备）
通信/边界/内部/基础设施（所有设备） 四级系统
精选PPT
23
23
关系3
一级系统
计划和跟踪（主要制度）
二级系统
计划和跟踪（主要制度）
良好定义（管理活动制度化） 三级系统
等级保护宣讲 ppt课件
等级保护交流
汇报人：
CONTENTS
背景知识 1
3 等级保护政策标准 2
4
等级保护流程 等级保护解决方案
PPT模板下载： 行业PPT模板：
节日PPT模板：
PPT素材下载：
PPT背景图片： PPT图表下载：
优秀PPT下载： PPT教程：
W ord教程：
Excel教程：
资料下载：
PPT课件下载：
范文下载：
利用等级保护 开展安全工作 是国家的唯一选择
政策支撑
①等级保护制度是所有 安全中发文次数最多最 权威的制度，22年历 史； ②等级保护是唯一建立 系列标准覆盖实施落地 全流程，并向云移工扩 展的安全管理要求。
执行队伍
① 建立由中央、省、 市、县四级的网络 警察队伍，警察的 执行力度在所有国 家机关中最强。 ②全国133家测评 中心的技术支撑单 位；
高端手法：信息安全集成（等级保护）独立运作
为什么选择等级保护？ 1、国家政策 2、安全不是产品的简单堆积，也不是一次性的静态过程，它是
人员、技术、操作三者紧密结合的系统工程，是不断演进、循环 发展的动态过程
3、信息安全是一把手工程，信息安全是全员工程，信息安全工 作是三分技术、七分管理。
高层牵头 领导负责 全员参与
1 背景知识
用户开展等级保护建设的意义
安全建设体系化
以等级保护为标准开展安全 建设，让安全建设更加体系 化，可以从物理、网络、主 机、应用和数据多个方面成 体系的进行安全建设，再也 不是头痛医头脚痛医脚，对 本单位的安全建设有整体的 规划和思路。
安全 体系
责任 分担
责任更清晰
完成等保测评意味着公安机关 认可你的安全现状，一旦发生 安全事件是意外。如果没有进 行等级保护测评意味着你没有 达到国家要求，一旦发生安全 事件要自己承担相关责任。
汇报人：
CONTENTS
背景知识 1
3 等级保护政策标准 2
4
等级保护流程 等级保护解决方案
PPT模板下载： 行业PPT模板：
节日PPT模板：
PPT素材下载：
PPT背景图片： PPT图表下载：
优秀PPT下载： PPT教程：
W ord教程：
Excel教程：
资料下载：
PPT课件下载：
范文下载：
利用等级保护 开展安全工作 是国家的唯一选择
政策支撑
①等级保护制度是所有 安全中发文次数最多最 权威的制度，22年历 史； ②等级保护是唯一建立 系列标准覆盖实施落地 全流程，并向云移工扩 展的安全管理要求。
执行队伍
① 建立由中央、省、 市、县四级的网络 警察队伍，警察的 执行力度在所有国 家机关中最强。 ②全国133家测评 中心的技术支撑单 位；
高端手法：信息安全集成（等级保护）独立运作
为什么选择等级保护？ 1、国家政策 2、安全不是产品的简单堆积，也不是一次性的静态过程，它是
人员、技术、操作三者紧密结合的系统工程，是不断演进、循环 发展的动态过程
3、信息安全是一把手工程，信息安全是全员工程，信息安全工 作是三分技术、七分管理。
高层牵头 领导负责 全员参与
1 背景知识
用户开展等级保护建设的意义
安全建设体系化
以等级保护为标准开展安全 建设，让安全建设更加体系 化，可以从物理、网络、主 机、应用和数据多个方面成 体系的进行安全建设，再也 不是头痛医头脚痛医脚，对 本单位的安全建设有整体的 规划和思路。
安全 体系
责任 分担
责任更清晰
完成等保测评意味着公安机关 认可你的安全现状，一旦发生 安全事件是意外。如果没有进 行等级保护测评意味着你没有 达到国家要求，一旦发生安全 事件要自己承担相关责任。
第7讲信息安全等级保护-PPT课件
第二级 审计安全保护
第三级 强制安全保护
第四级 结构化保护
隐蔽通道分析 系统审计 客体重用 可信恢复
第五级 访问验证保护级
强制访问控制 标记 可信路径
隐蔽通道分析
如何理解信息系统的五个安全保护等级
第一级：一般适用于小型私营、个体企业、中小学、乡镇所属信息 系统、县级单位中一般的信息系统。 第二级：一般适用于县级某些单位中的重要信息系统；地市级以上 国家机关、企事业单位内部一般的信息系统，如涉及工作秘密、商 业秘密、敏感信息的办公系统和管理系统等。 第三级：一般适用于地市级以上国家机关、企业、事业单位内部重 要的信息系统，例如涉及工作秘密、商业秘密、敏感信息的办公系 统和管理系统；跨省或全国联网运行的用于生产、调度、管理、指 挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的 分支系统；中央各部委、省（区、市）门户网站和重要网站；跨省 连接的网络系统等。 第四级：一般适用于国家重要领域、重要部门中的特别重要系统以 及核心系统。例如电力、电信、广电、铁路、民航、银行、税务等 重要部门的生产、调度、指挥等涉及国家安全、国计民生的核心系 统。 第五级：一般适用于国家重要领域、重要部门中的极端重要系统。
GB17859-2019 计算机信息系统安全保护等级划分准则
等级保护的技术标准规范
面向评估者技术标准：
《计算机信息系统安全保护等级划分准则》 （GB 17859-2019） 《信息安全技术 信息系统通用安全技术要求》 （GB/T 20271-2019）
《信息安全技术 操作系统安全技术要求》 （GB/T 20272-2019）
9 月 7日
中办国办发 中共中央办公厅 [2019]27号 国务院办公厅
信息安全等级保护与整体解决方案介绍
Байду номын сангаас
02
信息安全等级保护体系
信息安全等级保护体系框架
01
02
03
组织结构
明确各级组织在信息安全 等级保护体系中的角色和 职责，建立完善的安全管 理责任体系。
安全管理
制定和实施安全管理制度 、流程和策略，确保信息 系统的安全运行。
安全技术
采用先进的安全技术手段 ，如加密、防火墙、入侵 检测等，以保护信息系统 免受攻击和破坏。
《中华人民共和国网络安全法》 明确规定了信息安全等级保护的 责任和义务，对网络运营者、网 络产品和服务提供者等提出了具
体要求。
行政法规
国务院《关于加强网络信息保护 的决定》等行政法规进一步细化 了信息安全等级保护的具体要求
和措施。
地方法规
各省市也相继出台了相关的地方 法规和政策，如《XX省网络安全
管理条例》等。
技术架构特点
我们的技术架构具有以下特点：分层次、模块化、开放性、可扩展性、可定制 性。
解决方案的实施流程
实施流程设计
我们的解决方案实施流程包括项目立项 、需求分析、设计开发、测试验收、上 线运行五个阶段。每个阶段都有明确的 任务和目标，确保项目的顺利进行。
VS
实施流程特点
我们的实施流程具有以下特点：标准化、 可操作性强、易于管理、可控性高。
通过信息安全等级保护实践，大型 企业提高了信息系统的安全性和可 靠性，保障了企业的商业机密和客 户信息的安全，提高了企业的市场 竞争力。
05
总结与展望
总结
信息安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。它涉及到信息安全的各个方面， 包括数据的保密性、完整性、可用性等。
02
信息安全等级保护体系
信息安全等级保护体系框架
01
02
03
组织结构
明确各级组织在信息安全 等级保护体系中的角色和 职责，建立完善的安全管 理责任体系。
安全管理
制定和实施安全管理制度 、流程和策略，确保信息 系统的安全运行。
安全技术
采用先进的安全技术手段 ，如加密、防火墙、入侵 检测等，以保护信息系统 免受攻击和破坏。
《中华人民共和国网络安全法》 明确规定了信息安全等级保护的 责任和义务，对网络运营者、网 络产品和服务提供者等提出了具
体要求。
行政法规
国务院《关于加强网络信息保护 的决定》等行政法规进一步细化 了信息安全等级保护的具体要求
和措施。
地方法规
各省市也相继出台了相关的地方 法规和政策，如《XX省网络安全
管理条例》等。
技术架构特点
我们的技术架构具有以下特点：分层次、模块化、开放性、可扩展性、可定制 性。
解决方案的实施流程
实施流程设计
我们的解决方案实施流程包括项目立项 、需求分析、设计开发、测试验收、上 线运行五个阶段。每个阶段都有明确的 任务和目标，确保项目的顺利进行。
VS
实施流程特点
我们的实施流程具有以下特点：标准化、 可操作性强、易于管理、可控性高。
通过信息安全等级保护实践，大型 企业提高了信息系统的安全性和可 靠性，保障了企业的商业机密和客 户信息的安全，提高了企业的市场 竞争力。
05
总结与展望
总结
信息安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。它涉及到信息安全的各个方面， 包括数据的保密性、完整性、可用性等。
信息安全等保培训ppt课件
信息安全等级保护制度介绍
上海市信息安全测评认证中心
1
介绍大纲
1 信息安全等级保护工作概述 2 趋势科技与等级保护合规性
信息安全等级保护制度
信息安全等级保护制度是什么 信息安全等级保护制度要干什么 如何开展信息安全等级保护工作
3
引言
❖ 在当今社会中，信息已成为人类宝贵的资源，并且可以通 过Internet为全球人类所使用与共享。
应安装防恶意代码软件，并及时更新防恶意代 码软件版本和恶意代码库
备注
趋势科技与等级保护合规性
❖ Deep Security
符合要求 主机入侵防范 主机恶意代码防范
符合内容
能够检测到对重要服务器进行入侵的行为，能 够记录入侵的源IP、攻击的类型、攻击的目的 、攻击的时间，并在发生严重入侵事件时提供 报警
符合要求 主机恶意代码防范
符合内容
应安装防恶意代码软件，并及时更新防恶意代 码软件版本和恶意代码库
备注
趋势科技与等级保护合规性
❖ Web 安全网关 IWSA
符合要求 网络结构安全
网络访问控制
符合内容
避免将重要网段部署在网络边界处且直接连接 外部信息系统，重要网段与其他网段之间采取 可靠的技术隔离手段
❖ 主要原则：立足国情，以我为主，坚持管理与技术并重； 正确处理安全与发展的关系，以安全促发展，在发展中求 安全；统筹规划、突出重点，强化基础性工作；明确国家 、企业、个人的责任和义务，充分发挥各方面的积极性， 共同构筑国家信息安全保障体系。
13
等级保护制度
（一）信息安全等级保护制度是什么？
14
什么是信息安全等级保护工作
操作系统通过设置升级服务器等方式保持系统 补丁及时得到更新
上海市信息安全测评认证中心
1
介绍大纲
1 信息安全等级保护工作概述 2 趋势科技与等级保护合规性
信息安全等级保护制度
信息安全等级保护制度是什么 信息安全等级保护制度要干什么 如何开展信息安全等级保护工作
3
引言
❖ 在当今社会中，信息已成为人类宝贵的资源，并且可以通 过Internet为全球人类所使用与共享。
应安装防恶意代码软件，并及时更新防恶意代 码软件版本和恶意代码库
备注
趋势科技与等级保护合规性
❖ Deep Security
符合要求 主机入侵防范 主机恶意代码防范
符合内容
能够检测到对重要服务器进行入侵的行为，能 够记录入侵的源IP、攻击的类型、攻击的目的 、攻击的时间，并在发生严重入侵事件时提供 报警
符合要求 主机恶意代码防范
符合内容
应安装防恶意代码软件，并及时更新防恶意代 码软件版本和恶意代码库
备注
趋势科技与等级保护合规性
❖ Web 安全网关 IWSA
符合要求 网络结构安全
网络访问控制
符合内容
避免将重要网段部署在网络边界处且直接连接 外部信息系统，重要网段与其他网段之间采取 可靠的技术隔离手段
❖ 主要原则：立足国情，以我为主，坚持管理与技术并重； 正确处理安全与发展的关系，以安全促发展，在发展中求 安全；统筹规划、突出重点，强化基础性工作；明确国家 、企业、个人的责任和义务，充分发挥各方面的积极性， 共同构筑国家信息安全保障体系。
13
等级保护制度
（一）信息安全等级保护制度是什么？
14
什么是信息安全等级保护工作
操作系统通过设置升级服务器等方式保持系统 补丁及时得到更新
信息系统等级保护44页PPT
以《需基求本背要求景》中 “ 用 求以中以为网 、《物《政目络数基理基策标、据本依主”，安本机部以据要全要分、《求求部要应设》》 经级计分中分要过保为为管求信护依依理》息 专据据为安安 家方全全 论法等 证部
通过
流程四：等保体系整体架构
安全接入/隔离设备
区域边界
区域边界
通信网络
通信网络
其它定级系统
公通字 [2019]66号
公通字 [2019]43号
公信安 [2019]861 号
颁布机构
国务院
中共中央办公厅 国务院办公厅
公安部 国家保密局 国家密码管理委 员会办公室 （国家密码管理 局） 国务院信息化工 作办公室
内容及意义
第一次提出信息系统要实行 等级保护，并确定了等级保 护的职责单位。
等级保护工作的开展必须分 步骤、分阶段、有计划的实 施。明确了信息安全等级保 护制度的基本内容。
安全管理 中心
安全管理中心
计算环境
网站/应用服务器 交换设备 计算环境
终端 用户
流程五：等保体系部署
通信网络
国家安全
第三级 第四级 第五级
流程二：等保建设立项
信息系统等级保护建设，经过信息系统的运营、管理部 门以及有关政府部门的批准，并列入信息系统运营单位或政 府计划的过程。
一项基本国策，一项基本制度，具有政策的强制性 是办公电子化、业务信息化发展必需的保障手段 用户业务开展的实际需求
流程三：风险评估
信息系统安全等级保护定级指南
GB17859-2019 计算机信息系统安全保护等级划分准则
等级保护的技术标准规范
面向评估者技术标准：
《计算机信息系统安全保护等级划分准则》 （GB 17859-2019） 《信息安全技术 信息系统通用安全技术要求》 （GB/T 20271-2019） 《信息安全技术 操作系统安全技术要求》 （GB/T 20272-2019）
信息安全等级保护政策体系-PPT
第2部分
信息安全等级保护政策体系和标准体系
5.信息安全等级保护主要标准简要说明
（2）《信息系统安全等级保护基本要求》（GB/T22239—2008） 1)主要作用
不同安全保护等级的信息系统有着不同的安全需求，为此，针对不同等级的信息系统提出了相应 的基本安全保护要求，各个级别信息系统的安全保护要求构成了《信息系统安全等级保护基本要求》。 2)主要内容
第2部分
信息安全等级保护政策体系和标准体系
5.信息安全等级保护主要标准简要说明
（2）《信息系统安全等级保护基本要求》
（GB/T22239—2008） 2)主要内容 保护要求的分级方法
网络恶意代码防 范、剩余信息保 护、抗抵赖
安全保护能力逐级增高，相应的安全保护
要求和措施逐级增强
监控管理和安全 管理中心
信息保密与信息安全
保密、常识、技术、意识教育
政策体系和标准体系
第2部分
信息安全等级保护政策体系和标准体系
1.信息安全等级保护政策体系
（1）总体方面的政策文件 《关于信息安全等级保护工作的实施意见》（公通字 [2004]66 号） 《信息安全等级保护管理办法》（公通字 [2007]43 号） （2）具体环节的政策文件 对应等级保护工作的具体环节（信息系统定级、备案、 安全建设整改、等级测评、安全检查），公安部出台了 相应的政策规范。
第2部分
信息安全等级保护政策体系和标准体系
2.信息安全等级保护标准体系
他类标准 1）风险评估 《信息安全风险评估规范》（GB/T 20984—2007）。 2）事件管理 《信息安全事件管理指南》（GB/Z 20985—2007）； 《信息安全事件分类分级指南》（GB/Z 20986—2007）； 《信息系统灾难恢复规范》（GB/T 20988—2007）。
信息系统安全等级保护培训课件(PPT 36页)
区域边界保护
保护计算环境
保护计算环境
实现集中安全管理
落实安全管理措施
三级系统安全管理措施
- 建立全面的安全管理制度，并安排专人负责并监控执行情况； - 建立全面的人员管理体系，制定严格的考核标准 - 建设过程的各项活动都要求进行制度化规范，按照制度要求进行 活动的开展 - 实现严格的保密性管理 - 成立安全运维小组，对安全维护的责任落实到具体的人 - 引入第三方专业安全服务
物理安 • 需要到物理机房实地检查，请提前申请进入机房的相关手续，并协调查看机房管理相关管理记录 全
网络安 • 需要登录网络设备、安全设备检查相关配置及漏洞扫描，请分配可接入的网络端口及地址，提供配置文件
全 主机安 • 需要登录相关主机设备检查相关配置及漏洞扫描，请分配可接入的网络端口及地址 全 应用安 • 请提供应用系统访问地址，以及访问该应用所需的网络地址，帐户名称、口令以及其它鉴别方式所需软硬件设备 全
分级保护系列标准规范
《涉及国家秘密的计算机信息系统分级保 护技术要求》BMB17-2006 《涉及国家秘密计算机信息系统安全保密 方案设计指南》 BMB23-2008 涉密信息系统安全保障建设 《涉及国家秘密计算机信息系统分级保护 指南 管理规范》BMB20-2007 《涉及国家秘密的信息系统分级保护测评 指南》BMB22—2007 《涉及国家秘密计算机信息系统分级保护 管理办法 》国家保密局16号
管理制 • 请提供安全管理制度电子档或纸质版本，以及相关记录文件
度
1、最灵繁的人也看不见自己的背脊。——非洲 2、最困难的事情就是认识自己。——希腊 3、勇猛、大胆和坚定的决心能够抵得上武器的精良。——达· 芬奇 4、与肝胆人共事，无字句处读书。——周恩来 5、一个人即使已登上顶峰，也仍要自强不息。——罗素· 贝克 6、一切节省，归根到底都归结为时间的节省。——马克思 7、自知之明是最难得的知识。——西班牙 8、勇气通往天堂，怯懦通往地狱。——塞内加 9、有时候读书是一种巧妙地避开思考的方法。——赫尔普斯 10、阅读一切好书如同和过去最杰出的人谈话。——笛卡儿 11、有勇气承担命运这才是英雄好汉。——黑塞 12、只有把抱怨环境的心情，化为上进的力量，才是成功的保证。——罗曼· 罗兰 13、知人者智，自知者明。胜人者有力，自胜者强。——老子 14、意志坚强的人能把世界放在手中像泥块一样任意揉捏。——歌德 15、最具挑战性的挑战莫过于提升自我。——迈克尔· F· 斯特利 16、业余生活要有意义，不要越轨。——华盛顿 17、意志是一个强壮的盲人，倚靠在明眼的跛子肩上。——叔本华 18、最大的挑战和突破在于用人，而用人最大的突破在于信任人。——马云 19、我这个人走得很慢，但是我从不后退。——亚伯拉罕· 林肯 20、要掌握书，莫被书掌握；要为生而读，莫为读而生。——布尔沃 21、要知道对好事的称颂过于夸大，也会招来人们的反感轻蔑和嫉妒。——培根 22、业精于勤，荒于嬉；行成于思，毁于随。——韩愈 23、最大的骄傲于最大的自卑都表示心灵的最软弱无力。——斯宾诺莎 24、知之者不如好之者，好之者不如乐之者。——孔子 25、学习是劳动，是充满思想的劳动。——乌申斯基 26、要使整个人生都过得舒适、愉快，这是不可能的，因为人类必须具备一种能应付逆境的态度。——卢梭 27、越是无能的人，越喜欢挑剔别人的错儿。——爱尔兰 28、意志命运往往背道而驰，决心到最后会全部推倒。——莎士比亚 29、越是没有本领的就越加自命不凡。——邓拓 30、阅读使人充实，会谈使人敏捷，写作使人精确。——培根
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2005年12月，公安部《信息系统安全等级保护实施指 南》、《信息系统安全等级保护定级要求》、《信息 系统安全等级保护基本要求》、《信息系统安全等级 保护测评准则》（GB送审稿陆续出台）
2006年3月开始实施的公安部、国家保密局、国家密码 管理局、国信办四部委（局办）发布7号文 《等级保 护管理办法》
信息安全等级保护与 等级化安全体系解决方案
1
INDEX
网络安全与信息安全 信息安全等级保护 等级化安全体系解决方案
2
网络安全与信息安全
安全定义 安全基本要求 安全技术体系 安全模型
3
安全定义
防止任何对数据进行未授权访问的措施，或者造 成信息有意无意泄漏、破坏、丢失等问题的发生， 让数据处于远离危险、免于威胁的状态或特性。
10
对等级保护的理解
等级保护是我国信息安全领域的一项基本政策
1994年，《中华人民共和国计算机信息系统安全保护条 例》的发布
1999年，《计算机信息系统安全保护等级划分准则》 GB17859-1999发布
2003年，中央办公厅、国务院办公厅转发《国家信息化 领导小组关于加强信息安全保障工作的意见》（中办发 [2003]27号文）
12
对等级保护的理解（续二）
等级保护的核心是将传统的定性设计逐步进化为 定量的安全保障设计
对信息系统实施不同等级的安全保护 对信息系统中使用的安全产品实施分等级管理 对信息系统发生的安全事件分等级响应和处置
13
对等级保护的理解（续三）
等级保护体现了差异化的安全保障思想
由系统使命决定系统的等级，充分考虑业务信息安全性和业 务服务保证性
2004年，四部委(公安部、国家保密局、国家密码管理 局、国信办)联合签发了《关于信息安全等级保护工作 的实施意见 》（公通字[2004]66号文）
国务院信息化工作办公室发布《电子政务信息安全等级 保护实施指南（试行）》
11
对等级保护的理解（续一）
等级保护是我国信息安全领域的一项基本政策
2005年12月，国家保密局发布《涉及国家秘密的信息 系统分级保护管理办法》、《涉及国家秘密的信息系 统分级保护技术要求》
及时恢复系统，使其尽快正常对外提供服 务，是降低网络攻击造成损失的有效途径
响应 react
对危及网络安全的事件和行为做出反应，阻止 对信息系统的进一步破坏并使损失降到最低
PDRR模型图
8
INDEX
网络安全与信息安全 信息安全等级保护 等级化安全体系解决方案
9
信息安全等级保护
对等级保护政策的理解 信息系统划分 信息系统定级 等级化安全保障体系设计流程 等级化安全保障体系的基本框架
安全区域侧重从物理区域进行划分，比如核心区、接 入区；用户区、管理区；外网、接入网、内网等，其 优点是划分相对容易，缺点是粒度较粗
业务系统侧重从应用系统进行划分，优点是粒度较细， 缺点是实际操作比较困难，当然也可以考虑几个业务 系统的组合
保护对象则综合了安全区域和业务系统两种方法的优 点，既考虑了信息系统的信息流向、业务流程,也考虑 了信息系统的物理归属
机密性：（Confidentiality）谁能拥有信息，保证国家秘 密和敏感信息仅为授权者享有
可用性：（Availability ）信息和信息系统是否能够使用保 证信息和信息系统随时可为授权者提供服务而不被非授权 者滥用。
可控性：（Controllability）是否能够监控管理信息和系统 保证信息和信息系统的授权认证和监控管理。
14
信息系统的划分
信息系统的概念有大有小，在工程实践中，过大 的划分不利于对信息进行有针对性的保护，因此 需要对信息系统进行有效的划分
信息系统的划分原则是相同的管理机构、相同的 业务类型、相同的物理位置或相似的运行环境
【公安部《信息系统安全保护等级定级指南》】
15
信息系统的划分（续一）
信息系统的划分可以从安全区域、业务系统和保 护对象三个不同角度进行：
备份。
6
安全模型—P2DR
Protection 防护
Policy 策略
P2DR模型
7
安全模型--PDRR
采用一切手段（主要指静态防护 手段）保护信息系统的五大特性 。
保护 protect
检测本地网络的安全漏洞和存在的非 法信息流，从而有效阻止网络攻击
检测 derestore
结合基本要求，并依据风险评估的结果对安全保护措施进行 调整
对3级及以上系统实施相应的监督和管理
对涉及国家安全、经济建设、社会稳定等方面的重要信息系统重 点保护
对于涉及国家秘密的信息系统 规范定密，准确定级；依据标准，同步建设；突出重点，确保 核心；明确责任，加强监督 涉及国家秘密的信息系统按照所处理信息的最高密级，由低到 高划分为秘密级、机密级(一般和增强)和绝密级三个级别，其 总体防护水平分别不低于三级、四级、五级的要求
网络安全：网络的组成方式、拓扑结构和网络应 用
信息安全：信息的来源、去向，内容的真实无误 及保证信息的完整性，信息不会被非法泄露扩散 保证信息的保密性
4
安全基本要求
完整性：（Integrity）拥有的信息是否正确；保证信息从 真实的信源发往真实的信宿，传输、存储、处理中未被删 改、增添、替换。
16
信息系统的划分（续二）
不可否认性：（Non-repudiation）为信息行为承担责任， 保证信息行为人不能否认其信息行为。
5
安全技术体系
物理安全技术：环境安全、设备安全、媒体安全； 系统安全技术：操作系统及数据库系统的安全性； 网络安全技术：网络隔离、访问控制、VPN、入侵检测、扫
描评估； 应用安全技术：Email 安全、Web 访问安全、内容过滤、应
用系统安全； 数据加密技术：硬件和软件加密，实现身份认证和数据信息
的CIA 特性； 认证授权技术：口令认证、SSO 认证（例如Kerberos）、证
书认证等； 访问控制技术：防火墙、访问控制列表等； 审计跟踪技术：入侵检测、日志审计、辨析取证； 防病毒技术：单机防病毒技术逐渐发展成整体防病毒体系； 灾难恢复和备份技术：业务连续性技术，前提就是对数据的
2006年3月开始实施的公安部、国家保密局、国家密码 管理局、国信办四部委（局办）发布7号文 《等级保 护管理办法》
信息安全等级保护与 等级化安全体系解决方案
1
INDEX
网络安全与信息安全 信息安全等级保护 等级化安全体系解决方案
2
网络安全与信息安全
安全定义 安全基本要求 安全技术体系 安全模型
3
安全定义
防止任何对数据进行未授权访问的措施，或者造 成信息有意无意泄漏、破坏、丢失等问题的发生， 让数据处于远离危险、免于威胁的状态或特性。
10
对等级保护的理解
等级保护是我国信息安全领域的一项基本政策
1994年，《中华人民共和国计算机信息系统安全保护条 例》的发布
1999年，《计算机信息系统安全保护等级划分准则》 GB17859-1999发布
2003年，中央办公厅、国务院办公厅转发《国家信息化 领导小组关于加强信息安全保障工作的意见》（中办发 [2003]27号文）
12
对等级保护的理解（续二）
等级保护的核心是将传统的定性设计逐步进化为 定量的安全保障设计
对信息系统实施不同等级的安全保护 对信息系统中使用的安全产品实施分等级管理 对信息系统发生的安全事件分等级响应和处置
13
对等级保护的理解（续三）
等级保护体现了差异化的安全保障思想
由系统使命决定系统的等级，充分考虑业务信息安全性和业 务服务保证性
2004年，四部委(公安部、国家保密局、国家密码管理 局、国信办)联合签发了《关于信息安全等级保护工作 的实施意见 》（公通字[2004]66号文）
国务院信息化工作办公室发布《电子政务信息安全等级 保护实施指南（试行）》
11
对等级保护的理解（续一）
等级保护是我国信息安全领域的一项基本政策
2005年12月，国家保密局发布《涉及国家秘密的信息 系统分级保护管理办法》、《涉及国家秘密的信息系 统分级保护技术要求》
及时恢复系统，使其尽快正常对外提供服 务，是降低网络攻击造成损失的有效途径
响应 react
对危及网络安全的事件和行为做出反应，阻止 对信息系统的进一步破坏并使损失降到最低
PDRR模型图
8
INDEX
网络安全与信息安全 信息安全等级保护 等级化安全体系解决方案
9
信息安全等级保护
对等级保护政策的理解 信息系统划分 信息系统定级 等级化安全保障体系设计流程 等级化安全保障体系的基本框架
安全区域侧重从物理区域进行划分，比如核心区、接 入区；用户区、管理区；外网、接入网、内网等，其 优点是划分相对容易，缺点是粒度较粗
业务系统侧重从应用系统进行划分，优点是粒度较细， 缺点是实际操作比较困难，当然也可以考虑几个业务 系统的组合
保护对象则综合了安全区域和业务系统两种方法的优 点，既考虑了信息系统的信息流向、业务流程,也考虑 了信息系统的物理归属
机密性：（Confidentiality）谁能拥有信息，保证国家秘 密和敏感信息仅为授权者享有
可用性：（Availability ）信息和信息系统是否能够使用保 证信息和信息系统随时可为授权者提供服务而不被非授权 者滥用。
可控性：（Controllability）是否能够监控管理信息和系统 保证信息和信息系统的授权认证和监控管理。
14
信息系统的划分
信息系统的概念有大有小，在工程实践中，过大 的划分不利于对信息进行有针对性的保护，因此 需要对信息系统进行有效的划分
信息系统的划分原则是相同的管理机构、相同的 业务类型、相同的物理位置或相似的运行环境
【公安部《信息系统安全保护等级定级指南》】
15
信息系统的划分（续一）
信息系统的划分可以从安全区域、业务系统和保 护对象三个不同角度进行：
备份。
6
安全模型—P2DR
Protection 防护
Policy 策略
P2DR模型
7
安全模型--PDRR
采用一切手段（主要指静态防护 手段）保护信息系统的五大特性 。
保护 protect
检测本地网络的安全漏洞和存在的非 法信息流，从而有效阻止网络攻击
检测 derestore
结合基本要求，并依据风险评估的结果对安全保护措施进行 调整
对3级及以上系统实施相应的监督和管理
对涉及国家安全、经济建设、社会稳定等方面的重要信息系统重 点保护
对于涉及国家秘密的信息系统 规范定密，准确定级；依据标准，同步建设；突出重点，确保 核心；明确责任，加强监督 涉及国家秘密的信息系统按照所处理信息的最高密级，由低到 高划分为秘密级、机密级(一般和增强)和绝密级三个级别，其 总体防护水平分别不低于三级、四级、五级的要求
网络安全：网络的组成方式、拓扑结构和网络应 用
信息安全：信息的来源、去向，内容的真实无误 及保证信息的完整性，信息不会被非法泄露扩散 保证信息的保密性
4
安全基本要求
完整性：（Integrity）拥有的信息是否正确；保证信息从 真实的信源发往真实的信宿，传输、存储、处理中未被删 改、增添、替换。
16
信息系统的划分（续二）
不可否认性：（Non-repudiation）为信息行为承担责任， 保证信息行为人不能否认其信息行为。
5
安全技术体系
物理安全技术：环境安全、设备安全、媒体安全； 系统安全技术：操作系统及数据库系统的安全性； 网络安全技术：网络隔离、访问控制、VPN、入侵检测、扫
描评估； 应用安全技术：Email 安全、Web 访问安全、内容过滤、应
用系统安全； 数据加密技术：硬件和软件加密，实现身份认证和数据信息
的CIA 特性； 认证授权技术：口令认证、SSO 认证（例如Kerberos）、证
书认证等； 访问控制技术：防火墙、访问控制列表等； 审计跟踪技术：入侵检测、日志审计、辨析取证； 防病毒技术：单机防病毒技术逐渐发展成整体防病毒体系； 灾难恢复和备份技术：业务连续性技术，前提就是对数据的