信息安全等级保护及行业案例分析
合集下载
等级保护基本要求培训(第十二期)
等级保护的背景与发展
背景
随着信息技术的发展，信息安全问题日益突出，为应对这一挑战，我国政府制 定了一系列的信息安全法律法规和标准，等级保护制度就是其中之一。
发展
等级保护制度经历了从初步建立到逐步完善的过程，目前已经成为我国信息安 全保障的基本制度。
等级保护的基本原则
分级管理
对不同等级的信息和信 息系统实行不同的管理
安全物理环境问题
缺乏对物理访问的严格控制，可能导 致未经授权的人员进入关键区域。
安全通信网络问题与解决方案
总结词
安全通信网络问题主要涉及网络安全设备和通信保密。
安全通信网络问题
网络设备可能存在安全漏洞，通信过程中信息可能被窃取或篡改。
安全通信网络解决方案
及时更新网络设备的安全补丁，使用加密技术确保通信保密。
应用边界等。
网络边界应采取必要的安全防护 措施，如防火墙、入侵检测系统 等，以防止未经授权的访问和攻
击。
应用边界应采取身份认证和访问 控制措施，防止非法用户和恶意
软件的入侵。
安全计算环境
01
安全计算环境是保障信 息系统安全的核心，包 括操作系统、数据库、 应用程序等。
02
操作系统应采取必要的 安全配置和管理措施， 如账户管理、权限控制 等。
温湿度应控制在适宜范围内，并定期进 行环境清洁和消毒。
供电应采用专线专用，并配置防雷击和 浪涌保护器。
场地应选择具备良好电磁屏蔽和抗干扰 能力的区域，并采取物理访问控制和监 控措施。
机房应满足防水、防潮、防雷、防震等 要求，配备UPS电源和消防报警系统。
安全通信网络
01
02
03
04
安全通信网络是保障信息系统 安全运行的关键，包括内网、
信息安全等级保护及行业案例分析
信息安全等级保护及行业案例分析信息安全是指对信息进行保护，并保证信息的机密性、完整性、可用性和不可抵赖性。
为了有效保护信息安全，各国纷纷设立了信息安全等级保护体系。
本文将对信息安全等级保护进行介绍，并通过分析行业案例来探讨其重要性和应用。
信息安全等级保护是一个由高至低分为5个级别的体系，对信息系统进行等级划分。
不同级别的信息系统对应不同的保护措施和要求。
一般分为三个方面进行等级划分，即信息的保密性、完整性和可用性。
保密性是指信息对未授权人员的保密程度，完整性是指信息的完整程度，可用性是指信息系统正常运行的能力。
信息安全等级保护的首要目标是保障国家和社会信息的安全。
对于国家机关和军事系统等重要信息系统，要求较高的保护措施和技术手段，以防止敌对势力的渗透和攻击。
对于大中型企事业单位和重要行业，也有相应的保护要求，以防止敏感信息泄露、数据被篡改或服务中断对企业或行业造成损失。
对于非重要行业和个人用户，虽然对信息安全的要求相对较低，但也需要基本的防护措施，避免个人隐私泄露和财产损失。
信息安全等级保护在各个行业中都有广泛的应用。
以金融行业为例，金融机构是社会经济运行的核心环节，对信息安全的要求尤为严格。
在金融行业中，涉及大量的个人客户和企业的财务信息，如果泄露或被篡改，将对金融机构和客户造成极大的损失。
因此，金融行业的信息系统往往采用高等级的安全防护措施，包括数据加密、访问控制、审计日志等。
同时，金融行业也注重内部员工的信息安全意识和培训，加强对员工的监管和管理。
另外一个行业是电子商务。
随着网络技术的发展和普及，电子商务已经成为经济社会发展的重要组成部分。
在电子商务中，用户的个人隐私和财务信息往往需要提供给电商平台，以完成购物和支付等操作。
为了保护用户的信息安全，电商平台需要采取一系列的技术措施，例如使用安全的数据传输协议、加密用户的个人信息、建立安全的支付系统等。
还有一个行业是医疗保健。
医疗保健行业涉及大量的个人健康信息和医疗记录，如果这些信息泄露或被篡改，将对患者的身体和隐私造成极大的伤害。
等级保护解读与案例介绍
管理要求
等级保护1.0与2.0主要内容差异
素简出品
等级保护总体指导思想
等级保护2.0指导思想
突出保01护重点
升级防Te护xt 理念
注重联Te防xt 联控
强化集中管控
关键信息基础设施是国家 网络安全的重点保护对象，要举全国之力，不断强 化保卫、保障和保护。
从等保1.0标准被动防御的安 全体系向事前防范、事中响
边界接入区
行业专网
核心交换区
终端安全软件
移动办公
SSL VPN接入
防火墙
数据库 审计
网络流量分析探针
网络流量分析系统
网络流量分析探针Web 防火墙
APT检测
素简出品
等级保护通用安全解决方案
互联网接入区
SSL VPN网关
内部业务区
上网行为管理
IPS
DDoS防御
外部业务区
务器
Web
安全沙箱
IPS/AV
公通字[2007]43号四部门联合下发《信息安 全等级保护管理办法》；以及 《关于开展信 息安全等级保护试点工作的通知》标志着信息安全等级保护制度正式 开始实施。
等保2.0标准实施2019 年 5 月 10 日《GB/T22239-2019 信息安全技术网络安全等级保护 基本要求 》正式发布，称 为等保2.0标准。
在修订）
基本要求GB/T 22239-2019
设计要求GB/T 25070-2019
实施指南GB/T 25058（正
在修订）
测评要求GB/T 28448- 2019 测评过程指南GB/T 28449-2018
安全通用要求
云计算安全 扩展要求
移动互联安 全扩展要求
物联网安全 扩展要求
等级保护1.0与2.0主要内容差异
素简出品
等级保护总体指导思想
等级保护2.0指导思想
突出保01护重点
升级防Te护xt 理念
注重联Te防xt 联控
强化集中管控
关键信息基础设施是国家 网络安全的重点保护对象，要举全国之力，不断强 化保卫、保障和保护。
从等保1.0标准被动防御的安 全体系向事前防范、事中响
边界接入区
行业专网
核心交换区
终端安全软件
移动办公
SSL VPN接入
防火墙
数据库 审计
网络流量分析探针
网络流量分析系统
网络流量分析探针Web 防火墙
APT检测
素简出品
等级保护通用安全解决方案
互联网接入区
SSL VPN网关
内部业务区
上网行为管理
IPS
DDoS防御
外部业务区
务器
Web
安全沙箱
IPS/AV
公通字[2007]43号四部门联合下发《信息安 全等级保护管理办法》；以及 《关于开展信 息安全等级保护试点工作的通知》标志着信息安全等级保护制度正式 开始实施。
等保2.0标准实施2019 年 5 月 10 日《GB/T22239-2019 信息安全技术网络安全等级保护 基本要求 》正式发布，称 为等保2.0标准。
在修订）
基本要求GB/T 22239-2019
设计要求GB/T 25070-2019
实施指南GB/T 25058（正
在修订）
测评要求GB/T 28448- 2019 测评过程指南GB/T 28449-2018
安全通用要求
云计算安全 扩展要求
移动互联安 全扩展要求
物联网安全 扩展要求
信息安全等级保护制度
感谢您的观看
T测技术
通过部署监测设备，实时监测网络 流量和安全事件，及时发现并处置
网络安全威胁。
数据加密技术
通过加密算法对数据进行加密处理 ，保护数据的安全性和完整性。
安全审计技术
通过审计系统对网络流量和安全事 件进行审计，发现并纠正可能存在 的安全问题。
信息安全等级保护制度的应急响应技术
等级划分
根据信息和信息载体的重要性，一般将信息安全等级划分为 五级，分别是一级、二级、三级、四级和五级。每个级别都 有相应的保护要求和措施。
等级保护制度的基本原则
统一规划、分级实施
信息安全等级保护制度要求对信息和信息载体进行统一规划，并 按照分级原则进行实施。
全面覆盖、突出重点
信息安全等级保护制度要求对所有重要信息和信息载体进行全面 覆盖，同时突出重点，对关键信息基础设施实行重点保护。
定义
信息安全等级保护制度是对信息和信息载体按照重要性等级分级别进行保护 的一种工作机制。
重要性
信息安全等级保护制度旨在保障国家关键信息基础设施的安全运行，降低信 息和数据泄露的风险，维护社会稳定和公共利益。
等级保护制度的法规要求
法规依据
信息安全等级保护制度主要依据《中华人民共和国网络安全 法》、《信息安全等级保护管理办法》等法律法规制定。
要点二
实施过程
在信息安全等级保护制度下，大型企 业根据自身业务特点和安全风险评估 结果，将信息系统划分为不同的安全 等级，并制定相应的安全管理制度。 同时，还加强了对合作伙伴的安全管 理和风险控制。
要点三
效果评估
通过信息安全等级保护制度的实施， 大型企业有效地降低了信息安全风险 ，保障了客户信息和资金的安全。同 时，也提高了企业形象和市场竞争力 。
网络安全等级保护：TOP客户案例分享
l 建立安全运营机制，保障安全有效性
建立“持续、主动、动态、闭环”的 安全运营体系，持续地监测；主动地 服务；动态地调整，安全事件的闭环。
l 随需可得的高阶安全专家
云端高阶安全专家形成安全专家池，提出专家共享 模式。就安全问题的必要性自动介入更多的安全专 家或更高阶的安全专家，让用户在短时间内扩展出 专业安全团队，解决服务效果达不到预期问题。
数据中心 转运中心
数据中心 转运中心
分拨中心
分拨中心
分拨中心
分拨中心
配送站
配送站
配送站
配送站
配送站
安全接入多样化落地
补全组网短板 降低IT投入
组网最小单位从站点下 沉到人，安全传输更灵 活，管理更加集中，实 施成本更低
扩大使用规模 从驻外出差到全员推广
并发数量从千百级上升 到10万级，项目规模大 大提升
STAGE3技术认可
Ø 核心检测能力； Ø 安全可视能力； Ø 联动响应能力
STAGE2竞争测试
Ø 安恒：设备日志为主，流量为辅； Ø 360：威胁情报和设备日志为主，
流量为辅； Ø 深信服：全流量为主，威胁情报和
关键设备日志为辅
文广集团安全感知项目方案概览
Ø 核心检测能力：基于真实流量分析，使得大 数据分析、机器学习、人工智能技术实现真 正的安全检测能力落地，不存在第三方设备 日志分析的准确性问题；
Ø array无法依赖于自身做集群，只能主备模式部署，主备切换经常故障导致设备宕机，业务中断。 Ø 不支持多因素认证，仅支持双因素，身份认证手段单一。 Ø array日志审计不够完善，出问题后溯源能力匮乏。 Ø 与终端杀软等软件及最新版浏览器兼容性极差，增加大量的运维成本和压力。
组网方案延伸——SSL安全接入
建立“持续、主动、动态、闭环”的 安全运营体系，持续地监测；主动地 服务；动态地调整，安全事件的闭环。
l 随需可得的高阶安全专家
云端高阶安全专家形成安全专家池，提出专家共享 模式。就安全问题的必要性自动介入更多的安全专 家或更高阶的安全专家，让用户在短时间内扩展出 专业安全团队，解决服务效果达不到预期问题。
数据中心 转运中心
数据中心 转运中心
分拨中心
分拨中心
分拨中心
分拨中心
配送站
配送站
配送站
配送站
配送站
安全接入多样化落地
补全组网短板 降低IT投入
组网最小单位从站点下 沉到人，安全传输更灵 活，管理更加集中，实 施成本更低
扩大使用规模 从驻外出差到全员推广
并发数量从千百级上升 到10万级，项目规模大 大提升
STAGE3技术认可
Ø 核心检测能力； Ø 安全可视能力； Ø 联动响应能力
STAGE2竞争测试
Ø 安恒：设备日志为主，流量为辅； Ø 360：威胁情报和设备日志为主，
流量为辅； Ø 深信服：全流量为主，威胁情报和
关键设备日志为辅
文广集团安全感知项目方案概览
Ø 核心检测能力：基于真实流量分析，使得大 数据分析、机器学习、人工智能技术实现真 正的安全检测能力落地，不存在第三方设备 日志分析的准确性问题；
Ø array无法依赖于自身做集群，只能主备模式部署，主备切换经常故障导致设备宕机，业务中断。 Ø 不支持多因素认证，仅支持双因素，身份认证手段单一。 Ø array日志审计不够完善，出问题后溯源能力匮乏。 Ø 与终端杀软等软件及最新版浏览器兼容性极差，增加大量的运维成本和压力。
组网方案延伸——SSL安全接入
信息系统安全等级保护
安全运维管理
安全运维管理是信息系 统安全等级保护的重要 实践之一，旨在确保信 息系统的安全稳定运行。
安全运维管理涉及多个 方面，包括安全监控、 安全审计、安全配置管 理、安全漏洞管理等。
安全运维管理的目标是 及时发现和解决信息系 统存在的安全隐患，防 止信息泄露和系统崩溃 等安全事件的发生。
安全运维管理需要专业 的安全运维团队和技术 支持，以确保信息系统 的安全性和可靠性。
措施
法律法规：相关 法律法规对不同 等级的信息系统 提出了不同的安 全保护要求，企 业应遵守相关法 律法规，确保信 息系统的合法性
和安全性
等级保护工作的流程
信息系统定级 信息系统备案 开展安全建设 等级测评
03
信息系统安全等级保护 的实践
信息系统定级
信息系统等级保护的定级依据 信息系统等级保护的定级流程 信息系统等级保护的定级方法 信息系统等级保护的定级标准
国际相关法规和标准
ISO 27001： 信息安全管理 体系标准，规 定了组织应遵 循的信息安全 管理最佳实践
要求。
ISO 27002： 信息安全控制 实践指南，提 供了控制措施 的分类和示例， 帮助组织识别 和实施所需的
安全控制。
ISO 22301： 业务连续性管 理体系，旨在 确保组织能够 在发生灾难性 事件时快速恢
信息系统安全等级保 护
,
汇报人：
目录 /目录
01
点击此处添加 目录标题
04
信息系统安全 等级保护的法 规和标准
02
信息系统安全 等级保护概述
05
信息系统安全 等级保护的挑 战与对策
03
信息系统安全 等级保护的实 践
06
信息系统安全 等级保护的案 例分析
信息安全等级保护与解决方案
信息安全等级保护与解决方案信息安全是当今社会中一个十分重要的领域，尤其是在数字化和网络化的环境下，各种信息安全漏洞和威胁随之而来。
因此，信息安全等级保护和解决方案变得至关重要。
以下是一些常见的信息安全等级保护和解决方案的例子：1. 加强网络安全：通过建立有效的网络安全策略和防火墙来保护企业的网络系统，防止网络攻击、病毒和恶意软件的侵入。
2. 数据加密：对重要和敏感的数据进行加密，以防止数据泄露和未经授权的访问。
同时，建立有效的数据备份和恢复系统，以保证数据的安全性和可靠性。
3. 安全认证和访问控制：建立有效的安全认证和访问控制机制，对系统和数据进行严格的访问权限管理，确保只有经过授权的用户可以访问和操作系统和数据。
4. 安全意识教育：加强员工的信息安全意识培训，使其能够识别和应对各种信息安全威胁和攻击，从而减少内部安全风险。
5. 安全审计和监控：建立有效的安全审计和监控系统，对网络、系统和应用进行实时的监控和审计，及时发现和应对潜在的安全问题。
这些信息安全等级保护和解决方案的实施可以大大提高企业的信息安全等级，减少信息安全风险，并保护企业的核心业务和机密数据。
同时，信息安全技术和方法也在不断发展和演变，企业需要及时关注和应用最新的信息安全技术，以保证信息安全等级的持续提升。
信息安全等级保护和解决方案是企业在数字化时代面临的重要任务之一。
随着信息技术的发展和普及，企业面临的信息安全威胁也变得更加复杂和严峻。
因此，企业需要采取一系列有效的措施来保护其信息资产和业务运作的安全。
以下将继续探讨一些与信息安全等级保护和解决方案相关的内容。
6. 漏洞管理：定期对系统、应用和设备进行漏洞扫描和评估，及时修复和更新系统补丁，以减少安全漏洞对企业信息资产的潜在威胁。
7. 外部安全合作：建立外部安全合作关系，与专业的安全厂商、组织或机构合作，获取最新的安全威胁情报和解决方案，及时了解和应对新的安全威胁。
8. 持续改进：信息安全工作是一个持续改进的过程，企业需要建立信息安全管理体系，不断评估和改进安全策略、流程和控制措施，以适应不断变化的安全威胁和环境。
信息安全等级保护与整体解决方案介绍
Байду номын сангаас
02
信息安全等级保护体系
信息安全等级保护体系框架
01
02
03
组织结构
明确各级组织在信息安全 等级保护体系中的角色和 职责，建立完善的安全管 理责任体系。
安全管理
制定和实施安全管理制度 、流程和策略，确保信息 系统的安全运行。
安全技术
采用先进的安全技术手段 ，如加密、防火墙、入侵 检测等，以保护信息系统 免受攻击和破坏。
《中华人民共和国网络安全法》 明确规定了信息安全等级保护的 责任和义务，对网络运营者、网 络产品和服务提供者等提出了具
体要求。
行政法规
国务院《关于加强网络信息保护 的决定》等行政法规进一步细化 了信息安全等级保护的具体要求
和措施。
地方法规
各省市也相继出台了相关的地方 法规和政策，如《XX省网络安全
管理条例》等。
技术架构特点
我们的技术架构具有以下特点：分层次、模块化、开放性、可扩展性、可定制 性。
解决方案的实施流程
实施流程设计
我们的解决方案实施流程包括项目立项 、需求分析、设计开发、测试验收、上 线运行五个阶段。每个阶段都有明确的 任务和目标，确保项目的顺利进行。
VS
实施流程特点
我们的实施流程具有以下特点：标准化、 可操作性强、易于管理、可控性高。
通过信息安全等级保护实践，大型 企业提高了信息系统的安全性和可 靠性，保障了企业的商业机密和客 户信息的安全，提高了企业的市场 竞争力。
05
总结与展望
总结
信息安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。它涉及到信息安全的各个方面， 包括数据的保密性、完整性、可用性等。
02
信息安全等级保护体系
信息安全等级保护体系框架
01
02
03
组织结构
明确各级组织在信息安全 等级保护体系中的角色和 职责，建立完善的安全管 理责任体系。
安全管理
制定和实施安全管理制度 、流程和策略，确保信息 系统的安全运行。
安全技术
采用先进的安全技术手段 ，如加密、防火墙、入侵 检测等，以保护信息系统 免受攻击和破坏。
《中华人民共和国网络安全法》 明确规定了信息安全等级保护的 责任和义务，对网络运营者、网 络产品和服务提供者等提出了具
体要求。
行政法规
国务院《关于加强网络信息保护 的决定》等行政法规进一步细化 了信息安全等级保护的具体要求
和措施。
地方法规
各省市也相继出台了相关的地方 法规和政策，如《XX省网络安全
管理条例》等。
技术架构特点
我们的技术架构具有以下特点：分层次、模块化、开放性、可扩展性、可定制 性。
解决方案的实施流程
实施流程设计
我们的解决方案实施流程包括项目立项 、需求分析、设计开发、测试验收、上 线运行五个阶段。每个阶段都有明确的 任务和目标，确保项目的顺利进行。
VS
实施流程特点
我们的实施流程具有以下特点：标准化、 可操作性强、易于管理、可控性高。
通过信息安全等级保护实践，大型 企业提高了信息系统的安全性和可 靠性，保障了企业的商业机密和客 户信息的安全，提高了企业的市场 竞争力。
05
总结与展望
总结
信息安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。它涉及到信息安全的各个方面， 包括数据的保密性、完整性、可用性等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
二级
信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重 损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 • 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害 ，但不损害国家安全、社会秩序和公共利益。
广电总局 等级保护
北京市
等级保护背景与必要性
教育部
2011年8月，《教育部办公厅关于进一步加强网络信息系统安全保 障工作的通知教办厅函》〔2011〕83号要求各地教育行政部门和学校要 将本单位的信息系统定级结果报主管部门审批，已定级的第三级及以上 信息系统要安全整改方案由教育部组织专家审定，在2012年底前完成首 次安全建设整改和等级测评工作。 2010年4月教育部教育管理信息中心成立“信息安全测评部”，负 责信息安全等级保护测评工作。 2009年11月，教育部办公厅印发《关于开展信息系统安全等级保护 工作的通知》（教办厅函[2009]80号），决定在教育系统全面开展信息 安全等级保护工作，并由教育部教育管理信息中心具体组织实施。 2013年，四川将推电子学籍，其发布信息的可靠性也将借助安全。 2013年，全国教育系统拟投入600亿，可直接做信息及信息安全建 设。
2011年6月，国家广电总局科技司印发了《关 于开展广播电视相关信息系统安全等级保护定 级工作的通知》出台《广播电视相关信息系统 安全等级保护定级指南》和《广播电视相关信 息系统安全等级保护基本要求》行业标准
2007年，发布《税务信息系统安全等级保护 定级工作指南》2010年8月25日，国家税总在 上海组织召开了税务系统信息安全等级保护 上海试点测评阶段总结会。 国家电网公司2011年完成10多个网省的等级 保护整改任务（二次防护）
二级系统：5万多个 三级系统：2万多个 四级系统：100多个 2011年三级系统增加100%
等级保护背景与必要性
国家政策、标准解读
信息系统定级：《定级指南》GB/T22240-2008 等级保护实施：《实施指南》信安字[2007]10号 操作系统 数据库 网络 PKI 信息系统安全建设：《基本要求》GB/T22239-2008 《通用安全技术要求》 GB/T20271-2006 《安全技术设计要求》GB/T24856-2009 等10个要求和规范 等级测评：《测评要求》报批稿/《测评过程要求》报批稿 / GA/T713-2007 风险评估：《信息安全 风险评估规范》 GB/T20984-2007 事件管理：《信息安全 事件管理指南》 GB/Z20985-2007 《信息安全事件分类分 级指南》 GB/Z209862007 《信息系统灾难恢复规 范》GB/T20988-2007
T2-9.
T2-10. T2-11.
等级保护背景与必要性
威胁需求
T2-11. T2-12. T2-13. T2-14. T2-15. T2-16. T2-17. T2-18. T2-19. T2-20. T2-21. T2-22.
信息安全面临的威胁
系统软件、应用软件过度使用内存、CPU等系统资源 应用软件、系统软件缺陷导致数据丢失或系统运行中断 设施、通信线路、设备或存储介质因使用、维护或保养不当等原 因导致故障 授权用户操作失误导致系统文件被覆盖、数据丢失或不能使用 授权用户对系统错误配置或更改 攻击者利用非法手段进入机房内部盗窃、破坏等 攻击者非法物理访问系统设备、网络设备或存储介质等 攻击者采用在通信线缆上搭接或切断等导致线路不可用 攻击者利用分布式拒绝服务攻击等拒绝服务攻击工具，恶意地消 耗网络、操作系统和应用系统资源，导致拒绝服务 攻击者利用网络协议、操作系统、应用系统漏洞，越权访问文件、 数据或其他资源 攻击者利用通过恶意代码或木马程序，对网络、操作系统或应用 系统进行攻击 攻击者利用网络结构设计缺陷旁路安全策略，未授权访问网络
等级保护背景与必要性
《中华人民共和国计算机信息 系统安全保护条例》（1994年 国务院147号令） 《国家信息化领导小组关于加 强信息安全保障工作的意见》 （中办发[2003]27号）
网监->网安 测评机构认证（100多家） 测评师培训认证
政策法规 1994-2005
等保标准体系 2005-2008
等级保护背景与必要性
等保发展状况
2007年，四部委联合发布的《关于开展全国重要信息系统安全等级保 护定级工作的通知》（公信安[2007]861号） 2008年，国家发展和改革委员会、中华人民共和国公安部、国家保密 局《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》 （发改高技[2008]2071号） 2009年，四部委联合发布《关于推动信息安全等级保护测评体系建设 和开展等级测评工作的通知》，要求2010年底前完成测评体系建设，完 成30%第三级（含）以上信息系统的测评工作，2012年底之前完成第三 级（含）以上信息系统的安全建设整改工作。
等级保护背景与必要性
威胁需求
T2-23. T2-24. T2-25. T2-26. T2-27.
信息安全面临的威胁
攻击者利用非法手段获得授权用户的鉴别信息或密码介质，访问网络、系统 攻击者利用伪造客户端进入业务系统，进行非法访问 攻击者截获、读取、破解介质的信息或剩余信息，进行敏感信息的窃取 攻击者截获、读取、破解通信线路中的信息 由于网络设备、主机系统和应用软件的故障或双机热备失效，造成业务应用的中断 数据在传输和存储过程中被错误修改或丢失 攻击者利用通用安全协议/算法/软件等缺陷，获取信息、解密密钥或破坏通信完整 性 攻击者在软硬件分发环节（生产、运输等）中恶意更改软硬件 攻击者和内部人员否认自己的操作行为 攻击者和内部人员利用网络扩散病毒 内部人员下载、拷贝软件或文件，打开可疑邮件时引入病毒 内部人员未授权接入外部网络（如Internet） 内部人员利用技术或管理漏洞，未授权修改系统数据或修改系统程序 内部人员未授权访问敏感信息，将信息带出或通过网络传出，导致信息泄露
目录
1
2 3 4 5
等级保护背景与必要性 等级保护安全等级划分 等级保护安全建设模型 等级保护整改方案设计 行业案例分析
等级保护背景与必要性
全球背景
全球网络安全形势严峻，信息安全问题不仅仅是组织自身的事情，也 涉及到国家和社会安全。计算机病毒、黑客攻击、信息泄露、软硬件故 障等信息安全问题给组织单位造成了极大的风险。 互联网空间正日益成为国际竞争的新焦点,在制定本国信息系统安全等 级管理标准之外，美国、英国、德国等欧美发达国家纷纷制定网络安全 国家战略，参与争夺全球网络空间主导权。 美国2009年6月，美军成立网络司令部；日本防卫省在2011年度建立 一支专门的“网络空间防卫队”；韩国在2009年宣布组建“网络司令 部”，2011年韩国国防部提升为独立部队。
等级保护背景与必要性
卫生部
2011年11月，卫生部印发了《卫生行业信息安全等级保护工作的 指导意见》通知，通知明确提出卫生行业信息安全等级保护工作的指导 意见，包括工作目标、工作原则、工作机制、工作任务、工作要求等， 有力促进卫生行业信息安全等级保护工作的开展。
等级保护背景与必要性
信息的损害等级
五级损害 四级损害
• 信息系统受到破坏后，会对国家安全 造成特别严重损害。
• 信息系统受到破坏后，会对社会秩序和公共利益造 成特别严重损害，或者对国家安全造成严重损害。
三级损害
信息系统受到破坏后，会对社会秩序和公共利益造成严 重损害，或者对国家安全造成损害。
二级损害
信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重 损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
等级保护安全等级划分
等保的级差
《信息安全等级 保护管理办法》 规定的五级要求
五级 四级
• 信息系统受到破坏后，会对国家安全 造成特别严重损害。 • 信息系统受到破坏后，会对社会秩序和公共利益造 成特别严重损害，或者对国家安全造成严重损害。
三级
信息系统受到破坏后，会对社会秩序和公共利益造成严 重损害，或者对国家安全造成损害。
等级保护安全等级划分
等保的称谓
《信息安全等级 保护管理办法》 规定的五级要求
五级：专控保护 四级：强制保护
•第五级：访问验证保护级
•第四级：结构化保护级
三级：监督保护
•第三级：安全标记保护级
二级：指导保护
•第二级：系统审计保护级
一级：自主保护
•第一级：用户自主保护级
《信息安全等级保护划分准 则》GB17859-1999-规定了 计算机信息系统安全保护能 力的五个级别
技术要求 评估准则 测试方法 配置指南
应用类
网关 服务器 入侵检测
防火墙
路由器 交换机 其他产品
产品类
等保安全 建设整改
其他类
基础类 《计算机信息系统安全保护等级划分准则》
等级保护背景与必要性
省市/行业进展
《教育部办公厅关于开展信息系统安全等级保 护工作的通知》（教办厅函【2009】80号）
2010年6月，民政部启动《民政部信息系统等 级保护整体规划建设方案》
等级保护背景与必要性
国内背景
国际信息安全环境日趋复杂，西方加紧对我国的网络遏制，并加快利用网络 进行意识形态渗透;另一方面，重要信息系统、工业控制系统的安全风险日益 突出，信息安全网络监管的难度和复杂性持续加大。
网络安全成为关系经济平稳运行和安全的重要因素，国民经济对信息网络和
系统的依赖性增强，我国重要信息系统和工业控制系统多使用国外的技术和产 品，这些技术和产品的漏洞不可控，使网络和系统更易受到攻击，致使敏感信 息泄露、系统停运等重大安全事件多发，安全状况堪忧。 信息安全领域存在多头管理现象，相关职能部门涉及多个部委和管理机构， 部门之间职责界定不清晰，管理权限存在交叉，决策权分散，各个相关管理机 构之间缺乏充分的沟通和协调，部门间作用发挥不均。
T2-28. T2-29. T2-30. T2-31. T2-32. T2-33. T2-34. T2-35. T2-36.