2019年整理重要信息系统定级工作实施方案及说明-中国信息安全等级保护网资料
信息系统信息安全等级保护定级指南
信息系统信息安全等级保护定级指南你想想，这些信息系统就像是一个个家门口的铁门，防得住小偷，挡得住坏人。
问题是，你的铁门到底得有多坚固？这就涉及到“定级”问题了。
简单来说，定级就是你得评估一下，你家的“铁门”值多少分，能防住多大的威胁。
为了确保信息不被人偷走，也不让重要的事情暴露出去，国家制定了这么一套标准，帮助企业和组织对自己的系统安全进行评级。
别看这玩意儿名字复杂，实际上说白了就是把信息系统分成几个等级，给它们穿上合适的“防护服”。
信息安全的定级到底有啥用呢？简单来说，它能告诉你：这个系统能抵挡的威胁有多大，万一被攻击了，损失能有多严重。
如果系统的等级高，那它的安全要求就高，你得做得更精细，花更多心思去防护。
反过来，如果系统级别低，那你也可以稍微放松点，但也不能完全掉以轻心——毕竟，低级别的防护不代表没风险，谁知道小偷什么时候打破门槛呢？举个例子，假设你的公司搞的是医疗数据管理，涉及到病人的隐私信息。
如果被黑客入侵，后果可就严重了。
因为一旦个人数据泄露，不仅会给公司带来巨大的经济损失，还可能涉及到法律责任。
那你觉得，这样的系统是不是得定个高级别？反过来，如果是一个小小的博客网站，涉及的只是一些无关紧要的内容，那可能就没那么高的安全需求了，定个低级别也行。
不过，说到这里，也不能以为定级就完事儿了。
定级只是个起点，真正的挑战在于如何把定下来的等级落实到实际的安全措施上。
你得根据自己的定级要求，做出相应的技术和管理措施。
比如高级别系统，得有强力的防火墙、入侵检测系统、加密技术等等，确保信息不被泄露。
别小看这些技术，它们可不是一两块钱就能解决的，得好好预算一番，才能搭建出一套符合定级要求的系统。
你还得定期检查、评估，看看自己系统的安全防护到底是不是“硬如铁”。
别到时候等黑客已经把门撞开了，你才发现自己“铁门”上那把锁其实是纸糊的。
这就像是你家门口的狗，如果它天天吃得不好，没力气守家了，那你怎么能放心让它看门呢？所以定级之后，得时刻维护，确保你的安全措施始终在线，不能掉以轻心。
重要信息系统定级工作实施方案及说明-中国信息安全认证中心
编号：产品范围有关指标参数说明材料产品名称： 型号： 版本号： 申请方名称（盖章）： 申请日期：中国网络安全审查技术与认证中心制填表说明一、本文档适用于认证申请单位或者获证单位对安全认证产品的范围相关技术指标等情况进行说明。
其中，范围指标及参数要求根据《网络关键设备和网络安全专用产品目录（第一批）》拟定，具体要求参见本文档附件2。
二、申请方在填写申请书的时候，不能对申请书现有文字进行任何修改，如表格栏目填写空间不足，可自行添加附页。
三、封面中的“申请方名称”是指进行认证申请单位或获证单位的法人单位全称。
四、本表中有选择的地方请将选中的选项前的“ ”加黑或勾选。
五、“产品情况”表中“产品范围”项仅保留申请安全认证产品对应的类别所在行，其他行删除。
六、申请方需提交纸版资料1份，电子版1份。
七、申请方需提供本文档中填写的技术指标有关证明材料（如测试报告等）的复印件，并加盖公章。
注：产品未获得认证证书的申请方此页删除。
申请方声明我方遵守《中华人民共和国网络安全法》、《中华人民共和国认证认可条例》及相关法律法规的规定，严格履行认证过程中的各项要求，并承诺：1．遵守中国网络安全审查技术与认证中心的有关程序和规定。
2．为开展认证提供必要、及时的配合。
3．确保提交资料中所有内容的真实性、有效性和准确性。
法定代表人（签字）申请方公章年月日申请方基本情况产品情况附件1产品范围参数有关证明材料清单申请方代表：（签字）附件2网络关键设备和网络安全专用产品范围指标参数要求。
信息安全等级保护实施方案
以我给的标题写文档，最低1503字，要求以Markdown文本格式输出，不要带图片，标题为：信息安全等级保护实施方案# 信息安全等级保护实施方案## 1. 简介信息安全等级保护是指根据信息系统存在的风险和威胁，以及信息系统中保存、处理、传输的信息的重要程度，采取一系列技术措施和管理措施，保障信息系统的安全性、完整性和可用性。
本文档旨在制定信息安全等级保护实施方案，以保障组织的信息系统安全。
## 2. 背景随着信息技术的迅猛发展，信息安全面临越来越多的威胁和风险。
信息泄露、数据丢失、系统瘫痪等问题对组织的业务运营和声誉造成重大影响。
因此，建立信息安全等级保护体系，成为组织确保信息系统安全的关键。
## 3. 目标本方案旨在确保信息系统的安全性和可用性，保护信息资产，防止信息泄露、篡改和破坏，降低信息系统遭受威胁和风险的可能性。
通过制定相应的技术和管理措施，使得信息系统能够有效应对各种威胁，并保持高水平的安全防护。
## 4. 信息安全等级划分根据信息的重要性和敏感程度，将信息分为不同等级，以便采取针对性的安全保护措施。
一般情况下，信息安全等级划分包括以下几个等级：- 高级别：对组织的运营和战略有重大影响的关键信息。
泄露或遭受破坏将会造成严重的损失和后果。
- 中级别：对组织运营有一定影响的重要信息。
泄露或遭受破坏将会对组织造成一定的损失和后果。
- 低级别：对组织运营影响较小的一般信息。
泄露或遭受破坏的损失和后果相对较小。
## 5. 实施方案### 5.1 资产分类与分级根据信息安全等级划分，对信息系统中的各类资产进行分类和分级。
考虑以下因素：- 信息的重要性和敏感程度；- 信息系统对业务运营的影响程度；- 信息的传输和处理风险；- 泄露或破坏后果的严重程度等。
### 5.2 安全需求分析针对不同等级的资产和信息，进行安全需求分析。
根据资产分类和分级结果，确定不同等级资产的安全要求，包括但不限于以下方面：- 访问控制：确保只有授权人员能够访问和处理信息；- 数据加密：对敏感信息进行加密保护，防止泄露和篡改；- 安全审计：记录和审计信息系统的使用情况，及时发现异常行为和安全事件；- 网络防护：采取防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等技术手段，保护信息系统免受外部威胁。
信息系统安全等级保护实施指南介绍
概述-背景（续）
在“66号文”的职责分工和工作要求中指出： 信息和信息系统的运营、使用单位按照等级保护的管理规
范和技术标准，确定其信息和信息系统的安全保护等级
信息和信息系统的运营、使用单位按照等级保护的管理规 范和技术标准对新建、改建、扩建的信息系统进行信息系 统的安全规划设计、安全建设施工
阶段主要活动- 1.安全评估和需求分析
活动目标
通过系统调查和安全评估了解系统目前的安全现 状；
评估系统已经采用的或将要采用的保护措施和等 级保护安全要求之间的差距，这种差距作为系统 的一种安全需求；
了解系统额外的安全需求； 明确系统的完整安全需求。
主要参考标准
《信息系统安全等级保护基本要求》 《信息系统安全等级保护测评准则》 GB/T xxxxx-2019 信息系统安全通用技术要求 《信息安全风险评估指南》
阶段主要活动- 2.安全总体设计
主要活动过程
系统等级化模型处理 总体安全策略设计 各级系统安全技术措施设计 单位整体安全管理策略设计 设计结果文档化
阶段主要活动- 2.安全总体设计
系统等级化模型处理
输入
过程的工作内容
输出
系统详细描述文件 符合性评估结果 风险评估结果 特殊安全要求
信息和信息系统的运营、使用单位及其主管部门按照与信 息系统安全保护等级相对应的管理规范和技术标准的要求， 定期进行安全状况检测评估
国家指定信息安全监管职能部门按照等级保护的管理规范 和技术标准的要求，对信息和信息系统的安全等级保护状 况进行监督检查
概述-背景（续）
管理规范和技术标准的作用
主管部门
阶段主要活动- 2.安全总体设计
各级系统安全技术措施设计
等保 实施方案
等保实施方案一、概述信息安全等级保护（以下简称“等保”）是指对信息系统按照其安全等级的要求，采取相应的技术、管理和物理措施，保护信息系统安全的一种综合性保护措施。
为了确保信息系统的安全性和稳定性，我们制定了本等保实施方案，旨在全面提升信息系统的安全等级，保障信息系统的正常运行和信息的安全性。
二、等保实施方案的基本原则1. 法律依据：严格按照国家相关法律法规和政策要求，确保等保工作合法合规。
2. 整体设计：根据信息系统的实际情况，制定整体的等保方案，确保全面覆盖和无遗漏。
3. 分级保护：根据信息系统的安全等级要求，采取相应的技术、管理和物理措施，实施分级保护。
4. 风险评估：开展全面的风险评估工作，识别和评估信息系统可能面临的各类安全风险。
5. 防护措施：采取有效的技术手段和管理措施，确保信息系统的安全性和可靠性。
6. 持续改进：建立健全的信息安全管理体系，加强对等保工作的监督和评估，不断改进和完善等保措施。
三、等保实施方案的具体措施1. 制定等保管理制度：建立健全信息安全管理制度，明确各级责任人的职责和权限，确保等保工作的顺利开展。
2. 加强网络安全防护：建立完善的网络安全防护体系，包括入侵检测系统、防火墙、安全网关等技术手段，确保网络的安全可靠。
3. 完善权限管理机制：建立严格的权限管理机制，包括用户身份认证、访问控制、操作审计等措施，确保信息系统的安全性和可控性。
4. 加强数据保护：采取加密、备份、灾难恢复等措施，保护重要数据的安全性和完整性。
5. 定期漏洞扫描与修复：定期对信息系统进行漏洞扫描，及时修复系统中存在的安全漏洞，确保系统的安全性。
6. 加强安全意识教育：开展针对员工的安全意识培训，提高员工对信息安全的重视和保护意识。
7. 强化安全监控：建立健全的安全监控体系，对信息系统的安全状态进行实时监控和预警，及时发现和应对安全威胁。
四、等保实施方案的监督与评估1. 建立等保工作的监督机制，由专门的信息安全管理部门负责对等保工作进行监督和检查。
信息系统安全等级保护
3级
• 《信息系统安全等级保护备案表》 • 《信息系统安全等级保护定级报 告》 • 《网络与信息安全承诺书》 • 《XX单位信息系统等级保护联系 表》 • 工商营业执照+法人代表身份证+ 组织机构代码证（如三证合一， 省略） • 《信息系统安全等级保护备案表》 表四涉及的材料扫描件
14
系统备案
• 信息系统安全等级保护备案表》表四涉及的材料扫描件： 系统拓扑结构及说明 系统安全组织机构及管理制度 系统安全保护设施设计实施方案或改建实施方案 系统使用的安全产品清单及认证、销售许可证明 系统等级测评报告 专家评审情况 上级主管部门审批意见
物理安 • 需要到物理机房实地检查，请提前申请进入机房的相关手续，并协调查看机房管理相关管理记录
全
网络安 • 需要登录网络设备、安全设备检查相关配置及漏洞扫描，请分配可接入的网络端口及地址，提供配置文件 全 主机安 • 需要登录相关主机设备检查相关配置及漏洞扫描，请分配可接入的网络端口及地址 全 应用安 • 请提供应用系统访问地址，以及访问该应用所需的网络地址，帐户名称、口令以及其它鉴别方式所需软硬件设备
分级保护系列标准规范
《涉及国家秘密的计算机信息系统分级保 护技术要求》BMB17-2006 《涉及国家秘密计算机信息系统安全保密 方案设计指南》 BMB23-2008 涉密信息系统安全保障建设 《涉及国家秘密计算机信息系统分级保护 指南 管理规范》BMB20-2007 《涉及国家秘密的信息系统分级保护测评 指南》BMB22—2007 《涉及国家秘密计算机信息系统分级保护 管理办法 》国家保密局16号
内 容
等级保护简介 等级保护定级与备案
等级保护解决方案 等级保护测评
测评依据
信息系统安全保护等级定级指南
信息系统安全保护等级定级指南摘要本文档旨在为企业和组织提供信息系统安全保护等级定级指南，帮助他们评估和确定信息系统的安全保护等级。
通过合理的等级定级，企业和组织可以根据其业务需求制定相应的安全防护策略，提高信息系统的安全性。
1. 引言信息系统安全是当今数字化时代的重要议题。
随着互联网技术的发展和普及，企业和组织正面临着越来越多的安全威胁。
为了保护信息系统免受恶意攻击和非法访问，以及确保敏感信息的保密性、完整性和可用性，确定信息系统的安全保护等级至关重要。
等级定级是一个评估过程，通过评估信息系统在保密性、完整性和可用性方面的需求和风险来确定其安全保护等级。
本指南提供了一套可行的等级定级方法和准则，以帮助企业和组织评估其信息系统的安全需求，并建立相应的安全措施。
2. 安全保护等级安全保护等级是对信息系统在保密性、完整性和可用性方面的要求和风险进行划分的等级。
本指南采用了三级安全保护等级：•一级安全保护等级：对信息系统的安全需求要求最高，适用于处理高度敏感信息的系统，如核心业务系统、国家安全信息系统等；•二级安全保护等级：对信息系统的安全需求要求较高，适用于处理敏感信息的系统，如金融业务系统、医疗保健系统等；•三级安全保护等级：对信息系统的安全需求要求较低，适用于处理一般信息的系统，如企业内部协同系统、电子邮件系统等。
每个等级都对保密性、完整性和可用性进行了明确的要求和评估准则，以帮助企业和组织确定其信息系统所需的安全保护等级。
3. 等级定级过程等级定级是一个系统的、有步骤的过程，以确定信息系统的安全保护等级。
以下是等级定级过程的主要步骤：3.1 识别信息系统首先，需要明确要定级的信息系统，包括系统的角色、功能、业务流程等。
这有助于更好地理解系统的需求和风险。
3.2 确定安全目标根据信息系统的角色和功能，确定安全目标，包括保密性、完整性和可用性。
例如，对于一级安全保护等级的信息系统，保密性要求可能非常高，而可用性要求相对较低。
信息安全等级保护工作实施方案
信息安全等级保护工作实施方案一、概述随着互联网和信息技术的迅猛发展，信息安全问题日益突出。
为了确保国家和组织的信息资产安全，信息安全等级保护工作应该得到高度重视和实施。
本文旨在提出一套实施信息安全等级保护工作的方案，以帮助企业和组织有效保护信息资产不受威胁。
二、工作目标1. 建立完善的信息安全管理体系，确保信息安全工作可持续进行。
2. 防范各类信息安全威胁，保护信息资产不受未经授权的访问、窃取、损毁和篡改。
3. 有效应对各种安全事件和危机，减少信息资产损失和运营中断。
三、工作内容1. 制定和完善信息安全政策和制度建立信息安全管理体系，明确信息安全的基本原则和要求，明确各个职责部门的安全责任和义务，制定相关的信息安全政策和制度。
2. 建立信息资产清单和分类按照信息资产的重要程度和敏感程度，对信息资产进行分类，制定相应的安全保护措施。
建立信息资产清单，对每个资产进行详细的描述和记录，包括所有者、责任人、敏感程度、存储位置等信息。
3. 风险评估和管理对信息系统进行风险评估和管理，确定信息安全风险的发生概率和影响程度，制定相应的治理措施。
建立风险评估和管理的流程和规范，对各种风险进行及时评估和管理。
4. 安全防护措施建立和完善各种安全防护措施，包括网络安全、物理安全、应用系统安全等方面的措施。
实施安全防护设备和技术的部署，确保网络和系统的安全性。
5. 员工意识培训加强员工的信息安全意识培训，提高员工的信息安全意识和技能。
定期组织安全教育培训，指导员工学习和掌握信息安全的基本知识和技术。
6. 安全事件响应建立安全事件响应机制，针对各类安全事件和危机进行及时响应和处理。
建立安全事件的报告、记录和分析机制，总结和研究安全事件的原因和处理经验。
7. 审计和检查定期进行信息安全的审计和检查，发现和解决存在的安全问题。
建立信息安全管理评估和审计的规范和方法，对信息安全工作进行定期检查和评估。
四、组织架构和职责划分1. 信息安全管理委员会负责制定信息安全政策和制度，指导和监督信息安全工作的实施。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
附件2:
信息系统安全等级保护
备案表
备案单位： _____________ （盖章） __________ 备案日期： ________________________________
受理备案单位： ________ （盖章） __________ 受理日期： ________________________________
中华人民共和国公安部监制
填表说明
制表依据。
根据《信息安全等级保护管理办法》
（公通字[2007]43号）之规定，制作 本表；
备案表编号:
二、填表范围。
本表由第二级以上信息系统运营使用单位或主管部门（以下简称“备案单位”填写；本表由四张表单
构成，表一为单位信息，每个填表单位填写一张；表二为信息系统基本信息，表三为信息系统定级信息，表二、表三每个信息系统填写一张；
表四为第三级以上信息系统需要同时提交的内容，由每个第三级以上信息系统填写一~_____________
张，并在完成系统建设、整改、测评等工作，投入运行后三十日内向受理备案公安机关提交；表二、表三、表四可以复印使用；
三、保存方式。
本表一式二份，一份由备案单位保存，一份由受理备案公安机关存档；
四、本表中有选择的地方请在选项左侧“”划“V”，如选择“其他”，请在其后的横线
中注明详细内容；
五、封面中备案表编号（由受理备案的公安机关填写并校验）:分两部分共11位，第一部
分6位，为受理备案公安机关代码前六位（可参照行标GA380-2002）。
第二部分5位,
为受理备案的公安机关给出的备案单位的顺序编号；
六、封面中备案单位：是指负责运营使用信息系统的法人单位全称；
七、封面中受理备案单位：是指受理备案的公安机关公共信息网络安全监察部门名称。
此
项由受理备案的公安机关负责填写并盖章；
八、表一04行政区划代码：是指备案单位所在的地（区、市、州、盟）行政区划代码；
九、表一05单位负责人：是指主管本单位信息安全工作的领导；
十、表一06责任部门：是指单位内负责信息系统安全工作的部门；
十一、表一08隶属关系：是指信息系统运营使用单位与上级行政机构的从属关系，须按照单位隶属关系代码（GB/T12404-1997 ）填写；
十二、表二02系统编号：是由运营使用单位给出的本单位备案信息系统的编号；
十三、表二05系统网络平台：是指系统所处的网络环境和网络构架情况；
十四、表二07关键产品使用情况：国产品是指系统中该类产品的研制、生产单位是由中国公民、法人投资或者国家投资或者控股，在中华人民共和国境内具有独立的法人资格，
产品的核心技术、关键部件具有我国自主知识产权；
十五、表二08系统采用服务情况：国内服务商是指服务机构在中华人民共和国境内注册成立
（港澳台地区除外），由中国公民、法人或国家投资的企事业单位；
十六、表三01、02、03项：填写上述三项内容，确定信息系统安全保护等级时可参考《信息系统安全等级保护定级指南》，信息系统安全保护等级由业务信息安全等级和系统服务安全等级较高者决定。
01、02项中每一个确定的级别所对应的损害客体及损害程度可多选；
十七、表三06主管部门：是指对备案单位信息系统负领导责任的行政或业务主管单位或部
门。
部级单位此项可不填；
十八、解释：本表由公安部公共信息网络安全监察局监制并负责解释，未经允许，任何单位
和个人不得对本表进行改动。
表一单位基本情况
表二（/ ）信息系统情况
表二（/ ）信息系统定级情况
01确定
业务
信息
安全
保护
等级
02确定
系统
服务
安全
保护
等级
损害客体及损害程度级别仅对公民、法人和其他组织的合法权益造成损害第一级
对公民、法人和其他组织的合法权益造成严重损害
对社会秩序和公共利益造成损害
第二级
对社会秩序和公共利益造成严重损害对国豕安全造成损害
第三级
对社会秩序和公共利益造成特别严重损害对国家安全造成严重损害
第四级对国豕安全造成特别严重损害第五级仅对公民、法人和其他组织的合法权益造成损害第一级对公民、法人和其他组织的合法权益造成严重损害
对社会秩序和公共利益造成损害
第二级对社会秩序和公共利益造成严重损害
对国豕安全造成损害
第三级
对社会秩序和公共利益造成特别严重损害对国家安全造成严重损害
第四级对国豕安全造成特别严重损害第五级
第三级第四级第五级
第一级第二级
03信息系统安全保护等级
04定级时间
05专家评审情况已评审未评审
06是否有主管部门无（如选择有请填下两项）
07主管部门名称
08主管部门审批定级情况已审批未审批
09系统定级报告附件名称
填表人: 填表日期:
备案审核民警: 审核日期: 年月日
表四（/ ）第二级以上信息系统提交材料情况。