信息安全等级保护体系设计
信息安全等级保护实施方案
信息安全等级保护实施方案随着信息技术的快速发展，信息安全问题日益凸显，各类网络攻击、数据泄露等安全事件层出不穷，给个人和组织带来了严重的损失。
因此，建立健全的信息安全等级保护实施方案，对于保障信息系统的安全性和稳定性具有重要意义。
一、信息安全等级保护的重要性信息安全等级保护是指根据信息系统的重要性和安全风险，对信息系统进行分类、分级保护的一种管理模式。
通过对信息系统进行分类分级，可以根据实际情况采取相应的安全防护措施，提高信息系统的整体安全性。
二、信息安全等级保护实施方案的基本原则1. 分级管理原则：根据信息系统的重要性和安全风险，对信息系统进行分类分级管理，采取相应的安全防护措施。
2. 风险评估原则：对信息系统进行全面的风险评估，识别潜在的安全风险，并采取相应的措施进行防范和应对。
3. 安全防护原则：建立健全的安全防护体系，包括网络安全、数据安全、应用安全等方面的安全措施，确保信息系统的安全可靠。
4. 审计监督原则：建立健全的信息安全审计和监督机制，对信息系统的安全性进行定期检查和评估，及时发现和解决安全隐患。
三、信息安全等级保护实施方案的具体措施1. 制定信息安全管理制度：建立健全的信息安全管理制度，包括安全责任制、安全管理制度、安全培训制度等，明确各级人员在信息安全工作中的职责和义务。
2. 加强网络安全防护：建立防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等网络安全设备，对网络进行全面的安全防护，防范网络攻击和恶意入侵。
3. 加强数据安全保护：对重要数据进行加密存储和传输，建立数据备份和恢复机制，确保数据的完整性和可靠性。
4. 完善应用安全管理：建立健全的应用系统安全管理制度，对应用系统进行安全评估和审计，及时修复漏洞和弱点，确保应用系统的安全可靠。
5. 加强安全监控和应急响应：建立安全事件监控和应急响应机制，对安全事件进行及时监控和处置，减小安全事件造成的损失。
四、信息安全等级保护实施方案的效果评估建立健全的信息安全等级保护实施方案后，需要对其效果进行定期评估，包括安全防护措施的有效性、安全事件的处理情况等，及时发现问题并进行改进，提高信息系统的安全性和稳定性。
信息安全等级保护方案
信息安全等级保护方案1. 简介信息安全等级保护方案是一种系统的、全面的信息安全保护措施，旨在保护企事业单位的信息系统和敏感信息免受各类威胁和风险的侵害。
本文档将对信息安全等级保护方案的设计、实施和管理进行介绍，以确保安全保密的信息得到适当的保护。
2. 方案设计2.1 等级划分根据国家相关法律法规和标准要求，将信息系统按照其安全风险和重要程度进行等级划分。
通常可以将信息系统划分为四个等级：一级、二级、三级和四级，其中一级为最高等级，四级为最低等级。
2.2 安全要求根据不同等级的信息系统，制定相应的安全要求，包括但不限于以下几个方面：2.2.1 数据保护确保敏感信息的机密性、完整性和可用性，采取加密、访问控制、备份等措施，防止数据泄露、篡改和丢失。
2.2.2 风险评估和安全漏洞管理定期进行风险评估，发现和修复系统中的安全漏洞，确保系统安全性。
2.2.3 访问控制根据不同用户的角色和权限，进行严格的访问控制管理，避免未经授权的人员访问系统和敏感信息。
2.3 技术措施根据安全要求，制定相应的技术措施，包括但不限于以下几个方面：2.3.1 网络安全采用防火墙、入侵检测系统（IDS）等网络安全设备，对入侵行为进行监测和防范。
2.3.2 加密技术对敏感信息进行加密存储和传输，确保数据在传输和存储过程中的安全性。
2.3.3 安全审计和监控建立安全审计和监控系统，记录和监测系统的安全事件和行为，及时发现和处理安全事件。
3. 方案实施3.1 硬件设备采购与部署根据安全要求和技术措施，采购和部署相应的硬件设备，包括服务器、网络设备、存储设备等，以满足安全保护的需求。
3.2 软件系统配置和优化根据安全要求和技术措施，对软件系统进行配置和优化，确保系统安全性。
3.3 人员培训和管理对相关人员进行信息安全培训，提高其对安全防护和安全意识的认识。
同时建立健全的人员管理制度，确保人员遵守安全规定和操作规程。
4. 方案管理4.1 安全运维建立安全运维团队，负责日常的安全管理和运维工作，包括但不限于漏洞修复、安全事件响应和安全培训等。
信息安全等级保护体系建设方案
信息安全等级保护体系建设方案目录第1章.项目概述 (3)1.1.项目背景 (3)1.2.项目依据 (4)1.3.项目建设内容 (4)第2章.安全管理体系建设 (5)2.1.总体安全体系建设 (5)2.2.安全管理层面 (6)2.2.1.安全管理制度 (6)2.2.2.安全管理机构 (7)2.2.3.人员安全管理 (8)2.2.4.系统建设管理 (8)2.2.5.系统运维管理 (8)第3章.项目规划建设 (9)3.1.总体工作计划 (9)3.2.系统差距评估 (10)第4章.安全建设清单及预算 (16)第1章.项目概述1.1. 项目背景省公安厅、省保密局、密码管理局和省信息化工作领导小组联合发文《省深化信息安全等级保护工作方案》(粤公通字[2009]45号)中又再次指出，“通过深化信息安全等级保护，全面推动重要信息系统安全整改和测评工作，增强信息系统安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，提高信息安全保障能力，维护国家安全、社会稳定和公共利益，保障和促进信息化建设”。
由此可见，等级保护测评和等级保护安全整改工作已经迫在眉睫。
按照《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《信息安全等级保护管理办法》（公通字[2007]43号）等文件要求，某市某单位积极响应等级保护要求，将开展等保定级、等保评估、等级保护整改、差距测评等评估工作，切实将信息发布系统建成“信息公开、在线办事、公众参与”三位一体的业务体系，为企业和社会公众提供“一站式”电子政务公共服务政务目标提供有力保障。
目前，需要对现有的6个系统展开等级保护工作，7个系统分别是：某市某单位OA系统、某市某单位档案系统、某市某单位大道班系统、某市某单位财务系统、某市某单位路政巡查系统、某市某单位网站。
虽然系统各异，但是都在同一个物理地址，故此统一对6个系统进行等级保护安全建设，使之更加安全、稳定。
信息系统等级保护安全设计技术要求
信息系统等级保护安全设计技术要求随着信息化的发展，信息系统的安全已经成为一个普遍关注的焦点。
安全设计逐步发展为一种直接实现安全资源保护的有效技术手段，成为信息系统安全可控的重要手段之一。
信息系统等级保护安全设计技术要求是实施现代信息系统安全设计的基本原则，是确保系统安全可控的必要条件之一。
本文从安全资源保护、安全策略设计、安全技术架构以及安全实施等方面，阐述了信息系统等级保护安全设计的技术要求，以期为信息系统的安全管理提供相关理论指导。
一、安全资源保护安全资源保护是信息系统等级保护安全设计的重要基础，其要求必须遵循以下原则：1、资源可见性：资源可见性是保护安全资源的核心原则，其要求对资源的访问和使用应有明确的规则，明确的访问权限，并采取有效的措施保证安全资源的可见性。
2、系统安全性：系统安全性是指系统能够抵御外部和内部的破坏，并能起到抵御信息安全威胁的效果。
因此，在进行系统设计时，必须根据安全性需求，集成完善的安全管理机制，避免不安全的程序出现。
3、数据安全性：数据安全性是保护信息安全的必要原则，其要求系统要求实施完善的安全技术措施，以实现数据的保密、完整性和有效性，并保护数据免受未经授权的访问、更改和删除。
4、组织内安全运行：组织内安全运行是确保系统安全运行的必要条件。
在实施安全运行之前，应充分了解系统的安全技术状况，确定可能发生危险事件的特点，完善安全评估机制，制定安全管理规程和标准，并实施有效的防范和应急预案。
二、安全策略设计安全策略设计是实现信息系统等级保护的基础，旨在确定系统的安全要求，提高系统安全性能，其要求必须遵循以下原则：1、安全控制措施：安全控制措施是实现信息安全的基础，其要求系统只接受符合安全策略要求的访问请求，控制内部用户的访问授权，防止未经授权访问并及时发现和处理安全事件。
2、安全管理：安全管理是指指引系统安全运行的核心管理原则，其要求实施完善的安全管理机制，建立系统安全管理体系，充分发挥安全管理的作用，以实现系统安全的有效管理。
信息安全技术信息系统等级保护安全设计技术要求
信息安全技术信息系统等级保护安全设计技术要求一、引言信息安全技术信息系统等级保护（简称安全等级）是确定保护信息安全的主要依据。
安全等级在全球范围内得以广泛采用，为不同规模的信息系统提供安全保护，尤其是与计算机有关的信息系统，它受到越来越多的重视。
信息安全技术信息系统等级保护安全设计技术要求是根据安全等级保护要求而制定的，以实现信息系统等级保护的有效实施。
它主要包括信息系统安全建设要求、技术标准、安全控制要求、安全健康验证要求、安全风险管理要求等几个方面。
二、信息系统安全建设要求1、确定安全等级：根据系统内容、规模和应用环境，确定系统安全等级，并且根据安全等级制定安全控制要求。
2、安全需求分析：根据安全等级和系统功能，确定安全需求，并且对其做详细分析。
3、安全建设措施：针对安全分析的结果，确定有效的安全控制措施，以保障信息安全。
4、安全服务及测试：在安全控制实施之前应该进行全面的服务和测试，以保证安全控制措施可以有效地实施。
三、技术标准1、共用技术标准：按照国家发布的信息安全标准，依据国家安全要求、业务属性等，确定相应的安全控制措施，以达到安全要求。
2、可操作程度：检查与信息安全相关的应用系统是否具备足够的可操作性，以使用户可以有效的执行安全等级的安全控制措施。
3、安全增强技术：采用可用的安全增强技术，如双因素认证、VPN、虚拟机等，对安全等级进行有效保护。
4、工程技术标准：根据发展技术需要，系统地提出工程技术标准，为信息安全提供全面的指导和规范。
四、安全控制要求1、安全设计和测试：在设计、开发和测试过程中，应该以安全等级为依据，对系统设计、开发和测试进行充分的安全评估，以确保系统的安全性。
2、安全可控性：确保信息系统的安全性，应该把安全控制纳入系统的整体管理体系，并且把安全控制的实施责任落实到有关的责任人员身上。
3、安全记录：信息系统的安全活动必须保存有完整的日志记录，以便对系统发生的安全事件做出合理的反应。
信息安全等级保护安全建设方案制定与实施
信息安全等级保护安全建设方案制定与实施为确保企业信息系统的安全稳定运行，保护企业重要信息不受到恶意攻击和非法获取，制定并实施信息安全等级保护安全建设方案至关重要。
该方案将以企业现有的信息系统和业务需求为基础，综合考虑技术、管理和人员等因素，从而全面提升信息安全等级保护工作的水平和效果。
一、方案制定1. 分析评估：对企业信息系统的安全现状进行全面的分析和评估，识别现存的安全问题和隐患，为后续的方案制定提供依据。
2. 制定方案：根据分析评估结果，制定信息安全等级保护安全建设方案，明确安全目标和工作重点，拟定相应的工作计划和实施方案。
3. 参与讨论：邀请企业相关部门负责人和信息安全专家参与方案制定，充分发挥专业人员的作用，确保方案的全面性和可行性。
二、方案实施1. 资源准备：为实施方案提供必要的资源支持，包括资金、技术设备和人员配备等，以确保方案的顺利实施。
2. 组织协调：明确安全管理的责任人和工作分工，建立健全的组织结构和工作机制，保证信息安全工作的协调运作。
3. 技术落地：采取相应的技术措施，包括加强防火墙设备、加密技术的应用、建立安全审计系统等，提升信息系统的安全性。
4. 演练验证：定期进行安全演练和验证，检验安全措施的有效性和实施情况，及时发现和解决安全问题。
5. 安全教育：加强安全意识和技能的培训，提高员工对信息安全工作的重视和参与程度。
通过以上方案制定与实施，可以有效提升企业的信息安全等级保护水平，有效保障企业重要信息的安全和稳定运行。
同时，也能够防范和减少因信息安全问题导致的损失和风险，为企业的可持续发展提供有力支持。
很高兴继续为您详细解释如何在信息安全等级保护领域实施方案制定与实施。
在信息安全管理方面，企业需要制定一整套综合的措施和方案，并且不断进行调整和优化，以应对不断变化的威胁和风险。
三、方案实施（续）6. 审核监督：建立健全的信息安全管理体系，通过内部和外部的审核监督机制，监测并评估信息安全管理工作的实施情况，并及时修正和改进。
信息安全等级保护三级建设项目设计方案
信息安全等级保护三级建设项目设计方案随着信息技术的快速发展，信息系统的应用日益广泛，信息安全问题也日益突出。
为了保护信息系统的安全，加强信息安全管理，根据国家有关法律法规和标准要求，本单位决定进行信息安全等级保护三级建设项目设计方案的编制。
二、建设目标本项目的建设目标是实施信息安全等级保护三级建设，进一步加强信息系统的安全保护能力，保障信息系统和数据的安全，提高信息系统的安全稳定性和可靠性。
三、建设内容（一）制定信息安全管理制度和规范，建立健全信息安全管理体系，确保信息系统的安全性和可用性；（二）开展信息系统的风险评估和安全评估，识别和评估信息系统的安全风险，制定相应的安全防护措施；（三）加强信息系统的访问控制和权限管理，建立完善的身份识别和访问控制机制，保障信息系统的安全访问；（四）加强信息系统的安全监控和事件响应，建立有效的安全监控机制，及时识别和响应安全事件；（五）加强信息系统的网络安全防护，建立完善的网络安全防护体系，保障信息系统的网络安全。
四、项目实施方案（一）项目组织架构：成立项目组，明确项目组成员的职责和任务分工；（二）项目进度计划：制定项目的实施计划和进度安排，确保项目按时完成；（三）项目预算安排：合理安排项目的经费预算和使用；（四）项目风险管理：建立项目风险管理机制，识别和评估项目的风险，并采取相应的措施进行管理；（五）项目验收评估：制定项目验收标准和评估指标，确保项目达到设计要求。
五、项目效益通过信息安全等级保护三级建设项目的实施，可以有效加强信息系统的安全保护能力，提高信息系统的安全稳定性和可靠性，保障信息系统和数据的安全，提高本单位信息系统的整体安全水平，为本单位的信息化发展提供有力保障。
六、项目风险项目实施过程中可能遇到的风险包括资金不足、技术不成熟、人员变动等，需要建立相应的风险管理机制，及时识别和解决项目实施中的风险问题。
七、项目总结本项目的实施对于加强信息系统的安全保护能力，提高信息系统的安全稳定性和可靠性，保障信息系统和数据的安全具有重要意义。
信息安全等级保护建设方案
信息安全等级保护建设方案随着信息技术的飞速发展，网络安全问题日益严重，信息安全等级保护建设成为了各国政府和企业关注的焦点。
本文将从理论和实践两个方面，对信息安全等级保护建设方案进行深入探讨。
一、理论层面1.1 信息安全等级保护的概念信息安全等级保护是指根据国家相关法律法规和政策要求，对信息系统的安全等级进行划分和管理，确保信息系统在一定的安全范围内运行，防止信息泄露、篡改和破坏，保障国家安全、公共利益和公民个人信息安全的一项重要工作。
1.2 信息安全等级保护的基本原则(1)合法性原则：信息安全等级保护工作必须遵循国家相关法律法规和政策要求，不得违反法律规定。
(2)全面性原则：信息安全等级保护工作要全面覆盖信息系统的所有环节，确保信息系统的整体安全。
(3)有序性原则：信息安全等级保护工作要按照规定的程序和标准进行，确保工作的有序进行。
(4)持续性原则：信息安全等级保护工作要形成长效机制，持续推进，不断完善。
1.3 信息安全等级保护的分类与评定根据国家相关法律法规和政策要求，信息系统的安全等级分为五个等级：一级信息系统、二级信息系统、三级信息系统、四级信息系统和五级信息系统。
信息系统的安全等级评定主要包括以下几个方面：信息系统的安全风险评估、信息系统的安全防护措施、信息系统的安全管理人员和信息系统的安全应急预案。
二、实践层面2.1 信息安全等级保护建设的组织与管理为了有效开展信息安全等级保护建设工作，需要建立健全组织管理体系，明确各级领导和管理人员的职责，加强对信息安全等级保护工作的领导和监督。
还需要建立信息安全等级保护工作小组，负责制定具体的实施方案和技术标准，组织开展培训和宣传工作。
2.2 信息安全等级保护建设的技术支持为了保障信息系统的安全运行，需要采用先进的技术手段进行支撑。
主要包括：防火墙、入侵检测系统、数据加密技术、安全审计系统等。
这些技术手段可以有效地防范网络攻击、数据泄露等安全风险，确保信息系统的安全运行。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全等级保护体系设计
《关于加强信息安全保障工作的意见》指出,实行等级保护是信息安全保障的基本政策,各部门、各单位都要根据等级保护制度的要求,结合各自的特点,建立相应的安全保护策略、计划和措施。
通过将等级化方法和安全体系方法有效结合,设计一套等级化的信息安全保障体系,是适合我国国情、系统化地解决大型组织信息安全问题的一个非常有效的方法。
设计思路与原则
信息安全保障是一个极为复杂、系统性和长期性的工作。
设计信息系统安全体系及实施方案时一般应遵循以下四条原则:
清晰定义安全模型;
合理划分安全等级;
科学设计防护深度;
确保可实施易评估。
具体来说:
1.清晰定义安全模型
面对的难题:政府或大型企业组织的信息系统结构复杂,难以描述。
政府或大型企业的信息系统往往覆盖全国范围内的各省、市、县和乡镇,地域辽阔,规模庞大;各地信息化发展程度不一,东西部存在较大差别;前期建设缺乏统一规划,各区域主要业务系统和管理模式往往都存在较大的差别。
这样就造成难以准确、清晰地描述大型信息系统的安全现状和安全威胁。
因此,设计保障体系时也就无的放矢,缺乏针对性,也不具备实用性。
解决方法:针对信息系统的安全属性定义一个清晰的、可描述的安全模型,即信息安全保护对象框架。
在设计信息安全保障体系时,首先要对信息系统进行模型抽象。
我们把信息系统各个内容属性中与安全相关的属性抽取出来,参照IATF(美国信息安全保障技术框架,通过建立“信息安全保护对象框架”的方法来建立安全模型,从而相对准确地描述信息系统的安全属性。
保护对象框架是根据信息系统的功能特性、安全价值以及面临威胁的相似性,将其划分成计算区域、网络基础设施、区域边界和安全基础设施四大类信息资产组作为保护对象。
2.合理划分安全等级
面对的难题:如何解决在设计安全保障措施时所面对的需求差异性与经济性难题。
因为信息系统的差异性,从而其安全要求的属性和强度存在较大差异性;又因为经济性的考虑,需要考虑信息安全要求与资金人力投入的平衡。
设计安全保障措施时不能一刀切,必须考虑差异性和经济性。
解决方法:针对保护对象和保障措施划分安全等级。
首先进行信息系统的等级化:
通过将保护对象进行等级化划分,实现等级化的保护对象框架,来反映等级化的信息系统。
其次,设计等级化的保障措施:根据保护对象的等级化,有针对性地设计等级化的安全保障措施,从而通过不同等级的保护对象和保障措施的一一对应,形成整体的等级化安全保障体系。
等级化安全保障体系为用户提供以下价值:
满足大型组织中不同分支机构的个性化安全需求;
可动态地改变保护对象的安全等级,能方便地调整不同阶段的安全目标;
可综合平衡安全成本与风险,能优化信息安全资源配置;
可清晰地比对目标与现状,能准确、完备地提取安全需求。
3.科学设计防护深度
面对的难题:现有安全体系大多属于静态的单点技术防护,缺乏多重深度保障,缺
乏抗打击能力和可控性。
信息安全问题包含管理方面问题、技术方面问题以及两者的交叉,它从来都不是静态的,随着组织的策略、组织架构、业务流程和操作流程的改变而改变。
现有安全体系大多属于静态的单点技术防护,单纯部署安全产品是一种静态的解决办法,单纯
防范黑客入侵和病毒感染更是片面的。
一旦单点防护措施被突破、绕过或失效,整个安全体系将会失效,从而威胁将影响到整个信息系统,后果是灾难性的。
解决方法:设计多重深度保障,增强抗打击能力。
国家相关指导文件提出“坚持积极防御、综合防范的方针”,《美国国家安全战略》中也指出,国家的关键基础设施的“这些关键功能遭到的任何破坏或操纵必须控制在
历时短、频率小、可控、地域上可隔离以及对美国的利益损害最小这样一个规模上”。
两者都强调了抗打击能力和可控性,这就要求采用多层保护的深度防御策略,实现
安全管理和安全技术的紧密结合,防止单点突破。
我们在设计安全体系时,将安全组织、策略和运作流程等管理手段和安全技术紧密结合,从而形成一个具有多重深度保障手段的防护网络,构成一个具有多重深度保障、抗打击能力和能把损坏降到最小的安全体系。
4.确保可实施易评估
面对的难题:许多安全体系缺乏针对性,安全方案不可实施,安全效果难以评估。
我国许多安全项目在安全体系框架设计方面,由于缺乏深入和全面的需求调研,
往往不能切实反映信息系统的业务特性和安全现状,安全体系框架中缺乏可行的实
施方案与项目规划,在堆砌安全产品的过程中没有设计安全管理与动态运维流程,缺乏安全审计与评估手段,因此可实施性和可操作性不强。
解决方法:综合运用用户访谈、资产普查、风险评估等手段,科学设计安全体系框架,确保可实施易评估。
我们在设计安全体系时,充分考虑到了上述问题,采取如下措施:
在设计安全体系前,通过对目标信息系统的各方面进行完整和深入调研,采取的手段包括选取典型抽样节点的深入调查和安全风险评估,以及全范围的信息资产和
安全状况普查。
综合两种手段,得出反映现状的安全保护对象框架及下属的信息资产数据库,以及全面的安全现状报告。
在体系框架设计的同时设计工程实施方案和项目规划;安全体系本身具有非常
详尽的描述,具备很强的可工程化能力。
在描述安全对策时,不是原则性的,而应是可操作和可落实的。
设计方法
1.总体设计方法
设计政府/大型企业组织安全体系的具体内容包括:
安全保护对象框架
信息系统保护对象框架是根据对大型政府/企业组织总部及各省的评估调查和
普查,参照信息保障体系的建模方法,按照威胁分析,将信息资产划分为若干保护对象。
安全保护对策框架
信息系统安全保护对策框架是参照国内外先进的信息安全标准,参考业界通用的最佳实施,并结合大型政府/企业组织的实际情况和现实问题进行定制,对大量可行的安全对策进行等级划分。
信息系统安全体系
信息系统安全体系是以保护对象为经,以安全等级框架为纬,对保护对象逐个进行威胁和风险分析,从而形成信息系统安全体系,其表现形式示意图如图1所示。
2.等级化安全保护对象框架设计
由于政府/大型企业组织的信息系统规模庞大,各分支机构的信息系统之间存在差异,因此必须对信息系统进行抽象,形成统一的保护对象框架。
安全保护对象框架模型的设计(以银行业为例如图2所示。
3.等级化安全对策框架设计
根据组织的特点设计和定制等级化安全对策框架,并针对组织的现状选择安全对策及其等级。
(1安全框架层次结构和分类
大型政府/企业组织安全对策框架体系包括安全策略、安全组织、安全运作和安全技术四个子安全对策框架,分别包括一系列对策类,对策类可进一步细分对策子类,甚至对策子类也可以再次细分为对策子类。
细分到最后的对策类和对策子类由对策构成。
对策中则是一些较为具体的安全控制。
通过对不同强度和数量安全控制的组合,将对策分级。
(2安全对策框架等级划分
每个安全对策可分为三个等级,每一等级由若干条安全控制细则组成。
一般通过安全控制细则的增强、增加来提高对策的等级。
当安全对策某一等级中的所有安全
控制细则均已实现时,可认为已达到该等级的对策。
安全对策的等级划分,大体参考
了GB17859、GB/T18336、TCSEC、SP800-
53等国内外信息安全标准。
不同框架的对策,参照的标准有所不同。
4.等级化安全保障体系设计
安全保障体系的深度防御战略模型将防御体系分为组织、技术和运作三个要素。
信息安全管理就是通过一系列的策略、制度和机制来协调这三者之间的关系,明确技术实施和安全操作中相关人员的安全职责,从而达到对安全风险的及时发现和有
效控制,提高安全问题发生时的反应速度和恢复能力,增强网络的整体安全保障能力。
安全策略体系指的是从信息资产安全管理的角度出发,为了保护信息资产,消除
或降低风险而制订的各种纲领、制度、规范和操作流程的总和。
安全组织体系作为安全工作的管理和实施体系,主要负责安全策略、制度、规划的制订和实施,确定各种安全管理岗位和相应的安全职责,并负责选用合适的人员来
完成相应岗位的安全管理工作,监督各种安全工作的开展,协调各种不同部门在安全
实施中的分工和合作,保证安全目标的实现。
安全运作体系,包括安全生命周期中各个安全环节的要求,包括:安全工程管理机制,安全预警机制、定期的安全风险识别和控制机制、应急响应机制和定期的安全培训机制等。
安全技术体系包含鉴别和认证、访问控制、内容安全、冗余和恢复以及审计响应五个部分内容。
总结
等级化安全体系的设计需要充分考虑信息系统的复杂性和信息安全保障的系统性与长期性,需要系统化的统一规划设计。
在安全体系设计时应该考虑如何有效实施,并同时设计实施方案和建设规划;通过将安全体系指标和安全现状的对比,产生安全
需求,并将类似的一组安全需求打包并设计解决方案;然后将一组类似的解决方案打
包成可以工程化实施的项目,并通过规划,排出实施的先后顺序,从而分步进行实施。