等级保护安全咨询服务建设方案

XX平台等级保护安全咨询服务建设方案目录 (2)第 1 章系统概述 (3)1.1建设背景 (3)1.2建设目标 (4)1.3实施流程 (4)1.4指导思想 (8)第 2 章等级保护安全评估与服务 (10)2.1等级保护安全评估 (10)2.1.1概述 (10)2.1.2信息系统调查 (11)2.1.3系统定级分析 (11)2.1.4评估方案制订 (13)2.1.5现场评估 (13)2.1.6资产评估 (13)2.1.7威胁分析 (14)2.1.8漏洞分析 (15)2.1.9风险分析 (17)2.1.10评估实施 (18)2.1.11等级化安全评估报告 (20)2.1.12安全规划 (20)2.1.13输出文档 (20)2.1.14等级保护测评 (21)2.2安全保障服务 (21)第 3 章项目实施方案 (23)3.1项目组织结构及职责 (23)3.2项目组织结构 (23)3.3项目分工界面 (27)3.4项目进度及计划安排 (27)3.4.1实施计划表 (27)3.4.2实施进度说明 (28)第 4 章服务清单 (29)4.1服务方式 (29)1.1建设背景信息安全等级保护制度是国家信息安全保障工作的基本制度。

开展信息安全等级保护制度，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；有利于优化信息安全资源的配置，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理。

根据国家相关政策和标准，各基础信息网络和重要信息系统，应当按照“准确定级、严格审批、及时备案、认真整改、科学测评”的要求完成等级保护的定级、备案、整改、测评等工作。

“信息安全等级保护管理办法（43号文）”对等级保护的实施与落实做出了规定，明确指出：对违反管理办法规定的，由公安机关、国家保密工作部门和国家密码工作管理部门按照职责分工责令其限期改正；逾期不改正的，给予警告，并向其上级主管部门通报情况，建议对其直接负责的主管人员和其他直接责任人员予以处理，并及时反馈处理结果；造成严重损害的，由相关部门依照有关法律、法规予以处理。

同时有关文件强调，涉及工作秘密的信息系统不属于涉密信息系统，不能将涉密信息系统扩大化。

当信息系统难以认定是否属于涉密信息系统时，可以由信息系统运营使用单位、公安机关、国家保密工作部门共同认定。

信息安全等级保护相关法规、政策文件、国家标准和公共安全行业标准的出台，为网络与信息安全体系的建设提供了法律、政策、标准依据。

《中华人民共和国计算机信息系统安全防护条例》（国务院令第147 号）明确规定我国“计算机信息系统实行安全等级保护”。

依据国务院147 号令的要求而制订发布的强制性国家标准《计算机信息系统安全防护等级划分准则》（GB17859-1999）为计算机信息系统安全防护等级的划分奠定了技术基础。

⏹《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）明确指出实行信息安全等级保护，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度”。

⏹《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43 号）确定了实施信息安全等级保护制度的原则工作职责划分、实施要求和实施计划，明确了开展信息安全等级保护工作的基本内容、工作流程、工作方法等。

⏹《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429 号）明确要求各部门在信息安全等级保护定级工作基础上，力争在2012 年底前完成已定级信息系统（不包括涉及国家秘密信息系统）安全建设整改工作。

1.2建设目标为了进一步贯彻落实国家信息安全等级保护有关政策和标准，将全面部署开展XX 平台信息系统安全等级保护定级与安全建设整改工作，以提高XX平台信息系统的安全保障能力和防护能力，确保XX平台信息系统的安全运行，促进XX平台信息化建设进程。

1.3实施流程根据《信息系统安全保护等级实施指南》，信息系统实施等级保护的基本流程如下：信息系统安全等级保护实施的流程定级与备案根据公安部《信息安全等级保护备案工作实施细则》等级保护定级备案应当按照如下要求：第六条信息系统运营、使用单位或者其主管部门（以下简称“备案单位”）应当在信息系统安全保护等级确定后30日内，到公安机关公共信息网络安全监察部门办理备案手续。

第九条接收备案材料后，公安机关公共信息网络安全监察部门应当对下列内容进行审核：（一）备案材料填写是否完整，是否符合要求，其纸质材料和电子文档是否一致；（二）信息系统所定安全保护等级是否准确。

第十一条《备案表》中表一、表二、表三内容经审核合格的，公安机关公共信息网络安全监察部门应当出具《信息系统安全等级保护备案证明》（以下简称《备案证明》）。

《备案证明》由公安部统一监制。

等级保护安全规划、安全设计与整改实施对于安全措施不符合定级要求的，需要进行整改。

根据《信息系统安全保护等级实施指南》，信息系统运营、使用单位负责依照国家信息安全等级保护的管理规范和技术标准，确定其信息系统的安全保护等级，有主管部门的，应当报其主管部门审核批准；根据已经确定的安全保护等级，到公安机关办理备案手续；按照国家信息安全等级保护管理规范和技术标准，进行信息系统安全保护的规划设计；使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品和信息安全产品，开展信息系统安全建设或者改建工作；制定、落实各项安全管理制度，定期对信息系统的安全状况、安全保护制度及措施的落实情况进行自查，选择符合国家相关规定的等级测评机构，定期进行等级测评；制定不同等级信息安全事件的响应、处置预案，对信息系统的信息安全事件分等级进行应急处置。

整改实施整体流程整改技术实施流程等级保护测评对XX平台等级保护平台进行等级保护二级测评。

信息安全等级测评机构负责根据信息系统运营、使用单位的委托或根据国家管理部门的授权，协助信息系统运营、使用单位或国家管理部门，按照国家信息安全等级保护的管理规范和技术标准，对已经完成等级保护建设的信息系统进行等级测评。

等级保护定级、等级保护实施、备案及测评关系1.4指导思想⏹《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）⏹《计算机信息系统安全保护等级划分准则》（GB 17859—1999）⏹《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）⏹《信息安全等级保护管理办法》（公通字[2007]43号）⏹《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）⏹《信息系统安全保护等级实施指南》⏹《信息系统安全等级保护测评准则》⏹《信息系统安全保障评估框架》（GB/T 20274—2006）⏹《关于信息安全等级保护工作的实施意见》（公通字 [2004] 66号）⏹《互联网安全保护技术措施规定》（公安部第82号令）⏹《关于开展全国重要信息系统安全等级保护定级工作的通知》（861号文）⏹《中华人民共和国计算机信息系统安全保护条例》⏹《计算机信息系统安全保护划分准则》（GB17859-1999）⏹《信息安全技术信息系统安全等级保护定级指南》GB/T 22240-2008⏹《信息安全技术信息系统安全管理要求》（GB/T20269-2006）⏹《信息安全技术网络基础安全技术要求》（GB/T20270-2006）⏹《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）⏹《信息安全技术操作系统安全技术要求》（GB/T20272-2006）⏹《信息安全技术数据库管理系统安全技术要求（GB/T20273-2006）⏹《信息安全技术信息系统安全工程管理要求》（GB/T20282-2006）⏹《信息安全技术服务器技术要求》（GB/T 21028-2007）⏹《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）⏹《信息技术安全技术信息技术安全性评估准则第1部分: 简介和一般模型》GB/T 18336.1-2001⏹《信息技术安全技术信息技术安全性评估准则第2部分: 安全功能要求》GB/T 18336.2-2001⏹《信息技术安全技术信息技术安全性评估准则第3部分: 安全保证要求》GB/T 18336.3-20012.1等级保护安全评估2.1.1概述安全评估是制订安全策略、安全规范和确定安全需求的基础，可以帮助实现更为精确的等级保护安全建设方案。

在等级保护安全建设方案花费和安全提升带来的资产收益之间取得平衡。

一般来说，安全水平的提升和相应的开销不是线性的关系：在较高的安全水平上面，获得微小的提高可能需要的巨大开销，甚至开销超出了所保护资产的价值。

经过精细的资产评估和风险评估，企业就可以在投资提升安全、承受风险、投资保险转移风险等做出正确的选择。

但是，风险的量化是一件非常复杂的工作，风险的来源、表现形式、造成的后果、出现的概率千差万别，需要非常精细的考虑和数学模型。

一般来说，一个资产（评估对象）可能有多个系统或组件构成，每个系统组件存在各种各样的多个风险，每个风险具有多个不同的属性值（例如威胁的可能性、损失以及弱点等，参见后面的描述），这些属性值可能存在复杂的依赖关系，可能与时间有关，可能与资产的配置环境密切相关（例如安全控制、策略和实际的运行情况等）。

所以，将所有这些因素综合考虑在一起，科学地反映资产当前面临的实际风险是一件非常复杂的工作。

接下来的我们将描述、定义我们的理论和使用的模型。

本方案中将分别从风险过程和关系，描述风险评估的标准规范流程；从安全风险的所有要素：资产、影响、威胁、漏洞、安全控制、安全需求、安全风险等方面形象地描述的他们各自之间的关系和影响；在安全风险计算模型中详细具体地提供了风险计算的方法，通过两个因素：威胁级别、威胁发生的概率，通过风险评估得出安全风险。

同时，按照信息系统安全等级保护标准（《信息系统安全等级保护定级指南》、《信息系统安全等级保护基本要求》、《信息系统安全等级保护实施指南》、《信息系统安全等级保护测评指南》），对XX平台信息系统进行系统定级和安全评估，建立符合信息系统安全等级保护标准的安全管理体系，编写符合信息系统安全等级保护标准要求的完整文档体系。

等级保护安全评估主要工作内容包括但不限于下述所列范围。

2.1.2信息系统调查针对XX平台的资产状况、信息系统的业务状况、信息系统的组织状况进行调查，形成相关报告，并依据信息系统所有相关文档和现场调查结果形成资产汇总报告。