等级保护和分级保护基础培训
等级保护和分级保护基础培训
可编辑ppt
1
PART 01:
“等级保护测评”基础
可编辑ppt
2
等级保护五个级别
第五级 专控保护级
第二级 指导保护级
第四级 强制保护级
第三级 监督保护级
第一级 自主保护级
可编辑ppt
3
等级保护的主要对象
可编辑ppt
4
等级保护主要对象
可编辑ppt
5
等级保护定级的主要标准
密信息系统的系统服务和系统咨询工作，不得从事其它单项资质业务。乙级资质单位可在所限定的行政区域
内承接涉密信息系统的规划、设计和实施业务，并仅可承担本单位承接的涉密信息系统的系统服务和系统咨
询工作，不得从事其它单项资质业务。
问：分级保护的哪些具体工作对厂商有单项资质的要求？
单项业务：（全国，仅限所批准业务）军工、软件开发、综合布线、系统服务、系统咨询、风险评估、工程
信息系统定级主要考虑两个方面，一是业务信息收到破坏客体是 谁，二是对客体侵害程度如何。两个方面结合起来，根据下表制 定信息系统应该定位第几级
可编辑ppt
6
等级保护相关政策法规
2005年前 《中华人民共和国计算机信息系统安全保护条例》（1994年 国务院147号令）
《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发【2003】27号）
可编辑ppt
7
等级保护十大核心标准
基础类 《计算机信息系统安全保护等级测分准则》GB 17859-1999
《信息系统安全等级保护实施指南》GB/T
应用类
定级： 《信息系统安全保护等级定级指南》GB/T 22240-2008
建设： 《信息系全技术要求》GB/T 20271-2006
计算机信息系统集成风险评估单项资质。
问：涉密系统分级保护多长时间需进行一次安全保密检查？
答：秘密级、机密级信息系统：应每两年至少进行一次安全保密测评或保密检查；
绝密级信息系统：应每年至少进行一次安全保密测评或保密检查。
问：分级保护的系统集成对厂商的资质有什么要求？
答：甲级资质单位可在全国范围内承接涉密信息系统的规划、设计和实施业务，并仅可承担本单位承建的涉
答：电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网 接入服务单位、数据中心等单位的重要信息系统。铁路、银行、海关、税务、民航、电力、证券、保险、外交、 科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、 文、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。市（地）级以 上党政机关的重要网站和办公信息系统。 问：等级保护的主管部门是谁？ 答：公安机关是等级保护工作的主管部门，负责信息安全等级保护工作的监督、检查、指导， 问：等级保护是否是强制性的，可以不做吗？
答：国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级根据信息系统在国家安全、 经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其 他组织的合法权益的危害程度等因素确定。备案后3级系统每年进行一次监督检查，4级每半年进行一次监督检查。 问：是否只是在政府行业实行？企业是否也在等级保护和分级保护范畴之内？ 答：等级保护涉及所有行业，只要有信息系统的单位都在等级保护覆盖范围（涉密系统除外）
分级保护测评适用单位
可编辑ppt
16
分级保护测评机构
可编辑ppt
17
分级保护相关标准
可编辑ppt
18
分级保护测评相关流程
可编辑ppt
19
分级保护测评技术要求
可编辑ppt
20
分级保护管理要求
可编辑ppt
21
政府行业分级保护测评分工
可编辑ppt
22
分级保护测评时效性
可编辑ppt
23
分级保护评测审核内容
《关于信息安全等级保护工作的实施意见》（公通字【2004】66号）
2007
《信息安全等级保护管理办法》（公通字【2007】43号）
《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安【2007】861号）
2009 《2009年信息安全等级保护工作内容及具体要求》（公信安【2009】232）
可编辑ppt
24
FAQ
问：等级保护与分级保护各分为几个等级，对应关系是什么？ 答：等级保护分5个级别：一级（自主保护）、二级（指导保护）、三级（监督保护）、四级（强制保护）、五 级（专控保护）。 分级保护分3个级别：秘密级、机密级（机密增强级）、绝密级。 分级保护与等级保护对应关系：秘密级对应三级、机密级对应四级、绝密级对应五级。 问：等级保护的重要信息系统有哪些？
《信息系统等级保护安全设计技术要求》
测评： 《信息系统安全等级保护测评要求》GB/T
《信息系统安全等级保护测评过程指南》
管理： 《信息系统安全管理要求》 GB/T 20269-2006
《信息系统安全工程管理要求》GB/T 20282-2006
可编辑ppt
8
等级保护完全的实施过程
可编辑ppt
9
等级保护基本安全要求
可编辑ppt
25
FAQ
问：分级保护的主管部门是谁？
答：国家保密工作部门（国家保密局、各省保密局、各地市市保密局）。
问：分级保护的政策依据是哪个文件？
答：《涉及国家秘密的信息系统分级保护管理办法》（国保发[2005]16号）。
问：哪些单位可以做分级保护的测评，有什么资质要求？
答：目前，国家保密工作部门及国家保密局授权的系统测评机构负责测评，测评机构应具备涉及国家秘密的
可编辑ppt
10
等级保护三级系统的控制类和控制项
可编辑ppt
11
等级保护三级系统的控制类和控制项
可编辑ppt
12
等级保护三级系统安全保护要求-数据安全和备份恢复
可编辑ppt
13
等级保护三级系统安全保护要求-数据安全和备份恢复
可编辑ppt
14
PART 02:
“分级保护测评”基础
可编辑ppt
15
2012 《计算机信息网络国际联网安全保护管理办法》（公安部第33号令） （2012-02-06）
《中华人民共和国计算机信息系统安全保护条例》 （2012-02-07）
2017年 《互联网安全保护技术措施规定》（公安部令第82号） （2017-08-30）
《中华人民共和国网络安全法 》（2017-08-30）
可编辑ppt
1
PART 01:
“等级保护测评”基础
可编辑ppt
2
等级保护五个级别
第五级 专控保护级
第二级 指导保护级
第四级 强制保护级
第三级 监督保护级
第一级 自主保护级
可编辑ppt
3
等级保护的主要对象
可编辑ppt
4
等级保护主要对象
可编辑ppt
5
等级保护定级的主要标准
密信息系统的系统服务和系统咨询工作，不得从事其它单项资质业务。乙级资质单位可在所限定的行政区域
内承接涉密信息系统的规划、设计和实施业务，并仅可承担本单位承接的涉密信息系统的系统服务和系统咨
询工作，不得从事其它单项资质业务。
问：分级保护的哪些具体工作对厂商有单项资质的要求？
单项业务：（全国，仅限所批准业务）军工、软件开发、综合布线、系统服务、系统咨询、风险评估、工程
信息系统定级主要考虑两个方面，一是业务信息收到破坏客体是 谁，二是对客体侵害程度如何。两个方面结合起来，根据下表制 定信息系统应该定位第几级
可编辑ppt
6
等级保护相关政策法规
2005年前 《中华人民共和国计算机信息系统安全保护条例》（1994年 国务院147号令）
《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发【2003】27号）
可编辑ppt
7
等级保护十大核心标准
基础类 《计算机信息系统安全保护等级测分准则》GB 17859-1999
《信息系统安全等级保护实施指南》GB/T
应用类
定级： 《信息系统安全保护等级定级指南》GB/T 22240-2008
建设： 《信息系全技术要求》GB/T 20271-2006
计算机信息系统集成风险评估单项资质。
问：涉密系统分级保护多长时间需进行一次安全保密检查？
答：秘密级、机密级信息系统：应每两年至少进行一次安全保密测评或保密检查；
绝密级信息系统：应每年至少进行一次安全保密测评或保密检查。
问：分级保护的系统集成对厂商的资质有什么要求？
答：甲级资质单位可在全国范围内承接涉密信息系统的规划、设计和实施业务，并仅可承担本单位承建的涉
答：电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网 接入服务单位、数据中心等单位的重要信息系统。铁路、银行、海关、税务、民航、电力、证券、保险、外交、 科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、 文、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。市（地）级以 上党政机关的重要网站和办公信息系统。 问：等级保护的主管部门是谁？ 答：公安机关是等级保护工作的主管部门，负责信息安全等级保护工作的监督、检查、指导， 问：等级保护是否是强制性的，可以不做吗？
答：国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级根据信息系统在国家安全、 经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其 他组织的合法权益的危害程度等因素确定。备案后3级系统每年进行一次监督检查，4级每半年进行一次监督检查。 问：是否只是在政府行业实行？企业是否也在等级保护和分级保护范畴之内？ 答：等级保护涉及所有行业，只要有信息系统的单位都在等级保护覆盖范围（涉密系统除外）
分级保护测评适用单位
可编辑ppt
16
分级保护测评机构
可编辑ppt
17
分级保护相关标准
可编辑ppt
18
分级保护测评相关流程
可编辑ppt
19
分级保护测评技术要求
可编辑ppt
20
分级保护管理要求
可编辑ppt
21
政府行业分级保护测评分工
可编辑ppt
22
分级保护测评时效性
可编辑ppt
23
分级保护评测审核内容
《关于信息安全等级保护工作的实施意见》（公通字【2004】66号）
2007
《信息安全等级保护管理办法》（公通字【2007】43号）
《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安【2007】861号）
2009 《2009年信息安全等级保护工作内容及具体要求》（公信安【2009】232）
可编辑ppt
24
FAQ
问：等级保护与分级保护各分为几个等级，对应关系是什么？ 答：等级保护分5个级别：一级（自主保护）、二级（指导保护）、三级（监督保护）、四级（强制保护）、五 级（专控保护）。 分级保护分3个级别：秘密级、机密级（机密增强级）、绝密级。 分级保护与等级保护对应关系：秘密级对应三级、机密级对应四级、绝密级对应五级。 问：等级保护的重要信息系统有哪些？
《信息系统等级保护安全设计技术要求》
测评： 《信息系统安全等级保护测评要求》GB/T
《信息系统安全等级保护测评过程指南》
管理： 《信息系统安全管理要求》 GB/T 20269-2006
《信息系统安全工程管理要求》GB/T 20282-2006
可编辑ppt
8
等级保护完全的实施过程
可编辑ppt
9
等级保护基本安全要求
可编辑ppt
25
FAQ
问：分级保护的主管部门是谁？
答：国家保密工作部门（国家保密局、各省保密局、各地市市保密局）。
问：分级保护的政策依据是哪个文件？
答：《涉及国家秘密的信息系统分级保护管理办法》（国保发[2005]16号）。
问：哪些单位可以做分级保护的测评，有什么资质要求？
答：目前，国家保密工作部门及国家保密局授权的系统测评机构负责测评，测评机构应具备涉及国家秘密的
可编辑ppt
10
等级保护三级系统的控制类和控制项
可编辑ppt
11
等级保护三级系统的控制类和控制项
可编辑ppt
12
等级保护三级系统安全保护要求-数据安全和备份恢复
可编辑ppt
13
等级保护三级系统安全保护要求-数据安全和备份恢复
可编辑ppt
14
PART 02:
“分级保护测评”基础
可编辑ppt
15
2012 《计算机信息网络国际联网安全保护管理办法》（公安部第33号令） （2012-02-06）
《中华人民共和国计算机信息系统安全保护条例》 （2012-02-07）
2017年 《互联网安全保护技术措施规定》（公安部令第82号） （2017-08-30）
《中华人民共和国网络安全法 》（2017-08-30）
合集下载
等级保护基本要求培训(第十二期)
等级保护的背景与发展
背景
随着信息技术的发展，信息安全问题日益突出，为应对这一挑战，我国政府制 定了一系列的信息安全法律法规和标准，等级保护制度就是其中之一。
发展
等级保护制度经历了从初步建立到逐步完善的过程，目前已经成为我国信息安 全保障的基本制度。
等级保护的基本原则
分级管理
对不同等级的信息和信 息系统实行不同的管理
安全物理环境问题
缺乏对物理访问的严格控制，可能导 致未经授权的人员进入关键区域。
安全通信网络问题与解决方案
总结词
安全通信网络问题主要涉及网络安全设备和通信保密。
安全通信网络问题
网络设备可能存在安全漏洞，通信过程中信息可能被窃取或篡改。
安全通信网络解决方案
及时更新网络设备的安全补丁，使用加密技术确保通信保密。
应用边界等。
网络边界应采取必要的安全防护 措施，如防火墙、入侵检测系统 等，以防止未经授权的访问和攻
击。
应用边界应采取身份认证和访问 控制措施，防止非法用户和恶意
软件的入侵。
安全计算环境
01
安全计算环境是保障信 息系统安全的核心，包 括操作系统、数据库、 应用程序等。
02
操作系统应采取必要的 安全配置和管理措施， 如账户管理、权限控制 等。
温湿度应控制在适宜范围内，并定期进 行环境清洁和消毒。
供电应采用专线专用，并配置防雷击和 浪涌保护器。
场地应选择具备良好电磁屏蔽和抗干扰 能力的区域，并采取物理访问控制和监 控措施。
机房应满足防水、防潮、防雷、防震等 要求，配备UPS电源和消防报警系统。
安全通信网络
01
02
03
04
安全通信网络是保障信息系统 安全运行的关键，包括内网、
信息系统安全等级保护基本要求培训课件
定期进行漏洞扫描，对发现的 网络安全漏洞及时进行修补。
网络访问控制
访问控制策略应明确允许或拒绝网络访问的规则和条件，包括用户、地址、端口、 协议等要素。
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口 级。
应按用户和系统之间的访问控制规则，决定允许或拒绝用户对受控系统资源的访问 ，控制粒度为单个用户。
应能够对远程访问的用户行为、系统资源的异常使用和 重要系统命令的使用等进行监测。
通信保密和完整性保护
应采用密码技术保证通信过程中数据 的保密性和完整性。
应对通信过程中的整个报文或会话过 程进行加密。
在通信双方建立连接之前，应用系统 应利用密码技术进行会话初始化验证 。
06
CATALOGUE
数据安全及备份恢复基本要求
建立完善的权限管理制度，对各个系统和应用的权限进行严格控制和管 理。
制定并执行相关管理制度和操作规程
对管理制度和操作规程进行定期评审和修订，确保其 适应业务发展和安全需求的变化。
制定信息安全总体方针、安全策略、管理制度和操作 规程等文件。
加强制度和规程的宣传和培训，确保相关人员熟知并 遵守各项规定。
02
CATALOGUE
物理安全基本要求
物理环境安全01源自0203场地选择信息系统所在场所应选择 在具有防震、防风和防雨 等能力的建筑内。
物理访问控制
物理场所应有严格的访问 控制措施，如门禁系统、 监控摄像头等。
物理安全监测
应建立物理安全监测机制 ，对物理环境进行实时监 测和记录，以便及时发现 和处置安全问题。
物理访问控制
人员进出管理
建立严格的人员进出管理 制度，对进出人员进行身 份核实和登记。
信息安全等级保护技术基础培训教程
第四章信息系统保护的一般方法和过程4.2安全规划与设计安全规划设计的目的是通过安全需求分析判断信息系统的安全保护现状与等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划等，以指导后续的信息系统安全建设工程实施。
国家提出的等级保护基本要求，是国家为了等级保护的实施出台的一个关于技术与管理的标准，给出不同等级的信息系统应该达到一个基线要求，但是它并不能完全体现一个机构信息系统的安全需求，与总体设计相关的技术标准还有《计算机信息系统安全等级划分准则》(GB17859-1999)《信息安全技术信息系统安全管理要求》(GBT 20269-2006);《信息安全技术网络基础安全技术要求》(GB120270-2006);《信息安全技术信息系统通用安全技术要求》(GBT 20271-2006);《信息安全技术操作系统安全技术要求》(GBT 20272-2006);《信息安全技术数据虚管理系统安全技术要求》( GBT 20273-2006)。
这些标准是目标标准，但这些标准的制定并没有考虑信息资产环境的因素，使用这些标准进行信息系统安全设计时，应该考虑信息的资产环境因素。
按照我国信息安全专家吉增瑞先生的观点，对信息系统的定级是对信息资产与资产环境（主要是威胁）的评估，而所确定的等级是信息系统的需求等级。
本书认同他对信息系统的定级，所确定酌的等级是信息系统的需求等级，但是，定级主要是对信息资产的定级，是信息资产的价值需要做这相应等级保护需求的决定，而不必考虑资产的环境。
对于资产环境的考虑，则应该在考虑信息系统的安全保护措施时来考虑。
4.2.1 安全规划设计安全规划设计是要在安全需求分析的基础上进行安全总体的设计。
在安全总体设计的基础上进行安全建设规划。
1．安全需求分析安全需求分析首先应判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，这种差距作为初步的安全需求；除上述安全需求外，还要通过风险分析的方法确定系统额外的安全需求，这种需求反映在对特殊环境和威胁的安全保护要求，或对系统重要对象的较高保护要求方面。
等保与分保
等级保护 分级保护
目录
一、定义 二、 三、
定义
一、什么是等保？（信息安全等级保护） 2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》 (中办发〔2003〕27号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确 要求。 信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中
管理的若干意见》(中保委发〔2004〕7号) ，明确提出建立健全涉密信息系统分级保护制
度。
涉及国家秘密的信息系统要按照党和国家有关保密规定进行保护。我国的国家秘密
分为秘密、机密、绝密三级，涉密信息系统也按照秘密、机密、绝密三级进行分级管理， 其防护水平不低于国家信息安全等级保护三、四、五级的要求。
中共中央保密委员会办公室和国家保密局，一个机构、两块牌子，列入中共中央全等级保护是两个既联系又有区别的概 念。 涉密信息系统分级保护是国家信息安全等级保护的重要组成部分，是等级保 护在涉密领域的具体体现，涉密信息分级是按照信息的密级进行划分的，保护水 平分别不低于等级保护三、四、五级的要求，除此之外，还必须符合分级保护的 保密技术要求。对于防范网络泄密，加强信息化条件下的保密工作，具有十分重 要的意义。
的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其
他组织的合法权益的危害程度等因素确定。 信息系统的安全保护等级分为五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损 害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或 者对社会秩序和公共利益造成损害，但不损害国家安全。
机构的下属机构。是由中华人民共和国国务院部委管理的国家局，负责国家机密资料的管 理。
目录
一、定义 二、 三、
定义
一、什么是等保？（信息安全等级保护） 2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》 (中办发〔2003〕27号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确 要求。 信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中
管理的若干意见》(中保委发〔2004〕7号) ，明确提出建立健全涉密信息系统分级保护制
度。
涉及国家秘密的信息系统要按照党和国家有关保密规定进行保护。我国的国家秘密
分为秘密、机密、绝密三级，涉密信息系统也按照秘密、机密、绝密三级进行分级管理， 其防护水平不低于国家信息安全等级保护三、四、五级的要求。
中共中央保密委员会办公室和国家保密局，一个机构、两块牌子，列入中共中央全等级保护是两个既联系又有区别的概 念。 涉密信息系统分级保护是国家信息安全等级保护的重要组成部分，是等级保 护在涉密领域的具体体现，涉密信息分级是按照信息的密级进行划分的，保护水 平分别不低于等级保护三、四、五级的要求，除此之外，还必须符合分级保护的 保密技术要求。对于防范网络泄密，加强信息化条件下的保密工作，具有十分重 要的意义。
的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其
他组织的合法权益的危害程度等因素确定。 信息系统的安全保护等级分为五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损 害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或 者对社会秩序和公共利益造成损害，但不损害国家安全。
机构的下属机构。是由中华人民共和国国务院部委管理的国家局，负责国家机密资料的管 理。
等级保护基本要求培训(第十二期)
• GB/T 20273ቤተ መጻሕፍቲ ባይዱ2006 数据库管理系统安全技术要求
• GB/T 20275—2006 入侵检测系统技术要求和测试评价方法
• GB/T 20278—2006 网络脆弱性扫描产品技术要求
• GB/T 20279—2006 网络和终端设备隔离部件安全技术要求
• GB/T 20281—2006 防火墙技术要求和测试评价方法
等级保护基本要求培训(第十二期)
等级保护相关标准
• GA/T 708-2007 信息系统安全等级保护体系框架
• GA/T 709－2007 信息系统安全等级保护基本模型
• GA/T 710-2007 信息系统安全等级保护基本配置
• GA/T 711-2007 应用软件系统安全等级保护通用技术指南
• GA/T 712－2007 应用软件系统安全等级保护通用测试指南
等级保护基本要求培训(第十二期)
不同级别的安全保护能力要求
• 第三级安全保护能力
– 应能够在统一安全策略下防护系统免受来自外部有组织的团体 （如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包 括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重 的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较 广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无 意失误、较严重的技术故障等）所造成的主要资源损害，能够发 现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大 部分功能。
安全保护和系统定级的关系
安全等级
信息系统保护要求的组合
第一级 S1A1G1
第二级 S1A2G2，S2A2G2，S2A1G2
第三级 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3
等级保护流程培训V0
系统 定级
安全规 安全 安全运 划设计 实施 行管理
终止
PPT文档演模板
等级保护流程培训V0
等级保护实施过程
局部调整
PPT文档演模板
重大
等级保护流程培训V0
等级保护工作流程总图
PPT文档演模板
等级保护过程及各阶段工作
安全定级备案阶段 安全规划设计阶段 安全实施/实现阶段 安全
自主定级
安全要求导出
等级安全解决方案设计 阶段
专家评审 主管部门批准 网监定级备案
等级保护差距评估
安全技术体系等级实施改造
持续
信息系统风险评估
安全管理体系等级实施改造
系统业务安全域划分 等级测评
安全建设整体规划
安全岗位培训
应急 系统 配合
安全基线设计
安全制度演练
等级保护流程培训V0
系统定级与备案
安全定级备案阶段
PPT文档演模板
PPT文档演模板
等级保护流程培训V0
对测评机构的要求
三级以上信息系统应当选择使用符合以下条件的等级保护测
➢ 在中华人民共和国境内注册成立（港澳台除外） ➢ 由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台除 ➢ 从事相关检测评估工作两年以上，无违法记录 ➢ 工作人员仅限于中国公民 ➢ 法人及其主要业务、技术人员无犯罪纪录 ➢ 使用的技术装备、设施应当符合本办法对信息安全产品的要求 ➢ 具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安 ➢ 对国家安全、社会秩序、公共利益不构成威胁
PPT文档演模板
等级保护流程培训V0
中央文件
中办[2003]27号文件 《国家信息化领导小组关于加强信息安全保
意见》
等级保护培训资料
运营、使用单位应当参照《信息安全技术 信息系统安全管理要求》（GB/T20269-2006 ）、《信息安全技术 信息系统安全工程管理要 求》（GB/T20826-2006）、《信息系统安全 等级保护基本要求》等管理觃范，制定并落实 符合本系统安全保护等级要求的安全管理制度 。
中信银行国际(中国)有限公司
• 第三级信息系统运营、使用单位
应当依据国家有关管理规范和技术标准进行保护。国家信息安全 监管部门对该级信息系统信息安全等级保护工作进行监督、检查 。 应当依据国家有关管理规范、技术标准和业务与门需求进行保护 。国家信息安全监管部门对该级信息系统信息安全等级保护工作 进行强制监督、检查。 应当依据国家管理规范、技术标准和业务特殊安全需求进行保护 。国家指定与门部门对该级信息系统信息安全等级保护工作进行 强制监督、检查。
四. 定级方法
18
根据系统服务安全被破坏时所侵害的客体以及对应客体的侵害程度，依据附表3系 统服务安全保护等级矩阵表，即可得到系统服务安全保护等级。 附表3：服务安全保护等级矩阵表
对相应客体的侵害程度 业务信息安全被破坏时所 侵害的客体 公民、法人和其他组织的 合法权益 社会秩序、公共利益 一般损害 第一级 第二级 严重损害 第二级 第三级 特别严重损害 第二级 第四级
角度可能丌同。 例如：系统服务安全被破坏导致业务能力下降 的程度可以从信息系统服务覆盖的区域范围、
用户人数戒业务量等丌同方面确定，业务信息
安全被破坏导致的财务损失可以从直接的资金 损失大小、间接地信息回复费用方面进行确定 。
中信银行国际(中国)有限公司
中信银行(国际)有限公司附属公司
四. 定级方法
中信银行国际(中国)有限公司
中信银行(国际)有限公司附属公司
等级保护2.0讲解PPT学习课件
15
22
网络和通信安全
16
33
设备和计算安全
17
26
应用和数据安全
22
34
管理 安全策略和管理
6
7
要求
制度
安全管理机构和
16
26
人员
安全建设管理
25
34
安全运维管理
30
48
合计
/
13
147
230
总体上看，等保2.0通用要求在技术部分的基础上进行了一 些调整，但控制点要求上并没有明显增加，通过合并整合 后相对旧标准略有缩减。
7
2 访问控制
7
3 安全审计
6
3 安全审计
5
设备和计算
主机安全
4 剩余信息 保护
2
安全
4 入侵防范
5
5 入侵防范
3
5 恶意代码 防范
1
6 恶意代码 防范
3
6 资源控制
4
7 资源控制
5
21
原控制项
安全审计
无
入侵防范
无
安全审计 入侵防范
新控制项
d) 应确保审计记录的留存时间符合法律法规要求； （新增） b) 应关闭不需要的系统服务、默认共享和高危端口；
等级保护2.0介绍
2020/2/27
1
什么是等级保护？
网络安全等级保护是指对国家重要信息、法人和其他组织及公民的 专有信息以及公开信息和存储、传输、处理这些信息的信息系统分 等级实行安全保护，对信息系统中使用的信息安全产品实行按等级 管理，对信息系统中发生的信息安全事件分等级响应、处置。
2020/2/27
2020/2/27
等保交流-基础知识ppt课件
6
等级保护目标客户：
（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性 公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系 统。
（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展 改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土 资源、能源、交通、文化、统计、工商行政管理、邮政、国防工业等关系到国计 民生的信息系统（生产、调度、管理、办公等重要信息系统）。
技术要求：
应用安全-身份鉴别、访问控制、安全审计 应用安全-通信保密性、通信完整性
方案：
SSL VPN：远程用户接入时的身份鉴别、权限控制、安全审计，并保证通信保密性和完 整性； 服务器群组防护：用户访问时进行身份鉴别，保证访问业务系统的安全性与边界隔离； 堡垒机：设备用户权限管理的安全问题；
22
安全管理中心
挖掘需求：
随着信息化建设的进行，服务器和网络设备越来越多，业务系统越来越多，用户没有 精力逐个监控，迫切的需要有一个系统能够监控整个网络的情况，尤其是监控所有业 务系统的健康状况，并且当业务系统出现问题时，能够进行即使的告警。另外，需要 实现对设备的统一的策略管理和下发。
技术要求：
应用安全-资源控制 主机安全-资源控制 监控管理和安全管理中心 网络安全管理
（三）教育、国家科研等单位的信息系统
（四）市（地）级以上党政机关的重要网站和办公信息系统
（五）中央企业以及国资委下属企业
7
• 目前国家出台了哪些有关等保的政策？
– 国家： • 国务院147号令《中华人民共和国计算机信息系统安全保护条例》（94年） • 公通字[2004]66号《关于信息安全等级保护工作的实施意见》 • 公通字[2007]43号《信息安全等级保护管理办法》
等级保护和分级保护基础培训 ppt课件
监理、数据恢复、屏蔽室建设、保密安防监控。
问：分级保护对涉密系统中使用的安全保密产品有哪些要求？
涉密信息系统使用的信息安全保密产品原则上应当选用国产品，并应当通过国家保密局授权
ppt课件
26
的检测机构依据有关国家保密标准进行的检测，通过检测的产品由国家保密局审核发布目录。
《信息系统通用安全技术要求》GB/T 20271-2006 《信息系统等级保护安全设计技术要求》 测评： 《信息系统安全等级保护测评要求》GB/T 《信息系统安全等级保护测评过程指南》 管理： 《信息系统安全管理要求》 GB/T 20269-2006
《信息系统安全工程管理要求》GB/T 20282-2006
分级保护测评时效性
ppt课件
23
分级保护评测审核内容
ppt课件
24
FAQ
问：等级保护与分级保护各分为几个等级，对应关系是什么？ 答：等级保护分5个级别：一级（自主保护）、二级（指导保护）、三级（监督保护）、四级（强制保护）、五 级（专控保护）。 分级保护分3个级别：秘密级、机密级（机密增强级）、绝密级。 分级保护与等级保护对应关系：秘密级对应三级、机密级对应四级、绝密级对应五级。 问：等级保护的重要信息系统有哪些？ 答：电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网 接入服务单位、数据中心等单位的重要信息系统。铁路、银行、海关、税务、民航、电力、证券、保险、外交、 科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、 文、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。市（地）级以 上党政机关的重要网站和办公信息系统。 问：等级保护的主管部门是谁？ 答：公安机关是等级保护工作的主管部门，负责信息安全等级保护工作的监督、检查、指导， 问：等级保护是否是强制性的，可以不做吗？ 答：国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级根据信息系统在国家安全、 经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其 他组织的合法权益的危害程度等因素确定。备案后3级系统每年进行一次监督检查，4级每半年进行一次监督检查。 问：是否只是在政府行业实行？企业是否也在等级保护和分级保护范畴之内？ 答：等级保护涉及所有行业，只要有信息系统的单位都在等级保护覆盖范围（涉密系统除外）