信息安全等级保护操作指南和操作流程(共31页)

《信息安全等级保护操作指南和操作流程(共31页)》由会员分享，可在线阅读，更多相关《信息安全等级保护操作指南和操作流程(共31页)（32页珍藏版）》请在装配图网上搜索。

1、精选优质文档-倾情为你奉上信息安全等级保护操作流程1 信息系统定级1.1 定级工作实施范围“关于开展全国重要信息系统安全等级保护定级工作的通知”对于重要信息系统的范围规定如下：（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。（三）市（地）级以上党政机关的重要

2、网站和办公信息系统。（四）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。注：跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。1.2 定级依据标准国家信息化领导小组关于加强信息安全保障工作的意见（中办发【2003】27号文件）关于信息安全等级保护工作的实施意见（公通字【2004】66号文件）电子政务信息系统安全等级保护实施指南（试行）（国信办【2005】25号文件）信息安全等级保护管理办法（公通字【2007】43号文件）计算机信息系统安全保护等级划分准则电子政务信息安全等级保护实施指南信息系统安全等级保护定级指

3、南信息系统安全等级保护基本要求信息系统安全等级保护实施指南信息系统安全等级保护测评指南1.3 定级工作流程图1-1 信息系统定级工作流程1.3.1 信息系统调查信息系统调查是通过一系列的信息系统情况调查表对信息系统基本情况进行摸底调查，全面掌握信息系统的数量、分布、业务类型、应用、服务范围、系统结构、管理组织和管理方式等基本情况。同时，通过信息系统调查还可以明确信息系统存在的资产价值、威胁等级、风险等级以及可能造成的影响客体、影响范围等基本情况。信息系统调查结果将作为信息系统安全等级保护定级工作的主要依据，保证定级结果的客观、合理和准确。1.3.1.1 调查工具表通常，信息系统调查工具表包括系

4、统资产调查表、系统应用调查表、和管理信息调查表等。l 系统资产调查表用于调查信息系统的基本情况，主要包括主机、网络设备、人员、人员、服务等信息。在调查过程中，可以得到系统资产的基本信息、主要用途、重要程度、服务对象等相关信息。l 系统应用调查表用于明确系统应用的基本状况。明确各个系统应用的拓扑信息、边界信息、应用架构、数据流等基本情况，为确定和分析定级对象提供详细信息。l 管理信息调查表用于明确信息系统的组织结构、隶属关系等管理信息。1.3.1.2 调查方法信息系统调查的实施包括信息收集、访谈和核查三个步骤。l 信息收集协助信息系统使用管理单位完成系统资产调查表填写工作，同时收集信息系统所涉及

5、的一系列l 访谈l 核查对调查表中的信息进行验证的过程，验证包括检查和测试等方式。1.3.2 确定定级对象一个单位可能运行了比较庞大的信息系统，为了重点保护重要部分，有效控制信息安全建设和管理成本，优化信息安全资源配置等保护原则，可将较大的信息系统划分为若干个较小的、相对独立的、具有不同安全保护等级的定级对象。这样，可以保证信息系统安全建设能够突出重点、兼顾一般。1.3.2.1 基本原则如果信息系统只承载一项业务，可以直接为该信息系统确定等级，不必划分业务子系统。如果信息系统承载多项业务，应根据各项业务的性质和特点，将信息系统分成若干业务子系统，分别为各业务子系统确定安全保护等级，信息系统的安

6、全保护等级由各业务子系统的最高等级决定。信息系统是进行等级确定和等级保护管理的最终对象。主要划分原则有：一、 具有唯一确定的安全责任单位作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。二、 具有信息系统的基本要素作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、

7、终端、网络设备等作为定级对象。三、 承载单一或相对独立的业务应用定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。1.3.2.2 信息系统的划分方法一个组织机构内可能运行一个或多个信息系统，这些信息系统的安全保护等级可以是相同的，也可以是不同的。为体现重点保护重要信息系统安全，有效控制信息安全建设成本，优化信息安全资源配置的等级保护原则，在进行信息系统的划分时应考虑以

8、下几个方面：一、 相同的管理机构信息系统内的各业务子系统在同一个管理机构的管理控制之下，可以保证遵循相同的安全管理策略。二、 相同的业务类型信息系统内的各业务子系统具有相同的业务类型，安全需求相近，可以保证遵循相同的安全策略。三、 相同的物理位置或相似的运行环境信息系统内的各业务子系统具有相同的物理位置或相似的运行环境意味着系统所面临的威胁相似，有利于采取统一的安全保护。1.3.3 定级要素分析通过针对定级对象分别进行业务信息安全分析和系统服务安全分析，最终确定信息系统安全等级保护系统等级。在进行业务信息安全分析和系统服务安全分析时，充分考虑行业特点、业务应用特点等因素，细化受侵害客体组成及损

9、害程度判定要素，从而确保信息系统定级的合理准确。1.3.3.1 定级流程根据定级流程，在定级要素分析时需对业务信息安全等级和系统服务安全等级进行分析，分析内容包括确定受侵害的客体、确定对客体的侵害程度，从而确定相应的业务信息安全等级和系统服务安全等级。最后，综合业务信息安全等级和系统服务安全等级得到信息系统安全等级保护系统等级。1.3.3.2 确定受侵害客体定级对象收到破坏时所侵害的客体包括国家安全、社会秩序、公众利益及公民、法人和其他组织的合法权益。l 国家安全n 影响国家政权稳固和国防实力；n 影响国家统一、民族团结和社会安定；n 影响国家对外活动中的政治、经济利益；n 影响国家重要的安全

10、保卫工作；n 影响国家经济竞争力和科技实力；n 其他影响国家安全的事项。l 社会秩序n 影响国家机关社会管理和公共服务的工作秩序；n 影响各种类型的经济活动秩序；n 影响各行业的科研、生产秩序；n 影响公众在法律约束和道德规范下的正常生活秩序等；n 其他影响社会秩序的事项。l 公共利益n 影响社会成员使用公共设施；n 影响社会成员获取公开信息资源；n 影响社会成员接受公共服务等方面；n 其他影响公共利益的事项。l 公民、法人和其他组织n 由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益。确定作为定级对象的信息系统受到破坏后所侵害的客体时，应首先判断是否侵害国家安全，然

11、后判断是否侵害社会秩序或公众利益，最后判断是否侵害公民、法人和其他组织的合法权益的关系，从而确定信息和信息系统受到破坏时所侵害的客体。1.3.3.3 确定对客体的损害程度在针对不同的受侵害客体进行侵害程度的判断时，应参照以下的判别基准。l 如果受侵害客体是公民、法人或其他组织的合法权益，则以本人或本单位的总体利益作为判断侵害程度的基准。l 如果受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家的总体利益作为判断侵害程度的基准。不同危害后果的三种危害程度危害程度描述如下：l 一般损害工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限

12、的社会不良影响，对其他组织和个人造成较低损害。l 严重损害工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害。l 特别严重损害工作职能受到特别严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。1.3.3.4 确定定级对象的安全保护等级在确定完成受侵害客体以及对客体的侵害程度后，依据表1分别确定业务信息安全等级和系统服务安全等级。作为定级对象的信息系统的安全保护等级由业务信息安全等级和系统服

13、务安全等级的较高者决定。表1 定级要素与安全保护等级的关系受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级1.3.4 编写定级报告根据定级过程和定级结果，编写初步信息系统定级报告。1.3.5 协助定级备案在完成初步定级报告后，协助信息系统管理使用单位进行评审与审批，并最终确定定级报告，完成信息系统备案工作。2 等级测试2.1 工作内容等级测评是信息安全等级保护实施中的一个重要环节。等级测评是指具有相关资质的、独立的第三方评测服务机构，对信息系统的等级保护落实情况与信息安全等级保

14、护相关标准要求之间的符合程度的测试判定。2.2 依据标准计算机信息系统安全保护等级划分准则信息系统安全等级保护基本要求信息系统安全等级保护定级指南电子政务信息安全等级保护实施指南信息系统安全等级保护实施指南信息系统安全等级保护测评指南信息安全技术 信息系统通用安全技术要求信息安全技术 网络基础安全技术要求信息安全技术 操作系统安全技术要求信息安全技术 数据库管理系统安全技术要求信息安全技术 服务器技术要求信息安全技术 终端计算机系统安全等级技术要求2.3 等级评测内容2.3.1 基本内容对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求

15、的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。对安全控制测评的描述，使用工作单元方式组织。工作单元分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。因

16、此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。测评人员应根据特定信息系统的具体情况，结合标准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性等，等级测评基本内容如图1所示。图1 等级测评基本内容2.3.2 等级测评工作单元工作单元是安全测评的基本工作单位，对应一组相对独立和完整的测评内容。工作单元由测评项、测评对象、测评方式、测评实施和结果判定组成，如图2示。图2 工作单

17、元构成测评项描述测评目的和测评内容，与信息安全等级保护要求的基本安全控制要求相一致。测评方式是指测评人员依据测评目的和测评内容应选取的、实施特定测评操作的方式方法，包括三种基本测评方式：访谈、检查和测试。测评对象是测评实施过程中涉及到的信息系统的构成成分，是客观存在的人员、文档、机制或者设备等。测评对象是根据该工作单元中的测评项要求提出的，与测评项的要求相适应。一般来说，实施测评时，面临的具体测评对象可以是单个人员、文档、机制或者设备等，也可能是由多个人员、文档、机制或者设备等构成的集合，它们分别需要使用到某个特定安全控制的功能。测评实施是工作单元的主要组成部分，它是依据测评目的，针对具体测评

18、内容开发出来的具体测评执行实施过程要求。测评实施描述测评过程中涉及到的具体测评方式、内容以及需要实现的和/或应该取得的测评结果。结果判定描述测评人员执行完测评实施过程，产生各种测评证据后，如何依据这些测评证据来判定被测系统是否满足测评项要求的方法和原则。在给出整个工作单元的测评结论前，需要先给出单项测评实施过程的结论。一般来说，单项测评实施过程的结论判定不是直接的，常常需要测评人员的主观判断，通常认为取得正确的、关键性证据，该单项测评实施过程就得到满足。某些安全控制可能在多个具体测评对象上实现（如主机系统的身份鉴别），在测评时发现只有部分测评对象上的安全控制满足要求，它们的结果判定应根据实际情

19、况给出。2.4 测评方法主要采用访谈、检查、测试等方法进行等级保护测评。一、 访谈（ interview）测评人员通过与信息系统相关人员（个人/群体）进行交流、讨论等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。使用各类调查问卷和访谈大纲实施访谈。二、 检查（examine）不同于行政执法意义上的监督检查，而是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。可以使用各种检查表和相应的安全调查工具实施检查。三、 测试（test）测评人员通过对测评对象按照预定的方法/工具使其产生特定的行为等活动，查看、分析输出结果，获

20、取证据以证明信息系统安全等级保护措施是否有效的一种方法。包括功能测试和渗透性测试、系统漏洞扫描等。渗透性测试：等级测评的一个重要内容是对测试目标进行脆弱性分析，探知产品或系统安全脆弱性的存在，其主要目的是确定测试目标能够抵抗具有不同等级攻击潜能的攻击者发起的渗透性攻击。因此，渗透性测试就是在测试目标预期使用环境下进行的测试，以确定测试目标中潜在的脆弱性的可利用程度。系统漏洞扫描：要是利用扫描工具对系统进行自动检查，根据漏洞库的描述对系统进行模拟攻击测试，如果系统被成功入侵，说明存在漏洞。主要分为网络漏洞扫描和主机漏洞扫描等方式。2.5 等级测评工作流程一、 测评准备阶段本阶段是开展现场测评工作

21、的前提和基础，是整个等级测评过程有效性的保证。测评准备工作是否充分直接关系到现场测评工作能否顺利开展。本阶段的主要工作是掌握被测方系统的详细情况和为实施现场测评做好方案、文档及测试工具等方面的准备。二、 现场实施阶段本阶段是开展等级测评工作的关键阶段。本阶段的主要工作是按照测评方案的总体要求，严格执行作业指导书，分步实施所有测评项目，包括单项测评和系统整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。三、 分析与报告编制阶段该阶段是等级测评工作的最后环节，是对被测方系统整体安全保护能力的综合评价过程。主要工作是根据现场测评结果和测评准则的有关要求，通过单项测评结

22、论判定和系统整体测评分析等方法，分析整个系统的安全保护现状与相应等级的保护要求之间的差距，编制测评报告。等级测评基本流程如图3示。图3 等级测评基本流程2.6 系统整体测评系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。首先测评人员应根据特定信息系统的具体情况，结合标准要求，确定系统整体测评的具体内容。其次在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面

23、间和区域间是否存在安全功能上的增强、补充和削弱作用，最后才能得出测评结论。2.6.1 安全控制间安全测评安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。安全功能上的增强和补充可以使两个不同强度、不同等级的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个安全控制的引入影响另一个安全控制的功能发挥或者给其带来新的脆弱性。例如，某金融机构的核心系统，它的访问路径未采用SSL加密设置，容易导致数据被嗅探和非法篡改，但核心系统采用SSL加速器对网络上数据传输进行加密，可以有效保护

24、网络数据传输的安全。所以，在进行测评综合判定时，该测评项就可以判为通过。2.6.2 层面间安全测评层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。安全功能上的增强和补充可以使两个不同层面上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个层面上的安全控制影响另一个层面安全控制的功能发挥或者给其带来新的脆弱性。例如，某金融机构，它的网络核心设备对内部的访问控制存在不足，安全风险主要来自内部人员的误用、滥用和恶用，但是它的教育、管理和考核制度都比较完善，对内部员工要求也比较严格，所以在一定程

25、度上降低了这种来自内部的风险，对网络访问控制进行了相应的补充和增强。2.6.3 区域间安全测评区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。安全功能上的增强和补充可以使两个不同区域上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个区域上的安全功能影响另一个区域安全功能的发挥或者给其带来新的脆弱性。例如，某金融机构的核心数据机房位于中心机房内部，它只有一个出入口，该出入口在中心机房内。因此，在中心机房的出入口上安排24

26、小时专人值守等措施，可以解决核心数据机房区域上的物理访问控制等相应措施的安全功能，使其达到该区域物理安全所要求的安全保护强度。3 全面认识和正确实施信息安全等级保护3.1 全面认识信息安全等级保护信息安全等级保护信息安全等级保护的各项工作是围绕对信息系统的安全等级保护开展的。全面认识信息安全等级保护，需要确立以下基本观点：1) 整体看，信息安全等级保护是制度；分开看，信息安全是目的，等级保护是方法；2) 对信息安全划分等级是管理的需要；3) 信息安全是围绕信息系统安全开展的一系列工作的总称；4) 风险等级、需求等级、安全保护等级、安全技术等级和安全管理等级是信息系统安全等级保护对等级划分的全面

27、反映；5) 安全系统等级与安全技术等级和安全管理等级既相互关联又各有其不同的含义；6) 安全管理是信息安全的生命线。整体看，“信息安全等级保护”是制度；分开看，“信息安全是目的，等级保护是方法”，这一基本认识明确定位了信息安全等级保护的重要位置以及信息安全与等级保护之间的关系。用分等级保护的方法实现国家信息安全的总体目标，既是一项制度，也是一种方法。其基本思想是：重点保护和适度保护。进一步理解可以包括以下含义：方法是可选的，不是唯一的；但制度一经确定就是不可改变的；等级的划分可以是多种多样的，但作为要具体执行的制度，就应有确定的等级划分；对已经确定的等级划分，如果没有发现其不可执行的缺陷，就不

28、要轻易改变。“对信息安全划分等级是管理的需要”，这一基本认识表明：分等级保护是从便于管理的角度对实现信息安全的考虑。其实，等级化管理是人类社会普遍采用的管理方法。纵观人类社会活动的各个环节，无不存在着按等级管理的情况。就信息安全而言，等级化管理在国际和国内也是普遍采用的方法。经典的安全标准-TCSEC和最新国际信息安全技术标准-CC等无不以分等级的方法对信息安全技术的不同要求进行描述，尽管他们各自在描述方法上有所不同（CC没有对安全功能要求进行等级划分，很大程度上是因为各个国家没有取得共识）。从我国当前的实际情况出发，采用分等级保护的方法实现信息安全，无疑是适用于我国当前实际的一种有效的信息安

29、全管理方法。“信息安全是围绕信息系统安全开展的一系列工作的总称”。这一基本认识表明：信息安全是指信息系统和信息系统中存储、传输和处理的数据信息的安全。一方面“信息安全”是一个具有较广泛概念的称谓，是包括从中央到地方、从法律到法规、从管理到技术、从系统到产品等，涉及国家有关机构和部门围绕对信息的安全保护所进行的所有活动；另一方面“，信息安全”的所有活动则完全是围绕对信息系统和信息系统中所存储、传输和处理的数据信息进行安全保护应采取的安全技术和安全管理措施这一目标开展的，并且具体落实到各个单位和部门的所有信息系统的建设和运行控制的全过程。“风险等级、需求等级、安全保护等级、安全技术和安全管理等级是

30、信息系统安全等级保护对等级划分的全面反映”这一基本认识表明：围绕信息系统的安全等级保护，需要对信息系统的安全风险、安全需求、安全保护、安全技术和安全管理等各个阶段和层面进行等级划分。信息系统的安全风险等级是根据对目标信息系统进行风险分析所确定的风险度的表示，66号文件所规定的5个安全等级，就是建立在对国家各行各业的信息系统的安全保护要求进行总体风险分析的基础上确定的信息系统的安全风险框架，是各有关单位确定其所属信息系统的安全风险等级的基本依据；信息系统安全需求等级是根据目标信息系统的安全风险等级确定的；信息系统的安全保护等级是对信息系统安全保护的总体要求，是确定目标信息系统应选取何种等级的安全

31、保护措施（包括安全技术措施和安全管理措施）的基本依据，这些安全措施共同确保信息系统安全达到其安全性目标；安全技术等级和安全管理等级分别从技术和管理的角度对安全保护措施的安全性进行区分，为不同安全等级的信息系统进行技术和管理措施的选择提供支持。“安全系统等级与安全技术等级和安全管理等级既相互关联又各有其不同的含义”。这一基本认识表明：安全技术等级和安全管理等级与系统安全等级有着十分密切的关系但两者并不是等同的关系。为了贯彻重点保护和适度保护的原则，信息系统需要划分等级，信息安全技术和信息安全管理同样需要划分等级。然而，信息系统的安全等级与安全技术的安全等级和安全管理的安全等级（以下简称“技术和管

32、理的安全等级”）是两个既有联系又不完全相同的概念。信息系统的安全等级是根据信息系统的风险程度（或者说风险等级）确定的，是与信息系统的重要性（或资产价值）及其所处的环境和条件（或安全威胁）有关的。而技术和管理的安全等级则是按安全技术和安全管理要素的安全性强度划分并与环境和条件无关的。由于信息系统所处环境和条件的各不相同，信息系统的安全等级划分难以制定出明确的标准，而技术和管理的安全等级完全可以根据其所实现的安全功能和所采取的安全保证措施制定出明确的划分标准。到目前为止，所制定的一系列与信息安全等级保护相关的标准，其等级的划分都是以安全要素为单位进行划分的。不同安全要素所实现的安全功能的安全性强度

33、（也就是安全等级），根据其所采用的安全机制的不同和安全保证措施的不同而定。至于划分为几个等级和每个安全等级之间的差异，完全是人为确定的。当然，这里所说的人为确定并是由哪一个随意确定的，而是由有关主管部门组织业内有关专家，根据信息安全等级保护的需要，参考国际和国外的相关标准，结合我国安全技术发展和信息系统安全等级划分的具体情况，认真研究确定的。这就是我们当前所制定的一系列安全技术和安全管理标准等级划分的基础和依据。对一个具体的信息系统，在选择采用何种等级的安全技术和安全管理措施时，需要考虑目标信息系统所处的环境和条件对安全性要求的影响，而并非简单的按对应等级进行选择。“安全管理是信息安全的生命线

34、”。这一基本认识表明：安全管理在信息安全等级保护制度实施过程中重要作用。人们通常用“三分技术，七分管理”来形容管理对技术的重要性。其实，用“安全管理是信息安全的生命线”来描述安全管理对信息安全的重要性可能更为贴切。对信息安全等级保护的管理分为“宏观管理”和“微观管理”。宏观管理是指从国家的政策法规到设置各种管理机构等全局性的管理措施微观管理是指围绕信息系统的安全等级保护所实施的一系具体管理。从宏观管理看，没有政策法规的明确要求，信息安全等级保护就是依据空话。从微观管理看，安全管理贯穿从确定信息系统安全需求到控制信息系统安全运行的信息系统整个生命周期的全过程，是信息安全的每一个环节实现的前提和保

35、证。没有严格的组织管理，无法进行信息安全的需求分析，从而无法确定信息安全的等级需求；无法确定信息系统的安全方案；无法确保信息系统安全工程按确定的安全目标实现；无法确保设计、实现的信息安全系统的运行达到所要求的安全目标；无法应对安全系统运行中出现的新情况和新问题。总之，在信息安全系统生周期的每一个环节，没有严格的符合要求的管理，安全技术的作用就会打折扣，甚至成为攻击的弱点和漏洞。技术是手段，管理是前提和保证目标只有一个，那就是信息安全。根据我国的国情，管理的重要性还体现在领导的重要性。实践证明，在我国信息系统建设阶段，单位领导的重视与支持对单位的信息系统建设和发展的重要性已经成为不争的事实。同样

36、，单位领导，特别是主要领导的重视与支持，对单位信息安全系统建设和运行具有十分重要的作用。3.2 正确实施信息安全等级保护正确实施信息安全等级保护需要采用以下基本方法：1) 风险管理与信息安全等级保护相结合是贯穿信息系统整个生命周期的有效措施；2) 构建等级化的信息安全保障体系是实施信息安全等级保护的正确途径；3) 按区域分类、分层、分等级保护是对信息系统实施安全等级保护的有效方法；4) 安全的一致性原理是等级化信息系统安全设计的重要思想。在进行等级化的信息系统安全设计时，首先采用风险分析的方法确定安全风险程度（等级）和安全需求，然后将这些安全需求转化为相应的安全要求，再根据这些安全要求，确定对

37、应的安全技术和安全管理措施。根据这些安全技术和安全管理措施在相关的安全技术标准和安全管理标准中的安全级，从而最终确定信息系统的安全等级。由于安全技术和安全管理标准的等级划分已经充分考虑到信息系统安全等级的划分，所以从整体上两者的等级应该是基本一致的。但这里并不要求完全对应。因为从本质上讲，技术和管理的安全等级的划分是比较单一的，而信息系统安全等级的划分是比较复杂的，而且与信息系统所在的环境和条件有关的。可以帮助我们理解这一观点的一个例子是，美国的NIST系列文档将信息系统的安全等级划分为基本级、增强级、强健级三个等级，并通过选取C C中的相应安全组件来构建所需要的信息安全系统。通过风险分析确定

38、安全风险等级，威胁针对脆弱性和资产所产生的后果是，在脆弱性和资产确定的情况下，安全风险随威胁的增加而增加；在威胁确定的情况下，安全风险随资产和/或脆弱性的增加而增加；安全需求等级由安全风险等级产生，安全目标等级由安全需求等级确定，安全目标等级通过选择相应安全等级的安全措施（安全技术措施和安全管理措施）来实现；安全措施通过对抗威胁、保护资产和降低脆弱性来减少安全风险，使剩余风险降低到可接受的范围，从而达到对信息系统进行安全保护的目标。“构建等级化的信息安全保障体系是实施信息安全等级保护的正确途径”，这一基本方法表明：对信息系统实施安全等级保护，需要根据其承载的各个业务应用的不同安全需求确定不同的

39、安全保护等级，从而构成等级化的信息系统安全保障体系。一个大型复杂的信息系统，其所承载的业务应用会有各种类型，不同类型的业务应用会有不同的安全保护需求，即使是同一种类型的业务应用，也会有不同的安全保护需求。这些安全需求的不同主要体现在对数据信息安全保护的不同要求。这些不同的安全需求是构建等级化信息安全保障体系的基本依据。等级化主要体现在对具有不同安全保护要求的数据信息的不同安全保护方面。各类数据信息的流动范围就是该类数据信息实施安全保护的范围。“按数据分类分区域、分层、分等级保护是对信息系统实施安全等级保护的有效方法”，这一基本方法表明：对一个大型复杂的信息系统，需要根据其不同保护要求，划分不同

40、的安全保护域，并对每一个安全域实施不同等级的安全保护，从而在整体上实现多级安全保护。按数据分类分区域、分层、分等级保护是对等级化信息安全保障体系的具体实现。所谓按数据分类保护是指，将需要进行相同保护的数据信息作为相同的分类，将同一类数据的流动范围划分为一个区域，实施相同的安全保护，域的划分可以是物理的也可以是逻辑的，甚至可能是交叉的，当然具体划分应越简单越好；所谓分层保护是指，在同一安全域中，组成该安全域的各个层次的软硬件系统应具有相同的安全保护能力，以确保当数据信息在其控制范围内时能得到应有的安全保护；所谓分等级保护是指，对在同一区域和/或不同区域需要进行相同保护的数据信息进行相同等级的安全

41、保护。在一个具体的信息系统中，一个服务器可以构成一个安全域，多个服务器及其互联的网络可以构成一个安全域；服务器、客户端计算机系统及其互联的网络可以构成一个安全域。这一切都需要根据数据信息的安全保护要求及其流动的范围确定。看来，数据信息成为安全域划分的关键因素。于是，根据数据信息需要保护的程度，合理分布和控制数据信息的流动便成为等级化信息系统安全保障体系设计的重要环节。“安全的一致性原理是等级化信息系统安全设计的重要思想”，这一基本方法表明：设计一个安全的信息系统，需要采用具有相对一致安全性的安全措施，包括：各个安全技术要素之间的相对一致性，安全功能与安全保证的一致性，以及安全管理与安全技术的一

42、致性等。GB17859-1999及其相关的一系列信息安全等级保护标准就是按照这种一致性要求制定的。其中的安全等级划分已经充分考虑到这些一致性要求。例如，通用安全技术要求中，同一安全等级的各个安全要素的安全要求的一致性体现在：基于“口令”的鉴别与基本的自主访问控制相一致；基于增强管理的“口令”的鉴别与更细粒度的自主访问控制相一致；基于“数字证书”/“生物特征”的身份鉴别与更细粒度的自主访问控制和强制访问控制相一致等等。又如，安全功能与安全保证的一致性体现在：基于“口令”的身份鉴别有较低（第一级）的安全保证要求，而基于“数字证书”的身份鉴别则有较高（第三级）的安全保证要求。安全管理与安全技术的一致性在安全技术的等级划分和安全管理的等级划分中得到了充分的体现。专心-专注-专业