信息安全工程4-2 信息安全方案设计-等保.ppt

1、信息安全工程计算机学院 刘连忠2014春北航计算机学院北航计算机学院2主要内容主要内容5. 5. 信息安全工程管理与测评信息安全工程管理与测评4. 4. 信息安全方案设计信息安全方案设计3. 3. 信息安全风险评估与安全策略信息安全风险评估与安全策略 2. 2. 安全工程能力成熟度模型安全工程能力成熟度模型SSE-CMM SSE-CMM 1. 1. 信息安全工程基础信息安全工程基础6. 6. 案例与设计实践案例与设计实践基础基础基础内容基础验收信息安全等级保护信息安全等级保护2 等级保护的国家政策与标准规范3 等级保护的工作内容4 等级保护的建设流程5 等级保护各参与部门的角色定位北航计算机学

2、院北航计算机学院3 1 1 什么是等级保护什么是等级保护信息系统等级保护的定义信息系统等级保护的定义 是指对国家秘密信息、法人和其他组织及公民是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信的专有信息以及公开信息和存储、传输、处理这些信息的息的信息系统分等级实行安全保护信息系统分等级实行安全保护，对信息系统中使，对信息系统中使用的用的信息安全产品信息安全产品实行实行按等级管理按等级管理，对信息系统中发，对信息系统中发生的生的信息安全事件信息安全事件分等级响应、处置分等级响应、处置。不涉及国家机密北航计算机学院北航计算机学院4等级保护的等级划分准则等级保护的

3、等级划分准则根据信息和信息系统遭到破坏或泄露后，对根据信息和信息系统遭到破坏或泄露后，对国国家安全、社会秩序、公共利益及公民、法人和家安全、社会秩序、公共利益及公民、法人和其他组织的合法权益其他组织的合法权益的的危害程度危害程度来进行定级。来进行定级。(1) 受侵害客体受侵害客体(2) 受侵害程度受侵害程度北航计算机学院北航计算机学院5等级 对象 侵害客体 侵害程度 监管强度 第一级 合法权益 损害 自主保护 合法权益 严重损害 第二级 一般系统 社会秩序和公共利益 损害 指导 社会秩序和公共利益 严重损害 第三级 国家安全 损害 监督检查 社会秩序和公共利益 特别严重损害 第四级 重要系统

4、国家安全 严重损害 强制监督检查 第五级 极端重要系统 国家安全 特别严重损害 专门监督检查 等级保护的等级划分准则等级保护的等级划分准则北航计算机学院北航计算机学院6等级保护涉及的几个基本概念等级保护涉及的几个基本概念访问：读、写、执行访问：读、写、执行安全策略安全策略安全审计安全审计强制访问控制强制访问控制北航计算机学院北航计算机学院7第一级第一级 用户自主保护级用户自主保护级第二级第二级 系统审计保护系统审计保护第三级第三级 安全标记保护安全标记保护第四级第四级 结构化保护结构化保护第五级第五级 访问验证保护访问验证保护用户自主控制资源访问用户自主控制资源访问访问行为需要被审计访问行为需

5、要被审计通过标记实现强制访问控制通过标记实现强制访问控制可信计算基结构化可信计算基结构化所有的过程都需要验证所有的过程都需要验证等级保护的等级划分准则等级保护的等级划分准则北航计算机学院北航计算机学院8第一第一级级 自主安全保自主安全保护护第二第二级级 审计审计安全保安全保护护第三第三级级 强制安全保强制安全保护护第四第四级级 结构结构化保化保护护第五第五级级 访问验证访问验证保保护级护级自主访问控制自主访问控制 身份鉴别身份鉴别 完整性保护完整性保护自主访问控制自主访问控制 身份鉴别身份鉴别 完整性保护完整性保护系统审计系统审计 客体重用客体重用自主访问控制自主访问控制 身份鉴别身份鉴别 完

6、整性保护完整性保护系统审计系统审计 客体重用客体重用强制访问控制强制访问控制 标记标记自主访问控制自主访问控制 身份鉴别身份鉴别 完整性保护完整性保护系统审计系统审计 客体重用客体重用强制访问控制强制访问控制 标记标记自主访问控制自主访问控制 身份鉴别身份鉴别 完整性保护完整性保护系统审计系统审计 客体重用客体重用强制访问控制强制访问控制 标记标记隐蔽通道分析隐蔽通道分析 可信路径可信路径隐蔽通道分析隐蔽通道分析 可信路径可信路径可信恢可信恢复复 等级保护的等级划分准则等级保护的等级划分准则北航计算机学院北航计算机学院9客体重用：分配或再分配主体前，撤销之前客体授权内容概要内容概要1 什么是等

7、级保护3 等级保护的工作内容4 等级保护的建设流程5 等级保护各参与部门的角色定位北航计算机学院北航计算机学院10颁布时间颁布时间文件名称文件名称文号文号颁布机构颁布机构内容及意义内容及意义19941994年年2 2月月1818日日中华人民共和国计中华人民共和国计算机信息系统安全保算机信息系统安全保护条例护条例国务院国务院147147号号令令国务院国务院第一次第一次提出信息系统要实行等提出信息系统要实行等级保护，并确定了等级保护的级保护，并确定了等级保护的职责单位。职责单位。20032003年年9 9月月7 7日日国家信息化领导小国家信息化领导小组关于加强信息安全组关于加强信息安全保障工作的意

8、见保障工作的意见中办国办发中办国办发200327200327号号中共中央办公厅中共中央办公厅国务院办公厅国务院办公厅等级保护工作的开展必须分步等级保护工作的开展必须分步骤、分阶段、有计划的实施。骤、分阶段、有计划的实施。明确了信息安全等级保护制度明确了信息安全等级保护制度的的基本内容基本内容。20042004年年9 9月月1515日日关于信息安全等级关于信息安全等级保护工作的实施意见保护工作的实施意见公通字公通字200466200466号号公安部公安部国家保密局国家保密局国家密码管理委员国家密码管理委员会办公室会办公室（国家密码管理局（国家密码管理局）国务院信息化工作国务院信息化工作办公室办公

9、室将等级保护从计算机信息系统将等级保护从计算机信息系统安全保护的一项制度提升到国安全保护的一项制度提升到国家信息安全保障的一项家信息安全保障的一项基本制基本制度度。20072007年年6 6月月2222日日信息安全等级保护信息安全等级保护管理办法管理办法公通字公通字200743200743号号明确了信息安全等级保护制度明确了信息安全等级保护制度的的基本内容、流程及工作要求基本内容、流程及工作要求，明确了信息系统运营使用单，明确了信息系统运营使用单位和主管部门、监管部门在信位和主管部门、监管部门在信息安全等级保护工作中的息安全等级保护工作中的职责职责、任务、任务。20072007年年7 7月月1

10、616日日关于开展全国重要关于开展全国重要信息系统安全等级保信息系统安全等级保护定级工作的通知护定级工作的通知公信安公信安20078612007861号号就就定级范围、定级工作主要内定级范围、定级工作主要内容、定级工作要求容、定级工作要求等事项进行等事项进行了通知。了通知。 2 2 等级保护的国家政策等级保护的国家政策北航计算机学院北航计算机学院11等级保护的技术标准规范等级保护的技术标准规范GB17859-1999GB17859-1999 计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则信息系统安全等级保护定级指南信息系统安全等级保护定级指南GB/T20269-2006G

11、B/T20269-2006 信息系统安全管理要求信息系统安全管理要求GB/T20282-2006 GB/T20282-2006 信息安全技术信息安全技术 信息系统安全工程管理要求信息系统安全工程管理要求GB/T 20270-2006GB/T 20270-2006信息安全技术信息安全技术 网络基础安全技术要求网络基础安全技术要求GB/T 20271-2006GB/T 20271-2006信息安全技术信息安全技术 信息系统通用安全技术要求信息系统通用安全技术要求GB/T 20272-2006GB/T 20272-2006信息安全技术信息安全技术 操作系统安全技术要求操作系统安全技术要求GB/T 2

12、0273-2006GB/T 20273-2006信息安全技术信息安全技术 数据库管理系统通用安全技术要求数据库管理系统通用安全技术要求GB/T22239-2008GB/T22239-2008信息安全技术信息安全技术 信息系统安全等级保护基本要求信息系统安全等级保护基本要求信息安全技术信息安全技术 信息系统等级保护安全设计技术要求信息系统等级保护安全设计技术要求 ( (已送批已送批) )信息系统安全等级保护实施指南信息系统安全等级保护实施指南GB/T20009-2005信息安全技术信息安全技术 操作系统安全评估准则操作系统安全评估准则国家已出台国家已出台7070多个国标、行标以及报批标准，从基础

13、、设计、多个国标、行标以及报批标准，从基础、设计、实施、管理、制度实施、管理、制度等各个方面对等保系统提出了要求和建议。等各个方面对等保系统提出了要求和建议。北航计算机学院北航计算机学院12计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则（GB 17859-1999GB 17859-1999） 信息安全技术信息安全技术 信息系统通用安全技术要求信息系统通用安全技术要求 （GBGB/ /T 2027T 20271 1-2006-2006） 信息安全技术信息安全技术 操作系统安全技术要求操作系统安全技术要求 （GB/T 20272-2006GB/T 20272-2006）信息安

14、全技术信息安全技术 信息系统安全等级保护基本要求信息系统安全等级保护基本要求（GB/T 22239-2008GB/T 22239-2008）信息安全技术信息安全技术 信息系统等级保护安全设计技术要求信息系统等级保护安全设计技术要求 面向评估者技术标准：面向评估者技术标准： 面向建设者技术标准：面向建设者技术标准：等级保护的技术标准规范等级保护的技术标准规范北航计算机学院北航计算机学院13信息安全技术信息安全技术 信息系统安全工程管理要求信息系统安全工程管理要求（GB/T 20282-2006GB/T 20282-2006）信息系统安全管理体系标准信息系统安全管理体系标准（ISO/IEC 270

15、01ISO/IEC 27001） 信息安全技术信息安全技术 信息系统安全等级保护实施指南信息系统安全等级保护实施指南（ GB/T xxxxx-2007GB/T xxxxx-2007 ） 管理类标准：管理类标准：等保方案类标准：等保方案类标准：系统定级类标准：系统定级类标准：信息安全技术信息安全技术 信息系统安全保护等级定级指南信息系统安全保护等级定级指南（GB/T 22240-2008GB/T 22240-2008） 等级保护的技术标准规范等级保护的技术标准规范北航计算机学院北航计算机学院14信息系统安全等级保护基本要求信息系统安全等级保护基本要求(GB/T 22239-2008)(GB/T

16、22239-2008) 信息系统等级保护安全设计技术要求信息系统等级保护安全设计技术要求（已审批）（已审批） 计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则（GB 17859-1999GB 17859-1999） 国家已出台国家已出台约约70余个标准，重点需要了解的有：余个标准，重点需要了解的有：等级保护的技术标准规范等级保护的技术标准规范北航计算机学院北航计算机学院15内容概要内容概要1 什么是等级保护2 等级保护的国家政策与标准规范4 等级保护的建设流程5 等级保护各参与部门的角色定位北航计算机学院北航计算机学院16 3 3 等级保护的建设目标等级保护的建设目标某级信

17、息系统技术要求管理要求基本要求建立安全技术体系建立安全管理体系具有某级安全保护能力的系统北航计算机学院北航计算机学院17 等级保护的建设要求等级保护的建设要求环境安全环境安全防其他自然灾害防其他自然灾害机房与设施安全机房与设施安全环境与人员安全环境与人员安全设备安全设备安全防止电磁泄露发射防止电磁泄露发射防盗与防毁防盗与防毁防电磁干扰防电磁干扰介质安全介质安全介质的管理介质的管理介质的分类介质的分类介质的防护介质的防护物理安全物理安全北航计算机学院北航计算机学院18 等级保护的建设要求等级保护的建设要求 网络安全网络安全1. 1. 网络结构安全网络结构安全2. 2. 网络访问控制网络访问控制3

18、. 3. 网络安全审计网络安全审计4. 4. 边界完整性检查边界完整性检查5. 5. 网络入侵防范网络入侵防范6. 6. 恶意代码防护恶意代码防护7. 7. 网络防护设备网络防护设备 主机安全主机安全1.1. 身份鉴别身份鉴别2.2. 强制访问控制强制访问控制3.3. 系统安全审计系统安全审计4. 4. 剩余信息保护剩余信息保护5. 5. 入侵防范入侵防范6. 6. 恶意代码防范恶意代码防范7. 7. 资源控制资源控制 应用安全应用安全 1.1.身份认证身份认证 2. 2. 安全审计安全审计 3. 3. 剩余信息保护剩余信息保护 4. 4. 通信完整性和机密性保护通信完整性和机密性保护 数据安

19、全数据安全1.1.数据机密性保护数据机密性保护 2.2.数据完整性保护数据完整性保护 5. 5.控制软件容错控制软件容错； 6. 6.严格的访问严格的访问； 7. 7. 自动保护功能；自动保护功能； 8. 8. 资源控制；资源控制；北航计算机学院北航计算机学院19 等级保护的建设模式等级保护的建设模式满足政策要求满足政策要求满足标准要求满足标准要求满足用户自身要求满足用户自身要求安全现状安全现状差异性分析差异性分析基本要求基本要求北航计算机学院北航计算机学院20 等级保护的体系架构等级保护的体系架构通信网络通信网络区域边界区域边界计算环境计算环境安全管理安全管理中心中心北航计算机学院北航计算机

20、学院21构筑由构筑由安全管理中心安全管理中心统一管理下的统一管理下的计算环境、计算环境、区域边界、通信网络区域边界、通信网络三重防御体系。三重防御体系。安全区域边界安全区域边界安全通信网络安全通信网络 等级保护的技术实现依据等级保护的技术实现依据北航计算机学院北航计算机学院22内容概要内容概要1 什么是等级保护2 等级保护的国家政策与标准规范3 等级保护的工作内容5 等级保护各参与部门的角色定位北航计算机学院北航计算机学院23 4 4 等级保护的建设流程等级保护的建设流程达标等保体系达标等保体系安全措施安全措施业务应用业务应用信息网络信息网络已运营系统已运营系统业务应用业务应用安全措施安全措施

21、新建系统新建系统北航计算机学院北航计算机学院24 等级保护整改建设流程等级保护整改建设流程1.1.信息系统定级信息系统定级2.2.等保建设立项等保建设立项3.3.信息安全威胁分析信息安全威胁分析4.4.等保方案设计等保方案设计5.5.安全体系部署安全体系部署6.6.等保体系测评等保体系测评7.7.等保整改建设完成等保整改建设完成未通过未通过北航计算机学院北航计算机学院25 2007年开始，我国在全国范围展开了信息系统等级保护年开始，我国在全国范围展开了信息系统等级保护的定级工作，并在公安部进行了相关的备案。的定级工作，并在公安部进行了相关的备案。定级依据：定级依据：信息系统安全保护等级信息系统

22、安全保护等级定级指南定级指南（国家）（国家） XX行业行业信息系统安全保护等级信息系统安全保护等级定级指南定级指南 流程一：信息系统定级流程一：信息系统定级谁谁主管、运营主管、运营谁定级；拟确定为谁定级；拟确定为四级以上四级以上的信息系统需的信息系统需请请国家信息安全保护等级专家评审委员会国家信息安全保护等级专家评审委员会评审；评审；信息系统定级情况要在信息系统定级情况要在公安部门公安部门报备；报备；北航计算机学院北航计算机学院26根据信息和信息系统遭到破坏或泄露后，对根据信息和信息系统遭到破坏或泄露后，对国国家安全、社会秩序、公共利益及公民、法人和家安全、社会秩序、公共利益及公民、法人和其他

23、组织的合法权益其他组织的合法权益的的危害程度危害程度来进行定级。来进行定级。受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级1.受侵害客体；受侵害客体；2.受侵害程度；受侵害程度； 流程一：信息系统定级流程一：信息系统定级北航计算机学院北航计算机学院27关于信息系统的安全定级关于信息系统的安全定级(1) (1) 定级是等级保护工作的首要环节：定级是等级保护工作的首要环节：是开展信息系统是开展信息系统建设、整改、测评、备案、监督检查等后续工作的重建设、整改、测评、备案、监督检查等

24、后续工作的重要基础。信息系统安全级别定不准，系统建设、整改要基础。信息系统安全级别定不准，系统建设、整改、备案、等级测评等后续工作都失去了针对性。、备案、等级测评等后续工作都失去了针对性。(2) (2) 需要特别说明的是：需要特别说明的是：信息系统的安全保护等级是信信息系统的安全保护等级是信息系统的客观属性，不以已采取或将采取什么安全保息系统的客观属性，不以已采取或将采取什么安全保护措施为依据，也不以风险评估为依据，而是以信息护措施为依据，也不以风险评估为依据，而是以信息系统的重要性和信息系统遭到破坏后对国家安全、社系统的重要性和信息系统遭到破坏后对国家安全、社会稳定、人民群众合法权益的危害程

25、度为依据，确定会稳定、人民群众合法权益的危害程度为依据，确定信息系统的安全等级。信息系统的安全等级。 北航计算机学院北航计算机学院28定级工作的步骤定级工作的步骤：第一步：摸底调查，掌握信息系统底数信息系统的业务类型、应用或服务范围、系统结构基本情况第二步：确定定级对象第三步：初步确定信息系统等级北航计算机学院北航计算机学院29定级的一般流程定级的一般流程(1) (1) 信息系统安全包括业务信息安全和系统服务安全。信息安信息系统安全包括业务信息安全和系统服务安全。信息安全是指确保信息系统内信息的保密性、完整性和可用性等全是指确保信息系统内信息的保密性、完整性和可用性等，系统服务安全是指确保信息

26、系统可以及时、有效地提供，系统服务安全是指确保信息系统可以及时、有效地提供服务，以完成预定的业务目标。服务，以完成预定的业务目标。(2) (2) 业务信息安全和系统服务安全，与之相关的受侵害客体和业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定。从业务信息安业务信息安全和系统服务安全两方面确定。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全等级全角度反映的信息系统安全保护等级称业务信息安全等级。从系统服务安全角度反映的信息系统安全保护等级称系。从

27、系统服务安全角度反映的信息系统安全保护等级称系统服务安全等级。统服务安全等级。(3) (3) 由业务信息安全等级和系统服务安全等级的较高者确定定由业务信息安全等级和系统服务安全等级的较高者确定定级对象的安全保护等级。级对象的安全保护等级。 北航计算机学院北航计算机学院30定级的一般流程定级的一般流程信息系统安全保护等级的确定信息系统安全保护等级的确定 确定业务信息安全等级：信息受到破坏程度确定业务信息安全等级：信息受到破坏程度 确定系统服务安全等级：系统服务破坏程度确定系统服务安全等级：系统服务破坏程度 选择其中等级高者：信息系统安全保护等级选择其中等级高者：信息系统安全保护等级 系统的安全保

28、护等级=L (信息等级，服务等级) =Max(信息等级，服务等级） 例如：L(3,1)=L(3,2)= L(3,3)= L(1,3)= L(2,3)= 3北航计算机学院北航计算机学院31定级基本流程定级基本流程3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全保护等级4、业务信息安全保护等级8、定级对象的安全保护等级1、确定定级对象北航计算机学院北航计算机学院32定级阶段定级阶段- -关于定级对象确定关于定级对象确定定级对象的三个条件定级对象的三个条件 具有唯一确定的安全责任单位具有唯一确

29、定的安全责任单位应能够唯一地确定其安全责任单位，这个安全责任单位就是负责等级保应能够唯一地确定其安全责任单位，这个安全责任单位就是负责等级保护工作护工作部部署、实施的单位，也是完成等级保护备案和接受监督检查的直署、实施的单位，也是完成等级保护备案和接受监督检查的直接责任单位。接责任单位。 满足信息系统的基本要素满足信息系统的基本要素作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如单台的服务器、

30、终端或网络设备等作为定级对象。，如单台的服务器、终端或网络设备等作为定级对象。 承载相对独立的业务应用承载相对独立的业务应用定级对象承载定级对象承载“相对独立相对独立”的业务应用是指其中的一个或多个业务应用的业务应用是指其中的一个或多个业务应用的主要业务流程、部分业务功能独立，同时与其他信息系统的业务应用的主要业务流程、部分业务功能独立，同时与其他信息系统的业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。其是网络传输设备。“相对独立相对独立”的业务应用并不意味着整个业务流程的业务应用并不意味着

31、整个业务流程，可以是完整的业务流程的一部分。，可以是完整的业务流程的一部分。北航计算机学院北航计算机学院33定级阶段定级阶段- -定级对象举例定级对象举例(1) 某证券中心定级对象部分结果： 总部 交易系统交易系统 行情系统行情系统 清算系统清算系统 客户管理系统客户管理系统 营业部 交易系统交易系统 行情系统行情系统 客户管理系统客户管理系统北航计算机学院北航计算机学院34定级阶段定级阶段- -定级对象举例定级对象举例(2) 某电力公司定级对象部分结果： 定级对象结果1 本部信息系统 供电局信息系统 定级对象结果2 本部 电力调度系统电力调度系统 综合信息系统综合信息系统 营业部 电力调度系

32、统电力调度系统 综合信息系统综合信息系统定级对象结果3 本部 数据中心系统数据中心系统 用户局域网系统用户局域网系统 骨干网系统骨干网系统 供电局 数据中心系统数据中心系统 用户局域网系统用户局域网系统 城域网城域网系统北航计算机学院北航计算机学院35定级阶段定级阶段- -关于系统边界关于系统边界p系统边界不应出现在服务器内部，服务器共用的系统一般归入同一个信息系统，因此不同信息系统的共用设备一般是网络/边界设备或终端设备。p两个信息系统边界存在共用设备时，共用设备的安全保护等级按两个信息系统安全保护等级较高者确定。p例如，一个2级系统和一个3级系统之间有一个防火墙或两个系统共用一个核心交换机

33、，此时防火墙和交换机可以作为两个系统的边界设备，但应满足3级系统的要求。北航计算机学院北航计算机学院36定级阶段定级阶段- -关于系统边界关于系统边界北航计算机学院北航计算机学院37p信息系统的管理终端是与相应被管理设备相对应的，服务器、网络设备及安全设备等属于哪个系统，终端就应归在哪个信息系统中。p如果无法做到不同等级的信息系统使用不同的终端设备，则应将终端设备划分为其他的信息系统，并在服务器与内部用户终端之间建立边界保护，对终端通过身份鉴别和访问控制等措施加以控制。p处理涉密信息的终端必须划分到相应的信息系统中，且不能与非涉密系统共用终端。定级阶段定级阶段- -关于业务信息和系统服务的确定

34、关于业务信息和系统服务的确定北航计算机学院北航计算机学院38(1) 业务信息业务系统处理的不同类型的数据(2) 系统服务业务系统的服务范围业务系统的服务对象业务系统的服务人数业务系统的服务时间要求定级阶段定级阶段- -关于业务信息和系统服务的确定关于业务信息和系统服务的确定北航计算机学院北航计算机学院39(1) 业务信息业务系统处理的不同类型的数据(2) 系统服务业务系统的服务范围业务系统的服务对象业务系统的服务人数业务系统的服务时间要求定级阶段定级阶段- -关于侵害客体和侵害程度关于侵害客体和侵害程度北航计算机学院北航计算机学院40三种受侵害的客体 (1) 国家安全 体现了国家层面、与全局相

35、关的国家政治安全、军事安全、经济安全、社会安全、科技安全等方面利益。 (2) 社会秩序和公共利益 包括政治、经济、生产、生活、科研、工作等各方面的正常秩序和社会公众生产、生活、教育、卫生等方面的利益。 (3) 公民、法人和其他组织的合法权益 是法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益， 定级阶段定级阶段- -关于侵害客体和侵害程度关于侵害客体和侵害程度北航计算机学院北航计算机学院41关于国家安全 重要的国家事务处理系统、国防工业生产系统和国防设施的控制系统等；广播、电视、网络等重要新闻媒体的发布或播出系统，其受到非法控制可能引发影响国家统一、民族团结和社会安定的

36、重大事件；尖端科技领域的研发、生产系统等影响国家经济竞争力和科技实力的信息系统，以及电力、通信、能源、交通运输、金融等国家重要基础设施的生产、控制、管理系统等。定级阶段定级阶段- -关于侵害客体和侵害程度关于侵害客体和侵害程度北航计算机学院北航计算机学院42关于社会秩序n政府机构的社会管理和公共服务系统，如财政、金融、工商、税务、公检法、海关、社保等领域的信息系统，也包括教育、科研机构的工作系统，以及所有为公众提供医疗卫生、应急服务、供水、供电、邮政等必要服务的生产系统或管理系统。 关于公共利益n借助信息化手段为社会成员提供使用的公共设施和通过信息系统对公共设施进行进行管理控制都应当是要考虑的

37、方面，例如：公共通信设施、公共卫生设施、公共休闲娱乐设施、公共管理设施、公共服务设施等。n公共利益与社会秩序密切相关，社会秩序的破坏一般会造成对公共利益的损害。定级阶段定级阶段- -关于行业定级指导意见关于行业定级指导意见北航计算机学院北航计算机学院43关于危害后果 影响行使工作职能，工作职能包括国家管理职能、公共管理影响行使工作职能，工作职能包括国家管理职能、公共管理职能、公共服务职能等国家或社会方面的职能。职能、公共服务职能等国家或社会方面的职能。 导致业务能力下降，下降的表现形式可能包括业务范围的减导致业务能力下降，下降的表现形式可能包括业务范围的减少、业务处理性能的下降、可服务的用户数

38、量的下降以及其少、业务处理性能的下降、可服务的用户数量的下降以及其他各种业务指标的下降，每个行业务都有本行业关注的业务他各种业务指标的下降，每个行业务都有本行业关注的业务指标。指标。 例如：电力行业关注发电量和用电量，税务行业关注例如：电力行业关注发电量和用电量，税务行业关注税费收入，银行业关注存款额、贷款额、交易量等，证券经税费收入，银行业关注存款额、贷款额、交易量等，证券经纪行业关注股民数和交易额。纪行业关注股民数和交易额。关于危害后果关于危害后果 引起法律纠纷是比较严重的影响，在较轻的程度时可能引起法律纠纷是比较严重的影响，在较轻的程度时可能表现为投诉、索赔、媒体曝光等形式。表现为投诉、

39、索赔、媒体曝光等形式。 导致财产损失，包括系统资产被破坏的直接损失、业务导致财产损失，包括系统资产被破坏的直接损失、业务量下降带来的损失、直接的资金损失、为客户索赔所支量下降带来的损失、直接的资金损失、为客户索赔所支付的资金等，以及由于信誉下降、单位形象降低、客户付的资金等，以及由于信誉下降、单位形象降低、客户关系损失等导致的间接经济损失。关系损失等导致的间接经济损失。 直接造成人员伤亡，例如医疗服务系统，公安行业的某直接造成人员伤亡，例如医疗服务系统，公安行业的某些系统等。些系统等。 造成社会不良影响，包括在社会风气、执政信心等方面造成社会不良影响，包括在社会风气、执政信心等方面的影响。的影

40、响。定级阶段定级阶段- -关于行业定级指导意见关于行业定级指导意见北航计算机学院北航计算机学院44直接的结果和间接的影响直接的结果和间接的影响: : 威胁直接作用的结果信息系统的破坏威胁直接作用的结果信息系统的破坏, ,但是确定对客体侵但是确定对客体侵害的程度时，必须考虑间接的对客体产生的侵害和影响。害的程度时，必须考虑间接的对客体产生的侵害和影响。考虑的次序：考虑的次序： 按照国家安全按照国家安全社会秩序和公共利益社会秩序和公共利益-公民、法人和组公民、法人和组织的合法利益的顺序考虑织的合法利益的顺序考虑定级阶段定级阶段- -关于侵害客体和侵害程度关于侵害客体和侵害程度北航计算机学院北航计算

41、机学院45定级阶段信息系统等级评审(1) (1) 在信息系统安全保护等级确定过程中，可以聘请专家进行在信息系统安全保护等级确定过程中，可以聘请专家进行咨询评审，并出具定级评审意见。对拟确定为第四级以上信咨询评审，并出具定级评审意见。对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当邀请国家信息息系统的，运营、使用单位或者主管部门应当邀请国家信息安全保护等级专家评审委员会评审，出具评审意见。评审意安全保护等级专家评审委员会评审，出具评审意见。评审意见及时反馈信息系统运营使用单位工作组。涉密信息系统按见及时反馈信息系统运营使用单位工作组。涉密信息系统按照国家保密局有关规定进行等级评审。

42、照国家保密局有关规定进行等级评审。 (2) (2) 信息系统运营使用单位参考专家定级评审意见，最终确信息系统运营使用单位参考专家定级评审意见，最终确定信息系统等级，形成定信息系统等级，形成定级报告定级报告。如果专家评审意见与。如果专家评审意见与运营使用单位意见不一致时，由运营使用单位自主决定系统运营使用单位意见不一致时，由运营使用单位自主决定系统等级，信息系统运营使用单位有上级主管部门的，应当经上等级，信息系统运营使用单位有上级主管部门的，应当经上级主管部门对安全保护等级进行审核批准。级主管部门对安全保护等级进行审核批准。北航计算机学院北航计算机学院46定级实例1 某省政府网站系统ZFWZ，用

43、于发布政务公开信息、地方行政法规和管理措施、领导讲话、政府办事流程、新闻发布、政府公告、举报投诉、省内经济形势介绍、电子表单下载等信息，服务对象主要是省内企业和市民。 ZFWZ系统是省政府对社会办公的窗口，其中发布的信息内容代表政府形象和体现政府的社会管理和社会服务职能，因此该信息安全被破坏可能对社会秩序造成一定影响；由于省政府网站的访问量并不很大，信息被篡改可能造成的不良社会影响不会很大，因此对社会秩序的侵害程度为一般损害；查表知ZFWZ系统的业务信息安全保护等级为第二级，如下表所示。业务信息安全被破坏所侵害的客体业务信息安全被破坏所侵害的客体对相应客体的侵害程度对相应客体的侵害程度一般损害

44、一般损害严重损害严重损害特别严重损害特别严重损害公民、法人和其他组织的合法权益公民、法人和其他组织的合法权益第一级第一级第二级第二级第二级第二级社会秩序、公共利益社会秩序、公共利益第二级第二级第三级第三级第四级第四级国家安全国家安全第三级第三级第四级第四级第五级第五级北航计算机学院北航计算机学院47北航计算机学院北航计算机学院48定级实例2 某省电力集团公司的省级电力实时监控系统，主要运行调度自动化控制系统运行调度自动化控制系统和能量管理系统（和能量管理系统（SCADA/EMSSCADA/EMS）DDZDHDDZDH，负责省级超高压输电变电站的调度控制和数，负责省级超高压输电变电站的调度控制和

45、数据采集。系统实时性要求极高，达到秒级。据采集。系统实时性要求极高，达到秒级。 电力系统是国家重要基础设施，省级电力系统是国家重要基础设施，省级DDZDHDDZDH系统负责全省范围内的电力调度系统负责全省范围内的电力调度，调度控制指令或调度程序被修改，可能造成的停电事故会影响几乎所有行业的正，调度控制指令或调度程序被修改，可能造成的停电事故会影响几乎所有行业的正常生产和工作，其所侵害的客体为社会秩序和公共利益；调度控制指令或调度程序常生产和工作，其所侵害的客体为社会秩序和公共利益；调度控制指令或调度程序被修改可能造成全省范围大面积停电、人员伤亡和巨额财产损失，同时对其它行业被修改可能造成全省范

46、围大面积停电、人员伤亡和巨额财产损失，同时对其它行业的生产和工作造成非常严重的影响，因此对社会秩序和公共利益的侵害程度为特别的生产和工作造成非常严重的影响，因此对社会秩序和公共利益的侵害程度为特别严重损害；查表知严重损害；查表知DDZDHDDZDH系统的业务信息安全保护等级为第四级，如下表所示。系统的业务信息安全保护等级为第四级，如下表所示。业务信息安全被破坏时所侵害的客体业务信息安全被破坏时所侵害的客体对相应客体的侵害程度对相应客体的侵害程度一般损害一般损害严重损害严重损害特别严重损害特别严重损害公民、法人和其他组织的合法权益公民、法人和其他组织的合法权益第一级第一级第二级第二级第二级第二级

47、社会秩序、公共利益社会秩序、公共利益第二级第二级第三级第三级第四级第四级国家安全国家安全第三级第三级第四级第四级第五级第五级北航计算机学院北航计算机学院49定级参考原则n 政府部门：对外服务的系统一般为二级政府部门：对外服务的系统一般为二级, ,对内服务对内服务一般为三级一般为三级n 银行：数据中心的系统一般为三级银行：数据中心的系统一般为三级, ,下级系统和内下级系统和内部办公系统一般为二级部办公系统一般为二级n 电力系统：的电力调度系统为四级电力系统：的电力调度系统为四级, ,其他的系统二其他的系统二、三级、三级n 证券：生产系统一般为三级，内部办公系统为二级证券：生产系统一般为三级，内部

48、办公系统为二级n 电信、广电行业：公用通信网的基础信息网络一般电信、广电行业：公用通信网的基础信息网络一般定位三级定位三级 信息系统等级保护建设，经过信息系统的运营、管理部信息系统等级保护建设，经过信息系统的运营、管理部门以及有关政府部门的批准，并列入信息系统运营单位或政门以及有关政府部门的批准，并列入信息系统运营单位或政府计划的过程。府计划的过程。一项一项基本国策基本国策，一项，一项基本制度基本制度，具有，具有政策的强制性政策的强制性 流程二：等保建设立项流程二：等保建设立项是办公电子化、业务信息化发展必需的保障手段是办公电子化、业务信息化发展必需的保障手段用户业务开展的实际需求用户业务开展

49、的实际需求北航计算机学院北航计算机学院50需请需请相应级别相应级别、具有资质具有资质的测评中心进行风险评估；的测评中心进行风险评估； 流程三：风险评估流程三：风险评估 风险评估是对信息资产风险评估是对信息资产面临的威胁、存在的弱点、面临的威胁、存在的弱点、造成的影响造成的影响，以及三者综合作用而带来风险的可能性的，以及三者综合作用而带来风险的可能性的评估。风险评估是确定信息安全需求的一个重要途径。评估。风险评估是确定信息安全需求的一个重要途径。风险评估完成后出具风险评估完成后出具评估报告评估报告和和整改意见整改意见；北航计算机学院北航计算机学院51整改意见整改意见需求分析需求分析总体设计总体设

50、计详细设计详细设计应急方案应急方案灾备方案灾备方案方案与产品方案与产品安全性论证安全性论证项目预算项目预算项目实施项目实施方案设计方案设计产品选型产品选型技术指标技术指标信息系统等保体系信息系统等保体系建设目标建设目标 流程四：等保方案设计思路流程四：等保方案设计思路北航计算机学院北航计算机学院52重视安全重视安全 技管兼行技管兼行遵循政策遵循政策 符合标准符合标准需求主导需求主导 突出重点突出重点整体规划整体规划 分步实施分步实施 流程四：等保方案设计原则流程四：等保方案设计原则全局管理全局管理 统一标准统一标准适度安全适度安全 减少影响减少影响北航计算机学院北航计算机学院53满足政策要求满