等级保护宣讲-ppt课件.ppt

1、等级保护交流汇报人：CONTENTS1324背景知识等级保护流程等级保护政策标准等级保护解决方案1背景知识PPT模板下载： 行业PPT模板： 节日PPT模板： PPT素材下载：PPT背景图片： PPT图表下载： 优秀PPT下载： PPT教程： Word教程： Excel教程： 资料下载： PPT课件下载： 范文下载： 试卷下载： 教案下载： PPT论坛： 信息安全无处不在1背景知识何谓信息安全？信息安全，采取措施保护信息资产，使之不因偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行，使安全事件对业务造成的影响减到最小，确保组织业务运行的连续性。 拒绝服务拒绝服务逻

2、辑炸弹逻辑炸弹黑客渗透黑客渗透内部人员威胁内部人员威胁木马后门木马后门病毒和蠕虫病毒和蠕虫社会工程社会工程系统系统BugBug硬件故障硬件故障网络通信故障网络通信故障供电中断供电中断失火失火雷雨雷雨地震地震1背景知识我们时刻都面临来自内外部的威胁1背景知识我们怎么入手信息安全？信息安全的概念太宽泛，以至于我们在具体项目中无从下手？切入点：低端手法：和项目主体业务系统打包 高端手法：信息安全集成（等级保护）独立运作为什么选择等级保护？ 1、国家政策 2、安全不是产品的简单堆积，也不是一次性的静态过程，它是人员、技术、操作三者紧密结合的系统工程，是不断演进、循环发展的动态过程 3、信息安全是一把手

3、工程，信息安全是全员工程，信息安全工作是三分技术、七分管理。 高层牵头高层牵头领导负责领导负责全员参与全员参与专人管理专人管理1背景知识等级保护的含义 信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信信息系统息系统分等级实行安全保护，对信息系统中使用的信息安全产品信息安全产品实行分等级管理，对信息系统中发生的信息安全事件信息安全事件分等级响应、处置。1背景知识等级保护是政府推动信息安全建设的唯一选择利用等级保护开展安全工作是国家的唯一选择政策支撑等级保护制度是所有安全中发文次数最多最权威的制度，22年历史；等级保护是唯一建立系列标准覆

4、盖实施落地全流程，并向云移工扩展的安全管理要求。执行队伍 建立由中央、省、市、县四级的网络警察队伍，警察的执行力度在所有国家机关中最强。全国133家测评中心的技术支撑单位；1背景知识用户开展等级保护建设的意义安全安全体系体系责任分担以等级保护为标准开展安全建设，让安全建设更加体系化，可以从物理、网络、主机、应用和数据多个方面成体系的进行安全建设，再也不是头痛医头脚痛医脚，对本单位的安全建设有整体的规划和思路。安全建设体系化责任更清晰完成等保测评意味着公安机关认可你的安全现状，一旦发生安全事件是意外。如果没有进行等级保护测评意味着你没有达到国家要求，一旦发生安全事件要自己承担相关责任。1背景知识

5、开展等级保护建设对我们的益处以等级保护为标准开展安全建设，涉及物理、网络、主机、应用等纬度，容易运作大的项目机会，带来持续项目产出。等保建设扩大了需求从整网安全角度出发，帮助用户规划网络安全，通过与客户深入沟通，匹配业务建设，增加客户黏性。深入挖掘用户需求提升单位专业形象通过等级保护体系化建设项目帮助合作伙伴树立专业的安全形象。 第一阶段：试点阶段主要是：信息化较为发达的部委的重要信息系统第二阶段：初步取得成绩基本完成大部分国家部委、重要省厅单位的等保建设。全国范围内锤炼出一支能测评能建设的队伍。第三阶段：省厅单位覆盖，并由政府扩展至医疗、教育和国企、金融、运营商第四阶段：随着国家整体安全规划

6、，政府行业将覆盖地级市和县级单位。这些等级保护建设将以二级为主。第五阶段：由于公安的强势管理和重视安全的企业的自我觉醒，民企发现，做安全，除等保外没有别的选择。目前，全国范围内正在处于第三阶段，落后地区第二阶段还只完成部分，发达地区已经尝试从第三阶段迈入第四第五阶段。四五阶段可能并行1背景知识等级保护的发展趋势2等级保护政策标准PPT模板下载： 行业PPT模板： 节日PPT模板： PPT素材下载：PPT背景图片： PPT图表下载： 优秀PPT下载： PPT教程： Word教程： Excel教程： 资料下载： PPT课件下载： 范文下载： 试卷下载： 教案下载： PPT论坛： 2政策体系2标准体

7、系2标准体系n基础类基础类 计算机信息系统安全保护计算机信息系统安全保护等级划分准则等级划分准则GB 17859-1999GB 17859-1999 信息系统安全等级保护信息系统安全等级保护实施指南实施指南 GB/T25058-2010 GB/T25058-2010n应用类应用类 定级：信息系统安全保护定级：信息系统安全保护等级定级指南等级定级指南GB/T 22240-2008 GB/T 22240-2008 建设：信息系统安全等级保护建设：信息系统安全等级保护基本要求基本要求GB/T 22239-2008 GB/T 22239-2008 信息系统通用安全技术要求信息系统通用安全技术要求GB/

8、T 20271-2006 GB/T 20271-2006 信息系统等级保护安全设计技术要求信息系统等级保护安全设计技术要求 测评：信息系统安全等级保护测评：信息系统安全等级保护测评要求测评要求 GB/T28448-2012GB/T28448-2012 信息系统安全等级保护测评过程指南信息系统安全等级保护测评过程指南 GB/T28449-2012GB/T28449-2012 管理：信息系统安全管理要求管理：信息系统安全管理要求GB/T 20269-2006 GB/T 20269-2006 信息系统安全工程管理要求信息系统安全工程管理要求GB/T 20282-2006 GB/T 20282-200

9、6 3等级保护流程PPT模板下载： 行业PPT模板： 节日PPT模板： PPT素材下载：PPT背景图片： PPT图表下载： 优秀PPT下载： PPT教程： Word教程： Excel教程： 资料下载： PPT课件下载： 范文下载： 试卷下载： 教案下载： PPT论坛： 等级保护的思路l等级保护思想的基础是等级保护思想的基础是分级管理思想分级管理思想。即通过分级管理对不同安全需。即通过分级管理对不同安全需求的系统进行安全保护，从而实现对整个信息系统的适当的安全保护求的系统进行安全保护，从而实现对整个信息系统的适当的安全保护和管理，避免对系统保护过渡或者保护不足。和管理，避免对系统保护过渡或者保护

10、不足。不是安全产品的堆积。不是安全产品的堆积。 防火墙防火墙+IDS+IDS+防病毒防病毒+ +扫描器不等于等级保护扫描器不等于等级保护等级保护能有效阻止外部攻击的同时，更能有效防范内部的非法行为。等级保护能有效阻止外部攻击的同时，更能有效防范内部的非法行为。等级保护的核心是为受管理的系统明确定义所需最低的安全保护能力。等级保护的核心是为受管理的系统明确定义所需最低的安全保护能力。这个能力可以认为是一个最基本的安全基线。这个能力可以认为是一个最基本的安全基线。3等保工作3等保工作等保工作新系统上线、网络架构调整时，都要再重新做等保规划建设；等保建设是持续性的，每年测评只要有问题，就要做整改。等

11、级保护建设中的角色公安机关备案的测评机构主要承担系统测评的工作，只有在当地公安机关备案的测评机构才可以开展测评工作。集成商、安全厂商根据咨询服务单位提供的整改方案，要采购相应的安全设备和服务，这些内容由集成商和安全厂商提供。公安机关网安部门主要承担监督检查的工作，同时负责管理测评机构。各单位的系统定级备案要到公安机关网安部门进行。提供咨询服务的单位对于用户单位完成定级备案、差距评估和整改方案编写，需要有一家单位提供咨询和服务。免费&收费。测评机构集成实施咨询服务公安机关3等保工作系统定级安全建设整改等级测评安全自查与监督检查系统备案 信息系统定级原则：“自主定级、专家评审、主管部门审批、公安机

12、关审核”。 定级工作流程：摸底调查、确定定级对象、对信息系统进行重要性分析、确定信息系统安全保护等级、组织专家评审、主管部门审批、公安机关审核。3等保工作3等保工作等级保护的定级要素要素一： 受侵害的客体公民、法人和其他组织的合法权益社会秩序和公共利益国家安全要素二：对客体的侵害程度一般损害严重损害特别严重损害3等保工作等级保护的等级划分第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全； 第三级，信息系统受到

13、破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 3等保工作等级保护的定级受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序和公共利益第二级第三级第四级国家安全第三级第四级第五级系统定级安全建设整改等级测评安全自查与监督检查系统备案1、信息系统备案第二级以上信息系统，由信息系统运营使用单位到所在地设区的市级以上公安机关网络安全保卫部门办理备案手续，填写信息系统安

14、全等级保护备案表。隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部备案；其他信息系统向北京市公安局备案。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区的市级以上公安机关备案。各部委统一定级信息系统在各地的分支系统，即使是上级主管部门定级的，也要到当地公安网络安全保卫部门备案。2、受理备案与审核公安机关对备案材料进行审核，定级准确、材料符合要求的颁发由公安部统一监制的备案证明。发现定级不准的，通知备案单位重新审核确定。3、备案管理将备案信息系统录入重要信息系统安全管理系统进行管理。备案材料1信息系统安全等级保护备案表

15、二级以上2系统拓扑结构及说明三级以上3系统安全组织机构和管理制度4系统安全保护设施设计实施方案或者改建实施方案5系统使用的信息安全产品清单及其认证、销售许可证明6测评后符合系统安全保护等级的技术检测评估报告7信息系统安全保护等级专家评审意见8主管部门审核批准信息系统安全保护等级的意见3实施过程系统定级安全建设整改等级测评安全自查与监督检查系统备案范围：已备案的第二级（含）以上信息系统纳入安全建设整改的范围。尚未开展定级备案的信息系统，要先定级备案，定级不准的要先纠正，再开展安全建设整改。新建系统要同步开展安全建设工作。步骤：第一步：制定信息系统安全建设整改工作规划，对信息系统安全建设整改工作进

16、行总体部署；第二步：开展信息系统安全保护现状分析，从管理和技术两个方面确定信息系统安全建设整改需求；第三步：确定安全保护策略，制定信息系统安全建设整改方案；第四步：开展信息系统安全建设整改工作，建立并落实安全管理制度，落实安全责任制，建设安全设施，落实安全措施；第五步：开展安全自查和等级测评，及时发现信息系统中存在安全隐患和威胁，进一步开展安全建设整改工作。3等保工作系统定级安全建设整改等级测评安全自查与监督检查系统备案3等保工作不做硬性要求3等保工作物理位置的选择物理位置的选择基本防护能力高层、地下室高层、地下室物理访问控制物理访问控制基本出入控制分区域管理分区域管理在机房中的活动电子门禁电

17、子门禁防盗窃和防破坏防盗窃和防破坏存放位置、标记标识监控报警系统监控报警系统防雷击防雷击建筑防雷、机房接地设备防雷设备防雷防火防火灭火设备、自动报警自动消防系统自动消防系统区域隔离措施区域隔离措施3等保工作物理安全的整改要点（10个）防防静电静电关键设备主要设备主要设备防静电地板防静电地板电力供应电力供应稳定电压、短期供应主要设备主要设备冗余冗余/并行线路并行线路备用供电系统备用供电系统电磁防护电磁防护线缆隔离接地防干扰接地防干扰电磁屏蔽电磁屏蔽防水和防潮防水和防潮温湿度控制温湿度控制3等保工作物理安全的整改要点（10个）系统定级安全建设整改等级测评安全自查与监督检查系统备案3等保工作结构安全

18、结构安全关键设备冗余空间主要设备冗余空间主要设备冗余空间访问控制访问控制访问控制设备（用户、网段）应用层协议过滤应用层协议过滤拨号访问限制会话终止会话终止子网/网段控制核心网络带宽整体网络带宽整体网络带宽重要网段部署重要网段部署路由控制路由控制带宽分配优先级带宽分配优先级端口控制端口控制最大流量数及最大连接数最大流量数及最大连接数防止地址欺骗防止地址欺骗3等保工作网络安全的整改要点（7个）安全审计安全审计日志记录审计报表审计报表边界完整性检查边界完整性检查内部的非法联出、外部的非法联入非授权设备私自外联非授权设备私自外联审计记录的保护审计记录的保护定位及阻断定位及阻断入侵防范入侵防范检测常见攻

19、击记录、报警记录、报警恶意代码防范恶意代码防范网络边界处防范网络边界处防范网络设备防护网络设备防护基本的登录鉴别组合鉴别技术组合鉴别技术特权用户的权限分离特权用户的权限分离3等保工作网络安全的整改要点（7个）系统定级安全建设整改等级测评安全自查与监督检查系统备案3等保工作身份鉴别身份鉴别基本的身份鉴别访问控制访问控制安全策略管理用户的权限分离管理用户的权限分离特权用户的权限分离安全审计安全审计服务器基本运行情况审计审计报表审计报表剩余信息保护剩余信息保护空间释放及信息清除空间释放及信息清除组合鉴别技术组合鉴别技术敏感标记的设置及操作敏感标记的设置及操作审计记录的保护审计记录的保护重要客户端的审

20、计重要客户端的审计3等保工作主机安全的整改要点（7个）入侵防范入侵防范最小安装原则重要服务器：检测、记录、报警重要服务器：检测、记录、报警恶意代码防范恶意代码防范主机与网络的防范产品不同主机与网络的防范产品不同资源控制资源控制监视重要服务器监视重要服务器最小服务水平的检测及报警最小服务水平的检测及报警升级服务器重要程序完整性重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限制3等保工作主机安全的整改要点（7个）系统定级安全建设整改等级测评安全自查与监督检查系统备案3等保工作身份鉴别身份鉴别基本的身份鉴别访问控制访问控制安全策略最小授权原则安全审计安全审计运行情况审计（用户级

21、）审计报表审计报表剩余信息保护剩余信息保护空间释放及信息清除空间释放及信息清除组合鉴别技术组合鉴别技术敏感标记的设置及操作敏感标记的设置及操作审计过程的保护审计过程的保护通信完整性通信完整性校验码技术密码技术密码技术审计记录的保护抗抵赖抗抵赖3等保工作应用安全的整改要点（9个）软件容错软件容错自动保护功能自动保护功能资源控制资源控制资源分配限制、资源分配优先级资源分配限制、资源分配优先级最小服务水平的检测及报警最小服务水平的检测及报警数据有效性检验、部分运行保护对用户会话数及 系统最大并发会话数的限制通信保密性通信保密性初始化验证整个报文及会话过程加密整个报文及会话过程加密敏感信息加密3等保工

22、作应用安全的整改要点（9个）系统定级安全建设整改等级测评安全自查与监督检查系统备案3等保工作数据完整性数据完整性鉴别数据传输的完整性备份和恢复备份和恢复重要数据的备份各类数据传输及存储各类数据传输及存储异地备份异地备份网络冗余、硬件冗余网络冗余、硬件冗余本地完全备份本地完全备份硬件冗余检测和恢复检测和恢复数据保密性数据保密性鉴别数据存储的保密性各类数据的传输及存储各类数据的传输及存储每天每天1次次备份介质场外存放备份介质场外存放3等保工作数据安全的整改要点（3个）q 网络安全网络安全u防火墙防火墙u应用流量管理（应用流量管理（3 3级以上）级以上）u网络入侵检测和防御网络入侵检测和防御u病毒过

23、滤网关（病毒过滤网关（3 3级以上）级以上）u终端安全管理终端安全管理u网络审计网络审计u网闸（仅网闸（仅4 4级）级）u电子令牌电子令牌+Radius+Radius或或CACA认证（认证（3 3级以上，对网络管理员）级以上，对网络管理员）q 主机安全主机安全u电子令牌电子令牌+Radius+Radius或或CACA认证认证（3 3级以上，对系统管理员）级以上，对系统管理员）u主机加固系统（主机加固系统（3 3级以上）级以上）u终端安全管理终端安全管理u集中日志审计集中日志审计u数据库审计数据库审计u主机入侵检测（主机入侵检测（3 3级以上）级以上）u主机版防病毒软件主机版防病毒软件3等保工作

24、安全技术措施实现q 应用安全应用安全uCACA认证（认证（3 3级以上）级以上）u网络审计网络审计u集中日志审计集中日志审计uIPSEC/SSL VPNIPSEC/SSL VPNq 数据安全数据安全uIPSEC/SSL VPNIPSEC/SSL VPNu数据存储加密（数据存储加密（3 3级以上）级以上）u设备冗余设备冗余u异地灾备（仅异地灾备（仅4 4级）级）u数据备份和恢复（数据备份和恢复（3 3级以上）级以上）q 运维管理运维管理u安全管理系统（安全管理系统（3 3级以上级以上) )u网络漏洞扫描网络漏洞扫描uITIT管理系统（管理系统（3 3级以上级以上) ) 网络管理网络管理 主机管理

25、主机管理 应用监控应用监控3等保工作安全技术措施实现物理安全物理安全网络安全网络安全主机安全主机安全应用安全应用安全数据安全数据安全身份鉴别（身份鉴别（S）安全标记（安全标记（S）访问控制（访问控制（S）可信路径（可信路径（S）安全审计（安全审计（G）剩余信息保护（剩余信息保护（S）物理位置的选择（物理位置的选择（G）物理访问控制（物理访问控制（G）防盗窃和破坏防盗窃和破坏（G G）防雷防雷/火火/水水（G G）温湿度控制温湿度控制（G G）电力供应电力供应（A A）数据完整性（数据完整性（S）数据保密性（数据保密性（S）备份与恢复（备份与恢复（A）防静电防静电（G G）电磁防护电磁防护（S

26、S）入侵防范（入侵防范（G）资源控制（资源控制（A）恶意代码防范（恶意代码防范（G）结构安全（结构安全（G）访问控制（访问控制（G）安全审计（安全审计（G）边界完整性检查（边界完整性检查（S）入侵防范（入侵防范（G）恶意代码防范（恶意代码防范（G）网络设备防护（网络设备防护（G）身份鉴别（身份鉴别（S）剩余信息保护（剩余信息保护（S）安全标记（安全标记（S）访问控制（访问控制（S）可信路径（可信路径（S）安全审计（安全审计（G）通信完整性（通信完整性（S）通信保密性（通信保密性（S）抗抵赖（抗抵赖（G）软件容错（软件容错（A）资源控制（资源控制（A）技术要求技术要求防火墙UTM流量控制网络审计

27、日志审计终端安全管理IDS/IPS防病毒网关堡垒机安全加固服务网管系统数据库审计日志审计漏洞扫描堡垒机终端安全安管平台安全加固系统安全加固服务网管系统病毒软件PKI/CAWeb防火墙Web防篡改VPN安全加固服务VPN数据安全产品数据存储、备份3等保工作系统定级安全建设整改等级测评安全自查与监督检查系统备案系统定级安全建设整改等级测评安全自查与监督检查系统备案3等保工作管理制度管理制度管理机构管理机构人员管理人员管理系统建设管理系统建设管理系统运维管理系统运维管理环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备

28、份与恢复管理、安全事件处置、应急预案管理信息系统3等保工作管理要求方面的整改监管中心和安全管理监管中心和安全管理中心中心对安全设备统一管理设备管理设备管理监控设备维护安全设备策略管理安全设备策略管理明确维护管理要求，维护管理责任明确维护管理要求，维护管理责任网络安全管理网络安全管理应对漏洞扫描定期对网络系统进行漏洞扫描定期对网络系统进行漏洞扫描3等保工作管理要求方面的整改要点系统定级安全建设整改等级测评安全自查与监督检查系统备案 信息系统安全建设整改完成后要进行等级测评，在工程预算中应当包括等级测评费用。对第三级（含）以上信息系统每年要进行等级测评，并对测评费用做出预算。 在公安部备案的信息系

29、统应选择国家信息安全等级保护工作协调小组办公室推荐的等级测评机构实施等级测评；在省（区、市）、地市级公安机关备案的信息系统，备案单位应选择本省（区、市）信息安全等级保护工作协调小组办公室或国家信息安全等级保护工作协调小组办公室推荐的等级测评机构实施等级测评。 测评时机：建设整改后开展等级测评，检验整改效果。 测评频率：第三级以上定期；第二级参照。 测评费用：参照国家信息化项目人工计费标准或根据被测设备数量与测评项预算测评费用。 测评目的 一是掌握信息系统安全状况、排查系统安全隐患和薄弱环节、明确信息系统安全建设整改需求； 二是能够衡量出信息系统安全保护措施是否符合等级保护基本要求，是否具备了相

30、应等级的安全保护能力。3实施过程系统定级安全建设整改等级测评安全自查与监督检查系统备案 备案单位应定期开展自查，掌握信息系统安全状况、安全管理制度及技术保护措施的落实情况等。 行业主管部门定期组织对本行业、本部门等级保护工作开展情况进行检查，督促落实信息安全等级保护制度，达到重点督促，以点带面的目的。 第三级、第四级信息系统，由受理备案的公安机关进行检查。对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查，应当会同其主管部门进行。 公安机关监督检查内容包括： 等级保护工作部署和组织实施情况 信息系统安全等级保护定级备案情况 信息安全

31、设施建设情况和信息安全整改情况 运营、使用单位信息安全管理制度建立和措施落实情况 信息安全产品选择和使用情况 聘请测评机构开展技术测评工作情况 运营、使用单位对信息系统安全状况定期自查情况及其主管部门督导检查情况3实施过程4等级保护解决方案PPT模板下载： 行业PPT模板： 节日PPT模板： PPT素材下载：PPT背景图片： PPT图表下载： 优秀PPT下载： PPT教程： Word教程： Excel教程： 资料下载： PPT课件下载： 范文下载： 试卷下载： 教案下载： PPT论坛： 客客户为什么要做等保？定级备案后，要求三级系统每年进行一次系统测评。l 整改为了通过测评；l 整改是分步骤逐

32、步完成的，一般每年进行一次；l 新系统上线、网络架构调整时，都要再重新做等保规划建设；l 等保建设是持续性的，每年测评只要有问题，就要做整改。不通过系统测评，一旦发生安全事件，用户单位将承担主要责任，网监部门会直接进行比较严厉的处罚。定级定级备案备案安全安全整改整改系统系统测评测评上有政策要求，不做不行；同行都申请资金，不申请吃亏；免责，做了等保出安全事件是天灾（没有绝对的安全），但不做等保一旦出现安全事件就是人祸，必须自己承担相关责任。4解决方案定级备案-如何针对各类信息系统分解出定级对象-如何对各个系统进行合理的定级-不了解定级工作流程、难点和工作量-缺少国家及部下发文件的理解-缺少专业技

33、术人员的指导-不清楚提交哪些文档客户面临的问题客户面临的问题-分析国家、各种行业等级保护相关政策精神及要求-分析管理组织架构、业务要求、信息系统等特点，确定分析定级对象-基于定级指南协助系统负责人确定信息系统的等级，由主管部门的，应当经主管部门的审核批准，编写定级报告-当地同级公安机关提请备案，填写备案登记表，提交相关资料定级与备案定级与备案定级咨询定级咨询&备案服务备案服务4解决方案差距评估等级保护差距评估等级保护差距评估以信息系统为单位以信息系统为单位以基本要求为依据以基本要求为依据业务信息与系统服务关联分析业务信息与系统服务关联分析-根据系统所确定的安全等级从基本要求中选择相应等级的基本

34、安全需求-根据系统所面临的威胁特点调整安全要求，去掉不适用项-基本要求中某些地方的安全措施不能满足本单位信息系统的保护要求；没有提供所需要的保护措施的保护措施 -对比信息系统现状和安全要求之间的差距，确定不满足要求的安全项 1、确定信息系统的基本安全需求、确定信息系统的基本安全需求2、选择调整基本安全需求、选择调整基本安全需求 3、明确特殊明确特殊安全需求安全需求4、根据各项安全要求进行逐项分、根据各项安全要求进行逐项分析析确定不符合安全项确定不符合安全项现状梳理现状梳理明确安全建设需求明确安全建设需求1234解决方案差距评估的方法人工检查策略配置核查；版本补丁检查；安全基线检查；木马检查；漏

35、洞扫描主机漏洞扫描；应用漏洞扫描；源代码扫描；云平台扫描；渗透测试黑白结合安全漏洞专家定制工具多网络架构分析网络专家支持丰富经验支持安全访谈精心设计的问卷访谈内容覆盖面宽丰富的经验支持管理制度评估管理制度专家参与管理标准制度流程模板4解决方案安全整改安全策略配置20%35%30%15%针对用户单位实际情况和等级保护要求，制定相关设备的安全策略要求，并合理配置。安全加固针对差距评估中自身安全策略配置不当和版本补丁问题进行处理，包括调整自身安全策略、升级版本和打补丁。安全管理制度整理根据差距评估的结果，针对用户单位目前缺少的安全管理制度进行补充，并编写过程模板。安全设备采购部署根据设计方案内容，协

36、助用户单位完成安全设备的采购和部署。阶段成果：安全管理制度汇编、安全加固报告4解决方案系统测评-国家测评机构有哪些？测评流程是什么？-评测人员要对哪些方面进行测评？-针对测评，应提前准备哪些文档资料？-现场测评过程，需要哪些配合？客户面临的问题客户面临的问题-分析最新的国家等级保护相关政策精神及要求、上级机关等保工作要求-通过文档审阅、人员访谈、测试等方式，获得客户现有控制措施与等级基本要求之间的差距。-协助准备测评需要的资料-协助测评工作提供测评咨询服务提供测评咨询服务测评咨询测评咨询4解决方案运维阶段系统测评自查整改后，提交测评机构测评，根据最新测评要求，测评报告可通过分数显示每年的变化。

37、自查整改执行差距评估的工作，并根据差距评估进行整改方案编写，依照整改方案进行整改。测测评评自自查查整整改改根据信息安全等级保护管理办法（公通字200743号)要求，三级信息系统应每年进行一次自查，并根据自查问题进行整改，并且三级系统应每年进行一次测评。4解决方案等级保护二级、三级系统主要控制措施对比安全类别控制项主要安全措施二级三级物理安全物 理 访问控制机房安排专人负责，来访人员须审批和陪同重要区域配置门禁系统防 盗 窃和 防 破坏暴露在公共场所的网络设备须具备安全保护措施主机房安装监控报警系统防雷击机房计算机系统接地符合GB 500571994建筑物防雷设计规范中的计算机机房防雷要求机房电

38、源、网络信号线、重要设备安装有资质的防雷装置防火机房设置灭火设备和火灾自动报警系统机房配置自动灭火装置电 力 供应机房及关键设备应配置UPS备用电力供应医院重要科室应采用双回路电源供电环 境 监控机房设置温、湿度自动调节设施机房设置防水检测和报警设施对机房关键设备和磁介质实施电磁屏蔽4解决方案等级保护二级、三级系统主要控制措施对比4解决方案网络安全结构安全网络应按职能和重要程度不同划分网段重要网段之间应采用技术隔离，如防火墙访问控制网络边界部署防火墙或网闸安全审计网络日志审计、网络运维管理安全审计边界完整性检查准入控制系统 实现准入控制、非法外联检查准入控制系统 非法外联可阻断入侵防范入侵检测

39、系统/入侵防御系统恶意代码防范防病毒网关主机安全入侵防范采用服务器安全加固安全审计采用终端管理系统实现安全审计恶意代码防范防病毒软件应用安全身份鉴别采用双因素如数字证书认证措施安全审计安全审计系统数据安全与备份恢复备份与恢复本地数据备份与恢复硬件冗余关键网络设备、线路和服务器硬件冗余异地备份异地数据备份等级保护二级和三级系统涉及主要安全产品对比4解决方案方案设计：二级典型4解决方案方案设计：三级典型4解决方案 涉密网（分级保护）涉密网（分级保护）非涉密网（等级保护）非涉密网（等级保护）哪些客户会做等保？军网军网4解决方案等保与分保的区别基于等级保护生命周期的安全服务系统定级安全建设整改等级测评安全自查与监督检查系统备案定级咨询服务安全规划与整改方案设计服务整改集成实施服务协助测评服务系统调查系统定级定级报告专家评审协助备案安全需求分析安全策略设计解决方案设计安全建设规划技术整改管理整改安全加固安全培训测评准备协助测评风险评估服务差距评估服务测评准备方案编制现场评估报告编制安全巡检应急响应安全通告售后服务安全运维服务4解决方案4解决方案安全服务与等级保护之间的关系