教育行業(yè)等級保護二級解決方案v-文庫吧
2025-04-19 04:54 本頁面
【正文】 政策依據(jù)n 《中華人民共和國計算機信息系統(tǒng)安全保護條例 》（國務(wù)院147號令）n 《關(guān)于轉(zhuǎn)發(fā)國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見的通知）(中辦[2003]27號文件)n 《關(guān)于印發(fā)信息安全等級保護工作的實施意見的通知》(公通字[2004]66號文件)n 《關(guān)于印發(fā)2006—2020年國家信息化發(fā)展戰(zhàn)略的通知》(中辦發(fā)〔2006〕11號)n 《關(guān)于印發(fā)信息安全等級保護管理辦法的通知》（公通字[2007]43號）n 《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》（公通字[2007]861號）n 《信息安全等級保護備案實施細則》（公信安【2007】1360號）n 《公安機關(guān)信息安全等級保護檢查工作規(guī)范》（公信安【2008】736號）n 《關(guān)于開展信息安全等級保護安全建設(shè)整改工作的指導(dǎo)意見》（公信安[2009]1429號）n 《關(guān)于進一步推進中央企業(yè)信息安全等級保護工作的通知》(公通字[2010]70號)n 《衛(wèi)生部辦公廳關(guān)于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知》 （衛(wèi)辦綜函〔2011〕1126號）（以下簡稱1126號文件）n 《衛(wèi)生行業(yè)信息安全等級保護工作的指導(dǎo)意見》的通知（衛(wèi)辦發(fā)〔2011〕85號）（以下簡稱85號文件）n 各地方、行業(yè)相關(guān)政策要求n 等等 標準依據(jù)n GB 178591999 《計算機信息系統(tǒng)安全保護等級劃分準則》n GB/T 222402008《信息安全技術(shù) 信息系統(tǒng)安全保護等級定級指南》n GB/T 222392008《信息安全技術(shù) 信息系統(tǒng)安全等級保護基本要求》n GB/T 250582010《信息安全技術(shù) 信息系統(tǒng)安全等級保護實施指南》n GB/T250702010 《信息安全技術(shù) 信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》n 信息安全技術(shù)《信息系統(tǒng)安全等級保護測評要求》n GB/T 202702006 《信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》n GB/T 202712006 《信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求》n GB/T 202722006 《信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求》n GB/T 202732006 《信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)通用安全技術(shù)要求》n GB/T 202822006《信息系統(tǒng)安全工程管理要求》n GA/T6712006 《信息安全技術(shù) 終端計算機系統(tǒng)安全等級技術(shù)要求》n GA/T 7092007 《信息安全技術(shù) 信息系統(tǒng)安全等級保護基本模型》n ISO/IEC 27000系列 《信息系統(tǒng)安全管理體系標準》n 等等 咨詢服務(wù)原則在本次等級保護咨詢方案的設(shè)計應(yīng)遵從以下原則：n 最小影響原則：應(yīng)盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運行，不能對現(xiàn)有網(wǎng)絡(luò)和系統(tǒng)的運行和業(yè)務(wù)的正常提供產(chǎn)生明顯影響；n 標準性原則：方案的設(shè)計與實施應(yīng)依據(jù)國內(nèi)、國際、等級化保護相關(guān)要求、相關(guān)標準進行；n 規(guī)范性原則：工作中的過程和文檔，具有很好的規(guī)范性，可以便于項目的跟蹤和控制；n 可控性原則：方法和過程要在雙方認可的范圍之內(nèi)，安全服務(wù)的進度要按照進度表進度的安排，保證學(xué)校對于服務(wù)工作的可控性；n 整體性原則：應(yīng)從各個方面整體考慮，包括了安全涉及的各個層面，避免由于遺漏造成未來的安全隱患；n 保密性原則：對過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴格保密， 所有參與項目人員均有保密協(xié)議。 等級保護咨詢服務(wù)介紹“等級化”設(shè)計方法，是根據(jù)需要保護的信息系統(tǒng)確定不同的安全等級，根據(jù)安全等級確定不同等級的安全目標，形成不同等級的安全措施進行保護。等級保護的精髓思想就是“等級化”。等級保護可以把業(yè)務(wù)系統(tǒng)、信息資產(chǎn)、安全邊界等進行“等級化”，分而治之，從而實現(xiàn)信息安全等級保護的“等級保護、適度安全”思想。整體的安全保障體系包括技術(shù)和管理兩大部分，其中技術(shù)部分根據(jù)《信息系統(tǒng)安全等級保護基本要求》分為物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全五個方面進行建設(shè)；而管理部分根據(jù)《信息系統(tǒng)安全等級保護基本要求》則分為安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理五個方面。整個安全保障體系各部分既有機結(jié)合，又相互支撐。之間的關(guān)系可以理解為“構(gòu)建安全管理機構(gòu)，制定完善的安全管理制度及安全策略，由相關(guān)人員，利用技術(shù)工手段及相關(guān)工具，進行系統(tǒng)建設(shè)和運行維護?！备鶕?jù)等級化安全保障體系的設(shè)計思路，等級保護的設(shè)計與實施通過以下步驟進行：1. 系統(tǒng)識別與定級確定保護對象，通過分析系統(tǒng)所屬類型、所屬信息類別、服務(wù)范圍以及業(yè)務(wù)對系統(tǒng)的依賴程度確定系統(tǒng)的等級。通過此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的等級，為下一步安全域設(shè)計、安全保障體系框架設(shè)計、安全要求選擇以及安全措施選擇提供依據(jù)。2. 安全域設(shè)計根據(jù)第一步的結(jié)果，通過分析系統(tǒng)業(yè)務(wù)流程、功能模塊，根據(jù)安全域劃分原則設(shè)計系統(tǒng)安全域架構(gòu)。通過安全域設(shè)計將系統(tǒng)分解為多個層次，為下一步安全保障體系框架設(shè)計提供基礎(chǔ)框架。3. 確定安全域安全要求參照國家相關(guān)等級保護安全要求，設(shè)計不同安全域的安全要求。通過安全域適用安全等級選擇方法確定系統(tǒng)各
公司管理相關(guān)推薦
鄂ICP備17016276號-1