等級(jí)保護(hù)實(shí)施技術(shù)環(huán)節(jié)說(shuō)明-免費(fèi)閱讀
【正文】 將未實(shí)現(xiàn)的安全技術(shù)要求轉(zhuǎn)化為相關(guān)安全產(chǎn)品的功能 /性能指標(biāo)要求，在適當(dāng)?shù)奈锢?/邏輯位置對(duì)安全產(chǎn)品進(jìn)行部署。 缺乏相應(yīng)產(chǎn)品實(shí)現(xiàn)安全控制要求。 系統(tǒng)建設(shè)階段 保護(hù)方案設(shè)計(jì) 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 52 本節(jié)的目的是針對(duì)已建成并投入運(yùn)行的系統(tǒng)如何找出現(xiàn)有安全防護(hù)與相應(yīng)等級(jí)基本要求的差距，如何根據(jù)差距分析結(jié)果設(shè)計(jì)系統(tǒng)的改建方案，使其能夠指導(dǎo)該系統(tǒng)后期具體的改建工作，逐步達(dá)到相應(yīng)等級(jí)系統(tǒng)的保護(hù)能力。 – 局域網(wǎng)內(nèi)部安全域之間互聯(lián)的抽象處理 – 局域網(wǎng)之間安全域互聯(lián)的抽象處理 – 局域網(wǎng)安全域與外部單位互聯(lián)的抽象處理 – 安全域內(nèi)部抽象處理 – 信息系統(tǒng)抽象模型描述 系統(tǒng)建設(shè)階段 保護(hù)方案設(shè)計(jì) 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 43 系統(tǒng)建設(shè)階段 保護(hù)方案設(shè)計(jì) 四級(jí)安全域 三級(jí)安全域 二級(jí)安全域 一級(jí)安全域 局域網(wǎng)內(nèi)部安全域之間互聯(lián)的抽象處理 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 44 系統(tǒng)建設(shè)階段 保護(hù)方案設(shè)計(jì) 四級(jí)安全域 三級(jí)安全域 二級(jí)安全域 一級(jí)安全域 三級(jí)安全域 二級(jí)安全域 一級(jí)安全域 四級(jí)安全域 雙向訪問(wèn) 單向推送 局域網(wǎng)之間安全域互聯(lián)的抽象處理 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 45 系統(tǒng)建設(shè)階段 保護(hù)方案設(shè)計(jì) 四級(jí)安全域 三級(jí)安全域 二級(jí)安全域 一級(jí)安全域 外部機(jī)構(gòu) /單位 國(guó)際互聯(lián)網(wǎng) 雙向推送 局域網(wǎng)安全域與外部單位互聯(lián)的抽象處理 雙向訪問(wèn) 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 46 制定總體安全策略 規(guī)則 1 通過(guò)骨干網(wǎng) /城域網(wǎng)只能建立同級(jí)安全域的連接，實(shí)現(xiàn)上、下級(jí)單位的同級(jí)安全域的互接； 規(guī)則 2 4級(jí)安全域通過(guò)專網(wǎng)的 VPN通道進(jìn)行數(shù)據(jù)交換； 3級(jí)安全域可以通過(guò)公網(wǎng)的 VPN通道進(jìn)行數(shù)據(jù)交換； 規(guī)則 3 4級(jí)安全域不能與 2級(jí)安全域、 1級(jí)安全域直接連接； 3級(jí)安全域不能與 1級(jí)安全域直接連接； 規(guī)則 4 只有 1級(jí)安全域可以直接訪問(wèn) Inter?？傮w設(shè)計(jì)指導(dǎo)全局，一般針對(duì)整個(gè)單位，詳細(xì)設(shè)計(jì)指導(dǎo)具體項(xiàng)目的建設(shè)實(shí)施。 – 第二步 根據(jù)定級(jí)過(guò)程中確定業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)，確定該信息系統(tǒng)的安全需求類。 系統(tǒng)的安全保護(hù)等級(jí)與這兩者的關(guān)系是： 系統(tǒng)的安全保護(hù)等級(jí) =L (信息等級(jí)，服務(wù)等級(jí) ) =Max(信息等級(jí)，服務(wù)等級(jí)） 例如： L(3,1)=L(3,2)= L(3,3)= L(1,3)= L(2,3)= 3 系統(tǒng)建設(shè)階段 需求分析方法 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 34 一、 選擇、調(diào)整基本安全要求 形成了 5個(gè)等級(jí)， 25個(gè)安全需求類。 定級(jí)階段 關(guān)于定級(jí)過(guò)程 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 29 識(shí)別信息 – 調(diào)查了解定級(jí)對(duì)象信息系統(tǒng)所處理的信息，了解單位對(duì)信息的三個(gè)安全屬性的需求，了解不同業(yè)務(wù)數(shù)據(jù)在其保密性、完整性和可用性被破壞后在單位職能、單位資金、單位信譽(yù)、人身安全等方面可能對(duì)國(guó)家、社會(huì)、本單位造成的影響，對(duì)影響程度的描述應(yīng)盡可能量化。 兩個(gè)信息系統(tǒng)邊界存在共用設(shè)備時(shí)，共用設(shè)備的安全保護(hù)等級(jí)按兩個(gè)信息系統(tǒng)安全保護(hù)等級(jí)較高者確定。 定級(jí)階段 關(guān)于定級(jí)對(duì)象確定 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 22 一、定級(jí)對(duì)象的三個(gè)條件 承載相對(duì)獨(dú)立的業(yè)務(wù)應(yīng)用 – 定級(jí)對(duì)象承載“相對(duì)獨(dú)立”的業(yè)務(wù)應(yīng)用是指其中的一個(gè)或多個(gè)業(yè)務(wù)應(yīng)用的主要業(yè)務(wù)流程、部分業(yè)務(wù)功能獨(dú)立，同時(shí)與其他信息系統(tǒng)的業(yè)務(wù)應(yīng)用有少量的數(shù)據(jù)交換，定級(jí)對(duì)象可能會(huì)與其他業(yè)務(wù)應(yīng)用共享一些設(shè)備，尤其是網(wǎng)絡(luò)傳輸設(shè)備。例如電力行業(yè)關(guān)注發(fā)電量和用電量，稅務(wù)行業(yè)關(guān)注稅費(fèi)收入，銀行業(yè)關(guān)注存款額、貸款額、交易量等，證券經(jīng)紀(jì)行業(yè)關(guān)注股民數(shù)和交易額。公共利益是指不特定的社會(huì)成員所共同享有的，維持其生產(chǎn)、生活、教育、衛(wèi)生等方面的利益。 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 6 實(shí)施指南描述特點(diǎn) 階段 – 過(guò)程 ? 活動(dòng) – 子活動(dòng) 例如 : 信息系統(tǒng)定級(jí) – 信息系統(tǒng)分析 ? 系統(tǒng)識(shí)別和描繪 – 識(shí)別信息系統(tǒng)的基本信息 – 識(shí)別信息系統(tǒng)的管理框架 – … ? 信息系統(tǒng)劃分 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 7 定級(jí)階段相關(guān)技術(shù)環(huán)節(jié) – 行業(yè)定級(jí)指導(dǎo)意見(jiàn) – 定級(jí)對(duì)象確定 – 定級(jí)過(guò)程 定級(jí)階段 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 8 根據(jù)《管理辦法》第十條：信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依據(jù)本辦法和《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》確定信息系統(tǒng)的安全保護(hù)等級(jí)。 前言 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 3 實(shí)施指南概述 實(shí)施指南介紹和描述了實(shí)施信息系統(tǒng)等級(jí)保護(hù)過(guò)程中涉及的階段 、 過(guò)程和需要完成的活動(dòng) ， 通過(guò)對(duì)過(guò)程和活動(dòng)的介紹 ， 使讀者了解對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的流程方法 ， 以及不同的角色在不同階段的作用等 。 – 對(duì)不同類型的等級(jí)保護(hù)客體，本行業(yè)主要關(guān)注哪些危害后果 – 對(duì)于每一類等級(jí)保護(hù)客體，符合哪些條件可以判斷為一般損害、哪些是嚴(yán)重?fù)p害、哪
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1