等級(jí)保護(hù)實(shí)施技術(shù)環(huán)節(jié)說明(存儲(chǔ)版)
【正文】 些是非常嚴(yán)重?fù)p害 定級(jí)階段 關(guān)于行業(yè)定級(jí)指導(dǎo)意見 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 12 對(duì) 《 定級(jí)指南 》 中有關(guān)概念的補(bǔ)充說明 ： – 三種客體 – 對(duì)客體侵害程度 定級(jí)階段 關(guān)于行業(yè)定級(jí)指導(dǎo)意見 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 13 三種受侵害的客體體現(xiàn)了三種不同層次、不同覆蓋范圍的社會(huì)關(guān)系。 定級(jí)階段 關(guān)于行業(yè)定級(jí)指導(dǎo)意見 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 17 對(duì)客體的侵害不是威脅直接作用的結(jié)果，而是通過對(duì)等級(jí)保護(hù)對(duì)象 —— 信息系統(tǒng)的破壞而導(dǎo)致的，因此確定對(duì)客體侵害的程度時(shí)，必須考慮對(duì)等級(jí)保護(hù)對(duì)象所造成破壞的不同客觀表現(xiàn)形態(tài)以及不同程度的結(jié)果，也就是侵害的客觀方面。 定級(jí)階段 關(guān)于行業(yè)定級(jí)指導(dǎo)意見 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 21 一、定級(jí)對(duì)象的三個(gè)條件 具有唯一確定的安全責(zé)任單位 – 作為定級(jí)對(duì)象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位，這個(gè)安全責(zé)任單位就是負(fù)責(zé)等級(jí)保護(hù)工作部署、實(shí)施的單位，也是完成等級(jí)保護(hù)備案和接受監(jiān)督檢查的直接責(zé)任單位。 本身運(yùn)行在不同的網(wǎng)絡(luò)環(huán)境中的系統(tǒng)。 定級(jí)階段 關(guān)于系統(tǒng)邊界 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 26 定級(jí)階段 定級(jí)對(duì)象舉例 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 27 定級(jí)階段 定級(jí)對(duì)象舉例 城 城 城城 城 城 城城 城 城城 城 城 城 城 城城 城 城 城 城城 城 城 城 城I D S城 城 城 城城 城 城城 城 城 1城 城 城城 城 城 2城 城 城城 城 城城 城 城 城 城千 兆I D S城 城 城 城 城 城城 城 城 城 城 1 城城 城 城 城 城 2城 城 城 城 城 城城 城 城 城 城城 城 城 城城 城 城 城城 城 城 城城 城 城 城 城O A 城 城城 城 城 城城 城 城城 城 城 城城 城 城城 城 城城 城 城 城城 城 城城 城 城城 城 城項(xiàng) 項(xiàng) 項(xiàng)項(xiàng) 項(xiàng) 項(xiàng)項(xiàng) 項(xiàng) 項(xiàng)項(xiàng) 項(xiàng) 項(xiàng)城 城 城 城 城. . .城 城 城 城 城 城城 城 城 城 城 城城 城 城 城公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 28 識(shí)別單位基本信息 – 了解單位基本信息有助于判斷單位的職能特點(diǎn)，單位所在行業(yè)及單位在行業(yè)所處的地位和所用，由此判斷單位主要信息系統(tǒng)的宏觀定位。 形成定級(jí)結(jié)果 – 取各類信息和服務(wù)的較高。 – G類 — 通用安全保護(hù)類 — 既關(guān)注保護(hù)業(yè)務(wù)信息的安全性，同時(shí)也關(guān)注保護(hù)系統(tǒng)的連續(xù)可用性。 等級(jí)保護(hù)基本安全要求和特殊安全需求共同構(gòu)成系統(tǒng)的總的安全需求。 系統(tǒng)建設(shè)階段 保護(hù)方案設(shè)計(jì) 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 41 一、總體安全設(shè)計(jì)方法 總體安全設(shè)計(jì)方法主要針對(duì)略有規(guī)模的信息系統(tǒng)，比如信息系統(tǒng)本身是由多個(gè)不同級(jí)別的系統(tǒng)構(gòu)成、信息系統(tǒng)分布在多個(gè)物理地區(qū)、信息系統(tǒng)之間橫向和縱向連接關(guān)系復(fù)雜等。 實(shí)施方案不同于設(shè)計(jì)方案，實(shí)施方案需要根據(jù)階段性的建設(shè)目標(biāo)和建設(shè)內(nèi)容將信息系統(tǒng)安全總體設(shè)計(jì)方案中要求實(shí)現(xiàn)的安全策略、安全技術(shù)體系結(jié)構(gòu)、安全措施和要求落實(shí)到產(chǎn)品功能或物理形態(tài)上，提出能夠?qū)崿F(xiàn)的產(chǎn)品或組件及其具體規(guī)范，并將產(chǎn)品功能特征整理成文檔。 由信息系統(tǒng)的運(yùn)營(yíng)使用單位自己組織人員或由第三方評(píng)估機(jī)構(gòu)采用等級(jí)測(cè)評(píng)方法對(duì)信息系統(tǒng)安全保護(hù)現(xiàn)狀與等級(jí)保護(hù)基本要求進(jìn)行符合性評(píng)估，得到與相應(yīng)等級(jí)要求的差距項(xiàng)。 系統(tǒng)建設(shè)階段 改建實(shí)施方案設(shè)計(jì) 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 55 三、分類處理的改建措施 如果系統(tǒng)需重新考慮設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，包括安全產(chǎn)品或安全組件的部署位置、連線方式、 IP地址分配等。 系統(tǒng)建設(shè)階段 改建實(shí)施方案設(shè)計(jì) 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 57 。 產(chǎn)品沒有得到正確配置。 系統(tǒng)改建設(shè)實(shí)施方案與新建系統(tǒng)的安全保護(hù)設(shè)施設(shè)計(jì)實(shí)施方案都是備案所需要提交的技術(shù)文件。 關(guān)于等級(jí)安全域的管理策略 – 從全局角度出發(fā)提出單位的總體安全管理框架和總體安全管理策略，對(duì)每個(gè)等級(jí)安全域提出各自的安全管理策略，安全域管理策略繼承單位的總體安全策略。 – 要解決等級(jí)系統(tǒng)之間的互連問題，因此必須在總體安全設(shè)計(jì)中規(guī)定相應(yīng)的安全策略。 – 由于信息系統(tǒng)的業(yè)務(wù)需求、應(yīng)用模式具有特殊性，系統(tǒng)面臨的威脅具有特殊性，基本要求沒有提供所需要的保護(hù)措施，例如有關(guān)無線網(wǎng)絡(luò)的接入和防護(hù) 《 基本要求 》 中沒有提出專門的要求，需要作為特殊需求。 系統(tǒng)建設(shè)階段 需求分析方法 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 2020/11/4 35 一、 選擇、調(diào)整基本安全要求 三類基本要求 – S類 — 業(yè)務(wù)信息安全保護(hù)類 — 關(guān)注的是保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、處理過程中不被泄漏、破壞和免受未授權(quán)的修改。調(diào)查設(shè)備的位置和作用主要就是發(fā)現(xiàn)不同信息系統(tǒng)在設(shè)備使用方面的共用程度。 如果無法做到不同等級(jí)的信息系統(tǒng)使用不同的終端設(shè)備，則應(yīng)將終端設(shè)備劃分為其他的信息系統(tǒng)，并在服務(wù)器與內(nèi)部用戶終端之間建立邊界保護(hù)，對(duì)終端通過身份鑒別和訪問控制等措施加以控制。 – 可能對(duì)客體造成不同程度損害的系統(tǒng)。 – 直接造成人員傷亡，例如醫(yī)療服務(wù)系統(tǒng)，公
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1