等級保護實施技術(shù)環(huán)節(jié)說明(完整版)
【正文】 2級的業(yè)務信息安全保護類要求，A3表示 3級的系統(tǒng)服務安全保護類要求。 定級階段 關(guān)于定級過程 公安部 信息安全等級保護評估中心 2020/11/4 31 系統(tǒng)建設和改建階段相關(guān)技術(shù)環(huán)節(jié) – 安全需求分析方法 – 系統(tǒng)的安全等級保護設計、實施方案設計 – 系統(tǒng)改建實施方案設計 系統(tǒng)建設和改建階段 公安部 信息安全等級保護評估中心 2020/11/4 32 安全需求分析的目的是使信息系統(tǒng)按照等級保護相應等級的要求進行設計、規(guī)劃和實施，將來源于國家政策性要求、機構(gòu)使命性要求、系統(tǒng)可能面臨的環(huán)境和影響以及機構(gòu)自身的需求相結(jié)合作為信息系統(tǒng)的安全需求，使具有相同安全保護等級的信息系統(tǒng)能夠達到相應等級的基本的保護水平和保護能力。 識別業(yè)務種類、流程和服務 – 應重點了解定級對象信息系統(tǒng)中不同業(yè)務系統(tǒng)提供的服務在影響履行單位職能方面具體方式和程度，影響的區(qū)域范圍、用戶人數(shù)、業(yè)務量的具體數(shù)據(jù)以及對本單位以外機構(gòu)或個人的影響等方面。 分不開的系統(tǒng)，按照高級別保護。 滿足信息系統(tǒng)的基本要素 – 作為定級對象的信息系統(tǒng)應該是由相關(guān)的和配套的設備、設施按照一定的應用目標和規(guī)則組合而成的有形實體。 定級階段 關(guān)于行業(yè)定級指導意見 公安部 信息安全等級保護評估中心 2020/11/4 18 定級階段 關(guān)于行業(yè)定級指導意見 客體 對客體的侵害 對等級保護對象的危害 等級保護對象 危害后果 對客體侵害 的客觀方面 危害方式 + 公安部 信息安全等級保護評估中心 2020/11/4 19 關(guān)于危害后果 – 影響行使工作職能，工作職能包括國家管理職能、公共管理職能、公共服務職能等國家或社會方面的職能。 國家安全利益體現(xiàn)了國家層面、與全局相關(guān)的國家政治安全、軍事安全、經(jīng)濟安全、社會安全、科技安全和資源環(huán)境安全等方面利益。 公安部 信息安全等級保護評估中心 2020/11/4 4 實施階段 等級變更 局部調(diào)整 信息系統(tǒng)定級 總體安全規(guī)劃 安全設計與實施 安全運行維護 信息系統(tǒng)終止 公安部 信息安全等級保護評估中心 2020/11/4 5 實施指南描述特點 為了便于用戶使用， 《 實施指南 》 分章介紹 5個實施階段，以不同的節(jié)介紹和描述本階段所要進行的主要安全過程，以及該過程所包含的活動，包括活動目標、參與角色，活動中包含的子活動，活動過程參照的等級保護對應標準，活動的輸入和輸出等內(nèi)容。在每個實施階段中，如果過程具有順序性，將用流程圖的形式表述過程的執(zhí)行方式，如果沒有順序性，則用框圖分別表述每一個階段的過程 。 社會秩序包括社會的政治、經(jīng)濟、生產(chǎn)、生活、科研、工作等各方面的正常秩序。 – 導致業(yè)務能力下降，下降的表現(xiàn)形式可能包括業(yè)務范圍的減少、業(yè)務處理性能的下降、可服務的用戶數(shù)量的下降以及其他各種業(yè)務指標的下降，每個行業(yè)務都有本行業(yè)關(guān)注的業(yè)務指標。應避免將某個單一的系統(tǒng)組件，如單臺的服務器、終端或網(wǎng)絡設備等作為定級對象。 定級階段 關(guān)于定級對象確定 公安部 信息安全等級保護評估中心 2020/11/4 24 系統(tǒng)邊界不應出現(xiàn)在服務器內(nèi)部，服務器共用的系統(tǒng)一般歸入同一個信息系統(tǒng)，因此不同信息系統(tǒng)的共用設備一般是網(wǎng)絡 /邊界設備或終端設備。這些具體數(shù)據(jù)即可以為主管部門制定定級指導意見提供參照，也可以作為主管部門審批定級結(jié)果的重要依據(jù)。 系統(tǒng)建設階段 需求分析方法 公安部 信息安全等級保護評估中心 2020/11/4 33 一、 選擇、調(diào)整基本安全要求 《 定級指南 》 在確定信息系統(tǒng)的安全保護等級的同時確定了信息系統(tǒng)在業(yè)務信息安全和系統(tǒng)服務安全兩個方面的安全保護等級 。 系統(tǒng)建設階段 需求分析方法 公安部 信息安全等級保護評估中心 2020/11/4 36 一、 選擇、調(diào)整基本安全要求 需求分析步驟： – 第一步 根據(jù)其等級從 《 基本要求 》 中選擇相應等級的基本安全要求。 設計分為總體安全設計和詳細安全設計。 系統(tǒng)建設階段 保護方案設計 公安部 信息安全等級保護評估中心 2020/11/4 42 總體安全設計可參照以下步驟完成： – 局域網(wǎng)內(nèi)部抽象處理，劃分為多個具有等級安全域（邊界訪問控制策略相同）。 系統(tǒng)建設階段 保護方案設計 公安部 信息安全等級保護評估中心 2020/11/4 50 實施方案的設計過程包括： a) 結(jié)構(gòu)框架設計 b) 功能要求設計 c) 性能要求設計 d) 部署方案設計 e) 制定安全策略實現(xiàn)計劃 f) 管理措施實現(xiàn)內(nèi)容設計 g) 形成系統(tǒng)建設的安全實施方案 系統(tǒng)建設階段 保護方案設計 公安部 信息安全等級保護評估中心 2020/11/4 51 系統(tǒng)建設的安全實施方案包含以下內(nèi)容： 1. 本期建設目標和建設內(nèi)容； 2. 技術(shù)實現(xiàn)框架； 3. 信息安全產(chǎn)品或組件功能及性能； 4. 信息安全產(chǎn)品或組件部署； 5. 安全策略和配置； 6. 配套的安全管理建設內(nèi)容； 7. 工程實施計劃； 8. 項目投資概算。 系統(tǒng)建設階段 改建實施方案設計 公安部 信息安全等級保護評估中心 2020/11/4 54 二、差距原因分析 整體設計方面的問題，即某些差距項的不滿足是由于該系統(tǒng)在整體的安全策略（包括技術(shù)策略和管理策略）設計上存在問題。針對安全管理方面的整體策略問題，機構(gòu)需重新定位安
教學課件相關(guān)推薦
鄂ICP備17016276號-1