信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)準(zhǔn)則中期階段報(bào)告xxxx年7月(更新版)
【正文】 國(guó)家事務(wù)中的重要性 （實(shí)施意見）； ? 資產(chǎn) （包括有形資產(chǎn)和無形資產(chǎn)）（ FIPS199， IATF，DITSCAP， NIST80037）； ? 威脅 （ IATF）； ? 信息被破壞后對(duì)國(guó)家、社會(huì)公共利益和單位或個(gè)人的影響 （ FIPS199，通用要求，實(shí)施指南）； ? 單位業(yè)務(wù)對(duì)信息系統(tǒng)的依賴程度 （ DITSCAP） 決定等級(jí)的主要因素分析 經(jīng)分析，除排除威脅因素外，劃分等級(jí)時(shí)應(yīng)考慮以下因素： ? 信息系統(tǒng)所屬類型，即信息系統(tǒng)的安全利益主體。 背景介紹 上述定級(jí)方法存在問題 – 僅由信息重要性確定信息系統(tǒng)的等級(jí)，對(duì)大型企業(yè)和重點(diǎn)行業(yè)的重要業(yè)務(wù)系統(tǒng)不合適。 – 在通過三性影響分析，并根據(jù)三者取高的方法中，無法為可用性要求高和保密性要求高兩類系統(tǒng)提出統(tǒng)一的技術(shù)要求。 ? 信息系統(tǒng)主要處理的業(yè)務(wù)數(shù)據(jù)類別。 ? 第二級(jí)：信息系統(tǒng)所承載的業(yè)務(wù)直接關(guān)系到公民、法人和其他組織的權(quán)益，受到破壞后會(huì)對(duì)公民、法人和其他組織的權(quán)益造成嚴(yán)重?fù)p害；該業(yè)務(wù)的開展主要依托于信息系統(tǒng)，系統(tǒng)受到破壞后影響業(yè)務(wù)正常開展。 ? 一級(jí)具有 15個(gè)技術(shù)目標(biāo)， 16個(gè)管理目標(biāo)；二級(jí)具有 29個(gè)技術(shù)目標(biāo)， 25個(gè)管理目標(biāo)；三級(jí)具有 36個(gè)技術(shù)目標(biāo)， 27個(gè)管理目標(biāo)；四級(jí)具有 41個(gè)技術(shù)目標(biāo)， 28個(gè)管理目標(biāo)。本指南的讀者根據(jù)自己的角色和從事的活動(dòng)選擇相應(yīng)的內(nèi)容作為指導(dǎo)。 將通過信息系統(tǒng)等級(jí)保護(hù)實(shí)施生命周期的提出，更好地描述信息系統(tǒng)等級(jí)保護(hù)實(shí)施的不斷循環(huán)過程；系統(tǒng)變更可能導(dǎo)致系統(tǒng)的等級(jí)變化從而觸發(fā)另一個(gè)等級(jí)保護(hù)實(shí)施過程的執(zhí)行過程；風(fēng)險(xiǎn)評(píng)估和安全測(cè)評(píng)可能導(dǎo)致的等級(jí)保護(hù)實(shí)施過程局部活動(dòng)的重復(fù)執(zhí)行過程等。 ? 根據(jù)信息系統(tǒng)的業(yè)務(wù)數(shù)據(jù)安全性等級(jí)（ S）和業(yè)務(wù)處理連續(xù)性等級(jí)（ C），分別選擇 S類技術(shù)要求、 C類技術(shù)要求和 G類技術(shù)要求。 5個(gè)監(jiān)管等級(jí)對(duì)象 ? 第四級(jí)：信息系統(tǒng)所承載的業(yè)務(wù)直接關(guān)系到國(guó)家、社會(huì)和公共利益，受到破壞后會(huì)對(duì)國(guó)家、社會(huì)和公共利益造成嚴(yán)重?fù)p害的；該業(yè)務(wù)的開展完全依托于信息系統(tǒng)，系統(tǒng)受到破壞后業(yè)務(wù)無法開展。 ? 業(yè)務(wù)處理的自動(dòng)化程度，或以手工作業(yè)替代信息系統(tǒng)處理業(yè)務(wù)的程度。 – 定級(jí)范圍往往只在局部范圍內(nèi)。 ? IATF（ NSA） – 根據(jù)信息價(jià)值與威脅確定系統(tǒng)強(qiáng)健度等級(jí)。 等級(jí)確定的原則 ? 滿足監(jiān)管要求原則 – 信息系統(tǒng)安全保護(hù)等級(jí)既不是信息系統(tǒng)安全保障等級(jí)，也不是信息系統(tǒng)所能達(dá)到的技術(shù)能力等級(jí)，而是從安全監(jiān)管需要，從信息系統(tǒng)對(duì)國(guó)家安全、經(jīng)濟(jì)建設(shè)、公共利益等方面的重要性，以及信息或信息系統(tǒng)被破壞后造成危害的嚴(yán)重性角度確定的信息系統(tǒng)應(yīng)達(dá)到的安全等級(jí)。 組合形式 信息系統(tǒng)安全保護(hù)等級(jí)對(duì)應(yīng)的業(yè)務(wù)數(shù)據(jù)安全性要求級(jí)別（ Sx）和業(yè)務(wù)處理連續(xù)性要求級(jí)別(Cy)的組合。 ?系統(tǒng)的整體保護(hù)能力就是由威脅對(duì)抗能力和恢復(fù)能力的組合而成。 實(shí)施指南標(biāo)準(zhǔn)編制的主要思路 1. 以信息系統(tǒng)等級(jí)保護(hù)建設(shè)為主要線索 2. 定義信息系統(tǒng)等級(jí)保護(hù)實(shí)施的生命周期 3. 對(duì)每個(gè)階段介紹和描述主要的實(shí)施活動(dòng) 4. 對(duì)每個(gè)活動(dòng)說明實(shí)施主體、主要內(nèi)容和輸入輸出 實(shí)施指南內(nèi)容介紹 角色和職責(zé) 信息系統(tǒng)等級(jí)保護(hù)的實(shí)施過程中涉及到各類組織和人員，他們將會(huì)參與不同的或相同的活動(dòng)，比如信息系統(tǒng)的主管單位和信息系統(tǒng)的運(yùn)營(yíng)單位將參與系統(tǒng)定級(jí)活動(dòng)，如果委托安全服務(wù)商進(jìn)行定級(jí)，則安全服務(wù)商也會(huì)參與定級(jí)活動(dòng)；又如信息系統(tǒng)的運(yùn)營(yíng)單位可以自己完成風(fēng)險(xiǎn)分析活動(dòng)，也可以委托安全服務(wù)商完成風(fēng)險(xiǎn)分析活動(dòng)。 過程輸入： 信息系統(tǒng)基本信息、管理框架、業(yè)務(wù)特性 過程描述： 略 過程輸出： 信息系統(tǒng)描述文件 謝謝！
語文相關(guān)推薦
鄂ICP備17016276號(hào)-1