等級保護實施技術環(huán)節(jié)說明(編輯修改稿)
2024-11-03 12:18 本頁面
【文章內(nèi)容簡介】 保護，對終端通過身份鑒別和訪問控制等措施加以控制。 處理涉密信息的終端必須劃分到相應的信息系統(tǒng)中，且不能與非涉密系統(tǒng)共用終端。 定級階段 關于系統(tǒng)邊界 公安部 信息安全等級保護評估中心 2020/11/4 26 定級階段 定級對象舉例 公安部 信息安全等級保護評估中心 2020/11/4 27 定級階段 定級對象舉例 城 城 城城 城 城 城城 城 城城 城 城 城 城 城城 城 城 城 城城 城 城 城 城I D S城 城 城 城城 城 城城 城 城 1城 城 城城 城 城 2城 城 城城 城 城城 城 城 城 城千 兆I D S城 城 城 城 城 城城 城 城 城 城 1 城城 城 城 城 城 2城 城 城 城 城 城城 城 城 城 城城 城 城 城城 城 城 城城 城 城 城城 城 城 城 城O A 城 城城 城 城 城城 城 城城 城 城 城城 城 城城 城 城城 城 城 城城 城 城城 城 城城 城 城項 項 項項 項 項項 項 項項 項 項城 城 城 城 城. . .城 城 城 城 城 城城 城 城 城 城 城城 城 城 城公安部 信息安全等級保護評估中心 2020/11/4 28 識別單位基本信息 – 了解單位基本信息有助于判斷單位的職能特點，單位所在行業(yè)及單位在行業(yè)所處的地位和所用，由此判斷單位主要信息系統(tǒng)的宏觀定位。 識別業(yè)務種類、流程和服務 – 應重點了解定級對象信息系統(tǒng)中不同業(yè)務系統(tǒng)提供的服務在影響履行單位職能方面具體方式和程度，影響的區(qū)域范圍、用戶人數(shù)、業(yè)務量的具體數(shù)據(jù)以及對本單位以外機構或個人的影響等方面。這些具體數(shù)據(jù)即可以為主管部門制定定級指導意見提供參照，也可以作為主管部門審批定級結果的重要依據(jù)。 定級階段 關于定級過程 公安部 信息安全等級保護評估中心 2020/11/4 29 識別信息 – 調(diào)查了解定級對象信息系統(tǒng)所處理的信息，了解單位對信息的三個安全屬性的需求，了解不同業(yè)務數(shù)據(jù)在其保密性、完整性和可用性被破壞后在單位職能、單位資金、單位信譽、人身安全等方面可能對國家、社會、本單位造成的影響，對影響程度的描述應盡可能量化。 識別網(wǎng)絡結構和邊界 – 調(diào)查了解定級對象信息系統(tǒng)所在單位的整體網(wǎng)絡狀況、安全防護和外部連接情況，目的是了解信息系統(tǒng)所處的單位內(nèi)部網(wǎng)絡環(huán)境和外部環(huán)境特點，以及該信息系統(tǒng)的網(wǎng)絡安全保護與單位內(nèi)部網(wǎng)絡環(huán)境的安全保護的關系。 定級階段 關于定級過程 公安部 信息安全等級保護評估中心 2020/11/4 30 識別主要的軟硬件設備 – 調(diào)查了解與定級對象信息系統(tǒng)相關的服務器、網(wǎng)絡、終端、存儲設備以及安全設備等，設備所在網(wǎng)段，在系統(tǒng)中的功能和作用。調(diào)查設備的位置和作用主要就是發(fā)現(xiàn)不同信息系統(tǒng)在設備使用方面的共用程度。 識別用戶類型和分布 – 調(diào)查了解各系統(tǒng)的管理用戶和一般用戶，內(nèi)部用戶和外部用戶，本地用戶和遠程用戶等類型，了解用戶或用戶群的數(shù)量分布，判斷系統(tǒng)服務中斷或系統(tǒng)信息被破壞可能影響的范圍和程度。 形成定級結果 – 取各類信息和服務的較高。 定級階段 關于定級過程 公安部 信息安全等級保護評估中心 2020/11/4 31 系統(tǒng)建設和改建階段相關技術環(huán)節(jié) – 安全需求分析方法 – 系統(tǒng)的安全等級保護設計、實施方案設計 – 系統(tǒng)改建實施方案設計 系統(tǒng)建設和改建階段 公安部 信息安全等級保護評估中心 2020/11/4 32 安全需求分析的目的是使信息系統(tǒng)按照等級保護相應等級的要求進行設計、規(guī)劃和實施，將來源于國家政策性要求、機構使命性要求、系統(tǒng)可能面臨的環(huán)境和影響以及機構自身的需求相結合作為信息系統(tǒng)的安全需求，使具有相同安全保護等級的信息系統(tǒng)能夠達到相應等級的基本的保護水平和保護能力。 系統(tǒng)建設階段 需求分析方法 公安部 信息安全等級保護評估中心 2020/11/4 33 一、 選擇、調(diào)整基本安全要求 《 定級指南 》 在確定信息系統(tǒng)的安全保護等級的同時確定了信息系統(tǒng)在業(yè)務信息安全和系統(tǒng)服務安全兩個方面的安全保護等級 。 系統(tǒng)的安全保護等級與這兩者的關系是： 系統(tǒng)的安全保護等級 =L (信息等級，服務等級 ) =Max(信息等級，服務等級） 例如： L(3,1)=L(3,2)= L(3,3)= L(1,3)= L(2,3)= 3 系統(tǒng)建設階段 需求分析方法 公安部 信息安全等級保護評估中心 2020/11/4 34 一、 選擇、調(diào)整基本安全要求 形成了 5個等級， 25個安全需求類。表明同樣等級的信息系統(tǒng)，其安全需求有所不同，因此對其實施的保護也應該有不同的要求。 為了區(qū)別不同安全技術要求和管理要求在保護信息系統(tǒng)的業(yè)務信息安全和系統(tǒng)服務安全所起的作用，將所有技術要求和管理要求進行了標識，標識分為三種 S、 A和 G。 系統(tǒng)建設階段 需求分析方法 公安部 信息安全等級保護評估中心 2020/11/4 35 一、 選擇、調(diào)整基本安全要求 三類基本要求 – S類 — 業(yè)務信息安全保護類 — 關注的是保護數(shù)據(jù)在存儲、傳輸、處理過程中不被泄漏、破壞和免受未授權的修改。 – A類 — 系統(tǒng)服務安全保護類 — 關注的是保護系統(tǒng)連續(xù)正常的運行，避免因對系統(tǒng)的未授權修改、破壞而導致系統(tǒng)不可用。 – G類 — 通用安全保護類 — 既關注保護業(yè)務信息的
教學課件相關推薦
鄂ICP備17016276號-1