【文章內(nèi)容簡介】 42 43 描述模型 不同級(jí)別信息系統(tǒng) 不同級(jí)別安全威脅 不同級(jí)別能力目標(biāo) 不同級(jí)別基本要求 系統(tǒng)重要程度不同 應(yīng)對(duì) 44 基本安全保護(hù)能力 ? 對(duì)抗能力和恢復(fù)能力共同構(gòu)成了信息系統(tǒng)的安全保護(hù)能力。 ? 安全保護(hù)能力主要表現(xiàn)為信息系統(tǒng)應(yīng)對(duì)威脅的能力，稱為對(duì)抗能力，但當(dāng)信息系統(tǒng)無法阻擋威脅對(duì)自身的破壞時(shí)，信息系統(tǒng)的恢復(fù)能力使系統(tǒng)在一定時(shí)間內(nèi)恢復(fù)到原有狀態(tài)，從而降低負(fù)面影響。 45 能力目標(biāo) ? 第一級(jí)安全保護(hù)能力 ? 應(yīng)具有能夠?qū)箒碜?個(gè)人 的、擁有很少資源（如利用公開可獲取的工具等）的威脅源發(fā)起的惡意攻擊、 一般的 自然災(zāi)難（災(zāi)難發(fā)生的強(qiáng)度弱、持續(xù)時(shí)間很短、系統(tǒng)局部范圍等）、以及其他相當(dāng)危害程度的威脅所造成的 關(guān)鍵資源 損害，并在威脅發(fā)生后，能夠 恢復(fù)部分功能 。 46 能力目標(biāo) ? 第二級(jí)安全保護(hù)能力 ? 應(yīng)具有能夠?qū)箒碜?小型組織 的（如自發(fā)的三兩人組成的黑客組織）、擁有少量資源（如個(gè)別人員能力、公開可獲或特定開發(fā)的工具等）的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難（災(zāi)難發(fā)生的強(qiáng)度一般、持續(xù)時(shí)間短、覆蓋范圍?。ň植啃裕┑龋?、以及其他相當(dāng)危害程度（無意失誤、設(shè)備故障等）的威脅所造成的重要資源 損害，能夠 發(fā)現(xiàn)重要的 安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠在 一段時(shí)間內(nèi)恢復(fù)部分功能 。 47 能力目標(biāo) ? 第三級(jí)安全保護(hù)能力 ? 應(yīng)具有能夠?qū)箒碜?大型的、有組織的團(tuán)體 （如一個(gè)商業(yè)情報(bào)組織或犯罪組織等），擁有較為豐富資源（包括人員能力、計(jì)算能力等）的威脅源發(fā)起的惡意攻擊、 較為嚴(yán)重的 自然災(zāi)難（災(zāi)難發(fā)生的強(qiáng)度較大、持續(xù)時(shí)間較長、覆蓋范圍較廣（地區(qū)性）等）以及其他相當(dāng)危害程度（ 內(nèi)部人員的惡意威脅 、設(shè)備的較嚴(yán)重故障等）威脅的能力，并在威脅發(fā)生后，能夠較快 恢復(fù)絕大部分功能 。 48 能力目標(biāo) ? 第四級(jí)安全保護(hù)能力 ? 應(yīng)具有能夠?qū)箒碜?國家級(jí)別的、敵對(duì)組織的 、擁有豐富資源的威脅源發(fā)起的惡意攻擊、 嚴(yán)重的 自然災(zāi)難（災(zāi)難發(fā)生的強(qiáng)度大、持續(xù)時(shí)間長、覆蓋范圍廣（多地區(qū)性）等）以及其他相當(dāng)危害程度（內(nèi)部人員的惡意威脅、設(shè)備的嚴(yán)重故障等）威脅的能力，并在威脅發(fā)生后，能夠迅速恢復(fù)所有功能 。 49 描述模型 一級(jí)系統(tǒng) 二級(jí)系統(tǒng) 三級(jí)系統(tǒng) 防護(hù) 防護(hù) /檢測 策略 /防護(hù) /檢測 /恢復(fù) 策略 /防護(hù) /檢測 /恢復(fù) /響應(yīng) 四級(jí)系統(tǒng) 技術(shù)要求特點(diǎn) 50 描述模型 一級(jí)系統(tǒng) 二級(jí)系統(tǒng) 三級(jí)系統(tǒng) 四級(jí)系統(tǒng) 管理要求特點(diǎn) 一般執(zhí)行（部分活勱建制度） 計(jì)劃實(shí)施（主要過程建制度） 統(tǒng)一策略（管理制度體系化） 持續(xù)改進(jìn)（管理制度體系化 /驗(yàn)證 /改進(jìn)） 51 描述模型 一級(jí)系統(tǒng) 二級(jí)系統(tǒng) 三級(jí)系統(tǒng) 四級(jí)系統(tǒng) 覆蓋范圍特點(diǎn) 通信 /邊界（關(guān)鍵資源） 通信 /邊界 /內(nèi)部（重要設(shè)備） 通信 /邊界 /內(nèi)部（主要設(shè)備） 通信 /邊界 /內(nèi)部 /基礎(chǔ)設(shè)施（所有設(shè)備） 描述結(jié)構(gòu) 52 某級(jí)系統(tǒng) 類 技術(shù)要求 管理要求 基本要求 類 控制點(diǎn) 要求項(xiàng) 控制點(diǎn) 要求項(xiàng) …… …… …… …… …… …… 安全類 53 物理安全 技術(shù)要求 管理要求 基本要求 網(wǎng)絡(luò)安全 主機(jī)安全 應(yīng)用安全 數(shù)據(jù)安全及備份恢復(fù) 安全管理制度 安全管理機(jī)構(gòu) 人員安全管理 系統(tǒng)建設(shè)管理 系統(tǒng)運(yùn)維管理 類 示例 7 第三級(jí)基本要求 技術(shù)要求 物理安全 物理位置的選擇 本項(xiàng)要求包括 a) 機(jī)房和辦公場地應(yīng)選擇在具有防震、防 風(fēng)和防雨等能力的建筑內(nèi) b) 機(jī)房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁。 。 54 類 要求項(xiàng) 控制點(diǎn) 控制點(diǎn)標(biāo)注 ? 業(yè)務(wù)信息安全相關(guān)要求（標(biāo)記為 S） ? 系統(tǒng)服務(wù)保證相關(guān)要求（標(biāo)記為 A） ? 通用安全保護(hù)要求（標(biāo)記為 G） ? 技術(shù)要求（ 3種標(biāo)注） ? 管理要求（統(tǒng)屬 G） 55 描述模型 ? 業(yè)務(wù)信息安全相關(guān)要求（ S） ? 電磁防護(hù) ? 訪問控制 ? 數(shù)據(jù)完整性 ? 數(shù)據(jù)保密性 ? 系統(tǒng)服務(wù)保證相關(guān)要求（ A） ? 電力供應(yīng) ? 軟件容錯(cuò) ? 備份與恢復(fù) ? 資源控制 ? 通用安全保護(hù)要求（ G） ? 管理要求和大部分技術(shù)要求 56 逐級(jí)增強(qiáng)的特點(diǎn) ? 控制點(diǎn)增加 ? 要求項(xiàng)增加 ? 要求項(xiàng)增強(qiáng) ?范圍增大 ? 要求細(xì)化 ?要求粒度細(xì)化 逐級(jí)增強(qiáng)的特點(diǎn) 控制點(diǎn)增加 58 ? 三級(jí)基本要求： 在二級(jí)基本要求的基礎(chǔ)上，技術(shù)方面，在控制點(diǎn)上增加了 網(wǎng)絡(luò)惡意代碼防范、剩余信息保護(hù)、軟件容錯(cuò)、抗抵賴 等。管理方面，增加了 系統(tǒng)備案、安全測評(píng)、監(jiān)控管理和安全管理中心 等控制點(diǎn)。 ? 四級(jí)基本要求 ：在三級(jí)基本要求的基礎(chǔ)上，技術(shù)方面，在 系統(tǒng)和應(yīng)用層面 控制點(diǎn)上增加了 安全標(biāo)記、可信路徑 ， 不同級(jí)別系統(tǒng)控制點(diǎn)的差異匯總 安全要求類 類 /層面 一級(jí) 二級(jí) 三級(jí) 四級(jí) 技術(shù)要求 物理安全 7 10 10 10 網(wǎng)絡(luò)安全 3 6 7 7 主機(jī)安全 4 6 7 9 應(yīng)用安全 4 7 9 11 數(shù)據(jù)安全及備份恢復(fù) 2 3 3 3 管理要求 安全管理制度 2 3 3 3 安全管理機(jī)構(gòu) 4 5 5 5 人員安全管理 4 5 5 5 系統(tǒng)建設(shè)管理 9 9 11 11 系統(tǒng)運(yùn)維管理 9 12 13 13 合計(jì) / 48 66 73 77 級(jí)差 / / 18 7 4 59 逐級(jí)增強(qiáng)的特點(diǎn) 要求項(xiàng)增加 60 ? 要求項(xiàng)增多， 如，對(duì)“ 身份鑒別 ”，一級(jí)要求“進(jìn)行身份標(biāo)識(shí)和鑒別”，二級(jí)增加要求“ 口令復(fù)雜度、登錄失敗保護(hù)等 ”；而三級(jí)則要求“采用 兩種或兩種以上組合的鑒別技術(shù) ”。 ? 項(xiàng)目增加，要求增強(qiáng)。 不同級(jí)別系統(tǒng)要求項(xiàng)的差異匯總 安全要求 類 /層面 一級(jí) 二級(jí) 三級(jí) 四級(jí) 技術(shù)要求 物理安全 9 19 32 33 網(wǎng)絡(luò)安全 9 18 33 32 主機(jī)安全 6 19 32 36 應(yīng)用安全 7 19 31 36 數(shù)據(jù)安全及備份恢復(fù) 2 4 8 11 管理要求 安全管理制度 3 7 11 14 安全管理機(jī)構(gòu) 4 9 20 20 人員安全管理 7 11 16 18 系統(tǒng)建設(shè)管理 20 28 45 48 系統(tǒng)運(yùn)維管理 18 41 62 70 合計(jì) / 85 175 290 318 級(jí)差 / / 90 115 28 61 逐級(jí)增強(qiáng)的特點(diǎn) 要求項(xiàng)增強(qiáng) 62 ? 范圍增大 ，如，對(duì)物理安全的“防靜電”，二級(jí)只要求“ 關(guān)鍵設(shè)備應(yīng)采用必要的接地防靜電措施 ”；而三級(jí)則在對(duì)象的范圍上發(fā)