【文章內(nèi)容簡介】 將其實(shí)施階段分別劃分為五個(gè)不同階段，即信息系統(tǒng)定級(jí)階段、總體安全規(guī)劃階段、安全設(shè)計(jì)與實(shí)施階段、安全運(yùn)行與維護(hù)階段和信息系統(tǒng)終止階段。 信息系統(tǒng)定級(jí)階段 信息系統(tǒng)定級(jí)階段通過對(duì)信息系統(tǒng)調(diào)查和分析，進(jìn)行信息系統(tǒng)劃分，確定相對(duì)獨(dú)立的信 11 息系統(tǒng)的個(gè)數(shù)，按照《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》確定每個(gè)信息系統(tǒng)的安全等級(jí)。 總體安全規(guī)劃階段 總體安全規(guī)劃階段通過安全需求分析判斷信息系統(tǒng)的安全保護(hù)現(xiàn)狀與國家等級(jí)保護(hù)基本要求之間的差距，確定安全需求，然后根據(jù)信息系統(tǒng)的劃分情況、信息系統(tǒng)定級(jí)情況、信息系統(tǒng)承載業(yè)務(wù)情況和安全需求等，設(shè)計(jì)合理的、滿足等級(jí)保護(hù)要求的總體安全方案，并制定出安全實(shí)施規(guī)劃等，以指導(dǎo)后續(xù)的信息系統(tǒng)安全建設(shè)工程實(shí)施。 安全設(shè)計(jì)與實(shí)施階段 安全設(shè)計(jì)與實(shí)施階段通過安全方案詳細(xì)設(shè)計(jì)、安全產(chǎn)品的采購、安全控制的開發(fā)、安全控制集成、機(jī)構(gòu)和人員的配置、安全管理制度的建設(shè)、人員的安全技能培訓(xùn)等環(huán)節(jié)，將規(guī)劃階段的安全方針和策略，具體落實(shí)到信息系統(tǒng)中去，其最終的成果是提交滿足用戶安全需求的信息系統(tǒng)以及配套的安全管理體系。 安全運(yùn)行與維護(hù)階段 安全運(yùn)行與維護(hù)階段將介紹運(yùn)行管理和控制、變更管理和控制、安全狀態(tài)監(jiān)控以及安全事件處置和應(yīng)急預(yù)案等過程；對(duì)安全狀態(tài)進(jìn)行監(jiān)控，對(duì)發(fā)生的安全事件及時(shí)響應(yīng)，確保信息系統(tǒng)正常運(yùn)行；通過定期的監(jiān)督檢查督促信息系統(tǒng)運(yùn)營、使用單位做好信息系統(tǒng)的日常安全維護(hù)工作，確保其滿足相應(yīng)等級(jí)的安全要求，達(dá)到相應(yīng)等級(jí)的安全保護(hù)能力；通過安全檢查和持續(xù)改進(jìn)等活動(dòng)過程實(shí)現(xiàn)對(duì)信息系統(tǒng)的動(dòng)態(tài)保護(hù)。 信息系統(tǒng)終止階段 信息系統(tǒng)終止階段是對(duì)信息系統(tǒng)的過時(shí)或無用部分進(jìn)行報(bào)廢處理的過程，主要涉及對(duì)信息、設(shè)備、存儲(chǔ)介質(zhì)或整個(gè)信息系統(tǒng)的廢棄處理。信息系統(tǒng)終止階段的主要活動(dòng)可能包括對(duì)信息的轉(zhuǎn)移、暫存或清除，對(duì)設(shè)備遷移或廢棄，對(duì)存儲(chǔ)介質(zhì)的清除或銷毀；信息系統(tǒng)終止階段當(dāng)要遷移或廢棄系統(tǒng)組件時(shí)，核心關(guān)注點(diǎn)是防止敏感信息泄漏。 3主要實(shí)施階段介紹 如前所述，信息系統(tǒng)實(shí)施等級(jí)保護(hù)劃分為五個(gè)不同階段，即信息系統(tǒng)定級(jí)階段、總體安全規(guī)劃階段、安全設(shè)計(jì)與實(shí)施階段、安全運(yùn)行與維護(hù)階段和信息系統(tǒng)終止階段。關(guān)于“信息 12 系統(tǒng)定級(jí)“階段的工作方法和工作內(nèi)容，參見《定級(jí)指南》及相關(guān)教材。本教材重點(diǎn)介紹“總體安全規(guī)劃“階段的工作內(nèi)容和可用方法。其他階段的內(nèi)容，參見《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》標(biāo)準(zhǔn)相關(guān)章節(jié)。 系統(tǒng)定級(jí)完成后，首要的工作是確定系統(tǒng)的安全需求，也就是系統(tǒng)的保護(hù)需求。對(duì)于新建的系統(tǒng)和已建的系統(tǒng)，安全需求的確定方法不同，新建過程中的系統(tǒng)由于在設(shè)計(jì)完成之前還沒有系統(tǒng)實(shí)體，所以系統(tǒng)可以按照等級(jí)保護(hù)的要求進(jìn)行定級(jí)、設(shè)計(jì)和實(shí)施，系統(tǒng)的安全需求主要來源于國家政策性要求、機(jī)構(gòu)使命性要求和可能的系統(tǒng)環(huán)境影響；運(yùn)行過程中的系統(tǒng)由于建設(shè)過程中并沒有按照等級(jí)保護(hù)的要求進(jìn)行定級(jí)和設(shè)計(jì)，雖然采取了一定的安全保護(hù)措施，但是可能與國家等級(jí)保護(hù)的要求存在差距，所以需要完成的工作是按照國家等級(jí)保護(hù)的要求進(jìn)行安全改造。 新建系統(tǒng)可以在信息系統(tǒng)生命周期的啟動(dòng)/準(zhǔn)備、設(shè)計(jì)/開發(fā)階段同步實(shí)施系統(tǒng)定級(jí)和系統(tǒng)設(shè)計(jì)，根據(jù)信息系統(tǒng)承載的業(yè)務(wù)對(duì)信息系統(tǒng)合理分級(jí)之后，國家標(biāo)準(zhǔn)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》就是對(duì)各個(gè)級(jí)別系統(tǒng)的明確安全需求，系統(tǒng)的安全規(guī)劃設(shè)計(jì)應(yīng)以此為依據(jù)。 本章重點(diǎn)介紹已建系統(tǒng)，即運(yùn)行過程中的系統(tǒng)如何在等級(jí)保護(hù)實(shí)施過程中的規(guī)劃設(shè)計(jì)階段確定安全需求，新建系統(tǒng)確定安全需求的方法也可以借鑒這里介紹的方法。關(guān)于運(yùn)行過程中的系統(tǒng)如何定級(jí)參見有關(guān)信息系統(tǒng)安全保護(hù)等級(jí)確定的教材，這里不再描述。 對(duì)于一個(gè)已建系統(tǒng)，在對(duì)系統(tǒng)進(jìn)行劃分，并確定了不同系統(tǒng)的安全保護(hù)等級(jí)之后，關(guān)注的重點(diǎn)是不同安全保護(hù)等級(jí)的系統(tǒng)目前采取的安全保護(hù)措施與國家等級(jí)保護(hù)要求之間的差距有多大，這種差距就是未來需要對(duì)系統(tǒng)進(jìn)行安全改造的目標(biāo)，也就是安全改造設(shè)計(jì)方案的安全需求輸入。 根據(jù)《實(shí)施指南》，總體安全規(guī)劃階段的第一個(gè)重要活動(dòng)是“安全需求分析”，對(duì)于一個(gè)已經(jīng)確定了安全保護(hù)等級(jí)，并處于運(yùn)行狀態(tài)的信息系統(tǒng)，“安全需求分析”實(shí)際要完成安全現(xiàn)狀評(píng)估和安全需求確認(rèn)兩項(xiàng)主要工作。 13 一、評(píng)估方法 當(dāng)根據(jù)信息系統(tǒng)的業(yè)務(wù)重要性及其他相關(guān)因素對(duì)信息系統(tǒng)進(jìn)行劃分，確定了信息系統(tǒng)的安全保護(hù)等級(jí)后，需要了解不同級(jí)別的信息系統(tǒng)或子系統(tǒng)當(dāng)前的安全保護(hù)與相應(yīng)等級(jí)的安全保護(hù)基本要求之間存在的差距，這種差距是一種安全需求，是進(jìn)行安全方案設(shè)計(jì)的基礎(chǔ)。 傳統(tǒng)的安全需求分析方法有很多，如流行的風(fēng)險(xiǎn)分析法，但是作為了解信息系統(tǒng)或子系統(tǒng)當(dāng)前的安全保護(hù)狀況與相應(yīng)等級(jí)的安全保護(hù)基本要求之間存在的差距的簡便方法，莫過于等級(jí)測評(píng)法。 關(guān)于等級(jí)測評(píng)有專門的教材進(jìn)行詳細(xì)描述，這里只說明如何采用等級(jí)測評(píng)法對(duì)安全現(xiàn)狀進(jìn)行評(píng)估，并確定與相應(yīng)等級(jí)的安全保護(hù)基本要求之間存在的差距。 二、基本步驟 采用等級(jí)測評(píng)法進(jìn)行安全現(xiàn)狀評(píng)估的基本步驟如下： 確定評(píng)估范圍 明確本次被評(píng)估系統(tǒng)的范圍，包括整個(gè)信息系統(tǒng)的范圍、各個(gè)等級(jí)信息系統(tǒng)的范圍，各個(gè)等級(jí)信息系統(tǒng)的邊界等。這些信息來自信息系統(tǒng)的定級(jí)報(bào)告。 例如： xxxx信息系統(tǒng)承載xx、xx、xx業(yè)務(wù)，具有xx個(gè)出口。出口1通過xx設(shè)備與外部的xx系統(tǒng)相連，出口2通過xx設(shè)備與外部的xx系統(tǒng)相連，……，系統(tǒng)示意圖如下。 xxxx信息系統(tǒng)被劃分為xx個(gè)信息系統(tǒng)，信息系統(tǒng)1承載xx業(yè)務(wù)，信息系統(tǒng)2承載xx業(yè)務(wù)，……。 信息系統(tǒng)1有xx個(gè)邊界，邊界1通過xx設(shè)備與外部的xx系統(tǒng)相連，邊界2通過xx設(shè)備與信息系統(tǒng)2相連，……。 …… 本次安全評(píng)估的系統(tǒng)包括信息系統(tǒng)信息系統(tǒng)……。 獲得被評(píng)估信息系統(tǒng)的信息 通過查閱資料（如果定級(jí)建議書有詳細(xì)的資料）或現(xiàn)場調(diào)查的方式，了解被評(píng)估信息系 14 統(tǒng)的構(gòu)成，包括網(wǎng)絡(luò)拓?fù)?、業(yè)務(wù)應(yīng)用、業(yè)務(wù)流程、設(shè)備信息、安全措施狀況等，并將被評(píng)估信息系統(tǒng)的信息準(zhǔn)確描述。 例如： 信息系統(tǒng)1的范圍如下面網(wǎng)絡(luò)拓?fù)鋱D所示。圖略。 網(wǎng)絡(luò)邊界。有xx個(gè)邊界，邊界1通過xx設(shè)備與外部的xx系統(tǒng)相連，邊界2通過xx設(shè)備與信息系統(tǒng)2相連，……。 網(wǎng)絡(luò)區(qū)域：有xx個(gè)區(qū)域，每個(gè)區(qū)域的說明。承載業(yè)務(wù)：有xx個(gè)業(yè)務(wù)，每個(gè)業(yè)務(wù)的說明。 主要安全設(shè)備。有xx個(gè)安全設(shè)備，每個(gè)設(shè)備的部署位置、主要作用?！? 設(shè)備清單列表： xxxx類設(shè)備所屬區(qū)域序號(hào)設(shè)備名稱用途設(shè)備信息說明1234確定具體的評(píng)估對(duì)象確定每個(gè)等級(jí)信息系統(tǒng)的被評(píng)估對(duì)象，包括整體對(duì)象，如機(jī)房、辦公環(huán)境、網(wǎng)絡(luò)等，也包括具體對(duì)象，如邊界設(shè)備、網(wǎng)關(guān)設(shè)備、服務(wù)器設(shè)備、工作站、應(yīng)用系統(tǒng)等。 確定評(píng)估工作的方法 根據(jù)信息系統(tǒng)安全等級(jí)情況、系統(tǒng)規(guī)模大小等，明確本次評(píng)估的方法，如所有對(duì)象的評(píng)估還是抽樣方式的評(píng)估；詢問、檢查、測試的組合方式等。 15 序號(hào)45678問題描述嚴(yán)重程度可能的改進(jìn)措施三、過程輸出安全現(xiàn)狀評(píng)估過程中重要的過程控制文件和結(jié)果描述文件包括：。評(píng)估工作計(jì)劃或項(xiàng)目工作計(jì)劃。評(píng)估方案或測評(píng)方案。各類數(shù)據(jù)記錄表格。安全評(píng)估報(bào)告 評(píng)估工作計(jì)劃或項(xiàng)目工作計(jì)劃基本結(jié)構(gòu) 項(xiàng)目概述工作依據(jù)工作內(nèi)容工作產(chǎn)品任務(wù)分工時(shí)間計(jì)劃項(xiàng)目評(píng)審評(píng)估方案或測評(píng)方案基本結(jié)構(gòu)項(xiàng)目概述測評(píng)對(duì)象21 測評(píng)指標(biāo)測評(píng)方式和工具層面測評(píng)實(shí)施系統(tǒng)測評(píng)實(shí)施附件a：安全管理測評(píng)記錄表格附件b：網(wǎng)絡(luò)結(jié)構(gòu)測評(píng)記錄表格附件c：網(wǎng)絡(luò)設(shè)備測評(píng)記錄表格附件d：安全設(shè)備測評(píng)記錄表格附件e：主機(jī)設(shè)備測評(píng)記錄表格附件f：應(yīng)用系統(tǒng)測評(píng)記錄表格附件g：物理安全測評(píng)記錄表格記錄表格基本結(jié)構(gòu)序號(hào)類別求基本要法測評(píng)方錄結(jié)果記況符合情安全評(píng)估報(bào)告基本結(jié)構(gòu)項(xiàng)目概述測評(píng)對(duì)象測評(píng)指標(biāo)測評(píng)方式和工具22 測評(píng)結(jié)果綜合分析測評(píng)結(jié)論附件a：安全管理測評(píng)記錄表格附件b：網(wǎng)絡(luò)結(jié)構(gòu)測評(píng)記錄表格附件c：網(wǎng)絡(luò)設(shè)備測評(píng)記錄表格附件d：安全設(shè)備測評(píng)記錄表格附件e：主機(jī)設(shè)備測評(píng)記錄表格附件f：應(yīng)用系統(tǒng)測評(píng)記錄表格附件g： 一、分析方法 通過等級(jí)測評(píng)方法對(duì)安全現(xiàn)狀評(píng)估產(chǎn)生的結(jié)果，說明了系統(tǒng)安全保護(hù)方面與等級(jí)保護(hù)基本要求之間的差距，這種差距是進(jìn)一步對(duì)系統(tǒng)進(jìn)行安全改造的依據(jù)，由于《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中提出的安全要求是針對(duì)大部分系統(tǒng)的通用要求，因此還應(yīng)結(jié)合自身系統(tǒng)的特點(diǎn)判斷不符合要求的差距是否在今后的安全改造過程中需要補(bǔ)充，以及除《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中提出的安全要求外，是否還需要補(bǔ)充其他的措施。 安全需求的最終確認(rèn)，可以借鑒風(fēng)險(xiǎn)分析的做法，由于已經(jīng)采用等級(jí)測評(píng)方法對(duì)系統(tǒng)進(jìn)行了安全現(xiàn)狀評(píng)估，所以借鑒風(fēng)險(xiǎn)分析法對(duì)安全需求進(jìn)行最終確認(rèn)時(shí)