【正文】 的一系列安全技術(shù)和安全管理標準等級劃分的基礎(chǔ)和依據(jù)。對一個具體的信息系統(tǒng)，在選擇采用何種等級的安全技術(shù)和安全管理措施時，需要考慮目標信息系統(tǒng)所處的環(huán)境和條件對安全性要求的影響，而并非簡單的按對應(yīng)等級進行選擇?！鞍踩芾硎切畔踩纳€”。這一基本認識表明：安全管理在信息安全等級保護制度實施過程中重要作用。人們通常用“三分技術(shù)，七分管理”來形容管理對技術(shù)的重要性。其實，用“安全管理是信息安全的生命線”來描述安全管理對信息安全的重要性可能更為貼切。對信息安全等級保護的管理分為“宏觀管理”和“微觀管理”。宏觀管理是指從國家的政策法規(guī)到設(shè)置各種管理機構(gòu)等全局性的管理措施微觀管理是指圍繞信息系統(tǒng)的安全等級保護所實施的一系具體管理。從宏觀管理看，沒有政策法規(guī)的明確要求，信息安全等級保護就是依據(jù)空話。從微觀管理看，安全管理貫穿從確定信息系統(tǒng)安全需求到控制信息系統(tǒng)安全運行的信息系統(tǒng)整個生命周期的全過程，是信息安全的每一個環(huán)節(jié)實現(xiàn)的前提和保證。沒有嚴格的組織管理，無法進行信息安全的需求分析，從而無法確定信息安全的等級需求；無法確定信息系統(tǒng)的安全方案；無法確保信息系統(tǒng)安全工程按確定的安全目標實現(xiàn)；無法確保設(shè)計、實現(xiàn)的信息安全系統(tǒng)的運行達到所要求的安全目標；無法應(yīng)對安全系統(tǒng)運行中出現(xiàn)的新情況和新問題。總之，在信息安全系統(tǒng)生周期的每一個環(huán)節(jié)，沒有嚴格的符合要求的管理，安全技術(shù)的作用就會打折扣，甚至成為攻擊的弱點和漏洞。技術(shù)是手段，管理是前提和保證目標只有一個，那就是信息安全。根據(jù)我國的國情，管理的重要性還體現(xiàn)在領(lǐng)導(dǎo)的重要性。實踐證明，在我國信息系統(tǒng)建設(shè)階段，單位領(lǐng)導(dǎo)的重視與支持對單位的信息系統(tǒng)建設(shè)和發(fā)展的重要性已經(jīng)成為不爭的事實。同樣，單位領(lǐng)導(dǎo)，特別是主要領(lǐng)導(dǎo)的重視與支持，對單位信息安全系統(tǒng)建設(shè)和運行具有十分重要的作用。正確實施信息安全等級保護正確實施信息安全等級保護需要采用以下基本方法：1)風(fēng)險管理與信息安全等級保護相結(jié)合是貫穿信息系統(tǒng)整個生命周期的有效措施；2)構(gòu)建等級化的信息安全保障體系是實施信息安全等級保護的正確途徑；3)按區(qū)域分類、分層、分等級保護是對信息系統(tǒng)實施安全等級保護的有效方法；4)安全的一致性原理是等級化信息系統(tǒng)安全設(shè)計的重要思想。在進行等級化的信息系統(tǒng)安全設(shè)計時，首先采用風(fēng)險分析的方法確定安全風(fēng)險程度（等級）和安全需求，然后將這些安全需求轉(zhuǎn)化為相應(yīng)的安全要求，再根據(jù)這些安全要求，確定對應(yīng)的安全技術(shù)和安全管理措施。根據(jù)這些安全技術(shù)和安全管理措施在相關(guān)的安全技術(shù)標準和安全管理標準中的安全級，從而最終確定信息系統(tǒng)的安全等級。由于安全技術(shù)和安全管理標準的等級劃分已經(jīng)充分考慮到信息系統(tǒng)安全等級的劃分，所以從整體上兩者的等級應(yīng)該是基本一致的。但這里并不要求完全對應(yīng)。因為從本質(zhì)上講，技術(shù)和管理的安全等級的劃分是比較單一的，而信息系統(tǒng)安全等級的劃分是比較復(fù)雜的，而且與信息系統(tǒng)所在的環(huán)境和條件有關(guān)的?？梢詭椭覀兝斫膺@一觀點的一個例子是，美國的NIST系列文檔將信息系統(tǒng)的安全等級劃分為基本級、增強級、強健級三個等級，并通過選取C C中的相應(yīng)安全組件來構(gòu)建所需要的信息安全系統(tǒng)。通過風(fēng)險分析確定安全風(fēng)險等級，威脅針對脆弱性和資產(chǎn)所產(chǎn)生的后果是，在脆弱性和資產(chǎn)確定的情況下，安全風(fēng)險隨威脅的增加而增加；在威脅確定的情況下，安全風(fēng)險隨資產(chǎn)和/或脆弱性的增加而增加；安全需求等級由安全風(fēng)險等級產(chǎn)生，安全目標等級由安全需求等級確定，安全目標等級通過選擇相應(yīng)安全等級的安全措施（安全技術(shù)措施和安全管理措施）來實現(xiàn)；安全措施通過對抗威脅、保護資產(chǎn)和降低脆弱性來減少安全風(fēng)險，使剩余風(fēng)險降低到可接受的范圍，從而達到對信息系統(tǒng)進行安全保護的目標?！皹?gòu)建等級化的信息安全保障體系是實施信息安全等級保護的正確途徑”，這一基本方法表明：對信息系統(tǒng)實施安全等級保護，需要根據(jù)其承載的各個業(yè)務(wù)應(yīng)用的不同安全需求確定不同的安全保護等級，從而構(gòu)成等級化的信息系統(tǒng)安全保障體系。一個大型復(fù)雜的信息系統(tǒng)，其所承載的業(yè)務(wù)應(yīng)用會有各種類型，不同類型的業(yè)務(wù)應(yīng)用會有不同的安全保護需求，即使是同一種類型的業(yè)務(wù)應(yīng)用，也會有不同的安全保護需求。這些安全需求的不同主要體現(xiàn)在對數(shù)據(jù)信息安全保護的不同要求。這些不同的安全需求是構(gòu)建等級化信息安全保障體系的基本依據(jù)。等級化主要體現(xiàn)在對具有不同安全保護要求的數(shù)據(jù)信息的不同安全保護方面。各類數(shù)據(jù)信息的流動范圍就是該類數(shù)據(jù)信息實施安全保護的范圍?！鞍磾?shù)據(jù)分類分區(qū)域、分層、分等級保護是對信息系統(tǒng)實施安全等級保護的有效方法”，這一基本方法表明：對一個大型復(fù)雜的信息系統(tǒng)，需要根據(jù)其不同保護要求，劃分不同的安全保護域，并對每一個安全域?qū)嵤┎煌燃壍陌踩Ｗo，從而在整體上實現(xiàn)多級安全保護。按數(shù)據(jù)分類分區(qū)域、分層、分等級保護是對等級化信息安全保障體系的具體實現(xiàn)。所謂按數(shù)據(jù)分類保護是指，將需要進行相同保護的數(shù)據(jù)信息作為相同的分類，將同一類數(shù)據(jù)的流動范圍劃分為一個區(qū)域，實施相同的安全保護，域的劃分可以是物理的也可以是邏輯的，甚至可能是交叉的，當(dāng)然具體劃分應(yīng)越簡單越好；所謂分層保護是指，在同一安全域中，組成該安全域的各個層次的軟硬件系統(tǒng)應(yīng)具有相同的安全保護能力，以確保當(dāng)數(shù)據(jù)信息在其控制范圍內(nèi)時能得到應(yīng)有的安全保護；所謂分等級保護是指，對在同一區(qū)域和/或不同區(qū)域需要進行相同保護的數(shù)據(jù)信息進行相同等級的安全保護。在一個具體的信息系統(tǒng)中，一個服務(wù)器可以構(gòu)成一個安全域，多個服務(wù)器及其互聯(lián)的網(wǎng)絡(luò)可以構(gòu)成一個安全域；服務(wù)器、客戶端計算機系統(tǒng)及其互聯(lián)的網(wǎng)絡(luò)可以構(gòu)成一個安全域。這一切都需要根據(jù)數(shù)據(jù)信息的安全保護要求及其流動的范圍確定?？磥恚瑪?shù)據(jù)信息成為安全域劃分的關(guān)鍵因素。于是，根據(jù)數(shù)據(jù)信息需要保護的程度，合理分布和控制數(shù)據(jù)信息的流動便成為等級化信息系統(tǒng)安全保障體系設(shè)計的重要環(huán)節(jié)?！鞍踩囊恢滦栽硎堑燃壔畔⑾到y(tǒng)安全設(shè)計的重要思想”，這一基本方法表明：設(shè)計一個安全的信息系統(tǒng)，需要采用具有相對一致安全性的安全措施，包括：各個安全技術(shù)要素之間的相對一致性，安全功能與安全保證的一致性，以及安全管理與安全技術(shù)的一致性等。GB178591999及其相關(guān)的一系列信息安全等級保護標準就是按照這種一致性要求制定的。其中的安全等級劃分已經(jīng)充分考慮到這些一致性要求。例如，通用安全技術(shù)要求中，同一安全等級的各個安全要素的安全要求的一致性體現(xiàn)在：基于“口令”的鑒別與基本的自主訪問控制相一致；基于增強管理的“口令”的鑒別與更細粒度的自主訪問控制相一致；基于“數(shù)字證書”/“生物特征”的身份鑒別與更細粒度的自主訪問控制和強制訪問控制相一致等等。又如，安全功能與安全保證的一致性體現(xiàn)在：基于“口令”的身份鑒別有較低（第一級）的安全保證要求，而基于“數(shù)字證書”的身份鑒別則有較高（第三級）的安全保證要求。安全管理與安全技術(shù)的一致性在安全技術(shù)的等級劃分和安全管理的等級劃分中得到了充分的體