信息系統(tǒng)安全等級(jí)保護(hù)基本要求和建設(shè)整改-展示頁
2025-02-25 11:49本頁面
【正文】 《 關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見 》 公通字 [2023]66號(hào) 《 信息安全等級(jí)保護(hù)管理辦法 》 公通字 [2023]43號(hào) 本標(biāo)準(zhǔn)是信息安全等級(jí)保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一；相關(guān)的系列標(biāo)準(zhǔn)包括： 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南； （ GB/T222402023） 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求； （ GB/T222392023） 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)準(zhǔn)則； （送審稿） 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南； （ GB/T 250582023 ） 信息安全技術(shù) 信息系統(tǒng)等級(jí)保護(hù)級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求；（ GB/T 250702023 ） 在對(duì)信息系統(tǒng)實(shí)施信息安全等級(jí)保護(hù)的過程中，在不同的階段，還應(yīng)參照其他有關(guān)信息安全等級(jí)保護(hù)的標(biāo)準(zhǔn)、要求開展工作。 信息安全標(biāo)準(zhǔn) ? AS/NZS 4360: 1999 風(fēng)險(xiǎn)管理標(biāo)準(zhǔn) ? ISO/IEC 13335 IT安全管理指南 ? ISO/IEC 17799:2023 信息安全管理最佳實(shí)踐指南 ? ISO/IEC 27001:2023 信息安全管理體系規(guī)范 ? ISO/IEC 15408/GB 18336 CC ? IATF 信息保障技術(shù)框架 ? SSECMM 系統(tǒng)安全工程能力成熟度模型 ? 公安部等級(jí)保護(hù)指南 ? 《 信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南 》 參考 ISO13335 ? 《 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南 》 參考 ISO1333 IATF 、 SSECMM ? 《 信息系統(tǒng)安全等級(jí)保護(hù)基本要求 》 參考 ISO1540 7799參考 ? 《 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)準(zhǔn)則 》 信息安全等級(jí)保護(hù)基本要求與建設(shè)整改 標(biāo)準(zhǔn)術(shù)語與定義 1 基本要求概述 2 基本要求的應(yīng)用要點(diǎn) 3 基本要求的主要內(nèi)容 4 基本要求的級(jí)差 5 基本技術(shù)要求及設(shè)計(jì)指南 6 基本管理要求 7 系統(tǒng)改建的實(shí)施方案設(shè)計(jì) 8 等級(jí)保護(hù)基本要求的概述 ??信息系統(tǒng)安全保護(hù)等級(jí) 信息系統(tǒng)根據(jù)其在國家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，遭到破壞后對(duì)國家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，由低到高劃分成五級(jí)。 ??高教系統(tǒng)安全保護(hù)等級(jí) 《 教育行政部門及高等院校信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南 》 依據(jù)國家信息安全等級(jí)保護(hù)相關(guān)文件，結(jié)合教育行政部門及高等院校信息化工作特點(diǎn)制定，適用于為教育行政部門及高等院校相關(guān)信息系統(tǒng)安全等級(jí)保護(hù)的定級(jí)工作提供指導(dǎo)。 ? 第二級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國家安全。 ? 第四級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對(duì)國家安全造成嚴(yán)重?fù)p害。 不同等級(jí)的安全保護(hù)能力 ? ??第一級(jí) 應(yīng)能夠防護(hù)系統(tǒng)免受來自個(gè)人的、擁有很少資源（如利用公開可獲取的工具等）的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難（災(zāi)難發(fā)生的強(qiáng)度弱、持續(xù)時(shí)間很短等）以及其他相當(dāng)危害程度的威脅（無意失誤、技術(shù)故障等）所造成的關(guān)鍵資源損害，在系統(tǒng)遭到損害后，能夠恢復(fù)部分功能。 不同等級(jí)的安全保護(hù)能力 ? 第三級(jí) 應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自外部有組織的團(tuán)體（如一個(gè)商業(yè)情報(bào)組織或犯罪組織等），擁有較為豐富資源（包括人員能力、計(jì)算能力等）的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難（災(zāi)難發(fā)生的強(qiáng)度較大、持續(xù)時(shí)間較長、覆蓋范圍較廣等）以及其他相當(dāng)危害程度的威脅（內(nèi)部人員的惡意威脅、無意失誤、較嚴(yán)重的技術(shù)故障等）所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。 不同等級(jí)的安全保護(hù)能力 能力 等級(jí) 抵御攻擊 病毒和惡意代碼防范 抵抗自然災(zāi)害 入侵檢測 系統(tǒng)恢復(fù) 安全事件響應(yīng)和責(zé)任追蹤 資源控制 第一級(jí) 一般性攻擊 常見病毒和惡意代碼 無要求 無要求 恢復(fù)系統(tǒng)主要功能 無要求 無要求 第二級(jí) 小規(guī)模、較弱強(qiáng)度攻擊 一般性計(jì)算機(jī)病毒和惡意代碼 一般自然災(zāi)害 檢測常見的攻擊行為，并對(duì)安全事件進(jìn)行記錄 恢復(fù)系統(tǒng)正常運(yùn)行狀態(tài) 無要求 無要求 第三級(jí) 大規(guī)模、較強(qiáng)惡意攻擊 病毒和惡意代碼 較為嚴(yán)重的自然災(zāi)害 檢測、發(fā)現(xiàn)、報(bào)警、記錄入侵行為 快速恢復(fù)正常運(yùn)行狀態(tài) 響應(yīng)處置，能夠追蹤安全責(zé)任 集中控管 第四級(jí) 統(tǒng)一的安全保護(hù)策略下具有抵御敵對(duì)勢力有組 織的大規(guī)模攻擊 病毒和惡意代碼 嚴(yán)重自然災(zāi)害 檢測、發(fā)現(xiàn)、報(bào)警、記錄入侵行為 立即恢復(fù)正常運(yùn)行狀態(tài) 快速響應(yīng)處置，并能夠追蹤安全責(zé)任 集中控管 基本要求的組織方式 ??基本要求的組織方式 項(xiàng) 控制點(diǎn) 類 方面 信息系統(tǒng) 信息安全等級(jí)保護(hù)基本要求 技術(shù)要求 物理安全類 控制點(diǎn) 10 具體要求項(xiàng) 33 網(wǎng)絡(luò)安全類 控制點(diǎn) 7 具體要求項(xiàng) 32 主機(jī)安全類 控制點(diǎn) 9 具體要求項(xiàng) 36 應(yīng)用安全類 控制點(diǎn) 11 具體要求項(xiàng) 36 數(shù)據(jù)安全及備份恢復(fù)類 控制點(diǎn) 3 具體要求項(xiàng) 11 管理要求 安全管理制度類 控制
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1