等級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)簡(jiǎn)介-在線瀏覽
2025-03-22 01:45本頁(yè)面
【正文】 理 測(cè)評(píng) 準(zhǔn)則 流程 方法 監(jiān)管 流程 應(yīng)急 預(yù)案 應(yīng)急 響應(yīng) 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 7 有關(guān)標(biāo)準(zhǔn)編制內(nèi)容介紹 ?定級(jí)指南 ?基本要求 ?實(shí)施指南 公安部 信息安全等級(jí)保護(hù)評(píng)估中心 定級(jí)指南標(biāo)準(zhǔn)編制 情況介紹 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 9 定級(jí)指南標(biāo)準(zhǔn)編制情況介紹 ?背景介紹 ?等級(jí)確定的原則 ?決定等級(jí)的主要因素分析 ?等級(jí)確定方法 ?等級(jí)劃分流程 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 10 背景介紹 與系統(tǒng)等級(jí)相關(guān)的國(guó)外資料： ? FIPS 199（美國(guó)聯(lián)邦政府） – 根據(jù)信息系統(tǒng)所處理信息的機(jī)密性、完整性和可用性被破壞的影響確定。 ? IATF（ NSA） – 根據(jù)信息價(jià)值與威脅確定系統(tǒng)強(qiáng)健度等級(jí)。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 11 背景介紹 上述定級(jí)方法存在問(wèn)題 – 僅由信息重要性確定信息系統(tǒng)的等級(jí)，對(duì)大型企業(yè)和重點(diǎn)行業(yè)的重要業(yè)務(wù)系統(tǒng)不合適。 – 確定系統(tǒng)等級(jí)，與業(yè)務(wù)無(wú)關(guān)，不滿足等級(jí)保護(hù)的監(jiān)管需要。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 12 等級(jí)確定的原則 ? 全局性原則 – 信息系統(tǒng)安全等級(jí)保護(hù)是針對(duì)全國(guó)范圍內(nèi)、涵蓋各個(gè)行業(yè)信息系統(tǒng)的管理制度，信息系統(tǒng)安全保護(hù)等級(jí)的劃分也必須從國(guó)家層面考慮，體現(xiàn)全局性。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 13 等級(jí)確定的原則 ? 滿足監(jiān)管要求原則 – 信息系統(tǒng)安全保護(hù)等級(jí)既不是信息系統(tǒng)安全保障等級(jí)，也不是信息系統(tǒng)所能達(dá)到的技術(shù)能力等級(jí)，而是從安全監(jiān)管需要，從信息系統(tǒng)對(duì)國(guó)家安全、經(jīng)濟(jì)建設(shè)、公共利益等方面的重要性，以及信息或信息系統(tǒng)被破壞后造成危害的嚴(yán)重性角度確定的信息系統(tǒng)應(yīng)達(dá)到的安全等級(jí)。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 14 決定等級(jí)的主要因素分析 從目前的資料上看，已在不同分級(jí)方法中出現(xiàn)的作為劃分信息系統(tǒng)安全等級(jí)的因素主要包括： ? 單位業(yè)務(wù)在國(guó)家事務(wù)中的重要性 （實(shí)施意見(jiàn)）； ? 資產(chǎn) （包括有形資產(chǎn)和無(wú)形資產(chǎn)）（ FIPS199， IATF，DITSCAP， NIST80037）； ? 威脅 （ IATF）； ? 信息被破壞后對(duì)國(guó)家、社會(huì)公共利益和單位或個(gè)人的影響 （ FIPS199，通用要求，實(shí)施指南）； ? 單位業(yè)務(wù)對(duì)信息系統(tǒng)的依賴程度 （ DITSCAP） 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 15 決定等級(jí)的主要因素分析 經(jīng)分析，除排除威脅因素外，劃分等級(jí)時(shí)應(yīng)考慮以下因素： ? 信息系統(tǒng)所屬類型，即信息系統(tǒng)的安全利益主體。 ? 信息系統(tǒng)服務(wù)范圍，包括服務(wù)對(duì)象和服務(wù)網(wǎng)絡(luò)覆蓋范圍。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 16 決定等級(jí)的主要因素分析 信息系統(tǒng)所屬類型 業(yè)務(wù)數(shù)據(jù)類別 信息系統(tǒng)服務(wù)范圍 業(yè)務(wù)處理的自動(dòng)化程度 業(yè)務(wù)重要性 業(yè)務(wù)數(shù)據(jù)安全性 業(yè)務(wù)處理連續(xù)性 業(yè)務(wù)依賴性 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 17 決定等級(jí)的主要因素分析 業(yè)務(wù)數(shù)據(jù)安全性 業(yè)務(wù)處理連續(xù)性 信息系統(tǒng)安全保護(hù)等級(jí) 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 18 等級(jí)確定方法 具體步驟： ? 通過(guò)對(duì)信息系統(tǒng)類型和業(yè)務(wù)數(shù)據(jù)類型賦值，確定信息系統(tǒng)的業(yè)務(wù)數(shù)據(jù)安全性等級(jí)； ? 通過(guò)對(duì)信息系統(tǒng)服務(wù)范圍和業(yè)務(wù)處理自動(dòng)化程度賦值，確定信息系統(tǒng)的業(yè)務(wù)處理連續(xù)性等級(jí)； ? 通過(guò)業(yè)務(wù)數(shù)據(jù)安全性等級(jí)和業(yè)務(wù)處理連續(xù)性等級(jí)確定信息系統(tǒng)安全保護(hù)等級(jí)。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 23 組合形式 信息系統(tǒng)安全保護(hù)等級(jí)對(duì)應(yīng)的業(yè)務(wù)數(shù)據(jù)安全性要求級(jí)別（ Sx）和業(yè)務(wù)處理連續(xù)性要求級(jí)別(Cy)的組合。 公安部信息安全等級(jí)保護(hù)評(píng)估中心 2023/3/7 27 5個(gè)監(jiān)管等級(jí)對(duì)象 ? 第一級(jí)：信息系統(tǒng)所承載業(yè)務(wù)涉及公民、法人和其他組織的權(quán)益，受到破壞后對(duì)公民、法人和其他組織的權(quán)益造成一定損害；該業(yè)務(wù)的開(kāi)展在一定程度上依托于信息系統(tǒng)，系統(tǒng)受到破壞后對(duì)業(yè)務(wù)正常開(kāi)展產(chǎn)生一定影響。 ? 第三級(jí)：信息系統(tǒng)所承載的業(yè)務(wù)涉及國(guó)家、社會(huì)和公共利益，受到破壞后會(huì)對(duì)國(guó)家、社會(huì)和公共利益造成損害的；該業(yè)務(wù)的開(kāi)展主要依托于信息系統(tǒng)，系統(tǒng)受到破壞后影響業(yè)務(wù)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1