地市电子政务网络的信息安全等级保护（一）
一、背景
自从国家启动政府信息化建设以来，各地市政府大都已经完成了从无到有的电子政务网络建设。但是，初期的地市电子政务网连接范围一般较小，纵向上，没有连接起区县一级的政府办公网络；横向上，没有连接起各局、委、办的办公网络；相互之间缺乏有机联系，形成了信息孤岛，导致无论是政府内部办公还是公众服务，都存在沟通不畅、效率低的问题。为了加强政府内部的交流、提高政府的整体办公效率和服务水平，许多地市已经开始规划、建设具有更大连接范围、更快传输速度的大型电子政务网络。
大型地市电子政务网络建设的基本目标是为各接入单位提供统一、优质的信息化传输平台。但与此同时，由于接入人员的身份复杂（分属不同的行政部门），各部门对信息安全的要求也存在差异，所以电子政务网在为正常业务数据提供高速通路的同时，也有可能成为网络安全威胁快速扩散和蔓延的温床。这已经成为地市电子政务网络建设中需要考虑的头号问题，换句话说：“大型地市电子政务网建设的好与不好，标准就是网络安全是否达标”。
二、“等保”与电子政务网
适逢其时的是，国家的相关部门已经制订了标准、规范，可以非常细致地指导地市电子政务网的“网络安全规划、建设和监管”。这个标准和规范就是“信息安全等级保护”。
信息安全等级保护（简称“等保”）就是国家通过制订统一的标准，根据信息系统不同重要程度，有针对性开展保护工作，分等级对信息系统进行保护，国家对不同等级的信息系统实行不同强度的监督管理。“等保”将信息系统的安全等级分为5级，1级最低，5级最高。例如，电子政务内网要达到4级保护要求，电子政务外网要达到3级保护要求。
“等保”有具体的实施指南，把实施流程进行了细化，在其中的“安全规划设计阶段”、“产品采购和工程实施阶段”、“运营管理和状态监控阶段”，H3C公司都能提供很好的服务和帮助，尤其是在安全建设规划、详细方案设计的过程中。
地市电子政务网络的信息安全等级保护（二）
H3C公司多年服务于电子政务网，了解电子政务网运行中的安全需求，开发了“五大安全解决方案”，分别是：远程安全接入解决方案、边界防护解决方案、内网控制解决方案、数据中心保护解决方案和行为监管解决方案。这些解决方案不是单一的产品，而是多产品的联动配合，能够响应“等保”中的许多技术要求和管理要求，是落实“等保”的优秀解决方案。
1.远程安全接入解决方案
能够响应的等保要求：
O1-6. 应具有对传输和存储数据进行完整性检测的能力
O1-8. 应具有合理使用和控制系统资源的能力
O1-9. 应具有设计合理、安全网络结构的能力
O1-14. 应具有对网络、系统和应用的访问进行控制的能力
O1-15. 应具有对数据、文件或其他资源的访问进行控制的能力O1-16. 应具有对用户进行标识和鉴别的能力
O1-17. 应具有保证鉴别数据传输和存储保密性的能力
O2-11. 应具有对传输和存储数据进行完整性检测的能力
O2-12. 应具有对硬件故障产品进行替换的能力
O2-13. 应具有系统软件、应用软件容错的能力
O2-14. 应具有软件故障分析的能力
O2-15. 应具有合理使用和控制系统资源的能力
O2-16. 应具有记录用户操作行为的能力
O2-22. 应具有对传输和存储中的信息进行保密性保护的能力O2-24. 应具有限制网络、操作系统和应用系统资源使用的能力
O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力
O2-27. 应具有对网络、系统和应用的访问进行控制的能力
O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力
O2-29. 应具有对资源访问的行为进行记录的能力
O2-30. 应具有对用户进行唯一标识的能力
O2-31. 应具有对用户产生复杂鉴别信息并进行鉴别的能力
O2-35. 应具有保证鉴别数据传输和存储保密性的能力
O2-37. 应具有非活动状态一段时间后自动切断连接的能力
O2-38. 应具有网络边界完整性检测能力
O3-14. 应具有监测通信线路传输状况的能力
O3-15. 应具有及时恢复正常通信的能力
O3-16. 应具有对传输和存储数据进行完整性检测和纠错的能力
O3-17. 应具有系统软件、应用软件容错的能力
O3-18. 应具有软件故障分析的能力
O3-19. 应具有软件状态监测和报警的能力
O3-20. 应具有自动保护当前工作状态的能力
O3-21. 应具有合理使用和控制系统资源的能力
O3-22. 应具有按优先级自动分配系统资源的能力
O3-33. 应具有使重要通信线路及时恢复的能力
O3-34. 应具有限制网络、操作系统和应用系统资源使用的能力
O3-35. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O3-36. 应具有能够检测、分析、响应对网络和重要主机的各种攻击的能力O3-38. 应具有对网络、系统和应用的访问进行严格控制的能力
O3-39. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O3-44. 应具有保证鉴别数据传输和存储保密性的能力
O3-45. 应具有对用户进行唯一标识的能力
O3-51. 应具有对传输和存储中的信息进行保密性保护的能力
O3-52. 应具有防止加密数据被破解的能力
O3-53. 应具有路由选择和控制的能力
O3-54. 应具有信息源发的鉴别能力
O3-55. 应具有通信数据完整性检测和纠错能力
O3-57. 应具有持续非活动状态一段时间后自动切断连接的能力
O3-58. 应具有基于密码技术的抗抵赖能力
O3-59. 应具有防止未授权下载、拷贝软件或者文件的能力
O3-61. 应具有切断非法连接的能力
O3-62. 应具有重要数据和程序进行完整性检测和纠错能力
O3-66. 应具有保证重要业务系统及时恢复运行的能力
O4-15. 应具有监测通信线路传输状况的能力
O4-21. 应具有合理使用和控制系统资源的能力
O4-22. 应具有按优先级自动分配系统资源的能力
O4-23. 应具有对传输和存储数据进行完整性检测和纠错的能力
O4-36. 应具有使重要通信线路及时恢复的能力
O4-37. 应具有限制网络、操作系统和应用系统资源使用的能力
O4-38. 应具有能够检测、集中分析、响应、阻止对网络和所有主机的各种攻击的能力
O4-39. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O4-41. 应具有对网络、系统和应用的访问进行严格控制的能力
O4-42. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O4-47. 应具有保证鉴别数据传输和存储保密性的能力
O4-48. 应具有对用户进行唯一标识的能力
O4-49. 应具有对同一个用户产生多重鉴别信息，其中一个是不可伪造的鉴别信息并进行多重鉴别的能力O4-53. 应具有对传输和存储中的信息进行保密性保护的能力
O4-55. 应具有防止加密数据被破解的能力
O4-56. 应具有路由选择和控制的能力
O4-57. 应具有信息源发的鉴别能力
O4-59. 应具有持续非活动状态一段时间后自动切断连接的能力
O4-60. 应具有基于密码技术的抗抵赖能力
O4-61. 应具有防止未授权下载、拷贝软件或者文件的能力
O4-63. 应具有切断非法连接的能力
O4-64. 应具有重要数据和程序进行完整性检测和纠错能力
O4-68. 应具有保证通信不中断的能力
O4-69. 应具有保证业务系统不中断的能力
2.边界防护解决方案
能够响应的等保要求：
O1-8. 应具有合理使用和控制系统资源的能力
O1-9. 应具有设计合理、安全网络结构的能力
O1-13. 应具有发现网络协议、操作系统、应用系统等重要漏洞并及时修补的能力O1-14. 应具有对网络、系统和应用的访问进行控制的能力
O1-15. 应具有对数据、文件或其他资源的访问进行控制的能力
O1-16. 应具有对用户进行标识和鉴别的能力
O1-17. 应具有保证鉴别数据传输和存储保密性的能力
O1-18. 应具有对恶意代码的检测、阻止和清除能力
O2-15. 应具有合理使用和控制系统资源的能力
O2-16. 应具有记录用户操作行为的能力
O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力
O2-26. 应具有发现所有已知漏洞并及时修补的能力
O2-27. 应具有对网络、系统和应用的访问进行控制的能力
O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力
O2-32. 应具有对恶意代码的检测、阻止和清除能力
O2-33. 应具有防止恶意代码在网络中扩散的能力
O2-34. 应具有对恶意代码库和搜索引擎及时更新的能力
O2-38. 应具有网络边界完整性检测能力
O3-21. 应具有合理使用和控制系统资源的能力
O3-34. 应具有限制网络、操作系统和应用系统资源使用的能力
O3-35. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O3-36. 应具有能够检测、分析、响应对网络和重要主机的各种攻击的能力O3-37. 应具有发现所有已知漏洞并及时修补的能力
O3-38. 应具有对网络、系统和应用的访问进行严格控制的能力
O3-39. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O3-40. 应具有对资源访问的行为进行记录、分析并响应的能力
O3-41. 应具有对恶意代码的检测、阻止和清除能力
O3-42. 应具有防止恶意代码等在网络中扩散的能力
O3-43. 应具有对恶意代码库和搜索引擎及时更新的能力
O3-53. 应具有路由选择和控制的能力
O3-54. 应具有信息源发的鉴别能力
O3-59. 应具有防止未授权下载、拷贝软件或者文件的能力
O3-60. 应具有网络边界完整性检测能力
O3-61. 应具有切断非法连接的能力
O4-21. 应具有合理使用和控制系统资源的能力
O4-22. 应具有按优先级自动分配系统资源的能力
O4-37. 应具有限制网络、操作系统和应用系统资源使用的能力
O4-38. 应具有能够检测、集中分析、响应、阻止对网络和所有主机的各种攻击的能力O4-39. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O4-40. 应具有发现所有已知漏洞并及时修补的能力
O4-41. 应具有对网络、系统和应用的访问进行严格控制的能力
O4-42. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O4-44. 应具有对恶意代码的检测、集中分析、阻止和清除能力
O4-45. 应具有防止恶意代码在网络中扩散的能力
O4-46. 应具有对恶意代码库和搜索引擎及时更新的能力
O4-47. 应具有保证鉴别数据传输和存储保密性的能力
O4-56. 应具有路由选择和控制的能力
O4-57. 应具有信息源发的鉴别能力
O4-61. 应具有防止未授权下载、拷贝软件或者文件的能力
O4-62. 应具有网络边界完整性检测能力
O4-63. 应具有切断非法连接的能力
3.内网控制解决方案
能够响应的等保要求：
O1-13. 应具有发现网络协议、操作系统、应用系统等重要漏洞并及时修补的能力O1-14. 应具有对网络、系统和应用的访问进行控制的能力
O1-15. 应具有对数据、文件或其他资源的访问进行控制的能力
O1-16. 应具有对用户进行标识和鉴别的能力
O1-18. 应具有对恶意代码的检测、阻止和清除能力
O2-15. 应具有合理使用和控制系统资源的能力
O2-16. 应具有记录用户操作行为的能力
O2-17. 应具有对用户的误操作行为进行检测和报警的能力
O2-24. 应具有限制网络、操作系统和应用系统资源使用的能力
O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力
O2-26. 应具有发现所有已知漏洞并及时修补的能力
O2-27. 应具有对网络、系统和应用的访问进行控制的能力
O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力
O2-29. 应具有对资源访问的行为进行记录的能力
O2-30. 应具有对用户进行唯一标识的能力
O2-31. 应具有对用户产生复杂鉴别信息并进行鉴别的能力
O2-32. 应具有对恶意代码的检测、阻止和清除能力
O2-33. 应具有防止恶意代码在网络中扩散的能力
O2-34. 应具有对恶意代码库和搜索引擎及时更新的能力
O3-19. 应具有软件状态监测和报警的能力
O3-21. 应具有合理使用和控制系统资源的能力
O3-22. 应具有按优先级自动分配系统资源的能力
O3-24. 应具有记录用户操作行为和分析记录结果的能力
O3-34. 应具有限制网络、操作系统和应用系统资源使用的能力
O3-35. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O3-36. 应具有能够检测、分析、响应对网络和重要主机的各种攻击的能力
O3-37. 应具有发现所有已知漏洞并及时修补的能力
O3-38. 应具有对网络、系统和应用的访问进行严格控制的能力
O3-39. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O3-40. 应具有对资源访问的行为进行记录、分析并响应的能力
O3-41. 应具有对恶意代码的检测、阻止和清除能力
O3-42. 应具有防止恶意代码等在网络中扩散的能力
O3-43. 应具有对恶意代码库和搜索引擎及时更新的能力
O3-45. 应具有对用户进行唯一标识的能力
O3-46. 应具有对同一个用户产生多重鉴别信息并进行多重鉴别的能力
O3-47. 应具有对硬件设备进行唯一标识的能力
O3-48. 应具有对硬件设备进行合法身份确定的能力
O3-49. 应具有检测非法接入设备的能力
O3-54. 应具有信息源发的鉴别能力
O3-58. 应具有基于密码技术的抗抵赖能力
O3-59. 应具有防止未授权下载、拷贝软件或者文件的能力
O3-61. 应具有切断非法连接的能力
O4-21. 应具有合理使用和控制系统资源的能力
O4-22. 应具有按优先级自动分配系统资源的能力
O4-25. 应具有记录用户操作行为和分析记录结果的能力
O4-27. 应具有安全机制失效的自动检测和报警能力
O4-28. 应具有检测到安全机制失效后恢复安全机制的能力
O4-37. 应具有限制网络、操作系统和应用系统资源使用的能力
O4-38. 应具有能够检测、集中分析、响应、阻止对网络和所有主机的各种攻击的能力O4-39. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O4-40. 应具有发现所有已知漏洞并及时修补的能力
O4-41. 应具有对网络、系统和应用的访问进行严格控制的能力
O4-42. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O4-43. 应具有对资源访问的行为进行记录、集中分析并响应的能力
O4-44. 应具有对恶意代码的检测、集中分析、阻止和清除能力
O4-45. 应具有防止恶意代码在网络中扩散的能力
O4-46. 应具有对恶意代码库和搜索引擎及时更新的能力
O4-47. 应具有保证鉴别数据传输和存储保密性的能力
O4-48. 应具有对用户进行唯一标识的能力
O4-49. 应具有对同一个用户产生多重鉴别信息，其中一个是不可伪造的鉴别信息并进行多重鉴别的能力O4-50. 应具有对硬件设备进行唯一标识的能力
O4-51. 应具有对硬件设备进行合法身份确定的能力
O4-52. 应具有检测非法接入设备的能力
O4-56. 应具有路由选择和控制的能力
O4-57. 应具有信息源发的鉴别能力
O4-61. 应具有防止未授权下载、拷贝软件或者文件的能力
O4-63. 应具有切断非法连接的能力
4.数据中心保护解决方案
能够响应的等保要求：
O1-13. 应具有发现网络协议、操作系统、应用系统等重要漏洞并及时修补的能力
O1-14. 应具有对网络、系统和应用的访问进行控制的能力
O1-15. 应具有对数据、文件或其他资源的访问进行控制的能力
O1-18. 应具有对恶意代码的检测、阻止和清除能力
O2-15. 应具有合理使用和控制系统资源的能力
O2-24. 应具有限制网络、操作系统和应用系统资源使用的能力
O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力
O2-26. 应具有发现所有已知漏洞并及时修补的能力
O2-27. 应具有对网络、系统和应用的访问进行控制的能力
O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力
O2-32. 应具有对恶意代码的检测、阻止和清除能力
O2-33. 应具有防止恶意代码在网络中扩散的能力
O2-34. 应具有对恶意代码库和搜索引擎及时更新的能力
O3-34. 应具有限制网络、操作系统和应用系统资源使用的能力
O3-35. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O3-36. 应具有能够检测、分析、响应对网络和重要主机的各种攻击的能力
O3-37. 应具有发现所有已知漏洞并及时修补的能力
O3-38. 应具有对网络、系统和应用的访问进行严格控制的能力
O3-39. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O3-40. 应具有对资源访问的行为进行记录、分析并响应的能力
O3-41. 应具有对恶意代码的检测、阻止和清除能力
O3-42. 应具有防止恶意代码等在网络中扩散的能力
O3-43. 应具有对恶意代码库和搜索引擎及时更新的能力
O4-37. 应具有限制网络、操作系统和应用系统资源使用的能力
O4-38. 应具有能够检测、集中分析、响应、阻止对网络和所有主机的各种攻击的能力O4-39. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O4-40. 应具有发现所有已知漏洞并及时修补的能力
O4-41. 应具有对网络、系统和应用的访问进行严格控制的能力
O4-42. 应具有对数据、文件或其他资源的访问进行严格控制的能力O4-44. 应具有对恶意代码的检测、集中分析、阻止和清除能力
O4-45. 应具有防止恶意代码在网络中扩散的能力
O4-46. 应具有对恶意代码库和搜索引擎及时更新的能力
5.行为监管解决方案
能够响应的等保要求：
O1-14. 应具有对网络、系统和应用的访问进行控制的能力
O1-15. 应具有对数据、文件或其他资源的访问进行控制的能力
O1-16. 应具有对用户进行标识和鉴别的能力
O2-15. 应具有合理使用和控制系统资源的能力
O2-16. 应具有记录用户操作行为的能力
O2-24. 应具有限制网络、操作系统和应用系统资源使用的能力
O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力
O2-27. 应具有对网络、系统和应用的访问进行控制的能力
O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力
O2-29. 应具有对资源访问的行为进行记录的能力
O2-30. 应具有对用户进行唯一标识的能力
O2-31. 应具有对用户产生复杂鉴别信息并进行鉴别的能力
O3-21. 应具有合理使用和控制系统资源的能力
O3-22. 应具有按优先级自动分配系统资源的能力
O3-24. 应具有记录用户操作行为和分析记录结果的能力
O3-34. 应具有限制网络、操作系统和应用系统资源使用的能力
O3-35. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O3-38. 应具有对网络、系统和应用的访问进行严格控制的能力
O3-39. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O3-40. 应具有对资源访问的行为进行记录、分析并响应的能力
O3-45. 应具有对用户进行唯一标识的能力
O3-46. 应具有对同一个用户产生多重鉴别信息并进行多重鉴别的能力
O3-59. 应具有防止未授权下载、拷贝软件或者文件的能力
O3-61. 应具有切断非法连接的能力
O4-21. 应具有合理使用和控制系统资源的能力
O4-25. 应具有记录用户操作行为和分析记录结果的能力
O4-37. 应具有限制网络、操作系统和应用系统资源使用的能力
O4-39. 应具有合理分配、控制网络、操作系统和应用系统资源的能力
O4-41. 应具有对网络、系统和应用的访问进行严格控制的能力
O4-42. 应具有对数据、文件或其他资源的访问进行严格控制的能力
O4-43. 应具有对资源访问的行为进行记录、集中分析并响应的能力
O4-48. 应具有对用户进行唯一标识的能力
O4-49. 应具有对同一个用户产生多重鉴别信息，其中一个是不可伪造的鉴别信息并进行多重鉴别的能力O4-61. 应具有防止未授权下载、拷贝软件或者文件的能力
O4-63. 应具有切断非法连接的能力
O4-65. 应具有对敏感信息进行标识的能力
O4-66. 应具有对敏感信息的流向进行控制的能力
总结
作为业内领先的网络与安全解决方案供应商，H3C在信息安全等级保护正式开始推行的时候，就敏锐地意识到等级保护与H3C一直倡导的“面向安全的网络设计”有着天然的契合。
基于此，在产品、解决方案、品牌以及组织架构等方面已经做足准备的H3C 公司，必将充分发挥“五大安全解决方案”的技术优势，利用“面向安全的网络设计”准确地把握地市电子政务网络建设中的“等保”要求，为大型地市电子政务网络新一轮的升级改造贡献自己的力量。
国家信息安全等级保护制度的主要内容和要求 一、开展信息安全等级保护工作的重要性和必要性 信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对促进我国信息安全的发展将起到重要推动作用。 二、信息安全等级保护相关法律和文件 1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。1999年9月13日国家发布《计算机信息系统安全保护等级划分准则》。2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》（以下简称《管理办法》），明确了信息安全等级保护的具体要求。 三、工作分工和组织协调 （一）工作分工。公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 信息系统主管部门应当督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 信息系统的运营、使用单位应当履行信息安全等级保护的义务和责任。 （二）组织协调。省公安厅、省国家保密局、省国家密码管理局、省信息化领导小组办公室联合成立信息安全等级保护工作协调小组，负责信息安全等级保护工作的组织部署，由省公安厅主管网监工作的领导任组长，省国家保密局、省国家密码管理局、省信息化领导小组办公室主管领导任副组长。办公室设在省公安厅网警总队，负责信息安全等级保护工作的具体组织实施。各行业主管部门要成立行业信息安全等级保护工作小组，组织本系统和行业的信息安全等级保护工作。各地级以上市参照成立相应工作机制。重要信息系统运营使用单位成立信息安全等级保护工作组，负责组织本单位的信息系统安全等级保护工作。
信息安全等级保护操作流程 1信息系统定级 1.1定级工作实施范围 “关于开展全国重要信息系统安全等级保护定级工作的通知”对于重要信息系统的范围规定如下： （一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。 （二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。 （三）市（地）级以上党政机关的重要网站和办公信息系统。 （四）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。 注：跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
1.2定级依据标准 《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发【2003】27 号文件） 《关于信息安全等级保护工作的实施意见》（公通字【2004】66号文件） 《电子政务信息系统安全等级保护实施指南（试行）》（国信办【2005】25 号文件） 《信息安全等级保护管理办法》（公通字【2007】43 号文件）《计算机信息系统安全保护等级划分准则》 《电子政务信息安全等级保护实施指南》 《信息系统安全等级保护定级指南》 《信息系统安全等级保护基本要求》 《信息系统安全等级保护实施指南》 《信息系统安全等级保护测评指南》
1.3定级工作流程 信息系统调查确定定级对象定级要素分析编写定级报告协助定级备案? 网络拓扑调查? 资产信息调查? 服务信息调查? 系统边界调查? …… ? 管理机构分析? 业务类型分析? 物理位置分析? 运行环境分析? …… ? 业务信息分析? 系统服务分析? 综合分析? 确定等级? …… ? 编写定级报告? …… ? 协助评审审批? 形成最终报告? 协助定级备案 图 1-1信息系统定级工作流程 1.3.1信息系统调查 信息系统调查是通过一系列的信息系统情况调查表对信息系统基本情况进行摸底调查，全面掌握信息系统的数量、分布、业务类型、应用、服务范围、系统结构、管理组织和管理方式等基本情况。同时，通过信息系统调查还可以明确信息系统存在的资产价值、威胁等级、风险等级以及可能造成的影响客体、影响范围等基本情况。 信息系统调查结果将作为信息系统安全等级保护定级工作的主要依据，保证定级结果的客观、合理和准确。
国家信息安全等级保护制度第三级要求 1 第三级基本要求 1.1技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择(G3) 本项要求包括: a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内; b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制(G3) 本项要求包括: a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员; b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围; c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安 装等过渡区域; d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
1.1.1.3 防盗窃和防破坏(G3) 本项要求包括: a) 应将主要设备放置在机房内; b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记; c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中; d) 应对介质分类标识,存储在介质库或档案室中; e) 应利用光、电等技术设置机房防盗报警系统; f) 应对机房设置监控报警系统。 1.1.1.4 防雷击(G3) 本项要求包括: a) 机房建筑应设置避雷装置; b) 应设置防雷保安器,防止感应雷; c) 机房应设置交流电源地线。 7.1.1.5 防火(G3) 本项要求包括: a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火; b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮(G3) 本项要求包括: a) 水管安装,不得穿过机房屋顶和活动地板下; b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透; d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。 1.1.1.7 防静电(G3) 本项要求包括: a) 主要设备应采用必要的接地防静电措施; b) 机房应采用防静电地板。 1.1.1.8 温湿度控制(G3) 机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。 1.1.1.9 电力供应(A3) 本项要求包括: a) 应在机房供电线路上配置稳压器和过电压防护设备; b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运
国家信息安全等级保护制度 （二级） 一、技术要求 1、物理安全 1.1物理位置的选择 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内; 1.2 物理访问控制 （1）机房出入口应有专人值守，鉴别进入的人员身份并登记在案； （2）应批准进入机房的来访人员，限制和监控其活动范围。 1.3 防盗窃和防破坏 （1）应将主要设备放置在物理受限的范围内； （2）应对设备或主要部件进行固定，并设置明显的不易除去的标记； （3）应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等； （4）应对介质分类标识，存储在介质库或档案室中； （5）应安装必要的防盗报警设施，以防进入机房的盗窃和破坏行为。 1.4 防雷击 （1）机房建筑应设置避雷装置; （2）应设置交流电源地线。 1.5 防火 应设置灭火设备和火灾自动报警系统，并保持灭火设备和火灾自动报警系统的良好状态。 1.6 防水和防潮 （1）水管安装，不得穿过屋顶和活动地板下； （2）应对穿过墙壁和楼板的水管增加必要的保护措施，如设置套管； （3）应采取措施防止雨水通过屋顶和墙壁渗透； （4）应采取措施防止室内水蒸气结露和地下积水的转移与渗透。 1.7 防静电 应采用必要的接地等防静电措施 1.8 温湿度控制 应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。 1.9 电力供应 （1）计算机系统供电应与其他供电分开；
（2）应设置稳压器和过电压防护设备； （3）应提供短期的备用电力供应（如UPS设备）。 1.10 电磁防护 （1）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰； （2）电源线和通信线缆应隔离，避免互相干扰。 2、网络安全 2.1结构安全与网段划分 （1）网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期需要； （2）应设计和绘制与当前运行情况相符的网络拓扑结构图； （3）应根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽； （4）应在业务终端与业务服务器之间进行路由控制，建立安全的访问路径； （5）应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段； （6）重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗。 2.2 访问控制 （1）应能根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用），为数据流提供明确的允许/拒绝访问的能力。 （2）应在基于安全属性的允许远程用户对系统访问的规则的基础上，对系统所有资源允许或拒绝用户进行访问，控制粒度为单个用户； （3）应限制具有拨号访问权限的用户数量。 2.3 安全审计 （1）应对网络系统中的网络设备运行状况、网络流量、用户行为等事件进行日志记录； （2）对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息 2.4 边界完整性检查
信息安全等级保护工作流程介绍 导语 信息安全等级保护工作是《网络安全法》中明确要求需要履行的网络安全义务。 解读:信息安全等级保护工作是《网络安全法》中明确要求需要履行的网络安全义务。根据信息系统等级保护相关标准，等级保护工作总共分五个阶段，分别为： 一是定级。信息系统运营使用单位按照等级保护管理办法和定级指南，自主确定信息系统的安全保护等级。有上级主管部门的，应当经上级主管部门审批。跨省或全国统一联网运行的信息系统可以由其主管部门统一确定安全保护等级。虽然说的是自主定级，但是也得根据系统实际情况去定级，有行业指导文件的根据指导文件来，没有文件的根据定级指南来，总之一句话合理定级，该是几级就是几级，不要定的高也不要定的低。 二是备案。第二级以上信息系统定级单位到所在地所在地设区的市级以上公安机关办理备案手续。省级单位到
省公安厅网安总队备案，各地市单位一般直接到市级网安支队备案，也有部分地市区县单位的定级备案资料是先交到区县公安网监大队的，具体根据各地市要求来。备案的时候带上定级资料去网安部门，一般两份纸质文档，一份电子档，纸质的首页加盖单位公章。 三是系统安全建设。信息系统安全保护等级确定后，运营使用单位按照管理规范和技术标准，选择管理办法要求的信息安全产品，建设符合等级要求的信息安全设施，建立安全组织，制定并落实安全管理制度。 四是等级测评。信息系统建设完成后，运营使用单位选择符合管理办法要求的检测机构，对信息系统安全等级状况开展等级测评。测评完成之后根据发现的安全问题及时进行整改，特别是高危风险。测评的结论分为：不符合、基本符合、符合。当然符合基本是不可能的，那是理想状态。 五是监督检查。公安机关依据信息安全等级保护管理规范及《网络安全法》相关条款，监督检查运营使用单位开展等级保护工作，定期对信息系统进行安全检查。运
信息安全等级保护标准规范 一、开展信息安全等级保护工作的重要性和必要性 信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对促进我国信息安全的发展将起到重要推动作用。 二、信息安全等级保护相关法律和文件 1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。1999年9月13日国家发布《计算机信息系统安全保护等级划分准则》。2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》（以下简称《管理办法》），明确了信息安全等级保护的具体要求。 三、工作分工和组织协调 （一）工作分工。公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 信息系统主管部门应当督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 信息系统的运营、使用单位应当履行信息安全等级保护的义务和责任。 （二）组织协调。省公安厅、省国家保密局、省国家密码管理局、省信息化领导小组办公室联合成立信息安全等级保护工作协调小组，负责信息安全等级保护工作的组织部署，由省公安厅主管网监工作的领导任组长，省国家保密局、省国家密码管理局、省信息化领导小组办公室主管领导任副组长。办公室设在省公安厅网警总队，负责信息安全等级保护工作的具体组织实施。各行业主管部门要成立行业信息安全等级保护工作小组，组织本系统和行业
网站系统信息安全等级保护建设整改方案 随着互联网应用和门户网站系统的不断发展和完善，网站系统面临的安全威胁和风险也备受关注。网站系统一方面要加强落实国家信息安全等级保护制度要求的各项保障措施，另一方面要加强系统自身抵抗威胁的能力，同时结合国办2011年40号文件《关于进一步加强政府网站管理工作的通知》的相关要求，网站系统要切实进行防攻击、防篡改、防病毒各项防护措施的部署和实施，综合提升网站系统的安全保障能力。 根据国家等级保护有关要求，省级政府门户网站系统的信息安全保护等级应定为三级，建立符合三级等级保护相关要求的安全防护措施，能够形成在同一安全策略的指导下，网站系统应建立综合的控制措施，形成防护、检测、响应和恢复的保障体系。通过采用信息安全风险分析和等级保护差距分析，形成网站系统的安全需求，从而建立有针对性的安全保障体系框架和安全防护措施。 网站系统安全需求 根据网站系统的应用情况，针对网站系统的安全需求可以从系统业务流程、软件、数据、网络和物理几个方面进行综合分析，具体需求如下： 1、业务流程安全需求 针对网站类业务重点需要关注发布信息的准确性，采集分析和汇总信息的可控性，以及服务平台的可用性，系统可能面临的威胁包括网络攻击、越权、滥用、篡改、抗抵赖和物理攻击，应加强对于这些威胁的对抗和防护能力，通过严格控制业务流程中的各个环节，包括信息采集、分析、汇总、发布等过程中的人员访问身份、访问控制、审批审核等需求，同时要加强系统自身的完整性保护和抗抵赖机制的实现。 2、软件安全需求 网站系统软件架构一般包括接入层、展现层、应用层、基础应用支撑层、信息资源层和基础支撑运行环境等几个层面，由于几个层面涉及的主要功能和软件实现存在一定的差异性，因此要通过分析不同层次可能面临的威胁。接入层是目标用户和接入媒介共同构建而成，针对业务系统此层面是一个访问入口，从安全需求方面应当减少入口对于系统的攻击可能性，对于指定的接入和入口可以通过建立可信机制进行保护，对于非指定的接口可以通过控制权限进行防护；展现层是系统内容的展示区域，要确保系统展示信息的完整性，降低被篡改的风险；应用层是对数据信息进行处理的核心部分，应加强系统自身的安全性和软件编码的安全性，减少系统自身的脆弱性；基础应用支撑层主要包括通用组件、用户管理、目录服务和交换组件等通用应用服务，该层次重点是确保系统组件自身的安全性，同时要加强与应用之间接口的安全性；信息资源层是由业务数据库和平台数据库共同构成，此层次重点的安全在于数据库安全；基础支撑运行环境层，支撑应用系统运行的操作系统、网络基础设施和安全防护等共同构筑成基础支撑运行环境，该层次面临的主要威胁包括物理攻击、网络攻击、软硬件故障、管理不到位、恶意代码等多类型威胁，应加强资产的综合管理。 3、数据安全需求 网站系统的数据主要包括互联网读取、录入、管理、审核的数据信息，以及前台的交互信息和后台的数据交换信息，针对这些信息各个环节中的访问关系不同，信息的敏感和重要程度不同，可能面
信息系统安全等级保护安全建设项目 技术方案
目录 1项目理解 (6) 1.1项目背景 (6) 1.2项目范围 (6) 1.3项目目标 (7) 1.4项目建设原则 (7) 2项目建设思路和技术路线 (8) 2.1项目建设思路 (8) 2.2项目技术路线 (8) 2.3项目建设技术方法引用 (10) 2.3.1可控安全理念 (10) 2.3.2风险管理设计方法 (10) 2.3.3体系化设计方法 (13) 2.3.4等级化设计方法 (14) 2.3.5自上而下和自下而上相结合的设计方法 (15) 2.4项目实施整体策略 (16) 3项目建设依据 (18) 4云安全风险与需求分析 (20) 4.1云安全的基本安全需求 (20) 4.1.1CSA云计算关键领域安全指南V2.1 (20) 4.1.2传统信息系统的基本安全需求 (21) 4.1.3云安全与传统安全的差异 (22) 4.2XX信息系统云计算平台安全技术需求分析 (23) 4.2.1物理安全风险与需求分析 (24) 4.2.2计算环境安全风险与需求分析 (25) 4.2.3区域边界安全风险与需求分析 (25)
4.2.4通信网络安全风险与需求分析 (25) 4.2.5虚拟化技术的安全风险与需求分析 (25) 4.3云安全管理需求分析 (26) 5等级保护安全建设方案设计 (28) 5.1现状调研与分析 (28) 5.1.1工作定位 (28) 5.1.2参考标准 (28) 5.1.3阶段性输入 (29) 5.1.4工作方法与流程 (29) 5.1.5技术实现 (30) 5.1.5.1业务流程分析方法 (30) 5.1.5.2安全风险评估方法 (30) 5.1.5.3安全需求分析方法 (34) 5.1.5.4安全风险评估工具 (34) 5.1.6阶段性输出 (35) 5.2等级保护建设与方案设计 (35) 5.2.1工作定位 (35) 5.2.2参考标准 (36) 5.2.3阶段性输入 (36) 5.2.4工作方法与流程 (36) 5.2.5技术实现 (38) 5.2.5.1SWOT分析方法 (38) 5.2.5.2体系设计方法 (39) 5.2.5.3等级保护的多重防护设计方法 (39) 5.2.6安全保障体系设计框架 (40) 5.2.7网络架构设计与安全区域规划 (42) 5.2.8阶段性输出 (43) 5.3建设实施 (43)
信息安全等级保护制度介绍 一、开展信息安全等级保护工作的重要性和必要性 信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对促进我国信息安全的发展将起到重要推动作用。 二、信息安全等级保护相关法律和文件 1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。1999年9月13日国家发布《计算机信息系统安全保护等级划分准则》。2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》（以下简称《管理办法》），明确了信息安全等级保护的具体要求。 三、工作分工和组织协调 （一）工作分工。公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 信息系统主管部门应当督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 信息系统的运营、使用单位应当履行信息安全等级保护的义务和责任。 （二）组织协调。省公安厅、省国家保密局、省国家密码管理局、省信息化领导小组办公室联合成立信息安全等级保护工作协调小组，负责信息安全等级保护工作的组织部署，由省公安厅主管网监工作的领导任组长，省国家保密局、省国家密码管理局、省信息化领导小组办公室主管领导任副组长。办公室设在省公安厅网警总队，负责信息安全等级保护工作的具体组织实施。各行业主管部门要成立行业信息安全等级保护工作小组，组织本系统和行业
信息安全等级保护工作流程
一、定级 一、等级划分 计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的重要程度，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定，分为五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 二、定级程序 信息系统运营、使用单位应当依据《信息系统安全等级保护定级指南》(下载专区附)确定信息系统的安全保护等级。有主管部门的，应当经主管部门审核批准。 跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。 对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。 三、定级注意事项 第一级信息系统：适用于小型私营、个体企业、中小学、乡镇所属信息系统、县级单位中一般的信息系统。
第二级信息系统：适用于县级某些单位中的重要信息系统；地市级以上国家机关、企事业单位内部一般的信息系统。例如非涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统，地市级以上国家机关、企事业单位网站等 第三级信息系统：一般适用于地市级以上国家机关、企事业单位内部重要的信息系统；跨省或全国联网运行的用于生产、调度、管理、指挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的分支系统；中央各部委、省门户网站和重要网站；跨省连接的网络系统等。例如网上银行系统、证券集中交易系统、海关通关系统、民航离港控制系统等为三级信息系统。 第四级信息系统：一般适用于国家重要领域、部门中涉及国计民生、国家利益、国家安全、影响社会稳定的核心系统。例如电信骨干传输网、电力能量管理系统、银行核心业务系统、铁路票客系统、列车指挥调度系统等 第五级信息系统：适用于国家特殊领域的极端重要系统。 二、备案 一、总体要求 新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。 二、备案管辖 （一）管辖原则。 备案管辖分工采取级别管辖和属地管辖相结合。 （二）中央在京单位。 隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由公安部公共信息网络安全监察局受理备案，其他信息系统由北京市公安局公共信息网络安全监察部门（简称网监部门，下同）受理备案。
【最新整理，下载后即可编辑】 第一条 为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。 第二条 国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。 第三条 公安机关负责信息安全等级保护工作的监督、检查、指导。 国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 第四条 信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 第五条 信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。 第二章等级划分与保护
第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。 第七条 信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 第八条 信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。 第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
信息安全技术信息系统安全等级保护实施指南 前言 本标准的附录 A 是规范性附录。 本标准由公安部和全国信息安全标准化技术委员会提出。 本标准由全国信息安全标准化技术委员会归口。 本标准起草单位：公安部信息安全等级保护评估中心。 本标准主要起草人：毕马宁、马力、陈雪秀、李明、朱建平、任卫红、谢朝海、曲洁、袁静、李升、 刘静、罗峥。 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147 号令）、《国家信息化领导小 组关于加强信息安全保障工作的意见》（中办发 [2003]27 号）、《关于信息安全等级保护工作的实施意见》（公通字 [2004]66 号）和《信息安全等级保护管理办法》（公通字[2007]43 号），制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；— — GB/T BBBB-BBBB 信息安全技术信息系统安全等级保护基本要求。 在对信息系统实施信息安全等级保护的过程中，除使用本标准外，在不同的阶段，还应参照其他有关 信息安全等级保护的标准开展工作。 在信息系统定级阶段，应按照GB/T AAAA-AAAA介绍的方法，确定信息系统安全保护等级。 在信息系统总体安全规划，安全设计与实施，安全运行与维护和信息系统终止等阶段，应按照 GB17859-1999 、 GB/T BBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准，设计、建设符合信息安全等级保护要求的信息系统，开展信息系统的运行维护管理工作。 GB17859-1999、 GB/T BBBB-BBBB、 GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准是信息系统安全等级保护的系列相关配套标准，其中GB17859-1999是基础性标准， GB/T20269-2006、 GB/T20270-2006和 GB/T20271-2006等是对GB17859-1999的进一步细化和扩展，GB/T BBBB-BBBB是以GB17859-1999为基础，根据现有技术发展水平提出的对不同安全保护等级信息 系统的最基本安全要求，是其他标准的一个底线子集。 对信息系统的安全等级保护应从GB/T BBBB-BBBB出发，在保证信息系统满足基本安全要求的基础 上，逐步提高对信息系统的保护水平，最终满足GB17859-1999、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006 等标准的要求。 除本标准和上述提到的标准外，在信息系统安全等级保护实施过程中，还可参照和使用 GB/T20272-2006和GB/T20273-2006等其它等级保护相关技术标准。 信息系统安全等级保护实施指南 1范围 本标准规定了信息系统安全等级保护实施的过程，适用于指导信息系统安全等级保护的实施。
中华人民共和国计算机信息系统安全保护条例中华人民共和国国务院令第147号现发布《中华人民共和国计算机信息系统安全保护条例》，自发布之日起施行。总理李鹏 1994年2月18日。 基本信息 （1994年2月18日中华人民共和国国务院令第147号发布根据2011年1月8日《国务院关于废止和修改部分行政法规的决定》修订） 目录 第一章总则 第二章安全保护制度 第三章安全监督 第四章法律责任 第五章附则 条例内容 第一章 总则 第一条为了保护计算机信息系统的安全，促进计算机的应用和发展，保障社会主义现代化建设 页脚内容1
的顺利进行，制定本条例。 第二条本条例所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。 第三条计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。 第四条计算机信息系统的安全保护工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统的安全。 第五条中华人民共和国境内的计算机信息系统的安全保护，适用本条例。 未联网的微型计算机的安全保护办法，另行制定。 第六条公安部主管全国计算机信息系统安全保护工作。 国家安全部、国家保密局和国务院其他有关部门，在国务院规定的职责范围内做好计算机信息系统安全保护的有关工作。 第七条任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。[2] 第二章 安全保护制度 第八条计算机信息系统的建设和应用，应当遵守法律、行政法规和国家其他有关规定。 第九条计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。 第十条计算机机房应当符合国家标准和国家有关规定。 在计算机机房附近施工，不得危害计算机信息系统的安全。 页脚内容2
信息安全等级保护管理办法（公通字[2007]43号） 作者 : 来源 : 公安部、国家保密局、国家密码管理局、字体：大中小 2007-06-22 时间：国务院信息工作办公室 第一章总则 第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。 第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。 第三条公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。 第二章等级划分与保护 第六条国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。 第七条信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 第八条信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。 第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
一、单选题（题数：32，共 64.0 分）1 信息安全等级保护工作直接作用的具体的信息和信息系统称为（2.0分） 2.0 分 A、客体 B、客观方面 C、等级保护对象 D、系统服务 正确答案：B 2 根据等级保护相关管理文件,信息系统的安全保护等级分为几个级别: （2.0分） A、 3 B、 4 C、 5 D、 6 正确答案：C 3 根据《信息安全等级保护管理办法》,( )应当依照相关规和标准督促、检查、指导本行业、本部门或本地区信息系统运营、使用单位的信息安全等级保护工作。（2.0分） A.公安机关 B.国家工作部门 C.国家密码管理部门 D.信息系统的主管部门 正确答案：D 4 对社会秩序、公共利益造成特别严重损害,定义为几级（2.0分） A、第一级 B、第二级 C、第三级 D、第四级 正确答案：D 5 对国家安全造成特别严重损害,定义为几级（2.0分） A、第二级 B、第三级 C、第四级 D、第五级 正确答案：D 6 信息系统建设完成后,( )的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。（2.0分） A.二级及以上 B.三级及以上 C.四级及以上 D.五级 正确答案：B
7 计算机信息系统实行安全等级保护,安全等级的划分标准和安全等级保护的具体办法,由( )合同有关部门制定。（2.0分） A、教育部 B、国防部 C、安全部 D、公安部 正确答案：B 8 1999年,我国发布的第一个信息安全等级保护的国家标准GB 17859 — 1999,提出将信息系统的安全等级划分为______个等级,并提出每个级别的安全功能要求。（2.0分） A、 7 B、 8 C、 6 D、 5 正确答案：D 9 信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益,在等义中应定义为第几级（2.0分） A、第一级 B、第二级 C、第三级 D、第四级 正确答案：A 10 《信息系统安全等级保护实施指南》将______作为实施等级保护的第一项重要容。（2.0分） A、安全定级 B、安全评估 C、安全规划 D、安全实施 正确答案：A 11 安全建设整改无论是安全管理建设整改还是安全技术建设整改,使用的和新标准是( ) （2.0分） A、《计算机信息安全保护等级划分准则》 B、《信息系统安全等级保护基本要求》 C、《中华人民国计算机信息系统安全保护条例》 D、《信息安全等级保护管理办法》 正确答案：B 12 从系统服务安全角度反映的信息系统安全保护等级称（2.0分） A、安全等级保护 B、信息系统等级保护 C、系统服务安全保护等级 D、业务信息安全保护等级 正确答案：C
编号：SY-AQ-06946 ( 安全管理) 单位：_____________________ 审批：_____________________ 日期：_____________________ WORD文档/ A4打印/ 可编辑 信息安全等级保护制度 Information security classified protection system
信息安全等级保护制度 导语：进行安全管理的目的是预防、消灭事故，防止或消除事故伤害，保护劳动者的安全与健康。在安全管 理的四项主要内容中，虽然都是为了达到安全管理的目的，但是对生产因素状态的控制，与安全管理目的关 系更直接，显得更为突出。 第一条 为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。 第二条 国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。 第三条 公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、
检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 第四条 信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 第五条 信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。 第二章等级划分与保护 第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素
第一条 为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。 第二条 国家通过制定统一的信息安全等级保护管理规范和技术 标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。 第三条 公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 第四条
信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 第五条 信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。 第二章等级划分与保护 第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。 信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。 第七条 信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 第八条 信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。 第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。 第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。