当前位置:首页 >> 院校资料 >>

02-信息系统安全等级保护基本要求


信息系统安全等级保护基本要求

湖北教育信息化发展中心
2011年12月

信息系统安全等级保护基本要求
主要内容
引言 第一部分:标准术语与定义 第二部分:基本要求概述 第三部分:基本要求的应用范围 第四部分:基本要求的主要内容 第五部分:基本要求的分类与组合 第六部分:基本要求的级差 第七部分:基本要求的具体内容

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—引言
依据如下相关文件,制定(实施指南)标准:
-《中华人民共和国计算机信息系统安全保护条例》 -《国家信息化领导小组关于加强信息安全保障工作的意见》 -《关于信息安全等级保护工作的实施意见》 -《信息安全等级保护管理办法》 国务院147号令 中办发[2003]27号 公通字[2004]66号 公通字[2007]43号

本标准是信息安全等级保护相关系列标准之一;相关的系列标准包括: - 信息安全技术 信息系统安全等级保护定级指南; (GB/T22240-2008) - 信息安全技术 信息系统安全等级保护基本要求; (GB/T22239-2008) - 信息安全技术 信息系统安全等级保护测评准则; (送审稿)

在对信息系统实施信息安全等级保护的过程中,除使用本标准外,在不同的阶 段,还应参照其他有关信息安全等级保护的标准开展工作,本课程将对信息系统安 全等级保护基本要求的重点进行讲述。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第一部分 标准术语与定义
1、计算机信息系统可信计算基 trusted computing base of computer information system :计算机系统内保护装臵的总体,包括硬件、 固件、软件和负责执行安全策略的组合体。它建立了一个基本的保护 环境并提供一个可信计算系统所要求的附加用户服务。 2、客体 object :信息的载体。 3、主体 subject :引起信息在客体之间流动的人、进程或设备等。 4、敏感标记 sensitivity label :表示客体安全级别并描述客体数据敏 感性的一组信息,可信计算基中把敏感标记作为强制访问控制决策的 依据。 5、安全策略 security policy :有关管理、保护和发布敏感信息的法律、 规定和实施细则。 6、信道 channel :系统内的信息传输路径。 7、隐蔽信道 covert channel :允许进程以危害系统安全策略的方式传 输信息的通信信道。 8、安全保护能力 security protection ability:系统能够抵御威胁、发 现安全事件以及在系统遭到损害后能够恢复先前状态等的程度。
湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第一部分 标准术语与定义
? 1 自主访问控制
计算机信息系统可信计算基定义并控制系统中命名用户对命名客体的访问。实施 机制(例如:访问控制表)允许命名用户和(或)以用户组的身份规定并控制客体的 共享;阻止非授权用户读取敏感信息。并控制访问权限扩散。 自主访问控制机制根据用户指定方式或默认方式,阻止非授权用户访问客体。访 问控制的粒度是单个用户。访问控制能够为每个命名客体指定命名用户和用户组,并 规定他们对客体的访问模式。没有存取权的用户只允许由授权用户指定对客体的访问 权。

? 2 强制访问控制
计算机信息系统可信计算基对外部主体能够直接或间接访问的所有资源(例如: 主体、存储客体和输入输出资源)实施强制访问控制。为这些主体及客体指定敏感标 记,这些标记是等级分类和非等级类别的组合,它们是实施强制访问控制的依据。计 算机信息系统可信计算基支持两种或两种以上成分组成的安全级。计算机信息系统可 信计算基外部的所有主体对客体的直接或间接的访问应满足:仅当主体安全级中的等 级分类高于或等于客体安全级中的等级分类,且主体安全级中的非等级类别包含了客 体安全级中的全部非等级类别,主体才能读客体;仅当主体安全级中的等级分类低于 或等于客体安全级中的等级分类,且主体安全级中的非等级类别包含于客体安全级中 的非等级类别,主体才能写一个客体。计算机信息系统可信计算基使用身份和鉴别数 据,鉴别用户的身份,保证用户创建的计算机信息系统可信计算基外部主体的安全级 和授权受该用户的安全级和授权的控制。 湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第一部分 标准术语与定义
? 3 标记
计算机信息系统可信计算基维护与可被外部主体直接或间接访问到计算机信息系 统资源(例如:主体、存储客体、只读存储器)相关的敏感标记。这些标记是实施强制 访问的基础。为了输入未加安全标记的数据,计算机信息系统可信计算基向授权用户要 求并接受这些数据的安全级别,且可由计算机信息系统可信计算基审计。

? 4 身份鉴别
计算机信息系统可信计算基初始执行时,首先要求用户标识自己的身份,而且, 计算机信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算 机信息系统可信计算基使用这些数据,鉴别用户身份,并使用保护机制(例如:口令) 来鉴别用户的身份;阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识, 计算机信息系统可信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基 还具备将身份标识与该用户所有可审计行为相关联的能力。

? 5 客体重用
在计算机信息系统可信计算基的空闲存储客体空间中,对客体初始指定、分配或 再分配一个主体之前,撤销客体所含信息的所有授权。当主体获得对一个已被释放的客 体的访问权时,当前主体不能获得原主体活动所产生的任何信息。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第一部分 标准术语与定义
? 6 审计
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记 录,并能阻止非授权的用户对它访问或破坏。 计算机信息系统可信计算基能记录下述事件:使用身份鉴别机制;将客 体引入用户地址空间(例如:打开文件、程序初始化);删除客体;由操作 员、系统管理员或(和)系统安全管理员实施的动作,以及其他与系统安全 有关的事件。对于每一事件,其审计记录包括:事件的日期和时间、用户、 事件类型、事件是否成功。对于身份鉴别事件,审计记录包含请求的来源 (例如:终端标识符);对于客体引入用户地址空间的事件及客体删除事件, 审计记录包含客体名及客体的安全级别。此外,计算机信息系统可信计算基 具有审计更改可读输出记号的能力。 对不能由计算机信息系统可信计算基独立分辨的审计事件,审计机制提 供审计记录接口,可由授权主体调用。这些审计记录区别于计算机信息系统 可信计算基独立分辨的审计记录。计算机信息系统可信计算基能够审计利用 隐蔽存储信道时可能被使用的事件。 计算机信息系统可信计算基包含能够监控可审计安全事件发生与积累的 机制,当超过阈值时,能够立即向安全管理员发出报警。并且,如果这些与 安全相关的事件继续发生或积累,系统应以最小的代价中止它们。
湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第一部分 标准术语与定义
? 7 数据完整性
计算机信息系统可信计算基通过自主和强制完整性策略,阻止非授权用户修改或 破坏敏感信息。在网络环境中,使用完整性敏感标记来确信信息在传送中未受损。

? 8 隐蔽信道分析
系统开发者应彻底搜索隐蔽信道,并根据实际测量或工程估算确定每一个被标识 信道的最大带宽。

? 9 可信路径
当连接用户时(如注册、更改主体安全级),计算机信息系统可信计算基提供它 与用户之间的可信通信路径。可信路径上的通信只能由该用户或计算机信息系统可信 计算基激活,且在逻辑上与其他路径上的通信相隔离,且能正确地加以区分。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述

?信息系统安全保护等级
信息系统根据其在国家安全、经济建设、社会生 活中的重要程度,遭到破坏后对国家安全、社会 秩序、公共利益以及公民、法人和其他组织的合 法权益的危害程度等,由低到高划分成五级。五 级定义见GB/T 22240-2008。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述
?不同等级的安全保护能力
? 第一级 应能够防护系统免受来自个人的、拥有很少资源(如利用公开可获取 的工具等)的威胁源发起的恶意攻击、一般的自然灾难(灾难发生的 强度弱、持续时间很短等)以及其他相当危害程度的威胁(无意失误 、技术故障等)所造成的关键资源损害,在系统遭到损害后,能够恢 复部分功能。 ? 第二级 应能够防护系统免受来自外部小型组织的(如自发的三两人组成的黑 客组织)、拥有少量资源(如个别人员能力、公开可获或特定开发的 工具等)的威胁源发起的恶意攻击、一般的自然灾难(灾难发生的强 度一般、持续时间短、覆盖范围小等)以及其他相当危害程度的威胁 (无意失误、技术故障等)所造成的重要资源损害,能够发现重要的 安全漏洞和安全事件,在系统遭到损害后,能够在一段时间内恢复部 分功能。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述
? 第三级 应能够在统一安全策略下防护系统免受来自外部有组织的团体(如一 个商业情报组织或犯罪组织等),拥有较为丰富资源(包括人员能力 、计算能力等)的威胁源发起的恶意攻击、较为严重的自然灾难(灾 难发生的强度较大、持续时间较长、覆盖范围较广等)以及其他相当 危害程度的威胁(内部人员的恶意威胁、无意失误、较严重的技术故 障等)所造成的主要资源损害,能够发现安全漏洞和安全事件,在系 统遭到损害后,能够较快恢复绝大部分功能。 ? 第四级 应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的 、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难(灾难发 生的强度大、持续时间长、覆盖范围广等)以及其他相当危害程度的 威胁(内部人员的恶意威胁、无意失误、严重的技术故障等)所造成 的资源损害,能够发现安全漏洞和安全事件,在系统遭到损害后,能 够迅速恢复所有功能。 。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述
?等级保护的基本思想
不同级别 信息系统 重要程度不同

具有不同的安 全保护能力

应对不同威胁的能力 (威胁\弱点)

不同的基本要 求
湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述
?基本技术要求和基本管理要求
基本安全要求是针对不同安全保护等级信息系统 应该具有的基本安全保护能力提出的安全要求, 根据实现方式的不同,基本安全要求分为基本技 术要求和基本管理要求两大类。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述
等级保护的核心要求
技术 要求
XX级信
息系统 基本 要求
建立安 全技术 体系

具有某级安 全保护能力 的系统

管理 要求

建立安 全管理 体系

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第二部分 概述
基本要求的模型描述
安全保护能力
具备 实现

基本技 术措施

每一个等 级的信息 系统
基本管 理措施

满足

基本安全 要求

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第三部分 应用范围
《基本要求》的作用 基本要求 使用单位
运营、使用单位 信息系统安全等 级保护基本要求 (安全服务商) 主管部门 (等级测评机构)

使用方法
安全保护

测评检查

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第三部分 应用范围
《基本要求》的定位
? 是系统安全保护、等级测评的一个基本“标尺”,同样级别的系统使用统一 的“标尺”来衡量,保证权威性,是一个达标线;
? 每个级别的信息系统按照基本要求进行保护后,信息系统具有相应等级的基 本安全保护能力,达到一种基本的安全状态; ? 是每个级别信息系统进行安全保护工作的一个基本出发点,更加贴切的保护 可以通过需求分析对基本要求进行补充,参考其他有关等级保护或安全方面 的标准来实现。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第三部分 应用范围
《基本要求》的定位
基本要求 保护 某等级信息系统 测评 基本要求 补充的安全措施 GB17859-1999 通用技术要求 安全管理要求 高级别的基本要求 等级保护其他标准 安全方面相关标准 等等
湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

特殊需求 补充措施 基本保护 精确保护 基本保护

基本要求—第四部分 主要内容
?基本技术要求
? 技术类安全要求与信息系统提供的技术安全机制 有关,主要通过在信息系统中部署软硬件并正确 的配置其安全功能来实现。 ? 基本技术要求
? 物理安全 ? 网络安全 ? 主机安全 ? 应用安全 ? 数据安全

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第四部分 主要内容
?基本技术要求的主要内容
物理安全
物理位置选择 物理访问控制 防盗窃和防破坏

网络安全
结构安全和网段划分 网络访问控制 网络安全审计 边界完整性检查 网络入侵检测 恶意代码防护 网络设备防护

主机系统安全
身份鉴别 安全标记 访问控制 可信路径

应用安全
身份鉴别 安全标记 访问控制 可信路径 安全审计
剩余信息保护 通信完整性 通信保密性

数据安全
数据完整性 数据保密性 备份和恢复

防雷击

防火
防水和防潮 防静电 温湿度控制 电力供应 电磁防护

安全审计
剩余信息保护

入侵防范
恶意代码防范 系统资源控制

抗抵赖 软件容错

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

资源控制

基本要求—第四部分 主要内容
?基本技术要求的三种类型
? 根据保护侧重点的不同,技术类安全要求进一步 细分为:
? 保护数据在存储、传输、处理过程中不被泄漏、破坏 和免受未授权的修改的信息安全类要求(简记为S) ; ? 保护系统连续正常的运行,免受对系统的未授权修改 、破坏而导致系统不可用的服务保证类要求(简记为 A); ? 通用安全保护类要求(简记为G)。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第四部分 主要内容
?基本管理要求
? 管理类安全要求与信息系统中各种角色参与的活 动有关,主要通过控制各种角色的活动,从政策 、制度、规范、流程以及记录等方面做出规定来 实现。 ? 基本管理要求
? 安全管理制度 ? 安全管理机构 ? 人员安全管理 ? 系统建设管理 ? 系统运维管理
湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第四部分 主要内容
基本管理要求的主要内容
安全管理制度
管理制度
制度和发表 评审和修订

安全管理机构
岗位设置 人员配备 授权和审批 沟通和合作 审核和检查

人员安全管理
人员录用
人员离岗 人员考核 安全意识教育 和培训 外部访问人员 管理

系统建设管理
系统定级
安全方案设计 产品采购和使用 自行软件开发 外包软件开发 工程实践 测试验收 系统交付 系统备案 等级测评 安全服务商选择

系统运维管理
环境管理 资产管理 介质管理 设备管理 监控管理和安全 管理中心 网络安全管理 系统安全管理 恶意代码防范管 理 密码管理 变更管理 备份与恢复管理 安全事件处置 应急预案管理

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第四部分 主要内容
?基本要求的组织方式

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第五部分 选择和使用

?信息系统的差异和安全保护等级
? 不同安全保护等级的信息系统,其对业务信息的安全 性要求和系统服务的连续性要求是有差异的。 ? 相同安全保护等级的信息系统,其对业务信息的安全 性要求和系统服务的连续性要求也是有差异的。 ? 信息系统的安全保护等级由业务信息安全性等级和系 统服务保证性等级的较高者决定。

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第五部分 选择和使用
?信息系统定级后,不同安全保护等级的信息系 统可能形成的定级结果组合如下

第一级

S1A1G1

第二级

S1A2G2,S2A2G2,S2A1G2

第三级

S1A3G3,S2A3G3,S3A3G3,S3A2G3, S3A1G3

第四级

S1A4G4,S2A4G4,S3A4G4,S4A4G4,S4A3G4, S4A2G4,S4A1G4

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第五部分 选择和使用
选择和使用的步骤
? 1、明确信息系统应该具有的安全保护能力,根据信息系统的安全保 护等级选择基本安全要求,包括技术要求和管理要求。 简单的方法是根据本标准,一级系统选择第一级基本安全要求,二级 系统选择第二级基本安全要求,三级系统选择第三级基本安全要求, 四级系统选择第四级基本安全要求,以此作为出发点。 ? 2、根据信息系统的定级结果对基本安全要求进行调整。 根据系统服务保证性等级选择相应等级的系统服务保证类(A类)基 本安全要求;根据业务信息安全性等级选择相应等级的业务信息安全 类(S类)基本安全要求。 ? 3、针对不同行业或不同系统特点,分析可能在某些方面的特殊安全 保护能力要求,选择较高级别的基本安全要求或补充基本安全要求。 对于本标准中提出的基本安全要求无法实现或有更加有效的安全措施 可以替代的,可以对基本安全要求进行调整,调整的原则是保证不降 低整体安全保护能力。
湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第六部分 级差
?等级保护与GB17859
等级 一级 等级保护 自主保护 保护级别 (GB17859) 自主访问 实施与管理 主管部门审批 自定 主管部门审批 公安部门备案 主管部门审批 每年一次测评检查

二级
三级 四级 五级

指导
监督检查 强制监督检查 专门监督检查

审计(自主访问)
标记(强制访问) 结构化保证 实时监控

专家委评审 半年一次测评检查
专家委评审 专门检查

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第六部分 级差
?等级保护的要求:PDR原则
——从PDRR的角度分析:
防护 一级系统 防护/监测 二级系统 策略/防护/监测/恢复 三级系统 策略/防护/监测/恢复/响应

四级系统

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第六部分 级差
?分级保护的要求:纵深防护
——从IATF的层面分析
通信/边界(基本)

一级系统
通信/边界/内部(关键设备)

二级系统
通信/边界/内部(主要设备) 三级系统 通信/边界/内部/基础设施(所有设备) 四级系统

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第六部分 级差
分级保护的要求:持续改进
——从PDCA的角度分析
计划和跟踪(主要制度) 一级系统 计划和跟踪(主要制度) 二级系统 良好定义(管理活动制度化) 三级系统 持续改进(管理活动制度化/及时改进) 四级系统

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第六部分 级差
控制点的分布
安全要求类 层面 物理安全 网络安全 技术要求 主机安全 应用安全 数据安全及备份恢复 安全管理制度 安全管理机构 管理要求 人员安全管理 系统建设管理 系统运维管理 合计 / 一级 7 3 4 4 2 2 4 4 9 9 48 二级 10 6 6 7 3 3 5 5 9 12 66 三级 10 7 7 9 3 3 5 5 11 13 73 四级 10 7 9 11 3 3 5 5 11 13 77

级差

/

/

18

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

7

4

基本要求—第六部分 级差
控制项的分布
安全要求类 层面 一级 二级 三级 四级

物理安全
网络安全 技术要求 主机安全 应用安全 数据安全及备份恢复 安全管理制度 安全管理机构 管理要求 人员安全管理 系统建设管理

9
9 6 7 2 3 4 7 20

19
18 19 19 4 7 9 11 28

32
33 32 31 8 11 20 16 45

33
32 36 36 11 14 20 18 48

系统运维管理
合计 级差 / /

18
85 /

41
175 90

62
290 115

70
318 28

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
物理安全类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
物理安全类
技术要求 第一级
基本防护

第二级
进一步防护

第三级
增强控制

第四级
扩大防护范围

物理环境

人员控制

对基本出入行为 进行控制

对进入后的活动 也要进行控制

对出入加强了控 制,做到人、电 子设备共同监控

要求多道电子设 备监控

物理环境

进行基本防护

要求更加细致, 加强了各方面的 防护

进一步采取各种 控制措施来进行 防护

要求采用一定的 防护设备进行防 护

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
网络安全类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
网络安全类
技术要求 第一级
提供基本保障 对用户组的数 据包头进行基 本过滤 进行基本防护

第二级
满足业务极限 时的要求 对单个用户的 会话信息进行 过滤 非法外联; 入侵检测; 设备运行 网络流量

第三级
保证重要主机的优先级

第四级
同第三级 限制通用协议,根据敏 感标记进行过滤,禁止 远程拨号访问

网络处理能力 访问控制粒度 边界防护能力 审计能力 身份鉴别

应用层过滤,设备的接 入做一定的限制

非法外联的定位、阻断; 入侵检测、报警并阻断; 入侵检测并报警; 与内网异构的恶意代码 恶意代码防范; 防范; 对形成的记录进行分析、 设计审计系统的跟踪极 形成报表; 限阀值; 对审计系统进行保护 集中审计 至少一种鉴别信息为不 可伪造的

无要求

基本的登录鉴 别措施

鉴别标示唯一, 两种以上鉴别技术; 鉴别信息复杂 特权用户分离

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
主机安全类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
主机安全类
技术要求 第一级
无要求

第二级
单个用户的会话 数量和终端登录 不同系统用户的 权限分离

第三级
监视服务器; 对系统最小服务进行监测和 报警 最小授权原则

第四级
同第三级

资源控制 访问控制 安全防护 审计能力

粗粒度的 控制策略

强制访问控制,控制力度为 用户、进程、文件、数据库 表、记录和字段
入侵检测、报警并阻断; 与内网异构的恶意代码防范;

进行基本 防护

非法外联; 入侵检测;

非法外联的定位、阻断; 入侵检测并报警; 恶意代码防范; 对形成的记录进行分析、形 成报表; 对审计系统进行保护; 审计范围扩展到客户端

无要求

审计服务器中的 用户行为和 系统异常 鉴别标示唯一, 鉴别信息复杂

集中审计

身份鉴别

简答的身 份鉴别措 施

两种以上鉴别技术

至少一种鉴别信息为不可伪 造的; 设臵鉴别警示信息

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
应用安全类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
应用安全类
技术要求 第一级
无要求

第二级
单个用户的会 话数量和终端 登录

第三级
时间段内的会话数量; 根据优先级分配资源; 对系统最小服务进行监测和报警

第四级
同第三级

资源控制 访问控制 软件安全 通信安全 审计能力 身份鉴别

粗粒度的控 制策略
进行基本防 护 确定的会话 方式

细化控制力度; 对重要信息设臵敏感标记,并控 最小授权原则 制对其操作
操作系统及时 更新 剩余信息保护; 抗抵赖

以标记的方式

安全标记和可信 路径 加解密运算要求 设备化

单项校验码; 利用密码技术来判断数据的完整 初始化验证; 性;整个报文或会话过程加密来 敏感信息加密; 保证通信的保密性 用户行为 安全事件 对形成的记录进行分析、形成报 表; 对审计系统进行保护;

无要求

集中审计接口

简答的身份 鉴别措施

鉴别标示唯一; 两种以上鉴别技术 鉴别信息复杂

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

至少一种鉴别信 息为不可伪造的;

基本要求—第七部分 具体内容
数据安全及备份恢复类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
数据安全及备份恢复类
技术要求 第一级
数据传输过程进 行完整性检测

第二级
鉴别信息和重要业务 数据在传输过程中都 要保证其完整性

第三级
系统管理数据的传输 完整性,不仅能够检 测出数据受到破坏, 并能进行恢复 实现系统管理数据、 鉴别信息和重要业务 数据的传输和存储的 保密性 本地完全数据备份; 异地备份和冗余网络 拓扑

第四级
采用安全、专用的通 信协议

数据完整性

数据保密性

无要求

能够实现鉴别信息的 存储保密性

采用安全、专用的通 信协议

备份和恢复

对重要数据进行 备份

提供一定的硬件冗余

建立异地适时灾难备 份中心,在灾难发生 后系统能够自动切换 和恢复

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
安全管理制度类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
安全管理制度类
技术要求 第一级
制定日常常用的 管理制度

第二级
管理制度要求更高, 并总体方针和安全策 略,重要操作规程的 要求 有专门部门或人员负 责安全管理制定的制 定,并且发布前要组 织论证

第三级
建立信息安全管理制 度体系

第四级

管理制度

同第三级

制定和发布

有人员负责安全 管理制度的制定, 相关人员能够了 解管理制度

制度的制定格式、发 布范围、发式等进行 了控制

侧重对有密级的安全 制度的管理

评审和修订

无要求

对安全管理制度评审 和修订

安全领导小组负责组 织定期和不定期的评 审和修订

侧重对有密级的安全 制度的修订和制度的 日常维护

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
安全管理机构类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
安全管理机构类
技术要求 第一级
设臵基本的工作岗 位 配备一定数量的基 本岗位工作人员 明确授权和审批职 责对关键活动进行 审批

第二级
安全主管,安全管理各个 方面的负责人等岗位要求 安全管理员不可兼任其它 岗位

第三级
设臵信息安全的职能部门 和上层领导小组 设专职安全员,并且加强 对关键事务的管理

第四级
同第三级

岗位设臵

人员配备 授权和审批 沟通和合作
审核和检查

同第三级

对审批形式增强要求

增强审批制度、程序、审 查、记录等方面的要求

同第三级

加强对外的沟通和 合作

与机构内部及与其他部门 的沟通和合作

扩大与外界组织沟通的范 围 增强对检查内容、检查制 度、负责人、检查流程、 检查结果处理等的要求

同第三级

无要求

定期进行安全检查和检查 的基本内容

同第三级

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
人员安全管理类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
人员安全管理类
技术要求 第一级
负责部门或人员对录 用人员身份、专业等 进行基本的审查 对离岗人员进行设备 归还和权限中止

第二级
对录用人员技能的考核, 并与关键岗位人员签署保 密协议的形式约束其职责 规范离岗过程

第三级
从事关键岗位人员更加 严格的录用,并与全部 员工签署保密协议 关键岗位人员离岗

第四级
同第三级

人员录用 人员离岗 人员考核 安全意识教 育和培训 外部人员访 问管理

制度化规范

无要求

对人员定期进行技能考核。

考核结果处理和对关键 岗位的考核

保密制度和保 密检查

对人员进行基本的安 全意识和责任教育。

对安全教育培训的正规化 管理

侧重于不同岗位的安全 教育培训和制度化要求

同第三级

对外部人员访问要得 到授权和审批。

访问书面申请,访问制 对外部人员的访问的监督、 度等,更加严格外部人 备案等过程管理 员访问管理

要求外部人员 禁止访问关键 区域

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
系统建设管理类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
系统建设管理类
技术要求 第一级
确定系统边界和等级, 并得到相关部门的批准; 形成书面的安全方案和 详细设计方案
要求自主软件的开发环 境;要求外包软件质量 和设计文档 对工程实施、系统交付 过程、文档、培训等进 行基本的管理; 要求测试验收前、测试 过程中以及验收后具有 基本的文档; 专门的人员或部门负责 备案;定级相关材料上 报主管部门,并送公安 机关备案

第二级
对设计方案的论证 和批准; 增加对密码产品采 购和使用的要求
增加对自主软件开 发制度化的要求; 对外包软件开发后 进行审查

第三级
对定级结果的论证;系统 建设的总体规划,安全保 障体系,并加强体系的论 证和修订;采购产品要进 行选型测试 加强自主软件开发的制度 化和过程的管理

第四级
对重要产品的采购和 使用要进行专项测试 进一步加强自主软件 开发人员的要求;对 外包软件进行隐蔽信 道的检测

定级与方案

软件开发

工程实施

工程实施、验收和系统交 制定实施方案进行 付的管理制度化; 实施; 工程验收要委托第三方测 对验收报告的审定。 试 系统投入运行30日内到 相应受理机构办理备案手 续;测试时机、测评方资 质、测评后结果处理等 同第一级

要求工程监理

备案与测评 选择服务商

同第一级

同第三级

应选择那些已获得国家 的相关规定,并签订相 关的安全协议,必要时 签订服务合同

同第一级

同第一级

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
系统运维管理类

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

基本要求—第七部分 具体内容
系统运维管理类
技术要求 第一级
基本管理制度; 有资产清单; 设备使用过程规范化

第二级

第三级

第四级
办公环境与机房 管理策略一致; 增强介质销毁处 理 对变更控制进行 检查

基本管理

机房出入管理,办公环境 办公环境部门负责制;资 保密;资产管理制度化; 产标示和信息分类管理; 介质分类标示和销毁处理; 介质管理制度化;配套设 带离设备控制 备和设备维护的制度化 密码使用符合国家相关规 定; 制定变更方案,并进行过 程控制 网络、系统安全管理制度 化;提高对操作和维护的 要求;对恶意代码防范制 度化管理 安全事件的分类分级和记 录等处理; 制定应急预案 明确备份和恢复策略 密码使用制度化; 变更制度化,变革控制的 整体流程化

密码与变更

无要求 网络日常维护和漏洞 扫描;系统访问控制 策略、漏洞扫描和补 丁管理;对恶意代码 防范的基本意识教育 用户进行基本的安全 事件处臵教育,并以 制度进行要求 对重要信息、数据的 备份管理 无要求

网络和系统 安全事件 管理

网络用户的授权 设备配臵、网络连接和定 管理; 期违规检查;管理系统账 禁止部分设备接 户;恶意代码库定期升级, 入; 病毒检测与分析等 系统资源冗余 明确安全事件处臵程序, 且不同事件对应不同处理 流程;增加应急预案的资 源保障、演练和定期审查 备份和恢复程序、备份介 质有效性检查 建立安全管理中心,对各 种安全事项集中监控管理, 及对监测结果的处理 对涉密事件的安 全处臵; 应急预案的定期 修订 灾难恢复计划和 对保密数据备份 同第三级

备份与恢复
监控和安全 中心

无要求

湖北教育信息化发展中心 教育部教育管理信息中心信息安全测评部

谢谢!
湖北教育信息化发展中心


相关文章:
信息系统安全等级保护基本要求和建设_图文.ppt
信息系统安全等级保护基本要求和建设整改石家庄鼎普信息技术有限公司 张海波 139
信息安全-信息系统安全等级保护基本要求.pdf
信息安全-信息系统安全等级保护基本要求_IT/计算机_专业资料。关于信息安全保护的国家标准 ICS35.040 L80 中华人民共和国国家标准 GB/T 222392008 信息安全技术 ...
信息系统安全等级保护基本要求..doc
信息系统安全等级保护基本要求. - 蓝色部分是操作系统安全等级划分, 红色部 分是四级操作系统关于网络部分的要求:) 《信息系统安全等级保护基本要求》 中华人民共和...
信息系统安全等级保护(四级)基本要求.xls
信息系统安全等级保护(四级)基本要求 - 信息系统安全等级保护(四级)基本要求 序 1 要求类别 要求项目 子项描述 备注 技术要求 物理安全 物理位置的选择 a) 机房...
信息系统安全等级保护2级和3级等保要求的对比_图文.pdf
信息系统安全等级保护2级和3级等保要求的对比_信息与通信_工程科技_专业资料。信息系统安全等级保护2级和3级等保要求的对比,蓝色标记为不同处 ...
02-信息系统安全等级保护基本要求_图文.ppt
02-信息系统安全等级保护基本要求 - 信息系统安全等级保护基本要求 湖北教育信
02-信息安全等级保护标准情况概述-许玉娜_图文.pdf
02-信息安全等级保护标准情况概述-许玉娜 - 全国信息安全标准化技术委员会秘书处 许玉娜 二○一七年 八月 2017/8/6 一、标准化基础知识 二、全国信安标委2016...
税务系统信息安全等级保护基本要求(试行).pdf
税务系统信息安全等级保护基本要求(试行)_公共/行政管理_经管营销_专业资料 暂无评价|0人阅读|0次下载|举报文档 税务系统信息安全等级保护基本要求(试行)_公共/行政...
信息安全等级保护基本要求使用介绍_图文.ppt
信息安全等级保护基本要求使用介绍 - 《信息系统安全等级保护基本要求》 使用介绍 目录 ? 使用时机和主要作用 ? 保护要求分级描述的主要思想 ? 各级系统保护的主要...
信息安全技术信息系统安全等级保护基本要求.doc
信息安全技术信息系统安全等级保护基本要求 - ICS 35.040 L80 中华人民共和国国家标准 ××× GB/T ×××××× 信息安全技术 信息系统安全等级...
《证券期货业信息系统安全等级保护基本要求(试行)》(JR....doc
本标准从证券期货业实际情况出发,对《信 息系统安全等级保护基本要求》(GB/T
《信息系统安全等级保护基本要求》培训教材.doc
信息安全等级 工作, 介绍信息系统安全建设和改造过程中使用的主要标准之一 《信息系统安全等级保护基 本要求》 (以下简称《基本要求》,描述《基本要求》的技术要求...
信息系统安全等级保护(二级)基本要求_图文.xls
信息系统安全等级保护(二级)基本要求 - 信息系统安全等级保护(二级)基本要求 序 1 2 要求类别 要求项目 技术要求 物理安全 物理位置的选择(G2) 物理访问控制 ...
信息系统安全等级保护基础调查表-2011.doc
信息系统安全等级保护基础调查表 7 附件 1 单位基本情况 01 单位名称 02 地址及行政区划 行政区划代码 单位位于: 姓电 中央 党委机关 名话省(自治区、...
信息系统等级保护基本要求1.ppt
二级安全保护基本要求 信息系统安全等级保护概述 ? 信息系统根据其在国家安全、经
关于印发《信息安全等级保护 管理办法》的通知.pdf
关于印发《信息安全等级保护 管理办法》的通知 - 关于印发《信息安全等级保护
信息系统安全等级保护基本要求二三级区别对比_图文.xls
信息系统安全等级保护基本要求二三级区别对比_信息与通信_工程科技_专业资料。关于
《信息系统安全等级保护定级报告》模版.doc
附件1: 《信息系统安全等级保护定级报告》模版 《信息系统安全等级保护定级报告》...(GB/T12404—1997)填写; 十二、 表二 02 系统编号:是由运营使用单位给出的...
信息系统安全等级保护备案表.doc
信息系统安全等级保护备案表 - 附件: 备案表编号: 信息系统安全等级保护 备案
信息系统安全等级保护备案表.doc
信息系统安全等级保护备案表 - 附件 2: 备案表编号: 信息系统安全等级保护 备案表 备案表 备案单位: 备案日期: (盖章) 受理备案单位: 受理日期: (盖章)...
更多相关标签: