信息安全等級保護(hù)操作指南和操作流程

1、1.2定級依據(jù)標(biāo)準(zhǔn)信息安全等級保護(hù)操作流程1信息系統(tǒng)定級1.1定級工作實(shí)施范圍“關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知”對 于重要信息系統(tǒng)的范圍規(guī)定如下：（一）電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信 息網(wǎng)絡(luò)，經(jīng)營性公眾互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、 數(shù)據(jù)中心等單位的重要信息系統(tǒng)。（二）鐵路、銀行、海關(guān)、稅務(wù)、民航、電力、證券、保險(xiǎn)、外 交、科技、發(fā)展改革、國防科技、公安、人事勞動(dòng)和社會保障、財(cái) 政、審計(jì)、商務(wù)、水利、國土資源、能源、交通、文化、教育、統(tǒng) 計(jì)、工商行政管理、郵政等行業(yè)、部門的生產(chǎn)、調(diào)度、管理、辦公 等重要信息系統(tǒng)。（三）市（地）級以上黨政機(jī)關(guān)的重

2、要網(wǎng)站和辦公信息系統(tǒng)。（四）涉及國家秘密的信息系統(tǒng)（以下簡稱“涉密信息系 統(tǒng)”）。注：跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)可以由主管部門統(tǒng)一 確定安全保護(hù)等級。涉密信息系統(tǒng)的等級確定按照國家保密局的有 關(guān)規(guī)定和標(biāo)準(zhǔn)執(zhí)行。國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見（中 辦發(fā)2003 27號文件）關(guān)于信息安全等級保護(hù)工作的實(shí)施意見（公通字【2004】66 號文件）電子政務(wù)信息系統(tǒng)安全等級保護(hù)實(shí)施指南（試行）（國信辦2005 25號文件）信息安全等級保護(hù)管理辦法（公通字2007 43號文件）計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則電子政務(wù)信息安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)定級指南信息系統(tǒng)安全

3、等級保護(hù)基本要求信息系統(tǒng)安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)測評指南1 /11.3定級工作流程圖1-1信息系統(tǒng)定級工作流程13.1信息系統(tǒng)調(diào)查信息系統(tǒng)調(diào)查是通過一系列的信息系統(tǒng)情況調(diào)查表對信息系統(tǒng)基 本情況進(jìn)行摸底調(diào)查，全面掌握信息系統(tǒng)的數(shù)量、分布、業(yè)務(wù)類 型、應(yīng)用、服務(wù)范圍、系統(tǒng)結(jié)構(gòu)、管理組織和管理方式等基本情 況。同時(shí)，通過信息系統(tǒng)調(diào)查還可以明確信息系統(tǒng)存在的資產(chǎn)價(jià) 值、威脅等級、風(fēng)險(xiǎn)等級以及可能造成的影響客體、影響范圍等基 本情況。信息系統(tǒng)調(diào)查結(jié)果將作為信息系統(tǒng)安全等級保護(hù)定級工作的主要 依據(jù)，保證定級結(jié)果的客觀、合理和準(zhǔn)確。1 /11.3.1.1 調(diào)查工具表通常，信息系統(tǒng)調(diào)查工具表

4、包括系統(tǒng)資產(chǎn)調(diào)查表、系統(tǒng)應(yīng)用調(diào)查 表、和管理信息調(diào)查表等。 系統(tǒng)資產(chǎn)調(diào)查表用于調(diào)查信息系統(tǒng)的基本情況，主要包括主機(jī)、網(wǎng)絡(luò)設(shè)備、人 員、人員、服務(wù)等信息。在調(diào)查過程中，可以得到系統(tǒng)資產(chǎn)的基本 信息、主要用途、重要程度、服務(wù)對象等相關(guān)信息。 系統(tǒng)應(yīng)用調(diào)查表用于明確系統(tǒng)應(yīng)用的基本狀況。明確各個(gè)系統(tǒng)應(yīng)用的拓?fù)湫畔ⅰ?邊界信息、應(yīng)用架構(gòu)、數(shù)據(jù)流等基本情況，為確定和分析定級對象 提供詳細(xì)信息。 管理信息調(diào)查表用于明確信息系統(tǒng)的組織結(jié)構(gòu)、隸屬關(guān)系等管理信息。1.3.1.2 調(diào)查方法信息系統(tǒng)調(diào)查的實(shí)施包括信息收集、訪談和核查三個(gè)步驟。信息收集協(xié)助信息系統(tǒng)使用管理單位完成系統(tǒng)資產(chǎn)調(diào)查表填寫工作，同時(shí) 收集信息系

5、統(tǒng)所涉及的一系列訪談核查對調(diào)查表中的信息進(jìn)行驗(yàn)證的過程，驗(yàn)證包括檢查和測試等方 式。13.2 確定定級對象一個(gè)單位可能運(yùn)行了比較龐大的信息系統(tǒng)，為了重點(diǎn)保護(hù)重要部 分，有效控制信息安全建設(shè)和管理成本，優(yōu)化信息安全資源配置等 保護(hù)原則，可將較大的信息系統(tǒng)劃分為若干個(gè)較小的、相對獨(dú)立 的、具有不同安全保護(hù)等級的定級對象。這樣，可以保證信息系統(tǒng) 安全建設(shè)能夠突出重點(diǎn)、兼顧一般。13.2.1.1 本原則如果信息系統(tǒng)只承載一項(xiàng)業(yè)務(wù)，可以直接為該信息系統(tǒng)確定等 級，不必劃分業(yè)務(wù)子系統(tǒng)。如果信息系統(tǒng)承載多項(xiàng)業(yè)務(wù)，應(yīng)根據(jù)各項(xiàng)業(yè)務(wù)的性質(zhì)和特點(diǎn)，將 信息系統(tǒng)分成若干業(yè)務(wù)子系統(tǒng)，分別為各業(yè)務(wù)子系統(tǒng)確定安全保護(hù) 等級

6、，信息系統(tǒng)的安全保護(hù)等級由各業(yè)務(wù)子系統(tǒng)的最高等級決定。 信息系統(tǒng)是進(jìn)行等級確定和等級保護(hù)管理的最終對象。主要?jiǎng)澐衷?則有：一、具有唯一確定的安全責(zé)任單位作為定級對象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。如 果一個(gè)單位的某個(gè)下級單位負(fù)責(zé)信息系統(tǒng)安全建設(shè)、運(yùn)行維護(hù)等過 程的全部安全責(zé)任，則這個(gè)下級單位可以成為信息系統(tǒng)的安全責(zé)任 單位；如果一個(gè)單位中的不同下級單位分別承擔(dān)信息系統(tǒng)不同方面 的安全責(zé)任，則該信息系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級單位共同 所屬的單位。二、具有信息系統(tǒng)的基本要素作為定級對象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備、設(shè)施按 照一定的應(yīng)用目標(biāo)和規(guī)則組合而成的有形實(shí)體。應(yīng)避免將某個(gè)

7、單一 的系統(tǒng)組件，如服務(wù)器、終端、網(wǎng)絡(luò)設(shè)備等作為定級對象。三、承載單一或相對獨(dú)立的業(yè)務(wù)應(yīng)用定級對象承載“單一的業(yè)務(wù)應(yīng)用是指該業(yè)務(wù)應(yīng)用的業(yè)務(wù)流程獨(dú) 立，且與其他業(yè)務(wù)應(yīng)用沒有數(shù)據(jù)交換，且獨(dú)享所有信息處理設(shè)備。 定級對象承載相對獨(dú)立的業(yè)務(wù)應(yīng)用是指其業(yè)務(wù)應(yīng)用的主要業(yè)務(wù)流 程獨(dú)立，同時(shí)與其他業(yè)務(wù)應(yīng)用有少量的數(shù)據(jù)交換，定級對象可能會 與其他業(yè)務(wù)應(yīng)用共享一些設(shè)備，尤其是網(wǎng)絡(luò)傳輸設(shè)備。13.2.1.2 息系統(tǒng)的劃分方法一個(gè)組織機(jī)構(gòu)內(nèi)可能運(yùn)行一個(gè)或多個(gè)信息系統(tǒng)，這些信息系統(tǒng)的 安全保護(hù)等級可以是相同的，也可以是不同的。為體現(xiàn)重點(diǎn)保護(hù)重 要信息系統(tǒng)安全，有效控制信息安全建設(shè)成本，優(yōu)化信息安全資源 配置的等級保護(hù)原

8、則，在進(jìn)行信息系統(tǒng)的劃分時(shí)應(yīng)考慮以下幾個(gè)方 面：一、相同的管理機(jī)構(gòu)信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)在同一個(gè)管理機(jī)構(gòu)的管理控制之下， 可以保證遵循相同的安全管理策略。二、相同的業(yè)務(wù)類型信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的業(yè)務(wù)類型，安全需求相 近，可以保證遵循相同的安全策略。三、相同的物理位置或相似的運(yùn)行環(huán)境信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的物理位置或相似的運(yùn)行環(huán) 境意味著系統(tǒng)所面臨的威脅相似，有利于采取統(tǒng)一的安全保護(hù)。13.3 定級要素分析通過針對定級對象分別進(jìn)行業(yè)務(wù)信息安全分析和系統(tǒng)服務(wù)安全分 析，最終確定信息系統(tǒng)安全等級保護(hù)系統(tǒng)等級。在進(jìn)行業(yè)務(wù)信息安全分析和系統(tǒng)服務(wù)安全分析時(shí)，充分考慮行業(yè) 特點(diǎn)、業(yè)務(wù)

9、應(yīng)用特點(diǎn)等因素，細(xì)化受侵害客體組成及損害程度判定 要素，從而確保信息系統(tǒng)定級的合理準(zhǔn)確。1 /1根據(jù)定級流程，在定級要素分析時(shí)需對業(yè)務(wù)信息安全等級和系統(tǒng) 服務(wù)安全等級進(jìn)行分析，分析內(nèi)容包括確定受侵害的客體、確定對 客體的侵害程度，從而確定相應(yīng)的業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安 全等級。最后，綜合業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級得到信 息系統(tǒng)安全等級保護(hù)系統(tǒng)等級。13.3.2確定受侵害客體定級對象收到破壞時(shí)所侵害的客體包括國家安全、社會秩序、公 眾利益及公民、法人和其他組織的合法權(quán)益。國家安全 影響國家政權(quán)穩(wěn)固和國防實(shí)力； 影響國家統(tǒng)一、民族團(tuán)結(jié)和社會安定； 影響國家對外活動(dòng)中的政治、經(jīng)濟(jì)利益；

10、影響國家重要的安全保衛(wèi)工作； 影響國家經(jīng)濟(jì)競爭力和科技實(shí)力； 其他影響國家安全的事項(xiàng)。社會秩序 影響國家機(jī)關(guān)社會管理和公共服務(wù)的工作秩序； 影響各種類型的經(jīng)濟(jì)活動(dòng)秩序； 影響各行業(yè)的科研、生產(chǎn)秩序； 影響公眾在法律約束和道德規(guī)范下的正常生活秩序等； 其他影響社會秩序的事項(xiàng)。公共利益 影響社會成員使用公共設(shè)施； 影響社會成員獲取公開信息資源； 影響社會成員接受公共服務(wù)等方面； 其他影響公共利益的事項(xiàng)。公民、法人和其他組織由法律確認(rèn)的并受法律保護(hù)的公民、法人和其他組織所享 有的一定的社會權(quán)利和利益。確定作為定級對象的信息系統(tǒng)受到破壞后所侵害的客體時(shí)，應(yīng)首 先判斷是否侵害國家安全，然后判斷是否侵害社

11、會秩序或公眾利 益，最后判斷是否侵害公民、法人和其他組織的合法權(quán)益的關(guān)系， 從而確定信息和信息系統(tǒng)受到破壞時(shí)所侵害的客體。1.3.3.3 確定對客體的損害程度在針對不同的受侵害客體進(jìn)行侵害程度的判斷時(shí)，應(yīng)參照以下的 判別基準(zhǔn)。 如果受侵害客體是公民、法人或其他組織的合法權(quán)益，則以木 人或本單位的總體利益作為判斷侵害程度的基準(zhǔn)。 如果受侵害客體是社會秩序、公共利益或國家安全，則應(yīng)以整 個(gè)行業(yè)或國家的總體利益作為判斷侵害程度的基準(zhǔn)。不同危害后果的三種危害程度危害程度描述如下： 一般損害工作職能受到局部影響，業(yè)務(wù)能力有所降低但不影響主要功 能的執(zhí)行，出現(xiàn)較輕的法律問題，較低的財(cái)產(chǎn)損失，有限的社 會不

12、良影響，對其他組織和個(gè)人造成較低損害。 嚴(yán)重?fù)p害工作職能受到嚴(yán)重影響，業(yè)務(wù)能力顯著下降且嚴(yán)重影響主要 功能執(zhí)行，出現(xiàn)較嚴(yán)重的法律問題，較高的財(cái)產(chǎn)損失，較大范 圍的社會不良影響，對其他組織和個(gè)人造成較嚴(yán)重?fù)p害。特別嚴(yán)重?fù)p害工作職能受到特別嚴(yán)重影響或喪失行使能力，業(yè)務(wù)能力嚴(yán)重 下降且或功能無法執(zhí)行，出現(xiàn)極其嚴(yán)重的法律問題，極高的財(cái) 產(chǎn)損失，大范圍的社會不良影響，對其他組織和個(gè)人造成非常 嚴(yán)重?fù)p害。1.3.3.4 確定定級對象的安全保護(hù)等級在確定完成受侵害客體以及對客體的侵害程度后，依據(jù)表1分別 確定業(yè)務(wù)信息安全等級和系統(tǒng)服務(wù)安全等級。作為定級對象的信息 系統(tǒng)的安全保護(hù)等級由業(yè)務(wù)信息安全等級和系統(tǒng)服

13、務(wù)安全等級的較 高者決定。表1定級要素與安全保護(hù)等級的關(guān)系受侵害的客體對客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他 組織的合法權(quán)益第一級第二級第二級社會秩序、公共利 益第二級第三級第四級國家安全第三級第四級第五級13.4 編寫定級報(bào)告根據(jù)定級過程和定級結(jié)果，編寫初步信息系統(tǒng)定級報(bào)告。13.5 協(xié)助定級備案在完成初步定級報(bào)告后，協(xié)助信息系統(tǒng)管理使用單位進(jìn)行評審與 審批，并最終確定定級報(bào)告，完成信息系統(tǒng)備案工作。2等級測試2.1 工作內(nèi)容等級測評是信息安全等級保護(hù)實(shí)施中的一個(gè)重要環(huán)節(jié)。等級測評 是指具有相關(guān)資質(zhì)的、獨(dú)立的第三方評測服務(wù)機(jī)構(gòu)，對信息系統(tǒng)的 等級保護(hù)落實(shí)情況與信息安全等

14、級保護(hù)相關(guān)標(biāo)準(zhǔn)要求之間的符合程 度的測試判定。2.2 依據(jù)標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則信息系統(tǒng)安全等級保護(hù)基本要求信息系統(tǒng)安全等級保護(hù)定級指南電子政務(wù)信息安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)實(shí)施指南信息系統(tǒng)安全等級保護(hù)測評指南信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求信息安全技術(shù)服務(wù)器技術(shù)要求信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級技術(shù)要求2.3 等級評測內(nèi)容2.3.1 基本內(nèi)容對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行測試評估，應(yīng)包括兩個(gè)方面的 內(nèi)容：一是安全控制測評，主要測評信息安全等級保護(hù)要求的基

15、本 安全控制在信息系統(tǒng)中的實(shí)施配置情況；二是系統(tǒng)整體測評，主要 測評分析信息系統(tǒng)的整體安全性。其中，安全控制測評是信息系統(tǒng) 整體安全測評的基礎(chǔ)。對安全控制測評的描述，使用工作單元方式組織。工作單元分為 安全技術(shù)測評和安全管理測評兩大類。安全技術(shù)測評包括：物理安 全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)層面上 的安全控制測評；安全管理測評包括：安全管理機(jī)構(gòu)、安全管理制 度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面的安全控制測評。系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu)，也關(guān)系到 信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的 實(shí)際情況緊密相關(guān)，內(nèi)容復(fù)雜且充

16、滿系統(tǒng)個(gè)性。因此，全面地給出 系統(tǒng)整體測評要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方 法是很困難的。測評人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況，結(jié)合標(biāo) 準(zhǔn)要求，確定系統(tǒng)整體測評的具體內(nèi)容，在安全控制測評的基礎(chǔ) 上，重點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，測 評安全控制間、層面間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充 和削弱作用以及信息系統(tǒng)整體結(jié)構(gòu)安全性、不同信息系統(tǒng)之間整體 安全性等，等級測評基本內(nèi)容如圖1所示。信息系統(tǒng)等級測評系統(tǒng)整體測評安全控制測評安全技術(shù)測評安全管理測評安全控制間層面問區(qū)域間網(wǎng)絡(luò)安全 物理安全數(shù)據(jù)安全應(yīng)用安全主機(jī)系統(tǒng)安全安管機(jī)全理構(gòu)全理度安管制人員安全管理統(tǒng)設(shè)理

17、系建管統(tǒng)維理系運(yùn)管不同信息系統(tǒng)之間整體安全性整體結(jié)構(gòu)安全整體拓?fù)?局部結(jié)構(gòu)圖1等級測評基本內(nèi)容2.3.2 等級測評工作單元工作單元是安全測評的基本工作單位，對應(yīng)一組相對獨(dú)立和完整 的測評內(nèi)容。工作單元由測評項(xiàng)、測評對象、測評方式、測評實(shí)施 和結(jié)果判定組成，如圖2示。工作單元冽評項(xiàng) J具體技術(shù)和管理要求測評方式 1J 訪談r查剛試 |測評對象 J 人員戊楷珈制,設(shè)備* 一）測評實(shí)施 > 冽評方式對象+鎮(zhèn)作結(jié)果判定 是否符合測評項(xiàng)要求 .二4圖2工作單元構(gòu)成測評項(xiàng)描述測評目的和測評內(nèi)容，與信息安全等級保護(hù)要求的基 本安全控制要求相一致。測評方式是指測評人員依據(jù)測評目的和測評內(nèi)容應(yīng)選取的、實(shí)施

18、 特定測評操作的方式方法，包括三種基本測評方式：訪談、檢查和 測試。測評對象是測評實(shí)施過程中涉及到的信息系統(tǒng)的構(gòu)成成分，是客 觀存在的人員、文檔、機(jī)制或者設(shè)備等。測評對象是根據(jù)該工作單 元中的測評項(xiàng)要求提出的，與測評項(xiàng)的要求相適應(yīng)。一般來說，實(shí) 施測評時(shí)，面臨的具體測評對象可以是單個(gè)人員、文檔、機(jī)制或者 設(shè)備等，也可能是由多個(gè)人員、文檔、機(jī)制或者設(shè)備等構(gòu)成的集 合，它們分別需要使用到某個(gè)特定安全控制的功能。測評實(shí)施是工作單元的主要組成部分，它是依據(jù)測評目的，針對 具體測評內(nèi)容開發(fā)出來的具體測評執(zhí)行實(shí)施過程要求。測評實(shí)施描 述測評過程中涉及到的具體測評方式、內(nèi)容以及需要實(shí)現(xiàn)的和/或應(yīng) 該取得的測

19、評結(jié)果。結(jié)果判定描述測評人員執(zhí)行完測評實(shí)施過程，產(chǎn)生各種測評證據(jù) 后，如何依據(jù)這些測評證據(jù)來判定被測系統(tǒng)是否滿足測評項(xiàng)要求的 方法和原則。在給出整個(gè)工作單元的測評結(jié)論前，需要先給出單項(xiàng) 測評實(shí)施過程的結(jié)論。一般來說，單項(xiàng)測評實(shí)施過程的結(jié)論判定不 是直接的，常常需要測評人員的主觀判斷，通常認(rèn)為取得正確的、 關(guān)鍵性證據(jù)，該單項(xiàng)測評實(shí)施過程就得到滿足。某些安全控制可能 在多個(gè)具體測評對象上實(shí)現(xiàn)（如主機(jī)系統(tǒng)的身份鑒別），在測評時(shí) 發(fā)現(xiàn)只有部分測評對象上的安全控制滿足要求，它們的結(jié)果判定應(yīng) 根據(jù)實(shí)際情況給出。2.4 測評方法主要采用訪談、檢查、測試等方法進(jìn)行等級保護(hù)測評。一、訪談（interview）測

20、評人員通過與信息系統(tǒng)相關(guān)人員（個(gè)人/群體）進(jìn)行交流、討 論等活動(dòng)，獲取證據(jù)以證明信息系統(tǒng)安全等級保護(hù)措施是否有效的 一種方法。使用各類調(diào)查問卷和訪談大綱實(shí)施訪談。二、檢查(examine)不同于行政執(zhí)法意義上的監(jiān)督檢查，而是指測評人員通過對測評 對象進(jìn)行觀察、查驗(yàn)、分析等活動(dòng)，獲取證據(jù)以證明信息系統(tǒng)安全 等級保護(hù)措施是否有效的一種方法?？梢允褂酶鞣N檢查表和相應(yīng)的 安全調(diào)查工具實(shí)施檢查。三、測試(test)測評人員通過對測評對象按照預(yù)定的方法/工具使其產(chǎn)生特定的 行為等活動(dòng)，查看、分析輸出結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全 等級保護(hù)措施是否有效的一種方法。包括功能測試和滲透性測試、 系統(tǒng)漏洞掃描等

21、。滲透性測試：等級測評的一個(gè)重要內(nèi)容是對測試目標(biāo)進(jìn)行脆弱性 分析，探知產(chǎn)品或系統(tǒng)安全脆弱性的存在，其主要目的是確定測試 目標(biāo)能夠抵抗具有不同等級攻擊潛能的攻擊者發(fā)起的滲透性攻擊。 因此，滲透性測試就是在測試目標(biāo)預(yù)期使用環(huán)境下進(jìn)行的測試，以 確定測試目標(biāo)中潛在的脆弱性的可利用程度。系統(tǒng)漏洞掃描：耍是利用掃描工具對系統(tǒng)進(jìn)行自動(dòng)檢查，根據(jù)漏 洞庫的描述對系統(tǒng)進(jìn)行模擬攻擊測試，如果系統(tǒng)被成功入侵，說明 存在漏洞。主要分為網(wǎng)絡(luò)漏洞掃描和主機(jī)漏洞掃描等方式。2.5 等級測評工作流程一、測評準(zhǔn)備階段本階段是開展現(xiàn)場測評工作的前提和基礎(chǔ)，是整個(gè)等級測評過程 有效性的保證。測評準(zhǔn)備工作是否充分直接關(guān)系到現(xiàn)場測評

22、工作能 否順利開展。本階段的主要工作是掌握被測方系統(tǒng)的詳細(xì)情況和為 實(shí)施現(xiàn)場測評做好方案、文檔及測試工具等方面的準(zhǔn)備。二、現(xiàn)場實(shí)施階段本階段是開展等級測評工作的關(guān)鍵階段。本階段的主要工作是按 照測評方案的總體要求，嚴(yán)格執(zhí)行作業(yè)指導(dǎo)書，分步實(shí)施所有測評 項(xiàng)目，包括單項(xiàng)測評和系統(tǒng)整體測評兩個(gè)方面，以了解系統(tǒng)的真實(shí) 保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。三、分析與報(bào)告編制階段該階段是等級測評工作的最后環(huán)節(jié)，是對被測方系統(tǒng)整體安全保 護(hù)能力的綜合評價(jià)過程。主要工作是根據(jù)現(xiàn)場測評結(jié)果和測評準(zhǔn) 則的有關(guān)要求，通過單項(xiàng)測評結(jié)論判定和系統(tǒng)整體測評分析等方 法，分析整個(gè)系統(tǒng)的安全保護(hù)現(xiàn)狀與相應(yīng)等級的保

23、護(hù)要求之間的差 距，編制測評報(bào)告。等級測評基本流程如圖3示。溝通與洽談洲評準(zhǔn)備階段現(xiàn)場實(shí)施階段等級測評項(xiàng)目啟動(dòng)信息收集和分析編制測評方案工具和文檔準(zhǔn)備方案確認(rèn)和資源辦調(diào)現(xiàn)場測評和記錄結(jié)果結(jié)果確認(rèn)和資料歸還分析與報(bào)告編制階段形成等級評測結(jié)論分析測泮結(jié)果編制測評報(bào)告說明：圖中電線框中的活動(dòng)不是一個(gè)獨(dú)立的活動(dòng)或稱，它貫穿等級 測評的各個(gè)階段中，需要雙方配合共同完成等級測評工作.圖3等級測評基本流程2.6 系統(tǒng)整體測評系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu)，也關(guān)系到 信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的 實(shí)際情況緊密相關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個(gè)性。因此，全面地給出 系統(tǒng)整體

24、測評要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方 法是很困難的。首先測評人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況，結(jié)合標(biāo)準(zhǔn)要求， 確定系統(tǒng)整體測評的具體內(nèi)容。其次在安全控制測評的基礎(chǔ)上，重 點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，測評安全 控制間、層面間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱 作用，最后才能得出測評結(jié)論。2.6.1 安全控制間安全測評安全控制間的安全測評主要考慮同一區(qū)域內(nèi)、同一層而上的不同 安全控制間存在的功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用。安全功能上 的增強(qiáng)和補(bǔ)充可以使兩個(gè)不同強(qiáng)度、不同等級的安全控制發(fā)揮更強(qiáng) 的綜合效能，可以使單個(gè)低等級安全控制在特定環(huán)境中達(dá)到高等級

25、信息系統(tǒng)的安全要求。安全功能上的削弱會使一個(gè)安全控制的引入 影響另一個(gè)安全控制的功能發(fā)揮或者給其帶來新的脆弱性。例如， 某金融機(jī)構(gòu)的核心系統(tǒng)，它的訪問路徑未采用SSL加密設(shè)置，容易 導(dǎo)致數(shù)據(jù)被嗅探和非法篡改，但核心系統(tǒng)采用SSL加速器對網(wǎng)絡(luò)上 數(shù)據(jù)傳輸進(jìn)行加密，可以有效保護(hù)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)陌踩?。所以，?進(jìn)行測評綜合判定時(shí)，該測評項(xiàng)就可以判為通過。2.6.2 層面間安全測評層面間的安全測評主要考慮同一區(qū)域內(nèi)的不同層面之間存在的功 能增強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用。安全功能上的增強(qiáng)和補(bǔ)充可以使 兩個(gè)不同層面上的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個(gè)低等 級安全控制在特定環(huán)境中達(dá)到高等級信息系統(tǒng)的安全要

26、求。安全功 能上的削弱會使一個(gè)層面上的安全控制影響另一個(gè)層面安全控制的 功能發(fā)揮或者給其帶來新的脆弱性。例如，某金融機(jī)構(gòu)，它的網(wǎng)絡(luò) 核心設(shè)備對內(nèi)部的訪問控制存在不足，安全風(fēng)險(xiǎn)主要來自內(nèi)部人員 的誤用、濫用和惡用，但是它的教育、管理和考核制度都比較完 善，對內(nèi)部員工要求也比較嚴(yán)格，所以在一定程度上降低了這種來 自內(nèi)部的風(fēng)險(xiǎn)，對網(wǎng)絡(luò)訪問控制進(jìn)行了相應(yīng)的補(bǔ)充和增強(qiáng)。2.6.3 區(qū)域間安全測評區(qū)域間的安全測評主要考慮互連互通（包括物理上和邏輯上的互 連互通等）的不同區(qū)域之間存在的安全功能增強(qiáng)、補(bǔ)充和削弱等關(guān) 聯(lián)作用，特別是有數(shù)據(jù)交換的兩個(gè)不同區(qū)域。安全功能上的增強(qiáng)和 補(bǔ)充可以使兩個(gè)不同區(qū)域上的安全控制

27、發(fā)揮更強(qiáng)的綜合效能，可以 使單個(gè)低等級安全控制在特定環(huán)境中達(dá)到高等級信息系統(tǒng)的安全要 求。安全功能上的削弱會使一個(gè)區(qū)域上的安全功能影響另一個(gè)區(qū)域 安全功能的發(fā)揮或者給其帶來新的脆弱性。例如，某金融機(jī)構(gòu)的核 心數(shù)據(jù)機(jī)房位于中心機(jī)房內(nèi)部，它只有一個(gè)出入口，該出入口在中 心機(jī)房內(nèi)。因此，在中心機(jī)房的出入口上安排24小時(shí)專人值守等措 施，可以解決核心數(shù)據(jù)機(jī)房區(qū)域上的物理訪問控制等相應(yīng)措施的安 全功能，使其達(dá)到該區(qū)域物理安全所要求的安全保護(hù)強(qiáng)度。3全面認(rèn)識和正確實(shí)施信息安全等級保護(hù)3.1全面認(rèn)識信息安全等級保護(hù)信息安全等級保護(hù)信息安全等級保護(hù)的各項(xiàng)工作是圍繞對信息系 統(tǒng)的安全等級保護(hù)開展的。全面認(rèn)識信息

28、安全等級保護(hù)，需要確立 以下基本觀點(diǎn)：1）整體看，信息安全等級保護(hù)是制度；分開看，信息安全是目 的，等級保護(hù)是方法；2）對信息安全劃分等級是管理的需要；3）信息安全是圍繞信息系統(tǒng)安全開展的一系列工作的總稱；4）風(fēng)險(xiǎn)等級、需求等級、安全保護(hù)等級、安全技術(shù)等級和安全管 理等級是信息系統(tǒng)安全等級保護(hù)對等級劃分的全面反映；5）安全系統(tǒng)等級與安全技術(shù)等級和安全管理等級既相互關(guān)聯(lián)又各 有其不同的含義；6）安全管理是信息安全的生命線。整體看，“信息安全等級保護(hù)”是制度；分開看，“信息安全是 目的，等級保護(hù)是方法”，這一基本認(rèn)識明確定位了信息安全等級 保護(hù)的重要位置以及信息安全與等級保護(hù)之間的關(guān)系。用分等級保

29、 護(hù)的方法實(shí)現(xiàn)國家信息安全的總體目標(biāo)，既是一項(xiàng)制度，也是一種 方法。其基本思想是：重點(diǎn)保護(hù)和適度保護(hù)。進(jìn)一步理解可以包括 以下含義：方法是可選的，不是唯一的；但制度一經(jīng)確定就是不可 改變的；等級的劃分可以是多種多樣的，但作為要具體執(zhí)行的制 度，就應(yīng)有確定的等級劃分；對己經(jīng)確定的等級劃分，如果沒有發(fā) 現(xiàn)其不可執(zhí)行的缺陷，就不要輕易改變?！皩π畔踩珓澐值燃壥枪芾淼男枰?，這一基本認(rèn)識表明：分 等級保護(hù)是從便于管理的角度對實(shí)現(xiàn)信息安全的考慮。其實(shí)，等級 化管理是人類社會普遍采用的管理方法?？v觀人類社會活動(dòng)的各個(gè) 環(huán)節(jié)，無不存在著按等級管理的情況。就信息安全而言，等級化管 理在國際和國內(nèi)也是普遍采用

30、的方法。經(jīng)典的安全標(biāo)準(zhǔn)-TCSEC和最 新國際信息安全技術(shù)標(biāo)準(zhǔn)-CC等無不以分等級的方法對信息安全技 術(shù)的不同要求進(jìn)行描述，盡管他們各自在描述方法上有所不同（CC 沒有對安全功能要求進(jìn)行等級劃分，很大程度上是因?yàn)楦鱾€(gè)國家沒 有取得共識）。從我國當(dāng)前的實(shí)際情況出發(fā)，采用分等級保護(hù)的方 法實(shí)現(xiàn)信息安全，無疑是適用于我國當(dāng)前實(shí)際的一種有效的信息安 全管理方法。“信息安全是圍繞信息系統(tǒng)安全開展的一系列工作的總稱”。這 一基本認(rèn)識表明：信息安全是指信息系統(tǒng)和信息系統(tǒng)中存儲、傳輸 和處理的數(shù)據(jù)信息的安全。一方面“信息安全”是一個(gè)具有較廣泛 概念的稱謂，是包括從中央到地方、從法律到法規(guī)、從管理到技 術(shù)、從系

31、統(tǒng)到產(chǎn)品等，涉及國家有關(guān)機(jī)構(gòu)和部門圍繞對信息的安全 保護(hù)所進(jìn)行的所有活動(dòng)；另一方面“，信息安全”的所有活動(dòng)則完 全是圍繞對信息系統(tǒng)和信息系統(tǒng)中所存儲、傳輸和處理的數(shù)據(jù)信息 進(jìn)行安全保護(hù)應(yīng)采取的安全技術(shù)和安全管理措施這一目標(biāo)開展的， 并且具體落實(shí)到各個(gè)單位和部門的所有信息系統(tǒng)的建設(shè)和運(yùn)行控制 的全過程?！帮L(fēng)險(xiǎn)等級、需求等級、安全保護(hù)等級、安全技術(shù)和安全管理等 級是信息系統(tǒng)安全等級保護(hù)對等級劃分的全面反映”這一基本認(rèn)識 表明：圍繞信息系統(tǒng)的安全等級保護(hù)，需要對信息系統(tǒng)的安全風(fēng) 險(xiǎn)、安全需求、安全保護(hù)、安全技術(shù)和安全管理等各個(gè)階段和層面 進(jìn)行等級劃分。信息系統(tǒng)的安全風(fēng)險(xiǎn)等級是根據(jù)對目標(biāo)信息系統(tǒng)進(jìn) 行

32、風(fēng)險(xiǎn)分析所確定的風(fēng)險(xiǎn)度的表示，66號文件所規(guī)定的5個(gè)安全等 級，就是建立在對國家各行各業(yè)的信息系統(tǒng)的安全保護(hù)要求進(jìn)行總 體風(fēng)險(xiǎn)分析的基礎(chǔ)上確定的信息系統(tǒng)的安全風(fēng)險(xiǎn)框架，是各有關(guān)單 位確定其所屬信息系統(tǒng)的安全風(fēng)險(xiǎn)等級的基本依據(jù)；信息系統(tǒng)安全 需求等級是根據(jù)目標(biāo)信息系統(tǒng)的安全風(fēng)險(xiǎn)等級確定的；信息系統(tǒng)的 安全保護(hù)等級是對信息系統(tǒng)安全保護(hù)的總體要求，是確定目標(biāo)信息 系統(tǒng)應(yīng)選取何種等級的安全保護(hù)措施（包括安全技術(shù)措施和安全管 理措施）的基本依據(jù)，這些安全措施共同確保信息系統(tǒng)安全達(dá)到其 安全性目標(biāo)；安全技術(shù)等級和安全管理等級分別從技術(shù)和管理的角 度對安全保護(hù)措施的安全性進(jìn)行區(qū)分，為不同安全等級的信息系統(tǒng)

33、進(jìn)行技術(shù)和管理措施的選擇提供支持。“安全系統(tǒng)等級與安全技術(shù)等級和安全管理等級既相互關(guān)聯(lián)又各 有其不同的含義”。這一基本認(rèn)識表明：安全技術(shù)等級和安全管理 等級與系統(tǒng)安全等級有著十分密切的關(guān)系但兩者并不是等同的關(guān) 系。為了貫徹重點(diǎn)保護(hù)和適度保護(hù)的原則，信息系統(tǒng)需要?jiǎng)澐值?級，信息安全技術(shù)和信息安全管理同樣需要?jiǎng)澐值燃?。然而，信?系統(tǒng)的安全等級與安全技術(shù)的安全等級和安全管理的安全等級（以 下簡稱“技術(shù)和管理的安全等級”）是兩個(gè)既有聯(lián)系又不完全相同 的概念。信息系統(tǒng)的安全等級是根據(jù)信息系統(tǒng)的風(fēng)險(xiǎn)程度（或者說 風(fēng)險(xiǎn)等級）確定的，是與信息系統(tǒng)的重要性（或資產(chǎn)價(jià)值）及其所 處的環(huán)境和條件（或安全威脅）有關(guān)

34、的。而技術(shù)和管理的安全等級 則是按安全技術(shù)和安全管理要素的安全性強(qiáng)度劃分并與環(huán)境和條件 無關(guān)的。由于信息系統(tǒng)所處環(huán)境和條件的各不相同，信息系統(tǒng)的安 全等級劃分難以制定出明確的標(biāo)準(zhǔn)，而技術(shù)和管理的安全等級完全 可以根據(jù)其所實(shí)現(xiàn)的安全功能和所采取的安全保證措施制定出明確 的劃分標(biāo)準(zhǔn)。到目前為止，所制定的一系列與信息安全等級保護(hù)相 關(guān)的標(biāo)準(zhǔn)，其等級的劃分都是以安全要素為單位進(jìn)行劃分的。不同 安全要素所實(shí)現(xiàn)的安全功能的安全性強(qiáng)度（也就是安全等級），根 據(jù)其所采用的安全機(jī)制的不同和安全保證措施的不同而定。至于劃 分為幾個(gè)等級和每個(gè)安全等級之間的差異，完全是人為確定的。當(dāng) 然，這里所說的人為確定并是由哪一

35、個(gè)隨意確定的，而是由有關(guān)主 管部門組織業(yè)內(nèi)有關(guān)專家，根據(jù)信息安全等級保護(hù)的需要，參考國 際和國外的相關(guān)標(biāo)準(zhǔn)，結(jié)合我國安全技術(shù)發(fā)展和信息系統(tǒng)安全等級 劃分的具體情況，認(rèn)真研究確定的。這就是我們當(dāng)前所制定的一系 列安全技術(shù)和安全管理標(biāo)準(zhǔn)等級劃分的基礎(chǔ)和依據(jù)。對一個(gè)具體的 信息系統(tǒng)，在選擇采用何種等級的安全技術(shù)和安全管理措施時(shí)，需 要考慮目標(biāo)信息系統(tǒng)所處的環(huán)境和條件對安全性要求的影響，而并非簡單的按對應(yīng)等級進(jìn)行選擇?！鞍踩芾硎切畔踩纳€”。這一基本認(rèn)識表明：安全管 理在信息安全等級保護(hù)制度實(shí)施過程中重要作用。人們通常用“三 分技術(shù)，七分管理”來形容管理對技術(shù)的重要性。其實(shí)，用“安全 管理是信

36、息安全的生命線”來描述安全管理對信息安全的重要性可 能更為貼切。對信息安全等級保護(hù)的管理分為“宏觀管理”和“微 觀管理”。宏觀管理是指從國家的政策法規(guī)到設(shè)置各種管理機(jī)構(gòu)等 全局性的管理措施微觀管理是指圍繞信息系統(tǒng)的安全等級保護(hù)所實(shí) 施的一系具體管理。從宏觀管理看，沒有政策法規(guī)的明確要求，信 息安全等級保護(hù)就是依據(jù)空話。從微觀管理看，安全管理貫穿從確 定信息系統(tǒng)安全需求到控制信息系統(tǒng)安全運(yùn)行的信息系統(tǒng)整個(gè)生命 周期的全過程，是信息安全的每一個(gè)環(huán)節(jié)實(shí)現(xiàn)的前提和保證。沒有 嚴(yán)格的組織管理，無法進(jìn)行信息安全的需求分析，從而無法確定信 息安全的等級需求；無法確定信息系統(tǒng)的安全方案；無法確保信息 系統(tǒng)安全

37、工程按確定的安全目標(biāo)實(shí)現(xiàn)；無法確保設(shè)計(jì)、實(shí)現(xiàn)的信息 安全系統(tǒng)的運(yùn)行達(dá)到所要求的安全目標(biāo)；無法應(yīng)對安全系統(tǒng)運(yùn)行中 出現(xiàn)的新情況和新問題?？傊谛畔踩到y(tǒng)生周期的每一個(gè)環(huán) 節(jié)，沒有嚴(yán)格的符合要求的管理，安全技術(shù)的作用就會打折扣，甚 至成為攻擊的弱點(diǎn)和漏洞。技術(shù)是手段，管理是前提和保證目標(biāo)只 有一個(gè)，那就是信息安全。根據(jù)我國的國情，管理的重要性還體現(xiàn) 在領(lǐng)導(dǎo)的重要性。實(shí)踐證明，在我國信息系統(tǒng)建設(shè)階段，單位領(lǐng)導(dǎo) 的重視與支持對單位的信息系統(tǒng)建設(shè)和發(fā)展的重要性已經(jīng)成為不爭的事實(shí)。同樣，單位領(lǐng)導(dǎo)，特別是主要領(lǐng)導(dǎo)的重視與支持，對單位 信息安全系統(tǒng)建設(shè)和運(yùn)行具有十分重要的作用。3.2正確實(shí)施信息安全等級保

38、護(hù)正確實(shí)施信息安全等級保護(hù)需要采用以下基本方法：1）風(fēng)險(xiǎn)管理與信息安全等級保護(hù)相結(jié)合是貫穿信息系統(tǒng)整個(gè)生命 周期的有效措施；2）構(gòu)建等級化的信息安全保障體系是實(shí)施信息安全等級保護(hù)的正 確途徑；3）按區(qū)域分類、分層、分等級保護(hù)是對信息系統(tǒng)實(shí)施安全等級保 護(hù)的有效方法；4）安全的一致性原理是等級化信息系統(tǒng)安全設(shè)計(jì)的重要思想。在進(jìn)行等級化的信息系統(tǒng)安全設(shè)計(jì)時(shí)，首先采用風(fēng)險(xiǎn)分析的方法 確定安全風(fēng)險(xiǎn)程度（等級）和安全需求，然后將這些安全需求轉(zhuǎn)化 為相應(yīng)的安全要求，再根據(jù)這些安全要求，確定對應(yīng)的安全技術(shù)和 安全管理措施。根據(jù)這些安全技術(shù)和安全管理措施在相關(guān)的安全技 術(shù)標(biāo)準(zhǔn)和安全管理標(biāo)準(zhǔn)中的安全級，從而最終

39、確定信息系統(tǒng)的安全 等級。由于安全技術(shù)和安全管理標(biāo)準(zhǔn)的等級劃分己經(jīng)充分考慮到信 息系統(tǒng)安全等級的劃分，所以從整體上兩者的等級應(yīng)該是基本一致 的。但這里并不要求完全對應(yīng)。因?yàn)閺谋举|(zhì)上講，技術(shù)和管理的安 全等級的劃分是比較單一的，而信息系統(tǒng)安全等級的劃分是比較復(fù) 雜的，而且與信息系統(tǒng)所在的環(huán)境和條件有關(guān)的?？梢詭椭覀兝?解這一觀點(diǎn)的一個(gè)例子是，美國的NIST系列文檔將信息系統(tǒng)的安全 等級劃分為基本級、增強(qiáng)級、強(qiáng)健級三個(gè)等級，并通過選取C C中 的相應(yīng)安全組件來構(gòu)建所需要的信息安全系統(tǒng)。通過風(fēng)險(xiǎn)分析確定安全風(fēng)險(xiǎn)等級，威脅針對脆弱性和資產(chǎn)所產(chǎn)生 的后果是，在脆弱性和資產(chǎn)確定的情況下，安全風(fēng)險(xiǎn)隨威脅的增加 而增加；在威脅確定的情況下，安全風(fēng)險(xiǎn)隨資產(chǎn)和/或脆弱性的增加 而增加；安全需求等級由安全風(fēng)險(xiǎn)等級產(chǎn)生，安全目標(biāo)等級由安全 需求等級確定，安全目標(biāo)等級通過選擇相應(yīng)安全等級的安全措施 （安全技術(shù)措施和安全管理措施）來實(shí)現(xiàn)；安全措施通過對抗威 脅、保護(hù)資產(chǎn)和降低脆弱性來減少安全風(fēng)險(xiǎn)，使剩余風(fēng)險(xiǎn)降低到可 接受的范圍，從而達(dá)到對信息系統(tǒng)進(jìn)行安全保護(hù)的目標(biāo)?！皹?gòu)建等級化的信息安全保障體系是實(shí)施信息安全等級保護(hù)的正 確途徑”，這一基本方