信息系統(tǒng)安全等級保護基本要求培訓課件-2024鮮版

信息系統(tǒng)安全等級保護基本要求培訓課件12024/3/27信息系統(tǒng)安全等級保護概述物理安全基本要求網(wǎng)絡安全基本要求主機安全基本要求應用安全基本要求數(shù)據(jù)安全及備份恢復基本要求管理制度及人員培訓要求contents目錄22024/3/27信息系統(tǒng)安全等級保護概述01CATALOGUE32024/3/27信息系統(tǒng)安全等級保護是對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應、處置。定義隨著信息化的發(fā)展，信息系統(tǒng)已成為國家和社會發(fā)展重要的基礎設施，信息安全問題也日益突出。為了加強信息安全保障工作，國家制定了信息系統(tǒng)安全等級保護制度。背景定義與背景42024/3/27等級劃分根據(jù)信息系統(tǒng)的重要程度和遭到破壞后的危害程度，將信息系統(tǒng)劃分為五個安全保護等級，分別為第一級（自主保護級）、第二級（指導保護級）、第三級（監(jiān)督保護級）、第四級（強制保護級）和第五級（專控保護級）。標準每個安全保護等級都有相應的安全保護能力要求，包括物理安全、網(wǎng)絡安全、數(shù)據(jù)安全、應用安全和管理安全等方面的要求。同時，針對不同等級的信息系統(tǒng)，還有相應的測評標準和測評方法。等級劃分及標準52024/3/27保障信息安全通過實施信息系統(tǒng)安全等級保護制度，可以加強對重要信息系統(tǒng)的安全保護，提高信息系統(tǒng)的安全防護能力和水平，有效防范和應對各種信息安全風險。促進信息化發(fā)展實施信息系統(tǒng)安全等級保護制度可以規(guī)范信息化建設和管理行為，提高信息化建設和管理的科學性和規(guī)范性，推動信息化健康有序發(fā)展。維護國家安全和社會穩(wěn)定重要信息系統(tǒng)是國家關鍵基礎設施的重要組成部分，其安全直接關系到國家安全和社會穩(wěn)定。實施信息系統(tǒng)安全等級保護制度可以加強對重要信息系統(tǒng)的安全監(jiān)管和保護，維護國家安全和社會穩(wěn)定。重要意義和作用62024/3/27物理安全基本要求02CATALOGUE72024/3/27信息系統(tǒng)所在場所應選擇在具有防震、防風和防雨等能力的建筑內。場地選擇物理訪問控制物理安全監(jiān)測物理場所應有嚴格的訪問控制措施，如門禁系統(tǒng)、監(jiān)控攝像頭等。應建立物理安全監(jiān)測機制，對物理環(huán)境進行實時監(jiān)測和記錄，以便及時發(fā)現(xiàn)和處置安全問題。030201物理環(huán)境安全82024/3/27建立嚴格的人員進出管理制度，對進出人員進行身份核實和登記。人員進出管理對設備的進出應進行詳細記錄，確保設備的安全和可追溯性。設備進出管理根據(jù)人員職責和需要，分配不同的物理訪問權限，實現(xiàn)最小權限原則。訪問權限管理物理訪問控制92024/3/27實時監(jiān)測物理環(huán)境中的溫度、濕度、煙霧等參數(shù)，確保環(huán)境安全。環(huán)境監(jiān)測對重要設備和系統(tǒng)進行實時監(jiān)測，及時發(fā)現(xiàn)和處理異常情況。設備監(jiān)測對物理訪問日志進行定期審計和分析，以便發(fā)現(xiàn)和處置潛在的安全問題。日志審計物理安全監(jiān)測102024/3/27網(wǎng)絡安全基本要求03CATALOGUE112024/3/27保證主要網(wǎng)絡設備的業(yè)務處理能力滿足基本業(yè)務需要，實現(xiàn)主要網(wǎng)絡設備雙機備份。局域網(wǎng)內所有用戶需實施嚴格的接入控制，保證網(wǎng)絡邊界安全。定期進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡安全漏洞及時進行修補。網(wǎng)絡結構安全122024/3/27訪問控制策略應明確允許或拒絕網(wǎng)絡訪問的規(guī)則和條件，包括用戶、地址、端口、協(xié)議等要素。應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級。應按用戶和系統(tǒng)之間的訪問控制規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)資源的訪問，控制粒度為單個用戶。網(wǎng)絡訪問控制132024/3/27應能對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄。對于每一個網(wǎng)絡設備，應能夠審計網(wǎng)絡設備的日志記錄，包括網(wǎng)絡設備運行狀況、網(wǎng)絡流量等。審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息。對于每一個業(yè)務應用，應能夠審計業(yè)務應用的用戶行為日志記錄，包括用戶登錄、操作記錄等。網(wǎng)絡安全審計142024/3/27主機安全基本要求04CATALOGUE152024/3/27應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換；當進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽；身份鑒別與訪問控制應具有登錄失敗處理功能，應配置并啟用結束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自動退出等相關措施；應對登錄的用戶分配賬戶和權限，并授權相關的操作權限。162024/3/27應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等；應能夠對遠程訪問進行監(jiān)控和記錄，記錄內容包括遠程訪問用戶的登錄、操作和退出等信息。01020304安全審計與監(jiān)控172024/3/27應保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內存中；應確保系統(tǒng)內的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。剩余信息保護182024/3/27應用安全基本要求05CATALOGUE192024/3/27身份鑒別與訪問控制01應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換。02應具有登錄失敗處理功能，應配置并啟用結束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自動退出等相關措施。03當進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽。04應按照安全策略控制用戶對資源的訪問，包括訪問主體、客體及它們之間的操作。202024/3/27應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計。應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息。應能夠對遠程訪問的用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等進行監(jiān)測。安全審計與監(jiān)控212024/3/27

通信保密和完整性保護應采用密碼技術保證通信過程中數(shù)據(jù)的保密性和完整性。在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證。應對通信過程中的整個報文或會話過程進行加密。222024/3/27數(shù)據(jù)安全及備份恢復基本要求06CATALOGUE232024/3/27定期對重要數(shù)據(jù)進行完整性校驗，發(fā)現(xiàn)數(shù)據(jù)損壞或丟失及時進行恢復。建立數(shù)據(jù)完整性管理制度，明確數(shù)據(jù)完整性管理責任和要求。采用校驗技術或密碼技術確保重要數(shù)據(jù)在傳輸過程中的完整性，防止數(shù)據(jù)在傳輸過程中被篡改。數(shù)據(jù)完整性保護242024/3/27對重要數(shù)據(jù)和敏感信息進行加密存儲，確保即使數(shù)據(jù)被盜或丟失，攻擊者也無法輕易解密和使用。在數(shù)據(jù)傳輸過程中使用加密技術，確保數(shù)據(jù)在傳輸過程中的保密性和完整性。采用符合國家密碼管理規(guī)定的密碼算法和密鑰管理方案。數(shù)據(jù)加密存儲和傳252024/3/2701定期測試備份數(shù)據(jù)的可恢復性，確保在發(fā)生數(shù)據(jù)損壞或丟失時能夠及時恢復。建立完善的災難恢復計劃，明確災難恢復流程、恢復時間目標、恢復點目標等，確保在發(fā)生嚴重故障時能夠迅速恢復正常運行。對備份數(shù)據(jù)進行安全管理，防止備份數(shù)據(jù)被盜或濫用。制定詳細的備份策略，包括備份頻率、備份內容、備份方式等，確保數(shù)據(jù)能夠及時、完整地進行備份。020304備份和恢復策略制定及實施262024/3/27管理制度及人員培訓要求07CATALOGUE272024/3/27設立專門的信息安全管理部門或專職管理人員，明確其職責和權限。對各個崗位的人員進行明確的職責劃分，確保信息安全工作的順利開展。建立完善的權限管理制度，對各個系統(tǒng)和應用的權限進行嚴格控制和管理。明確崗位職責和權限劃分282024/3/27制定信息安全總體方針、安全策略、管理制度和操作規(guī)程等文件。加強制度和規(guī)程的宣傳和培訓，確保相關人員熟知并遵守各項規(guī)定。對管理制度和操作規(guī)程進行定期評審和修訂，確保其適應業(yè)務發(fā)展和安全需求的變化