等級(jí)保護(hù)安全培訓(xùn)規(guī)劃

第頁(yè)等級(jí)保護(hù)安全培訓(xùn)規(guī)劃《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》

培訓(xùn)教材

本教材主要通過對(duì)《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》（以下簡(jiǎn)稱《實(shí)施指南》）的主要作用、內(nèi)容等進(jìn)行介紹，使培訓(xùn)人員能夠清楚了解等級(jí)保護(hù)的整個(gè)實(shí)施過程，以便各項(xiàng)工作的開展。

1概述

1.1主要作用

信息安全等級(jí)保護(hù)工作的先行工作之一是“加快制定、完善管理規(guī)范和技術(shù)標(biāo)準(zhǔn)體系”，管理規(guī)范和技術(shù)標(biāo)準(zhǔn)體系是等級(jí)保護(hù)工作的基礎(chǔ)，在《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》（公通字[2004]66號(hào)，以下簡(jiǎn)稱“66號(hào)文件”）的職責(zé)分工和工作要求中指出：

。信息和信息系統(tǒng)的運(yùn)營(yíng)、使用單位按照等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，確定其信

息和信息系統(tǒng)的安全保護(hù)等級(jí)；

。信息和信息系統(tǒng)的運(yùn)營(yíng)、使用單位按照等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)對(duì)新建、改

建、擴(kuò)建的信息系統(tǒng)進(jìn)行信息系統(tǒng)的安全規(guī)劃設(shè)計(jì)、安全建設(shè)施工；

。信息和信息系統(tǒng)的運(yùn)營(yíng)、使用單位及其主管部門按照與信息系統(tǒng)安全保護(hù)等級(jí)相對(duì)

應(yīng)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，定期進(jìn)行安全狀況檢測(cè)評(píng)估；

。國(guó)家指定信息安全監(jiān)管職能部門按照等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，對(duì)信

息和信息系統(tǒng)的安全等級(jí)保護(hù)狀況進(jìn)行監(jiān)督檢查。

從上述“66號(hào)文件”描述的內(nèi)容中可以看出，信息安全等級(jí)保護(hù)工作的主要內(nèi)容包括“等級(jí)確定”、“安全建設(shè)”、“安全測(cè)評(píng)”和“監(jiān)督檢查”等，完成上述工作的主要依據(jù)是等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)。

信息安全等級(jí)保護(hù)的實(shí)施過程中涉及到的各類組織、需完成的工作以及依據(jù)的基礎(chǔ)如下圖所示：

1

主管部門運(yùn)營(yíng)、使用單位安全服務(wù)商監(jiān)管部門系統(tǒng)定級(jí)安全保護(hù)檢測(cè)評(píng)估監(jiān)督檢查技術(shù)標(biāo)準(zhǔn)管理規(guī)范

圖1-1技術(shù)標(biāo)準(zhǔn)和管理規(guī)范的作用

除了“66號(hào)文件”中提到的“信息和信息系統(tǒng)的運(yùn)營(yíng)、使用單位”、“國(guó)家指定信息安全監(jiān)管職能部門”外，信息安全等級(jí)保護(hù)的實(shí)施過程中涉及到各類組織和人員實(shí)際還包括信息安全服務(wù)商、安全測(cè)評(píng)機(jī)構(gòu)等，它們配合“信息和信息系統(tǒng)的運(yùn)營(yíng)、使用單位”、“國(guó)家指定信息安全監(jiān)管職能部門”共同進(jìn)行信息安全等級(jí)保護(hù)工作。

為使信息安全等級(jí)保護(hù)的實(shí)施過程中涉及到的各類組織和人員能夠順利地完成信息安全等級(jí)保護(hù)工作，需要一個(gè)技術(shù)標(biāo)準(zhǔn)為實(shí)施的各方提供指導(dǎo)，這個(gè)標(biāo)準(zhǔn)就是《實(shí)施指南》。

《實(shí)施指南》的主要作用包括：

1）作為系統(tǒng)等級(jí)保護(hù)實(shí)施的指南性文件

指導(dǎo)對(duì)一個(gè)信息系統(tǒng)實(shí)施安全等級(jí)保護(hù)的參與各方，如何在等級(jí)保護(hù)實(shí)施過程的各個(gè)階段開展相應(yīng)的活動(dòng)，給出階段活動(dòng)的內(nèi)容、控制方法和輸出結(jié)果。

2）作為等級(jí)保護(hù)標(biāo)準(zhǔn)體系的指引性文件

介紹實(shí)施信息系統(tǒng)等級(jí)保護(hù)過程中，在不同階段和從事不同活動(dòng)中，如何使用等級(jí)保護(hù)標(biāo)準(zhǔn)體系中的其他等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)。

2

1.2主要思路

對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的過程是一個(gè)工程過程，其工程活動(dòng)將覆蓋到信息系統(tǒng)生命周期的各個(gè)階段，其核心內(nèi)容是對(duì)信息系統(tǒng)實(shí)施安全保護(hù)，到目前為止，對(duì)信息系統(tǒng)實(shí)施安全保護(hù)的方法論有很多，主要流行的方法包括風(fēng)險(xiǎn)管理方法和安全工程方法。

1.風(fēng)險(xiǎn)管理的思路

介紹風(fēng)險(xiǎn)管理的材料有很多，其中iso/iec13335、nist-sp800-30、“加拿大風(fēng)險(xiǎn)管理工作指南”等是典型的通過風(fēng)險(xiǎn)管理的手段對(duì)信息系統(tǒng)實(shí)施保護(hù)的參考材料。各種資料介紹的風(fēng)險(xiǎn)管理方法在細(xì)節(jié)方面可能有所差別，但是總體思路基本一致。

采用風(fēng)險(xiǎn)管理方法對(duì)信息系統(tǒng)進(jìn)行保護(hù)的基本步驟是：

1）風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估

可以采用各種方法（iso/iec13335等）對(duì)信息系統(tǒng)面臨的風(fēng)險(xiǎn)進(jìn)行分析，包括資產(chǎn)分析、弱點(diǎn)分析、威脅分析、現(xiàn)有保護(hù)措施分析、風(fēng)險(xiǎn)分析，得到現(xiàn)有系統(tǒng)的安全風(fēng)險(xiǎn)狀況。

2）風(fēng)險(xiǎn)規(guī)避

針對(duì)在風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估步驟得到的系統(tǒng)安全風(fēng)險(xiǎn)信息，選擇可能采用的可以消除、減低、轉(zhuǎn)移風(fēng)險(xiǎn)的風(fēng)險(xiǎn)規(guī)避策略。根據(jù)風(fēng)險(xiǎn)規(guī)避策略，進(jìn)一步選擇所要采取的安全措施，此時(shí)既要考慮安全風(fēng)險(xiǎn)的排序，也應(yīng)考慮安全措施投入和安全保護(hù)效果之間平衡，最終形成安全改進(jìn)的設(shè)計(jì)方案（plan）。

大多數(shù)風(fēng)險(xiǎn)管理方法的文件或指南將論述重點(diǎn)放在風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)規(guī)避方面，作為完整的風(fēng)險(xiǎn)管理過程，除此之外還有安全措施的實(shí)施和實(shí)現(xiàn)、系統(tǒng)運(yùn)行維護(hù)等工作過程。尤其是當(dāng)系統(tǒng)發(fā)生變化、環(huán)境發(fā)生變化或殘余風(fēng)險(xiǎn)不能接受時(shí)，應(yīng)進(jìn)入另一個(gè)風(fēng)險(xiǎn)管理過程，以此循環(huán)形成閉環(huán)。

如果從工程的角度看待風(fēng)險(xiǎn)管理方法，可以將風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估過程看作是確定安全需求的過程，風(fēng)險(xiǎn)規(guī)避過程可以看作是安全需求定義和安全規(guī)劃設(shè)計(jì)的過程。

2.安全工程的思路

sse-cmm和isse是典型的介紹通過安全工程的手段對(duì)信息系統(tǒng)實(shí)施保護(hù)的參考材

3

料。sse-cmm和isse是具有代表性的從工程角度考慮對(duì)信息系統(tǒng)進(jìn)行保護(hù)的方法論，兩者在描述風(fēng)格上差異較大，但是總體思路實(shí)際上沒有太大差別。

sse-cmm認(rèn)為對(duì)信息系統(tǒng)進(jìn)行保護(hù)應(yīng)該執(zhí)行以下幾個(gè)過程：

1）風(fēng)險(xiǎn)過程

風(fēng)險(xiǎn)過程包括四個(gè)主要活動(dòng)。威脅分析、弱點(diǎn)分析、影響分析和風(fēng)險(xiǎn)分析。

2）工程過程

工程過程包括五個(gè)主要活動(dòng)。確定安全需求、提供安全輸入、管理安全措施、監(jiān)控安全狀態(tài)和安全活動(dòng)的協(xié)調(diào)。

3）保證過程

保證過程包括兩個(gè)主要活動(dòng)：驗(yàn)證和確認(rèn)安全、提供安全保證證據(jù)。isse認(rèn)為對(duì)信息系統(tǒng)進(jìn)行保護(hù)應(yīng)該執(zhí)行以下一些活動(dòng)：a）發(fā)現(xiàn)系統(tǒng)保護(hù)需求b）定義系統(tǒng)安全需求c）設(shè)計(jì)系統(tǒng)安全框架d）開發(fā)詳細(xì)安全設(shè)計(jì)e）實(shí)施系統(tǒng)安全f）

評(píng)估系統(tǒng)保護(hù)有效性

sse-cmm描述了安全工程的方法論，論述了對(duì)信息系統(tǒng)進(jìn)行保護(hù)的主要活動(dòng)和控制方法。isse則描述了安全工程的主要活動(dòng)。仔細(xì)分析sse-cmm和isse，實(shí)際上兩者的內(nèi)容基本一致，只是描述風(fēng)格上差異較大。

sse-cmm和isse從工程角度描述信息系統(tǒng)的保護(hù)過程，并且將工程活動(dòng)與信息系統(tǒng)的生命周期進(jìn)行對(duì)應(yīng)，更容易被人們理解和接受。

3.《實(shí)施指南》的主要思路

在對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的過程中，風(fēng)險(xiǎn)分析可以作為一種輔助手段。等級(jí)保護(hù)的相關(guān)標(biāo)準(zhǔn)對(duì)不同級(jí)別的信息系統(tǒng)提出了基本保護(hù)要求，基本保護(hù)要求是系統(tǒng)安全建設(shè)的基礎(chǔ)，但是不同的信息系統(tǒng)由于其本身的特性，除基本保護(hù)要求外，還有其特殊的安全需求，可以

4

通過風(fēng)險(xiǎn)分析的方法選擇需要補(bǔ)充的安全措施，從而在等級(jí)保護(hù)的基礎(chǔ)上，體現(xiàn)各系統(tǒng)防護(hù)措施的特殊性。

對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的過程也是一個(gè)工程過程，其主要思路可以借鑒安全工程的思路，但是由于對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的過程是以信息系統(tǒng)的合理定級(jí)活動(dòng)開始的，與安全工程相比，考慮問題的思路和方法都將有所不同，具體活動(dòng)也會(huì)有所區(qū)別。安全工程的方法論可以作為信息系統(tǒng)實(shí)施安全等級(jí)保護(hù)的一種借鑒，但須根據(jù)等級(jí)保護(hù)的特點(diǎn)補(bǔ)充和完善與等級(jí)保護(hù)相關(guān)的特定工程活動(dòng)，比如信息系統(tǒng)的劃分活動(dòng)、信息系統(tǒng)的定級(jí)活動(dòng)、信息系統(tǒng)等級(jí)保護(hù)安全策略規(guī)劃活動(dòng)等等。

與風(fēng)險(xiǎn)管理和安全工程不同，實(shí)施信息系統(tǒng)等級(jí)保護(hù)的第一個(gè)步驟是確定保護(hù)對(duì)象，即信息系統(tǒng)的安全等級(jí)，然后根據(jù)確定的安全等級(jí)對(duì)信息系統(tǒng)進(jìn)行符合相應(yīng)等級(jí)保護(hù)要求的安全建設(shè)和安全管理。對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)涉及很多活動(dòng)，包括系統(tǒng)定級(jí)、參照等級(jí)保護(hù)基本要求的安全措施選擇、安全方案的設(shè)計(jì)、安全工程的實(shí)施、系統(tǒng)安全運(yùn)行管理等等，上述活動(dòng)均在《實(shí)施指南》中有所描述。

對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)過程中所涉及的活動(dòng)分散在信息系統(tǒng)生命周期的不同階段進(jìn)行，有些活動(dòng)之間具有一定的繼承性，也就是說必須在一個(gè)活動(dòng)完成后才能進(jìn)行下一個(gè)活動(dòng)，比如必須進(jìn)行安全方案設(shè)計(jì)，完成后才能進(jìn)行安全工程實(shí)施，有些活動(dòng)沒有明顯的繼承性，比如系統(tǒng)的安全狀態(tài)監(jiān)控和系統(tǒng)的變更管理控制。為了保證《實(shí)施指南》對(duì)活動(dòng)描述的全面性，《實(shí)施指南》應(yīng)覆蓋信息系統(tǒng)生命周期所有階段的安全活動(dòng)。

基于上述的分析，《實(shí)施指南》的編制基本思路為：1）以信息系統(tǒng)等級(jí)保護(hù)建設(shè)為主要線索

如前所述，信息系統(tǒng)等級(jí)保護(hù)的實(shí)施過程中涉及到各類組織和人員，他們將會(huì)參與不同的或相同的活動(dòng)，比如信息系統(tǒng)的主管單位和信息系統(tǒng)的運(yùn)營(yíng)單位將參與系統(tǒng)定級(jí)活動(dòng)，如果委托安全服務(wù)商進(jìn)行定級(jí)，則安全服務(wù)商也會(huì)參與定級(jí)活動(dòng)；又如信息系統(tǒng)的運(yùn)營(yíng)單位可以自己完成風(fēng)險(xiǎn)分析活動(dòng)，也可以委托安全服務(wù)商完成風(fēng)險(xiǎn)分析活動(dòng)。

《實(shí)施指南》面臨的使用對(duì)象將是信息系統(tǒng)的主管單位、運(yùn)營(yíng)使用單位、技術(shù)支持單位、監(jiān)督管理機(jī)構(gòu)等，為了保證《實(shí)施指南》的描述有一個(gè)清晰的思路，各類使用人員都能夠理

5

解和較好地使用，實(shí)施指南并不以某個(gè)特定單位的活動(dòng)為主線進(jìn)行描述，而是以信息系統(tǒng)等級(jí)保護(hù)建設(shè)所要從事的活動(dòng)為主線進(jìn)行描述，有些活動(dòng)可能是這個(gè)單位執(zhí)行的，另一些活動(dòng)可能是另一個(gè)單位執(zhí)行的?！秾?shí)施指南》的讀者根據(jù)自己的角色和從事的活動(dòng)選擇相應(yīng)的內(nèi)容作為指導(dǎo)。

2）定義信息系統(tǒng)等級(jí)保護(hù)實(shí)施的基本流程

對(duì)信息系統(tǒng)實(shí)施等級(jí)保護(hù)涉及的活動(dòng)有很多，根據(jù)安全的動(dòng)態(tài)性和安全工程的循環(huán)理論，很多活動(dòng)需要重復(fù)執(zhí)行，從而保證安全保護(hù)的有效性，雖然安全保護(hù)是一個(gè)不斷循環(huán)和不斷提高的過程，但是實(shí)施信息系統(tǒng)等級(jí)保護(hù)的一次完整周期流程是可以區(qū)分清楚的，比如從系統(tǒng)定級(jí)到最終的系統(tǒng)安全運(yùn)行維護(hù)，為了便于清晰劃分信息系統(tǒng)等級(jí)保護(hù)的一次實(shí)施過程，有必要定義信息系統(tǒng)等級(jí)保護(hù)實(shí)施的一個(gè)基本流程。

《實(shí)施指南》根據(jù)信息系統(tǒng)等級(jí)保護(hù)實(shí)施的特點(diǎn)，結(jié)合風(fēng)險(xiǎn)管理和安全工程方法提出信息系統(tǒng)等級(jí)保護(hù)實(shí)施的基本流程，將等級(jí)保護(hù)實(shí)施過程劃分為幾個(gè)不同的階段，然后分章節(jié)介紹和描述不同階段的安全活動(dòng)，，指導(dǎo)系統(tǒng)建設(shè)者和系統(tǒng)運(yùn)營(yíng)者在系統(tǒng)建設(shè)和運(yùn)營(yíng)期間更好地同步進(jìn)行等級(jí)保護(hù)建設(shè)。

通過對(duì)信息系統(tǒng)等級(jí)保護(hù)實(shí)施基本流程的提出，更好地描述信息系統(tǒng)等級(jí)保護(hù)實(shí)施的不斷循環(huán)過程；級(jí)別變更可能觸發(fā)另一個(gè)等級(jí)保護(hù)實(shí)施流程的執(zhí)行；風(fēng)險(xiǎn)評(píng)估和安全測(cè)評(píng)可能導(dǎo)致等級(jí)保護(hù)實(shí)施流程中局部活動(dòng)的重復(fù)執(zhí)行等。

3）介紹和描述每個(gè)階段主要的實(shí)施過程和主要活動(dòng)

為了便于用戶使用《實(shí)施指南》，《實(shí)施指南》根據(jù)基本實(shí)施流程的階段劃分，分為不同的章節(jié)，每個(gè)階段對(duì)應(yīng)一章。每一章介紹和描述本階段所要進(jìn)行的過程和主要安全活動(dòng)，如果過程具有順序性，將用流程圖的形式表述過程的執(zhí)行過程，如果沒有順序性，則用框圖分別表述每一個(gè)過程活動(dòng)?！秾?shí)施指南》將每個(gè)過程作為章下的節(jié)，每一節(jié)詳細(xì)描述過程的內(nèi)容，包括過程可能的實(shí)施主體，主要的活動(dòng)內(nèi)容和工作方法，過程的輸入和輸出內(nèi)容。

1.3使用對(duì)象

《實(shí)施指南》以信息系統(tǒng)的生命周期為主線，描述信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施的基本過

6

程，而信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施過程本身是一個(gè)多方參與的工作，將會(huì)涉及到各類組織，所以《實(shí)施指南》的使用對(duì)象包括信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施過程中的參與各方。具體包括：國(guó)家管理部門、信息系統(tǒng)主管部門、信息系統(tǒng)運(yùn)營(yíng)使用單位、信息安全服務(wù)機(jī)構(gòu)、信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)、信息安全產(chǎn)品供應(yīng)商等。

1）國(guó)家管理部門

公安機(jī)關(guān)負(fù)責(zé)信息安全等級(jí)保護(hù)工作的監(jiān)督、檢查、指導(dǎo)。國(guó)家保密工作部門負(fù)責(zé)等級(jí)保護(hù)工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)。國(guó)家密碼管理部門負(fù)責(zé)等級(jí)保護(hù)工作中有關(guān)密碼工作的監(jiān)督、檢查、指導(dǎo)。涉及其他職能部門管轄范圍的事項(xiàng)，由有關(guān)職能部門依照國(guó)家法律法規(guī)的規(guī)定進(jìn)行管理。國(guó)務(wù)院信息化工作辦公室及地方信息化領(lǐng)導(dǎo)小組辦事機(jī)構(gòu)負(fù)責(zé)等級(jí)保護(hù)工作的部門間協(xié)調(diào)。

2）信息系統(tǒng)主管部門

負(fù)責(zé)依照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，督促、檢查和指導(dǎo)本行業(yè)、本部門或者本地區(qū)信息系統(tǒng)運(yùn)營(yíng)、使用單位的信息安全等級(jí)保護(hù)工作。

3）信息系統(tǒng)運(yùn)營(yíng)、使用單位

負(fù)責(zé)依照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，確定其信息系統(tǒng)的安全保護(hù)等級(jí)，有主管部門的，應(yīng)當(dāng)報(bào)其主管部門審核批準(zhǔn)；根據(jù)已經(jīng)確定的安全保護(hù)等級(jí)，到公安機(jī)關(guān)辦理備案手續(xù)；按照國(guó)家信息等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，進(jìn)行信息系統(tǒng)安全保護(hù)的規(guī)劃設(shè)計(jì)；使用符合國(guó)家有關(guān)規(guī)定，滿足信息系統(tǒng)安全保護(hù)等級(jí)需求的信息技術(shù)產(chǎn)品和信息安全產(chǎn)品，開展信息系統(tǒng)安全建設(shè)或者改建工作；制定、落實(shí)各項(xiàng)安全管理制度，定期對(duì)信息系統(tǒng)的安全狀況、安全保護(hù)制度及措施的落實(shí)情況進(jìn)行自查，選擇符合國(guó)家相關(guān)規(guī)定的等級(jí)測(cè)評(píng)機(jī)構(gòu)，定期進(jìn)行等級(jí)測(cè)評(píng)；制定不同等級(jí)信息安全事件的響應(yīng)、處置預(yù)案，對(duì)信息系統(tǒng)的信息安全事件分等級(jí)進(jìn)行應(yīng)急處置。

4）信息安全服務(wù)機(jī)構(gòu)

負(fù)責(zé)依據(jù)信息系統(tǒng)運(yùn)營(yíng)、使用單位的委托，按照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，協(xié)助信息系統(tǒng)運(yùn)營(yíng)、使用單位完成等級(jí)保護(hù)的相關(guān)工作，包括確定其信息系統(tǒng)的安全保護(hù)等級(jí)、進(jìn)行安全需求分析、安全總體規(guī)劃、實(shí)施安全建設(shè)和安全改造等。

7

5）信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)

負(fù)責(zé)根據(jù)信息系統(tǒng)運(yùn)營(yíng)、使用單位的委托或根據(jù)國(guó)家管理部門的授權(quán)，協(xié)助信息系統(tǒng)運(yùn)營(yíng)、使用單位或國(guó)家管理部門，按照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對(duì)已經(jīng)完成等級(jí)保護(hù)建設(shè)的信息系統(tǒng)進(jìn)行等級(jí)測(cè)評(píng)；對(duì)信息安全產(chǎn)品供應(yīng)商提供的信息安全產(chǎn)品進(jìn)行安全測(cè)評(píng)。

6）信息安全產(chǎn)品供應(yīng)商

負(fù)責(zé)按照國(guó)家信息安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，開發(fā)符合等級(jí)保護(hù)相關(guān)要求的信息安全產(chǎn)品，接受安全測(cè)評(píng)；按照等級(jí)保護(hù)相關(guān)要求銷售信息安全產(chǎn)品并提供相關(guān)服務(wù)。

1.4基本結(jié)構(gòu)

《實(shí)施指南》包括9章，1個(gè)附錄。

第1、2、3章為標(biāo)準(zhǔn)的固定格式要求，說明《實(shí)施指南》標(biāo)準(zhǔn)的使用范圍、引用的其他標(biāo)準(zhǔn)、使用到的術(shù)語和定義。

第4章總體描述信息系統(tǒng)等級(jí)保護(hù)的實(shí)施過程，包括實(shí)施過程中涉及到的各種角色和職責(zé)、實(shí)施的基本原則、實(shí)施的基本流程。

第5、6、7、8、9章分別根據(jù)等級(jí)保護(hù)實(shí)施流程劃分的階段，說明每個(gè)階段的主要實(shí)施過程。每章以階段名稱作為一級(jí)標(biāo)題，以主要過程作為二級(jí)標(biāo)題，主要活動(dòng)要素作為三級(jí)標(biāo)題，說明信息系統(tǒng)安全等級(jí)保護(hù)的實(shí)施活動(dòng)。

附錄a為主要過程的輸出列表。

2基本實(shí)施過程

2.1一些主要概念

1、信息系統(tǒng)安全保護(hù)等級(jí)

信息系統(tǒng)重要程度的表征。重要程度以信息系統(tǒng)受到破壞后，對(duì)國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)建設(shè)和公共利益造成的損害程度來衡量。

8

2、信息系統(tǒng)安全等級(jí)保護(hù)對(duì)信息系統(tǒng)分等級(jí)實(shí)施安全保護(hù)。

3、信息系統(tǒng)生命周期

信息系統(tǒng)從存在到消失的整個(gè)時(shí)間周期。通常觀點(diǎn)認(rèn)為信息系統(tǒng)生命周期包括五個(gè)階段，即啟動(dòng)準(zhǔn)備階段、設(shè)計(jì)/開發(fā)階段、實(shí)施/實(shí)現(xiàn)階段、運(yùn)行維護(hù)階段和系統(tǒng)終止階段。

4、階段和階段目標(biāo)

信息系統(tǒng)生命周期中，具有代表性的時(shí)段劃分，稱為階段。通常以經(jīng)歷一系列相關(guān)的過程，完成一系列相關(guān)的活動(dòng)，產(chǎn)生一個(gè)標(biāo)志性結(jié)果為劃分依據(jù)。在信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施中，劃分為信息系統(tǒng)定級(jí)、總體安全規(guī)劃、安全設(shè)計(jì)與實(shí)施、安全運(yùn)行與維護(hù)和信息系統(tǒng)廢棄幾個(gè)階段。

每個(gè)階段內(nèi)期望達(dá)到的結(jié)果的描述，稱為階段目標(biāo)。

5、主要活動(dòng)和活動(dòng)目標(biāo)

《實(shí)施指南》中，按照階段、過程、活動(dòng)、子活動(dòng)的分解方式進(jìn)行描述，每個(gè)階段的每個(gè)過程中，具有代表性的活動(dòng)，稱為主要活動(dòng)。通常以為達(dá)到階段目標(biāo)而必須完成的活動(dòng)為表述依據(jù)。例如在信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施中，信息系統(tǒng)定級(jí)階段的主要過程分為信息系統(tǒng)分析和安全等級(jí)確定，其中信息系統(tǒng)分析過程的主要活動(dòng)劃分為系統(tǒng)識(shí)別和描述、信息系統(tǒng)分解等幾個(gè)主要活動(dòng)。

每個(gè)主要活動(dòng)期望達(dá)到的結(jié)果的描述，稱為活動(dòng)目標(biāo)。

7、參與角色

每個(gè)活動(dòng)或活動(dòng)過程的參與人員，稱為參與角色。在《實(shí)施指南》中，參與角色的最小度量為“單位”，參與角色分為國(guó)家管理部門、信息系統(tǒng)主管部門、信息系統(tǒng)運(yùn)營(yíng)使用單位、信息安全服務(wù)機(jī)構(gòu)、信息安全等級(jí)測(cè)評(píng)機(jī)構(gòu)、信息安全產(chǎn)品供應(yīng)商等。

8、子活動(dòng)和工作內(nèi)容

主要活動(dòng)進(jìn)一步分解后的活動(dòng)，稱為子活動(dòng)。子活動(dòng)中需要完成的工作的描述稱為工作內(nèi)容。在《實(shí)施指南》中，大部分的主要活動(dòng)均分解為若干個(gè)子活動(dòng)，并對(duì)子活動(dòng)內(nèi)容進(jìn)行詳細(xì)描述，子活動(dòng)通常由主要活動(dòng)的參與角色完成。

9

9、活動(dòng)輸入和活動(dòng)輸出

為完成主要活動(dòng)或子活動(dòng)，需要的文件資料稱為活動(dòng)輸入；主要活動(dòng)或子活動(dòng)完成后，產(chǎn)生的文件資料稱為活動(dòng)輸出。在《實(shí)施指南》中，對(duì)各類主要活動(dòng)描述了活動(dòng)輸入和活動(dòng)輸出的文檔資料名稱。

10、相互之間的關(guān)系

《實(shí)施指南》中，各個(gè)主要概念之間的關(guān)系如下圖所示：

信息系統(tǒng)生命周期階段階段主要過程活動(dòng)階段目標(biāo)過程目標(biāo)子活動(dòng)活動(dòng)流程參與角色工作內(nèi)容輸入與輸出

圖1-2基本概念之間的關(guān)系

2.2基本實(shí)施流程

對(duì)一個(gè)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的過程本質(zhì)上是對(duì)信息系統(tǒng)進(jìn)行安全保護(hù)的過程，應(yīng)遵循對(duì)信息系統(tǒng)進(jìn)行安全保護(hù)的方法論，但是作為國(guó)家等級(jí)保護(hù)制度實(shí)施的對(duì)信息系統(tǒng)的安全等級(jí)保護(hù)工作本身有其自己的特點(diǎn)，整個(gè)實(shí)施過程應(yīng)體現(xiàn)出“信息系統(tǒng)分等級(jí)”、“按標(biāo)準(zhǔn)進(jìn)行建設(shè)”、“實(shí)施監(jiān)督和管理”等思想。

安全保護(hù)過程是一個(gè)不斷循環(huán)和不斷提高的過程，但是實(shí)施等級(jí)保護(hù)的一次完整過程是可以區(qū)分清楚的，比如從信息系統(tǒng)定級(jí)、系統(tǒng)運(yùn)行維護(hù)，最終到信息系統(tǒng)終止，為了便于清晰劃分等級(jí)保護(hù)的一次實(shí)施過程，有必要根據(jù)信息系統(tǒng)的一個(gè)生命周期確定等級(jí)保護(hù)實(shí)施的

10

流程。

對(duì)一個(gè)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的基本流程如下所示：

信息系統(tǒng)定級(jí)總體安全規(guī)劃級(jí)別變更安全設(shè)計(jì)與實(shí)施局部調(diào)整安全運(yùn)行與維護(hù)信息系統(tǒng)終止

圖1-3信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施的基本流程

。局部調(diào)整

在安全運(yùn)行與維護(hù)階段，當(dāng)系統(tǒng)局部調(diào)整時(shí)，如果不影響系統(tǒng)的安全等級(jí)，應(yīng)從安全運(yùn)行與維護(hù)階段進(jìn)入安全設(shè)計(jì)與實(shí)施階段，重新調(diào)整和實(shí)施安全措施，確保滿足等級(jí)保護(hù)的要求；

。級(jí)別變更

在安全運(yùn)行與維護(hù)階段，當(dāng)系統(tǒng)發(fā)生重大變更導(dǎo)致影響系統(tǒng)的安全等級(jí)時(shí)，應(yīng)從安全運(yùn)行與維護(hù)階段進(jìn)入信息系統(tǒng)定級(jí)階段，重新開始一次等級(jí)保護(hù)的實(shí)施流程。

2.3主要的實(shí)施階段

根據(jù)信息系統(tǒng)實(shí)施等級(jí)保護(hù)的流程將其實(shí)施階段分別劃分為五個(gè)不同階段，即信息系統(tǒng)定級(jí)階段、總體安全規(guī)劃階段、安全設(shè)計(jì)與實(shí)施階段、安全運(yùn)行與維護(hù)階段和信息系統(tǒng)終止階段。

1、信息系統(tǒng)定級(jí)階段

信息系統(tǒng)定級(jí)階段通過對(duì)信息系統(tǒng)調(diào)查和分析，進(jìn)行信息系統(tǒng)劃分，確定相對(duì)獨(dú)立的信

11

息系統(tǒng)的個(gè)數(shù)，按照《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》確定每個(gè)信息系統(tǒng)的安全等級(jí)。

2、總體安全規(guī)劃階段

總體安全規(guī)劃階段通過安全需求分析判斷信息系統(tǒng)的安全保護(hù)現(xiàn)狀與國(guó)家等級(jí)保護(hù)基本要求之間的差距，確定安全需求，然后根據(jù)信息系統(tǒng)的劃分情況、信息系統(tǒng)定級(jí)情況、信息系統(tǒng)承載業(yè)務(wù)情況和安全需求等，設(shè)計(jì)合理的、滿足等級(jí)保護(hù)要求的總體安全方案，并制定出安全實(shí)施規(guī)劃等，以指導(dǎo)后續(xù)的信息系統(tǒng)安全建設(shè)工程實(shí)施。

3、安全設(shè)計(jì)與實(shí)施階段

安全設(shè)計(jì)與實(shí)施階段通過安全方案詳細(xì)設(shè)計(jì)、安全產(chǎn)品的采購(gòu)、安全控制的開發(fā)、安全控制集成、機(jī)構(gòu)和人員的配置、安全管理制度的建設(shè)、人員的安全技能培訓(xùn)等環(huán)節(jié)，將規(guī)劃階段的安全方針和策略，具體落實(shí)到信息系統(tǒng)中去，其最終的成果是提交滿足用戶安全需求的信息系統(tǒng)以及配套的安全管理體系。

4、安全運(yùn)行與維護(hù)階段

安全運(yùn)行與維護(hù)階段將介紹運(yùn)行管理和控制、變更管理和控制、安全狀態(tài)監(jiān)控以及安全事件處置和應(yīng)急預(yù)案等過程；對(duì)安全狀態(tài)進(jìn)行監(jiān)控，對(duì)發(fā)生的安全事件及時(shí)響應(yīng)，確保信息系統(tǒng)正常運(yùn)行；通過定期的監(jiān)督檢查督促信息系統(tǒng)運(yùn)營(yíng)、使用單位做好信息系統(tǒng)的日常安全維護(hù)工作，確保其滿足相應(yīng)等級(jí)的安全要求，達(dá)到相應(yīng)等級(jí)的安全保護(hù)能力；通過安全檢查和持續(xù)改進(jìn)等活動(dòng)過程實(shí)現(xiàn)對(duì)信息系統(tǒng)的動(dòng)態(tài)保護(hù)。

5、信息系統(tǒng)終止階段

信息系統(tǒng)終止階段是對(duì)信息系統(tǒng)的過時(shí)或無用部分進(jìn)行報(bào)廢處理的過程，主要涉及對(duì)信息、設(shè)備、存儲(chǔ)介質(zhì)或整個(gè)信息系統(tǒng)的廢棄處理。信息系統(tǒng)終止階段的主要活動(dòng)可能包括對(duì)信息的轉(zhuǎn)移、暫存或清除，對(duì)設(shè)備遷移或廢棄，對(duì)存儲(chǔ)介質(zhì)的清除或銷毀；信息系統(tǒng)終止階段當(dāng)要遷移或廢棄系統(tǒng)組件時(shí)，核心關(guān)注點(diǎn)是防止敏感信息泄漏。

3主要實(shí)施階段介紹

如前所述，信息系統(tǒng)實(shí)施等級(jí)保護(hù)劃分為五個(gè)不同階段，即信息系統(tǒng)定級(jí)階段、總體安全規(guī)劃階段、安全設(shè)計(jì)與實(shí)施階段、安全運(yùn)行與維護(hù)階段和信息系統(tǒng)終止階段。關(guān)于“信息

12

系統(tǒng)定級(jí)“階段的工作方法和工作內(nèi)容，參見《定級(jí)指南》及相關(guān)教材。本教材重點(diǎn)介紹“總體安全規(guī)劃“階段的工作內(nèi)容和可用方法。其他階段的內(nèi)容，參見《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》標(biāo)準(zhǔn)相關(guān)章節(jié)。

3.1總體安全規(guī)劃

3.1.1安全需求分析

系統(tǒng)定級(jí)完成后，首要的工作是確定系統(tǒng)的安全需求，也就是系統(tǒng)的保護(hù)需求。對(duì)于新建的系統(tǒng)和已建的系統(tǒng)，安全需求的確定方法不同，新建過程中的系統(tǒng)由于在設(shè)計(jì)完成之前還沒有系統(tǒng)實(shí)體，所以系統(tǒng)可以按照等級(jí)保護(hù)的要求進(jìn)行定級(jí)、設(shè)計(jì)和實(shí)施，系統(tǒng)的安全需求主要來源于國(guó)家政策性要求、機(jī)構(gòu)使命性要求和可能的系統(tǒng)環(huán)境影響；運(yùn)行過程中的系統(tǒng)由于建設(shè)過程中并沒有按照等級(jí)保護(hù)的要求進(jìn)行定級(jí)和設(shè)計(jì)，雖然采取了一定的安全保護(hù)措施，但是可能與國(guó)家等級(jí)保護(hù)的要求存在差距，所以需要完成的工作是按照國(guó)家等級(jí)保護(hù)的要求進(jìn)行安全改造。

新建系統(tǒng)可以在信息系統(tǒng)生命周期的啟動(dòng)/準(zhǔn)備、設(shè)計(jì)/開發(fā)階段同步實(shí)施系統(tǒng)定級(jí)和系統(tǒng)設(shè)計(jì)，根據(jù)信息系統(tǒng)承載的業(yè)務(wù)對(duì)信息系統(tǒng)合理分級(jí)之后，國(guó)家標(biāo)準(zhǔn)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》就是對(duì)各個(gè)級(jí)別系統(tǒng)的明確安全需求，系統(tǒng)的安全規(guī)劃設(shè)計(jì)應(yīng)以此為依據(jù)。

本章重點(diǎn)介紹已建系統(tǒng)，即運(yùn)行過程中的系統(tǒng)如何在等級(jí)保護(hù)實(shí)施過程中的規(guī)劃設(shè)計(jì)階段確定安全需求，新建系統(tǒng)確定安全需求的方法也可以借鑒這里介紹的方法。關(guān)于運(yùn)行過程中的系統(tǒng)如何定級(jí)參見有關(guān)信息系統(tǒng)安全保護(hù)等級(jí)確定的教材，這里不再描述。

對(duì)于一個(gè)已建系統(tǒng)，在對(duì)系統(tǒng)進(jìn)行劃分，并確定了不同系統(tǒng)的安全保護(hù)等級(jí)之后，關(guān)注的重點(diǎn)是不同安全保護(hù)等級(jí)的系統(tǒng)目前采取的安全保護(hù)措施與國(guó)家等級(jí)保護(hù)要求之間的差距有多大，這種差距就是未來需要對(duì)系統(tǒng)進(jìn)行安全改造的目標(biāo)，也就是安全改造設(shè)計(jì)方案的安全需求輸入。

根據(jù)《實(shí)施指南》，總體安全規(guī)劃階段的第一個(gè)重要活動(dòng)是“安全需求分析”，對(duì)于一個(gè)已經(jīng)確定了安全保護(hù)等級(jí)，并處于運(yùn)行狀態(tài)的信息系統(tǒng)，“安全需求分析”實(shí)際要完成安全現(xiàn)狀評(píng)估和安全需求確認(rèn)兩項(xiàng)主要工作。

13

3.1.1.1安全現(xiàn)狀評(píng)估

一、評(píng)估方法

當(dāng)根據(jù)信息系統(tǒng)的業(yè)務(wù)重要性及其他相關(guān)因素對(duì)信息系統(tǒng)進(jìn)行劃分，確定了信息系統(tǒng)的安全保護(hù)等級(jí)后，需要了解不同級(jí)別的信息系統(tǒng)或子系統(tǒng)當(dāng)前的安全保護(hù)與相應(yīng)等級(jí)的安全保護(hù)基本要求之間存在的差距，這種差距是一種安全需求，是進(jìn)行安全方案設(shè)計(jì)的基礎(chǔ)。

傳統(tǒng)的安全需求分析方法有很多，如流行的風(fēng)險(xiǎn)分析法，但是作為了解信息系統(tǒng)或子系統(tǒng)當(dāng)前的安全保護(hù)狀況與相應(yīng)等級(jí)的安全保護(hù)基本要求之間存在的差距的簡(jiǎn)便方法，莫過于等級(jí)測(cè)評(píng)法。

關(guān)于等級(jí)測(cè)評(píng)有專門的教材進(jìn)行詳細(xì)描述，這里只說明如何采用等級(jí)測(cè)評(píng)法對(duì)安全現(xiàn)狀進(jìn)行評(píng)估，并確定與相應(yīng)等級(jí)的安全保護(hù)基本要求之間存在的差距。

二、基本步驟

采用等級(jí)測(cè)評(píng)法進(jìn)行安全現(xiàn)狀評(píng)估的基本步驟如下：

1、確定評(píng)估范圍

明確本次被評(píng)估系統(tǒng)的范圍，包括整個(gè)信息系統(tǒng)的范圍、各個(gè)等級(jí)信息系統(tǒng)的范圍，各個(gè)等級(jí)信息系統(tǒng)的邊界等。這些信息來自信息系統(tǒng)的定級(jí)報(bào)告。

例如：

xxxx信息系統(tǒng)承載xx、xx、xx業(yè)務(wù)，具有xx個(gè)出口。出口1通過xx設(shè)備與外部的xx系統(tǒng)相連，出口2通過xx設(shè)備與外部的xx系統(tǒng)相連，……，系統(tǒng)示意圖如下。

xxxx信息系統(tǒng)被劃分為xx個(gè)信息系統(tǒng)，信息系統(tǒng)1承載xx業(yè)務(wù)，信息系統(tǒng)2承載xx業(yè)務(wù)，……。

信息系統(tǒng)1有xx個(gè)邊界，邊界1通過xx設(shè)備與外部的xx系統(tǒng)相連，邊界2通過xx設(shè)備與信息系統(tǒng)2相連，……。

……

本次安全評(píng)估的系統(tǒng)包括信息系統(tǒng)1、信息系統(tǒng)2、……。

2、獲得被評(píng)估信息系統(tǒng)的信息

通過查閱資料（如果定級(jí)建議書有詳細(xì)的資料）或現(xiàn)場(chǎng)調(diào)查的方式，了解被評(píng)估信息系

14

統(tǒng)的構(gòu)成，包括網(wǎng)絡(luò)拓?fù)洹I(yè)務(wù)應(yīng)用、業(yè)務(wù)流程、設(shè)備信息、安全措施狀況等，并將被評(píng)估信息系統(tǒng)的信息準(zhǔn)確描述。

例如：

信息系統(tǒng)1的范圍如下面網(wǎng)絡(luò)拓?fù)鋱D所示。圖略。

網(wǎng)絡(luò)邊界。有xx個(gè)邊界，邊界1通過xx設(shè)備與外部的xx系統(tǒng)相連，邊界2通過xx設(shè)備與信息系統(tǒng)2相連，……。

網(wǎng)絡(luò)區(qū)域：有xx個(gè)區(qū)域，每個(gè)區(qū)域的說明。承載業(yè)務(wù)：有xx個(gè)業(yè)務(wù)，每個(gè)業(yè)務(wù)的說明。

主要安全設(shè)備。有xx個(gè)安全設(shè)備，每個(gè)設(shè)備的部署位置、主要作用。……。

設(shè)備清單列表：

xxxx類設(shè)備所屬區(qū)域序號(hào)設(shè)備名稱用途設(shè)備信息說明12343、確定具體的評(píng)估對(duì)象確定每個(gè)等級(jí)信息系統(tǒng)的被評(píng)估對(duì)象，包括整體對(duì)象，如機(jī)房、辦公環(huán)境、網(wǎng)絡(luò)等，也包括具體對(duì)象，如邊界設(shè)備、網(wǎng)關(guān)設(shè)備、服務(wù)器設(shè)備、工作站、應(yīng)用系統(tǒng)等。

4、確定評(píng)估工作的方法

根據(jù)信息系統(tǒng)安全等級(jí)情況、系統(tǒng)規(guī)模大小等，明確本次評(píng)估的方法，如所有對(duì)象的評(píng)估還是抽樣方式的評(píng)估；詢問、檢查、測(cè)試的組合方式等。

15

序號(hào)45678問題描述嚴(yán)重程度可能的改進(jìn)措施三、過程輸出安全現(xiàn)狀評(píng)估過程中重要的過程控制文件和結(jié)果描述文件包括：。評(píng)估工作計(jì)劃或項(xiàng)目工作計(jì)劃。評(píng)估方案或測(cè)評(píng)方案。各類數(shù)據(jù)記錄表格。安全評(píng)估報(bào)告

1、評(píng)估工作計(jì)劃或項(xiàng)目工作計(jì)劃基本結(jié)構(gòu)

1、項(xiàng)目概述2、工作依據(jù)3、工作內(nèi)容4、工作產(chǎn)品5、任務(wù)分工6、時(shí)間計(jì)劃7、項(xiàng)目評(píng)審2、評(píng)估方案或測(cè)評(píng)方案基本結(jié)構(gòu)1、項(xiàng)目概述2、測(cè)評(píng)對(duì)象21

3、測(cè)評(píng)指標(biāo)4、測(cè)評(píng)方式和工具5、層面測(cè)評(píng)實(shí)施6、系統(tǒng)測(cè)評(píng)實(shí)施附件a：安全管理測(cè)評(píng)記錄表格附件b：網(wǎng)絡(luò)結(jié)構(gòu)測(cè)評(píng)記錄表格附件c：網(wǎng)絡(luò)設(shè)備測(cè)評(píng)記錄表格附件d：安全設(shè)備測(cè)評(píng)記錄表格附件e：主機(jī)設(shè)備測(cè)評(píng)記錄表格附件f：應(yīng)用系統(tǒng)測(cè)評(píng)記錄表格附件g：物理安全測(cè)評(píng)記錄表格3、記錄表格基本結(jié)構(gòu)序號(hào)類別求基本要法測(cè)評(píng)方錄結(jié)果記況符合情4、安全評(píng)估報(bào)告基本結(jié)構(gòu)1、項(xiàng)目概述2、測(cè)評(píng)對(duì)象3、測(cè)評(píng)指標(biāo)4、測(cè)評(píng)方式和工具22

5、測(cè)評(píng)結(jié)果6、綜合分析7、測(cè)評(píng)結(jié)論附件a：安全管理測(cè)評(píng)記錄表格附件b：網(wǎng)絡(luò)結(jié)構(gòu)測(cè)評(píng)記錄表格附件c：網(wǎng)絡(luò)設(shè)備測(cè)評(píng)記錄表格附件d：安全設(shè)備測(cè)評(píng)記錄表格附件e：主機(jī)設(shè)備測(cè)評(píng)記錄表格附件f：應(yīng)用系統(tǒng)測(cè)評(píng)記錄表格附件g：物理安全測(cè)評(píng)記錄表格3.1.1.2安全需求確定

一、分析方法

通過等級(jí)測(cè)評(píng)方法對(duì)安全現(xiàn)狀評(píng)估產(chǎn)生的結(jié)果，說明了系統(tǒng)安全保護(hù)方面與等級(jí)保護(hù)基本要求之間的差距，這種差距是進(jìn)一步對(duì)系統(tǒng)進(jìn)行安全改造的依據(jù)，由于《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中提出的安全要求是針對(duì)大部分系統(tǒng)的通用要求，因此還應(yīng)結(jié)合自身系統(tǒng)的特點(diǎn)判斷不符合要求的差距是否在今后的安全改造過程中需要補(bǔ)充，以及除《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中提出的安全要求外，是否還需要補(bǔ)充其他的措施。

安全需求的最終確認(rèn)，可以借鑒風(fēng)險(xiǎn)分析的做法，由于已經(jīng)采用等級(jí)測(cè)評(píng)方法對(duì)系統(tǒng)進(jìn)行了安全現(xiàn)狀評(píng)估，所以借鑒風(fēng)險(xiǎn)分析法對(duì)安全需求進(jìn)行最終確認(rèn)時(shí)，可以簡(jiǎn)化分析方法，關(guān)注點(diǎn)放在系統(tǒng)的重要資產(chǎn)上，識(shí)別出系統(tǒng)的重要資產(chǎn)、重要資產(chǎn)保護(hù)方面存在的缺陷、重要資產(chǎn)可能面臨的威脅以及可能的風(fēng)險(xiǎn)大小。通過針對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)分析方法，判斷等級(jí)測(cè)評(píng)中不符合項(xiàng)可能產(chǎn)生的風(fēng)險(xiǎn)，以及對(duì)重要資產(chǎn)的額外保護(hù)需求。

等級(jí)測(cè)評(píng)中可能產(chǎn)生較大風(fēng)險(xiǎn)的不符合項(xiàng)，為了對(duì)抗特定環(huán)境下的威脅，重要資產(chǎn)需要補(bǔ)充的安全措施，兩者共同構(gòu)成了系統(tǒng)的安全需求。

二、基本步驟

23

安全需求確認(rèn)的基本步驟如下：

1、重要資產(chǎn)的分析

明確信息系統(tǒng)中的重要資產(chǎn)或稱重要部件，如邊界設(shè)備、網(wǎng)關(guān)設(shè)備、核心網(wǎng)絡(luò)設(shè)備、重要服務(wù)器設(shè)備、重要應(yīng)用系統(tǒng)、重要數(shù)據(jù)等。列表說明重要資產(chǎn)，并按重要程度排序。

例如：序號(hào)123456782、重要資產(chǎn)安全弱點(diǎn)評(píng)估

檢查或判斷上述重要資產(chǎn)或重要部件可能存在的弱點(diǎn)，包括技術(shù)上和管理上的；分析安全弱點(diǎn)被利用的可能性。重要資產(chǎn)可能存在的弱點(diǎn)的分析和判斷可以借用安全現(xiàn)狀評(píng)估的結(jié)果數(shù)據(jù)，根據(jù)弱點(diǎn)的暴露程度或弱點(diǎn)的可利用程度，列表說明。

例如：序號(hào)資產(chǎn)名稱弱點(diǎn)弱點(diǎn)說明24

資產(chǎn)名稱重要程度資產(chǎn)說明12序號(hào)資產(chǎn)名稱弱點(diǎn)弱點(diǎn)說明33、重要資產(chǎn)面臨威脅評(píng)估

分析和判斷上述重要資產(chǎn)或重要部件可能面臨的威脅，包括外部的威脅和內(nèi)部的威脅，威脅發(fā)生的可能性或概率。威脅的分析和判斷可以采用過濾法，即利用威脅的大列表對(duì)每項(xiàng)資產(chǎn)進(jìn)行過濾，有發(fā)生可能性的威脅保留，然后根據(jù)威脅發(fā)生的可能性大小列表說明重要資產(chǎn)面臨的威脅。

例如。序號(hào)資產(chǎn)名稱威脅234、綜合風(fēng)險(xiǎn)分析以每個(gè)重要資產(chǎn)為主線，分析威脅利用弱點(diǎn)可能產(chǎn)生的安全事件，分析安全事件發(fā)生造成的損害或產(chǎn)生的影響大小。按照安全事件發(fā)生造成的損害或產(chǎn)生的影響大小排序說明每個(gè)資產(chǎn)可能的安全事件和安全事件的影響。

25

威脅說明1

例如。序號(hào)資產(chǎn)名稱可能的安全事件235、安全需求分析針對(duì)可能的安全事件以及安全事件發(fā)生造成的損害或產(chǎn)生的影響大小，分析和判斷需要采用的安全措施，分析安全措施的實(shí)施成本和實(shí)現(xiàn)可能，分析安全措施之間的互補(bǔ)性。結(jié)合安全現(xiàn)狀評(píng)估的結(jié)果，列表說明期望實(shí)現(xiàn)的各種安全措施。

例如：序號(hào)12345678問題或事件描述問題或事件危害程度描述可能的安全措施安全事件的破壞和影響16、完成安全需求分析報(bào)告26

根據(jù)安全評(píng)估報(bào)告和需求分析階段的各類數(shù)據(jù)等形成安全需求分析報(bào)告。安全需求分析報(bào)告的文檔結(jié)構(gòu)見本節(jié)“過程輸出”部分。

三、過程輸出

安全需求確認(rèn)過程中的結(jié)果描述文件包括。。安全需求分析報(bào)告安全需求分析報(bào)告基本結(jié)構(gòu)

1、概述2、系統(tǒng)描述3、等級(jí)測(cè)評(píng)結(jié)果4、需求分析結(jié)果5、安全需求描述3.1.2總體安全規(guī)劃設(shè)計(jì)

完成系統(tǒng)定級(jí)并確定安全需求后，進(jìn)入實(shí)施前的設(shè)計(jì)過程，設(shè)計(jì)過程通常分為總體設(shè)計(jì)和詳細(xì)設(shè)計(jì)，安全設(shè)計(jì)也不例外，在《實(shí)施指南》的描述中，總體安全設(shè)計(jì)在“總體安全規(guī)劃階段”完成，詳細(xì)安全設(shè)計(jì)在“安全設(shè)計(jì)與實(shí)施階段”完成，這里介紹的方法是總體安全設(shè)計(jì)。

總體安全設(shè)計(jì)的目的是根據(jù)等級(jí)保護(hù)安全基本要求和確定的系統(tǒng)安全需求，設(shè)計(jì)系統(tǒng)的整體安全框架，提出系統(tǒng)在總體方面的策略要求、各個(gè)子系統(tǒng)應(yīng)該實(shí)現(xiàn)的安全技術(shù)措施、安全管理措施等，是《基本要求》在特定系統(tǒng)的具體落實(shí)，總體安全設(shè)計(jì)形成的文檔用于指導(dǎo)系統(tǒng)具體安全建設(shè)。

詳細(xì)安全設(shè)計(jì)的目標(biāo)是依據(jù)信息系統(tǒng)總體安全方案，提出本期實(shí)施項(xiàng)目的具體實(shí)施方案，將總體方案中要求實(shí)現(xiàn)的安全策略、安全技術(shù)體系架構(gòu)、安全措施和要求落實(shí)到產(chǎn)品功能或物理形態(tài)上，提出指定的產(chǎn)品或組件及其具體規(guī)范，并將產(chǎn)品功能特征整理成文檔，使

27

得安全產(chǎn)品采購(gòu)、安全控制開發(fā)、具體安全實(shí)施有依據(jù)。

3.1.2.1總體安全設(shè)計(jì)

一、設(shè)計(jì)方法

總體安全設(shè)計(jì)并非安全等級(jí)保護(hù)實(shí)施過程中必須的執(zhí)行過程，對(duì)于規(guī)模較小、構(gòu)成內(nèi)容簡(jiǎn)單的信息系統(tǒng)，在通過安全需求分析確定了信息系統(tǒng)的安全需求之后，可以直接進(jìn)入安全詳細(xì)設(shè)計(jì)。

對(duì)于略有規(guī)模的信息系統(tǒng)，比如信息系統(tǒng)本身是由多個(gè)不同級(jí)別的系統(tǒng)構(gòu)成、信息系統(tǒng)分布在多個(gè)物理地區(qū)、信息系統(tǒng)的系統(tǒng)之間橫向和縱向連接關(guān)系復(fù)雜等，對(duì)于這樣的信息系統(tǒng)，應(yīng)實(shí)施總體安全設(shè)計(jì)過程。行業(yè)信息系統(tǒng)通常具有這種規(guī)模和復(fù)雜程度。

總體安全設(shè)計(jì)的基本思路是根據(jù)自身信息系統(tǒng)的系統(tǒng)劃分情況、系統(tǒng)定級(jí)情況、系統(tǒng)的連接情況、系統(tǒng)的業(yè)務(wù)承載情況、運(yùn)作機(jī)制和管理方式等特點(diǎn)，結(jié)合《基本要求》，在較高層次上形成自己信息系統(tǒng)的安全要求，包括安全方針和安全策略、安全技術(shù)框架和安全管理體系等。

總體安全設(shè)計(jì)的基本方法是將復(fù)雜信息系統(tǒng)進(jìn)行簡(jiǎn)化，提取共性形成模型，針對(duì)模型要素結(jié)合《基本要求》和安全需求提出安全策略和安全措施要求，指導(dǎo)信息系統(tǒng)中各個(gè)組織、各個(gè)層次和各個(gè)對(duì)象安全策略和安全措施的具體實(shí)現(xiàn)。

二、基本步驟

總體安全設(shè)計(jì)的基本步驟如下：

1、信息系統(tǒng)構(gòu)成抽象處理

對(duì)于通過骨干網(wǎng)或城域網(wǎng)連接分布在多個(gè)不同物理地區(qū)的局域網(wǎng)構(gòu)成，并且每個(gè)物理地區(qū)的局域網(wǎng)內(nèi)劃分為多個(gè)不同級(jí)別的子系統(tǒng)的情況，為了便于分析和處理，首先用模型表示信息系統(tǒng)的構(gòu)成，將信息系統(tǒng)抽象為骨干網(wǎng)、城域網(wǎng)、局域網(wǎng)這些分析要素，通過抽象處理后，信息系統(tǒng)可以認(rèn)為是由骨干網(wǎng)/城域網(wǎng)連接的多個(gè)局域網(wǎng)形成。

例如：

某個(gè)類型的信息系統(tǒng)，通過抽象處理后，信息系統(tǒng)構(gòu)成模型可能如下圖所示：

28

局域網(wǎng)1局域網(wǎng)2骨干網(wǎng)/城域網(wǎng)局域網(wǎng)3局域網(wǎng)4圖1-4信息系統(tǒng)構(gòu)成抽象模型

這里假設(shè)被分析的信息系統(tǒng)由骨干網(wǎng)/城域網(wǎng)連接的多個(gè)局域網(wǎng)形成。當(dāng)然，最簡(jiǎn)單的信息系統(tǒng)可能只由局域網(wǎng)構(gòu)成；更復(fù)雜的信息系統(tǒng)可能是由骨干網(wǎng)連接多個(gè)城域網(wǎng)，每個(gè)城域網(wǎng)連接多個(gè)局域網(wǎng)構(gòu)成。

被分析的信息系統(tǒng)被抽象為局域網(wǎng)和骨干網(wǎng)/城域網(wǎng)要素，四個(gè)局域網(wǎng)通過局域網(wǎng)和骨干網(wǎng)/城域網(wǎng)互相連接。

2、骨干網(wǎng)/城域網(wǎng)抽象處理

通常將骨干網(wǎng)/城域網(wǎng)分解為通信線路、網(wǎng)絡(luò)設(shè)備和骨干網(wǎng)/城域網(wǎng)管理中心三個(gè)要素，暫不考慮骨干網(wǎng)/城域網(wǎng)內(nèi)部的實(shí)現(xiàn)細(xì)節(jié)，認(rèn)為骨干網(wǎng)/城域網(wǎng)是由通信線路連接網(wǎng)絡(luò)設(shè)備構(gòu)成的模型。通過對(duì)骨干網(wǎng)/城域網(wǎng)模型化處理后，關(guān)注點(diǎn)將放在通信線路、網(wǎng)絡(luò)設(shè)備和骨干網(wǎng)/城域網(wǎng)的網(wǎng)絡(luò)管理上，通過對(duì)通信線路、網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)管理提出安全策略要求和安全措施要求，實(shí)現(xiàn)骨干網(wǎng)/城域網(wǎng)的安全保護(hù)。

例如：

通過抽象處理后，信息系統(tǒng)骨干網(wǎng)/城域網(wǎng)模型可能如下圖所示：

29

局域網(wǎng)網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備局域網(wǎng)網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備局域網(wǎng)網(wǎng)絡(luò)管理中心圖1-5骨干網(wǎng)/城域網(wǎng)構(gòu)成抽象模型

3、局域網(wǎng)抽象處理

對(duì)于每個(gè)局域網(wǎng)可能是由多個(gè)不同級(jí)別的子系統(tǒng)構(gòu)成的情況，無論局域網(wǎng)內(nèi)部子系統(tǒng)有多少，可以將同級(jí)的或處理同類信息的子系統(tǒng)抽象為一個(gè)模型要素，我們稱之為某級(jí)子系統(tǒng)（或稱某級(jí)安全域）。通過抽象處理后，局域網(wǎng)模型可能是由多個(gè)級(jí)別的子系統(tǒng)（安全域）互聯(lián)構(gòu)成的模型，關(guān)注點(diǎn)將放在不同級(jí)別安全域互聯(lián)和不同級(jí)別安全域的邊界上，通過對(duì)不同級(jí)別的安全域互聯(lián)、安全域邊界提出安全策略要求和安全措施要求，實(shí)現(xiàn)對(duì)安全域邊界的安全保護(hù)。

例如：

通過抽象處理后，局域網(wǎng)模型可能如下圖所示：

30

四級(jí)子系統(tǒng)/安全域三級(jí)子系統(tǒng)/安全域二級(jí)子系統(tǒng)/安全域一級(jí)子系統(tǒng)/安全域圖1-6局域網(wǎng)構(gòu)成抽象模型

4、局域網(wǎng)內(nèi)部子系統(tǒng)之間互聯(lián)抽象處理

根據(jù)局域網(wǎng)內(nèi)部的業(yè)務(wù)流程、數(shù)據(jù)交換要求、用戶訪問要求等確定不同級(jí)別安全域之間的網(wǎng)絡(luò)連接要求。

例如：

如果任意兩個(gè)不同級(jí)別的子系統(tǒng)之間有業(yè)務(wù)流程、數(shù)據(jù)交換要求、用戶訪問要求等的需要，則認(rèn)為兩個(gè)模型要素之間有連接。通過分析和抽象處理后，局域網(wǎng)內(nèi)部子系統(tǒng)之間互聯(lián)模型可能如下圖所示：

31

四級(jí)安全域三級(jí)安全域二級(jí)安全域一級(jí)安全域圖1-7局域網(wǎng)內(nèi)不同級(jí)別安全域互聯(lián)抽象模型

5、局域網(wǎng)之間子系統(tǒng)互聯(lián)抽象處理

根據(jù)局域網(wǎng)之間的業(yè)務(wù)流程、數(shù)據(jù)交換要求、用戶訪問要求等確定局域網(wǎng)之間通過骨干網(wǎng)/城域網(wǎng)的分隔的同級(jí)或不同級(jí)別安全域之間的網(wǎng)絡(luò)連接要求。

例如：

如果任意兩個(gè)級(jí)別的子系統(tǒng)之間有業(yè)務(wù)流程、數(shù)據(jù)交換要求、用戶訪問要求等的需要，則認(rèn)為兩個(gè)局域網(wǎng)的子系統(tǒng)之間有連接。通過分析和抽象處理后，局域網(wǎng)之間子系統(tǒng)互聯(lián)模型可能如下圖所示：

32

四級(jí)安全域四級(jí)安全域三級(jí)安全域三級(jí)安全域二級(jí)安全域二級(jí)安全域一級(jí)安全域一級(jí)安全域圖1-8局域網(wǎng)之間不同級(jí)別安全域互聯(lián)抽象模型

6、局域網(wǎng)子系統(tǒng)與外部單位互聯(lián)抽象處理

對(duì)于與國(guó)際互聯(lián)網(wǎng)或外部機(jī)構(gòu)/單位有連接或數(shù)據(jù)交換的信息系統(tǒng)，分析這種網(wǎng)絡(luò)連接要求，并進(jìn)行模型化處理。

例如：

分析任意一個(gè)級(jí)別的安全域，如果這個(gè)安全域與外部機(jī)構(gòu)/單位或國(guó)際互聯(lián)網(wǎng)之間有業(yè)務(wù)訪問、數(shù)據(jù)交換等的需要，則認(rèn)為這個(gè)級(jí)別的安全域與外部機(jī)構(gòu)/單位或國(guó)際互聯(lián)網(wǎng)之間有連接，通過這種分析和抽象處理后，局域網(wǎng)安全域與外部機(jī)構(gòu)/單位或國(guó)際互聯(lián)網(wǎng)之間互聯(lián)模型可能如下圖所示：

33

四級(jí)安全域三級(jí)安全域二級(jí)安全域外部機(jī)構(gòu)/單位一級(jí)安全域國(guó)際互聯(lián)網(wǎng)圖1-9局域網(wǎng)與外部連接抽象模型

8、安全域內(nèi)部抽象處理

局域網(wǎng)中不同級(jí)別的安全域的規(guī)模和復(fù)雜程度可能不同，但是每個(gè)級(jí)別的安全域的構(gòu)成要素基本一致，即是由服務(wù)器、工作站和連接它們構(gòu)成網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備構(gòu)成。為了便于分析和處理，將安全域內(nèi)部抽象為服務(wù)器設(shè)備（包括存貯設(shè)備）、工作站設(shè)備和網(wǎng)絡(luò)設(shè)備這些要素，通過對(duì)安全域內(nèi)部的模型化處理后，對(duì)每個(gè)安全域內(nèi)部的關(guān)注點(diǎn)將放在服務(wù)器設(shè)備、工作站設(shè)備和網(wǎng)絡(luò)設(shè)備上，通過對(duì)不同級(jí)別的安全域中的服務(wù)器設(shè)備、工作站設(shè)備和網(wǎng)絡(luò)設(shè)備提出安全策略要求和安全措施要求，實(shí)現(xiàn)安全域內(nèi)部的安全保護(hù)。

例如：

通過抽象處理后，每個(gè)安全域模型可能如下圖所示：

34

網(wǎng)絡(luò)設(shè)備服務(wù)器設(shè)備工作站設(shè)備圖1-10安全域內(nèi)部構(gòu)成抽象模型

9、形成信息系統(tǒng)抽象模型

通過對(duì)信息系統(tǒng)的分析和抽象處理，最終應(yīng)形成被分析的信息系統(tǒng)的抽象模型。信息系統(tǒng)抽象模型的表達(dá)應(yīng)包括以下內(nèi)容：

。信息系統(tǒng)如何由骨干網(wǎng)、城域網(wǎng)、局域網(wǎng)構(gòu)成，骨干網(wǎng)、城域網(wǎng)、局域網(wǎng)之間如何

互聯(lián)；

。局域網(wǎng)最多包含幾個(gè)不同級(jí)別的安全域；。局域網(wǎng)內(nèi)部不同級(jí)別的安全域之間如何連接；。不同局域網(wǎng)之間的安全域之間如何連接；

。局域網(wǎng)內(nèi)部安全域是否與外部機(jī)構(gòu)/單位或國(guó)際互聯(lián)網(wǎng)有互聯(lián)；。等等。

10、說明總體安全策略

說明安全工作的主要策略，包括安全組織機(jī)構(gòu)劃分策略、業(yè)務(wù)系統(tǒng)分級(jí)策略、數(shù)據(jù)信息分級(jí)策略、安全域互連策略、信息流控制策略等；

例如：

1）、管理策略：

35

xxxx集團(tuán)公司成立信息安全領(lǐng)導(dǎo)小組，該小組是信息安全的最高決策機(jī)構(gòu)。安全領(lǐng)導(dǎo)小組下xxxx工作組、xxxx工作組負(fù)責(zé)具體工作；各個(gè)分公司成立xxxx工作負(fù)責(zé)分公司的具體工作。

xxxx集團(tuán)公司信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)組織相關(guān)人員對(duì)信息系統(tǒng)的安全建設(shè)和安全改造進(jìn)行統(tǒng)一規(guī)劃，各分公司和直屬單位根據(jù)統(tǒng)一規(guī)劃進(jìn)行具體建設(shè)實(shí)施。

由xxxx集團(tuán)公司負(fù)責(zé)對(duì)信息安全設(shè)備的選型、采購(gòu)和驗(yàn)收等方面制定具體管理規(guī)定，各分公司和直屬單位根據(jù)上述具體管理規(guī)定進(jìn)行信息安全設(shè)備的采購(gòu)和使用。

集團(tuán)公司本部局域網(wǎng)由本部xxxx部門負(fù)責(zé)管理；各分公司和直屬單位局域網(wǎng)由xxxx部門負(fù)責(zé)管理；骨干網(wǎng)由xxxx部分負(fù)責(zé)管理；各分公司城域網(wǎng)由各分公司xxxx部門負(fù)責(zé)管理。

等等

2）、系統(tǒng)分級(jí)

集團(tuán)公司本部和分公司局域網(wǎng)劃分為xxxx四個(gè)級(jí)別的安全域，其中xxxx為4級(jí)，xxxx為3級(jí)，xxxx為2級(jí)，xxxx為1級(jí)。

xxxx業(yè)務(wù)、xxxx業(yè)務(wù)、……等劃歸在4級(jí)安全域，……。等等

3）、網(wǎng)絡(luò)互聯(lián)

同級(jí)的安全域通過骨干網(wǎng)/城域網(wǎng)只能與上級(jí)或下級(jí)單位的同級(jí)安全域進(jìn)行連接；4級(jí)安全域通過二層的vpn通道進(jìn)行數(shù)據(jù)交換、3級(jí)安全域通過二層或三層的vpn通道進(jìn)行數(shù)據(jù)交換；

4級(jí)安全域不能與2級(jí)安全域、1級(jí)安全域直接連接；3級(jí)安全域不能與1級(jí)安全域直接連接；

分公司不允許有internet出口，分公司到internet的訪問必須通過集團(tuán)公司本部的internet出口，僅集團(tuán)公司本部有唯一的internet連接；internet出口只能與1級(jí)安全域連接；

等等

36

4）、安全控制

4級(jí)安全域與3級(jí)安全域之間必須采用接近物理隔離的專用設(shè)備進(jìn)行隔離；各級(jí)別安全域的網(wǎng)絡(luò)對(duì)外接口處必須使用防火墻進(jìn)行有效的邊界保護(hù)；

3級(jí)安全域和2級(jí)安全域外部單位進(jìn)行數(shù)據(jù)交換時(shí)，不允許直接交換，必須把要交換的數(shù)據(jù)送到外部接入網(wǎng)絡(luò)的前置機(jī)或中間件，由外部單位從外部接入網(wǎng)絡(luò)的前置機(jī)或中間件將數(shù)據(jù)取走；反之亦然；

等等

11、選擇和規(guī)定骨干網(wǎng)/城域網(wǎng)的安全保護(hù)技術(shù)措施

針對(duì)信息系統(tǒng)等級(jí)化抽象模型，根據(jù)機(jī)構(gòu)總體安全策略、等級(jí)保護(hù)基本要求和系統(tǒng)的特殊安全需求，提出骨干網(wǎng)/城域網(wǎng)的安全保護(hù)策略和安全技術(shù)措施。

例如：

1）、網(wǎng)絡(luò)設(shè)備安全

網(wǎng)絡(luò)設(shè)備應(yīng)位于xxxx機(jī)房?jī)?nèi)；

網(wǎng)絡(luò)設(shè)備應(yīng)提供遠(yuǎn)程管理和本地管理兩種管理方式；網(wǎng)絡(luò)設(shè)備應(yīng)設(shè)置通過特定