1、信息安全等级保护培训 杭州安信检测技术有限公司 目录等级保护基本知识介绍等级保护基本要求的具体介绍信息安全等级保护检查问题发现和总结 等级保护基本知识介绍等级保护的政策依据等级保护的关键环节（流程）等级保护的现实意义等级保护的相关标准基本要求核心思想解读等级保护政策依据 国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合下发的关于信息安全等级保护工作的实施意见（公通字200466号）公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合下发的信息安全等级保护管理办法（试行）（公通字20067号
2、）关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号）关于印发信息安全等级保护管理办法的通知（公通字200743号）等级保护政策依据中办发中办发200327200327号文号文 明确指出“实行信息安全等级保护”。“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。等级保护政策依据公通字公通字200466200466号文号文进一步明确了信息安全等级保护制度的基本内容：一是根据信息和信息系统在国家安全、社会秩序、公共利益、社会生活中的重要程度；遭到破坏后对国家安全、社会秩序
3、、公共利益以及公民、法人和其他组织的合法权益的危害程度；针对信息的保密性、完整性和可用性要求及信息系统必须要达到的基本的安全保护水平等因素，确定信息和信息系统的安全保护等级，共分五级共分五级。二是国家通过制定统一的管理规范和技术标准，组织行政机关、公民、法人和其他组织根据信息和信息系统的不同重要程度开展有针对性的保护工作。国家对不同安全保护级别的信息和信息系统实行不同强度的监管政策。三是国家对信息安全产品的使用实行分等级管理。四是信息安全事件实行分等级响应、处置的制度。等级保护政策依据公通字公通字2006720067号文号文明确了信息安全等级保护的具体要求。为推广和实施信息安全等级保护提供法律
4、保障。公信安公信安20078612007861号号标志着等级保护工作正式推向实施阶段。等级保护政策依据公通字公通字200743200743号文号文 2007.6.222007.6.22明确主管单位：公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密部门负责等保中保密工作的监督、检查、指导。国家密码管理部门负责等保中有关密码工作的监督、检查、指导。确定5个等级，但去掉了2006 7号文“自主保护”、“指导保护”、“监督保护”等称为。等级保护政策依据公通字公通字200743200743号文号文五个等级的基本情况 第一级：运营、使用单位根据国家管理规范、技术标准自主防护。第二级：运营、使用
5、单位根据国家管理规范、技术标准自主防护。国家有关部门进行指导。第三级：自主防护。国家有关部门进行监督、检查。第四级：运营、使用单位根据国家管理规范、技术标准和业务专门需求进行保护，国家有关部门进行强制监督、检查。第五级：（略）。等级保护政策依据公通字公通字200743200743号文号文测评周期要求 第三级信息系统应当每年至少进行一次等级测评；第四级信息系统应当每半年至少进行一次等级测评；第五级信息系统应当依据特殊安全需求进行等级测评。自查周期要求 第三级信息系统应当每年至少进行一次自查；第四级信息系统应当每半年至少进行一次自查；第五级信息系统应当依据特殊安全需求进行自查。根据测评、自查情况制
6、定整改方案并实施。等级保护政策依据公通字公通字200743200743号文号文检查周期要求 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次；对第四级信息系统每半年至少检查一次。对第五级信息系统，应当由国家指定的专门部门进行检查。等级保护政策依据公通字公通字200743200743号文号文等级保护的检查内容（一）信息系统安全需求是否发生变化，原定保护等级是否准确；（二）运营、使用单位安全管理制度、措施的落实情况；（三）运营、使用单位及其主管部门对信息系统安全状况的检查情况；（四）系统安全等级测评是否符合要求；（五
7、）信息安全产品使用是否符合要求；（六）信息系统安全整改情况；（七）备案材料与运营、使用单位、信息系统的符合情况；（八）其他应当进行监督检查的事项。等级保护政策依据公通字公通字200743200743号文号文第三级以上信息系统应当选择使用符合以下条件的信息安全产品：（一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格；（二）产品的核心技术、关键部件具有我国自主知识产权；（三）产品研制、生产单位及其主要业务、技术人员无犯罪记录；（四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；（五）对国家安全、社会秩序、公共利益不
8、构成危害；（六）对已列入信息安全产品认证目录的，应当取得国家信息安全产品认证机构颁发的认证证书。等级保护政策依据公通字公通字200743200743号文号文第三级以上信息系统的安全测评机构应具备的条件：（一）在中华人民共和国境内注册成立（港澳台地区除外）；（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（三）从事相关检测评估工作两年以上，无违法记录；（四）工作人员仅限于中国公民；（五）法人及主要业务、技术人员无犯罪记录；（六）使用的技术装备、设施应当符合本办法对信息安全产品的要求；（七）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；（八
9、）对国家安全、社会秩序、公共利益不构成威胁。等级保护政策依据公通字公通字200743200743号文号文其他：（一）涉密系统根据BMB17建设，根据BMB22测评；（二）秘密、机密、绝密对应第三、四、五等级。（三）密码管理根据商用秘密管理条例执行。等级保护工作的主要流程 一是定级。二是备案（二级以上信息系统）。三是系统建设、整改（按条件选择产品）。四是开展等级测评（按条件选择测评机构）。五是信息安全监管部门定期开展监督检查等级保护现实意义确保重点：需要通过国家政策、制度来保障有关国计民生、大型活动（如奥运、世博）信息系统的安全。适度防护：由于资金投入、人力资源是有限的，因此要根据不同等级的安全
10、需求进行安全建设与管理，避免过度投入造成的浪费。普及经验：信息安全工作到底怎样做，多数单位缺乏办法、经验、底数。因此，等级保护吸取了我国多年信息安全技术、管理成败经验教训，科学的规范了信息安全工作的开展。等级保护相关标准 计算机信息系统安全保护等级划分准则（GB17859-1999）信息安全技术网络基础安全技术要求（GB/T20270-2006）信息安全技术信息系统通用安全技术要求GB/T20271-2006）信息安全技术操作系统安全技术要求（GB/T20272-2006）信息安全技术数据库管理系统安全技术要求（GB/T20273-2006）信息安全等级保护基本要求（GB/T22239-200
11、8）信息安全等级保护定级指南（GB/T22240-2008）信息安全等级保护测评要求（送审稿）信息安全技术 信息系统等级保护安全设计技术要求（征求意见）等级保护核心标准关系的说明 系统建设：信息系统安全等级保护定级指南确定出系统等级以及业务信息安全性等级和系统服务安全等级后，需要按照相应等级，根据信息安全等级保护基本要求选择相应等级的安全保护要求进行系统建设实施。系统测评：信息系统安全等级保护测评要求是针对信息安全等级保护基本要求的具体控制要求开发的测评要求，旨在强调系统按照信息安全等级保护基本要求进行建设完毕后，检验系统的各项保护要求是否符合相应等级的基本要求。由上可见，信息安全等级保护基本
12、要求在整个标准体系中起着承上启下的作用。相关技术要求可以作为信息安全等级保护基本要求的补充和详细指导标准。信息系统的定级各级系统的保护要求差异一级系统二级系统三级系统四级系统防护防护/监测策略/防护/监测/恢复策略/防护/监测/恢复/响应各级系统的保护要求差异一级系统二级系统三级系统四级系统通信/边界（基本）通信/边界/内部（关键设备）通信/边界/内部（主要设备）通信/边界/内部/基础设施（所有设备）各级系统的保护要求差异一级系统二级系统三级系统四级系统计划和跟踪（主要制度）计划和跟踪（主要制度）良好定义（管理活动制度化）持续改进（管理活动制度化/及时改进）构建系统模型_技术模型各级系统的保护
13、要求差异等级保护基本要求的具体介绍主要内容主要内容技术要求技术要求物理安全物理安全网络安全网络安全主机安全主机安全应用安全应用安全数据安全数据安全管理要求管理要求安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理不同级别系统控制点的差异安全要求类层面一级二级三级四级技术要求物理安全7 7101010101010网络安全3 36 67 77 7主机安全4 46 67 79 9应用安全4 47 79 91111数据安全及备份恢复2 23 33 33 3管理要求安全管理制度2 23 33 33 3安全管理机构4 45 55 55 5人员安全管理4 45 55 55 5系统建设管理9 99
14、911111111系统运维管理9 9121213131313合计/4848666673737777级差/18187 74 4不同级别系统要求项的差异安全要求类层面一级二级三级四级技术要求物理安全9 9191932323333网络安全9 9181833333232主机安全6 6191932323636应用安全7 7191931313636数据安全及备份恢复2 24 48 81111管理要求安全管理制度3 37 711111414安全管理机构4 49 920202020人员安全管理7 7111116161818系统建设管理2020282845454848系统运维管理1818414162627070
15、合计/8585175175290290318318级差/90901151152828物理安全控制点一级二级三级四级物理位置的选择*物理访问控制*防盗窃和防破坏*防雷击*防火*防水和防潮*防静电*温湿度控制*电力供应*电磁防护*合计7 7101010101010物理安全（一）物理位置选择 机房防震、防风和防雨 应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。物理安全（二）物理访问控制 专人值守 申请和审批 划分区域进行管理 配置电子门禁物理安全（三）防盗窃和防破坏 设备或主要部件进行固定 设置标记（不易去除）。通信线缆铺设铺设在地下或管道中 防盗报警物理安全（三）防盗窃和防破坏 设备或
16、主要部件进行固定 设置标记（不易去除）。通信线缆铺设铺设在地下或管道中 防盗报警物理安全（四）防雷击 设置避雷装置；防雷保安器，防止感应雷；设置交流电源地线。物理安全（五）防火 火灾自动消防系统；采用耐火建筑材料；区域隔离防火措施.物理安全（六）防水和防潮 水管不穿过机房屋顶和活动地板下；防止雨水通过机房窗户、屋顶和墙壁渗透；防止机房内水蒸气结露和地下积水的转移与渗透；对机房进行防水检测和报警。物理安全（七）防静电 防静电地板。物理安全（八）温湿度控制 应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内（大型的精密空调）物理安全（九）电力供应 供电线路上配置稳压器和过电
17、压防护设备；提供短期的备用电力供应（UPS设备）；设置并行电力线路为计算机系统供电（2路供电）；应建立备用供电系统（发电机）。物理安全（十）电磁防护 电源线和通信线缆应隔离铺设，避免互相干扰；对关键设备（泄露）和磁介质（损坏）实施电磁屏蔽。网络安全控制点一级二级三级四级结构安全*访问控制*安全审计*边界完整性检查*入侵防范*恶意代码防范*网络设备防护*合计3 36 67 77 7（一）结构安全 主要网络设备处理能力具备冗余空间（CPU；MEM；I/O）；网络各个部分的带宽满足业务高峰期需要；安全访问路径（可控路由；静态路由）；网络拓扑结构图(与当前运行情况相符)；划分子网或网段；重要网段与其他
18、网段之间技术隔离；确定服务重要次序指定带宽分配优先级别。（很难，除非协议不同）网络安全（二）访问控制 边界部署访问控制设备（FW）数据流控制粒度为端口级；实现命令级（ftp、telnet）的控制；会话终止（非活跃一定时间）；限制网络最大流量数及网络连接数；重要网段应采取技术手段防止地址欺骗（MAC地址邦定）；限制具有拨号访问权限的用户数量网络安全（三）安全审计 记录网络设备运行状况、网络流量、用户行为等进行日志记录；记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；能够根据记录数据进行分析，并生成审计报表；审计记录保护，避免删除、修改或覆盖等网络安全（四）边界完
19、整性检查 对非授权设备进行有效阻断；外联监控网络安全（五）入侵防范 在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。网络安全（六）恶意代码防范 在网络边界处对恶意代码进行检测和清除；恶意代码库的升级和检测系统的更新。网络安全（七）网络设备防护 管理员登录地址限制 两种或两种以上组合的鉴别技术 口令应有复杂度要求并定期更换 登录失败处理功能 远程管理加密鉴别信息 设备特权用户的权限分离网络安全主机安全控制点一级二级三级四级身份鉴别*安全标记*访
20、问控制*可信路径*安全审计*剩余信息保护*入侵防范*恶意代码防范*资源控制*合计4679（一）身份鉴别 口令应有复杂度要求并定期更换；登录失败处理 远程管理时，加密鉴别信息 用户名具有唯一性（避免多人使用相同帐号）两种或两种以上组合的鉴别技术主机安全（二）访问控制 角色分配，最小授权原则；特权用户的权限分离（系统管理员、安全员、审计员）；重命名默认帐户，修改默认口令；删除多余的、过期的帐户。设置敏感标记主机安全（三）安全审计 范围覆盖到每个用户；审计内容包括重要用户管理、登录/登出、非授权访问等安全相关事件；记录包括日期、时间、类型、主体标识、客体标识和结果等；根据记录数据进行分析，并生成审计
21、报表；保护审计记录，避免删除、修改或覆盖等。主机安全（四）剩余信息保护 鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除；系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。主机安全（五）入侵防范 检测到对重要服务器进行入侵的行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；对重要程序的完整性进行检测，检测+恢复措施；遵循最小安装的原则+保持系统补丁及时得到更新。主机安全（六）恶意代码防范 安装防恶意代码软件+更新恶意代码库；与网络防恶意代码产品不同的恶意代码库；统一管理（网络版）。主机安全（七）
22、资源控制 设定终端接入方式、网络地址范围 操作超时锁定；监视服务器的CPU、硬盘、内存、网络等资源 限制单个用户对系统资源的最大或最小使用限度；对系统的服务水平（CPU、内存、硬盘、I/O）降低到预定最小值进行检测报警。主机安全应用安全控制点一级二级三级四级身份鉴别身份鉴别*安全标记安全标记*访问控制访问控制*可信路经可信路经*安全审计安全审计*剩余信息保剩余信息保护护*通信完整性通信完整性*通信保密性通信保密性*抗抵赖抗抵赖*软件容错软件容错*资源控制资源控制*合计合计47911（一）身份鉴别 采用两种或两种以上组合的鉴别技术 身份标识唯一和鉴别信息复杂度检查功能 登录失败处理功能，可采取结
23、束会话、限制非法登录次数和自动退出应用安全（二）访问控制 访问控制涵盖主体、客体、操作 限制默认账户/角色的访问权限 最小授权，相互制约-系统管理员、系统安全员、系统审计员三权分立 敏感标记-介于自主访问控制与强制访问控制之间的控制要求应用安全（三）安全审计 审计涵盖每个用户，包括管理员等特权用户 审计功能不能单独中断 审计日志不能单条删除、修改 审计日志可读性强，便于分析统计应用安全（四）剩余信息保护 鉴别信息的存储空间被释放或再分配给其他用户前得到完全清除，主要是存在硬盘、内存（cookie等）文件、目录和数据库记录等资源的存储空间被释放或重新分配给其他用户前得到完全清除（临时文件等）应用
24、安全（五）通信完整性 采用密码技术保证通信过程中数据的完整性。（用HASH算法等保证数据的完整性，但是不符合国密局要求，国产算法连算法也保密）应用安全（六）通信保密性应用系统应利用密码技术进行会话初始化验证（双向验证）强调对整个报文或会话过程进行加密（一般网络加密可能存在后端明文传输的情况）应用安全加密卡网络加密机服务器用户加密信道明文传输（七）抗抵赖提供原发证据提供接受证据应用安全（八）软件容错人机接口输入格式化要求（如身份证一定是数字，15或18位）应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。（手工恢复）应用安全（九）资源控制一段时间内未作任何操作，应能够自
25、动结束会话；（防止应用D.D.O.S.）限制系统最大并发会话连接数限制一个时间段内可能的并发会话连接数限制单个帐户的多重并发会话对系统服务水平降低到预先规定的最小值进行检测和报警根据优先级分配系统资源（查询、处理冲突时）应用安全数据安全控制点一级二级三级四级数据完整性数据完整性*数据保密性数据保密性*备份和恢复备份和恢复*合计合计2333（一）数据完整性 系统管理数据、鉴别信息和重要业务数据在传输和存储过程中都要进行完整性检验及必要的恢复措施。系统管理数据：配置数据 鉴别信息：用于用户身份鉴别的信息 恢复措施：可用手工完成数据安全（二）数据保密性 系统管理数据、鉴别信息和重要业务数据在传输和存
26、储过程中都要采取加密或其他措施。数据安全（三）备份和恢复完全数据备份至少每天一次，备份介质场外存放；应提供异地数据备份功能；采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。数据安全（一）方案设计 文档1：系统建设方案、详细设计方案 要求1：方案中提到安全要求 文档2：近期和远期的安全建设计划 要求2：每个系统均有安全建设计划系统建设管理（二）自行软件开发 文档1：软件开发管理制度 文档2：代码编写规范 文档3：软件设计相关文档和使用指南 要求3：包括项目立项申请表、项目开发任务书，需求分析说明书、系统设计说明书、
27、系统测试计划、系统测试报告、项目投产方案、系统操作手册等。文档4：源代码修改、更新、发布的授权审批记录系统建设管理（三）外包软件开发 文档1：软件开发安全协议（包含保密协议）文档2：验收检测报告 要求2：包含功能测试、性能测试、源代码恶意代码检查。文档3：需求分析说明书、软件设计说明书、软件操作手册、用户培训计划、用户培训记录系统建设管理（四）工程实施 文档1：信息系统工程安全建设方案 要求1：项目建设方案（项目管理计划）其中明确实施方责任、项目时间进度、任务要求、质量控制等。文档2：工程实施管理制度 要求2：针对项目集成单位的管理制度。文档3：阶段性工作报告 要求3：项目管理过程中周报、月报
28、、项目总结等。系统建设管理（五）测试验收及系统交付 文档1：系统测试方案、测试记录、测试报告、验收测试管理制度、验收报告 要求1：系统测试包括业务功能测试、性能测试、安全性测试等。文档2：系统交付管理制度、系统交付清单、运维技术人员培训记录 要求2：开发厂商或交通银行开发部人员，对业务用户、运维管理人员的培训。系统建设管理（一）环境管理 文档1：机房安全管理制度 要求1：包括机房物理访问、物品出入、机房环境安全等方面。文档2：机房供配电系统、空调设备、温湿度控制的维护记录系统运维管理（二）资产管理 文档1：资产安全管理制度 要求1：包括资产管理的责任部门、信息分类和资产标识的方法，信息的使用、
29、存储、传输等方面。文档2：与信息系统相关的资产清单 要求2：资产名称 责任部门、重要程度、所处位置等系统运维管理（三）介质管理 文档1：介质安全管理制度 要求1：包括对介质的存放环境、使用、维护、销毁等方面。文档2：介质的归档、查询和借用的记录、介质定期盘点记录、介质的送修和销毁记录、对于保密性高的介质销毁需要有领导批准记录、介质物理传输的交接记录系统运维管理（四）设备管理 文档1：设备管理制度 要求1：包括明确设备的选型、采购、领用、发放维护人员责任、涉外维修和服务的审批、维修过程的监控等。文档2：服务器、网络设备的操作规程 要求2：覆盖启动、停止、加电、断电等操作 文档3：各种设备、线路的
30、维护记录 要求3：覆盖备份和冗余设备 文档4：设备带离机房或办公环境的审批记录系统运维管理（五）监控管理 文档1：监控记录、监控分析报告 要求1：包括通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等。系统运维管理（六）网络安全管理 文档1：网络设备漏洞扫描报告 要求1：覆盖漏洞的严重级别、原因分析、改进意见等。文档2：网络设备配置等重要文件备份记录、报警信息的分析和处理记录、设备安全策略、服务开启和关闭的审批记录、网络特权用户的授权记录、网络的外联，与外部系统的连接批准记录、移动设备接入系统的批准记录、对违反网络安全策略行为的检查记录等系统运维管理（七）系统安全管理 文档1：
31、系统安全管理制度 要求1：包括主机系统安全策略、安全配置、日志管理和日常操作流程等方面等。文档2：系统补丁测试记录、安装最新补丁前重要文件的备份记录、主机漏洞扫描报告、主机系统特权用户的授权记录、主机设备的操作规程、主机设备的操作记录 要求2：漏扫报告必须覆盖漏洞的严重级别、原因分析、改进意见等；系统运维管理（八）恶意代码防范 文档1：恶意代码防范管理制度 要求1：包括防恶意代码软件的授权使用、恶意代码库升级、定期汇报等。文档2：网络和主机恶意代码的检测记录、恶意代码库升级记录、病毒、恶意代码的分析记录和报告系统运维管理（九）密码管理 文档1：密码使用管理制度 要求1：使用符合国家密码管理规定
32、的密码技术和产品系统运维管理（十）变更管理 文档1：变更管理制度、系统变更的申请和审批记录、系统变更的变更记录 要求1：包括变更前审批、变更过程记录、变更后通报等 文档2：信息系统变更方案 要求2：覆盖变更原因、变更类型、变更过程、变更影响分析和变更失败后恢复程序系统运维管理（十一）备份与恢复 文档1：备份与恢复管理制度、备份策略 要求1：包括信息的备份方式、备份频度、存储介质和保存期限等方面 文档2：备份记录、备份恢复演练记录 要求2：覆盖备份时间、备份内容、备份操作、备份介质存放等内容系统运维管理（十二）安全事件处置 文档1：安全事件报告和处置管理制度 要求1：明确安全事件定义、安全事件等
33、级划分、规定安全事件的现场处理、事件报告流程等管理职责 文档2：信息安全事件记录和报告 要求2：覆盖事件产生的原因、处理过程、预防措施等内容系统运维管理（十三）应急预案管理 文档1：应急预案 要求1：包括应急预案启动条件、应急处理流程、系统恢复程序、事后教育和培训等内容 文档2：应急预案评审记录、应急预案培训记录、应急预案演练记录系统运维管理信息安全等级保护检查问题发现和总结安全检查问题总结（一）管理人员不足（二）管理制度不够完善（三）部分单位机房内杂物较多，机房环境无法满足相应的等级保护要求（四）主机和数据库未定期升级安全补丁，系统和数据库存在高危安全漏洞（五）部分单位内部访问控制设置不合理，未建立明确的访问控制列表谢谢谢谢
