信息安全技术 信息系统安全保护等级定级指南 (gb

《信息安全技术 信息系统安全保护等级定级指南 (gb》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、信息安全技术信息系统安全保护等级定级指南  ICS35.020 L09中华人民共和国国家标准 GB17859-1999信息安全技术信息系统安全等级保护定级指南Informationsecuritytechnology-Classificationguideforclassifiedprotectionofinformationsystem  2008-11-01实施 __________________________________2008-06-19发布中国国家标准化管理委员会 中华人民共和国国家质量监督检验检疫总局    发布 引言依据国家信息安全等

2、级保护管理规定制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T22239—2008《信息系统安全等级保护基本要求》； ——国家标准《信息系统安全等级保护实施指南》； ——国家标准《信息系统安全等级保护测评准则》。 本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。信息安全技术 信息系统安全等级保护定级指南1范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工

3、作提供指导。2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本标准。 GB/T5271.8信息技术词汇第8部分：安全（GB/T5271.8—2001，idtISO/IEC2382-8：1998） GB17859计算机信息系统安全保护等级划分准则3术语和定义GB/T5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。3.1

4、等级保护对象targetofclassifiedsecurity 信息安全等级保护工作直接作用的具体的信息和信息系统。3.2客体object受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。3.3客观方面objective 对客体造成侵害的客观外在表现，包括侵害方式和侵害结果等。3.4系统服务systemservice 信息系统为支撑其所承载业务而提供的程序化过程。4定级原理4.1信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级： 第一级，信息系统受到破坏

5、后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。4.2信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏

6、时所侵害的客体和对客体造成侵害的程度。4.2.1受侵害的客体等级保护对象受到破坏时所侵害的客体包括以下三个方面：a)公民、法人和其他组织的合法权益； b)社会秩序、公共利益； c)国家安全。4.2.2对客体的侵害程度对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。 等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：a)造成一般损害； b)造成严重损害； c)造成特别严重损害。4.3定级要素与等级的关系定级要

7、素与信息系统安全保护等级的关系如表1所示。5定级方法5.1定级的一般流程信息系统安全包括业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定。 从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。 从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。 确定信息系统安全保护等级的一般流程如下：a)确定作为定级对象的信息系统； b)确定业务信息安全受到破坏时所侵害的客体； c)根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害

8、程度； d)依据表2，得到业务信息安全保护等级； e)确定系统服务