包头市信息系统安全等级保护培训

《包头市信息系统安全等级保护培训》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、议题包头市信息系统安全等级保护培训——实施与测评杨泽明yangzm@wsdomtech.com01082608833议程等级保护实施流程等级保护基本要求安全建设整改等级测评信息系统安全等级保护实施的基本流程定级指南、实施指南基本要求，定级指南、实施指南，评估指南基本要求，实施指南、安全产品标准实施指南《中华人民共和国计算机信息系统安全保护条例》国家基础标准(GB17859)及配套标准《信息安全等级保护管理办法》及相关规定运营单位/主管部门行政执法部门咨询监理工程测评重要信息系统规划设计建设运行等级化的重要信息系统安全等级保护体系技术支持行业管理规范和技术规范业务分类与定级网

2、络系统结构产品装备与配置过程控制与管理授权指定标准依据《信息安全等级保护管理办法》系统定级《信息系统安全保护等级定级指南》安全保护《信息系统安全等级保护基本要求》《信息系统安全等级保护实施指南》检测评估《信息系统安全等级保护基本要求》《信息系统安全等级保护测评准则》主要技术标准和管理规范《计算机信息系统安全保护等级划分准则》（GB17859-1999）《信息安全技术网络基础安全技术要求》《信息安全技术信息系统通用安全技术要求》《信息安全技术操作系统安全技术要求》《信息安全技术数据库管理系统安全技术要求》《信息安全技术服务器技术要求》《信息安全技术终端计算机系统安全等级技术要

3、求》《信息安全技术信息系统安全管理要求》（GB/T20269-2006）《信息安全技术信息系统安全工程管理要求》（GB/T20282-2006）管理规范和技术标准的作用主管部门监督检查信息安全监管职能部门系统定级安全保护检测评估运营/使用单位安全服务商安全评估机构技术标准管理规范风险分析基本要求安全等级定级指南其他标准要求等级系统保护方案实施运行维护管理安全事件管理安全风险管理安全产品选择安全工程实施系统安全配置安全状况监控系统特定需求等级化要求事件等级划分事件响应处置产品等级划分风险评估系统测评准则监督检查要求等级系统保护策略与安全方案实施指南评估指南管理规范和技术标准的

4、作用议程等级保护实施流程等级保护基本要求安全建设整改等级测评基本要求产生的思路不同级别的信息系统重要程度不同保护需求不同安全保护能力不同应对威胁的能力不同不同的安全目标不同基本要求《基本要求》的作用信息系统安全等级保护基本要求运营、使用单位（安全服务商）主管部门（等级测评机构）安全保护测评检查《基本要求》的定位是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线；每个级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态;是每个级别信息系统进行安全保护工作的一个基本出发点，

5、更加贴切的保护可以通过需求分析对基本要求进行补充，参考其他有关等级保护或安全方面的标准来实现;《基本要求》的定位某级信息系统基本保护精确保护基本要求保护基本要求测评补充的安全措施GB17859-1999通用技术要求安全管理要求高级别的基本要求等级保护其他标准安全方面相关标准等等基本保护特殊需求补充措施不同级别的安全保护能力要求1级安全保护能力：应具有能够对抗来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短、系统局部范围等）以及其他相当危害程度威胁的能力，并在威胁发生后，能够恢复部分功能。2级安全保护能

6、力：应具有能够对抗来自小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等）以及其他相当危害程度（无意失误、设备故障等）威胁的能力，并在威胁发生后，能够在一段时间内恢复部分功能。不同级别的安全保护能力要求3级安全保护能力：应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区

7、性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。4级安全保护能力：应具有能够对抗来自敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广（多地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的严重故障等）威胁的能力，并在威胁发生后，能够迅速恢复所有功能。第五级安全保护能力：（略）。安全保护能力要求说明核心思想:级别越高,安全控制点越多,安全控制要求越细。对于涉密的信息系统，在确定安