信息系统安全等级保护实施指南.doc

《信息系统安全等级保护实施指南.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、GB/TXXXX–XXXX目次前言III引言IV1范围12规范性引用文件13术语和定义14等级保护实施概述14.1基本原则14.2角色和职责14.3实施的基本流程25信息系统定级45.1信息系统定级阶段的工作流程45.2信息系统分析45.2.1系统识别和描述45.2.2信息系统划分55.3安全保护等级确定65.3.1定级、审核和批准65.3.2形成定级报告66总体安全规划76.1总体安全规划阶段的工作流程76.2安全需求分析86.2.1基本安全需求的确定86.2.2额外/特殊安全需求的确定96.2.3形成安全需求分析报告96.3总体安全设计106.3.1

2、总体安全策略设计106.3.2安全技术体系结构设计106.3.3整体安全管理体系结构设计116.3.4设计结果文档化126.4安全建设项目规划126.4.1安全建设目标确定136.4.2安全建设内容规划136.4.3形成安全建设项目计划147安全设计与实施157.1安全设计与实施阶段的工作流程157.2安全方案详细设计167.2.1技术措施实现内容设计167.2.2管理措施实现内容设计167.2.3设计结果文档化177.3管理措施实现177.3.1管理机构和人员的设置177.3.2管理制度的建设和修订177.3.3人员安全技能培训187.3.4安全实施过

3、程管理1815GB/TXXXX–XXXX7.4技术措施实现197.4.1信息安全产品采购197.4.2安全控制开发207.4.3安全控制集成207.4.4系统验收218安全运行与维护228.1安全运行与维护阶段的工作流程228.2运行管理和控制238.2.1运行管理职责确定238.2.2运行管理过程控制248.3变更管理和控制248.3.1变更需求和影响分析248.3.2变更过程控制258.4安全状态监控258.4.1监控对象确定258.4.2监控对象状态信息收集268.4.3监控状态分析和报告268.5安全事件处置和应急预案278.5.1安全事件分级2

4、78.5.2应急预案制定278.5.3安全事件处置278.6安全检查和持续改进288.6.1安全状态检查288.6.2改进方案制定298.6.3安全改进实施298.7等级测评298.8系统备案308.9监督检查309信息系统终止309.1信息系统终止阶段的工作流程309.2信息转移、暂存和清除319.3设备迁移或废弃319.4存储介质的清除或销毁32附录A（规范性附录）主要过程及其活动输出3315GB/TXXXX–XXXX前言本标准的附录A是规范性附录。本标准由公安部和全国信息安全标准化技术委员会提出。本标准由全国信息安全标准化技术委员会归口。本标准起草

5、单位：公安部信息安全等级保护评估中心。本标准主要起草人：毕马宁、马力、陈雪秀、李明、朱建平、任卫红、谢朝海、曲洁、袁静、李升、刘静、罗峥。15GB/TXXXX–XXXX引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系列标准包括：——GB/TAAAA-AAA

6、A信息安全技术信息系统安全等级保护定级指南；——GB/TBBBB-BBBB信息安全技术信息系统安全等级保护基本要求。在对信息系统实施信息安全等级保护的过程中，除使用本标准外，在不同的阶段，还应参照其他有关信息安全等级保护的标准开展工作。在信息系统定级阶段，应按照GB/TAAAA-AAAA介绍的方法，确定信息系统安全保护等级。在信息系统总体安全规划，安全设计与实施，安全运行与维护和信息系统终止等阶段，应按照GB17859-1999、GB/TBBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准

7、，设计、建设符合信息安全等级保护要求的信息系统，开展信息系统的运行维护管理工作。GB17859-1999、GB/TBBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准是信息系统安全等级保护的系列相关配套标准，其中GB17859-1999是基础性标准，GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等是对GB17859-1999的进一步细化和扩展，GB/TBBBB-BBBB是以GB17859-1999为基础，根据现有技术发展水平提出的对不同安全保护等级

8、信息系统的最基本安全要求，是其他标准的一个底线子集。对信息系统的安全等级保护应从