《信息安全等级保护》ppt课件

《《信息安全等级保护》ppt课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全等级保护主要内容根据信息系统在国家安全、经济建设、社会生活中的重要程度；遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；将信息系统划分为不同的安全保护等级并对其实施不同的保护和监管。等级保护的政策文件与技术演进2003年9月中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号）2004年11月四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）2005年9月国信办文件《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25

2、号）2005年公安部标准《等级保护安全要求》《等级保护定级指南》《等级保护实施指南》《等级保护测评准则》总结成一种安全工作的方法和原则最先作为“适度安全”的工作思路提出确认为国家信息安全的基本制度，安全工作的根本方法形成等级保护的基本理论框架，制定了方法，过程和标准信息安全等级保护制度体现国家管理意志构建国家信息安全保障体系保障信息化发展和维护国家安全解决什么信息安全等级保护是手段，是为了构建国家信息安全保障体系。信息安全保障体系也是手段，是为了信息应用发展。信息安全等级保护是带有很强技术性的国家风险控制行为相关关系安全风险管理的目

3、的并不是保证没有风险，而是要将信息系统带来的业务风险控制在可接受的范围内。信息安全等级保护的关键所在正是基于信息系统所承载应用的重要性，以及该应用损毁后带来的影响程度来判断风险是否控制在可接受的范围内。原则谁主管谁负责、谁运营谁负责自主定级、自主保护、监督指导主要流程一是：定级。二是：备案。三是：系统建设、整改。四是：等级测评。五是：信息安全监管部门定期开展监督检查关键所在定级是信息安全等级保护的重要环节首要环节，开始环节，但不是核心环节基本要求是信息安全等级保护的核心不同级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的

4、基本安全保护能力，达到一种基本的安全状态国家管理要求和系统自身安全保护需求结合定级原理(1)五个等级的定义第一级,信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信

5、息系统受到破坏后，会对国家安全造成特别严重损害。定级原理(2)定级要素受侵害的客体公民、法人和其他组织的合法权益；社会秩序、公共利益；国家安全。定级原理(3)定级要素对客体的侵害程度造成一般损害；造成严重损害；造成特别严重损害。定级原理(4)受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级定级方法(1)分解信息系统安全：信息系统的安全业务信息的安全系统服务的安全=+定级方法(2)确定定级对象；确定业务信息安全受到破坏

6、时所侵害的客体；综合评定业务信息安全被破坏对客体的侵害程度；得到业务信息安全等级；确定系统服务安全受到破坏时所侵害的客体；综合评定系统服务安全被破坏对客体的侵害程度；得到系统服务安全等级；由业务信息安全等级和系统服务安全等级的较高者确定定级对象的安全保护等级。《基本要求》基本思路不同级别信息系统重要程度不同应对不同威胁的能力(威胁弱点)具有不同的安全保护能力不同的基本要求不同级别的安全保护能力要求第一级安全保护能力应能够防护系统免受来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生

7、的强度弱、持续时间很短等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。第二级安全保护能力应能够防护系统免受来自外部小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。不同级别的安全保护

8、能力要求第三级安全保护能力应能够在统一安全策略下防护系统免受来自外部有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较