《等级化保护实施流程》

《《等级化保护实施流程》》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、等级化保护实施流程目次等级化保护实施流程11.1实施的基本流程32信息系统定级42.1信息系统定级阶段的工作流程42.2信息系统分析42.2.1系统识别和描述42.2.2信息系统划分52.3安全保护等级确定62.3.1定级、审核和批准62.3.2形成定级报告63总体安全规划73.1总体安全规划阶段的工作流程73.2安全需求分析83.2.1基本安全需求的确定83.2.2额外/特殊安全需求的确定93.2.3形成安全需求分析报告93.3总体安全设计103.3.1总体安全策略设计103.3.2安全技术体系结构设计103.3.3整体安全管理体系结构设计113.3.4设计结果文

2、档化123.4安全建设项目规划123.4.1安全建设目标确定123.4.2安全建设内容规划133.4.3形成安全建设项目计划134安全设计与实施154.1安全设计与实施阶段的工作流程154.2安全方案详细设计164.2.1技术措施实现内容设计164.2.2管理措施实现内容设计164.2.3设计结果文档化174.3管理措施实现174.3.1管理机构和人员的设置174.3.2管理制度的建设和修订174.3.3人员安全技能培训184.3.4安全实施过程管理184.4技术措施实现194.4.1信息安全产品采购194.4.2安全控制开发194.4.3安全控制集成204.4.4

3、系统验收215安全运行与维护225.1安全运行与维护阶段的工作流程225.2运行管理和控制235.2.1运行管理职责确定235.2.2运行管理过程控制245.3变更管理和控制245.3.1变更需求和影响分析245.3.2变更过程控制255.4安全状态监控255.4.1监控对象确定255.4.2监控对象状态信息收集265.4.3监控状态分析和报告265.5安全事件处置和应急预案265.5.1安全事件分级265.5.2应急预案制定275.5.3安全事件处置275.6安全检查和持续改进285.6.1安全状态检查285.6.2改进方案制定285.6.3安全改进实施295.7

4、等级测评295.8系统备案295.9监督检查306信息系统终止306.1信息系统终止阶段的工作流程306.2信息转移、暂存和清除316.3设备迁移或废弃316.4存储介质的清除或销毁327等保过程配合人员需：327.1配合协调联络人员1名327.2配合访谈人员：32附　录　A主要过程及其活动输出33信息系统安全等级保护三级实施流程1.1实施的基本流程对信息系统实施等级保护的基本流程见图1。信息系统定级总体安全规划安全设计与实施施安全运行与维护等级变更局部调整信息系统终止图1信息系统安全等级保护实施的基本流程在安全运行与维护阶段，信息系统因需求变化等原因导致局部调整，

5、而系统的安全保护等级并未改变，应从安全运行与维护阶段进入安全设计与实施阶段，重新设计、调整和实施安全措施，确保满足等级保护的要求；但信息系统发生重大变更导致系统安全保护等级变化时，应从安全运行与维护阶段进入信息系统定级阶段，重新开始一轮信息安全等级保护的实施过程。1信息系统定级1.1信息系统定级阶段的工作流程信息系统定级阶段的目标是信息系统运营、使用单位按照国家有关管理规范和GB/TAAAA-AAAA，确定信息系统的安全保护等级，信息系统运营、使用单位有主管部门的，应当经主管部门审核批准。信息系统定级阶段的工作流程见图2。主要过程输出输入信息系统总体描述文件信息系统

6、详细描述文件信息系统立项文档信息系统建设文档信息系统管理文档信息系统分析安全保护等级确定信息系统安全保护等级定级报告信息系统总体描述文件信息系统详细描述文件图2信息系统定级阶段工作流程1.2信息系统分析1.2.1　系统识别和描述活动目标：本活动的目标是通过从信息系统运营、使用单位相关人员处收集有关信息系统的信息，并对信息进行综合分析和整理，依据分析和整理的内容形成组织机构内信息系统的总体描述性文档。参与角色：信息系统运营、使用单位，信息安全服务机构。活动输入：信息系统的立项、建设和管理文档。活动描述：本活动主要包括以下子活动内容：a)识别信息系统的基本信息调查了解信

7、息系统的行业特征、主管机构、业务范围、地理位置以及信息系统基本情况，获得信息系统的背景信息和联络方式。b)识别信息系统的管理框架了解信息系统的组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责，获得支持信息系统业务运营的管理特征和管理框架方面的信息，从而明确信息系统的安全责任主体。c)识别信息系统的网络及设备部署了解信息系统的物理环境、网络拓扑结构和硬件设备的部署情况，在此基础上明确信息系统的边界，即确定定级对象及其范围。a)识别信息系统的业务种类和特性了解机构内主要依靠信息系统处理的业务种类和数量，这些业务各自的社会属性、业务内容和业务流程等，