等级保护-定级

《等级保护-定级》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、等级定义第一级信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第二级信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级信息系统受到破坏后，会对国家安全造成特别严重损害。1定级原理1.1信息系统安全保护等级定义

2、信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体对客体造成侵害的程度。1定级原理1.2定级要素等级保护对象受到破坏时所侵害的客体包括以下三个方面：公民、法人和其他组织的合法权益；社会秩序、公共利益；国家安全。1定级原理1.2定级要素1.2.1受侵害的客体对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。等级保护对象受到破坏后对客体造成侵害的程度归

3、结为以下三种：造成一般损害；造成严重损害；造成特别严重损害。1定级原理1.2定级要素1.2.1对客体的侵害程度1定级原理1.3定级要素与等级关系定级要素与信息系统安全保护等级的关系如表1所示。受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级表1定级要素与安全保护等级的关系2定级方法2.1定级的一般流程信息系统安全包括业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，

4、信息系统定级也应由业务信息安全和系统服务安全两方面确定。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。2定级方法2.1定级的一般流程3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全等级4、业务信息安全等级8、定级对象的安全保护等级依据表2依据表31、确定定级对象2定级方法2.2确定定级对象具有信息系统的基本要素作为定级

5、对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象。2定级方法2.2确定定级对象承载单一或相对独立的业务应用定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。2定级方法2.5确定客体

6、受侵害的程度根据业务信息安全被破坏时所侵害的客体以及对相应客体的侵害程度，依据表2业务信息安全保护等级矩阵表，即可得到业务信息安全保护等级。业务信息安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级2定级方法2.5确定客体受侵害的程度结论：作为定级对象的信息系统的安全保护等级由业务信息安全保护等级和系统服务安全保护等级的较高者决定。3等级变更在信息系统的运行过程中，安全保护等级应随着

7、信息系统所处理的信息和业务状态的变化进行适当的变更，尤其是当状态变化可能导致业务信息安全或系统服务受到破坏后的受侵害客体和对客体的侵害程度有较大的变化，可能影响到系统的安全保护等级时，应根据标准给出的定级方法重新定级。第三级以上信息系统应当同时提供以下材料：系统拓扑结构及说明；系统安全组织机构和管理制度；系统安全保护设施设计实施方案或者改建实施方案；系统使用的信息安全产品清单及其认证、销售许可证明；测评后符合系统安全保护等级的技术检测评估报告；信息系统安全保护等级专家评审意见；主管部门审核批准信息系统安全保护等级

8、的意见。4备案管理备案材料受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查，应当会同其主管部门进行。4备案管理检查关于检查和整改等内容不是本节讨论范围4备案管理要求完成信息系统安全等级保护定级报告，应于2008年