信息安全等级保护操作的指南和操作流程图Word下载.docx
《信息安全等级保护操作的指南和操作流程图Word下载.docx》由会员分享，可在线阅读，更多相关《信息安全等级保护操作的指南和操作流程图Word下载.docx（39页珍藏版）》请在冰点文库上搜索。
业务信息分析
系统服务分析
综合分析
确定等级
协助评审审批
形成最终报告
∙协助定级备案
图
1-1
信息系统定级工作流程
1.3.1
信息系统调查是通过一系列的信息系统情况调查表对信息系统基
本情况进行摸底调查，全面掌握信息系统的数量、分布、业务类型、
应用、服务范围、系统结构、管理组织和管理方式等基本情况。
同
时，通过信息系统调查还可以明确信息系统存在的资产价值、威胁
等级、风险等级以及可能造成的影响客体、影响范围等基本情况。
信息系统调查结果将作为信息系统安全等级保护定级工作的主要
依据，保证定级结果的客观、合理和准确。
1.3.1.1
调查工具表
通常，信息系统调查工具表包括系统资产调查表、系统应用调查
表、和管理信息调查表等。
●
系统资产调查表
用于调查信息系统的基本情况，主要包括主机、网络设备、人员、
人员、服务等信息。
在调查过程中，可以得到系统资产的基本信息、
主要用途、重要程度、服务对象等相关信息。
系统应用调查表
用于明确系统应用的基本状况。
明确各个系统应用的拓扑信息、
边界信息、应用架构、数据流等基本情况，为确定和分析定级对象
提供详细信息。
管理信息调查表
用于明确信息系统的组织结构、隶属关系等管理信息。
1.3.1.2
调查方法
信息系统调查的实施包括信息收集、访谈和核查三个步骤。
信息收集
协助信息系统使用管理单位完成系统资产调查表填写工作，同时
收集信息系统所涉及的一系列
访谈
核查
对调查表中的信息进行验证的过程，验证包括检查和测试等方式。
1.3.2
一个单位可能运行了比较庞大的信息系统，为了重点保护重要部
分，有效控制信息安全建设和管理成本，优化信息安全资源配置等
保护原则，可将较大的信息系统划分为若干个较小的、相对独立的、
具有不同安全保护等级的定级对象。
这样，可以保证信息系统安全
建设能够突出重点、兼顾一般。
1.3.2.1
基本原则
如果信息系统只承载一项业务，可以直接为该信息系统确定等级，
不必划分业务子系统。
如果信息系统承载多项业务，应根据各项业务的性质和特点，将
信息系统分成若干业务子系统，分别为各业务子系统确定安全保护
等级，信息系统的安全保护等级由各业务子系统的最高等级决定。
信息系统是进行等级确定和等级保护管理的最终对象。
主要划分原
则有：
一、具有唯一确定的安全责任单位
作为定级对象的信息系统应能够唯一地确定其安全责任单位。
如
果一个单位的某个下级单位负责信息系统安全建设、运行维护等过
程的全部安全责任，则这个下级单位可以成为信息系统的安全责任
单位；
如果一个单位中的不同下级单位分别承担信息系统不同方面
的安全责任，则该信息系统的安全责任单位应是这些下级单位共同
所属的单位。
二、具有信息系统的基本要素
作为定级对象的信息系统应该是由相关的和配套的设备、设施按
照一定的应用目标和规则组合而成的有形实体。
应避免将某个单一
的系统组件，如服务器、终端、网络设备等作为定级对象。
三、承载单一或相对独立的业务应用
定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，
且与其他业务应用没有数据交换，且独享所有信息处理设备。
定级
对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独
立，同时与其他业务应用有少量的数据交换，定级对象可能会与其
他业务应用共享一些设备，尤其是网络传输设备。
1.3.2.2
信息系统的划分方法
一个组织机构内可能运行一个或多个信息系统，这些信息系统的
安全保护等级可以是相同的，也可以是不同的。
为体现重点保护重
要信息系统安全，有效控制信息安全建设成本，优化信息安全资源
配置的等级保护原则，在进行信息系统的划分时应考虑以下几个方
面：
一、相同的管理机构
信息系统内的各业务子系统在同一个管理机构的管理控制之下，
可以保证遵循相同的安全管理策略。
二、相同的业务类型
信息系统内的各业务子系统具有相同的业务类型，安全需求相近，
可以保证遵循相同的安全策略。
三、相同的物理位置或相似的运行环境
信息系统内的各业务子系统具有相同的物理位置或相似的运行环
境意味着系统所面临的威胁相似，有利于采取统一的安全保护。
1.3.3
通过针对定级对象分别进行业务信息安全分析和系统服务安全分
析，最终确定信息系统安全等级保护系统等级。
在进行业务信息安全分析和系统服务安全分析时，充分考虑行业
特点、业务应用特点等因素，细化受侵害客体组成及损害程度判定
要素，从而确保信息系统定级的合理准确。
1.3.3.1
定级流程
根据定级流程，在定级要素分析时需对业务信息安全等级和系统
服务安全等级进行分析，分析内容包括确定受侵害的客体、确定对
客体的侵害程度，从而确定相应的业务信息安全等级和系统服务安
全等级。
最后，综合业务信息安全等级和系统服务安全等级得到信
息系统安全等级保护系统等级。
1.3.3.2
确定受侵害客体
定级对象收到破坏时所侵害的客体包括国家安全、社会秩序、公
众利益及公民、法人和其他组织的合法权益。
国家安全
⏹
影响国家政权稳固和国防实力；
影响国家统一、民族团结和社会安定；
影响国家对外活动中的政治、经济利益；
影响国家重要的安全保卫工作；
影响国家经济竞争力和科技实力；
其他影响国家安全的事项。
社会秩序
影响国家机关社会管理和公共服务的工作秩序；
影响各种类型的经济活动秩序；
影响各行业的科研、生产秩序；
影响公众在法律约束和道德规范下的正常生活秩序等；
其他影响社会秩序的事项。
公共利益
影响社会成员使用公共设施；
影响社会成员获取公开信息资源；
影响社会成员接受公共服务等方面；
其他影响公共利益的事项。
公民、法人和其他组织
由法律确认的并受法律保护的公民、法人和其他组织所享
有的一定的社会权利和利益。
确定作为定级对象的信息系统受到破坏后所侵害的客体时，应首
先判断是否侵害国家安全，然后判断是否侵害社会秩序或公众利益，
最后判断是否侵害公民、法人和其他组织的合法权益的关系，从而
确定信息和信息系统受到破坏时所侵害的客体。
1.3.3.3
确定对客体的损害程度
在针对不同的受侵害客体进行侵害程度的判断时，应参照以下的
判别基准。
如果受侵害客体是公民、法人或其他组织的合法权益，则以
本人或本单位的总体利益作为判断侵害程度的基准。
如果受侵害客体是社会秩序、公共利益或国家安全，则应以
整个行业或国家的总体利益作为判断侵害程度的基准。
不同危害后果的三种危害程度危害程度描述如下：
一般损害
工作职能受到局部影响，业务能力有所降低但不影响主要功
能的执行，出现较轻的法律问题，较低的财产损失，有限的社
会不良影响，对其他组织和个人造成较低损害。
严重损害
工作职能受到严重影响，业务能力显著下降且严重影响主要
功能执行，出现较严重的法律问题，较高的财产损失，较大范
围的社会不良影响，对其他组织和个人造成较严重损害。
受侵害的客体
对客体的侵害程度
特别严重损害
公民、法人和其他
组织的合法权益
第一级
第二级
社会秩序、公共利
益
第三级
第四级
第五级
表
定级要素与安全保护等级的关系
工作职能受到特别严重影响或丧失行使能力，业务能力严重
下降且或功能无法执行，出现极其严重的法律问题，极高的财
产损失，大范围的社会不良影响，对其他组织和个人造成非常
严重损害。
1.3.3.4
确定定级对象的安全保护等级
在确定完成受侵害客体以及对客体的侵害程度后，依据表
分别
确定业务信息安全等级和系统服务安全等级。
作为定级对象的信息
系统的安全保护等级由业务信息安全等级和系统服务安全等级的较
高者决定。
1.3.4
根据定级过程和定级结果，编写初步信息系统定级报告。
1.3.5
在完成初步定级报告后，协助信息系统管理使用单位进行评审与
审批，并最终确定定级报告，完成信息系统备案工作。
2
等级测试
2.1
工作内容
等级测评是信息安全等级保护实施中的一个重要环节。
等级测评
是指具有相关资质的、独立的第三方评测服务机构，对信息系统的
等级保护落实情况与信息安全等级保护相关标准要求之间的符合程
度的测试判定。
2.2
依据标准
《信息安全技术
信息系统通用安全技术要求》
网络基础安全技术要求》
操作系统安全技术要求》
数据库管理系统安全技术要求》
服务器技术要求》
终端计算机系统安全等级技术要求》
2.3
等级评测内容
2.3.1
基本内容
对信息系统安全等级保护状况进行测试评估，应包括两个方面的
内容：
一是安全控制测评，主要测评信息安全等级保护要求的基本
安全控制在信息系统中的实施配置情况；
二是系统整体测评，主要
测评分析信息系统的整体安全性。
其中，安全控制测评是信息系统
整体安全测评的基础。
对安全控制测评的描述，使用工作单元方式组织。
工作单元分为
安全技术测评和安全管理测评两大类。
安全技术测评包括：
物理安
全、网络安全、主机系统安全、应用安全和数据安全等五个层面上
的安全控制测评；
安全管理测评包括：
安全管理机构、安全管理制
度、人员安全管理、系统建设管理和系统运维管理等五个方面的安
全控制测评。
系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到
信息系统的具体安全功能实现和安全控制配置，与特定信息系统的
实际情况紧密相关，内容复杂且充满系统个性。
因此，全面地给出
系统整体测评要求的完整内容、具体实施方法和明确的结果判定方
法是很困难的。
测评人员应根据特定信息系统的具体情况，结合标
准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，
重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安
全控制间、层面间和区域间是否存在安全功能上的增强、补充和削
弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全
性等，等级测评基本内容如图
所示。
信息系统等级测评
安全控制测评系统整体测评
安全技术测评安全管理测评
安全控制间
层面间
区域间
物
理
安
全
网
络
主
机
安全
管理
机构
制度
不同信息系统之间整体安全性
整体结构安全
整体拓扑/局部结构
系
统
人员安全管理
应
用
数
据
系统
建设
运维
等级测评基本内容
2.3.2
等级测评工作单元
工作单元是安全测评的基本工作单位，对应一组相对独立和完整
的测评内容。
工作单元由测评项、测评对象、测评方式、测评实施
和结果判定组成，如图
示。
工作单元构成
测评项描述测评目的和测评内容，与信息安全等级保护要求的基
本安全控制要求相一致。
测评方式是指测评人员依据测评目的和测评内容应选取的、实施
特定测评操作的方式方法，包括三种基本测评方式：
访谈、检查和
测试。
测评对象是测评实施过程中涉及到的信息系统的构成成分，是客
观存在的人员、文档、机制或者设备等。
测评对象是根据该工作单
元中的测评项要求提出的，与测评项的要求相适应。
一般来说，实
施测评时，面临的具体测评对象可以是单个人员、文档、机制或者
设备等，也可能是由多个人员、文档、机制或者设备等构成的集合，
它们分别需要使用到某个特定安全控制的功能。
测评实施是工作单元的主要组成部分，它是依据测评目的，针对
具体测评内容开发出来的具体测评执行实施过程要求。
测评实施描
述测评过程中涉及到的具体测评方式、内容以及需要实现的和/或应
该取得的测评结果。
结果判定描述测评人员执行完测评实施过程，产生各种测评证据
后，如何依据这些测评证据来判定被测系统是否满足测评项要求的
方法和原则。
在给出整个工作单元的测评结论前，需要先给出单项
测评实施过程的结论。
一般来说，单项测评实施过程的结论判定不
是直接的，常常需要测评人员的主观判断，通常认为取得正确的、
关键性证据，该单项测评实施过程就得到满足。
某些安全控制可能
在多个具体测评对象上实现（如主机系统的身份鉴别），在测评时发
现只有部分测评对象上的安全控制满足要求，它们的结果判定应根
据实际情况给出。
2.4
测评方法
主要采用访谈、检查、测试等方法进行等级保护测评。
一、访谈（
interview）
测评人员通过与信息系统相关人员（个人/群体）进行交流、讨
论等活动，获取证据以证明信息系统安全等级保护措施是否有效的
一种方法。
使用各类调查问卷和访谈大纲实施访谈。
二、检查（examine）
不同于行政执法意义上的监督检查，而是指测评人员通过对测评
对象进行观察、查验、分析等活动，获取证据以证明信息系统安全
等级保护措施是否有效的一种方法。
可以使用各种检查表和相应的
安全调查工具实施检查。
三、测试（test）
测评人员通过对测评对象按照预定的方法/工具使其产生特定的
行为等活动，查看、分析输出结果，获取证据以证明信息系统安全
包括功能测试和渗透性测试、
系统漏洞扫描等。
渗透性测试：
等级测评的一个重要内容是对测试目标进行脆弱性
分析，探知产品或系统安全脆弱性的存在，其主要目的是确定测试
目标能够抵抗具有不同等级攻击潜能的攻击者发起的渗透性攻击。
因此，渗透性测试就是在测试目标预期使用环境下进行的测试，以
确定测试目标中潜在的脆弱性的可利用程度。
系统漏洞扫描：
要是利用扫描工具对系统进行自动检查，根据漏
洞库的描述对系统进行模拟攻击测试，如果系统被成功入侵，说明
存在漏洞。
主要分为网络漏洞扫描和主机漏洞扫描等方式。
2.5
等级测评工作流程
一、测评准备阶段
本阶段是开展现场测评工作的前提和基础，是整个等级测评过程
有效性的保证。
测评准备工作是否充分直接关系到现场测评工作能
否顺利开展。
本阶段的主要工作是掌握被测方系统的详细情况和为
实施现场测评做好方案、文档及测试工具等方面的准备。
二、现场实施阶段
本阶段是开展等级测评工作的关键阶段。
本阶段的主要工作是按
照测评方案的总体要求，严格执行作业指导书，分步实施所有测评
项目，包括单项测评和系统整体测评两个方面，以了解系统的真实
保护情况，获取足够证据，发现系统存在的安全问题。
三、分析与报告编制阶段
该阶段是等级测评工作的最后环节，是对被测方系统整体安全保
护能力的综合评价过程。
主要工作是根据现场测评结果和《测评准
则》的有关要求，通过单项测评结论判定和系统整体测评分析等方
法，分析整个系统的安全保护现状与相应等级的保护要求之间的差
距，编制测评报告。
等级测评基本流程如图
3
沟
通
与
洽
谈
测
评
准
备
阶
段
现
场
实
施
分
析
报
告
编
制
等级测评项目启动
信息收集和分析
编制测评方案
工具和文档准备
方案确认和资源协调
现场测评和记录结果
结果确认和资料归还
分析测评结果
形成等级评测结论
编制测评报告
说明：
图中虚线框中的活动不是一个独立的活动或称，它贯穿等级
测评的各个阶段中,需要双方配合共同完成等级测评工作。
等级测评基本流程
2.6
系统整体测评
首先测评人员应根据特定信息系统的具体情况，结合标准要求，
确定系统整体测评的具体内容。
其次在安全控制测评的基础上，重
点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全
控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱
作用，最后才能得出测评结论。
2.6.1
安全控制间安全测评
安全控制间的安全测评主要考虑同一区域内、同一层面上的不同
安全控制间存在的功能增强、补充或削弱等关联作用。
安全功能上
的增强和补充可以使两个不同强度、不同等级的安全控制发挥更强
的综合效能，可以使单个低等级安全控制在特定环境中达到高等级
信息系统的安全要求。
安全功能上的削弱会使一个安全控制的引入
影响另一个安全控制的功能发挥或者给其带来新的脆弱性。
例如，
某金融机构的核心系统，它的访问路径未采用
SSL
加密设置，容易
导致数据被嗅探和非法篡改，但核心系统采用
加速器对网络上
数据传输进行加密，可以有效保护网络数据传输的安全。
所以，在
进行测评综合判定时，该测评项就可以判为通过。
2.6.2
层面间安全测评
层面间的安全测评主要考虑同一区域内的不同层面之间存在的功
能增强、补充和削弱等关联作用。
安全功能上的增强和补充可以使
两个不同层面上的安全控制发挥更强的综合效能，可以使单个低等
级安全控制在特定环境中达到高等级信息系统的安全要求。
安全功
能上的削弱会使一个层面上的安全控制影响另一个层面安全控制的
功能发挥或者给其带来新的脆弱性。
例如，某金融机构，它的网络
核心设备对内部的访问控制存在不足，安全风险主要来自内部人员
的误用、滥用和恶用，但是它的教育、管理和考核制度都比较完善，
对内部员工要求也比较严格，所以在一定程度上降低了这种来自内
部的风险，对网络访问控制进行了相应的补充和增强。
2.6.3
区域间安全测评
区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互
连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关
联作用，特别是有数据交换的两个不同区域。
安全功能上的增强和
补充可以使两个不同区域上的安全控制发挥更强的综合效能，可以
使单个低等级安全控制在特定环境中达到高等级信息系统的安全要
求。
安全功能上的削弱会使一个区域上的安全功能影响另一个区域
安全功能的发挥或者给其带来新的脆弱性。
例如，某金融机构的核
心数据机房位于中心机房内部，它只有一个出入口，该出入口在中
心机房内。
因此，在中心机房的出入口上安排
24
小时专人值守等措
施，可以解决核心数据机房区域上的物理访问控制等相应措施的安
全功能，使其达到该区域物理安全所要求的安全保护强度。
全面认识和正确实施信息安全等级保护
3.1
全面认识信息安全等级保护
信息安全等级保护信息安全等级保护的各项工作是围绕对信息系
统的安全等级保护开展的。
全面认识信息安全等级保护，需要确立
以下基本观点：
1）
整体看，信息安全等级保护是制度；
分开看，信息安全是目
的，等级保护是方法；
2）
对信息安全划分等级是管理的需要；
3）
信息安全是围绕信息系统安全开展的一系列工作的总称；
4）
风险等级、需求等级、安全保护等级、安全技术等级和安全
管理等级是信息系统安全等级保护对等级划分的全面反映；
5）
安全系统等级与安全技术等级和安全管理等级既相互关联又
各有其不同的含义；
6）
安全管理是信息安全的生命线。
整体看，“信息安全等级保护”是制度；
分开看，“信息安全是目
的，等级保护是方法”，这一基本认识明确定位了信息安全等级保护
的重要位置以及信息安全与等级保护之间的关系。
用分等级保护的
方法实现国家信息安全的总体目标，既是一项制度，也是一种方法。
其基本思想是：
重点保护和适度保护。
进一步理解可以包括以下含
义：
方法是可选的，不是唯一的；
但制度一经确定就是不可改变的；
等级的划分可以是多种多样的，但作为要具体执行的制度，就应有
确定的等级划分；
对已经确定的等级划分，如果没有发现其不可执
行的缺陷，就不要轻易改变。
“对信息安全划分等级是管理的需要”，这一基本认识表明：
等级保护是从便于管理的角度对实现信息安全的考虑。
其实，等级
化
升级会员 