网络安全防护技术支持服务项目等保定级Word下载.docx

网络安全防护技术支持服务项目等保定级Word下载.docx

《网络安全防护技术支持服务项目等保定级Word下载.docx》由会员分享，可在线阅读，更多相关《网络安全防护技术支持服务项目等保定级Word下载.docx（137页珍藏版）》请在冰豆网上搜索。

了解信息系统的物理环境、网络拓扑结构和硬件设备的部署情况，在此根底上

明确信息系统的边界，即确定定级对象及其范围。

d）识别信息系统的业务种类和特性

了解机构内主要依靠信息系统处理的业务种类和数量，这些业务各自的社会属

性、业务内容和业务流程等，从中明确支持机构业务运营的信息系统的业务特性，

将承载比拟单一的业务应用或者承载相对独立的业务应用的信息系统作为单独的定

级对象。

e）识别业务系统处理的信息资产

了解业务系统处理的信息资产的类型，这些信息资产在保密性、完整性和可用

性等方面的重要性程度。

f）识别用户范围和用户类型

根据用户或用户群的分布范围了解业务系统的效劳范围、作用以及业务连续性

方面的要求等。

g）信息系统描述

对收集的信息进行整理、分析，形成对信息系统的总体描述文件。

一个典型的

信息系统的总体描述文件应包含以下内容:

1〕系统概述；

2）系统边界描述；

3）网络拓扑；

4）设备部署；

5）支撑的业务应用的种类和特性；

6）处理的信息资产；

7）用户的范围和用户类型；

8）信息系统的管理框架。

活动输出：

信息系统总体描述文件。

7.1.1.2.2.2信息系统划分

本活动的目标是依据信息系统的总体描述文件，在综合分析的根底上将组织机

构内运行的信息系统进行合理分解，确定所包含可以作为定级对象的信息系统的个

数。

信息系统总体描述文件。

a）划分方法的选择

一个组织机构可能运行一个大型信息系统，为了突出重点保护的等级保护原那么，

应对大型信息系统进行划分，进行信息系统划分的方法可以有多种，可以考虑管理

机构、业务类型、物理位置等因素，信息系统的运营、使用单位应该根据本单位的

具体情况确定一个系统的分解原那么。

b）信息系统划分

依据选择的系统划分原那么，将一个组织机构内拥有的大型信息系统进行划分，

划分出相对独立的信息系统并作为定级对象，应保证每个相对独立的信息系统具备

定级对象的根本特征。

在信息系统划分的过程中，应该首先考虑组织管理的要素，

然后考虑业务类型、物理区域等要素。

c）信息系统详细描述

在对信息系统进行划分并确定定级对象后，应在信息系统总体描述文件的根底

上，进一步增加信息系统划分信息的描述，准确描述一个大型信息系统中包括的定级对象的个数。

进一步的信息系统详细描述文件应包含以下内容：

1）相对独立信息系统列表；

2）每个定级对象的概述；

3）每个定级对象的边界；

4）每个定级对象的设备部署；

5）每个定级对象支撑的业务应用及其处理的信息资产类型；

6）每个定级对象的效劳范围和用户类型；

7）其他内容。

信息系统详细描述文件。

7.1.1.2.3平安保护等级确定

7.1.1.2.3.1定级、审核和批准

本活动的目标是按照国家有关管理标准和GB/TAAAA-AAAA，确定信息系统

的平安保护等级，并对定级结果进行审核和批准，保证定级结果的准确性。

信息系统主管部门，信息系统运营、使用单位，信息平安效劳机构。

信息系统总体描述文件，信息系统详细描述文件。

a）信息系统平安保护等级初步确定

根据国家有关管理标准和GB/TAAAA-AAAA确定的定级方法，信息系统运

营、使用单位对每个定级对象确定初步的平安保护等级。

b）定级结果审核和批准

信息系统运营、使用单位初步确定了平安保护等级后，有主管部门的，应当经

主管部门审核批准。

跨省或者全国统一联网运行的信息系统可以由主管部门统一确

定平安保护等级。

对拟确定为第四级以上信息系统的，运营使用单位或者主管部门

应当邀请国家信息平安保护等级专家评审委员会评审。

信息系统定级评审意见。

7.1.1.2.3.2形成定级报告

本活动的目标是对定级过程中产生的文档进行整理，形成信息系统定级结果报

告。

信息系统主管部门，信息系统运营、使用单位。

信息系统总体描述文件，信息系统详细描述文件，信息系统定级结

果。

对信息系统的总体描述文档、信息系统的详细描述文件、信息系统平安保护等级确定结果等内容进行整理，形成文件化的信息系统定级结果报告。

信息系统定级结果报告可以包含以下内容：

a）单位信息化现状概述；

b）管理模式；

c）信息系统列表；

d）每个信息系统的概述；

e）每个信息系统的边界；

f）每个信息系统的设备部署；

g）每个信息系统支撑的业务应用；

h）信息系统列表、平安保护等级以及保护要求组合；

i）其他内容。

信息系统平安保护等级定级报告。

总体平安规划

7.1.1.3.1总体平安规划阶段的工作流程

总体平安规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、

信息系统承载业务情况，通过分析明确信息系统平安需求，设计合理的、满足等级

保护要求的总体平安方案，并制定出平安实施方案，以指导后续的信息系统平安建

设工程实施。

对于已运营〔运行〕的信息系统，需求分析应当首先分析判断信息系

统的平安保护现状与等级保护要求之间的差距。

总体平安规划阶段的工作流程见图3。

7.1.1.3.2平安需求分析

7.1.1.3.2.1根本平安需求确实定

本活动的目标是根据信息系统的平安保护等级，判断信息系统现有的平安保护

水平与国家等级保护管理标准和技术标准之间的差距，提出信息系统的根本平安保

护需求。

信息系统运营、使用单位，信息平安效劳机构，信息平安等级测评

机构。

信息系统详细描述文件，信息系统平安保护等级定级报告，信息系

统相关的其它文档，信息系统平安等级保护根本要求。

a）确定系统范围和分析对象

明确不同等级信息系统的范围和边界，通过调查或查阅资料的方式，了解信息

系统的构成，包括网络拓扑、业务应用、业务流程、设备信息、平安措施状况等。

初步确定每个等级信息系统的分析对象，包括整体对象，如机房、办公环境、网络

等，也包括具体对象，如边界设备、网关设备、效劳器设备、工作站、应用系统等。

b）形成评价指标和评估方案

根据各个信息系统的平安保护等级从信息系统平安等级保护根本要求中选择相

应等级的指标，形成评价指标。

根据评价指标，结合确定的具体对象制定可以操作

的评估方案，评估方案可以包含以下内容：

1）管理状况评估表格；

2）网络状况评估表格；

3）网络设备〔含平安设备〕评估表格；

4）主机设备评估表格；

5）主要设备平安测试方案；

6）重要操作的作业指导书。

c）现状与评价指标比照

通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透

攻击等方式进行平安技术和平安管理方面的评估，判断平安技术和平安管理的各个

方面与评价指标的符合程度，给出判断结论。

整理和分析不符合的评价指标，确定

信息系统平安保护的根本需求。

根本平安需求。

7.1.1.3.2.2额外/特殊平安需求确实定

本活动的目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应

等级保护根本要求的局部或具有特殊平安保护要求的局部，采用需求分析/风险分析的方法，确定可能的平安风险，判断对超出等级保护根本要求局部实施特殊平安措施的必要性，提出信息系统的特殊平安保护需求。

信息系统运营、使用单位，信息平安效劳机构。

信息系统详细描述文件，信息系统平安保护等级定级报告，信息系统相关的其它文档。

确定特殊平安需求可以采用目前成熟或流行的需求分析/风险分析方法，或者采用下面介绍的活动：

a）重要资产的分析

明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服

务器设备、重要应用系统等。

b）重要资产平安弱点评估

检查或判断上述重要部件可能存在的弱点，包括技术上和管理上的；

分析平安

弱点被利用的可能性。

c）重要资产面临威胁评估

分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，威

胁发生的可能性或概率。

d）综合风险分析

分析威胁利用弱点可能产生的结果，结果产生的可能性或概率，结果造成的损

害或影响的大小，以及防止上述结果产生的可能性、必要性和经济性。

按照重要资

产的排序和风险的排序确定平安保护的要求。

重要资产的特殊保护要求。

7.1.1.3.2.3形成平安需求分析报告

本活动的目标是总结根本平安需求和特殊平安需求，形成平安需求分析报告。

信息系统运营，使用单位，信息平安效劳机构。

信息系统详细描述文件，信息系统平安保护等级定级报告，根本安

全需求，重要资产的特殊保护要求。

a）完成平安需求分析报告

根据根本平安需求和特殊的平安保护需求等形成平安需求分析报告。

平安需求

分析报告可以包含以下内容：

1）信息系统描述；

2）平安管理状况；

3）平安技术状况；

4）存在的缺乏和可能的风险；

5）平安需求描述。

6）活动输出：

平安需求分析报告。

7.1.1.3.3总体平安设计

7.1.1.3.3.1总体平安策略设计

本活动的目标是形成机构纲领性的平安策略文件，包括确定平安方针，制定安

全策略，以便结合等级保护根本要求和平安保护特殊要求，构建机构信息系统的安

全技术体系结构和平安管理体系结构。

信息系统详细描述文件，信息系统平安保护等级定级报告，平安需

求分析报告。

活动描述：

a）确定平安方针

形成机构最高层次的平安方针文件，说明平安工作的使命和意愿，定义信息安

全的总体目标，规定信息平安责任机构和职责，建立平安工作运行模式等。

b）制定平安策略

形成机构高层次的平安策略文件，说明平安工作的主要策略，包括平安组织机

构划分策略、业务系统分级策略、数据信息分级策略、子系统互连策略、信息流控

制策略等。

总体平安策略文件。

7.1.1.3.3.2平安技术体系结构设计

本活动的目标是根据信息系统平安等级保护根本要求、平安需求分析报告、机

构总体平安策略文件等，提出系统需要实现的平安技术措施，形成机构特定的系统

平安技术体系结构，用以指导信息系统分等级保护的具体实现。

信息系统详细描述文件，信息系统平安保护等级定级报告，平安需

求分析报告，信息系统平安等级保护根本要求。

a）规定骨干网/城域网的平安保护技术措施

根据机构总体平安策略文件、等级保护根本要求和平安需求，提出骨干网/城域

网的平安保护策略

和平安技术措施。

骨干网/城域网的平安保护策略和平安技术措施提出时应考虑

网络线路和网络设备共享的情况，如果不同级别的子系统通过骨干网/城域网的同一

线路和设备传输数据，线路和设备的平安保护策略和平安技术措施应满足最高级别

子系统的等级保护根本要求。

b）规定子系统之间互联的平安技术措施

根据机构总体平安策略文件、等级保护根本要求和平安需求，提出跨局域网互

联的子系统之间的信息传输保护策略要求和具体的平安技术措施，包括同级互联的

策略、不同级别互联的策略等；

提出局域网内部互联的子系统之间的信息传输保护

策略要求和具体的平安技术措施，包括同级互联的策略、不同级别互联的策略等。

c）规定不同级别子系统的边界保护技术措施

根据机构总体平安策略文件、等级保护根本要求和平安需求，提出不同级别子

系统边界的平安保护策略和平安技术措施。

子系统边界平安保护策略和平安技术措

施提出时应考虑边界设备共享的情况，如果不同级别的子系统通过同一设备进行边

界保护，这个边界设备的平安保护策略和平安技术措施应满足最高级别子系统的等

级保护根本要求。

d）规定不同级别子系统内部系统平台和业务应用的平安保护技术措施

系统内部网络平台、系统平台和业务应用的平安保护策略和平安技术措施。

e）规定不同级别信息系统机房的平安保护技术措施

根据机构总体平安策略文件、等级保护根本要求和平安需求，提出不同级别信

息系统机房的平安保护策略和平安技术措施。

信息系统机房平安保护策略和平安技

术措施提出时应考虑不同级别的信息系统共享机房的情况，如果不同级别的信息系

统共享同一机房，机房的平安保护策略和平安技术措施应满足最高级别信息系统的

等级保护根本要求。

f）形成信息系统平安技术体系结构

将骨干网/城域网、通过骨干网/城域网的子系统互联、局域网内部的子系统互联、

子系统的边界、子系统内部各类平台、机房以及其他方面的平安保护策略和平安技

术措施进行整理、汇总，形成信息系统的平安技术体系结构。

信息系统平安技术体系结构。

7.1.1.3.3.3整体平安管理体系结构设计

本活动的目标是根据等级保护根本要求、平安需求分析报告、机构总体平安策

略文件等，调整原有管理模式和管理策略，既从全局高度考虑为每个等级信息系统

制定统一的平安管理策略，又从每个信息系统的实际需求出发，选择和调整具体的

平安管理措施，最后形成统一的整体平安管理体系结构。

a）规定信息平安的组织管理体系和对各信息系统的平安管理职责

根据机构总体平安策略文件、等级保护根本要求和平安需求，提出机构的平安

组织管理机构框架，分配各个级别信息系统的平安管理职责，规定各个级别信息系

统的平安管理策略等。

b）规定各等级信息系统的人员平安管理策略

根据机构总体平安策略文件、等级保护根本要求和平安需求，提出各个不同级

别信息系统的管理人员框架，分配各个级别信息系统的管理人员职责，规定各个级

别信息系统的人员平安管理策略等。

c）规定各等级信息系统机房及办公区等物理环境的平安管理策略

别信息系统的机房和办公环境的平安策略。

d）规定各等级信息系统介质、设备等的平安管理策略

别信息系统的介质、设备等的平安策略。

e）规定各等级信息系统运行平安管理策略

别信息系统的平安运行与维护框架和运维平安策略等。

f）规定各等级信息系统平安事件处置和应急管理策略

别信息系统的平安事件处置和应急管理策略等。

g）形成信息系统平安管理策略框架

将上述各个方面的平安管理策略进行整理、汇总，形成信息系统的整体平安管

理体系结构。

信息系统平安管理体系结构。

7.1.1.3.3.4设计结果文档化

本活动的目标是将总体平安设计工作的结果文档化，最后形成一套指导机构信息平安工作的指导性文件。

平安需求分析报告，信息系统平安技术体系结构，信息系统平安管理体系结构。

对平安需求分析报告、信息系统平安技术体系结构和平安管理体系结构等文档进行整理，形成信息系统总体平安方案。

信息系统总体平安方案包含以下内容：

信息系统概述；

总体平安策略；

c）信息系统平安技术体系结构；

d）信息系统平安管理体系结构。

信息系统平安总体方案。

7.1.1.3.4平安建设工程规划

7.1.1.3.4.1平安建设目标确定

本活动的目标是依据信息系统平安总体方案〔一个或多个文件构成〕、机构或单

位信息化建设的中长期开展规划和机构的平安建设资金状况确定各个时期的平安建

设目标。

信息系统平安总体方案、机构或单位信息化建设的中长期开展规划。

a）信息化建设中长期开展规划和平安需求调查

了解和调查单位信息化建设的现况、中长期信息化建设的目标、主管部门对信

息化的投入，比照信息化建设过程中阶段状态与平安策略规划之间的差距，分析急

迫和关键的平安问题，考虑可以同步进行的平安建设内容等。

b）提出信息系统平安建设分阶段目标

制定系统在规划期内〔一般平安规划期为3年〕所要实现的总体平安目标；

制

定系统短期〔1年以内〕要实现的平安目标，主要解决目前急迫和关键的问题，争

取在短期内平安状况有大幅度提高。

信息系统分阶段平安建设目标。

7.1.1.3.4.2平安建设内容规划

本活动的目标是根据平安建设目标和信息系统平安总体方案的要求，设计分期

分批的主要建设内容，并将建设内容组合成不同的工程，说明工程之间的依赖或促

进关系等。

信息系统平安总体方案，信息系统分阶段平安建设目标。

a〕确定主要平安建设内容

根据信息系统平安总体方案明确主要的平安建设内容，并将其适当的分解。

主

要建设内容可能分解但不限于以下内容：

1）平安根底设施建设；

2）网络平安建设；

3）系统平台和应用平台平安建设；

4）数据系统平安建设；

5）平安标准体系建设；

6）人才培养体系建设；

7）平安管理体系建设。

b〕确定主要平安建设工程

组合平安建设内容为不同的平安建设工程，描述工程所解决的主要平安问题及

所要到达的平安目标，对工程进行支持或依赖等相关性分析，对工程进行紧迫性分

析，对工程进行实施难易程度分析，对工程进行预期效果分析，描述工程的具体工

作内容、建设方案，形成平安建设工程列表。

平安建设工程列表〔含平安建设内容〕。

7.1.1.3.4.3形成平安建设工程方案

本活动的目标是根据建设目标和建设内容，在时间和经费上对平安建设工程列表进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形成平安建设工程方案。

信息系统平安总体方案，信息系统分阶段平安建设目标，平安建设内容等。

对信息系统分阶段平安建设目标、平安总体方案和平安建设内容等文档进行整理，形成信息系统平安建设工程方案。

平安建设工程方案可包含以下内容：

a）规划建设的依据和原那么；

b）规划建设的目标和范围；

c）信息系统平安现状；

d）信息化的中长期开展规划；

e）信息系统平安建设的总体框架；

f）平安技术体系建设规划；

g）平安管理与平安保障体系建设规划；

h）平安建设投资估算；

i）信息系统平安建设的实施保障等内容。

信息系统平安建设工程方案。

平安设计与实施

7.1.1.4.1平安设计与实施阶段的工作流程

平安设计与实施阶段的目标是按照信息系统平安总体方案的要求，结合信息系

统平安建设工程方案，分期分步落实平安措施。

平安设计与实施阶段的工作流程见

图4。

7.1.1.4.2平安方案详细设计

7.1.1.4.2.1技术措施实现内容设计

本活动的目标是根据建设目标和建设内容将信息系统平安总体方案中要求实现

的平安策略、平安技术体系结构、平安措施和要求落实到产品功能或物理形态上，

提出能够实现的产品或组件及其具体标准，并将产品功能特征整理成文档。

使得在信息平安产品采购和平安控制开发阶段具有依据。

信息系统运营、使用单位，信息平安效劳机构，信息平安产品供给

商。

信息系统平安总体方案，信息系统平安建设工程方案，各类信息技术产品和信息平安产品技术白皮书。

a）结构框架设计

依据本次实施工程的建设内容和信息系统的实际情况，给出与总体平安规划阶

段的平安体系结构一致的平安实现技术框架，内容可能包括平安防护的层次、信息

平安产品的使用、网络子系统划分、IP地址规划其他内容。

b）功能要求设计

对平安实现技术框架中使用到的相关信息平安产品，如防火墙、