信息安全技术信息系统安全等级保护实施指南.docx
《信息安全技术信息系统安全等级保护实施指南.docx》由会员分享，可在线阅读，更多相关《信息安全技术信息系统安全等级保护实施指南.docx（44页珍藏版）》请在冰豆网上搜索。
信息安全技术信息系统安全等级保护实施指南
信息安全技术-信息系统安全等级保护实施指南
信息安全技术信息系统安全等级保护实施指南
前 言
本标准的附录A是规范性附录。
本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：
公安部信息安全等级保护评估中心。
本标准主要起草人：
毕马宁、马力、陈雪秀、李明、朱建平、任卫红、谢朝海、曲洁、袁静、李升、刘静、罗峥。
引言
依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：
——GB/TAAAA-AAAA信息安全技术信息系统安全等级保护定级指南；
——GB/TBBBB-BBBB信息安全技术信息系统安全等级保护基本要求。
在对信息系统实施信息安全等级保护的过程中，除使用本标准外，在不同的阶段，还应参照其他有关信息安全等级保护的标准开展工作。
在信息系统定级阶段，应按照GB/TAAAA-AAAA介绍的方法，确定信息系统安全保护等级。
在信息系统总体安全规划，安全设计与实施，安全运行与维护和信息系统终止等阶段，应按照GB17859-1999、GB/TBBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准，设计、建设符合信息安全等级保护要求的信息系统，开展信息系统的运行维护管理工作。
GB17859-1999、GB/TBBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准是信息系统安全等级保护的系列相关配套标准，其中GB17859-1999是基础性标准，GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等是对GB17859-1999的进一步细化和扩展，GB/TBBBB-BBBB是以GB17859-1999为基础，根据现有技术发展水平提出的对不同安全保护等级信息系统的最基本安全要求，是其他标准的一个底线子集。
对信息系统的安全等级保护应从GB/TBBBB-BBBB出发，在保证信息系统满足基本安全要求的基础上，逐步提高对信息系统的保护水平，最终满足GB17859-1999、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等标准的要求。
除本标准和上述提到的标准外，在信息系统安全等级保护实施过程中，还可参照和使用GB/T20272-2006和GB/T20273-2006等其它等级保护相关技术标准。
信息系统安全等级保护实施指南
1 范围
本标准规定了信息系统安全等级保护实施的过程，适用于指导信息系统安全等级保护的实施。
2 规范性引用文件
下列文件中的条款通过在本标准中的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T5271.8 信息技术词汇第8部分：
安全
GB17859-1999 计算机信息系统安全保护等级划分准则
GB/TAAAA-AAAA信息安全技术信息系统安全等级保护定级指南
3 术语和定义
GB/T5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1
等级测评classifiedsecuritytestingandevaluation
确定信息系统安全保护能力是否达到相应等级基本要求的过程。
4 等级保护实施概述
4.1 基本原则
信息系统安全等级保护的核心是对信息系统分等级、按标准进行建设、管理和监督。
信息系统安全等级保护实施过程中应遵循以下基本原则：
a） 自主保护原则
信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护。
b） 重点保护原则
根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。
c） 同步建设原则
信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。
d） 动态调整原则
要跟踪信息系统的变化情况，调整安全保护措施。
由于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整情况，重新实施安全保护。
4.2 角色和职责
信息系统安全等级保护实施过程中涉及的各类角色和职责如下：
a） 国家管理部门
公安机关负责信息安全等级保护工作的监督、检查、指导；国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导；国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导；涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理；国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
b） 信息系统主管部门
负责依照国家信息安全等级保护的管理规范和技术标准，督促、检查和指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
c） 信息系统运营、使用单位
负责依照国家信息安全等级保护的管理规范和技术标准，确定其信息系统的安全保护等级，有主管部门的，应当报其主管部门审核批准；根据已经确定的安全保护等级，到公安机关办理备案手续；按照国家信息安全等级保护管理规范和技术标准，进行信息系统安全保护的规划设计；使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品和信息安全产品，开展信息系统安全建设或者改建工作；制定、落实各项安全管理制度，定期对信息系统的安全状况、安全保护制度及措施的落实情况进行自查，选择符合国家相关规定的等级测评机构，定期进行等级测评；制定不同等级信息安全事件的响应、处置预案，对信息系统的信息安全事件分等级进行应急处置。
d） 信息安全服务机构
负责根据信息系统运营、使用单位的委托，依照国家信息安全等级保护的管理规范和技术标准，协助信息系统运营、使用单位完成等级保护的相关工作，包括确定其信息系统的安全保护等级、进行安全需求分析、安全总体规划、实施安全建设和安全改造等。
e） 信息安全等级测评机构
负责根据信息系统运营、使用单位的委托或根据国家管理部门的授权，协助信息系统运营、使用单位或国家管理部门，按照国家信息安全等级保护的管理规范和技术标准，对已经完成等级保护建设的信息系统进行等级测评；对信息安全产品供应商提供的信息安全产品进行安全测评。
f） 信息安全产品供应商
负责按照国家信息安全等级保护的管理规范和技术标准，开发符合等级保护相关要求的信息安全产品，接受安全测评；按照等级保护相关要求销售信息安全产品并提供相关服务。
4.3 实施的基本流程
在安全运行与维护阶段，信息系统因需求变化等原因导致局部调整，而系统的安全保护等级并未改变，应从安全运行与维护阶段进入安全设计与实施阶段，重新设计、调整和实施安全措施，确保满足等级保护的要求；但信息系统发生重大变更导致系统安全保护等级变化时，应从安全运行与维护阶段进入信息系统定级阶段，重新开始一轮信息安全等级保护的实施过程。
5 信息系统定级
5.1 信息系定级阶段的工作流程
信息系统定级阶段的目标是信息系统运营、使用单位按照国家有关管理规范和GB/T AAAA-AAAA，确定信息系统的安全保护等级，信息系统运营、使用单位有主管部门的，应当经主管部门审核批准。
5.2 信息系统分析
5.2.1 系统识别和描述
活动目标：
本活动的目标是通过从信息系统运营、使用单位相关人员处收集有关信息系统的信息，并对信息进行综合分析和整理，依据分析和整理的内容形成组织机构内信息系统的总体描述性文档。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统的立项、建设和管理文档。
对信息系统的总体描述文档、信息系统的详细描述文件、信息系统安全保护等级确定结果等内容进行整理，形成文件化的信息系统定级结果报告。
信息系统定级结果报告可以包含以下内容：
a） 单位信息化现状概述；
b） 管理模式；
c） 信息系统列表；
d） 每个信息系统的概述；
e） 每个信息系统的边界；
f） 每个信息系统的设备部署；
g） 每个信息系统支撑的业务应用；
h） 信息系统列表、安全保护等级以及保护要求组合；
i） 其他内容。
活动输出：
信息系统安全保护等级定级报告。
6 总体安全规划
6.1 总体安全规划阶段的工作流程
总体安全规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况，通过分析明确信息系统安全需求，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划，以指导后续的信息系统安全建设工程实施。
对于已运营（运行）的信息系统，需求分析应当首先分析判断信息系统的安全保护现状与等级保护要求之间的差距。
6.2 安全需求分析
6.2.1 基本安全需求的确定
活动目标：
本活动的目标是根据信息系统的安全保护等级，判断信息系统现有的安全保护水平与国家等级保护管理规范和技术标准之间的差距，提出信息系统的基本安全保护需求。
参与角色：
信息系统运营、使用单位，信息安全服务机构，信息安全等级测评机构。
活动输入：
信息系统详细描述文件，信息系统安全保护等级定级报告，信息系统相关的其它文档，信息系统安全等级保护基本要求。
活动描述：
本活动主要包括以下子活动内容：
a） 确定系统范围和分析对象
明确不同等级信息系统的范围和边界，通过调查或查阅资料的方式，了解信息系统的构成，包括网络拓扑、业务应用、业务流程、设备信息、安全措施状况等。
初步确定每个等级信息系统的分析对象，包括整体对象，如机房、办公环境、网络等，也包括具体对象，如边界设备、网关设备、服务器设备、工作站、应用系统等。
b） 形成评价指标和评估方案
根据各个信息系统的安全保护等级从信息系统安全等级保护基本要求中选择相应等级的指标，形成评价指标。
根据评价指标，结合确定的具体对象制定可以操作的评估方案，评估方案可以包含以下内容：
1） 管理状况评估表格；
2） 网络状况评估表格；
3） 网络设备（含安全设备）评估表格；
4） 主机设备评估表格；
5） 主要设备安全测试方案；
6） 重要操作的作业指导书。
c） 现状与评价指标对比
通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术和安全管理方面的评估，判断安全技术和安全管理的各个方面与评价指标的符合程度，给出判断结论。
整理和分析不符合的评价指标，确定信息系统安全保护的基本需求。
活动输出：
基本安全需求。
6.2.2 额外特殊安全需求的确定
活动目标：
本活动的目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护基本要求的部分或具有特殊安全保护要求的部分，采用需求分析/风险分析的方法，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的必要性，提出信息系统的特殊安全保护需求。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统详细描述文件，信息系统安全保护等级定级报告，信息系统相关的其它文档。
活动描述：
确定特殊安全需求可以采用目前成熟或流行的需求分析/风险分析方法，或者采用下面介绍的活动：
a） 重要资产的分析
明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。
b） 重要资产安全弱点评估
检查或判断上述重要部件可能存在的弱点，包括技术上和管理上的；分析安全弱点被利用的可能性。
c） 重要资产面临威胁评估
分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，威胁发生的可能性或概率。
d） 综合风险分析
分析威胁利用弱点可能产生的结果，结果产生的可能性或概率，结果造成的损害或影响的大小，以及避免上述结果产生的可能性、必要性和经济性。
按照重要资产的排序和风险的排序确定安全保护的要求。
活动输出：
重要资产的特殊保护要求。
6.2.3 形成安全需求分析报告
活动目标：
本活动的目标是总结基本安全需求和特殊安全需求，形成安全需求分析报告。
参与角色：
信息系统运营，使用单位，信息安全服务机构。
活动输入：
信息系统详细描述文件，信息系统安全保护等级定级报告，基本安全需求，重要资产的特殊保护要求。
活动描述：
本活动主要包括以下子活动内容：
a） 完成安全需求分析报告
根据基本安全需求和特殊的安全保护需求等形成安全需求分析报告。
安全需求分析报告可以包含以下内容：
1） 信息系统描述；
2） 安全管理状况；
3） 安全技术状况；
4） 存在的不足和可能的风险；
5） 安全需求描述。
活动输出：
安全需求分析报告。
6.3 总体安全设计
6.3.1 总体安全策略设计
活动目标：
本活动的目标是形成机构纲领性的安全策略文件，包括确定安全方针，制定安全策略，以便结合等级保护基本要求和安全保护特殊要求，构建机构信息系统的安全技术体系结构和安全管理体系结构。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统详细描述文件，信息系统安全保护等级定级报告，安全需求分析报告。
活动描述：
本活动主要包括以下子活动内容：
a） 确定安全方针
形成机构最高层次的安全方针文件，阐明安全工作的使命和意愿，定义信息安全的总体目标，规定信息安全责任机构和职责，建立安全工作运行模式等。
b） 制定安全策略
形成机构高层次的安全策略文件，说明安全工作的主要策略，包括安全组织机构划分策略、业务系统分级策略、数据信息分级策略、子系统互连策略、信息流控制策略等。
活动输出：
总体安全策略文件。
6.3.2 安全技术体系结构设计
活动目标：
本活动的目标是根据信息系统安全等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，提出系统需要实现的安全技术措施，形成机构特定的系统安全技术体系结构，用以指导信息系统分等级保护的具体实现。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统详细描述文件，信息系统安全保护等级定级报告，安全需求分析报告，信息系统安全等级保护基本要求。
活动描述：
本活动主要包括以下子活动内容：
a） 规定骨干网/城域网的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出骨干网/城域网的安全保护策略和安全技术措施。
骨干网/城域网的安全保护策略和安全技术措施提出时应考虑网络线路和网络设备共享的情况，如果不同级别的子系统通过骨干网/城域网的同一线路和设备传输数据，线路和设备的安全保护策略和安全技术措施应满足最高级别子系统的等级保护基本要求。
b） 规定子系统之间互联的安全技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出跨局域网互联的子系统之间的信息传输保护策略要求和具体的安全技术措施，包括同级互联的策略、不同级别互联的策略等；提出局域网内部互联的子系统之间的信息传输保护策略要求和具体的安全技术措施，包括同级互联的策略、不同级别互联的策略等。
c） 规定不同级别子系统的边界保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别子系统边界的安全保护策略和安全技术措施。
子系统边界安全保护策略和安全技术措施提出时应考虑边界设备共享的情况，如果不同级别的子系统通过同一设备进行边界保护，这个边界设备的安全保护策略和安全技术措施应满足最高级别子系统的等级保护基本要求。
d） 规定不同级别子系统内部系统平台和业务应用的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别子系统内部网络平台、系统平台和业务应用的安全保护策略和安全技术措施。
e） 规定不同级别信息系统机房的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别信息系统机房的安全保护策略和安全技术措施。
信息系统机房安全保护策略和安全技术措施提出时应考虑不同级别的信息系统共享机房的情况，如果不同级别的信息系统共享同一机房，机房的安全保护策略和安全技术措施应满足最高级别信息系统的等级保护基本要求。
f） 形成信息系统安全技术体系结构
将骨干网/城域网、通过骨干网/城域网的子系统互联、局域网内部的子系统互联、子系统的边界、子系统内部各类平台、机房以及其他方面的安全保护策略和安全技术措施进行整理、汇总，形成信息系统的安全技术体系结构。
活动输出：
信息系统安全技术体系结构。
6.3.3 整体安全管理体系结构设计
活动目标：
本活动的目标是根据等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，调整原有管理模式和管理策略，既从全局高度考虑为每个等级信息系统制定统一的安全管理策略，又从每个信息系统的实际需求出发，选择和调整具体的安全管理措施，最后形成统一的整体安全管理体系结构。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统详细描述文件，信息系统安全保护等级定级报告，安全需求分析报告，信息系统安全等级保护基本要求。
活动描述：
本活动主要包括以下子活动内容：
a） 规定信息安全的组织管理体系和对各信息系统的安全管理职责
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出机构的安全组织管理机构框架，分配各个级别信息系统的安全管理职责，规定各个级别信息系统的安全管理策略等。
b） 规定各等级信息系统的人员安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的管理人员框架，分配各个级别信息系统的管理人员职责，规定各个级别信息系统的人员安全管理策略等。
c） 规定各等级信息系统机房及办公区等物理环境的安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的机房和办公环境的安全策略。
d） 规定各等级信息系统介质、设备等的安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的介质、设备等的安全策略。
e） 规定各等级信息系统运行安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的安全运行与维护框架和运维安全策略等。
f） 规定各等级信息系统安全事件处置和应急管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的安全事件处置和应急管理策略等。
g） 形成信息系统安全管理策略框架
将上述各个方面的安全管理策略进行整理、汇总，形成信息系统的整体安全管理体系结构。
活动输出：
信息系统安全管理体系结构。
6.3.4 设计结果文档化
活动目标：
本活动的目标是将总体安全设计工作的结果文档化，最后形成一套指导机构信息安全工作的指导性文件。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
安全需求分析报告，信息系统安全技术体系结构，信息系统安全管理体系结构。
活动描述：
对安全需求分析报告、信息系统安全技术体系结构和安全管理体系结构等文档进行整理，形成信息系统总体安全方案。
信息系统总体安全方案包含以下内容：
a） 信息系统概述；
b） 总体安全策略；
c） 信息系统安全技术体系结构；
d） 信息系统安全管理体系结构。
活动输出：
信息系统安全总体方案。
6.4 安全建设项目规划
6.4.1 安全建设目标确定
活动目标：
本活动的目标是依据信息系统安全总体方案（一个或多个文件构成）、机构或单位信息化建设的中长期发展规划和机构的安全建设资金状况确定各个时期的安全建设目标。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统安全总体方案、机构或单位信息化建设的中长期发展规划。
活动描述：
本活动主要包括以下子活动内容：
a） 信息化建设中长期发展规划和安全需求调查
了解和调查单位信息化建设的现况、中长期信息化建设的目标、主管部门对信息化的投入，对比信息化建设过程中阶段状态与安全策略规划之间的差距，分析急迫和关键的安全问题，考虑可以同步进行的安全建设内容等。
b） 提出信息系统安全建设分阶段目标
制定系统在规划期内（一般安全规划期为3年）所要实现的总体安全目标；制定系统短期（1年以内）要实现的安全目标，主要解决目前急迫和关键的问题，争取在短期内安全状况有大幅度提高。
活动输出：
信息系统分阶段安全建设目标。
6.4.2 安全建设内容规划
活动目标：
本活动的目标是根据安全建设目标和信息系统安全总体方案的要求，设计分期分批的主要建设内容，并将建设内容组合成不同的项目，阐明项目之间的依赖或促进关系等。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统安全总体方案，信息系统分阶段安全建设目标。
活动描述：
本活动主要包括以下子活动内容：
a） 确定主要安全建设内容
根据信息系统安全总体方案明确主要的安全建设内容，并将其适当的分解。
主要建设内容可能分解但不限于以下内容：
1） 安全基础设施建设；
2） 网络安全建设；
3） 系统平台和应用平台安全建设；
4） 数据系统安全建设；
5） 安全标准体系建设；
6） 人才培养体系建设；
7） 安全管理体系建设。
b） 确定主要安全建设项目
组合安全建设内容为不同的安全建设项目，描述项目所解决的主要安全问题及所要达到的安全目标，对项目进行支持或依赖等相关性分析，对项目进行紧迫性分析，对项目进行实施难易程度分析，对项目进行预期效果分析，描述项目的具体工作内容、建设方案，形成安全建设项目列表。
活动输出：
安全建设项目列表（含安全建设内容）。
6.4.3 形成安全建设项目计划
活动目标：
本活动的目标是根据建设目标和建设内容，在时间和经费上对安全建设项目列表进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形成安全建设项目计划。
参与角色：
信息系统运营、使用单位，信息安全服务机构。
活动输入：
信息系统安全总体方案，信息系统分阶段安全建设目标，安全建设内容等。
活动描述：
对信息系统分阶段安全建设目标、安全总体方案和安全建设内容等文档进行整理，形成信息系统安全建设项目计划。
安全建设项目计划可包含以下内容：
a） 规划建设的依据和原则；
b） 规划建设的目标和范
升级会员 