计算机信息系统安全等级保护

适用于一般的信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益。适用于一般的信息系统，其受到破坏后，会对社会秩序和公共利益造成轻微损害，但不损害国家安全。适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成损害。适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害。等级保护案例简介背景简介 佛山市南海区是我国电子政务发展最早的地区之一，被国务院办公厅确定为“国家电子政务试点示范工程”基地。南海电子政务应用系统的建设覆盖了全区各级政府部门，许多部门通过电子政务平台实现数据共享和数据交换，如何确保在保障信息安全的基础上，进一步实现电子政务系统之间的互连互通是进行等级保护工作的重要内容，因此选择南海区做为电子政务系统试点，有着重要的意义。项目内容系统调查与评估系统调查与评估南海等级化服务项目南海等级化服务项目分域保护框架分域保护框架建设对象建设对象 资产调查资产调查总体安全建议总体安全建议 电子政务电子政务系统等级划分系统等级划分 建议方案和建议方案和管理规范管理规范应用与业务调查应用与业务调查定级规范定级规范调查系统定级调查系统定级分域设计分域设计网络调整方案网络调整方案安全组织安全组织管理办法管理办法系统风险和安全系统风险和安全措施调查措施调查评估加固方案评估加固方案体系和规划建议体系和规划建议项目报告项目报告项目成果南海电子政务分域保护对象框架项目成果电子政务系统等级划分大社保系统平台序号系统名称三性安全等级系统安全等级保密性等级完整性等级可用性等级1南海区社会保险管理信息系统33332南海区民政局业务系统22223南海区社会保障（市民）卡业务系统22224大社保平台数据中心系统23235南海区社会保险公共服务系统2222项目成果电子政务系统等级划分序号系统名称三性安全等级系统安全等级保密性等级完整性等级可用性等级1南海区基金收费非税收入系统23232南海区会计结算中心业务系统23233狮山镇财务结算中心系统22224南海区统计局基层统计系统2222实施的解决方案的内容项目成果总体安全建议等级保护案例简介等级化安全体系解决方案设计流程保护对象保护对象v公司公司v部门部门v系统系统v计算区域计算区域v网络基础设施网络基础设施v边界边界v核心服务器区域核心服务器区域v终端接入区域终端接入区域v第三方接入区域第三方接入区域安全目标安全目标v公司安全目标公司安全目标v部门安全建设目标部门安全建设目标v系统安全建设目标系统安全建设目标安全要求安全要求v机密性机密性v完整性完整性v可用性可用性v安全组织安全组织v安全策略安全策略v安全运作安全运作v安全技术安全技术安全措施安全措施v策略策略v解决方案解决方案项目内容安全评估与等级划分公司安全体系设计公司等级化安全体系设计安全组织体系安全运作体系安全规划安全技术体系安全策略试点工作3年安全规划公司全面深度安全评估公司全面深度安全评估网管系统安全域划分及原则规范网管系统等级划分及原则规范成果安全工作总体思路1.1.公司安全的使命和目标公司安全的使命和目标-得到安全目标得到安全目标我们的方向是什么？我们的方向是什么？3.3.安全现状安全现状4.4.关键举措和重点工作关键举措和重点工作-得到总体框架和轮廓得到总体框架和轮廓我们做什么？做成什么样子？我们做什么？做成什么样子？-得到工作计划和实施规划得到工作计划和实施规划我们怎么做我们怎么做？2.2.安全体系总体框架安全体系总体框架5.5.实施策略选择实施策略选择6.6.工作计划工作计划7.7.建设实施建设实施8.8.安全运营和持续改进安全运营和持续改进现在，我们开始做现在，我们开始做项目成果安全域划分（一期）项目成果安全域划分（二期）项目成果等级化安全体系的实现安全支撑系统和基础设施第三方统一安全接入平台安全研究与测试实验室第三方统一安全接入平台全程全网监控和审计平台统一鉴别认证平台终端管理和防病毒集中管理平台第三方统一安全接入平台全程全网监控和审计平台统一身份鉴别认证平台终端管理和防病毒集中管理平台安全管理运行中心全网安全域划分与边界整合网络安全性调整和改造安全体系核查与改造项目技术体系安全组织体系和岗位职责安全培训与资质认证组织体系安全策略体系和流程梳理安全策略与流程推广实施策略体系体系推广与常年安全咨询运作体系常年安全外包服务保护对象框架项目成果安全组织体系主管领导（主管安全）领导小组组长信息安全领导小组业务部门负责人成员安全部门负责人工作组组长管理部门负责人成员部门安全管理员成员部门安全管理员成员安全办公室负责人负责人安全管理员安全技术员信息安全工作组信息安全办公室项目成果安全策略体系信息安全方针管理规定工作流程安全组织人员职责技术规范信息安全体系公司层面部门安全工作管理办法部门安全组织人员职责部门层面工作表单运行维护计划应急响应计划系统层面项目成果技术体系安全措施安全要求策略体系技术体系运作体系组织体系公司部门系统公司部门系统安全目标防病毒防病毒监控监控审计审计认证认证第三方第三方统一接入统一接入安全域安全域公司层面公司层面访问访问控制控制访问访问控制控制访问访问控制控制主机主机安全安全边界边界隔离隔离数据库数据库安全安全应用应用安全安全安全域安全域边界边界隔离隔离系统层面系统层面项目成果安全运行体系安全目标要求安全目标要求PLAN：安全目标要求安全目标要求安全现状安全现状 安全计划（建设；维护安全计划（建设；维护）Do：安全项目建设安全项目建设安全维护作业安全维护作业1、更新资产补丁拓扑服务等状态2、安全事件通报.3、安全加固4、更新安全现状和安全目标要求差距5、其他.Check：日常安全检查日常安全检查周期性安全评估1、检查安全目标要求的完成状态2、评估安全状况（资产状态；弱点状态），3、安全现状是否符合可控安全环境Action：调整安全目标要求调整安全目标要求规划安全项目绩效考核各部门、安全管理员项目成果建设规划安全组织体系和岗位职责安全培训与资质认证安全策略体系和流程梳理安全研究与测试实验室第三方统一安全接入平台全程全网监控和审计平台统一鉴别认证平台终端管理和防病毒集中管理平台全网安全域划分与边界整合安全管理运行中心安全策略与流程推广实施常年安全咨询与外包服务网络安全性调整和改造安全体系核查与改造项目技术体系建设组织体系建设策略体系建设运作体系建设安全规划安全调查与风险评估保护对象框架设计定级等级化安全体系设计方案设计等级评测材料准备和等级认证一个评估和定级项目一个体系和规划项目系列集成建设项目，3年系列咨询和外包项目，3年定级阶段规划阶段实施阶段评审验收体系推广与常年安全咨询6月7月8月9月10月11月05年安全培训12月06年安全培训周期性安全评估第三方接入平台6件事-维护专网帐户口令6件事-补丁管理检查6件事-安全预警技术和组织方案6件事-生产终端集中管理6件事-服务与端口管理公司安全办公室6月7月8月9月10月11月体系-组织12月6件事-安全域划分6件事-补丁更新6件事-安全预警6件事-生产终端集中管理6件事-服务与端口管理体系-策略周期性安全评估第三方接入平台建设、实施6件事-安全域建设和实施6件事-生产终端集中管理建设和实施6件事-服务与端口管理建设和实施3项罪行在刑法第285287条有相应的阐述关于计算机犯罪事件（1）及时报告（2）不对系统做任何操作，保留现场证据（3）公安部相关技术人员操作 利用专有工具先做一份内存镜像 硬盘整块镜像，原始硬盘保存，对镜像盘进行取证分析 保管过程要严格管理