高校信息系统安全等级保护

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,信息系统安全等级保护,概念、原理、方法、要求、实施,华南理工大学信息网络工程研究中心,罗晓奔,内容,安全等级保护概述,安全等级保护定级原理,安全等级保护定级方法,安全等级保护定级管理,安全等级保护技术和管理要求,高校安全等级保护实施探讨,内容,安全等级保护概述,目的、意义、职责分工、政策法规,安全等级保护定级原理,安全等级保护定级方法,安全等级保护定级管理,安全等级保护技术和管理要求,高校安全等级保护实施探讨,目的,规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设。,国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。,意义,有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；,有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；,有利于优化信息安全资源的配置，重点保障基础信息网络和重要信息系统的安全；,有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理；,有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。,定级范围,运营商和服务提供商,电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。,重要行业,铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、,教育,、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。,重要机关,市（地）级以上党政机关的重要网站和办公信息系统。,涉密系统,涉及国家秘密的信息系统。,职责分工,公安机关,负责信息安全等级保护工作的监督、检查、指导。,国家密码管理部门,负责等级保护工作中有关密码工作的监督、检查、指导。,其他相关部门,涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。,信息化领导机构,国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。,信息系统主管部门,依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的等级保护工作。,信息系统的运营、使用单位,应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。,政策法规,中华人民共和国计算机信息系统安全保护条例（国务院147号令）,国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号文件），中办、国办,关于信息安全等级保护工作的实施意见（公通字200466号文件）公安部、保密局、国密办以及国信办,信息系统安全等级保护基本要求（拟报标准GB/T?-?）,信息系统安全等级保护定级指南（拟报标准GB/T?-? ）,信息系统安全等级保护实施指南（拟报标准GB/T?-? ）,信息系统安全等级保护测评准则（拟报标准GB/T?-? ）,信息安全等级保护管理办法（公通字200743号文件），公安部、保密局、国密办以及国信办,关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号文件），公安部、保密局、国密办以及国信办,国家标准,信息技术 词汇 第8部分：安全（）,信息技术 计算机信息系统安全保护等级划分准则（GB17859-1999）,信息技术 信息技术安全性评估准则（GB/T 18336-2000）,信息技术 信息安全管理实用规则（ GB/T 19716-2005）,信息技术 信息系统通用安全技术要求（GB/T20271-2006）,信息技术 网络基础安全技术要求（GB/T20270-2006）,信息技术 操作系统安全技术要求（GB/T20272-2006）,信息技术 数据库管理系统安全技术要求（GB/T20273-2006）,信息技术 服务器技术要求 （GB/T?-?）,信息技术 终端计算机系统安全等级技术要求（GA/T671-2006）,信息技术 信息系统安全管理要求（GB/T20269-2006）,信息技术 信息系统安全工程管理要求（GB/T20282-2006）,内容,安全等级保护概述,安全等级保护定级原理,定级准则、等级划分、定级要素、定级要素与等级的关系,安全等级保护定级方法,安全等级保护定级管理,安全等级保护技术和管理要求,高校安全等级保护实施探讨,定级准则,坚持自主定级、自主保护的原则。,应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益（,受侵害客体,）的危害程度等因素确定。,等级划分,第一级,（自主保护级 ）,信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。,第二级,（指导保护级 ）,信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。,第三级,（监督保护级 ）,信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。,第四级,（强制保护级 ）,信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。,第五级,（专控保护级 ）,信息系统受到破坏后，会对国家安全造成特别严重损害。,第五级,第四级,第三级,第二级,定级监管部门,第一级,单位自主,公安部门,公安部门和国密部门,国密部门？,定级要素,受侵害的客体等级保护对象受到破坏时所侵害的客体包括以下三个方面：,公民、法人和其他组织的合法权益；,社会秩序、公共利益；,国家安全。,对客体的侵害程度对客体的侵害程度由客观方面的不同外在表现综合决定，表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。侵害程度归结为以下三种：,造成一般损害；,造成严重损害；,造成特别严重损害。,定级要素与等级的关系,受侵害的客体,对客体的侵害程度,一般损害,严重损害,特别严重损害,公民、法人和其他组织的合法权益,第一级,第二级,第二级,社会秩序、公共利益,第二级,第三级,第四级,国家安全,第三级,第四级,第五级,等级、定级要素、监管关系,等级,受侵害客体,侵害程度,监管强度,第一级,公民、法人和其他组织的合法权益,一般损害,自主保护,第二级,公民、法人和其他组织的合法权益,严重损害、特别严重损害,指导保护,社会秩序和公共利益,严重损害,第三级,社会秩序和公共利益,严重损害,监督保护,国家安全,一般损害,第四级,社会秩序和公共利益,特别严重损害,强制保护,国家安全,严重损害,第五级,国家安全,特别严重损害,专控保护,内容,安全等级保护概述,安全等级保护定级原理,安全等级保护定级方法,安全对象、定级流程、定级对象、受侵害的客体、对客体的危害后果、对客体的侵害程度、确定安全等级,安全等级保护定级管理,安全等级保护技术和管理要求,高校安全等级保护实施探讨,确定安全对象,业务信息安全保护等级,从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。,以业务为主题，如不同应用系统,系统服务安全保护等级,从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。,以服务为主题，如不同子网、数据中心,定级流程,3、综合评定对客体的侵害程度,2、确定业务信息安全受到破坏时所侵害的客体,6、综合评定对客体的侵害程度,5、确定系统服务安全受到破坏时所侵害的客体,7、系统服务安全等级,4、业务信息安全等级,8、定级对象的安全保护等级,依据表A,依据表B,1、确定定级对象,确定定级对象（流程1）,具有唯一确定的安全责任单位（一个单位）,这种定级对象是能够唯一地确定其安全责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。,具有信息系统的基本要素（一个系统）,这种定级对象是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象。,承载相对独立的业务应用（一种应用）,这种定级对象是指其业务应用的主要业务流程独立，同时与其他业务应用有一定的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。,确定受侵害的客体（流程2、5）,A-侵害国家安全,影响国家政权稳固和国防实力；影响国家统一、民族团结和社会安定；影响国家对外活动中的政治、经济利益；影响国家重要的安全保卫工作；其他影响国家安全的事项。,B1-侵害社会秩序,影响国家机关社会管理和公共服务的工作秩序；影响各种类型的经济活动秩序；影响各行业的科研、生产活动秩序；影响公众在法律约束和道德规范下的正常生活秩序等；其他影响社会秩序的事项。,B2-影响公共利益,影响社会成员使用公共设施；影响社会成员获取公开信息资源；影响社会成员接受公共服务等方面；其他影响公共利益的事项。,C-影响公民、法人和其他组织的合法权益,指由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益。,确定对客体的侵害程度（流程3、6）,一般损害,工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害。,严重损害,工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害。,特别严重损害,工作职能受到特别严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。,确定对客体的危害后果,影响行使工作职能；,导致业务能力下降；,引起法律纠纷；,导致财产损失；,造成社会不良影响；,对其他组织和个人造成损失；,其他影响。,确定定级对象的安保等级（流程4、7）,业务信息安全保护等级矩阵表,系统服务安全保护等级矩阵表,表A-业务信息安全保护等级矩阵表,业务信息安全被破坏时所侵害的客体,对相应客体的侵害程度,一般损害,严重损害,特别严重损害,公民、法人和其他组织的合法权益,第一级,第二级,第二级,社会秩序、公共利益,第二级,第三级,第四级,国家安全,第三级,第四级,第五级,表B-系统服务安全保护等级矩阵表,系统服务安全被破坏时所侵害的客体,对相应客体的侵害程度,一般损害,严重损害,特别严重损害,公民、法人和其他组织的合法权益,第一级,第二级,第二级,社会秩序、公共利益,第二级,第三级,第四级,国家安全,第三级,第四级,第五级,内容,安全等级保护概述,安全等级保护定级原理,安全等级保护定级方法,安全等级保护定级管理,定级监督管理、等级测评与自查、定级申报材料,安全等级保护技术和管理要求,高校安全等级保护实施探讨,定级监督管理,第一级,信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。,国家信息安全监管部门对该级信息系统信息安全等级保护工作进行,备案,。,第二级,信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。,国家信息安全监管部门对该级信息系统信息安全等级保护工作进行,指导,。,第三级,信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。,国家信息安全监管部门对该级信息系统信息安全等级保护工作进行,监督、检查,。,第四级,信息系统运营、使用单位应当依据国家有关管理规范、技术标准和,业务专门需求,进行保护。,国家信息安全监管部门对该级信息系统信息安全等级保护工作进行,强制监督、检查,。,第五级,信息系统运营、使用单位应当依据国家管理规范、技术标准和,业务特殊安全需求,进行保护。,国家指定专门部门,对该级信息系统信息安全等级保护工作进行,专门监督、检查,。,等级测评与自查,第三方测评,运营、使用单位或者其主管部门应当选择符合规定条件的测评机构，依据信息系统安全等级保护测评要求等技术标准，定期对信息系统安全等级状况开展等级测评。,测评周期,第三级：每年至少一次,第四级：每半年至少一次,第五级：应当依据特殊安全需求进行等级测评。,自查,信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。,自查周期,第三级：每年至少一次,第四级：每半年至少一次,第五级：应当依据特殊安全需求进行自查。,定级申报材料,编写,信息系统安全等级保护定级报告,填写信息系统安全等级保护备案表,第三级以上信息系统应当同时提供以下材料：,系统拓扑结构及说明；,系统安全组织机构和管理制度；,系统安全保护设施设计实施方案或者改建实施方案；,系统使用的信息安全产品清单及其认证、销售许可证明；,测评后符合系统安全保护等级的技术检测评估报告；,信息系统安全保护等级专家评审意见；,主管部门审核批准信息系统安全保护等级的意见。,信息系统安全等级保护定级报告,一、XXX信息系统描述,简述确定该系统为定级对象的理由：1.描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该系统为本单位或部门的定级对象；2. 定级对象具有的信息系统基本要素，描述基本要素、系统网络结构、系统边界和边界设备；3.定级对象是否承载着单一或相对独立的业务，业务情况描述。,二、XXX信息系统安全保护等级确定,（一）业务信息安全保护等级的确定：,1、业务信息描述、2、业务信息受到破坏时所侵害客体的确定、3、信息受到破坏后对侵害客体的侵害程度的确定、4、业务信息安全等级的确定,（二）系统服务安全保护等级的确定：,1、系统服务描述、2、系统服务受到破坏时所侵害客体的确定、3、系统服务受到破坏后对侵害客体的侵害程度的确定、4、系统服务安全等级的确定,（三）整体安全保护等级的确定：,由业务信息安全等级和系统服务安全等级较高者决定，最终确定该系统的安全保护等级。,信息系统名称,安全保护等级,业务信息安全等级,系统服务安全等级,XXX信息系统,X,X,X,信息系统安全等级保护备案表,涉及国家秘密的信息系统分级保护备案表,内容,安全等级保护概述,安全等级保护定级原理,安全等级保护定级方法,安全等级保护定级管理,安全等级保护技术和管理要求,安全保护能力要求、基本安全要求结构、各等级的技术和管理要求,高校安全等级保护实施探讨,安全保护能力总体要求,第一级安全保护能力,应能够防护系统免受来自,个人的、拥有很少资源,的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害。,在系统遭到损害后，能够,恢复部分功能,。,第二级安全保护能力,应能够防护系统免受来自,外部小型组织的、拥有少量资源的威胁源,发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件。,在系统遭到损害后，能够,在一段时间内恢复部分功能,。,第三级安全保护能力,应能够在统一安全策略下防护系统免受来自,外部有组织的团体、拥有较为丰富资源的威胁源,发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件,在系统遭到损害后，能够,较快恢复绝大部分功能,。,第四级安全保护能力,应能够在统一安全策略下防护系统免受来自,国家级别的、敌对组织的、拥有丰富资源的威胁源发起,的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件。,在系统遭到损害后，能够,迅速恢复所有功能,。,第五级安全保护能力,（略）由国家指定部门或机构确定。,基本安全要求结构,某级系统,物理安全,技术要求,管理要求,基本要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,第一级基本,技术,要求,物理安全,物理访问控制（G1）、 防盗窃和防破坏（G1）、 防雷击（G1）、 防火（G1）、 防水和防潮（G1）、 温湿度控制（G1）、 电力供应（A1）,网络安全,结构安全（G1）、 访问控制（G1）、设备防护（G1）,主机安全,身份鉴别（S1）、 访问控制（S1）、入侵防范（G1）、 恶意代码防范（G1）,应用安全,身份鉴别（S1）、 访问控制（S1）、 通信完整性（S1）、 软件容错（A1）、 数据安全及备份恢复、 数据完整性（S1）、 备份和恢复（A1）,第一级基本,管理,要求,安全管理制度,管理制度（G1）、制定和发布（G1）,安全管理机构,岗位设置（G1）、人员配备（G1）、授权和审批（G1）、沟通和合作（G1）,人员安全管理,人员录用（G1）、人员离岗（G1）、安全意识教育和培训（G1）、外部人员访问管理（G1）,系统建设管理,系统定级（G1）、安全方案设计（G1）、产品采购和使用（G1）、自行软件开发（G1）、外包软件开发（G1）、工程实施（G1）、测试验收（G1）、系统交付（G1）、安全服务商选择（G1）,系统运维管理,环境管理（G1）、资产管理（G1）、设备管理（G1）、网络安全管理（G1）、系统安全管理（G1）、恶意代码防范管理（G1）、备份与恢复管理（G1）、安全事件处置（G1）,第二级基本技术要求,物理安全,物理位置的选择（G2）、 物理访问控制（G2）、 防盗窃和防破坏（G2）、 防雷击（G2）、 防火（G2）、 防水和防潮（G2）、 防静电（G2）、 温湿度控制（G2）、 电力供应（A2）、 电磁防护（S2）,网络安全,结构安全（G2）、 访问控制（G2）、 安全审计（G2）、 边界完整性检查（S2）、 入侵防范（G2）、 网络设备防护（G2）,主机安全,身份鉴别（S2）、 访问控制（S2）、 安全审计（G2）、 入侵防范（G2）、 恶意代码防范（G2）、 资源控制（A2）,应用安全,身份鉴别（S2）、 访问控制（S2）、 安全审计（G2）、 通信完整性（S2）、 通信保密性（S2）、 软件容错（A2）、 资源控制（A2）,数据安全及备份恢复,数据完整性（S2）、 数据保密性（S2）、 备份和恢复（A2）,第二级基本管理要求,安全管理制度,管理制度（G2）、 制定和发布（G2）、 评审和修订（G2）,安全管理机构,岗位设置（G2）、 人员配备（G2、 授权和审批（G2）、 沟通和合作（G2）、 审核和检查（G2）,人员安全管理,人员录用（G2）、 人员离岗（G2）、 人员考核（G2）、 安全意识教育和培训（G2）、 外部人员访问管理（G2）,系统建设管理,系统定级（G2）、 安全方案设计（G2）、 产品采购和使用（G2）、 自行软件开发（G2）、 外包软件开发（G2）、 工程实施（G2）、 测试验收（G2）、 系统交付（G2）、 安全服务商选择（G2）,系统运维管理,环境管理（G2）、 资产管理（G2）、 介质管理（G2、 设备管理（G2）、 网络安全管理（G2）、 系统安全管理（G2）、 恶意代码防范管理（G2）、 密码管理（G2）、 变更管理（G2）、 备份与恢复管理（G2）、 安全事件处置（G2）、 应急预案管理（G2）,第三级基本技术要求,物理安全,物理位置的选择（G3）、物理访问控制（G3）、防盗窃和防破坏（G3）、防雷击（G3）、防火（G3）、防水和防潮（G3）、防静电（G3）、温湿度控制（G3）、电力供应（A3）、电磁防护（S3）,网络安全,结构安全（G3）、访问控制（G3）、安全审计（G3）、边界完整性检查（S3）、入侵防范（G3）、恶意代码防范（G3）、网络设备防护（G3）,主机安全,身份鉴别（S3）、访问控制（S3）、安全审计（G3）、剩余信息保护（S3）、入侵防范（G3）、恶意代码防范（G3）、资源控制（A3）,应用安全,身份鉴别（S3）、 访问控制（S3）、 安全审计（G3）、 剩余信息保护（S3）、 通信完整性（S3）、 通信保密性（S3、 抗抵赖（G3）、 软件容错（A3）、 资源控制（A3）、,数据安全及备份恢复,数据完整性（S3）、 数据保密性（S3）、 备份和恢复（A3）,第三级基本管理要求,安全管理制度,管理制度（G3）、 制定和发布（G3）、 评审和修订（G3）,安全管理机构,岗位设置（G3）、 人员配备（G3）、 授权和审批（G3）、 沟通和合作（G3）、 审核和检查（G3）,人员安全管理,人员录用（G3）、人员离岗（G3）、 人员考核（G3）、 安全意识教育和培训（G3）、 外部人员访问管理（G3）,系统建设管理,系统定级（G3）、 安全方案设计（G3）、 产品采购和使用（G3）、 自行软件开发（G3）、 外包软件开发（G3）、 工程实施（G3）、 测试验收（G3）、 系统交付（G3）、 系统备案（G3）、 等级测评（G3）、 安全服务商选择（G3）,系统运维管理,环境管理（G3）、 资产管理（G3）、 介质管理（G3）、 设备管理（G3）、 监控管理和安全管理中心（G3）、 网络安全管理（G3）、 系统安全管理（G3）、 恶意代码防范管理（G3）、 密码管理（G3）、 变更管理（G3）、 备份与恢复管理（G3）、 安全事件处置（G3）、应急预案管理（G3）,第四级基本技术要求,物理安全,物理位置的选择（G4）、 物理访问控制（G4）、 防盗窃和防破坏（G4）、 防雷击（G4）、 防火（G4）、 防水和防潮（G4）、 防静电（G4）、 温湿度控制（G4）、 电力供应（A4）、 电磁防护（S4）,网络安全,结构安全（G4）、 访问控制（G4）、 安全审计（G4）、 边界完整性检查（S4、 入侵防范（G4）、 恶意代码防范（G4）、 网络设备防护（G4）,主机安全,身份鉴别（S4）、 安全标记（S4）、 访问控制（S4）、 可信路径（S4）、 安全审计（G4）、 剩余信息保护（S4）、 入侵防范（G4）、 恶意代码防范（G4）、 资源控制（A4）,应用安全,身份鉴别（S4）、 安全标记（S4）、 访问控制（S4）、 可信路径（S4）、 安全审计（G4）、 剩余信息保护（S4）、 通信完整性（S4）、 通信保密性（S4）、 抗抵赖（G4）、 软件容错（A4）、 资源控制（A4）,数据安全及备份恢复,数据完整性（S4）、 数据保密性（S4）、 备份和恢复（A4）,第四级基本管理要求,安全管理制度,管理制度（G4）、 制定和发布（G4）、 评审和修订（G4）,安全管理机构,岗位设置（G4）、人员配备（G4）、授权和审批（G4）、沟通和合作（G4）、审核和检查（G4）,人员安全管理,人员录用（G4）、人员离岗（G4）人员考核（G4）、安全意识教育和培训（G4）、外部人员访问管理（G4）,系统建设管理,系统定级（G4）、 安全方案设计（G4）、 产品采购和使用（G4）、 自行软件开发（G4）、 外包软件开发（G4）、 工程实施（G4）、 测试验收（G4）、 系统交付（G4）、 系统备案（G4）、 等级测评（G4）、 安全服务商选择（G4）,系统运维管理,环境管理（G4）、 资产管理（G4）、 介质管理（G4）、 设备管理（G4）、 监控管理和安全管理中心（G4）、 网络安全管理（G4、 系统安全管理（G4）、 恶意代码防范管理（G4）、 密码管理（G4）、 变更管理（G4）、 备份与恢复管理（G4）、 安全事件处置（G4）、 应急预案管理（G4）、,第五级基本要求,第五级信息系统是涉及到国家安全、社会次序、经济建设和公共利益的重要的信息系统，对第五级信息系统的安全要求由国家指定的专门部门或者专门机构另行专门制定规范。,各等级信息系统定级结果组合,安全保护等级,信息系统定级结果的组合,第一级,S1A1G1,第二级,S1A2G2，S2A2G2，S2A1G2,第三级,S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3,第四级,S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4,第五级,/,内容,安全等级保护概述,安全等级保护定级原理,安全等级保护定级方法,安全等级保护定级管理,安全等级保护技术和管理要求,高校安全等级保护实施探讨,常见问题、定级目的、级别的确定、安全要求、安全设计、安全系统建设,安全等保常见问题,学校为什么开展信息系统安全保护等级,谁管高校的信息系统安全安全保护,学校的信息系统安全程度如何,如何申报信息系统安全等保,怎样确定学校信息系统安保等级,怎样划分学校的信息系统,怎样规划设计学校的信息系统安全体系,高校开展安全等保工作的目的和意义,信息系统安全意识,信息系统与信息系统安全同步建设,信息系统安全管理体系的规范化建设,信息系统安全技术体系的规范化建设,确保重要信息系统的安全、可靠运行,保障信息化工作的健康发展,学校整体安全等级的确定,第一级,（自主保护级 ）,目前还没有比较规范和完善建设信息安全系统的学校,学校整体达到一级，部分系统达到二级。,第二级,（指导保护级 ）,已经规范建设信息安全系统的学校,学校可争取整体达到二级。,第三级,（监督保护级 ）,承担了国家或国防秘密研究项目的学校的部分系统,第四级,（强制保护级 ）,承担了国家或国防机密研究项目的学校的部分系统,第五级,（专控保护级 ）,承担了国家或国防绝密研究项目的学校的部分系统,业务类安全对象及其等级划分,一般性信息系统：1级,学校各种公共网站,资源性信息系统：1-2级,教学资源系统、数字图书馆系统,管理性信息系统：2级,电子校务系统,内部性信息系统：2-3级,党务系统,涉密性信息系统：3-5级,有关国家、国防的各种密级研究项目的系统,服务类安全对象及其等级划分,生活类系统：1级,学生与教工宿舍子网,工作类系统：1-2级,办公、科研子网,生产类系统：2级,教学、实验、图书馆子网,公共服务类系统： 2-3级,骨干网、数据中心子网,内部服务系统：2-5级,办公内网、党务网、涉密性信息系统,安全要求,以第一、二级为例,技术要求,管理要求,物理安全,物理位置的选择,机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。,物理访问控制,机房出入口应安排专人值守，控制、鉴别和记录进入的人员；,需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。,防盗窃和防破坏,应将主要设备放置在机房内；,应将设备或主要部件进行固定，并设置明显的不易除去的标记；,应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；,应对介质分类标识，存储在介质库或档案室中；,主机房应安装必要的防盗报警设施。,防雷击（G2）,机房建筑应设置避雷装置；,机房应设置交流电源地线。,物理安全（续）,防火,机房应设置灭火设备,和火灾自动报警系统,。,防水和防潮,水管安装，不得穿过机房屋顶和活动地板下；,应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；,应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。,防静电,关键设备应采用必要的接地防静电措施。,温湿度控制,机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。,电力供应,应在机房供电线路上配置稳压器和过电压防护设备；,应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。,电磁防护,电源线和通信线缆应隔离铺设，避免互相干扰。,网络安全,结构安全,应保证关键网络设备的业务处理能力,具备冗余空间，,满足业务高峰期需要；,应保证接入网络和核心网络的带宽满足业务高峰期需要；,应绘制与当前运行情况相符的网络拓扑结构图；,应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。,访问控制,应在网络边界部署访问控制设备，启用访问控制功能；,应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,，控制粒度为网段级,。,应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为用户组,（单个用户）,；,应限制具有拨号访问权限的用户数量。,安全审计（G2）,应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；,审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。,网络安全（续）,边界完整性检查,应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查。,入侵防范,应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。,网络设备防护,应对登录网络设备的用户进行身份鉴别；,应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；,当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。,应对网络设备的管理员登录地址进行限制；,网络设备用户的标识应唯一；,身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；,主机安全,身份鉴别,应对登录操作系统和数据库系统的用户进行身份标识和鉴别；,操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；,应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；,当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；,应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。,访问控制,应启用访问控制功能，依据安全策略控制用户对资源的访问；,应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；,应及时删除多余的、过期的帐户，避免共享帐户的存在。,应实现操作系统和数据库系统特权用户的权限分离；,安全审计,审计范围应覆盖到服务器上的每个操作系统用户和数据库用户；,审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；,审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；,应保护审计记录，避免受到未预期的删除、修改或覆盖等。,主机安全（续）,入侵防范,操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，,并通过设置升级服务器等方式,保持系统补丁及时得到更新。,恶意代码防范,应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；,应支持防恶意代码软件的统一管理。,资源控制,应通过设定终端接入方式、网络地址范围等条件限制终端登录；,应根据安全策略设置登录终端的操作超时锁定；,应限制单个用户对系统资源的最大或最小使用限度。,应用安全,身份鉴别,应提供专用的登录控制模块对登录用户进行身份标识和鉴别；,应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；,应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；,应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。,访问控制,应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；,访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；,应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；,应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。,安全审计,应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；,应保证无法删除、修改或覆盖审计记录；,审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。,应用安全（续）,通信完整性,应采用校验码技术保证通信过程中数据的完整性。,通信保密性,在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；,应对通信过程中的敏感信息字段进行加密。,软件容错,应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；,在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施。,资源控制,当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；,应能够对应用系统的最大并发会话连接数进行限制；,应能够对单个帐户的多重并发会话进行限制。,数据安全及备份恢复,数据完整性,应能够检测,到鉴别信息和,重要业务数据在传输过程中完整性受到破坏。,数据保密性,应采用加密或其他保护措施实现鉴别信息的存储保密性。,备份和恢复,应能够对重要信息进行备份和恢复；,应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性。,安全管理制度,管理制度,应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；,应对安全管理活动中重要的管理内容建立安全管理制度；,应对安全管理人员或操作人员执行的重要管理操作建立操作规程。,制定和发布,应指定或授权专门,的部门,或人员负责安全管理制度的制定；,应组织相关人员对制定的安全管理制度进行论证和审定；,应将安全管理制度以某种方式发布到相关人员手中。,评审和修订,应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订。,安全管理机构,岗位设置,应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；,应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。,人员配备,应配备一定数量的系统管理员、网络管理员、安全管理员等；,安全管理员不能兼任网络管理员、系统管理员、数据库管理员等。,授权和审批,应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批；,应针对关键活动建立审批流程，并由批准人签字确认。,沟通和合作,应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通；,应加强与兄弟单位、公安机关、电信公司的合作与沟通。,审核和检查,安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。,人员安全管理,人员录用,应指定或授权专门的,部门或,人员负责人员录用；,应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核；,应与从事关键岗位的人员签署保密协议。,人员离岗,应,规范人员离岗过程，,及时终止离岗员工的所有访问权限；,应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备；,应办理严格的调离手续。,人员考核,应定期对各个岗位的人员进行安全技能及安全认知的考核。,安全意识教育和培训,应对各类人员进行安全意识教育,、岗位技能培训和相关安全技术培训,；,应告知人员相关的安全责任和惩戒措施,，并对违反违背安全策略和规定的人员进行惩戒；,应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训。,外部人员访问管理,应确保在外部人员访问受控区域前得到授权或审批,，批准后由专人全程陪同或监督，并登记备案。,系统建设管理,系统定级,应明确信息系统的边界和安全保护等级；,应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由；,应确保信息系统的定级结果经过相关部门的批准。,安全方案设计,应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；,应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案；,应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案；,应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。,产品采购和使用,应确保安全产品采购和使用符合国家的有关规定；,应确保密码产品采购和使用符合国家密码主管部门的要求；,应指定或授权专门的部门负责产品的采购。,自行软件开发,应确保开发环境与实际运行环境物理分开；,应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；,应确保提供软件设计的相关文档和使用指南，并由专人负责保管。,系统建设管理（续）,外包软件开发,应根据开发要求检测软件质量；,应确保提供软件设计的相关文档和使用指南；,应在软件安装之前检测软件包中可能存在的恶意代码；,应要求开发单位提供软件源代码，并审查软件中可能存在的后门。,工程实施,应指定或授权专门的,部门或,人员负责工程实施过程的管理；,应制定详细的工程实施方案，控制工程实施过程。,测试验收,应对系统进行安全性测试验收；,在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；,应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。,系统交付,应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；,应对负责系统运行维护的技术人员进行相应的技能培训；,应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。,安全服务商选择,应确保安全服务商的选择符合国家的有关规定；,应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；,应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同。,系统运维管理,环境管理,应指定专门部门或人员定期对机房供电、空调、温湿度控制等设施进行维护管理；,应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理；,应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；,应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。,资产管理,应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；,应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。,介质管理,应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；,应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点；,应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏；,应根据所承载数据和软件的重要程度对介质进行分类和标识管理。,系统运维管理（续）,设备管理,应对信息系统相关的各种设备,（包括备份和冗余设备）,、线路等指定专门的部门或人员定期进行维护管理；,应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理；,应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；,应确保信息处理设备必须经过审批才能带离机房或办公地点。,网络安全管理,应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；,应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；,应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；,应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补；,应对网络设备的配置文件进行定期备份；f)应保证所有与外部系统的连接均得到授权和批准。,系统运维管理（续）,系统安全管理,应根据业务需求和系统安全分析确定系统的访问控制策略；,应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；,应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；,应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定；,应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作；,应定期对运行日志和审计数据进行分析，以便及时发现异常行为。,恶意代码防范管理,应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；,应指定专人对网络和主机进行恶意代码检测并保存检测记录；,应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定。,密码管理,应使用符合国家密码管理规定的密码技术和产品。,变更管理,应确认系统中要发生的重要变更，并制定相应的变更方案；,系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告。,系统运维管理（续）,备份与恢复管理,应识别需要定期备份的重要业务信息、系统数据及软件系统等；,应规定备份信息的备份方式、备份频度、存储介质、保存期等；,应根据数据的重要性及其对系统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。,安全事件处置,应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点；,应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责；,应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分；,应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生。,应急预案管理,应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容；,应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次。,安全等保建设基本模型,信息系统安全体系总体框架,安全策略体系,安全技术体系,身份,认证,加密,加固,审核,跟踪,访问,控制,防恶意,代码,监控,备份,恢复,管理制度,组织职责,技术标准规范,信息安全政策,安全,组织,教育,培训,人员,职责,人员,安全,安全组织体系,安全体系建设,项目建设安全管理,安全风险管理,与控制,安全运行与维护,安全运行体系,信息系统安全体系的实现,安全管理运行中心,技术体系,安全组织设置和岗位职责,安全教育、培训与资质认证,组织体系,安全策略体系设计,安全策略与流程推广实施,策略体系,项目建设的安全管理,安全风险管理与控制,保护对象框架,内部与第三方人员安全管理,日常安全运行与维护,安全体系推广与落实,运作体系,全程全网监控和审计平台,统一监控与审计管理平台,终端管理和防病毒集中管理平台,安全域和网络访问控制平台,终端管理和防病毒集中管理平台,防病毒、补丁和终端管理平台,设备安全配置与加固,基础设施安全,第三方统一安全接入平台,应用加密平台,第三方统一安全接入平台,统一鉴别认证平台,数据备份与冗灾平台,统一身份认证与授权管理平台,应用系统安全增强,应用安全,终端管理和防病毒集中管理平台,防病毒、补丁和终端管理平台,终端安全,全程全网监控和审计平台,全网统一监控和审计平台,终端管理和防病毒集中管理平台,安全域和网络访问控制平台,第三方统一安全接入平台,应用加密平台,第三方统一安全接入平台,统一鉴别认证平台,数据备份与冗灾平台,统一身份认证与授权管理平台,安全管理运行中心,应用系统安全增强,设备安全配置与加固,基础设施安全,各应用系统,认证授权,数据安全,加密,各主机网络设备,网络安全,监控审计,应用安全,安全管理平台,安全技术体系,网络安全区域划分,信息系统统一监控与审计平台,基于主机IDS,基于网络IDS,病毒检测,防火墙事件,操作系统事件,数据库事件,应用系统事件,完整性检测,PING,状态检测器,。,。,协议层代理,Protocol Agents,分发代理,Dispatcher Agents,应用层代理,Application Agents,事件感应器,状态检测器,原始记录,状态记录,报警记录,分析记录,受保护系统模型,安全策略,脆弱性数据库,关联性分析引擎,事故处理,静态分析,实时监控,模块A 事件生成,模块B 事件收集汇总,知识库,模块D 分析模块,模块C事件数据库,模块E事件报告处理,防病毒平台,补丁管理平台,终端管理平台,统一身份认证与授权管理平台,数据集中备份平台建设,容灾计划开发与容灾中心建设,应用加密平台,安全管理中心平台,谢谢！,