信息系统安全等级保护基本要求和建设

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,#,信息系统平安等级保护根本要求和建设整改,石家庄鼎普信息技术,张海波,引言,依据如下相关文件，制定信息系统平安等级保护相关标准：,-?中华人民共和国计算机信息系统平安保护条例?国务院147号令,-?国家信息化领导小组关于加强信息平安保障工作的意见?中办发200327号,-?关于信息平安等级保护工作的实施意见?公通字200466号,-?信息平安等级保护管理方法?公通字200743号,本标准是信息平安等级保护相关系列标准之一；相关的系列标准包括：,-信息平安技术 信息系统平安等级保护定级指南；GB/T22240-2021,-信息平安技术 信息系统平安等级保护根本要求；GB/T22239-2021,-信息平安技术 信息系统平安等级保护测评准那么；送审稿,-信息平安技术 信息系统平安等级保护实施指南；GB/T 25058-2021,-信息平安技术 信息系统等级保护级保护平安设计技术要求；GB/T 25070-2021,在对信息系统实施信息平安等级保护的过程中，在不同的阶段，还应参照其他有关信息平安等级保护的标准、要求开展工作。,信息平安标准,AS/NZS 4360:1999 风险管理标准,ISO/IEC 13335 IT平安管理指南,ISO/IEC 17799:2005 信息平安管理最正确实践指南,ISO/IEC 27001:2005 信息平安管理体系标准,ISO/IEC 15408/GB 18336 CC,IATF 信息保障技术框架,SSE-CMM 系统平安工程能力成熟度模型,公安部等级保护指南,?信息系统平安等级保护定级指南?参考ISO13335,?信息系统平安等级保护实施指南?参考ISO13335、IATF、SSE-CMM,?信息系统平安等级保护根本要求?参考ISO15408、7799参考,?信息系统平安等级保护测评准那么?,信息平安等级保护根本要求与建设整改,标准术语与定义,1,基本要求概述,2,基本要求的应用要点,3,基本要求的主要内容,4,基本要求的级差,5,基本技术要求及设计指南,6,基本管理要求,7,系统改建的实施方案设计,8,等级保护根本要求的概述,信息系统平安保护等级,信息系统根据其在国家平安、经济建设、社会生活中的重要程度，遭到破坏后对国家平安、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分成五级。五级定义见GB/T 22240-2021。,高教系统平安保护等级,?教育行政部门及高等院校信息系统平安等级保护定级指南?依据国家信息平安等级保护相关文件，结合教育行政部门及高等院校信息化工作特点制定，适用于为教育行政部门及高等院校相关信息系统平安等级保护的定级工作提供指导。,信息平安保护定级,第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家平安、社会秩序和公共利益。,第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家平安。,第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家平安造成损害。,第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家平安造成严重损害。,第五级，信息系统受到破坏后，会对国家平安造成特别严重损害。,不同等级的平安保护能力,第一级,应能够防护系统免受来自个人的、拥有很少资源如利用公开可获取的工具等的威胁源发起的恶意攻击、一般的自然灾难灾难发生的强度弱、持续时间很短等以及其他相当危害程度的威胁无意失误、技术故障等所造成的关键资源损害，在系统遭到损害后，能够恢复局部功能。,第二级,应能够防护系统免受来自外部小型组织的如自发的三两人组成的黑客组织、拥有少量资源如个别人员能力、公开可获或特定开发的工具等的威胁源发起的恶意攻击、一般的自然灾难灾难发生的强度一般、持续时间短、覆盖范围小等以及其他相当危害程度的威胁无意失误、技术故障等所造成的重要资源损害，能够发现重要的平安漏洞和平安事件，在系统遭到损害后，能够在一段时间内恢复局部功能。,不同等级的平安保护能力,第三级,应能够在统一平安策略下防护系统免受来自外部有组织的团体如一个商业情报组织或犯罪组织等，拥有较为丰富资源包括人员能力、计算能力等的威胁源发起的恶意攻击、较为严重的自然灾难灾难发生的强度较大、持续时间较长、覆盖范围较广等以及其他相当危害程度的威胁内部人员的恶意威胁、无意失误、较严重的技术故障等所造成的主要资源损害，能够发现平安漏洞和平安事件，在系统遭到损害后，能够较快恢复绝大局部功能。,第四级,应能够在统一平安策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难灾难发生的强度大、持续时间长、覆盖范围广等以及其他相当危害程度的威胁内部人员的恶意威胁、无意失误、严重的技术故障等所造成的资源损害，能够发现平安漏洞和平安事件，在系统遭到损害后，能够迅速恢复所有功能。,不同等级的平安保护能力,能力,等级,抵御攻击,病毒和恶意代码防范,抵抗自然灾害,入侵检测,系统恢复,安全事件响应和责任追踪,资源控制,第一级,一般性攻击,常见病毒和恶意代码,无要求,无要求,恢复系统主要功能,无要求,无要求,第二级,小规模、较弱强度攻击,一般性计算机病毒和恶意代码,一般自然灾害,检测常见的攻击行为，并对安全事件进行记录,恢复系统正常运行状态,无要求,无要求,第三级,大规模、较强恶意攻击,病毒和恶意代码,较为严重的自然灾害,检测、发现、报警、记录入侵行为,快速恢复正常运行状态,响应处置，能够追踪安全责任,集中控管,第四级,统一的安全保护策略下具有抵御敌对势力有组,织的大规模攻击,病毒和恶意代码,严重自然灾害,检测、发现、报警、记录入侵行为,立即恢复正常运行状态,快速响应处置，并能够追踪安全责任,集中控管,根本要求的组织方式,根本要求的组织方式,信息安全等级保护基本要求,技术要求,物理安全类,控制点,10,具体要求项,33,网络安全类,控制点,7,具体要求项,32,主机安全类,控制点,9,具体要求项,36,应用安全类,控制点,11,具体要求项,36,数据安全及备份恢复类,控制点,3,具体要求项,11,管理要求,安全管理制度类,控制点,3,具体要求项,14,安全管理机构类,控制点,5,具体要求项,20,人员安全管理类,控制点,5,具体要求项,18,系统建设管理类,控制点,11,具体要求项,48,系统运维管理类,控制点,13,具体要求项,70,信息系统,方面,类,控制点,项,根本要求的主要内容,根本技术要求的主要内容,物理安全,物理位置选择,物理访问控制,防盗窃和防破坏,防雷击,防火,防水和防潮,防静电,温湿度控制,电力供应,电磁防护,网络安全,结构安全和网段划分,网络访问控制,网络安全审计,边界完整性检查,网络入侵检测,恶意代码防护,网络设备防护,主机系统安全,身份鉴别,安全标记,访问控制,可信路径,安全审计,剩余信息保护,入侵防范,恶意代码防范,系统资源控制,应用安全,身份鉴别,安全标记,访问控制,可信路径,安全审计,剩余信息保护,通信完整性,通信保密性,抗抵赖,软件容错,资源控制,数据安全,数据完整性,数据保密性,备份和恢复,第四局部根本要求的主要内容,根本管理要求的主要内容,安全管理制度,管理制度,制度和发表,评审和修定,安全管理机构,岗位设置,人员配备,授权和审批,沟通和合作,审核和检查,人员安全管理,人员录用,人员离岗,人员考核,安全意识教育和教训,外部访问人员管理,系统建设管理,系统定级,安全方案设计,产品采购和使用,自行软件开发,外包软件开发,工程实践,测试验收,系统交付,系统备案,等级测评,安全服务商选择,系统运维管理,环境管理,资产管理,介质管理,设备管理,监控管理和安全管理中心,网络安全管理,系统安全管理,恶意代码防范管理,密码管理,变更管理,备份与恢复管理,安全事件处置,应急预案管理,第四局部根本要求的主要内容,根本技术要求的三种类型,根据保护侧重点的不同，技术类平安要求进一步细分为:,保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息平安类要求简记为S；,保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的效劳保证类要求简记为A；,通用平安保护类要求简记为G。,第三局部 第三局部根本要求的应用要点,信息系统定级后，不同平安保护等级的信息系统可能形成的定级结果组合如下：,S1A1G1,S1A2G2,S2A2G2,S2A1G2,S1A3G3,S2A3G3,S3A3G3,S3A2G2,S3A1G3,S1A4G4,S2A4G4,S3A4G4,S4A4G4,S4A3G4,S4A2G4,S4A1G4,第四级,第三级,第二级,第一级,第五局部根本要求的级差,安全要求类,层面,一级,二级,三级,四级,技术要求,物理安全,7,10,10,10,网络安全,3,6,7,7,主机安全,4,6,7,9,应用安全,4,7,9,11,数据安全及备份恢复,2,3,3,3,管理要求,安全管理制度,2,3,3,3,安全管理机构,4,5,5,5,人员安全管理,4,5,5,5,系统建设管理,9,9,11,11,系统运维管理,9,12,13,13,合计,/,48,66,73,77,级差,/,/,18,7,4,控制点的分布,第五局部根本要求的级差,安全要求类,层面,一级,二级,三级,四级,技术要求,物理安全,9,19,32,33,网络安全,9,18,33,32,主机安全,6,19,32,36,应用安全,7,19,31,36,数据安全及备份恢复,2,4,8,11,管理要求,安全管理制度,3,7,11,14,安全管理机构,4,9,20,20,人员安全管理,7,11,16,18,系统建设管理,20,28,45,48,系统运维管理,18,42,62,70,合计,/,85,175,290,318,级差,/,/,90,115,28,控制项的分布,三级根本技术要求及设计指南,设计目标,第三级系统平安保护环境的设计目标是：按照GB 17859-1999对第三级系统的平安保护要求，在第二级系统平安保护环境的根底上，通过实现基于平安策略模型和标记的强制访问控制以及增强系统的审计机制，使系统具有在统一平安策略管控下，保护敏感资源的能力。,设计策略,第三级系统平安保护环境的设计策略是：在第二级系统平安保护环境的根底上，遵循GB 17859-1999的4.3中相关要求，构造非形式化的平安策略模型，对主、客体进行平安标记，说明主、客体的级别分类和非级别分类的组合，以此为根底，按照强制访问控制规那么实现对主体及其客体的访问控制。,第三级系统平安保护环境的设计通过第三级的平安计算环境、平安区域边界、平安通信网络以及平安管理中心的设计加以实现。,三级根本技术要求及设计指南,第三级设计技术要求,平安计算环境设计技术要求,平安区域边界设计技术要求,平安通信网络设计技术要求,平安管理中心设计技术要求,三级根本技术要求及设计指南,平安计算环境设计技术要求,第三级平安计算环境从以下方面进行平安设计：,用户身份鉴别应支持用户标识和用户鉴别。在对每一个用户注册到系统时，采用用户名和用户标识符标识用户身份，并确保在系统整个生存周期用户标识的唯一性；在每次用户登录系统时，采用受平安管理中心控制的口令、令牌、基于生物特征、数字证书以及其他具有相应平安强度的两种或两种以上的组合机制进行用户身份鉴别，并对鉴别数据进行保密性和完整性保护。,自主访问控制应在平安策略控制范围内，使用户对其创立的客体具有相应的访问操作权限，并能将这些权限的局部或全部授予其他用户。自主访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级和或记录或字段级。自主访问操作包括对客体的创立、读、写、修改和删除等。,三级根本技术要求及设计指南,平安计算环境设计技术要求,第三级平安计算环境从以下方面进行平安设计：,标记和强制访问控