信息网络安全等级保护

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,信息网络平安等级保护工作介绍,一、相关概念,信息网络平安：指计算机网络硬件设备、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、泄漏。包括：根底信息网络和重要信息系统。,信息网络平安等级保护：指将平安策略、平安责任和平安保障等计算机信息网络平安需求划分不同的等级，国家、企业和个人依据不同等级的要求有针对性地保护信息网络平安。,二、目的和依据,目的：为了加强信息平安等级保护定级工作的组织实施和监督指导，科学、准确、合理地评审、确定信息系统等级，促进等级保护管理工作标准化、制度化。,依据：?浙江信息平安等级保护管理方法?省政府223号令。,三、确定根底信息网络和重要信息系统的依据,主要是根据其在国家平安、经济建设、社会生活中的重要程度及实际平安需要，遭到破坏后对国家平安、社会秩序、经济建设、公共利益以及公民、法人和其他组织的合法权益的危害程度来确定的。,根底信息网络主要包括公用通信网、播送电视传输网等。,重要信息系统主要包括：,党政事务处理信息系统；,金融、财税、海关业务信息系统；,铁路、机场、交通港口等业务信息系统；,医疗、社医保、供水、电力、燃气等业务信息系统；,国家和省规定的其他重要信息系统。,四、等级评审流程,1、提交申请资料,保护等级应当在信息系统规划设计时按照223号令第十条规定报经审定。新建、扩建，现在已建成,省级部门在确定平安保护等级后，直接向省信息化行政主管部门省信息产业厅提交申请资料。,设区的市：各信息系统运营、使用单位确定平安保护等级后，定为二、三级的向当地的市信息化行政主管部门提交申请资料；定为四级的直接向省信息化行政主管部门省信息产业厅提交申请资料。,提交申请材料内容,4个方面1个情况、1个信息、2个资料,申报单位根本情况：单位名称、法定代表人、通信地址、联络方式等根本情况。,信息系统根本信息,1、信息系统的行业特征、主管机构、地理位置、业务范围、业务种类和特性等根本情况。,2、信息系统管理框架，主要包括组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责、用户范围和用户类型根本情况；,3、信息系统的网络及设备部署，主要包括信息系统的物理环境、网络拓扑结构、网络边界描述和硬件设备的部署等情况。,信息系统划分资料,1、划分原那么和方法；,2、信息系统列表；,3、每个信息系统的概述；,4、每个信息系统支撑的业务应用的列表；,5、每个业务应用处理的信息资产类型；,6、每个业务应用的效劳范围和用户类型；,7、每个业务应用的其他特性。,等级确定资料,1、平安需求分析：平安需求分析报告、等级保护根本要求；,2、总体平安设计规划总体平安策略、总体平安方案、平安技术防护措施、平安保护管理制度、信息平安应急预案等；,3、信息系统平安自评估报告；,4、平安保护等级自定级报告；,2、受理,省信息化行政主管部门受理省级单位信息系统平安等级定级、等级变更的评审申请；受理四级重要信息系统平安等级的评审申请；,设区的市信息化行政主管部门受理二、三级信息系统平安等级定级、等级变更的评审申请。,3、评审,受理申请的信息化行政主管部门，应当自受理之日起20个工作日内，委托专家组进行评审。信息化行政主管部门应当自评审之日起45个工作日内审定专家组提出评审意见并书面通报。,省信息化行政主管部门组织专家组进行评审，审定省级及三级专家组评审意见；对拟确定为四级信息系统平安等级申请提出初审意见。,设区的市信息化行政主管部门组织专家组进行评审，审定二级专家组评审意见，并向省信息化行政主管部门报备；对三级信息系统平安等级定级、等级变更的申请提出初审意见。,4、复审申请,对审定结果有异议的，应当自收到该审定结果之日起60日内，可以向省信息化行政主管部门提出复审申请。,5、变更,信息系统运营、使用单位需要变更平安等级的，应当向原审定的信息化行政主管部门提出等级变更申请。受理申请的信息化行政主管部门按照本细那么第十条规定重新组织审定。,五、实施等级保护工作的主要阶段,第一阶段：系统定级,第二阶段：定级评审,第三阶段：系统备案,第四阶段：等级测评、整改,第五阶段：平安管理、建设,第一阶段：系统定级,信息系统使用单位按照等级保护的管理标准和技术标准，确定其信息系统的平安保护等级，并报其主管部门审批同意。,系统涉及国家秘密的局部按照?涉密信息系统分级保护管理方法?(国保发200516号)和?涉及国家秘密的信息系统分级保护技术要求?国家保密标准BMBl7-2006确定信息系统的平安保护等级。跨市或者全省统一联网运行的信息系统可以由主管部门统一确定平安保护等级。,信息系统等级平安保护定级原那么,信息系统平安保护等级既不是信息系统平安保障等级，也不是信息系统所能到达的技术能力等级，而是从国家管理的需要出发，从信息系统对国家平安、经济建设、公共利益等方面的重要性，以及信息或信息系统被破坏后造成危害的严重性角度确定的信息系统应到达的平安等级。,定级工作原那么,原那么一：自主定级原那么。“依照标准，自行保护，因此定级工作必须由单位依照相关法律标准和标准来自行定级。定级工作的责任主体为信息系统主管单位。,原那么二：满足国家管理要求原那么。信息系统平安保护等级既不是信息系统平安保障等级，也不是信息系统所能到达的技术能力等级，而是从国家管理的需要出发，立足信息系统对国家平安、经济建设、公共利益等方面的重要性角度，及信息或信息系统被破坏后造成危害的严重性角度来确定的信息系统应到达的平安等级。,定级工作原那么,原那么三：全局性原那么。信息系统平安等级保护是针对全国范围内、涵盖各个行业信息系统的管理制度，信息系统平安保护等级的划分也必须从国家层面考虑，表达全局性。,原那么四：业务为核心原那么。信息系统是为业务应用效劳的，信息系统的平安保护等级应当依据信息系统承载业务的重要性、业务对信息系统的依赖度和系统特殊的平安需求确定。,原那么五：合理性原那么。不同于信息平安产品，信息系统千差万别，各具特色，只有在划分平安保护等级的过程中，尽可能反映出信息系统的主要平安特征，合理划分等级，才能做到突出重点，适度保护。,五级平安等级描述,第一级:受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家平安、社会秩序和公共利益会秩序和公共利益。,第二级:受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家平安。,第三级:受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家平安造成损害。,第四级:受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家平安造成严重损害。,第五级:受到破坏后，会对国家平安造成特别严重损害。,系统服务安全被破坏时所侵害的客体,对相应客体的侵害程度,一般损害,严重损害,特别严重损害,公民、法人和其他组织的合法权益,第一级,第二级,第二级,社会秩序、公共利益,第二级,第三级,第四级,国家安全,第三级,第四级,第五级,一级信息系统举例：,公民个人的单机系统，小型集体、民营企业 所属的信息系统，中、小学校的信息系统，乡镇级党政机关、事业单位的信息系统，其他小型组织的信息系统。,二级信息系统举例：,县级、地市级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财务、财政、金融、社保、工商、审计、能源、化工、社会效劳保障、卫生、交通运输、国土资源、邮政、应急抢险、农业等行业所属独立的信息系统，中型集体、民营企业、小型国有企业所属的信息系统，县级党政机关、事业单位的信息系统，普通高等院校和科研机构的信息系统，其他中型组织的信息系统。,三级信息系统举例：,省级和副省级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、工商、审计、能源、化工、社会服 金融、社保、工商、审计、能源、化工、社会效劳保障、卫生、交通运输、国土资源、邮政、应急抢险、农业等行业所属独立的重要信息系统，大型集体、民营企业、大中型国有企业所属的重要信息系统，地市级党政机关、事业单位的重要信息系统，重点高等院校和科研机构的重要信息系统，其他大中型组织的信息系统。,四级信息系统举例：,国家级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、工商、审计、能源、化工、社会效劳保障、卫生、交通运输、国土资源、邮政、应急抢险等行业所属全程全网的特大型信息系统，特大型国有企业 所属全程全网的特大型信息系统，省级党政机关、事业单位所属的重要信息系统，重点科研机构的重要信息系统。,五级信息系统举例：,国家级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险等重要信息系统中的核心子系统，涉及国防、重大外交、航天航空、核能源、尖端科学技术等重要信息系统中的核心子系统，国家级党政机关重要信息系统中的核心子系统。,第二阶段：定级评审,使用单位初步确定平安保护等级后，应聘请专家进行评审。,对拟确定为第四级、第五级信息系统，使用单位或主管部门应经省信息化行政主管部门初审后，请国家信息平安等级保护专家评审委员会评审。,其它定级评审，依照?浙江省信息平安等级评审实施细那么?执行。,第三阶段：系统备案,在信息系统平安保护等级确定三十天内，使用单位填写备案表，向公安机关办理备案手续，提交有关备案材料及电子数据文件。系统涉及国家秘密的，向保密工作部门备案。系统中使用的密码设备向密码管理部门备案。,二级以上的信息系统，由使用单位报送本地区地市级公安机关备案。跨地域的信息系统由其主管部门向其所在地的同级公安机关进行总备案，分系统分别由当地运营、使用单位向本地地市级公安机关备案。,第四阶段：平安等级测评与整改,评测单位依照?信息系统平安等级保护根本要求?、?信息平安等级保护实施指南?、?信息系统平安等级保护测评准那么?等标准对信息系统进行平安等级测评，给出相应的系统平安检测评估报告。,对已有的信息系统，使用单位应根据已确定的信息平安保护等级，按照等级保护的管理标准和技术标准，采购和使用相应等级的信息平安产品，建设平安设施，落实平安技术措施，完成系统整改。,第五阶段：平安管理与建设,平安管理包括平安技术和设备的管理，平安管理制度，部门与人员的组织规那么等。管理的制度化程度极大地影响着整个网络的平安，严格的平安管理制度、明确的部门平安职责划分、合理的人员角色定义都可以在很大程度上降低其它层次的平安漏洞。,