【网络工程规划与设计案例教程】项目五_任务6_电子政务信息安全等级保护实施指南.doc
《【网络工程规划与设计案例教程】项目五_任务6_电子政务信息安全等级保护实施指南.doc》由会员分享,可在线阅读,更多相关《【网络工程规划与设计案例教程】项目五_任务6_电子政务信息安全等级保护实施指南.doc(44页珍藏版)》请在三一文库上搜索。
1、电子政务信息安全等级保护 实施指南(试行) 国务院信息化工作办公室 2005 年 9 月 电子政务信息安全等级保护实施指南(试行) i 目目 录录 1 引言.1 1.1 编写目的.1 1.2 适用范围.1 1.3 文档结构.1 2 基本原理2 2.1 基本概念.2 2.1.1 电子政务等级保护的基本含义2 2.1.2 电子政务安全等级的层级划分3 2.1.3 电子政务等级保护的基本安全要求4 2.2 基本方法.4 2.2.1 等级保护的要素及其关系4 2.2.2 电子政务等级保护实现方法5 2.3 实施过程.6 2.4 角色及职责.9 2.5 系统间互联互通的等级保护要求.10 3 定级.10
2、 3.1 定级过程.11 3.2 系统识别与描述.11 3.2.1 系统整体识别与描述11 3.2.2 划分子系统的方法12 3.2.3 子系统识别与描述13 3.3 等级确定.13 3.3.1 电子政务安全属性描述13 3.3.2 定级原则13 3.3.3 定级方法16 3.3.4 复杂系统定级方法17 4 安全规划与设计.18 4.1 系统分域保护框架建立.18 4.1.1 安全域划分18 4.1.2 保护对象分类19 电子政务信息安全等级保护实施指南(试行) ii 4.1.3 系统分域保护框架21 4.2 选择和调整安全措施.22 4.3 安全规划与方案设计.24 4.3.1 安全需求分
3、析24 4.3.2 安全项目规划24 4.3.3 安全工作规划25 4.3.4 安全方案设计25 5 实施、等级评估与运行25 5.1 安全措施的实施.25 5.2 等级评估与验收.25 5.3 运行监控与改进.26 附录 A 术语与定义 .27 附录 B 大型复杂电子政务系统等级保护实施过程示例27 B.1 大型复杂电子政务系统描述27 B.2 等级保护实施过程描述28 B.3 系统划分与定级29 B.3.1 系统识别和子系统划分.29 B.3.2 系统安全等级确定.29 B.3.3 系统分域保护框架.30 B.4 安全规划与设计33 B.4.1 安全措施的选择与调整.33 B.4.2 等级
4、化风险评估.34 B.4.3 等级化安全体系设计.34 B.4.4 安全规划与方案设计.36 B.5 安全措施的实施39 电子政务信息安全等级保护实施指南(试行) iii 图表目录图表目录 图 2-1 电子政务等级保护的实现方法 .6 图 2-2 电子政务等级保护的基本流程 .7 图 2-3 等级保护过程与新建和已建系统生命周期对应关系 .9 图 3-1 定级工作流程 .11 图 4-1 安全规划与设计过程 .18 图 4-2 电子政务的保护对象及信息资产 .20 图 4-3 系统分域保护框架示意图 .22 图 4-4 确定安全措施的过程 .22 图 4-5 系统安全需求 .24 图 5-1
5、安全措施的实施 .25 图 5-2 等级保护的运行改进过程 .26 表 2-1 电子政务系统五个安全等级的基本内容 .3 表 3-1 电子政务安全等级在安全属性方面的描述 .15 表 4-1 安全措施的调整因素和调整方式 .23 电子政务信息安全等级保护实施指南(试行) 1 电子政务信息安全等级保护实施指南电子政务信息安全等级保护实施指南(试行)(试行) 1 引言 1.1 编写目的 国家信息化领导小组关于加强信息安全保障工作的意见 (中办发200327 号,以 下简称“27 号文件” )明确要求我国信息安全保障工作实行等级保护制度,提出“抓紧建立 信息安全等级保护制度,制定信息安全等级保护的管
6、理办法和技术指南” 。2004 年 9 月发 布的关于信息安全等级保护工作的实施意见 (公通字200466 号,以下简称“66 号文 件” )进一步强调了开展信息安全等级保护工作的重要意义,规定了实施信息安全等级保护 制度的原则、内容、职责分工、基本要求和实施计划,部署了实施信息安全等级保护工作 的操作办法。 27 号文件和 66 号文件不但为各行业开展信息安全等级保护工作指明了方向,同时也 为各行业如何根据自身特点做好信息安全等级保护工作提出了更高的要求。电子政务作为 国家信息化战略的重要组成部分,其安全保障事关国家安全和社会稳定,必须按照 27 号文 件要求,全面实施信息安全等级保护。因此
7、,组织编制电子政务信息安全等级保护实施 指南 ,规范电子政务信息安全等级保护工作的基本思路和实施方法,指导我国电子政务建 设中的信息安全保障工作,对搞好电子政务信息安全保障具有十分重要的现实意义。 1.2 适用范围 本指南提供了电子政务信息安全等级保护的基本概念、方法和过程,适用于指导各级 党政机关新建电子政务系统和已建电子政务系统的等级保护工作。 1.3 文档结构 本指南包括五个章节和两个附录。 第 1 章为引言,介绍了本指南的编写目的、适用范围和文档结构;第 2 章为基本原理, 描述了等级保护的概念、原理、实施过程、角色与职责,以及系统间互联互通的等级保护 要求;第 3 章描述了电子政务等
8、级保护的定级,包括定级过程、系统识别和描述、等级确 定;第 4 章描述了电子政务等级保护的安全规划与设计,包括电子政务系统分域保护框架 的建立,选择和调整安全措施,以及安全规划与方案设计;第 5 章描述了安全措施的实施、 等级评估,以及等级保护的运行改进。 附录 A 介绍了本指南术语定义;附录 B 介绍了大型复杂电子政务系统等级保护实施过 程的示例。 除明确声明外,本指南中所提到的等级保护、电子政务等级保护都是指电子政务信息 安全等级保护。 电子政务信息安全等级保护实施指南(试行) 2 2 基本原理 2.1 基本概念 2.1.1 电子政务等级保护的基本含义 信息安全等级保护是国家在国民经济和社
9、会信息化的发展过程中,提高信息安全保障 能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化健康发展的基本策 略。27 号文件对信息安全等级保护做出了系统的描述“信息化发展的不同阶段和不同 的信息系统有着不同的安全需求,必须从实际出发,综合平衡安全成本和风险,优化信息 安全资源的配置,确保重点。要重点保护基础信息网络和关系国家安全、经济命脉、社会 稳定等方面的重要信息系统。 ” 电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和 保护公共利益等方面的重要程度,结合系统面临的风险、系统特定安全保护要求和成本开 销等因素,将其划分成不同的安全保护等级,采取相应的安
10、全保护措施,以保障信息和信 息系统的安全。 电子政务等级保护工作分为管理层面和用户层面两个方面的工作。管理层的主要工作 是制定电子政务信息安全等级保护的管理办法、定级指南、基本安全要求、等级评估规范 以及对电子政务等级保护工作的管理等。用户层的主要工作是依据管理层的要求对电子政 务系统进行定级,确定系统应采取的安全保障措施,进行系统安全设计与建设,以及运行 监控与改进。本指南的内容主要针对用户层面的工作。 电子政务信息安全等级保护遵循以下原则: a) 重点保护原则 电子政务等级保护要突出重点。对关系国家安全、经济命脉、社会稳定等方面的 重要电子政务系统,应集中资源优先建设。 b) “谁主管谁负
11、责、谁运营谁负责”原则 电子政务等级保护要贯彻“谁主管谁负责、谁运营谁负责”的原则,由各主管部 门和运营单位依照国家相关法规和标准,自主确定电子政务系统的安全等级并按照相 关要求组织实施安全保障。 c) 分区域保护原则 电子政务等级保护要根据各地区、各行业电子政务系统的重要程度、业务特点和 不同发展水平,分类、分级、分阶段进行实施,通过划分不同的安全区域,实现不同 强度的安全保护。 d) 同步建设原则 电子政务系统在新建、改建、扩建时应当同步建设信息安全设施,保证信息安全 与信息化建设相适应。 5) 动态调整原则 电子政务信息安全等级保护实施指南(试行) 3 由于信息与信息系统的应用类型、覆盖
12、范围、外部环境等约束条件处于不断变化 与发展之中,因此信息与信息系统的安全保护等级需要根据变化情况,适时重新确定, 并相应调整对应的保护措施。 2.1.2 电子政务安全等级的层级划分 66 号文件中规定信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监 督保护级、强制保护级、专控保护级五个安全等级。按 66 号文件的规定,对电子政务的五 个安全等级定义如表 2-1 所示。 表 2-1 电子政务系统五个安全等级的基本内容 安全安全 等级等级 等级等级 名称名称 基本描述基本描述安全保护要求安全保护要求 第一级自主保 护级 适用于一般的电子政务系统。系统遭到破坏 后对政务机构履行其政务职
13、能、机构财产、 人员造成较小的负面影响。 参照国家标准自主进 行保护。 第二级指导保 护级 适用于处理日常政务信息和提供一般政务服 务的电子政务系统。系统遭到破坏后对政务 机构履行其政务职能、机构财产、人员造成 中等程度的负面影响。 在主管部门的指导下, 按照国家标准自主进 行保护。 第三级监督保 护级 适用于处理重要政务信息和提供重要政务服 务的电子政务系统。系统遭到破坏后可能对 政务机构履行其政务职能、机构财产、人员 造成较大的负面影响,可能对国家安全造成 一定程度的损害。 在主管部门的监督下, 按国家标准严格落实 各项保护措施进行保 护。 第四级强制保 护级 适用于涉及国家安全、社会秩序
14、、经济建设 和公共利益的重要电子政务系统。系统遭到 破坏后可能对政务机构履行其政务职能、机 构财产、人员造成严重的负面影响,可能对 国家安全造成较大损害。 在主管部门的强制监 督和检查下,按国家 标准严格落实各项措 施进行保护。 第五级专控保 护级 适用于关系国家安全、社会秩序、经济建设 和公共利益的核心系统。系统遭到破坏后对 政务机构履行其政务职能、机构财产、人员 造成极其严重的负面影响,对国家安全造成 严重损害。 根据安全需求,由主 管部门和运营单位对 电子政务系统进行专 门控制和保护。 电子政务信息安全等级保护实施指南(试行) 4 2.1.3 电子政务等级保护的基本安全要求 电子政务等级
15、保护基本安全要求是对各等级电子政务系统的一般性要求,分为五个等 级,从第一级至第五级,对应于五个等级的电子政务系统。对特定电子政务系统的安全保 护,以其相应等级的基本安全要求为基础,通过对安全措施的调整和定制,得到适用于该 电子政务系统的安全保护措施。 电子政务等级保护基本安全要求分为安全策略、安全组织、安全技术和安全运行四个 方面。 a) 安全策略 安全策略是为了指导和规范电子政务信息安全工作而制定的安全方针、管理制度、 规范标准、操作流程和记录模板等文档的总和。安全策略具有层次化的结构,包括整 体安全策略、部门级安全策略、系统级安全策略等。 b) 安全组织 安全组织是为了保障电子政务信息安
16、全而建立的组织体系,包括各级安全组织机 构、岗位安全职责、人员安全管理、第三方安全管理、安全合作与沟通等方面。 c) 安全技术 安全技术是指保障电子政务信息安全的安全技术功能要求和安全技术保障要求, 包括网络与通讯安全、主机与平台安全、数据库安全、应用安全、数据安全、物理环 境安全等方面。 d) 安全运行 安全运行是为了保障电子政务系统运行过程中的安全而制定的安全运维要求,包 括风险管理、配置和变更管理、信息系统工程安全管理、日常运行管理、技术资料安 全、应急响应等方面。 具体的电子政务等级保护基本安全要求参见相关的国家标准。 2.2 基本方法 2.2.1 等级保护的要素及其关系 电子政务等级
17、保护的基本原理是:依据电子政务系统的使命、目标和重要程度,将系 统划分为不同的安全等级,并综合平衡系统特定安全保护要求、系统面临安全风险情况和 实施安全保护措施的成本,进行安全措施的调整和定制,形成与系统安全等级相适应的安 全保障体系。 电子政务等级保护包含以下七个要素: a) 电子政务系统 电子政务系统是信息安全等级保护的对象,包括系统中的信息、系统所提供的服 务,以及执行信息处理、存储、传输的软硬件设备等。 b) 目标 电子政务信息安全等级保护实施指南(试行) 5 目标是指电子政务系统的业务目标和安全目标,电子政务等级保护要保障业务目 标和安全目标的实现。 c) 电子政务信息安全等级 电子
18、政务信息安全等级划分为五级,分别体现在电子政务系统的等级和安全保护 的等级两个方面。 d) 安全保护要求 不同的电子政务系统具有不同类型和不同强度的安全保护要求。 e) 安全风险 安全风险是指电子政务系统由于本身存在安全弱点,通过人为或自然的威胁可能 导致安全事件的发生。安全风险由安全事件发生的可能性及其造成的影响这两种指标 来综合衡量。 f) 安全保护措施 安全保护措施是用来对抗安全风险、满足安全保护要求、保护电子政务系统和保 障电子政务目标实现的措施,包括安全管理措施和安全技术措施。 g) 安全保护措施的成本 不同类型和强度的安全保护措施的实现需要不同的成本,安全保护措施的成本应 包括设备
19、购买成本、实施成本、维护成本和人员成本等。 电子政务等级保护各要素之间的关系是: a) 电子政务系统的安全等级由系统的使命、目标和系统重要程度决定。 b) 安全措施需要满足系统安全保护要求,对抗系统所面临的风险。 1)不同电子政务系统的使命和业务目标的差异性,业务和系统本身的特性(所 属信息资产特性、实际运行情况和所处环境等)的差异性,决定了系统安全 保护要求特性(安全保护要求的类型和强度)的差异性。 2)系统保护要求类型和强度的差异性,安全风险情况的差异性,决定了选择不 同类型和强度的安全措施。 c) 电子政务安全措施的确定需要综合平衡系统保护要求的满足程度、系统面临风险 的控制和降低程度、
20、系统残余风险的接受程度、以及实施安全措施的成本,在适 度成本下实现适度安全。 2.2.2 电子政务等级保护实现方法 27 号文件指出,实行信息安全等级保护时“要重视信息安全风险评估工作,对网络与 信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估,综合考虑网络与信息系 统的重要性、涉密程度和面临的信息安全风险等因素,进行相应等级的安全建设和管理” 。 电子政务等级保护的实现方法如图 2-1 所示: 电子政务信息安全等级保护实施指南(试行) 6 图 2-1 电子政务等级保护的实现方法 电子政务系统实施等级保护的方法是: a) 依据电子政务安全等级的定级规则,确定电子政务系统的安全等级; b
21、) 按照电子政务等级保护要求,确定与系统安全等级相对应的基本安全要求; c) 依据系统基本安全要求,并综合平衡系统安全保护要求、系统所面临风险和实施 安全保护措施的成本,进行安全保护措施的定制,确定适用于特定电子政务系统 的安全保护措施,并依照本指南相关要求完成规划、设计、实施和验收。 2.3 实施过程 电子政务等级保护的实施过程包括三个阶段,分别为: a) 定级阶段 b) 规划与设计阶段 c) 实施、等级评估与改进阶段 电子政务等级保护的基本流程如图 2-2 所示。 电子政务信息安全等级保护实施指南(试行) 7 图 2-2 电子政务等级保护的基本流程 第一阶段:定级第一阶段:定级 定级阶段主
22、要包括两个步骤: a) 系统识别与描述 清晰地了解政务机构所拥有的电子政务系统,根据需要将复杂电子政务系统分解 为电子政务子系统,描述系统和子系统的组成及边界。 b) 等级确定 完成电子政务系统总体定级和子系统的定级。 第二阶段:规划与设计第二阶段:规划与设计 规划与设计阶段主要包括三个步骤,分别为: 电子政务信息安全等级保护实施指南(试行) 8 a) 系统分域保护框架建立 通过对电子政务系统进行安全域划分、保护对象分类,建立电子政务系统的分域 保护框架。 b) 选择和调整安全措施 根据电子政务系统和子系统的安全等级,选择对应等级的基本安全要求,并根据 风险评估的结果,综合平衡安全风险和成本,
23、以及各系统特定安全要求,选择和调整 安全措施,确定出电子政务系统、子系统和各类保护对象的安全措施。 c) 安全规划和方案设计 根据所确定的安全措施,制定安全措施的实施规划,并制定安全技术解决方案和 安全管理解决方案。 第三阶段:实施、等级评估与改进第三阶段:实施、等级评估与改进 实施、等级评估与改进阶段主要包括三个步骤,分别为: a) 安全措施的实施 依据安全解决方案建设和实施等级保护的安全技术措施和安全管理措施。 b) 评估与验收 按照等级保护的要求,选择相应的方式来评估系统是否满足相应的等级保护要求, 并对等级保护建设的最终结果进行验收。 c) 运行监控与改进 运行监控是在实施等级保护的各
24、种安全措施之后的运行期间,监控系统的变化和 系统安全风险的变化,评估系统的安全状况。如果经评估发现系统及其风险环境已发 生重大变化,新的安全保护要求与原有的安全等级已不相适应,则应进行系统重新定 级。如果系统只发生部分变化,例如发现新的系统漏洞,这些改变不涉及系统的信息 资产和威胁状况的根本改变,则只需要调整和改进相应的安全措施。 对于大型复杂电子政务系统,等级保护过程可以根据实际情况进一步加强和细化,以 满足其复杂性的要求。附录 B 给出了大型复杂电子政务系统等级保护实施过程的示例。 新建电子政务系统的等级保护工作与已经建成的电子政务系统之间,在等级保护工作 的切入点方面是不相同的,它们各自
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络工程规划与设计案例教程 网络 工程规划 设计 案例 教程 项目 任务 电子 政务信息 安全 等级 保护 实施 指南
链接地址:https://www.31doc.com/p-2231672.html