包头市信息系统安全等级保护培训.ppt

议 题 包头市信息系统安全等级保护培训 实施与测评 杨泽明 01082608833 议 程 等级保护实施流程 等级保护基本要求 安全建设整改 等级测评 信息系统安全等级保护实施的基本流程 定级指南、实施指南 基本要求，定级指南、 实施指南，评估指南 基本要求，实施指南、 安全产品标准 实施指南 中华人民共和国计算机信息系统安全保护条例 国家 基础 标准 (GB 17859 ) 及 配套 标准 信息安全等级保护管理办法及相关规定 运营单位/主管部门行政执法部门 咨询 监理 工程 测评 重要信息系统 规划 设计 建设 运行 等级化的 重要信息系统安全等级保护体系 技 术 支 持 行业 管理 规范 和 技术 规范 业务分类与定级 网络系统结构 产品装备与配置 过程控制与管理 授权 指定 标准依据 n 信息安全等级保护管理办法 n 系统定级 信息系统安全保护等级定级指南 n 安全保护 信息系统安全等级保护基本要求 信息系统安全等级保护实施指南 n 检测评估 信息系统安全等级保护基本要求 信息系统安全等级保护测评准则 主要技术标准和管理规范 n 计算机信息系统安全保护等级划分准则（GB17859-1999） n 信息安全技术 网络基础安全技术要求 n 信息安全技术 信息系统通用安全技术要求 n 信息安全技术 操作系统安全技术要求 n 信息安全技术 数据库管理系统安全技术要求 n 信息安全技术 服务器技术要求 n 信息安全技术 终端计算机系统安全等级技术要求 n 信息安全技术 信息系统安全管理要求（GB/T20269-2006） n 信息安全技术 信息系统安全工程管理要求（GB/T20282-2006 ） 管理规范和技术标准的作用 主管部门 监督检查 信息安全监 管职能部门 系统定级安全保护检测评估 运营/使用单位 安全服务商 安全评估机构 技术标准管理规范 风险分析基本要求 安全等级定级指南 其他标准要求 等级系统保护方案实施 运行维护管理 安全事件管理 安全风险管理 安全产品选择 安全工程实施 系统安全配置 安全状况监控 系统特定需求等级化要求 事 件 等 级 划 分 事 件 响 应 处 置 产 品 等 级 划 分 风险评估系统测评准则监督检查要求 等级系统保护策略与安全方案 实施指南 评估指南 管理规范和技术标准的作用 议 程 等级保护实施流程 等级保护基本要求 安全建设整改 等级测评 基本要求产生的思路 不同级别的 信息系统 重要程度不同 保护需求不同 安全保护 能力不同 应对威胁的 能力不同 不同的安全目标不同基本要求 基本要求的作用 信息系统安全等级保护基本要求 运营、使用单位 （安全服务商） 主管部门 （等级测评机构） 安全保护测评检查 基本要求的定位 n 是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使 用统一的“标尺”来衡量，保证权威性，是一个达标线； n 每个级别的信息系统按照基本要求进行保护后，信息系统具有相应 等级的基本安全保护能力，达到一种基本的安全状态; n 是每个级别信息系统进行安全保护工作的一个基本出发点，更加贴 切的保护可以通过需求分析对基本要求进行补充，参考其他有关等 级保护或安全方面的标准来实现; 基本要求的定位 某级信息系统基本保护精确保护 基本要求 保护 基本要求 测评 补充的安全措施 GB17859-1999 通用技术要求 安全管理要求 高级别的基本要求 等级保护其他标准 安全方面相关标准 等等 基本保护 特殊需求 补充措施 不同级别的安全保护能力要求 n 1级安全保护能力：应具有能够对抗来自个人的、拥有很少资源（ 如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自 然灾难（灾难发生的强度弱、持续时间很短、系统局部范围等）以 及其他相当危害程度威胁的能力，并在威胁发生后，能够恢复部分 功能。 n 2级安全保护能力：应具有能够对抗来自小型组织的（如自发的三 两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可 获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾 难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等 ）以及其他相当危害程度（无意失误、设备故障等）威胁的能力， 并在威胁发生后，能够在一段时间内恢复部分功能。 不同级别的安全保护能力要求 n 3级安全保护能力：应具有能够对抗来自大型的、有组织的团体（如一个商 业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力 等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大 、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内 部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后， 能够较快恢复绝大部分功能。 n 4级安全保护能力：应具有能够对抗来自敌对组织的、拥有丰富资源的威胁 源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆 盖范围广（多地区性）等）以及其他相当危害程度（内部人员的恶意威胁、 设备的严重故障等）威胁的能力，并在威胁发生后，能够迅速恢复所有功能 。 n 第五级安全保护能力：（略）。 安全保护能力要求说明 n 核心思想:级别越高,安全控制点越多,安全控制要求越细。 n 对于涉密的信息系统，在确定安全保护等级后，除应按照相应安全 等级的基本要求进行保护外，还应按照国家保密工作部门和国家密 码管理部门的相关规定进行要求和保护。 n 第五级信息系统是涉及国家安全、社会秩序、经济建设和公共利益 的重要信息系统的核心子系统，国家将指定专门部门或者专门机构 对其进行专门控管，对第五级信息系统的基本要求将由国家指定的 专门部门或者专门机构参照第四级的基本要求另行制定。 基本要求的安全目标 n 不同等级系统所具有的不同的对抗和恢复能力，可以从实现的安全目标不 同来进行具体体现，使较高级别的系统能够应对更多的威胁和更强的威胁 主体，即使面临同一个威胁也具备更高的保护强度和更为周密的应对措施 。 n 安全目标包括了技术目标和管理目标，技术目标主要用于对抗威胁和实现 技术能力，管理目标主要为安全技术实现提供组织、人员、程序等方面的 保障。 n 技术类安全要求与信息系统提供的技术安全机制有关，主要通过在信息系 统中部署软硬件并正确的配置其安全功能来实现； n 管理类安全要求与信息系统中各种角色参与的活动有关，主要通过控制各 种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实 现。 各个要素之间的关系 安全保护能力 基本安全要求 每个等级的信息系统 基本技术措施基本管理措施 具备 包含包含 满足满足 实现 基本要求核心思路 某级系统 技术要求管理要求 基本要求 建立安全技术体系 建立安全管理体系 具有某级安全保护能力的系统 基本要求的逐级增强方法 某级系统 类 技术要求管理要求 基本要求 类 控制点 具体要求 控制点 具体要求 各级系统的保护要求差异（宏观） 一级系统 二级系统 三级系统 四级系统 通信/边界（基本） 通信/边界/内部（关键设备） 通信/边界/内部（主要设备） 通信/边界/内部/基础设施（所有设备） 各级系统的保护要求差异（宏观） 一级系统 二级系统 三级系统 四级系统 计划和跟踪（主要制度） 计划和跟踪（主要制度） 良好定义（管理活动制度化） 持续改进（管理活动制度化/及时改进） 各级系统的保护要求差异（微观） 某级系统 物理安全 技术要求管理要求 基本要求 网络安全 主机安全 应用安全 数据安全 安全管理机构 安全管理制度 人员安全管理 系统建设管理 系统运维管理 基本要求的使用、补充和调整 n 根据安全等级选择基本要求，按照基本要求进行保护后，信息系统 或子系统具有相应等级的安全保护能力； n 对信息系统或子系统有增加或特殊保护要求的，应在上述内容的基 础上，分析需补充的安全保护需求，对安全保护基本要求进行补充 ; n 对基本要求有调整需求的，应对调整项逐项进行风险分析，以保证 不降低整体安全保护强度，并形成书面的调整理由。 基本技术要求的三种类型 n 保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的 信息安全类要求（简记为S）； n 保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可 用的服务保证类要求（简记为A）； n 通用安全保护类要求（简记为G）。 通用安全保护类要求（G） 业务信息安全类（S） 系统服务保证类（A） 安全保护和系统定级的关系 安全等级级信息系统统保护护要求的组组合 第一级级S1A1G1 第二级级S1A2G2，S2A2G2，S2A1G2 第三级级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3 第四级级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4 n 定级指南要求按照“业务信息”和“系统服务”的需求确定整 个系统的安全保护等级 n 定级过程反映了信息系统的保护要求 基本要求的选择和使用 n 一个3级系统,定级结果为S3A2，保护类型应该是S3A2G3 n 第1步: 选择标准中3级基本要求的技术要求和管理要求; n 第2步: 要求中标注为S类和G类的不变; 标注为A类的要求可以选用2级基本要求中的A类作 为基本要求; 使用基本要求的方式 运营、使用单位/安全服务商 安全规划设计 技术体系设计 管理体系设计 分期/分步安全实施 物理环境安全建设 机房、办公环境安全建设 网络安全建设 安全域划分、边界设备设置、边界访问控制、 边界数据过滤 网络传输加密、网络协议保护、网络防病毒等 主机安全防护 操作系统配置和加固、桌面保护等 应用系统安全开发或改造 身份鉴别、访问控制、安全审计、传输加密等 使用基本要求的方式 检查单位（主管部门、监管机构） 全面检查 技术检查 管理检查 部分检查 技术检查 网络安全 安全域划分、IP地址规划、网关设置 边界设备设置、边界访问控制、边界数据 过滤 网络传输加密、网络协议保护、网络防病 毒 交换机、路由器等网络设备的保护 等等 议 程 等级保护实施流程 等级保护基本要求 安全建设整改 等级测评 指导原则 n 管理办法第二十条： 公安机关检查发现信息系统安全保护状况不符合信息 安全等级保护有关管理规范和技术标准的，应当向运营 、使用单位发出整改通知。运营、使用单位应当根据整 改通知要求，按照管理规范和技术标准进行整改。整改 完成后，应当将整改报告向公安机关备案。必要时，公 安机关可以对整改情况组织检查。 管理办法第二十一条：第三级以上信息系统应当选择使用符合 以下条件的信息安全产品： n（一）产品研制、生产单位是由中国公民、法人投资或者国家 投资或者控股的，在中华人民共和国境内具有独立的法人资格； n（二）产品的核心技术、关键部件具有我国自主知识产权； n（三）产品研制、生产单位及其主要业务、技术人员无犯罪记 录； n（四）产品研制、生产单位声明没有故意留有或者设置漏洞、 后门、木马等程序和功能； n（五）对国家安全、社会秩序、公共利益不构成危害； n（六）对已列入信息安全产品认证目录的，应当取得国家信息 安全产品认证机构颁发的认证证书。 指导原则 新建和已建系统生命周期对应关系 1 总体安全规划 总体安全规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信 息系统承载业务情况，通过分析明确信息系统安全需求，设计合理的、满足等级 保护要求的总体安全方案，并制定出安全实施计划，以指导后续的信息系统安全 建设工程实施。对于已运营（运行）的信息系统，需求分析应当首先分析判断信 息系统的安全保护现状与等级保护要求之间的差距。 总体安全规划流程 （1）安全需求分析 n基本安全需求的确定 目标是根据信息系统的安全保护等级，判断信息系统现有的安全保护水平与国家 等级保护管理规范和技术标准之间的差距，提出信息系统的基本安全保护需求。 n额外/特殊安全需求的确定 目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护基 本要求的部分或具有特殊安全保护要求的部分，采用需求分析/风险分析的方法 ，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的 必要性，提出信息系统的特殊安全保护需求。 n形成安全需求分析报告 目标是总结基本安全需求和特殊安全需求，形成安全需求分析报告。 选择、调整基本安全要求 第一步：根据其等级从基本要求中选择相应等级的 基本安全要求。 第二步：根据定级过程中确定业务信息安全保护等级和 系统服务安全保护等级，确定该信息系统的安全需求类。 第三步：根据系统所面临的威胁特点调整安全要求。 明确系统特殊安全需求 n 特殊需求来自两个方面： 等级保护相应等级的基本要求中某些方面的安 全措施所达到的安全保护不能满足本单位信息系统的 保护需求，需要更强的保护。 由于信息系统的业务需求、应用模式具有特殊 性，系统面临的威胁具有特殊性，基本要求没有提供 所需要的保护措施，例如有关无线网络的接入和防护 基本要求中没有提出专门的要求，需要作为特殊 需求。 明确系统特殊安全需求 n 两种解决方式： 第一种选择基本要求中更高级别的安全要求达到 本级别基本要求不能实现的安全保护能力 第二种参照管理办法第十二条和第十三条列出的 等级保护的其它标准进行保护。 n 等级保护基本安全要求和特殊安全需求共同构成系统的 总的安全需求。 形成安全需求分析报告 n 总结基本安全需求和特殊安全需求 n 形成安全需求分析报告 （2）总体安全设计 n 总体安全策略设计 目标是形成机构纲领性的安全策略文件，包括确定安全方针，制定安全 策略，以便结合等级保护基本要求和安全保护特殊要求，构建机构信息系统 的安全技术体系结构和安全管理体系结构。 n 安全技术体系结构设计 目标是根据信息系统安全等级保护基本要求、安全需求分析报告、机构 总体安全策略文件等，提出系统需要实现的安全技术措施，形成机构特定的 系统安全技术体系结构，用以指导信息系统分等级保护的具体实现。 总体安全设计 n 整体安全管理体系结构设计 目标是根据等级保护基本要求、安全需求分析报告、机构总体安全策略文件 等，调整原有管理模式和管理策略，既从全局高度考虑为每个等级信息系统制 定统一的安全管理策略，又从每个信息系统的实际需求出发，选择和调整具体 的安全管理措施，最后形成统一的整体安全管理体系结构。 n 设计结果文档化 目标是将总体安全设计工作的结果文档化，最后形成一套指导机构信息安全 工作的指导性文件。 （3）安全建设项目规划 n 总体安全策略设计 目标是依据信息系统安全总体方案（一个或多个文件构成）、机构或单 位信息化建设的中长期发展规划和机构的安全建设资金状况确定各个时期的 安全建设目标。 n 安全建设内容规划 目标是根据安全建设目标和信息系统安全总体方案的要求，设计分期分 批的主要建设内容，并将建设内容组合成不同的项目，阐明项目之间的依赖 或促进关系等。 n 形成安全建设项目计划 目标是根据建设目标和建设内容，在时间和经费上对安全建设项目列表 进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形 成安全建设项目计划。 2 安全设计与实施 安全设计与实施 n 总体设计方案的设计原则和安全策略需要具体落实到若干个具体的 建设项目中，一个设计方案的实施可能可以分为若干个实施方案， 分期、分批建设，实现统一设计、分步实施。 n 实施方案不同于设计方案，实施方案需要根据阶段性的建设目标和 建设内容将信息系统安全总体设计方案中要求实现的安全策略、安 全技术体系结构、安全措施和要求落实到产品功能或物理形态上， 提出能够实现的产品或组件及其具体规范，并将产品功能特征整理 成文档。使得在信息安全产品采购和安全控制开发阶段具有依据。 安全方案详细设计 n 技术措施实现内容设计 目标是根据建设目标和建设内容将信息系统安全总体方案中要求实现的 安全策略、安全技术体系结构、安全措施和要求落实到产品功能或物理形态 上，提出能够实现的产品或组件及其具体规范，并将产品功能特征整理成文 档。使得在信息安全产品采购和安全控制开发阶段具有依据。 n 管理措施实现内容设计 目标是根据机构当前安全管理需要和安全技术保障需要提出与信息系统 安全总体方案中管理部分相适应的本期安全实施内容，以保证安全技术建设 的同时，安全管理的同步建设。 n 设计结果文档化 目标是将技术措施落实方案、管理措施落实方案汇总，同时考虑工时和 费用，最后形成指导安全实施的指导性文件。 实施方案 系统建设的安全实施方案包含以下内容： n 本期建设目标和建设内容； n 技术实现框架； n 信息安全产品或组件功能及性能； n 信息安全产品或组件部署； n 安全策略和配置； n 配套的安全管理建设内容； n 工程实施计划； n 项目投资概算。 管理措施实现 n 管理机构和人员的设置 目标是建立配套的安全管理职能部门，通过管理机构的岗位设置、人员 的分工以及各种资源的配备，为信息系统的安全管理提供组织上的保障。 n 管理制度的建设和修订 目标是建设或修订与信息系统安全管理相配套的、包括所有信息系统的 建设、开发、运维、升级和改造等各个阶段和环节所应当遵循的行为规范和 操作规程。 n 人员安全技能培训 目标是对人员的职责、素质、技能等方面进行培训，保证人员具有与其 岗位职责相适应的技术能力和管理能力，以减少人为因素给系统带来的安全 风险。 n 安全实施过程管理 目标是在系统定级、规划设计、实施过程中，对工程的质量、进度、文 档和变更等方面的工作进行监督控制和科学管理。 技术措施实现 n 信息安全产品采购 目标是按照安全详细设计方案中对于产品的具体指标要求进行产品采购 ，根据产品或产品组合实现的功能满足安全设计要求的情况来选购所需的信 息安全产品。 n 安全控制开发 目标是对于一些不能通过采购现有信息安全产品来实现的安全措施和安 全功能，通过专门进行的设计、开发来实现。安全控制的开发应当与系统的 应用开发同步设计、同步实施，而应用系统一旦开发完成后，再增加安全措 施会造成很大的成本投入。因此，在应用系统开发的同时，要依据安全详细 设计方案进行安全控制的开发设计，保证系统应用与安全控制同步建设。 技术措施实现 n 安全控制集成 目标是将不同的软硬件产品集成起来，依据安全详细设计方案，将 信息安全产品、系统软件平台和开发的安全控制模块与各种应用系统 综合、整合成为一个系统。安全控制集成的过程需要把安全实施、风 险控制、质量控制等有机结合起来，遵循运营使用单位与信息安全服 务机构共同参与相互配合的实施的原则。 n 系统验收 目标是检验系统是否严格按照安全详细设计方案进行建设，是否实 现了设计的功能和性能。在安全控制集成工作完成后，系统测试及验 收是从总体出发，对整个系统进行集成性安全测试，包括对系统运行 效率和可靠性的测试，也包括对管理措施落实内容的验收。 3 安全运行与维护 运行管理和控制 n 运行管理职责确定 目标是通过对运行管理活动或任务的角色划分，并授予相应的管理权限 ，来确定安全运行管理的具体人员和职责。 n 运行管理过程控制 目标是通过制定运行管理操作规程，确定运行管理人员的操作目的、操 作内容、操作时间和地点、操作方法和流程等，并进行操作过程记录，确保 对操作过程进行控制。 变更管理和控制 n 变更需求和影响分析 目标是通过对变更需求和变更影响的分析，来确定变更的类别，计划后 续的活动内容。 n 变更过程控制 目标是确保变更实施过程受到控制，各项变化内容进行记录，保证变更 对业务的影响最小。 安全状态监控 n 监控对象确定 目标是确定可能会对信息系统安全造成影响的因素，即确定安全状态监 控的对象。 n 监控对象状态信息收集 目标是选择状态监控工具，收集安全状态监控的信息，识别和记录入侵 行为，对信息系统的安全状态进行监控。 n 监控状态分析和报告 目标通过是对安全状态信息进行分析，及时发现安全事件或安全变更需 求，并对其影响程度和范围进行分析，形成安全状态结果分析报告。 安全事件处置和应急预案 n 安全事件分级 目标是结合信息系统的实际情况，分析事件对信息系统的破坏程度，所 造成后果严重程度，将安全事件依次进行分级。 n 应急预案制定 目标是通过对安全事件的等级分析，在统一的应急预案框架下制定不同 安全事件的应急预案。 n 安全事件处置 目标是对监控到的安全事件采取适当的方法进行处置，对安全事件的影 响程度和等级进行分析，确定是否启动应急响应。 安全检查和持续改进 n 安全状态检查 目标是通过对信息系统的安全状态进行检查，为信息系统的持续改进过 程提供依据和建议，确保信息系统的安全保护能力满足相应等级安全要求。 n 改进方案制定 目标是依据安全检查的结果，调整信息系统的安全状态，保证信息系统 安全防护的有效性。 n 安全改进实施 目标是保证按照安全改进方案实现各项补充安全措施，并确保原有的技 术措施和管理措施与各项补充的安全措施一致有效地工作。 等级测评 n 目标是通过信息安全等级测评机构对已经完成等级保护建设的信息系统定期 进行等级测评，确保信息系统的安全保护措施符合相应等级的安全要求。 系统备案 n 目标是根据国家管理部门对备案的要求，整理相关备案材料，并向受理备案 的单位提交备案材料。 监督检查 n 目标是通过国家管理部门对信息系统定级、规划设计、建设实施和运行管理 等过程进行监督检查，确保其符合信息系统安全保护相应等级的要求。 4 信息系统终止 信息转移、暂存和清除 n 目标是在信息系统终止处理过程中，对于可能会在另外的信息系统中使用的 信息采取适当的方法将其安全地转移或暂存到可以恢复的介质中，确保将来 可以继续使用，同时采用安全的方法清除要终止的信息系统中的信息。 设备迁移或废弃 n 目标是确保信息系统终止后，迁移或废弃的设备内不包括敏感信息，对设备 的处理方式应符合国家相关部门的要求。 存储介质的清除或销毁 n 目标是通过采用合理的方式对计算机介质（包括磁带、磁盘、打印结果和文 档）进行信息清除或销毁处理，防止介质内的敏感信息泄露。 5. 改建实施方案设计 n 已建成并投入运行的系统如何找出现有安全防护与相应等级基本要 求的差距，如何根据差距分析结果设计系统的改建方案，使其能够 指导该系统后期具体的改建工作，逐步达到相应等级系统的保护能 力。 n 系统改建方案设计的主要依据是安全需求分析的结果，和对信息系 统目前保护措施与基本要求的差距的分析和评估。系统改建方 案的主要内容则是解决如何针对这些存在的差距，分析其存在的原 因以及如何进行整改。 n 系统改建设实施方案与新建系统的安全保护设施设计实施方案都是 备案所需要提交的技术文件。 确定系统改建的安全需求 1、根据确定的安全保护等级，参照前述的安全需求分析方法，确定本 系统的总体安全需求，其中包括经过调整的等级保护基本要求和本单 位的特殊安全需求。 2、由信息系统的运营使用单位自己组织人员或由第三方评估机构采用 等级测评方法对信息系统安全保护现状与等级保护基本要求进行符合 性评估，得到与相应等级要求的差距项。 3、针对满足特殊安全需求（包括采用高等级的控制措施和采用其它标 准的要求的）的安全措施进行符合性评估，得到与满足特殊安全需求 的差距项。 差距原因分析 1、整体设计方面的问题，即某些差距项的不满足是由于该系统在整体 的安全策略（包括技术策略和管理策略）设计上存在问题。 2、缺乏相应产品实现安全控制要求。由于安全保护要求都是要落在具 体产品、组件的安全功能上，通过对产品的正确选择和部署满足相应要 求。但在实际中，有些安全要求在系统中并没有落在具体的产品上。 3、产品没有得到正确配置。一般由于使用者技术能力、安全意识的原 因，或出于对系统运行性能影响的考虑等原因，产品没有得到正确的配 置，从而使其相关安全功能没有得到发挥。 分类处理的改建措施 1、如果系统需重新考虑设计网络拓扑结构，包括安全产品或安全 组件的部署位置、连线方式、IP地址分配等。根据网络调整的图示 方案对原有网络进行调整。针对安全管理方面的整体策略问题，机 构需重新定位安全管理策略、方针，明确机构的信息安全管理工作 方向。 2、将未实现的安全技术要求转化为相关安全产品的功能/性能指标 要求，在适当的物理/逻辑位置对安全产品进行部署。 3、正确配置产品的相关功能，使其发挥作用。 改建措施详细设计 系统存在的安全问题（差距项）描述； 差距产生原因分析； 系统整改措施分类处理原则和方法； 整改措施详细设计； 整改投资估算。 议 程 等级保护实施流程 等级保护基本要求 安全建设整改 等级测评 指导原则 n管理办法第十四条 n信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条 件的测评机构，依据信息系统安全等级保护测评要求等技术标准，定期对信息 系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评 ，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特 殊安全需求进行等级测评。 n信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制 度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查，第四 级信息系统应当每半年至少进行一次自查，第五级信息系统应当依据特殊安全需求 进行自查。 n经测评或者自查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位 应当制定方案进行整改。 基本概念 n 等级测评是指测评机构、信息系统的主管部门及运营使用单位针对 信息系统的安全保护情况进行的信息安全等级保护相关标准要求的 符合性测试评定工作。 n 测评单元是指安全控制测评的最小工作单位，由测评项、测评方式 、测评对象、测评实施和结果判定等组成，分别描述测评目的和内 容、测评使用的方式方法、测试过程中涉及的测评对象、具体测试 实施取证过程要求和测评证据的结果判定规则与方法。 n 测评强度是指测评的广度和深度，体现测评工作的实际投入程度。 n 指导系统运营使用单位进行自查 n 指导评估机构进行检测评估 n 监管职能部门参照进行监督检查 n 规范测评内容和行为 测评准则的作用 测评方法 n 对技术要求 访谈方法：目的是了解信息系统的全局性 。范围一般不覆盖所有要求内容。 检查方法：目的是确认信息系统当前具体 安全机制和运行的配置是否符合要求 。范围一般要 覆盖所有要求内容。 测试方法：目的是验证信息系统安全机制 有效性和安全强度。范围不覆盖所有要求内容。 n 对管理要求 对人员方面的要求，重点通过访谈的方式来测评，检查为 辅； 对过程方面的要求，通过访谈和检查的方式来测评； 对规范方面的要求，以检查文档为主，访谈为辅 测评方法 测评基本内容 n 对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容： n 一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息 系统中的实施配置情况； n 二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制 测评是信息系统整体安全测评的基础。 测评强度 n 测评强度是在测评过程中，对测评内容实施测评的工作强度，体现为测评工 作的实际投入程度，反映出测评的广度和深度。测评广度越大，测评实施的 范围越大，测评实施包含的测评对象就越多，测评的深度越深，越需要在细 节上展开，因此就越需要更多的投入。投入越多就越能为测评提供更好的保 证，体现测评强度越强。测评的广度和深度落实到访谈、检查和测试等三种 基本测评方式上，其含义有所不同，体现出测评实施过程中访谈、检查和测 试的投入程度不同。可以通过测评广度和深度来描述访谈、检查和测试三种 测评方式的测评强度。 安全控制测评 n 对安全控制测评的描述，使用工作单元方式组织。工作单元分为安全技术测 评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机 系统安全、应用安全和数据安全等五个层面上的安全控制测评；安全管理测 评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系 统运维管理等五个方面的安全控制测评。 n在内