等级保护基本要求培训

信息系统安全等级保护的基本要求、目录、等级保护等级和等级保护的重要标准。GB17859-1999计算机信息系统安全等级分类标准GB/T 22239-2008信息系统安全等级保护基本要求GB/T 22240-2008信息系统安全等级保护分级指南信息系统安全等级保护评估流程指南(GB批准草案)信息系统安全等级保护评估要求(GB批准草案)T25058-2010信息系统安全等级保护实施指南GB/T25070-2010信息系统等级保护安全设计技术要求，相关信息系统安全等级保护系统框架路由器安全技术要求GB/T 20269-2006信息系统安全管理要求GB/T 20270-2006网络基础安全技术要求GB/T 20271-2006信息系统安全通用技术要求GB/T 20272-2006操作系统安全技术要求GB/T202732006数据库管理系统安全技术要求 入侵检测系统技术要求和测试评估方法GB/T20278-2006网络漏洞扫描产品技术要求GB/T20279-2006网络和终端设备隔离组件安全技术要求GB/T20281-2006防火墙技术要求和测试评估方法GB/t 20282-2006信息系统安全工程管理要求GB/t20979-2007虹膜识别系统技术要求GB/t20984-2007 T210532007公钥基础设施中公钥基础设施系统安全等级保护技术要求(GB/Z20985-2007)信息安全事件管理指南(YD/TGB/Z20986-2007)信息安全事件分类和分级指南，分级过程，G=MAX(S，A)，S，A，安全保护与系统分级的关系，目录，等级保护的基本要求，管理办法分类和保护第8条。 信息系统运营和使用单位应当按照本办法和相关技术标准保护信息系统。国家有关信息安全职能部门应当对其信息安全等级保护工作进行监督管理。实施和管理“管理办法”等级保护”第十二条在信息系统建设过程中，运营和使用单位应当按照计算机信息系统安全保护等级划分准则 (GB17859-1999)和信息系统安全等级保护基本要求等技术标准，同时参照等技术标准建设符合本等级要求的信息安全设施。管理办法等级保护的实施和管理第十三条，运行和使用单位应参照信息安全技术信息系统安全管理要求 (GB/T20269-2006)、信息安全技术信息系统安全工程管理要求 (GB/T20282-2006)、信息系统安全等级保护基本要求等管理规范，制定并实施符合系统安全保护等级要求的安全管理体系。“管理办法”等级保护”第14条的实施和管理。信息系统建设完成后，运营使用单位或其主管部门应选择符合本办法规定条件的评估单位，并根据信息系统安全等级保护测评要求等技术标准定期对信息系统的安全等级状况进行等级评估。三级信息系统每年至少进行一次评级评估，四级信息系统每半年至少进行一次评级评估，五级信息系统根据特殊安全需求进行评级评估。“管理办法”等级保护的实施和管理第十四条信息系统运行使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度和措施的实施情况进行自查。三级信息系统应技术标准和管理规范、技术标准和管理规范、信息系统分级、信息系统安全建设或改造、安全条件满足等级保护要求的信息系统的作用，管理办法定位，是系统安全保护和等级评价的基本“尺度”。同一等级的系统用统一的“尺度”来衡量，既保证权威性，又是一条标准线。各级信息系统按照基本要求进行保护后，信息系统具备相应级别的基本安全保护能力，达到基本安全状态；开展安全防护工作是各级信息系统的基本出发点。通过需求分析补充基本要求并参考与级别保护或安全性相关的其他标准，可以实现更适当的保护。基本要求与其他标准的关系、等级保护基本要求的效果、基本要求的定位、一定等级的信息系统、基本保护、精确保护、基本要求、保护、基本要求、评价、补充安全措施GB17859-1999通用技术要求、安全管理要求、高级基本要求、等级保护、其他标准、安全相关标准等。基本保护，特殊需要的补充措施，目录，基本要求的基本思想是，不同级别的安全保护能力要求第一级安全保护能力应该能够保护系统免受由资源很少的个人威胁源发起的恶意攻击(例如，使用公开可用的工具等)。)，一般自然灾害(强度弱、持续时间短)和其他危害程度相当大的威胁(无意失误、技术故障等)造成的关键资源损害。)，并在系统损坏后恢复一些功能。第二级安全保护能力应该能够保护系统免受来自小型外部组织(例如，由三两个人组成的自发黑客组织)的威胁源发起的恶意攻击，以及具有少量资源的威胁(例如，个人能力、公开可用或专门开发的工具等)。)，一般自然灾害(如一般强度、持续时间短、覆盖面小等。)和其他危害程度相当大的威胁(无意错误、技术故障等。)，能够发现重要的安全漏洞和安全事件，并在系统损坏后的一段时间内恢复一些功能。不同级别的安全保护能力要求第三级安全保护能力能够在统一的安全策略下保护系统免受外部有组织团体(如商业情报组织或犯罪组织)的攻击。由资源相对丰富(包括人员能力和计算能力等)的威胁源发起的恶意攻击。)，更严重的自然灾害(强度更大、持续时间更长、覆盖面更广的灾害等)造成的重大资源破坏。)和其他危害程度相当大的威胁(来自内部人员的恶意威胁、无意的错误、更严重的技术故障等。)，可以发现安全漏洞和安全事件，并在系统损坏后快速恢复大部分功能。第四级安全保护能力应该能够保护系统免受恶意攻击、严重自然灾害(灾害强度大、持续时间长、覆盖面广等)造成的资源破坏。)和其他威胁(内部人员的恶意威胁、无意的错误、严重的技术故障等。)来自国家一级的敌对组织，它们拥有统一安全战略下的丰富资源。它应该能够发现安全漏洞和安全事件，并在系统损坏后快速恢复所有功能。各要素之间的关系，安全防护能力，基本安全要求，各层次信息系统，基本技术措施，基本管理措施，具有，包括，满足，满足，实现，基本要求核心思想，一定层次体系，技术要求，管理要求，基本要求，建立安全技术体系，建立安全管理体系，具有一定层次安全防护能力的体系，不同层次体系防护要求的差异(宏观)， 安全保护模型PPDRR、保护保护策略检测响应响应、恢复、恢复、各级系统(宏观)、一级系统、二级系统、三级系统、四级系统的保护需求差异、保护、保护/监控、策略/保护/监控/恢复、策略/保护/监控/恢复/响应、各级系统的保护需求差异(宏观)、业务成功完成、信息安全、纵深防御战略、人员、技术、运营、防御网络和基础设施、防御飞地边界、防御计算环境、支持基础设施、安全保护模型IATF、 各级系统(宏观)、1级系统、2级系统、3级系统、4级系统、通信/边界(基本)、通信/边界/内部(关键设备)、通信/边界/内部(主要设备)、通信/边界/内部/基础设施(所有设备)、能力成熟度模型CMM、各级系统(宏观)、1级系统、2级系统、3级系统、4级系统、规划和跟踪(主要系统)、规划和跟踪(主要系统)、明确定义(管理活动的制度化)的保护要求的差异。 持续改进(管理活动的制度化/及时改进)、各级系统保护要求的差异(微观)、某一级系统的主要内容、物理安全、技术要求、管理要求、基本要求、网络安全、主机安全、应用安全、数据安全、安全管理组织、安全管理体系、人员安全管理、系统建设管理、系统运行维护管理、目录、基本要求，共9章2附录。 1.适用范围2。规范性引用3。术语和定义。等级保护概述.9基本要求附录A信息系统整体安全保护能力要求附录B基本安全要求的选择和使用、基本要求的组织、等级体系、等级、技术要求、管理要求、基本要求、等级、控制点、具体要求。.基本要求，例如，网络安全技术要求(类别)访问控制(G2)(控制点)该要求包括：(具体要求)a)应在网络边界部署访问控制设备，以启用访问控制功能；b)它应该能够根据会话状态信息为数据流提供清晰的访问许可/拒绝能力，并且控制粒度应该在网段级别。c)根据用户与系统之间的允许访问规则，决定允许或拒绝用户访问受控系统的资源，控制粒度为单用户；d)拨号接入的用户数量应该受到限制。基本要求例如，技术要求网络安全(类别)访问控制(G3)该要求包括：a)访问控制设备应部署在网络边界以启用访问控制功能；B)能够根据会话状态信息为数据流提供清晰的访问许可/拒绝能力，并具有端口级的控制粒度；(3)对进出网络的信息内容进行过滤，实现对应用层协议的命令级控制，如HTTP、FTP、TELNET、SMTP、POP3等。d)网络连接应该在会话不活动一段时间后或者在会话结束后终止；e)应限制最大网络流量和网络连接数；f)重要网段应采取技术措施防止地址欺骗；g)根据用户与系统之间的允许访问规则，决定允许或拒绝用户访问受控系统的资源，控制粒度为单用户；h)具有拨号访问权限的用户数量，基本要求标注方法，基本要求技术要求管理要求标注业务信息安全类要求(标注为s类)，系统服务保障类要求(标注为a类)，一般安全防护类要求(标注为g类)，三类要求之间的关系，一般安全防护类要求(g类)，业务信息安全类(s类)，系统服务保障类(a类，安全要求，基本要求的选择和使用，一个三级系统，评分结果为S3A2， 并且保护类型应为S3A2G3步骤1 :选择标准中的三级基本要求的技术要求和管理要求； 步骤2 :的要求被标记为与标准和通用等级相同；对于标为甲类的要求，可选择二类基本要求中的甲类作为基本要求；安全保护与系统分级的关系。分级指南要求根据“业务信息”和“系统服务”的要求确定整个系统的安全防护分级流程。分级过程反映了信息系统的保护要求。第一级：计算机系统的电源控制(A):和电源应与其他电源分开。应提供稳压器和过压保护设备。二级：应提供短期备用电源(如：不间断电源设备)。3级：应具有冗余或平行的电力电缆线路；备用电源系统(如备用发电机)。级别4 :与级别3有相同的要求。电磁保护(S)，等级I :没有这个要求。二级：要求具有基本的电磁保护能力，如电力线和通信电缆应分开敷设。除了第二级的要求外，第三级：增强了其保护能力，要求其能够实现对关键设备和磁介质的电磁屏蔽。在三级需求的基础上，4级：要求屏蔽范围扩展到关键区域、不同级别系统控制点的差异、不同级别系统需求的差异、基本需求组织方法、基本需求-组织方法、系统级别、物理安全、技术要求、管理要求、基本需求、网络安全、主机安全、应用安全、数据安全、安全管理组织、安全管理系统、人员安全管理、系统建设管理、系统运行和维护管理。 技术要求-物理安全，技术要求-网络安全，技术要求-主机安全，技术要求-应用安全，技术要求-数据安全，基本要求-组织模式，特定级别的系统，物理安全，技术要求，管理要求，基本要求，网络安全，主机安全，应用安全，数据安全，安全管理组织，安全管理系统，人员安全管理，系统建设管理，系统运行和维护管理，管理要求-安全管理组织，岗位设置，人员配备，授权和批准，通信和合作，审查和检查，管理要求，安全管理组织，安全管理系统， 人员安全管理、系统建设管理、系统运行和维护管理、基本要求-安全管理体系、基本要求-人员安全管理、基本要求-系统建设管理、基本要求-系统运行和维护管理、管理要求、安全管理组织、安全管理体系、人员安全管理、系统建设管理、系统运行和维护管理、各级系统安全保护要求-物理安全、物理安全主要涉及环境安全(防火、防水、防雷等)。 )设备和介质的防盗和防破坏等。具体包括：物理位置选择、物理访问控制、防盗防损坏、防雷击、防火、防水防潮、防静电、温湿度控制、电源、电磁防护等十个控制点。各级系统安全保护要求-物理安全，各级系统安全保护要求-物理安全，一级物理安全要求：主要要求四级实体安全要求：进出机房的要求进一步加强，需要多通道电子设备监控；就物理环境而言，要求采用一定的防护设备进行保护，如静电消除装置等。各级系统安全防护要求网络安全，网络安全的主要方面包括：网络结构、网络边界和网络设备安全等。具体控制点包括：结构安全、访问控制、安全审计、边界完整性检查、入侵