等级保护及等级化安全保障体系设计.ppt

1、等级保护及等级化安全保障体系设计,卫士通信息产业股份有限公司 吴鸿钟 博士 2006年7月,提纲,卫士通对等级保护政策的理解 卫士通等级化安全保障体系设计的成功案例 总结,卫士通对等级保护政策的理解,等级保护是我国信息安全领域的一项基本政策 1994年，中华人民共和国计算机信息系统安全保护条例的发布 1999年，计算机信息系统安全保护等级划分准则 GB17859-1999发布 2003年，中央办公厅、国务院办公厅转发国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号文） 2004年，四部委联合签发了关于信息安全等级保护工作的实施意见 （公通字200466号文） 国务院信息化

2、工作办公室发布电子政务信息安全等级保护实施指南（试行,卫士通对等级保护政策的理解,等级保护是我国信息安全领域的一项基本政策 2005年12月，国家保密局发布涉及国家秘密的信息系统分级保护管理办法、涉及国家秘密的信息系统分级保护技术要求 2005年12月，公安部信息系统安全等级保护实施指南、信息系统安全等级保护定级要求、信息系统安全等级保护基本要求、信息系统安全等级保护测评准则（GB送审稿陆续出台） 2006年3月开始实施的公安部、国家保密局、国家密码管理局、国信办四部委（局办）发布7号文 等级保护管理办法,卫士通对等级保护政策的理解（续,等级保护的核心是将传统的定性设计逐步进化为定量的安全保障

3、设计 对信息系统实施不同等级的安全保护 对信息系统中使用的安全产品实施分等级管理 对信息系统发生的安全事件分等级响应和处置,等级保护体现了差异化的安全保障思想 由系统使命决定系统的等级，充分考虑业务信息安全性和业务服务保证性 结合基本要求，并依据风险评估的结果对安全保护措施进行调整 对3级及以上系统实施相应的监督和管理 对涉及国家安全、经济建设、社会稳定等方面的重要信息系统重点保护 对于涉及国家秘密的信息系统 规范定密，准确定级；依据标准，同步建设；突出重点，确保核心；明确责任，加强监督 涉及国家秘密的信息系统按照所处理信息的最高密级，由低到高划分为秘密级、机密级(一般和增强)和绝密级三个级别

4、，其总体防护水平分别不低于三级、四级、五级的要求,卫士通对等级保护政策的理解（续,等级化安全保障体系设计的案例,卫士通公司在金审工程中，系统性运用了等级保护、风险评估的思想，成功设计了等级化安全保障体系 主要经验体现在5个方面 关于信息系统的划分 关于系统的定级 关于风险评估 关于等级化保障体系设计流程 关于等级化保障体系设计,信息系统的划分,信息系统的概念有大有小，在工程实践中，过大的划分不利于对信息进行有针对性的保护，因此需要对信息系统进行有效的划分 信息系统的划分原则是相同的管理机构、相同的业务类型、相同的物理位置或相似的运行环境 【公安部信息系统安全保护等级定级指南,信息系统的划分可以

5、从安全区域、业务系统和保护对象三个不同角度进行： 安全区域侧重从物理区域进行划分，比如核心区、接入区；用户区、管理区；外网、接入网、内网等，其优点是划分相对容易，缺点是粒度较粗 业务系统侧重从应用系统进行划分，优点是粒度较细，缺点是实际操作比较困难，当然也可以考虑几个业务系统的组合 我们在金审工程中引入的保护对象则综合了安全区域和业务系统两种方法的优点，既考虑了信息系统的信息流向、业务流程也考虑了信息系统的物理归属,信息系统的划分,信息系统的划分反映了不同的思路,保护对象实质是风险评估的资产划分模型；安全区域实质是具有类似安全要求的物理位置划分模型； 保护对象侧重在风险评估；安全区域侧重在边界

6、防护； 风险评估是等级保护的基础组成部分；边界保护相反只是措施而已； 但是保护对象与安全域并不矛盾，它们是两种不同的分类法，在具体的操作时，原则是：已有系统采用保护对象设计方法；新建系统采用安全区域设计方法。 新建系统先网络后应用； 已有系统先应用后网络,信息系统所属类型,业务信息类型,信息系统服务范围,业务依赖程度,业务信息安全性取值,业务服务保证性取值,业务服务保证性等级,1. 赋值,选择调节因子,业务子系统安全保护等级,2. 确定两个指标等级,业务信息安全性等级,3 确定业务子系统等级,信息系统安全保护等级,4. 确定信息系统等级,其它业务子系统,信息系统的定级,根据公安部、国家保密局、

7、国家密码管理局、国信办四部委（局办）7号文第17条“涉及国家秘密的信息系统按照所处理信息的最高密级，由低到高划分为秘密级、机密级和绝密级三个级别，其总体防护水平分别不低于三级、四级、五级的要求” 可以得出一个信息系统的级别至少应该为3级以上，才能称得上是一个涉密系统。然后根据信息的安全属性确定属于秘密、机密和绝密中的哪一种。同时依据涉及国家秘密的信息系统分级保护技术要求中的办法进行等级确定和安全措施的确定 我们在金审工程中，分别按照相关文件精神并结合金审工程实际情况，对外网和内网进行了等级的确定,信息系统的定级（续,在定级的基础上，我们依据相关政策确定了相应的基本要求 依据我们前期对金审工程资

8、产、威胁、脆弱性、影响程度、安全措施等分析和评估，在金审工程中，我们对安全保护措施在基本要求的基础上又重新进行部分调整，突出了重点,依据风险评估结果调整安全措施,信息系统的划分 与定级,安全需求,安全保障体系,安全解决方案,风险评估,等级保护 政策、标准、指南,安全规划,安全产品分级,安全事件分级,系统运行,影响等级,基本安全要求,等级化安全保障体系设计流程,等级保护的流程深刻地揭示了各种因素对等级化保护所带来的潜移默化的影响 等级保护的流程同时也揭示了等级保护和传统信息安全保护的本质联系，他们都需要遵循信息系统安全工程的思想 需要就产品的分等级和事件的分等级进行后续的研究,等级化安全保障体系设计流程（续,等级化安全保障体系的基本框架,总结,卫士通公司紧密跟踪并深刻领会国家在等级保护、风险评估、灾备和应急等方面的政策，拥有了一支具有较高技能的队伍 卫士通公司安全