计算机信息系统安全保护制度汇编

第13章 计算机信息系统安全保护制度

1计算机信息系统安全保护制度汇编第1页13.1安全等级保护制度13.2信息流管理制度13.3计算机信息系统安全技术和专用产品管理制度13.4计算机案件汇报制度13.5软件安全技术第13章计算机信息系统安全保护制度

2计算机信息系统安全保护制度汇编第2页

13.1

安全等级保护制度

13.1.1信息安全等级

13.1.2计算机信息系统安全等级

13.1.3计算机安全等级

13.1.4物理环境安全等级

返回3计算机信息系统安全保护制度汇编第3页

13.1.1信息安全等级

信息安全是指保护信息和信息系统，以防止未授权访问、使用、泄漏、破坏、修改或者销毁，以确保信息完整性、保密性和可用性。 －－《联邦信息安全管理法案》(FISMA)，3月13.1安全等级保护制度返回4计算机信息系统安全保护制度汇编第4页信息安全等级详细划分在不一样地方有不一样标准。主要从信息完整性、保密性和可用性三个方面综合考虑为了保障计算机信息系统安全，规范其应用，促进其发展，我国早在1994年就颁布了《中华人民共和国计算机信息系统安全保护条例》。其中该条例第九条要求：“计算机信息系统实施安全等级保护”，这是我国计算机信息系统安全保护一项基本制度。13.1安全等级保护制度5计算机信息系统安全保护制度汇编第5页由公安部、国家保密局、国际密码管理委员会办公室和国务院信息化工作办公室共同制订《关于信息安全等级保护工作实施意见》中将信息和信息系统安全保护等级分为五级：第一级为自主保护级，适合用于普通信息和信息系统；第二级为指导保护级，适合用于一定程度上包括国家安全、社会秩序、经济建设和公共利益普通信息和信息系统；第三级为监督保护级，适合用于包括国家安全、社会秩序、经济建设和公共利益信息和信息系统；第四级为强制保护级，适合用于包括国家安全、社会秩序、经济建设和公共利益主要信息和信息系统；第五级为专控保护级，适合用于包括国家安全、社会秩序、经济建设和公共利益主要信息和信息系统关键子系统。13.1安全等级保护制度6计算机信息系统安全保护制度汇编第6页1信息保密安全等级1988年9月5日公布《中华人民共和国保守国家秘密法》(简称《保密法》)，是我国当前还在使用国家信息保密法规，其安全等级划分适合用于计算机信息保密安全。国家事务重大决议中秘密事项；国防建设和武装力量活动中秘密事项；外交和外事活动中秘密事项；国民经济和社会发展中秘密事项；科学技术中秘密事项；维护国家安全活动和追查刑事犯罪中秘密事项；其它经国家保密工作部门确定应该保守秘密事项。《保密法》第八条对国家秘密解释13.1安全等级保护制度7计算机信息系统安全保护制度汇编第7页

《保密法》第九条清楚指出，“国家秘密密级分为‘绝密、‘机密’、‘秘密’三级。”它划分是国家秘密对于国家安全和利益主要程度。

密级主要性泄露后果绝密最主要尤其严重损害机密主要严重损害秘密普通损害表信息保密安全等级13.1安全等级保护制度8计算机信息系统安全保护制度汇编第8页2人员安全等级《保密法》第二十七条要求：“国家秘密应该依据需要，限于一定范围人员接触。绝密级国家秘密，经过同意人员才能接触。”《保密法》第二十八条要求：“任用经管国家秘密事项专职人员，应该按照国家保密工作部门和人事主管部门要求给予审查同意。”这些都是以法定形式出现，行之有效人员管理准则。在实际计算机信息操作中，人员安全等级划分主要表现在该人员对信息访问能力和操作情况。借助访问判别、控制机制等安全技术，能够控制不一样操作人员对系统数据、功效之类等信息读、增、删、改、复制等操作能力。对同一信息，人员拥有操作能力越高，则其安全等级也越高。13.1安全等级保护制度9计算机信息系统安全保护制度汇编第9页13.1.2计算机信息系统安全等级

计算机信息系统安全等级划分与计算机信息安全等级划分有所不一样，除了看该信息系统对国家、集体或个人安全和利益主要程度外，计算机实体本身财产价值，岗位主要程度等原因，也是一个划分主要依据。

13.1安全等级保护制度返回10计算机信息系统安全保护制度汇编第10页金融电子化系统安全等级系统安全一级系统安全二级系统安全三级系统安全四级系统安全五级13.1安全等级保护制度11计算机信息系统安全保护制度汇编第11页系统安全一级存放、处理和传输绝密信息金融电子化系统。该系统中信息一旦泄露或破坏，会给国家安全和利益带来尤其严重损害，对金融业造成巨大经济损失。所以，系统应能确保连续可用，不因局部毁坏、故障、事故、差错造成系统效率降低。系统安全二级存放、处理和传输机密信息金融电子化系统。该系统中信息一旦泄露或破坏，会给国家安全和利益带来严重损害，对金融业造成很大经济损失。所以，系统应能连续可用，局部毁坏、故障、事故、差错即使可能影响了系统效率，但仍能正确运行13.1安全等级保护制度12计算机信息系统安全保护制度汇编第12页系统安全三级存放、处理和传输秘密信息金融电子化系统。该系统中信息一旦泄露或破坏，会使国家安全和利益遭受损害，金融业造成一定经济损失。所以，系统应能确保连续可用，不因局部毁坏、故障、事故、差错造成系统效率降低。系统安全四级存放、处理和传输不属于国际密级，但属金融业内部掌握、含有敏感性金融电子化系统。该系统中信息一旦泄露或破坏，会使银行、证券交易商、保险企业及其客户陷入困境，甚至造成损失，使其社会声誉受到损害，所以，系统应有对局部毁坏、故障、事故、差错在短时间内得到排除、纠正和恢复能力。系统安全五级存放、处理和传输不属于以上保护级别电子化系统。该系统毁坏、故障、事故，可能会造成一些金融业务停顿，影响一些金融业务效率，但经济损失不大。13.1安全等级保护制度13计算机信息系统安全保护制度汇编第13页13.1.3计算机安全等级

D类：属非安全保护类，只一个级别。凡不满足其它各级安全要求，皆属此级别。C类：为自主保护类，分为两级（C1,C2)。B类：为强制保护类，分三级(B1,B2,B3)。A类：为验证保护级，拟分两级(A1,超A1)。13.1安全等级保护制度返回14计算机信息系统安全保护制度汇编第14页C类

C1级：含有一定自主型存取控制（DAC）安全机制，系统能定时检验可信计算基（TCB）正确性，维护系统完整性。C2级：含有以用户为单位DAC机制，能进行审计。13.1安全等级保护制度15计算机信息系统安全保护制度汇编第15页B类

B1级：引入强制存取控制（MAC）机制，并对主体和客体进行安全级标识，实施标识管理。B2级：含有形式化安全模型，系统设计结构化，MAC机制更趋完善，具备了最小特权管理，以及可信通道机制、隐通道分析和处理等。B3级：含有严格系统结构化设计和TCB最小复杂性设计，应具备全方面存取控制访问监控机制，以及审计实时汇报机制等。13.1安全等级保护制度16计算机信息系统安全保护制度汇编第16页A类A1级：含有系统形式化顶层设计说明（FTDS），并形式化验证FTDS与形式化模型一致性，隐通道问题则用形式化技术处理等。超A1级：比A1级含有更高安全可信度要求，这已超出了当前技术发展水平，有待深入描述。13.1安全等级保护制度17计算机信息系统安全保护制度汇编第17页计算机安全等级主要技术办法如右表序号安全技术方法适用最低级别1判别使用口令登录各用户C22维护用户资格不受侵害B13能产生保持保护客体存取审核踪迹C24受权读取审核踪迹C25含有事件审核统计C26用户标识符选择C27安全情况审核B18隐蔽该信道事件审核B29实时威胁监控B310用户存取控制C211存取标准锁定C212存取授权限制C213存取控制表存取方式和控制B314资源存放区保护隔离C215地址空间进程隔离B113.1安全等级保护制度18计算机信息系统安全保护制度汇编第18页续上表16硬件积木化B217存放区去除再使用C218正确标识安全等级B119打印标志B120级别信道路由指定B121多信道报文标签B122敏感标志B123外部资源标志B124动态终端标识B225安全、泄漏和完整性B126对外部用户控制B227操作、管理人员分离B228管理活动审核B329可注册路径B230安全级别改变可信路径B231安全恢复B3序号安全技术方法适用最低级别13.1安全等级保护制度19计算机信息系统安全保护制度汇编第19页13.1.4物理环境安全等级计算机所运行物理环境主要是指计算机信息系统周围环境，即计算机信息系统场地。我国国家标准《计算站场地安全要求》（GB9361-88）和《计算站场地技术条件》（GB2887-89）对计算机场地安全要求，作了明确等级要求。13.1安全等级保护制度返回20计算机信息系统安全保护制度汇编第20页在《计算站场地安全要求》中，把计算机房分为3种基本安全类别：A类：对计算机房安全有严格要求，有完善计算机房安全办法。B类：对计算机房安全有较严格要求，有完善计算机房安全办法。C类：对计算机房安全有基本要求，有基本计算机房安全办法。13.1安全等级保护制度21计算机信息系统安全保护制度汇编第21页1计算机房温湿度要求项目A级指标B级指标C级指标温度夏季22±2℃15~30℃10~35℃相对温度45%~65%40%~70%30%~80%温度改变率<5℃/h<10℃/h<15℃/h不凝露不凝露不凝露13.1安全等级保护制度22计算机信息系统安全保护制度汇编第22页2计算机房供电要求

项目A类指标B类指标C类指标电压表动率（%）-5~+5-10~+7-15~+10频率改变（Hz）-0.2~+0.2-0.5~+0.5-1~+1波形失真率（%）≤±5≤±7≤±1013.1安全等级保护制度23计算机信息系统安全保护制度汇编第23页3计算机系统接地要求接地名称作用接地电流接地电阻避雷地防雷击（防建筑内可免）极大<10交流电源中线人身及设备运行安全大<18直流电源地人身及设备运行安全大安全防护地人身安全大<18屏蔽地防信息泄漏、防干扰中或小<3或1信号地信息运行安全小<3或113.1安全等级保护制度24计算机信息系统安全保护制度汇编第24页13.2信息流管理制度

13.2.1信息流管理控制相关概念13.2.2计算机信息媒体进出境申报制度13.2.3计算机信息网络国际联网安全保护管理方法返回25计算机信息系统安全保护制度汇编第25页13.2.1信息流管理控制相关概念信息流动路径信息流动方式有两种：信息存放在一些媒介上，如存在Ｕ盘里，手机上，再经过当代通信方式或携带，邮寄，托运等，造成信息流动； 信息也能够直接经过网络传输，造成信息流动。我们在电子商务中所讲信息流通常情况讲就是后者。计算机互联，网络互联主要路径是有线和无线两种。有线方式是当前我国网络互联主要方式，或经过邮电部分组交换网，或租用邮电部国际专线来实现。13.2信息流管理制度返回26计算机信息系统安全保护制度汇编第26页与国际联网单位类型依据《中国互联网络域名注册暂行管理方法》，我国互联网络二级域名包含318个“行政区域名”和6个“类别域名”。我国境内计算机信息系统，经过物理通信信道，直接或间接与境外(含港、澳、台地域)计算机信息系统连接，均属于国际联网计算机信息系统。拥有这些系统购单位，大致上有：金融、经贸、海运、海关等国有单位、独资、合资企业、外国驻华使(领)馆以及新闻代表机构，还有与国际信息服务网相连接用户单位等。13.2信息流管理制度27计算机信息系统安全保护制度汇编第27页网络安全纳入规范化、法制化管理轨道针对当前我国计算机信息网络国家联网安全保护工作需要，为了加强计算机信息网络国际联网安全保护管理，维护国家安全、社会稳定和信息安全，保障公共秩序，促进计算机信息系统应用发展，当务之急是必须早日形成规范有序信息出入国境“口岸”。相关管理规范制度主要有：《中华人民共和国计算机信息网络国际联网管理暂行要求》、《公安部关于对与国际联网计算机信息系统进行立案工作通知》、《计算机信息网络国际联网安全保护管理方法》、《计算机信息媒体进出境申报制度》,还有国务院信息化工作领导小组公布《中国互联网络域名注册暂行管理方法》和《中国互联网络域名注册实施细则》等。13.2信息流管理制度28计算机信息系统安全保护制度汇编第28页13.2.2计算机信息媒体进出境申报制度1计算机信息媒体相关概念计算机信息媒体主要是指含有存放功效集成电路存放器、磁盘、磁带、光盘等，它们能够存放各种形式信息，如文字、图形、声音、图像、视频、动画等等。出境信息媒体，有可能造成有损专利、版权、机密及其它主要信息有害外流；入境信息媒体，有可能造成有害信息在国内传输。计算机信息媒体有其本身许多特点，所携带信息量可能相当大；体积小，便于携带；复制方便；其中信息往往能以压缩或加密等方式出现，不易直接读出其中内容；内容所包括专业较广，其中内容和性质等往往需要专业人员帮助才能进行判别；分析判别往往需要对应检测设备、检测环境条件、及不定时分析方法，花费时间等。13.2信息流管理制度返回29计算机信息系统安全保护制度汇编第29页2计算机信息媒体出入境普通处理(1)申报。普通由信息媒体拥有者向海关和公安机关主管部门如实申报。有交接关系，可委托境内收方帮助申报或代理申报。(2)检测。由公安机关主管部门主持安排实施，检测完成，做出准予报送是否决定。(3)报送。海关查验属实放行。未经公安机关检测或媒体发生替换，不予放行。(4)其它。暂时报关，普通应扣留待查。如有担保条件，则可留下原件待查，放行副本。13.2信息流管理制度30计算机信息系统安全保护制度汇编第30页13.2.3计算机信息网络国际联网安全保护管理方法

1997年国务院同意公安部公布了《计算机信息网络国际联网安全保护管理方法》，使我国国际信息网络互联信息流安全管理正式纳入了法制化和规范化轨道，其内容包含：制订《方法》基本指导思想《方法》禁止活动和内容安全责任公安机关计算机管理监察机构职责13.2信息流管理制度返回31计算机信息系统安全保护制度汇编第31页

13.3计算机信息系统安全技术

和专用产品管理制度13.3.1计算机信息系统安全专用产品相关概念13.3.2计算机安全专用产品管理普通标准13.3.3计算机安全专用产品管理制度返回32计算机信息系统安全保护制度汇编第32页13.3.1计算机信息系统安全专用产品相关概念

1

计算机安全专用产品分类计算机安全专用产品是指用于保护计算机信息系统安全专用硬件和软件产品。计算机安全专用产品分为三大类：实体安全专用产品、运行安全专用产品和信息安全专用产品，每一个大类下又细分了小类，详见下页表。13.3计算机信息系统安全技术

和专用产品管理制度返回33计算机信息系统安全保护制度汇编第33页

A类A类实体安全A10类环境安全A11类受灾保护A12类受灾恢复计划辅助软件A13类区域保护A20类设备安全A21类设备防盗A22类设备防毁A23类预防电磁信息泄漏A24类预防线路截获A25类抗电磁干扰A26类电源保护A30类媒体安全A31类媒体安全A32类媒体数据安全13.3计算机信息系统安全技术

和专用产品管理制度34计算机信息系统安全保护制度汇编第34页B类B类运行安全B10类风险分析B20类审计跟踪B30类备份与恢复B40类应急B41类应急计划辅助软件B42类应急方法13.3计算机信息系统安全技术

和专用产品管理制度35计算机信息系统安全保护制度汇编第35页 C类C类信息安全C10类操作系统安全C11类安全操作系统C12类操作系统安全部件C20类数据库安全C21类安全数据库系统C22类数据库系统安全部件C30类网络安全C31类网络安全管理C32类安全网络系统C33类网络系统安全部件C40类计算机病毒防护C41类单机系统病毒防护C42类网络系统病毒防护C50类访问控制C51类出入控制C52类存放控制C60类密码C61类加密设备C62类密钥管理C70类判别C71类身份判别C72类完整性判别C73类不可否定判别13.3计算机信息系统安全技术

和专用产品管理制度36计算机信息系统安全保护制度汇编第36页13.3.2计算机安全专用产品管理普通标准坚持独立自主标准坚持规范化、法制化管理标准13.3计算机信息系统安全技术

和专用产品管理制度返回37计算机信息系统安全保护制度汇编第37页13.3.3计算机安全专用产品管理制度计算机安全专用产品管理应该涵盖从开发到销售、使用等整个周期过程，因为我国当前立法还不完善，安全专用产品管理制度还不能完全覆盖整个周期。以《计算机信息系统安全专用产品检测和销售许可证管理方法》为例，其内容包含：《许可证方法》适用范围检测机构检测方法销售许可销售许可中违法行为13.3计算机信息系统安全技术

和专用产品管理制度返回38计算机信息系统安全保护制度汇编第38页13.4计算机案件汇报制度

13.4.1计算机安全事件相关概念13.4.2计算机安全事件汇报内容返回39计算机信息系统安全保护制度汇编第39页13.4.1计算机安全事件相关概念1计算机安全事件定义

计算机安全事件是指对计算机信息系统可用性、完整性、保密性、真实性、可核查性和可靠性等造成危害事件，或者是在计算机信息系统发生对社会造成负面影响其它事件。它主体是计算机安全事件制造者或造成计算机安全事件最终原因。它客体是受计算机安全事件影响或发生计算机安全事件计算机信息系统。详细地说，计算机安全事件客体可分为信息系统、信息内容和网络基础设施三大类。

13.4计算机案件汇报制度返回40计算机信息系统安全保护制度汇编第40页

2计算机安全事件分级

依据计算机安全事件所造成后果严重程度，计算机安全事件可划分为5个等级。其中1级危害程度最高，5级危害程度最低，如右图。3级和3级以上计算机安全事件称为重大信息安全事件。分级分级内容1级本级计算机安全事件对计算机信息系统所承载业务、事发单位利益以及社会公共利益有灾难性影响或破坏，对社会稳定和国家安全产生灾难性危害；2级本级计算机安全事件对计算机信息系统所承载业务、事发单位利益以及社会公共利益有极其严重影响或破坏，对社会稳定、国家安全造成严重危害；3级本级计算机安全事件对计算机信息系统所承载业务、事发单位利益以及社会公共利益有较为严重影响或破坏，对社会稳定、国家安全产生一定危害；4级本级计算机安全事件对计算机信息系统所承载业务以及事发单位利益有一定影响或破坏；5级本级计算机安全事件对计算机信息系统所承载业务以及事发单位利益基本不影响或损害极小。13.4计算机案件汇报制度41计算机信息系统安全保护制度汇编第41页3计算机安全事件分级规范信息密级级别信息密级1级明确标注有“绝密”信息失窃或泄密2级明确标注有“机密”信息失窃或泄密3级明确标注有“秘密”信息失窃或泄密4级本单位工作秘密信息失窃或泄密5级本单位敏感信息或个人隐私信息失窃或泄密13.4计算机案件汇报制度42计算机信息系统安全保护制度汇编第42页公众影响公众影响分级规范

发生时间影响范围和程度敏感时期日常时期对国家安全造成影响计算机安全事件1~2级2~3级对社会稳定造成影响计算机安全事件1~2级2~3级对事发单位正常工作秩序、单位形象和声誉等造成影响计算机安全事件3~4级4级只对事发单位部分人员正常工作秩序造成影响计算机安全事件4~5级5级13.4计算机案件汇报制度43计算机信息系统安全保护制度汇编第43页业务影响业务影响分级规范中止时间信息系统安全等级4小时以内4小时（含）以上，8小时以内8小时（含）以上52~3级1~2级1~2级42~3级1~2级1~2级33~4级2~3级1~2级24~5级3~4级3级15级4~5级3~4级13.4计算机案件汇报制度44计算机信息系统安全保护制度汇编第44页资产损失资产损失分级规范级别累计资产损失（人民币）1级1000万元（含）以上2级300万元（含）~1000万元之间3级50万（含）~300万元之间4级5万元（含）~50万元之间5级5万元以下13.4计算机案件汇报制度45计算机信息系统安全保护制度汇编第45页计算机安全事件分类《中华人民共和国计算机信系统安全保护条例》第十四条要求：“对计算机信息系统中发生案件，相关使用单位应该在218小时内向当地县级以上人民政府公安机关汇报。”着重强调了对于计算机安全事件，必须及时汇报。也就是说，我国计算机安全事件采取计算机案件汇报制度。计算机安全事件可分为环境灾害、常规事故、内容异常、网络或系统异常和其它事件等5个第一层分类，在此基础上，再细分成若干个第二层和第三层分类。

13.4计算机案件汇报制度46计算机信息系统安全保护制度汇编第46页13.4.2计算机安全事件汇报内容

单位名称

汇报人

联络电话

通讯地址

传真

电子邮件

负责部门

责任人

计算机安全事件客体名称

类别□网络基础设施□信息系统□信息内容用途描述：

计算机安全事件简明描述（如以前出现过类似情况也应加以说明）

初步判定事件类别事件一层类别□环境灾害□常规事故□内容异常□网络或系统异常□其它事件事件二层类别

事件三层类别

计算机安全事件初步定级结果信息密级要素定级结果□1级□2级□3级□4级□5级公众影响要素定级结果□1级□2级□3级□4级□5级业务影响要素定级结果□1级□2级□3级□4级□5级资产损失要素定级结果□1级□2级□3级□4级□5级综合定级结果□1级□2级□3级□4级□5级当前采取应对方法

此次计算机安全事件初步影响情况事件后果□业务中止□系统破坏□数据丢失□其它

影响范围□单台主机□

台主机□整个信息系统□整个局域网□

13.4计算机案件汇报制度返回47计算机信息系统安全保护制度汇编第47页13.5软件安全技术13.5.1软件安全基本要求1计算机软件安全包括范围2软件本质及特征3软件安全技术办法13.5.2惯用软件保护方式返回48计算机信息系统安全保护制度汇编第48页13.5.1软件安全基本要求1计算机软件安全包括范围1）软件本身安全保密指软件完整，即确保操作系统软件、数据库管理软件、网络软件、应用软件及相关资料完整。2）数据安全保密即系统拥有和产生数据信息完整、有效，使用正当，不被破坏或泄露。3）系统运行安全保密比如系统资源和信息使用安全保密。返回13.5软件安全技术49计算机信息系统安全保护制度汇编第49页1）软件是用户使用计算机工具。2）软件是将特定装置转换成逻辑装置伎俩。3）软件是计算机系统一个资源。4）软件是信息传输和交流工具。5）软件是知识产品，是当代社会一个商品形式；6）软件能够储存、进入各种媒体；7）软件能够移植，包含在相同和不相同机器上移植；2软件本质及特征13.5软件安全技术50计算机信息系统安全保护制度汇编第50页9）软件能够非法入侵计算机系统。10）软件含有潜伏性，能够潜伏在载体或计算机系统中，从而组成在正当操作或文件名义下非授权。11）软件含有再生性，在信息传输过程中或共享系统资源环境下存在非线性增加模式。12）软件含有可激发性，在一定条件刺激下可成为逻辑炸弹。13）软件含有破坏性。14）软件含有攻击性。8）软件能够非法入侵载体。13.5软件安全技术51计算机信息系统安全保护制度汇编第51页从软件安全技术角度出发，软件含有两重性：软件含有巨大使用价值软件含有潜在破坏性能量13.5软件安全技术52计算机信息系统安全保护制度汇编第52页

非技术性办法比如制订相关法律、法规。技术性办法1）软件加密2）软件保护3）软件反跟踪4）软件测试3软件安全技术办法13.5软件安全技术53计算机信息系统安全保护制度汇编第53页13.5.2惯用软件保护方式盗版软件类型

1）企业盗版：企业未经授权在其内部计算机系统中使用软件。

2）硬盘预装盗版

3）软件仿冒盗版

4）光盘盗版

5）互联网盗版：盗版者在Internet站点上公布广告，出售假冒软件或汇编软件或允许下载软件产品。返回13.5软件安全技术54计算机信息系统安全保护制度汇编第54页13.5.2惯用软件保护方式1序列号方式2警告窗口3时间限制4