2022信息系统安全等级保护等级保护基本要求技术培训

信息系统安全等级保护等级保护基本要求suansin@163.comsuansin@163.com11车机模式深受手机模式的影响2内容为王，服务至上32内容为王，服务至上3未来中国TSP，谁主沉浮4后装市场必然成为主导地位suansin@163.com依据标准规范suansin@163.comGB17859-1999GB/T22239-2008基本要求GB/T22240-2008定级指南GB/T25058-2010实施指南《基本要求》要求项在各层面的分布安全要求类层面一级二级三级四级级差//9011528合计/85175290318系统运维管理18416270系统建设管理20284548人员管理安全7111618安全管理机构492020安全管理制度371114管理要求数据安全及备24811份应用安全7193136主机安全6193236网络安全9183332物理安全9193233suansin@163.comsuansin@163.comsuansin@163.com技术要求-物理安全suansin@163.com控制点一级二级三级四级合计7101010电磁防护***电力供应****温湿度控制***防静电***防水和防潮****防火****防雷击****防盗窃和防破坏***物理访问控制****物理位置的选择***suansin@163.com技术要求-网络安全suansin@163.com合计3677网络设备防护****恶意代码防范**入侵防范***控制点一级二级三级四级边界完整性检查***安全审计***访问控制****结构安全****suansin@163.com技术要求-主机安全suansin@163.com合计4679资源控制***恶意代码防范****入侵防范****剩余信息保护****安全审计**可信路径*访问控制****安全标记*身份鉴别****suansin@163.com技术要求-应用安全suansin@163.com合计47911资源控制***软件容错****抗抵赖**通信保密性***通信完整性****剩余信息*安全审计***可信路经*访问控制****安全标记*身份鉴别****suansin@163.comsuansin@163.com技术要求技术要求-数据安全及备份恢复合计2333备份和恢复****数据保密性***数据完整性****控制点一级二级三级四级suansin@163.comsuansin@163.com管理要求管理要求-安全管理制度合计2333评审和修订***制定和发布****管理制度****控制点一级二级三级四级suansin@163.comsuansin@163.com管理要求管理要求-安全管理机构合计4555审核和检查***沟通和合作***授权和审批***人员配备****岗位设置****控制点一级二级三级四级suansin@163.comsuansin@163.com管理要求-人员安全管理合计4555外部人员访问管****理安全意识教育和****培训人员考核***人员离岗****人员录用****控制点一级二级三级四级管理要求-系统建设管理合计991111安全服务商选择****等级测评**系统备案**系统交付***测试验收***工程实施***外包软件开发****自行软件开发****产品采购和使用***安全方案设计****系统定级****suansin@163.comsuansin@163.com管理要求-系统运维管理合计10131313应急预案管理***安全事件处置****备份与恢复管理***变更管理***密码管理***恶意代码防范管理****系统安全管理****网络安全管理****监控管理和安全管理中心****设备管理****介质管理****资产管理****环境管理****suansin@163.comsuansin@163.com安全要素与安全保护等级的关系国家安全特别严重损害第五级极端重要系统专门监督检查国家安全严重损害公共利益监督检查重要系统第三级公共利益公共利益严重损害合法权益suansin@163.comsuansin@163.comsuansin@163.comsuansin@163.comsuansin@163.comsuansin@163.comsuansin@163.comsuansin@163.comGB/T22239-2008GB/T22239-2008《信息系统安全等级保护基本要求》总体目标贯彻落实党中央、国务院关于节能减排工作部署，以实现重点污染物减排的目标指标为紧要任务 ，为实现节总体目标指标体系 考核体系监测体系项目目的数据传输项目目的数据共享能力suansin@163.com数据应suansin@163.com

统计基础能力业务应用支撑能力suansin@163.com分省建设目标分省建设目标在项目实施过程中贯彻落实工程标准规范；建设省环境保护厅（局）区县环境保护局，以及省环境保护厅（局）到省直属机构、市环境保护局到市直属机构的网络系统，并通过国家电子政务外网实现与环境保护部的连通；（直辖市为市、区县两级网络）；组织落实本省（直辖市、自治区）省级CA系统的建设；专项专用；suansin@163.comsuansin@163.com分省建设目标分省建设目标组织所辖市、区县部署部里统一下发的数据传输与交换平台，建立数据交换传输体系，实现国家、省、下辖市、区县的数据交换与共享；署环境统计业务系统、建设项目管理系统、减排数据管理与综合分析系统，按照需要集成已有六个应用系统；组织所辖市、区县相关业务部门推广应用环境统计业务系统和建设项目管理系统。suansin@163.comsuansin@163.comsuansin@163.com直suansin@163.com直辖市省、自治省、自治区suansin@163.com《基本要求》中相应等级的要求是根据各等级系统需要对抗的威胁和应具备的能力而确定的。判断基本要求是否达到应按此原则分析。suansin@163.com《基本要求》给出了各级信息系统每一保护方面需达到suansin@163.comA点——B点，500KM 5H飞机 OK火车 OK汽车 OKsuansin@163.com自行车 suansin@163.com内容与作用为信息系统主管和运营、使用单位提供技术指导为测评机构提供测评依据为监管职能部门提供监督检查依据适用环节suansin@163.comsuansin@163.com控制点标注业务信息安全相关要求（标记为S）系统服务保证相关要求（标记为A）通用安全保护要求（标记为G）技术要求（3种标注）suansin@163.comsuansin@163.com第一级 S1A1G1第二级 S1A2G2，S2A2G2，S2A1G2第三级 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3suansin@163.com第四级 S1A4G4，S2A4G4，S3A4G4，S4A4G4，suansin@163.comsuansin@163.comsuansin@163.com系统基本安全；结合系统自身安全需求，力求系统安全。suansin@163.com主机安全人员安全管理物理安全网络安全应用安全数据安全及备份恢复安全管理制度安全管理机构系统建设管理 基本要求 类 技术要求suansin@163.com主机安全人员安全管理物理安全网络安全应用安全数据安全及备份恢复安全管理制度安全管理机构系统建设管理 基本要求 类 技术要求管理要求系统运维管理全建设suansin@163.com基本流程开展信息系统安全自查和等级测评确定安全策略，制定安全建设方案信息系统安全需求分析/相应级别的要求信息系统安全技术建设信息系统安全管理建设数据安全应用安全主机安全全建设suansin@163.com基本流程开展信息系统安全自查和等级测评确定安全策略，制定安全建设方案信息系统安全需求分析/相应级别的要求信息系统安全技术建设信息系统安全管理建设数据安全应用安全主机安全网络安全物理安全系统运行管理系统建设管理人员安全管理安全管理制度安全管理机构安信息系统安全技术体系设计物理安全设计

网络安全设计

主机安全设计

应用安全设计

数据安全设计备份与恢复机房 通信网络

服务器

应用系统办公环境

区网边界

工作站

应用平台设备和介质

其他安全设计

其他安全设计

其他安全设计suansin@163.comsuansin@163.com其他安全设计suansin@163.com身份鉴别suansin@163.com访问控制安全审计数据完整性数据保密性数据可用性

病毒防范入侵检测安全监控备份与恢复密码使用等等suansin@163.comsuansin@163.com确定安全策略落实信息安全责任制建立安全组织机构加强人员管理加强系统建设的安全管理加强运行维护的安全管理suansin@163.comsuansin@163.com物理安全是指对信息系统所涉及到的辅助机房、办公环境磁防护等方面suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1物理位置的选择01222物理访问控制1244+3防盗窃和防破坏256+64防雷击12335防火11+3+36防水和防潮23447防静电01238温湿度控制11+119电力供应124410电磁防护0133+合计9193233suansin@163.comsuansin@163.com网络安全是指对信息系统所涉及的通信网络、网络边界、网络区域和网络设备等进行安全保护。具体关注内容包括通信过程数据完整性、通信过程数据保密性、保证通信可靠性的设备和线路冗余、区域安全审计、入侵防范、恶意代码防范、网络设备自身保护和网络的网络管理等方面suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1网络结构安全34+772网络访问控制34+843网络安全审计02464边界完整性检查01225网络入侵防范0122+6恶意代码防范00227网络设备防护3689合计9183332suansin@163.comsuansin@163.com主机安全是指对信息系统涉及到的作站配置内容suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1身份鉴别15672安全标记00013访问控制34764可信路径00025安全审计046+7+6剩余信息保护00227入侵防范11338恶意代码防范12339资源控制0355合计6193236suansin@163.comsuansin@163.com应用安全是指对信息系统涉及到的应用系统容错和资源控制等功能方面suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1身份鉴别34552安全标记00013访问控制24654可信路径00025安全审计03456剩余信息保护00227通信完整性11+1+18通信保密性022+39抗抵赖002210软件容错122311资源控制0377合计7193136suansin@163.comsuansin@163.com数据安全是指对信息系统中存储和备份恢复复相关技术设施等方面suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1数据完整性11232数据保密性01233数据备份与恢复1245合计24811suansin@163.comsuansin@163.com安全管理结构是指明确领导机构和责任部门。落实责任部门，建立岗位和人员管理制度，根据职责分工，分别设置安全管理机构和岗位，明确每个岗位的职责与任务，落实安全管理责任制suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1岗位设置12442人员配备12333授权和审批12444沟通和合作12555审核和检查0144合计492020suansin@163.comsuansin@163.com安全管理制度是指全管理制度操作人员的操作规程等，形成安全管理体系suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1管理制度13442制定和发布23563评审和修订0124合计371114suansin@163.comsuansin@163.com人员安全管理是指加强人员的安全管理问的区域、系统、设备、信息等进行控制suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1人员录用23+4+42人员离岗233+3+3人员考核01344安全意识教育和培训23+445外部人员访问管理1123合计7111618suansin@163.comsuansin@163.com人员安全管理是指加强人员的安全管理问的区域、系统、设备、信息等进行控制suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1人员录用23+4+42人员离岗233+3+3人员考核01344安全意识教育和培训23+445外部人员访问管理1123合计7111618suansin@163.comsuansin@163.com系统建设管理是指加强系统建设过程的管理法，并按照管理制度落实各项管理措施suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1系统定级33442安全方案设计34553产品采购13454自行软件开发23565外包软件开发34446工程实施123+47测试验收234+48系统交付23559系统备案003310安全测评0044+11安全服务商选择2333合计20284548suansin@163.comsuansin@163.com系统运维管理是指加强系统运维过程的管理。制定系统运维相关的管理制度，明确环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管变更管理、备份与恢复管理、安全事件处置、应急预案管理等内容的管理责任部门、具体管理内容和控制方法，并按照管理制度落实各项管理措施suansin@163.comsuansin@163.com序号安全关注点一级二级三级四级1环境管理34452资产管理12443介质管理246+6+4设备管理24555安全管理中心00336网络安全管理26897系统安全管理36788恶意代码防范13449密码管理011+110变更管理024511备份与恢复管理235612安全事件处置246813应急预案管理0256合计18416270suansin@163.comTelematics发展suansin@163.comfeeContentsfeefeeContentsfeeContentsfeeCRMDatafeeWirelessConnectionsTelematicsServicesMobilityServicesConnectionFeeMonthlySubscription内容采集商内容整合商终端厂商内容采集商内容整合商终端厂商通信运营商Telematics服务提供商通信运营商Telematics服务提供商汽车厂商客户客户《信息系统安全等级保护基本要求》使用介绍公安部信息安全等级保护评估中心马力suansin@163.com目录suansin@163.com使用时机和主要作用保护要求分级描述的主要思想各级系统保护的主要内容•一、使用时机和主要作用suansin@163.com《管理办法》”等级划分和保护“第八条suansin@163.com信息系统运营、使用单位依据本办法和相关技术标准国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。suansin@163.com《管理办法》”等级保护的实施与管理“第十二条suansin@163.com在信息系统建设过程中，运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息参照……等技术标准同步建设符合该等级要求的信息安全设施。suansin@163.com《管理办法》”等级保护的实施与管理“第十三条suansin@163.com运营、使用单位应当参照《信息安全技术信息系统安全管理要求》（GB/T20269-2006）、《信息安全技术信息系统安全工（GB/T20282-2006）息系统安全等级保护基本要求》等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。suansin@163.com《管理办法》”等级保护的实施与管理“第十四条suansin@163.com信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。suansin@163.com《管理办法》”等级保护的实施与管理“第十四条suansin@163.com信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查，第四第五级信息系统应当依据特殊安全需求进行自查。suansin@163.com《管理办法》”等级保护的实施与管理“第十四条suansin@163.com经测评或者自查，到安全保护等级要求的应当制定方案进行整改。suansin@163.com技术标准和管理规范的作用suansin@163.com信息系统定级信息系统定级技术标准和管理规范技术标准和管理规范信息系统安全建设或改建安全状况达到等级保护要求的信息系统suansin@163.com涉及的管理规范和技术标准suansin@163.com《信息安全等级保护管理办法》公通字[2007]43号《计算机信息系统安全保护等级划分准则》（GB17859-1999）《信息安全等级保护实施指南》《信息安全等级保护定级指南》《信息安全等级保护基本要求》《信息安全等级保护测评要求》（GB/T20270-2006）GB/T20271-2006）（GB/T20272-2006）（GB/T20273-2006）suansin@163.com涉及的管理规范和技术标准suansin@163.com（GB/T20269-2006）求》（GB/T20282-2006）求》（GB/T20282-2006）suansin@163.com整体要求的管理规范和技术标准suansin@163.com《信息安全等级保护管理办法》《计算机信息系统安全保护等级划分准则》（GB17859-1999）《信息系统安全等级保护实施指南》《信息系统安全保护等级定级指南》《信息系统安全等级保护基本要求》《信息系统安全等级保护测评要求》等等suansin@163.com《基本要求》的作用suansin@163.com信息系统安全等级保护基本要求信息系统安全等级保护基本要求主管部门主管部门（等级测评机构）运营、使用单位（安全服务商）安全保护 测评检查suansin@163.com《基本要求》的定位suansin@163.com是系统安全保护、等级测评的一个基本标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线；保护能力，达到一种基本的安全状态;是每个级别信息系统进行安全保护工作的一个基本出发点，更加贴切的保护可以通过需求分析对基本要求进行补充，参考其他有关等级保护或安全方面的标准来实现《基本要求》的定位基本要求特殊需求补充措施精确保护特殊需求补充措施精确保护基本保护某级信息系统 基本保护某级信息系统suansin@163.com测评suansin@163.com基本要求

补充的安全措施GB17859-1999高级别的基本要求等级保护其他标准安全方面相关标准等等二、保护要求分级描述的主要思想suansin@163.com《基本要求》基本思路suansin@163.com不同级别信息系统重要程度不同应对不同威胁的能力不同级别信息系统重要程度不同应对不同威胁的能力(威胁\弱点)具有不同的安全保护能力不同的基本要求suansin@163.com不同级别的安全保护能力要求suansin@163.com第一级安全保护能力应能够防护系统免受来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。第二级安全保护能力应能够防护系统免受来自外部小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。suansin@163.com不同级别的安全保护能力要求suansin@163.com第三级安全保护能力–应能够在统一安全策略下防护系统免受来自外部有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无意失误、较严重的技术故障等）所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。第四级安全保护能力–应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无意失误、严重的技术故障等）所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。suansin@163.com各个要素之间的关系suansin@163.com安全保护能力实现安全保护能力实现基本安全要求具备每个等级的信息系统包含包含基本技术措施基本管理措施满足满足suansin@163.com管理要求技术要求suansin@163.com管理要求技术要求某级系统基本要求建立安全技术体系建立安全技术体系建立安全管理体系具有某级安全保护能力的系统suansin@163.com各级系统的保护要求差异（宏观）suansin@163.comProtection防护Protection防护恢复Policy策略检测Response响应suansin@163.com各级系统的保护要求差异（宏观）suansin@163.com一级系统防护一级系统二级系统防护/监测二级系统三级系统策略/防护/监测/恢复三级系统四级系统策略/防护/监测/恢复/响应四级系统各级系统的保护要求差异（宏观）安全保护模型

操作人操作人技术信息保障suansin@163.comsuansin@163.com防御网络与基础设施防御飞地边界防御计算环境支撑性基础设施suansin@163.com各级系统的保护要求差异（宏观）suansin@163.com一级系统通信/边界（基本）一级系统二级系统通信/边界/内部（关键设备）二级系统三级系统通信/边界/内部（主要设备）三级系统四级系统通信/边界/内部/基础设施（所有设备）四级系统suansin@163.com各级系统的保护要求差异（宏观）suansin@163.com一级系统计划和跟踪（主要制度）一级系统二级系统计划和跟踪（主要制度）二级系统三级系统良好定义（管理活动制度化）三级系统四级系统持续改进（管理活动制度化/及时改进）四级系统suansin@163.com主机安全应用安全技术要求数据安全安全管理机构基本要求某级系统安全管理制度人员安全管理管理要求各级系统的保护要求差异（微观）系统运维管理suansin@163.com主机安全应用安全技术要求数据安全安全管理机构基本要求某级系统安全管理制度人员安全管理管理要求各级系统的保护要求差异（微观）系统运维管理系统建设管理系统建设管理网络安全物理安全网络安全物理安全三、各级系统保护的主要内容suansin@163.com管理要求技术要求suansin@163.com管理要求技术要求某级系统基本要求建立安全技术体系建立安全技术体系建立安全管理体系具有某级安全保护能力的系统suansin@163.com基本要求的主要内容suansin@163.com由9个章节2个附录构成1.适用范围2.规范性引用文件3术语定义4.等级保护概述–5.基本要求附录A关于信息系统整体安全保护能力的要求附录B基本安全要求的选择和使用suansin@163.com基本要求的组织方式suansin@163.com某级系统基本要求技术要求管理要求技术要求管理要求…… ……控制点类具体要求控制点具体要求类控制点类具体要求控制点具体要求类…… ……suansin@163.com物理安全网络安全主机安全应用安全数据安全技术要求安全管理机构基本要求某级系统安全管理制度人员安全管理管理要求suansin@163.com物理安全网络安全主机安全应用安全数据安全技术要求安全管理机构基本要求某级系统安全管理制度人员安全管理管理要求基本要求-组织方式系统运维管理系统运维管理系统建设管理系统建设管理suansin@163.com物理访问控制防盗窃和防破坏防雷击suansin@163.com物理访问控制防盗窃和防破坏防雷击防火防水和防潮温湿度控制电力供应电磁防护物理安全(四级)基本要求-组织方式物理位置选择物理位置选择suansin@163.com网络访问控制拨号访问控制网络安全审计suansin@163.com网络访问控制拨号访问控制网络安全审计边界完整性检查网络入侵检测恶意代码防护网络设备防护网络安全(四级)基本要求-组织方式结构安全和网段划分结构安全和网段划分suansin@163.com自主访问控制强制访问控制可信路径suansin@163.com自主访问控制强制访问控制可信路径安全审计剩余信息保护入侵防范恶意代码防范系统资源控制系统自我保护主机系统安全(四级)基本要求-组织方式身份鉴别身份鉴别suansin@163.com通信保密性安全审计剩余信息保护抗抵赖应用安全(四级suansin@163.com通信保密性安全审计剩余信息保护抗抵赖应用安全(四级)基本要求-组织方式代码安全资源控制资源控制软件容错软件容错通信完整性访问控制身份鉴别通信完整性访问控制身份鉴别suansin@163.com基本要求-组织方式suansin@163.com安全备份安全备份数据保密性数据完整性数据安全(四级)suansin@163.com审核和检查沟通与合作授权和审批人员配备岗位设置基本要求-组织方式suansin@163.com审核和检查沟通与合作授权和审批人员配备岗位设置安全管理机构安全管理机构(四级)suansin@163.com基本要求-组织方式suansin@163.com评审和修订评审和修订制订和发布管理制度安全管理制度(四级)suansin@163.com第三方人员访问管理安全意识教育和培训人员考核人员离岗人员录用基本要求-组织方式suansin@163.com第三方人员访问管理安全意识教育和培训人员考核人员离岗人员录用人员安全管理人员安全管理(四级)suansin@163.com自行软件开发外包软件开发工程实施测试验收系统建设管理(四级suansin@163.com自行软件开发外包软件开发工程实施测试验收系统建设管理(四级)基本要求-组织方式系统备案系统备案安全服务商选择安全服务商选择系统交付系统交付产品采购安全方案设计安全风险评估系统定级产品采购安全方案设计安全风险评估系统定级suansin@163.com运行维护和监控管理网络安全管理系统安全管理恶意代码防范管理变更管理系统运维管理(四级)suansin@163.com运行维护和监控管理网络安全管理系统安全管理恶意代码防范管理变更管理系统运维管理(四级)密码管理基本要求-组织方式应急计划管理安全事件处置备份和恢复管理系统备案安全事件处置备份和恢复管理系统备案介质管理设备管理资产管理环境管理介质管理设备管理资产管理环境管理suansin@163.com基本要求标注方式suansin@163.com基本要求技术要求管理要求要求标注（标记为S类）系统服务保证类要求（标记为A类）（标记为G类）suansin@163.com系统服务保证类（A业务信息安全类（suansin@163.com系统服务保证类（A业务信息安全类（S）通用安全保护类要求（G通用安全保护类要求（G）suansin@163.com基本要求的选择和使用suansin@163.com一个3级系统,定级结果为S3A2应该是S3A2G3第1步:–选择标准中3级基本要求的技术要求和管理要求;第2步:要求中标注为S类和G类的不变;标注为A类的要求可以选用2级基本要求中的A类作为基本要求;suansin@163.com安全保护和系统定级的关系suansin@163.com定级指南要求按照“业务信息”和“系统服务”的需求确定整个系统的安全保护等级定级过程反映了信息系统的保护要求安全等级信息系统保护要求的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4suansin@163.com不同级别系统控制点的差异suansin@163.com安全要求类层面一级二级三级四级技术要求物理安全7101010网络安全3677主机安全4679应用安全47911数据安全及备份恢复2333管理要求安全管理制度2333安全管理机构4555人员安全4555suansin@163.com不同级别系统要求项的差异suansin@163.com安全要求类层面一级二级三级四级技术要求物理安全9193233网络安全9183332主机安全6193236应用安全7193136数据安全及备份恢复24811管理要求安全管理制度371114安全管理机构492020人员安全管理7111618系统建设管理20284548系统运维管理18416270合计/85175290318级差//9011528suansin@163.com各级系统安全保护要求-物理安全suansin@163.com物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。具体包括：应和电磁防护等十个控制点。suansin@163.com各级系统安全保护要求-物理安全suansin@163.com控制点一级二级三级四级物理位置的选择***物理访问控制****防盗窃和防破坏****防雷击****防火****防水和防潮****防静电***温湿度控制****电力供应****电磁防护***suansin@163.com各级系统安全保护要求-物理安全suansin@163.com一级物理安全要求对出入进行基本控制，环境安全能够对自然威胁进行基本的防护，电力则要求提供供电电压的正常。二级物理安全要求：对物理安全进行了进一步的防护，不物理环境方面，则加强了各方面的防护，采取更细的要求来多方面进行防护。三级物理安全要求要求区域隔离防火，建筑材料防火等方面，将防火的范围增大，从而使火灾发生的几率和损失降低。四级物理安全要求设备进行防护，如静电消除装置等。suansin@163.com各级系统安全保护要求-网络安全suansin@163.com网络边界以及网络设备自身安全等。具体的控制点包括：安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个控制点。suansin@163.com各级系统安全保护要求-网络安全suansin@163.com控制点一级二级三级四级结构安全****访问控制****安全审计***边界完整性检查***入侵防范***恶意代码防范**网络设备防护****合计3677suansin@163.com各级系统安全保护要求-网络安全suansin@163.com一级网络安全要求进出的数据包头进行基本过滤等访问控制措施。二级网络安全要求同时还要考虑网络处理能力要满足业务极限时的需要。对网络边界的访问控制粒度进一步增强。同时，加强了网络边界的防护，增加了安全审计、边界完整性检查、入侵防范等控制点。对网络设备的防护不仅局限于简单的身份鉴别，同时对标识和鉴别信息都有了相应的要求。三级网络安全要求：对网络处理能力增加了“优先级”考施进一步增强，不仅能够被动的“防”，还应能够主动发出一些动作，如报警、阻断等。网络设备的防护手段要求两种身份鉴别技术综合使用。四级网络安全要求suansin@163.com各级系统安全保护要求-主机安全suansin@163.com主机系统安全是包括服务器、终端/等在内的计算机设备在操作系统及数据库系统层面的安全。终端/台式机与笔记本计算机，服务器则包括应用程序、网络、web、文件与通信等服务器。主机系统是构成信息系统的主要部分，其上承载着各种应用。因此，主机系统安全是保护信息系统安全的中坚力量。主机系统安全涉及的控制点包括：代码防范和资源控制等九个控制点。suansin@163.com各级系统安全保护要求-主机安全suansin@163.com控制点一级二级三级四级身份鉴别****安全标记*访问控制****可信路径*安全审计***剩余信息保护**入侵防范****恶意代码防范****资源控制***suansin@163.com各级系统安全保护要求-主机安全suansin@163.com一级主机系统安全要求：能够进行恶意代码防范。二级主机系统安全要求：在控制点上增加了源控制度进行了细化等，恶意代码增加了统一管理等。三级主机系统安全要求：在控制点上增加了剩余信息保护即，访问控制增加了设置敏感标记等，力度变强。同样，身份鉴别的力度进一步增强，要求两种以上鉴别技术同时使用。安全审计已不满足于对安全事件的记录，而要进行分析、生成报表。对恶意代码的防范综合考虑网络上的防范措施，做到二者相互补充。对资源控制的增加了对服务器的监视和最小服务水平的监测和报警等。四级主机系统安全要求：在控制点上增加了信路径suansin@163.com各级系统安全保护要求-应用安全suansin@163.com础，包括消息发送、web浏览等，可以说是基本种业务应用程序安全运行。应用安全主要涉及的安全控制点包括：安全标记、访问控制、可信路径、安全审计、剩suansin@163.com控制点一级二级三级四级身份鉴别***suansin@163.com控制点一级二级三级四级身份鉴别****安全标记*访问控制****可信路经*安全审计***剩余信息保护**通信完整性****通信保密性***抗抵赖**软件容错****资源控制***suansin@163.com各级系统安全保护要求-应用安全suansin@163.com一级应用安全要求：基本防护。二级应用安全要求：在控制点上增加了密性和资源控制控制的粒度进行了细化，对通信过程的完整性保护提出了软件容错能力增强。三级应用安全要求：在控制点上增加了抵赖等能。四级应用安全要求：在控制点上增加了安全标记和可信路suansin@163.com各级系统安全保护要求-数据安全及备份恢复suansin@163.com信息系统处理的各种数据（用户数据、系统数据、业务数据等）在维持系统正常运行上起着至关重要的作用。一旦数据遭到破坏（泄漏、修改、毁坏），都会在不同程度上造成影响，从而危害到系统的正常运行。由于信息系统的各个层面（网络、主机、应用等）数据库和操作系统、应用程序等提供支持。各个“关口”把好了，数据本身再具有一些防御和修复手段，必然将对数据造成的损害降至最小。时可能造成的系统危害。保证数据安全和备份恢复主要从：性、备份和恢复等三个控制点考虑。suansin@163.com各级系统安全保护要求-数据安全及备份恢复suansin@163.com控制点一级二级三级四级数据完整性****数据保密性***备份和恢复****合计2333suansin@163.com各级系统安全保护要求-数据安全及备份恢复suansin@163.com一级数据安全及备份恢复要求时能够对重要信息进行备份。二级数据及备份恢复安全要求范围扩大，要求鉴别信息和重要业务数据在传输过程中都要保证其完整性。对数据保密性要求实现鉴别信息存储保密性，数据备份增强，要求一定的硬件冗余。三级数据及备份恢复安全要求范围扩大，增加了系统管理数据的传输完整性，不仅能够检测出数据受到破坏，并能进行恢复。对数据保密性要求范围扩大到实现系统管理数据、鉴别信息和重要业务数据的传输和存储的保密性，数据的备份不仅要求本地完全数据备份，还要求异地备份和冗余网络拓扑。四级数据及备份恢复安全要求系统能够自动切换和恢复。suansin@163.com各级系统安全保护要求-安全管理制度suansin@163.com操作规程。suansin@163.com各级系统安全保护要求-安全管理制度suansin@163.com控制点一级二级三级四级管理制度****制定和发布****评审和修订***suansin@163.com各级系统安全保护要求-安全管理制度suansin@163.com一级安全管理制度要求基本要求。二级安全管理制度要求：在控制点上增加了和修订度的制定和发布要求组织论证。三级安全管理制度要求安全制度的评审和修订要求领导小组的负责。四级安全管理制度要求制度的日常维护等。suansin@163.com各级系统安全保护要求-安全管理机构suansin@163.com立一整套从单位最高管理层（董事会）进。安全管理机构主要包括：岗位设置、人员配备、suansin@163.com各级系统安全保护要求-安全管理机构suansin@163.com控制点一级二级三级四级岗位设置****人员配备****授权和审批****沟通和合作****审核和检查***合计4555suansin@163.com各级系统安全保护要求-安全管理机构suansin@163.com一级安全管理机构要求安全活动进行审批，加强对外的沟通和合作。二级安全管理机构要求：在控制点上增加了和检查员不可兼任其它岗位原则；沟通与合作的范围增加与机构内部及与其他部门的合作和沟通。三级安全管理机构要求通和合作，并聘用安全顾问。同时对审核和检查工作进一步规范。suansin@163.com各级系统安全保护要求-人员安全管理suansin@163.com人，是信息安全中最关键的因素，同时也是信息安全中最薄弱的环节。很多重要的信息系统安全问题都涉及到用户、设计人员、实施人员以及管理人员。如果这些与人员有关的安全问题没有得到很好的解决，任何一个信息系统都不可能达到才有可能降低人为错误、盗窃、诈骗和误用设备的风险，从而减小了信息系统遭受人员错误造成损失的概率。括：人员录用、人员离岗、人员考核、安全意识suansin@163.com各级系统安全保护要求-人员安全管理suansin@163.com控制点一级二级三级四级人员录用****人员离岗****人员考核***安全意识教育和培训****外部人员访问管理****合计4555suansin@163.com各级系统