等级保护流程培训V1.0PPT

1、、信息安全等级保护体系与东软网络安全产品介绍、等级保护概要、等级保护工作流程、2、目录、等级保护安全设置修订构想、3、4、东软行业优势与建设实例、等级保护与东软安全产品、5、6、 2016年商机最前沿速报等级保护根据是否涉及国家秘密分等级保护：适用于政府、中央企业等无关网络的信息安全政策、制度和标准体系。 等级保护：适用于政府、军队、士兵工厂等密切联系网络的信息安全政策、制度和标准体系。 是政府、中央企业信息安全建设的主要依据和主要推动力。国家信息安全制度、等级保护的第一法律文件国务院令、中华人民共和国计算机信息系统安全保护条例(1994年2月18日国务院147号令)第九条：计算机信息系统实行

2、安全等级保护。 安全等级的划分标准和安全等级保护的具体办法由公安部和有关部门制定。 该条阐明了三个内容：一是确立了等级保护作为修订机信息系统安全保护的制度；二是阐明了公安部的牵引地位；三是提出了必须配套的规则和技术标准。等级保护安全等级定义文件、计算机信息系统安全保护等级划分标准(1999发行的GB 17859 )第一级：用户自主保护等级2 :系统审计保护等级3 :安全标记保护等级第四级：结构化保护等级5 :访问认证保护等级。 提出了等级保护的技术保护水平和安全管理水平上的建设保护要求。中央文件、中处200327号文件国家信息化指导组关于加强信息安全保障的意见“要重点保护基础信息网络和关于国家

3、安全、经济命脉、社会稳定等重要信息系统，牢固建立信息安全等级保护制度，制定信息安全等级保护的管理方法和技术指针。 中央27号文件的公布标志着等级保护已从修订机信息系统的安全保护制度提升为国家信息安全保障的基本制度。 同时，各级党委和政府在信息安全保障工作中的领导作用，明确了“谁负责，谁负责”的信息安全保障责任制。国家四部委文件，2004年9月公安部与国家保密局、国家密码管理局和国务院信息处理联合发布了关于信息安全等级保护工作的实施意见(公通字200466号)，明确了信息安全等级保护制度的原则和基本内容，以及信息安全等级保护工作的作用分担、工作实施的要求等。 2007年6月公安部与国家保密局、国

4、家密码管理局和国务院信息联合进行信息安全等级保护管理办法(公通字200743号)，明确了信息安全等级保护制度的基本内容、流程和工作要求，并明确了信息系统运营使用单位和主管部门、监督部门在信息安全等级保护工作中的职责和任务、等级保护发展历史、等级保护各方面职责、国信业信业部信息安全协调司网络信息安全协调局、等级保护法律政策体系、等级保护标准体系、等级保护工作流程、等级保护基本框架、等级保护建设四项原则、等级保护建设、等级保护与信息系统生命周期的关系、 等级保护建设的信息系统等级保护实施过程、启动、设定开发、实施、运行维护、结束、系统等级、安全修订计划设定、安全实施、安全运行管理(变更/应急响应/

5、监督检查)、结束、结束、系统等级、安全修订计划设定安全实施/实现阶段、信息系统风险评价、系统自我与系统级别和备案、安全级别和备案阶段、系统级别和备案协作，确保唯一的安全责任机构是包含满足信息系统基本要素的单机和纯局域网不定级别相对独立的业务应用程序的综合系统，受到侵害的对象：公民、法人、 对象侵害程度：一般损害； 严重损害特别严重损害。 级别与侵权对象、侵权程度的关系、系统级别矩阵、信息系统级别、业务信息安全(s )业务信息安全是指确保业务信息系统内信息的机密性、完整性和可用性等。 一般来说，所载信息非常重要。 系统服务安全性(a )系统服务安全性是指使信息系统能够及时高效地提供服务，以实现预

6、定的业务目标。 一般而言，托管服务的有效性和连续性是非常重要的。信息系统水平流程图、s、a、信息系统水平、安全修订计划和实施、安全修订计划和实施、基本要求主要内容、基本要求的组织方式、基本要求项目在各水平的分布、基本技术要求控制点、基本管理要求、水平评价、水平评价、水平评价。 使用单位或者其主管部门应当选择符合本办法规定条件的评价机构，根据信息系统安全等级保护评价要求等技术标准，定期对信息系统安全等级状况开展等级评价。 三级信息系统每年至少要进行一次等级评价，四级信息系统每年至少要进行一次等级评价，五级信息系统必须根据特殊的安全需要进行等级评价。 对评价机构的要求，三级以上信息系统应当选择符合

7、以下条件的等级保护评价机构在中华人民共和国境内注册设立(港澳台除外) : 中国公民投资、中国法人投资或者国家投资的企业事业单位(港澳台除外)从事相关检验评价。 无违法记录的职工只限于中国公民法人及其主要业务、技术人员无犯罪记录使用的技术装备、设施，满足本法对信息安全产品的要求，完整的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度不威胁国家安全、社会秩序、公共利益， 公安部推荐的评价机构全国等级保护评价机构推荐目录查询：包括等级保护安全防御设施修订构想、等级保护安全技术设施修订框架、等级保护设施修订步骤、资产识别、资产识别信息系统的构成、网络拓扑、业务应用、业务流程、设备信息、安

8、全措施情况等。 初步确定各等级信息系统的分析对象，包括整体对象，如机房、办公环境、网络等，包括具体对象，如边界设备、网关设备、服务器设备、工作站、应用系统等。、差距分析和差距分析对照标准是指不满足要求的项目、风险评估、安全域划分、定义安全域在同一系统中具有相同的安全需要、相互信任、相同的安全访问控制和安全域划分，区域边界安全设置修订，访问控制请求逻辑隔离，物理隔离，安全强隔离入侵防止请求DDOS攻击，应用层攻击恶意代码请求防病毒网关设备安全请求运输维审计屏障安全设置修订，数据机密性和通信网络的可靠的访问保护安全准入控制、IPSEC VPN、SSL VPN、网络密码机安全审计安全管理中心集中审计

9、管理、修正环境安全设置修正主安全商用操作系统(级别2 )、操作系统安全强化(级别3 )、安全操作系统(级别4 ) 终端安全管理系统安全加强WEB安全应用程序安全：中间件、数据库数据安全和备份恢复重要数据存储加密数据备份：本地备份系统管理系统运行监控、本地备份风险管理、防病毒管理、补丁分发管理审计管理审计管理数据库审计、应用审计、网络审计、运维审计、安全管理制度框架，东软行业优势与建设案例，4，东软行业优势与近期等保证部分案例，上海曙光医院宁波云医院，安徽省工商局，延安医疗格鲁重庆开县人民医院、政府机关、滁州市法院、佛山市社保、判例：医疗行业、医院信息系统一般可分为两部分：一是符合管理要求的管理

10、信息系统；二是符合临床医疗要求的临床信息系统。 管理信息系统包括门诊挂号、门诊收费、住院登记、住院收费、设备管理、医疗统订、决策支持等系统。 临床信息系统包括门诊医生站、病房医生站、病房护士站、合理用药系统、临床检查系统、医学影像系统、手术麻醉系统、重症监测系统等。业务分布图、核心业务系统、一般业务系统、等保技术防护、通信网络、区域边界、补正环境(主机)、补正环境(主机)、补正环境(终端)、补正环境(终端)、通信网络、区域边界网络审计系统、防火墙、入侵防御系统基于VLAN的ACL，基于VLAN的ACL，数据库审计系统，防火墙，服务器强化，安全补丁/病毒防护，终端安全管理系统，安全补丁/病毒防护

11、， 终端安全RAID、磁带库/虚拟库、远程数据备份、防病毒服务器、补丁更新服务器、SOC安全运维监控平台、等级保护与东软安全产品、5、支持的安全产品、等级保护建设方案、技术要求、管理要求、物理安全、网络安全主机安全可靠路径、入侵防止、安全审计、恶意代码保护、入侵防止、认证、访问控制、可靠路径、入侵防止、安全审计、FW/NISG、ESM/SOC、FW/NISG、nisg-nisg-IPS，nisg NISG-IPS/WAF，ESM/NABH，资源控制和监视，SOC， NISG-IPS:入侵防御系统、ESM:网络审计系统、WAF:WEB应用防火墙、SOC:安全运维监视系统、NIBC:网络行为管理、DBA:数据库审计普通高校等级保护项目、政府行业1、全国法院开展非涉密重要信息系统安全等级保护建设服