等级保护三级信息系统和二级不同的项

第一篇：等级保护三级信息系统和二级不同的项

第一章 网络安全测评

1.1网络全局

1.1.1结构安全（G3）

a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；（2级为关键网络设备）

b)应保证网络各个部分的带宽满足业务高峰期需要；（2级为接入网络和核心网络）c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；（2级无此项）d)应绘制与当前运行情况相符的网络拓扑结构图；

e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；

f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；（2级无此项）

g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。（2级无此项）

1.1.2边界完整性检查（S3）

a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；（2级无此项）

b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。（内部网络中出现的内部用户未通过准许）

1.1.3入侵防范（G3）

a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；

b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。（2级无此项）

1.1.4恶意代码防范（G3）（2级无此项）

a)应在网络边界处对恶意代码进行检测和清除； b)应维护恶意代码库的升级和检测系统的更新。

1.2网络设备和安全设备

1.2.1访问控制（G3）

a)应在网络边界部署访问控制设备，启用访问控制功能；

b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；（2级为网段级）c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；（2级无此项）

d)应在会话处于非活跃一定时间或会话结束后终止网络连接；（2级无此项）e)应限制网络最大流量数及网络连接数；（2级无此项）f)重要网段应采取技术手段防止地址欺骗；（2级无此项）

g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

h)应限制具有拨号访问权限的用户数量。

1.2.2安全审计（G3）

a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；

c)应能够根据记录数据进行分析，并生成审计报表；（2级无此项）

d)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。（2级无此项）

1.2.3网络设备防护（G3）

a)应对登录网络设备的用户进行身份鉴别； b)应对网络设备的管理员登录地址进行限制； c)网络设备用户的标识应唯一；

d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；（2级无此项）

e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； f)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

h)应实现设备特权用户的权限分离。（2级无此项）

第二章 主机安全

操作系统测评和数据库系统测评 2.1身份鉴别（S3）

a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；

b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。（2级无此项）

2.2访问控制（S3）

a)应启用访问控制功能，依据安全策略控制用户对资源的访问；

b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；（2级无此项）

c)应实现操作系统和数据库系统特权用户的权限分离；

d)应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令； e)应及时删除多余的、过期的帐户，避免共享帐户的存在。f)应对重要信息资源设置敏感标记；（2级无此项）

g)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；（2级无此项）

2.3安全审计（G3）

a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户； b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； d)应能够根据记录数据进行分析，并生成审计报表；（2级无此项）e)应保护审计进程，避免受到未预期的中断；（2级无此项）f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。

2.4剩余信息保护（S3）（仅操作系统）（2级无此项）

a)应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

b)应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。

2.5入侵防范（G3）（仅操作系统）

a)应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；（2级无此项）b)应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；（2级无此项）

c)操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。

2.6恶意代码防范（G3）（仅操作系统）

a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库； b)主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；（2级无此项）

c)应支持防恶意代码的统一管理。

2.7资源控制（A3）（数据库系统仅a、b、d）

a)应通过设定终端接入方式、网络地址范围等条件限制终端登录； b)应根据安全策略设置登录终端的操作超时锁定；

c)应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；（2级无此项）

d)应限制单个用户对系统资源的最大或最小使用限度；

e)应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。（2级无此项）

第三章 应用安全测评

3.1身份鉴别（S3）

a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；（2级无此项）

c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

3.2访问控制（S3）

a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问； b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。

e)应具有对重要信息资源设置敏感标记的功能；（2级无此项）

f)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；（2级无此项）

3.3安全审计（G3）

a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等； d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。（2级无此项）

3.4剩余信息保护（S3）（2级无此项）

a)应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

b)应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

3.5通信完整性（S3）

应采用密码技术保证通信过程中数据的完整性。（2级为校验码技术）

3.6通信保密性（S3）a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； b)应对通信过程中的整个报文或会话过程进行加密。（2级为敏感信息字段）

3.7抗抵赖（G3）（2级无此项）

a)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能； b)应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

3.8软件容错（A3）

a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

b)应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。（在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施）

3.9资源控制（A3）

a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

b)应能够对系统的最大并发会话连接数进行限制； c)应能够对单个帐户的多重并发会话进行限制；

d)应能够对一个时间段内可能的并发会话连接数进行限制；（2级无此项）e)应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；（2级无此项）

f)应能够对系统服务水平降低到预先规定的最小值进行检测和报警；（2级无此项）g)应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。（2级无此项）

第四章 数据安全测评

4.1数据完整性（S3）

a)应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；

b)应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。（2级无此项）

4.2数据保密性（S3）

a)应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；（2级无此项）

b)应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。（的）

4.3备份和恢复（A3）

a)应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；（2级为应能够对重要信息进行备份和恢复。）

b)应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地； c)应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；

d)应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。（2级为关键网络设备）

第二篇：计算机信息系统等级保护二级基本要求

第二级基本要求 1.1 技术要求 1.1.1 物理安全

1.1.1.1 物理位置的选择（G2）

机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。1.1.1.2 物理访问控制（G2）

本项要求包括：

a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；

b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。1.1.1.3 防盗窃和防破坏（G2）

本项要求包括：

a)应将主要设备放置在机房内；

b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)主机房应安装必要的防盗报警设施。1.1.1.4 防雷击（G2）

本项要求包括：

a)机房建筑应设置避雷装置； b)机房应设置交流电源地线。1.1.1.5 防火（G2）

机房应设置灭火设备和火灾自动报警系统。1.1.1.6 防水和防潮（G2）

本项要求包括：

a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。1.1.1.7 防静电（G2）

关键设备应采用必要的接地防静电措施。1.1.1.8 温湿度控制（G2）

机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

1.1.1.9 电力供应（A2）

本项要求包括：

a)应在机房供电线路上配置稳压器和过电压防护设备；

b)应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。1.1.1.10 电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰。1.1.2 网络安全

1.1.2.1 结构安全（G2）

本项要求包括：

a)应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； b)应保证接入网络和核心网络的带宽满足业务高峰期需要； c)应绘制与当前运行情况相符的网络拓扑结构图；

d)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。

1.1.2.2 访问控制（G2）

本项要求包括：

a)应在网络边界部署访问控制设备，启用访问控制功能；

b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级。

c)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

d)应限制具有拨号访问权限的用户数量。1.1.2.3 安全审计（G2）

本项要求包括：

a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

1.1.2.4 边界完整性检查（S2）

应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查。1.1.2.5 入侵防范（G2）

应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。1.1.2.6 网络设备防护（G2）

本项要求包括：

a)应对登录网络设备的用户进行身份鉴别； b)应对网络设备的管理员登录地址进行限制； c)网络设备用户的标识应唯一；

d)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； e)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

f)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。

1.1.3 主机安全 1.1.3.1 身份鉴别（S2）

本项要求包括：

a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；

b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

1.1.3.2 访问控制（S2）

本项要求包括：

a)应启用访问控制功能，依据安全策略控制用户对资源的访问； b)应实现操作系统和数据库系统特权用户的权限分离；

c)应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令； d)应及时删除多余的、过期的帐户，避免共享帐户的存在。1.1.3.3 安全审计（G2）

本项要求包括：

a)审计范围应覆盖到服务器上的每个操作系统用户和数据库用户；

b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； d)应保护审计记录，避免受到未预期的删除、修改或覆盖等。1.1.3.4 入侵防范（G2）

操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。1.1.3.5 恶意代码防范（G2）

本项要求包括：

a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库； b)应支持防恶意代码软件的统一管理。1.1.3.6 资源控制（A2）

本项要求包括：

a)应通过设定终端接入方式、网络地址范围等条件限制终端登录； b)应根据安全策略设置登录终端的操作超时锁定； c)应限制单个用户对系统资源的最大或最小使用限度。1.1.4 应用安全

1.1.4.1 身份鉴别（S2）本项要求包括：

a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

b)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

c)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； d)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

1.1.4.2 访问控制（S2）

本项要求包括：

a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问； b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。

1.1.4.3 安全审计（G2）

本项要求包括：

a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； b)应保证无法删除、修改或覆盖审计记录；

c)审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。1.1.4.4 通信完整性（S2）

应采用校验码技术保证通信过程中数据的完整性。1.1.4.5 通信保密性（S2）

本项要求包括：

a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； b)应对通信过程中的敏感信息字段进行加密。1.1.4.6 软件容错（A2）

本项要求包括：

a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

b)在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施。1.1.4.7 资源控制（A2）

本项要求包括：

a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

b)应能够对应用系统的最大并发会话连接数进行限制； c)应能够对单个帐户的多重并发会话进行限制。1.1.5 数据安全及备份恢复 1.1.5.1 数据完整性（S2）应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏。1.1.5.2 数据保密性（S2）

应采用加密或其他保护措施实现鉴别信息的存储保密性。1.1.5.3 备份和恢复（A2）

本项要求包括：

a)应能够对重要信息进行备份和恢复；

b)应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性。1.2 管理要求 1.2.1 安全管理制度 1.2.1.1 管理制度（G2）

本项要求包括：

a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；

b)应对安全管理活动中重要的管理内容建立安全管理制度；

c)应对安全管理人员或操作人员执行的重要管理操作建立操作规程。1.2.1.2 制定和发布（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责安全管理制度的制定； b)应组织相关人员对制定的安全管理制度进行论证和审定； c)应将安全管理制度以某种方式发布到相关人员手中。1.2.1.3 评审和修订（G2）

应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订。1.2.2 安全管理机构 1.2.2.1 岗位设置（G2）

本项要求包括：

a)应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责； b)应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。1.2.2.2 人员配备（G2）

本项要求包括：

a)应配备一定数量的系统管理员、网络管理员、安全管理员等； b)安全管理员不能兼任网络管理员、系统管理员、数据库管理员等。1.2.2.3 授权和审批（G2）

本项要求包括：

a)应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批； b)应针对关键活动建立审批流程，并由批准人签字确认。1.2.2.4 沟通和合作（G2）

本项要求包括： a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通；

b)应加强与兄弟单位、公安机关、电信公司的合作与沟通。1.2.2.5 审核和检查（G2）

安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。1.2.3 人员安全管理 1.2.3.1 人员录用（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责人员录用；

b)应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核；

c)应与从事关键岗位的人员签署保密协议。1.2.3.2 人员离岗（G2）

本项要求包括：

a)应规范人员离岗过程，及时终止离岗员工的所有访问权限； b)应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； c)应办理严格的调离手续。1.2.3.3 人员考核（G2）

应定期对各个岗位的人员进行安全技能及安全认知的考核。1.2.3.4 安全意识教育和培训（G2）

本项要求包括：

a)应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训； b)应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒；

c)应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训。1.2.3.5 外部人员访问管理（G2）

应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案。1.2.4 系统建设管理 1.2.4.1 系统定级（G2）

本项要求包括：

a)应明确信息系统的边界和安全保护等级；

b)应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由； c)应确保信息系统的定级结果经过相关部门的批准。1.2.4.2 安全方案设计（G2）

本项要求包括： a)应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；

b)应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案；

c)应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案；

d)应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。

1.2.4.3 产品采购和使用（G2）

本项要求包括：

a)应确保安全产品采购和使用符合国家的有关规定；

b)应确保密码产品采购和使用符合国家密码主管部门的要求； c)应指定或授权专门的部门负责产品的采购。1.2.4.4 自行软件开发（G2）

本项要求包括：

a)应确保开发环境与实际运行环境物理分开；

b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则； c)应确保提供软件设计的相关文档和使用指南，并由专人负责保管。1.2.4.5 外包软件开发（G2）

本项要求包括：

a)应根据开发要求检测软件质量；

b)应确保提供软件设计的相关文档和使用指南； c)应在软件安装之前检测软件包中可能存在的恶意代码；

d)应要求开发单位提供软件源代码，并审查软件中可能存在的后门。1.2.4.6 工程实施（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责工程实施过程的管理； b)应制定详细的工程实施方案，控制工程实施过程。1.2.4.7 测试验收（G2）

本项要求包括：

a)应对系统进行安全性测试验收；

b)在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；

c)应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。1.2.4.8 系统交付（G2）

本项要求包括：

a)应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； b)应对负责系统运行维护的技术人员进行相应的技能培训； c)应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。1.2.4.9 安全服务商选择（G2）

本项要求包括：

a)应确保安全服务商的选择符合国家的有关规定；

b)应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；

c)应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同。1.2.5 系统运维管理 1.2.5.1 环境管理（G2）

本项要求包括：

a)应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；

b)应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理； c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；

d)应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。

1.2.5.2 资产管理（G2）

本项要求包括：

a)应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；

b)应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。

1.2.5.3 介质管理（G2）

本项要求包括：

a)应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；

b)应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点； c)应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏；

d)应根据所承载数据和软件的重要程度对介质进行分类和标识管理。1.2.5.4 设备管理（G2）

本项要求包括：

a)应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；

b)应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理； c)应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；

d)应确保信息处理设备必须经过审批才能带离机房或办公地点。1.2.5.5 网络安全管理（G2）

本项要求包括：

a)应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；

b)应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；

c)应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；

d)应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补； e)应对网络设备的配置文件进行定期备份； f)应保证所有与外部系统的连接均得到授权和批准。1.2.5.6 系统安全管理（G2）

本项要求包括：

a)应根据业务需求和系统安全分析确定系统的访问控制策略； b)应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；

c)应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；

d)应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定；

e)应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作； f)应定期对运行日志和审计数据进行分析，以便及时发现异常行为。1.2.5.7 恶意代码防范管理（G2）

本项要求包括：

a)应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；

b)应指定专人对网络和主机进行恶意代码检测并保存检测记录；

c)应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定。1.2.5.8 密码管理（G2）

应使用符合国家密码管理规定的密码技术和产品。1.2.5.9 变更管理（G2）

本项要求包括：

a)应确认系统中要发生的重要变更，并制定相应的变更方案； b)系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告。

1.2.5.10 备份与恢复管理（G2）

本项要求包括：

a)应识别需要定期备份的重要业务信息、系统数据及软件系统等； b)应规定备份信息的备份方式、备份频度、存储介质、保存期等；

c)应根据数据的重要性及其对系统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。

1.2.5.11 安全事件处置（G2）

本项要求包括：

a)应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； b)应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责；

c)应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分；

d)应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生。

1.2.5.12 应急预案管理（G2）

本项要求包括：

a)应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容； b)应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次。

第三篇：等级保护三级承诺书

承诺书

中国交通通信信息中心：

根据〘关于认真贯彻〖道路运输车辆卫星定位系统平台技术要求〗和〖道路运输车辆卫星定位系统车载终端技术要求〗两项标准的通知〙（交运发〔2011〕158号）、〘关于进一步开展交通运输行业信息安全等级保护工作的通知〙（厅科技字〔2012〕120号）以及〘道路运输车辆卫星定位系统平台和道路运输车辆卫星定位系统车载终端标准符合性审查办法（试行）〙（中交通信字〔2011〕75号）的规定，我公司承诺于2013年12月31日前，按照交通运输部关于行业信息安全等级保护工作的要求提交XXXX（平台名称）的信息系统安全等级保护三级备案证明和测评报告。如未按期完成，愿意接受从符合性审查公告目录中删除的处理。

二〇一二年 月 日

第四篇：信息安全等级保护(二级)

信息安全等级保护(二级)

备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。

一、物理安全

1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）

2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录

3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录

4、主要设备或设备的主要部件上应设置明显的不易除去的标记

5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放

6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；

7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录

8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；

9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告

10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品

11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录

12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录

13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录

14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录

15、应具有冗余或并行的电力电缆线路（如双路供电方式）

16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录

二、安全管理制度

1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程

2、应具有安全管理制度的制定程序：

3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）

4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录

5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。

6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）

7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）

三、安全管理机构

1、应设立信息安全管理工作的职能部门

2、应设立安全主管、安全管理各个方面的负责人

3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）

4、安全管理员应是专职人员

5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。

6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）

7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：

8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）

9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：

10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）

11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）

12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。

13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）

14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）

15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）

四、人员安全管理

1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）

2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录

3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）

4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。

5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）

6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）

7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）

8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。

9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。

10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。

11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）

12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）

13、应具有外部人员访问重要区域的书面申请

14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）

五、系统建设管理

1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）

2、应具有系统建设/整改方案

3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责

4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）

5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）

6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订

7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本

8、应按照国家的相关规定进行采购和使用系统信息安全产品

9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品

10、应具有专门的部门负责产品的采购

11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单

12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）

13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册

14、对程序资源库的修改、更新、发布应进行授权和批准

15、应具有程序资源库的修改、更新、发布文档或记录

16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测

17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品

18、应具有软件设计的相关文档和使用指南

19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档

20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制

21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案

22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）

23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）

24、应具有测试验收报告

25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）

26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）

27、应具有系统交付时的技术培训记录

28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。

29、应指定部门负责系统交付工作

30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容

31、选定的安全服务商应提供一定的技术培训和服务

32、应与安全服务商签订的服务合同或安全责任合同书

六、系统运维管理

1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。

2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录

3、应指定部门和人员负责机房安全管理工作

4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）

5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）

6、应指定资产管理的责任部门或人员

7、应依据资产的重要程度对资产进行标识

8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））

9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）

10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制

11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）

12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）

13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）

14、介质上应具有分类的标识或标签

15、应对各类设施、设备指定专人或专门部门进行定期维护。

16、应具有设备操作手册

17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）

18、应监控主机、网络设备和应用系统的运行状况等

19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警 20、应具有日常运维的监控日志记录和运维交接日志记录

21、应定期对监控记录进行分析、评审

22、应具有异常现象的现场处理记录和事后相关的分析报告

23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理

24、应指定专人负责维护网络安全管理工作

25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）

26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。

27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）

28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。

29、对便携式和移动式设备的网络接入应进行限制管理

30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。

31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。

32、应有补丁测试记录和系统补丁安装操作记录

33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）

34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）

35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）

36、应指定专人对恶意代码进行检测，并保存记录。

37、应具有对网络和主机进行恶意代码检测的记录

38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理

39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告 40、应具有变更方案评审记录和变更过程记录文档。

41、重要系统的变更申请书，应具有主管领导的批准

42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）

43、应定期执行恢复程序，检查和测试备份介质的有效性

44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档

45、应对安全事件记录分析文档

46、应具有不同事件的应急预案

47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。

48、应对系统相关人员进行应急预案培训（应急预案培训记录）

49、应定期对应急预案进行演练（应急预案演练记录）50、应对应急预案定期进行审查并更新

51、应具有更新的应急预案记录、应急预案审查记录。

第五篇：信息系统等级保护建设思路（xiexiebang推荐）

信息系统等级保护建设思路

实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本;有利于优化信息安全资源的配置，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理;有利于推动信息安全产业的发展。

《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)，明确指出将等级保护制度作为我国信息安全领域的一项基本制度。2010年发布的《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》(公信安[2010] 303号)明确指出，“2011年底前完成第三级(含)以上信息系统的测评工作，2012年底之前完成第三级(含)以上信息系统的安全建设整改工作。”在制度保证的前提下，各企业和组织要明确信息系统等级保护建设思路，才能事半功倍，确实提升信息系统安全保障能力。

一、信息安全等级保护的情况介绍

实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本;有利于优化信息安全资源的配置，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理;有利于推动信息安全产业的发展。

国内信息安全等级保护工作的开展是一个随着计算机技术的发展和业务对计算机系统依赖性逐渐增加，不断发展和完善起来的。《国家信息化领导小组关于加强信息安全保障工作的意见》正式出台，明确提出非涉密信息系统遵循等级保护思想进行信息安全建设。公安部网络安全保卫局在全国开展等级保护工作试点，先后发布了信息系统定级、备案、整改建设、等级测评等各重要环节的有关文件，指导等级保护工作开展。其中2009年的公信安1429号文《关于开展信息安全等级保护安全建设整改工作的指导意见》明确提出2012年年底前完成已定级信息系统的整改工作。

等级保护的技术体系也基本成型，目前涉及到等级保护建设的技术标准和规范大约有30多个，主要包括了技术、管理、产品、建设流程等各方面的内容，如:定级指南、备案细则、实施指南、安全设计、基本要求、测评过程要求、测评指南，使得等级保护工作在各个环节都有具体的技术标准可以参考。

二、工作思路与建设原则

对于具有分支机构的大型企业组织来说，信息安全工作已经有等级保护的制度和技术体系做依托，更多的是在实践中摸索出适合本企业组织信息系统安全建设的工作思路与建设原则。

统一规划、统一标准、统筹协调

统一规划:统一制订规划建设推进方案、等级保护工程建设方法，各信息系统均需要参照规划方案实施，不能自行规划。

统一标准:统一组织制订等级保护建设的流程、步骤、技术和管理规范，确保上下衔接、互联互通。

统筹协调:统筹全局，协调各分支机构或各业务系统之间的资源共享、业务协同，联合推进等级保护建设。

分级建设、分步实施、分类指导

分级建设;统一组织等级保护项目建设;各分支机构在总体方案的指导下，负责信息系统在本区域范围内的建设和安全运营维护。

分步实施根据目前等级保护项目建设基础条件和特点，采用分批分期建设方式开展项目建设。

分类指导:对干不同的信息系统，采用不同的组织管理模式、工作机制和推进方式。

加强管理

加强管理:落实等级保护项目建设组织机构、责任部门，科学调度，加强项目过程管理，确保项目取得成功。

建设原则

法规遵循:应严格执行国家法律法规、相关主管部门的要求。

科学管理:严谨、先进的技术项目实施与科学、规范的项目实施管理手段相结合，以提高整体项目实施的效率，保证项目质量，缩短项目工期，降低项目成本。

平稳过渡项目包含子系统较多，且项目需要进行网络改造，在项目实施时，采用分项，循序渐进的方式，保证系统改造不影响日常办公的使用，平稳过渡。

适当先进:综合考虑本单位实际情况，在结合实际的基础上，确保建成的信息系统能够符合当前网络技术、信息技术发展的趋势，具有一定的先进性，在未来5年内能满足科研生产任务和国家法律法规相关要求的实际需要。

便于维护:系统应具有良好的可扩展性和可维护性，部署便利、使用简便、维护集中，并可以实现服务和应用的灵活扩展。

重视培训:系统是按计划分步实施的，培训也将随着项目的各个阶段分期进行，并根据培训的效果做出相应的调整，以达到更好的培训的效果。

三、信息安全保障体系总体框架

信息安全保障体系总体框架

在进行信息安全等级保护安全建设工作中，严格遵循国家等级保护有关规定和标准规范要求，坚持管理和技术并重的原则，将技术措施和管理措施有机结合，建立信息系统综合防护体系，提高信息系统整体安全保护能力。非涉密信息系统总体安全框架如图1所示。

点击图片查看大图

图1 信息安全保障体系总体框架

总体安全框架是将等级保护基本要求、技术设计要求与安全防护需求充分融合，采用“一个中心、两大体系、三重防护”为企业组织提供体系化的防护能力，确保系统安全运行。

四、信息安全管理体系的建设

信息安全管理制度是信息安全领域各种规则的制度化的体现，在信息化相关活动中起着统一目标、规范流程、保障信息安全实施效果的重要作用。通过对信息安全制度规范的决策，首先从高层确保企业组织的信息安全工作“有法可依”，推动信息安全制度建设工作，营造一个积极的信息安全控制环境。

信息安全管理体系的建设，我们要考虑以下几个方面:

一、安全管理制度框架、安全管理制度、规范、流程及表单;

二、信息安全管理机构、岗位;

三、人员安全管理;

四、系统建设管理;

五、系统运维管理。

六、合规性的电子化管理。

企业组织的等级保护工作也需要信息化的手段来进行约束。信息系统合规性监管系统就是将等级保护相关基本要求以及风险管理与控制体系建设方法及过程，按照以重要信息系统为基础、以等级保护建设工作流为核心、以等级保护基本要求进行建模、加以等级保护控制措施进行分析，通过风险评估看清风险，通过体系建设制定任务，通过体系保障完整建设。从而规范等级保护建设管理与控制体系的建设过程，提升组织信息安全风险管理与控制体系的完备性及有效性。

五、信息安全技术体系的建设

信息安全技术体系规划设计流程

信息安全技术体系规划设计流程包括五个阶段:系统调研阶段、安全域规划、系统定级、技术体系设计、技术手段落实。对应的输出是:业务系统调研文档、安全域规划方案、业务系统定级方案、业务系统安全防护方案、初步设计文档技术体系部分。

信息安全技术体系设计原则

设计信息系统技术安全解决方案时，应遵循以下原则:

风险(需求)、成本〔投入)及效果(收益)相平衡的原则

对任何一个信息系统来说，绝对安全是难以达到的。信息安全技术体系建设的最高原则是风险、成本及效果三原则相结合的结果。

综合性、整体性、一致性原则

一个组织的http://www.xiexiebang.com网络骨干区域、网络接人区域。我们可以把它看成公共的基础性区域，是企业各个应用系统出口的高速公路，是企业连续性要求的重要依托。我们强调的是结构化的安全、安全审计与网络设备自身的防护。

终端接入安全防护设计

随着企业和组织的业务发展，组网技术的发展，终端的定义越来越宽泛，接人的形式也越来越多样化。信息安全问题直接延伸到企业人员使用的端点设备上。我们应重点强调身份鉴别、恶意代码防范和用户行为控制，同时也要意识到易用性与安全的平衡。

六、信息安全运维体系的建设

企业和组织的信息化过程已经从大规模建设阶段逐步转型为“建设和运维”并举的阶段。我们可以看到大多数的信息安全运维体系的服务水平处在一个被动的阶段。主要表现在信息技术和设备的应用越来越多，但运维人员在信息系统出现安全事件的时候却茫然不知所措。因此，行之有效的信息安全运维体系，是信息安全管理体系与信息安全技术体系落地的根本之道。

运维服务的发展趋势与阶段划分

安全运维服务通常可以分为五个阶段:混乱、被动、主动、服务和价值阶段。”NSM一ITSM-}BSM”将是IT管理逐步提升的经典路线模型，反映了IT的运营作为一个新兴的企业活动逐步成熟，持续提升。NSM(针对IT技术设施的网络系统管理)、ITSM(针对流程、人员管理的IT服务管理)，BSM(业务服务管理)这些目前己经被广泛应用的理念，在IT管理的发展过程中，发挥了巨大的作用。

安全运维体系的构建

目前条件下的安全运维体系可以分三个阶段构建:

第一阶段从“被动响应”到“主动管理”，是采用NSM实现管理提升的阶段。通过实现对技术元素的数据收集和分析，获得从整个IT信息环境到每个计算实体元素的运行状态信息，因此也能够在故障发生时或者发生之前采取主动的管理操作，实现对工T技术设施的有效掌控和管理，有效提高IT环境的运行质量。建立安全运维监控中心实现第一阶段目标

第二阶段:从“主动管理”到“服务导向”，采用ITSM实现管理提升。在实现了对所有IT技术元素的全面监控以后，IT技术设施的运行质量有了明显改善，但仍未从根本上解决“意外问题”的发生。全球范围内的调查表明，IT问题的出现，除了和设备元素本身的可靠性、性能等密切相关以外，更多的问题(超过80%)是由于IT运维人员没有按照规范的操作流程来进行日常的维护管理，缺乏有效的协同机制等造成的。也就是说，管理的缺位，而不是技术设施本身的问题阻碍了企业IT部门工作效率的提高。借鉴并融合ITIL(信息系统基础设施库)/ITSM(IT服务管理)建立安全运维事件响应中心，借助图形化、可配置的工作流程管理系统，将运维管理工作以任务和工作单传递的方式，通过科学的、符合用户运维管理规范的工作流程进行处置，处理过程电子化流转、减少人工错误，实现对事件、问题处理过程中的各个环节的追踪、监督和审计。

第三阶段:从“服务管理”到“业务价值”，采用BSM实现管理提升。在信息时代，企业的发展和IT环境的成熟是一个互相驱动、交替上升的过程。商业社会中，企业作为一个经济运行实体，其所有的活动和投人都是围绕利益产出的目标进行的。在当前激烈的商业竞争环境中，企业正不断地进行变革，以适应市场和用户的需求。作为业务重要支撑元素的IT正面临着越来越大的挑战。如何充分利用已有的IT资源并持续优化资源配置，如何实现IT和业务目标相统一、持续推动业务发展、创造商业价值，己经成为众多企业信息部门主管、CIO、甚至更高层管理人员的重要难题。建立以信息资产管理为核心的安全运维审核评估中心是这一阶段的工作目标。能够实现信息系统运行质量、服务水平、运维管理工作绩效的综合评估、考核、审计:能够实现关键业务的配置管理、关键业务与基础设施的关联、关键业务的综合运行态势的把握。

七、结束语

在信息安全保障体系总体框架的指导下，注重信息安全管理体系、技术体系和运维体系的建设。充分意识到等级保护建设整改过程中的政策和技术发展的风险，注重安全技术手段的适用性，就可以有效地解决企业和组织面临的安全问题，按照“明确重点、突出重点、保护重点”的原则，将有限的财力、物力、人力投人到重要信息系统的安全保护中，逐步推进企业信息系统安全保障水平。