信息系统安全等级保护基本要求和建设

信息系统安全等级保护基本要求和建设整改石家庄鼎普信息技术有限公司张海波13932108013引言依据如下相关文件，制定信息系统安全等级保护相关标准：-《中华人民共和国计算机信息系统安全保护条例》国务院147号令-《国家信息化领导小组关于加强信息安全保障工作的意见》中办发[2003]27号-《关于信息安全等级保护工作的实施意见》公通字[2004]66号-《信息安全等级保护管理办法》公通字[2007]43号本标准是信息安全等级保护相关系列标准之一；相关的系列标准包括：-信息安全技术信息系统安全等级保护定级指南；（GB/T22240-2008）-信息安全技术信息系统安全等级保护基本要求；（GB/T22239-2008）-信息安全技术信息系统安全等级保护测评准则；（送审稿）-信息安全技术信息系统安全等级保护实施指南；（GB/T25058-2010）-信息安全技术信息系统等级保护级保护安全设计技术要求；（GB/T25070-2010）在对信息系统实施信息安全等级保护的过程中，在不同的阶段，还应参照其他有关信息安全等级保护的标准、要求开展工作。信息安全标准AS/NZS4360:1999风险管理标准ISO/IEC13335IT安全管理指南ISO/IEC17799:2005信息安全管理最佳实践指南ISO/IEC27001:2005信息安全管理体系规范ISO/IEC15408/GB18336CCIATF信息保障技术框架SSE-CMM系统安全工程能力成熟度模型公安部等级保护指南《信息系统安全等级保护定级指南》参考ISO13335《信息系统安全等级保护实施指南》参考ISO13335、IATF、SSE-CMM《信息系统安全等级保护基本要求》参考ISO15408、7799参考《信息系统安全等级保护测评准则》信息安全等级保护基本要求与建设整改标准术语与定义1基本要求概述2基本要求的应用要点3基本要求的主要内容4基本要求的级差5基本技术要求及设计指南6基本管理要求7系统改建的实施方案设计8等级保护基本要求的概述„信息系统安全保护等级信息系统根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分成五级。五级定义见GB/T22240-2008。„高教系统安全保护等级《教育行政部门及高等院校信息系统安全等级保护定级指南》依据国家信息安全等级保护相关文件，结合教育行政部门及高等院校信息化工作特点制定，适用于为教育行政部门及高等院校相关信息系统安全等级保护的定级工作提供指导。信息安全保护定级第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。不同等级的安全保护能力„„第一级应能够防护系统免受来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。第二级应能够防护系统免受来自外部小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小等）以及其他相当危害程度的威胁（无意失误、技术故障等）所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。不同等级的安全保护能力第三级应能够在统一安全策略下防护系统免受来自外部有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无意失误、较严重的技术故障等）所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。第四级应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无意失误、严重的技术故障等）所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。不同等级的安全保护能力能力等级抵御攻击病毒和恶意代码防范抵抗自然灾害入侵检测系统恢复安全事件响应和责任追踪资源控制第一级一般性攻击常见病毒和恶意代码无要求无要求恢复系统主要功能无要求无要求第二级小规模、较弱强度攻击一般性计算机病毒和恶意代码一般自然灾害检测常见的攻击行为，并对安全事件进行记录恢复系统正常运行状态无要求无要求第三级大规模、较强恶意攻击病毒和恶意代码较为严重的自然灾害检测、发现、报警、记录入侵行为快速恢复正常运行状态响应处置，能够追踪安全责任集中控管第四级统一的安全保护策略下具有抵御敌对势力有组织的大规模攻击病毒和恶意代码严重自然灾害检测、发现、报警、记录入侵行为立即恢复正常运行状态快速响应处置，并能够追踪安全责任集中控管基本要求的组织方式„基本要求的组织方式项控制点类方面信息系统信息安全等级保护基本要求技术要求物理安全类控制点10具体要求项33网络安全类控制点7具体要求项32主机安全类控制点9具体要求项36应用安全类控制点11具体要求项36数据安全及备份恢复类控制点3具体要求项11管理要求安全管理制度类控制点3具体要求项14安全管理机构类控制点5具体要求项20人员安全管理类控制点5具体要求项18系统建设管理类控制点11具体要求项48系统运维管理类控制点13具体要求项70基本要求的主要内容„基本技术要求的主要内容物理安全物理位置选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁防护网络安全结构安全和网段划分网络访问控制网络安全审计边界完整性检查网络入侵检测恶意代码防护网络设备防护主机系统安全身份鉴别安全标记访问控制可信路径安全审计剩余信息保护入侵防范恶意代码防范系统资源控制应用安全身份鉴别安全标记访问控制可信路径安全审计剩余信息保护通信完整性通信保密性抗抵赖软件容错资源控制数据安全数据完整性数据保密性备份和恢复第四部分——基本要求的主要内容„基本管理要求的主要内容安全管理制度管理制度制度和发表评审和修定安全管理机构岗位设置人员配备授权和审批沟通和合作审核和检查人员安全管理人员录用人员离岗人员考核安全意识教育和教训外部访问人员管理系统建设管理系统定级安全方案设计产品采购和使用自行软件开发外包软件开发工程实践测试验收系统交付系统备案等级测评安全服务商选择系统运维管理环境管理资产管理介质管理设备管理监控管理和安全管理中心网络安全管理系统安全管理恶意代码防范管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理第四部分——基本要求的主要内容„基本技术要求的三种类型根据保护侧重点的不同，技术类安全要求进一步细分为:保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求（简记为S）；保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求（简记为A）；通用安全保护类要求（简记为G）。第三部分第三部分——基本要求的应用要点„信息系统定级后，不同安全保护等级的信息系统可能形成的定级结果组合如下：S1A1G1S1A2G2,S2A2G2,S2A1G2S1A3G3,S2A3G3,S3A3G3,S3A2G2,S3A1G3S1A4G4,S2A4G4,S3A4G4,S4A4G4,S4A3G4,S4A2G4,S4A1G4第四级第三级第二级第一级第五部分——基本要求的级差安全要求类层面一级二级三级四级技术要求物理安全7101010网络安全3677主机安全4679应用安全47911数据安全及备份恢复2333管理要求安全管理制度2333安全管理机构4555人员安全管理4555系统建设管理991111系统运维管理9121313合计/48667377级差//1874控制点的分布第五部分——基本要求的级差安全要求类层面一级二级三级四级技术要求物理安全9193233网络安全9183332主机安全6193236应用安全7193136数据安全及备份恢复24811管理要求安全管理制度371114安全管理机构492020人员安全管理7111618系统建设管理20284548系统运维管理18426270合计/85175290318级差//9011528控制项的分布三级基本技术要求及设计指南设计目标„第三级系统安全保护环境的设计目标是：按照GB17859-1999对第三级系统的安全保护要求，在第二级系统安全保护环境的基础上，通过实现基于安全策略模型和标记的强制访问控制以及增强系统的审计机制，使系统具有在统一安全策略管控下，保护敏感资源的能力。设计策略„第三级系统安全保护环境的设计策略是：在第二级系统安全保护环境的基础上，遵循GB17859-1999的4.3中相关要求，构造非形式化的安全策略模型，对主、客体进行安全标记，表明主、客体的级别分类和非级别分类的组合，以此为基础，按照强制访问控制规则实现对主体及其客体的访问控制。第三级系统安全保护环境的设计通过第三级的安全计算环境、安全区域边界、安全通信网络以及安全管理中心的设计加以实现。三级基本技术要求及设计指南第三级设计技术要求安全计算环境设计技术要求安全区域边界设计技术要求安全通信网络设计技术要求安全管理中心设计技术要求三级基本技术要求及设计指南安全计算环境设计技术要求„第三级安全计算环境从以下方面进行安全设计：用户身份鉴别应支持用户标识和用户鉴别。在对每一个用户注册到系统时，采用用户名和用户标识符标识用户身份，并确保在系统整个生存周期用户标识的唯一性；在每次用户登录系统时，采用受安全管理中心控制的口令、令牌、基于生物特征、数字证书以及其他具有相应安全强度的两种或两种以上的组合机制进行用户身份鉴别，并对鉴别数据进行保密性和完整性保护。自主访问控制应在安全策略控制范围内，使用户对其创建的客体具有相应的访问操作权限，并能将这些权限的部分或全部授予其他用户。自主访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级和（或）记录或字段级。自主访问操作包括对客体的创建、读、写、修改和删除等。三级基本技术要求及设计指南安全计算环境设计技术要求„第三级安全计算环境从以下方面进行安全设计：标记和强制访问控制在对安全管理员进行身份鉴别和权限控制的基础上，应由安全管理员通过特定操作界面对主、客体进行安全标记；应按安全标记和强制访问控制规则，对确定主体访问客体的操作进行控制。强制访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级。应确保安全计算环境内的所有主、客体具有一致的标记信息，并实施相同的强制访问控制规则。系统安全审计应记录系统的相关安全事件。审计记录包括安全事件的主体、客体、时间、类型和结果等内容。应提供审计记录查询、分类、分析和存储保护；能对特定安全事件进行报警；确保审计记录不被破坏或非授权访问。应为安全管理中心提供接口；对不能由系统独立处理的安全事件，提供由授权主体调用的接口。用户数据完整性保护应采用密码机制支持的完整性校验机制或其他具有相应安全强度的完整性校验机制，检验存储和处理的用户数据的完整性，以发现其完整性是否被破坏，且在其受到破坏