安全域和安全保护等级划分的原则

安全域和安全保护等级划分的原则张朝伦安全域和安全保护等级的划分安全域和安全保护等级划分的方法内容3分区域保护原则12内容4分区域保护原则1.概述2.安全计算域3.安全用户域4.安全网络域5.安全域和安全保护等级划分的具体原则概述1.对于一个大规模的复杂信息系统，按数据信息类分区域保护是划分安全保护等级的基本原则和方法。区域的划分应以数据信息分类为基础，并根据应用系统业务处理的需要和同类数据信息的流动范围确定。最理想的区域划分应是需要进行相同安全保护的数据信息在同一个域中实现存储、传输和处理。实际情况往往要复杂的多。2.从等级划分的角度，典型信息系统的安全域可以划分为安全计算域、安全用户域和安全网络域。需要进行相同安全保护的安全计算域、安全用户域和安全网络域，共同组成该信息系统的一个具有相同安全等级的安全域。安全计算域•安全计算域是信息系统中由一个主机/服务器组成的，或多个主机/服务器经局域网连接组成的存储和处理数据信息的区域。安全计算域应有明确的边界。当一个安全计算域由多个主机/服务器组成时，其相互之间应通过局域网连接。安全计算域的划分应根据数据信息的存储和处理所涉及的范围确定。同类的数据信息应尽量集中在单一的或物理位置较近主机/服务器上进行存储和处理，以便于组成易于进行安全保护的安全计算域。•安全计算域是需要进行相同安全保护的主机/服务器的集合。安全计算域的确定与数据的分布密切相关。不同数据类在主机/服务器上分布情况，是确定安全计算域的基本依据。根据数据分布，可以有以下安全计算域：单一计算机单一安全等级计算域•在一个局域范围内，如果同一类数据分布在一台主机/服务器上，并且该主机/服务器上没有分布其它类数据，则该台主机/服务器就可组成一个与该类数据的安全保护等级相对应的单一计算机单一安全保护等级计算域。单一计算机多安全等级计算域•在一个局域范围内，如果同几类数据分布在一台主机/服务器上，并且这些主机/服务器上没有分布其它类数据，则这些主机/服务器就可组成一个与该几类数据的安全保护等级相对应的单一计算机多安全保护等级综合计算域。多计算机单一安全等级计算域•在一个局域范围内，如果一个数据信息类分布在多台主机/服务器上，并且这些主机/服务器上没有分布其它类数据信息，则这几台主机/服务器可组成一个与该类数据的安全保护等级相对应的多计算机单一安全保护等级计算域。多计算机多安全等级计算域•在一个局域范围内，如果同几类数据分布在多台主机/服务器上，并且这些主机/服务器上没有分布其它类数据，则这几台主机/服务器就可组成一个与这些类数据的安全保护等级相对应的多计算机多安全保护等级综合计算域。•需要指出的是，某类数据在构成一种安全计算域的同时，并不排除该类数据在别的主机/服务器上组成别的安全计算域。安全用户域•安全用户域是信息系统中由一个或多个用户终端计算机组成的存储、处理和使用数据信息的区域。安全用户域应有明确的边界，以便于进行保护。安全用户域的划分应以用户所能访问的计算域中的数据信息类和用户计算机所处的物理位置来确定。能访问同类数据信息，并且物理位置较近的用户，可以组成一个安全用户域，以便于进行相同级别的安全保护。安全用户域•安全用户域是需要进行相同安全等级保护的端用户计算机系统的集合，本地端用户计算机组成本地安全用户域；远地端用户计算机组成远地安全用户域。•安全用户域安全等级的确定与用户所能访问的计算域的安全等级有关。一个安全用户域可由一个端用户计算机或多个端用户计算机组成，应根据这些计算机在地域上的分布和对不同安全等级的计算域的访问能力确定。•需要特别说明的是，用户域的安全等级一般应根据该用户域中的用户所能访问的计算域的安全等级确定。但是，有些情况下，集中存放的整体数据的部分被分散存放时，其安全性要求可能回降低。这时，用户的安全等级就可能低于其所能访问的计算域的安全等级。这一切都需要从应用系统的实际安全需求出发来确定。高级别（4，5级）安全的用户域，一般与计算域在同一个局域范围内。安全网络域•安全网络域是信息系统中连接安全计算域与安全计算域、安全计算域与安全用户域之间的网络系统组成的区域。安全网络域分为局域网环境和广域网环境两种情况。在局域网环境组成的安全网络域可以用于单一计算机构成的安全计算域之间的连接，也可以用于多计算机构成的安全计算域之间的连接。对于后一种情况，该安全网络域实际上是安全计算域的组成部分。在广域网环境组成的安全网络域用于远地的安全计算域之间、安全计算域与安全用户域之间的连接。安全网络域是逻辑域。在一个物理的网络环境上可以组成多个不同的安全网络域。安全网络域•安全网络域是由连接具有相同安全等级的安全计算域和/安全用户域组成的网络域。安全网络域的安全等级的确定与其所连接的安全用户域和/或安全计算域的安全等级有关。一般情况下，当一个安全网络域所连接的安全计算域和/或安全用户域具有单一安全等级时，该安全网络域的安全等级应与该安全等级相同；当一个安全网络域所连接的安全计算域和/安全用户域具有多安全级别时，该安全网络域的安全等级应与该其中较高的安全等级相同。安全域和安全保护等级划分的具体原则•以下安全域和安全保护等级划分的原则具有一定的普遍适用性：•a)按系统网络结构和数据信息的分类分布，把一个大规模复杂系统划分为多个实施相同安全保护等级的安全域。•b)安全域的划分可以是物理的或逻辑的，两者都应充分考虑安全保护的因素，比如，应有确定的边界。•c)按物理的或逻辑的结构，确定可以实施相同等级保护的安全计算域、安全用户域和安全网络域。安全域的范围与数据类的流动范围应完全一致。•d)一个安全计算域可以由一台主机/服务器组成，也可以由一个局域网环境组成。•e)按安全域中的数据类，确定该安全域应具有的安全保护等级。•f)安全计算域和安全用户域可以视为安全网络域的节点。•g)高级别（四级和五级）安全域应尽量按物理结构划分，并在同一安全域中只有一类数据信息。•h)三级以下的安全域可以是嵌套结构。比如，在一个局域网组成的二级安全计算域中，可以有一个主机/服务器构成三级安全域。•i)需要进行较低安全保护等级保护的数据信息所涉及的范围一般大于需要进行较高安全保护等级保护的数据信息所涉及的范围。•j)需要进行高安全保护等级（如四级和五级）保护的数据信息通常应限定在较小的范围内，就像传统的办公保密文件需要在保密室存档一样。安全域和安全保护等级划分的方法•a)明确信息系统中需要进行保护的数据信息的类别。•b)按照同类数据信息相对集中的原则进行数据分布。•c)按数据信息类的分布，设置和确定安全计算域的安全保护等级•d)按用户所能访问的数据信息类别，确定用户域的安全保护等级•e)按网络所连接的安全计算域和安全用户域的安全保护等级，确定安全网络域的安全保护等级a)明确信息系统中需要进行保护的数据信息的类别。•在一个复杂的信息系统中，需要进行保护的数据信息可能涉及到各种数据信息类别。一般情况是：需要进行低级别保护的数据信息类分布比较广泛；需要进行高级别保护的数据信息类分布相对集中。某些系统环境可以有五类数据信息中的每一类，另一些系统环境则只有其中的某几类或某一类数据信息。在进行安全域和安全保护等级划分前，首先要明确信息系统中需要进行保护的数据信息类别。b)按照同类数据信息相对集中的原则进行数据分布。•根据信息系统中需要进行保护的数据信息类别，按照同类数据信息相对集中的原则进行数据分布，以便组织不同安全等级的安全域。对于与新设计信息系统同步进行安全设计的情况，这种数据信息相对集中的原则比较容易实现。对于已有信息系统安全方案的设计，由于各方面原因，会出现在一个主机/服务器上有多类数据存储和处理的情况（高级别，如四级或五级应避免这种情况）。但是在可能的情况下应尽量考虑同类数据信息的存储和处理相对集中。c)按数据信息类的分布，设置和确定安全计算域的安全保护等级•对于第五类数据信息，原则上应设置专门的主机/服务器，按物理结构组成安全计算域。并在该安全域中只存储和处理第五类数据信息，以便于实施最严格的安全保护。对于第四类数据信息，应尽量设置专门的主机/服务器，避免与低安全保护等级（一级、二级、三级）数据信息共用主机/服务器，按物理结构组成安全计算域，以便于实施严格的安全保护。对于第三类数据信息，可根据实际情况，单独设置主机/服务器组成单一安全保护等级（三级）的安全计算域，或与第一类和第二类数据信息共用主机/服务器组成具有多安全保护等级（三级及以下各安全级）的安全计算域。对于第二类数据信息，可根据实际情况，单独设置主机/服务器组成单一安全保护等级（二级）的安全计算域，或与第一类数据信息共用主机/服务器组成具有多安全保护等级（二级和一级）的安全计算域。对于只有第一类数据信息的信息系统，按地域相近的原则，构成一个或多各具有一级安全的安全计算域。d)按用户所能访问的数据信息类别，确定用户域的安全保护等级•安全用户域的安全保护等级，完全取决于用户所能访问的数据信息的类别。并且，一个安全用户域的安全保护等级，应根据该安全用户域中的用户能访问的最高级别数据类来确定。在划分安全用户域时，就应考虑到把能访问相同数据类且地域上接近的用户终端计算机划分为一个安全用户域。e)按网络所连接的安全计算域和安全用户域的安全保护等级，确定安全网络域的安全保护等级•用于连接相同安全保护等级的安全计算域和/或安全用户域的网络环境构成的安全网络域应具有与安全计算域同样的安全保护等级。作为安全计算域组成部分的局域网所构成的安全网络域应具有与该安全计算域相同的安全保护等级。Thanks!