搜索
De3ICS35.040L80中华人民共和国国家标准GB/T×××××—××××信息安全技术信息系统安全等级保护定级指南Informationsecuritytechnology-Classificationguideforclassifiedprotectionofinformationsystem（报批稿）××××-××-××发布××××-××-××实施全国信息安全标准化技术委员会GB/TXXXX–XXXXI目次目次..................................................................................I前言.................................................................................II引言................................................................................III1范围...............................................................................12规范性引用文件.....................................................................13术语和定义.........................................................................14定级原理...........................................................................14.1信息系统安全保护等级.............................................................14.2信息系统安全保护等级的定级要素...................................................24.2.1受侵害的客体...................................................................24.2.2对客体的侵害程度...............................................................24.3定级要素与等级的关系.............................................................25定级方法...........................................................................35.1定级的一般流程...................................................................35.2确定定级对象.....................................................................45.3确定受侵害的客体.................................................................55.4确定对客体的侵害程度.............................................................65.4.1侵害的客观方面.................................................................65.4.2综合判定侵害程度...............................................................65.5确定定级对象的安全保护等级.......................................................76等级变更...........................................................................8GB/TXXXX–XXXXII前言本标准由公安部和全国信息安全标准化技术委员会提出。本标准由全国信息安全标准化技术委员会归口。本标准起草单位：公安部信息安全等级保护评估中心。本标准主要起草人：任卫红、曲洁、马力、朱建平、李明、李升、谢朝海、毕马宁、陈雪秀。GB/TXXXX–XXXXIII引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系列标准包括：——GB/TBBBBB-BBBB信息系统安全等级保护基本要求；——GB/TCCCCC-CCCC信息系统安全等级保护实施指南；——GB/TDDDDD-DDDD信息系统安全等级保护测评准则。本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。GB/TXXXX–XXXX1信息系统安全等级保护定级指南1范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本标准。GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则3术语和定义GB/T5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。3.1等级保护对象targetofclassifiedsecurity信息安全等级保护工作直接作用的具体的信息和信息系统。3.2客体object受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。3.3客观方面objective对客体造成侵害的客观外在表现，包括侵害方式和侵害结果等。3.4系统服务systemservice信息系统为支撑其所承载业务而提供的程序化过程。4定级原理4.1信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：GB/TXXXX–XXXX2第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。4.2信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。4.2.1受侵害的客体等级保护对象受到破坏时所侵害的客体包括以下三个方面：a)公民、法人和其他组织的合法权益；b)社会秩序、公共利益；c)国家安全。4.2.2对客体的侵害程度对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：a)造成一般损害；b)造成严重损害；c)造成特别严重损害。4.3定级要素与等级的关系定级要素与信息系统安全保护等级的关系如表1所示。GB/TXXXX–XXXX3表1定级要素与安全保护等级的关系受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级5定级方法5.1定级的一般流程信息系统安全包括业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。确定信息系统安全保护等级的一般流程如下：a)确定作为定级对象的信息系统；b)确定业务信息安全受到破坏时所侵害的客体；c)根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度；d)依据表2，得到业务信息安全保护等级；e)确定系统服务安全受到破坏时所侵害的客体；f)根据不同的受侵害客体，从多个方面综合评定系统服务安全被破坏对客体的侵害程度；g)依据表3，得到系统服务安全保护等级；h)将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护等级。上述步骤如图1确定等级一般流程所示。GB/TXXXX–XXXX4图1确定等级一般流程5.2确定定级对象一个单位内运行的信息系统可能比较庞大，为了体现重要部分重点保护，有效控制信息安全建设成本，优化信息安全资源配置的等级保护原则，可将较大的信息系统划分为若干个较小的、可能具有不同安全保护等级的定级对象。作为定级对象的信息系统应具有如下基本特征：a)具有唯一确定的安全责任单位作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。b)具有信息系统的基本要素作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象。c)承载单一或相对独立的业务应用定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体7、系统服务安全等级4、业务信息安全等级8、定级对象的安全保护等级依据表2依据表31、确定定级对象GB/TXXXX–XXXX5程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。5.3确定受侵害的客体定级对象受到破坏时所侵害的客体包括国家安全、社会秩序、公众利益以及公民、法人和其他组织的合法权益。侵害国家安全的事项包括以下方面：-影响国家政权稳固和国防实力；-影响国家统一、民族团结和社会安定；-影响国家对外活动中的政治、经济利益；-影响国家重要的安全保卫工作；-影响国家经济竞争力和科技实力；-其他影响国家安全的事项。侵害社会秩序的事项包括以下方面：-影响国家机关社会管理和公共服务的工作秩序；-影响各种类型