包头市信息系统安全等级保护培训.ppt

《包头市信息系统安全等级保护培训.ppt》由会员分享，可在线阅读，更多相关《包头市信息系统安全等级保护培训.ppt（85页珍藏版）》请在三一办公上搜索。

1、议 题,包头市信息系统安全等级保护培训实施与测评,杨泽明,议 程,等级保护实施流程等级保护基本要求安全建设整改等级测评,信息系统安全等级保护实施的基本流程,定级指南、实施指南,基本要求，定级指南、实施指南，评估指南,基本要求，实施指南、安全产品标准,实施指南,中华人民共和国计算机信息系统安全保护条例,国家基础标准(GB17859)及配套标准,信息安全等级保护管理办法及相关规定,运营单位/主管部门,行政执法部门,咨询监理工程测评,重要信息系统,规划 设计 建设 运行,等级化的,重要信息系统安全等级保护体系,技术支持,行业管理规范和技术规范,业务分类与定级,网络系统结构,产品装备与配置,过程控制与

2、管理,授权指定,标准依据,信息安全等级保护管理办法系统定级信息系统安全保护等级定级指南安全保护信息系统安全等级保护基本要求信息系统安全等级保护实施指南检测评估信息系统安全等级保护基本要求信息系统安全等级保护测评准则,主要技术标准和管理规范,计算机信息系统安全保护等级划分准则（GB17859-1999）信息安全技术 网络基础安全技术要求信息安全技术 信息系统通用安全技术要求信息安全技术 操作系统安全技术要求信息安全技术 数据库管理系统安全技术要求信息安全技术 服务器技术要求信息安全技术 终端计算机系统安全等级技术要求信息安全技术 信息系统安全管理要求（GB/T20269-2006）信息安全技术

3、信息系统安全工程管理要求（GB/T20282-2006）,管理规范和技术标准的作用,主管部门,监督检查,信息安全监管职能部门,系统定级,安全保护,检测评估,运营/使用单位,安全服务商安全评估机构,技术标准,管理规范,风险分析,基本要求,安全等级定级指南,其他标准要求,等级系统保护方案实施,运行维护管理安全事件管理安全风险管理,安全产品选择安全工程实施系统安全配置,安全状况监控,系统特定需求,等级化要求,事件等级划分,事件响应处置,产品等级划分,风险评估,系统测评准则,监督检查要求,等级系统保护策略与安全方案,实施指南,评估指南,管理规范和技术标准的作用,议 程,等级保护实施流程等级保护基本要求

4、安全建设整改等级测评,基本要求产生的思路,不同级别的信息系统,重要程度不同保护需求不同,安全保护能力不同,应对威胁的能力不同,不同的安全目标,不同基本要求,基本要求的作用,信息系统安全等级保护基本要求,运营、使用单位（安全服务商）,主管部门（等级测评机构）,安全保护,测评检查,基本要求的定位,是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线；每个级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态;是每个级别信息系统进行安全保护工作的一个基本出发点，更加贴切的保护可以通过需求分析对基本要

5、求进行补充，参考其他有关等级保护或安全方面的标准来实现;,基本要求的定位,某级信息系统,基本保护,精确保护,基本要求,保护,基本要求,测评,补充的安全措施GB17859-1999通用技术要求安全管理要求高级别的基本要求等级保护其他标准安全方面相关标准等等,基本保护,特殊需求补充措施,不同级别的安全保护能力要求,1级安全保护能力：应具有能够对抗来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短、系统局部范围等）以及其他相当危害程度威胁的能力，并在威胁发生后，能够恢复部分功能。2级安全保护能力：应具有能够对抗来自小型组织的（如

6、自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等）以及其他相当危害程度（无意失误、设备故障等）威胁的能力，并在威胁发生后，能够在一段时间内恢复部分功能。,不同级别的安全保护能力要求,3级安全保护能力：应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设

7、备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。4级安全保护能力：应具有能够对抗来自敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广（多地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的严重故障等）威胁的能力，并在威胁发生后，能够迅速恢复所有功能。第五级安全保护能力：（略）。,安全保护能力要求说明,核心思想:级别越高,安全控制点越多,安全控制要求越细。对于涉密的信息系统，在确定安全保护等级后，除应按照相应安全等级的基本要求进行保护外，还应按照国家保密工作部门和国家密码管理部门的相关规定进行要求和保护。第五

8、级信息系统是涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统的核心子系统，国家将指定专门部门或者专门机构对其进行专门控管，对第五级信息系统的基本要求将由国家指定的专门部门或者专门机构参照第四级的基本要求另行制定。,基本要求的安全目标,不同等级系统所具有的不同的对抗和恢复能力，可以从实现的安全目标不同来进行具体体现，使较高级别的系统能够应对更多的威胁和更强的威胁主体，即使面临同一个威胁也具备更高的保护强度和更为周密的应对措施。安全目标包括了技术目标和管理目标，技术目标主要用于对抗威胁和实现技术能力，管理目标主要为安全技术实现提供组织、人员、程序等方面的保障。技术类安全要求与信息系统提供的

9、技术安全机制有关，主要通过在信息系统中部署软硬件并正确的配置其安全功能来实现；管理类安全要求与信息系统中各种角色参与的活动有关，主要通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。,各个要素之间的关系,安全保护能力,基本安全要求,每个等级的信息系统,基本技术措施,基本管理措施,具备,包含,包含,满足,满足,实现,基本要求核心思路,某级系统,技术要求,管理要求,基本要求,建立安全技术体系,建立安全管理体系,具有某级安全保护能力的系统,基本要求的逐级增强方法,某级系统,类,技术要求,管理要求,基本要求,类,控制点,具体要求,控制点,具体要求,各级系统的保护要求差异（宏

10、观）,一级系统,二级系统,三级系统,四级系统,通信/边界（基本）,通信/边界/内部（关键设备）,通信/边界/内部（主要设备）,通信/边界/内部/基础设施（所有设备）,各级系统的保护要求差异（宏观）,一级系统,二级系统,三级系统,四级系统,计划和跟踪（主要制度）,计划和跟踪（主要制度）,良好定义（管理活动制度化）,持续改进（管理活动制度化/及时改进）,各级系统的保护要求差异（微观）,某级系统,物理安全,技术要求,管理要求,基本要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,基本要求的使用、补充和调整,根据安全等级选择基本要求，按

11、照基本要求进行保护后，信息系统或子系统具有相应等级的安全保护能力；对信息系统或子系统有增加或特殊保护要求的，应在上述内容的基础上，分析需补充的安全保护需求，对安全保护基本要求进行补充;对基本要求有调整需求的，应对调整项逐项进行风险分析，以保证不降低整体安全保护强度，并形成书面的调整理由。,基本技术要求的三种类型,保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求（简记为S）；保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求（简记为A）；通用安全保护类要求（简记为G）。,通用安全保护类要求（G）,业务信息安全类（S）,系统服务保证

12、类（A）,安全保护和系统定级的关系,定级指南要求按照“业务信息”和“系统服务”的需求确定整个系统的安全保护等级定级过程反映了信息系统的保护要求,基本要求的选择和使用,一个3级系统,定级结果为S3A2，保护类型应该是S3A2G3第1步:选择标准中3级基本要求的技术要求和管理要求;第2步:要求中标注为S类和G类的不变;标注为A类的要求可以选用2级基本要求中的A类作为基本要求;,使用基本要求的方式,运营、使用单位/安全服务商安全规划设计技术体系设计管理体系设计分期/分步安全实施物理环境安全建设机房、办公环境安全建设网络安全建设安全域划分、边界设备设置、边界访问控制、边界数据过滤网络传输加密、网络协议

13、保护、网络防病毒等主机安全防护操作系统配置和加固、桌面保护等应用系统安全开发或改造身份鉴别、访问控制、安全审计、传输加密等,使用基本要求的方式,检查单位（主管部门、监管机构）全面检查技术检查管理检查部分检查技术检查网络安全安全域划分、IP地址规划、网关设置边界设备设置、边界访问控制、边界数据过滤网络传输加密、网络协议保护、网络防病毒交换机、路由器等网络设备的保护等等,议 程,等级保护实施流程等级保护基本要求安全建设整改等级测评,指导原则,管理办法第二十条：公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准的，应当向运营、使用单位发出整改通知。运营、使用单位应当根据

14、整改通知要求，按照管理规范和技术标准进行整改。整改完成后，应当将整改报告向公安机关备案。必要时，公安机关可以对整改情况组织检查。,管理办法第二十一条：第三级以上信息系统应当选择使用符合以下条件的信息安全产品：（一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格；（二）产品的核心技术、关键部件具有我国自主知识产权；（三）产品研制、生产单位及其主要业务、技术人员无犯罪记录；（四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；（五）对国家安全、社会秩序、公共利益不构成危害；（六）对已列入信息安全产品认证目录的，应当取得

15、国家信息安全产品认证机构颁发的认证证书。,指导原则,新建和已建系统生命周期对应关系,1 总体安全规划,总体安全规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况，通过分析明确信息系统安全需求，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划，以指导后续的信息系统安全建设工程实施。对于已运营（运行）的信息系统，需求分析应当首先分析判断信息系统的安全保护现状与等级保护要求之间的差距。,总体安全规划流程,（1）安全需求分析,基本安全需求的确定 目标是根据信息系统的安全保护等级，判断信息系统现有的安全保护水平与国家等级保护管理规范和技术标准之间的差距，提出

16、信息系统的基本安全保护需求。额外/特殊安全需求的确定 目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护基本要求的部分或具有特殊安全保护要求的部分，采用需求分析/风险分析的方法，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的必要性，提出信息系统的特殊安全保护需求。形成安全需求分析报告 目标是总结基本安全需求和特殊安全需求，形成安全需求分析报告。,选择、调整基本安全要求,第一步：根据其等级从基本要求中选择相应等级的基本安全要求。第二步：根据定级过程中确定业务信息安全保护等级和系统服务安全保护等级，确定该信息系统的安全需求类。第三步：根据系统所面临的威胁特点

17、调整安全要求。,明确系统特殊安全需求,特殊需求来自两个方面：等级保护相应等级的基本要求中某些方面的安全措施所达到的安全保护不能满足本单位信息系统的保护需求，需要更强的保护。由于信息系统的业务需求、应用模式具有特殊性，系统面临的威胁具有特殊性，基本要求没有提供所需要的保护措施，例如有关无线网络的接入和防护基本要求中没有提出专门的要求，需要作为特殊需求。,明确系统特殊安全需求,两种解决方式：第一种选择基本要求中更高级别的安全要求达到本级别基本要求不能实现的安全保护能力第二种参照管理办法第十二条和第十三条列出的等级保护的其它标准进行保护。等级保护基本安全要求和特殊安全需求共同构成系统的总的安全需求。

18、,形成安全需求分析报告,总结基本安全需求和特殊安全需求形成安全需求分析报告,（2）总体安全设计,总体安全策略设计 目标是形成机构纲领性的安全策略文件，包括确定安全方针，制定安全策略，以便结合等级保护基本要求和安全保护特殊要求，构建机构信息系统的安全技术体系结构和安全管理体系结构。安全技术体系结构设计 目标是根据信息系统安全等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，提出系统需要实现的安全技术措施，形成机构特定的系统安全技术体系结构，用以指导信息系统分等级保护的具体实现。,总体安全设计,整体安全管理体系结构设计目标是根据等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，

19、调整原有管理模式和管理策略，既从全局高度考虑为每个等级信息系统制定统一的安全管理策略，又从每个信息系统的实际需求出发，选择和调整具体的安全管理措施，最后形成统一的整体安全管理体系结构。设计结果文档化 目标是将总体安全设计工作的结果文档化，最后形成一套指导机构信息安全工作的指导性文件。,（3）安全建设项目规划,总体安全策略设计 目标是依据信息系统安全总体方案（一个或多个文件构成）、机构或单位信息化建设的中长期发展规划和机构的安全建设资金状况确定各个时期的安全建设目标。安全建设内容规划 目标是根据安全建设目标和信息系统安全总体方案的要求，设计分期分批的主要建设内容，并将建设内容组合成不同的项目，阐

20、明项目之间的依赖或促进关系等。形成安全建设项目计划 目标是根据建设目标和建设内容，在时间和经费上对安全建设项目列表进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形成安全建设项目计划。,2 安全设计与实施,安全设计与实施,总体设计方案的设计原则和安全策略需要具体落实到若干个具体的建设项目中，一个设计方案的实施可能可以分为若干个实施方案，分期、分批建设，实现统一设计、分步实施。实施方案不同于设计方案，实施方案需要根据阶段性的建设目标和建设内容将信息系统安全总体设计方案中要求实现的安全策略、安全技术体系结构、安全措施和要求落实到产品功能或物理形态上，提出能够实现的产品或组件及其具体

21、规范，并将产品功能特征整理成文档。使得在信息安全产品采购和安全控制开发阶段具有依据。,安全方案详细设计,技术措施实现内容设计 目标是根据建设目标和建设内容将信息系统安全总体方案中要求实现的安全策略、安全技术体系结构、安全措施和要求落实到产品功能或物理形态上，提出能够实现的产品或组件及其具体规范，并将产品功能特征整理成文档。使得在信息安全产品采购和安全控制开发阶段具有依据。管理措施实现内容设计目标是根据机构当前安全管理需要和安全技术保障需要提出与信息系统安全总体方案中管理部分相适应的本期安全实施内容，以保证安全技术建设的同时，安全管理的同步建设。设计结果文档化 目标是将技术措施落实方案、管理措施

22、落实方案汇总，同时考虑工时和费用，最后形成指导安全实施的指导性文件。,实施方案,系统建设的安全实施方案包含以下内容：本期建设目标和建设内容；技术实现框架；信息安全产品或组件功能及性能；信息安全产品或组件部署；安全策略和配置；配套的安全管理建设内容；工程实施计划；项目投资概算。,管理措施实现,管理机构和人员的设置 目标是建立配套的安全管理职能部门，通过管理机构的岗位设置、人员的分工以及各种资源的配备，为信息系统的安全管理提供组织上的保障。管理制度的建设和修订 目标是建设或修订与信息系统安全管理相配套的、包括所有信息系统的建设、开发、运维、升级和改造等各个阶段和环节所应当遵循的行为规范和操作规程。

23、人员安全技能培训目标是对人员的职责、素质、技能等方面进行培训，保证人员具有与其岗位职责相适应的技术能力和管理能力，以减少人为因素给系统带来的安全风险。安全实施过程管理 目标是在系统定级、规划设计、实施过程中，对工程的质量、进度、文档和变更等方面的工作进行监督控制和科学管理。,技术措施实现,信息安全产品采购 目标是按照安全详细设计方案中对于产品的具体指标要求进行产品采购，根据产品或产品组合实现的功能满足安全设计要求的情况来选购所需的信息安全产品。安全控制开发目标是对于一些不能通过采购现有信息安全产品来实现的安全措施和安全功能，通过专门进行的设计、开发来实现。安全控制的开发应当与系统的应用开发同步

24、设计、同步实施，而应用系统一旦开发完成后，再增加安全措施会造成很大的成本投入。因此，在应用系统开发的同时，要依据安全详细设计方案进行安全控制的开发设计，保证系统应用与安全控制同步建设。,技术措施实现,安全控制集成 目标是将不同的软硬件产品集成起来，依据安全详细设计方案，将信息安全产品、系统软件平台和开发的安全控制模块与各种应用系统综合、整合成为一个系统。安全控制集成的过程需要把安全实施、风险控制、质量控制等有机结合起来，遵循运营使用单位与信息安全服务机构共同参与相互配合的实施的原则。系统验收目标是检验系统是否严格按照安全详细设计方案进行建设，是否实现了设计的功能和性能。在安全控制集成工作完成后

25、，系统测试及验收是从总体出发，对整个系统进行集成性安全测试，包括对系统运行效率和可靠性的测试，也包括对管理措施落实内容的验收。,3 安全运行与维护,运行管理和控制,运行管理职责确定 目标是通过对运行管理活动或任务的角色划分，并授予相应的管理权限，来确定安全运行管理的具体人员和职责。运行管理过程控制 目标是通过制定运行管理操作规程，确定运行管理人员的操作目的、操作内容、操作时间和地点、操作方法和流程等，并进行操作过程记录，确保对操作过程进行控制。,变更管理和控制,变更需求和影响分析 目标是通过对变更需求和变更影响的分析，来确定变更的类别，计划后续的活动内容。变更过程控制目标是确保变更实施过程受到

26、控制，各项变化内容进行记录，保证变更对业务的影响最小。,安全状态监控,监控对象确定 目标是确定可能会对信息系统安全造成影响的因素，即确定安全状态监控的对象。监控对象状态信息收集目标是选择状态监控工具，收集安全状态监控的信息，识别和记录入侵行为，对信息系统的安全状态进行监控。监控状态分析和报告目标通过是对安全状态信息进行分析，及时发现安全事件或安全变更需求，并对其影响程度和范围进行分析，形成安全状态结果分析报告。,安全事件处置和应急预案,安全事件分级 目标是结合信息系统的实际情况，分析事件对信息系统的破坏程度，所造成后果严重程度，将安全事件依次进行分级。应急预案制定 目标是通过对安全事件的等级分

27、析，在统一的应急预案框架下制定不同安全事件的应急预案。安全事件处置目标是对监控到的安全事件采取适当的方法进行处置，对安全事件的影响程度和等级进行分析，确定是否启动应急响应。,安全检查和持续改进,安全状态检查 目标是通过对信息系统的安全状态进行检查，为信息系统的持续改进过程提供依据和建议，确保信息系统的安全保护能力满足相应等级安全要求。改进方案制定 目标是依据安全检查的结果，调整信息系统的安全状态，保证信息系统安全防护的有效性。安全改进实施目标是保证按照安全改进方案实现各项补充安全措施，并确保原有的技术措施和管理措施与各项补充的安全措施一致有效地工作。,等级测评,目标是通过信息安全等级测评机构对

28、已经完成等级保护建设的信息系统定期进行等级测评，确保信息系统的安全保护措施符合相应等级的安全要求。,系统备案,目标是根据国家管理部门对备案的要求，整理相关备案材料，并向受理备案的单位提交备案材料。,监督检查,目标是通过国家管理部门对信息系统定级、规划设计、建设实施和运行管理等过程进行监督检查，确保其符合信息系统安全保护相应等级的要求。,4 信息系统终止,信息转移、暂存和清除,目标是在信息系统终止处理过程中，对于可能会在另外的信息系统中使用的信息采取适当的方法将其安全地转移或暂存到可以恢复的介质中，确保将来可以继续使用，同时采用安全的方法清除要终止的信息系统中的信息。,设备迁移或废弃,目标是确保

29、信息系统终止后，迁移或废弃的设备内不包括敏感信息，对设备的处理方式应符合国家相关部门的要求。,存储介质的清除或销毁,目标是通过采用合理的方式对计算机介质（包括磁带、磁盘、打印结果和文档）进行信息清除或销毁处理，防止介质内的敏感信息泄露。,5.改建实施方案设计,已建成并投入运行的系统如何找出现有安全防护与相应等级基本要求的差距，如何根据差距分析结果设计系统的改建方案，使其能够指导该系统后期具体的改建工作，逐步达到相应等级系统的保护能力。系统改建方案设计的主要依据是安全需求分析的结果，和对信息系统目前保护措施与基本要求的差距的分析和评估。系统改建方案的主要内容则是解决如何针对这些存在的差距，分析其

30、存在的原因以及如何进行整改。系统改建设实施方案与新建系统的安全保护设施设计实施方案都是备案所需要提交的技术文件。,确定系统改建的安全需求,1、根据确定的安全保护等级，参照前述的安全需求分析方法，确定本系统的总体安全需求，其中包括经过调整的等级保护基本要求和本单位的特殊安全需求。2、由信息系统的运营使用单位自己组织人员或由第三方评估机构采用等级测评方法对信息系统安全保护现状与等级保护基本要求进行符合性评估，得到与相应等级要求的差距项。3、针对满足特殊安全需求（包括采用高等级的控制措施和采用其它标准的要求的）的安全措施进行符合性评估，得到与满足特殊安全需求的差距项。,差距原因分析,1、整体设计方面

31、的问题，即某些差距项的不满足是由于该系统在整体的安全策略（包括技术策略和管理策略）设计上存在问题。2、缺乏相应产品实现安全控制要求。由于安全保护要求都是要落在具体产品、组件的安全功能上，通过对产品的正确选择和部署满足相应要求。但在实际中，有些安全要求在系统中并没有落在具体的产品上。3、产品没有得到正确配置。一般由于使用者技术能力、安全意识的原因，或出于对系统运行性能影响的考虑等原因，产品没有得到正确的配置，从而使其相关安全功能没有得到发挥。,分类处理的改建措施,1、如果系统需重新考虑设计网络拓扑结构，包括安全产品或安全组件的部署位置、连线方式、IP地址分配等。根据网络调整的图示方案对原有网络进

32、行调整。针对安全管理方面的整体策略问题，机构需重新定位安全管理策略、方针，明确机构的信息安全管理工作方向。2、将未实现的安全技术要求转化为相关安全产品的功能/性能指标要求，在适当的物理/逻辑位置对安全产品进行部署。3、正确配置产品的相关功能，使其发挥作用。,改建措施详细设计,系统存在的安全问题（差距项）描述；差距产生原因分析；系统整改措施分类处理原则和方法；整改措施详细设计；整改投资估算。,议 程,等级保护实施流程等级保护基本要求安全建设整改等级测评,指导原则,管理办法第十四条信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据信息系统安全等级保护测评要求

33、等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查，第四级信息系统应当每半年至少进行一次自查，第五级信息系统应当依据特殊安全需求进行自查。经测评或者自查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位应当制定方案进行整改。,基本概念,等级测评是指测评机构、信息系统的主管部门及运营使用单位针对信息系统的安全保护情

34、况进行的信息安全等级保护相关标准要求的符合性测试评定工作。测评单元是指安全控制测评的最小工作单位，由测评项、测评方式、测评对象、测评实施和结果判定等组成，分别描述测评目的和内容、测评使用的方式方法、测试过程中涉及的测评对象、具体测试实施取证过程要求和测评证据的结果判定规则与方法。测评强度是指测评的广度和深度，体现测评工作的实际投入程度。,指导系统运营使用单位进行自查指导评估机构进行检测评估监管职能部门参照进行监督检查规范测评内容和行为,测评准则的作用,测评方法,对技术要求访谈方法：目的是了解信息系统的全局性。范围一般不覆盖所有要求内容。检查方法：目的是确认信息系统当前具体安全机制和运行的配置是

35、否符合要求。范围一般要覆盖所有要求内容。测试方法：目的是验证信息系统安全机制有效性和安全强度。范围不覆盖所有要求内容。,对管理要求对人员方面的要求，重点通过访谈的方式来测评，检查为辅；对过程方面的要求，通过访谈和检查的方式来测评；对规范方面的要求，以检查文档为主，访谈为辅,测评方法,测评基本内容,对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。,测评强度,测评强度是在测评过程中，对测评内容实施测

36、评的工作强度，体现为测评工作的实际投入程度，反映出测评的广度和深度。测评广度越大，测评实施的范围越大，测评实施包含的测评对象就越多，测评的深度越深，越需要在细节上展开，因此就越需要更多的投入。投入越多就越能为测评提供更好的保证，体现测评强度越强。测评的广度和深度落实到访谈、检查和测试等三种基本测评方式上，其含义有所不同，体现出测评实施过程中访谈、检查和测试的投入程度不同。可以通过测评广度和深度来描述访谈、检查和测试三种测评方式的测评强度。,安全控制测评,对安全控制测评的描述，使用工作单元方式组织。工作单元分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、

37、应用安全和数据安全等五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。,在内容上，与基本要求一一对应，针对基本要求的每一个控制项，开发具体的测评实施方法。在结构上，以“测评单元”为基本工作单位，分等级进行组织。,工作单元,系统整体测评,系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。测评人员应根据特定信息系统的具体

38、情况，结合本标准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性等。,系统整体测评的思路,根据安全控制、层面和区域之间的关联作用，逐层测评分析安全控制间、层面间和区域间关联关系对整体安全功能的影响，具体应包括：安全控制间安全测评、层面间安全测评、区域间安全测评。进行系统整体结构安全测评从安全的角度，分析信息系统整体结构的安全性从安全角度看系统从系统的角度，分析信息系统安全防范(体系)的合理性 以系统的观点看安全

39、防范（体系),系统整体测评,安全控制间安全测评 安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。层面间安全测评层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。区域间安全测评 区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。系统结构安全测评系统结构安全测评主要考虑信息系统整体结构的安全性和整体安全防范的合理性。,测评机构,管理办法第二十二条 第三级以上信息系统应当选择符合下列条件的等级保护测评机构进

40、行测评：在中华人民共和国境内注册成立（港澳台地区除外）；由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；从事相关检测评估工作两年以上，无违法记录；工作人员仅限于中国公民；法人及主要业务、技术人员无犯罪记录；使用的技术装备、设施应当符合本办法对信息安全产品的要求；具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；对国家安全、社会秩序、公共利益不构成威胁。,测评机构的义务,管理办法第二十三条 从事信息系统安全等级测评的机构，应当履行下列义务：（一）遵守国家有关法律法规和技术标准，提供安全、客观、公正的检测评估服务，保证测评的质量和效果；（二）保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，防范测评风险；（三）对测评人员进行安全保密教育，与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。,谢谢各位！,