信息安全等级保护操作指南和操作流程DOC.docx

信息安全等级保护操作流程1 信息系统定级1.1 定级工作实施范围“关于开展全国重要信息系统安全等级保护定级工作的通知”对于重要信息系统的范围规定如下：一电信、广电行业的公用通信网、播送电视传输网等根底信息网络，经营性公众互联网信息效劳单位、互联网接入效劳单位、数据中心等单位的重要信息系统。二铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、进展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政治理、邮政等行业、部门的生产、调度、治理、办公等重要信息系统。三市地级以上党政机关的重要网站和办公信息系统。四涉及国家隐秘的信息系统以下简称“涉密信息系统”。注：跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定依据国家保密局的有关规定和标准执行。1.2 定级依据标准国家信息化领导小组关于加强信息安全保障工作的意见中办发【2023】27 号文件关于信息安全等级保护工作的实施意见公通字【2023】66 号文件电子政务信息系统安全等级保护实施指南试行 国信办【2023】25 号文件信息安全等级保护治理方法公通字【2023】43 号文件计算机信息系统安全保护等级划分准则电子政务信息安全等级保护实施指南信息系统安全等级保护定级指南信息系统安全等级保护根本要求信息系统安全等级保护实施指南信息系统安全等级保护测评指南1.3 定级工作流程信息系统调查确定定级对象定级要素分析···············网络拓扑调查资产信息调查效劳信息调查系统边界调查治理机构分析业务类型分析物理位置分析运行环境分析业务信息分析系统效劳分析综合分析确定等级编写定级报告··编写定级报告帮助定级备案···帮助评审审批形成最终报告帮助定级备案图 1-1 信息系统定级工作流程1.3.1 信息系统调查信息系统调查是通过一系列的信息系统状况调查表对信息系统根本状况进展摸底调查，全面把握信息系统的数量、分布、业务类型、应用、效劳范围、系统构造、治理组织和治理方式等根本状况。同时， 通过信息系统调查还可以明确信息系统存在的资产价值、威逼等级、风险等级以及可能造成的影响客体、影响范围等根本状况。信息系统调查结果将作为信息系统安全等级保护定级工作的主要依据，保证定级结果的客观、合理和准确。1.3.1.1 调查工具表通常，信息系统调查工具表包括系统资产调查表、系统应用调查表、和治理信息调查表等。l 系统资产调查表用于调查信息系统的根本状况，主要包括主机、网络设备、人员、人员、效劳等信息。在调查过程中，可以得到系统资产的根本信息、主要用途、重要程度、效劳对象等相关信息。l 系统应用调查表用于明确系统应用的根本状况。明确各个系统应用的拓扑信息、边界信息、应用架构、数据流等根本状况，为确定和分析定级对象供给具体信息。l 治理信息调查表用于明确信息系统的组织构造、隶属关系等治理信息。1.3.1.2 调查方法信息系统调查的实施包括信息收集、访谈和核查三个步骤。l 信息收集帮助信息系统使用治理单位完成系统资产调查表填写工作，同时收集信息系统所涉及的一系列l 访谈核查对调查表中的信息进展验证的过程，验证包括检查和测试等方式。1.3.2 确定定级对象一个单位可能运行了比较浩大的信息系统，为了重点保护重要局部，有效掌握信息安全建设和治理本钱，优化信息安全资源配置等保护原则，可将较大的信息系统划分为假设干个较小的、相对独立的、具有不同安全保护等级的定级对象。这样，可以保证信息系统安全建设能够突出重点、兼顾一般。1.3.2.1 根本原则假设信息系统只承载一项业务，可以直接为该信息系统确定等级， 不必划分业务子系统。假设信息系统承载多项业务，应依据各项业务的性质和特点，将信息系统分成假设干业务子系统，分别为各业务子系统确定安全保护等级，信息系统的安全保护等级由各业务子系统的最高等级打算。信息系统是进展等级确定和等级保护治理的最终对象。主要划分原则有：一、 具有唯一确定的安全责任单位作为定级对象的信息系统应能够唯一地确定其安全责任单位。假设一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；假设一个单位中的不同下级单位分别担当信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。二、 具有信息系统的根本要素作为定级对象的信息系统应当是由相关的和配套的设备、设施依据肯定的应用目标和规章组合而成的有形实体。应避开将某个单一的系统组件，如效劳器、终端、网络设备等作为定级对象。三、 承载单一或相对独立的业务应用定级对象承载 “单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享全部信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。1.3.2.2 信息系统的划分方法一个组织机构内可能运行一个或多个信息系统，这些信息系统的安全保护等级可以是一样的，也可以是不同的。为表达重点保护重要信息系统安全，有效掌握信息安全建设本钱，优化信息安全资源配置的等级保护原则，在进展信息系统的划分时应考虑以下几个方面：一、 一样的治理机构信息系统内的各业务子系统在同一个治理机构的治理掌握之下， 可以保证遵循一样的安全治理策略。二、 一样的业务类型信息系统内的各业务子系统具有一样的业务类型，安全需求相近， 可以保证遵循一样的安全策略。三、 一样的物理位置或相像的运行环境信息系统内的各业务子系统具有一样的物理位置或相像的运行环境意味着系统所面临的威逼相像，有利于实行统一的安全保护。1.3.3 定级要素分析通过针对定级对象分别进展业务信息安全分析和系统效劳安全分析，最终确定信息系统安全等级保护系统等级。在进展业务信息安全分析和系统效劳安全分析时，充分考虑行业特点、业务应用特点等因素，细化受侵害客体组成及损害程度判定要素，从而确保信息系统定级的合理准确。1.3.3.1 定级流程依据定级流程，在定级要素分析时需对业务信息安全等级和系统效劳安全等级进展分析，分析内容包括确定受侵害的客体、确定对客体的侵害程度，从而确定相应的业务信息安全等级和系统效劳安全等级。最终，综合业务信息安全等级和系统效劳安全等级得到信息系统安全等级保护系统等级。1.3.3.2 确定受侵害客体定级对象收到破坏时所侵害的客体包括国家安全、社会秩序、公众利益及公民、法人和其他组织的合法权益。l 国家安全n 影响国家政权稳固和国防实力；n 影响国家统一、民族团结和社会安定；n 影响国家对外活动中的政治、经济利益；n 影响国家重要的安全保卫工作；n 影响国家经济竞争力和科技实力；n 其他影响国家安全的事项。l 社会秩序n 影响国家机关社会治理和公共效劳的工作秩序；n 影响各种类型的经济活动秩序；n 影响各行业的科研、生产秩序；n 影响公众在法律约束和道德标准下的正常生活秩序等；n 其他影响社会秩序的事项。l 公共利益n 影响社会成员使用公共设施；n 影响社会成员猎取公开信息资源；n 影响社会成员承受公共效劳等方面；n 其他影响公共利益的事项。l 公民、法人和其他组织n 由法律确认的并受法律保护的公民、法人和其他组织所享有的肯定的社会权利和利益。确定作为定级对象的信息系统受到破坏后所侵害的客体时，应首先推断是否侵害国家安全，然后推断是否侵害社会秩序或公众利益， 最终推断是否侵害公民、法人和其他组织的合法权益的关系，从而确定信息和信息系统受到破坏时所侵害的客体。1.3.3.3 确定对客体的损害程度在针对不同的受侵害客体进展侵害程度的推断时，应参照以下的判别基准。l 假设受侵害客体是公民、法人或其他组织的合法权益，则以本人或本单位的总体利益作为推断侵害程度的基准。l 假设受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家的总体利益作为推断侵害程度的基准。不同危害后果的三种危害程度危害程度描述如下：l 一般损害工作职能受到局部影响，业务力量有所降低但不影响主要功能的执行，消灭较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害。l 严峻损害工作职能受到严峻影响，业务力量显著下降且严峻影响主要功能执行，消灭较严峻的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严峻损害。特别严峻损害工作职能受到特别严峻影响或丧失行使力量，业务力量严峻下降且或功能无法执行，消灭极其严峻的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成格外严峻损害。1.3.3.4 确定定级对象的安全保护等级在确定完成受侵害客体以及对客体的侵害程度后，依据表 1 分别确定业务信息安全等级和系统效劳安全等级。作为定级对象的信息系统的安全保护等级由业务信息安全等级和系统效劳安全等级的较高者打算。对客体的侵害程度受侵害的客体一般损害严峻损害特别严峻损害公民、法人和其他第一级其次级其次级组织的合法权益社会秩序、公共利其次级第三级第四级益国家安全第三级第四级第五级表 1定级要素与安全保护等级的关系1.3.4 编写定级报告依据定级过程和定级结果，编写初步信息系统定级报告。1.3.5 帮助定级备案在完成初步定级报告后，帮助信息系统治理使用单位进展评审与审批，并最终确定定级报告，完成信息系统备案工作。2 等级测试2.1 工作内容等级测评是信息安全等级保护实施中的一个重要环节。等级测评是指具有相关资质的、独立的第三方评测效劳机构，对信息系统的等级保护落实状况与信息安全等级保护相关标准要求之间的符合程度的测试判定。2.2 依据标准计算机信息系统安全保护等级划分准则信息系统安全等级保护根本要求信息系统安全等级保护定级指南电子政务信息安全等级保护实施指南信息系统安全等级保护实施指南信息系统安全等级保护测评指南信息安全技术 信息系统通用安全技术要求信息安全技术 网络根底安全技术要求信息安全技术 操作系统安全技术要求信息安全技术 数据库治理系统安全技术要求信息安全技术 效劳器技术要求信息安全技术 终端计算机系统安全等级技术要求2.3 等级评测内容2.3.1 根本内容对信息系统安全等级保护状况进展测试评估，应包括两个方面的内容：一是安全掌握测评，主要测评信息安全等级保护要求的根本安全掌握在信息系统中的实施配置状况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全掌握测评是信息系统整体安全测评的根底。对安全掌握测评的描述，使用工作单元方式组织。工作单元分为安全技术测评和安全治理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上的安全掌握测评；安全治理测评包括：安全治理机构、安全治理制度、人员安全治理、系统建设治理和系统运维治理等五个方面的安全掌握测物理安网络安人员安全治理安全治理机构安全治理制度不同信息系统之间整体安全性整体构造安全整体拓扑/局部构造评。信息系统等级测评安全掌握测评系统整体测评安全技术测评安全治理测评安全掌握间层面间区域间系统整体测评涉及到信息系统的整体拓扑、局部构造，也关系到信息系统的具体安全功能实现和安全掌握配置，与特定信息系统的实际状况严密相关，内容简单且布满系统共性。因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。测评人员应依据特定信息系统的具体状况，结合标准要求， 确定系统整体测评的具体内容，在安全掌握测评的根底上，重点考虑安全掌握间、层面间以及区域间的相互关联关系，测评安全掌握间、层面间和区域间是否存在安全功能上的增加、补充和减弱作用以及信息系统整体构造安全性、不同信息系统之间整体安全性等，等级测评根本内容如图 1 所示。全全机系应数统安用安据安全全全主系统建设治理系统运维治理图 1 等级测评根本内容2.3.2 等级测评工作单元工作单元是安全测评的根本工作单位，对应一组相对独立和完整的测评内容。工作单元由测评项、测评对象、测评方式、测评实施和结果判定组成，如图 2 示。图 2 工作单元构成测评项描述测评目的和测评内容，与信息安全等级保护要求的根本安全掌握要求相全都。测评方式是指测评人员依据测评目的和测评内容应选取的、实施特定测评操作的方式方法，包括三种根本测评方式：访谈、检查和测试。测评对象是测评实施过程中涉及到的信息系统的构成成分，是客观存在的人员、文档、机制或者设备等。测评对象是依据该工作单元中的测评项要求提出的，与测评项的要求相适应。一般来说，实施测评时，面临的具体测评对象可以是单个人员、文档、机制或者设备等，也可能是由多个人员、文档、机制或者设备等构成的集合，它们分别需要使用到某个特定安全掌握的功能。测评实施是工作单元的主要组成局部，它是依据测评目的，针对具体测评内容开发出来的具体测评执行实施过程要求。测评实施描述测评过程中涉及到的具体测评方式、内容以及需要实现的和/或应当取得的测评结果。结果判定描述测评人员执行完测评实施过程，产生各种测评证据后，如何依据这些测评证据来判定被测系统是否满足测评项要求的方法和原则。在给出整个工作单元的测评结论前，需要先给出单项测评实施过程的结论。一般来说，单项测评实施过程的结论判定不是直接的，常常需要测评人员的主观推断，通常认为取得正确的、关键性证据，该单项测评实施过程就得到满足。某些安全掌握可能在多个具体测评对象上实现如主机系统的身份鉴别，在测评时觉察只有局部测评对象上的安全掌握满足要求，它们的结果判定应依据实际状况给出。2.4 测评方法主要承受访谈、检查、测试等方法进展等级保护测评。一、 访谈 interview测评人员通过与信息系统相关人员个人/群体进展沟通、争论等活动，猎取证据以证明信息系统安全等级保护措施是否有效的一种方法。使用各类调查问卷和访谈大纲实施访谈。二、 检查examine不同于行政执法意义上的监视检查，而是指测评人员通过对测评对象进展观看、查验、分析等活动，猎取证据以证明信息系统安全等级保护措施是否有效的一种方法。可以使用各种检查表和相应的安全调查工具实施检查。三、 测试test测评人员通过对测评对象依据预定的方法 /工具使其产生特定的行为等活动，查看、分析输出结果，猎取证据以证明信息系统安全等级保护措施是否有效的一种方法。包括功能测试和渗透性测试、系统漏洞扫描等。渗透性测试：等级测评的一个重要内容是对测试目标进展脆弱性分析，探知产品或系统安全脆弱性的存在，其主要目的是确定测试目标能够抵抗具有不同等级攻击潜能的攻击者发起的渗透性攻击。因此，渗透性测试就是在测试目标预期使用环境下进展的测试，以确定测试目标中潜在的脆弱性的可利用程度。系统漏洞扫描：要是利用扫描工具对系统进展自动检查，依据漏洞库的描述对系统进展模拟攻击测试，假设系统被成功入侵，说明存在漏洞。主要分为网络漏洞扫描和主机漏洞扫描等方式。2.5 等级测评工作流程一、 测评预备阶段本阶段是开呈现场测评工作的前提和根底，是整个等级测评过程有效性的保证。测评预备工作是否充分直接关系到现场测评工作能否顺当开展。本阶段的主要工作是把握被测方系统的具体状况和为实施现场测评做好方案、文档及测试工具等方面的预备。二、 现场实施阶段本阶段是开展等级测评工作的关键阶段。本阶段的主要工作是依据测评方案的总体要求，严格执行作业指导书，分步实施全部测评工程，包括单项测评和系统整体测评两个方面，以了解系统的真实保护状况，猎取足够证据，觉察系统存在的安全问题。三、 分析与报告编制阶段该阶段是等级测评工作的最终环节，是对被测方系统整体安全保护力量的综合评价过程。主要工作是依据现场测评结果和测评准则的有关要求，通过单项测评结论判定和系统整体测评分析等方法，分析整个系统的安全保护现状与相应等级的保护要求之间的差距，编制测评报告。等级测评根本流程如图 3 示。编制测评方案工具和文档预备方案确认和资源协调现场测评和记录结果结果确认和资料归还分析测评结果等级测评工程启动信息收集和分析形成等级评测结论编制测评报告测评预备阶段沟通与洽谈现场实施阶段分析与报告编制阶段说明：图中虚线框中的活动不是一个独立的活动或称，它贯穿等级 测评的各个阶段中,需要双方协作共同完成等级测评工作。图 3 等级测评根本流程2.6 系统整体测评系统整体测评涉及到信息系统的整体拓扑、局部构造，也关系到信息系统的具体安全功能实现和安全掌握配置，与特定信息系统的实际状况严密相关，内容简单且布满系统共性。因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。首先测评人员应依据特定信息系统的具体状况，结合标准要求， 确定系统整体测评的具体内容。其次在安全掌握测评的根底上，重点考虑安全掌握间、层面间以及区域间的相互关联关系，测评安全掌握间、层面间和区域间是否存在安全功能上的增加、补充和减弱作用， 最终才能得出测评结论。2.6.1 安全掌握间安全测评安全掌握间的安全测评主要考虑同一区域内、同一层面上的不同安全掌握间存在的功能增加、补充或减弱等关联作用。安全功能上的增加和补充可以使两个不同强度、不同等级的安全掌握发挥更强的综合效能，可以使单个低等级安全掌握在特定环境中到达高等级信息系统的安全要求。安全功能上的减弱会使一个安全掌握的引入影响另一个安全掌握的功能发挥或者给其带来的脆弱性。例如，某金融机构的核心系统，它的访问路径未承受SSL 加密设置，简洁导致数据被嗅探和非法篡改，但核心系统承受 SSL 对网络上数据传输进展加密，可以有效保护网络数据传输的安全。所以，在进展测评综合判定时，该测评项就可以判为通过。2.6.2 层面间安全测评层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增加、补充和减弱等关联作用。安全功能上的增加和补充可以使两个不同层面上的安全掌握发挥更强的综合效能，可以使单个低等级安全掌握在特定环境中到达高等级信息系统的安全要求。安全功能上的减弱会使一个层面上的安全掌握影响另一个层面安全掌握的功能发 挥或者给其带来的脆弱性。例如，某金融机构，它的网络核心设备对内部的访问掌握存在缺乏，安全风险主要来自内部人员的误用、滥用和恶用，但是它的教育、治理和考核制度都比较完善，对内部员工要求也比较严格，所以在肯定程度上降低了这种来自内部的风险，对网络访问掌握进展了相应的补充和增加。2.6.3 区域间安全测评区域间的安全测评主要考虑互连互通包括物理上和规律上的互连互通等的不同区域之间存在的安全功能增加、补充和减弱等关联作用，特别是有数据交换的两个不同区域。安全功能上的增加和补充可以使两个不同区域上的安全掌握发挥更强的综合效能，可以使单个低等级安全掌握在特定环境中到达高等级信息系统的安全要求。安全功能上的减弱会使一个区域上的安全功能影响另一个区域安全功能 的发挥或者给其带来的脆弱性。例如，某金融机构的核心数据机房位于中心机房内部，它只有一个出入口，该出入口在中心机房内。因此，在中心机房的出入口上安排 24 小时专人值守等措施，可以解决核心数据机房区域上的物理访问掌握等相应措施的安全功能，使其到达该区域物理安全所要求的安全保护强度。3 全面生疏和正确实施信息安全等级保护3.1 全面生疏信息安全等级保护信息安全等级保护信息安全等级保护的各项工作是围绕对信息系统的安全等级保护开展的。全面生疏信息安全等级保护，需要确立以下根本观点：1) 整体看，信息安全等级保护是制度；分开看，信息安全是目的， 等级保护是方法；2) 对信息安全划分等级是治理的需要；3) 信息安全是围绕信息系统安全开展的一系列工作的总称；4) 风险等级、需求等级、安全保护等级、安全技术等级和安全治理等级是信息系统安全等级保护对等级划分的全面反映；5) 安全系统等级与安全技术等级和安全治理等级既相互关联又各有其不同的含义；6) 安全治理是信息安全的生命线。整体看，“信息安全等级保护”是制度；分开看，“信息安全是目的，等级保护是方法”，这一根本生疏明确定位了信息安全等级保护的重要位置以及信息安全与等级保护之间的关系。用分等级保护的方法实现国家信息安全的总体目标，既是一项制度，也是一种方法。其根本思想是：重点保护和适度保护。进一步理解可以包括以下含义： 方法是可选的，不是唯一的；但制度一经确定就是不行转变的；等级的划分可以是多种多样的，但作为要具体执行的制度，就应有确定的等级划分；对已经确定的等级划分，假设没有觉察其不行执行的缺陷， 就不要轻易转变。“对信息安全划分等级是治理的需要”，这一根本生疏说明：分等级保护是从便于治理的角度对实现信息安全的考虑。其实，等级化治理是人类社会普遍承受的治理方法。纵观人类社会活动的各个环节， 无不存在着按等级治理的状况。就信息安全而言，等级化治理在国际和国内也是普遍承受的方法。经典的安全标准-TCSEC 和最国际信息安全技术标准-CC 等无不以分等级的方法对信息安全技术的不同要求进展描述，尽管他们各拘束描述方法上有所不同CC 没有对安全功能要求进展等级划分，很大程度上是由于各个国家没有取得共 识。从我国当前的实际状况动身，承受分等级保护的方法实现信息安全，无疑是适用于我国当前实际的一种有效的信息安全治理方法。“信息安全是围绕信息系统安全开展的一系列工作的总称”。这一根本生疏说明：信息安全是指信息系统和信息系统中存储、传输和处理的数据信息的安全。一方面“信息安全”是一个具有较广泛概念的称谓，是包括从中心到地方、从法律到法规、从治理到技术、从系统到产品等，涉及国家有关机构和部门围绕对信息的安全保护所进展的全部活动；另一方面“，信息安全”的全部活动则完全是围绕对信息系统和信息系统中所存储、传输和处理的数据信息进展安全保护应实行的安全技术和安全治理措施这一目标开展的，并且具体落实到各个单位和部门的全部信息系统的建设和运行掌握的全过程。“风险等级、需求等级、安全保护等级、安全技术和安全治理等级是信息系统安全等级保护对等级划分的全面反映”这一根本生疏说明：围绕信息系统的安全等级保护，需要对信息系统的安全风险、安全需求、安全保护、安全技术和安全治理等各个阶段和层面进展等级划分。信息系统的安全风险等级是依据对目标信息系统进展风险分析所确定的风险度的表示，66 号文件所规定的 5 个安全等级，就是建立在对国家各行各业的信息系统的安全保护要求进展总体风险分析 的根底上确定的信息系统的安全风险框架，是各有关单位确定其所属信息系统的安全风险等级的根本依据；信息系统安全需求等级是依据目标信息系统的安全风险等级确定的；信息系统的安全保护等级是对信息系统安全保护的总体要求，是确定目标信息系统应选取何种等级的安全保护措施包括安全技术措施和安全治理措施的根本依据， 这些安全措施共同确保信息系统安全到达其安全性目标；安全技术等级和安全治理等级分别从技术和治理的角度对安全保护措施的安全 性进展区分，为不同安全等级的信息系统进展技术和治理措施的选择供给支持。“安全系统等级与安全技术等级和安全治理等级既相互关联又各有其不同的含义”。这一根本生疏说明：安全技术等级和安全治理等级与系统安全等级有着格外亲热的关系但两者并不是等同的关系。为了贯彻重点保护和适度保护的原则，信息系统需要划分等级，信息安全技术和信息安全治理同样需要划分等级。然而，信息系统的安全等级与安全技术的安全等级和安全治理的安全等级以下简称“技术和治理的安全等级”是两个既有联系又不完全一样的概念。信息系统的安全等级是依据信息系统的风险程度或者说风险等级确定的， 是与信息系统的重要性或资产价值及其所处的环境和条件或安全威逼有关的。而技术和治理的安全等级则是按安全技术和安全治理要素的安全性强度划分并与环境和条件无关的。由于信息系统所处环境和条件的各不一样，信息系统的安全等级划分难以制定出明确的标准，而技术和治理的安全等级完全可以依据其所实现的安全功能和所实行的安全保证措施制定出明确的划分标准。到目前为止，所制定的一系列与信息安全等级保护相关的标准，其等级的划分都是以安全要素为单位进展划分的。不同安全要素所实现的安全功能的安全性强度也就是安全等级，依据其所承受的安全机制的不同和安全保证措施的不同而定。至于划分为几个等级和每个安全等级之间的差异， 完全是人为确定的。固然，这里所说的人为确定并是由哪一个随便确定的，而是由有关主管部门组织业内有关专家，依据信息安全等级保护的需要，参考国际和国外的相关标准，结合我国安全技术进展和信息系统安全等级划分的具体状况，认真争论确定的。这就是我们当前所制定的一系列安全技术和安全治理标准等级划分的根底和依据。对一个具体的信息系统，在选择承受何种等级的安全技术和安全治理措施时，需要考虑目标信息系统所处的环境和条件对安全性要求的影 响，而并非简洁的按对应等级进展选择。“安全治理是信息安全的生命线”。这一根本生疏说明：安全治理在信息安全等级保护制度实施过程中重要作用。人们通常用“三分技术，七分治理”来形容治理对技术的重要性。其实，用“安全治理是信息安全的生命线”来描述安全治理对信息安全的重要性可能更为贴切。对信息安全等级保护的治理分为“宏观治理”和“微观治理”。宏观治理是指从国家的政策法规到设置各种治理机构等全局性的管 理措施微观治理是指围绕信息系统的安全等级保护所实施的一系具 体治理。从宏观治理看，没有政策法规的明确要求，信息安全等级保护就是依据空话。从微观治理看，安全治理贯穿从确定信息系统安全需求到掌握信息系统安全运行的信息系统整个生命周期的全过程，是信息安全的每一个环节实现的前提和保证。没有严格的组织治理，无法进展信息安全的需求分析，从而无法确定信息安全的等级需求；无法确定信息系统的安全方案；无法确保信息系统安全工程按确定的安全目标实现；无法确保设计、实现的信息安全系统的运行到达所要求的安全目标；无法应对安全系统运行中消灭的状况和问题。总之， 在信息安全系统生周期的每一个环节，没有严格的符合要求的治理， 安全技术的作用就会打折扣，甚至成为攻击的弱点和漏洞。技术是手段，治理是前提和保证目标只有一个，那就是信息安全。依据我国的国情，治理的重要性还表达在领导的重要性。实践证明，在我国信息系统建设阶段，单位领导的重视与支持对单位的信息系统建设和进展的重要性已经成为不争的事实。同样，单位领导，特别是主要领导的重视与支持，对单位信息安全系统建设和运行具有格外重要的作用。3.2 正确实施信息安全等级保护正确实施信息安全等级保护需要承受以下根本方法：1) 风险治理与信息安全等级保护相结合是贯穿信息系统整个生命周期的有效措施；2) 构建等级化的信息安全保障体系是实施信息安全等级保护的正确途径；3) 按区域分类、分层、分等级保护是对信息系统实施安全等级保护的有效方法；4) 安全的全都性原理是等级化信息系统安全设计的重要思想。在进展等级化的信息系统安全设计时，首先承受风险分析的方法确定安全风险程度等级和安全需求，然后将这些安全需求转化为相应的安全要求，再依据这些安全要求，确定对应的安全技术和安全治理措施。依据这些安全技术和安全治理措施在相关的安全技术标准和安全治理标准中的安全级，从而最终确定信息系统的安全等级。由于安全技术和安全治理标准的等级划分已经充分考虑到信息系统安 全等级的划分，所以从整体上两者的等级应当是根本全都的。但这里并不要求完全对应。由于从本质上讲，技术和治理的安全等级的划分是比较单一的，而信息系统安全等级的划分是比较简单的，而且与信息系统所在的环境和条件有关的。可以帮助我们理解这一观点的一个例子是，美国的 NIST 系列文档将信息系统的安全等级划分为根本级、增加级、强健级三个等级，并通过选取C C 中的相应安全组件来构建所需要的信息安全系统。通过风险分析确定安全风险等级，威逼针对脆弱性和资产所产生的后果是，在脆弱性和资产确定的状况下，安全风险随威逼的增加而增加；在威逼确定的状况下，安全风险随资产和/或脆弱性的增加而增加；安全需求等级由安全风险等级产生，安全目标等级由安全需求等级确定，安全目标等级通过选择相应安全等级的安全措施安全技术措施和安全治理措施来实现；安全措施通过对抗威逼、保护资产和降低脆弱性来削减安全风险，使剩余风险降低到可承受的范围，从而到达对信息系统进展安全保护的目标。“构建等级化的信息安全保障体系是实施信息安全等级保护的正确途径”，这一根本方法说明：对信息系统实施安全等级保护，需要依据其承载的各个业务应用的不同安全需求确定不同的安全保护等级，从而构成等级化的信息系统安全保障体系。一个大型简单的信息系统，其所承载的业务应用会有各种类型，不同类型的业务应用会有不同的安全保护需求，即使是同一种类型的业务应用，也会有不同的安全保护需求。这些安全需求的不同主要表达在对数据信息安全保护的不同要求。这些不同的安全需求是构建等级化信息安全保障体系的根本依据。等级化主要表达在对具有不同安全保护要求的数据信息的不同安全保护方面。各类数据信息的流淌范围就是该类数据信息实施安全保护的范围。“按数据分类分区域、分层、分等级保护是对信息系统实施安全等级保护的有效方法”，这一根本方法说明：对一个大型简单的信息系统，需要依据其不同保护要求，划分不同的安全保护域，并对每一个安全域实施不同等级的安全保护，从而在整体上实现多级安全保 护。按数据分类分区域、分层、分等级保护是对等级化信息安全保障体系的具体实现。所谓按数据分类保护是指，将需要进展一样保护的数据信息作为一样的分类，将同一类数据的流淌范围划分为一个区 域，实施一样的安全保护，域的划分可以是物理的也可以是规律的， 甚至可能是穿插的，固然具体划分应越简洁越好；所谓分层保护是指， 在同一安全域中，组成该安全域的各个层次的软硬件系统应具有一样的安全保护力量，以确保当数据信息在其掌握范围内时能得到应有的安全保护；所谓分等级保护是指，对在同一区域和/或不同区域需要进展一样保护的数据信息进展一样等级的安全保护。在一个具体的信息系统中，一个效劳器可以构成一个安全域，多个效劳器及其互联的网络可以构成一个安全域；效劳器、客户端计算机系统及其互联的网络可以构成一个安全域。这一切都需要依据数据信息的安全保护要求及其流淌的范围确定。看来，数据信息成为安全域划分的关键因素。于是，依据数据信息需要保护的程度，合理分布和掌握数据信息的流淌便成为等级化信息系统安全保障体系设计的重要环节。“安全的全都性原理是等级化信息系统安全设计的重要思想”，这一根本方法说明：设计一个安全的信息系统，需要承受具有相对全都安全性的安全措施，包括：各个安全技术要素之间的相对全都性，安全功能与安全保证的全都性，以及安全治理与安全技术的全都性等。GB17859-1999 及其相关的一系列信息安全等级保护标准就是依据这种全都性要求制定的。其中的安全等级划分已经充分考虑到这些全都性要求。例如，通用安全技术要求中，同一安全等级的各个安全要素的安全要求的全都性表达在：基于“口令”的鉴别与根本的自主访问掌握相全都；基于增加治理的“口令”的鉴别与更细粒度的自主访问掌握相全都；基于“数字证书”/“生物特征”的身份鉴别与更细粒度的自主访问掌握和强制访问掌握相全都等等。又如，安全功能与安全保证的全都性表达在：基于“口令”的身份鉴别有较低第一级 的安全保证要求，而基于“数字证书”的身份鉴别则有较高第三级 的安全保证要求。安全治理与安全技术的全都性在安全技术的等级划分和安全治理的等级划分中得到了充分的表达。