信息安全等级保护操作指南和操作流程.docx

《信息安全等级保护操作指南和操作流程.docx》由会员分享，可在线阅读，更多相关《信息安全等级保护操作指南和操作流程.docx（28页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全等级保护操作流程1 信息系统定级1.1 定级工作实施范围“关于开展全国重要信息系统安全等级保护定级工作通知”对于重要信息系统范围规定如下：（一）电信、广电行业公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位重要信息系统。（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门生产、调度、管理、办公等重要信息系统。（三）市（地）级以上党政机关重要网站和办公信息系统。（四）涉及国家秘密

2、信息系统（以下简称“涉密信息系统”）。注：跨省或者全国统一联网运行信息系统可以由主管部门统一确定安全保护等级。涉密信息系统等级确定按照国家保密局有关规定和标准执行。1.2 定级依据标准国家信息化领导小组关于加强信息安全保障工作意见（中办发【2003】27号文件）关于信息安全等级保护工作实施意见（公通字【2004】66号文件）电子政务信息系统安全等级保护实施指南（试行）（国信办【2005】25号文件）信息安全等级保护管理办法（公通字【2007】43号文件）计算机信息系统安全保护等级划分准则电子政务信息安全等级保护实施指南信息系统安全等级保护定级指南信息系统安全等级保护基本要求信息系统安全等级保护

3、实施指南信息系统安全等级保护测评指南1.3 定级工作流程图1-1 信息系统定级工作流程1.3.1 信息系统调查信息系统调查是通过一系列信息系统情况调查表对信息系统基本情况进行摸底调查，全面掌握信息系统数量、分布、业务类型、应用、服务范围、系统结构、管理组织和管理方式等基本情况。同时，通过信息系统调查还可以明确信息系统存在资产价值、威胁等级、风险等级以及可能造成影响客体、影响范围等基本情况。信息系统调查结果将作为信息系统安全等级保护定级工作主要依据，保证定级结果客观、合理和准确。1.3.1.1 调查工具表通常，信息系统调查工具表包括系统资产调查表、系统应用调查表、和管理信息调查表等。l 系统资产

4、调查表用于调查信息系统基本情况，主要包括主机、网络设备、人员、人员、服务等信息。在调查过程中，可以得到系统资产基本信息、主要用途、重要程度、服务对象等相关信息。l 系统应用调查表用于明确系统应用基本状况。明确各个系统应用拓扑信息、边界信息、应用架构、数据流等基本情况，为确定和分析定级对象提供详细信息。l 管理信息调查表用于明确信息系统组织结构、隶属关系等管理信息。1.3.1.2 调查方法信息系统调查实施包括信息收集、访谈和核查三个步骤。l 信息收集协助信息系统使用管理单位完成系统资产调查表填写工作，同时收集信息系统所涉及一系列l 访谈l 核查对调查表中信息进行验证过程，验证包括检查和测试等方式

5、。1.3.2 确定定级对象一个单位可能运行了比较庞大信息系统，为了重点保护重要部分，有效控制信息安全建设和管理成本，优化信息安全资源配置等保护原则，可将较大信息系统划分为若干个较小、相对独立、具有不同安全保护等级定级对象。这样，可以保证信息系统安全建设能够突出重点、兼顾一般。1.3.2.1 基本原则如果信息系统只承载一项业务，可以直接为该信息系统确定等级，不必划分业务子系统。如果信息系统承载多项业务，应根据各项业务性质和特点，将信息系统分成若干业务子系统，分别为各业务子系统确定安全保护等级，信息系统安全保护等级由各业务子系统最高等级决定。信息系统是进行等级确定和等级保护管理最终对象。主要划分原

6、则有：一、 具有唯一确定安全责任单位作为定级对象信息系统应能够唯一地确定其安全责任单位。如果一个单位某个下级单位负责信息系统安全建设、运行维护等过程全部安全责任，则这个下级单位可以成为信息系统安全责任单位；如果一个单位中不同下级单位分别承担信息系统不同方面安全责任，则该信息系统安全责任单位应是这些下级单位共同所属单位。二、 具有信息系统基本要素作为定级对象信息系统应该是由相关和配套设备、设施按照一定应用目标和规则组合而成有形实体。应避免将某个单一系统组件，如服务器、终端、网络设备等作为定级对象。三、 承载单一或相对独立业务应用定级对象承载“单一”业务应用是指该业务应用业务流程独立，且和其他业务

7、应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”业务应用是指其业务应用主要业务流程独立，同时和其他业务应用有少量数据交换，定级对象可能会和其他业务应用共享一些设备，尤其是网络传输设备。1.3.2.2 信息系统划分方法一个组织机构内可能运行一个或多个信息系统，这些信息系统安全保护等级可以是相同，也可以是不同。为体现重点保护重要信息系统安全，有效控制信息安全建设成本，优化信息安全资源配置等级保护原则，在进行信息系统划分时应考虑以下几个方面：一、 相同管理机构信息系统内各业务子系统在同一个管理机构管理控制之下，可以保证遵循相同安全管理策略。二、 相同业务类型信息系统内各业务子系统具

8、有相同业务类型，安全需求相近，可以保证遵循相同安全策略。三、 相同物理位置或相似运行环境信息系统内各业务子系统具有相同物理位置或相似运行环境意味着系统所面临威胁相似，有利于采取统一安全保护。1.3.3 定级要素分析通过针对定级对象分别进行业务信息安全分析和系统服务安全分析，最终确定信息系统安全等级保护系统等级。在进行业务信息安全分析和系统服务安全分析时，充分考虑行业特点、业务应用特点等因素，细化受侵害客体组成及损害程度判定要素，从而确保信息系统定级合理准确。1.3.3.1 定级流程根据定级流程，在定级要素分析时需对业务信息安全等级和系统服务安全等级进行分析，分析内容包括确定受侵害客体、确定对客

9、体侵害程度，从而确定相应业务信息安全等级和系统服务安全等级。最后，综合业务信息安全等级和系统服务安全等级得到信息系统安全等级保护系统等级。1.3.3.2 确定受侵害客体定级对象收到破坏时所侵害客体包括国家安全、社会秩序、公众利益及公民、法人和其他组织合法权益。l 国家安全n 影响国家政权稳固和国防实力；n 影响国家统一、民族团结和社会安定；n 影响国家对外活动中政治、经济利益；n 影响国家重要安全保卫工作；n 影响国家经济竞争力和科技实力；n 其他影响国家安全事项。l 社会秩序n 影响国家机关社会管理和公共服务工作秩序；n 影响各种类型经济活动秩序；n 影响各行业科研、生产秩序；n 影响公众在

10、法律约束和道德规范下正常生活秩序等；n 其他影响社会秩序事项。l 公共利益n 影响社会成员使用公共设施；n 影响社会成员获取公开信息资源；n 影响社会成员接受公共服务等方面；n 其他影响公共利益事项。l 公民、法人和其他组织n 由法律确认并受法律保护公民、法人和其他组织所享有一定社会权利和利益。确定作为定级对象信息系统受到破坏后所侵害客体时，应首先判断是否侵害国家安全，然后判断是否侵害社会秩序或公众利益，最后判断是否侵害公民、法人和其他组织合法权益关系，从而确定信息和信息系统受到破坏时所侵害客体。1.3.3.3 确定对客体损害程度在针对不同受侵害客体进行侵害程度判断时，应参照以下判别基准。l

11、如果受侵害客体是公民、法人或其他组织合法权益，则以本人或本单位总体利益作为判断侵害程度基准。l 如果受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家总体利益作为判断侵害程度基准。不同危害后果三种危害程度危害程度描述如下：l 一般损害工作职能受到局部影响，业务能力有所降低但不影响主要功能执行，出现较轻法律问题，较低财产损失，有限社会不良影响，对其他组织和个人造成较低损害。l 严重损害工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重法律问题，较高财产损失，较大范围社会不良影响，对其他组织和个人造成较严重损害。l 特别严重损害工作职能受到特别严重影响或丧失行使能

12、力，业务能力严重下降且或功能无法执行，出现极其严重法律问题，极高财产损失，大范围社会不良影响，对其他组织和个人造成非常严重损害。1.3.3.4 确定定级对象安全保护等级在确定完成受侵害客体以及对客体侵害程度后，依据表1分别确定业务信息安全等级和系统服务安全等级。作为定级对象信息系统安全保护等级由业务信息安全等级和系统服务安全等级较高者决定。表1 定级要素和安全保护等级关系受侵害客体对客体侵害程度一般损害严重损害特别严重损害公民、法人和其他组织合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级1.3.4 编写定级报告根据定级过程和定级结果，编写初步信息系统定

13、级报告。1.3.5 协助定级备案在完成初步定级报告后，协助信息系统管理使用单位进行评审和审批，并最终确定定级报告，完成信息系统备案工作。2 等级测试2.1 工作内容等级测评是信息安全等级保护实施中一个重要环节。等级测评是指具有相关资质、独立第三方评测服务机构，对信息系统等级保护落实情况和信息安全等级保护相关标准要求之间符合程度测试判定。2.2 依据标准计算机信息系统安全保护等级划分准则信息系统安全等级保护基本要求信息系统安全等级保护定级指南电子政务信息安全等级保护实施指南信息系统安全等级保护实施指南信息系统安全等级保护测评指南信息安全技术 信息系统通用安全技术要求信息安全技术 网络基础安全技术

14、要求信息安全技术 操作系统安全技术要求信息安全技术 数据库管理系统安全技术要求信息安全技术 服务器技术要求信息安全技术 终端计算机系统安全等级技术要求2.3 等级评测内容2.3.1 基本内容对信息系统安全等级保护状况进行测试评估，应包括两个方面内容：一是安全控制测评，主要测评信息安全等级保护要求基本安全控制在信息系统中实施配置情况；二是系统整体测评，主要测评分析信息系统整体安全性。其中，安全控制测评是信息系统整体安全测评基础。对安全控制测评描述，使用工作单元方式组织。工作单元分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上

15、安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面安全控制测评。系统整体测评涉及到信息系统整体拓扑、局部结构，也关系到信息系统具体安全功能实现和安全控制配置，和特定信息系统实际情况紧密相关，内容复杂且充满系统个性。因此，全面地给出系统整体测评要求完整内容、具体实施方法和明确结果判定方法是很困难。测评人员应根据特定信息系统具体情况，结合标准要求，确定系统整体测评具体内容，在安全控制测评基础上，重点考虑安全控制间、层面间以及区域间相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上增强、补充和削弱作用以及信息系统整体结构安全性、

16、不同信息系统之间整体安全性等，等级测评基本内容如图1所示。图1 等级测评基本内容2.3.2 等级测评工作单元工作单元是安全测评基本工作单位，对应一组相对独立和完整测评内容。工作单元由测评项、测评对象、测评方式、测评实施和结果判定组成，如图2示。图2 工作单元构成测评项描述测评目和测评内容，和信息安全等级保护要求基本安全控制要求相一致。测评方式是指测评人员依据测评目和测评内容应选取、实施特定测评操作方式方法，包括三种基本测评方式：访谈、检查和测试。测评对象是测评实施过程中涉及到信息系统构成成分，是客观存在人员、文档、机制或者设备等。测评对象是根据该工作单元中测评项要求提出，和测评项要求相适应。一

17、般来说，实施测评时，面临具体测评对象可以是单个人员、文档、机制或者设备等，也可能是由多个人员、文档、机制或者设备等构成集合，它们分别需要使用到某个特定安全控制功能。测评实施是工作单元主要组成部分，它是依据测评目，针对具体测评内容开发出来具体测评执行实施过程要求。测评实施描述测评过程中涉及到具体测评方式、内容以及需要实现和/或应该取得测评结果。结果判定描述测评人员执行完测评实施过程，产生各种测评证据后，如何依据这些测评证据来判定被测系统是否满足测评项要求方法和原则。在给出整个工作单元测评结论前，需要先给出单项测评实施过程结论。一般来说，单项测评实施过程结论判定不是直接，常常需要测评人员主观判断，

18、通常认为取得正确、关键性证据，该单项测评实施过程就得到满足。某些安全控制可能在多个具体测评对象上实现（如主机系统身份鉴别），在测评时发现只有部分测评对象上安全控制满足要求，它们结果判定应根据实际情况给出。2.4 测评方法主要采用访谈、检查、测试等方法进行等级保护测评。一、 访谈（ interview）测评人员通过和信息系统相关人员（个人/群体）进行交流、讨论等活动，获取证据以证明信息系统安全等级保护措施是否有效一种方法。使用各类调查问卷和访谈大纲实施访谈。二、 检查（examine）不同于行政执法意义上监督检查，而是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全

19、等级保护措施是否有效一种方法。可以使用各种检查表和相应安全调查工具实施检查。三、 测试（test）测评人员通过对测评对象按照预定方法/工具使其产生特定行为等活动，查看、分析输出结果，获取证据以证明信息系统安全等级保护措施是否有效一种方法。包括功能测试和渗透性测试、系统漏洞扫描等。渗透性测试：等级测评一个重要内容是对测试目标进行脆弱性分析，探知产品或系统安全脆弱性存在，其主要目是确定测试目标能够抵抗具有不同等级攻击潜能攻击者发起渗透性攻击。因此，渗透性测试就是在测试目标预期使用环境下进行测试，以确定测试目标中潜在脆弱性可利用程度。系统漏洞扫描：要是利用扫描工具对系统进行自动检查，根据漏洞库描述对

20、系统进行模拟攻击测试，如果系统被成功入侵，说明存在漏洞。主要分为网络漏洞扫描和主机漏洞扫描等方式。2.5 等级测评工作流程一、 测评准备阶段本阶段是开展现场测评工作前提和基础，是整个等级测评过程有效性保证。测评准备工作是否充分直接关系到现场测评工作能否顺利开展。本阶段主要工作是掌握被测方系统详细情况和为实施现场测评做好方案、文档及测试工具等方面准备。二、 现场实施阶段本阶段是开展等级测评工作关键阶段。本阶段主要工作是按照测评方案总体要求，严格执行作业指导书，分步实施所有测评项目，包括单项测评和系统整体测评两个方面，以了解系统真实保护情况，获取足够证据，发现系统存在安全问题。三、 分析和报告编制

21、阶段该阶段是等级测评工作最后环节，是对被测方系统整体安全保护能力综合评价过程。主要工作是根据现场测评结果和测评准则有关要求，通过单项测评结论判定和系统整体测评分析等方法，分析整个系统安全保护现状和相应等级保护要求之间差距，编制测评报告。等级测评基本流程如图3示。图3 等级测评基本流程2.6 系统整体测评系统整体测评涉及到信息系统整体拓扑、局部结构，也关系到信息系统具体安全功能实现和安全控制配置，和特定信息系统实际情况紧密相关，内容复杂且充满系统个性。因此，全面地给出系统整体测评要求完整内容、具体实施方法和明确结果判定方法是很困难。首先测评人员应根据特定信息系统具体情况，结合标准要求，确定系统整

22、体测评具体内容。其次在安全控制测评基础上，重点考虑安全控制间、层面间以及区域间相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上增强、补充和削弱作用，最后才能得出测评结论。2.6.1 安全控制间安全测评安全控制间安全测评主要考虑同一区域内、同一层面上不同安全控制间存在功能增强、补充或削弱等关联作用。安全功能上增强和补充可以使两个不同强度、不同等级安全控制发挥更强综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统安全要求。安全功能上削弱会使一个安全控制引入影响另一个安全控制功能发挥或者给其带来新脆弱性。例如，某金融机构核心系统，它访问路径未采用SSL加密设置，容易导致数

23、据被嗅探和非法篡改，但核心系统采用SSL加速器对网络上数据传输进行加密，可以有效保护网络数据传输安全。所以，在进行测评综合判定时，该测评项就可以判为通过。2.6.2 层面间安全测评层面间安全测评主要考虑同一区域内不同层面之间存在功能增强、补充和削弱等关联作用。安全功能上增强和补充可以使两个不同层面上安全控制发挥更强综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统安全要求。安全功能上削弱会使一个层面上安全控制影响另一个层面安全控制功能发挥或者给其带来新脆弱性。例如，某金融机构，它网络核心设备对内部访问控制存在不足，安全风险主要来自内部人员误用、滥用和恶用，但是它教育、管理和考核制

24、度都比较完善，对内部员工要求也比较严格，所以在一定程度上降低了这种来自内部风险，对网络访问控制进行了相应补充和增强。2.6.3 区域间安全测评区域间安全测评主要考虑互连互通（包括物理上和逻辑上互连互通等）不同区域之间存在安全功能增强、补充和削弱等关联作用，特别是有数据交换两个不同区域。安全功能上增强和补充可以使两个不同区域上安全控制发挥更强综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统安全要求。安全功能上削弱会使一个区域上安全功能影响另一个区域安全功能发挥或者给其带来新脆弱性。例如，某金融机构核心数据机房位于中心机房内部，它只有一个出入口，该出入口在中心机房内。因此，在中心机

25、房出入口上安排24小时专人值守等措施，可以解决核心数据机房区域上物理访问控制等相应措施安全功能，使其达到该区域物理安全所要求安全保护强度。3 全面认识和正确实施信息安全等级保护3.1 全面认识信息安全等级保护信息安全等级保护信息安全等级保护各项工作是围绕对信息系统安全等级保护开展。全面认识信息安全等级保护，需要确立以下基本观点：1) 整体看，信息安全等级保护是制度；分开看，信息安全是目，等级保护是方法；2) 对信息安全划分等级是管理需要；3) 信息安全是围绕信息系统安全开展一系列工作总称；4) 风险等级、需求等级、安全保护等级、安全技术等级和安全管理等级是信息系统安全等级保护对等级划分全面反映

26、；5) 安全系统等级和安全技术等级和安全管理等级既相互关联又各有其不同含义；6) 安全管理是信息安全生命线。整体看，“信息安全等级保护”是制度；分开看，“信息安全是目，等级保护是方法”，这一基本认识明确定位了信息安全等级保护重要位置以及信息安全和等级保护之间关系。用分等级保护方法实现国家信息安全总体目标，既是一项制度，也是一种方法。其基本思想是：重点保护和适度保护。进一步理解可以包括以下含义：方法是可选，不是唯一；但制度一经确定就是不可改变；等级划分可以是多种多样，但作为要具体执行制度，就应有确定等级划分；对已经确定等级划分，如果没有发现其不可执行缺陷，就不要轻易改变。“对信息安全划分等级是管

27、理需要”，这一基本认识表明：分等级保护是从便于管理角度对实现信息安全考虑。其实，等级化管理是人类社会普遍采用管理方法。纵观人类社会活动各个环节，无不存在着按等级管理情况。就信息安全而言，等级化管理在国际和国内也是普遍采用方法。经典安全标准-TCSEC和最新国际信息安全技术标准-CC等无不以分等级方法对信息安全技术不同要求进行描述，尽管他们各自在描述方法上有所不同（CC没有对安全功能要求进行等级划分，很大程度上是因为各个国家没有取得共识）。从我国当前实际情况出发，采用分等级保护方法实现信息安全，无疑是适用于我国当前实际一种有效信息安全管理方法。“信息安全是围绕信息系统安全开展一系列工作总称”。这

28、一基本认识表明：信息安全是指信息系统和信息系统中存储、传输和处理数据信息安全。一方面“信息安全”是一个具有较广泛概念称谓，是包括从中央到地方、从法律到法规、从管理到技术、从系统到产品等，涉及国家有关机构和部门围绕对信息安全保护所进行所有活动；另一方面“，信息安全”所有活动则完全是围绕对信息系统和信息系统中所存储、传输和处理数据信息进行安全保护应采取安全技术和安全管理措施这一目标开展，并且具体落实到各个单位和部门所有信息系统建设和运行控制全过程。“风险等级、需求等级、安全保护等级、安全技术和安全管理等级是信息系统安全等级保护对等级划分全面反映”这一基本认识表明：围绕信息系统安全等级保护，需要对信

29、息系统安全风险、安全需求、安全保护、安全技术和安全管理等各个阶段和层面进行等级划分。信息系统安全风险等级是根据对目标信息系统进行风险分析所确定风险度表示，66号文件所规定5个安全等级，就是建立在对国家各行各业信息系统安全保护要求进行总体风险分析基础上确定信息系统安全风险框架，是各有关单位确定其所属信息系统安全风险等级基本依据；信息系统安全需求等级是根据目标信息系统安全风险等级确定；信息系统安全保护等级是对信息系统安全保护总体要求，是确定目标信息系统应选取何种等级安全保护措施（包括安全技术措施和安全管理措施）基本依据，这些安全措施共同确保信息系统安全达到其安全性目标；安全技术等级和安全管理等级分

30、别从技术和管理角度对安全保护措施安全性进行区分，为不同安全等级信息系统进行技术和管理措施选择提供支持。“安全系统等级和安全技术等级和安全管理等级既相互关联又各有其不同含义”。这一基本认识表明：安全技术等级和安全管理等级和系统安全等级有着十分密切关系但两者并不是等同关系。为了贯彻重点保护和适度保护原则，信息系统需要划分等级，信息安全技术和信息安全管理同样需要划分等级。然而，信息系统安全等级和安全技术安全等级和安全管理安全等级（以下简称“技术和管理安全等级”）是两个既有联系又不完全相同概念。信息系统安全等级是根据信息系统风险程度（或者说风险等级）确定，是和信息系统重要性（或资产价值）及其所处环境和

31、条件（或安全威胁）有关。而技术和管理安全等级则是按安全技术和安全管理要素安全性强度划分并和环境和条件无关。由于信息系统所处环境和条件各不相同，信息系统安全等级划分难以制定出明确标准，而技术和管理安全等级完全可以根据其所实现安全功能和所采取安全保证措施制定出明确划分标准。到目前为止，所制定一系列和信息安全等级保护相关标准，其等级划分都是以安全要素为单位进行划分。不同安全要素所实现安全功能安全性强度（也就是安全等级），根据其所采用安全机制不同和安全保证措施不同而定。至于划分为几个等级和每个安全等级之间差异，完全是人为确定。当然，这里所说人为确定并是由哪一个随意确定，而是由有关主管部门组织业内有关专

32、家，根据信息安全等级保护需要，参考国际和国外相关标准，结合我国安全技术发展和信息系统安全等级划分具体情况，认真研究确定。这就是我们当前所制定一系列安全技术和安全管理标准等级划分基础和依据。对一个具体信息系统，在选择采用何种等级安全技术和安全管理措施时，需要考虑目标信息系统所处环境和条件对安全性要求影响，而并非简单按对应等级进行选择。“安全管理是信息安全生命线”。这一基本认识表明：安全管理在信息安全等级保护制度实施过程中重要作用。人们通常用“三分技术，七分管理”来形容管理对技术重要性。其实，用“安全管理是信息安全生命线”来描述安全管理对信息安全重要性可能更为贴切。对信息安全等级保护管理分为“宏观

33、管理”和“微观管理”。宏观管理是指从国家政策法规到设置各种管理机构等全局性管理措施微观管理是指围绕信息系统安全等级保护所实施一系具体管理。从宏观管理看，没有政策法规明确要求，信息安全等级保护就是依据空话。从微观管理看，安全管理贯穿从确定信息系统安全需求到控制信息系统安全运行信息系统整个生命周期全过程，是信息安全每一个环节实现前提和保证。没有严格组织管理，无法进行信息安全需求分析，从而无法确定信息安全等级需求；无法确定信息系统安全方案；无法确保信息系统安全工程按确定安全目标实现；无法确保设计、实现信息安全系统运行达到所要求安全目标；无法应对安全系统运行中出现新情况和新问题。总之，在信息安全系统生

34、周期每一个环节，没有严格符合要求管理，安全技术作用就会打折扣，甚至成为攻击弱点和漏洞。技术是手段，管理是前提和保证目标只有一个，那就是信息安全。根据我国国情，管理重要性还体现在领导重要性。实践证明，在我国信息系统建设阶段，单位领导重视和支持对单位信息系统建设和发展重要性已经成为不争事实。同样，单位领导，特别是主要领导重视和支持，对单位信息安全系统建设和运行具有十分重要作用。3.2 正确实施信息安全等级保护正确实施信息安全等级保护需要采用以下基本方法：1) 风险管理和信息安全等级保护相结合是贯穿信息系统整个生命周期有效措施；2) 构建等级化信息安全保障体系是实施信息安全等级保护正确途径；3) 按

35、区域分类、分层、分等级保护是对信息系统实施安全等级保护有效方法；4) 安全一致性原理是等级化信息系统安全设计重要思想。在进行等级化信息系统安全设计时，首先采用风险分析方法确定安全风险程度（等级）和安全需求，然后将这些安全需求转化为相应安全要求，再根据这些安全要求，确定对应安全技术和安全管理措施。根据这些安全技术和安全管理措施在相关安全技术标准和安全管理标准中安全级，从而最终确定信息系统安全等级。由于安全技术和安全管理标准等级划分已经充分考虑到信息系统安全等级划分，所以从整体上两者等级应该是基本一致。但这里并不要求完全对应。因为从本质上讲，技术和管理安全等级划分是比较单一，而信息系统安全等级划分

36、是比较复杂，而且和信息系统所在环境和条件有关。可以帮助我们理解这一观点一个例子是，美国NIST系列文档将信息系统安全等级划分为基本级、增强级、强健级三个等级，并通过选取C C中相应安全组件来构建所需要信息安全系统。通过风险分析确定安全风险等级，威胁针对脆弱性和资产所产生后果是，在脆弱性和资产确定情况下，安全风险随威胁增加而增加；在威胁确定情况下，安全风险随资产和/或脆弱性增加而增加；安全需求等级由安全风险等级产生，安全目标等级由安全需求等级确定，安全目标等级通过选择相应安全等级安全措施（安全技术措施和安全管理措施）来实现；安全措施通过对抗威胁、保护资产和降低脆弱性来减少安全风险，使剩余风险降低

37、到可接受范围，从而达到对信息系统进行安全保护目标。“构建等级化信息安全保障体系是实施信息安全等级保护正确途径”，这一基本方法表明：对信息系统实施安全等级保护，需要根据其承载各个业务应用不同安全需求确定不同安全保护等级，从而构成等级化信息系统安全保障体系。一个大型复杂信息系统，其所承载业务应用会有各种类型，不同类型业务应用会有不同安全保护需求，即使是同一种类型业务应用，也会有不同安全保护需求。这些安全需求不同主要体现在对数据信息安全保护不同要求。这些不同安全需求是构建等级化信息安全保障体系基本依据。等级化主要体现在对具有不同安全保护要求数据信息不同安全保护方面。各类数据信息流动范围就是该类数据信

38、息实施安全保护范围。“按数据分类分区域、分层、分等级保护是对信息系统实施安全等级保护有效方法”，这一基本方法表明：对一个大型复杂信息系统，需要根据其不同保护要求，划分不同安全保护域，并对每一个安全域实施不同等级安全保护，从而在整体上实现多级安全保护。按数据分类分区域、分层、分等级保护是对等级化信息安全保障体系具体实现。所谓按数据分类保护是指，将需要进行相同保护数据信息作为相同分类，将同一类数据流动范围划分为一个区域，实施相同安全保护，域划分可以是物理也可以是逻辑，甚至可能是交叉，当然具体划分应越简单越好；所谓分层保护是指，在同一安全域中，组成该安全域各个层次软硬件系统应具有相同安全保护能力，以

39、确保当数据信息在其控制范围内时能得到应有安全保护；所谓分等级保护是指，对在同一区域和/或不同区域需要进行相同保护数据信息进行相同等级安全保护。在一个具体信息系统中，一个服务器可以构成一个安全域，多个服务器及其互联网络可以构成一个安全域；服务器、客户端计算机系统及其互联网络可以构成一个安全域。这一切都需要根据数据信息安全保护要求及其流动范围确定。看来，数据信息成为安全域划分关键因素。于是，根据数据信息需要保护程度，合理分布和控制数据信息流动便成为等级化信息系统安全保障体系设计重要环节。“安全一致性原理是等级化信息系统安全设计重要思想”，这一基本方法表明：设计一个安全信息系统，需要采用具有相对一致

40、安全性安全措施，包括：各个安全技术要素之间相对一致性，安全功能和安全保证一致性，以及安全管理和安全技术一致性等。GB17859-1999及其相关一系列信息安全等级保护标准就是按照这种一致性要求制定。其中安全等级划分已经充分考虑到这些一致性要求。例如，通用安全技术要求中，同一安全等级各个安全要素安全要求一致性体现在：基于“口令”鉴别和基本自主访问控制相一致；基于增强管理“口令”鉴别和更细粒度自主访问控制相一致；基于“数字证书”/“生物特征”身份鉴别和更细粒度自主访问控制和强制访问控制相一致等等。又如，安全功能和安全保证一致性体现在：基于“口令”身份鉴别有较低（第一级）安全保证要求，而基于“数字证书”身份鉴别则有较高（第三级）安全保证要求。安全管理和安全技术一致性在安全技术等级划分和安全管理等级划分中得到了充分体现。