GY∕T 337-2020 广播电视网络安全等级保护定级指南(广播电影电视).pdf
《GY∕T 337-2020 广播电视网络安全等级保护定级指南(广播电影电视).pdf》由会员分享,可在线阅读,更多相关《GY∕T 337-2020 广播电视网络安全等级保护定级指南(广播电影电视).pdf(16页珍藏版)》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、 GY 中华人民共和国广播电视和网络视听行业标准 GY/T 3372020 广播电视网络安全等级保护定级指南 Classification guide for classified protection of broadcasting cybersecurity 2020-11-23 发布 2020-11-23 实施 国家广播电视总局 发 布 GY/T 3372020 I 目 次 前言.II 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 定级原理及流程.2 4.1 安全保护等级.2 4.2 定级要素.2 4.3 定级流程.4 5 确定定级对象.4 5.1 信息系统.4 5.2
2、广播电视网络设施.4 5.3 数据资源.5 5.4 广播电视网络安全等级保护对象分类.5 6 初步确定等级.5 6.1 确定受侵害的客体.5 6.2 初步确定定级对象的安全保护等级.6 7 专家评审.6 8 主管部门核准.6 9 公安机关备案审核.6 10 等级变更.6 附录 A(规范性)广播电视网络安全等级保护对象分类建议.7 附录 B(规范性)广播电视网络安全等级保护对象安全保护等级建议.9 参考文献.12 GY/T 3372020 II 前 言 本文件按照GB/T 1.12020标准化工作导则 第1部分:标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件发布
3、机构不承担识别这些专利的责任。本文件由全国广播电影电视标准化技术委员会(SAC/TC 239)归口。本文件起草单位:国家广播电视总局监管中心、中央广播电视总台、北京广播电视台、中国有线电视网络有限公司、北京歌华有线电视网络股份有限公司、北京安信天行科技有限公司、北京华云安信息技术有限公司。本文件主要起草人:李炎、段垚、王昌明、程露、琚宏伟、唐峰、毕江、邓晖、周伟荣、黄美莹、肖国栋、柴晓瑜、高晨光、高原、李杨、彭海龙、王鸣皓。GY/T 3372020 1 广播电视网络安全等级保护定级指南 1 范围 本文件描述了广播电视、网络视听节目服务相关等级保护对象的网络安全保护等级定级方法和定级流程。本文件
4、适用于中华人民共和国境内的且非涉及国家秘密的广播电视、网络视听节目服务相关等级保护对象的网络安全保护等级定级工作。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB 178591999 计算机信息系统 安全保护等级划分准则 GB/T 222402020 信息安全技术 网络安全等级保护定级指南 GB/T 250692010 信息安全技术 术语 GB/T 311672014 信息安全技术 云计算服务安全指南 3 术语和定义 GB 178591
5、999、GB/T 222402020、GB/T 250692010和GB/T 311672014界定的以及下列术语和定义适用于本文件。3.1 等级保护对象 target of classified protection 广播电视网络安全等级保护工作直接作用的对象。注:主要包括信息系统、广播电视网络设施和数据资源。来源:GB/T 222402020,3.2,有修改 3.2 信息系统 information system 应用、服务、信息技术资产或其他信息处理组件。注1:信息系统通常由计算机或者其他信息终端及相关设备组成,并按照一定的应用目标和规则进行信息处理或过程控制。注2:典型的信息系统如制作
6、、播出、集成等业务系统,及运营支撑、业务支撑、管理支撑等系统,云计算平台/系统以及采用移动互联技术的系统等。来源:GB/T 222402020,3.3,有修改 3.3 GY/T 3372020 2 广播电视网络设施 broadcasting network infrastructure 对广播电视和网络视听业务信息流通、网络运行等起基础支撑作用的网络设备设施。3.4 数据资源 data resources 具有或预期具有价值的数据集合。注:数据资源多以电子形式存在。来源:GB/T 222402020,3.5 3.5 受侵害的客体 object of infringement 受法律保护的、等级
7、保护对象受到破坏时所侵害的社会关系。注:本文件中简称“客体”。来源:GB/T 222402020,3.6 3.6 客观方面 objective 对客体造成侵害的客观外在表现,包括侵害方式和侵害结果等。来源:GB/T 222402020,3.7 4 定级原理及流程 4.1 安全保护等级 根据等级保护对象在国家安全、经济建设、社会生活中的重要程度,以及一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后,对国家安全,社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素,等级保护对象的安全保护等级分为以下五级:a)第一级,等级保护对象受到破坏后,会对相关公民、法人和其他组织的合法
8、权益造成损害,但不危害国家安全、社会秩序和公共利益;b)第二级,等级保护对象受到破坏后,会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害,或者对社会秩序和公共利益造成危害,但不危害国家安全;c)第三级,等级保护对象受到破坏后,会对社会秩序和公共利益造成严重危害,或者对国家安全造成危害;d)第四级,等级保护对象受到破坏后,会对社会秩序和公共利益造成特别严重危害,或者对国家安全造成严重危害;e)第五级,等级保护对象受到破坏后,会对国家安全造成特别严重危害。4.2 定级要素 4.2.1 定级要素概述 等级保护对象的定级要素包括:a)受侵害的客体;b)对客体的侵害程度。GY/T 337
9、2020 3 4.2.2 受侵害的客体 等级保护对象受到破坏时所侵害的客体包括以下三个方面:a)公民、法人和其他组织的合法权益;b)社会秩序、公共利益;c)国家安全。侵害公民、法人和其他组织的合法权益是指受法律保护的公民、法人和其他组织所享有的社会权利和利益等受到损害。侵害社会秩序的事项包括以下方面:影响国家机关、企事业单位、社会团体的生产秩序、教学科研秩序、医疗卫生秩序;影响公共场所的活动秩序、公共交通秩序;影响人民群众的生活秩序;其他影响社会秩序的事项。侵害公共利益的事项包括以下方面:影响社会成员使用公共设施;影响社会成员获取公开数据资源;影响社会成员接受公共服务等方面;其他影响公共利益的
10、事项。侵害国家安全的事项包括以下方面:影响国家政权稳固和领土主权、海洋权益完整;影响国家统一、民族团结和社会稳定;影响国家社会主义市场经济秩序和文化实力;其他影响国家安全的事项。4.2.3 对客体的侵害程度 对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的,因此对客体的侵害外在表现为对等级保护对象的破坏,通过侵害方式、侵害后果和侵害程度加以描述。等级保护对象受到破坏后对客体造成侵害的程度分为以下三种:a)造成一般损害;b)造成严重损害;c)造成特别严重损害。三种侵害程度的描述如下:a)一般损害:工作职能受到局部影响,业务能力有所降低但不影响主要
11、功能的执行,出现较轻的法律问题,较低的财产损失,有限的社会不良影响,对其他组织和个人造成较低损害;b)严重损害:工作职能受到严重影响,业务能力显著下降且严重影响主要功能执行,出现较严重的法律问题,较高的财产损失,较大范围的社会不良影响,对其他组织和个人造成较高损害;c)特别严重损害:工作职能受到特别严重影响或丧失行使能力,业务能力严重下降或功能无法执行,出现极其严重的法律问题,极高的财产损失,大范围的社会不良影响,对其他组织和个人造成非常高损害。4.2.4 定级要素与安全保护等级的关系 定级要素与安全保护等级的关系见表1。GY/T 3372020 4 表1 定级要素与安全保护等级的关系 受侵害
12、的客体 对客体的侵害程度 一般损害 严重损害 特别严重损害 公民、法人和其他组织的合法权益 第一级 第二级 第二级 社会秩序、公共利益 第二级 第三级 第四级 国家安全 第三级 第四级 第五级 4.3 定级流程 等级保护对象定级流程如下:a)确定定级对象;b)初步确定等级;c)专家评审;d)主管部门核准;e)公安机关备案审核。安全保护等级初步确定为第二级及以上的等级保护对象,其网络运营者依据本文件组织进行专家评审、主管部门核准和备案审核,最终确定其安全保护等级。安全保护等级初步确定为第一级的等级保护对象,其网络运营者可参照本文件自行确定最终安全保护等级,可不进行专家评审、主管部门核准和备案审核
13、。5 确定定级对象 5.1 信息系统 5.1.1 定级对象的基本特征 作为定级对象的信息系统应具有如下基本特征:a)具有确定的主要安全责任主体;b)承载相对独立的业务应用;c)包含相互关联的多个资源。5.1.2 云计算平台/系统 在云计算环境中,建设公有云的单位,云服务客户侧的业务系统和云服务商侧的云计算平台需分别作为单独定级对象,并根据不同服务模式将云计算平台/系统划分为不同的定级对象。租用公有云服务的单位,对其使用的运行于云计算平台上的业务系统进行定级。使用私有云的单位,按所承载业务系统的最高等级对该私有云进行定级,运行于该私有云上的业务系统可独立定级;若私有云承载单一的业务系统,且该私有
14、云和业务系统由同一安全责任主体运维,可合并定级。5.1.3 采用移动互联技术的系统 采用移动互联技术的系统主要包括移动终端、移动应用和无线网络等特征要素,可作为一个整体独立定级或与相关联业务系统一起定级,各要素不单独定级。5.2 广播电视网络设施 GY/T 3372020 5 对于广播电视传输网等网络设施宜根据安全责任主体、业务类型或服务地域等因素将其划分为不同的定级对象。当安全责任主体相同时,跨地域的专用网络可作为一个整体对象定级;当安全责任主体不同时,需根据安全责任主体和服务区域划分为若干个定级对象。5.3 数据资源 数据资源可单独定级。当安全责任主体相同时,大数据、大数据平台/系统宜作为
15、一个整体对象定级;当安全责任主体不同时,大数据和大数据平台/系统应独立定级。5.4 广播电视网络安全等级保护对象分类 根据广电行业实际情况,按照定级对象的基本特征,综合考虑定级对象的责任单位、业务类型和业务重要性等因素,将广播电视网络安全等级保护对象按照机构类别及承载的业务种类进行分类,应使用附录A的建议。对于较为庞大的网络设施和信息系统,为了体现分等级保护、优化信息安全资源配置的原则,可将其划分为多个定级对象。如果等级保护对象责任边界一致,业务关联度较大,也可将附录A中的多个系统合并为一个等级保护对象进行定级。6 初步确定等级 6.1 确定受侵害的客体 6.1.1 定级对象受到破坏时侵害的客
16、体 定级对象的安全主要包括业务信息安全和系统服务安全,安全保护等级由业务信息安全和系统服务安全相关的受侵害客体和对客体的侵害程度来确定。分析各类定级对象与广播电视业务的相关性,分析定级对象信息安全或系统服务安全与国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的关系,从而确定定级对象受到破坏时所侵害的客体。与安全播出直接相关的定级对象业务信息安全或系统服务安全受到破坏,可能直接造成安全播出事故,侵害社会公众收听收看广播电视节目的合法权益,可能引起社会秩序混乱乃至社会动荡、可能侵害国家安全。与安全播出相关的定级对象业务信息安全或系统服务安全受到破坏,可能造成安全播出事故,侵害社会公
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- GYT 337-2020 广播电视网络安全等级保护定级指南广播电影电视 GY 337 2020 广播电视 网络安全 等级 保护 定级 指南 广播 电影电视
限制150内