三级等保培训ppt课件.ppt

《三级等保培训ppt课件.ppt》由会员分享，可在线阅读，更多相关《三级等保培训ppt课件.ppt（33页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确三级等保系统整改三级等保系统整改解决方案解决方案在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确n第一级自主保护级 主要对象为一般的信息系统，其业务信息安全性或业务服务保证性受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益；本级系统依照国家管理规范和技术标准进行自主保护。n第二级为指导保护级 主要对象为一般的信息系统，其业务信息安全性或业务服务保证性受到破坏后，会对社会秩序和公共利益造

2、成轻微损害，但不损害国家安全；本级系统依照国家管理规范和技术标准进行自主保护，必要时，信息安全监管职能部门对其进行指导。n第三级为监督保护级 主要对象为涉及国家安全、社会秩序和公共利益的重要信息系统，其业务信息安全性或业务服务保证性受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害；本级系统依照国家管理规范和技术标准进行自主保护，信息安全监管职能部门对其进行监督、检查。等级保护概念在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确n第四级为强制保护级 主要对象为涉及国家安全、社会秩序和公共利益的重要信息系统，其业务信息安全性或业务

3、服务保证性受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害；本级系统依照国家管理规范和技术标准进行自主保护，信息安全监管职能部门对其进行强制监督、检查。n第五级为专控保护级 主要对象为涉及国家安全、社会秩序和公共利益的重要信息系统的核心子系统，其业务信息安全性或业务服务保证性受到破坏后，会对国家安全、社会秩序和公共利益造成特别严重损害；本级系统依照国家管理规范和技术标准进行自主保护，国家指定专门部门、专门机构进行专门监督、检查。等级保护概念在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确等级保护定级 信息系统定级主要考虑两方面

4、，一是业务信息受到信息系统定级主要考虑两方面，一是业务信息受到破坏客体是谁，二是对客体侵害程度如何。两方面结破坏客体是谁，二是对客体侵害程度如何。两方面结合起来根据下表制定信息系统应该定位第几级。合起来根据下表制定信息系统应该定位第几级。在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确nBefore 2005Before 2005中华人民共和国计算机信息系统安全保护条例中华人民共和国计算机信息系统安全保护条例（1994年 国务院147号令）国家信息化领导小组关于加强信息安全保障工作的意见国家信息化领导小组关于加强信息安全保障工作的意见

5、（中办发200327号）关于信息安全等级保护工作的关于信息安全等级保护工作的实施意见实施意见实施意见实施意见（公通字200466号）n20072007信息安全等级保护信息安全等级保护管理办法管理办法管理办法管理办法（公通字200743号）关于开展全国重要信息系统安全关于开展全国重要信息系统安全等级保护定级工作等级保护定级工作等级保护定级工作等级保护定级工作的通知的通知 （公信安2007861号）上海市：沪公发2007319号上海市迎世博信息安全保障两年行动计划上海市迎世博信息安全保障两年行动计划n2009200920092009年信息安全等级保护工作内容及具体要求年信息安全等级保护工作内容及具

6、体要求（公信安（公信安20092322009232号）号）关于组织开展关于组织开展20092009年度本市重要信息系统年度本市重要信息系统等级保护工作等级保护工作等级保护工作等级保护工作的通知的通知 （沪公发2009187号）沪公发2009173号、沪密局200939号、。等级保护政策推进过程在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确n基础类基础类计算机信息系统安全保护计算机信息系统安全保护计算机信息系统安全保护计算机信息系统安全保护等级划分准则等级划分准则等级划分准则等级划分准则GB 17859-1999GB 17859-19

7、99GB 17859-1999GB 17859-1999信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护实施指南实施指南实施指南实施指南GB/T CCCC-CCCC GB/T CCCC-CCCC GB/T CCCC-CCCC GB/T CCCC-CCCC 报批稿报批稿报批稿报批稿 n应用类应用类定级：定级：定级：定级：信息系统安全保护信息系统安全保护信息系统安全保护信息系统安全保护等级定级指南等级定级指南等级定级指南等级定级指南GB/T 22240-2008 GB/T 22240-2008 GB/T 22240-2008 GB/T 22240-2008 建设：建

8、设：建设：建设：信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护基本要求基本要求基本要求基本要求GB/T 22239-2008GB/T 22239-2008GB/T 22239-2008GB/T 22239-2008 信息系统通用安全技术要求GB/T 20271-2006 信息系统等级保护安全设计技术要求 测评：测评：测评：测评：信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护信息系统安全等级保护测评要求测评要求测评要求测评要求 GB/T DDDD-DDDD GB/T DDDD-DDDD GB/T DDDD-DDDD GB/T DDDD-DDDD 报

9、批稿报批稿报批稿报批稿 信息系统安全等级保护测评过程指南 管理：管理：管理：管理：信息系统安全管理要求GB/T 20269-2006 信息系统安全工程管理要求GB/T 20282-2006 等级保护十大核心标准在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确等级保护完全实施过程信息系统定级信息系统定级安全总体规划安全总体规划安全设计与实施安全设计与实施安全运行维护安全运行维护信息系统终止信息系统终止安全等级测评安全等级测评信息系统备案信息系统备案安全整改设计安全整改设计等级符合性检查等级符合性检查应急预案及演练应急预案及演练安全要求整

10、改安全等级整改局部调整等级变更在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确安全保护能力基本安全要求等保3级的信息系统基本技术措施基本管理措施具备包含包含满足满足实现在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确指指标类标类技技术术/管

11、理管理层层面面类类数量数量项项数量数量S S类类(3(3级级)A A类类(3(3级级)G G类类(3(3级级)小小计计小小计计安全技术物理安全1181032网络安全106733主机安全313732应用安全522931数据安全21038安全管理安全管理制度N/A311安全管理机构520人员安全管理516系统建设管理1145系统运维管理1360合 计73737373（类）（类）（类）（类）290290290290（项）（项）（项）（项）在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确物理安全主要涉及的方面包括环境环境安全（防火、防水、防雷

12、击等）设备设备和介质介质的防盗窃防破坏等方面。物理安全具体包括：1010个控制点个控制点 物理位置的选择（G）、物理访问控制（G）、防盗窃和防破坏（G）、防雷击（G)、防火（G）、防水和防潮（G）、防静电（G）、温湿度控制（G）、电力供应（A）、电磁防护（S）在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确物理位置的选择物理位置的选择基本防护能力高层、地下室高层、地下室物理访问控制物理访问控制基本出入控制分区域管理分区域管理在机房中的活动电子门禁电子门禁防盗窃和防破坏防盗窃和防破坏存放位置、标记标识监控报警系统监控报警系统防雷击防雷击

13、建筑防雷、机房接地设备防雷设备防雷防火防火灭火设备、自动报警自动消防系统自动消防系统区域隔离措施区域隔离措施防防静电静电关键设备主要设备主要设备防静电地板防静电地板电力供应电力供应稳定电压、短期供应主要设备主要设备冗余冗余/并行线路并行线路备用供电系统备用供电系统电磁防护电磁防护线缆隔离接地防干扰接地防干扰电磁屏蔽电磁屏蔽防水和防潮防水和防潮温湿度控制温湿度控制物理安全的整改要点在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确物理位置选择物理访问控制防盗窃和防破坏防雷击、防火、防水和防潮、防静电、温湿度控制电力供应电磁防护不做硬性要求

14、在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确网络安全主要关注的方面包括：网络结构、网网络结构、网络边界以及网络设备络边界以及网络设备自身安全等。网络安全具体包括：7 7个控制点个控制点 结构安全(G)、访问控制(G)、安全审计(G)、边界完整性检查(A)、入侵防范(G)、恶意代码防范(G)、网络设备防护(G)在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确结构安全结构安全关键设备冗余空间主要设备冗余空间主要设备冗余空间访问控制访问控制访问控制设备（用户、网段）应用层协议过

15、滤应用层协议过滤拨号访问限制会话终止会话终止安全审计安全审计日志记录审计报表审计报表边界完整性检查边界完整性检查内部的非法联出非授权设备私自外联非授权设备私自外联网络安全的整改要点子网/网段控制核心网络带宽整体网络带宽整体网络带宽重要网段部署重要网段部署路由控制路由控制带宽分配优先级带宽分配优先级端口控制端口控制最大流量数及最大连接数最大流量数及最大连接数防止地址欺骗防止地址欺骗审计记录的保护审计记录的保护定位及阻断定位及阻断入侵防范入侵防范检测常见攻击记录、报警记录、报警恶意代码防范恶意代码防范网络边界处防范网络边界处防范网络设备防护网络设备防护基本的登录鉴别组合鉴别技术组合鉴别技术特权用户

16、的权限分离特权用户的权限分离在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确结构安全访问控制安全审计增加违规外联检测阻断产品增加违规外联检测阻断产品边界完整性检查入侵防范增加网关型防毒墙产品增加网关型防毒墙产品恶意代码防范网络设备特别配置服务网络设备特别配置服务网络设备防护增加网络安全审计产品增加网络安全审计产品在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确主机系统安全是包括服务器、终端服务器、终端/工作站工作站等在内的计算机设备在操作系统及数据库系统操作系统及数据库系统层

17、面的安全。主机安全具体包括：7 7个控制点个控制点 身份鉴别(S)、访问控制(S)、安全审计(G)、剩余信息保护(S)、入侵防范(G)、恶意代码防范(G)、资源控制(A)在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确身份鉴别身份鉴别基本的身份鉴别访问控制访问控制安全策略管理用户的权限分离管理用户的权限分离特权用户的权限分离安全审计安全审计服务器基本运行情况审计审计报表审计报表剩余信息保护剩余信息保护空间释放及信息清除空间释放及信息清除主机安全的整改要点组合鉴别技术组合鉴别技术敏感标记的设置及操作敏感标记的设置及操作审计记录的保护审计

18、记录的保护入侵防范入侵防范最小安装原则重要服务器：检测、记录、报警重要服务器：检测、记录、报警恶意代码防范恶意代码防范主机与网络的防范产品不同主机与网络的防范产品不同资源控制资源控制监视重要服务器监视重要服务器最小服务水平的检测及报警最小服务水平的检测及报警重要客户端的审计重要客户端的审计升级服务器重要程序完整性重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限制在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确身份鉴别访问控制安全审计增加身份认证系统增加身份认证系统剩余信息保护入侵防范访问控制策略配置服务访问控制策

19、略配置服务比较超前较难实现主机入侵防范策略配置服务主机入侵防范策略配置服务恶意代码防范资源控制网管软件和主机配置服务网管软件和主机配置服务在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确应用系统的安全就是保护系统的各种应用程序应用程序安全运行。包括基本应用基本应用，如：消息发送、web浏览等；业务应用业务应用，如：电子商务、电子政务等。应用安全具体包括：9 9个控制点个控制点 身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）在整堂课的教

20、学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确身份鉴别身份鉴别基本的身份鉴别访问控制访问控制安全策略最小授权原则安全审计安全审计运行情况审计（用户级）审计报表审计报表剩余信息保护剩余信息保护空间释放及信息清除空间释放及信息清除应用安全的整改要点组合鉴别技术组合鉴别技术敏感标记的设置及操作敏感标记的设置及操作审计过程的保护审计过程的保护通信完整性通信完整性校验码技术密码技术密码技术软件容错软件容错自动保护功能自动保护功能资源控制资源控制资源分配限制、资源分配优先级资源分配限制、资源分配优先级最小服务水平的检测及报警最小服务水平的检测及报警数据有效

21、性检验、部分运行保护对用户会话数及 系统最大并发会话数的限制审计记录的保护通信保密性通信保密性初始化验证整个报文及会话过程加密整个报文及会话过程加密敏感信息加密抗抵赖抗抵赖在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确身份鉴别访问控制安全审计应用软件本身配置或升级应用软件本身配置或升级剩余信息保护通信完整性访问控制策略配置服务访问控制策略配置服务通信保密性抗抵赖软件容错资源控制系统审计配置服务系统审计配置服务比较超前较难实现增加通讯加密手段增加通讯加密手段建立统一的建立统一的CACA中心中心比较超前较难实现可通过配置服务达到部分要求

22、在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确数据安全主要是保护用户数据、系统数据、业用户数据、系统数据、业务数据务数据的保护。将对数据造成的损害降至最小。备份恢复也是防止数据被破坏后无法恢复的重要手段，主要包括数据备份、硬件冗余和异地数据备份、硬件冗余和异地实时备份实时备份。数据安全和备份恢复具体包括：3 3个控制点个控制点 数据完整性（S）、数据保密性（S）、备份和恢复（A）在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确数据完整性数据完整性鉴别数据传输的完整性备份和恢

23、复备份和恢复重要数据的备份数据安全及备份恢复的整改要点各类数据传输及存储各类数据传输及存储异地备份异地备份网络冗余、硬件冗余网络冗余、硬件冗余本地完全备份本地完全备份硬件冗余检测和恢复检测和恢复数据保密性数据保密性鉴别数据存储的保密性各类数据的传输及存储各类数据的传输及存储每天每天1次次备份介质场外存放备份介质场外存放在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确数据完整性数据保密性备份与恢复建立统一的建立统一的CACA中心中心增加通讯加密手段增加通讯加密手段在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯

24、度，由浅入深，所提出的问题也很明确管理制度管理制度管理机构管理机构人员管理人员管理系统建设管理系统建设管理系统运维管理系统运维管理环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理信息系统26在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确安全管理制度包括信息安全工作的总体方针、总体方针、策略、规范策略、规范各种安全管理活动的管理制度管理制度以及管理人员或操作人员日常操作的操作规程操作规程。安全管理制度具体包括：3

25、 3个控制点个控制点 管理制度、制定和发布、评审和修订整改要点：整改要点：形成信息安全管理制度体系、统一发布、定期修订等在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确安全管理机构主要是在单位的内部结构上建立一整套从单位最高管理层最高管理层（董事会）到执执行管理层行管理层以及业务运营层业务运营层的管理结构来约束和保证各项安全管理措施的执行。安全管理机构具体包括：5 5个控制点个控制点 岗位设置、人员配备、授权和审批、沟通和合作、审核和检查整改要点：整改要点：信息安全领导小组与职能部门、专职安全员、定期全面安全检查、定期协调会议、外部沟

26、通与合作等在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确对人员安全的管理，主要涉及两方面：对内部内部人员人员的安全管理和对外部人员外部人员的安全管理。人员安全管理具体包括：5 5个控制点个控制点 人员录用、人员离岗、人员考核、安全意识教育及培训、外部人员访问管理整改要点：整改要点：全员保密协议、关键岗位人员管理、针对不同岗位的培训计划、外部人员访问管理在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确系统建设管理分别从定级、设计建设实施、验收交付、定级、设计建设实施、验收交付

27、、测评测评等方面考虑，关注各项安全管理活动。系统建设管理具体包括：1111个控制点个控制点 系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、等级测评、安全服务商选择整改要点：整改要点：系统定级的论证、总体规划、产品选型测试、开发过程的人员控制、工程实施制度化、第三方委托测试、运行起30 天内备案、每年进行1次等级测评、安全服务商的选择在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确系统运维管理涉及日常管理、变更管理、制度化管理、日常管理、变更管理、制度化管理、安全事件处置、应

28、急预案管理和安管中心安全事件处置、应急预案管理和安管中心等。系统运维管理具体包括：1313个控制点个控制点 环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理整改要点：整改要点：办公环境保密性、资产的标识和分类管理、介质/设备/系统/网络/密码/备份与恢复的制度化管理、建立安全管理中心、安全事件分类分级响应、应急预案的演练和审查在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确技技术术整整改改措措施施在整堂课的教学中，刘教师总是让学生带着问题来学习，而问题的设置具有一定的梯度，由浅入深，所提出的问题也很明确典型案例小结管理整改措施管管理理整整改改措措施施