如何理解信息安全等級保護(精)

1、《電信交換》2009年第2期如何理解信息安全等級保護與分級保護徐蘇（電信科學技術(shù)第十研究所陜西西安710061）摘要：信息安全保護分級、分區(qū)域、分類、分階段是做好國家信息安全保護應遵循的準則。國家信息安全等級保護與涉密信息系統(tǒng)分級保護是兩個既聯(lián)系又有區(qū)別的概念。國家安全信息等級保護，重點保護的對象是非涉密的涉及國計民生的重要信息系統(tǒng)和通信基礎(chǔ)信息系統(tǒng)；涉密信息系統(tǒng)分級保護是國家信息安全等級保護的重要組成部分，是等級保護在涉密領(lǐng)域的具體體

2、現(xiàn)。關(guān)鍵字：國家信息安全公眾信息國家秘密信息等級保護分級保護在日常工作中和為用戶提供服務的過程中，什么是信息系統(tǒng)等級保護？什么是涉密信息系統(tǒng)分級保護？這兩者之間有什么關(guān)系？那些系統(tǒng)需要進行等級保護？涉密信息系統(tǒng)如何分級？這是時常困擾我們的問題。一、信息系統(tǒng)等級保護1999年國家發(fā)布并于2001年1月1日開始實施GB17859《計算機信息系統(tǒng)安全保護等級劃分準則》。2003年，中辦、國辦轉(zhuǎn)發(fā)《國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意

3、見》(中辦發(fā)〔2003〕27號)，提出實行信息安全等級保護，建立國家信息安全保障體系的明確要求。2004年9月17日，公安部、國家保密局、國家密碼管理委員會辦公室、國務院信息辦下發(fā)了《關(guān)于信息安全等級保護工作的實施意見》，明確了信息安全等級保護的重要意義、原則、基本內(nèi)容、工作職責分工、要求和實施計劃。2006年1月17日，四部門又下發(fā)了《信息安全等級保護管理辦法（試行）》，進一步確定職責分工，明確了公安機關(guān)負責全面工作、國家保密工作部門

4、負責涉密信息系統(tǒng)、國家密碼管理部門負責密碼工作、國務院信息辦負責的管理職責和要求。涉及國家秘密的信息系統(tǒng)應當依據(jù)國家信息安全等級保護的基本要求，按照國家保密工作部門涉密信息系統(tǒng)分級保護的管理規(guī)定和技術(shù)標準，結(jié)合系統(tǒng)實際情況進行保護。由于信息系統(tǒng)結(jié)構(gòu)是應社會發(fā)展、社會生活和工作的需要而設計、建立的，是社會構(gòu)成、行政組織體系的反映，因而這種系統(tǒng)結(jié)構(gòu)是分層次和級別的，而其中的各種信息系統(tǒng)具有重要的社會和經(jīng)濟價值，不同的系統(tǒng)具有不同的價值。系統(tǒng)

5、基礎(chǔ)資源和信息資源的價值大小、用戶訪問權(quán)限的大小、大系統(tǒng)中各子系統(tǒng)重要程度的區(qū)別等就是級別的客觀體現(xiàn)。信息安全保護必須符合客觀存在和發(fā)展規(guī)律，其分級、分區(qū)域、分類和分階段是做好國家信息安全保護的前提。信息系統(tǒng)安全等級保護將安全保護的監(jiān)管級別劃分為五個級別：第一級：用戶自主保護級完全由用戶自己來決定如何對資源進行保護，以及采用何種方式進行保護。第二級：系統(tǒng)審計保護級本級的安全保護機制受到信息系統(tǒng)等級保護的指導，支持用戶具有更強的自主保護能

6、力，特別是具有訪問審計能力。即能創(chuàng)建、維護受保護對象的訪問審計跟蹤記錄，記錄與系統(tǒng)安全相關(guān)事件發(fā)生的日期、時間、用戶和事件類型等信息，所有和安全相關(guān)的操作都能夠被記錄下來，以便當系統(tǒng)發(fā)生安全問題時，可以根據(jù)審計記錄，分析追查事故責任人，使所有的用戶對自己行為的合法性負責。第三級：安全標記保護級除具有第二級系統(tǒng)審計保護級的所有功能外，還它要求對徐蘇：如何理解信息安全等級保護與分級保護3全等級保護三級的要求，并且還必須符合分級保護的保密技術(shù)

7、要求。機密級：信息系統(tǒng)中包含有最高為機密級的國家秘密，其防護水平不低于國家信息安全等級保護四級的要求，還必須符合分級保護的保密技術(shù)要求。屬于下列情況之一的機密級信息系統(tǒng)應選擇機密級（增強）的要求：（1）信息系統(tǒng)的使用單位為副省級以上的黨政首腦機關(guān)，以及國防、外交、國家安全、軍工等要害部門；（2）信息系統(tǒng)中的機密級信息含量較高或數(shù)量較多；（3）信息系統(tǒng)使用單位對信息系統(tǒng)的依賴程度較高。絕密級：信息系統(tǒng)中包含有最高為絕密級的國家秘密，其防護

8、水平不低于國家信息安全等級保護五級的要求，還必須符合分級保護的保密技術(shù)要求，絕密級信息系統(tǒng)應限定在封閉的安全可控的獨立建筑內(nèi)，不能與城域網(wǎng)或廣域網(wǎng)相聯(lián)。涉密信息系統(tǒng)分級保護的管理過程分為八個階段，即系統(tǒng)定級階段、安全規(guī)劃方案設計階段、安全工程實施階段、信息系統(tǒng)測評階段、系統(tǒng)審批階段、安全運行及維護階段、定期評測與檢查階段和系統(tǒng)隱退終止階段等。在實際工作中，涉密信息系統(tǒng)的定級、安全規(guī)劃方案設計的實施與調(diào)整、安全運行及維護三個階段，尤其要引

9、起重視。系統(tǒng)定級決定了系統(tǒng)方案的設計實施、安全措施、運行維護等涉密信息系統(tǒng)建設的各個環(huán)節(jié)，因此如何準確地對涉密信息系統(tǒng)進行定級在涉密信息系統(tǒng)實施分級保護中尤為重要。涉密信息系統(tǒng)定級遵循“誰建設、誰定級“的原則，可以根據(jù)信息密級、系統(tǒng)重要性和安全策略劃分為不同的安全域，針對不同的安全域確定不同的等級，并進行相應的保護。在涉密信息系統(tǒng)定級時，可以綜合考慮涉密信息系統(tǒng)中資產(chǎn)、威脅、受到損害后的影響，以及使用單位對涉密信息系統(tǒng)的信賴性等因素對涉

10、密信息系統(tǒng)進行整體定級同時，在同一個系統(tǒng)里，還允許劃分不同的安全域，在每個安全域可以分別定級，不同的級別采取不同的安全措施，更加科學地實施分級保護，在一定程度上可以解決保重點，保核心的問題，也可以有效地避免因過度保護而造成應用系統(tǒng)運行效能降低以及投資浪費等問題。涉密信息系統(tǒng)建設單位在定級的同時，必須報主管部門審批。涉密信息系統(tǒng)要按照分級保護的標準，結(jié)合涉密信息系統(tǒng)應用的實際情況進行方案設計。設計時要逐項進行安全風險分析，并根據(jù)安全風險分

11、析的結(jié)果，對部分保護要求進行適當?shù)恼{(diào)整和改造，調(diào)整應以不降低涉密信息系統(tǒng)整體安全保護強度，確保國家秘密安全為原則。當保護要求不能滿足實際安全需求時，應適當選擇采用部分較高的保護要求，當保護要求明顯高于實際安全需求時，可適當選擇采用部分較低的保護要求。對于安全策略的調(diào)整以及改造方案進行論證，綜合考慮修改項和其他保護要求之間的相關(guān)性，綜合分析，改造方案的實施以及后續(xù)測評要按照國家的標準執(zhí)行，并且要求文檔化。在設計完成之后要進行方案論證，由建

12、設使用單位組織有關(guān)的專家和部門進行方案設計論證，確定總體方案達到分級保護技術(shù)的要求后再開始實施；在工程建設實施過程中注意工程監(jiān)理的要求；建設完成之后應該進行審批；審批前由國家保密局授權(quán)的涉密信息系統(tǒng)測評機構(gòu)進行系統(tǒng)測評，確定在技術(shù)層面是否達到了涉密信息系統(tǒng)分級保護的要求。運行及維護過程的不可控性以及隨意性，往往是涉密信息系統(tǒng)安全運行的重大隱患。通過運行管理和控制、變更管理和控制，對安全狀態(tài)進行監(jiān)控，對發(fā)生的安全事件及時響應，在流程上對系

13、統(tǒng)的運行維護進行規(guī)范，從而確保涉密信息系統(tǒng)正常運行。通過安全檢查和持續(xù)改進，不斷跟蹤涉密信息系統(tǒng)的變化，并依據(jù)變化進行調(diào)整，確保涉密信息系統(tǒng)滿足相應分級的安全要求，并處于良好安全狀態(tài)。由于運行維護的規(guī)范化能夠大幅度地提高系統(tǒng)運行及維護的安全級別，所以在運行維護中應盡可能地實現(xiàn)流程固化，操作自動化，減少人員參與帶來的風險。還需要注意的是在安全運行及維護中保持系統(tǒng)安全策略的準確性以及與安全目標的一致性，使安全策略作為安全運行的驅(qū)動力以及重要