《{安全生产管理}信息安全等级保护安全建设整改工作指南信息安全等级保护》由会员分享，可在线阅读，更多相关《{安全生产管理}信息安全等级保护安全建设整改工作指南信息安全等级保护（45页珍藏版）》请在金锄头文库上搜索。
1、附件2信息安全等级保护安全建设整改工作指南中华人民共和国公安部二九年十月前 言为便于信息安全等级保护安全建设整改工作相关单位全面了解和掌握安全建设整改工作所依据的技术标准规范，以及安全建设整改工作的目标、内容和方法，公安部编写了信息安全等级保护安全建设整改工作指南，供参考。本指南包括总则、安全管理制度建设、安全技术措施建设三个部分，附录是信息安全等级保护主要标准简要说明。由于时间仓促，经验不足，不妥之处，敬请批评指正。 目 录1 总则(1)1.1 工作目标(1)1.2 工作内容(1)1.3 工作流程(2)1.4 标准应用(3)1.5 安全保护能力目标(5)2 安全管理制度建设(6)2.1 落实
2、信息安全责任制(7)2.2 信息系统安全管理现状分析(7)2.3 确定安全管理策略，制定安全管理制度(8)2.4 落实安全管理措施(8)2.4.1 人员安全管理(8)2.4.2 系统运维管理(8)2.4.2.1 环境和资产安全管理(8)2.4.2.2 设备和介质安全管理(9)2.4.2.3 日常运行维护(9)2.4.2.4 集中安全管理(9)2.4.2.5 事件处置与应急响应(9)2.4.2.6 灾难备份(9)2.4.2.7 安全监测 (10)2.4.2.8 其他安全管理 (10)2.5 系统建设管理 (10)2.6 安全自查与调整 (10)3 安全技术措施建设 (10)3.1 信息系统安全保
3、护技术现状分析 (11)3.1.1 信息系统现状分析 (11)3.1.2 信息系统安全保护技术现状分析 (12)3.1.3 安全需求论证和确定 (12)3.2 信息系统安全技术建设整改方案设计 (12)3.2.1 确定安全技术策略，设计总体技术方案 (12)3.2.1.1 确定安全技术策略 (12)3.2.1.2 设计总体技术方案 (12)图3 安全技术体系设计实例数据安全设计3.2.2 安全技术方案详细设计 (13)3.2.2.1 物理安全设计 (13)3.2.2.2 通信网络安全设计 (13)3.2.2.3 区域边界安全设计 (13)3.2.2.4 主机系统安全设计 (13)3.2.2.5
4、 应用系统安全设计 (14)3.2.2.6 备份和恢复安全设计 (14)3.2.3 建设经费预算和工程实施计划 (14)3.2.3.1 建设经费预算 (14)3.2.3.2 工程实施计划 (14)3.2.4 方案论证和备案 (15)3.3 安全建设整改工程实施和管理 (15)3.3.1 工程实施和管理 (15)3.3.2 工程监理和验收 (15)3.3.3 安全等级测评 (15)附录：信息安全等级保护主要标准简要说明 (17)1 总则1.1 工作目标信息系统运营使用单位在做好信息系统安全等级保护定级备案工作基础上，按照国家有关规定和标准规范要求，开展信息安全等级保护安全建设整改工作。通过落实安
5、全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维护国家安全、社会秩序和公共利益。1.2 工作内容信息系统运营使用单位在开展信息安全等级保护安全建设整改工作中，应按照国家有关规定和标准规范要求，坚持管理和技术并重的原则，将技术措施和管理措施有机结合，建立信息系统综合防护体系，提高信息系统整体安全保护能力。要依据信息系统安全等级保护基本要求（以下简称基本要求），落实信息安全责任制，建立并落实各类安全管理制度，开展人员安全管理、系统建设管理和系统运维管理等工作，落实物理安
6、全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施，具体内容如图1所示。信息系统安全等级保护基本要求安全管理机构l 岗位设置l 人员配备l 授权和审批l 沟通和合作l 审核和检查安全管理制度l 管理制度l 制定和发布l 评审和修订人员安全管理l 人员录用l 人员离岗l 人员考核l 教育和培训l 人员访问管理系统建设管理l 定级备案l 安全方案设计l 产品采购使用l 自行软件开发l 外包软件开发l 工程实施l 测试验收l 系统交付l 安全服务选择l 等级测评系统运维管理l 环境管理l 资产管理l 介质管理l 设备管理l 监控管理l 安全管理中心l 网络安全管理l 系统安全管理l 变更管
7、理l 备份恢复管理l 事件处置l 应急响应安全管理建设整改物理安全l 机房位置选择l 防火防雷l 防水防潮l 防静电l 物理访问控制l 防盗窃防破坏l 温湿度控制l 电力供应l 电磁防护网络安全l 区域划分l 边界防护l 访问控制l 安全审计l 入侵防范l 病毒防护l 通信保护数据安全与备份恢复l 数据保密性l 数据完整性l 备份与恢复主机安全l 身份鉴别l 访问控制l 安全审计l 入侵防范l 病毒防护l 资源控制l 安全标记l 剩余信息保护应用安全l 身份鉴别l 访问控制l 安全审计l 通信完整性l 通信保密性l 软件容错l 资源控制l 安全标记l 剩余信息保护l 抗抵赖安全技术建设整改图1
8、：信息系统安全建设整改主要内容需要说明的是：不同级别信息系统安全建设整改的具体内容应根据信息系统定级时的业务信息安全等级和系统服务安全等级，以及信息系统安全保护现状确定。信息系统安全建设整改工作具体实施可以根据实际情况，将安全管理和安全技术整改内容一并实施，或分步实施。1.3 工作流程信息系统安全建设整改工作分五步进行。第一步：制定信息系统安全建设整改工作规划，对信息系统安全建设整改工作进行总体部署；第二步：开展信息系统安全保护现状分析，从管理和技术两个方面确定信息系统安全建设整改需求；第三步：确定安全保护策略，制定信息系统安全建设整改方案；第四步：开展信息系统安全建设整改工作，建立并落实安全
9、管理制度，落实安全责任制，建设安全设施，落实安全措施；第五步：开展安全自查和等级测评，及时发现信息系统中存在安全隐患和威胁，进一步开展安全建设整改工作。该流程如图2所示。信息系统安全管理建设信息系统安全技术建设开展信息系统安全自查和等级测评信息系统安全保护现状分析信息系统安全建设整改工作规划和工作部署确定安全策略，制定安全建设整改方案物 理 安 全网 络 安 全主 机 安 全应 用 安 全数 据 安 全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理图2：信息系统安全建设整改工作基本流程1.4 标准应用信息系统安全建设整改工作应依据基本要求，并在不同阶段、针对不同技术活动参照相应的
10、标准规范进行。等级保护有关标准在信息系统安全建设整改工作中的作用如图3所示。信息系统安全等级保护基本要求计算机信息系统安全保护等级划分准则（GB17859）信息系统通用安全技术要求信息系统物理安全技术要求技术类其他技术类标准信息系统安全管理要求信息系统安全工程管理要求其他管理类标准信息系统安全等级保护定级指南信息系统安全等级保护基本要求的行业细则信息系统安全等级保护测评过程指南信息系统安全等级保护测评要求信息系统等级保护安全设计技术要求管理类产品类数据库管理系统安全技术要求其他产品类标准信息系统安全等级保护行业定级细则操作系统安全技术要求信息安全等级保护安全建设整改工作网络基础安全技术要求网络
11、和终端设备隔离部件技术要求安全等级基线要求状况分析方法指导信息系统安全等级保护实施指南图3：等级保护相关标准间的关系需要说明的是，（一）计算机信息系统安全保护等级划分准则及配套标准是基本要求的基础。计算机信息系统安全保护等级划分准则（GB17859，以下简称划分准则）是等级保护的基础性标准，信息系统通用安全技术要求等技术类标准、信息系统安全管理要求等管理类标准和操作系统安全技术要求等产品类标准是在划分准则基础上研究制定的。基本要求以技术类标准和管理类标准为基础，根据现有技术发展水平，从技术和管理两方面提出并确定了不同安全保护等级信息系统的最低保护要求，即基线要求。（二）基本要求是信息系统安全建设整改的依据。信息系统安全建设整改应以落实基本要求为主要目标。信息系统运营使用单位应根据信息系统安全保护等级选择基本要求中相应级别的安全保护要求作为信息系统的基本安全需求。当信息系统有更高安全需求时，可参考基本要求中较高级别保护要求或信息系统通用安全技术要求、信息系统安全管理要求等其他标准。行业主管部门可以依据基本要求，结合行业特点和信息系统实际出台行业细则，行业细则的要求应不低于基本要求。（三）定级指南为定级工作提供指导。信息系统安全等级保护定级指南为信息系统定级工作提供了技术
