信息系统安全等级保护(四级)基本要求
- 格式:xls
- 大小:56.00 KB
- 文档页数:21
信息安全等级保护四级防护技术要求-标准化文件发布号:(9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII信息安全等级保护(四级)具体技术要求我国信息安全等级保护与涉密信息系统分级保护关系等级保护分级保护保护对象不同非涉密信息系统涉密信息系统管理体系不同公安机关国家保密工作部门标准体系不同国家标准(GB、GB/T)国家保密标准(BMB,强制执行)级别划分不同第一级:自主保护级第二级:指导保护级第三级:监督保护级秘密级第四级:强制保护级机密级第五级:专控保护级绝密级涉密信息系统分级保护与信息安全等级保护制度相衔接,三个等级的防护水平不低于国家等级保护的第三、四、五级要求一、网络安全网络安全审计1、对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录;2、对于每一个事件,其审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信息;3、安全审计应可以根据记录数据进行分析,并生成审计报表;4、安全审计应可以对特定事件,提供指定方式的实时报警;5、审计记录应受到保护避免受到未预期的删除、修改或覆盖等;6、安全审计应能跟踪监测到可能的安全侵害事件,并终止违规进程;7、审计员应能够定义审计跟踪极限的阈值,当存储空间接近极限时,能采取必要的措施(如报警并导出),当存储空间被耗尽时,终止可审计事件的发生;8、安全审计应根据信息系统的统一安全策略,实现集中审计;9、网络设备时钟应与时钟服务器时钟保持同步。
边界完整性检查1、应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为(即“非法外联”行为);2、应能够对非授权设备私自联到网络的行为进行检查,并准确定位、有效阻断;3、应能够对内部网络用户私自联到外部网络的行为进行检查后准确定出位置,并对其进行有效阻断;4、应能够根据信息流控制策略和信息流的敏感标记,阻止重要信息的流出。
(网络设备标记,指定路由信息标记)。
目次前言 (IX)引言 (X)1 范围 (11)2规范性引用文件 (11)3术语和定义 (11)4信息系统安全等级保护概述 (11)4.1 信息系统安全保护等级 (11)4.2 不同等级的安全保护能力 (11)4.3 基本技术要求和基本管理要求 (12)4.4 基本技术要求的三种类型 (12)5第一级基本要求 (12)5.1 技术要求 (12)5.1.1物理安全 (12)5.1.1.1 物理访问控制(G1) (12)5.1.1.2 防盗窃和防破坏(G1) (12)5.1.1.3 防雷击(G1) (13)5.1.1.4 防火(G1) (13)5.1.1.5 防水和防潮(G1) (13)5.1.1.6 温湿度控制(G1) (13)5.1.1.7 电力供应(A1) (13)5.1.2网络安全 (13)5.1.2.1 结构安全(G1) (13)5.1.2.2 访问控制(G1) (13)5.1.2.3 网络设备防护(G1) (13)5.1.3主机安全 (13)5.1.3.1 身份鉴别(S1) (13)5.1.3.2 访问控制(S1) (13)5.1.3.3 入侵防范(G1) (14)5.1.3.4 恶意代码防范(G1) (14)5.1.4应用安全 (14)5.1.4.1 身份鉴别(S1) (14)5.1.4.2 访问控制(S1) (14)5.1.4.3 通信完整性(S1) (14)5.1.4.4 软件容错(A1) (14)5.1.5数据安全及备份恢复 (14)5.1.5.1 数据完整性(S1) (14)5.1.5.2 备份和恢复(A1) (14)5.2 管理要求 (14)5.2.1安全管理制度 (14)5.2.1.1 管理制度(G1) (14)5.2.1.2 制定和发布(G1) (14)5.2.2安全管理机构 (14)I5.2.2.1 岗位设置(G1) (14)5.2.2.2 人员配备(G1) (14)5.2.2.3 授权和审批(G1) (14)5.2.2.4 沟通和合作(G1) (15)5.2.3人员安全管理 (15)5.2.3.1 人员录用(G1) (15)5.2.3.2 人员离岗(G1) (15)5.2.3.3 安全意识教育和培训(G1) (15)5.2.3.4 外部人员访问管理(G1) (15)5.2.4系统建设管理 (15)5.2.4.1 系统定级(G1) (15)5.2.4.2 安全方案设计(G1) (15)5.2.4.3 产品采购和使用(G1) (15)5.2.4.4 自行软件开发(G1) (15)5.2.4.5 外包软件开发(G1) (15)5.2.4.6 工程实施(G1) (16)5.2.4.7 测试验收(G1) (16)5.2.4.8 系统交付(G1) (16)5.2.4.9 安全服务商选择(G1) (16)5.2.5系统运维管理 (16)5.2.5.1 环境管理(G1) (16)5.2.5.2 资产管理(G1) (16)5.2.5.3 介质管理(G1) (16)5.2.5.4 设备管理(G1) (16)5.2.5.5 网络安全管理(G1) (17)5.2.5.6 系统安全管理(G1) (17)5.2.5.7 恶意代码防范管理(G1) (17)5.2.5.8 备份与恢复管理(G1) (17)5.2.5.9 安全事件处置(G1) (17)6第二级基本要求 (17)6.1 技术要求 (17)6.1.1物理安全 (17)6.1.1.1 物理位置的选择(G2) (17)6.1.1.2 物理访问控制(G2) (17)6.1.1.3 防盗窃和防破坏(G2) (17)6.1.1.4 防雷击(G2) (18)6.1.1.5 防火(G2) (18)6.1.1.6 防水和防潮(G2) (18)6.1.1.7 防静电(G2) (18)6.1.1.8 温湿度控制(G2) (18)6.1.1.9 电力供应(A2) (18)6.1.1.10 电磁防护(S2) (18)6.1.2网络安全 (18)6.1.2.1 结构安全(G2) (18)II6.1.2.2 访问控制(G2) (18)6.1.2.3 安全审计(G2) (19)6.1.2.4 边界完整性检查(S2) (19)6.1.2.5 入侵防范(G2) (19)6.1.2.6 网络设备防护(G2) (19)6.1.3主机安全 (19)6.1.3.1 身份鉴别(S2) (19)6.1.3.2 访问控制(S2) (19)6.1.3.3 安全审计(G2) (19)6.1.3.4 入侵防范(G2) (20)6.1.3.5 恶意代码防范(G2) (20)6.1.3.6 资源控制(A2) (20)6.1.4应用安全 (20)6.1.4.1 身份鉴别(S2) (20)6.1.4.2 访问控制(S2) (20)6.1.4.3 安全审计(G2) (20)6.1.4.4 通信完整性(S2) (20)6.1.4.5 通信保密性(S2) (20)6.1.4.6 软件容错(A2) (21)6.1.4.7 资源控制(A2) (21)6.1.5数据安全及备份恢复 (21)6.1.5.1 数据完整性(S2) (21)6.1.5.2 数据保密性(S2) (21)6.1.5.3 备份和恢复(A2) (21)6.2 管理要求 (21)6.2.1安全管理制度 (21)6.2.1.1 管理制度(G2) (21)6.2.1.2 制定和发布(G2) (21)6.2.1.3 评审和修订(G2) (21)6.2.2安全管理机构 (21)6.2.2.1 岗位设置(G2) (21)6.2.2.2 人员配备(G2) (22)6.2.2.3 授权和审批(G2) (22)6.2.2.4 沟通和合作(G2) (22)6.2.2.5 审核和检查(G2) (22)6.2.3人员安全管理 (22)6.2.3.1 人员录用(G2) (22)6.2.3.2 人员离岗(G2) (22)6.2.3.3 人员考核(G2) (22)6.2.3.4 安全意识教育和培训(G2) (22)6.2.3.5 外部人员访问管理(G2) (22)6.2.4系统建设管理 (23)6.2.4.1 系统定级(G2) (23)6.2.4.2 安全方案设计(G2) (23)III6.2.4.3 产品采购和使用(G2) (23)6.2.4.4 自行软件开发(G2) (23)6.2.4.5 外包软件开发(G2) (23)6.2.4.6 工程实施(G2) (23)6.2.4.7 测试验收(G2) (23)6.2.4.8 系统交付(G2) (24)6.2.4.9 安全服务商选择(G2) (24)6.2.5系统运维管理 (24)6.2.5.1 环境管理(G2) (24)6.2.5.2 资产管理(G2) (24)6.2.5.3 介质管理(G2) (24)6.2.5.4 设备管理(G2) (24)6.2.5.5 网络安全管理(G2) (25)6.2.5.6 系统安全管理(G2) (25)6.2.5.7 恶意代码防范管理(G2) (25)6.2.5.8 密码管理(G2) (25)6.2.5.9 变更管理(G2) (25)6.2.5.10 备份与恢复管理(G2) (26)6.2.5.11 安全事件处置(G2) (26)6.2.5.12 应急预案管理(G2) (26)7第三级基本要求 (26)7.1 技术要求 (26)7.1.1物理安全 (26)7.1.1.1 物理位置的选择(G3) (26)7.1.1.2 物理访问控制(G3) (26)7.1.1.3 防盗窃和防破坏(G3) (26)7.1.1.4 防雷击(G3) (27)7.1.1.5 防火(G3) (27)7.1.1.6 防水和防潮(G3) (27)7.1.1.7 防静电(G3) (27)7.1.1.8 温湿度控制(G3) (27)7.1.1.9 电力供应(A3) (27)7.1.1.10 电磁防护(S3) (27)7.1.2网络安全 (28)7.1.2.1 结构安全(G3) (28)7.1.2.2 访问控制(G3) (28)7.1.2.3 安全审计(G3) (28)7.1.2.4 边界完整性检查(S3) (28)7.1.2.5 入侵防范(G3) (29)7.1.2.6 恶意代码防范(G3) (29)7.1.2.7 网络设备防护(G3) (29)7.1.3主机安全 (29)7.1.3.1 身份鉴别(S3) (29)7.1.3.2 访问控制(S3) (29)IV7.1.3.3 安全审计(G3) (30)7.1.3.4 剩余信息保护(S3) (30)7.1.3.5 入侵防范(G3) (30)7.1.3.6 恶意代码防范(G3) (30)7.1.3.7 资源控制(A3) (30)7.1.4应用安全 (30)7.1.4.1 身份鉴别(S3) (31)7.1.4.2 访问控制(S3) (31)7.1.4.3 安全审计(G3) (31)7.1.4.4 剩余信息保护(S3) (31)7.1.4.5 通信完整性(S3) (31)7.1.4.6 通信保密性(S3) (31)7.1.4.7 抗抵赖(G3) (31)7.1.4.8 软件容错(A3) (32)7.1.4.9 资源控制(A3) (32)7.1.5数据安全及备份恢复 (32)7.1.5.1 数据完整性(S3) (32)7.1.5.2 数据保密性(S3) (32)7.1.5.3 备份和恢复(A3) (32)7.2 管理要求 (32)7.2.1安全管理制度 (32)7.2.1.1 管理制度(G3) (32)7.2.1.2 制定和发布(G3) (33)7.2.1.3 评审和修订(G3) (33)7.2.2安全管理机构 (33)7.2.2.1 岗位设置(G3) (33)7.2.2.2 人员配备(G3) (33)7.2.2.3 授权和审批(G3) (33)7.2.2.4 沟通和合作(G3) (34)7.2.2.5 审核和检查(G3) (34)7.2.3人员安全管理 (34)7.2.3.1 人员录用(G3) (34)7.2.3.2 人员离岗(G3) (34)7.2.3.3 人员考核(G3) (34)7.2.3.4 安全意识教育和培训(G3) (34)7.2.3.5 外部人员访问管理(G3) (35)7.2.4系统建设管理 (35)7.2.4.1 系统定级(G3) (35)7.2.4.2 安全方案设计(G3) (35)7.2.4.3 产品采购和使用(G3) (35)7.2.4.4 自行软件开发(G3) (35)7.2.4.5 外包软件开发(G3) (36)7.2.4.6 工程实施(G3) (36)7.2.4.7 测试验收(G3) (36)V7.2.4.8 系统交付(G3) (36)7.2.4.9 系统备案(G3) (36)7.2.4.10 等级测评(G3) (37)7.2.4.11 安全服务商选择(G3) (37)7.2.5系统运维管理 (37)7.2.5.1 环境管理(G3) (37)7.2.5.2 资产管理(G3) (37)7.2.5.3 介质管理(G3) (37)7.2.5.4 设备管理(G3) (38)7.2.5.5 监控管理和安全管理中心(G3) (38)7.2.5.6 网络安全管理(G3) (38)7.2.5.7 系统安全管理(G3) (39)7.2.5.8 恶意代码防范管理(G3) (39)7.2.5.9 密码管理(G3) (39)7.2.5.10 变更管理(G3) (39)7.2.5.11 备份与恢复管理(G3) (39)7.2.5.12 安全事件处置(G3) (40)7.2.5.13 应急预案管理(G3) (40)8第四级基本要求.......................................................错误!未定义书签。
信息系统安全等级保护四级信息系统安全等级保护四级是我国信息安全保护体系中的最高级别,也是对重要信息系统进行保护的最高要求。
本文将从四个方面介绍信息系统安全等级保护四级的相关内容。
一、信息系统安全等级保护四级的概述信息系统安全等级保护四级是指对涉密信息系统进行的安全保护,主要面向涉密信息系统领域,包括国家秘密和商业秘密等重要信息。
这一级别的保护要求最高,安全风险最大,需要采取更加严格的安全防护措施。
1. 安全性能要求:信息系统在保密性、完整性、可用性、不可抵赖性等方面都要达到极高水平,确保信息的安全性和可信度。
2. 安全技术要求:采用先进的安全技术手段,包括加密技术、访问控制技术、身份认证技术等,以保证信息在传输和存储过程中的安全。
3. 安全管理要求:建立完善的信息安全管理制度和流程,包括安全策略、安全审计、事件响应等,确保信息系统的安全运行。
4. 安全保密要求:严格遵守国家有关涉密信息保密的法律法规,保护重要信息的机密性,防止信息泄露和非法获取。
5. 安全审计要求:定期对信息系统进行安全审计和评估,发现和解决潜在的安全风险和问题,保障信息系统的持续稳定运行。
三、信息系统安全等级保护四级的应用范围信息系统安全等级保护四级主要适用于国家机关、军队单位、重要基础设施、金融机构、电信运营商等重要行业和领域。
这些领域中的信息系统承载着重要的国家秘密和商业秘密,一旦泄露或遭到攻击,将对国家安全和社会稳定造成严重影响。
四、信息系统安全等级保护四级的意义和挑战信息系统安全等级保护四级的实施,对于保护国家利益、维护社会稳定、促进经济发展具有重要意义。
同时,由于信息技术的快速发展和网络环境的复杂多变,信息系统安全等级保护四级也面临着诸多挑战。
例如,新型网络攻击技术的出现,给信息系统的安全带来了新的威胁;信息系统的复杂性和规模化使得安全管理和保护变得更加困难。
信息系统安全等级保护四级是我国信息安全保护体系中的最高级别,对于保护重要信息系统的安全至关重要。
信息系统安全等级保护基本要求ICS35.040 L80GB/T 22239—2008中华人民共和国国家标准GB/T 22239—2008 I目次前言 (III)引言 (IV)信息系统安全等级爱护差不多要求 (1)1 范畴 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 (1)4 信息系统安全等级爱护概述 (1)4.1 信息系统安全爱护等级 (1)4.2 不同等级的安全爱护能力 (1)4.3 差不多技术要求和差不多治理要求 (2)4.4 差不多技术要求的三种类型 (2)5 第一级差不多要求 (2)5.1 技术要求 (2)5.1.1 物理安全 (2)5.1.2 网络安全 (3)5.1.3 主机安全 (3)5.1.4 应用安全 (4)5.1.5 数据安全及备份复原 (4)5.2 治理要求 (4)5.2.1 安全治理制度 (4)5.2.2 安全治理机构 (4)5.2.3 人员安全治理 (5)5.2.4 系统建设治理 (5)5.2.5 系统运维治理 (6)6 第二级差不多要求 (7)6.1 技术要求 (7)6.1.1 物理安全 (7)6.1.2 网络安全 (8)6.1.3 主机安全 (9)6.1.4 应用安全 (10)6.1.5 数据安全及备份复原 (11)6.2 治理要求 (11)6.2.1 安全治理制度 (11)6.2.2 安全治理机构 (11)6.2.3 人员安全治理 (12)6.2.4 系统建设治理 (12)6.2.5 系统运维治理 (14)7 第三级差不多要求 (16)7.1 技术要求 (16)7.1.1 物理安全 (16)7.1.2 网络安全....................................................................... 17GB/T 22 239—2008 IIGB/T22239—20087.1.3主机安全 (19)7.1.4应用安全 (20)7.1.5数据安全及备份复原 (22)7.2治理要求 (22)7.2.1安全治理制度 (22)7.2.2安全治理机构 (23)7.2.3人员安全治理 (24)7.2.4系统建设治理 (25)7.2.5系统运维治理...................................................................278第四级差不多要求 (30)8.1技术要求 (30)8.1.1物理安全 (30)8.1.2网络安全 (32)8.1.3主机安全 (33)8.1.4应用安全 (35)8.1.5数据安全及备份复原 (37)8.2治理要求 (37)8.2.1安全治理制度 (37)8.2.2安全治理机构 (38)8.2.3人员安全治理 (39)8.2.4系统建设治理 (40)8.2.5系统运维治理...................................................................429第五级差不多要求.....................................................................46附录A................................................................................47关于信息系统整体安全爱护能力的要求...................................................47附录B................................................................................49差不多安全要求的选择和使用.............................................................49参考文献.............................................................................51GB/T 22239—2008 III 前言(略)GB/T 22239—2008 IV引言依据国家信息安全等级爱护治理规定制定本标准。
信息安全等级保护(四级)具体技术要求我国信息安全等级保护与涉密信息系统分级保护关系等级保护分级保护保护对象不同非涉密信息系统涉密信息系统管理体系不同公安机关国家保密工作部门标准体系不同国家标准(GB、GB/T)国家保密标准(BMB,强制执行)级别划分不同第一级:自主保护级第二级:指导保护级第三级:监督保护级秘密级第四级:强制保护级机密级第五级:专控保护级绝密级涉密信息系统分级保护与信息安全等级保护制度相衔接,三个等级的防护水平不低于国家等级保护的第三、四、五级要求一、网络安全1.1网络安全审计1、对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录;2、对于每一个事件,其审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信息;3、安全审计应可以根据记录数据进行分析,并生成审计报表;4、安全审计应可以对特定事件,提供指定方式的实时报警;5、审计记录应受到保护避免受到未预期的删除、修改或覆盖等;6、安全审计应能跟踪监测到可能的安全侵害事件,并终止违规进程;7、审计员应能够定义审计跟踪极限的阈值,当存储空间接近极限时,能采取必要的措施(如报警并导出),当存储空间被耗尽时,终止可审计事件的发生;8、安全审计应根据信息系统的统一安全策略,实现集中审计;9、网络设备时钟应与时钟服务器时钟保持同步。
1.2边界完整性检查1、应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为(即“非法外联”行为);2、应能够对非授权设备私自联到网络的行为进行检查,并准确定位、有效阻断;3、应能够对内部网络用户私自联到外部网络的行为进行检查后准确定出位置,并对其进行有效阻断;4、应能够根据信息流控制策略和信息流的敏感标记,阻止重要信息的流出。
(网络设备标记,指定路由信息标记)。
1.3网络入侵防范1、在网络边界处应监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生;2、当检测到入侵事件时,应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间等,并发出安全警告(如可采取屏幕实时提示、E-mail告警、声音告警等几种方式)及自动采取相应动作。
蓝色部分是操作系统安全等级划分,红色部分是四级操作系统关于网络部分的要求:)《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南;——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准,本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求,基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中,黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1 范围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
信息系统安全等级保护基本要求1. 引言信息系统在当今社会中扮演着重要的角色,人们依赖着信息系统来进行各种各样的工作、交流和娱乐活动。
随着信息系统的发展和普及,系统的安全性也变得越来越重要。
为了确保信息系统的安全性,信息系统安全等级保护基本要求被制定出来,以指导开发人员、系统管理员和用户对信息系统进行安全保护。
2. 安全等级分类根据信息系统的安全需求和对安全性的要求,信息系统可以分为不同的安全等级。
通常情况下,信息系统可以被分为以下几个等级:2.1. 一级安全等级一级安全等级是指最低等级的信息系统,一般用于非重要的信息处理和存储。
对于一级安全等级的信息系统,主要的安全要求包括防止未经授权的访问、防止信息泄露和防止数据意外损坏或丢失等。
2.2. 二级安全等级二级安全等级是指次低等级的信息系统,通常用于一般的商业和行政应用。
对于二级安全等级的信息系统,除了满足一级安全等级的要求外,还需要提供更强大的安全性保护,例如安全审计、用户身份认证和访问控制等。
2.3. 三级安全等级三级安全等级是指中等等级的信息系统,通常用于对机密信息进行处理和存储。
对于三级安全等级的信息系统,除了满足一级和二级安全等级的要求外,还需要提供加密通信和数据完整性验证等更高级别的安全保护。
2.4. 四级安全等级四级安全等级是指最高等级的信息系统,通常用于对绝密信息进行处理和存储。
对于四级安全等级的信息系统,除了满足前面三个等级的要求外,还需要提供更严格的访问控制、密钥管理和身份认证等安全保护。
3. 信息系统安全等级保护基本要求为了对不同等级的信息系统进行安全保护,以下是信息系统安全等级保护的基本要求:3.1. 风险评估在开发或部署信息系统时,应对系统进行全面的风险评估,确定系统可能面临的安全威胁和风险,并采取相应的措施来降低风险。
3.2. 访问控制对于所有等级的信息系统,都应实施严格的访问控制措施,确保只有经授权的用户可以访问系统和数据,并且用户访问的权限应该与其职责和需要相符合。
信息系统安全等级保护基本要求公司内部编号:(GOOD-TMMT-MMUT-UUPTY-UUYY-DTTI-蓝色部分是操作系统安全等级划分,红色部分是四级操作系统关于网络部分的要求:)《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南;——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T20269-2006、GB/T20270-2006 、GB/T20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准,本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求,基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中,黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1 范围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
信息系统安全等级保护基本要求信息系统安全等级保护是指根据国家有关法律法规和标准规范,对信息系统进行等级划分,并按照不同等级的保护要求,采取相应的技术、管理和物理措施,确保信息系统的安全性、可靠性和稳定性。
信息系统安全等级保护基本要求是确保信息系统安全的基础,对于各类单位和组织来说都具有重要意义。
首先,信息系统安全等级保护基本要求包括对信息系统进行等级划分。
根据国家标准和相关规定,信息系统按照其所涉及的信息重要性、系统功能、系统规模和系统对外联络等因素,划分为不同的安全等级,一般包括四个等级,即一级、二级、三级和四级。
不同等级的信息系统,其安全保护要求和措施也各不相同。
其次,信息系统安全等级保护基本要求还包括对信息系统安全保护的基本原则。
信息系统安全保护的基本原则包括全面性原则、合理性原则、有效性原则和持续性原则。
全面性原则是指信息系统安全保护措施必须覆盖信息系统的各个方面,包括技术、管理和物理层面;合理性原则是指信息系统安全保护措施必须符合实际情况和实际需求,不能盲目追求安全而忽视系统的正常运作;有效性原则是指信息系统安全保护措施必须能够有效地防范和抵御各类安全威胁和风险;持续性原则是指信息系统安全保护是一个持续的过程,必须不断地进行安全监测、评估和改进。
另外,信息系统安全等级保护基本要求还包括对信息系统安全保护的基本措施。
信息系统安全保护的基本措施包括技术措施、管理措施和物理措施。
技术措施是指利用各种安全技术手段,保护信息系统的安全,包括加密技术、防火墙技术、入侵检测技术等;管理措施是指建立健全的安全管理制度和安全管理机构,加强对信息系统安全的管理和监督;物理措施是指采取各种物理手段,保护信息系统的物理环境安全,包括机房防护、门禁系统、视频监控等。
最后,信息系统安全等级保护基本要求还包括对信息系统安全保护的持续改进。
信息系统安全保护是一个动态的过程,随着信息技术的发展和安全威胁的变化,安全保护措施也需要不断地改进和完善。
蓝色部分是操作系统安全等级划分,红色部分是四级操作系统关于网络部分的要求:)《信息系统安全等级保护基本要求》?中华人民共和国国家标准GB/T 22239-2008引?言依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南;——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T?20269-2006?、GB/T?20270-2006 、GB/T?20271-2006等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准,本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求,基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中,黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1范围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
信息安全技术信息系统安全等级保护基本要求 Information Security Technology-Basic Requirements for ClassifiedSecurity Protection of Information System(试用稿_修订版V1.1)目 录目 录 (I)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 标记说明 (1)5 基本概念 (2)5.1. 信息系统概述 (2)5.2. 信息系统的五个安全等级 (3)5.3. 不同安全等级的安全保护能力 (3)5.4. 技术要求和管理要求 (4)5.5. 技术要求的三种类型 (5)5.6. 基本要求的选择 (5)6 安全目标 (6)6.1. 第1级安全目标 (6)6.1.1. 技术目标 (6)6.1.2. 管理目标 (7)6.2. 第2级安全目标 (8)6.2.1. 技术目标 (8)6.2.2. 管理目标 (9)6.3. 第3级安全目标 (11)6.3.1. 技术目标 (11)6.3.2. 管理目标 (13)6.4. 第4级安全目标 (14)6.4.1. 技术目标 (14)6.4.2. 管理目标 (17)7 第1级基本要求 (18)7.1. 技术要求 (18)7.1.1. 物理安全 (18)7.1.2. 网络安全 (19)7.1.3. 主机系统安全 (19)7.1.4. 应用安全 (20)7.1.5. 数据安全 (20)7.2. 管理要求 (20)7.2.1. 安全管理机构 (21)7.2.2. 安全管理制度 (21)7.2.3. 人员安全管理 (21)7.2.4. 系统建设管理 (22)7.2.5. 系统运维管理 (23)8.1. 技术要求 (25)8.1.1. 物理安全 (25)8.1.2. 网络安全 (26)8.1.3. 主机系统安全 (27)8.1.4. 应用安全 (29)8.1.5. 数据安全 (30)8.2. 管理要求 (31)8.2.1. 安全管理机构 (31)8.2.2. 安全管理制度 (32)8.2.3. 人员安全管理 (32)8.2.4. 系统建设管理 (33)8.2.5. 系统运维管理 (35)9 第3级基本要求 (38)9.1. 技术要求 (38)9.1.1. 物理安全 (38)9.1.2. 网络安全 (40)9.1.3. 主机系统安全 (42)9.1.4. 应用安全 (44)9.1.5. 数据安全 (46)9.2. 管理要求 (47)9.2.1. 安全管理机构 (47)9.2.2. 安全管理制度 (49)9.2.3. 人员安全管理 (49)9.2.4. 系统建设管理 (50)9.2.5. 系统运维管理 (53)10 第4级基本要求 (58)10.1. 技术要求 (58)10.1.1. 物理安全 (59)10.1.2. 网络安全 (60)10.1.3. 主机系统安全 (62)10.1.4. 应用安全 (65)10.1.5. 数据安全 (68)10.2. 管理要求 (69)10.2.1. 安全管理机构 (69)10.2.2. 安全管理制度 (70)10.2.3. 人员安全管理 (71)10.2.4. 系统建设管理 (72)10.2.5. 系统运维管理 (75)11 第5级基本要求 (81)附录A 威胁描述 (82)A2.第2级对抗威胁 (82)A3.第3级对抗威胁 (84)A4.第4级对抗威胁 (86)附录B安全威胁与安全目标的关系 (89)B1.一级 (89)B2.二级 (90)B3.三级 (92)B4.四级 (94)附录C 安全目标与基本要求的关系 (98)C1.一级 (98)C2.二级 (100)C3.三级 (104)C4.四级 (110)附录D 基本要求与安全目标的关系 (117)D1.一级 (117)D2.二级 (119)D3.三级 (122)D4.四级 (125)参考文献 (129)信息安全技术信息系统安全等级保护基本要求1范围本文件规定了信息系统安全等级保护的基本要求,包括基本技术要求和基本管理要求,适用于不同安全等级的信息系统的安全保护。
信息安全等级保护(四级)具体技术要求我国信息安全等级保护与涉密信息系统分级保护关系等级保护分级保护保护对象不同非涉密信息系统涉密信息系统管理体系不同公安机关国家保密工作部门标准体系不同国家标准(GB、GB/T)国家保密标准(BMB,强制执行)级别划分不同第一级:自主保护级&第二级:指导保护级第三级:监督保护级秘密级第四级:强制保护级机密级第五级:专控保护级绝密级涉密信息系统分级保护与信息安全等级保护制度相衔接,三个等级的防护水平不低于国家等级保护的第三、四、五级要求.一、二、网络安全网络安全审计1、对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录;2、对于每一个事件,其审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信息;3、安全审计应可以根据记录数据进行分析,并生成审计报表;4、安全审计应可以对特定事件,提供指定方式的实时报警;5、(6、审计记录应受到保护避免受到未预期的删除、修改或覆盖等;7、安全审计应能跟踪监测到可能的安全侵害事件,并终止违规进程;8、9、审计员应能够定义审计跟踪极限的阈值,当存储空间接近极限时,能采取必要的措施(如报警并导出),当存储空间被耗尽时,终止可审计事件的发生;10、安全审计应根据信息系统的统一安全策略,实现集中审计;11、网络设备时钟应与时钟服务器时钟保持同步。
边界完整性检查1、应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为(即“非法外联”行为);2、-3、应能够对非授权设备私自联到网络的行为进行检查,并准确定位、有效阻断;4、应能够对内部网络用户私自联到外部网络的行为进行检查后准确定出位置,并对其进行有效阻断;5、应能够根据信息流控制策略和信息流的敏感标记,阻止重要信息的流出。
(网络设备标记,指定路由信息标记)。
网络入侵防范1、在网络边界处应监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生;2、当检测到入侵事件时,应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间等,并发出安全警告(如可采取屏幕实时提示、E-mail告警、声音告警等几种方式)及自动采取相应动作。
信息安全技术信息系统安全等级保护基本要求信息系统安全等级保护是指根据信息系统的重要性和敏感程度,对信息系统进行分级保护,以保障信息系统的安全运行和信息的保密性、完整性、可用性。
信息系统安全等级保护的基本要求是确保信息系统在不同等级保护下的安全性,有效防范各类安全威胁和风险,保障信息系统的正常运行和信息的安全。
首先,信息系统安全等级保护要求对信息系统进行等级划分。
根据信息系统的重要性和敏感程度,将信息系统划分为不同的安全等级,确定相应的安全保护措施和技术要求。
不同等级的信息系统应有相应的安全保护措施,确保系统的安全性符合相应的等级要求。
其次,信息系统安全等级保护要求建立健全的安全管理制度。
建立健全的信息安全管理制度,包括安全责任制、安全管理制度、安全培训制度等,明确各级管理人员和操作人员的安全责任和权限,加强对信息系统安全管理的监督和检查,确保安全管理制度的有效执行。
另外,信息系统安全等级保护要求加强对信息系统的安全防护。
采取有效的安全防护措施,包括网络安全防护、主机安全防护、数据安全防护等,确保信息系统在面对各种安全威胁时能够有效防范和抵御,保障信息系统的安全运行。
再者,信息系统安全等级保护要求建立完善的安全监控和应急响应机制。
建立安全事件监控和应急响应机制,对信息系统的安全事件进行实时监控和分析,及时发现和处置安全事件,减少安全事件对信息系统的影响,保障信息系统的安全性和稳定性。
最后,信息系统安全等级保护要求加强安全保密工作。
加强对信息系统的安全保密工作,包括信息的加密传输和存储、访问控制、身份认证等,确保信息系统中的重要信息不被泄露和篡改,保障信息的保密性和完整性。
综上所述,信息系统安全等级保护的基本要求是对信息系统进行等级划分,建立健全的安全管理制度,加强安全防护,建立完善的安全监控和应急响应机制,加强安全保密工作。
只有全面满足这些基本要求,才能有效保障信息系统的安全性和稳定性,确保信息的保密性、完整性和可用性。
使用介绍目录♦使用时机和主要作用♦保护要求分级描述的主要思想♦各级系统保护的主要内容♦一、使用时机和主要作用《管理办法》”等级划分和保护“第八条信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护,国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。
在信息系统建设过程中,运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》(GB17859-1999)、《信息系统安全等级保护基本要求》等技术标准,参照……等技术标准同步建设符合该等级要求的信息安全设施。
运营、使用单位应当参照《信息安全技术信息系统安全管理要求》(GB/T20269-2006)、《信息安全技术信息系统安全工程管理要求》(GB/T20282-2006)、《信息系统安全等级保护基本要求》等管理规范,制定并落实符合本系统安全保护等级要求的安全管理制度。
信息系统建设完成后,运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位,依据《信息系统安全等级保护测评要求》等技术标准,定期对信息系统安全等级状况开展等级测评。
第三级信息系统应当每年至少进行一次等级测评,第四级信息系统应当每半年至少进行一次等级测评,第五级信息系统应当依据特殊安全需求进行等级测评。
信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。
第三级信息系统应当每年至少进行一次自查,第四级信息系统应当每半年至少进行一次自查,第五级信息系统应当依据特殊安全需求进行自查。
经测评或者自查,信息系统安全状况未达到安全保护等级要求的,运营、使用单位应当制定方案进行整改。
技术标准和管理规范的作用信息系统定级信息系统安全建设或改建技术标准和管理规范安全状况达到等级保护要求的信息系统♦《信息安全等级保护管理办法》公通字[2007]43号♦《计算机信息系统安全保护等级划分准则》(GB17859-1999)♦《信息安全等级保护实施指南》♦《信息安全等级保护定级指南》♦《信息安全等级保护基本要求》♦《信息安全等级保护测评要求》♦《信息安全技术网络基础安全技术要求》(GB/T20270-2006)♦《信息安全技术信息系统通用安全技术要求》GB/T20271-2006)♦《信息安全技术操作系统安全技术要求》(GB/T20272-2006)♦《信息安全技术数据库管理系统安全技术要求》(GB/T20273-2006)♦《信息安全技术信息系统安全管理要求》(GB/T20269-2006)♦《信息安全技术信息系统安全工程管理要求》(GB/T20282-2006)♦《信息安全技术信息系统安全工程管理要求》(GB/T20282-2006)整体要求的管理规范和技术标准♦《信息安全等级保护管理办法》♦《计算机信息系统安全保护等级划分准则》(GB17859-1999)♦《信息系统安全等级保护实施指南》♦《信息系统安全保护等级定级指南》♦《信息系统安全等级保护基本要求》♦《信息系统安全等级保护测评要求》♦等等信息系统安全等级保护基本要求运营、使用单位(安全服务商)主管部门(等级测评机构)安全保护测评检查♦是系统安全保护、等级测评的一个基本“标尺”,同样级别的系统使用统一的“标尺”来衡量,保证权威性,是一个达标线;♦每个级别的信息系统按照基本要求进行保护后,信息系统具有相应等级的基本安全保护能力,达到一种基本的安全状态;♦是每个级别信息系统进行安全保护工作的一个基本出发点,更加贴切的保护可以通过需求分析对基本要求进行补充,参考其他有关等级保护或安全方面的标准来实现;某级信息系统基本保护精确保护基本要求保护基本要求测评补充的安全措施GB17859-1999通用技术要求安全管理要求高级别的基本要求等级保护其他标准安全方面相关标准等等基本保护特殊需求补充措施二、保护要求分级描述的主要思想《基本要求》基本思路不同级别信息系统重要程度不同应对不同威胁的能力(威胁\弱点)具有不同的安全保护能力不同的基本要求♦第一级安全保护能力–应能够防护系统免受来自个人的、拥有很少资源(如利用公开可获取的工具等)的威胁源发起的恶意攻击、一般的自然灾难(灾难发生的强度弱、持续时间很短等)以及其他相当危害程度的威胁(无意失误、技术故障等)所造成的关键资源损害,在系统遭到损害后,能够恢复部分功能。
《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南;——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准,本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求,基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中,黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1范围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。