笔趣阁

手机浏览器扫描二维码访问

第二节 信息安全等级保护（第1页）

““互联网+”医疗健康的应用与发展研究（..）”！

第二节

信息安全等级保护

在我国，信息安全等级保护广义上是为涉及该工作的标准、产品、系统、信息等，均依据等级保护思想开展的安全工作；狭义上是指信息系统安全等级保护，是指对国家安全、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置的综合性工作。开展信息安全等级保护工作不仅是保障重要信息系统安全的重大措施，也是一项事关国家安全、社会稳定、国家利益的重要任务。

一、工作内容

针对信息安全保护工作，公安部根据法律授权，会同国家保密局、国家密码管理局和原国务院信息办组织和标准化工作部门出台了一系列政策、标准文件，构成了信息安全等级保护政策体系，为指导各地区、各部门开展等级保护工作提供了政策和标准化保障。

信息安全等级保护要求不同安全等级的信息系统应具有相应的安全保护能力。信息系统安全等级测评是验证信息系统是否满足相应等级安全保护的评估过程。信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段。由公安部授权的第三方测评机构，可以为企事业单位提供专业的信息安全等级测评、咨询服务。

二、信息系统安全保护等级划分

根据相关规定，我国信息系统的安全保护等级分为以下五级。

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

与其相对应的计算机系统安全保护能力也分为五个等级：①第一级：用户自主保护级；②第二级：系统审计保护级；③第三级：安全标记保护级；④第四级：结构化保护级；⑤第五级：访问验证保护级。

三、信息系统安全等级保护测评的实施流程

1．基本实施流程

对一个信息系统实施等级保护的过程本质上是对信息系统进行安全保护的过程，应遵循对信息系统进行安全保护的方法论。但是作为国家等级保护制度实施的对信息系统的安全等级保护工作本身有其自己的特点，整个实施过程应体现出“信息系统分等级”、“按标准进行建设”、“实施监督和管理”等。

安全保护过程是一个不断循环和不断提高的过程，但是实施等级保护的一次完整过程是可以区分清楚的，比如从信息系统定级、系统运行维护，最终到信息系统终止，为了便于清晰划分等级保护的一次实施过程，有必要根据信息系统的一个生命周期确定等级保护实施的流程。

对一个信息系统实施等级保护的基本流程如图9-1所示。

（1）局部调整：

在安全运行与维护阶段，当系统局部调整时，如果不影响系统的安全等级，应从安全运行与维护阶段进入安全设计与实施阶段，重新调整和实施安全措施，确保满足等级保护的要求。

（2）级别变更：

在安全运行与维护阶段，当系统发生重大变更导致影响系统的安全等级时，应从安全运行与维护阶段进入信息系统定级阶段，重新开始一次等级保护的实施流程。

2．主要的实施阶段

根据信息系统实施等级保护的流程将其实施阶段划分为五个阶段，即信息系统定级阶段、总体安全规划阶段、安全设计与实施阶段、安全运行与维护阶段和信息系统终止阶段。

（1）信息系统定级阶段：

信息系统定级阶段通过对信息系统调查和分析，进行信息系统划分，确定相对独立的信息系统的个数，按照《信息系统安全等级保护定级指南》确定每个信息系统的安全等级。

图9-1信息系统安全等级保护实施的基本流程

（2）总体安全规划阶段：

总体安全规划阶段通过安全需求分析判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划等，以指导后续的信息系统安全建设工程实施。

（3）安全设计与实施阶段：

安全设计与实施阶段通过安全方案详细设计、安全产品的采购、安全控制的开发、安全控制集成、机构和人员的配置、安全管理制度的建设、人员的安全技能培训等环节，将规划阶段的安全方针和策略具体落实到信息系统中去，其最终的成果是提交满足用户安全需求的信息系统以及配套的安全管理体系。