网络安全等级保护：浅谈网络安全等级保护整改

2023年2月13日03:47:24评论30 views2字数 4291阅读14分18秒阅读模式

该PPT是我2022年为某学校录播等级保护测评相关课程时，结合等级测评标准及北京培训的课程，整理的这套PPT中的一个PPT。因本人对等级保护工作的理解水平限制，其中还存在诸多不足之处。虽然，我个人能力是有限的，但是我传递的却是我国网络安全领域最精彩的部分，由于个人能力限制未能传递更好罢了。

（一）《计算机信息系统安全保护等级划分准则》及配套标准是《基本要求》的基础。《计算机信息系统安全保护等级划分准则》（GB 17859，以下简称《划分准则》）是等级保护的基础性标准，《信息系统通用安全技术要求》等技术类标准、《信息系统安全管理要求》等管理类标准和《操作系统安全技术要求》等产品类标准是在《划分准则》基础上研究制定的。《基本要求》以技术类标准和管理类标准为基础，根据现有技术发展水平，从技术和管理两方面提出并确定了不同安全保护等级信息系统的最低保护要求，即基线要求。

（二）《基本要求》是信息系统安全建设整改的依据。信息系统安全建设整改应以落实《基本要求》为主要目标。信息系统运营使用单位应根据信息系统安全保护等级选择《基本要求》中相应级别的安全保护要求作为信息系统的基本安全需求。当信息系统有更高安全需求时，可参考《基本要求》中较高级别保护要求或《信息系统通用安全技术要求》、《信息系统安全管理要求》等其他标准。行业主管部门可以依据《基本要求》，结合行业特点和信息系统实际出台行业细则，行业细则的要求应不低于《基本要求》。

（三）《定级指南》为定级工作提供指导。《网络安全安全等级保护定级指南》为信息系统定级工作提供了技术支持。行业主管部门可以根据《定级指南》，结合行业特点和信息系统实际情况，出台本行业的定级细则，保证行业内信息系统在不同地区等级的一致性，以指导本行业信息系统定级工作的开展。

（四）《测评要求》等标准规范等级测评活动。等级测评是评价信息系统安全保护状况的重要方法。《网络安全等级保护测评要求》为等级测评机构开展等级测评活动提供了测评方法和综合评价方法。《网络安全等级保护测评过程指南》对等级测评活动提出规范性要求，以保证测评结论的准确性和可靠性。

（五）《实施指南》等标准指导等级保护建设。《网络安全安全等级保护实施指南》是信息系统安全等级保护建设实施的过程控制标准，用于指导信息系统运营使用单位了解和掌握信息安全等级保护工作的方法、主要工作内容以及不同的角色在不同阶段的作用。《网络安全等级保护安全设计技术要求》对信息系统安全建设的技术设计活动提供指导，是实现《基本要求》的方法之一。

网络安全等级保护：浅谈网络安全等级保护整改

根据保护侧重点的不同，技术类安全要求进一步细分为信息安全类要求（简记为S）、服务保证类要求（简记为A）和通用安全保护类要求（简记为G）。信息安全类要求是指保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改；服务保证类要求是指保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用。管理类安全要求与信息系统中各种角色参与的活动有关，主要通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。

网络安全等级保护：浅谈网络安全等级保护整改

（一）开展信息安全等级保护安全管理制度建设，提高信息系统安全管理水平。按照《管理办法》《网络安全等级保护基本要求》，参照《信息系统安全管理要求》《信息系统安全工程管理要求》等标准规范要求，建立健全并落实符合相应等级要求的安全管理制度：一是信息安全责任制，明确信息安全工作的主管领导、责任部门、人员及有关岗位的信息安全责任；二是人员安全管理制度，明确人员录用、离岗、考核、教育培训等管理内容；三是系统建设管理制度，明确系统定级备案、方案设计、产品采购使用、密码使用、软件开发、工程实施、验收交付、等级测评、安全服务等管理内容；四是系统运维管理制度，明确机房环境安全、存储介质安全、设备设施安全、安全监控、网络安全、系统安全、恶意代码防范、密码保护、备份与恢复、事件处置、应急预案等管理内容。建立并落实监督检查机制，定期对各项制度的落实情况进行自查和监督检查。

（二）开展信息安全等级保护安全技术措施建设，提高信息系统安全保护能力。按照《管理办法》《网络安全等级保护基本要求》，参照《网络安全等级保护实施指南》《信息系统通用安全技术要求》《信息系统安全工程管理要求》《网络安全等级保护安全设计技术要求》等标准规范要求，结合行业特点和安全需求，制定符合相应等级要求的信息系统安全技术建设整改方案，开展信息安全等级保护安全技术措施建设，落实相应的物理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施，建立并完善信息系统综合防护体系，提高信息系统的安全防护能力和水平。

（三）开展信息系统安全等级测评，使信息系统安全保护状况逐步达到等级保护要求。选择由省级（含）以上信息安全等级保护工作协调小组办公室审核并备案的测评机构，对第三级（含）以上信息系统开展等级测评工作。等级测评机构依据《网络安全等级保护测评要求》等标准对信息系统进行测评，对照相应等级安全保护要求进行差距分析，排查系统安全漏洞和隐患并分析其风险，提出改进建议，按照公安部制订的信息系统安全等级测评报告格式编制等级测评报告。经测评未达到安全保护要求的，要根据测评报告中的改进建议，制定整改方案并进一步进行整改。各部门要及时向受理备案的公安机关提交等级测评报告。对于重要部门的第二级信息系统，可以参照上述要求开展等级测评工作。

网络安全等级保护：浅谈网络安全等级保护整改

等级测评是测评机构依据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。等级测评工作是信息安全等级保护整体工作的一个重要组成部分，信息系统运营使用单位通过开展等级测评，一是可以掌握信息系统安全状况、排查系统安全隐患和薄弱环节、明确信息系统安全建设整改需求；二是衡量信息系统的安全保护管理措施和技术措施是否符合等级保护基本要求，是否具备了相应的安全保护能力。

网络安全等级保护：浅谈网络安全等级保护整改

开展网络安全等级保护安全建设整改工作中，应按照国家有关规定和标准规范要求，坚持管理和技术并重的原则，将技术措施和管理措施有机结合，建立网络综合防护体系，提高网络整体安全保护能力。要依据《网络安全等级保护基本要求》（以下简称《基本要求》），落实信息安全责任制，建立并落实各类安全管理制度，开展安全管理人员、安全建设管理和安全运维管理等工作，落实安全物理环境、安全区域边界、安全通信环境、安全计算环境（主机安全、应用安全和数据安全）、安全管理中心，息安全等级和系统服务安全等级，以及信息系统安全保护现状确定。信息系统安全建设整改工作具体实施可以根据实际情况，将安全管理和安全技术整改内容一并实施。

网络安全等级保护：浅谈网络安全等级保护整改