昨天,探讨了《网络安全等级保护:开展网络等级保护工作的流程》,今天简单谈一下贯彻落实网络安全等级保护制度的原则,在探讨这部分内容时,我们参考的还是回归66号文。在66号文第二部分内容介绍了落实信息安全等级保护制度的原则,信息安全等级保护的核心是对信息安全分等级、按标准进行建设、管理和监督。信息安全等级保护制度遵循以下基本原则:
(一)明确责任,共同保护。通过等级保护,组织和动员国家、法人和其他组织、公民共同参与信息安全保护工作;各方主体按照规范和标准分别承担相应的、明确具体的信息安全保护责任。
(二)依照标准,自行保护。国家运用强制性的规范及标准,要求信息和信息系统按照相应的建设和管理要求,自行定级、自行保护。
(三)同步建设,动态调整。信息系统在新建、改建、扩建时应当同步建设信息安全设施,保障信息安全与信息化建设相适应。因信息和信息系统的应用类型、范围等条件的变化及其他原因,安全保护等级需要变更的,应当根据等级保护的管理规范和技术标准的要求,重新确定信息系统的安全保护等级。等级保护的管理规范和技术标准应按照等级保护工作开展的实际情况适时修订。
(四)指导监督,重点保护。国家指定信息安全监管职能部门通过备案、指导、检查、督促整改等方式,对重要信息和信息系统的信息安全保护工作进行指导监督。
这里的重点保护,其意义是国家重点保护涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统,主要包括:国家事务处理信息系统(党政机关办公系统);财政、金融、税务、海关、审计、工商、社会保障、能源、交通运输、国防工业等关系到国计民生的信息系统;教育、国家科研等单位的信息系统;公用通信、广播电视传输等基础信息网络中的信息系统;网络管理中心、重要网站中的重要信息系统和其他领域的重要信息系统。
随着历史沿革与网络安全等级保护制度的发展,“重点保护”这个大的原则并未改变,只是在范围方面不断地扩展与提升。现在的重点除了等保1.0时代的重要信息系统,更为重点的是当先提的最多的关键信息基础设施。理解等级保护中的重要信息系统、关键信息基础设施,是做好等级保护工作与关键信息基础设施安全保护工作的基础。
参考:
中华人民共和国网络安全法
中华人民共和国计算机信息系统安全保护条例(国务院令 第147号)
关于加强信息安全保障工作的意见 (中办发〔2003〕27号)
关于信息安全等级保护工作的实施意见 (公通字〔2004〕66号)
信息安全等级保护管理办法(公通字〔2007〕43号)
— 欢迎关注
原文始发于微信公众号(祺印说信安):网络安全等级保护:贯彻落实网络安全等级保护制度的原则
评论