下载文档原格式
等级保护二级系统与三级系统比较分析报告2012年4月24号目录1.二级系统与三级系统的界定 (3)2.二级系统与三级系统要求的防护能力差别 (3)3.二级系统与三级系统的测评力度差别 (4)4.二级系统与三级系统的强制测评周期区别 (4)5.二级系统与三级系统的测评模型差别 (5)6.二级系统与三级系统的测评指标的差别及问题解决方案（技术为例） (7)7.二级系统与三级系统定级出现偏差的风险分析 (11)1.二级系统与三级系统的界定《信息系统安全等级保护定级指南》中规定：第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
2.二级系统与三级系统要求的防护能力差别第二级系统应达到的安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段事件内恢复部分功能。
第三级系统应达到的安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
4.二级系统与三级系统的强制测评周期区别《信息安全等级保护管理办法》中第十四条规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。
第三级信息系统应当每年至少进行一次等级测评。
二级系统不强制要求测评，但是要求定期找测评机构测评或进行系统自测。
信息安全等级保护二级与三级的区别
信息安全等级保护二级与三级的区别
1、定级规定不同
便是测评定级规定不同，二级对行为主体对象的干扰和危害小于三级。
此外，二级保护测评当定级对象受损时，不会对国防安全造成危害。
而等保三级定级对象的破坏可能会对国防安全造成危害。
2.可用场景不同
三级信息和数据信息覆盖范围更广，跨度也更高：
二级信息系统适用于市级以上公司、事业单位的一般信息系统、小型局域网、不涉及秘密和敏感信息的协作办公系统。
就公司而言，一般网站评审填写公安局备案信息时，可参照社区论坛、新浪微博、博客填写二级；所有其他类型的网站都可以填写三级。
三级信息系统适用于地市以上公司、机关、事业单位的内部关键信息系统、跨地区或者全国各地连接的网络经营性的系统等。
3、级别测评抗压强度不同
级别测评抗压强度测评深度和深度的叙述：测评深度越大，类别越大，包括测评对象越大，测评具体资本投入水平越高。
测评越深越重，越必须在关键点上进行，测评具体资本投入水平也越高。
4、级别测评抗压强度
就高度而言，二级测评不需要进行实验认证，而三级是进行实验认证，而就检测类别而言，三级测评对象越来越多，越来越全面，而二级只进行多类型取样测评。
等保二级测评每2年进行一次，等保三级测评，是每年进行一次。
《信息系统安全等级保护基本要求》二级三级等级保护要求比较信息系统安全等级保护是指根据信息系统的安全风险等级，对信息系统进行分级管理，制定相应的安全保护要求和技术措施。
我将对二级和三级等级保护要求进行比较。
一、安全管理要求1.1二级等级保护要求：有完善的信息系统安全管理规章制度，明确的安全运维责任，健全的安全组织机构和安全管理人员。
实施定期的安全教育培训，对安全事件、漏洞、威胁进行分析和处理。
建立安全审计体系，对安全事件进行追踪和溯源。
1.2三级等级保护要求：在二级的基础上，要求建立风险管理体系，对信息系统的风险进行评估和控制。
建立信息安全委员会或安全管理领导小组，参与信息系统的安全决策和规划。
实施日志和审计记录的收集和分析，监测安全事件并及时响应。
二、物理安全要求2.1二级等级保护要求：要求建立信息系统的物理安全管理责任制，对关键设备和场所进行安全防护和监控。
设立访问控制措施，限制物理访问权限。
对物理环境进行监控和巡视，防止未经授权的人员进入设备和设施。
2.2三级等级保护要求：在二级的基础上，要求建立设备和设施的防护体系，确保信息系统的可靠性和连续性。
加强对场所、机房、环境等的安全控制，加强监控和预警能力，及时发现并应对风险事件。
三、网络安全要求3.1二级等级保护要求：要求建立网络安全管理机构和网络安全责任制，健全网络边界防护机制。
采取合理的网络隔离措施，确保内外网之间的安全通信。
建立访问控制机制，限制外部访问权限。
定期检查和维护网络设备和系统，防止网络攻击。
3.2三级等级保护要求：在二级的基础上，要求提高网络安全防护能力，完善网络入侵检测和防御系统。
建立网络安全事件管理和响应机制，加强对入侵和攻击的监测和处置。
加强对网络设备和系统的安全管理，规范网络配置和管理。
四、数据安全要求4.1二级等级保护要求：要求建立数据安全管理制度和数据分类管理机制，确保敏感数据的保护和隐私的保密。
采取加密和安全传输措施，保护数据的完整性和可用性。
管理大概80，外网大概40，服务器数外网网络边界进行访问控制，基本的终端数量：内网大概80，外网大概40，服务器数量：11网络现况：电信宽带30MB（互联网），电信专网4MB（一门诊）、10MB（城北门诊）,医保电信ADSL，电子远程药品监空系统移动光缆（带宽不详）现有应用系统：HIS、LIS、PACS 、EMR、物资资产财务、CA认证、医保数据备份：没有现有网络安全产品：防火墙1台（网神）在互联网出口处；服务器及内网终端安装Mcafee杀毒软件终端安全管理产品：没有分支机构远程连接：有2个分门诊，使用Radmin 、飞秋、远程桌面等局域网内部远程工具终端使用操作系统：WinXP、win8、win sever 2003、win sever 2008操作系统补丁更新：服务器与内网终端没有更新过终端杀毒软件：服务器、内网终端安装华军软件及功能：1)外网防火墙(对外网网络边界进行访问控制，基本的入侵防护的，可考虑原有网神防火墙利旧，需确认原有网神防火墙是否满足需求)2)内网防火墙(对内部网络边界进行访问控制，基本的入侵防护等)3)终端企业版杀毒软件(服务器及终端主机的防病毒统一管理、可进行终端个体的漏洞扫描及补丁更新)4)终端安全产品(对终端的信息安全进行防护，后期可根据需求增加和调整功能模块) 5)上网行为管理设备(对外网终端的上网行为进行监测，必要时进行管控)后期三级等保可考虑增加设备：1)入侵防御设备(IPS)：网络边界处2)防病毒网关(多功能安全网关)：网络边界处3)入侵检测设备(IDS)：内网核心交换机处4)堡垒主机(运维网关、安全管理平台)：核心交换机处5)网闸(信息交换与隔离系统)：内外网边界处6)数据库审计(综合审计类产品)：新：服务器与内网终端没有更新处5)网闸(信息交换系统运维管理。
信息系统等级保护测评指标二级与三级信息系统等级保护测评（以下简称测评）是指根据《信息安全等级保护管理规定》（以下简称《规定》）和相关标准，对信息系统进行等级划定和安全保护能力评估的工作。
根据《规定》，测评共分为一级、二级、三级三个等级。
本文旨在详细介绍信息系统等级保护测评指标二级和三级。
二级测评是基于二级信息系统安全保护要求进行的评估，主要包括以下几个方面的指标：1.信息系统安全管理制度。
评估组织是否建立完善的信息安全管理制度，包括内部安全管理制度和外部安全管理制度。
2.安全组织机构和责任制。
评估组织是否建立了安全组织机构，明确了各部门和个人的安全责任，以及相应的安全管理人员。
3.信息系统安全技术保护措施。
评估组织是否采取了相应的信息系统安全技术保护措施，包括网络安全、主机安全、应用系统安全、数据安全等。
4.信息系统安全事件处理能力。
评估组织是否建立了完善的信息系统安全事件处理机制，包括事件监测、事件响应、事件处置等能力。
5.信息系统安全管理运行。
评估组织信息系统安全管理运行是否规范，包括安全审计、安全评估、安全检查、安全培训等。
三级测评是基于三级信息系统安全保护要求进行的评估，主要包括以下几个方面的指标：1.信息系统安全管理制度和安全保密管理制度。
评估组织信息系统和保密工作是否建立完善的安全管理制度，并且符合《规定》的要求。
2.安全组织机构和责任制。
评估组织是否建立了健全的安全组织机构和责任制，明确了各部门和个人的安全责任。
3.信息系统安全技术保护措施和安全事件处理能力。
评估组织是否建立了全面的信息系统安全技术保护措施，并且具备强大的安全事件处理能力。
4.信息系统安全管理运行。
评估组织信息系统安全管理运行是否规范，包括安全审计、安全评估、安全检查、安全培训等。
5.信息系统等级保护工作。
评估组织是否按照等级保护要求，对信息系统进行了安全保护，包括等级划定、安全认证、安全监督等。
总体来说，二级和三级测评主要关注的是信息系统安全管理制度、安全组织机构和责任制、安全技术保护措施、安全事件处理能力和信息系统管理运行等方面的能力和措施是否健全和有效。
信息系统等级保护测评指标信息系统等级保护（Information System Security Evaluation Criteria，简称ISSEC）是由中国国家信息安全测评中心制定的一套信息系统安全评估标准，旨在对各级信息系统进行安全评估，指导信息系统的构建和管理。
ISSEC体系包括五个等级，分别为一级（C1）、二级（C2）、三级（B1）、四级（B2）和五级（A1），每个等级都有特定的评估指标。
以下是ISSEC的测评指标：1.安全策略和管理-核心安全价值观的定义和落地-安全管理制度、安全责任制和安全宣导制度的建立-安全标准和规范的制定和实施-可信计算和可信网络的建设和管理2.安全风险管理-安全风险评估和风险管理策略的制定-安全需求分析和安全架构设计-安全控制措施的选择、实施和测试-安全事件响应和事故处置能力的建立3.认证和身份鉴别-用户身份鉴别和访问控制的实施-身份认证、会话管理和权限管理的支持-安全认证技术的选择和应用-密码词典管理、密码策略和密码保护措施的实施4.数据和应用安全-数据分类和安全等级保护措施的实施-信息系统应用程序开发和测试的安全要求-数据备份、恢复和业务连续性计划的建立-存储和传输的数据加密和防护控制5.网络和设备安全-网络拓扑设计和访问边界的安全保护-网络设备配置和访问控制的实施-网络安全监测、入侵检测和防御的建立-网络通信的加密和虚拟专用网络的建设6.物理安全和环境保护-机房、数据中心和服务器的物理安全保障-硬件设备和存储介质的丢失和破坏防护-电源供应和配电系统的可靠性和安全性-火灾保护、环境监测和灾难恢复计划的建立7.信息安全教育和培训-员工、用户和管理人员的信息安全意识教育-安全培训的内容和方法的制定-组织和开展安全演练和应急预案的训练-信息安全文化建设和社会责任教育以上只是ISSEC测评指标的一部分，整个体系涵盖了信息系统在不同方面的安全保护要求。
通过对这些指标的评估和评定，可以帮助组织构建更加安全可靠的信息系统，提升信息系统的保密性、完整性和可用性，从而更好地保护信息资产的安全。
《信息系统安全等级保护基本要求》二级三级等级保护要求比较一、系统安全性要求：1.一级要求较低，主要考虑核心数据的保护、访问控制和系统审计日志等基本安全功能的实现。
2.二级要求相对较高，除了满足一级的要求，还要考虑网络存储和交换环境的安全性要求，包括网络通信的安全性、身份验证和访问控制等。
3.三级要求最高，要求实现最严密的系统安全防护，包括支持安全与保密审计功能、支持密级管理、网络安全协议和加密算法等。
二、可用性要求：1.一级要求保障系统的基本可用性，如支持系统间连通性、数据备份与恢复等。
2.二级要求系统应具备高可用性，能够在故障发生时快速恢复，包括主备容灾机制、故障切换能力等。
3.三级要求系统应具备非常高的可用性，能够快速应对外部攻击和故障，比如具备自我修复机制、负载均衡等。
三、可靠性要求：1.一级要求系统应具备一定的可靠性，能够防范一些低级威胁，如病毒攻击、网络钓鱼等。
2.二级要求系统应具备一定的抗攻击能力，如入侵检测与防御、拒绝服务攻击防范等。
3.三级要求系统应具备高度的安全可靠性，能够抵御高级威胁，如零日漏洞攻击、高级持续性威胁等。
四、可控性要求：1.一级要求系统应具备基本的访问控制和权限管理功能。
2.二级要求系统应具备较高的管理和控制能力，如用户身份验证、权限策略管理等。
3.三级要求系统应具备强大的访问控制和权限管理功能，支持细粒度的授权控制、审计与监控。
五、安全保密服务要求：1.一级要求系统应具备基本的安全保密机制，如数据加密、安全日志等。
2.二级要求系统应具备较高的密钥管理和加密解密能力。
3. 三级要求系统应支持更高级的安全保密服务，如多重身份认证、智能卡/USBkey认证等。
综上所述，不同等级的保护要求主要区别在于对系统安全性、可用性、可靠性、可控性和安全保密服务等方面的要求程度不同。
三级要求最高，一级要求最低，不同等级的保护要求逐渐提升，以适应不同安全等级的系统应用需求。
