信息系统安全保护等级的确定

信息系统安全等级保护定级报告一、宁德职业技术学院教学教务管理信息系统描述我校教学教务管理系统主要涵盖本校教务管理工作所有环节，提供学校信息发布，政策宣传，学生学籍注册信息，教育教学文章等信息，服务对象为本校师生。

该信息系统的平台搭建、程序设计和运行维护主要由本校教务处、计算机网络中心等承担，并将其确定为定级对象进行监督。

本系统具有信息系统的基本要素，主要由提供网络连接、网络服务的硬件和数据控制的软件程序两大要素构成，提供网络连接和服务的硬件设备如路由器、交换机和服务器构成了该信息系统的基础，其主要为保障数据的传输和程序文件的运行；数据控制文件系统、程序源码如新闻发布程序文件等成为信息表现的载体，二者共同完成校内相关公文、学生信息、通知、公告信息、思政宣传和校务公开的管理。

二、教学教务管理信息系统安全保护等级确定（一）业务信息安全保护等级的确定1.业务信息描述我校教学教务管理系统主要涵盖本校教务管理工作所有环节，提供学校信息发布，政策宣传，学生学籍注册信息，教育教学文章等信息。

本信息系统旨在提高工作效率、明细办事职责、增强校务透明度、扩大学校社会影响力。

2.业务信息受到破坏时所侵害客体的确定本系统受到破坏后会严重影响宁德职业技术学院的正常教学秩序，严重影响本校学生的学习和老师的工作。

3.信息受到破坏后对侵害客体的侵害程度的确定本系统受到破坏后，对本校师生的学习和工作造成严重损害。

4.业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级为二级。

（二）系统服务安全保护等级的确定1.系统服务描述本系统主要承载教务处日常工作，管理本校教学的教务信息，及相关课程信息，服务对象是本校所有师生。

2.系统服务受到破坏时所侵害客体的确定本系统受到破坏后会严重影响宁德职业技术学院的正常教学秩序，严重影响本校学生的学习和老师的工作。

3.系统服务受到破坏后对侵害客体的侵害程度的确定本系统受到破坏后，对本校师生的学习和工作造成严重损害。

信息系统安全等级保护定级要素信息系统安全等级保护是指根据信息系统的重要性和敏感程度，将其划分为不同的安全等级，并采取相应的安全保护措施。

信息系统安全等级保护定级要素主要包括保护对象、保护标准、保护措施和保护责任。

一、保护对象保护对象是指需要进行安全保护的信息系统。

信息系统可以是计算机系统、通信系统、数据库系统等各种形式的信息处理系统。

在进行等级保护定级时，需要明确保护对象的边界，确定需要纳入保护范围的要素，如硬件设备、软件系统、网络设备、数据等。

二、保护标准保护标准是根据信息系统的特点和需求，确定信息系统安全等级的基本依据。

保护标准主要包括安全性、可用性、完整性和可控性等几个方面。

安全性是指信息系统在面临各种威胁和风险时能够保持不受损害的能力；可用性是指信息系统在需要时能够正常使用的能力；完整性是指信息系统的数据和功能能够保持完整和正确的能力；可控性是指信息系统能够按照规定的政策和流程进行管理和控制的能力。

三、保护措施保护措施是指采取的技术和管理手段来保障信息系统的安全。

保护措施主要包括物理安全、网络安全、系统安全和数据安全等方面。

物理安全是指通过门禁、监控等手段，保护信息系统的硬件设备免受物理攻击和破坏；网络安全是指通过防火墙、入侵检测系统等技术手段，保护信息系统的网络免受网络攻击和恶意访问；系统安全是指通过操作系统和应用软件的安全配置和漏洞修复，保护信息系统的软件系统免受恶意代码和攻击；数据安全是指通过加密、备份和权限控制等手段，保护信息系统中的数据不被非法获取和篡改。

四、保护责任保护责任是指各个相关方在信息系统安全等级保护中应承担的责任和义务。

保护责任主要包括政府责任、企业责任和个人责任。

政府在信息系统安全等级保护中应制定相应的法律法规和政策，对信息系统进行监管和管理；企业在信息系统安全等级保护中应建立健全的安全管理体系，为信息系统提供安全保障；个人在信息系统安全等级保护中应遵守相关规定，不泄露机密信息，不进行非法操作。

信息系统安全等级保护法规及依据在信息系统安全等级保护定级备案、信息系统安全等级保护测评等方面测评依据如下：1、《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）2、《信息安全等级保护管理办法》（公通字[2007]43号）3、GB/T 17859-1999《计算机信息系统安全保护等级划分准则》4、GB/T 20274《信息安全技术信息系统安全保障评估框架》5、GB/T 22081-2008《信息技术安全技术信息安全管理实用规则》6、GB/T 20271-2006《信息系统通用安全技术要求》7、GB/T 18336-2008《信息技术安全技术信息技术安全性评估准则》8、GB 17859-1999《计算机信息系统安全保护等级划分准则》9、GB/T 22239-2008《信息安全技术信息系统安全等级保护基本要求》10、GB/T 22240-2008《信息安全技术信息系统安全等级保护定级指南》11、《信息安全技术信息系统安全等级保护测评要求》12、《信息安全技术信息系统安全等级保护实施指南》13、《信息安全等级保护管理办法》信息系统安全等级保护定级备案流程1、定级原理信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。

计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则是指根据信息系统的重要性和保密性等级，对信息系统进行等级划分，并按照相应的安全保护要求进行安全保护的规范。

在信息化时代，计算机信息系统的安全保护至关重要，不仅关乎国家安全和社会稳定，也关系到个人隐私和财产安全。

因此，制定和实施计算机信息系统安全保护等级划分准则对于保障信息系统安全具有重要意义。

首先，计算机信息系统安全保护等级划分准则需要根据信息系统的重要性和保密性等级进行划分。

信息系统的重要性可根据其对国家安全、经济发展、社会稳定等方面的影响程度来评定，而保密性等级则是根据信息系统所涉及的信息的机密程度来划分。

根据不同的等级划分，可以对信息系统的安全保护要求进行相应的规范，以确保信息系统的安全性。

其次，计算机信息系统安全保护等级划分准则需要明确不同等级信息系统的安全保护要求。

对于不同等级的信息系统，其安全保护要求也会有所不同。

一般来说，高等级的信息系统需要具备更严格的安全保护要求，包括严格的访问控制、完善的安全审计、可靠的数据备份和恢复机制等。

而对于低等级的信息系统，安全保护要求则相对较低，但也不能忽视安全保护的必要性。

此外，计算机信息系统安全保护等级划分准则还需要明确不同等级信息系统的安全保护措施。

针对不同等级的信息系统，需要采取相应的安全保护措施来确保其安全性。

这些安全保护措施包括加密通信、安全接入控制、恶意代码防护、安全审计和监控等方面的措施。

通过采取这些安全保护措施，可以有效地提高信息系统的安全性，防范各类安全威胁和风险。

最后，计算机信息系统安全保护等级划分准则需要建立健全的安全管理制度和安全保护责任制。

安全管理制度是保障信息系统安全的重要基础，它包括安全策略、安全标准、安全流程和安全管理措施等方面的内容。

同时，建立健全的安全保护责任制也是确保信息系统安全的关键，只有明确各方的安全保护责任，才能有效地推动安全保护工作的落实。

信息安全技术信息系统安全等级保护定级指南在当今数字化的时代，信息系统已经成为了企业、组织乃至整个社会运转的重要支撑。

然而，伴随着信息系统的广泛应用，信息安全问题也日益凸显。

为了保障信息系统的安全稳定运行，保护公民、法人和其他组织的合法权益，我国制定了信息系统安全等级保护制度。

其中，定级是等级保护工作的首要环节和关键步骤，它决定了信息系统所需采取的安全保护措施和投入的资源。

本文将为您详细介绍信息系统安全等级保护定级的指南。

一、信息系统安全等级保护定级的重要性信息系统安全等级保护定级是对信息系统的重要性和潜在风险进行评估和划分等级的过程。

其重要性主要体现在以下几个方面：1、明确安全责任：通过定级，能够明确信息系统所有者、运营者和使用者在信息安全方面的责任和义务，确保各方对信息安全工作有清晰的认识和目标。

2、合理配置资源：根据信息系统的等级，合理分配安全防护资源，避免过度投入或投入不足，提高安全防护的效率和效果。

3、提高安全意识：定级过程能够促使相关人员增强对信息安全的重视，提升整体的安全意识和防范能力。

4、满足法律法规要求：符合国家关于信息安全等级保护的法律法规和政策要求，避免因未履行相关义务而面临法律风险。

二、信息系统安全等级保护定级的原则在进行信息系统安全等级保护定级时，需要遵循以下原则：1、自主定级原则：信息系统的运营使用单位应当按照相关标准规范，自主确定信息系统的安全保护等级。

2、客观公正原则：定级过程应当基于信息系统的实际情况，客观、公正地评估其重要性和潜在风险，不受主观因素的干扰。

3、科学合理原则：采用科学的方法和手段，综合考虑信息系统的业务特点、数据类型、用户规模等因素，合理确定等级。

4、动态调整原则：信息系统的安全保护等级应根据其变化情况进行动态调整，确保等级的准确性和有效性。

三、信息系统安全等级保护的等级划分信息系统安全等级保护分为五级，从低到高依次为：第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级）。

《信息系统安全等级保护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。

从三方面进行说明：一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。

二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）（一）业务信息安全保护等级的确定1、业务信息描述描述信息系统处理的主要业务信息等。

2、业务信息受到破坏时所侵害客体的确定说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。

3、信息受到破坏后对侵害客体的侵害程度的确定说明信息受到破坏后，会对侵害客体造成什么程度的侵—9 —害，即说明是一般损害、严重损害还是特别严重损害。

4、业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。

（二）系统服务安全保护等级的确定1、系统服务描述描述信息系统的服务范围、服务对象等。

2、系统服务受到破坏时所侵害客体的确定说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。

3、系统服务受到破坏后对侵害客体的侵害程度的确定说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。

4、系统服务安全等级的确定依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。

（三）安全保护等级的确定信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定，最终确定XXX系统安全保护等级为第几级。

—10 ——11 —。

信息系统安全等级保护定级指南1. 引言信息系统的安全等级保护定级对于保障信息系统的安全性至关重要。

本指南旨在给予系统管理员和安全团队一个关于信息系统安全等级保护定级的概述，以及相关的指导原则和建议。

2. 定义2.1 信息系统安全等级信息系统安全等级是对信息系统重要性和需求的一种标识。

根据信息系统对机密性、完整性、可用性、可信任性等方面的需求，将信息系统划分为不同的安全等级。

2.2 信息系统安全等级保护定级信息系统安全等级保护定级是根据信息系统的特性、功能、数据资产等因素，对信息系统进行安全等级评估，并给予相应的等级保护定级。

3. 安全等级保护定级的原则安全等级保护定级需要遵循以下原则：3.1 风险分析和评估在进行定级之前，需要对信息系统进行全面的风险分析和评估。

考虑到信息系统的特点和可能存在的威胁，以及可能造成的损失，评估系统中的安全风险。

3.2 机密性、完整性和可用性考虑信息系统的机密性、完整性和可用性需求。

不同的信息系统可能对这些方面的需求有所不同，因此在定级时需要充分考虑这些需求。

3.3 法律法规和标准要求根据相关的法律法规和标准要求，确定信息系统的安全等级。

不同的行业和地区对信息系统的安全等级有不同的要求，需要充分考虑这些因素。

3.4 保护资源的价值和重要性保护资源的价值和重要性是定级的重要因素。

信息系统中的数据、设备以及其他资源可能具有不同的价值和重要性，需要根据这些因素来确定安全等级。

3.5 平衡成本和效益定级需要在成本和效益之间进行平衡。

评估不同等级所需的投入和可能获得的效益，选择适当的等级保护方案。

4. 安全等级保护定级方法4.1 安全等级划分根据系统的特点和需求，将信息系统划分为不同的安全等级。

常见的安全等级划分包括：低、中、高三个等级，也可以根据实际情况划分更多的等级。

4.2 安全需求分析对不同安全等级的信息系统，进行安全需求分析。

根据机密性、完整性、可用性等方面的需求，确定不同等级信息系统的安全要求。

前言本标准由公安部和全国信息安全标准化技术委员会提出。

本标准由全国信息安全标准化技术委员会归口。

本标准起草单位：公安部信息安全等级保护评估中心。

本标准主要起草人：任卫红、曲洁、马力、朱建平、李明、李升、谢朝海、毕马宁、陈雪秀。

引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：——GB/T BBBBB-BBBB信息系统安全等级保护基本要求；——GB/T CCCCC-CCCC信息系统安全等级保护实施指南；——GB/T DDDDD-DDDD信息系统安全等级保护测评准则。

本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。

信息系统安全等级保护定级指南1 范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。

2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。

凡是不注明日期的引用文件，其最新版本适用于本标准。

GB/T 5271.8 信息技术词汇第8部分：安全GB17859-1999 计算机信息系统安全保护等级划分准则3 术语和定义GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。

3.1等级保护对象 target of classified security信息安全等级保护工作直接作用的具体的信息和信息系统。

1信息系统安全等级保护定级指南为宣贯《信息系统安全等级保护定级指南》（以下简称《定级指南》）国家标准，由标准起草人介绍标准制、修订过程，讲解标准的主要内容,解答标准执行中可能遇到的问题。

1.1定级指南标准制修订过程1.1.1制定背景本标准是公安部落实66号文件，满足开展等级保护工作所需要的重要规范性文件之一，是其他标准规范文件的基础。

本标准依据66号文件与“信息安全等级保护管理办法”的精神与原则，从信息系统对国家安全、经济建设、社会生活重要作用，信息系统承载业务的重要性、业务对信息系统的依赖程度与信息系统的安全需求等方面的因素，确定信息系统的安全保护等级，提出了分级的原则与方法。

本任务来自全国信息系统安全标准化技术委员会，由全国信息安全标准化技术委员会WG5工作组负责管理。

1.1.2国外相关资料分析本标准编制前，编制人员收集与信息系统确定等级相关的国外资料，其中主要是来自美国的标准或文献资料，例如：●FIPS 199 Standards for Security Categorization of Federal Information and InformationSystems（美国国家标准与技术研究所）●DoD INSTRUCTION 8510.1-M DoD Information Technology Security Certificationand Accreditation Process Application Manual（美国国防部）●DoD INSTRUCTION 8500.2 Information Assurance (IA) Implementation（美国国防部）●Information Assurance Technology Framework3.1（美国国家安全局）这些资料表明，美国政府及军方也在积极进行信息系统分等级保护的尝试，从一个侧面反映了分等级对重要信息系统实施重点保护的思想不仅适用于像我国这样的信息技术水平不高的发展中国家，也适用于信息化发达国家。

信息安全技术信息系统安全保护等级定级指南ICS35.020L 09中华人民共和国国家标准GB 17859-1999信息安全技术信息系统安全等级保护定级指南Information security technology-Classification guide for classified protection of information system2008-11-01实施__________________________________2008-06-19发布中国国家标准化管理委员会中华人民共和国国家质量监督检验检疫总局发布引言依据国家信息安全等级保护管理规定制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：——GB/T 22239—2008《信息系统安全等级保护基本要求》；——国家标准《信息系统安全等级保护实施指南》；——国家标准《信息系统安全等级保护测评准则》。

本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。

信息安全技术信息系统安全等级保护定级指南1 范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。

2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。

凡是不注明日期的引用文件，其最新版本适用于本标准。

GB/T 5271.8 信息技术词汇第8部分：安全（GB/T 5271.8—2001，idt ISO/IEC 2382-8：1998）GB17859 计算机信息系统安全保护等级划分准则3 术语和定义GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。