信息系统安全等级保护基本要求

1 / 44 蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）

《信息系统安全等级保护基本要求》

中华人民共和国国家标准GB/T 22239-2008

引 言

依据《中华人民共和国计算机信息系统安全 保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实 施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：

——GB/T AAAA-AAAA 信息安全技术 信息系统安全等级保护定级指南；

——GB/T CCCC-CCCC 信息安全技术 信息系统安全等级保护实施指南。

本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006

等标准共同构成了信息系统安全等级保护的相关配套标准。其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。

本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。

在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。

信息系统安全等级保护基本要求

1 范围

本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。

GB/T XXXX – XXXX

I

目 次

前 言 ................................................................................ IX

引 言 ................................................................................. X

1 范围 ................................................................................. 1

2 规范性引用文件 ....................................................................... 1

3 术语和定义 ........................................................................... 1

4 信息系统安全等级保护概述 ............................................................. 1

4.1 信息系统安全保护等级 ............................................................... 1

4.2 不同等级的安全保护能力 ............................................................. 1

4.3 基本技术要求和基本管理要求 ......................................................... 2

信息系统安全等级保护基本要求

一级要求主要涵盖了最基本的保护要求，主要针对信息系统对外交换的基本要求进行了规定。其中包括：

1.信息系统的身份认证和授权要求。要求对系统用户的身份进行认证和授权，并限制不同用户对系统资源的访问权限。

2.信息系统的访问控制要求。要求确保只有经过认证和授权的用户才能访问系统资源，并对访问进行审计记录。

3.信息系统的数据保护要求。要求对系统中的敏感数据进行加密传输和存储，防止数据泄露或篡改。

4.信息系统的安全审计要求。要求对系统的安全事件进行监控和记录，并及时发现和报告安全事件。

二级要求在一级要求的基础上进一步要求了信息系统的安全性能和安全管理的要求，包括：

1.信息系统的安全配置要求。要求对系统软件和硬件进行安全配置，确保系统能够按照安全策略工作。

2.信息系统的故障处理要求。要求对系统故障进行及时处理和修复，以确保系统的可用性和可靠性。

3.信息系统的备份和恢复要求。要求对系统的重要数据进行定期备份，并能够在发生灾难时进行快速恢复。

4.信息系统的安全管理要求。要求建立完善的安全管理体系，包括安全策略、安全培训和安全审计等。 三级要求在二级要求的基础上进一步要求了信息系统的安全保护措施和重要业务的安全管理要求，包括：

1.信息系统的网络安全要求。要求对网络进行安全隔离，防止入侵和攻击，并对网络流量进行实时监测和分析。

2.信息系统的业务安全要求。要求对信息系统的关键业务进行安全管理，并确保业务的连续性和可靠性。

3.信息系统的安全事件响应要求。要求建立完善的安全事件响应机制，对安全事件进行及时处置和调查。

4.信息系统的安全评估要求。要求对信息系统进行定期的安全评估和测试，及时发现系统的安全漏洞和风险。

总而言之，信息系统安全等级保护基本要求包括了一级、二级、三级三个等级。通过合理的安全保护措施和管理措施，确保信息系统的安全性能和安全管理达到相应的要求，可以有效地保护信息系统的完整性、可用性、可信度等安全属性。

《信息系统安全等级保护基本要求》

信息系统安全等级保护基本要求是国家对信息系统安全等级保护的最低要求。它是根据信息系统的功能、存储的信息及其价值以及威胁等级等因素来确定。下面我们来详细了解一下《信息系统安全等级保护基本要求》的内容。

信息系统安全等级保护基本要求主要包括以下几点：

1.信息系统的访问控制。要求确保信息系统的访问只限于合法用户，并且对不同权限的用户设置相应的权限控制。这样可以有效防止非授权用户对信息系统进行访问和操作，从而保护信息系统的安全。

2.用户身份认证与鉴别。要求在用户访问信息系统时，必须进行身份认证和鉴别，确保用户是合法的，并且只允许合法用户访问和使用信息系统。常见的身份认证方式包括密码、指纹、虹膜等。

3.信息传输保护。要求在信息的传输过程中，对信息进行加密，防止信息在传输过程中被非法获取或篡改。同时，对传输通道进行保护，确保信息传输的完整性和可靠性。

4.安全审计与日志记录。要求对信息系统的使用情况进行记录和审计，确保信息系统的安全使用。同时还要求对日志进行保护，防止日志被篡改或删除。

5.数据备份与恢复。要求对重要数据进行定期备份，并确保备份数据的完整性和可用性。同时还要求能够对备份数据进行快速恢复，以确保数据的安全性和连续性。 6.应急响应与漏洞管理。要求建立健全的安全事件应急响应机制，能够及时响应和处理安全事件。同时还要求定期对系统进行漏洞扫描和管理，及时修补系统的漏洞，防止黑客利用漏洞进行攻击。

7.物理安全控制。要求对信息系统的物理环境进行安全控制，防止非授权人员进入系统机房。同时还要求对物理设备进行保护，避免遭受破坏或盗窃。

8.安全管理与培训。要求建立健全的安全管理制度，明确安全责任和安全控制措施。同时还要求对系统使用人员进行安全培训，提高用户对信息安全的意识和能力。

《信息系统安全等级保护基本要求》的实施是为了保护国家的信息系统安全。只有确保信息系统的安全性，才能保证国家的信息安全。同时，根据实际情况和系统的安全等级，还可以根据《信息系统安全等级保护基本要求》制定更加具体和严格的安全保护措施，以进一步提高信息系统的安全等级。