国家信息安全等级保护三级认证

序要求类别要求项目子项描述备注1物理位置的选择

（G3）a)机房和办公场地应选择在具有防震、防风和防雨等

能力的建筑内；

b)机房场地应避免设在建筑物的高层或地下室，以

及用水设备的下层或隔壁。2物理访问控制

（G3）a) 机房出入口应安排专人值守，控制、鉴别和记录进

入的人员；

b) 需进入机房的来访人员应经过申请和审批流程，并

限制和监控其活动范围；

c) 应对机房划分区域进行管理，区域和区域之间设

置物理隔离装置，在重要区域前设置交付或安装等过

渡区域；

d) 重要区域应配置电子门禁系统，控制、鉴别和记

录进入的人员。3防盗窃和防破坏

（G3）a) 应将主要设备放置在机房内；

b)应将设备或主要部件进行固定，并设置明显的不易

除去的标记；

c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道

中；

d) 应对介质分类标识，存储在介质库或档案室中；

e) 应利用光、电等技术设置机房防盗报警系统；4防雷击（G3）a) 机房建筑应设置避雷装置；

b) 应设置防雷保安器，防止感应雷；

c) 机房应设置交流电源地线。5防火（G3）a)机房应设置火灾自动消防系统，能够自动检测火

情、自动报警，并自动灭火；

b)机房及相关的工作房间和辅助房应采用具有耐火

等级的建筑材料；

c)机房应采取区域隔离防火措施，将重要设备与其

他设备隔离开。信息系统安全等级保护（三级）基本要求

技术要求物理安全6防水和防潮（G3）a) 水管安装，不得穿过机房屋顶和活动地板下；

b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗

透；

c)应采取措施防止机房内水蒸气结露和地下积水的转

移与渗透；

d) 应安装对水敏感的检测仪表或元件，对机房进行7防静电（G3）a) 主要设备应采用必要的接地防静电措施；

b) 机房应采用防静电地板。8温湿度控制（G3）机房应设置温、湿度自动调节设施，使机房温、湿度

的变化在设备运行所允许的范围之内。9电力供应（A3）a)应在机房供电线路上配置稳压器和过电压防护设

备；

b)应提供短期的备用电力供应，至少满足主要设备在

龙源期刊网

三级等级保护下的信息系统安全加固

作者：兰荆涛 潘卫 何启兵

来源：《电子技术与软件工程》2019年第05期

摘要;;; 本文结合信息系统的现状，通过对照分析与信息系统安全三级等级保护要求的差距，设计出具有针对性的整体安全加固方案，并且付诸实施建设。在满足自身网络安全目标和等级保护标准要求的情况下，也为其它同类型单位开展安全等级保护备案工作提供参考依据。

【关键词】三级等级保护 网络信息安全 安全加固 等级保护备案 龙源期刊网

随着信息化的不断发展，信息化建设的不断深入，网络信息安全的问题也逐步引起大家的重视，进而安全建设也显得愈发重要。近年来，维护和保障网络信息安全已经成为各国领导人的共识，并且已经上升到了国家安全的战略高度。习近平总书记在主持召开中央网络安全和信息化领导小组第一次会议时强调“网络安全和信息化是事关国家安全和国家发展、事关广大人民群众工作生活的重大战略问题”和指出“没有网络安全就没有国家安全，没有信息化就没有现代化”。而信息安全等级保护是我国信息安全保障的一项基本制度和方法，开展信息安全等级保护工作是促进信息化发展，保障国家信息安全的重要举措。

核工业西南物理研究院是我国的基础科研机构，信息系统的正常运行非常重要。按照国家网络安全法及公安部、工业和信息化部等上级部门的规定，核工业西南物理研究院的门户网站和邮件两个信息系统需要达到三级信息系统安全等级保护的要求，并通过第三方等级保护测评机构的测评，取得属地公安部门出具的相关等级保护备案证明。但是，目前使用的信息系统其安全性与三级等级保护的要求相比还有相当差距，存在较大的安全隐患。因此，需对核工业西南物理研究院现有的信息系统进行整体安全加固。

1 安全加固背景

1.1 需求分析

核工业西南物理研究院的门户网站系统主要用于向社会公众发布公开的院务信息和工作动态，提供研究成果展示等，一旦业务信息遭到入侵破坏，将对研究院的社会形象造成特别严重影响，同时影响正常社会秩序，出现较严重的法律问题，造成严重社会不良影响;邮件系统主要用于研究院用户内部办公联络以及与国内外相关单位和组织沟通交流，一旦业务信息遭到入侵破坏，将造成内部信息泄露或中断对外联系。因此，对这两套信息系统开展等级保护建设是必要的，不仅有利于研究院自身安全体系建设，而且更能保障业务的正常开展。

1信息安全等级保护与分级认证 中国信息安全产品测评认证中心 陈晓桦 一、走近我国信息安全测评认证 什么是信息安全测评认证？首先我们需要了解测试、评估、认证这三个相互关联却实质各异的概念。 测试是一种技术操作，它按规定的程序对给定的产品、材料、设备等一种或多种特性进行判定；评估是对测试/检验产生的数据进行分析，形成结论的一种技术活动，由于目前计算机技术和自动化工具的发展，测试和评估往往是合为一体的。认证是指第三方依据程序对产品、过程或服务符合规定的要求给予书面保证（证书），用于评价产品质量和企业质量管理水平。认证以标准和测试、检验、评估的结果为依据。具体到信息安全测评认证，测评是指专门的机构根据一定的标准，通过对信息安全产品和信息系统进行测试和评估，确定产品或者系统能够达到安全级别可信程度。测评包括生产商自我测试与评估、用户测试、专家鉴定会、第三方测评等多种类型，是检验产品好坏和是否安全的根本手段。相对来说，来自第三方的测评是比较科学和客观的。信息安全的认证是代表国家对达到评价标准和标准要求的产品和系统进行的一种独立于用户和厂商之间的第三方的认可活动，表明其特点和功能达到了规定的要求。 信息安全测评认证具有重要的意义，它能促进信息技术产业的进步与成熟；提高信息技术产品的市场竞争力，帮助厂家发现问题，用更高更严的标准来要求制作，提升厂家的开发能力；有利于国家对信息安全产业和市场准入进行管理，合格产品的市场进入与流通，以及政府采购中产品安全性的保证；推动信息安全技术和标准化的进程。 在我国，经中央批准成立、国家质量监督检验检疫总局授权，中国信息安全产品测评认证中心代表国家开展信息安全测评认证工作，并依据国家有关产品质量认证和信息安全管理的法律法规，管理和运行国家信息安全测评认证体系。 目前，中国信息安全产品测评认证中心开展的认证业务主要包括以下四个方面：信息安全产品认证，信息系统安全认证、信息安全服务资质认证和注册信息 2安全专业人员资质认证。主要的技术依据和方法包括：信息技术安全性评估准则（也称为通用评估准则，简称CC，等同于国际标准 ISO/IEC15408）、信息技术安全通用评估方法（CEM）、信息系统安全等级保障评估标准（SCC）、信息安全服务资质评估标（SPC）、信息安全专业人员注册准则，以及国家认证认可管理委员会批准的与安全技术、规范等相关的技术要求文件及其它国内外相关标准等。 产品认证：信息安全产品认证主要分为型号认证和分级认证两种。其中分级认证根据相应的标准又分成7个级别。中国信息安全产品测评认证中心目前开展的是1到5级的认证。其中，对电信智能卡的认证已达到5级，其他安全产品目前最高达到3级。 系统安全认证：系统安全认证的技术标准分为5个级别，目前，我们从技术、工程、管理和综合等方面开展了两个级别的系统认证工作。在实施过程中，主要分为方案评审、系统测评、系统认证等三个方面。其中，方案评审是为确定特定信息系统是否达到标准的安全性设计要求；系统测评是对运行中的信息系统的安全功能的技术测试、对信息系统安全技术和管理体系的调查取证和对特定系统运行情况是否达到标准的安全要求的评估；最后进行的系统的认证是对运行系统的组织管理体系的审核。 信息安全服务资质认证：信息安全服务资质认证主要是对信息安全系统服务提供商的资格状况、技术实力和实施安全工程过程质量保证能力等进行具体衡量和评价。服务资质认证的技术标准最高为五级，目前认证中心已开展1级和2级两个级别的认证。 信息安全人员资质认证：信息安全人员资格认证（简称CISP），是中国信息安全产品认证中心创立的一个品牌，它是对国家信息安全测评认证机构、信息安全咨询服务机构、社会各组织、团体、企业有关信息系统（网络）建设、运行和应用管理的技术部门（含标准化部门）必备的对信息系统的安全提供技术保障的专业岗位人员——“注册信息安全专业人员”的一种认证，是我国信息安全界的一种权威性的人员认证，主要包括CISO（管理者）、CISE（工程师）、CISA（审核员）等。多年来，中国信息安全产品测评认证中心在国内信息安全人员资质认证、人员培训方面开展了大量工作，目前，已授权12家企事业单位开展培训工 3作，有600多人先后获得CISP资格的称号。 统计显示，截至2004年12月30日，中国信息安全产品测评认证中心对国内外进行的信息安全产品认证共计300多项；对信息系统的测评认证共计100多项；开展的信息安全专业人员认证共计600多人；对服务厂商的服务资质认证共计60多家。 二、信息安全等级保护 等级保护指信息和信息系统要实行等级保护，并根据业务重要程度和实际的安全需求进行保护。其中包括对相应信息安全产品和安全性进行分级测评认证，对信息安全服务资质、信息安全从业人员进行分级管理，对信息系统中发生的信息安全事件分等级响应处置。等级保护以“对信息安全分等级、按标准进行建设、管理和监督”为核心，通过分级保护、分类指导、分阶段实施、合理的投入等予以实施。 中办发[2003]27号文《国家信息化领导小组关于加强信息安全保障工作的意见》中强调要实行信息安全等级保护制度。最近，由公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室四部委联合签发了一个关于信息安全等级保护工作的实施意见，又再次强调实行信息安全等级保护制度的重要性。 等级保护的必要性主要体现在两个方面：其一，对信息安全分级保护是客观需求。信息系统的建立目标是满足社会发展、社会生活的需要，是社会构成、行政组织体系及其业务体系的反映，这种体系在客观上需要分层次和分级别。其二，等级化保护符合信息安全发展规律。按组织结构和业务分布，分层、分类、分级进行保护和管理，分阶段推进等级保护建设，是做好国家信息安全保障工作必须遵循的客观规律。 在国家有关的宣传中，用了7个“有利于”来重点阐述等级保护的重要性：实行信息安全产品与系统、服务的等级保护，有利于建立长效机制，保证信息安全工作稳固、持久地进行；有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于突出重点，加强对涉及国家安全、经济命脉、社会为拟定的基础信息网络和重要信息系统的安全保护和管理监督；有利于明确国家、企业、个人的安全责任，强化政府监督职能，共同落实各项安全 4建设和安全管理措施；有利于提高安全保护的科学性、针对性，推动网络安全服务机制的建立和完善；有利于采取系统、规范、经济有效、科学的管理和技术保障措施，提高整体安全技术和管理水平，保障信息系统安全正常运行；有利于信息安全保障技术和产业化的发展，真正做到“兴利除弊”，维护国家安全和社会公共利益，保护公民合法权益的信息网络安全总目标。 中办发[2003] 27号文提出了“积极防御，综合防范”的八字方针，这表明了目前我国信息安全保障工作的重点是在“防护”方面。等级保护主要是“保护”再加上“等级评定”。在等级保护里面，除了保护以外，还要加上等级的评定，从而使定级更加科学、保护更加有针对性。在等级保护的具体措施上包括以下几个步骤：首先，对信息安全等级制定相应的保护制度，从政策的层面、法律法规的层面制定措施；其次，对等级保护制定相应的标准，等级保护有自主保护、指导保护、监督保护、强制保护、专控保护等五种保护，是一种行政意义上的保护，但实际上，具体保护的强度和级别却需要靠客观的技术和标准来测评，因此，制定等级保护的技术标准是基础；另外，信息安全产品和信息系统的分级认证是科学定级的技术手段，技术认证和用户与官方的认可制度是信息系统等级保护持续性的保证。 说到技术标准，国内外专家有不同的看法，我认为，我们的技术标准应该是客观的。技术标准就像量身高的尺子一样，不会随着人的高矮而改变；也像小时、分、秒等计量单位一样，不会随着时间的变化而改变其计量的长度，多少年都不会发生变化。一个系统需要采用什么等级来保护，可以由领导来决定，但它的保护强度，是否达到相应的安全具体级别，则需要靠技术来测评。所以我们讲，制定等级保护的技术标准是基础。行政性的、或根据实际需要采取的保护等级如何与技术标准相对应，是需要我们研究的重点内容。当然，我们现有的一些技术标准，并不都是基础性标准，也需要与时俱进，作必要的修订。对基础性技术标准的制定和修定，应该是一件很严肃的工作。这是我们对技术标准的理解，也是对等级保护对应关系的一种理解。 三、信息安全分级测评认证 为什么要进行信息安全分级测评与认证？首先，这是为等级保护提供技术手段，落实国家等级保护政策的有效体现；其次是为保护用户的利益。分级测评认 5证为政府提供信息技术安全产品、服务的采购依据，为各行业用户提供安全信心的保证；第三是为保护厂家的利益。通过信息安全分级测评认证，提升厂家的信息安全科研生产水平，使产品的研制和生产过程逐步走向规范化和标准化。 国际上信息安全分级测评认证标准的发展大致经历了以下过程：1985年美国国防部颁布了可信计算机的安全评估准则（TCSEC）；在此基础上，1990年欧洲和加拿大分别制定了信息技术安全性评价准则（ITSEC）和可信计算机产品评价准则（CTCPEC）；1991年美国制定联邦政府评价准则（FC）；1995年，在前期的国际信息安全分级测评认证标准的基础上，由六国七方开始制定国际通用准则（CC），1999年CC成为国际标准（ISO/IEC 15408）。 信息安全等级保护需要对产品、系统、服务和人员等方面进行科学的级别评定。对信息安全分等级进行保护是测评认证工作的共同宗旨和方式。综观国际，各国都非常重视信息安全分级测评认证工作，美国1985年开始依据TCSEC评估，已进行20年的信息安全分级测评认证，其国家信息安全分级认证由国家安全局与国家标准研究所联合实施；在测评认证方法上，早期为TCSEC，现在为CC和CEM；目前与国际上十几个国家互认的级别达到四级；英国1991年开始依据ITSEC评估与认证，从1999年ISO/IEC 15408正式发布起，同时开始依据CC评估与认证。经过10多年的发展，信息安全分级测评认证工作已趋成熟。德国、法国、澳大利亚、加拿大、荷兰等国家也先后建立起国家信息安全测评认证体系，而且一开始就采用了分级认证；芬兰、瑞典、西班牙、挪威、意大利、比利时等欧洲国家和日本、韩国等亚洲国家纷纷仿效，积极开展信息安全测评认证工作。 从认证模式看，目前国际上通行的认证模式有8种：第一种是型式检验，以来样为主；第二种是型式试验+认证后监督——市场抽样检验；第三种是型式检验+认证后监督——工厂抽样检验；第四种是型式检验+认证后监督——市场和工厂抽样检验；第五是型式检验+工厂质量体系评定+认证后监督——质量体系复查+工厂和市场抽样检验；第六种是评定供方的质量体系；第七种是批量试验；第八种是全数试验。我国通常开展的是第五种形式，型式的检验+工厂检验评定+政府监督+质量体系复查+工厂质量抽样检验等。认证的流程主要有准备、测评、认证决定、证书的监督和维持四个阶段。 目前，我们把信息安全产品的测评认证分为7个级，并分别对应CC评估标准的 67个级别（EAL1——EAL7）。评估保证级1（EAL1）——功能测试；EAL2——结构测试；EAL3——系统地测试和检查；EAL4——系统地设计；EAL5——半形式化设计和测试；EAL6——半形式化验证的设计和测试；EAL7——形式化验证的设计和测试。在这7个级别中，获证的级别越高，其安全性和可信性就越高，产品就可对抗来自越高程度的威胁，同时也适用更高级别的风险环境。目前我们中心开展了EAL1——EAL5级别的认证工作，第五级目前只针对SIM卡、IC卡这样的产品，而1——4级可以对一般的网络安全产品进行认证。 由于在对信息安全产品高级别第7级的认证中，每一行代码都要求有形式化论证，要求撇开它们的属性、使用功能和用户的背景，从数学上来证明其安全性，这样做非常困难，代价也很高。因此，目前在全世界范围内，最高已做到EAL5级——半形式化测评认证。EAL5级以上的就做得非常的少了。 分级测评认证工作是一项技术强度高、程序严谨的工作。以下以网络安全产品4级认证为例作一介绍。 一个网络产品要进行EAL4级认证，需要经过准备、正式测评和认证三个阶段。 在准备阶段，首先需要提交包括安全目标、功能规范、TOE安全策略模型、高层设计等多达13、14种的材料；然后对这些提交的材料、产品文档等以文档形式化审查和技术审查、现场考察等形式进行预评估，根据预评估结果了解相关证据、生产流程、安全功能、安全保证措施以及相关文档规范是否能达到相应级别的安全要求。并提供必要的技术指导和交流、调整或改进的建议，以保证TOE达到受理要求，开展后续评估工作。 完成预评估后召开项目启动会议，这同时标志着正式测评工作的开始。项目启动会议确定双方参与人员及联系方式。然后开始进行ST评估、TOE评估及现场核查，同时对产品的生命周期支持、配置管理、交付和运行文档、指导性文档、脆弱性分析文档等进行一系列的测试和评估。在由测评中心按照国际标准的规范文本格式撰写的安全目标文档中，不仅要对申请的文档进行评估，提供必要技术指导和交流、根据具体的情况作具体的建议。还要对产品的安全技术要求、产品的具体实现、针对现实的威胁的具体设计、安全功能对威胁的解决等都一一注明，阐释清楚。测评人员还通过对产品状况、配置管理和交付开发环境的现场核查，

Information Security • 信息安全

Electronic Technology & Software Engineering 电子技术与软件工程

• 195【关键词】三级等级保护 网络信息安全 安全

加固 等级保护备案

随着信息化的不断发展，信息化建设的不

断深入，网络信息安全的问题也逐步引起大家

的重视，进而安全建设也显得愈发重要。近年

来，维护和保障网络信息安全已经成为各国领

导人的共识，并且已经上升到了国家安全的战

略高度。习近平总书记在主持召开中央网络安

全和信息化领导小组第一次会议时强调“网络

安全和信息化是事关国家安全和国家发展、事

关广大人民群众工作生活的重大战略问题”和

指出“没有网络安全就没有国家安全，没有信

息化就没有现代化”。而信息安全等级保护是

我国信息安全保障的一项基本制度和方法，开

展信息安全等级保护工作是促进信息化发展，

保障国家信息安全的重要举措。

核工业西南物理研究院是我国的基础科

研机构，信息系统的正常运行非常重要。按照

国家网络安全法及公安部、工业和信息化部等

上级部门的规定，核工业西南物理研究院的门

户网站和邮件两个信息系统需要达到三级信息

系统安全等级保护的要求，并通过第三方等级

保护测评机构的测评，取得属地公安部门出具

的相关等级保护备案证明。但是，目前使用的

信息系统其安全性与三级等级保护的要求相比

还有相当差距，存在较大的安全隐患。因此，

需对核工业西南物理研究院现有的信息系统进

行整体安全加固。

1 安全加固背景

1.1 需求分析

核工业西南物理研究院的门户网站系统三级等级保护下的信息系统安全加固

文/兰荆涛1 潘卫1 何启兵2

本文结合信息系统的现状，通过对照分析与信息系统安全三级等级保护要求的差距，设计出具有针对性的整体安全加固方案，并且付诸实施建设。在满足自身网络安全目标和等级保护标准要求的情况下，也为其它同类型单位开展安全等级保护备案工作提供参考依据。摘 要主要用于向社会公众发布公开的院务信息和工