信息安全技术信息系统安全等级保护基本要求

本资料为word版本，可以直接编辑和打印，感谢您的下载

信息系统安全等级保护基本要求

地点：__________________

时间：__________________

说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容 资料范本 蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）

《信息系统安全等级保护基本要求》

中华人民共和国国家标准GB/T 22239-2008

引 言

依据《中华人民共和国计算机信息系统安全 保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实 施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：

——GB/T AAAA-AAAA 信息安全技术 信息系统安全等级保护定级指南；

——GB/T CCCC-CCCC 信息安全技术 信息系统安全等级保护实施指南。

本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。

本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。

信息安全技术 信息系统安全等级保护测评要求

信息安全技术是保障信息系统安全的重要手段之一，而信息系统安全等级保护测评是衡量信息系统安全等级的重要评价方法之一。本文将从信息安全技术和信息系统安全等级保护测评的概念、方法和要求等方面进行阐述。

一、信息安全技术

信息安全技术是指对信息系统进行保护和防护的一系列技术手段。信息系统防护的目标是保证信息的机密性、完整性、可用性和认证性。常见的信息安全技术包括加密技术、身份认证技术、访问控制技术、安全传输技术等。

1. 加密技术

加密技术是一种通过改变信息的表达方式，实现信息内容不易被理解和使用的技术手段。常见的加密技术包括对称加密算法、非对称加密算法和哈希算法等。这些算法可以在数据传输、数据存储和身份认证等方面应用，以提高信息系统的安全性。

2. 身份认证技术

身份认证技术是一种通过验证用户的身份信息，确认其是否具有访问权限的技术手段。常见的身份认证技术包括口令认证、生物特征认证和智能卡认证等。这些技术可以有效防止非法用户对信息系统进行恶意访问和操作。

3. 访问控制技术

访问控制技术是一种对用户访问信息系统进行限制和控制的技术手段。常见的访问控制技术包括访问控制列表（ACL）、角色权限控制和流程控制等。这些技术可以确保只有具备相应权限的用户才能访问和使用信息系统。

4. 安全传输技术

安全传输技术是一种保证数据在传输过程中不被篡改、泄漏和窃听的技术手段。常见的安全传输技术包括安全套接层（SSL）、虚拟专用网络（VPN）和防火墙等。这些技术可以保护数据在网络传输过程中的安全性，防止数据被攻击者获取或篡改。

二、信息系统安全等级保护测评要求

信息系统安全等级保护测评是根据国家和行业的相关规范要求，对信息系统的安全性进行评估和认证的过程。保护测评的目的是为了评估系统的安全性等级，为其提供安全设计和改进的依据。

1. 测评方法

保护测评的方法可以根据具体情况选择，如定性评估、定量评估、风险评估等。测评方法需要满足相应的测评标准和技术规范，以保证测评的准确性和可靠性。

1 / 44 蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）

《信息系统安全等级保护基本要求》

中华人民共和国国家标准GB/T 22239-2008

引 言

依据《中华人民共和国计算机信息系统安全 保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实 施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：

——GB/T AAAA-AAAA 信息安全技术 信息系统安全等级保护定级指南；

——GB/T CCCC-CCCC 信息安全技术 信息系统安全等级保护实施指南。

本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006

等标准共同构成了信息系统安全等级保护的相关配套标准。其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。

本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。

在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。

信息系统安全等级保护基本要求

1 范围

本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。

GB/T XXXX – XXXX

I

目 次

前 言 ................................................................................ IX

引 言 ................................................................................. X

1 范围 ................................................................................. 1

2 规范性引用文件 ....................................................................... 1

3 术语和定义 ........................................................................... 1

4 信息系统安全等级保护概述 ............................................................. 1

4.1 信息系统安全保护等级 ............................................................... 1

4.2 不同等级的安全保护能力 ............................................................. 1

4.3 基本技术要求和基本管理要求 ......................................................... 2