计算机信息系统安全 标准

GB17859-1999计算机信息系统安全系统保护等级划分准则本标准规定了计算机信息系统安全保护能力的五个等级，分别为用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。

这些等级是根据安全保护能力的不同而划分的。

随着安全保护等级的提高，计算机信息系统安全保护能力也会逐渐增强。

本标准引用了GB/T 5271数据处理词汇等标准。

在使用本标准时，应尽可能使用这些标准的最新版本。

除本章定义外，其他未列出的定义可参考GB/T 5271.计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

可信计算基是计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

客体是信息的载体，主体是引起信息在客体之间流动的人、进程或设备等。

敏感标记是表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

安全策略是有关管理、保护和发布敏感信息的法律、规定和实施细则。

信道是系统内的信息传输路径，而隐蔽信道则允许进程以危害系统安全策略的方式传输信息的通信信道。

访问监控器是监控主体和客体之间授权访问关系的部件。

第一级是用户自主保护级，属于计算机信息系统安全保护等级的最低级别。

在这个级别下，用户需要自主采取措施来保护系统的安全。

本文介绍了计算机信息系统可信计算基的两个保护级别，即自主保护级和系统审计保护级。

自主保护级通过访问控制、身份鉴别和数据完整性等机制，使用户具备自主安全保护的能力。

系统审计保护级实施了更细粒度的自主访问控制，通过登录规程、审计安全性相关事件和隔离资源等方式，使用户对自己的行为负责。

具体来说，自主访问控制机制可以根据用户指定方式或默认方式，阻止非授权用户访问客体。

身份鉴别机制要求用户标识自己的身份，并使用保护机制（例如：口令）来鉴别用户的身份。

GB17859-1999计算机信息系统安全保护等级划分准则1 范围本标准规定了计算机系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。

本标准适用计算机信息系统安全保护技术能力等级的划分。

计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。

2 引用标准下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。

本标准出版时，所示版本均为有效。

所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB/T 5271 数据处理词汇3 定义除本章定义外，其他未列出的定义见GB/T 5271。

3.1 计算机信息系统computer information system计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

3.2 计算机信息系统可信计算基trusted computing base of computer information system计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

它建立了一个基本的保护环境并提供一个可信计算系统所要求的附加用户服务。

3.3 客体object信息的载体。

3.4 主体subject引起信息在客体之间流动的人、进程或设备等。

3.5 敏感标记sensitivity label表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

3.6 安全策略security policy有关管理、保护和发布敏感信息的法律、规定和实施细则。

3.7 信道channel系统内的信息传输路径。

3.8 隐蔽信道covert channel允许进程以危害系统安全策略的方式传输信息的通信信道。

3.9 访问监控器reference monitor监控主体和客体之间授权访问关系的部件。

计算机三级等保标准是指符合国家信息安全等级保护制度三级基本要求的计算机系统安全标准。

以下是关于计算机三级等保标准的800字介绍：
首先，计算机三级等保标准是依据国家信息安全等级保护相关制度制定的，旨在保障计算机及其网络的安全、稳定、可控，防范安全风险。

其次，三级等保标准要求应用系统能够抵御网络攻击、病毒入侵、数据泄露等安全威胁，具备灾难恢复能力，确保数据和系统安全。

具体来说，应用系统需要具备身份鉴别、访问控制、安全审计、数据保护、安全通信、安全检测、抗攻击等安全机制和安全技术措施。

同时，还需要建立完善的安全管理制度、人员管理制度、应急预案等安全管理体系，确保应用系统的安全稳定运行。

第三，三级等保标准要求网络结构符合相关安全要求，能够实现网络隔离控制、入侵检测和阻断、网络加密等安全技术措施。

同时，还需要建立完善的安全管理制度和安全管理体系，确保网络结构的安全稳定。

第四，三级等保标准要求设备和计算环境的安全符合相关要求，能够实现设备和计算环境的身份鉴别、访问控制、安全审计等安全技术措施和管理制度。

同时，还需要建立完善的安全管理制度和安全运维体系，确保设备和计算环境的安全稳定。

最后，三级等保标准还要求建立完善的安全管理流程和制度，包括安全事件处置、安全检查、安全培训等制度，确保安全管理体系的有效运行。

同时，还需要定期进行安全风险评估和漏洞扫描，及时发现和处置安全风险和漏洞。

总之，计算机三级等保标准是一个全面、严格的安全标准，需要综合考虑应用系统、网络结构、设备和计算环境等多个方面的安全因素，采取多种安全技术和措施，建立完善的安全管理体系和制度，以确保计算机及其网络的安全、稳定、可控。

GB17859-1999计算机信息系统安全保护等级划分准则1 范围本标准规定了计算机系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。

本标准适用计算机信息系统安全保护技术能力等级的划分。

计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。

2 引用标准下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。

本标准出版时，所示版本均为有效。

所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB/T 5271 数据处理词汇3 定义除本章定义外，其他未列出的定义见GB/T 5271。

3.1 计算机信息系统computer information system计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

3.2 计算机信息系统可信计算基trusted computing base of computer information system计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

它建立了一个基本的保护环境并提供一个可信计算系统所要求的附加用户服务。

3.3 客体object信息的载体。

3.4 主体subject引起信息在客体之间流动的人、进程或设备等。

3.5 敏感标记sensitivity label表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

3.6 安全策略security policy有关管理、保护和发布敏感信息的法律、规定和实施细则。

3.7 信道channel系统内的信息传输路径。

3.8 隐蔽信道covert channel允许进程以危害系统安全策略的方式传输信息的通信信道。

3.9 访问监控器reference monitor监控主体和客体之间授权访问关系的部件。

计算机信息系统安全等级保护通用技术要求
计算机信息系统安全等级保护通用技术要求（以下简称《通用技术要求》）是中国国家信息安全等级保护测评中用于计算机信息系统安全等级保护测评的技术要求标准。

该标准由中华人民共和国公安部发布，是针对计算机信息系统的安全性进行评估和测试的技术规范。

《通用技术要求》主要从安全需求分析和评估、系统安全设计、系统安全实施与配置、系统安全管理和维护等方面提出了具体要求。

下面是《通用技术要求》的一些主要内容：
1. 安全需求分析和评估：要求对计算机信息系统的安全需求进行全面评估，并根据评估结果确定相应的安全等级。

2. 系统安全设计：要求根据安全等级要求进行系统的安全设计，包括系统边界的划定、安全策略的制定、访问控制的实施等。

3. 系统安全实施与配置：要求在系统实施和配置过程中，采取相应的安全措施，确保系统组件和设备的安全性，同时对系统进行安全审计。

4. 系统安全管理和维护：要求建立完善的系统安全管理和维护机制，包括系统安全管理组织机构的建立、用户管理、安全事件管理等。

《通用技术要求》还提出了具体的技术要求和测试方法，以保证计算机信息系统在不同安全等级下的安全性。

同时，根据具
体的系统类型和安全等级要求，还可以参考其他相关技术规范进行细化和补充。

总之，计算机信息系统安全等级保护通用技术要求是对计算机信息系统安全进行评估和测试的技术标准，通过满足这些要求，可以确保计算机信息系统在不同安全等级下的安全性。

计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则一、引言计算机信息系统安全是指对计算机及其网络运行环境中的信息系统及其资源进行保护，以确保其机密性、完整性、可用性和可控性。

为了规范计算机信息系统的安全保护工作，各国根据自身的国情和安全需求制定了相应的等级划分准则。

本文将介绍计算机信息系统安全保护等级划分准则的相关内容。

二、计算机信息系统安全等级划分的背景随着计算机信息系统的广泛应用和互联网的快速发展，计算机信息系统安全问题日益突出。

为了有效应对各类网络攻击和安全威胁，各国纷纷制定了计算机信息系统安全等级划分准则，以便对不同级别的信息系统进行分类管理和保护。

三、计算机信息系统安全等级划分的原则1. 保护需求：根据信息系统所处环境、承载的业务和数据敏感性等方面的需求确定相应的安全等级。

2. 安全目标：确定信息系统在保密性、完整性、可用性和可控性等方面的安全目标。

3. 安全控制措施：根据安全等级确定相应的安全控制措施，包括技术措施、管理措施和物理措施等。

四、计算机信息系统安全等级划分的准则根据各国的实际情况和需求，计算机信息系统安全等级划分准则会有所不同。

下面是一个常见的划分准则示例：1. 一般等级：适用于对安全要求较低的信息系统，主要包括普通办公自动化系统、简单数据处理系统等。

该等级的安全保护重点在于基本的安全措施，如防火墙、入侵检测系统等。

2. 重要等级：适用于对安全要求较高的信息系统，主要包括电子商务系统、金融交易系统等。

该等级的安全保护重点在于数据的安全性和完整性，需要采用更加高级的安全控制措施，如访问控制、加密技术等。

3. 核心等级：适用于对安全要求非常高的信息系统，主要包括核心国家机密信息系统、军事指挥信息系统等。

该等级的安全保护重点在于全面防御各类高级威胁和攻击手段，需要采用最高级别的安全控制措施，如多重身份验证、安全审计等。

五、计算机信息系统安全等级划分的意义1. 指导安全保护工作：安全等级划分为计算机信息系统的安全保护工作提供了指导和依据，使安全措施更加有针对性和有效性。

《计算机信息系统安全保护等级划分准则》计算机信息系统安全保护等级划分准则（以下简称《准则》）是为了统一计算机信息系统安全保护的等级划分和评定要求，确保计算机信息系统的安全性，保护国家和公民的信息安全，维护社会稳定和经济发展而制定的标准。

《准则》主要包括等级划分原则、等级划分框架、等级划分方法和等级评定要求等四个方面。

下面将对这四个方面进行详细阐述。

首先，等级划分原则是《准则》的基础。

等级划分原则主要有保密性原则、完整性原则、可用性原则和不可抗力原则。

保密性原则要求计算机信息系统具有保护机密信息的能力，防止机密信息泄露。

完整性原则要求计算机信息系统能够防止信息被非法篡改和破坏。

可用性原则要求计算机信息系统正常运行，服务可靠可用。

不可抗力原则要求计算机信息系统能够承受自然灾害和人为破坏等不可预见的事件。

其次，等级划分框架是指根据信息系统的风险级别和重要程度将计算机信息系统划分为不同的等级。

等级划分框架分为四个等级，分别为基础等级、一般等级、重要等级和核心等级。

基础等级适用于一般信息流转的计算机信息系统；一般等级适用于涉密信息流转的计算机信息系统；重要等级适用于国家关键信息基础设施的计算机信息系统；核心等级适用于国家重要信息基础设施的计算机信息系统。

第三，等级划分方法是指根据《等级划分框架》对计算机信息系统进行具体的等级划分。

等级划分方法主要包括等级划分算法和等级划分依据。

等级划分算法是根据信息系统的风险与威胁等级进行计算，得出等级划分结果。

等级划分依据是根据不同信息系统的业务需求和安全要求进行判断，确定其所属的等级。

最后，等级评定要求是《准则》中对不同等级的计算机信息系统提出的具体要求。

等级评定要求包括技术要求和管理要求。

技术要求主要包括安全防护设备和安全防护措施的配置要求，以及信息系统运行和维护的规范要求。

管理要求主要包括安全管理制度和安全管理措施的建立和执行要求，以及安全管理人员和安全意识培训的要求。

计算机安全标准计算机安全标准是指为了确保计算机及其相关系统的安全性和可靠性而制定的一系列规范和准则。

这些标准旨在保护计算机系统免受恶意攻击、数据泄露、信息损坏或系统崩溃等威胁。

通过遵守计算机安全标准，组织可以降低其面临的风险，并保护其重要信息和资产的安全性。

计算机安全标准的意义在于为各种类型的计算机和计算机网络提供了一套统一的安全框架，这样可以确保不同系统之间的互操作性，并提供一致的保护机制。

同时，这些标准还可以帮助企业和组织遵守法律法规，以及行业的最佳实践。

在制定计算机安全标准时，需要考虑以下几个方面：1. 身份验证和访问控制：确保只有经过身份认证的用户才能访问计算机系统，并根据用户的权限分配合理的访问权限。

2. 数据保护和加密：采用适当的加密算法和措施，保护存储在计算机系统中的敏感数据，以防止未经授权的访问或泄露。

3. 系统配置和管理：确保计算机系统处于安全的设置状态，并定期进行系统漏洞扫描和修复，以及软件和硬件的更新。

4. 网络安全和防火墙：使用防火墙和其他网络安全设备来阻止未经授权的访问和网络攻击，同时监控网络流量以及检测和阻止潜在的安全威胁。

5. 恶意代码和漏洞管理：定期进行恶意代码扫描和漏洞评估，及时修复系统中存在的漏洞，并使用反病毒软件和防恶意软件来检测和清除恶意代码。

6. 安全审计和事件响应：建立安全审计机制，跟踪和监控系统的安全事件，并对安全事故进行响应和调查。

7. 培训和意识提升：为员工提供计算机安全培训，加强他们的安全意识和技能，以防止内部安全威胁和错误操作。

8. 法规和合规性要求：根据适用的法律法规和行业标准，确保计算机系统符合相应的安全要求和合规性要求。

总之，计算机安全标准是确保计算机系统安全性的关键要素之一。

组织和企业应该制定符合标准的安全策略和措施，并定期评估和更新这些标准，以适应不断发展的安全威胁和技术变化。

通过遵守计算机安全标准，可以提高组织对计算机系统和数据的保护水平，减少安全风险，确保业务的连续性和可靠性。

计算机信息系统标准
计算机信息系统标准是指在计算机信息系统的设计、建设、运行和维护过程中，为了保证系统的稳定性、安全性和可靠性而制定的一系列规范和标准。

这些标准旨在规范计算机信息系统的各个环节，确保系统的正常运行，并为系统的管理和维护提供指导。

首先，计算机信息系统标准涉及到系统的设计和建设。

在系统设计阶段，需要
遵循一定的标准，包括系统架构、数据结构、接口设计等方面的规范。

这些标准可以帮助设计人员更好地把握系统的整体框架，确保系统的各个模块之间能够协调配合，实现系统的整体优化。

其次，计算机信息系统标准还包括系统的运行和维护规范。

在系统运行阶段，
需要遵循一系列的操作规程和维护流程，以确保系统能够稳定运行。

这些规范涉及到系统的安全防护、数据备份、故障处理等方面，可以有效地提高系统的可靠性和安全性。

另外，计算机信息系统标准还涉及到系统的管理和监控。

在系统管理方面，需
要建立一套科学的管理制度，包括人员管理、权限管理、资源分配等方面的规范，以确保系统的正常运行和安全性。

同时，系统的监控也是非常重要的，需要建立一套完善的监控体系，及时发现和解决系统运行中的问题，确保系统能够持续稳定地运行。

总的来说，计算机信息系统标准对于保障系统的稳定性、安全性和可靠性起着
非常重要的作用。

遵循这些标准可以有效地提高系统的整体质量，降低系统运行过程中的风险，为用户提供更加稳定、安全、可靠的服务。

因此，在计算机信息系统的设计、建设、运行和维护过程中，严格遵循相关的标准是非常必要的。

只有这样，才能够保证系统能够长期稳定、安全地运行，为用户提供更好的服务。

GB17859-1999计算机信息系统安全保护等级划分准则1 范围本标准规定了计算机系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。

本标准适用计算机信息系统安全保护技术能力等级的划分。

计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。

2 引用标准下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。

本标准出版时，所示版本均为有效。

所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB/T 5271 数据处理词汇3 定义除本章定义外，其他未列出的定义见GB/T 5271。

3.1 计算机信息系统 computer information system计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

3.2 计算机信息系统可信计算基trusted computing base of computer information system计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

它建立了一个基本的保护环境并提供一个可信计算系统所要求的附加用户服务。

3.3 客体 object信息的载体。

3.4 主体 subject引起信息在客体之间流动的人、进程或设备等。

3.5 敏感标记 sensitivity label表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

3.6 安全策略 security policy有关管理、保护和发布敏感信息的法律、规定和实施细则。

3.7 信道 channel系统内的信息传输路径。

3.8 隐蔽信道 covert channel允许进程以危害系统安全策略的方式传输信息的通信信道。

计算机信息系统安全的基本要求［作者：佚名转贴自：摘自法规汇编点击数：915 文章录入：admin ］根据公安部的有关规定，下面是计算机信息系统安全的基本要求：一、实体安全1、中心周围100米内没有危险建筑，主要指没有易燃、易爆、有害气体等存放的场所，如加油站、燃气管道、煤气站散发较强腐蚀气体的设施等。

2、设有监控系统，指对系统运行的外围环境、操作环境实施监控（视）的设施。

3、有防火、防水措施。

如机房内有火灾自动报警系统，有适用于计算机机房的灭火器材（气体灭火器），有应急计划及相关制度。

防水：指机房内无渗水、漏水现象，如果机房上层有用水设施需加防水层。

4、机房环境（温度、湿度、洁净度）达到要求。

作为中心机房温度应保持在18-24度，相对湿度保持在40-60％为好。

机房和设备应保持清洁、卫生，进出机房时要更衣、换鞋，机房的门窗在建造时应考虑封闭性能。

5、防雷（防雷装置、接地）措施。

机器设备应有专用地线，机房本身有避雷设施，设备（包括通信设备和电源设备）有防雷击技术设施。

6、有备用电源，如长时间ups，停电后可供电8小时或更长时间，或者自备发电机。

7、平时使用ups供电。

8、有防静电措施，如防静电地板、设备接地良好等。

9、为保证设备用电质量，采取专线供电，与空调、照明、动力等分开。

10、采取防盗措施，中心应有值班守卫，出入口安装防盗安全门，窗户安装金属防护装置。

二、网络通信安全1、装有通信设备的场所要设有标志，如“机房重地”、“请勿触摸”等醒目的文字、图形等。

2、重要的通信线路及通信控制装置要有备份，如备用网络通信线路，类似于调制解调器等服务于网络通信的设备也要有备用。

3、加密措施，包括网络通讯及软、硬件，即网络传输的信息要加密，软件、硬件有防止非法入侵的手段4、网络运行状态应有安全审计跟踪措施，能随时掌握网络用户的工作状况。

安全审计是指在计算机信息系统中模拟社会的监察机构对于系统（包括网络）的活动进行监视和记录的一种机制。

GB17859-1999《计算机信息系统安全保护等级划分准则》发布时间：2009-07-23 作者：国家质量技术监督局1、范围本标准规定了计算机信息系统安全保护能力的五个等级,即:第一级:用户自主保护级;第二级:系统审计保护级;第三级:安全标记保护级;第四级:结构化保护级;第五级:访问验证保护级;本标准适用于计算机信息系统安全保护技术能力等级的划分.计算机信息系统安全保护能力随着安全保护等级的增高,逐渐增强.2、引用标准下列标准所包含的条文,通过在标准中引用而构成本标准的条文.本标准出版时,所示版本均为有效.所有标准都会被修订,使用本标准的各方应探讨使用下列标准最新版本的可能性.GB/T5271 数据处理词汇3、定义出本章定义外,其他未列出的定义见GB/T5271.3.1 计算机信息系统computer information system计算机信息系统是由计算机及其相关的和配套的设备、设施(含网络)构成的,按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统.3.2计算机信息系统可信计算基trusted computing base of computer information system计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

它建立了一个基体的保护环境并提供一个可信计算系统所要求的附加用户服务。

3.3 客体object信息的载体。

3.4 主体subject引起信息在客体之间流动的人、进程或设备等。

3.5 敏感标记sensitivity label表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

3.6 安全策略security policy有关管理、保护和发布敏感信息的法律、规定和实施细则。

3.7 信道channel系统内的信息传输路径。

3.8 隐蔽信道covert channel允许进程以危害系统安全策略的方式传输信息的通信信道/3.9 访问监控器reference monitor监控器主体和客体之间授权访问关系的部件。

信息系统安全等级保护相关标准列表标准类型子类型标准名称基础类标准计算机信息系统安全保护等级划分准则(GB17859-1999)应用类标准信息系统定级信息系统安全保护等级定级指南(GB/T22240-2008)等级保护实施信息系统安全等级保护实施指南(信安字[2007]10)信息系统安全建设信息系统安全等级保护基本要求(GB/T22239-2008)信息系统通用安全技术要求(GB/T20271-2006)信息系统等级保护安全设计技术要求(GB/T24856-2009)信息系统安全管理要求(GB/T20269-2006)信息系统安全工程管理要求(GB/T20282-2006)信息系统物理安全技术要求(GB/T21052-2007)网络基础安全技术要求(GB/T20270-2006)信息系统安全等级保护体系框架(GA/T708-2007)信息系统安全等级保护基本模型(GA/T709-2007)信息系统安全等级保护基本配置(GA/T710-2007)等级测评信息系统安全等级保护测评要求(报批稿)信息系统安全等级保护测评过程指南(报批稿)信息系统安全管理测评(GA/T713-2007)产品类标准操作系统操作系统安全技术要求(GB/T20272-2006)操作系统安全评估准则(GB/T20008-2005)数据库数据库管理系统安全技术要求(GB/T20273-2006)数据库管理系统安全评估准则(GB/T20009-2005)网络网络端设备隔离部件技术要求(GB/T20279-2006)网络端设备隔离部件测试评价方法(GB/T20277-2006)网络脆弱性扫描产品技术要求(GB/T20278-2006)网络脆弱性扫描产品测试评价方法(GB/T20280-2006)网络交换机安全技术要求(GA/T684-2007)虚拟专用网安全技术要求(GA/T686-2007)PKI 公钥基础设施安全技术要求(GA/T687-2007)PKI系统安全等级保护技术要求(GB/T21053-2007)网关网关安全技术要求(GA/T681-2007)服务器服务器安全技术要求(GB/T21028-2007)入侵检测入侵检测系统技术要求和检测方法(GB/T20275-2006)计算机网络入侵分级要求(GA/T700-2007)防火墙防火墙安全技术要求(GA/T683-2007)防火墙技术测评方法(报批稿)信息系统安全等级保护防火墙安全配置指南(报批稿)防火墙技术要求和测评方法(GB/T20281-2006)包过滤防火墙评估准则(GB/T20010-2005)路由器路由器安全技术要求(GB/T18018-2007)路由器安全评估准则(GB/T20011-2005)路由器安全测评要求(GA/T682-2007)交换机网络交换机安全技术要求(GB/T21050-2007)交换机安全测评要求(GA/T685-2007)其他产品终端计算机系统安全等级技术要求(GA/T671-2006)终端计算机系统测评方法(GA/T671-2006)审计产品技术要求和测评方法(GB/T20945-2006)虹膜特征识别技术要求(GB/T20979-2007)虚拟专网安全技术要求(GA/T686-2007)应用软件系统安全等级保护通用技术指南(GA/T711-2007)应用软件系统安全等级保护通用测试指南(GA/T712-2007)网络和终端设备隔离部件测试评价方法(GB/T20277-2006)网络脆弱性扫描产品测评方法(GB/T20280-2006)其他类标准风险评估信息安全风险评估规范(GB/T20984-2007)事件管理信息安全事件管理指南(GB/Z20985-2007)信息安全事件分类分级指南(GB/Z20986-2007)信息系统灾难恢复规范(GB/T20988-2007)。

系统等保三级标准系统等保三级标准是指一种安全保护等级，主要适用于计算机信息系统中存在较高风险的信息系统。

它是一种制度和技术要求的综合体，对系统的安全性和保密性提出了较高的要求。

系统等保三级标准主要包括四个方面的要求：机房环境等级、系统运行安全等级、网络安全等级和数据备份恢复等级。

首先，机房环境等级是指计算机信息系统物理环境的安全保护要求。

这包括机房的建筑结构、消防防护、电力供应、通风与温湿度控制、防护设备和防护区域等措施。

例如，机房必须具备防火、防盗、防水和防雷等功能，而且要定期维护各种设施设备，确保其正常运行。

其次，系统运行安全等级主要要求对计算机信息系统及其关键设备进行安全防护。

这包括物理安全措施、设备管理、系统运行状态监测、安全管理和应急措施等方面的要求。

例如，对关键设备要建立完善的管理制度，保证设备的正常运行和安全使用，以及在系统运行异常时能够及时进行处理和应急响应措施。

第三，网络安全等级是指计算机网络安全保护的要求。

这包括网络管控、身份认证和访问控制、数据传输加密、网络设备安全防护等措施。

例如，网络访问需要进行身份验证，只有经过授权的用户才能够访问系统；数据传输也需要进行加密处理，以防止数据被黑客窃取和篡改。

最后，数据备份恢复等级是指计算机信息系统数据备份和恢复的要求。

这包括数据备份策略、数据备份存储设备和数据恢复过程等要求。

例如，要定期进行数据备份，并将备份数据存储在安全可靠的地方，以便在系统遭受损坏或数据丢失时能够及时恢复数据。

系统等保三级标准通过对机房环境、系统运行、网络安全和数据备份等方面的要求，提高了计算机信息系统的安全性和保密性，降低了系统遭受攻击和数据丢失的风险。

同时，它也为企业和政府机构提供了一种参考框架，帮助它们建立和完善计算机信息系统的安全管理和保护体系。

计算机系统安全规范计算机系统安全规范是一种为保障计算机系统安全而制定的一系列规章制度和标准。

计算机系统安全规范的目的是确保计算机系统的稳定性、可靠性和保密性，防止未经授权的访问和攻击，保护计算机系统中存储的数据和信息不被窃取、篡改或损坏。

下面将从几个方面介绍计算机系统安全规范。

1.计算机系统访问控制规范计算机系统访问控制规范主要规定了用户在使用计算机系统时的授权和权限管理。

这包括用户账户管理、密码安全规范、访问控制列表等。

规范明确了用户的身份验证要求，例如要求用户使用强密码、定期更换密码，并规定了用户权限的分级和管理。

2.数据保护规范数据保护规范主要涉及数据的备份、加密和隐私保护。

规范要求对重要数据进行定期备份，确保数据的可靠性和完整性。

同时，规范还要求对敏感数据进行加密保护，防止未经授权的访问和泄露。

另外，规范还规定了个人数据的合法使用和保护要求，以保障用户隐私的安全性。

3.安全审计与监控规范安全审计与监控规范是确保计算机系统安全的关键环节。

规范要求系统管理员对计算机系统进行定期安全审计和监测，了解系统的安全态势和异常情况。

规范还要求配置安全监控工具，及时检测并响应安全事件。

此外，规范还规定了对日志记录的要求，以便追踪和分析潜在的安全风险。

4.网络安全规范网络安全规范是针对计算机系统与外部网络环境之间的安全通信和交互而制定的规范。

规范要求建立有效的防火墙和网络隔离策略，防止未经授权的网络入侵和攻击。

规范还强调对网络设备进行及时的安全更新和补丁管理，以修复系统漏洞。

此外，规范要求对网络流量进行实时监控和分析，发现并阻止网络安全威胁。

5.应急响应规范应急响应规范是针对计算机系统安全事件的紧急处理而制定的规范。

规范规定了安全事件的报告、溯源和恢复要求，要求建立和灵活的紧急响应机制。

规范还要求制定应急预案和培训计划，提高系统管理员和用户的应急响应能力。

综上所述，计算机系统安全规范通过一系列的张弛有度的规定和管理来确保计算机系统的安全性。

中华人民共和国计算机信息系统安全保护条例（2011年修订）正文：----------------------------------------------------------------------------------------------------------------------------------------------------中华人民共和国计算机信息系统安全保护条例（1994年2月18日中华人民共和国国务院令第147号发布根据2011年1月8日《国务院关于废止和修改部分行政法规的决定》修订）第一章总则第一条为了保护计算机信息系统的安全，促进计算机的应用和发展，保障社会主义现代化建设的顺利进行，制定本条例。

第二条本条例所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第三条计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。

第四条计算机信息系统的安全保护工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统的安全。

第五条中华人民共和国境内的计算机信息系统的安全保护，适用本条例。

未联网的微型计算机的安全保护办法，另行制定。

第六条公安部主管全国计算机信息系统安全保护工作。

国家安全部、国家保密局和国务院其他有关部门，在国务院规定的职责范围内做好计算机信息系统安全保护的有关工作。

第七条任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。

第二章安全保护制度第八条计算机信息系统的建设和应用，应当遵守法律、行政法规和国家其他有关规定。

第九条计算机信息系统实行安全等级保护。

计算机信息系统实体安全技术要求范围本标准规定了局域网计算机信息系统实体安全技术要求。

本标准适用于我国局域网计算机信息系统实体安全的局域计算环境。

引用标准下列标准所包含的条文，通过在本标准中引用而构成为本标准的条文。

本标准出版时，所示版本均为有效。

所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB／T 2887—2000 电子计算机场地通用规范GB／T 5465.1—1996 电气设备用图形符号绘制原则GB／T 5465.2—1996 电气设备用图形符号GB 9254—1998 信息技术设备的无线电干扰极限值和测量方法GB 50054—1995 低压配电设计规GB 50057一1994 建筑物防雷设计规范GB 50174—1993 电子计算机机房设计规范GBJ 116—1988 火灾自动报警系统设计规范GA 267—2000 计算机信息系统雷电电磁脉冲安全防护规范SJ／T 30003—1993 电子计算机机房施工及验收规范定义本标准采用下列定义。

1局域计算环境local computingenvironment逻辑区域内，组成局域计算机信息系统的诸要素及相关条件的总称。

２实体安全physicalsecurity保护计算机设备、设施(含网络)以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故(如电磁污染等)破坏的措施、过程。

安全分类GA 267—2000将机房安全防护分为：A类、B类、C类三个基本类别。

环境安全1 水患防护(1)机房内一般不应布设落水管、污水管、自来水管及其他水源管道，机房内部不设洗手间。

(2)机房四周窗户应密封，并做好防渗水处理，四周墙面需作防潮处理。

(3)机房若置于建筑物最高层，则必须做好防漏水处理。

(4)空调系统用水管道极其冷凝水管道应采取严格的防渗漏处理。

(5)机房内的给排水管敷设应符合GB50174-1993第7章规定。

(6)为了防止机房的水患，在空调设备周围、上下水管几冷凝水管周围、没有密封的窗户周围以及防静电地板下的适当位置应布设漏水检测传感线缆，密切检测水患，必要是设导流槽（沟）。

计算机信息系统安全保护等级划分准则Classified criteria for security protection of Computer information system计算机信息系统安全保护等级划分准则Classified criteria for securityprotection of computer information system1范围本标准规定了计算机信息系统安全保护能力的五个等级，即：第一级:用户自主保护级；第二级:系统审计保护级；第三级:安全标记保护级；第四级:结构化保护级；第五级:访问验证保护级；本标准适用于计算机信息系统安全保护技术能力等级的划分.计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。

2引用标准下列标准所包含的条文，通过在标准中引用而构成本标准的条文。

本标准出版时，所示版本均为有效。

所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB/T5271 数据处理词汇3定义出本章定义外，其他未列出的定义见GB/T5271。

3.1计算机信息系统computer information system计算机信息系统是由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

3.2计算机信息系统可信计算基trusted computing base of computer information system计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

它建立了一个基体的保护环境并提供一个可信计算系统所要求的附加用户服务。

3.3客体object信息的载体。

3.4主体subject引起信息在客体之间流动的人、进程或设备等。

3.5敏感标记sensitivity label表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。

本标准与GB17859-1999、GB/T20269-2006、GB/T20270-2006 、GB/T20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。

其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。

本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。

在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。

信息系统安全等级保护基本要求1 范围本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。

2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。