等级保护基本要求培训(第十二期)

【最新资料，WORD文档，可编辑修改】目录1概述..............................................1.1背景介绍 ...................................................1.2主要作用及特点 .............................................1.3与其他标准的关系 ...........................................1.4框架结构 ...................................................2描述模型 .......................................................2.1总体描述 ...................................................2.2保护对象 ...................................................2.3安全保护能力 ...............................................2.4安全要求 ...................................................3逐级增强的特点..................................................3.1增强原则 ...................................................3.2总体描述 ...................................................3.3控制点增加 .................................................3.4要求项增加 .................................................3.5控制强度增强 ...............................................4各级安全要求....................................................4.1技术要求 ...................................................4.1.1物理安全..............................................4.1.2网络安全..............................................4.1.3主机安全..............................................4.1.4应用安全..............................................4.1.5数据安全及备份恢复....................................4.2管理要求 ...................................................4.2.1安全管理制度..........................................4.2.2安全管理机构..........................................4.2.3人员安全管理..........................................4.2.4系统建设管理..........................................4.2.5系统运维管理..........................................本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。

《信息系统安全等级保护基本要求》培训教材本教材围绕标准《信息系统安全等级保护基本要求》（以下简称《基本要求》），介绍其描述模型、逐级增强特点以及具体各级安全要求。

通过培训，使得用户能够了解《基本要求》的基本思路和主要内容，正确选择合适的安全要求进行信息系统保护。

1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。

”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。

依据此要求，《基本要求》列入了首批需完成的6个标准之一。

1.2主要作用及特点1.主要作用《基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：a)为信息系统建设单位和运营、使用单位提供技术指导在信息系统的安全保护等级确定后，《基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。

b)为评估机构提供评估依据《基本要求》为信息系统主管部门，信息系统运营、使用单位或专门的安全评估机构对信息系统安全保护等级的检测评估提供依据。

c)为职能监管部门提供监督检查依据《基本要求》为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。

2.主要特点《基本要求》是针对每个等级的信息系统提出相应安全保护要求，“基本”意味着这些要求是针对该等级的信息系统达到基本保护能力而提出的，也就是说，这些要求的实现能够保证系统达到相应等级的基本保护能力，但反过来说，系统达到相应等级的保护能力并不仅仅完全依靠这些安全保护要求。

同时，《基本要求》强调的是“要求”，而不是具体实施方案或作业指导书，《基本要求》给出了系统每一保护方面需达到的要求，至于这种要求采取何种方式实现，不在《基本要求》的描述范围内。

信息安全等级保护培训教材《信息系统安全等级保护基本要求》公安部2007年7月目录1概述 (3)1.1 背景介绍 (3)1.2 主要作用及特点 (3)1.3 与其他标准的关系 (4)1.4 框架结构 (4)2描述模型 (5)2.1 总体描述 (5)2.2 保护对象 (6)2.3 安全保护能力 (6)2.4 安全要求 (8)3逐级增强的特点 (9)3.1 增强原则 (9)3.2 总体描述 (10)3.3 控制点增加 (10)3.4 要求项增加 (11)3.5 控制强度增强 (12)4各级安全要求 (12)4.1 技术要求 (12)4.1.1 物理安全 (12)4.1.2 网络安全 (18)4.1.3 主机安全 (23)4.1.4 应用安全 (29)4.1.5 数据安全及备份恢复 (35)4.2 管理要求 (37)4.2.1 安全管理制度 (37)4.2.2 安全管理机构 (40)4.2.3 人员安全管理 (43)4.2.4 系统建设管理 (46)4.2.5 系统运维管理 (52)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。

通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。

1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。

等级保护基本要求管理要求1.等级保护工作原则（1）安全原则：确保人员和财产安全。

（2）保密原则：确保涉密信息的机密性和完整性。

（3）有序原则：确保工作按照一定的流程和条例进行。

（4）综合原则：充分考虑各方面利益，做到协调发展。

2.等级保护工作的层次划分（2）商业秘密：确保市场竞争的公平性。

（3）个人隐私：确保公民的合法权益。

（4）其他机关、企事业单位的重要信息和资料。

3.等级保护责任的划分（1）上级主管部门：负责制定等级保护政策和法规，并组织实施。

（3）各部门、岗位的工作人员：负责具体的等级保护工作，包括信息的记录、存档和处理等。

4.等级保护工作的机构设置和人员要求（1）等级保护工作机构：设立等级保护办公室或委托专门机构负责等级保护工作。

（2）等级保护工作人员：具有相关专业知识和技能，经过相关培训合格，具备较强的保密意识和责任感。

5.等级保护工作的培训和教育要求（1）定期进行等级保护知识和技能培训，使工作人员掌握保密法律法规和保密技术，提高保密意识。

（2）对新员工进行保密教育，确保他们了解保密政策和规定。

（3）定期组织保密知识考核，对考核不合格的人员进行再培训。

6.等级保护工作的制度建设（1）建立健全等级保护管理制度，明确各级保密责任部门的职责和权限。

（2）建立等级保护档案，对重要信息和资料进行分类、归档和管理。

（3）规范信息交流和传递渠道，明确人员准入制度，防止信息泄露。

7.等级保护工作的技术措施（1）建立信息系统安全防护体系，包括网络安全、物理安全等。

（2）加强对外来人员和设备的进出审查，确保信息不受到非法侵入。

（3）加密和备份重要信息，确保信息的完整性和可用性。

8.等级保护工作的监督和检查（1）建立等级保护工作督查制度，对各部门、岗位的工作人员进行定期检查和评估。

（2）加强对外部合作单位的审查，确保他们的保密制度和能力符合要求。

（3）建立举报奖励和处罚制度，鼓励人员报告违反保密规定的行为，坚决查处违法违规行为。