下载文档原格式
等级保护二级系统与三级系统比较分析报告2012年4月24号目录1.二级系统与三级系统的界定 (3)2.二级系统与三级系统要求的防护能力差别 (3)3.二级系统与三级系统的测评力度差别 (4)4.二级系统与三级系统的强制测评周期区别 (4)5.二级系统与三级系统的测评模型差别 (5)6.二级系统与三级系统的测评指标的差别及问题解决方案（技术为例） (7)7.二级系统与三级系统定级出现偏差的风险分析 (11)1.二级系统与三级系统的界定《信息系统安全等级保护定级指南》中规定：第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
2.二级系统与三级系统要求的防护能力差别第二级系统应达到的安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段事件内恢复部分功能。
第三级系统应达到的安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
4.二级系统与三级系统的强制测评周期区别《信息安全等级保护管理办法》中第十四条规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。
第三级信息系统应当每年至少进行一次等级测评。
二级系统不强制要求测评，但是要求定期找测评机构测评或进行系统自测。
信息安全等级保护二级与三级的区别
信息安全等级保护二级与三级的区别
1、定级规定不同
便是测评定级规定不同，二级对行为主体对象的干扰和危害小于三级。
此外，二级保护测评当定级对象受损时，不会对国防安全造成危害。
而等保三级定级对象的破坏可能会对国防安全造成危害。
2.可用场景不同
三级信息和数据信息覆盖范围更广，跨度也更高：
二级信息系统适用于市级以上公司、事业单位的一般信息系统、小型局域网、不涉及秘密和敏感信息的协作办公系统。
就公司而言，一般网站评审填写公安局备案信息时，可参照社区论坛、新浪微博、博客填写二级；所有其他类型的网站都可以填写三级。
三级信息系统适用于地市以上公司、机关、事业单位的内部关键信息系统、跨地区或者全国各地连接的网络经营性的系统等。
3、级别测评抗压强度不同
级别测评抗压强度测评深度和深度的叙述：测评深度越大，类别越大，包括测评对象越大，测评具体资本投入水平越高。
测评越深越重，越必须在关键点上进行，测评具体资本投入水平也越高。
4、级别测评抗压强度
就高度而言，二级测评不需要进行实验认证，而三级是进行实验认证，而就检测类别而言，三级测评对象越来越多，越来越全面，而二级只进行多类型取样测评。
等保二级测评每2年进行一次，等保三级测评，是每年进行一次。
管理大概80，外网大概40，服务器数外网网络边界进行访问控制，基本的终端数量：内网大概80，外网大概40，服务器数量：11网络现况：电信宽带30MB（互联网），电信专网4MB（一门诊）、10MB（城北门诊）,医保电信ADSL，电子远程药品监空系统移动光缆（带宽不详）现有应用系统：HIS、LIS、PACS 、EMR、物资资产财务、CA认证、医保数据备份：没有现有网络安全产品：防火墙1台（网神）在互联网出口处；服务器及内网终端安装Mcafee杀毒软件终端安全管理产品：没有分支机构远程连接：有2个分门诊，使用Radmin 、飞秋、远程桌面等局域网内部远程工具终端使用操作系统：WinXP、win8、win sever 2003、win sever 2008操作系统补丁更新：服务器与内网终端没有更新过终端杀毒软件：服务器、内网终端安装华军软件及功能：1)外网防火墙(对外网网络边界进行访问控制，基本的入侵防护的，可考虑原有网神防火墙利旧，需确认原有网神防火墙是否满足需求)2)内网防火墙(对内部网络边界进行访问控制，基本的入侵防护等)3)终端企业版杀毒软件(服务器及终端主机的防病毒统一管理、可进行终端个体的漏洞扫描及补丁更新)4)终端安全产品(对终端的信息安全进行防护，后期可根据需求增加和调整功能模块) 5)上网行为管理设备(对外网终端的上网行为进行监测，必要时进行管控)后期三级等保可考虑增加设备：1)入侵防御设备(IPS)：网络边界处2)防病毒网关(多功能安全网关)：网络边界处3)入侵检测设备(IDS)：内网核心交换机处4)堡垒主机(运维网关、安全管理平台)：核心交换机处5)网闸(信息交换与隔离系统)：内外网边界处6)数据库审计(综合审计类产品)：新：服务器与内网终端没有更新处5)网闸(信息交换系统运维管理。
等级保护简介（等保⼆级与等保三级的区别）等级保护简介信息系统的安全保护等级分为以下五级，⼀⾄五级等级逐级增⾼：第⼀级，信息系统受到破坏后，会对公民、法⼈和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
⼩企业的官⽹，规模较⼩的学校，乡镇级别的对外门户等。
第⼆级，信息系统受到破坏后，会对公民、法⼈和其他组织的合法权益产⽣严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
国家信息安全监管部门对该级信息系统安全等级保护⼯作进⾏指导。
⼀些中型的企业门户,⼀些提供⽹上服务的平台,尤其是涉及到个⼈信息认证的平台，⼀旦发⽣问题，都是万级或更⾼的个⼈信息泄露。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
国家信息安全监管部门对该级信息系统安全等级保护⼯作进⾏监督、检查。
适⽤于地市级以上国家机关、企业、事业单位内部重要的信息系统，例如涉及⼯作秘密、商业秘密、敏感信息的办公系统和管理系统。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
国家信息安全监管部门对该级信息系统安全等级保护⼯作进⾏强制监督、检查。
适⽤于国家重要领域、重要部门中的特别重要系统以及核⼼系统。
例如电⼒、电信、⼴电、铁路、民航、银⾏、税务等重要、部门的⽣产、调度、指挥等涉及国家安全、国计民⽣的核⼼系统。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
国家信息安全监管部门对该级信息系统安全等级保护⼯作进⾏专门监督、检查。
国家的机密部门了，⼀般的企业不会⽤到的。
等保⼆级和等保三级的区别应⽤场景不⼀样 三级信息系统适⽤于地级市以上的国家机关、企业、事业单位的内部重要信息系统防护能⼒不⼀样 第⼆级安全保护能⼒需达到: 能够防护系统免受外来⼩型组织的、拥有少量资源的威胁源发起的恶意攻击、⼀般的⾃然灾难及其他的相应程度的威胁做造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在遭受攻击损害后，具备在⼀段时间内恢复部分功能。
信息系统等级保护测评指标二级与三级信息系统等级保护测评（以下简称测评）是指根据《信息安全等级保护管理规定》（以下简称《规定》）和相关标准，对信息系统进行等级划定和安全保护能力评估的工作。
根据《规定》，测评共分为一级、二级、三级三个等级。
本文旨在详细介绍信息系统等级保护测评指标二级和三级。
二级测评是基于二级信息系统安全保护要求进行的评估，主要包括以下几个方面的指标：1.信息系统安全管理制度。
评估组织是否建立完善的信息安全管理制度，包括内部安全管理制度和外部安全管理制度。
2.安全组织机构和责任制。
评估组织是否建立了安全组织机构，明确了各部门和个人的安全责任，以及相应的安全管理人员。
3.信息系统安全技术保护措施。
评估组织是否采取了相应的信息系统安全技术保护措施，包括网络安全、主机安全、应用系统安全、数据安全等。
4.信息系统安全事件处理能力。
评估组织是否建立了完善的信息系统安全事件处理机制，包括事件监测、事件响应、事件处置等能力。
5.信息系统安全管理运行。
评估组织信息系统安全管理运行是否规范，包括安全审计、安全评估、安全检查、安全培训等。
三级测评是基于三级信息系统安全保护要求进行的评估，主要包括以下几个方面的指标：1.信息系统安全管理制度和安全保密管理制度。
评估组织信息系统和保密工作是否建立完善的安全管理制度，并且符合《规定》的要求。
2.安全组织机构和责任制。
评估组织是否建立了健全的安全组织机构和责任制，明确了各部门和个人的安全责任。
3.信息系统安全技术保护措施和安全事件处理能力。
评估组织是否建立了全面的信息系统安全技术保护措施，并且具备强大的安全事件处理能力。
4.信息系统安全管理运行。
评估组织信息系统安全管理运行是否规范，包括安全审计、安全评估、安全检查、安全培训等。
5.信息系统等级保护工作。
评估组织是否按照等级保护要求，对信息系统进行了安全保护，包括等级划定、安全认证、安全监督等。
总体来说，二级和三级测评主要关注的是信息系统安全管理制度、安全组织机构和责任制、安全技术保护措施、安全事件处理能力和信息系统管理运行等方面的能力和措施是否健全和有效。
《信息安全等级保护管理办法》规定，国家信息安全等级保护坚持自主定级、自主保护的原则。
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
信息系统的安全保护等级分为以下五级，一至五级等级逐级增高：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
国家信息安全监管部门对该级信息系统安全等级保护工作进行指导。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。
中华人民共和国计算机信息系统安全保护条例（1994年国务院147号令）（“第九条计算机信息系统实行安全等级保护。
安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”）计算机信息系统安全保护等级划分准则（GB 17859-1999）（“第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级”）国家信息化领导小组关于加强信息安全保障工作的意见（中办发[2003]27号）关于信息安全等级保护工作的实施意见（公通字[2004]66号）信息安全等级保护管理办法（公通字[2007]43号）关于开展全国重要信息系统安全等级保护定级工作的通知（公信安[2007]861号）关于开展信息安全等级保护安全建设整改工作的指导意见（公信安[2009]1429号）中华人民共和国网络安全法（2017年6月1日发布）十大重要标准计算机信息系统安全等级保护划分准则（GB 17859-1999）（基础类标准）信息系统安全等级保护实施指南（GB/T 25058-2010）（基础类标准）信息系统安全保护等级定级指南（GB/T 22240-2008）（应用类定级标准）信息系统安全等级保护基本要求（GB/T 22239-2008）（应用类建设标准）信息系统通用安全技术要求（GB/T 20271-2006）（应用类建设标准）信息系统等级保护安全设计技术要求（GB/T 25070-2010）（应用类建设标准）信息系统安全等级保护测评要求（GB/T 28448-2012）（应用类测评标准）信息系统安全等级保护测评过程指南（GB/T 28449-2012）（应用类测评标准）信息系统安全管理要求（GB/T 20269-2006）（应用类管理标准）信息系统安全工程管理要求（GB/T 20282-2006）（应用类管理标准）其它相关标准GB/T 21052-2007 信息安全技术信息系统物理安全技术要求GB/T 20270-2006 信息安全技术网络基础安全技术要求GB/T 20271-2006 信息安全技术信息系统通用安全技术要求GB/T 20272-2006 信息安全技术操作系统安全技术要求GB/T 20273-2006 信息安全技术数据库管理系统安全技术要求GB/T 20984-2007 信息安全技术信息安全风险评估规范GB/T 20985-2007 信息安全技术信息安全事件管理指南GB/Z 20986-2007 信息安全技术信息安全事件分类分级指南GB/T 20988-2007 信息安全技术信息系统灾难恢复规范信息系统安全等级保护三、二级评测内容等级保护自上而下分别为：类、控制点和项。
中国信息安全测评中心安全可靠等级下载温馨提示：该文档是我店铺精心编制而成，希望大家下载以后，能够帮助大家解决实际的问题。
文档下载后可定制随意修改，请根据实际需要进行相应的调整和使用，谢谢!并且，本店铺为大家提供各种各样类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，如想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by the editor. I hope that after you download them, they can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you!In addition, our shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!中国信息安全测评中心：安全可靠等级评估导言随着信息技术的迅猛发展，信息安全已经成为社会各个领域关注的重要议题之一。
信息系统等级保护测评指标信息系统等级保护（Information System Security Evaluation Criteria，简称ISSEC）是由中国国家信息安全测评中心制定的一套信息系统安全评估标准，旨在对各级信息系统进行安全评估，指导信息系统的构建和管理。
ISSEC体系包括五个等级，分别为一级（C1）、二级（C2）、三级（B1）、四级（B2）和五级（A1），每个等级都有特定的评估指标。
以下是ISSEC的测评指标：1.安全策略和管理-核心安全价值观的定义和落地-安全管理制度、安全责任制和安全宣导制度的建立-安全标准和规范的制定和实施-可信计算和可信网络的建设和管理2.安全风险管理-安全风险评估和风险管理策略的制定-安全需求分析和安全架构设计-安全控制措施的选择、实施和测试-安全事件响应和事故处置能力的建立3.认证和身份鉴别-用户身份鉴别和访问控制的实施-身份认证、会话管理和权限管理的支持-安全认证技术的选择和应用-密码词典管理、密码策略和密码保护措施的实施4.数据和应用安全-数据分类和安全等级保护措施的实施-信息系统应用程序开发和测试的安全要求-数据备份、恢复和业务连续性计划的建立-存储和传输的数据加密和防护控制5.网络和设备安全-网络拓扑设计和访问边界的安全保护-网络设备配置和访问控制的实施-网络安全监测、入侵检测和防御的建立-网络通信的加密和虚拟专用网络的建设6.物理安全和环境保护-机房、数据中心和服务器的物理安全保障-硬件设备和存储介质的丢失和破坏防护-电源供应和配电系统的可靠性和安全性-火灾保护、环境监测和灾难恢复计划的建立7.信息安全教育和培训-员工、用户和管理人员的信息安全意识教育-安全培训的内容和方法的制定-组织和开展安全演练和应急预案的训练-信息安全文化建设和社会责任教育以上只是ISSEC测评指标的一部分，整个体系涵盖了信息系统在不同方面的安全保护要求。
通过对这些指标的评估和评定，可以帮助组织构建更加安全可靠的信息系统，提升信息系统的保密性、完整性和可用性，从而更好地保护信息资产的安全。
《信息系统安全等级保护基本要求》二级三级等级保护要求比较一、系统安全性要求：1.一级要求较低，主要考虑核心数据的保护、访问控制和系统审计日志等基本安全功能的实现。
2.二级要求相对较高，除了满足一级的要求，还要考虑网络存储和交换环境的安全性要求，包括网络通信的安全性、身份验证和访问控制等。
3.三级要求最高，要求实现最严密的系统安全防护，包括支持安全与保密审计功能、支持密级管理、网络安全协议和加密算法等。
二、可用性要求：1.一级要求保障系统的基本可用性，如支持系统间连通性、数据备份与恢复等。
2.二级要求系统应具备高可用性，能够在故障发生时快速恢复，包括主备容灾机制、故障切换能力等。
3.三级要求系统应具备非常高的可用性，能够快速应对外部攻击和故障，比如具备自我修复机制、负载均衡等。
三、可靠性要求：1.一级要求系统应具备一定的可靠性，能够防范一些低级威胁，如病毒攻击、网络钓鱼等。
2.二级要求系统应具备一定的抗攻击能力，如入侵检测与防御、拒绝服务攻击防范等。
3.三级要求系统应具备高度的安全可靠性，能够抵御高级威胁，如零日漏洞攻击、高级持续性威胁等。
四、可控性要求：1.一级要求系统应具备基本的访问控制和权限管理功能。
2.二级要求系统应具备较高的管理和控制能力，如用户身份验证、权限策略管理等。
3.三级要求系统应具备强大的访问控制和权限管理功能，支持细粒度的授权控制、审计与监控。
五、安全保密服务要求：1.一级要求系统应具备基本的安全保密机制，如数据加密、安全日志等。
2.二级要求系统应具备较高的密钥管理和加密解密能力。
3. 三级要求系统应支持更高级的安全保密服务，如多重身份认证、智能卡/USBkey认证等。
综上所述，不同等级的保护要求主要区别在于对系统安全性、可用性、可靠性、可控性和安全保密服务等方面的要求程度不同。
三级要求最高，一级要求最低，不同等级的保护要求逐渐提升，以适应不同安全等级的系统应用需求。
1•信息系统等级保护测评指标等级保护的测评技术指标至少覆盖各系统等保二级、等级保三级的全部指标1.1.等级保护二级测评基本指标1・2・等级保护三级测评基本指标a ）应指定专门的部门或人员负责管理系统定级的相关材 料，并控制这些材料的使用； 工程实施测试验收系统交付系统备案确保可以在恢复程序规定的时间内完成备份的恢复。
a ） 应报告所发现的安全弱点和可疑事件， 但任何情况下用 户均不应尝试验证弱点； b ） 应制定安全事件报告和处置管理制度， 明确安全事件的 类型，规定安全事件的现场处理、事件报告和后期恢复的管 理职责； c ） 应根据国家相关管理部门对计算机安全事件等级划分 方法和安全事件对本系统产生的影响， 对本系统计算机安全 事件进行等级划分； d ） 应制定安全事件报告和响应处理程序， 确定事件的报告 流程，响应和处置的范围、程度，以及处理方法等； e ） 应在安全事件报告和响应处理过程中， 分析和鉴定事件 产生的原因，收集证据，记录处理过程，总结经验教训，制 定防止再次发生的补救措施， 过程形成的所有文件和记录均 应妥善保存； f ） 对造成系统中断和造成信息泄密的安全事件应采用不 同的处理程序和报告程序。
a ） 应在统一的应急预案框架下制定不同事件的应急预案， 应急预案框架应包括启动应急预案的条件、应急处理流程、 系统恢复流程、事后教育和培训等内容；b ） 应从人力、设备、技术和财务等方面确保应急预案的执 行有足够的资源保障；c ） 应对系统相关的人员进行应急预案培训， 应急预案的培 训应至少每年举办一次；d ） 应定期对应急预案进行演练，根据不同的应急恢复内 容，确定演练的周期；e ） 应规定应急预案需要定期审查和根据实际情况更新的 内容，并按照执行。
安全事件处置应急预案管理。
二级和三级信息系统安全等级保护测评要求下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。
文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢!本店铺为大家提供各种类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by this editor. I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you! In addition, this shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!二级和三级信息系统安全等级保护测评要求详解1. 引言信息系统在现代社会中起着至关重要的作用，因此保障信息系统的安全性尤为重要。
