当前位置：文档之家 › 信息网络安全态势和等级保护法律法规要求20160303课件

信息网络安全态势和等级保护法律法规要求20160303课件

  • 格式：ppt
  • 大小：4.39 MB
  • 文档页数：50

下载文档原格式

  / 50

合集下载

《信息安全等级保护》PPT课件

《信息安全等级保护》PPT课件

• 信息安全等级保护的关键所在正是基于信息系 统所承载应用的重要性，以及该应用损毁后带 来的影响程度来判断风险是否控制在可接受的 范围内。
精选PPT
6
原则
• 谁主管谁负责、谁运营谁负责 • 自主定级、自主保护、监督指导
精选PPT
7
主要流程
一是：定级。
二是：备案。
三是：系统建设、整改。
四是：等级测评。
• 对技术要求
– ‘访谈’方法：
• 目的是了解信息系统的全局性。 • 范围一般不覆盖所有要求内容。
– ‘检查’方法：
• 目的是确认信息系统当前具体安全机制和运行的配 置是否符合要求 。
• 范围一般要覆盖所有要求内容。
– ‘测试’方法：
• 目的是验证信息系统安全机制有效性和安全强度。
• 范围不覆盖所有要求内容。
– 第三级，信息系统受到破坏后，会对社会秩序和公共 利益造成严重损害，或者对国家安全造成损害。
– 第四级，信息系统受到破坏后，会对社会秩序和公共 利益造成特别严重损害，或者对国家安全造成严重损 害。
– 第五级，信息系统受到破坏后，会对国家安全造成特 别严重损害。
精选PPT
10
定级原理(2)
• 定级要素
精选PPT
22
22
关系2
一级系统
通信/边界（基本）
二级系统
通信/边界/内部（关键设备）
三级系统
通信/边界/内部（主要设备）
通信/边界/内部/基础设施（所有设备） 四级系统
精选PPT
23
23
关系3
一级系统
计划和跟踪（主要制度）
二级系统
计划和跟踪（主要制度）
良好定义（管理活动制度化） 三级系统

信息系统安全等级保护基本要求培训课件

信息系统安全等级保护基本要求培训课件

定期进行漏洞扫描，对发现的 网络安全漏洞及时进行修补。
网络访问控制
访问控制策略应明确允许或拒绝网络访问的规则和条件，包括用户、地址、端口、 协议等要素。
应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口 级。
应按用户和系统之间的访问控制规则，决定允许或拒绝用户对受控系统资源的访问 ，控制粒度为单个用户。
应能够对远程访问的用户行为、系统资源的异常使用和 重要系统命令的使用等进行监测。
通信保密和完整性保护
应采用密码技术保证通信过程中数据 的保密性和完整性。
应对通信过程中的整个报文或会话过 程进行加密。
在通信双方建立连接之前，应用系统 应利用密码技术进行会话初始化验证 。
06
CATALOGUE
数据安全及备份恢复基本要求
建立完善的权限管理制度，对各个系统和应用的权限进行严格控制和管 理。
制定并执行相关管理制度和操作规程
对管理制度和操作规程进行定期评审和修订，确保其 适应业务发展和安全需求的变化。
制定信息安全总体方针、安全策略、管理制度和操作 规程等文件。
加强制度和规程的宣传和培训，确保相关人员熟知并 遵守各项规定。
02
CATALOGUE
物理安全基本要求
物理环境安全01源自0203场地选择信息系统所在场所应选择 在具有防震、防风和防雨 等能力的建筑内。
物理访问控制
物理场所应有严格的访问 控制措施，如门禁系统、 监控摄像头等。
物理安全监测
应建立物理安全监测机制 ，对物理环境进行实时监 测和记录，以便及时发现 和处置安全问题。
物理访问控制
人员进出管理
建立严格的人员进出管理 制度，对进出人员进行身 份核实和登记。

信息安全等保培训ppt课件

信息安全等保培训ppt课件
信息安全等级保护制度介绍
上海市信息安全测评认证中心
1
介绍大纲
1 信息安全等级保护工作概述 2 趋势科技与等级保护合规性
信息安全等级保护制度
信息安全等级保护制度是什么 信息安全等级保护制度要干什么 如何开展信息安全等级保护工作
3
引言
❖ 在当今社会中，信息已成为人类宝贵的资源，并且可以通 过Internet为全球人类所使用与共享。
应安装防恶意代码软件，并及时更新防恶意代 码软件版本和恶意代码库
备注
趋势科技与等级保护合规性
❖ Deep Security
符合要求 主机入侵防范 主机恶意代码防范
符合内容
能够检测到对重要服务器进行入侵的行为，能 够记录入侵的源IP、攻击的类型、攻击的目的 、攻击的时间，并在发生严重入侵事件时提供 报警
符合要求 主机恶意代码防范
符合内容
应安装防恶意代码软件，并及时更新防恶意代 码软件版本和恶意代码库
备注
趋势科技与等级保护合规性
❖ Web 安全网关 IWSA
符合要求 网络结构安全
网络访问控制
符合内容
避免将重要网段部署在网络边界处且直接连接 外部信息系统，重要网段与其他网段之间采取 可靠的技术隔离手段
❖ 主要原则：立足国情，以我为主，坚持管理与技术并重； 正确处理安全与发展的关系，以安全促发展，在发展中求 安全；统筹规划、突出重点，强化基础性工作；明确国家 、企业、个人的责任和义务，充分发挥各方面的积极性， 共同构筑国家信息安全保障体系。
13
等级保护制度
（一）信息安全等级保护制度是什么？
14
什么是信息安全等级保护工作
操作系统通过设置升级服务器等方式保持系统 补丁及时得到更新

网络安全法律法规及合规要求培训课件

网络安全法律法规及合规要求培训课件
发现和解决问题。
违规处罚
对违反网络安全管理制度的行 为进行严肃处理，包括警告、
罚款、解除劳动合同等。
持续改进
根据网络安全形势和企业实际 需求，不断完善和优化网络安
全管理制度。
网络安全技术防护
04
措施
常见网络安全威胁及应对策略
恶意软件
包括病毒、蠕虫、木马等，通过感染系统、窃取数据等方式对网络安全造成威胁。应对策 略包括定期更新操作系统和应用程序补丁，使用防病毒软件，不随意下载和安装未知来源 的软件。
身份认证与访问控制
身份认证
通过网络协议和技术手段验证用户身份的过程。常见的身份认证方式包括用户名/密码认证、动态口令认证、数 字证书认证等。为了提高身份认证的安全性，可以采用多因素认证方式。
访问控制
根据用户的身份和权限，对网络资源进行访问限制的过程。通过配置访问控制列表（ACL）、使用角色基于的访 问控制（RBAC）等手段，可以实现对网络资源的精细化管理和控制。同时，定期审计和监控访问日志，可以及 时发现和处理异常访问行为。
应对网络威胁
当前网络威胁日益严重， 制定网络安全管理制度有 助于企业有效应对网络攻 击和数据泄露等风险。
网络安全管理制度的核心内容
网络设备和系统安全
确保网络设备和系统的安全性 ，包括防火墙配置、系统漏洞
修补、病毒防范等。
数据安全
加强对企业重要数据的保护， 包括数据备份、加密、传输安 全等。
员工行为规范
大经济损失。
业务受限
违反行业标准或监管要 求可能导致企业或个人 业务受到限制或禁止。
企业内部网络安全
03
管理制度
制定网络安全管理制度的必要性
01
02
03

信息安全等级保护培训教材PPT92页课件

信息安全等级保护培训教材PPT92页课件

……
TCP/IP IPX/SPX SNMP
……
场地 机房 网络布线 设备 存储设备
……
各级系统的保护要求差异
信息安全管理生命周期
建设管理
运维管理
系统定级 方案设计 产品使用 自行开发 系统交付 测试验收 工程实施 软件外包
设 介资 环密
备 质产 境码
恶 意 理
✓ 系统测评：《信息系统安全等级保护测评要求》是针对《信息安全等 级保护基本要求》的具体控制要求开发的测评要求，旨在强调系统按 照《信息安全等级保护基本要求》进行建设完毕后，检验系统的各项 保护要求是否符合相应等级的基本要求。
✓ 由上可见，《信息安全等级保护基本要求》在整个标准体系中起着承 上启下的作用。相关技术要求可以作为《信息安全等级保护基本要求 》的补充和详细指导标准。
公通字[2006]7号文 ✓ 明确了信息安全等级保护的具体要求。 ✓ 为推广和实施信息安全等级保护提供法律保障。
公信安[2007]861号 ✓ 标志着等级保护工作正式推向实施阶段。
等级保护政策依据
公通字[2007]43号文 2007.6.22
➢ 明确主管单位： 公安机关负责信息安全等级保护工作的监督、检查
、指导。
国家保密部门负责等保中保密工作的监督、检查、 指导。
国家密码管理部门负责等保中有关密码工作的监督 、检查、指导。
➢ 确定5个等级，但去掉了[2006 7号文]“自主保护 ”、“指导保护”、“监督保护”等称为。
等级保护政策依据
公通字[2007]43号文
五个等级的基本情况
➢ 第一级：运营、使用单位根据国家管理规范、技术标准自 主防护。
/ /
一级 9 9 6 7 2
3 4 7 20 18 85 /

网络安全法与等级保护培训教材(ppt 共34页)

网络安全法与等级保护培训教材(ppt 共34页)
（5）信息与数据境内存储及跨境数据传输的安全评估要求 ①具体内容:境内运营中收集和产生的个人信息和重要数据应当 在境内存储；需向境外提供的，应当按照国家网信部门会同国务 院有关部门制定的办法进行安全评估。 ②法律责任：责令改正，给予警告，没收违法所得；处 5-50万 罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相 关业务许可证或者吊销营业执照；对直接负责主管和直接责任人 处1-10万罚款。
网络安全等级保护制度（上升为法律）
第二十一条 国家实行网络安全等级保护制度。网络运营者应当按 照网络安全等级保护制度的要求，履行下列安全保护义务。 第三十一条 国家对公共通信和信息服务、能源、交通、水利、金 融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、 丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利 益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重 点保护。 第三十八条 关键信息基础设施的运营者应当自行或者委托网络安 全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检 测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设 施安全保护工作的部门。（等级测评）
网络安全法要求及处罚
（6）应急预案要求 ①具体内容：制定网络安全事件应急预案；在发生危害网络安全 的事件时，立即启动应急预案；按照规定向有关主管部门报告。 ②法律责任：责令改正及警告；警告不改罚款 公司1-10万，主管5千-5万。
二、信息安全等级保护
信息安全等级保护定义
• 《信息安全等级保护管理办法（试行）》：信息安全等级保护是指 对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息 和存储、传输、处理这些信息的信息系统分等级实行安全保护，对 信息系统中使用的信息安全产品实行按等级管理，对信息系统中发 生运营者：是指网络的所有者、管理者和网络服务提供 者。 网络数据：是指通过网络收集、存储、传输、处理和产生 的各种电子数据。 个人信息：是指以电子或者其他方式记录的能够单独或者 与其他信息结合识别自然人个人身份的各种信息，包括但 不限于自然人的姓名、出生日期、身份证件号码、个人生 物识别信息、住址、电话号码等。

信息安全等级保护概述(PPT 120页)

全国公安教育训练网络学院网络安全分院
（五）GA/T 387 — 2002《计算机信 息系统安全等级保护网络技术要求》
GA/T 387 — 2002主要内容为： （1）简单描述了关于安全等级划分、主体、客体、TCB 、密码技术、建立网络安全的一般要求，以及网络安全 组成与相互关系。 （2）详细描述了网络基本安全技术，包括自主访问控制 、强制访问控制、标记、用户身份鉴别、剩余信息保护 、安全审计、数据完整性、隐蔽信道分析、可信路径、 可信恢复、抗抵赖、密码支持等。 （3）详细描述了网络安全技术要求。 （4）五个安全等级划分要求技术方面细则。
1999年，强制性国家标准－《计算机信息系统安全保护等 级划分准则》GB 17859）。
全国公安教育训练网络学院网络安全分院
2003年，中办、国办转发的《国家信息化领导小组关 于加强信息安全保障工作的意见》（中办发[2003]27号） 明确指出“实行信息安全等级保护”。 “要重点保护基础 信息网络和关系国家安全、经济命脉、社会稳定等方面的 重要信息系统，抓紧建立信息安全等级保护制度，制定信 息安全等级保护的管理办法和技术指南” 。
本级系统依照国家管理规范和技术标准进行自主保护。
全国公安教育训练网络学院网络安全分院
二、信息系统安全等级划分
（二）第二级为指导保护级
其主要对象为一般的信息系统，其业务信息安全性 或业务服务保证性受到破坏后，会对社会秩序和公 共利益造成一定损害，但不损害国家安全。
本级系统依照国家管理规范和技术标准进行自主保 护，必要时信息安全监管职能部门对其进行指导。
1、 政府层面：国家制定统一信息安全等级保护管理规 范和技术标准，组织公民、法人和其他组织对信息系 统分等级实行安全保护，对信息安全产品的使用分等 级实行管理，对等级保护工作的实施进行监督、指导 。 2、用户层面 ：公民、法人和其他组织应当按照国家有 关等级保护的管理规范和技术标准开展等级保护工作 ，服从国家对信息安全等级保护工作的监督、指导， 保障信息系统安全。 3、社会层面 ：信息安全产品的研制、生产单位，信息 系统的集成、等级测评、风险评估等安全服务机构， 依据国家有关管理规定和技术标准，开展相应工作， 并接受国家信息安全职能部门的监督管理。

信息安全法律法规ppt课件


精选课件
9
第一道防线：网络道德规范
全国青少年网络文明公约
2001年11月22日上午，共青团中央、教 育部、文化部、国务院新闻办公室、全国 青联、全国学联、全国少工委、中国青少 年网络协会在人民大学联合召开网上发布 大会，向社会正式发布《全国青少年网络 文明公约》。
精选课件
10
第一道防线：网络德规范
随堂练习
看下面一段视频，利用你所学到的信息安全道德规范以及 法律法规，判断视频中的任务，那个时段没有触犯道德也 没有触犯法律，那个时段触犯了道德，那个时段触犯了法 律，为什么？
小灵通的“文明上网”
精选课件
18
信息安全法律法规及道德规范
本课总结
公民基本 道德规范
2.在网络上，聊过天吗？泡论坛吗？ 玩过最近流行的网络游戏吗？在这些方 面上，你投资了多少，收获了多少？
3.有没有遇到过病毒，自己解决了吗？ 对计算机犯罪有何感想？
4.在网络的虚拟世界中，有没有透露过 真实信息？如家庭住址、电话号码、 生日、亲属关系、银行账号等
精选课件
1.拒绝泡网吧， 珍惜生命
2.擦亮慧眼， 分清虚实世界
存在问题
在网上传播不良信息
利用网络进行犯罪行为 发布虚假信息 信息垃圾泛滥
造成危害
毒化网络上空气，对青少年的 身心造成危害
机密情报被窃取，网络系统被破坏， 计算机病毒泛滥。对他人进行诽谤，从事 恐怖活动，对合法政权进行颠覆
虚假信息的大量存在严重影响着 网络信息的可信度。
制造了大量的信息垃圾，形成一个 “资料太多而知识太少的嘈杂世界。”
一句话概括：网络道德就是在网络条件下 具有以上特征的行为规范的综合
精选课件
7
第一道防线：网络道德规范

信息网络安全态势和等级保护法律法规要求

监督指导检查部门：保密局、科信局、公安局
23
24
等级保护 的分级
第一级 第二级 第三级 第四级 第五级
对公民、法人和 其他组织的合法
权益
对社会秩序和 公共利益
对国家安全
损害 严重损害
损害
严重损害
损害
特别严重损害 严重损害
特别严重损害
25
1、产权归谁谁来做等保 2、谁使用谁负责
26
1、从事计算机安全服务的公司可以参与整改 2、有资质的第三方测评公司负责验收测评
• 广州市越秀区教育局门户网站域名过期抢注变色 情网站
• 广州市破获省出入境管理处网站网站漏洞。
伊拉克、南联盟、阿富汗战争的思考 伊朗离心机问题
12
钓鱼网站
假冒的中国工商银行网站
真正的中国工商银行网站
扬州市城乡建设局网站()
15
成都被打女司机
1、根据这女的网络开房记录 2、按照常理如果她不是变态的 话，一般不会经期开房 3、一般女性经期是5-7天，鉴于她私生活 有点丰富，可能激素有点紊乱，因此初步判断她是7天 以上是基 本假设 根据开房记录，选取样本连续的2014年1月和4月作为样本 1月有四次，1、7、15、22根据上述信息，可以排除1-7号（间隔5 天），7-15号有可能（间隔7天），15-22号可能很小（间隔6天）， 那么最大可能就是23-30号这8天！ 我们再来看4月的样本，刚好 也是4次，4、9、10、21，根据1月样本的推算，并结合1月的成果 可基本确定是23-30号 再用2014年6月和7月的几个零星样本检验 一下，基本上是合适的。至于2010.2011.2013年的样本，由于时 间久远，不具备推算最近经期的参考价值，故不予选取计入样本。 因此初步推算此女经期是每月23号到30号,安全期在1--5号19--23 号，排卵期在9--15号。

等保16-30

ICS 35.040L80信息安全技术信息系统安全等级保护基本要求Information security technology-Baseline for classified protection of information system（报批稿）全国信息安全标准化技术委员会GB/T XXXX –XXXXII 目次前言 (X)引言 (XI)1 范围 (1)2规范性引用文件 (1)3术语和定义 (1)4信息系统安全等级保护概述 (1)4.1 信息系统安全保护等级 (1)4.2 不同等级的安全保护能力 (1)4.3 基本技术要求和基本管理要求 (2)4.4 基本技术要求的三种类型 (2)5第一级基本要求 (2)5.1 技术要求 (2)5.1.1物理安全 (2)5.1.1.1 物理访问控制（G1） (2)5.1.1.2 防盗窃和防破坏（G1） (2)5.1.1.3 防雷击（G1） (3)5.1.1.4 防火（G1） (3)5.1.1.5 防水和防潮（G1） (3)5.1.1.6 温湿度控制（G1） (3)5.1.1.7 电力供应（A1） (3)5.1.2网络安全 (3)5.1.2.1 结构安全（G1） (3)5.1.2.2 访问控制（G1） (3)5.1.2.3 网络设备防护（G1） (3)5.1.3主机安全 (3)5.1.3.1 身份鉴别（S1） (3)5.1.3.2 访问控制（S1） (3)5.1.3.3 入侵防范（G1） (4)5.1.3.4 恶意代码防范（G1） (4)5.1.4应用安全 (4)5.1.4.1 身份鉴别（S1） (4)5.1.4.2 访问控制（S1） (4)5.1.4.3 通信完整性（S1） (4)5.1.4.4 软件容错（A1） (4)5.1.5数据安全及备份恢复 (4)5.1.5.1 数据完整性（S1） (4)5.1.5.2 备份和恢复（A1） (4)5.2 管理要求 (4)5.2.1安全管理制度 (4)5.2.1.1 管理制度（G1） (4)5.2.1.2 制定和发布（G1） (4)5.2.2安全管理机构 (4)GB/T XXXX –XXXX5.2.2.1 岗位设置（G1） (4)5.2.2.2 人员配备（G1） (4)5.2.2.3 授权和审批（G1） (4)5.2.2.4 沟通和合作（G1） (5)5.2.3人员安全管理 (5)5.2.3.1 人员录用（G1） (5)5.2.3.2 人员离岗（G1） (5)5.2.3.3 安全意识教育和培训（G1） (5)5.2.3.4 外部人员访问管理（G1） (5)5.2.4系统建设管理 (5)5.2.4.1 系统定级（G1） (5)5.2.4.2 安全方案设计（G1） (5)5.2.4.3 产品采购和使用（G1） (5)5.2.4.4 自行软件开发（G1） (5)5.2.4.5 外包软件开发（G1） (5)5.2.4.6 工程实施（G1） (6)5.2.4.7 测试验收（G1） (6)5.2.4.8 系统交付（G1） (6)5.2.4.9 安全服务商选择（G1） (6)5.2.5系统运维管理 (6)5.2.5.1 环境管理（G1） (6)5.2.5.2 资产管理（G1） (6)5.2.5.3 介质管理（G1） (6)5.2.5.4 设备管理（G1） (6)5.2.5.5 网络安全管理（G1） (7)5.2.5.6 系统安全管理（G1） (7)5.2.5.7 恶意代码防范管理（G1） (7)5.2.5.8 备份与恢复管理（G1） (7)5.2.5.9 安全事件处置（G1） (7)6第二级基本要求 (7)6.1 技术要求 (7)6.1.1物理安全 (7)6.1.1.1 物理位置的选择（G2） (7)6.1.1.2 物理访问控制（G2） (7)6.1.1.3 防盗窃和防破坏（G2） (7)6.1.1.4 防雷击（G2） (8)6.1.1.5 防火（G2） (8)6.1.1.6 防水和防潮（G2） (8)6.1.1.7 防静电（G2） (8)6.1.1.8 温湿度控制（G2） (8)6.1.1.9 电力供应（A2） (8)6.1.1.10 电磁防护（S2） (8)6.1.2网络安全 (8)6.1.2.1 结构安全（G2） (8)IIIGB/T XXXX –XXXX 6.1.2.2 访问控制（G2） (8)6.1.2.3 安全审计（G2） (9)6.1.2.4 边界完整性检查（S2） (9)6.1.2.5 入侵防范（G2） (9)6.1.2.6 网络设备防护（G2） (9)6.1.3主机安全 (9)6.1.3.1 身份鉴别（S2） (9)6.1.3.2 访问控制（S2） (9)6.1.3.3 安全审计（G2） (9)6.1.3.4 入侵防范（G2） (10)6.1.3.5 恶意代码防范（G2） (10)6.1.3.6 资源控制（A2） (10)6.1.4应用安全 (10)6.1.4.1 身份鉴别（S2） (10)6.1.4.2 访问控制（S2） (10)6.1.4.3 安全审计（G2） (10)6.1.4.4 通信完整性（S2） (10)6.1.4.5 通信保密性（S2） (10)6.1.4.6 软件容错（A2） (11)6.1.4.7 资源控制（A2） (11)6.1.5数据安全及备份恢复 (11)6.1.5.1 数据完整性（S2） (11)6.1.5.2 数据保密性（S2） (11)6.1.5.3 备份和恢复（A2） (11)6.2 管理要求 (11)6.2.1安全管理制度 (11)6.2.1.1 管理制度（G2） (11)6.2.1.2 制定和发布（G2） (11)6.2.1.3 评审和修订（G2） (11)6.2.2安全管理机构 (11)6.2.2.1 岗位设置（G2） (11)6.2.2.2 人员配备（G2） (12)6.2.2.3 授权和审批（G2） (12)6.2.2.4 沟通和合作（G2） (12)6.2.2.5 审核和检查（G2） (12)6.2.3人员安全管理 (12)6.2.3.1 人员录用（G2） (12)6.2.3.2 人员离岗（G2） (12)6.2.3.3 人员考核（G2） (12)6.2.3.4 安全意识教育和培训（G2） (12)6.2.3.5 外部人员访问管理（G2） (12)6.2.4系统建设管理 (13)6.2.4.1 系统定级（G2） (13)6.2.4.2 安全方案设计（G2） (13)IVGB/T XXXX –XXXX6.2.4.3 产品采购和使用（G2） (13)6.2.4.4 自行软件开发（G2） (13)6.2.4.5 外包软件开发（G2） (13)6.2.4.6 工程实施（G2） (13)6.2.4.7 测试验收（G2） (13)6.2.4.8 系统交付（G2） (14)6.2.4.9 安全服务商选择（G2） (14)6.2.5系统运维管理 (14)6.2.5.1 环境管理（G2） (14)6.2.5.2 资产管理（G2） (14)6.2.5.3 介质管理（G2） (14)6.2.5.4 设备管理（G2） (14)6.2.5.5 网络安全管理（G2） (15)6.2.5.6 系统安全管理（G2） (15)6.2.5.7 恶意代码防范管理（G2） (15)6.2.5.8 密码管理（G2） (15)6.2.5.9 变更管理（G2） (15)6.2.5.10 备份与恢复管理（G2） (16)6.2.5.11 安全事件处置（G2） (16)6.2.5.12 应急预案管理（G2） (16)7第三级基本要求 (16)7.1 技术要求 (16)7.1.1物理安全 (16)7.1.1.1 物理位置的选择（G3） (16)7.1.1.2 物理访问控制（G3） (16)7.1.1.3 防盗窃和防破坏（G3） (16)7.1.1.4 防雷击（G3） (17)7.1.1.5 防火（G3） (17)7.1.1.6 防水和防潮（G3） (17)7.1.1.7 防静电（G3） (17)7.1.1.8 温湿度控制（G3） (17)7.1.1.9 电力供应（A3） (17)7.1.1.10 电磁防护（S3） (17)7.1.2网络安全 (18)7.1.2.1 结构安全（G3） (18)7.1.2.2 访问控制（G3） (18)7.1.2.3 安全审计（G3） (18)7.1.2.4 边界完整性检查（S3） (18)7.1.2.5 入侵防范（G3） (19)7.1.2.6 恶意代码防范（G3） (19)7.1.2.7 网络设备防护（G3） (19)7.1.3主机安全 (19)7.1.3.1 身份鉴别（S3） (19)7.1.3.2 访问控制（S3） (19)VGB/T XXXX –XXXX 7.1.3.3 安全审计（G3） (20)7.1.3.4 剩余信息保护（S3） (20)7.1.3.5 入侵防范（G3） (20)7.1.3.6 恶意代码防范（G3） (20)7.1.3.7 资源控制（A3） (20)7.1.4应用安全 (20)7.1.4.1 身份鉴别（S3） (21)7.1.4.2 访问控制（S3） (21)7.1.4.3 安全审计（G3） (21)7.1.4.4 剩余信息保护（S3） (21)7.1.4.5 通信完整性（S3） (21)7.1.4.6 通信保密性（S3） (21)7.1.4.7 抗抵赖（G3） (21)7.1.4.8 软件容错（A3） (22)7.1.4.9 资源控制（A3） (22)7.1.5数据安全及备份恢复 (22)7.1.5.1 数据完整性（S3） (22)7.1.5.2 数据保密性（S3） (22)7.1.5.3 备份和恢复（A3） (22)7.2 管理要求 (22)7.2.1安全管理制度 (22)7.2.1.1 管理制度（G3） (22)7.2.1.2 制定和发布（G3） (23)7.2.1.3 评审和修订（G3） (23)7.2.2安全管理机构 (23)7.2.2.1 岗位设置（G3） (23)7.2.2.2 人员配备（G3） (23)7.2.2.3 授权和审批（G3） (23)7.2.2.4 沟通和合作（G3） (24)7.2.2.5 审核和检查（G3） (24)7.2.3人员安全管理 (24)7.2.3.1 人员录用（G3） (24)7.2.3.2 人员离岗（G3） (24)7.2.3.3 人员考核（G3） (24)7.2.3.4 安全意识教育和培训（G3） (24)7.2.3.5 外部人员访问管理（G3） (25)7.2.4系统建设管理 (25)7.2.4.1 系统定级（G3） (25)7.2.4.2 安全方案设计（G3） (25)7.2.4.3 产品采购和使用（G3） (25)7.2.4.4 自行软件开发（G3） (25)7.2.4.5 外包软件开发（G3） (26)7.2.4.6 工程实施（G3） (26)7.2.4.7 测试验收（G3） (26)VIGB/T XXXX –XXXX7.2.4.8 系统交付（G3） (26)7.2.4.9 系统备案（G3） (26)7.2.4.10 等级测评（G3） (27)7.2.4.11 安全服务商选择（G3） (27)7.2.5系统运维管理 (27)7.2.5.1 环境管理（G3） (27)7.2.5.2 资产管理（G3） (27)7.2.5.3 介质管理（G3） (27)7.2.5.4 设备管理（G3） (28)7.2.5.5 监控管理和安全管理中心（G3） (28)7.2.5.6 网络安全管理（G3） (28)7.2.5.7 系统安全管理（G3） (29)7.2.5.8 恶意代码防范管理（G3） (29)7.2.5.9 密码管理（G3） (29)7.2.5.10 变更管理（G3） (29)7.2.5.11 备份与恢复管理（G3） (29)7.2.5.12 安全事件处置（G3） (30)7.2.5.13 应急预案管理（G3） (30)8第四级基本要求 (30)8.1 技术要求 (30)8.1.1物理安全 (30)8.1.1.1 物理位置的选择（G4） (30)8.1.1.2 物理访问控制（G4） (30)8.1.1.3 防盗窃和防破坏（G4） (31)8.1.1.4 防雷击（G4） (31)8.1.1.5 防火（G4） (31)8.1.1.6 防水和防潮（G4） (31)8.1.1.7 防静电（G4） (31)8.1.1.8 温湿度控制（G4） (31)8.1.1.9 电力供应（A4） (31)8.1.1.10 电磁防护（S4） (32)8.1.2网络安全 (32)8.1.2.1 结构安全（G4） (32)8.1.2.2 访问控制（G4） (32)8.1.2.3 安全审计（G4） (32)8.1.2.4 边界完整性检查（S4） (33)8.1.2.5 入侵防范（G4） (33)8.1.2.6 恶意代码防范（G4） (33)8.1.2.7 网络设备防护（G4） (33)8.1.3主机安全 (33)8.1.3.1 身份鉴别（S4） (33)8.1.3.2 安全标记（S4） (34)8.1.3.3 访问控制（S4） (34)8.1.3.4 可信路径（S4） (34)VIIGB/T XXXX –XXXX 8.1.3.5 安全审计（G4） (34)8.1.3.6 剩余信息保护（S4） (34)8.1.3.7 入侵防范（G4） (34)8.1.3.8 恶意代码防范（G4） (35)8.1.3.9 资源控制（A4） (35)8.1.4应用安全 (35)8.1.4.1 身份鉴别（S4） (35)8.1.4.2 安全标记（S4） (35)8.1.4.3 访问控制（S4） (35)8.1.4.4 可信路径（S4） (35)8.1.4.5 安全审计（G4） (36)8.1.4.6 剩余信息保护（S4） (36)8.1.4.7 通信完整性（S4） (36)8.1.4.8 通信保密性（S4） (36)8.1.4.9 抗抵赖（G4） (36)8.1.4.10 软件容错（A4） (36)8.1.4.11 资源控制（A4） (36)8.1.5数据安全及备份恢复 (37)8.1.5.1 数据完整性（S4） (37)8.1.5.2 数据保密性（S4） (37)8.1.5.3 备份和恢复（A4） (37)8.2 管理要求 (37)8.2.1安全管理制度 (37)8.2.1.1 管理制度（G4） (37)8.2.1.2 制定和发布（G4） (37)8.2.1.3 评审和修订（G4） (38)8.2.2安全管理机构 (38)8.2.2.1 岗位设置（G4） (38)8.2.2.2 人员配备（G4） (38)8.2.2.3 授权和审批（G4） (38)8.2.2.4 沟通和合作（G4） (38)8.2.2.5 审核和检查（G4） (39)8.2.3人员安全管理 (39)8.2.3.1 人员录用（G4） (39)8.2.3.2 人员离岗（G4） (39)8.2.3.3 人员考核（G4） (39)8.2.3.4 安全意识教育和培训（G4） (39)8.2.3.5 外部人员访问管理（G4） (40)8.2.4系统建设管理 (40)8.2.4.1 系统定级（G4） (40)8.2.4.2 安全方案设计（G4） (40)8.2.4.3 产品采购和使用（G4） (40)8.2.4.4 自行软件开发（G4） (40)8.2.4.5 外包软件开发（G4） (41)VIIIGB/T XXXX –XXXX8.2.4.6 工程实施（G4） (41)8.2.4.7 测试验收（G4） (41)8.2.4.8 系统交付（G4） (41)8.2.4.9 系统备案（G4） (41)8.2.4.10 等级测评（G4） (42)8.2.4.11 安全服务商选择（G4） (42)8.2.5系统运维管理 (42)8.2.5.1 环境管理（G4） (42)8.2.5.2 资产管理（G4） (42)8.2.5.3 介质管理（G4） (42)8.2.5.4 设备管理（G4） (43)8.2.5.5 监控管理和安全管理中心（G4） (43)8.2.5.6 网络安全管理（G4） (43)8.2.5.7 系统安全管理（G4） (44)8.2.5.8 恶意代码防范管理（G4） (44)8.2.5.9 密码管理（G4） (44)8.2.5.10 变更管理（G4） (44)8.2.5.11 备份与恢复管理（G4） (45)8.2.5.12 安全事件处置（G4） (45)8.2.5.13 应急预案管理（G4） (45)9第五级基本要求 (46)附录A（规范性附录）关于信息系统整体安全保护能力的要求................ 错误！未定义书签。

  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

监督指导检查部门：保密局、科信局、公安级 第二级
对公民、法人和 其他组织的合法 权益
损害 严重损害
对社会秩序和 公共利益
对国家安全
损害
第三级
第四级
严重损害
特别严重损害
损害
严重损害
第五级
特别严重损害
26
1、产权归谁谁来做等保
2、谁使用谁负责
27
1、从事计算机安全服务的公司可以参与整改
20
行政法规—《中华人民共和国计算机信息系统安全保 护条例》1994年国务院行政法规，规定计算机信息系统实 行安全等级保护。
地方法规—《广东省计算机信息系统安全保护条例》， 2007年广东地方法规，系统规定了等级保护，并设置了法 律责任。
21
22
23
信息系统是指：成网络结构的（终端不属于、单机不 属于），产权自己的或自己使用的。
31
《广东省计算机信息系统安全保护条例》规定：
计算机信息系统的运营、使用单位没有向地级市以上 人民政府公安机关备案的，或者违反本条例第三十六条规 定，接到公安机关要求整改的通知后拒不按要求整改的， 由公安机关处以警告或者停机整顿。
32
计算机信息系统投入使用后，存在下列情形之一的，应当 进行安全自查，同时委托安全测评机构进行安全测评： 1、变更关键部件； 2、安全测评时间满一年； 3、发生危害计算机信系统安全的案件或安全事故； 4、公安机关公共信息网络安全监察部门根据应急处置工作的 需要认为应当进行安全测评； 5、其他应当进行安全自查和安全测评的情形。
38
《两高关于办理利用互联网、移动通讯终端、声讯台制作、复 制、出版、贩卖、传播淫秽电子信息刑事案件具体解释》

第四条 明知是淫秽电子信息而在自己所有、管理或者使 用的网站或者网页上提供直接链接的，其数量标准根据所链 接的淫秽电子信息的种类计算。 第五条 网站建立者、直接负责的管理者明知他人制作、复 制、出版、贩卖、传播的是淫秽电子信息，允许或者放任他 人在自己所有、管理的网站或者网页上发布，以传播淫秽物 品罪定罪处罚。 第七条 明知他人实施制作、复制、出版、贩卖、传播淫 秽电子信息犯罪，为其提供互联网接入、服务器托管、网络 存储空间、通讯传输通道、费用结算等帮助的，对直接负责 的主管人员和其他直接责任人员，以共同犯罪论处。
6
7
8
e可以做什么？“互联网+”
-project work -学习额外知识 -音乐 -电影 -游戏
-QQ -MSN -微信
-网上购物 -网上登记或缴交费用
-新闻 -各个地方的风土人情
9记忆中的重大安全事件被黑3Q大战、棱镜门1、数千万社保用户信息泄露 2015年4月，从补天漏洞响应平台获得的数据显示，围绕社保系统、户 籍查询系统、疾控中心、医院等大量爆出高危漏洞的省市就已经超过30个， 仅社保类信息安全漏洞统计就达到5279.4万条，涉及人员数量达数千万， 其中包括个人身份证、社保参保信息、财务、薪酬、房屋等敏感信息。这 些信息一旦泄露，造成的危害不仅是个人隐私全无，还会被犯罪分子利用， 例如复制身份证、盗用信用卡、盗刷信用卡等一系列刑事犯罪和经济犯罪
17
二、信息系统安全等级保护相关法律法规
一、安全等级保护工作情况
18


计算机信息系统，是指由计算 机及其相关的和配套的设备、 设施构成的，按照一定的应用 目标和规则对信息进行采集、 加工、存储、传输、检索等处 理的人机系统或者网络。 互联网是由一些使用公用语言 互相通信的计算机连接而成的 网络，即广域网、局域网及单 机按照一定的通讯协议组成的 国际计算机网络。
2、有资质的第三方测评公司负责验收测评
28
1、指导信息系统运营使用单位及其主管部门确定系 统安全保护等级。 2、指导信息安全等级保护的建设、整改和管理。 3、接受信息系统安全保护等级的备案。 4、定期对受理备案的信息系统安全保护状况依法进行监 督、检查。
5、对安全保护等级为第三级以上信息系统选择使用信息 安全产品的情况进行监督管理。
我们的世界，什么改变了？
1
信息网络安全态势和等级保护法律法规专 题讲座
主讲人：周胜利
企业管理高级经营师
中山大学 特聘讲师
广东省侨联青年委员 青年委员 澳门科技大学 博士生（大数据分析与挖掘）
武汉大学计算机测控专业毕业，曾在广州市公安局出入境管理支队、网 络警察支队工作近20年。 中山大学授课10年，主要课程：《领导学》 、《管理心理学》 、 《管 理沟通》 、 《市场营销》 、 《供应链管理》等等课程 多次应邀为澳门科学技术促进会、广州地铁、广州市供电局、广州市交 委、广州市计算机安全协会等单位开展网络安全知识专题讲座。 邮箱：1036524500@

36
刑法修正案（七）在刑法第 ２８５条中增加两款（第 二款、第三款）：

违反国家规定，侵入前款规定以外的计算机信息系统 或者采用其他技术手段，获取该计算机信息系统中存 储、处理或者传输的数据，或者对该计算机信息系统 实施非法控制，情节严重的，处三年以下有期徒刑或 者拘役，并处或者单处罚金；情节特别严重的，处三 年以上七年以下有期徒刑，并处罚金。 提供专门用于侵入、非法控制计算机信息系统的程序 、工具，或者明知他人实施侵入、非法控制计算机信 息系统的违法犯罪行为而为其提供程序、工具，情节 严重的，依照前款的规定处罚。
伊拉克、南联盟、阿富汗战争的思考
伊朗离心机问题
13
钓鱼网站
假冒的中国工商银行网站
真正的中国工商银行网站
扬州市城乡建设局网站(/)
16
成都被打女司机
1、根据这女的网络开房记录 2、按照常理如果她不是变态的 话，一般不会经期开房 3、一般女性经期是5-7天，鉴于她私生活 有点丰富，可能激素有点紊乱，因此初步判断她是7天 以上是基 本假设 根据开房记录，选取样本连续的2014年1月和4月作为样本 1月有四次，1、7、15、22根据上述信息，可以排除1-7号（间隔5 天），7-15号有可能（间隔7天），15-22号可能很小（间隔6天）， 那么最大可能就是23-30号这8天！ 我们再来看4月的样本，刚好 也是4次，4、9、10、21，根据1月样本的推算，并结合1月的成果 可基本确定是23-30号 再用2014年6月和7月的几个零星样本检验 一下，基本上是合适的。至于2010.2011.2013年的样本，由于时 间久远，不具备推算最近经期的参考价值，故不予选取计入样本。 因此初步推算此女经期是每月23号到30号,安全期在1--5号19--23 号，排卵期在9--15号。
2、酒店住房信息泄露
信息安全存在方式：与每个人都息息相关
1、每个人都接到过各式各样的广告电话、短信
2、在互联网上输入你的名字、身份证号码、手机 号码、家庭住址搜索一下
11
我们身边的重大安全事件案例
• 深圳市10万孕妇信息泄露 1.2万元一张光盘贩卖 怀疑卫生局、计生委 • 广州市政府机关网络信息中心UPS电池火灾 瘫痪 72小时 • 广州市越秀区教育局门户网站域名过期抢注变色 情网站 • 广州市破获省出入境管理处网站网站漏洞。
40



《计算机信息网络国际联网安全保护管理办法》 第五条 任何单位和个人不得利用国际联网制作、复制、查阅和传 播下列信息： （一）煽动抗拒、破坏宪法和法律、行政法规实施的； （二）煽动颠覆国家政权，推翻社会主义制度的； （三）煽动分裂国家、破坏国家统一的； （四）煽动民族仇恨、民族歧视，破坏民族团结的； （五）捏造或者歪曲事实，散布谣言，扰乱社会秩序的； （六）宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖，教 唆犯罪的； （七）公然侮辱他人或者捏造事实诽谤他人的； （八）损害国家机关信誉的； （九）其他违反宪法和法律、行政法规的。
33
第三级计算机信息系统应当每年至少进行一次安全 自查和安全测评，第四级计算机信息系统应当每半年至 少进行一次安全自查和安全测评，第五级计算机信息系 统应当依据特殊安全要求进行安全自查和安全测评。
自查报告连同测评报告应当由计算机信息系统运营、 使用单位报地级以上市公安机关公共信息网络安全监察部 门。
41
1、各单位领导重视程度不够
2、经费保障不力或周期较长
3、没有完善的法律支撑
6、对信息安全等级保护检测评估服务机构的监督管理。
29
《广东省计算机信息系统安全保护条例》规定： 第二级以上计算机信息系统的运营、使用单位计算机 信息系统投入使用前未经符合国家规定的安全等级测评机 构测评合格的 ，由公安机关责令限期改正，给予警告； 逾期不改的，对单位的主管人员、其他直接责任人员 可以处五千元以下罚款，对单位可以处一万五千元以下罚 款。有违法所得的，没收违法所得； 情节严重的，并给予六个月以内的停止联网、停机整顿 的处罚；必要时公安机关可以建议原许可机构撤销许可或 者取消联网资格。

37



第286条 违反国家规定，对计算机信息系统功能 进行删除、修改、增加、干扰，造成计算机信息系 统不能正常运行，后果严重的，处五年以下有期徒 刑或者拘役；后果特别严重的，处五年以上有期徒 刑。 违反国家规定，对计算机信息系统中存储、处 理或者传输的数据和应用程序进行删除、修改、增 加的操作，后果严重的，依照前款的规定处罚。 故意制作、传播计算机病毒等破坏性程序，影 响计算机系统正常运行，后果严重的，依照第一款 的规定处罚。
19
《信息安全等级保护管理办法》指出: 信息安全等级保护是以信息为核心的。根据信息和信 息系统在国家安全、经济建设、社会生活中的重要程度； 遭到破坏后对国家安全、社会秩序、公共利益以及公民、 法人和其他组织的合法权益的危害程度；针对信息的保密 性、完整性和可用性要求及信息系统必须达到的基本的安 全保护水平等因素，对最核心的信息和信息系统划分为五 个安全保护和监管等级，实行分级保护。