网络安全等级保护定级指南

网络安全等级保护基础知识网络安全等级保护基础知识2019年12月1日，网络安全等级保护2.0开始实施。

到今年为止，网络安全等级保护制度在我国已实施了十多年，但大部分人对等保制度的理解还只是停留在表面，对等保制度的很多内容有不少误解。

下面是小编为大家整理的网络安全等级保护基础知识，仅供参考，欢迎阅读。

什么是网络安全等级保护网络安全等级保护是国家网络安全保障的基本制度、基本策略、基本方法。

开展网络安全等级保护工作是保护信息化发展、维护网络安全的根本保障，是网络安全保障工作中国家意志的体现。

网络安全等级保护工作包括定级、备案、建设整改、等级测评、监督检查五个阶段。

定级对象建设完成后，运营、使用单位或者其主管部门应当选择符合国家要求的测评机构，依据《网络安全等级保护测评要求》等技术标准，定期对定级对象安全等级状况开展等级测评。

实施意义●合法要求：满足合法合规要求，清晰化责任和工作方法，让安全贯穿全生命周期。

●体系建设：明确组织整体目标，改变以往单点防御方式，让安全建设更加体系化。

●等级防护：提高人员安全意识，树立等级化防护思想，合理分配网络安全投资。

法律要求《中华人民共和国网络安全法》【第二十一条】国家实行网络安全等级保护制度。

网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

法律解读：国家明确实行等级保护制度，网络运营者应按等级保护要求开展网络安全建设。

《中华人民共和国网络安全法》【第三十一条】国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

关键信息基础设施的具体范围和安全保护办法由国务院制定。

（关键信息基础设施必须落实国家等级保护制度，突出保护重点）法律解读：关键信息基础设施必须要落实等级保护制度，并要重点保护。

网络安全等级保护2.0-主要标准☐网络安全等级保护条例（总要求/上位文件）☐计算机信息系统安全保护等级划分准则（GB 17859-1999）（上位标准）☐网络安全等级保护实施指南（GB/T25058）（正在修订）☐网络安全等级保护定级指南（GB/T22240）（正在修订）☐网络安全等级保护基本要求（GB/T22239-2019）☐网络安全等级保护设计技术要求（GB/T25070-2019）☐网络安全等级保护测评要求（GB/T28448-2019）☐网络安全等级保护测评过程指南（GB/T28449-2018）特点1-对象范围扩大新标准将云计算、移动互联、物联网、工业控制系统等列入标准范围，构成了“安全通用要求+新型应用安全扩展要求”的要求内容特点2-分类结构统一新标准“基本要求、设计要求和测评要求”分类框架统一，形成了“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”支持下的三重防护体系架构特点2-强化可信计算新标准强化了可信计算技术使用的要求，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求例如可信验证-一级可基于可信根对设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。

例如可信验证-四级可基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的所有执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，并进行动态关联感知。

1、名称的变化☐原来：☐《信息系统安全等级保护基本要求》☐改为：☐《信息安全等级保护基本要求》☐再改为：（与《网络安全法》保持一致）☐《网络安全等级保护基本要求》2、对象的变化☐原来：信息系统☐改为：等级保护对象（网络和信息系统）☐安全等级保护的对象包括网络基础设施（广电网、电信网、专用通信网络等）、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等.3、安全要求的变化☐原来：安全要求☐改为：安全通用要求和安全扩展要求☐安全通用要求是不管等级保护对象形态如何必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求.4、章节结构的变化☐8 第三级安全要求☐8.1 安全通用要求☐8.2 云计算安全扩展要求☐8.3 移动互联安全扩展要求☐8.4 物联网安全扩展要求☐8.5 工业控制系统安全扩展要求5.分类结构的变化-1（2017试用稿）☐结构和分类调整为：⏹技术部分：☐物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；⏹管理部分：☐安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理5.分类结构的变化（正式发布稿）⏹技术部分：☐安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心⏹管理部分：☐安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理6.增加了云计算安全扩展要求云计算安全扩展要求章节针对云计算的特点提出特殊保护要求。

信息安全技术信息系统安全等级保护定级指南在当今数字化的时代，信息系统已经成为了企业、组织乃至整个社会运转的重要支撑。

然而，伴随着信息系统的广泛应用，信息安全问题也日益凸显。

为了保障信息系统的安全稳定运行，保护公民、法人和其他组织的合法权益，我国制定了信息系统安全等级保护制度。

其中，定级是等级保护工作的首要环节和关键步骤，它决定了信息系统所需采取的安全保护措施和投入的资源。

本文将为您详细介绍信息系统安全等级保护定级的指南。

一、信息系统安全等级保护定级的重要性信息系统安全等级保护定级是对信息系统的重要性和潜在风险进行评估和划分等级的过程。

其重要性主要体现在以下几个方面：1、明确安全责任：通过定级，能够明确信息系统所有者、运营者和使用者在信息安全方面的责任和义务，确保各方对信息安全工作有清晰的认识和目标。

2、合理配置资源：根据信息系统的等级，合理分配安全防护资源，避免过度投入或投入不足，提高安全防护的效率和效果。

3、提高安全意识：定级过程能够促使相关人员增强对信息安全的重视，提升整体的安全意识和防范能力。

4、满足法律法规要求：符合国家关于信息安全等级保护的法律法规和政策要求，避免因未履行相关义务而面临法律风险。

二、信息系统安全等级保护定级的原则在进行信息系统安全等级保护定级时，需要遵循以下原则：1、自主定级原则：信息系统的运营使用单位应当按照相关标准规范，自主确定信息系统的安全保护等级。

2、客观公正原则：定级过程应当基于信息系统的实际情况，客观、公正地评估其重要性和潜在风险，不受主观因素的干扰。

3、科学合理原则：采用科学的方法和手段，综合考虑信息系统的业务特点、数据类型、用户规模等因素，合理确定等级。

4、动态调整原则：信息系统的安全保护等级应根据其变化情况进行动态调整，确保等级的准确性和有效性。

三、信息系统安全等级保护的等级划分信息系统安全等级保护分为五级，从低到高依次为：第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级）。

信息系统安全等级保护定级指南1. 引言信息系统的安全等级保护定级对于保障信息系统的安全性至关重要。

本指南旨在给予系统管理员和安全团队一个关于信息系统安全等级保护定级的概述，以及相关的指导原则和建议。

2. 定义2.1 信息系统安全等级信息系统安全等级是对信息系统重要性和需求的一种标识。

根据信息系统对机密性、完整性、可用性、可信任性等方面的需求，将信息系统划分为不同的安全等级。

2.2 信息系统安全等级保护定级信息系统安全等级保护定级是根据信息系统的特性、功能、数据资产等因素，对信息系统进行安全等级评估，并给予相应的等级保护定级。

3. 安全等级保护定级的原则安全等级保护定级需要遵循以下原则：3.1 风险分析和评估在进行定级之前，需要对信息系统进行全面的风险分析和评估。

考虑到信息系统的特点和可能存在的威胁，以及可能造成的损失，评估系统中的安全风险。

3.2 机密性、完整性和可用性考虑信息系统的机密性、完整性和可用性需求。

不同的信息系统可能对这些方面的需求有所不同，因此在定级时需要充分考虑这些需求。

3.3 法律法规和标准要求根据相关的法律法规和标准要求，确定信息系统的安全等级。

不同的行业和地区对信息系统的安全等级有不同的要求，需要充分考虑这些因素。

3.4 保护资源的价值和重要性保护资源的价值和重要性是定级的重要因素。

信息系统中的数据、设备以及其他资源可能具有不同的价值和重要性，需要根据这些因素来确定安全等级。

3.5 平衡成本和效益定级需要在成本和效益之间进行平衡。

评估不同等级所需的投入和可能获得的效益，选择适当的等级保护方案。

4. 安全等级保护定级方法4.1 安全等级划分根据系统的特点和需求，将信息系统划分为不同的安全等级。

常见的安全等级划分包括：低、中、高三个等级，也可以根据实际情况划分更多的等级。

4.2 安全需求分析对不同安全等级的信息系统，进行安全需求分析。

根据机密性、完整性、可用性等方面的需求，确定不同等级信息系统的安全要求。

信息系统安全保护等级定级指南摘要本文档旨在为企业和组织提供信息系统安全保护等级定级指南，帮助他们评估和确定信息系统的安全保护等级。

通过合理的等级定级，企业和组织可以根据其业务需求制定相应的安全防护策略，提高信息系统的安全性。

1. 引言信息系统安全是当今数字化时代的重要议题。

随着互联网技术的发展和普及，企业和组织正面临着越来越多的安全威胁。

为了保护信息系统免受恶意攻击和非法访问，以及确保敏感信息的保密性、完整性和可用性，确定信息系统的安全保护等级至关重要。

等级定级是一个评估过程，通过评估信息系统在保密性、完整性和可用性方面的需求和风险来确定其安全保护等级。

本指南提供了一套可行的等级定级方法和准则，以帮助企业和组织评估其信息系统的安全需求，并建立相应的安全措施。

2. 安全保护等级安全保护等级是对信息系统在保密性、完整性和可用性方面的要求和风险进行划分的等级。

本指南采用了三级安全保护等级：•一级安全保护等级：对信息系统的安全需求要求最高，适用于处理高度敏感信息的系统，如核心业务系统、国家安全信息系统等；•二级安全保护等级：对信息系统的安全需求要求较高，适用于处理敏感信息的系统，如金融业务系统、医疗保健系统等；•三级安全保护等级：对信息系统的安全需求要求较低，适用于处理一般信息的系统，如企业内部协同系统、电子邮件系统等。

每个等级都对保密性、完整性和可用性进行了明确的要求和评估准则，以帮助企业和组织确定其信息系统所需的安全保护等级。

3. 等级定级过程等级定级是一个系统的、有步骤的过程，以确定信息系统的安全保护等级。

以下是等级定级过程的主要步骤：3.1 识别信息系统首先，需要明确要定级的信息系统，包括系统的角色、功能、业务流程等。

这有助于更好地理解系统的需求和风险。

3.2 确定安全目标根据信息系统的角色和功能，确定安全目标，包括保密性、完整性和可用性。

例如，对于一级安全保护等级的信息系统，保密性要求可能非常高，而可用性要求相对较低。

网络安全预警指南1 范围本标准给出了网络安全预警的分级指南与处理流程。

本标准为及时准确了解网络安全事件或威胁的影响程度、可能造成的后果，及采取有效措施提供指导，也适用于网络与信息系统主管和运营部门参考开展网络安全事件或威胁的处置工作。

2 规范性引用文件下列文件对于本文件的应用是必不可少的。

凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 22240—2008 信息安全技术信息系统安全等级保护定级指南GB/T 25069—2010 信息安全技术术语3 术语和定义GB/T 25069—2010中界定的以及下列术语和定义适用于本文件。

为了便于使用，以下重复列出了GB/T 25069-2010中的某些术语和定义。

3.1网络安全保护对象 object of cyber security protection亦指资产，对组织具有价值的信息或资源，是安全策略保护的对象。

注：主要指重要信息系统的应用、数据、设备。

[GB/T 20984—2007，定义3.1]3.2网络安全威胁 cyber security threat对网络安全保护对象可能导致负面结果的一个事件的潜在源。

注：例如，计算机恶意代码、网络攻击行为等。

3.3攻击 attack在信息系统中，对系统或信息进行破坏、泄露、更改或使其丧失功能的尝试（包括窃取数据）。

[GB/T 25069—2010,定义2.2.1.58]3.4网络安全事件 cyber security incident由于自然或者人为以及软硬件本身缺陷或故障的原因，对网络或信息系统造成危害，或对社会造成负面影响的事件。

3.5预警 warning针对即将发生或正在发生的网络安全事件或威胁，提前或及时发出的安全警示。

4 网络安全预警分级4.1 网络安全预警分级要素4.1.1 概述网络安全预警的分级主要考虑两个要素：网络安全保护对象的重要程度与网络安全保护对象可能受到损害的程度。

信息系统安全等级保护定级指南doc信息系统安全等级保护定级指南一、引言随着信息技术的飞速发展，信息系统的应用已经深入到政府、金融机构、教育机构、公用事业和各类企业中。

与此同时，信息安全问题也日益突出。

为了保障国家关键信息基础设施的安全，防止未经授权的访问、数据泄露和破坏等行为，信息系统安全等级保护定级指南变得尤为重要。

二、信息系统安全等级保护概述信息系统安全等级保护是根据信息的重要性、类别和特征，将其划分为不同的安全等级，并采取相应的安全措施。

安全等级从一级到五级依次提高，代表着信息的重要性和敏感程度。

三、定级方法1、信息分类：根据信息的性质、内容、用途等，将其划分为机密、秘密、内部和公开等不同等级。

2、资产评估：对信息系统的硬件、软件、数据等资产进行评估，分析其价值、重要性以及对组织的影响。

3、威胁评估：分析可能对信息系统构成威胁的因素，包括外部攻击、内部恶意行为、自然灾害等。

4、安全措施评估：评估现有安全措施的有效性，包括防火墙、入侵检测系统、加密技术等。

四、定级步骤1、确定信息系统的业务范围和安全需求。

2、进行资产评估，确定信息系统的资产价值。

3、分析可能面临的威胁，评估安全风险。

4、根据评估结果，确定信息系统的安全等级。

5、采取相应的安全措施，确保信息系统安全等级与业务需求相匹配。

五、总结信息系统安全等级保护定级指南在信息安全工作中具有重要意义。

通过科学合理的定级方法，可以确保信息系统的安全等级与业务需求相匹配，有效降低信息安全风险。

各级政府部门、企事业单位等应加强对信息系统安全等级保护的重视，采取必要措施，确保信息安全。

同时，需要不断加强技术研发和管理制度的完善，提高信息安全保障水平，为信息社会的稳定发展做出贡献。

六、参考文献1、《中华人民共和国网络安全法》2、《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-20193、《信息安全技术信息系统安全等级保护定级指南》GB/T 28873-2012。

1信息系统安全等级保护定级指南为宣贯《信息系统安全等级保护定级指南》（以下简称《定级指南》）国家标准，由标准起草人介绍标准制、修订过程，讲解标准的主要内容,解答标准执行中可能遇到的问题。

1.1定级指南标准制修订过程1.1.1制定背景本标准是公安部落实66号文件，满足开展等级保护工作所需要的重要规范性文件之一，是其他标准规范文件的基础。

本标准依据66号文件和“信息安全等级保护管理办法”的精神和原则，从信息系统对国家安全、经济建设、社会生活重要作用，信息系统承载业务的重要性、业务对信息系统的依赖程度和信息系统的安全需求等方面的因素，确定信息系统的安全保护等级，提出了分级的原则和方法。

本任务来自全国信息系统安全标准化技术委员会，由全国信息安全标准化技术委员会WG5工作组负责管理。

1.1.2国外相关资料分析本标准编制前，编制人员收集与信息系统确定等级相关的国外资料，其中主要是来自美国的标准或文献资料，例如：●FIPS 199 Standards for Security Categorization of Federal Information and InformationSystems（美国国家标准和技术研究所）●DoD INSTRUCTION 8510.1-M DoD Information Technology Security Certificationand Accreditation Process Application Manual（美国国防部）●DoD INSTRUCTION 8500.2 Information Assurance (IA) Implementation（美国国防部）●Information Assurance Technology Framework3.1（美国国家安全局）这些资料表明，美国政府及军方也在积极进行信息系统分等级保护的尝试，从一个侧面反映了分等级对重要信息系统实施重点保护的思想不仅适用于像我国这样的信息技术水平不高的发展中国家，也适用于信息化发达国家。