下载文档原格式
第四章信息系统保护的一般方法和过程4.2安全规划与设计安全规划设计的目的是通过安全需求分析判断信息系统的安全保护现状与等级保护基本要求之间的差距，确定安全需求，然后根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划等，以指导后续的信息系统安全建设工程实施。
国家提出的等级保护基本要求，是国家为了等级保护的实施出台的一个关于技术与管理的标准，给出不同等级的信息系统应该达到一个基线要求，但是它并不能完全体现一个机构信息系统的安全需求，与总体设计相关的技术标准还有《计算机信息系统安全等级划分准则》(GB17859-1999)《信息安全技术信息系统安全管理要求》(GBT 20269-2006);《信息安全技术网络基础安全技术要求》(GB120270-2006);《信息安全技术信息系统通用安全技术要求》(GBT 20271-2006);《信息安全技术操作系统安全技术要求》(GBT 20272-2006);《信息安全技术数据虚管理系统安全技术要求》( GBT 20273-2006)。
这些标准是目标标准，但这些标准的制定并没有考虑信息资产环境的因素，使用这些标准进行信息系统安全设计时，应该考虑信息的资产环境因素。
按照我国信息安全专家吉增瑞先生的观点，对信息系统的定级是对信息资产与资产环境（主要是威胁）的评估，而所确定的等级是信息系统的需求等级。
本书认同他对信息系统的定级，所确定酌的等级是信息系统的需求等级，但是，定级主要是对信息资产的定级，是信息资产的价值需要做这相应等级保护需求的决定，而不必考虑资产的环境。
对于资产环境的考虑，则应该在考虑信息系统的安全保护措施时来考虑。
4.2.1 安全规划设计安全规划设计是要在安全需求分析的基础上进行安全总体的设计。
在安全总体设计的基础上进行安全建设规划。
1．安全需求分析安全需求分析首先应判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，这种差距作为初步的安全需求；除上述安全需求外，还要通过风险分析的方法确定系统额外的安全需求，这种需求反映在对特殊环境和威胁的安全保护要求，或对系统重要对象的较高保护要求方面。
