前言：中文期刊网精心挑选了网络安全等级划分范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络安全等级划分范文1
为了保障安全，大数据平台依照“安全三同步”原则进行建设，即同步规划、同步组织实施、同步运作投产。
奇虎360的大数据平台安全保障体系框架如图B-7所示。大数据平台安全保障体系框架包括“安全职责划分”，“安全区域划分”，“安全级别划分”，“安全监测模块”，“安全防御模块”，“业务安全与安全运维模块”，“安全响应中心模块”等部分。
安全职责划分
安全职责划分是整体方案的基础，所有技术手段都应贴近安全职责划分，为其服务。梳理大数据平台各方安全责任边界，对整个活动中的安全事件进行详细的责任划分。
安全区域划分
大数据平台环境相对复杂，涉及多类业务，多类系统，现有网络结构已经考虑了分级问题，在此基础上，需进一步细化安全域的划分以及不同安全域、不同安全级别的访问控制设计。
安全级别划分
按照安全区域划分结果，为每个区域制定响应的安全等级，区域安全等级与用户安全等级、数据安全等级相互对应。通过安全级别的划分确保可信合规使用资源。
安全监测模块
其中主要包括大数据平台安全防御审查系统并提供基于人工或自动化的多层次的安全监测服务。
安全防御模块
按照统一规划、统一标准的设计思路，在充分考虑当前网络应用和实际环境的基础上，对整体的网络划分为若干个安全域和安全区，建设大数据平台面向各个区域的基础安全防御系统和大数据平台自身的防御系统。
业务安全与安全运维模块
实现安全运维操作的分级管理，针对大数据业务安全和安全运维工作的用户赋予符合其安全职责划分的权限，实现业务安全和安全运维。
网络安全等级划分范文2
[关键词] 信息等级保护概述；中国石油；等级保护建设
[中图分类号] TP391；X913.2 [文献标识码] A [文章编号] 1673 - 0194（2013）05- 0057- 02
1 信息等级保护制度概述
信息安全等级保护制度是国家信息安全保障工作的基本制度，是促进信息化健康发展的根本保障。其具体内容包括：①对国家秘密信息，法人和其他组织及公民的专有信息以及公开信息，存储、传输、处理这些信息的信息系统实行分等级安全保护、分等级监管；②对信息系统中使用的信息安全产品实行按等级管理；③对信息系统中发生的信息安全事件分等级响应、处置。信息安全等级保护配套政策体系及标准体系如图1、图2所示。
定条件的测评机构开展等级测评；④建设整改：备案单位根据信息系统安全等级，按照国家政策、标准开展安全建设整改；⑤检查：公安机关定期开展监督、检查、指导。
2 中国石油信息安全等级保护制度建设
中国石油信息化建设处于我国大型企业领先地位，在国资委历年信息化评比中都名列前茅。2007 年全国开展信息安全等级保护工作之后，中国石油认真贯彻国家信息安全等级保护制度各项要求，全面开展信息安全等级保护工作。逐步建成先进实用、完整可靠的信息安全体系，保障信息化建设和应用，支撑公司业务发展和总体战略的实施，使中国石油的信息安全保障能力显著提高。主要采取的措施有以下几个方面：
（1）以信息安全等级保护工作为契机 ， 全面梳理业务系统并定级备案。中国石油根据国家信息安全等级保护制度要求，建立自上而下的工作组织体系，明确信息安全责任部门，对中国石油统一建设的应用系统进行等级保护定级和备案，通过制定《中国石油天然气集团公司重要信息系统安全等级保护定级实施暂行意见》，加强桌面安全、网络安全、身份认证等安全基础防护工作，加快开展重要信息系统的等级测评和安全建设整改工作，进一步提高信息系统的安全防御能力，提高系统的可用性和安全性。在全面组织开展信息系统等级保护定级备案工作之后，聘请专业测评机构，及时开展等级测评、安全检查和风险评估工作，并通过等级测评工作查找系统的不足和安全隐患，制订安全整改方案，开展安全整改和加固改造，保障信息系统持续安全稳定运行。
（2）以信息安全等级保护工作为抓手 ， 全面推动中国石油信息安全体系建设。中国石油以信息安全等级保护工作为抓手，完善信息安全整体解决方案，建立技术保障体系、管理保障体系和控制保障体系。采用分级、分域的纵深防御理念，将桌面安全、身份认证、网络安全、容灾等相关技术相互结合，建立统一的安全监控平台和安全运行中心，实现对应用系统的授权访问、桌面计算机的安全控制、网络流量的异常监控、恶意软件与攻击行为的及时发现与防御、业务与数据安全保障等功能，显著提高抵御外部和内部信息安全威胁的能力。建立了总部、区域网络中心、企事业单位三级信息系统安全运维队伍；采用集中管理、分级维护的管理模式，网络与安全运维人员采用授权方式，持证上岗，建立网络管理员、安全管理员和安全审计员制度；初步建立起中国石油内部信息安全风险评估队伍，并于 2010 年完成地区公司的网络安全风险评估工作。
（3）建立重要信息系统应急处置预案，完善灾难恢复机制。2008 年，中国石油了《网络与信息安全突发事件专项应急预案》，所有业务系统、网络管理、安全管理等都建立了应急响应处置预案和灾备系统，保障业务系统在遭遇突发事件时，能快速反应并恢复业务系统可用性。通过灾难恢复项目研究，形成了现状及风险分析、灾难恢复等级划分、灾备部署策略分析和灾备部署方案四步法，划分了信息系统灾难恢复等级，完善了灾难恢复机制。
（4）规划信息安全运行中心，建立重要信息系统安全监控机制。中国石油规划了信息安全运行中心的建设方案，提出了信息安全运行中心建设目标，通过网络运行状态、安全信息数据汇集、安全监测分析功能和安全管理流程的有机整合，实现中国石油 信息安全状况的可感知、可分析、可展示、可管理和可指挥，形成中国石油信息安全事件分析、风险分析、预警管理和应急响应处理一体化的技术支撑能力；通过完善安全运行管理体系，将安全运行管理组织、安全运维管理流程和安全监测预警系统三方面有机结合，实现事前预警防范、事中监控处置、事后追溯定位的信息安全闭环运行机制，形成中国石油统一的应急指挥与协调调度能力，为中国石油信息安全保障奠定良好的基础。
3 信息安全等级保护工作存在的不足及改进建议
信息安全等级保护管理办法 （公通字[2007]43号）正式标志着全国范围内的信息安全等级保护工作开始，通过5年的努力，全国信息安全工作形成了以落实信息安全等级保护制度为核心，信息通报、应急处理、技术研究、产业发展、网络信任体系和标准化建设等工作快速发展的良好局面，重要行业部门的信息安全意识、重视程度、工作能力有了显著提高。40余个重要行业出台了100余份行业等级保护政策文件，20余个重要行业出台了40余份行业等级保护标准，但同时存在着以下不足：
（1）对信息安全工作的认识不到位，对重要信息系统安全保护缺乏应有的重视。依据公安部相关资料统计，截至2012年6月，我国有18%的单位未成立信息安全工作领导机构；21%的单位未落实信息安全责任部门，缺乏信息安全整体规划；14个行业重要信息系统底数不清、安全保护状况不明；12个行业未组织全行业信息安全专门业务培训，开展信息安全工作的思路和方法不得当，措施不得力。20%的单位在信息系统规划过程中，没有认真制定安全策略和安全体系规划，导致安全策略不得当；22%的信息系统网络结构划分不合理，核心业务区域部署位置不当，业务应用不合理，容易导致黑客入侵攻击，造成网络瘫痪，数据被窃取和破坏。34.6%的重要信息系统未配置专职安全管理人员，相关岗位设置不完整，安全管理人员身兼多职；48%的单位信息安全建设资金投入不足，导致重要信息系统安全加固和整改经费严重缺乏；27%的单位没有针对安全岗位人员制订相关的培训计划，没有组织开展信息安全教育和培训，安全管理、运维技术人员能力较弱。
（2）重要信息系统未落实关键安全保护技术措施。重要信息系统未落实安全审计措施。在主机层面，有34.9%的信息系统没有保护主机审计记录，34.8%的信息系统没有保护主机审计进程，容易导致事故责任无法认定，无法确定事故（事件）原因，影响应急处理效率。38%的信息系统没有落实对重要系统程序和文件进行完整性检测和自动恢复的技术措施，35%的信息系统没有采取监测重要服务器入侵行为的技术措施，容易使内部网络感染病毒，对攻击行为无法进行有效监测和处置。
（3）我国信息技术与国外存在一定差距，安全专业化服务力量薄弱。具有我国自主知识产权的重要信息技术产品和核心技术水平还有待提高，依赖国外产品的情况还比较普遍；国内信息安全专业化服务力量薄弱，安全服务能力不强，部分重要信息系统的关键产品维护和系统运维依赖国外厂商，给重要信息系统安全留下了隐患。
为了有效提高我国企业信息安全水平，增加等级保护的可行性及执行力，建议：①各企业开展以信息安全等级保护为核心的安全防范工作，提高网络主动防御能力，并制订应急处置预案，加强应急演练，提高网络应急处置能力。②加大人员和资金投入，提高保障能力。③国家层面加快关键技术研究和产品化，重视产品供应链的安全可控。
主要参考文献
[1]中国石油天然气集团公司. 中国石油天然气集团公司全面开展信息安全等级保护工作为信息化建设保驾护航[J].信息网络安全，2012（1）.
网络安全等级划分范文3
关键词辛置煤矿；安全性评价；神经网络
通过较为细致的特征刻画，按照国家煤矿安全指引的相关要求，分析辛置煤矿的煤矿安全影响因素，建立该矿安全计分标准和分类依据。然后以神经网络方法为基础，建立针对该矿的煤矿安全评价模型[1]，给出方法检验和算例分析的同时，给出辛置煤矿的安全性评价结果。
1煤矿安全评价要素
煤矿安全要素主要分为人的安全要素、设备安全要素、环境安全要素和管理安全要素，具体划分见表1。（1）人的安全要素主要有D1～D12，即身体健康状况、劳动强度状况、工作负荷、情绪特征、工作满意度、工作压力、知识文化程度、安全态度、工作匹配度、人员操作准确率、工作经验与技能、模糊安全性状态。当身体健康状况好，劳动强度低、工作负荷小、情绪稳定、工作满意、工作压力小、文化程度高、安全态度好、工作匹配度高、操作准确率高、经验丰富、模糊性低的时候，人的安全要素总体而言会处于较高的水平，反之则处于较低水平[2,3]。（2）设备安全要素主要有D13～D20，即设备有效度、设备模糊安全性、机械化采煤率、机械化掘进率、安全监控系统运转率、瓦斯检测仪配备率、三专两闭锁使用率、安全保护装置灵敏度。当设备有效率高、模糊安全性高、机械化程度高、安全监控运转率高、瓦斯监测仪配备率高、三专两闭使用率高、安全保护装置灵敏度高时，设备安全要素将会处于较高水平，反之处于较低水平。（3）环境安全要素主要有D21～D36，即噪声、粉尘、煤层自燃性、煤层瓦斯、围岩含水性、围岩温度、围岩稳定性、煤层倾角、断层、古河床冲刷、陷落柱。当噪声水平低、粉尘污染小、自燃性低、瓦斯气少、围岩含水性低、围岩温度低、围岩稳定性好、倾角外向、断层不发育时，环境安全要素水平较高。（4）管理安全要素主要有D37～D66，即伤亡事故、三违情况、事故影响产量、事故隐患、事故影响时间、经济损失、干部持证率、特殊工种持证率、新工人持证率、管理手册、程序文件、作业手册、瓦斯管理措施、火灾管理措施水灾管理措施、顶板管理措施、安措项目完成率、安措资金使用率、矿井质量标准化率、安全质量管理达标率、安全合格班组建成率、粉尘作业点合格率、消防系统、自救器保障程度、专业化矿山救护队、应急救援预案、矿井安全出口、安全物质文化、安全精神文化、安全行为文化。当管理水平较高，以上管理安全要素具有较高的实现率时，可以达到较高的安全管理水平[4,5]。根据霍煤辛置煤矿以上四个方面的安全要素，建立了煤矿安全评价的指标体系，通过将人员安全、机械安全、环境安全和管理安全有机的结合起来，将D1~D66共计66个煤矿安全指标，按照国家煤矿安全指导原则，建立表2中的霍煤辛置煤矿安全计分标准，通过进一步的后置神经网络模型开展霍煤辛置煤矿的安全性评价工作。
2辛置煤矿安全评价的神经网络模型分析
神经网络是模拟人类脑部神经元功能而给出的一种人工智能方法。该方法具有自组织性和较好的鲁棒性。使用后置人工神经网络开展霍煤辛置煤矿的安全性评价。将D1~D66共计66个煤矿安全指标作为人工神经元的输入信号，将表2中的霍煤辛置煤矿安全等级评价分值作为输出信号。具体来讲，输入2015年1月~2015年10月期间的人员安全因素、设备安全因素、环境安全因素和管理安全因素，通过神经网络样本的学习，建立D1~D66与霍煤辛置煤矿安全等级评价分值之间的神经网络模型，并进一步的使用该模型预测2015年11月和12月的安全等级评价分值。本研究过程中所使用的霍煤辛置煤矿安全要素数据、期望值及神经网络评价值如表3。由表3可以发现，11月的神经网络安全评价值为0.911，12月的神经网络安全评价值为0.902，均处于较高的安全等级水平。按照表2给出的霍煤辛置煤矿安全等级划分标准，霍煤辛置煤矿在11月和12月的安全等级均为A级，即为较为理想的安全煤矿。
3结论
网络安全等级划分范文4
关键词：企业；网络安全防护；网络管理
中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2010) 16-0000-02
The Construction of Enterprise Computer Network Security Protection System
Zhang Xu
(Xi'an Xianyang International Airport Co.,Ltd.,Xianyang 712035,China)
Abstract:With the development of network technology and the falling cost of network products,computer network has been in daily operation of enterprises play an increasingly important role.From e-commerce to e-mail, to the most basic file sharing,network communication,a good network system to improve efficiency,strengthen internal cooperation and communication between enterprise and outside to deal with customer demands have played a key role;However,a problem can not be ignored because of the vulnerability of the network itself,resulting in the existence of network security issues.This article illustrates the importance of enterprise network security,analysis of network threats facing enterprises,from the technical architecture and network management proposed appropriate network security policies.
Keywords:Enterprise;Network security protection;Network management
一、企业网络安全的重要性
在信息社会中，信息具有和能源、物源同等的价值，在某些时候甚至具有更高的价值。具有价值的信息必然存在安全性的问题，对于企业更是如此。例如：在竞争激烈的市场经济驱动下，每个企业对于原料配额、生产技术、经营决策等信息，在特定的地点和业务范围内都具有保密的要求，一旦这些机密被泄漏，不仅会给企业，甚至也会给国家造成严重的经济损失。
二、企业网络安全风险分析
网络安全涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性应用，企业网络安全也不例外。企业网络安全的本质是保证在安全期内，网络上流动或者静态存放的信息不被非法用户访问，而合法授权用户可以正常访问。企业网络安全的目标是保障信息资产的机密性、完整性和可用性。通过对企业网络现状分析，并与资产的机密性、完整性和可用性的要求比较，我们总结出企业主要面临的安全威胁和问题主要体现在以下几个方面。
（一）网络物理安全风险分析
地震、水灾、火灾等环境事故会造成整个系统毁灭；电源故障会导致设备断电以至操作系统引导失败或数据库信息丢失；设备被盗、被毁造成数据丢失或信息泄漏；电磁辐射可能造成数据信息被窃取或偷阅。
（二）网络边界安全风险分析
网络的边界是指两个不同安全级别的网络的接入处。对于骨干网来说，网络边界主要存在于Internet和出口外部网络的连接处，内部网络中办公系统和业务系统之间以及内部网络之间也存在不同安全级别子网的安全边界。如果没有采取一定的安全防护措施，内部网络容易遭到来自外网一些不怀好意的入侵者的攻击。
（三）应用服务系统安全风险分析
目前使用的操作系统主要包括Windows、UNIX操作系统，应用系统主要通过外购、自行开发的系统，这些系统可能存在着“Back-Door”或安全漏洞。这些“后门”或安全漏洞都将存在重大安全隐患。
（四）网络内部安全风险分析
网络安全攻击事件70%是来自内部网络；通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径使病毒程序潜入内部网络；而网络是病毒传播的最好、最快的途径之一；内网客户端一旦感染病毒就很容易对整个网络造成危害；所以内网客户端的病毒防护和补丁管理等是网络安全管理的重点。
（五）网络管理的安全风险分析
在网络安全中，安全策略和管理扮演着极其重要的角色，如果没有制定有效的安全策略，没有进行严格的安全管理制度来控制整个网络的运行，那么这个网络就很可能处在一种混乱的状态。再者就是安全管理意识不强。企业管理层重视程度不够，认为花钱就能解决问题，盲目追求先进，甚至打算一步到位。
三、企业计算机网络安全体系的建构
企业中计算机网络安全防护体系的构建应该依据以下步骤：应用分析划分适当的安全域风险分析以《计算机信息系统安全等级划分准则》为依据，确定相应的安全等级以安全保护（PDRR）模型为指导，以保护信息的安全为目标，以计算机安全技术、加密技术和安全管理等为方法进行分层保护构建整体的安全保护保障体系。
（一）应用分析
应用分析，应该包括二个方面，一是用途分析；二是对信息网络上的信息资产进行分析。不同的应用，信息资产也是不同的，存在的安全问题也肯定是不同的。试想一个单纯的接人互联网的信息网络（如网吧）与政府的办公网络的安全问题会一样吗?实际上，在同一个信息网络上，流动的信息也是不一样的，它们安全性的要求当然也是不同的。
（二）风险分析
在进行了应用分析的基础上，应该对某一用途，或某一级别或类别的信息，或某一安全域进行风险分析。这种分析可用一个二维的表格来实现。首先确定某一信息类别，或一个安全域，以可能发生的风险为X轴，对应于每一个风险，应该有3个参数填入到表格中，一个是该风险发生的概率，另一个是该类信息对该风险的容忍程度，再一个是该风险可能发生的频率。事件发生的概率，目前可能很难给出量化值，可以给出一个等级标准，如不易发生，易发生和极易发生，而容忍度也只能给出等级，如无所谓、可以容忍，不能容忍和绝对不能容忍等。实际上我们在风险分析时，可以将风险列得更细些，更全面些。对一个与互联网没有物理联结的内部网络来说，通过互联网发生的人侵，发生的病毒灾害应该是不易发生的是小概率事件，而对于一个网站来说，这二者且是极易发生的事件。
（三）确定安全等级
在对信息分级和分类基础上，应该依据《计算机信息系统安全等级划分准则》（国标17859）确定相应的安全保护等级。《准则》给出了五个等级标准，每个标准等级都相应的要求。笔者认为不一定完全的套用某一个级别，可以根据风险分析的结果，与准则中的要求进行一定的对应，确定准则中的某一个级别，或以一个级别为基础，在某些方面可做加强，而在另一些方面可以相对减弱。再次强调，保护应该是信息分级为基础，对于不同级别的信息保护强度是不一样，不同等级信息，最好在不同的安全域中加以保护。这样不需要保护的信息就可以不加保护，而需要加强保护的信息，就可以采取相对强度较高的保护措施。但这种保护，必须兼顾到应用，不能因为保护而造成系统的应用障碍不过为了安全牺牲掉一些应用的方便性也是必要的。
（四）分层保护问题
确定了安全级别之后，在风险分析的基础上，应该以计算机安全保护（PDRR）模型为指导，以《计算机信息系统安全等级划分准则》的依据，以计算机技术、计算机安全保护技术、保密技术和安全管理等为保护手段，以信息的机密性、完整性、可控性、可审计性、可用性和不可否认性等为安全为保护目标，分层分析和制定保护措施。所谓分层保护，就是要把所列出的那些较为容易发生，且又不能容忍的风险，分解到各个层面上，然后利用计算机技术、计算机安全保护技术、加密技术和安全管理手段尽量的按一定的强度加以保护，以规避相应的风险。如信息抵赖的风险，应该发生在用户层面，可以用对用户的身份认证技术来解决这样的风险。火灾、水灾都应该在物理层面上加以保护。许多风险可能是对应于多个层面，那就应该在多个层面上加以保护，如信息泄露，在所有的层面上都会发生，那就应该在所有的层面加以保护。
（五）构建完整的保障体系
对信息网络进行了分层次的安全保护，好像我们的任务就已经完成了，实际上则不然。信息网络是一个整体，对它的保护也应该是一个整体。首先，在进行分层保护的策略制定以后，首先应该在整体上进行评估，特别是结合部安全是还存在着问题。如，通过数据库可以获得系统的超级用户权限。其次，我们是以不同的信息资产或不同的安全域来进行分层保护的，而不是整个网络。此时我们应该对不同的信息资产或不同的安全域的分层保护方案进行比较和综合并进行适当的调整，考虑信息网络整体的保护方案。第三是应该选择适当的安全产品或安全技术。在安全产品的选择上即要考虑产品本身的先进性，还应该考虑安全产品本身的成熟性，对一些非常重要的信息网络，不要第一个去吃螃蟹。最后还应该考虑对网络中的安全产品实现统一的动态管理和联动，使之能成为一个动态的防范体系，成为一个有机的整体。动态管理应该考虑，安全策略发生错误和失效的修改，以及对安全产品失效的对策，应该有预案。联动，就是使所有使用的安全产品，在发生安全事件时，能够成为一个防范的整体。整体的安全体系的建立，还应该对安全的措施成本进行核算，国外的信息网络在安全方面的投人可达到系统建设费用的15%-30%，这个费用标准我们可以用来参考。核算措施成本后，还应该对成本效益进行评估，对于保护费用与效益在同一数量级上的花费，则应该考虑是否有必要进行这样的保护。
四、结束语
技术与管理相结合，是构建计算机网络信息系统安全保密体系应该把握的核心原则。为了增强计算机网络信息系统和计算机网络信息系统网络的综合安全保密能力，重点应该在健全组织体系、管理体系、服务体系和制度（技术标准及规范）体系的基础上，规范数据备份、密钥管理、访问授权、风险控制、身份认证、应急响应、系统及应用安全等管理方案，努力提高系统漏洞扫描、计算机网络信息系统内容监控、安全风险评估、入侵事件检测、病毒预防治理、系统安全审计、网络边界防护等方面的技术水平。
参考文献：
网络安全等级划分范文5
随着信息安全等级保护工作的不断深化，已延伸到医疗卫生行业。卫计委要求三级医院核心业务系统定级不低于第三级。本文结合医院实际，介绍了医院信息安全等级保护工作的建设，阐明了信息系统的定级、备案、整改、测评四个实施步骤，以供大家探讨。
关键词：
医院信息安全；等级保护工作；等级测评
一、引言
随着我国信息化建设的快速发展与广泛应用，信息安全的重要性愈发突出。在国家重视信息安全的大背景下，推出了信息安全等级保护制度。为统一管理规范和技术标准，公安部等四部委联合了《信息安全等级保护管理办法》（公通字[2007]43号）。随着等级保护工作的深入开展，原卫生部制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号），进一步规范和指导了我国医疗卫生行业信息安全等级保护工作，并对三级甲等医院核心业务信息系统的安全等级作了要求，原则上不低于第三级。从《关于信息安全等级保护工作的实施意见》中可知信息安全等级保护对象是国家秘密信息、法人和其他组织以及公民的专有信息和公开信息。对信息系统及其安全产品进行等级划分，并按等级对信息安全事件响应[1]。
二、医院信息安全等级保护工作实施步骤
2.1定级与备案[2]。
根据公安部信息安全等级保护评估中心编制的《信息安全等级保护政策培训教程》，有两个定级要素决定了信息系统的安全保护等级，一个是等级保护对象受到破坏时所侵害的客体，另外一个是对客体造成侵害的程度。对于三级医院，门诊量与床位相对较多，影响范围较广，一旦信息系统遭到破坏，将会给患者造成生命财产损失，对社会秩序带来重大影响。因此，从影响范围和侵害程度来看，我们非常认同国家卫计委对三级甲等医院的核心业务信息系统安全等级的限制要求。在完成定级报告编制工作后，填写备案表，并按属地化管理要求到市级公安机关办理备案手续，在取得备案回执后才算完成定级备案工作。我院已按照要求向我市公安局网安支队，同时也是我市信息安全等级保护工作领导小组办公室，提交了定级报告与备案表。
2.2安全建设与整改[3]。
在完成定级备案后，就要结合医院实际，分析信息安全现状，进行合理规划与整改。
2.2.1等保差距分析与风险评估。
了解等级保护基本要求。《信息系统安全等级保护基本要求》分别从技术和管理两方面提出了基本要求。基本技术要求包括五个方面：物理安全、网络安全、主机安全、应用安全和数据安全，主要是由在信息系统中使用的网络安全产品（包括硬件和软件）及安全配置来实现；基本管理要求也包括五个方面：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理，主要是根据相关政策、制度以及规范流程等方面对人员活动进行约束控制，以期达到安全管理要求[4]。技术类安全要求按保护侧重点进一步划分为三类：业务信息安全类（S类）、系统服务安全类（A类）、通用安全保护类（G类）。如受条件限制，可以逐步完成三级等级保护，A类和S类有一类满足即可，但G类必须达到三级，最严格的G3S3A3控制项共计136条[5]。医院可以结合自身建设情况，选择其中一个标准进行差距分析。管理方面要求很严格，只有完成所有的154条控制项，达到管理G3的要求，才能完成三级等级保护要求。这需要我们逐条对照，发现医院安全管理中的不足与漏洞，找出与管理要求的差距。对于有条件的三甲医院，可以先进行风险评估，通过分析信息系统的资产现状、安全脆弱性及潜在安全威胁，形成《风险评估报告》。经过与三级基本要求对照，我院还存在一定差距。比如：在物理环境安全方面，我院机房虽有灭火器，但没安装气体灭火装置。当前的安全设备产品较少，不能很好的应对网络入侵。在运维管理方面，缺乏预警机制，无法提前判断系统潜在威胁等。
2.2.2建设整改方案。
根据差距分析情况，结合医院信息系统安全实际需求和建设目标，着重于保证业务的连续性与数据隐私方面，满足于临床的实际需求，避免资金投入的浪费、起不到实际效果。整改方案制订应遵循以下原则：安全技术和安全管理相结合，技术作保障，管理是更好的落实安全措施；从安全区域边界、安全计算环境和安全通信网络进行三维防护，建立安全管理中心[6]。方案设计完成后，应组织专家或经过第三方测评机构进行评审，以保证方案的可用性。整改方案实施。实施过程中应注意技术与管理相结合，并根据实际情况适当调整安全措施，提高整体保护水平。我院整改方案是先由医院内部自查，再邀请等级测评公司进行预测评，结合医院实际最终形成的方案。网络技术人员熟悉系统现状，易于发现潜在安全威胁，所以医院要先自查，对自身安全进行全面了解。等级测评公司派专业安全人员进驻医院，经过与医院技术人员沟通，利用安全工具进行测试，可以形成初步的整改报告，对我院安全整改具有指导意义。
2.3开展等级保护测评[7]。
下一步工作就是开展等级测评。在测评机构的选择上，首先要查看其是否具有“DICP”认证，有没有在当地公安部门进行备案，还可以到中国信息安全等级保护网站进行核实。测评周期一般为1至2月，其测评流程如下。
2.3.1测评准备阶段。
医院与测评机构共同成立项目领导小组，制定工作任务与测评计划等前期准备工作。项目启动前，为防止医院信息泄露，还需要签订保密协议。项目启动后，测评机构要进行前期调研，主要是了解医院信息系统的拓扑结构、设备运行状况、信息系统应用情况及安全管理等情况，然后再选择相应的测评工具和文档。在测评准备阶段，主要是做好组织机构建设工作，配合等级测评公司人员的调查工作。
2.3.2测评方案编制阶段。
测评内容主要由测评对象与测评指标来确定。我院测评对象包含三级的医院信息系统、基础网络和二级的门户网站。测评机构要与医院沟通，制定工具测试方法与测评指导书，编制测评方案。在此阶段，主要工作由等级测评机构来完成。
2.3.3现场测评阶段。
在经过实施准备后，测评机构要对上述控制项进行逐一测评，大约需要1至2周，需要信息科人员密切配合与注意。为保障医院业务正常开展，测评工作应尽量减少对业务工作的冲击。当需要占用服务器和网络资源时应避免业务高峰期，可以选择下班时间或晚上。为避免对现有业务造成影响，测评工具应在接入前进行测试，同时要做好应急预案准备，一旦影响医院业务，应立即启动应急预案[8]。在对209条控制项进行测评后应进行结果确认，并将资料归还医院。该阶段是从真实情况中了解信息系统全面具体的主要工作，也是技术人员比较辛苦的阶段。除了要密切配合测评，还不能影响医院业务开展，除非必要，不然安全测试工作必须在夜间进行。
2.3.4报告编制阶段。
通过判定测评单项，测评机构对单项测评结果进行整理，逐项分析，最终得出整体测评报告。测评报告包含了医院信息安全存在的潜在威胁点、整改建议与最终测评结果[9]。对于公安机关来讲，医院能否通过等级测评的主要标准就是测评结果。因此，测评报告的结果至关重要。测评结果分为：不符合、部分符合、全部符合。有的测评机构根据单项测评结果进行打分，最后给出总分，以分值来判定是否通过测评。为得到理想测评结果，需要医院落实安全整改方案。
2.4安全运维。
我们必须清醒地认识到，实施安全等级保护是一项长期工作，它不仅要在信息化建设规划中考虑，还要在日常运维管理中重视，是不断循环的过程。按照等级保护制度要求，信息系统等级保护级别定为三级的三甲医院每年要自查一次，还要邀请测评机构进行测评并进行整改，监管部门每年要抽查一次。因此，医院要按照PDCA的循环工作机制，不断改进安全技术与管理上，完善安全措施，更好地保障医院信息系统持续稳定运行[10]。
三、结语
医院信息安全工作是信息化建设的一部分，是一项长期的系统工程，需要分批分期的循序改建。还要结合医院实际，考虑安全产品的实用性，不能盲目的进行投资。医院通过实施等级保护工作，可以有效增强网络与信息系统整体安全性，有力保障医院各项业务的持续开展，适应医院信息化不断发展的需求。
作者：王磊 单位：蚌埠医学院第二附属医院
参考文献
[1]公安部,国家保密局,国家密码管理局,国务院信息化办公室文件.关于信息安全等级保护工作的实施意见（公通字[2004]66号）[R],2004-9-15.
[2]GB/T22240-2008．信息安全技术信息系统安全等级保护定级指南[S],2008-06-19.
[3]GB/T25058-2010．信息安全技术信息系统安全等级保护实施指南[S],2010-09-02.
[4]GB/T22239-2008．信息安全技术信息系统安全等级保护基本要求[S],2008-06-19.
[5]魏世杰.医院信息安全等级保护三级建设思路[J].科技传播,2013,5(99):208-209.
[6]张滨.构建医院信息安全等级保护纵深防护体系[J].信息通信,2014(141):148-149.
[7]GB/T28449-2012.信息安全技术信息系统安全等级保护测评过程指南[S],2012-06-29.
[8]姚红磊,杨文.三级系统信息安全等级保护测评指标体系研究[J].铁路计算机应用,2015,24(2):59-61.
网络安全等级划分范文6
信息系统利用率稳步上升，有利于建立高效便捷、功能齐备、互通互联的现代化林业信息体系，全面推动林业决策科学化、办公规范化、监督透明化、服务便捷化；与此同时，面对日益凸显的网络安全问题，怎样确保林业信息系统的安全，已经成为政府机关的一项重要课题。
为提高信息安全的保障能力和防护水平，保障和促进信息化建设的健康发展，我国制定和了约95个信息系统等级保护相关的国标、行标，包括技术与机制、测评标准、管理标准与其他项四大类标准，形成了一套比较完备的信息安全等级保护准则。
主要参照标准
林业信息系统安全等级保护主要参照《计算机信息系统安全保护等级划分准则》（GB17859-1998）的强制性国家标准，标准规定了计算机信息系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：指导保护级；第三级：监督保护级；第四级：强制保护级；第五级：专控保护级。
总体工作目标
林业信息系统力求通过开展信息安全等级保护工作，制定切实有效的等级保护内部管理制度与规范，同时调动全员参与，明确责任人，通过开展培训牢固树立全员信息安全防线，从而全面保障林业信息系统对于一般自然灾害与外部威胁和攻击的抵抗能力、恢复能力与安全漏洞的修复能力，不断提高林业非信息系统的安全保护能力。
总体设计
林业信息系统的安全保护设计思想是巩固现有信息系统的运行安全机制，以终端安全为切入点，全面有效保护整体信息系统安全。同时，在设计思想上，以防内为主，同时注重外部防御，提高各个节点自身防护能力，强化终端防护设计，全面提高林业系统非信息系统的整体安全防护能力。
总体设计主要从计算机环境、区域边界、通信网络三方面考虑。
计算机环境就是基本用户的设备环境，由完成信息存储与处理的计算机系统硬件和系统软件以及外部设备及其连接部件组成。在计算机环境设计上主要涉及机房场地环境、磁场、静电、电磁波辐射与干扰、电源保护、应急备份措施、计算机个体。
区域边界是计算环境的边界，对进入和流出应用环境的信息流进行安全检查和访问控制。主要通过网络接入控制、关闭网络设备未使用端口、IP/MAC地址绑定来实现。
通信网络是计算环境之间实现信息传输功能的部分，对通信双方进行可信鉴别验证，实施数据传输完整性和保密性保护。在林业信息系统中通信网络主要部署VPN网关、管理员权限控制、安全审计等安全机制，实现接入通信网络设备的可信检验，以及应用系统的抗抵赖保护。
实施林业信息安全等级保护制度并全面落实，有利于解决并提高林业信息安全能力与水平。由于很多林业职工长期在户外工作，通讯与各项设施落后，与外界交流不畅，一方面造成林业职工信息化意识不足，另一方面造成信息化安全意识不足，对信息安全的认识与落实往往流于形式，实施不够，同时，不少单位没有防范设备和防范措施，存在着诸多隐患。这些问题已经严重制约林业信息化的健康发展，成为影响国家信息化发展战略目标实现、维护国家信息安全的问题，必须引起我们的高度重视，尽快逐步加以解决。
