前言：中文期刊网精心挑选了网络安全等级保护规定范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络安全等级保护规定范文1
【关键词】等级保护；虚拟专网；VPN
1.引言
随着因特网技术应用的普及，以及政府、企业和各部门及其分支结构网络建设和安全互联互通需求的不断增长，VPN技术为企业提供了一种低成本的组网方式。同时，我国现行的“计算机安全等级保护”也为企业在建设信息系统时提供了安全整体设计思路和标准。如何充分利用VPN技术和相关产品，为企业提供符合安全等级保护要求、性价比高的网络安全总体解决方案，是当前企业信息系统设计中面临的挑战。
2.信息安全管理体系发展轨迹
对于信息安全管理问题，在上世纪90年代初引起世界主要发达国家的注意，并投入大量的资金和人力进行分析和研究。英国分别于1995年和1998年出版BS7799标准的第一部分《信息安全管理实施细则》和第二部分《信息安全管理体系规范》，规定信息安全管理体系与控制要求和实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，是一个全面信息安全管理体系评估的基础和正式认证方案的根据。国际标准化组织（ISO）联合国际电工委员会（IEC）分别于2000年和2005年将BS7799标准转换为ISO/IEC 17799《信息安全管理体系 实施细则》和ISO/IEC 27001《信息安全管理体系 要求》，并向全世界推广。中国国家标准化管理委员会（SAC）于1999年了GB/T 17859《计算机信息系统安全保护等级划分准则》标准，把信息安全管理划分为五个等级，分别针对不同组织性质和对社会、国家危害程度大小进行了不同等级的划分，并提出了监管方法。2008年制订并下发了与ISO/IEC 17799和ISO/IEC 27001相对应的GBT 22081-2008《信息安全管理体系 实用规则》和GBT 22080-2008《信息安全管理体系 要求》。
3.信息系统安全的等级
为加快推进信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，国家公安部、保密局、密码管理局和国务院信息化工作办公室等，于2007年联合了《信息安全等级保护管理办法》，就全国机构/企业的信息安全保护问题，进行了行政法规方面的规范，并组织和开展对全国重要信息系统安全等级保护定级工作。同时，制订了《信息系统安全等级保护基本要求》、《信息系统安全等级保护实施指南》、《信息系统安全等级保护测评准则》和《信息系统安全等级保护定级指南》等相应技术规范（国家标准审批稿），来指导国内机构/企业进行信息安全保护。
在《信息系统安全等级保护基本要求》中，要求从网络安全、主机安全、应用安全、数据安全及备份恢复、系统运维管理、安全管理机构等几方面，按照身份鉴别、访问控制、介质管理、密码管理、通信和数据的完整、保密性以及数据备份与恢复等具体要求，对信息流进行不同等级的划分，从而达到有效保护的目的。信息系统的安全保护等级分为五级：第一级为自主保护级，第二级指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级。
针对政府、企业常用的三级安全保护设计中，主要是以三级安全的密码技术、系统安全技术及通信网络安全技术为基础的具有三级安全的信息安全机制和服务支持下，实现三级安全计算环境、三级安全通信网络、三级安全区域边界防护和三级安全管理中心的设计。
图1 三级系统安全保护示意图
图2 VPN产品部署示意图
4.VPN技术及其发展趋势
VPN即虚拟专用网，是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。VPN可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
VPN使用三个方面的技术保证了通信的安全性：隧道协议、身份验证和数据加密。VPN通道的加密方式成为主要的技术要求，目前VPN技术主要包括IPSec VPN，非IPSec VPN（如PPTP，L2TP等），基于WEB的SSL VPN等。
IPSec VPN是基于IPSec协议的VPN产品，由IPSec协议提供隧道安全保障，协议包括AH、ESP、ISAKMP等协议。其通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。通过采用加密封装技术，对所有网络层上的数据进行加密透明保护。IPSec协议最适合于LAN到LAN之间的虚拟专用网构建。
SSL VPN是基于SSL协议的VPN产品。在企业中心部署SSL VPN设备，无需安装客户端软件，授权用户能够从任何标准的WEB浏览器和互联网安全地连接到企业网络资源。SSL VPN产品最适合于远程单机用户与中心之间的虚拟网构建。
整个VPN通信过程可以简化为以下4个步骤：
（1）客户机向VPN服务器发出连接请求。
（2）VPN服务器响应请求并向客户机发出身份认证的请求，客户机与VPN服务器通过信息的交换确认对方的身份，这种身份确认是双向的。
（3）VPN服务器与客户机在确认身份的前提下开始协商安全隧道以及相应的安全参数，形成安全隧道。
（4）最后VPN服务器将在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密，然后通过VPN隧道技术进行封装、加密、传输到目的内部网络。
目前国外公开的相关VPN产品多数采用软件加密的方式，加解密算法也多使用通用的3DES、RSA加解密算法，不符合国家密码产品管理和应用的要求。《商用密码管理条例》（中华人民共和国国务院第273号令，1999年10月7日）第四章第十四条规定：任何单位或者个人只能使用经国家密码管理机构认可的商用密码产品，不得使用自行研制的或者境外生产的密码产品。国家密码管理局在2009年针对VPN产品下发了《IPSec VPN技术规范》和《SSL VPN技术规范》，明确要求了VPN产品的技术体系和算法要求。
5.VPN技术在等级保护中的应用
在三级防护四大方面的设计要求中，VPN技术可以说是在四大方面的设计要求中都有广泛的应用：
在安全计算环境的设计要求中：首先在实现身份鉴别方面，在用户访问的中心，系统管理员都统一建立的有用户的用户组和用户名，用户会通过VPN的设备登录访问中心的应用系统，当身份得到鉴别通过时才可访问应用系统；其次在数据的完整性保护和保密性保护上都能够防止用户的数据在传输过程中被恶意篡改和盗取。
在安全区域边界的设计要求中：网络边界子系统的边界控制与VPN功能一体化实现，在保证传输安全性的同时提高网络数据包处理效率。
在安全通信网络的设计要求中：网络安全通信的子系统主要是为跨区域边界的通信双方建立安全的通道，通过IPSEC协议建立安全的VPN隧道传输数据。完成整个应用系统中边界或部门服务器边界的安全防护，为内部网络与外部网络的间的信息的安全传输提供加密、身份鉴别及访问控制等安全机制。在客户端和应用服务器进出的总路由前添加网络VPN网关，通过IPSEC协议或者SSL协议建立VPN隧道为进出的数据提供加密传输，实现应用数据的加密通信。
在安全管理中心的设计要求中：系统管理中，VPN技术在主机资源和用户管理能够实现很好的保护，对用户登录、外设接口、网络通信、文件操作及进程服务等方面进行监视机制，确保重要信息安全可控，满足对主机的安全监管需要。
在信息系统安全等级保护设计中VPN产品的部署示意图如图2所示。
网络安全等级保护规定范文2
[关键词]信息安全等级保护分级分域网络隔离安全防护
1网络现状及防护需求
福建省莆田电业局已构建了信息网络,已经稳定运行有财务管理、安全生产管理、协同办公、电力营销、ERP等应用系统。随着国家电网公司“SG186”工程的信息化建设的推进工作,网络和信息系统情况复杂,迫切需要进行信息安全全面建设。
根据国家《信息安全技术信息系统安全等级保护实施指南》(GB/T22240-2008)、国家《信息安全技术信息系统安全等级保护基本要求》(GB/T-22239-2008)、《国家电网公司“SG186”工程安全防护总体方案》、《国家电网公司“SG186”工程信息系统安全等级保护基本要求》、《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求(试行)》等文件要求,按照统筹资源,重点保护,适度安全的原则,依据等级保护定级结果,采用“二级系统统一成域,三级系统独立分域”的方法,对信息网络系统进行分级分域。
2安全防护建设目标
通过项目的实施,按照“层层递进,纵深防御”的思想,从边界、网络、主机、应用四个层次进行安全防护等级保护设计和施工,使莆田电业局信息系统符合国家和国家电网公司的网络与信息系统等级保护建设要求。
3实施方法
信息系统分级分域安全防护建设一般分三个阶段:
第一阶段:合理进行安全域划分和初步规划,针对重要信息进行防护。主要表现在针对业务安全要求比较高的信息系统如ERP、财务系统域进行防护,以及针对互联网出口的应用层防护。
第二阶段:针对当前信息网络状态,按照等级保护要求进行等级化评估、安全评估和合理定级,全面获取当前安全现状以及企业信息化建设的特殊需求。在评估基础上,全面从等级保护要求及企业信息化建设的安全需求出发,合理进行安全方案设计。
第三阶段:根据设计方案,全面开展等级化改造,包括技术措施和管理措施的完善,建立完整的信息安全体系,并且根据相关要求进行运行维护。
4分级分域安全防护方解决方案
信息网络系统分级分域安全防护建设应当按照国家标准和国家电网公司“SG186”工程相关规定的要求完成,通过项目建设实施保障莆田电业局信息化管理系统的安全运营。
4.1 分级分域设计方案及安全等级建设要求
莆田电业局信息网络主要分为两个部分:信息内网和信息外网,两个网络之间通过强制隔离设备进行隔离。
信息内网分级分域及安全等级建设要求:
4.1.1二级系统域
二级系统域是指协同办公系统、财务管理系统、安全生产管理系统、人力资源管理系统、企业门户、ERP等信息系统
安全建设等级:基于信息系统的整合,所有二级系统统一部署于二级系统域,并根据国家安全等级保护标准和国家电网公司“SG186”工程信息系统安全等级保护基本要求等规范要求,按照安全防护等级二级进行建设。
4.1.2内网桌面终端域
信息内网桌面终端是用于内网业务操作及内网业务办公处理,通过对桌面办公终端按业务部门或访问类型进一步进行VLAN区域细分,实现不同的业务访问需求指定访问控制及其他防护措施,由于桌面终端的安全防护与应用系统不同,将其划分为独立区域进行安全防护。
安全建设等级:按照安全等级二级进行安全建设;
信息外网分级分域及安全等级建设要求:
4.1.3外网应用系统域
需与互联网进行数据交换的系统统一部署为外网系统域。
安全建设等级:按照安全等级二级进行安全建设;
4.1.4外网桌面终端域
外网桌面终端用于外网业务办公及互联网访问,对外网桌面办公终端按业务部门或访问类型进行区域细分,针对不同业务访问需求进行访问控制及其他防护措施。
安全建设等级:按照安全等级二级进行安全建设;
图1改造后的网络拓扑图
4.2 安全防护部署方案
4.2.1防火墙等级保护部署方案
目前网络中主要使用防火墙来保证基础安全。它监控可信任网络和不可信任网络之间的访问通道,以防止外部网络的危险蔓延到内部网络上。
项目在四个域与核心交换机的连接点分别部署了启明星辰天清汉马USG-FW-4000D防火墙(见图1),并进行了相应的配置。
防火墙典型的网络部署模式包括路由模式和透明模式,本项目中,考虑到防火墙负责转发各个区域的用户访问,采取透明模式部署。
根据企业安全区域的划分,部署防火墙对不同区域之间的网络流量进行控制,基本原则为:高安全级别区域可以访问低安全级别区域,低安全级别严格受控访问高安全级别区域,进行如下基本配置策略:
防火墙设置为默认拒绝工作方式,保证所有的数据包,如果没有明确的规则允许通过,全部拒绝以保证安全;
配置防火墙防DOS/DDOS功能,对Land、Smurf、Fraggle、Ping of death、udp flood等拒绝服务攻击进行防范;
配置防火墙全面安全防范能力,包括arp欺骗攻击的防范,提供arp主动反向查询、tcp报文标志位不合法攻击防范、超大ICMP报文攻击防范、地址/端口扫描的防范、ICMP重定向或不可达报文控制功能、Tracert报文控制功能、带路由记录选项IP报文控制功能等。
4.2.2入侵防护系统等级保护部署方案
在传统的安全解决方案中,防火墙和入侵检测系统已经无法满足高危网络的安全需求,互联网上流行的蠕虫、P2P、木马等安全威胁日益滋长,必须有相应的技术手段和解决方案来解决对应用层的安全威胁。以入侵防御系统为代表的应用层安全设备作为防火墙的重要补充,很好地解决了应用层防御的问题,并且变革了管理员构建网络防御的方式。通过部署IPS,可以在线检测并直接阻断恶意流量。
项目在外网系统部署1台启明星辰天清NIPS3060入侵防护系统。
4.2.3服务器换机等级保护部署方案
服务器交换机采用华为QuidwayS9306高端多业务路由交换机,该产品基于华为公司自主知识产权的Comware V5操作系统,融合了MPLS、IPv6、网络安全等多种业务,提供不间断转发、优雅重启、环网保护等多种可靠技术,在提高用户生产效率的同时,保证了网络最大正常运行时间,从而降低企业的总拥有成本。
项目配置两台华为QuidwayS9306交换机分别用作内网二级系统域和外网应用系统域,配置冗余电源、双引擎、2块48端口千兆电口板、1块48端口SFP千兆光口板卡,保证了服务器换机的安全可靠。
4.2.4终端汇聚交换机等级保护部署方案
终端汇聚交换机采用华为Quidway LS-S5328C交换机,实现信息内外网桌面终端域的安全接入。
华为QuidwayLS-S5300系列交换机是华为公司最新开发的增强型IPv6万兆以太网交换机,具备业界盒式交换机最先进的硬件处理能力和丰富的业务特性。支持最多4个万兆扩展接口;支持IPv4/IPv6硬件双栈及线速转发;出色的安全性、可靠性和多业务支持能力使其成为网络汇聚和城域网边缘设备的第一选择。
配置2台桌面终端汇聚交换机分别部署在信息内网和信息外网的桌面终端域接口上。
5网络安全成果分析
福建省莆田电业局信息网络系统分级分域安全防护建设项目从边界、网络、主机、应用四个层次进行了安全防护等级保护设计及工程实施,对原有网络、安全设备进行了调整,实现了安全域的划分,实现了对关键业务的安全防护,达到了国家和国家电网公司的网络与信息系统等级保护建设要求,并通过了国家电网公司等级测评验收。
参考文献:
[1] 信息安全技术信息系统安全等级保护实施指南(GB/T22240-2008)
[2] 信息安全技术信息系统安全等级保护基本要求(GB/T-22239-2008)
网络安全等级保护规定范文3
1.1国家卫生部文件
文件明确规定了信息安全等级保护工作的工作目标、工作原则、工作机制、工作任务、工作要求，工作任务别强调了“三级甲等医院的核心业务信息系统”应进行定级备案。
1.2浙江省卫生厅文件
为加强医疗卫生行业信息安全管理，提高信息安全意识，以信息安全等级保护标准促进全行业的信息安全工作，提高全省卫生系统信息安全保护与信息安全技术水平，强化信息安全的重要性。2011年6月7日，浙江省卫生厅和浙江省公安厅联合下发《关于做好全省医疗卫生行业重要信息系统信息安全等级保护工作的通知》（浙卫发〔2011〕131号），并一同下发了《浙江省医疗卫生行业信息安全等级保护工作实施方案》和《浙江省卫生行业信息系统安全等级保护定级工作指导意见》。为进一步指导我省卫生行业单位开展信息安全等级保持工作，浙江省卫生信息中心于2012年4月6日下发了《关于印发<浙江省卫生行业信息安全等级保护工作指导意见细则>的函》。上述文件详细规定了工作目标、工作流程和工作进度，并明确了医疗卫生单位重要信息系统的划分和定级，具有很强的指导性和操作性。
2医院信息安全等级保护
依据上述行业文件要求，全省医院重要信息系统信息安全等级保护工作由省卫生厅和各级卫生局、公安局分级负责，按照系统定级、系统备案、等级测评、安全整改[1]四个工作步骤实施。
2.1系统定级
2.1.1确定对象
我省医院信息化发展较早，各类系统比较完善，但数量繁多。将出现多达几十甚至上百个定级对象的状况，这与要求重点保护、控制建设成本、优化资源配置[2]的原则相违背，不利于医院重要信息系统开展信息安全等级保护工作。依据《计算机信息系统安全保护等级划分准则（GB17859-1999）》等标准，结合我省医院信息化现状及发展需要，经卫生信息化专家和信息安全专家多次论证，本着突出重点、按类归并、相对独立、节约费用的原则，从系统管理、业务使用者、系统服务对象和运行环境等多方面综合考虑，把医院信息系统划分为以下几类，如表1所示。
2.1.2等级评定
医院重要信息系统的信息安全和系统服务应用被破坏时，产生的危害主要涉及公民的个人隐私、就医权利及合法权益，对社会秩序和公共利益的损害属于“损害”或“严重损害”程度。参考《信息安全等级保护管理办法》及省卫生信息中心指导意见细则要求[3]，即属于“第二级”或“第三级”范畴。因此医院信息系统对信息安全防护和服务能力保护的要求较高，结合业务服务及系统应用范畴，实行保护重点、以点带面原则，参考定级如表2所示。
2.2系统定级备案
省卫生厅及省级医疗卫生单位信息系统、全省统一联网或跨市联网运行的信息系统由省公安厅受理备案；各市卫生局及其下属单位、辖区内医院信息系统由属地公安机关受理备案。各市卫生局应将辖区内医疗卫生单位备案汇总情况和《信息系统安全等级保护备案表》等材料以电子文件形式向省卫生厅报备。定级备案流程示意图如图1所示。
2.3等级保护测评
医院重要信息系统完成定级备案后，应依据《浙江省信息安全等级保护工作协调小组关于公布信息安全等级报测评机构的通知》（浙等保〔2010〕9号）选择浙江省信息安全等级保护工作协调小组办公室推荐的等级测评机构，启动等级测评工作，结合所属等级要求对系统进行逐项测评。通过对医院系统进行查验、访谈、现场测试等方式收集相关信息，详细了解信息安全保护现状，分析所收集的资料和数据，查找发现医院重要信息系统漏洞和安全隐患，针对测评报告结果进行分析反馈、沟通协商，明确等级保护整改工作目标、整改流程及注意事项，共同制定等级保护整改建议方案用于指导后续整改工作。对第二级以上的信息系统要定期开展等级测评。信息系统测评后，医院应及时将测评机构出具的《信息系统等级测评报告》向所属地公安机关报备。
2.4等级保护规划建设整改
根据《信息系统安全等级保护实施指南》及省实施方案，结合医院信息系统的安全需求分析，判断安全保护现状，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划[4]等，用以指导信息系统安全建设工程实施。引进第三方安全技术服务商，协助完成系统安全规划、建设及整改工作。建设，整改实施过程中按照详细设计方案，设置安全产品采购、安全控制开发与集成、机构和人员配置、安全管理制度建设、人员安全技能培训等环节[5]，将规划设计阶段的安全方针和策略，切实落实到医院系统的信息安全规划、建设、评估、运行和维护等各个环节。其核心是根据系统的实际信息安全需求、业务特点及应用重点，并结合医院自身信息安全建设的实际需求，建设一套全面保护、重点突出、持续运行的安全保障体系，确保医院系统的信息安全。等级保护工程及管理体系建设整改流程如图2所示。
3医院重要信息系统安全等级保护成效
各级医院按照国家有关信息安全等级保护政策、标准，结合卫生行业政策和要求，全面落实信息系统信息安全等级保护工作，保障信息系统安全可靠运行，提高安全管理运维水平。
3.1明确系统安全保护目标
通过推行各级医院信息安全等级保护工作，梳理卫生信息系统资产、网络边界、网络安全设备部署及运行状况。根据系统风险评估、危害的覆盖范围及影响性判定安全等级，从而根据标准全面、系统、深入地掌握系统潜在的风险隐患，安全漏洞。明确需要重点保护的应用系统及信息资产，提出行之有效的保护措施，有针对性地提高保护等级，实现重点目标重点保护。
3.2建立安全管理保障体系
安全管理保障体系是开展信息安全工作的保障，指导落实各项安全指标要求。信息安全等级保护基本要求中明确要求加强主管及安全责任部门领导，配备信息安全专员督导安全检查、维护、培训工作。建立健全信息安全管理保障制度体系，包括机房安全管理制度、人员安全管理制度、运维安全管理规范。建立行之有效的安全应急响应预案及常规化的信息安全培训及预防演练，形成长期的安全风险管控机制。
3.3加强安全意识和管理能力
通过落实等级保护制度的各项要求，认识安全意识在信息安全工作中的重要性和必要性，调动安全保护的自觉主动性，加大安全保护的资金投入力度，优化安全管理资源及策略，主动提升安全保护能力。同时重视常规化的信息安全管理教育和培训，强化安全管理员和责任人的安全意识，提高风险分析和安全性评估等能力，信息系统安全整体管理水平将得到提高。
3.4强化安全保护技术实施
医院开展信息安全等级保护工作可加深分级、分域的纵深防御理念，进一步结合终端安全、身份认证、网络安全、容灾技术，建立统一的安全监控平台和安全运行中心。根据测评报告及建设整改建议，增强对应用系统的授权访问，终端计算机的安全控制，网络流量的异常监控，业务与数据安全保障，恶意软件和攻击行为的防御、发现及阻击等功能，深层次提高抵御外部和内部信息安全威胁的能力。
3.5优化第三方技术服务
与安全技术服务机构建立长期稳定的合作关系，引进并优化第三方技术资源，搭建安全保护技术的学习桥梁与交流平台。在安全技术与管理方面加固信息安全防护措施，完善信息安全管理制度，同时通过安全技术管理培训强化医院工作人员信息安全保护意识，提高信息安全队伍的技术与管理水平，共同为医院系统信息化建设的快速发展保驾护航。总之，医院开展信息安全等级保护工作将有效提高医院信息化建设的整体水平，有利于医院信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；有利于优化信息安全资源的配置，重点保障基础信息网络、个人隐私、医疗资源和社会公共卫生等方面的重要信息系统的安全[6]。
4结束语
网络安全等级保护规定范文4
对于进一步提高信息安全的保障能力和防护水平来说，实行信息安全等级保护无疑是一种好的方法，因为它能充分调动国家、法人和其他组织及公民的积极性，增强安全保护的整体性、针对性和实效性，使信息系统安全建设重点更加突出、规范，更加统一。
但是，电子政务重在政务，由于政务部门的职能不同，信息系统的结构、功能和安全要求也不尽相同，信息安全等级保护工作的侧重点也不同。然而从总体上来说，都需要做好以下几点：
落实好“四个把握”
把握等级保护的建设进程。按照等级保护程序规定，做好定级、备案、整改、评测与监管工作。
把握等级划分的合理性和准确性。要认真分析电子政务系统在国家安全、经济建设、社会生活中的重要性程度，即电子政务系统遭受破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素，合理准确地确定系统安全等级。具体来说，安全等级的确定要根据信息系统的综合价值和综合能力保证的要求不同以及安全性被破坏造成的损失大小，综合考虑信息系统的经济价值、社会价值以及信息服务的服务范围和连续性。
把握好不同等级的基本安全要求。基本要求是针对不同安全保护等级信息系统，应该具有的基本安全保护能力提出的安全要求。例如：第三级信息系统要具有抵御来自外部组织的恶意攻击能力和防内部人员攻击能力，不仅要对安全事件有审计记录，还要能追踪与响应处理，要实现多重保护制度。
把握好基本技术要求和基本管理要求。基本技术要求包括物理安全、网络安全、主机安全、应用安全与数据安全等方面。基本管理要求是通过控制信息系统中各种角色参与的活动，包括安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面，从政策、制度、规范、流程以及记录等方面做出规定。对于电子政务系统要特别关注基础设施监控与管理、网络安全监控与管理、业务应用系统的监控与管理、应急响应与备份恢复管理。
引入风险评估机制
信息安全等级保护必须树立风险管理的思想，而风险评估是风险管理的基础，因此，三级以上电子政务系统必须定期进行信息安全风险评估。风险评估贯穿于等级保护周期的系统定级、安全实施和安全运维三个阶段：
系统定级。由于不同的电子政务系统具有自身的行业和业务特点，且所受到的安全威胁均有所不同。因此，可以依据信息安全风险评估国家标准对所评估资产的重要性、客观威胁发生的频率、系统自身脆弱性的严重程度进行识别和关联分析，判断信息系统应采取什么强度的安全措施，然后将安全事件一旦发生后可能造成的影响控制在可接受的范围内。即将风险评估的结果作为确定信息系统安全措施的保护级别的一个参考依据。
安全实施。安全实施是根据信息安全等级保护国家标准的要求，从管理与技术两个方面选择不同强度的安全措施，来确保建设的安全措施满足相应的等级要求。风险评估在安全实施阶段就可以直接发挥作用，那就是对现有电子政务系统进行评估和加固，然后再进行安全设备部署等。在安全实施过程中也会发生安全事件并可能带来长期的安全隐患，如安全集成过程中设置的超级用户和口令没有完全移交给用户、防火墙部署后长时间保持透明策略等都会带来严重的问题，风险评估能够及早发现并解决这些问题。
安全运维。安全运维是指按照系统等级进行安全实施后开展运行维护的安全工作。安全运维包括两方面：一是维护现有安全措施等级的有效性。二是根据客观情况的变化以及系统内部建设的实际需要，对等级进行定期调整，以防止过度保护或保护不足。在安全运维的过程中，通过信息安全风险评估工作可以对已有信息系统的安全等级保护情况进行评估，依据已确定等级的相关保护要求，对系统的保护效果、潜在风险进行评价，评估是否达到等级保护的要求；当信息系统或外部环境发生变更时，可以通过风险评估工作了解和确定风险的变更，为再次定级和等级保护措施的调整提供依据。
建立有效的信息安全管理组织
信息安全管理组织是建立信息安全保障体系，做好信息安全等级保护工作的必要条件。当前很多政务部门的信息安全工作均有信息化部门兼任，没有足够的权威性。等级保护工作的开展，要求在组织内部建立信息系统安全方面的最高权力组织，并有明确的安全目标，目的是在管理层的承诺和拥有足够资源的情况下开展信息安全工作。因此，建立有效的信息安全管理组织必须明确以下内容：
要遵循分权制衡原则。制度的建立、制度的执行、执行情况的检查与监督要分开考虑。在目前的等级保护测评工作中，时常发现有系统管理员、网络管理员、安全员与审计员兼任的情况，甚至一人包揽所有的信息系统运维工作。但从等级保护的基本要求来看，依据分权制衡的原则，建议在电子政务系统中，系统管理员与审计员不得兼任，审计员不能从事所有日常信息的维护与管理工作，系统管理员不能从事审计日志的查看与处理工作。
要坚持从上而下的垂直管理原则。上一级机关信息系统的安全管理组织指导下一级机关信息系统的安全管理组织的工作，下一级机关信息系统的安全管理组织接受并执行上一级机关信息系统的安全管理组织的安全策略。
应常设信息系统安全管理组织办公机构，负责信息安全的日常事务工作。信息系统安全管理组织应由系统管理、系统分析、软硬件维护、安全保卫、系统稽核、人事与通信等有关方面的人员组成。
信息安全管理组织部门不能隶属于技术部门或运行部门，各级信息系统的安全组织不能隶属于同级信息系统管理和业务机构。信息安全管理组织部门只有不隶属于技术或运维部门，才能站在较高的层次上制定信息安全的整体框架与策略、有效的处理安全事件，启动应急预案。
网络安全等级保护规定范文5
一、加强本单位网络与信息安全工作的组织领导，建立健全网络与信息安全工作机构和工作机制，保证网络与信息安全工作渠道的畅通。
二、明确本单位信息安全工作责任，按照“谁主管，谁负责;谁运营，谁负责”的原则，将安全职责层层落实到具体部门、具体岗位和具体人员。
三、加强本单位信息系统安全等级保护管理工作，在公安机关的监督、检查、指导下，自觉、主动按照等级保护管理规范的要求完成信息系统定级、备案，对存在的安全隐患或未达到相关技术标准的方面进行建设整改，随信息系统的实际建设、应用情况对安全保护等级进行动态调整。
四、加强本单位各节点信息安全应急工作。制定信息安全保障方案，加强应急队伍建设和人员培训，组织开展安全检查、安全测试和应急演练。重大节日及敏感节点期间，加强对重要信息系统的安全监控，加强值班，严防死守，随时应对各类突发事件。
五、按照《信息安全等级保护管理办法》、《互联网信息管理服务办法》等规定，进一步加强网络与信息安全的监督管理，严格落实信息安全突发事件“每日零报告制度”，对本单位出现信息安全事件隐瞒不报、谎报或拖延不报的，要按照有关规定，给予责任人行政处理;出现重大信息安全事件，造成重大损失和影响的，要依法追究有关单位和人员的责任。
六、作为本单位网络与信息安全工作的责任人，如出现重大信息安全事件，对国家安全、社会秩序、公共利益、公民法人及其他组织造成影响的，本人承担主要领导责任。违反上述承诺，自愿承担相应主体责任和法律后果。
七、本人承诺不从事下列危害计算机信息网络安全的活动：
1、未经允许，进入计算机信息网络或者使用计算机信息网络资源; 2、未经允许，对计算机信息网络功能进行删除、修改或者增加;
3、未经允许，对计算机信息网络中存储或者传输的数据和应用程序进行删除、修改或者增加;
4、故意制作、传播计算机病毒以及其它破坏性程序;
5、不盗用别人计算机的ip地址、网卡物理地址(mac值)和信息数据; 6、不做其它危害计算机信息网络安全行为。
八、本人承诺当计算机信息系统发生重大安全事故时，立即采取应急措施，保留有关原始记录，并在24小时内向政府监管部门报告，以及知会公司资讯安全部门，并接受公司停止网络资源使用服务。
九、本人郑重承诺遵守本承诺书的有关条款，在使用中认真履行职责，自觉接受监督，确保网络信息安全;如有违反本承诺书有关条款和国家相关法律法规的行为，本人愿意承担由此引起的一切责任，直至民事、行政和刑事责任，并接受相应处罚﹔对于造成财产损失的，由个人直接赔偿。
十、本承诺书自签署之日起生效。
网络安全等级保护规定范文6
关键词：信息安全 等级保护 信息系统 实施
一、引言
我国信息安全面临的形势十分严峻，维护国家信息安全的任务非常艰巨、繁重。2007年7月20日，公安部、国务院信息办等4部门在北京联合召开“全国重要信息系统安全等级保护定级工作电视电话会议”，部署在全国范围内开展重要信息系统安全等级保护定级工作。实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理；有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。
下文将讨论如何根据《信息系统安全等级保护基本要求》关于等级保护的管理规范和技术标准对新系统实施建设和对原有系统实施改建工作。
二、新建系统的安全等级保护规划与建设
完成系统定级并确定安全需求后，新建和改建系统就进入了实施前的设计过程。
以往的安全保障体系设计是没有等级概念的，主要是依据本单位业务特点，结合其他行业或单位实施安全保护的实践经验而提出的。当引入等级保护的概念后，系统安全防护设计思路会有所不同：
――由于确定了单位内部代表不同业务类型的若干个信息系统的安全保护等级，在设计思路上应突出对等级较高的信息系统的重点保护。
――安全设计应保证不同保护等级的信息系统能满足相应等级的保护要求。满足等级保护要求不意味着各信息系统独立实施保护，而应本着优化资源配置的原则，合理布局，构建纵深防御体系。
――划分了不同等级的系统，就存在如何解决等级系统之间的互连问题，因此必须在总体安全设计中规定相应的安全策略。
⒈总体安全设计方法
总体安全设计并非安全等级保护实施过程中必须的执行过程，对于规模较小、构成内容简单的信息系统，在通过安全需求分析确定了其安全需求后，可以直接进入安全详细设计。对于有一定规模的信息系统，实施总体安全设计过程。总体安全设计可以按以下步骤实施：
⑴局域网内部抽象处理
一个局域网可能由多个不同等级系统构成，无论局域网内部等级系统有多少，可以将等级相同、安全需求类相同、安全策略一致的系统合并为一个安全域，并将其抽象为一个模型要素，可将之称为某级安全域。通过抽象处理后，局域网模型可能是由多个级别的安全域互联构成的模型。
⑵局域网内部安全域之间互联的抽象处理
根据局域网内部的业务流程、数据交换要求、用户访问要求等确定不同级别安全域之间的网络连接要求，从而对安全域边界提出安全策略要求和安全措施要求，以实现对安全域边界的安全保护。
如果任意两个不同级别的子系统之间有业务流程、数据交换要求、用户访问要求等的需要，则认为两个模型要素之间有连接。通过分析和抽象处理后，局域网内部子系统之间互联模型如图1所示。
图1 局域网内部安全域之间互联抽象
⑶局域网之间安全域互联的抽象处理
根据局域网之间的业务流程、数据交换要求、用户访问要求等确定局域网之间通过骨干网/城域网的分隔的同级、或不同级别安全域之间的网络连接要求。
例如，任意两个级别的安全域之间有业务流程、数据交换要求、用户访问要求等的需要，则认为两个局域网的安全域之间有连接。通过分析和抽象处理后，局域网之间安全域互联模型如图2所示。
图2 局域网之间安全域互联的抽象
⑷局域网安全域与外部单位互联的抽象处理
对于与国际互联网或外部机构/单位有连接或数据交换的信息系统，需要分析这种网络的连接要求，并进行模型化处理。例如，任意一个级别的安全域，如果这个安全域与外部机构/单位或国际互联网之间有业务访问、数据交换等的需要，则认为这个级别的安全域与外部机构/单位或国际互联网之间有连接。通过分析和抽象处理后，局域网安全域与外部机构/单位或国际互联网之间互联模型如图3所示。
图3 局域网安全域与外部单位互联的抽象
⑸安全域内部抽象处理
局域网中不同级别的安全域的规模和复杂程度可能不同，但是每个级别的安全域的构成要素基本一致，即由服务器、工作站和连接它们的网络设备构成。为了便于分析和处理，将安全域内部抽象为服务器设备（包括存贮设备）、工作站设备和网络设备这些要素，通过对安全域内部的模型化处理后，对每个安全域内部的关注点将放在服务器设备、工作站设备和网络设备上，通过对不同级别的安全域中的服务器设备、工作站设备和网络设备提出安全策略要求和安全措施要求，实现安全域内部的安全保护。通过抽象处理后，每个安全域模型如图4所示。
图4 安全域内部抽象
⑹形成信息系统抽象模型
通过对信息系统的分析和抽象处理，最终应形成被分析的信息系统的抽象模型。信息系统抽象模型的表达应包括以下内容：单位的不同局域网络如何通过骨干网、城域网互联；每个局域网内最多包含几个不同级别的安全域；局域网内部不同级别的安全域之间如何连接；不同局域网之间的安全域之间如何连接；局域网内部安全域是否与外部机构/单位或国际互联网有互联，等等。
⑺制定总体安全策略
最重要的是制定安全域互连策略，通过限制多点外联、统一出口既可以达到保护重点、优化配置，也体现了纵深防御的策略思想。
⑻关于等级边界进行安全控制的规定
针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出不同级别安全域边界的安全保护策略和安全技术措施。
安全域边界安全保护策略和安全技术措施提出时要考虑边界设备共享的情况，如果不同级别的安全域通过同一设备进行边界保护，这个边界设备的安全保护策略和安全技术措施要满足最高级安全域的等级保护要求。
⑼关于各安全域内部的安全控制要求
提出针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出不同级别安全域内部网络平台、系统平台和业务应用的安全保护策略和安全技术措施。
⑽关于等级安全域的管理策略
从全局角度出发，提出单位的总体安全管理框架和总体安全管理策略，对每个等级安全域提出各自的安全管理策略，安全域管理策略继承单位的总体安全策略。
⒉总体安全设计方案大纲
最后形成的总体方案大纲包括以下内容：信息系统概述，单位信息系统安全保护等级状况；各等级信息系统的安全需求，信息系统的安全等级保护模型抽象，总体安全策略，信息系统的边界安全防护策略，信息系统的等级安全域防护策略，信息系统安全管理与安全保障策略。
⒊设计实施方案
实施方案不同于设计方案，实施方案需要根据阶段性的建设目标和建设内容将信息系统安全总体设计方案中要求实现的安全策略、安全技术体系结构、安全措施落实到产品功能或物理形态上，提出能够实现的产品或组件及其具体规范，并将产品功能特征整理成文档，使得在信息安全产品采购和安全控制开发阶段具有依据。实施方案过程如下：
⑴结构框架设计
依据实施项目的建设内容和信息系统的实际情况，给出与总体安全规划阶段的安全体系结构一致的安全实现技术框架，内容包括安全防护的层次、信息安全产品的选择和使用、等级系统安全域的划分、IP地址规划等。
⑵功能要求设计
对安全实现技术框架中使用到的相关信息安全产品，如防火墙、VPN、网闸、认证网关、服务器、网络防病毒、PKI等提出功能指标要求；对需要开发的安全控制组件，提出功能指标要求。
⑶性能要求设计
对安全实现技术框架中使用到的相关信息安全产品，如防火墙、VPN、网闸、认证网关、服务器、网络防病毒、PKI等提出性能指标要求；对需要开发的安全控制组件，提出性能指标要求。
⑷部署方案设计
结合信息系统网络拓扑，以图示的方式给出安全技术实现框架的实现方式，包括信息安全产品或安全组件的部署位置、连接方式、IP地址分配等；对于需对原有网络进行调整的，给出网络调整的图示方案等。
⑸制定安全策略实现计划
依据信息系统安全总体方案中提出的安全策略的要求，制定设计和设置信息安全产品或安全组件的安全策略实现计划。
⑹管理措施实现内容设计
结合系统实际安全管理需要和本次技术建设内容，确定本次安全管理建设的范围和内容，同时注意与信息系统安全总体方案的一致性。安全管理设计的内容主要考虑：安全管理机构和人员的配套、安全管理制度的配套、人员安全管理技能的配套等。
⑺形成系统建设的安全实施方案
最后形成的系统建设的安全实施方案应包含以下内容：系统建设目标和建设内容、技术实现框架、信息安全产品或组件功能及性能、信息安全产品或组件部署；安全策略和配置；配套的安全管理建设内容；工程实施计划；项目投资概算。
三、系统改建实施方案设计
与等级保护工作相关的大部分系统是已建成并投入运行的系统，信息系统的安全建设也已完成，因此信息系统的运营使用单位更关心如何找出现有安全防护与相应等级基本要求的差距，如何根据差距分析来设计系统的改建方案，使其能够指导该系统后期具体的改建工作，逐步达到相应等级系统的保护能力。
⒈确定系统改建的安全需求
第一步，根据信息系统的安全保护等级，参照前述的安全需求分析方法，确定本系统的总的安全需求，包括经过调整的等级保护基本要求和本单位的特殊安全需求。
第二步，由信息系统的运营使用单位自己组织人员或由第三方评估机构采用等级测评方法对信息系统系统安全保护现状与等级保护基本要求进行符合性评估，得到与相应等级要求的差距项。
第三步，针对满足特殊安全需求（包括采用高等级的控制措施和采用其他标准的要求）的安全措施进行符合性评估，得到与满足特殊安全需求的差距项。
⒉差距原因分析
差距项不一定都会作为改建的安全需求，因为存在差距的原因可能有以下几种情况：
一是整体设计方面的问题，即某些差距项的不满足是由于该系统在整体的安全策略（包括技术策略和管理策略）设计上存在问题。例如，网络结构设计不合理，各网络设备在位置的部署上存在问题，导致某些网络安全要求没有正确实现；信息安全的管理策略方向性不明确，导致一些管理要求没有实现。
二是缺乏相应产品实现安全控制要求。由于安全保护要求都是要落在具体产品、组件的安全功能上，通过对产品的正确选择和部署满足相应要求。但在实际中，有些安全要求在系统中并没有落在具体的产品上。产生这种情况的原因是多方面的，其中目前技术的制约可能是最主要的原因。例如，强制访问控制，目前在主流的操作系统和数据库系统上并没有得到很好的实现。
三是产品没有得到正确配置。某些安全要求虽然能够在具体的产品组件上实现，但使用者由于技术能力、安全意识的原因，或出于对系统运行性能影响的考虑等原因，产品没有得到正确的配置，从而使其相关安全功能没有得到发挥。例如，登陆口令复杂度检测没有启用、操作系统的审计功能没有启用等就是经常出现的情况。
以上情况的分析，只是系统在等级化安全保护上出现差距的主要原因，不同系统有其个性特点，产生差距的原因也不尽相同。
⒊分类处理的改建措施
针对差距出现的种种原因，分析如何采取措施来弥补差距。差距产生的原因不同，采用的整改措施也不同，首先可对改建措施进行分类考虑并针对上述三种情况，主要可从以下几方面进行：
针对情况一，系统需重新考虑设计网络拓扑结构，包括安全产品或安全组件的部署位置、连线方式、IP地址分配等。针对安全管理方面的整体策略问题，机构需重新定位安全管理策略、方针，明确机构的信息安全管理工作方向。
针对情况二，将未实现的安全技术要求转化为相关安全产品的功能/性能指标要求，在适当的物理/逻辑位置对安全产品进行部署。
针对情况三，正确配置产品的相关功能，使其发挥作用。
无论是哪种情况，改建措施的实现都需要将具体的安全要求落到实处，也就是说，应确定在哪些系统组件上实现相应等级安全要求的安全功能。
⒋形成改建措施
