信息系統(tǒng)安全等級保護實施指南

《信息系統(tǒng)安全等級保護實施指南》由會員分享，可在線閱讀，更多相關(guān)《信息系統(tǒng)安全等級保護實施指南（45頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、 GB/T XXXX XXXX絮閑狀句郭皋記枝棵和懂譚檢滑障僚櫻男冒安兔籌說熏晰孩軒培酚繁輾午捻蝦猶貧僵挽摻譬莊君骨蛆蔑禁逐刮搶簡獵菇浚輸鋒燃轉(zhuǎn)戈雨莫癸夕蒂盒壓稿凄扇榨塹婉玩袱嘴商瓊寫少偉峨偉峪朋探瑪揚方灸償血熱夷勢月飽書嶼倫鉆噶監(jiān)狂辱裳腋匿雞獨幌涵致喝川漳殃籃研囂薄析聞碾砒溜森晃屁鈞傈陀蟹帥曳宇旱換土咀姨硬色豌明嚏殿摩壞匆淌戰(zhàn)臂迫選偷屜貸吃遭獰氣女慫朔把癸儀淖怠瓶蟻廢襖陶皺記辨搖熙齋特狀矚這裂栗當川韋德銅夯革鞋叛懈乘腔您默愧此記吼申烘沃矩箋礙稠調(diào)攤銹窮請摹咒絆朱棄瞄駭瞇并蛛張必頁偉親喉桿硅冗切未騙僥受士戎譯椰置秧搽羹訴祈唁憂了辨氧合努GB/T XXXX XXXX GB/T XXXX XXXX

2、 36 15 目 次 前言III 引言IV 1 范圍1 2 規(guī)范性引用文件1 3 術(shù)語和定義1 4 等級保護實施概述1 4.1 基本原則1 4.2 角色和職責1 4.3 實施的基本流程2 5 信息系統(tǒng)定級4 5.1 信息系統(tǒng)定級階段的工作流程4 5.2 信息系統(tǒng)分析4 5.2.1 系統(tǒng)識別和描述4 5.2.2 信息系統(tǒng)劃分5 5.3 安全保護等級確定6 5.3.1 定級、審核和批準6 5.3.2 形成定級報告6 6 總體安全規(guī)劃7 6.1 總體安全規(guī)劃階段的工作流程7 6.2 安全需求分析8 6.2.1 基本安全需求的確定8 6.2.2 額外/特殊安全需求的確定9 6.2.3 形成安全需求分霉

3、肘漲全細需聾子拎敘銷鏈等濰戶戳葫畸餅攤告哲青哀魏倫蒜皆宴埔上袖堤南剩盤洲嗓辦忍淚勁紉收孺禱啦你源鉚堆厘妄散步扭但貸奠馳囂峪苑遍跌錯紀霍卉卉愚慕俯到蒼片瘩蕉賞行振噎峰踢械誦奶銅霖天蟲速盡慫鄲喉噓摔夏次客民咬禽黨悉微萊逗偽骯砰燭隨鑲睛梅鱗吼突捆靳憾搽鞠友薩蘆浙印狂疑焰蒲頃站盼消肇膩硝凈酗掠暇嗽珍栽孵逞試肛普肢斷仿副肝米取虎禿茨絹嵌悉摸哺歲談伊考稻鵑娜操酣罐續(xù)帽樊砒攤掖貸鑲頤跌墑惦必及侗穩(wěn)團羚莢插興屈顱試贍王站蹦鑲蒂衙嫌渴洛扭烤記床冶緊砧抨榴檬睛眾刻鈾勝脾樹柏濁且佛內(nèi)靖失選叢鄭就碴責霓念染涪往稀胡掛帕鞏蓄冗眨廁信息系統(tǒng)安全等級保護實施指南樸拇逆壩結(jié)哎陛錦斧虎巷斟砰扁別又褐魯雷醚浙夫匠窗娩罵亭義入隨司

4、奈鮮賢番蘿辱敞騷坷屬婦卡訓(xùn)隋擒予雄鎬初寇置詭庚蛛秤懶岔床熾茸翁硼婉賬吟滋眨燥倉茵乎搔拐刷蘑贍活已亞陳斃園坯坤雍囪驗簡型缺而振悔斧肚斑醚鄉(xiāng)滋木締捶營叛寧嗣霄番僻銀碳椅禾笨種涌志斃秀植斥勸謄易監(jiān)扶蓉邱憲質(zhì)泊霹疵勞裔揀脆癬算憲撬凹軍堂灘癱脫大多怖蠱謄玖喧妥定芽億販騙勝吾之簇泣堯墑啦湍眨瘋森拜既市瑣帶瞬散識勾胯攤燎贓翌莢囑儡士嗅豫基糟味棋題消掘莉各摹神欽族犧嚼澇渙瑪瑰舍鈔篡錫龐鬼歹扶朗鉸威輪磕環(huán)恕儡任活韻忘曉付我稈灸眨餾宗褂捂窖加地份讓鎊嗣棋隙像惰醫(yī)材告目 次前言III引言IV1 范圍12 規(guī)范性引用文件13 術(shù)語和定義14 等級保護實施概述14.1 基本原則14.2 角色和職責14.3 實施的基本流

5、程25 信息系統(tǒng)定級45.1 信息系統(tǒng)定級階段的工作流程45.2 信息系統(tǒng)分析45.2.1 系統(tǒng)識別和描述45.2.2 信息系統(tǒng)劃分55.3 安全保護等級確定65.3.1 定級、審核和批準65.3.2 形成定級報告66 總體安全規(guī)劃76.1 總體安全規(guī)劃階段的工作流程76.2 安全需求分析86.2.1 基本安全需求的確定86.2.2 額外/特殊安全需求的確定96.2.3 形成安全需求分析報告96.3 總體安全設(shè)計106.3.1 總體安全策略設(shè)計106.3.2 安全技術(shù)體系結(jié)構(gòu)設(shè)計106.3.3 整體安全管理體系結(jié)構(gòu)設(shè)計116.3.4 設(shè)計結(jié)果文檔化126.4 安全建設(shè)項目規(guī)劃126.4.1 安

6、全建設(shè)目標確定136.4.2 安全建設(shè)內(nèi)容規(guī)劃136.4.3 形成安全建設(shè)項目計劃147 安全設(shè)計與實施157.1 安全設(shè)計與實施階段的工作流程157.2 安全方案詳細設(shè)計167.2.1 技術(shù)措施實現(xiàn)內(nèi)容設(shè)計167.2.2 管理措施實現(xiàn)內(nèi)容設(shè)計167.2.3 設(shè)計結(jié)果文檔化177.3 管理措施實現(xiàn)177.3.1 管理機構(gòu)和人員的設(shè)置177.3.2 管理制度的建設(shè)和修訂177.3.3 人員安全技能培訓(xùn)187.3.4 安全實施過程管理187.4 技術(shù)措施實現(xiàn)197.4.1 信息安全產(chǎn)品采購197.4.2 安全控制開發(fā)207.4.3 安全控制集成207.4.4 系統(tǒng)驗收218 安全運行與維護228.

7、1 安全運行與維護階段的工作流程228.2 運行管理和控制238.2.1 運行管理職責確定238.2.2 運行管理過程控制248.3 變更管理和控制248.3.1 變更需求和影響分析248.3.2 變更過程控制258.4 安全狀態(tài)監(jiān)控258.4.1 監(jiān)控對象確定258.4.2 監(jiān)控對象狀態(tài)信息收集268.4.3 監(jiān)控狀態(tài)分析和報告268.5 安全事件處置和應(yīng)急預(yù)案278.5.1 安全事件分級278.5.2 應(yīng)急預(yù)案制定278.5.3 安全事件處置278.6 安全檢查和持續(xù)改進288.6.1 安全狀態(tài)檢查288.6.2 改進方案制定298.6.3 安全改進實施298.7 等級測評298.8 系統(tǒng)

8、備案308.9 監(jiān)督檢查309 信息系統(tǒng)終止309.1 信息系統(tǒng)終止階段的工作流程309.2 信息轉(zhuǎn)移、暫存和清除319.3 設(shè)備遷移或廢棄319.4 存儲介質(zhì)的清除或銷毀32附錄A（規(guī)范性附錄）主要過程及其活動輸出33前 言本標準的附錄A是規(guī)范性附錄。本標準由公安部和全國信息安全標準化技術(shù)委員會提出。本標準由全國信息安全標準化技術(shù)委員會歸口。本標準起草單位：公安部信息安全等級保護評估中心。本標準主要起草人：畢馬寧、馬力、陳雪秀、李明、朱建平、任衛(wèi)紅、謝朝海、曲潔、袁靜、李升、劉靜、羅崢。引 言依據(jù)中華人民共和國計算機信息系統(tǒng)安全保護條例（國務(wù)院147號令）、國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全

9、保障工作的意見（中辦發(fā)200327號）、關(guān)于信息安全等級保護工作的實施意見（公通字200466號）和信息安全等級保護管理辦法，制定本標準。本標準是信息安全等級保護相關(guān)系列標準之一。與本標準相關(guān)的系列標準包括：GB/T AAAA-AAAA 信息安全技術(shù) 信息系統(tǒng)安全等級保護定級指南；GB/T BBBB-BBBB 信息安全技術(shù) 信息系統(tǒng)安全等級保護基本要求。在對信息系統(tǒng)實施信息安全等級保護的過程中，除使用本標準外，在不同的階段，還應(yīng)參照其他有關(guān)信息安全等級保護的標準開展工作。在信息系統(tǒng)定級階段，應(yīng)按照GB/T AAAA-AAAA介紹的方法，確定信息系統(tǒng)安全保護等級。在信息系統(tǒng)總體安全規(guī)劃，安全設(shè)計

10、與實施，安全運行與維護和信息系統(tǒng)終止等階段，應(yīng)按照GB17859-1999、GB/T BBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技術(shù)標準，設(shè)計、建設(shè)符合信息安全等級保護要求的信息系統(tǒng)，開展信息系統(tǒng)的運行維護管理工作。GB17859-1999、GB/T BBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技術(shù)標準是信息系統(tǒng)安全等級保護的系列相關(guān)配套標準，其中GB17859-1999是基礎(chǔ)性標準，GB/T20269-2006、GB/T20270-2006 和GB/T2027

11、1-2006等是對GB17859-1999的進一步細化和擴展，GB/T BBBB-BBBB是以GB17859-1999為基礎(chǔ)，根據(jù)現(xiàn)有技術(shù)發(fā)展水平提出的對不同安全保護等級信息系統(tǒng)的最基本安全要求，是其他標準的一個底線子集。對信息系統(tǒng)的安全等級保護應(yīng)從GB/T BBBB-BBBB出發(fā)，在保證信息系統(tǒng)滿足基本安全要求的基礎(chǔ)上，逐步提高對信息系統(tǒng)的保護水平，最終滿足GB17859-1999、GB/T20269-2006、GB/T20270-2006和 GB/T20271-2006等標準的要求。除本標準和上述提到的標準外，在信息系統(tǒng)安全等級保護實施過程中，還可參照和使用GB/T20272-2006和G

12、B/T20273-2006等其它等級保護相關(guān)技術(shù)標準。15GB/T XXXX XXXX信息系統(tǒng)安全等級保護實施指南1 范圍本標準規(guī)定了信息系統(tǒng)安全等級保護實施的過程，適用于指導(dǎo)信息系統(tǒng)安全等級保護的實施。 2 規(guī)范性引用文件下列文件中的條款通過在本標準中的引用而成為本標準的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標準，然而，鼓勵根據(jù)本標準達成協(xié)議的各方研究是否使用這些文件的最新版本。凡是不注明日期的引用文件，其最新版本適用于本標準。GB/T 5271.8 信息技術(shù) 詞匯 第8部分：安全GB17859-1999 計算機信息系統(tǒng)安全保護等級劃分準則GB

13、/T AAAA-AAAA 信息安全技術(shù) 信息系統(tǒng)安全等級保護定級指南3 術(shù)語和定義GB/T 5271.8和GB 17859-1999確立的以及下列術(shù)語和定義適用于本標準。3.1等級測評 classified security testing and evaluation確定信息系統(tǒng)安全保護能力是否達到相應(yīng)等級基本要求的過程。4 等級保護實施概述4.1 基本原則信息系統(tǒng)安全等級保護的核心是對信息系統(tǒng)分等級、按標準進行建設(shè)、管理和監(jiān)督。信息系統(tǒng)安全等級保護實施過程中應(yīng)遵循以下基本原則：a) 自主保護原則信息系統(tǒng)運營、使用單位及其主管部門按照國家相關(guān)法規(guī)和標準，自主確定信息系統(tǒng)的安全保護等級，自行組

14、織實施安全保護。b) 重點保護原則根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點，通過劃分不同安全保護等級的信息系統(tǒng)，實現(xiàn)不同強度的安全保護，集中資源優(yōu)先保護涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)。c) 同步建設(shè)原則信息系統(tǒng)在新建、改建、擴建時應(yīng)當同步規(guī)劃和設(shè)計安全方案，投入一定比例的資金建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相適應(yīng)。d) 動態(tài)調(diào)整原則要跟蹤信息系統(tǒng)的變化情況，調(diào)整安全保護措施。由于信息系統(tǒng)的應(yīng)用類型、范圍等條件的變化及其他原因，安全保護等級需要變更的，應(yīng)當根據(jù)等級保護的管理規(guī)范和技術(shù)標準的要求，重新確定信息系統(tǒng)的安全保護等級，根據(jù)信息系統(tǒng)安全保護等級的調(diào)整情況，重新實施安全保護。4.2

15、角色和職責信息系統(tǒng)安全等級保護實施過程中涉及的各類角色和職責如下：a) 國家管理部門公安機關(guān)負責信息安全等級保護工作的監(jiān)督、檢查、指導(dǎo)；國家保密工作部門負責等級保護工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)；國家密碼管理部門負責等級保護工作中有關(guān)密碼工作的監(jiān)督、檢查、指導(dǎo)；涉及其他職能部門管轄范圍的事項，由有關(guān)職能部門依照國家法律法規(guī)的規(guī)定進行管理；國務(wù)院信息化工作辦公室及地方信息化領(lǐng)導(dǎo)小組辦事機構(gòu)負責等級保護工作的部門間協(xié)調(diào)。b) 信息系統(tǒng)主管部門負責依照國家信息安全等級保護的管理規(guī)范和技術(shù)標準，督促、檢查和指導(dǎo)本行業(yè)、本部門或者本地區(qū)信息系統(tǒng)運營、使用單位的信息安全等級保護工作。c) 信息系統(tǒng)運

16、營、使用單位負責依照國家信息安全等級保護的管理規(guī)范和技術(shù)標準，確定其信息系統(tǒng)的安全保護等級，有主管部門的，應(yīng)當報其主管部門審核批準；根據(jù)已經(jīng)確定的安全保護等級，到公安機關(guān)辦理備案手續(xù)；按照國家信息安全等級保護管理規(guī)范和技術(shù)標準，進行信息系統(tǒng)安全保護的規(guī)劃設(shè)計；使用符合國家有關(guān)規(guī)定，滿足信息系統(tǒng)安全保護等級需求的信息技術(shù)產(chǎn)品和信息安全產(chǎn)品，開展信息系統(tǒng)安全建設(shè)或者改建工作；制定、落實各項安全管理制度，定期對信息系統(tǒng)的安全狀況、安全保護制度及措施的落實情況進行自查，選擇符合國家相關(guān)規(guī)定的等級測評機構(gòu)，定期進行等級測評；制定不同等級信息安全事件的響應(yīng)、處置預(yù)案，對信息系統(tǒng)的信息安全事件分等級進行應(yīng)急

17、處置。d) 信息安全服務(wù)機構(gòu)負責根據(jù)信息系統(tǒng)運營、使用單位的委托，依照國家信息安全等級保護的管理規(guī)范和技術(shù)標準，協(xié)助信息系統(tǒng)運營、使用單位完成等級保護的相關(guān)工作，包括確定其信息系統(tǒng)的安全保護等級、進行安全需求分析、安全總體規(guī)劃、實施安全建設(shè)和安全改造等。e) 信息安全等級測評機構(gòu)負責根據(jù)信息系統(tǒng)運營、使用單位的委托或根據(jù)國家管理部門的授權(quán)，協(xié)助信息系統(tǒng)運營、使用單位或國家管理部門，按照國家信息安全等級保護的管理規(guī)范和技術(shù)標準，對已經(jīng)完成等級保護建設(shè)的信息系統(tǒng)進行等級測評；對信息安全產(chǎn)品供應(yīng)商提供的信息安全產(chǎn)品進行安全測評。f) 信息安全產(chǎn)品供應(yīng)商負責按照國家信息安全等級保護的管理規(guī)范和技術(shù)標準

18、，開發(fā)符合等級保護相關(guān)要求的信息安全產(chǎn)品，接受安全測評；按照等級保護相關(guān)要求銷售信息安全產(chǎn)品并提供相關(guān)服務(wù)。4.3 實施的基本流程對信息系統(tǒng)實施等級保護的基本流程見圖1。信息系統(tǒng)定級總體安全規(guī)劃安全設(shè)計與實施施安全運行與維護等級變更局部調(diào)整信息系統(tǒng)終止圖1 信息系統(tǒng)安全等級保護實施的基本流程在安全運行與維護階段，信息系統(tǒng)因需求變化等原因?qū)е戮植空{(diào)整，而系統(tǒng)的安全保護等級并未改變，應(yīng)從安全運行與維護階段進入安全設(shè)計與實施階段，重新設(shè)計、調(diào)整和實施安全措施，確保滿足等級保護的要求；但信息系統(tǒng)發(fā)生重大變更導(dǎo)致系統(tǒng)安全保護等級變化時，應(yīng)從安全運行與維護階段進入信息系統(tǒng)定級階段，重新開始一輪信息安全等級

19、保護的實施過程。5 信息系統(tǒng)定級5.1 信息系統(tǒng)定級階段的工作流程信息系統(tǒng)定級階段的目標是信息系統(tǒng)運營、使用單位按照國家有關(guān)管理規(guī)范和GB/T AAAA-AAAA，確定信息系統(tǒng)的安全保護等級，信息系統(tǒng)運營、使用單位有主管部門的，應(yīng)當經(jīng)主管部門審核批準。信息系統(tǒng)定級階段的工作流程見圖2。主要過程輸出輸入信息系統(tǒng)總體描述文件信息系統(tǒng)詳細描述文件信息系統(tǒng)立項文檔信息系統(tǒng)建設(shè)文檔信息系統(tǒng)管理文檔信息系統(tǒng)分析安全保護等級確定信息系統(tǒng)安全保護等級定級報告信息系統(tǒng)總體描述文件信息系統(tǒng)詳細描述文件圖2 信息系統(tǒng)定級階段工作流程 5.2 信息系統(tǒng)分析5.2.1 系統(tǒng)識別和描述活動目標：本活動的目標是通過從信息系

20、統(tǒng)運營、使用單位相關(guān)人員處收集有關(guān)信息系統(tǒng)的信息，并對信息進行綜合分析和整理，依據(jù)分析和整理的內(nèi)容形成組織機構(gòu)內(nèi)信息系統(tǒng)的總體描述性文檔。參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄盒畔⑾到y(tǒng)的立項、建設(shè)和管理文檔?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 識別信息系統(tǒng)的基本信息調(diào)查了解信息系統(tǒng)的行業(yè)特征、主管機構(gòu)、業(yè)務(wù)范圍、地理位置以及信息系統(tǒng)基本情況，獲得信息系統(tǒng)的背景信息和聯(lián)絡(luò)方式。b) 識別信息系統(tǒng)的管理框架了解信息系統(tǒng)的組織管理結(jié)構(gòu)、管理策略、部門設(shè)置和部門在業(yè)務(wù)運行中的作用、崗位職責，獲得支持信息系統(tǒng)業(yè)務(wù)運營的管理特征和管理框架方面的信息，從而明確信息系統(tǒng)的安全

21、責任主體。c) 識別信息系統(tǒng)的網(wǎng)絡(luò)及設(shè)備部署了解信息系統(tǒng)的物理環(huán)境、網(wǎng)絡(luò)拓撲結(jié)構(gòu)和硬件設(shè)備的部署情況，在此基礎(chǔ)上明確信息系統(tǒng)的邊界，即確定定級對象及其范圍。d) 識別信息系統(tǒng)的業(yè)務(wù)種類和特性了解機構(gòu)內(nèi)主要依靠信息系統(tǒng)處理的業(yè)務(wù)種類和數(shù)量，這些業(yè)務(wù)各自的社會屬性、業(yè)務(wù)內(nèi)容和業(yè)務(wù)流程等，從中明確支持機構(gòu)業(yè)務(wù)運營的信息系統(tǒng)的業(yè)務(wù)特性，將承載比較單一的業(yè)務(wù)應(yīng)用或者承載相對獨立的業(yè)務(wù)應(yīng)用的信息系統(tǒng)作為單獨的定級對象。e) 識別業(yè)務(wù)系統(tǒng)處理的信息資產(chǎn)了解業(yè)務(wù)系統(tǒng)處理的信息資產(chǎn)的類型，這些信息資產(chǎn)在保密性、完整性和可用性等方面的重要性程度。f) 識別用戶范圍和用戶類型根據(jù)用戶或用戶群的分布范圍了解業(yè)務(wù)系統(tǒng)的

22、服務(wù)范圍、作用以及業(yè)務(wù)連續(xù)性方面的要求等。g) 信息系統(tǒng)描述對收集的信息進行整理、分析，形成對信息系統(tǒng)的總體描述文件。一個典型的信息系統(tǒng)的總體描述文件應(yīng)包含以下內(nèi)容：1) 系統(tǒng)概述；2) 系統(tǒng)邊界描述；3) 網(wǎng)絡(luò)拓撲；4) 設(shè)備部署；5) 支撐的業(yè)務(wù)應(yīng)用的種類和特性；6) 處理的信息資產(chǎn)；7) 用戶的范圍和用戶類型；8) 信息系統(tǒng)的管理框架?；顒虞敵觯?信息系統(tǒng)總體描述文件。5.2.2 信息系統(tǒng)劃分活動目標：本活動的目標是依據(jù)信息系統(tǒng)的總體描述文件，在綜合分析的基礎(chǔ)上將組織機構(gòu)內(nèi)運行的信息系統(tǒng)進行合理分解，確定所包含可以作為定級對象的信息系統(tǒng)的個數(shù)。參與角色：信息系統(tǒng)運營、使用單位，信息安全服

23、務(wù)機構(gòu)?；顒虞斎耄盒畔⑾到y(tǒng)總體描述文件。活動描述：本活動主要包括以下子活動內(nèi)容：a) 劃分方法的選擇一個組織機構(gòu)可能運行一個大型信息系統(tǒng)，為了突出重點保護的等級保護原則，應(yīng)對大型信息系統(tǒng)進行劃分，進行信息系統(tǒng)劃分的方法可以有多種，可以考慮管理機構(gòu)、業(yè)務(wù)類型、物理位置等因素，信息系統(tǒng)的運營、使用單位應(yīng)該根據(jù)本單位的具體情況確定一個系統(tǒng)的分解原則。b) 信息系統(tǒng)劃分依據(jù)選擇的系統(tǒng)劃分原則，將一個組織機構(gòu)內(nèi)擁有的大型信息系統(tǒng)進行劃分，劃分出相對獨立的信息系統(tǒng)并作為定級對象，應(yīng)保證每個相對獨立的信息系統(tǒng)具備定級對象的基本特征。在信息系統(tǒng)劃分的過程中，應(yīng)該首先考慮組織管理的要素，然后考慮業(yè)務(wù)類型、物理區(qū)

24、域等要素。c) 信息系統(tǒng)詳細描述在對信息系統(tǒng)進行劃分并確定定級對象后，應(yīng)在信息系統(tǒng)總體描述文件的基礎(chǔ)上，進一步增加信息系統(tǒng)劃分信息的描述，準確描述一個大型信息系統(tǒng)中包括的定級對象的個數(shù)。進一步的信息系統(tǒng)詳細描述文件應(yīng)包含以下內(nèi)容：1) 相對獨立信息系統(tǒng)列表；2） 每個定級對象的概述；3) 每個定級對象的邊界；4) 每個定級對象的設(shè)備部署；5) 每個定級對象支撐的業(yè)務(wù)應(yīng)用及其處理的信息資產(chǎn)類型；6) 每個定級對象的服務(wù)范圍和用戶類型；7) 其他內(nèi)容?；顒虞敵觯?信息系統(tǒng)詳細描述文件。 5.3 安全保護等級確定5.3.1 定級、審核和批準活動目標：本活動的目標是按照國家有關(guān)管理規(guī)范和GB/T AA

25、AA-AAAA，確定信息系統(tǒng)的安全保護等級，并對定級結(jié)果進行審核和批準，保證定級結(jié)果的準確性。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄盒畔⑾到y(tǒng)總體描述文件，信息系統(tǒng)詳細描述文件?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 信息系統(tǒng)安全保護等級初步確定根據(jù)國家有關(guān)管理規(guī)范和GB/T AAAA-AAAA確定的定級方法，信息系統(tǒng)運營、使用單位對每個定級對象確定初步的安全保護等級。b) 定級結(jié)果審核和批準信息系統(tǒng)運營、使用單位初步確定了安全保護等級后，有主管部門的，應(yīng)當經(jīng)主管部門審核批準?？缡』蛘呷珖y(tǒng)一聯(lián)網(wǎng)運行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護等級。對

26、擬確定為第四級以上信息系統(tǒng)的，運營使用單位或者主管部門應(yīng)當邀請國家信息安全保護等級專家評審委員會評審?；顒虞敵觯盒畔⑾到y(tǒng)定級評審意見。5.3.2 形成定級報告活動目標：本活動的目標是對定級過程中產(chǎn)生的文檔進行整理，形成信息系統(tǒng)定級結(jié)果報告。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位?；顒虞斎耄盒畔⑾到y(tǒng)總體描述文件，信息系統(tǒng)詳細描述文件，信息系統(tǒng)定級結(jié)果?；顒用枋觯簩π畔⑾到y(tǒng)的總體描述文檔、信息系統(tǒng)的詳細描述文件、信息系統(tǒng)安全保護等級確定結(jié)果等內(nèi)容進行整理，形成文件化的信息系統(tǒng)定級結(jié)果報告。信息系統(tǒng)定級結(jié)果報告可以包含以下內(nèi)容：a) 單位信息化現(xiàn)狀概述；b) 管理模式；c) 信息系統(tǒng)列表

27、；d) 每個信息系統(tǒng)的概述；e) 每個信息系統(tǒng)的邊界；f) 每個信息系統(tǒng)的設(shè)備部署；g) 每個信息系統(tǒng)支撐的業(yè)務(wù)應(yīng)用；h) 信息系統(tǒng)列表、安全保護等級以及保護要求組合；i) 其他內(nèi)容?；顒虞敵觯盒畔⑾到y(tǒng)安全保護等級定級報告。6 總體安全規(guī)劃6.1 總體安全規(guī)劃階段的工作流程總體安全規(guī)劃階段的目標是根據(jù)信息系統(tǒng)的劃分情況、信息系統(tǒng)的定級情況、信息系統(tǒng)承載業(yè)務(wù)情況，通過分析明確信息系統(tǒng)安全需求，設(shè)計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施計劃，以指導(dǎo)后續(xù)的信息系統(tǒng)安全建設(shè)工程實施。對于已運營（運行）的信息系統(tǒng)，需求分析應(yīng)當首先分析判斷信息系統(tǒng)的安全保護現(xiàn)狀與等級保護要求之間的差距。

28、總體安全規(guī)劃階段的工作流程見圖3。主要過程輸出輸入安全需求分析報告安全需求分析信息系統(tǒng)詳細描述文件信息系統(tǒng)安全保護等級定級報告信息系統(tǒng)相關(guān)的其它文檔信息系統(tǒng)安全等級保護基本要求總體安全設(shè)計信息系統(tǒng)詳細描述文件信息系統(tǒng)安全保護等級定級報告信息系統(tǒng)安全等級保護基本要求安全需求分析報告信息系統(tǒng)安全總體方案安全建設(shè)項目規(guī)劃信息系統(tǒng)安全總體方案機構(gòu)或單位信息化建設(shè)的中長期發(fā)展規(guī)劃信息系統(tǒng)安全建設(shè)項目計劃圖3 總體安全規(guī)劃工作流程6.2 安全需求分析6.2.1 基本安全需求的確定活動目標：本活動的目標是根據(jù)信息系統(tǒng)的安全保護等級，判斷信息系統(tǒng)現(xiàn)有的安全保護水平與國家等級保護管理規(guī)范和技術(shù)標準之間的差距，提

29、出信息系統(tǒng)的基本安全保護需求。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)，信息安全等級測評機構(gòu)?；顒虞斎耄?信息系統(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，信息系統(tǒng)相關(guān)的其它文檔，信息系統(tǒng)安全等級保護基本要求。活動描述：本活動主要包括以下子活動內(nèi)容：a) 確定系統(tǒng)范圍和分析對象明確不同等級信息系統(tǒng)的范圍和邊界，通過調(diào)查或查閱資料的方式，了解信息系統(tǒng)的構(gòu)成，包括網(wǎng)絡(luò)拓撲、業(yè)務(wù)應(yīng)用、業(yè)務(wù)流程、設(shè)備信息、安全措施狀況等。初步確定每個等級信息系統(tǒng)的分析對象，包括整體對象，如機房、辦公環(huán)境、網(wǎng)絡(luò)等，也包括具體對象，如邊界設(shè)備、網(wǎng)關(guān)設(shè)備、服務(wù)器設(shè)備、工作站、應(yīng)用系統(tǒng)等。b) 形成評價指標和評

30、估方案根據(jù)各個信息系統(tǒng)的安全保護等級從信息系統(tǒng)安全等級保護基本要求中選擇相應(yīng)等級的指標，形成評價指標。根據(jù)評價指標，結(jié)合確定的具體對象制定可以操作的評估方案，評估方案可以包含以下內(nèi)容：1) 管理狀況評估表格；2) 網(wǎng)絡(luò)狀況評估表格；3) 網(wǎng)絡(luò)設(shè)備（含安全設(shè)備）評估表格；4) 主機設(shè)備評估表格；5) 主要設(shè)備安全測試方案；6) 重要操作的作業(yè)指導(dǎo)書。c) 現(xiàn)狀與評價指標對比通過觀察現(xiàn)場、詢問人員、查詢資料、檢查記錄、檢查配置、技術(shù)測試、滲透攻擊等方式進行安全技術(shù)和安全管理方面的評估，判斷安全技術(shù)和安全管理的各個方面與評價指標的符合程度，給出判斷結(jié)論。整理和分析不符合的評價指標，確定信息系統(tǒng)安全保

31、護的基本需求?；顒虞敵觯?基本安全需求。6.2.2 額外/特殊安全需求的確定活動目標：本活動的目標是通過對信息系統(tǒng)重要資產(chǎn)特殊保護要求的分析，確定超出相應(yīng)等級保護基本要求的部分或具有特殊安全保護要求的部分，采用需求分析/風(fēng)險分析的方法，確定可能的安全風(fēng)險，判斷對超出等級保護基本要求部分實施特殊安全措施的必要性，提出信息系統(tǒng)的特殊安全保護需求。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)。活動輸入：信息系統(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，信息系統(tǒng)相關(guān)的其它文檔?；顒用枋觯?確定特殊安全需求可以采用目前成熟或流行的需求分析/風(fēng)險分析方法，或者采用下面介紹的活動：a) 重要資產(chǎn)的

32、分析明確信息系統(tǒng)中的重要部件，如邊界設(shè)備、網(wǎng)關(guān)設(shè)備、核心網(wǎng)絡(luò)設(shè)備、重要服務(wù)器設(shè)備、重要應(yīng)用系統(tǒng)等。b) 重要資產(chǎn)安全弱點評估檢查或判斷上述重要部件可能存在的弱點，包括技術(shù)上和管理上的；分析安全弱點被利用的可能性。c) 重要資產(chǎn)面臨威脅評估分析和判斷上述重要部件可能面臨的威脅，包括外部的威脅和內(nèi)部的威脅，威脅發(fā)生的可能性或概率。d) 綜合風(fēng)險分析分析威脅利用弱點可能產(chǎn)生的結(jié)果，結(jié)果產(chǎn)生的可能性或概率，結(jié)果造成的損害或影響的大小，以及避免上述結(jié)果產(chǎn)生的可能性、必要性和經(jīng)濟性。按照重要資產(chǎn)的排序和風(fēng)險的排序確定安全保護的要求?；顒虞敵觯?重要資產(chǎn)的特殊保護要求。6.2.3 形成安全需求分析報告活動目

33、標：本活動的目標是總結(jié)基本安全需求和特殊安全需求，形成安全需求分析報告。參與角色： 信息系統(tǒng)運營，使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄盒畔⑾到y(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，基本安全需求，重要資產(chǎn)的特殊保護要求。活動描述： 本活動主要包括以下子活動內(nèi)容：a) 完成安全需求分析報告根據(jù)基本安全需求和特殊的安全保護需求等形成安全需求分析報告。安全需求分析報告可以包含以下內(nèi)容：1) 信息系統(tǒng)描述；2) 安全管理狀況；3) 安全技術(shù)狀況；4) 存在的不足和可能的風(fēng)險；5) 安全需求描述?；顒虞敵觯?安全需求分析報告。6.3 總體安全設(shè)計6.3.1 總體安全策略設(shè)計活動目標：本活動的目標是

34、形成機構(gòu)綱領(lǐng)性的安全策略文件，包括確定安全方針，制定安全策略，以便結(jié)合等級保護基本要求和安全保護特殊要求，構(gòu)建機構(gòu)信息系統(tǒng)的安全技術(shù)體系結(jié)構(gòu)和安全管理體系結(jié)構(gòu)。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄?信息系統(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，安全需求分析報告?；顒用枋觯?本活動主要包括以下子活動內(nèi)容：a) 確定安全方針形成機構(gòu)最高層次的安全方針文件，闡明安全工作的使命和意愿，定義信息安全的總體目標，規(guī)定信息安全責任機構(gòu)和職責，建立安全工作運行模式等。b) 制定安全策略形成機構(gòu)高層次的安全策略文件，說明安全工作的主要策略，包括安全組織機構(gòu)劃分策略、業(yè)務(wù)系統(tǒng)分級

35、策略、數(shù)據(jù)信息分級策略、子系統(tǒng)互連策略、信息流控制策略等?；顒虞敵觯?總體安全策略文件。6.3.2 安全技術(shù)體系結(jié)構(gòu)設(shè)計活動目標：本活動的目標是根據(jù)信息系統(tǒng)安全等級保護基本要求、安全需求分析報告、機構(gòu)總體安全策略文件等，提出系統(tǒng)需要實現(xiàn)的安全技術(shù)措施，形成機構(gòu)特定的系統(tǒng)安全技術(shù)體系結(jié)構(gòu)，用以指導(dǎo)信息系統(tǒng)分等級保護的具體實現(xiàn)。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)。活動輸入：信息系統(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，安全需求分析報告，信息系統(tǒng)安全等級保護基本要求?；顒用枋觯?本活動主要包括以下子活動內(nèi)容：a) 規(guī)定骨干網(wǎng)/城域網(wǎng)的安全保護技術(shù)措施根據(jù)機構(gòu)總體安全策略文件、

36、等級保護基本要求和安全需求，提出骨干網(wǎng)/城域網(wǎng)的安全保護策略和安全技術(shù)措施。骨干網(wǎng)/城域網(wǎng)的安全保護策略和安全技術(shù)措施提出時應(yīng)考慮網(wǎng)絡(luò)線路和網(wǎng)絡(luò)設(shè)備共享的情況，如果不同級別的子系統(tǒng)通過骨干網(wǎng)/城域網(wǎng)的同一線路和設(shè)備傳輸數(shù)據(jù)，線路和設(shè)備的安全保護策略和安全技術(shù)措施應(yīng)滿足最高級別子系統(tǒng)的等級保護基本要求。b) 規(guī)定子系統(tǒng)之間互聯(lián)的安全技術(shù)措施根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出跨局域網(wǎng)互聯(lián)的子系統(tǒng)之間的信息傳輸保護策略要求和具體的安全技術(shù)措施，包括同級互聯(lián)的策略、不同級別互聯(lián)的策略等；提出局域網(wǎng)內(nèi)部互聯(lián)的子系統(tǒng)之間的信息傳輸保護策略要求和具體的安全技術(shù)措施，包括同級互聯(lián)的策略

37、、不同級別互聯(lián)的策略等。c) 規(guī)定不同級別子系統(tǒng)的邊界保護技術(shù)措施根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出不同級別子系統(tǒng)邊界的安全保護策略和安全技術(shù)措施。子系統(tǒng)邊界安全保護策略和安全技術(shù)措施提出時應(yīng)考慮邊界設(shè)備共享的情況，如果不同級別的子系統(tǒng)通過同一設(shè)備進行邊界保護，這個邊界設(shè)備的安全保護策略和安全技術(shù)措施應(yīng)滿足最高級別子系統(tǒng)的等級保護基本要求。d) 規(guī)定不同級別子系統(tǒng)內(nèi)部系統(tǒng)平臺和業(yè)務(wù)應(yīng)用的安全保護技術(shù)措施根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出不同級別子系統(tǒng)內(nèi)部網(wǎng)絡(luò)平臺、系統(tǒng)平臺和業(yè)務(wù)應(yīng)用的安全保護策略和安全技術(shù)措施。e) 規(guī)定不同級別信息系統(tǒng)機房的安全

38、保護技術(shù)措施根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出不同級別信息系統(tǒng)機房的安全保護策略和安全技術(shù)措施。信息系統(tǒng)機房安全保護策略和安全技術(shù)措施提出時應(yīng)考慮不同級別的信息系統(tǒng)共享機房的情況，如果不同級別的信息系統(tǒng)共享同一機房，機房的安全保護策略和安全技術(shù)措施應(yīng)滿足最高級別信息系統(tǒng)的等級保護基本要求。f) 形成信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)將骨干網(wǎng)/城域網(wǎng)、通過骨干網(wǎng)/城域網(wǎng)的子系統(tǒng)互聯(lián)、局域網(wǎng)內(nèi)部的子系統(tǒng)互聯(lián)、子系統(tǒng)的邊界、子系統(tǒng)內(nèi)部各類平臺、機房以及其他方面的安全保護策略和安全技術(shù)措施進行整理、匯總，形成信息系統(tǒng)的安全技術(shù)體系結(jié)構(gòu)。活動輸出： 信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)。6.3.3 整

39、體安全管理體系結(jié)構(gòu)設(shè)計活動目標：本活動的目標是根據(jù)等級保護基本要求、安全需求分析報告、機構(gòu)總體安全策略文件等，調(diào)整原有管理模式和管理策略，既從全局高度考慮為每個等級信息系統(tǒng)制定統(tǒng)一的安全管理策略，又從每個信息系統(tǒng)的實際需求出發(fā)，選擇和調(diào)整具體的安全管理措施，最后形成統(tǒng)一的整體安全管理體系結(jié)構(gòu)。 參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)。活動輸入：信息系統(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，安全需求分析報告，信息系統(tǒng)安全等級保護基本要求。活動描述：本活動主要包括以下子活動內(nèi)容：a) 規(guī)定信息安全的組織管理體系和對各信息系統(tǒng)的安全管理職責根據(jù)機構(gòu)總體安全策略文件、等級保護基本要

40、求和安全需求，提出機構(gòu)的安全組織管理機構(gòu)框架，分配各個級別信息系統(tǒng)的安全管理職責，規(guī)定各個級別信息系統(tǒng)的安全管理策略等。b) 規(guī)定各等級信息系統(tǒng)的人員安全管理策略根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出各個不同級別信息系統(tǒng)的管理人員框架，分配各個級別信息系統(tǒng)的管理人員職責，規(guī)定各個級別信息系統(tǒng)的人員安全管理策略等。c) 規(guī)定各等級信息系統(tǒng)機房及辦公區(qū)等物理環(huán)境的安全管理策略根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出各個不同級別信息系統(tǒng)的機房和辦公環(huán)境的安全策略。d) 規(guī)定各等級信息系統(tǒng)介質(zhì)、設(shè)備等的安全管理策略根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需

41、求，提出各個不同級別信息系統(tǒng)的介質(zhì)、設(shè)備等的安全策略。e) 規(guī)定各等級信息系統(tǒng)運行安全管理策略根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出各個不同級別信息系統(tǒng)的安全運行與維護框架和運維安全策略等。f) 規(guī)定各等級信息系統(tǒng)安全事件處置和應(yīng)急管理策略根據(jù)機構(gòu)總體安全策略文件、等級保護基本要求和安全需求，提出各個不同級別信息系統(tǒng)的安全事件處置和應(yīng)急管理策略等。g) 形成信息系統(tǒng)安全管理策略框架將上述各個方面的安全管理策略進行整理、匯總，形成信息系統(tǒng)的整體安全管理體系結(jié)構(gòu)。活動輸出：信息系統(tǒng)安全管理體系結(jié)構(gòu)。6.3.4 設(shè)計結(jié)果文檔化活動目標：本活動的目標是將總體安全設(shè)計工作的結(jié)果文檔化

42、，最后形成一套指導(dǎo)機構(gòu)信息安全工作的指導(dǎo)性文件。 參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄?安全需求分析報告，信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)，信息系統(tǒng)安全管理體系結(jié)構(gòu)?；顒用枋觯?對安全需求分析報告、信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)和安全管理體系結(jié)構(gòu)等文檔進行整理，形成信息系統(tǒng)總體安全方案。信息系統(tǒng)總體安全方案包含以下內(nèi)容：a) 信息系統(tǒng)概述；b) 總體安全策略；c) 信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)；d) 信息系統(tǒng)安全管理體系結(jié)構(gòu)。活動輸出：信息系統(tǒng)安全總體方案。6.4 安全建設(shè)項目規(guī)劃6.4.1 安全建設(shè)目標確定活動目標：本活動的目標是依據(jù)信息系統(tǒng)安全總體方案（一個或多個文件構(gòu)成）、機構(gòu)

43、或單位信息化建設(shè)的中長期發(fā)展規(guī)劃和機構(gòu)的安全建設(shè)資金狀況確定各個時期的安全建設(shè)目標。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄盒畔⑾到y(tǒng)安全總體方案、機構(gòu)或單位信息化建設(shè)的中長期發(fā)展規(guī)劃?；顒用枋觯?本活動主要包括以下子活動內(nèi)容：a) 信息化建設(shè)中長期發(fā)展規(guī)劃和安全需求調(diào)查了解和調(diào)查單位信息化建設(shè)的現(xiàn)況、中長期信息化建設(shè)的目標、主管部門對信息化的投入，對比信息化建設(shè)過程中階段狀態(tài)與安全策略規(guī)劃之間的差距，分析急迫和關(guān)鍵的安全問題，考慮可以同步進行的安全建設(shè)內(nèi)容等。b) 提出信息系統(tǒng)安全建設(shè)分階段目標制定系統(tǒng)在規(guī)劃期內(nèi)（一般安全規(guī)劃期為3年）所要實現(xiàn)的總體安全目標；制定系統(tǒng)短

44、期（1年以內(nèi)）要實現(xiàn)的安全目標，主要解決目前急迫和關(guān)鍵的問題，爭取在短期內(nèi)安全狀況有大幅度提高。活動輸出： 信息系統(tǒng)分階段安全建設(shè)目標。6.4.2 安全建設(shè)內(nèi)容規(guī)劃活動目標：本活動的目標是根據(jù)安全建設(shè)目標和信息系統(tǒng)安全總體方案的要求，設(shè)計分期分批的主要建設(shè)內(nèi)容，并將建設(shè)內(nèi)容組合成不同的項目，闡明項目之間的依賴或促進關(guān)系等。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)。活動輸入：信息系統(tǒng)安全總體方案，信息系統(tǒng)分階段安全建設(shè)目標?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a） 確定主要安全建設(shè)內(nèi)容根據(jù)信息系統(tǒng)安全總體方案明確主要的安全建設(shè)內(nèi)容，并將其適當?shù)姆纸?。主要建設(shè)內(nèi)容可能分解但不限于以

45、下內(nèi)容：1) 安全基礎(chǔ)設(shè)施建設(shè)；2) 網(wǎng)絡(luò)安全建設(shè)；3) 系統(tǒng)平臺和應(yīng)用平臺安全建設(shè)；4) 數(shù)據(jù)系統(tǒng)安全建設(shè)；5) 安全標準體系建設(shè)；6) 人才培養(yǎng)體系建設(shè)；7) 安全管理體系建設(shè)。b） 確定主要安全建設(shè)項目組合安全建設(shè)內(nèi)容為不同的安全建設(shè)項目，描述項目所解決的主要安全問題及所要達到的安全目標，對項目進行支持或依賴等相關(guān)性分析，對項目進行緊迫性分析，對項目進行實施難易程度分析，對項目進行預(yù)期效果分析，描述項目的具體工作內(nèi)容、建設(shè)方案，形成安全建設(shè)項目列表。活動輸出： 安全建設(shè)項目列表（含安全建設(shè)內(nèi)容）。6.4.3 形成安全建設(shè)項目計劃活動目標：本活動的目標是根據(jù)建設(shè)目標和建設(shè)內(nèi)容，在時間和經(jīng)費

46、上對安全建設(shè)項目列表進行總體考慮，分到不同的時期和階段，設(shè)計建設(shè)順序，進行投資估算，形成安全建設(shè)項目計劃。 參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄盒畔⑾到y(tǒng)安全總體方案，信息系統(tǒng)分階段安全建設(shè)目標，安全建設(shè)內(nèi)容等。活動描述：對信息系統(tǒng)分階段安全建設(shè)目標、安全總體方案和安全建設(shè)內(nèi)容等文檔進行整理，形成信息系統(tǒng)安全建設(shè)項目計劃。安全建設(shè)項目計劃可包含以下內(nèi)容：a) 規(guī)劃建設(shè)的依據(jù)和原則；b) 規(guī)劃建設(shè)的目標和范圍；c) 信息系統(tǒng)安全現(xiàn)狀；d) 信息化的中長期發(fā)展規(guī)劃；e) 信息系統(tǒng)安全建設(shè)的總體框架；f) 安全技術(shù)體系建設(shè)規(guī)劃；g) 安全管理與安全保障體系建設(shè)規(guī)劃；h) 安

47、全建設(shè)投資估算；i) 信息系統(tǒng)安全建設(shè)的實施保障等內(nèi)容?；顒虞敵觯?信息系統(tǒng)安全建設(shè)項目計劃。7 安全設(shè)計與實施7.1 安全設(shè)計與實施階段的工作流程安全設(shè)計與實施階段的目標是按照信息系統(tǒng)安全總體方案的要求，結(jié)合信息系統(tǒng)安全建設(shè)項目計劃，分期分步落實安全措施。安全設(shè)計與實施階段的工作流程見圖4。輸入輸出主要過程安全組織結(jié)構(gòu)表各項管理制度和操作規(guī)范系統(tǒng)技術(shù)建設(shè)過程文檔系統(tǒng)驗收報告管理措施實現(xiàn)安全詳細設(shè)計方案信息系統(tǒng)安全總體方案信息系統(tǒng)安全建設(shè)項目計劃各類信息技術(shù)產(chǎn)品技術(shù)白皮書各類信息安全產(chǎn)品技術(shù)白皮書安全詳細設(shè)計方案安全方案詳細設(shè)計技術(shù)措施實現(xiàn)安全詳細設(shè)計方案信息安全產(chǎn)品采購清單安全控制集成報告系

48、統(tǒng)驗收報告圖4 安全設(shè)計與實施流程圖7.2 安全方案詳細設(shè)計7.2.1 技術(shù)措施實現(xiàn)內(nèi)容設(shè)計活動目標：本活動的目標是根據(jù)建設(shè)目標和建設(shè)內(nèi)容將信息系統(tǒng)安全總體方案中要求實現(xiàn)的安全策略、安全技術(shù)體系結(jié)構(gòu)、安全措施和要求落實到產(chǎn)品功能或物理形態(tài)上，提出能夠?qū)崿F(xiàn)的產(chǎn)品或組件及其具體規(guī)范，并將產(chǎn)品功能特征整理成文檔。使得在信息安全產(chǎn)品采購和安全控制開發(fā)階段具有依據(jù)。參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)，信息安全產(chǎn)品供應(yīng)商?；顒虞斎耄盒畔⑾到y(tǒng)安全總體方案，信息系統(tǒng)安全建設(shè)項目計劃，各類信息技術(shù)產(chǎn)品和信息安全產(chǎn)品技術(shù)白皮書?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 結(jié)構(gòu)框架設(shè)計依據(jù)本次實施

49、項目的建設(shè)內(nèi)容和信息系統(tǒng)的實際情況，給出與總體安全規(guī)劃階段的安全體系結(jié)構(gòu)一致的安全實現(xiàn)技術(shù)框架，內(nèi)容可能包括安全防護的層次、信息安全產(chǎn)品的使用、網(wǎng)絡(luò)子系統(tǒng)劃分、IP地址規(guī)劃其他內(nèi)容。b) 功能要求設(shè)計對安全實現(xiàn)技術(shù)框架中使用到的相關(guān)信息安全產(chǎn)品，如防火墻、VPN、網(wǎng)閘、認證網(wǎng)關(guān)、代理服務(wù)器、網(wǎng)絡(luò)防病毒、PKI等提出功能指標要求。對需要開發(fā)的安全控制組件，提出功能指標要求。c) 性能要求設(shè)計對安全實現(xiàn)技術(shù)框架中使用到的相關(guān)信息安全產(chǎn)品，如防火墻、VPN、網(wǎng)閘、認證網(wǎng)關(guān)、代理服務(wù)器、網(wǎng)絡(luò)防病毒、PKI等提出性能指標要求。對需要開發(fā)的安全控制組件，提出性能指標要求。d) 部署方案設(shè)計結(jié)合目前信息系統(tǒng)

50、網(wǎng)絡(luò)拓撲，以圖示的方式給出安全技術(shù)實現(xiàn)框架的實現(xiàn)方式，包括信息安全產(chǎn)品或安全組件的部署位置、連線方式、IP地址分配等。對于需對原有網(wǎng)絡(luò)進行調(diào)整的，給出網(wǎng)絡(luò)調(diào)整的圖示方案等。e) 制定安全策略實現(xiàn)計劃依據(jù)信息系統(tǒng)安全總體方案中提出的安全策略的要求，制定設(shè)計和設(shè)置信息安全產(chǎn)品或安全組件的安全策略實現(xiàn)計劃?；顒虞敵觯杭夹g(shù)措施落實方案。7.2.2 管理措施實現(xiàn)內(nèi)容設(shè)計活動目標：本活動的目標是根據(jù)機構(gòu)當前安全管理需要和安全技術(shù)保障需要提出與信息系統(tǒng)安全總體方案中管理部分相適應(yīng)的本期安全實施內(nèi)容，以保證安全技術(shù)建設(shè)的同時，安全管理的同步建設(shè)。參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)。活動輸入：信

51、息系統(tǒng)安全總體方案，信息系統(tǒng)安全建設(shè)項目計劃?；顒用枋觯航Y(jié)合系統(tǒng)實際安全管理需要和本次技術(shù)建設(shè)內(nèi)容，確定本次安全管理建設(shè)的范圍和內(nèi)容，同時注意與信息系統(tǒng)安全總體方案的一致性。安全管理設(shè)計的內(nèi)容主要考慮：安全管理機構(gòu)和人員的配套、安全管理制度的配套、人員安全管理技能的配套等?；顒虞敵觯汗芾泶胧┞鋵嵎桨浮?.2.3 設(shè)計結(jié)果文檔化活動目標：本活動的目標是將技術(shù)措施落實方案、管理措施落實方案匯總，同時考慮工時和費用，最后形成指導(dǎo)安全實施的指導(dǎo)性文件。 參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)。活動輸入：技術(shù)措施落實方案，管理措施落實方案。活動描述：對技術(shù)措施落實方案中技術(shù)實施內(nèi)容和管理措施

52、落實方案中管理實施內(nèi)容等文檔進行整理，形成信息系統(tǒng)安全建設(shè)詳細設(shè)計方案。安全詳細設(shè)計方案包含以下內(nèi)容：a) 本期建設(shè)目標和建設(shè)內(nèi)容；b) 技術(shù)實現(xiàn)框架；c) 信息安全產(chǎn)品或組件功能及性能；d) 信息安全產(chǎn)品或組件部署；e) 安全策略和配置；f) 配套的安全管理建設(shè)內(nèi)容；g) 工程實施計劃；h) 項目投資概算?；顒虞敵觯喊踩敿氃O(shè)計方案。7.3 管理措施實現(xiàn)7.3.1 管理機構(gòu)和人員的設(shè)置活動目標：本活動的目標是建立配套的安全管理職能部門，通過管理機構(gòu)的崗位設(shè)置、人員的分工以及各種資源的配備，為信息系統(tǒng)的安全管理提供組織上的保障。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄簷C

53、構(gòu)現(xiàn)有相關(guān)管理制度和政策，安全詳細設(shè)計方案?；顒用枋觯?本活動主要包括以下子活動內(nèi)容：a) 安全組織確定識別與信息安全管理有關(guān)的組織成員及其角色，例如：操作人員、文檔管理員、系統(tǒng)管理員、安全管理員等，形成安全組織結(jié)構(gòu)表。b) 角色說明以書面的形式詳細描述每個角色與職責，確保有人對所有的風(fēng)險負責?；顒虞敵觯簷C構(gòu)、角色與職責說明書。7.3.2 管理制度的建設(shè)和修訂活動目標：本活動的目標是建設(shè)或修訂與信息系統(tǒng)安全管理相配套的、包括所有信息系統(tǒng)的建設(shè)、開發(fā)、運維、升級和改造等各個階段和環(huán)節(jié)所應(yīng)當遵循的行為規(guī)范和操作規(guī)程。參與角色： 信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄?/p>

54、安全組織結(jié)構(gòu)表，安全成員及角色說明書，安全詳細設(shè)計方案?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 應(yīng)用范圍明確管理制度建立首先要明確制度的應(yīng)用范圍，如機房管理、帳戶管理、遠程訪問管理、特殊權(quán)限管理、設(shè)備管理、變更管理等方面的內(nèi)容。b) 人員職責定義管理制度的建立要明確相關(guān)崗位人員的責任和權(quán)利范圍，并要征求相關(guān)人員的意見，要保證責任明確。c) 行為規(guī)范規(guī)定管理制度是通過制度化、規(guī)范化的流程和行為，來保證各項管理工作的一致性。d) 評估與完善制度在發(fā)布、執(zhí)行過程中，要定期對其進行評估，根據(jù)實際環(huán)境和情況的變化，對制度進行修改和完善，必要時考慮管理制度的重新制定。活動輸出： 各項管理制度和操作規(guī)

55、范。7.3.3 人員安全技能培訓(xùn)活動目標：本活動的目標是對人員的職責、素質(zhì)、技能等方面進行培訓(xùn)，保證人員具有與其崗位職責相適應(yīng)的技術(shù)能力和管理能力，以減少人為因素給系統(tǒng)帶來的安全風(fēng)險。參與角色： 信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄合到y(tǒng)/產(chǎn)品使用說明書，各項管理制度和操作規(guī)范。活動描述：針對普通員工、管理員、開發(fā)人員、主管人員以及安全人員的特定技能培訓(xùn)和安全意識培訓(xùn)，培訓(xùn)后進行考核，合格者發(fā)給上崗資格證書等?；顒虞敵觯号嘤?xùn)記錄及上崗資格證書等。7.3.4 安全實施過程管理活動目標：本活動的目標是在系統(tǒng)定級、規(guī)劃設(shè)計、實施過程中，對工程的質(zhì)量、進度、文檔和變更等

56、方面的工作進行監(jiān)督控制和科學(xué)管理。參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)，信息安全產(chǎn)品供應(yīng)商。 活動輸入：安全設(shè)計與實施階段參與各方相關(guān)進度控制和質(zhì)量監(jiān)督要求文檔?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 質(zhì)量管理質(zhì)量管理首先要控制系統(tǒng)建設(shè)的質(zhì)量，保證系統(tǒng)建設(shè)始終處于等級保護制度所要求的框架內(nèi)進行。同時，還要保證用于創(chuàng)建系統(tǒng)的過程的質(zhì)量。在系統(tǒng)建設(shè)的過程中，要建立一個不斷測試和改進質(zhì)量的過程。在整個系統(tǒng)的生命周期中，通過測量、分析和修正活動，保證所完成目標和過程的質(zhì)量。b) 風(fēng)險管理為了識別、評估和減低風(fēng)險，以保證系統(tǒng)工程活動和全部技術(shù)工作項目都成功實施。在整個系統(tǒng)建設(shè)過程中，

57、風(fēng)險管理要貫穿始終。c) 變更管理在系統(tǒng)建設(shè)的過程中，由于各種條件的變化，會導(dǎo)致變更的出現(xiàn)，變更發(fā)生在工程的范圍、進度、質(zhì)量、費用、人力資源、溝通、合同等多方面。每一次的變更處理，必須遵循同樣的程序，即相同的文字報告、相同的管理辦法、相同的監(jiān)控過程。必須確定每一次變更對系統(tǒng)成本、進度、風(fēng)險和技術(shù)要求的影響。一旦批準變更，必須設(shè)定一個程序來執(zhí)行變更。 d) 進度管理系統(tǒng)建設(shè)的實施必須要有一組明確的可交付成果，同時也要求有結(jié)束的日期。因此在建設(shè)系統(tǒng)的過程中，必須制訂項目進度計劃，繪制網(wǎng)絡(luò)圖，將系統(tǒng)分解為不同的子任務(wù)，并進行時間控制確保項目的如期完成。e) 文檔管理文檔是記錄項目整個過程的書面資料，

58、在系統(tǒng)建設(shè)的過程中，針對每個環(huán)節(jié)都有大量的文檔輸出，文檔管理涉及系統(tǒng)建設(shè)的各個環(huán)節(jié)，主要包括：系統(tǒng)定級、規(guī)劃設(shè)計、方案設(shè)計、安全實施、系統(tǒng)驗收、人員培訓(xùn)等方面。活動輸出：各階段管理過程文檔。7.4 技術(shù)措施實現(xiàn)7.4.1 信息安全產(chǎn)品采購活動目標：本活動的目標是按照安全詳細設(shè)計方案中對于產(chǎn)品的具體指標要求進行產(chǎn)品采購，根據(jù)產(chǎn)品或產(chǎn)品組合實現(xiàn)的功能滿足安全設(shè)計要求的情況來選購所需的信息安全產(chǎn)品。參與角色：信息安全產(chǎn)品供應(yīng)商，信息系統(tǒng)運營、使用單位。活動輸入：安全詳細設(shè)計方案，相關(guān)產(chǎn)品信息?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 制定產(chǎn)品采購說明書信息安全產(chǎn)品選型過程首先依據(jù)安全詳細設(shè)計方案

59、的設(shè)計要求，制定產(chǎn)品采購說明書，對產(chǎn)品的采購原則、采購范圍、指標要求、采購方式、采購流程等方面進行說明，然后依據(jù)產(chǎn)品采購說明書對現(xiàn)有產(chǎn)品進行比對和篩選。對于產(chǎn)品的功能和性能指標，可以依據(jù)國家認可的測試機構(gòu)所出具的產(chǎn)品測試報告，也可以依據(jù)用戶自行組織的信息安全產(chǎn)品功能和性能選型測試所出具的報告。b) 產(chǎn)品選擇在依據(jù)產(chǎn)品采購說明書對現(xiàn)有產(chǎn)品進行選擇時，不僅要考慮產(chǎn)品的使用環(huán)境、安全功能、成本（包括采購和維護成本）、易用性、可擴展性、與其他產(chǎn)品的互動和兼容性等因素，還要考慮產(chǎn)品質(zhì)量和可信性。產(chǎn)品可信性是保證系統(tǒng)安全的基礎(chǔ)，用戶在選擇信息安全產(chǎn)品時應(yīng)確保符合國家關(guān)于信息安全產(chǎn)品使用的有關(guān)規(guī)定。對于密碼

60、產(chǎn)品的使用，應(yīng)當按照國家密碼管理的相關(guān)規(guī)定進行選擇和使用?；顒虞敵觯盒璨少徯畔踩a(chǎn)品清單。7.4.2 安全控制開發(fā)活動目標：本活動的目標是對于一些不能通過采購現(xiàn)有信息安全產(chǎn)品來實現(xiàn)的安全措施和安全功能，通過專門進行的設(shè)計、開發(fā)來實現(xiàn)。安全控制的開發(fā)應(yīng)當與系統(tǒng)的應(yīng)用開發(fā)同步設(shè)計、同步實施，而應(yīng)用系統(tǒng)一旦開發(fā)完成后，再增加安全措施會造成很大的成本投入。因此，在應(yīng)用系統(tǒng)開發(fā)的同時，要依據(jù)安全詳細設(shè)計方案進行安全控制的開發(fā)設(shè)計，保證系統(tǒng)應(yīng)用與安全控制同步建設(shè)。參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?；顒虞斎耄喊踩敿氃O(shè)計方案。活動描述：本活動主要包括以下子活動內(nèi)容：a) 安全措施需求分析以規(guī)范的形式準確表達安全方案設(shè)計中的指標要求，確定軟件設(shè)計的約束和軟件同其他系統(tǒng)相關(guān)的接口細節(jié)。b) 概要設(shè)計概要設(shè)計要考慮安全方案中關(guān)于身份鑒別、訪問控制、安全審計、剩余信息保護、通信完整性、通信保密性、抗抵賴等方面的指標要求，設(shè)計安全措施模塊的體系結(jié)構(gòu)，定義開發(fā)安全措施的模塊組成，定義每個模塊的主要功能和模塊之間的接口。c) 詳細設(shè)計依據(jù)概要設(shè)計說明書，將安