犐犆犛３５．０２０

犔０９

中華人民共和國公共安全行業標準

犌犃／犜７０８—２００７

信息安全技術

信息系統安全等級保護體系框架

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犃狉犮犺犻狋犲犮狋狌狉犲犳狉犪犿犲狑狅狉犽狅犳狊犲犮狌狉犻狋狔犮犾犪狊狊犻犳犻犮犪狋犻狅狀

狆狉狅狋犲犮狋犻狅狀犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿

２００７０８１３發布２００７１００１實施

中華人民共和國公安部發布

書

犌犃／犜７０８—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統安全等級保護體系簡介!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１信息系統安全等級保護體系的組成!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２信息系統安全等級保護體系概要說明!!!!!!!!!!!!!!!!!!!!!!!!２

５信息系統安全等級保護法律法規和政策依據!!!!!!!!!!!!!!!!!!!!!!３

５．１法律法規和政策分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２信息系統安全等級保護的現有政策法規!!!!!!!!!!!!!!!!!!!!!!!３

６信息系統安全等級保護標準體系!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６．１標準的分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６．２標準的具體組成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．１基礎性標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．２系統設計指導類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．３系統實施指導類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．４要求類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２．５檢查／測評類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．２．６各應用領域實施指導方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．３標準所涉及的內容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．４各類標準的作用及編寫要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．１基礎性標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．２系統設計指導類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．４．３要求類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．４．４檢查／測評類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．４．５實施指導類標準!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．４．６各應用領域實施指導方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７信息系統安全等級保護管理體系!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１信息系統安全工程管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．１目標!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．２內容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．１．３工程管理分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．２安全系統運行管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．１目標!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．２內容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．３運行管理分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．３信息系統安全監督檢查和管理!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

Ⅰ

書

犌犃／犜７０８—２００７

８信息系統安全等級保護技術體系!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．１信息系統安全的基本屬性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．２信息系統安全的組成與相互關系!!!!!!!!!!!!!!!!!!!!!!!!!!１６

８．３信息系統的安全等級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３．１五個安全等級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．３．２安全保護等級的確定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

８．４信息系統安全等級保護基本框架!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４．１信息系統安全保護總體框架!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４．２信息系統安全等級保護的基本原理和方法!!!!!!!!!!!!!!!!!!!!!２２

８．５信息系統安全等級保護基本技術!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．１標識與鑒別技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．２訪問控制技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８．５．３存儲和傳輸數據的完整性保護技術!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．４存儲和傳輸數據的保密性保護技術!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．５邊界隔離與防護技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．６系統安全運行及可用性保護技術!!!!!!!!!!!!!!!!!!!!!!!!!２５

８．５．７密碼技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６信息系統安全等級保護支撐平臺!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．１信息系統密碼基礎設施平臺!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．２信息系統應用安全支撐平臺設計!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．６．３信息系統災難備份與恢復平臺!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．６．４信息系統安全事件應急響應與管理平臺!!!!!!!!!!!!!!!!!!!!!!２７

８．６．５信息系統安全管理平臺!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

８．７等級化安全信息系統構建技術!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

附錄Ａ（資料性附錄）基本概念說明!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．１業務應用軟件系統及其子系統!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．２信息系統及其子系統!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

Ａ．３關于安全域!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

附錄Ｂ（資料性附錄）實施等級保護的方法!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．１全系統同一安全等級安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．２分系統不同安全等級安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ｂ．３虛擬系統不同安全等級安全保護!!!!!!!!!!!!!!!!!!!!!!!!!３１

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

Ⅱ

犌犃／犜７０８—２００７

前言

本標準的附錄Ａ、附錄Ｂ為資料性附錄。

本標準由公安部信息系統安全標準化技術委員會提出并歸口。

本標準起草單位：北京江南天安科技有限公司，北京思源新創信息安全資訊有限公司。

本標準主要起草人：吉增瑞、王志強、陳冠直、景乾元、宋健平。

Ⅲ

犌犃／犜７０８—２００７

引言

信息系統安全等級保護通過三大功能和五個環節，對國家、社會、集團和個人所建立和使用的信息

系統，分等級實施必要的安全保護。

實現信息系統安全等級保護的三大功能是：

———防范與保護功能：從物理、網絡、系統、應用和管理等組成部分，實現整體防范與保護；

———監督與檢查功能：各單位自我檢查與政府職能部門監督檢查相結合，從技術和管理兩個方面，

確保信息系統的安全性達到確定安全等級的要求；

———響應與處置功能：信息系統擁有者，對系統的安全事件應有快速響應與處置的能力，并在發現

重大問題時能及時向主管部門反映，與有關單位溝通。

實現信息系統安全等級保護的五個環節是指：

———政策、法規環節：制定完善的信息安全等級保護政策、法規，建立專門的管理機構，明確實施的

程序和方法。

———規范化技術與管理環節：制定符合國情的信息系統安全等級保護技術和管理標準，并按標準要

求實施安全管理，進行安全技術和產品的研究和開發。

———系統構建過程控制環節：按照誰主管誰負責的要求，對安全信息系統的構建過程進行全方位控

制，并通過檢測機構嚴格的檢測評估，確保所構建的安全信息系統達到所需要的安全性要求。

———系統運行過程控制環節：按照誰運營誰負責的要求，對安全信息系統的運行過程進行全方位控

制，并通過職能部門的監督檢查，確保所運行的安全信息系統達到所設計的安全性要求。

———系統監督、檢查環節：信息安全相關職能部門，依照法律、法規和標準，制定完善信息安全監管

規章制度，開展信息安全等級保護專項管理工作。督促安全等級保護責任制的落實，監督、檢

查并指導信息系統所屬部門和單位的信息系統安全等級保護的建設和管理，對安全技術產品

實行監管，對安全檢測機構實施監管。建立非盈利的覆蓋全國的系統安全等級保護執法檢查

與檢測支持體系，使用統一標準對運行中的安全信息系統進行檢查、檢測、評估，確保其實際運

行過程中的安全性達到設計的目標要求。

本標準是對信息系統安全等級保護各個組成部分及其相互關系的描述，首先對信息系統安全等級

保護的組成部分的主要內容及其相互關系做簡要說明，然后對每一個組成部分的主要內容做比較詳細

的說明。

Ⅳ

犌犃／犜７０８—２００７

信息安全技術

信息系統安全等級保護體系框架

１范圍

本標準規定了