信息系統安全等級保護實施指南介紹11/22/20231目錄概述等級保護的實施過程系統定級階段安全規劃設計階段安全實施/實現階段安全運行管理階段系統中止階段11/22/20232概述背景實施指南的作用實施指南的使用對象與風險管理之間的關系11/22/20233概述-背景1994年，

《中華人民共和國計算機信息系統安全保護條例》的發布2019年，《計算機信息系統安全保護等級劃分準則》GB17859-2019發布

2019年，中央辦公廳、國務院辦公廳轉發《國家信息化領導小組關于加強信息安全保障工作的意見》(27號文)2019年，四部委聯合簽發了《關于信息安全等級保護工作的實施意見》(66號文)11/22/20234概述-背景（續）在“66號文”的職責分工和工作要求中指出：信息和信息系統的運營、使用單位按照等級保護的管理規范和技術標準，確定其信息和信息系統的安全保護等級信息和信息系統的運營、使用單位按照等級保護的管理規范和技術標準對新建、改建、擴建的信息系統進行信息系統的安全規劃設計、安全建設施工信息和信息系統的運營、使用單位及其主管部門按照與信息系統安全保護等級相對應的管理規范和技術標準的要求，定期進行安全狀況檢測評估國家指定信息安全監管職能部門按照等級保護的管理規范和技術標準的要求，對信息和信息系統的安全等級保護狀況進行監督檢查11/22/20235概述-背景（續）管理規范和技術標準的作用主管部門監督檢查信息安全監管職能部門系統定級安全保護檢測評估運營\使用單位安全服務商安全評估機構技術標準管理規范11/22/20236概述-背景（續）主要的管理規范和技術標準管理規范《信息安全等級保護管理辦法》

技術標準《信息系統安全等級保護實施指南》《信息系統安全保護等級定級指南》《信息系統安全等級保護基本要求》《信息系統安全等級保護測評準則》《信息系統安全等級保護監督檢查指南》11/22/20237概述-實施指南的作用是信息系統實施等級保護的指南性文件。作為等級保護標準體系的指引文檔。貫穿整個等級保護工作的所有階段，規范和指導所有的安全活動。介紹信息系統實施等級保護的方法，不同的角色在不同階段的作用。11/22/20238概述-實施指南的使用對象本指南的使用對象是：信息系統的主管單位；信息系統運營、使用單位；信息系統安全服務商；信息安全監管機構；安全測評機構；安全產品供應商。11/22/20239概述-與風險管理之間的關系相同點都是對活動過程的管理；都闡明了對信息系統整個生命周期的管理。不同點風險管理方法以“風險”控制為核心，描述了風險管理的主要活動過程；信息系統實施等級保護的思路是首先根據信息系統定級方法對信息系統進行定級，根據安全級別確定基本安全保護措施，通過風險分析補充其它需要的安全措施，構成等級保護安全設計方案，并依據方案進行安全工程實施。11/22/202310概述-與風險管理之間的關系（續）二者之間關系 在對信息系統實施等級保護的過程中，風險管理是一種輔助手段。等級保護的相關標準對不同級別的信息系統提出了基本保護要求，基本保護要求是系統安全建設的基礎，但是不同的信息系統由于其本身的特性，除基本保護要求外，可以通過風險管理中風險分析的方法選擇需要補充的安全措施，從而使得系統的等級保護更加個性化。11/22/202311等級保護的基本實施過程基本實施過程與信息系統生命周期之間的關系重要概念11/22/202312等級保護的基本實施過程重大變更局部調整系統定級安全規劃設計安全實施/實現安全運行管理系統終止11/22/202313與信息系統生命周期之間的關系新建信息系統新建信息系統等級保護實施過程信息系統生命周期安全運行管理（變更管理/定期安全測評/監督檢查）系統定級安全規劃設計安全實施系統終止設計開發階段運行維護階段啟動階段實施階段中止階段11/22/202314與信息系統生命周期之間的關系已建信息系統已經存在的信息系統，通常處于系統運行維護階段;安全等級保護實施過程中的系統定級階段、安全規劃設計階段、安全實施/實現階段和系統終止等的主要活動都將在信息系統生命周期的系統運行維護階段完成。11/22/202315主要階段和主要活動重要概念階段主要活動主要活動過程階段工作內容過程目標輸入輸出活動目標階段目標參與角色主要工作內容主要活動過程實施流程/主要活動主要參考標準11/22/202316實施等級保護的主要階段第一階段：系統定級第二階段：安全規劃設計第三階段：安全實施/實現第四階段：安全運行管理第五階段：系統終止11/22/202317第一階段:系統定級定級方法參與角色和職責實施流程階段主要活動11/22/202318系統定級階段-定級方法第一種方法：根據經驗直接定級第二種方法：按照標準定級第三種方法：制定方法自行定級

如采用第二種定級方法則可以參考《實施指南》系統定級階段相關活動內容。11/22/202319系統定級階段-參與角色和職責信息系統運營、使用單位：負責選擇定級方法確定其信息系統的安全等級，并報其主管部門審批同意；對安全等級在三級以上的信息系統，報送本地區地市級公安機關備案。

信息系統主管部門：對下屬單位確定的信息系統安全等級進行審批。

信息系統安全服務商：協助信息系統運營、使用單位完成與信息系統定級相關的工作。

11/22/202320系統定級階段-實施流程主要輸入主要輸出階段主要活動子系統識別和描述系統立項文檔系統建設文檔系統管理文檔系統詳細描述文件系統識別與劃分系統總體描述文件系統總體描述文件安全等級確定系統總體描述文件系統詳細描述文件系統安全保護等級定級建議書11/22/202321系統定級階段-系統識別和劃分過程目標收集有關信息系統的信息；在對信息進行綜合分析的基礎上將組織機構內運行的信息系統合理地分解成若干個信息系統；針對目標信息系統，形成信息系統的總體描述性文檔。輸入信息系統的立項、建設、管理文檔11/22/202322系統定級階段-系統識別和劃分(續)輸出信息系統總體描述文件主要工作內容識別單位的基本信息識別信息系統的管理框架識別信息系統的網絡邊界及設備部署識別信息系統的業務種類和特性識別用戶范圍和用戶類型劃分方法的選擇形成信息系統總體描述文檔11/22/202323系統定級階段-系統識別和劃分(續)信息系統劃分方法從組織管理角度劃分從業務類型角度劃分從物理區域或運行環境角度劃分11/22/202324系統定級階段-業務子系統識別和描述過程目標如果某一個信息系統中包含多個業務子系統，識別出主要的業務子系統；對主要業務子系統的安全屬性進行識別和描述。輸入信息系統詳細描述文件

11/22/202325系統定級階段-業務子系統識別和描述輸出信息系統詳細描述文件主要工作內容識別各業務子系統處理的信息類型識別各業務子系統的服務范圍識別各項業務對系統的依賴程度形成信息系統和業務子系統的詳細描述文檔11/22/202326系統定級階段-安全等級確定過程目標依據《信息系統安全保護等級定級指南》確定每個業務子系統的安全保護等級；由所包括的各業務子系統的最高等級決定信息系統的安全保護等級；對定級過程文檔進行整理，形成文件化的信息系統定級建議書。輸入信息系統總體描述文件信息系統詳細描述文件11/22/202327系統定級階段-安全等級確定輸出信息系統安全保護等級定級建議書主要工作內容各業務子系統安全保護等級確定信息系統安全保護等級確定安全保護等級的調整定級結果文檔化11/22/202328第二階段：安全規劃設計階段階段目標參與角色和職責實施流程階段主要活動11/22/202329安全規劃設計-階段目標 通過安全評估和需求分析判斷信息系統的安全保護現狀與等級保護基本要求之間的差距，確定安全需求，然后根據信息系統的劃分情況、信息系統的定級情況、信息系統承載業務情況和安全需求等，設計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施計劃等，以指導后續的信息系統安全建設工程實施。11/22/202330安全規劃設計-參與角色和職責信息系統運營、使用單位：根據已經確定的安全等級，按照等級保護的管理規范和技術標準，進行信息系統的安全規劃設計。

信息系統安全服務商：根據信息系統運營、使用單位的委托，按照等級保護的管理規范和技術標準，協助信息系統運營、使用單位完成信息系統安全規劃設計工作。

11/22/202331安全規劃設計-實施流程主要輸入主要輸出階段主要活動安全評估和需求分析系統詳細描述文件系統定級建議書等級保護基本要求安全評估報告安全需求分析報告安全總體設計安全總體方案書技術防護框架管理策略框架安全建設規劃總體安全策略/框架單位信息化的中長期規劃信息系統安全建設方案安全評估報告安全需求分析報告等級保護基本要求11/22/202332階段主要活動-1.安全評估和需求分析活動目標通過系統調查和安全評估了解系統目前的安全現狀；評估系統已經采用的或將要采用的保護措施和等級保護安全要求之間的差距，這種差距作為系統的一種安全需求；了解系統額外的安全需求；明確系統的完整安全需求。主要參考標準

《信息系統安全等級保護基本要求》《信息系統安全等級保護測評準則》GB/Txxxxx-2019信息系統安全通用技術要求《信息安全風險評估指南》11/22/202333階段主要活動-1.安全評估和需求分析主要活動過程評估對象和評估方法的明確；評估指標體系的選擇和確定；系統現狀與評估指標的對比；特殊安全要求的確定。11/22/202334階段主要活動-1.安全評估和需求分析評估對象和評估方法的明確確定評估范圍獲得信息系統的信息確定具體的評估對象確定評估工作的方法

制定評估工作計劃

系統詳細描述文件系統定級建議書用戶文檔輸入輸出過程的工作內容評估工作方案11/22/202335階段主要活動-1.安全評估和需求分析評估指標體系的選擇和確定選擇基本評估指標評估對象威脅分析系統詳細描述文件系統定級建議書等級保護基本要求評估工作方案輸入輸出過程的工作內容安全評估方案落實評估對象的評估指標制定評估方案11/22/202336階段主要活動-1.安全評估和需求分析安全現狀與評估指標對比管理指標符合性評估技術指標符合性測評系統詳細描述文件評估工作方案安全評估方案輸入輸出過程的工作內容符合性評估結果11/22/202337重要資產特殊安全要求的確定重要資產分析重要資產弱點評估系統詳細描述文件評估結果記錄用戶需求文檔輸入輸出過程的工作內容風險評估結果特殊安全要求重要資產威脅評估重要資產風險評估階段主要活動-1.安全評估和需求分析11/22/202338階段主要活動-2.安全總體設計活動目標根據等級保護基本安全要求和系統的特殊要求，從被評估單位全局考慮設計系統的整體安全框架；提出各信息系統在總體方面的策略要求、應實現的安全技術措施和安全管理措施等；形成用于指導系統進行安全建設的安全總體方案。主要參考標準《信息系統安全等級保護基本要求》GB/Txxxxx-2019信息系統安全通用技術要求GB/Txxxxx-2019操作系統安全技術要求GB/Txxxxx-2019數據庫管理系統安全技術要求GB/T19716-2019信息安全管理實用規則IATF3.0信息保障技術框架11/22/202339階段主要活動-2.安全總體設計主要活動過程系統等級化模型處理總體安全策略設計各級系統安全技術措施設計單位整體安全管理策略設計設計結果文檔化11/22/202340階段主要活動-2.安全總體設計系統等級化模型處理信息系統構成抽象處理骨干網抽象處理系統詳細描述文件符合性評估結果風險評估結果特殊安全要求輸入輸出過程的工作內容信息系統等級化抽象模型安全域抽象處理局域網/邊界抽象處理形成信息系統抽象模型11/22/202341階段主要活動-2.安全總體設計總體安全策略設計制定安全方針規定安全策略系統詳細描述文件安全需求分析報告信息系統等級化抽象模型輸入輸出過程的工作內容總體安全策略等級保護模型建立等級化保護模型11/22/202342階段主要活動-2.安全總體設計各級系統安全技術措施設計骨干網等級保護措施安全域等級保護措施安全需求分析報告信息系統等級保護模型等級保護基本要求特殊安全要求輸入輸出過程的工作內容信息系統技術防護框架等級系統邊界防護策略主機系統/應用等級保護措施機房等物理安全保護措施11/22/202343階段主要活動-2.安全總體設計單位整體安全管理策略設計規定安全管理職責規定安全管理策略安全需求分析報告信息系統等級保護模型等級保護基本要求特殊安全要求輸入輸出過程的工作內容信息系統安全管理策略框架給定介質/設備管理策略規定運行安全管理策略規定安全事件處置和應急管理策略11/22/202344階段主要活動-2.安全總體設計設計結果文檔化編制安全總體方案書安全需求分析報告等級保護模型技術防護框架管理策略框架輸入輸出過程的工作內容安全總體方案書11/22/202345安全規劃設計-3.安全建設規劃活動目標將信息系統安全總體方案書規定的內容落實到安全建設項目中；通過對安全項目的相關性、緊迫性、難易程度和預期效果等因素進行分析，確定實施的先后順序。主要參考標準《信息系統安全等級保護基本要求》GB/Txxxxx-2019等級保護系列安全產品技術要求GB/Txxxxx-2019操作系統安全技術要求GB/Txxxxx-2019數據庫管理系統安全技術要求11/22/202346安全規劃設計-3.安全建設規劃主要活動過程安全建設目標確定安全建設內容規劃安全建設方案設計11/22/202347階段主要活動-

3.安全建設規劃安全建設目標確定收集規劃文檔調研相關安全需求安全總體方案書單位信息化建設中長期發展規劃輸入輸出過程的工作內容分階段建設目標調研建設資金準備狀況11/22/202348階段主要活動-

3.安全建設規劃安全建設內容規劃確定主要建設內容分類形成建設項目安全總體方案書分階段安全建設目標輸入輸出過程的工作內容具體安全建設內容11/22/202349階段主要活動-

3.安全建設規劃安全建設方案設計設計建設順序安全總體方案書分階段安全建設目標安全建設內容輸入輸出過程的工作內容系統安全建設方案估算各項目投資編制文檔11/22/202350第三階段：安全實施/實現階段階段目標參與角色和職責實施流程階段主要活動11/22/202351安全實施/實現-階段目標安全實施/實現的目標是按照信息系統安全總體方案書的總體要求，結合信息系統安全建設方案，分期分步落實安全措施。

11/22/202352安全實施/實現-參與角色和職責主管部門：審批下屬單位制定的文件運營、使用單位：按照等級保護的管理規范和技術標準，進行信息系統的安全建設。

安全服務商：根據信息系統運營、使用單位的委托，協助信息系統運營、使用單位完成信息系統安全建設施工。

安全產品供應商：按照等級保護的管理規范和技術標準，開發符合安全等級保護要求的安全產品

安全測評機構：按照等級保護的管理規范和技術標準，對已經完成安全等級保護建設的信息系統進行檢查評估；對安全產品供應商提供的安全產品進行檢查評估。

11/22/202353安全實施/實現階段-實施流程主要輸入主要輸出階段主要活動安全詳細方案設計安全總體方案書系統安全建設方案安全產品技術白皮書安全詳細設計方案安全技術實施安全測評報告等級化安全測評安全詳細設計方案系統定級建議書系統驗收報告系統驗收報告安全管理實施安全詳細設計方案角色與職責說明書管理制度/操作規范11/22/202354階段主要活動-

1.安全詳細方案設計活動目標依據信息系統安全建設方案，提出本期實施項目的具體實施方案，包括安全技術實施內容、安全管理實施內容、項目實施計劃以及項目經費投入等，以便進行本次項目的實施。11/22/202355階段主要活動-

1.安全詳細方案設計主要參考標準GB17859-2019

計算機信息系統安全保護等級劃分準則《信息系統安全等級保護基本要求》GB/T19716-2019信息安全管理實用規則GB/Txxxxx-2019信息系統安全通用技術要求GB/Txxxxx-2019等級保護系列安全產品技術要求GB/Txxxxx-2019操作系統安全技術要求GB/Txxxxx-2019數據庫管理系統安全技術要求11/22/202356階段主要活動-1.安全詳細方案設計主要活動過程安全技術實施內容設計安全管理實施內容設計設計結果文檔化11/22/202357階段主要活動-

1.安全詳細方案設計安全技術實施內容設計設計結構框架設計功能要求安全總體方案書安全建設方案安全產品技術白皮書輸入輸出過程的工作內容安全技術實施方案設計性能指標設計部署方案制定安全策略實現計劃11/22/202358階段主要活動-

1.安全詳細方案設計安全管理實施內容設計設置安全管理機構配備安全管理人員安全總體方案書安全建設方案輸入輸出過程的工作內容安全管理實施方案制定安全管理制度培訓安全管理技能11/22/202359階段主要活動-

1.安全詳細方案設計安全技術實施內容設計設置安全管理機構配備安全管理人員安全總體方案書安全建設方案輸入輸出過程的工作內容安全管理實施方案制定安全管理制度培訓安全管理技能11/22/202360階段主要活動-

1.安全詳細方案設計設計結果文檔化實施內容匯總編制文檔安全技術實施方案安全管理實施方案輸入輸出過程的工作內容安全詳細設計方案11/22/202361階段主要活動-

2.安全管理實施活動目標建立與信息系統安全技術和安全運行相適應的安全管理機制；在本期安全詳細設計方案的指導下，建立配套的安全管理機構和人員；建立配套的安全管理制度和操作規程，進行人員的安全技能培訓等；保證本期安全實施完成后，安全運行管理有配套的機制。主要參考標準《信息系統安全等級保護基本要求》GB/T19715.2-2019IT安全管理指南GB/T19716-2019信息安全管理實用規則11/22/202362階段主要活動-

2.安全管理實施主要活動內容管理機構和人員的設置管理制度的建設和修訂人員安全技能培訓安全實施過程管理11/22/202363階段主要活動-

2.安全管理實施管理機構和人員設置識別安全管理組織成員識別安全管理角色現有管理制度和政策文件安全詳細設計方案輸入輸出過程的工作內容機構/角色職責說明文件規定各機構和角色職責11/22/202364階段主要活動-

2.安全管理實施管理制度的建設和修訂確定制度的應用范圍確定部門、人員職責現有管理制度和政策文件安全組織結構表機構/角色職責說明文件輸入輸出過程的工作內容各項管理制度和操作規范評估并完善現有制度11/22/202365階段主要活動-

2.安全管理實施人員安全技能培訓培訓特定崗位技能培訓安全意識崗位職責說明

系統/產品使用手冊各項管理制度和操作規程輸入輸出過程的工作內容培訓記錄上崗資格證書考核頒發上崗資格證書11/22/202366階段主要活動-

2.安全管理實施安全實施過程管理質量管理進度管理信息系統等級保護建設的各階段文檔輸入輸出過程的工作內容各階段過程管理控制記錄文檔管理/版本控制變更管理風險管理11/22/202367階段主要活動-3.安全技術實施活動目標保證按照安全詳細設計方案實現各項安全技術措施，并確保安全技術措施的有效性。主要參考標準《信息系統安全等級保護基本要求》GB/T19715.2-2019IT安全管理指南GB/T19716-2019信息安全管理實用規則GB/Txxxxx-2019信息系統安全通用技術要求GB/Txxxxx-2019操作系統安全技術要求GB/Txxxxx-2019數據庫管理系統安全技術要求GB/Txxxxx-2019網絡技術要求GB/Txxxxx-2019網絡脆弱性掃描產品技術要求11/22/202368階段主要活動-3.安全技術實施主要活動過程安全產品采購安全控制開發安全控制集成測試與驗收11/22/202369階段主要活動-3.安全技術實施安全產品采購制定產品采購說明書選擇入圍產品安全設計詳細方案相關產品信息輸入輸出過程的工作內容已采購安全產品清單產品招標11/22/202370階段主要活動-3.安全技術實施安全控制開發安全措施需求分析概要設計安全設計詳細方案輸入輸出過程的工作內容安全控制開發過程相關文檔詳細設計編碼實現測試11/22/202371階段主要活動-3.安全技術實施安全控制集成制定集成實施方案實施集成安全設計詳細方案輸入輸出過程的工作內容安全控制集成報告階段集成測試產品和維護培訓11/22/202372階段主要活動-3.安全技術實施測試與驗收測試系統功能和性能測試運行可靠性安全設計詳細方案安全控制集成報告輸入輸出過程的工作內容系統測試報告系統驗收報告測評安全管理實施系統驗收系統交付11/22/202373階段主要活動-3.安全技術實施等級化安全測評測試系統功能和性能測試運行可靠性安全設計詳細方案安全控制集成報告輸入輸出過程的工作內容系統測試報告系統驗收報告測評安全管理實施系統驗收系統交付11/22/202374階段主要活動-4.等級化安全測評過程目標通過安全測評機構對已經完成安全等級保護建設的信息系統進行測評，確保信息系統的安全保護措施符合相應等級的安全要求。主要參考標準《信息安全等級保護測評準則》《信息安全等級保護基本要求》11/22/202375階段主要活動-4.等級化安全測評輸入信息系統安全保護等級定級報告系統驗收報告輸出安全等級保護測評報告主要工作內容參見《信息系統安全等級保護測評準則》11/22/202376第四階段：安全運行管理階段階段目標參與角色和職責實施流程階段主要活動11/22/202377安全運行管理-階段目標通過在安全運行管理階段實施操作管理和控制、變更管理和控制、安全狀態監控、安全事件處置和應急預案、安全評估和持續改進以及監督檢查等活動，在安全管理基本要求的基礎上，指導系統運行的動態管理。

11/22/202378安全運行管理-參與角色和職責運營、使用單位：對已經完成安全等級保護建設的信息系統進行維護管理，發現問題及時整改；定期進行安全狀況檢測評估，及時消除安全隱患和漏洞；制定不同等級信息安全事件的響應、處置預案，加強信息系統的安全管理。

信息安全監管機構：按照等級保護的管理規范和技術標準的要求，重點對第三、第四級信息系統的安全等級保護狀況進行監督檢查；發現存在安全隱患或未達到等級保護的管理規范和技術標準要求的，限期整改，使信息系統的安全保護措施更加完善

。

11/22/202379安全運行管理-實施流程主要輸入主要輸出階段主要活動操作管理和控制安全詳細設計方案安全組織機構表操作人員角色/職責表各類操作規程變更管理和控制變更需求變更結果報告安全狀態監控安全詳細設計方案系統驗收報告等安全狀態分析報告安全事件處置和應急預案安全詳細設計方案安全組織機構表安全事件報告程序各類應急預案安全事件處置報告11/22/202380安全運行管理-實施流程（續）主要輸入主要輸出階段主要活動安全評估和持續改進安全評估報告安全改進方案等級化安全測評安全詳細設計方案系統驗收報告等安全等級保護測評報告監督檢查安全詳細設計方案系統驗收報告等監督檢查結果報告變更需求11/22/202381階段主要活動-1.操作管理和控制活動目標確保操作人員對信息系統實行正確、安全操作；控制系統不斷變化和種類繁多的操作活動。主要參考標準《信息系統安全等級保護基本要求》GB/Txxxxx-2019信息系統安全通用技術要求GB/T19716-2019信息安全管理實用規則GB/T19715-2019IT安全管理指南主要活動過程操作職責確定操作過程控制11/22/202382階段主要活動-1.操作管理和控制操作職責確定劃分操作角色授予管理權限安全設計詳細方案安全組織機構表輸入輸出過程的工作內容操作人員角色和職責表定義人員職責11/22/202383階段主要活動-1.操作管理和控制操作過程控制確定操作目的和內容確定操作時間和地點操作需求操作人員角色和職責表輸入輸出過程的工作內容各類操作規程操作記錄選擇操作方法建立操作規程記錄操作過程和結果11/22/202384階段主要活動-2.變更管理和控制活動目標確保在發生安全配置、安全設施、系統結構和業務應用等變化的時候，使用標準的方法和步驟，盡快的實施變更；確保變更所導致的信息資產安全性降低、業務中斷或業務影響減小到最低。主要參考標準《信息系統安全等級保護基本要求》GB/Txxxxx-2019信息系統安全通用技術要求GB/T19716-2019信息安全管理實用規則GB/T19715-2019IT安全管理指南主要活動過程變更需求和影響分析變更過程控制11/22/202385階段主要活動-2.變更管理和控制變更需求和影響分析變更需求分析識別變更種類變更需求輸入輸出過程的工作內容變更方案變更影響分析制定變更方案11/22/202386階段主要活動-2.變更管理和控制變更過程控制變更內容審核與審批建立變更過程日志變更方案輸入輸出過程的工作內容變更結果報告形成變更結果報告11/22/202387階段主要活動-3.安全狀態監控活動目標對信息系統的安全運行狀態進行監控，確保信息系統運行安全。主要參考標準《信息系統安全等級保護基本要求》GB/Txxxxx-2019信息系統安全通用技術要求GB/T19716-2019信息安全管理實用規則GB/T19715-2019IT安全管理指南主要活動過程監控對象確定監控對象狀態信息收集監控狀態分析和報告11/22/202388階段主要活動-3.安全狀態監控監控對象確定業務關鍵要素分析安全關鍵點分析安全詳細設計方案系統驗收報告輸入輸出過程的工作內容監控對象列表形成監控對象列表11/22/202389階段主要活動-3.安全狀態監控監控對象狀態信息收集選擇監控工具識別和記錄入侵行為監控對象列表輸入輸出過程的工作內容監控對象安全狀態信息監控對象信息收集11/22/202390階段主要活動-3.安全狀態監控監控狀態分析和報告狀態分析影響程度和范圍分析監控對象安全狀態信息輸入輸出過程的工作內容安全狀態分析報告變更需求變更需求分析11/22/202391階段主要活動-

4.安全事件處置和應急預案活動目標根據安全事件相關標準中規定的安全事件分級原則和劃分結果，結合自身具體的情況酌情劃分本單位安全事件級別；建立合適的應急響應機制。主要參考標準《信息系統安全等級保護基本要求》GB/Txxxxx-2019信息系統安全通用技術要求GB/T19716-2019信息安全管理實用規則GB/T19715-2019IT安全管理指南主要活動過程安全事件分級應急預案制定安全事件處置報告11/22/202392階段主要活動-

4.安全事件處置和應急預案安全事件分級安全事件調查和分析安全事件等級劃分各類安全事件列表輸入輸出過程的工作內容安全事件報告程序建立分級的事件報告流程11/22/202393階段主要活動-

4.安全事件處置和應急預案應急預案制定確定應急預案對象確定和認可各項職責安全事件報告程序輸入輸出過程的工作內容各類應急預案制定程序和執行條件制定各類事件應急恢復措施11/22/202394階段主要活動-

4.安全事件處置和應急預案安全事件處置安全事件上報安全事件處置安全狀態分析報告安全事件報告程序各類應急預案輸入輸出過程的工作內容安全事件處置報告安全事件影響分析安全事件總結和處置報告11/22/202395階段主要活動-5.安全評估和持續改進活動目標確保在發生信息系統變更、安全狀態改變等情況后定期對信息系統進行安全評估；確保信息系統滿足相應等級安全需求