信息安全標準法規-標準主講樊山大綱描述信息安全標準法規是注冊信息安全專業人員需要掌握的通用基礎知識。通過本部分的學習，學員應當：理解遵循信息安全法規、政策、標準和道德規范的重要性掌握我國重點信息安全法規和政策的有關要求掌握重點信息安全技術標準的有關內容了解CISP道德規范，了解通行的有關信息安全道德規范信息安全標準和法律法規10%10%信息安全標準介紹安全標準化概述信息安全評估標準信息安全管理標準等級保護標準課程內容4知識域：安全標準化概述5知識子域：信息安全標準化概況了解標準和標準化的基本概念和作用了解信息安全標準體系知識子域：信息安全標準化組織了解國際信息安全標準化組織了解我國信息安全標準化組織標準和標準化的基本概念6標準為了在一定范圍內獲得最佳秩序，經協商一致制定并由公認機構批準，共同使用的和重復使用的一種規范性文件。標準化（GB/T20000.1-2002）為了在一定范圍內獲得最佳秩序，對現實問題或潛在問題制定共同使用和重復使用的條款的活動。標準和標準化組織7國際標準由國際標準化組織或國際標準組織通過并公開發布的標準國家標準由國家標準機構通過并公開發布的標準國際標準化組織（ISO）其成員資格向每個國家的有關國家機構開放的標準化組織國家標準機構在國家層面上承認的，有資格成為相應的國際和區域標準組織的國家成員的標準機構（中國國家標準化管理委員會）標準化的特點8標準化的對象：共同的、可重復的事物標準化的動態性標準化的相對性標準化的效益標準化的原則9簡化：簡化作為克服產品規格雜亂,擴大生產批量,組織專業化生產的措施得到廣泛應用.統一化:統一化是把同類事物兩種以上的表現形態歸并為一種或限定在一個范圍內的標準化形式.通用化:通用化是指在互相獨立的系統中,選擇和確定具有功能互換性或尺寸互換性的子系統或功能單元的標準化形式.系列化:系列化通常指產品系列化,它是對同一類產品中的一組產品同時進行標準化的一種形式.標準的作用10規范流程,技術參數協調統一,為生產和管理現代化提供重要技術基礎.能夠組織大規模專業化生產,提高產品質量.統一標準,部件通用,資源共享,降低成本.符合國家標準,保護人身,財產安全,維護消費者權益.消除貿易壁壘,促進企業國際貿易交流.積極參與標準制定,引導行業標準,提高企業形象。標準化三維空間XYZ企業級地方級行業級國家級國際級區域級術語體系、框架技術機制應用管理過程產品系統服務人員X軸代表標準化對象Y軸代表標準化的內容Z軸代表標準化的級別我國標準化領域的主要法規文件121）中華人民共和國標準化法2）中華人民共和國標準化法實施條例3）中華人民共和國標準化法條文解釋4）國家標準管理辦法5）行業標準管理辦法6）地方標準管理辦法7）企業標準化管理辦法8）農業標準化管理辦法9）能源標準化管理辦法10）信息分類編碼標準化管理辦法11）采用國際標準管理辦法12）全國專業標準化技術委員會章程…………標準的編制過程階段代碼階段名稱階段主要任務00預階段標準制定的前期研究，

提出標準立項建議10立項階段標準立項20起草階段起草標準征求意見稿和編制說明30征求意見階段征求意見完成送審稿和意見匯總處理表40審查階段會審或函審完成報批稿和審查會紀要50批準階段主管部門審查并批準發標準60出版階段提供紙質或電子版標準90復審階段對實施達五年的標準進行復審95廢止階段對無存在價值的標準予以廢止13我國國家標準的代碼14GB強制性國家標準GB/T推薦性國家標準GB/Z國家標準化指導性技術文件國家標準化指導性技術文件的復審：國家標準化指導性技術文件在實施后3年內必須進行復審。復審結果的可能是:再延長3年;轉為國家標準;撤銷。我國信息安全標準體系框架物理安全標準系統與網絡標準應用與工程標準基礎標準管理標準15一種信息安全標準體系結構信息安全標準技術框架標準結構說明標準術語匯編信息安全工程標準安全測評標準安全能力評估系統安全結構安全系統結構系統安全管理基礎性安全技術標準密碼算法散列函數實體鑒別消息鑒別消息加密抗抵賴信息安全技術標準網絡信任域計算機病毒虛擬專用網安全芯片入侵檢測安全預警安全體制信息隱藏物理安全安全基礎設施標準PKI技術標準PMI技術標準KMI技術標準應用系統安全技術標準應用系統安全標準安全中間件標準應用中間件標準16另一種信息安全標準體系結構信息安全標準體系基礎類標準技術標準應用標準服務標準管理標準安全框架安全模型安全機制設備網絡安全工程應急響應服務資質管理基礎系統管理安全測評術語體系結構無線網絡有線網絡專用安全產品涉及網間互聯的設備無線電通信設備電信通信終端設備17國際信息安全標準化組織國際上，信息安全標準化工作興起于二十世紀70年代中期80年代有了較快的發展90年代引起了世界各國的普遍關注目前。目前世界上約有近300個國際和區域性組織，制定標準或技術規則，與信息安全標準化有關的主要的組織有：國際標準化組織(ISO)、國際電工委員會（IEC）、國際電信聯盟（ITU）、Internet工程任務組（IETF）等。國際信息安全標準化組織國際標準化組織(ISO)于1947年2月23日正式開始工作ISO/IECJTC1（信息技術標準化委員會）所屬SC27（安全技術分委員會）其前身是SC20（數據加密分技術委員會），主要從事信息技術安全的一般方法和技術的標準化工作。ISO/TC68負責銀行業務應用范圍內有關信息安全標準的制定，它主要制定行業應用標準，在組織上和標準之間與SC27有著密切的聯系。ISO/IECJTC1負責制定標準主要是開放系統互連、密鑰管理、數字簽名、安全的評估等方面的內容。國際信息安全標準化組織ISOJTC1JTC1SC27信息技術安全技術信息安全管理體系工作組密碼與安全機制工作組安全評估準則工作組安全控制與服務工作組身份管理與隱私技術工作組國際標準提案《ISMS審核指南》國際標準提案《三元實體鑒別》國際標準《信息安全事件管理》合作編輯國際標準提案《基于三元實體鑒別的訪問控制方法》20國際信息安全標準化組織21JTC1其他分技術委員會：SC6—系統間通信與信息交換，主要開發開放系統互連下四層安全模型和安全協議，如ISO9160、ISO/IEC11557SC17—識別卡和有關設備，主要開發與識別卡有關的安全標準。SC18—文件處理及有關通信，主要開發電子郵件、消息處理系統等安全標準SC21—開放系統互連，數據管理和開放式分布處理，主要開發開放系統互連安全體系結構，各種安全框架，高層安全模型等標準，如:ISO/IEC7498-2、ISO/IEC9594-1至8SC22—程序語言，其環境及系統軟件接口，也開發相應的安全標準SC30—開放式電子數據交換，主要開發電子數據交換的有關安全標準。如ISO9735-9、ISO9735-10國際標準化管理和組織國際電工委員會（IEC）正式成立于1906年十月，是世界上成立最早的專門國際標準化機構。在信息安全標準化方面，主要與ISO聯合成立了JTC1下分委員會外，還在電信、電子系統、信息技術和電磁兼容等方面成立技術委員會，如TC56可靠性、TC74IT設備安全和功效、TC77電磁兼容、TC108音頻/視頻、信息技術和通訊技術電子設備的安全等，并制定相關國際標準，如信息技術設備安全（IEC60950）等。國際標準化管理和組織國際電信聯盟（ITU）成立于1865年5月17日，所屬的SG17組，主要負責研究通信系統安全標準。SG17組主要研究的有：通信安全項目、安全架構和框架、計算安全、安全管理、用于安全的生物測定、安全通信服務。此外SG16和下一代網絡核心組也在通信安全、H323網絡安全、下一代網絡安全等標準方面進行了研究。目前ITU-T建議書中大約有40多個都是與通信安全有關的標準。國際標準化管理和組織Internet工程任務組（IETF）史創于1986年，其主要任務是負責互聯網相關技術規范的研發和制定。目前，IETF已成為全球互聯網界最具權威的大型技術研究組織。IETF標準制定的具體工作由各個工作組承擔，工作組分成八個領域，分別是Internet路由、傳輸、應用領域等等，著名的IKE和IPsec都在RFC系列之中，還有電子郵件，網絡認證和密碼標準，也包括了TLS標準和其它的安全協議標準。國際信息安全標準化組織25ISO/TC68銀行及相關金融業務目前已頒布了多個安全相關標準IECTC56可靠性；TC74IT設備安全和功效；TC77電磁兼容；CISPR無線電干擾特別委員會ITU-T(PKI方面)前身是CCITT消息處理系統目錄系統(X.400系列、X.500系列)安全框架安全模型等標準國際信息安全標準化組織IETF（170多個RFC、17個工作組）IntrusionDetectionExchangeFormatExtendedIncidentHandlingIPSecurityProtocolIPSecurityPolicyIPSecurityRemoteAccessKerberizedInternetNegotiationofKeysKerberosWGMulticastSecurityAnOpenSpecificationforPrettyGoodPrivacyPublic-KeyInfrastructure(X.509)SecurelyAvailableCredentialsSecureShellS/MIMEMailSecuritySecureNetworkTimeProtocolSecurityIssuesinNetworkEventLoggingTransportLayerSecurityXMLDigitalSignatures國際信息安全標準化組織27ECMATC32——“通信、網絡和系統互連”曾定義了開放系統應用層安全結構TC36——“IT安全”負責信息技術設備的安全標準ESTI(GSM)ATM論壇3GPP密碼3GPP2密碼美國標準化組織28ANSINCITS-T4制定IT安全技術標準X9制定金融業務標準X12制定商業交易標準(EDI)NIST負責聯邦政府非密敏感信息FIPSDOD負責涉密信息NSA國防部指令（DODDI）（如TCSEC）IEEESILSP1363我國標準化組織標準化管理性質標準化提供的事公共服務，依法管理標準化管理的性質是國家公共行政行為。標準化的管理標準化管理機構國務院授權履行行政管理職能，主管機構是國家標準化管理委員會（StandardizationAdministrationofthePeople’sRepublicofChina，簡稱：SAC）標準的制定修全國專業標準化技術委員會是由國家標準化主管機構依法組建的專家型技術組織我國標準化組織我國按照國務院授權，在國家質量監督撿驗撿疫總局管理下，由國家標準化管理委員會統一管理全國標準化工作，下設有255個專業技術委員會。1984年成立全國信息技術安全標準化技術委員會（CITS）,在國家標準化管理委員會和信息產業部的共同領導下負責全國信息技術領域以及與ISO/IECJTC1相對應的標準化工作，目前下設24個分技術委員會和特別工作組,是目前國內最大的標準化技術委員會。全國信息技術安全標準化技術委員會的工作范圍是負責信息和通信安全的通用框架、方法、技術和機制的標準化，歸口國內外對應的標準化工作。其技術安全包括：開放式安全體系結構、各種安全信息交換的語義規則、有關的應用程序接口和協議引用安全功能的接口等。我國標準化組織311984年，成立數據加密技術分委員，后來改為信息技術安全分技術委員會2002年4月，為加強信息安全標準的協調工作，國家標準委決定成立信安標委，由國家標準委直接領導，對口ISO/IECJTC1SC27；秘書處設在中國電子技術標準化研究所；委員會由30多個部門和單位的49名領導和專家組成目前共有工作組成員單位165家，其中企業120家我國標準化組織32國標委高新函[2004]1號文決定，自2004年1月起，各有關部門在申報信息安全國家標準計劃項目時，必須經信息安全標委會提出工作意見，協調一致后由信息安全標委會組織申報；在國家標準制定過程中，標準工作組或主要起草單位要與信息安全標委會積極合作，并由信息安全標委會完成國家標準送審、報批工作。我國標準化組織國家標準化管理委員會，/全國信息安全標準化技術委員會（簡稱信息安全標委會，TC260），/全國信息技術標準化技術委員會（簡稱信標委,英文縮寫為CITS），負責全國信息技術領域以及與ISO/IECJTC1相對應的標準化工作。/全國金融標準化技術委員會（簡稱金標委），負責金融系統標準化技術歸口管理工作和國際標準化組織中銀行與相關金融業務標準化技術委員會（ISO/TC68、TC222）的歸口管理工作。/TC260的組織結構圖34秘書處負責委員會的日常事務工作35秘書處是委員會的常設辦事機構，負責委員會的日常事務工作秘書處設在中國電子技術標準化研究所TC260職責信息安全標準體系與協調工作組（WG1）研究信息安全標準體系跟蹤國際標準發展動態研究信息安全標準需求研究并提出新工作項目及設立新工作組的建議協調各工作組項目涉密信息系統安全保密標準工作組（WG2）研究提出涉密信息系統安全保密標準體系制定和修訂涉密信息系統安全保密標準TC260職責（續一）密碼技術標準工作組（WG3）研究提出商用密碼技術標準體系研究制定商用密碼算法、商用密碼模塊和商用密鑰管理等相關標準鑒別與授權工作組（WG4）研究制定鑒別與授權標準體系調研國內相關標準需求研究制定鑒別與授權標準信息安全評估工作組（WG5）調研測評標準現狀與發展趨勢研究我國統一測評標準體系的思路和框架，提出測評標準體系研究制訂急需的測評標準TC260職責（續二）通信安全標準工作組（WG6）調研通信安全標準現狀與發展趨勢研究提出通信安全標準體系研究制訂急需的通信安全標準信息安全管理工作組（WG7）研究信息安全管理動態，調研國內管理標準需求研究提出信息安全管理標準體系制定信息安全管理相關標準國家標準分類國家標準：GB/TXXXX.X-200XGBXXXX-200X行業標準：GA，GJB地方標準：DBXX/TXXX-200XDBXX/XXX-200X企業標準：QXXX-XXX-200X采標采標：等同采用IDT（identical）修改采用MOD（modified）非等效采用NEQ（notequivalent）知識域：信息安全評估標準41安全技術評估標準發展歷史了解安全技術評估標準發展過程理解可信計算機評估準則（TCSEC）的局限性理解GB/T18336《信息技術安全性評估準則》（CC）的優點信息安全技術評估準則了解CC的結構理解CC的術語（TOE、PP、ST、EAL）和基本思想了解使用CC進行信息技術產品安全性評估的基本過程了解通用評估方法（CEM）信息系統安全保證評估框架了解GB/T20274《信息系統安全保障評估框架》的目的和意義了解《信息系統安全保障評估框架》的結構和主要內容安全技術評估標準的起因安全準則&產品評估促進因素國際IT市場趨勢各國的基本安全要求早期準則的演變和改進信息系統安全問題需要國際標準42安全標準的發展43ITSEC1991CC1.01996TCSEC1985CTCPEC1993FC1992ISO154081999CC2.01998GB/T183362001CD1997FCD1998GIB26461996GB178591999GB/T183362008ISO154081999美國的安全評測標準(TCSEC)1970年由美國國防科學委員會提出。1985年公布。主要為軍用標準。延用至民用。橙皮書為計算機系統的安全級別進行了分類，由低到高分為D、C、B、A四級。D級（最小保護）暫不分級；C級分為C1級（選擇的安全保護）C2級（受控的訪問環境）B級分為B1級（標號安全保護）B2級（結構化安全保護）B3級（安全域機制）A級（可驗證的安全設計）暫時不分子級。總共為7個安全級別類別名稱主要特征安全要求A驗證設計（veritydesign）形式化的最高級描述和驗證，形式化的隱密通道分析，非形式化的代碼一致性證明設計必須從數學角度上經過驗證，而且必須進行秘密能道和可信任分布的分析。B3安全域(securitydomain)安全內核，高抗滲透能力用戶工作站或終端能過可信任途徑連接網絡系統B2結構防護（structuredprotection）設計系統時必須有一個合理的總體設計方案，面向安全的體系結構，遵循最小授權原則，較好的滲透能力，訪問控制應對所有的主體和客體提供保護，對系統進行隱蔽通道分析計算機系統中所有對象都加標簽，而且給設備（如工作站、終端和磁盤驅動器）分配安全級別。B1標號安全防護（labelsecurityprotection）除了C2級別的安全需求外，增加安全策略模型，數據標號（安全和屬性）在不同級別對敏感信息提供更高級的保護，讓每個對象都有有一個敏感標簽C2受控的訪問環境存取控制以用戶為單位廣泛的審計加入身份認證級別，系統對發生的事件加以審計并寫入日志C1選擇性安全防護（discretionarysecurityprotection）有選擇的存取控制，用戶與數據分離，數據的保護以用戶組為單位硬件有一定的安全保護（如硬件有帶鎖裝置），用戶在使用計算機系統前必須先登錄。允許系統管理員為一些程序或數據設立訪問許可權限。D最小保護保護措施很小，沒有安全功能不要求用戶進行登記（要求用戶提供用戶名）或使用密碼（要求用戶提供惟一的字符串來進行訪問）美國的安全評測標準(TCSEC)分級分類主要依據四個準則：安全政策可控性保證能力文檔歐洲的安全評測標準(ITSEC)47歐洲多國安全評價方法的綜合產物，軍用，政府用和商用。以超越TCSEC為目的，將安全概念分為功能與功能評估兩部分。功能準則在測定上分F1-F10共10級。1－5級對應于TCSEC的D到A。6－10級加上了以下概念：F6：數據和程序的完整性F7：系統可用性F8：數據通信完整性F9：數據通信保密性F10：包括機密性和完整性的網絡安全評估準則分為6級：E1：測試E2：配置控制和可控的分配

E3：能訪問詳細設計和源碼E4：詳細的脆弱性分析E5：設計與源碼明顯對應E6：設計與源碼在形式上一致。加拿大的評測標準(CTCPEC)481989年公布，專為政府需求而設計與ITSEC類似，將安全分為功能性需求和保證性需要兩部分。功能性要求分為四個大類：a機密性b完整性c可用性d可控性在每種安全需求下又分成很多小類，表示安全性上的差別，分級條數為0－5級。CTCPEC的功能性要求及分級49美國聯邦準則(FC)50對TCSEC的升級1992年12月公布引入了“保護輪廓（PP）”這一重要概念每個輪廓都包括功能部分、開發保證部分和評測部分。分級方式與TCSEC不同，吸取了ITSEC、CTCPEC中的優點。供美國政府用，民用和商用。通用準則（CC）1993年6月，與CTCPEC、FC、TCSEC、和ITSEC有關的6個國家中的7個相關政府組織集中了他們的成果，并聯合行動將各自獨立的準則整合成一系列單一的、能被廣泛接受的IT安全準則。其目的是為了解決原標準中出現的要領和技術上的差異，并把結果作為對國際標準的貢獻提交給了ISO，并于1996年頒布了1.0版，1998年頒布了2.0版，1999年12月ISO正式將CC2.0作為國際標準——ISO15408發布。通用準則（CC）52主要思想和框架取自ITSEC和FC；充分突出“保護輪廓”，將評估過程分“功能”和“保證”兩部分；是目前最全面的評價準則CC強調將安全的功能與保障分離，并將功能需求分為九類63族，將保障分為七類29族。此通用準則是目前最全面的信息技術安全評估準則。通用準則（CC）（續）53國際上認同的表達IT安全的體系結構一組規則集一種評估方法，其評估結果國際互認通用測試方法（CEM）已有安全準則的總結和兼容通用的表達方式，便于理解靈活的架構可以定義自己的要求擴展CC要求準則今后發展的框架CC的意義與局限CC標準的意義通過評估有助于增強用戶對于IT產品的安全信心；促進IT產品和系統的安全性；消除重復的評估。CC標準的局限性CC標準采用半形式化語言，比較難以理解；CC不包括那些與IT安全措施沒有直接關聯的、屬于行政性管理安全措施的評估準則，即該標準并不關注于組織、人員、環境、設備、網絡等方面的具體的安全措施；CC重點關注人為的威脅，對于其他威脅源并沒有考慮；并不針對IT安全性的物理方面的評估（如電磁干擾）；CC并不涉及評估方法學；CC不包括密碼算法固有質量的評估。GB/T18336（ISO15408）55GB/T18336-2008信息技術安全技術信息技術安全性評估準則（idtISO/IEC15408：2005）GB/T18336.1：簡介和一般模型是CC的簡介。它定義了IT安全評估的一般概念和原理，并提出了評估的一般模型。GB/T18336.2：安全功能要求建立一系列功能組件作為表達TOE功能要求的標準方法。GB/T18336.3：安全保證要求建立一系列保證組件作為表達TOE保證要求的標準方法。GB/T18336（CC）的目標讀者56TOE（評估對象）的客戶CC從寫作安排上確保評估滿足用戶的需求，因為這是評估過程的根本目的和理由。TOE的開發者為開發者在準備和協助評估產品或系統以及確定每種產品和系統要滿足的安全需求方面提供支持。TOE的評估者CC包含評估者判定TOE與其安全需求一致時所使用的準則。GB/T18336（CC）的目標讀者其他讀者系統管理員和系統安全管理員：負責確定和達到組織的IT安全策略和需求。內部和外部審計員：負責評定系統安全性能是否充分。安全規劃和設計者：負責規范IT系統和產品的安全內容。認可者：負責認可一個IT系統在特定環境中的使用。評估發起者：負責請求和支持一個評估。評估機構：負責管理和監督IT安全評估程序。CC使用指南CC中的關鍵概念59評估對象——TOE(TargetofEvaluation)保護輪廓——PP(ProtectionProfile）安全目標——ST(SecurityTarget）功能(Function)保證(Assurance)組件(Component)包(Package)評估保證級——EAL(EvaluationAssuranceLevel）評估對象（TOE）60作為評估主體的IT產品及系統以及相關的管理員和用戶指南文檔。產品系統子系統保護輪廓（PP）61滿足特定用戶需求、與一類TOE實現無關的一組安全要求。表達一類產品或系統的用戶需求組合安全功能要求和安全保證要求技術與需求之間的內在完備性提高安全保護的針對性、有效性安全標準有助于以后的兼容性同TCSEC級類似PP的內容標識PP，敘述性總結PPTOE的總結信息指明安全問題（要保護的資產，已知的攻擊方式，TOE必須使用的組織性安全策略）對安全問題的相應反應（包括非技術性措施）CC第二部分的功能組件CC第三部分的保證組件IT環境中軟件、硬件、固件要求目的和要求可以解決已指出的安全問題附加信息PP示例63“包過濾防火墻安全技術要求”（GB18019）“應用級防火墻安全技術要求”（GB18020）“路由器安全技術要求”（GB18018）“電信智能卡安全技術要求”“網上證券委托系統安全技術要求”“路由器安全技術要求”（GB18018）示例安全目標（ST）65作為指定的TOE評估基礎的一組安全要求和規范。IT安全目的和要求要求的具體實現實用方案適用于產品和系統與ITSECST類似ST的內容標識ST和TOE（包括版本號），敘述性總結STTOE背景信息（評估環境）指明安全問題（要保護的資產、已知的攻擊、TOE必須使用的組織性安全策略、假設的安全問題對安全問題的相應反應（包括非技術性措施）CC第二部分的功能組件CC第三部分的保證組件IT環境中軟件、硬件、固件要求IT安全功能滿足哪一個特定的安全功能要求IT保證措施滿足哪一個特定的安全保證要求解釋、證明和其他支持材料、以證實一致性聲明安全目的、安全要求、IT安全功能和保證措施可以解決已指出的安全問題功能/保證結構67類（如用戶數據保護——FDP）類是安全要求的最高層次組合。一個類中所有成員關注同一個安全焦點，但覆蓋的安全目的范圍不同。類的成員被稱為子類。關注共同的安全焦點的一組族，覆蓋不同的安全目的范圍子類（如訪問控制——FDP_ACC）子類是若干組安全要求的組合，這些要求共享同樣的安全目的，但在側重點和嚴格性上有所區別。子類的成員被稱為組件。共享安全目的的一組組件，側重點和嚴格性不同功能/保證結構68組件（如子集訪問控制——FDP_ACC.1)組件描述一個特定的安全要求集，它是CC結構中最小的可選安全要求集。包含在PP/ST/包中的最小可選安全要求集CC將傳統的安全要求分成不能再分的構件塊用戶/開發者可以組織這些要求到PP中到ST中組件可以進一步細化功能規范IT產品和系統的安全行為，應做的事69安全功能要求類功能類名所含子類數審計（FAU）6密碼支持（FCS）2通信（FCO）2用戶數據保護（FDP）13識別和鑒權（FIA）6安全管理（FMT）6隱私（FPR）4TSF保護（FPT）16資源利用（FRU）3TOE訪問（FTA）6可信路徑/通道（FTP）2安全功能要求功能類名所含族數通信2識別與鑒別6隱私4安全功能保護16資源利用3安全審計6TOE訪問6可信路徑/通道2用戶數據保護13安全管理6密碼支持2保證對功能產生信心的方法72TOE安全保證類73保證類保證子類縮寫名稱ACM類：配置管理CM自動化ACM_AUTCM能力ACM_CAPCM范圍ACM_SCPADD類：交付和運行分發ADO_DEL安裝、生成和啟動ADO_IGSADV類：開發功能規范ADV_FSP高層設計ADV_HLD功能規范ADV_IMPTSF內部ADV_INT底層設計ADV_LIDADV_RCR安全策略模型ADV_SPMAGD類：指導性文件管理員指南AGD_ADM用戶指南AGD_USRALC類：生命周期支持開發安全ALC_DVS缺陷糾正ALC_FLR生命周期定義ALC_LCD工具和技術ALC_TATATE類：測試覆蓋面ATE_COV深度ATE_DPT功能測試ATE_FUN獨立性測試ATE_INDAVA類：脆弱性評定隱蔽通道分析AVA_CCA誤用AVA_MSUTOE安全功能強度AVA_SOF脆弱性分析AVA_VLA包74為了滿足一組確定的安全目的而組合在一起的一組可重用的功能或保證組件（如EAL）。IT安全目的和要求功能或保證要求（如EAL）適用于產品和系統與ITSECE-級類似評估保證級（EAL）75由GBXXXX第3部分中保證組件構成的包，該包代表了CC預先定義的保證尺度上的某個位置。預定義的保證包公認的廣泛適用的一組保證要求評估保證級別（EAL）各部分的關系子類C1C2C3Cn功能(CCPART2)保證(CCPART3)FamilyC1C2C3CnFamilyC1C2C3Cn子類C1C2C3Cn子類C1C2C3Cn子類C1C2C3Cn功能類保證類功能包為構建PP或ST而選取的一組可重復使用的功能要求評估保證級1評估保證級2評估保證級3評估保證級n保護輪廓(PP)包括一個CC評估保證級的一組可重復使用且完備的安全要求。安全目標(ST)包括一個CC評估保證級的描述TOE的一組完備要求。可包括保護輪廓、要求和/或其他非CC要求。選擇性擴充（非CC）安全要求77評估環境評估準則評估方法最終評估結果評估方案評估批準/證明證書/

注冊78評估的目的保證技術產生保證評估給出證據所有者提供需要置信度那么對策最小化風險到資產79TOE開發模型80TOE評估過程81TOE評估過程a)一系列TOE證據，包括作為TOE評估基礎的評估過的ST；b)需要評估的TOE；c)評估準則、方法學和體制。評估過程的預期結果是對TOE滿足ST中安全要求的確認，其形式是評估者依據評估準則對TOE得出的一個或多個記載調查結果的報告。這些報告對TOE（產品或系統）的實際用戶和潛在用戶非常有用，對開發者也同樣有用。通過評估獲得的信任度依賴于所達到的保證要求（即評估保證級）。TOE物理環境建立安全環境假設建立安全目的建立安全要求資產保護需求TOE目的威脅組織安全政策安全目的功能要求保證要求環境要求建立TOE概要規范TOE概要規范通用準則要求目錄安全規范材料(PP/ST)安全需求材料（PP/ST）安全目的材料(PP/ST)安全環境材料(PP/ST)83要求和規范的導出評估流程圖評估PPPP評估結果PP分類已評估

的PP評估STST評估結果評估TOETOE評估結果證書分類已評估的TOE84TOE評估結果的應用85可信計算機系統評估準則（TCSEC)缺陷集中考慮數據保密性，而忽略了數據完整性、系統可用性等；將安全功能和安全保證混在一起安全功能規定得過為嚴格，不便于實際開發和測評86信息技術安全性評估準則（ITSEC）

與TCSEC的不同安全被定義為保密性、完整性、可用性功能和質量/保證分開對產品和系統的評估都適用，提出評估對象（TOE）的概念產品：能夠被集成在不同系統中的軟件或硬件包；系統：具有一定用途、處于給定操作環境的特殊安全裝置87評測標準對應關系圖知識域：信息安全管理標準89國際信息安全管理重要標準了解國外信息安全管理標準發展概況掌握ISO27001和ISO27002的主要內容了解英國和美國等發達國家的信息安全管理標準了解CoBIT和ITIL的用途我國信息安全管理重要標準掌握GB/T20984《信息安全風險評估規范》的主要內容掌握GB/Z24364《信息安全風險管理規范》的主要內容了解GB/Z20985《信息安全事件管理指南》的主要內容掌握GB/Z20986《信息安全事件分類分級指南》的主要內容掌握GB/T20988《信息系統災難恢復規范》的主要內容什么是信息安全管理體系ISMS90組織管理體系的一部分，用以確保信息安全源于BS7799，是應英國工業、政府和商業共同需求而發展的一種安全管理標準。目前已經被采納為國際標準BS7799-1->

ISO17799:2000->ISO17799:2005->ISO27002:2007BS7799-2->ISO27001:2005目前已經被20多個國家采納為國家標準，在40多個國家開展了認證業務建立ISMS的意義91按照國際標準建立信息安全保障體系，不僅會提升組織的信息安全保障能力，同時將會提高組織的市場競爭力（聲譽、客戶要求）；確保組織對信息系統的管理滿足相關法律法規的要求；有利于強化員工的信息安全意識，規范組織信息安全行為；在組織信息系統受到侵襲時，有能力確保組織業務持續開展,并將損失降到最低程度；將信息安全管理工作常態化，做到組織信息安全水平的持續改進。ISO27000標準族的體系詞匯要求27000指南應用2700227003270042700527007270082701327014270102701127012270152700127006概述和詞匯ISMS審核認證機構要求部門間協作ISM指南ISMS要求E-GOV服務ISM指南ISMS審核指南ISMS控制審核指南20000-1與27001集成實施指南IS治理框架ISMS實用規則ISMS實施指南ISM測量IS風險管理92ISO27001（GB/T22080-2008）93ISO/IEC27001:2005的名稱Informationtechnology-Securitytechniques-Informationsecuritymanagementsystems-requirements信息技術-安全技術-信息安全管理體系-要求解釋建立和維護文檔化的ISMS的要求是依照ISO27001對組織的ISMS進行審核認證的基礎ISO27001簡介94ISO27001標準對信息安全管理體系（ISMS）并沒有一個十分明確的定義，可以將其理解為組織管理體系的一部分。ISMS涉及到的內容：用于組織信息資產風險管理、確保組織信息安全的、包括為制定、實施、評審和維護信息安全策略所需的組織機構、目標、職責、程序、過程和資源。標準要求的ISMS建立過程：制定信息安全方針策略，明確體系范圍，明確管理職責，通過風險評估確定控制目標和控制方式。遵循PDCA體系一旦建立，組織應該按規定要求進行運作，保持體系的有效性。ISMS應形成一定的文檔，包括方針策略、適用性聲明文件和實施安全控制所需的程序文件。一個文檔化的ISMS應該闡述：要保護的資產，組織進行風險管理的途徑，控制目標和控制方式，需要的保障程度。PDCA的過程方法相關方受控的信息安全信息安全要求和期望相關方檢查Check建立ISMS實施和運行ISMS保持和改進ISMS監視和評審ISMS規劃Plan實施Do處置Act圖應用于ISMS過程的PDCA模型95ISO/IEC27001內容框架引言總則過程方法與其他管理體系的兼容性范圍1.1總則1.2應用規范性引用文件術語和定義信息安全管理體系(ISMS)4.1總要求4.2建立和管理ISMS4.2.1建立ISMS4.2.2實施和運行ISMS4.2.3監視和評審ISMS4.2.4保持和改進ISMS4.3文檔要求4.3.1總則4.3.2文件控制4.3.3記錄控制5管理職責5.1管理承諾5.2資源管理5.2.1資源提供5.2.2培訓、意識和能力6ISMS內部審核7ISMS的管理評審7.1總則7.2評審輸入7.3評審輸出8ISMS改進8.1持續改進8.2糾正措施8.3預防措施附錄A控制目標和控制措施附錄BOECD原則和本標準附錄CISO9001:2000，ISO14001:1996和本標準96ISO27002（GB/T22081-2008）97ISO/IEC27002:2007的名稱Informationtechnology-Securitytechniques-Codeofpracticeforinformationsecuritymanagement信息技術-安全技術-信息安全管理實用規則最佳實踐ISO27002的范圍98本標準給出了一個組織啟動、實施、保持和改進信息安全管理的指南和一般原則。本標準列出的目標為通常所接受的信息安全管理的目的提供了指導。本標準的控制目標和控制措施的實施旨在滿足風險評估所識別的要求。本標準可作為建立組織的安全準則和有效安全管理慣例的實用指南，并有利于在組織間的活動中建立信心。ISO27002的主要內容引言范圍術語和定義本標準的結構風險評估和處理安全方針信息安全組織資產管理人力資源安全物理和環境安全通信和操作管理訪問控制信息系統獲取、開發和維護信息安全事故管理業務連續性管理符合性11個方面39個控制目標133項控制措施標準簡介對風險管理的建議99ITIL簡介ITIL將IT服務管理分為十個核心流程和一項管理職能。核心流程服務級別管理IT服務財務管理能力管理IT服務持續性管理可用性管理配置管理變更管理發布管理事故管理問題管理管理職服務臺ITIL簡介服務提供流

程

服

務支持流程ITIL簡介80年代中期,英國政府部門發現提供給其的IT服務質量不佳,于是要求當時的政府計算機和電信局(CCTA)(后來并

入英國政府商務部(OGC)),啟動一個

項目對此進行調查,并開發一套有效的和可進行財務計量的IT資源使用方法以供本國的政府部門和私有部門使用。Cobit簡介COBIT（ControlObjectivesforInformationandrelatedTechnology）：即信息系統和技術控制目標。成立于1969年的美國信息系統審計與控制協會(ISACA)，于1996推出了用于“IT審計”的知識體系COBIT。“IT審計”已經成為眾多國家的政府部門、企業對IT的計劃與組織、采購與實施、服務提供與服務支持、監督與控制等進行全面考核與認可的業界標準。COBIT的主要組件執行摘要管理指引框架控制目標實施工具集審計準則為什么使用最高管理層尤其需要明確良好的信息管理是否可以使企業：提高目標實現的可能性；更好的學習能力和適應能力；明智地管理所面臨的風險；及時發現并抓住機遇。為什么使用成功的企業能夠理解風險，并充分利用IT的優勢找到對策以：使IT戰略與業務戰略保持一致；向股東和投資者保證，組織在控制IT風險方面滿足應有的審慎性標準；將IT戰略和目標逐層分解到企業；實現IT投資價值；建立能夠充分實現戰略和目標的組織架構；在業務、IT和外部相關方之間建立建設性的關系及有效的溝通渠道；考評IT績效。企業如果未采用并實施IT治理和控制框架，則無法有效滿足以下業務和治理方面的要求：建立IT與業務需求的聯系；針對這些業務需求制定清晰的IT績效；采用公認的過程模型組織IT活動；識別關鍵IT資源以作調整；制定所需的管理控制目標。為什么使用此外，IT治理和控制框架已經變成IT管理最佳實踐的一部分，并促使建立IT治理，符合不斷增加的合規性要求。誰使用關注IT投資創造價值的企業內部利益相關方：投資決策人；需求制定人；IT服務對象。提供IT服務的內外部利益相關方：IT組織和流程的管理人員；IT功能開發人員；IT運營服務人員。負責控制或風險管理的內外部利益相關方：負責安全、隱私和/或風險管理的人員；履行合規職能的人員；要求或提供保證服務的人員。內部控制成熟度模型成熟等級內部控制環境狀態內部控制的建立0無級別沒有認識到內部控制的必要性。控制不是組織文化或使命的一部分。存在控制缺乏和事件的高風險。沒有評估內部控制必要性的意識。事件升級時才被處理。1初始級對內部控制必要性有一定認識。風險和控制需求的方法是非正式和無組織的，沒有溝通或監控。不足沒有被識別出來。雇員不知道他們的職責。沒有評估需要什么IT控制的意識。當執行高層次評估時，對重要事件的反應只是在非正式的基礎之上。評估只涉及實際發生的事件。3定義級控制適當而且被充分的文件化。運營的有效性被定期評價并且有問題的平均數量。然而，評估流程沒有文件化。當管理層能夠處理預期的大部分控制問題時，存在一些控制弱點而且影響仍然嚴重。雇員知道他們的有關控制的職責。基于價值和風險驅動來識別關鍵IT流程。通過詳細分析來識別控制需求、差距的根本原因和開發改進的時機。除專題研討會外，使用工具和訪談以支持分析結論，確保IT流程所有者擁有并且推動評估和改進流程。內部控制成熟度模型成熟等級內部控制環境狀態內部控制的建立4可管理級存在有效的內部控制和風險管理環境。定期進行正式的文件化控制評估。很多控制是自動化的并且被定期審查。管理層很可能檢測到大部分控制問題。一致致力于已識別控制缺陷的解決。有限的、戰術層面的技術被應用到自動化控制中。IT流程關鍵程度在相應業務流程所有者的充分的支持和協商下被定期的定義。控制需求的評估是基于這些流程的政策和實際成熟度，根據一個包括關鍵利益相關方的全面和標準的分析。這些評估的責任是清晰和強制性的。改進策略得到業務支持。達到期望結果的績效被一貫地監控。有時組織外部控制審閱。5優化級整個企業的風險和控制程序提供了持續和有效的控制及風險問題的解決方法。內部控制和風險管理與企業實踐整合在一起，企業實踐由自動化的實時監控所支持，該監控全面負責控制監控、風險管理和合規執行。控制評估是持續的，是基于自我評估、差距和根本原因分析的。雇員主動參與控制改進。業務變更考慮IT流程的關鍵性，并且包含任何重新評估流程控制能力的必要性。IT流程的所有者定期執行自我評估，確認控制處于符合業務需要的正確的成熟度水平，考慮了成熟度的屬性以找到使控制更加有效和高效的途徑。組織根據外部最佳實踐來制定標準，并尋求內部控制有效性的外部建議。對于關鍵流程，采取獨立的審閱，以提供控制在所需的成熟度水平和按計劃工作的保證。應用方法為滿足上述要求，IT治理和控制框架應：以業務為中心，確保IT目標與業務目標保持一致；采用預定結構的框架，以便易于使用，以流程為導向明確所需覆蓋的范圍及程度；采納與IT最佳實踐和標準一致的做法，并獨立于特定的技術；使用能夠被所有利益相關方理解的通用術語和定義；通過與公認的公司治理標準(COSO)以及監管機構、外部審計人員所要求的IT控制保持一致，幫助組織滿足合規性要求。COBIT如何滿足要求COBIT框架基于以下主要特點制定：以業務為中心、以流程為導向、以控制為基礎、以績效測評為驅動。以業務為中心效果：涉及到信息與業務流程相關程度的屬性，以及信息交付的及時性、正確性、一致性和可用性；效率：通過優化(生產率最高且符合經濟效益)資源使用來提供信息；保密性：保護敏感信息，避免未經授權的披露；完整性：與信息的準確度和完全性有關的屬性，與業務價值和預期相一致；可用性：與業務流程對信息的當前或未來可使用性相關的屬性，也包括所需資源和相關能力的安全性；符合性：涉及業務流程與所需遵守的法律、法規及合同約定之間的符合程度的屬性，即外部的強制要求和內部政策的遵循性；可靠性：為管理者提供可靠的信息，以運營相關實體并履行所賦予的職責。以業務為中心為提供實現業務目標所需的企業信息，企業需要采用一套系統化的IT流程來投資、管理和控制IT資源，來提供企業信息服務。管理并控制信息是COBIT框架的核心，有助于確保與業務需求保持一致。以業務為中心以流程為導向這四個域分別是：計劃與組織、獲取與實施、交付與支持、監控與評價。這些域映射到傳統的IT職責域：計劃、建設、運行和監控。以流程為導向計劃與組織(PO)：為提供解決方案(AI)和提供服務(DS)落實方針；獲取與實施(AI)：提供解決方案并將其轉化成為服務；交付與支持(DS)：接受解決方案，使之為最終用戶所用；監控與評價(ME)：監控所有流程確保遵循既定方針。以控制為基礎控制是指為合理保證業務目標的實現，預防、檢查和糾正非預期事件的發生所制定的一系列政策、規程、實務和組織架構。IT控制目標提供了一系列完整的高層需求，用于管理層對每個IT流程進行有效控制時予以考慮，包括：管理宗旨是增加價值還是降低風險；政策、程序、實務和組織架構；能否預防、檢查和糾正非預期事件的發生以便為業務目標的實現提供合理保證。針對這些控制目標，企業管理層需要做出以下選擇：選擇適當的目標確定要實現的目標選擇如何實現目標（頻率、范圍、自動控制等）接受未實現目標可能帶來的風險以控制為基礎當設定了供暖系統（處理流程）的室溫（標準）時，系統會持續檢查（比較）房間的環境溫度（控制信息）并指示供暖系統提供更多或更少的熱量（糾正）。以控制為基礎COBIT的每個IT流程都有一個流程描述和多個控制目標，作為一個整體，是最佳管理流程的基本特征。以控制為基礎：業務控制和IT控制企業的內部控制系統在以下三個層次上影響IT：在執行管理層：設定企業目標、制定政策、作出關于如何部署和管理企業資源以執行企業戰略的決策。董事會確定治理和控制的整體方式并在企業范圍內貫徹。在業務流程層：控制具體的業務活動。為支持業務流程，IT通常采用共享服務的方式為許多業務流程提供IT服務，因為許多的IT開發和操作流程需提供給整個企業，并且大多數的IT基礎設施是公用的(如，網絡、數據庫、操作系統和存儲)。一般控制的可靠運行是保障應用控制可靠性的必備條件，例如：缺乏變更管理將危及（意外或蓄意的）自動化系統完整性檢查的可靠性。以控制為基礎：IT一般控制和應用控制一般控制是指那些嵌入到IT流程和服務中的控制，例如：系統開發；變更管理；安全；系統日常運營。嵌入到業務流程應用系統的控制通常稱為應用控制。例如：完整性；準確性；有效性；授權；職責分離。以控制為基礎以測評為驅動COBIT通過以下方式來解決這些問題：采用成熟度模型實施基準管理以識別所需的能力改進；

IT流程的績效目標和指標指明了IT流程如何滿足業務目標和IT目標，并基于平衡記分卡的原理用于測量內部流程的績效；采用流程活動的目標去促進有效的流程績效。以測評為驅動成熟度模型1.一種衡量方法，以確定企業所處的位置；2.一套工作方式，以有效決定將要達到的水平；3.一組測量工具，以針對目標評估流程結果。使用為每一個IT流程設計的成熟度模型，管理層可以找出：企業的實際績效—當前所處的位置行業的當前狀況—比較企業的改進目標—期望達到的位置在‘當前’和‘獲取’之間所需的成長路徑以測評為驅動以測評為驅動以測評為驅動COBIT在三個層次上制定了目標和衡量指標：IT目標和指標，定義了業務對IT的期望和如何測評；流程目標和指標，定義了IT流程為了滿足IT目標必須交付的服務和如何進行評估；活動目標和指標，確定為達到所需性能而采取的流程內活動以及如何測評。以測評為驅動以測評為驅動以測評為驅動COBIT框架模型COBIT框架模型COBIT框架模型COBIT的流程模型包括四個域，34個通用流程，管理IT資源以交付滿足業務和治理要求的信息。其他幾個信息安全管理標準GB/T20984《信息安全風險評估規范》GB/Z24364《信息安全風險管理規范》GB/Z20985《信息安全事件管理指南》GB/Z20986《信息安全事件分類分級指南》GB/T20988《信息系統災難恢復規范》135GB/T20984《信息安全風險評估規范》GB/T20984《信息安全風險評估規范》GB/Z24364《信息安全風險管理規范》GB/Z20985《信息安全事件管理指南》GB/Z20986《信息安全事件分類分級指南》GB/T20988《信息系統災難恢復規范》136GB/Z24364《信息安全風險管理規范》本標準提出了風險評估的基本概念、要素關系、分析原理、實施流程和評估方法，以及風險評估在信息系統生命周期不同階段的實施要點和工作形式。本標準適用于規范組織開展的風險評估工作。137風險評估要素關系圖138139風險評估實施流程信息系統生命周期各階段的風險評估信息系統生命周期規劃階段的風險評估設計階段的風險評估實施階段的風險評估運行維護階段的風險評估廢棄階段的風險評估140GB/Z20985《信息安全事件管理指南》本標準規定了信息安全風險管理的內容和過程，并提供了信息系統生命周期不同階段的信息安全風險管理措施。本標準適用于指導組織進行信息安全風險管理工作。141信息安全風險管理的內容和過程142GB/Z20986《信息安全事件分類分級指南》本指導性技術文件為信息安全事件的分類分級提供指導，用于信息安全事件的防范與處置，為事前準備、事中應對、事后處理提供一個基礎指南，可供信息系統和基礎信息傳輸網絡的運營和使用單位以及信息安全主管部門參考使用。143信息安全事件分類信息安全事件分為有害程序事件、網絡攻擊事件、信息破壞事件、信息內容安全事件、設備設施故障、災害性事件和其他信息安全事件等7個基本分類，每個基本分類分別包括若干個子類。144對信息安全事件的分級主要考慮三個要素：信息系統的重要程度、系統損失和社會影響。信息系統的重要程度主要考慮信息系統所承載的業務對國家安全、經濟建設、社會生活的重要性以及業務對信息系統的依賴程度，劃分為特別重要信息系統、重要信息系統和一般信息系統。系統損失是指由于信息安全事件對信息系統的軟硬件、功能及數據的破壞，導致系統業務中斷，從而給事發組織所造成的損失，其大小主要考慮恢復系統正常運行和消除安全事件負面影響所需付出的代價，劃分為特別嚴重的系統損失、嚴重的系統損失、較大的系統損失和較小的系統損失。社會影響是指信息安全事件對社會所造成影響的范圍和程度，其大小主要考慮國家安全、社會秩序、經濟建設和公眾利益等方面的影響，劃分為特別重大的社會影響、重大的社會影響、較大的社會影響和一般的社會影響。信息安全事件分級145信息安全事件級特別重大事件（Ⅰ級）特別重大事件是指能夠導致特別嚴重影響或破壞的信息安全事件，包括以下情況：a)會使特別重要信息系統遭受特別嚴重的系統損失；b)產生特別重大的社會影響。重大事件（Ⅱ級）重大事件是指能夠導致嚴重影響或破壞的信息安全事件，包括以下情況：a)會使特別重要信息系統遭受嚴重的系統損失、或使重要信息系統遭受特別嚴重的系統損失；b)產生的重大的社會影響。146信息安全事件分級較大事件（Ⅲ級）較大事件是指能夠導致較嚴重影響或破壞的信息安全事件，包括以下情況：a)會使特別重要信息系統遭受較大的系統損失、或使重要信息系統遭受嚴重的系統損失、一般信息信息系統遭受特別嚴重的系統損失；b)產生較大的社會影響。一般事件（Ⅳ級）一般事件是指不滿足以上條件的信息安全事件，包括以下情況：a)會使特別重要信息系統遭受較小的系統損失、或使重要信息系統遭受較大的系統損失，一般信息系統遭受嚴重或嚴重以下級別的系統損失；b)產生一般的社會影響。147信息安全事件管理的4個過程148規劃和準備a)XXX信息安全事件處理小組制定信息安全事件管理策略，獲得XXX信息安全決策委員會的承諾b)XXX信息安全事件處理小組制定信息安全事件管理方案c)XXX信息安全事件處理小組對公司及系統／服務／網絡安全進行風險分析和管理，更新策略d)XXX信息安全管理委員會發布信息安全事件管理意識簡報并開展培訓e)XXX信息安全事件處理小組測試信息安全事件管理方案使用a)XXX信息安全事件處理小組檢測并報告信息安全事態b)XXX信息安全管理委員會評估并決定是否將事態歸類為信息安全事件c)XXX信息安全事件處理小組對信息安全事件做出響應，其中包括進行法律取證分析評審a)XXX信息安全事件處理小組進一步進行法律取證分析b)總結經驗教訓c)確定安全的改進之處d)確定信息安全事件管理方案的改進之處

改進a)改進安全風險分析和管理評審的結果b)啟動對安全的改進c)改進信息安全事件管理方案GB/T20988《信息系統災難恢復規范》本標準規定了信息系統災難恢復應遵循的基本要求。本標準適用于信息系統災難恢復的規劃、審批、實施和管理。信息系統的災難恢復工作，包括災難恢復規劃和災難備份中心的日常運行、關鍵業務功能在災難備份中心的恢復和重續運行，以及主系統的災后重建和回退工作，還涉及突發事件發生后的應急響應。149災難恢復規劃過程災難恢復規劃是一個周而復始、持續改進的過程，包含以下幾個階段：災難恢復需求的確定；災難恢復策略的制定；災難恢復策略的實現；災難恢復預案的制定、落實和管理。150附錄：災難恢復能力等級劃分第1級：基本支持第2級：備用場地支持第3級：電子傳輸和部分設備支持第4級：電子傳輸及完整設備支持第5級：實時數據傳輸及完整設備支持第6級：數據零丟失和遠程集群支持151知識域：等級保護標準等級保護定級指南了解GB/T22240《信息系統安全保護等級定級指南》的主要內容掌握五個信息系統安全保護等級的定義掌握系統定級的要素、基本方法和流程等級保護基本要求了解GB/T22239《信息系統安全等級保護基本要求》的主要內容掌握五個信息系統安全保護等級對應的安全保護能力級別掌握管理基本要求包含的五個方面以及安全技術要求包含的五個方面等級保護其它重要標準了解《信息系統安全等級保護實施指南》的主要內容了解《信息系統安全等級保護測評準則》的主要內容152什么是等級保護？《中華人民共和國計算機信息系統安全保護條例》（1994年國務院147號令）第九條計算機信息系統實行安全等級保護。安全等級的劃分標準和安全等級保護的具體辦法，由公安部會同有關部門制定。GB17859-1999《計算機信息系統安全保護等級劃分準則》第一級:用戶自主保護級；第二級:系統審計保護級；第三級:安全標記保護級；第四級:結構化保護級；第五級:訪問驗證保護級；153等級保護標準族的五級劃分信息系統根據其在國家安全、經濟建設、社會生活中的重要程度，遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等，由低到高劃分為五級第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。154等級保護相關法律、政策《中華人民共和國計算機信息系統安全保護條例》（1994年國務院147號令－－第9條）《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發[2003]27號）《關于信息安全等級保護工作的實施意見》（公通字[2004]66號）《信息安全等級保護管理辦法》（公通字[2007]43號）關于開展全國重要信息系統安全等級保護定級工作的通知（公信安[2007]861號）關于開展信息安全等級保護安全建設整改工作的指導意見（公信安[2009]1429號）155十大標準基礎類《計算機信息系統安全保護等級劃分準則》GB17859-1999《信息系統安全等級保護實施指南》GB/T25058-2010應用類定級：《信息系統安全保護等級定級指南》GB/T22240-2008建設：《信息系統安全等級保護基本要求》GB/T22239-2008《信息系統通用安全技術要求》GB/T20271-2006《信息系統等級保護安全設計技術要求》GB/T25070-2010測評：《信息系統安全等級保護測評要求

《信息系統安全等級保護測評過程指南》管理：《信息系統安全管理要求》GB/T20269-2006《信息系統安全工程管理要求》GB/T20282-2006156其它相關標準技術類GB/T21052-2007信息安全技術信息系統物理安全技術要求GB/T20270-2006信息安全技術網絡基礎安全技術要求GB/T20271-2006信息安全技術信息系統通用安全技術要求GB/T20272-2006信息安全技術操作系統安全技術要求GB/T20273-2006信息安全技術數據庫管理系統安全技術要求其他信息產品、信息安全產品等。。。其他類GB/T20984-2007信息安全技術信息安全風險評估規范GB/T20285-2007信息安全技術信息安全事件管理指南GB/Z20986-2007信息安全技術信息安全事件分類分級指南GB/T20988-2007信息安全技術信息系統災難恢復規范

157邏輯關系劃分準則定級指南基本要求測評要求技術設計要求實施指南測評過程指南GB/T20269安全管理GB/T20270網絡基礎GB/T20271通用安全技術GB/T20272操作系統GB/T20273數據庫GB/T20282安全工程管理等級保護158GB/T20984風險評估實施指南－－GB/T25058-2010等級保護實施過程基本原則主要過程及其活動角色、職責基本流程等級變更局部調整信息系統定級總體安全規劃安全設計與實施安全運行維護信息系統終止國家管理部門（4家）信息系統主管部門信息系統運營、使用單位信息安全服務機構信息安全等級測評機構信息安全產品供應商159實施指南－－GB/T25058-2010主要階段主要過程活動活動輸入活動輸出信息系統定級信息系統分析系統識別和描述信息系統的立項、建設、管理文檔信息系統總體描述文件信息系統劃分信息系統總體描述文件*信息系統詳細描述文件安全保護等級確定定級、審核和批準信息系統總體描述文件信息系統詳細描述文件定級結果形成定級報告信息系統總體描述文件信息系統詳細描述文件定級結果*信息系統安全保護等級定級報告總體安全規劃安全需求分析基本安全需求確定信息系統詳細描述文件信息系統安全保護等級定級報告信息系統安全等級保護基本要求信息系統相關的其它文檔基本安全需求額外/特殊安全需求的確定信息系統詳細描述文件信息系統安全保護等級定級報告信息系統相關的其它文檔重要資產的特殊保護要求形成安全需求分析報告信息系統詳細描述文件信息系統安全保護等級定級報告信息系統安全等級保護基本要求基本安全需求重要資產的特殊保護要求*安全需求分析報告注：*標注的輸出文件為比較重要的文件。160實施指南－－GB/T25058-2010主要階段主要過程活動活動輸入活動輸出總體安全規劃安全總體設計總體安全策略設計信息系統詳細描述文件信息系統安全保護等級定級報告安全需求分析報告總體安全策略文件各級系統安全技術措施設計