信息安全技术 信息系统安全等级保护定级指南

所需积分/C币:50 2011-12-16 09:21:20 198KB PDF
50
收藏 收藏
举报

信息安全技术 信息系统安全等级保护定级指南
GBT22240-2008 目次 日次 前言 引言 范围 2规范性引用文件 3术语和定义 4定级原理 41信息系统安全保护等级 4.2信息系统安全保护等级的定级要素 4.2.1受侵害的客体 4.22对客体的侵害程度… ·· 111122223 4.3定级要素与等级的关系 5定级方法 5.1定级的一般流程 3 52确定定级对象 53硝定受侵害的客体 54确定对客体的侵害程度. 541侵害的客观方面… 6 5.4.2综合判定侵害程度. 5.5确定定级对象的安全保护等级. 6等级变史 GB/T222402008 前 (略) LI GBT22240-2008 依据国家信息安全等级休护管理规定制定本标准 本标准是信息安全等级保护相关系列标准之 与本标准相关的系列标准包括: -GB/T22239-2008《信息系统安仝等级保护基本要求》 国家标准《信息系统安全等级保护实施指南》 因家标准《信息系统安全等级保护测评准则》。 本标准依据等级保护相关管理文件,从信息系统所承载的业务在匡家安全、经济建设、社会生活中 的重要作用和业务对信息系统的依赖程度这两方面,提出确定信息系统安全保护等级的方法 III GB/T22240-2008 信息安全技术 信息系统安全等级保护定级指南 范围 本标准规定了信息系统安全等级保护的定级方法,适用于为信息系统安全等级侏护的定级工作提 供指导。 2规范性引用文件 下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所 有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方 研宄是不使用这些文件的最新版本。凡是不注明日期的引用文件,其最新版本适用于本标准 GBT52718信息技术词汇第8部分:安全(GBT5271.8-2001, idt ISomer2382-8:1998) GB17859计算机信息系统安全保护等级划分准则 3术语和定义 GB52718和GB17859-1999确立的以及下列术语和定义适用于本标准。 等级保护对象 target of classified security 信息安全等级保护工作直接作用的具体的信息和信息系统 客体 object 受法律保护的、等级保护对象受到破坏时所侵害的社会关系,如国家安全、社会秩序、公共利益 以及公民、法人或其他组织的合法杈益 客观方面 objective 对客体造成侵害的客观外在表现,包括侵害方式和侵害结果等。 3.4 系统服务 system service 信息系统为攴撑其所承载业务而提供的程序化过程。 4定级原理 信息系统安全保护等级 GBT22240-2008 根据等级保护相关管理文件,信息系统的安全保护等级分为以下五级: 第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害囻家 安全、社会秩序和公共利益。 第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社 会秩序和公共利益造成损害,但不损害国家安仝。 第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损 害 第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造 成严重损害。 第五级,信息系统受到破坏后,会对国家安全造成特別严重损害。 4.2信息系统安全保护等级的定级要素 信息系统的安全保护等级由两个定级要素决定:等级保护对象受到破坏时所侵害的客体和对客体 造成侵害的程度。 4.2.1受侵害的客体 等级保护对象受到破坏时所侵害的客体包括以下三个方面: a)公民、法人和其他组织的合法权益: b)社会秩序、公共利益 c)国家安全。 4.2.2对客体的侵害程度 对客体的侵害程度山客观方面的不同外在表现综合决定。山于对客体的侵害是通过对等级保护对 象的破坏实现的,因此,对客体囟侵害外在表现为对等级保护对象的破坏,通过危害方式、危害后果和 危害程度加以描述。 等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种: a)造成一般损害 b)造成严重损害 c)造成特别严重损害 4.3定级要素与等级的关系 定级要素与信息系统安仝保护等级的关系如表1所示 GB/T22240-2008 表1定级要素与安全保护等级的关系 对客体的侵害程度 受侵害的客体 一般损害 严重损害 特别严重损害 公民、法人和其他组织的合法权益 第一级 第二级 第二级 社会秩序、公共利益 第二级 第三级 第四级 国家安仝 第三级 第四级 第五级 5定级方法 5.1定级的一般流程 信息系统安全包括业务信息安全和系统服务安全,与之相关的受侵害客体和对客体的侵害程度可能 不同,因此,信息系统定级也应由业务信息安全和系统服务安全两方面确定。 从业务信息安全角度反映的信息系统安全保护等纵称业务信息安全保护等级。 从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。 确定信息系统安全保护等级的一般流程如下: a)确定作为定级对象的信息系统 b)确定业务信息安全受到破坏时所侵害的客体 c)根据不同的受侵害客体,从多个方面综合评定业务信息安全被破坏对客体的侵害程度; d)依据表2,得到业务信息安全保护等级 e)确定系统服务安全受到破坏时所侵害的客体; f)根据不同的受侵害客体,从多个方面综合评定系统服务安全被破坏对客体的侵害程度 g)依据表3,得到系统服务安全保护等级 h)将业务信息安仝保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保扩等 级 上述步骤如图1确定等级一般流程所示 GBT22240-2008 1、确定定级对象 2、碇定业务信息安全受到破坏时 5、确定系统服务安全受到破坏时 所侵害的客体 所侵害的客休 3、综合评定对客体的侵害程度 6、综合评定对客体的侵害程度 依据表2 依据表3 4、业务信息安全等级 7、系统服务安全等级 8、定级对象的安全保护等级 图1确定等级一般流程 5.2确定定级对象 个单位内运行的信息系统可能比较庞大,为了体现重要部分重点保护,有效控制信息安全建设 成本,优化信息安全资源配置的等级保护原则,可将较大的信息系统划分为若干个较小的、可能具有不 同安全保护等级的定级对象 作为定级对象的信息系统应具有如下基本特征: a)具有唯一确定的安全责任单位。作为定级对象的信息系统应能够唯一地确定其安全责仼单位。 如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任,则 这个下级单位可以成为信息系统的安全责任单位;如果一个单位中的不同下级单位分别承担 信息系统不同方面的安全责任,则该信息系统的安全责任单位应是这些下级单位共同所属的 单位。 b)具有信息系统的基本要素。作为定级对象的信息系统应该是由相关的和配套的设备、设施按 照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件,如服务器、 终端、网络设备等作为定级对象 c)承载单一或相对独立的业务应用。定级对象承载“单一”的业务应用是指该业务应用的业务 流程独立,且与其他业务应用没有数据父换,且独享所有信息处理设备。定级对象承载“相 对独立”的业务应用是指其业务应用的主要业务流程独立,同时与其他业务应用有少量的数

...展开详情
试读 14P 信息安全技术 信息系统安全等级保护定级指南
立即下载
限时抽奖 低至0.43元/次
身份认证后 购VIP低至7折
一个资源只可评论一次,评论内容不能少于5个字
您会向同学/朋友/同事推荐我们的CSDN下载吗?
谢谢参与!您的真实评价是我们改进的动力~
  • 分享达人

关注 私信
上传资源赚钱or赚积分
最新推荐
信息安全技术 信息系统安全等级保护定级指南 50积分/C币 立即下载
1/14
信息安全技术 信息系统安全等级保护定级指南第1页
信息安全技术 信息系统安全等级保护定级指南第2页
信息安全技术 信息系统安全等级保护定级指南第3页

试读结束, 可继续读2页

50积分/C币 立即下载