网络信息安全等级保护精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的网络信息安全等级保护主题范文，仅供参考，欢迎阅读并收藏。

第1篇：网络信息安全等级保护范文

信息安全等级保护制度是我国信息安全保障工作的基本制度。本文从信息安全等级保护的概念入手，结合金融行业的实际情况阐述了信息安全等级保护实施的必要性。

【关键词】信息安全 等级保护 建设

随着全球信息化程度的不断提高，人类生活对信息网络的依赖程度不断提高，信息网络科技已经逐步渗透到人们生活的方方面面，对国家安全、社会秩序和公众权益的影响日益突出，各国在信息安全方面的重视程度也日趋提高。我国为了保障国家安全，维护社会秩序和公众利益不受侵害，在2007年制定了信息安全等级保护制度。实施信息安全等级保护工作不仅是提升信息化安全防护水平的重要手段，更是落实国家信息安全保障要求的重要内容。

1 信息安全等级保护综述

“信息安全等级保护”是国家制定的信息安全管理规范和技术标准，是保障和促进信息化建设健康发展的一项基本制度。具体地说，就是对基础信息网络和重要信息系统按其重要程度及实际安全需求，分等级进行保护，按标准进行建设，按要求进行管理和监督，确保信息系统安全正常运行，提高信息系统安全综合防护能力，维护国家安全、社会稳定和公共利益。

2 信息安全等级保护的现状

2.1 各主要行业信息安全等级保护工作开展程度不一

电力、电信、铁路、税务等一些重要行业等级保护工作进展较快，在进行信息安全等级保护工作中结合各行业特点和行业的特殊安全需求制定了行业的等级保护规范或细则。相对而言，银行、交通、文化等行业目前等级保护工作进展缓慢。中国电力财务有限公司（以下简称“公司”）作为电力行业直属的非银行金融机构，按照国家电网公司要求很早已经开展相关工作，但由于公司业务与机构设置对于电力行业主业有很大区别，在信息安全等级保护的建设上只涉及公司总部，对于各分支机构的相关工作并未开展。直到2012年7月中国人民银行正式了《金融行业信息系统信息安全等级保护实施指引》、《金融行业信息系统信息安全等级保护测评指南》、《金融行业信息安全等级保护测评服务安全指引》三个文件，对金融行业信息系统信息安全等级保护建设提出了具体要求，为等级保护实施、测评、整改工作提供了强大的政策支持，并明确了区域性金融机构信息系统安全等级保护工作的具体要求。金融行业等级保护标准依据国家要求和行业特点，细化、补充了大量内容，保留国家等级保护基本要求二级要求、三级要求、四级要求项590项，补充细化要求项193项，新增金融行业特色要求项269项。

2.2 金融机构对信息安全等级保护的认识不足

由于对信息安全的理解不够，在对于信息安全的资金投入，往往用于购买硬件安全设备，认为有了这些看得见摸得着的安全产品就可以确保安全了。但是根据人民银行颁布的《金融行业信息系统信息安全等级保护实施指引》中以国家等级保护要求为原则，以金融行业特点为基础，提出了构建“两项要求”和“两个体系”的金融行业信息安全保障总体框架。

该框架通过技术要求与管理要求的交融以及技术体系与管理体系的互补，从安全保障要求和安全保障方法两方面体现技术与管理并重的基本思想。也就是说必须是管理制度体系和技术防护体系互相融合，仅仅靠技术防护体系是无法构建完善的安全保障体系。同时，管理体系是遵照“建立、实施、执行、监控、审计、保持、改进”的过程进行类似生命周期的思路形成生命环的管理方法，而公司在这方面的认知还有待提高。与此同时金融行业从业人员以为财务及管理人员为主，而具有计算机、信息安全等级保护知识的人非常少，加强信息化人才与金融人才相结合的复合型人才培养，是推进金融行业信息化建设和信息安全等级保护工作的重点。

2.3 缺少信息安全等级保护相关知识经验

目前信息安全等级保护工作采用自主定级的方法，缺乏精确参考的标准和考量值。如果负责信息安全工作的人员对等级保护的概念不明晰，对等级保护的适用范围把握不准确，就会导致对信息系统的定级备案不合适，同时对于信息系统的升级或者调整导致需要重新定级备案的，如未能及时将信息上报备案，也将影响信息安全等级保护后续工作的顺利开展。如果信息安全定级过高，大于本单位要需要的等级，也将导致本单位资源浪费，降低系统运行效率，增加日常管理负担；如定级过低，将导致系统得不到必要安全保护，也容易引发系统安全问题。

3 开展信息安全等级保护的必要性

开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障。实行信息安全等级保护是在借鉴国外先进经验和结合我国国情的基础上，解决我国信息网络安全的必然选择。

3.1 落实国家政策标准和要求

对信息系统实行等级保护是国家法定制度和基本国策，是开展信息安全工作的有效办法，是信息安全工作的发展方向。我国政府对基础架构的安全一直非常重视，在“十二五规划”中首次将“加强网络与信息安全保障”作为重要章节突出，这充分显示了国家对信息安全的重视程度。国家态度明确了，信息安全等级保护制度作为国家信息安全保障领域的一项基本制度，必须在各单位得到有效贯彻落实。

3.2 有效降低信息化建设成本

等级保护测评的核心思想就是按照信息系统的重要程度及实际安全需求，合理投入，分级进行保护，将有限的资源最大化的投入到重要信息系统的建设中，更加有效的保障重要信息系统安全可靠运行，促进信息化建设健康发展。按照定级标准对信息系统进行符合性测评，根据测评结果，有针对性的在建设整改时，对造成信息系统高风险的漏洞和问题进行建设整改，能有效的控制信息化建设成本，既促进了信息化建设的健康发展，也保证了系统的可靠运行。

3.3 切实提高信息安全整体水平

信息系统安全等级保护作为对信息安全系统分级分类保护的一项国家标准，对于完善信息安全标准体系，提高信息安全的整体水平，以及增强信息系统安全保护的整体性、针对性和时效性都具有非常重要的意义。在信息化建设过程中同步建设信息安全设施，可以有效保障信息安全与信息化建设相协调；通过加强对重要信息系统的安全保护和管理监督，可以明确信息系统的安全责任，强化管理职能，有效落实各项安全建设和安全管理措施，最终切实提高信息安全整体防护能力。

作者简介

朱勇（1978-），男，陕西省西安市人。现为中国电力财务有限公司西北分公司信息化工作部经理助理。

第2篇：网络信息安全等级保护范文

关键词：等级保护 信息系统 安全策略

中图分类号：TP391.41 文献标识码：A 文章编号：1007-9416（2015）12-0000-00

随着我国信息化建设的高速发展，信息技术水平的日益提高，众多单位、组织都建立了自己的信息系统，以充分利用各类网络信息资源。与此同时，各种非法入侵和盗窃、计算机病毒、拒绝服务攻击、机密数据被篡改和窃取、网络瘫痪等安全问题也时刻威胁着我国网络的安全。因此，维护网络信息安全的任务异常艰巨、繁重。信息安全等级保护制度的建立，可以有效地解决我国网络信息安全面临的威胁及存在的问题。

随着信息安全等级保护工作的深入开展，不同等级信息系统之间的互联、互通、互操作是当前研究的热点和难点，其中，如何制定有效的安全策略，确保信息在多级互联信息系统间安全流通，是亟待解决的关键问题。

1信息安全等级保护

信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

等级保护环境下的信息系统一般由安全计算环境、安全区域边界、安全通信网络和安全管理中心构成。其中，安全计算环境是对信息系统的信息进行存储、处理的相关部件；安全区域边界是对信息系统的各个区域之间实现连接并实施访问控制的相关部件；安全通信网络是保障信息在系统内安全传输及安全策略实施的相关部件；安全管理中心是对信息系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台。

2多级互联信息系统

我国信息安全等级保护标准将信息系统按照安全保护能力划分为五个安全等级，一些重要、大型的信息系统中可能存在多个不同等级的子系统，不同等级信息系统之间要实现可信互联，由于信任体系和运行模式不尽相同，互联互通会导致安全风险的进一步增加，尤其是低等级信息系统可能通过恶意授权给高等级信息系统带来权限失控风险。

因此，需要建立一个总体的安全管理中心，将不同安全等级的子系统连接在一起，通过协同合作，实现特定的功能服务，这就是多级互联信息系统。在多级互联信息系统中，各个子系统和互联系统本身，都需要实施信息分级分类保护，从而确保系统间的交互协作及信息流动，保障系统的安全。

本文将在信息安全等级保护的要求下，研究多级互联信息系统安全策略的制定，从而较好地解决多级互联系统的安全风险问题，确保系统安全。

3多级互联信息系统安全策略的制定

安全策略是为规范网络安全防护工作，保证网络正常使用、发挥网络效能所必须强制执行的一系列要求、规范或操作。其主要作用是针对被保护对象面临的主要威胁，围绕安全防护目标，提出网络安全防护具体要求，指导安全管理行动。确定并实施网络安全策略是对网络进行有效安全管理的基础和依据，是网络信息系统安全保障的核心和起点，是实现网络安全管理和技术措施的前提。因此，为了确保多级互联信息系统安全有效地运行，制定明确和合理的安全策略就成为了关键。

3.1指导思想

根据不同应用类别和安全等级防护目标的需求，给出安全防护策略的框架，研究制定各类网络相应的安全防护策略，并保证制定的安全策略具有较高的规范性、完备性和有效性。安全策略的制定与实施应当遵循“局部策略符合全局策略、下级策略符合上级策略”的原则。同时，随着信息技术的发展以及系统的升级、调整，安全策略也应该随之进行重新评估和制定，随时保持策略与安全目标的一致性，确保信息系统安全有效地运行。

3.2基本原则

基于以上思想，制定多级互联信息系统安全策略时应遵循以下原则：

（1）统一领导，分级负责。针对系统、数据、用户等保护对象，按照同类、同级集中的原则进行等级保护级别的划分，确定安全保护等级对应的适用范围及具体组织实施单位。（2）广域监察，局域管控。依托总体安全管理中心，建立多级互联系统广域安全监察机制，监督、检查各安全域网络节点和用户网络安全策略的配置执行情况，监测重要骨干网络流量，预警网络攻击和入侵行为，形成网络安全实时态势；在各安全域网络节点和用户网络建立局域安全管控机制，依托各级安全管理中心，对网络节点和用户网络的安全设备、主机系统的安全策略和安全事件进行集中统一管理，实现网内各类资源的可控可管，提高系统整体防护能力和维护管理效率。（3）分区分域，适度防护。根据等级保护的思想，在划分的安全域中，一方面要遵循等级保护要求，加强主动防范措施；另一方面要针对各安全域业务特点的保护强度，在不影响系统整体安全性的前提下，进一步对各域的安全策略进行设置，并确保这些策略的相对性、独立性及关联性。（4）区域自治，联防联动：各安全域根据总体安全管理中心下发的安全策略，结合自身特定的安全需求，实施本区域内的安全防护和管理。依托总体安全管理中心，建立广域网上下一体的预警响应和联防联动机制；依托各级安全管理中心，建立局域网内各安全设备之间的检测响应和联防联动机制；并在各级安全管理中心、重要骨干节点、用户网络之间建立安全事件响应和应急协调机制。

第3篇：网络信息安全等级保护范文

关键词：信息安全；等级保护；定级制度

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2017）03-0045-02

信息安全等级保护制度的建设，是随着经济建设和信息化建设的全面展开而进行的。对国家重要的信息系统等进行定级保护，可以提高信息系统的工作效率，在大数据、云计算的技术支持下，实现全系统的信息安全。为此国家多部门早已出台多项关于信息安全的制度和规定，明确说明国家信息安全保障工作的基本制度之一就是信息安全等级保护制度。其工作流程包含定级、对级别的建设和整改、测评建设整改工作、向主管公安部门备案；监管信息系统。其中首要阶段的定级工作，是作为等级保护的起始，为后面四个阶段的工作奠定基础。

1 信息系统安全等级保护政策概述

我国在信息技术的浪潮退推动下，各行各业都在面临信息化、智能化的转型升级带来的冲击和挑战。需要建设的信息化项目不断增多，很多领域的业务都要采用网络信息系统作为载体，因此，信息系统的数量和结构都在增加和复杂化，对信息进行等级保护就被提上了日程。

2008年，我国首部信息安全等级保护管理办法由公安部下发，信息系统有了等级的划分，并且对信息系统的保护也有了明确的管理规定。2008年，信息系统安全等级保护定级上升到了国家级别的标准，拥有了定级指南，对于信息系统安全等级定级工作来说，意味着拥有了定级的方法和准则。2009年，关于整改信息安全等级保护工作的指导意见证实下发，要求对信息安全等级保护的整改要按照测评工作的标准展开。这是第一次对信息安全等级保护测评体系的建设进行的规定。

2 信息系统的安全定级

在信息安全技术等级定级指南中，对于信息技术的重要性以及遭到破坏的危害性进行了详细的阐述，从公共安全、社会利益、公民权益等几个方面，将信息系统的安全等级划分为五个等级：

第一级为当信息安全被侵犯，国家利益、公共安全等合法权益就会被损坏，但是国家安全、社会利益和公共秩序不会受到损害。

第二级为当信息安全被侵犯，公民的合法权益就会被侵害，但是国家安全不会受到破坏。

第三级为当信息系统受到侵犯后，社会秩序和公共利益被损坏，进而产生对国家安全的损害。

第四级是信息系统受到破坏，社会秩序、公共利益、国家安全都会受到特别严重的损伤。

第五级是信息系统受到侵犯，国家安全被特别严重地损坏。

3 当前信息系统安全定级中存在的问题

1）定级对象不明确是信息系统安全定级中的常见问题。当信息系统在相同的网络环境中被按照独立的系统进行定级时，多个定级对象会重复出现环境和设备。以机房的EPR系统和OA系统以及配套为例，系统中如果使用到网络资源，就有可能产生相同的定级对象同时出现不同的网络设备的情况。

2）根据安全信息国家定级指南中对安全保护等级的定级要求。当受侵害客体为国家、社会、公民安全以及组织法人的合法权益时，客体的侵害程度可以分为一般、严重、特别严重。这种分类是比较抽象的。需要进行具体的描述，但是从目前的发函情况看，对于危害程度的描述还是过于倾向于主观判断，因此对客观情况的定级准确率不足，依据不足。

3）现有的定级报告皆是从模板中引用格式，参考定价指南，提供定级流程，引导结论的验证。从下表我们可以大概地看到定级要素和安全保护等级的关系：

表1

[受侵害的客体＼&一般损害＼&严重损害＼&特别严重的损害＼&公民、法人和组织的合法权益＼&第一级＼&第二级＼&第二级＼&社会利益、公共秩序＼&第二级＼&第三级＼&第四级＼&国家安全＼&第三级＼&第四级＼&第五级＼&]

对于基础数据的描述虽然也能显示出关于信息安全系统定级的重要意义，但是从系统的客观问题以及随时可能出现威胁和侵害的现象角度观察，很多关于信息安全等级定级的新方法还不能保证定级结果的准确性，很多定级报告不完善，缺乏依据，主观判断成分多，无法将信息安全系统的真实情况反映给决策层，对于工作的开展没有好处。

4 等级保护流程

等级保护的工作是循环的、动态发展的。将等级保护工作视为循环性强的工作对于工作流程加以分析，最终得到的是等级保护工作的流程图：

定级阶段：系统划分、等级确定；填写表格；

初步备案阶段：上报材料、专家评审，不符合安全等级规定的重新定级，最终进入初备案。

测评阶段：选定机构、测评、出具报告；

整改阶段：制订方案、专家论证、提出整改措施并实施；

复评阶段：对定级方案进行复评，得到最终的备案；

根据等级保护制度接受监管的阶段。

需要说明的是，等级保护工作的初始阶段：定级工作可以采用自行定级的方法，也可以委托第三方机构进行监管和测评。定级工作是所有阶段工作的基础。初备案阶段有一个重新定级的环节，主要是如果出现不公平、不公正或者定级不合格的情况，要对信息系统的等级评定工作进行复评选，并达到等级保护的要求，才能进行最终的备案。

5 信息安全定级方法

1）定流程是参照定级指南进行的，包括了业务信息和系统服务等内容。首先是确定定级对象，然后确定业务信息安全受到破坏和侵害的客体，以及系统服务安全受到破坏和侵害的客体。两方面都要进行客体的侵害程度的评定，前者得出业务信息安全等级，后者得出系统服务安全等级，最后形成了定级对象的安全保护等级。

定级对象的选取根据定级指南的规定，具有一些特征，首先是拥有安全责任单位，第二是信息系统要素，第三是承载单一和独立的业务。在定级对象的业务应用上应该拥有共享的机房基础环境和网络设备等，这样就不会产生重复出现的定级对象。而且将物理环境、网络资源等纳入到信息系统中，形成具有单独优先定级权限的定级对象[1]。

对于受侵害的客体的损害程度的评分，要对危害后果等进行权重分析。参照的依据包括国家安全、社会利益、公众秩序、公民法人和组织的权益。客体的侵害程度在定x和解释上是简单而抽象的，要对危害程度进行具体的描述，就要规避主观判断、依据不足的问题。对客体的侵害程度进行确定，是需要参考很多元素的，要得到一个准确的定量，可以采用评分表的方法对危害后果予以打分。

表2

[危害后果＼&得分＼&权重＼&影响工作职能形式＼&＼&＼&降低业务能力＼&＼&＼&引起纠纷需要法律介入＼&＼&＼&财产损失＼&＼&＼&社会不良影响＼&＼&＼&损害到组织和个人＼&＼&＼&其他影响＼&＼&＼&]

根据对表格中的打分得到的数值和权重的分析，可以得出定级对象被破坏后可能产生的危害以及后果。不存在危害的数值为0，有危害程度较轻的数值为1，有危害程度较高的为2，后果严重的为3。不同的信息系统在服务内容、范围、对象上都不同，因此不同的得分和权重最能反映信息安全系统的实际情况。

确定安全保护等级是在所有流程结束后，得到的结论。这个结论包括客体对等级对象的侵害造成的危害，信息安全的保密性、可用性的情况，系统服务安全的及时性、有效性的问题等等。当业务信息安全和服务系统的客体侵害程度不同时，就要在定级过程中处理不同的危害后果。

2）定级表格的细化是为定级报告模板提供基础数据，并保证信息安全系统稳定可靠的重要保障。当系统内部问题导致其难以支撑定级结果后，采用系统定级的方法，就能够将信息系统的情况记载道定级表中。定级表包括了定级系统的用户情况以及定级系统的业务职能等情况，例如在行业和部门内的地位和作用。定级系统需要有备份系统作为应急措施，保证定级系统在关联系统受到破坏后不会受到数据传递等的影响。

6 案例分析

按照等级保护工作测评和定级的规定，确定信息系统的等级。某政府网站信息系统包括的板块为：政务公开、地方行政、法制建设、管理措施、领导讲话、网上办事大厅、新闻动态、政府公告、举报建议等，还专门开辟了一个下载板块，方便下载有用的电子表单加以填报。

在这个政府网站的信息系统中，制订了符合信息安全等级保护定级指南的流程和标准，通过分析，判断，研究等流程确定定级的系统。该网站的拥有者设立的专门的政府网站平台，由指定部门确定相关资料的搜集、采集、整理的过程方案。在这套流程中，信息生产者为企业，产生的资料是信息，管理信息的手段是利用科学技术，对外承担政务信息，拥有独立的业务，如办事流程、新闻会等。将各类任务的环境加以构建，就形成了政府网站中具有基本特征和要素的定级对象。对定级客体的邀请，要采取分析的方法，确保信息系统内的保密性和可用性。实际操作中只要能够保证信息的完整性和通用性，又增强了制作、、管理的职能建设，激发出参与者的完整性和保密性。提高可用概率。而系统服务安全有力地支撑着系统安全运行，并为信息安全系统提供有效的服务，达到地方网站发挥在定级中的作用，帮助提供服务，满足消费者的需求。采用了这种方法，网站信息系统的业务信息安全和系统服务安全都将是今后在企业运用中需要特别加以注意的。

例如：对于受侵害的客体，必须说明客体的情况，是否受到法律保护，等级保护中牵扯到的社会关系和合法权益。尤其是针对信息系统的客体的先后顺序进行判断，结合政府平台，实施政务信息公开。如果做不到政务信息公开，政府就要设置管理界限，发挥人的主观能动性，在知情权、业务能力、投诉与批评等阶段加大业务办理力度，最大可能地维护法人和代表组织的知情权，排弃受到破坏的客体，法人由于难以掺入个人组织中，直接投诉合法的法律法规，由于业务施工的进度过快，环节纷繁众多[2]。再由于受损教育可以对客体的积极主动性。方便法人和组织知情、办理业务、举报、投诉等。

对于客体造成的侵害进行后果的分析，无论是大型门户网站，还是在金融政策引领下，亲自感受到客体检查结果的影响，如信息安全管理等，都要注重网络平台的临时性。

7 结束语

要做好信息系统的安全保护等级的确定，就要采取正确的 （下转第51页）

（上接第46页）

策略以及方法，对信息安全管控产生依赖，保护过程中采取正确的策略和方法，等等。信息系统、安全等级保护不足的问题，都要求管理觉决策层加熬煮。在实际运行中，还要以定级指南为指导，综合信息系统的业务特征，切实推动信息技术等级保护工作的大力发展。

参考文献：

第4篇：网络信息安全等级保护范文

1.1国家卫生部文件

文件明确规定了信息安全等级保护工作的工作目标、工作原则、工作机制、工作任务、工作要求，工作任务别强调了“三级甲等医院的核心业务信息系统”应进行定级备案。

1.2浙江省卫生厅文件

为加强医疗卫生行业信息安全管理，提高信息安全意识，以信息安全等级保护标准促进全行业的信息安全工作，提高全省卫生系统信息安全保护与信息安全技术水平，强化信息安全的重要性。2011年6月7日，浙江省卫生厅和浙江省公安厅联合下发《关于做好全省医疗卫生行业重要信息系统信息安全等级保护工作的通知》（浙卫发〔2011〕131号），并一同下发了《浙江省医疗卫生行业信息安全等级保护工作实施方案》和《浙江省卫生行业信息系统安全等级保护定级工作指导意见》。为进一步指导我省卫生行业单位开展信息安全等级保持工作，浙江省卫生信息中心于2012年4月6日下发了《关于印发<浙江省卫生行业信息安全等级保护工作指导意见细则>的函》。上述文件详细规定了工作目标、工作流程和工作进度，并明确了医疗卫生单位重要信息系统的划分和定级，具有很强的指导性和操作性。

2医院信息安全等级保护

依据上述行业文件要求，全省医院重要信息系统信息安全等级保护工作由省卫生厅和各级卫生局、公安局分级负责，按照系统定级、系统备案、等级测评、安全整改[1]四个工作步骤实施。

2.1系统定级

2.1.1确定对象

我省医院信息化发展较早，各类系统比较完善，但数量繁多。将出现多达几十甚至上百个定级对象的状况，这与要求重点保护、控制建设成本、优化资源配置[2]的原则相违背，不利于医院重要信息系统开展信息安全等级保护工作。依据《计算机信息系统安全保护等级划分准则（GB17859-1999）》等标准，结合我省医院信息化现状及发展需要，经卫生信息化专家和信息安全专家多次论证，本着突出重点、按类归并、相对独立、节约费用的原则，从系统管理、业务使用者、系统服务对象和运行环境等多方面综合考虑，把医院信息系统划分为以下几类，如表1所示。

2.1.2等级评定

医院重要信息系统的信息安全和系统服务应用被破坏时，产生的危害主要涉及公民的个人隐私、就医权利及合法权益，对社会秩序和公共利益的损害属于“损害”或“严重损害”程度。参考《信息安全等级保护管理办法》及省卫生信息中心指导意见细则要求[3]，即属于“第二级”或“第三级”范畴。因此医院信息系统对信息安全防护和服务能力保护的要求较高，结合业务服务及系统应用范畴，实行保护重点、以点带面原则，参考定级如表2所示。

2.2系统定级备案

省卫生厅及省级医疗卫生单位信息系统、全省统一联网或跨市联网运行的信息系统由省公安厅受理备案；各市卫生局及其下属单位、辖区内医院信息系统由属地公安机关受理备案。各市卫生局应将辖区内医疗卫生单位备案汇总情况和《信息系统安全等级保护备案表》等材料以电子文件形式向省卫生厅报备。定级备案流程示意图如图1所示。

2.3等级保护测评

医院重要信息系统完成定级备案后，应依据《浙江省信息安全等级保护工作协调小组关于公布信息安全等级报测评机构的通知》（浙等保〔2010〕9号）选择浙江省信息安全等级保护工作协调小组办公室推荐的等级测评机构，启动等级测评工作，结合所属等级要求对系统进行逐项测评。通过对医院系统进行查验、访谈、现场测试等方式收集相关信息，详细了解信息安全保护现状，分析所收集的资料和数据，查找发现医院重要信息系统漏洞和安全隐患，针对测评报告结果进行分析反馈、沟通协商，明确等级保护整改工作目标、整改流程及注意事项，共同制定等级保护整改建议方案用于指导后续整改工作。对第二级以上的信息系统要定期开展等级测评。信息系统测评后，医院应及时将测评机构出具的《信息系统等级测评报告》向所属地公安机关报备。

2.4等级保护规划建设整改

根据《信息系统安全等级保护实施指南》及省实施方案，结合医院信息系统的安全需求分析，判断安全保护现状，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划[4]等，用以指导信息系统安全建设工程实施。引进第三方安全技术服务商，协助完成系统安全规划、建设及整改工作。建设，整改实施过程中按照详细设计方案，设置安全产品采购、安全控制开发与集成、机构和人员配置、安全管理制度建设、人员安全技能培训等环节[5]，将规划设计阶段的安全方针和策略，切实落实到医院系统的信息安全规划、建设、评估、运行和维护等各个环节。其核心是根据系统的实际信息安全需求、业务特点及应用重点，并结合医院自身信息安全建设的实际需求，建设一套全面保护、重点突出、持续运行的安全保障体系，确保医院系统的信息安全。等级保护工程及管理体系建设整改流程如图2所示。

3医院重要信息系统安全等级保护成效

各级医院按照国家有关信息安全等级保护政策、标准，结合卫生行业政策和要求，全面落实信息系统信息安全等级保护工作，保障信息系统安全可靠运行，提高安全管理运维水平。

3.1明确系统安全保护目标

通过推行各级医院信息安全等级保护工作，梳理卫生信息系统资产、网络边界、网络安全设备部署及运行状况。根据系统风险评估、危害的覆盖范围及影响性判定安全等级，从而根据标准全面、系统、深入地掌握系统潜在的风险隐患，安全漏洞。明确需要重点保护的应用系统及信息资产，提出行之有效的保护措施，有针对性地提高保护等级，实现重点目标重点保护。

3.2建立安全管理保障体系

安全管理保障体系是开展信息安全工作的保障，指导落实各项安全指标要求。信息安全等级保护基本要求中明确要求加强主管及安全责任部门领导，配备信息安全专员督导安全检查、维护、培训工作。建立健全信息安全管理保障制度体系，包括机房安全管理制度、人员安全管理制度、运维安全管理规范。建立行之有效的安全应急响应预案及常规化的信息安全培训及预防演练，形成长期的安全风险管控机制。

3.3加强安全意识和管理能力

通过落实等级保护制度的各项要求，认识安全意识在信息安全工作中的重要性和必要性，调动安全保护的自觉主动性，加大安全保护的资金投入力度，优化安全管理资源及策略，主动提升安全保护能力。同时重视常规化的信息安全管理教育和培训，强化安全管理员和责任人的安全意识，提高风险分析和安全性评估等能力，信息系统安全整体管理水平将得到提高。

3.4强化安全保护技术实施

医院开展信息安全等级保护工作可加深分级、分域的纵深防御理念，进一步结合终端安全、身份认证、网络安全、容灾技术，建立统一的安全监控平台和安全运行中心。根据测评报告及建设整改建议，增强对应用系统的授权访问，终端计算机的安全控制，网络流量的异常监控，业务与数据安全保障，恶意软件和攻击行为的防御、发现及阻击等功能，深层次提高抵御外部和内部信息安全威胁的能力。

3.5优化第三方技术服务

与安全技术服务机构建立长期稳定的合作关系，引进并优化第三方技术资源，搭建安全保护技术的学习桥梁与交流平台。在安全技术与管理方面加固信息安全防护措施，完善信息安全管理制度，同时通过安全技术管理培训强化医院工作人员信息安全保护意识，提高信息安全队伍的技术与管理水平，共同为医院系统信息化建设的快速发展保驾护航。总之，医院开展信息安全等级保护工作将有效提高医院信息化建设的整体水平，有利于医院信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；有利于优化信息安全资源的配置，重点保障基础信息网络、个人隐私、医疗资源和社会公共卫生等方面的重要信息系统的安全[6]。

4结束语

第5篇：网络信息安全等级保护范文

两个发展阶段

卫生监督中心信息安全等级保护工作大致经历了两个发展阶段。

启动与探索阶段（2007年～2008年）：2007年12月，原卫生部组织专家组对部直属机关报送的信息安全等级保护定级情况进行了评审。卫生监督中心的卫生监督信息报告系统和卫生行政许可受理评审系统确定为第三级保护，卫生监督中心网站确定为第二级保护。卫生监督中心在了解了信息安全等级保护制度的同时，启动了信息安全等级保护相关工作。为摸清信息安全隐患，2008年卫生监督中心聘请了具有信息安全相关资质的信息安全咨询公司对等保涉及的信息系统进行了信息安全测评，并制定了相应的整改方案。由于2008年信息安全整改资金等原因，未开展相关整改工作。

发展阶段（2009年至今）：本着统筹考虑、分布实施的原则，在实施国家级卫生监督信息系统建设项目之初就参照等级保护有关要求规划和设计业务应用系统及其运行环境，同时积极开展等级保护备案等工作。在国家级项目二期中，专项对信息安全进行加固。并每年邀请公安部信息安全等级保护评估中心，对卫生监督中心的第三级保护系统进行了安全等级测评。

截至目前，卫生监督中心共有3个信息安全等级保护第三级的信息系统，4个信息安全等级保护第二级的信息系统。

信息安全技术体系

卫生监督信息系统信息安全技术体系建设，严格遵循等级保护第三级的技术要求进行详细设计、技术选择、产品选型、产品部署。技术体系从物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复等5个方面进行设计。

1.物理安全

卫生监督中心现有南北两个机房，机房及相关配套设施面积总计160平方米。北机房部署等级保护第三级信息系统，南机房部署等级保护第二级信息系统，实现了第三级系统与第二级系统物理环境隔离。根据等级保护有关要求，机房均采用了精密空调、门禁系统、环境监测系统等设备设施及技术手段，有效地保证了机房的物理安全。

2.网络安全

主干网络链路均采用双链路连接，关键网络、安全设备均采用双机冗余方式，避免单点故障。采用防火墙、入侵防护系统、DDoS系统进行边界防护，各网络区域之间采用防火墙进行区域隔离，在对外服务区部署了入侵检测系统，在交换服务区部署了网络审计系统。在核心数据区部署了数据库审计系统，对网络行为进行监控和记录。在安全管理区部署安全管理系统，实现设备日志的统一收集及分析。

3.主机安全

所有服务器和管理终端配置了密码安全策略；禁止用户远程管理，管理用户必须进入机房通过KVM进行本地管理；所有服务器和管理终端进行了补丁更新，删除了多余账户，关闭了不必要的端口和服务；所有服务器和管理终端开启了安全审计功能；通过对数据库的安全配置，实现管理用户和特权用户的分离，并实现最小授权要求。

4.应用安全

卫生监督中心7个应用系统均完成了定级备案，并按照等级保护要求开展了测评工作。应用服务器采取了集群工作部署，保证了系统的高可用性，同时建立了安全审计功能模块，记录登录日志、业务操作日志、系统操作日志3种日志，并实现查询和审计统计功能，配置了独立的审计账户。门户网站也采用了网页防篡改、DDoS等系统。信息安全等级保护第三级系统管理人员及高权限用户均使用CA证书登录相应系统。

5.数据安全及备份恢复

卫生监督信息报告系统数据库服务器使用了双机热备，应用服务器采用多机负载均衡，每天本地备份，保证了业务系统的安全、稳定和可靠运行。其余等级保护第三级信息系统使用了双机备份，无论是软件还是硬件问题，都可以及时准确地进行恢复并正常提供服务。同时，卫生监督中心在云南建立了异地数据备份中心，每天进行增量备份，每周对数据进行一次全备份。备份数据在一定时间内进行恢复测试，保证备份的有效性。

信息安全管理体系

在开展信息安全等级保护工作中，我们深刻体会到，信息安全工作“三分靠技术，七分靠管理”。为保证信息安全等级保护工作顺利进行，参考ISO/IEC 27001《信息安全管理体系要求》，卫生监督中心建立了符合实际工作情况的信息安全管理制度体系，明确了“统一领导，技管并重；预防为主，责权分明；重点防护，适度安全”的安全方针，涵盖等级保护管理要求中安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五大方面的要求。

卫生监督中心建立了较为完善的信息安全责任制，设立了信息安全领导小组，领导小组组长由卫生监督中心主任担任，成员由卫生监督中心有关处室负责人组成，信息处作为信息安全工作办公室负责卫生监督中心日常信息安全管理工作。信息处设立了信息安全管理岗位，分别为网络管理员、系统管理员、应用管理员、安全管理员、安全审计员、机房管理员，并建立了信息安全岗位责任制度。

此外，卫生监督中心依据上年度运维中存在的信息安全隐患每年对其进行修订，确保信息安全工作落到实处。

信息安全运维体系

在信息安全工作中，建立信息安全管理制度不是目的，要以信息安全等级保护有关要求指导信息安全运维实践。

卫生监督中心结合实际情况，编制了《国家级卫生监督信息系统运行维护工作规范》，从运行维护流程、资源管理和环境管理三个方面进行了规范，将安全运维理念落到实处。

运维人员在实际工作中，严格按照工作规范要求。利用卫生监督中心OA系统，建立了统一的服务台，实现了事件、问题的全流程闭环管理（即：发现问题、登记问题、解决问题、解决反馈、解决确认）。年均处理信息安全事件近百件，将信息安全问题消灭在萌芽阶段，有效地保证了信息系统稳定运行，保证了卫生监督中心信息安全目标和方针的实现。

信息安全等级保护实践经验

1.规范管理，细化流程

卫生监督中心从安全管理制度、安全管理组织机构及人员、安全建设管理和安全运维管理等方面建立了较为完善的安全管理体系。通过管理体系的建设，为国家级卫生监督信息系统运维管理工作中安全管理提供了重要指导。

国家级卫生监督信息系统运维工作从安全管理体系的建设中吸取了很多有益经验，不仅合理调配了运维管理人员，落实了运维管理组织机构和岗位职责，而且细化了运维管理流程，形成了“二级三线”的运维处理机制。

2.循序渐进，持续完善

第6篇：网络信息安全等级保护范文

关键词： 云计算； 云安全； 信息安全； 等级保护测评； 局限性

中图分类号：TP309 文献标志码：A 文章编号：1006-8228（2016）11-35-03

Discussion on the testing and evaluating of cloud computing security level protection

Liu Xiaoli， Shen Xiaohui

（Zhejiang Provincial Testing Institute of Electronic & Information Products， Hangzhou， Zhejiang 310007， China）

Abstract： Cloud computing has recently attracted extensive attention since Internet has accessed Web 2.0 with more freedom and flexibility. However， the cloud security has become the biggest challenge for cloud promotion. Combined with the problems of the actual testing and evaluation in cloud computing security， the limitations of the application of the current information security level protection evaluation standard to the cloud environment are analyzed， and the contents that cloud security should focus on are proposed.

Key words： cloud computing； cloud security； information security； testing and evaluation of security level protection； limitations

0 引言

近年来，随着网络进入更加自由和灵活的Web2.0时代，云计算的概念风起云涌。美国国家标准与技术研究院（NIST）定义云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络，服务器，存储，应用软件，服务），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。云计算因其节约成本、维护方便、配置灵活已经成为各国政府优先推进发展的一项服务。美、英、澳大利亚等国家纷纷出台了相关发展政策，有计划地促进政府部门信息系统向云计算平台迁移。但是也应该看到，政府部门采用云计算服务也给其敏感数据和重要业务的安全带来了挑战。美国作为云计算服务应用的倡导者，一方面推出“云优先战略”，要求大量联邦政府信息系统迁移到“云端”，另一方面为确保安全，要求为联邦政府提供的云计算服务必须通过安全审查[1]。我国也先后出台了一系列云计算服务安全的国家标准，如GB/T 31167-2014《信息安全技术云计算服务安全指南》、GB/T 31168-2014 《信息安全技术 云计算服务安全能力要求》等。本文关注的是云计算安全，包括云计算应用系统安全、云计算应用服务安全、云计算用户信息安全等[2]。

当前，等级保护测评的依据主要有GB/T 22239-

2008《信息安全技术 信息系统安全等级保护基本要求》、GB/T 28448-2012《信息安全技术 信息系统安全等级保护测评要求》和GB/T 28449-2012《信息安全技术 信息系统安全等级保护测评过程指南》等。然而，这些标准应用于传统计算模式下的信息系统安全测评具有普适性，对于采用云计算服务模式下的信息系统却有一定的局限性。

本文结合实际云计算服务安全测评中的问题，首先讨论现行信息安全等级保护测评标准应用到云环境的一些局限性，其次对于云计算安全特别需要关注的测评项进行分析。

1 云计算安全

正如一件新鲜事物在带给我们好处的同时，也会带来问题一样，云计算的推广也遇到了诸多困难，其中安全问题已成为阻碍云计算推广的最大障碍。

云计算安全面临着七大风险，主要包括客户对数据和业务系统的控制能力减弱、客户与云服务商之间的责任难以界定、可能产生司法管辖权问题、数据所有权保障面临风险、数据保护更加困难、数据残留和容易产生对云服务商的过度依赖等。文献[3]提出了云计算安全测评框架，与传统信息系统安全测评相比，云计算安全测评应重点关注虚拟化安全、数据安全和应用安全等层面。

虚拟化作为云计算最重要的技术，其安全性直接关系到云环境的安全。虚拟化安全涉及虚拟化软件安全和虚拟化服务器安全，其中虚拟化服务器安全包括虚拟化服务器隔离、虚拟化服务器监控、虚拟化服务器迁移等。云计算的虚拟化安全问题主要集中在VM Hopping（一台虚拟机可能监控另一台虚拟机甚至会接入到宿主机）、VM Escape（VM Escape攻击获得Hypervisor的访问权限，从而对其他虚拟机进行攻击）/远程管理缺陷（Hypervisor通常由管理平台来为管理员管理虚拟机，而这些控制台可能会引起一些新的缺陷）、迁移攻击（可以将虚拟机从一台主机移动到另一台，也可以通过网络或USB复制虚拟机）等[4]。

数据实际存储位置往往不受客户控制，且数据存放在云平台上，数据的所有权难以界定，多租户共享计算资源，可能导致客户数据被授权访问、篡改等。另外当客户退出云服务时，客户数据是否被完全删除等是云计算模式下数据安全面临的主要问题。

在云计算中对于应用安全，特别需要注意的是Web应用的安全。云计算应用安全主要包括云用户身份管理、云访问控制、云安全审计、云安全加密、抗抵赖、软件代码安全等[3]。

2 云计算下等级保护测评的局限性

信息系统安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法。开展信息系统安全等级保护工作不仅是加强国家信息安全保障工作的重要内容，也是一项事关国家安全、社会稳定的政治任务。信息系统安全等级保护测评工作是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对未涉及国家秘密的信息系统安全等级保护状况进行检测评估的活动。与之对应的是涉及国家秘密的信息系统安全测评，就是通常所说的分级保护测评。

信息系统安全等级保护的基本要求包括技术要求和管理要求两大类。其中技术要求包括物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复等五个层面；管理要求包括安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等五个层面。

传统的安全已不足以保护现代云计算工作负载。换言之，将现行的等级保护相关标准生搬硬套到云计算模式存在局限性，具体体现在以下方面。

⑴ 物理安全

传统模式的信息系统数据中心或者在本单位，或者托管在第三方机构，用户可以掌握自身数据和副本存储在设备和数据中心的具置。然而，由于云服务商的数据中心可能分布在不同的地区，甚至不同的国家，GB/T 31167-2014明确了存储、处理客户数据的数据中心和云计算基础设施不得设在境外。

⑵ 网络安全

网络安全主要包括结构安全、边界防护、访问控制、入侵防范、恶意代码防范、安全审计、网络设备防护等测评项。网络边界是网络信息安全的第一道防线，因此在网络边界采取安全防护措施就显得尤为重要。但在云计算模式下，多个系统同时运行在同一个物理机上，突破了传统的网络边界。由此可见，网络边界的界定、安全域的划分成为了云计算模式下网络边界安全面临的新挑战[5]。

⑶ 主机安全

主机安全主要包括身份鉴别、访问控制、安全审计等测评项。但在云计算模式下，虚拟化技术能够实现在一台物理机上运行多台虚拟机。尽管虚拟机之间具有良好的隔离性，但在云计算平台，尤其是私有云和社区云中，虚拟机之间通常需要进行交互和通信，正是这种交互为攻击和恶意软件的传播提供了可能。因此，虚拟机之间的安全隔离、用户权限划分、数据残留、跨虚拟机的非授权访问是云计算环境下虚拟机安全需要重点关注的内容。

⑷ 应用安全

应用系统作为承载数据的主要载体，其安全性直接关系到信息系统的整体安全，因此对整个系统的安全保密性至关重要。然而，当前绝大多数单位的应用系统在设计开发过程中，仅仅考虑到应用需求、系统的性能及技术路线的选择等问题，缺少了应用系统自身的安全性。客户的应用托管在云计算平台，面临着安全与隐私双重风险，主要包括多租户环境下来自云计算服务商和其他用户的未授权访问、隐私保护、内容安全管理、用户认证和身份管理问题[6]。

⑸ 数据安全及备份恢复

在云计算模式下，客户的数据和业务迁移至云服务商的云平台中，数据的处理、存储均在“云端”完成，用户一端只具有较少的计算处理能力，数据的安全性依赖于云平台的安全。如何确保数据远程传输安全、数据集中存储安全以及多租户之间的数据隔离是云计算环境下迫切需要解决的问题。

3 云安全之等级保护测评

参照等级保护测评的要求，结合上述分析，云安全之等级保护测评应重点关注以下方面。

⑴ 数据中心物理与环境安全：用于业务运行和数据处理及存储的物理设备是否位于中国境内，从而避免产生司法管辖权的问题。

⑵ 虚拟网络安全边界访问控制：是否在虚拟网络边界部署访问控制设备，设置有效的访问控制规则，从而控制虚机间的互访。

⑶ 远程访问监控：是否能实时监视云服务远程连接，并在发现未授权访问时，及时采取恰当的防护措施。

⑷ 网络边界安全：是否采取了网络边界安全防护措施，如在整个云计算网络的边界部署安全防护设备等。

⑸ 虚拟机安全：虚拟机之间的是否安全隔离，当租户退出云服务时是否有数据残留，是否存在跨虚拟机的非授权访问等。

⑹ 接口安全：是否采取有效措施确保云计算服务对外接口的安全性。

⑺ 数据安全：多租户间的数据是否安全隔离，远程传输时是否有措施确保数据的完整性和保密性，租户业务或数据进行迁移时是否具有可移植性和互操作性。

4 结束语

云计算因其高效化、集约化和节约化的特点，受到越来越多党政机关、企事业单位的青睐，与此同时云计算带来的风险也是不容忽视的。本文结合云计算的特点分析了云计算模式下现行等级保护测评标准的一些局限性，并提出了云计算下等级保护测评需要特别关注的测评项，对云服务商、租户和测评机构提供借鉴。值得注意的是，租户在进行云迁移之前，首先应确定自身迁移业务的等级，其次是租用的云计算平台等级不能低于业务系统的等级。

参考文献（References）：

[1] 尹丽波.美国云计算服务安全审查值得借鉴.中国日报网.

[2] 陈军，薄明霞，王渭清.云安全研究进展及技术解决方案发展

趋势[J].技术广角，2011：50-54

[3] 潘小明，张向阳，沈锡镛，严丹.云计算信息安全测评框架研究[J].

计算机时代，2013.10：22-25

[4] 房晶，吴昊，白松林.云计算的虚拟化安全问题[J].电信科学，

2012.28（4）：135-140

[5] 陈文捷，蔡立志.云环境中网络边界安全的等级保护研究[C].

第二届全国信息安全等级保护技术大会会议论文集，2013.

第7篇：网络信息安全等级保护范文

关键词：信息安全；信息安全等级

中图分类号：TP393.08文献标识码：A文章编号：16727800（2011）012014502

作者简介：张新豪（1982-），男，河南郑州人，黄河科技学院现代教育中心助教，研究方向为计算机应用；郭喜建（1978-），男，河南郑州人，黄河科技学院现代教育中心助教，研究方向为计算机应用；宋朝（1983-），男，河南郑州人，黄河科技学院现代教育技术中心职员，研究方向为信息服务质量管理。1网络信息安全

信息安全是指信息网络的硬件、软件及其系统中数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，信息服务不中断。信息安全是一门设计计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。从广义上说，设计信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是信息安全的研究领域。

信息安全要实现的目标主要有：①真实性：对信息的来源进行判断，能对伪造来源的信息予以鉴别；②保密性：保证机密信息不被窃听，或窃听者不能了解信息的真实含义；③完整性：保证数据的一致性，防止数据被非法用户篡改；④可用性：保证合法用户对信息和资源的使用不会被不正当的拒绝；⑤不可抵赖性：建立有效的责任机制，防止用户否认其行为；⑥可控制性：对信息的传播及内容具有控制能力；⑦可审查性：对出现的网络安全故障为您能够提供调查的依据和手段。

2网络信息安全性等级

2.1信息安全等级保护

信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

信息安全等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。国务院法规和中央文件明确规定，要实行信息安全等级保护，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度。信息安全等级保护是当今发达国家保护关键信息基础设施、保障信息安全的通行做法，也是我国多年来信息安全工作经验的总结。开展信息安全等级保护工作不仅是保障重要信息系统安全的重大措施，也是一项事关国家安全、社会稳定、国家利益的重要任务。

2.2DoD可信计算机系统评估准则

1983年，美国国家计算机中心发表了著名的“可信任计算机标准评价准则”（Trusted Computer Standards Evaluation Criteria，简称TCSEC，俗称橘皮书）。TCSEC是在20世纪70年代的基础理论研究成果Bell & La Padula模型基础上提出的，其初衷是针对操作系统的安全性进行评估。1985年，美国国防部计算机安全中心（简称DoDCSC）对TCSEC文本进行了修订，推出了“DoD可信计算机系统评估准则，DoD5200.28-STD”。

美国国防部计算机安全中心（DoDCSC）提出的安全性评估要求有：①安全策略：必须有一个明确的、确定的由系统实施的安全策略；②识别：必须唯一而可靠地识别每个主体，以便检查主体/客体的访问请求；③标记：必须给每个客体（目标）作一个“标号”，指明该客体的安全级别。这种结合必须做到对该目标进行访问请求时都能得到该标号以便进行对比；④可检查性：系统对影响安全的活动必须维持完全而安全的记录。这些活动包括系统新用户的引入、主体或客体的安全级别的分配和变化以及拒绝访问的企图；⑤保障措施：系统必须含实施安全性的机制并能评价其有效性；⑥连续的保护：实现安全性的机制必须受到保护以防止未经批准的改变。

根据以上6条要求，“可信计算机系统评估准则”将计算机系统的安全性分为A、B、C、D 4个等级，A、B3、B2、B1、C2、C1、D 7个级别，如表1所示。

表1网络安全性标准（DoD5200.28――STD）

等级名称主要特征A可验证的安全设计形式化的最高级描述和验证，形式化的隐密通道分析，非形式化的代码一致性证明B3安全域机制安全内核，高抗渗透能力B2结构化安全保护设计系统时必须有一个合理的总体设计方案，面向安全的体系结构，遵循最小授权原则，较好的抗渗透能力，访问控制应对所有的主体和客体提供保护，对系统进行隐蔽通道分析B1标号安全保护除了C2级别的安全需求外，增加安全策略模型，数据标号（安全和属性），托管访问控制C2受控的访问环境存取控制以用户为单位广泛的审计C1选择的安全保护有选择的存取控制，用户与数据分离，数据的保护以用户组为单位D最小保护保护措施很少，没有安全功能2.3计算机信息系统安全保护等级划分准则

在我国，以《计算机信息系统安全保护等级划分准则》为指导，根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度，针对信息的保密性、完整性和可用性要求及信息系统必须达到的基本的安全保护水平等因素，将信息和信息系统的安全保护分为5个等级。

第一级：用户自主保护级。本级的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能力。它为用户提供可行的手段，保护用户和用户组信息，避免其他用户对数据的非法读写与破坏。

第二级：系统审计保护级。与用户自主保护级相比，本级的计算机信息系统可信计算基实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。

第三级：安全标记保护级。本级的计算机信息系统可信计算基具有系统审计保护级所有功能。具有准确地标记输出信息的能力，消除通过测试发现的任何错误。

第四级：结构化保护级。本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，将第三级系统中的自主和强制访问控制扩展到所有主体与客体，同时考虑隐蔽通道。关于可信计算基则结构化为关键保护元素和非关键保护元素，必须明确定义可信计算基的接口。加强了鉴别机制，增强了配置管理控制，具有相当的抗渗透能力。

第五级：访问验证保护级。本级的计算机信息系统可信计算基满足访问监控器需求。访问监控器仲裁主体对客体的全部访问。访问监控器本身是抗篡改的，信息系统支持安全管理员职能，具有扩充审计机制，提供系统恢复机制。系统具有很高的抗渗透能力。

3结束语

信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法，是维护国家信息安全的根本保障。通过开展信息安全等级保护工作，可以有效地解决我国信息安全面临的主要问题，将有限的财力、人力、物力投入到重要信息系统的安全保护中去。参考文献：

[1]赵鹏，李剑.国内外信息安全发展新趋势[J].信息网络安全,2011(7).

[2]肖国煜.信息系统等级保护测评实践[J].信息网络安全,2011(7).

[3]马力，毕马宁.安全保护模型与等级保护安全要求关系的研究[J].信息网络安全,2011(6).

Research on Network Information Security

and Information Security Level

第8篇：网络信息安全等级保护范文

信息安全等级保护工作细则

2012年4月，原北京市卫生局按照原卫生部下发的《卫生行业信息安全等级保护工作的指导意见》（卫办发〔2011〕85号）和《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号）文件要求，统筹全市医疗卫生行业信息化发展状况以及信息安全等级保护发展状况两个大局，总结全市医疗卫生行业信息安全等级保护工作开展经验，研究制定下发了《北京市卫生局关于进一步加强北京市卫生行业信息安全等级保护工作的通知》（京卫办字〔2012〕26号）。

这个通知不是对原卫生部文件一个简单的转发，还包括了《北京地区卫生行业信息安全等级保护工作实施细则》（以下简称《细则》），对原卫生部文件提出的定级要求进行了细化。三级甲等医院核心业务系统原则上信息安全等级保护定级不低于第三级，一些重要的公共卫生信息系统不低于第三级，一些区域平台信息系统不低于第三级，这是属于比较大块的分类。那么具体到医疗机构，具体到公共卫生部门，到底什么样的系统定为第三级，大家可能会感觉不太清晰。所以我们在《细则》里定义了三级甲等医院什么样的信息系统定为第三级。例如《细则》中写道，“三级甲等医院的核心业务信息系统的安全保护等级原则上不低于第三级”，应结合医院业务及信息系统实际情况，从以下指标确定医院核心业务系统：医院平均日门诊量；医院住院床位数；业务系统承载病患个人隐私信息、一旦泄露对社会秩序构成重大影响的；业务中断使医院正常运营蒙受重大经济损失的；其他如何遭到损害会对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益产生重大影响的系统。因此，无论是医院的门急诊信息系统、电子病历系统还是今后将要建设的其他信息系统，都可以从这些方面来分析，从而更准确地定级。

这个《细则》的制定使得我市医疗卫生行业更加明确了信息安全等级保护工作的要求及落实方法，对我们之后的备案、安全整改和等级测评工作起到了很大的帮助作用。

信息安全等级保护工作开展情况

我们北京市公共卫生信息中心（原北京市卫生局信息中心），是北京市卫生和计划生育委员会直属的事业单位，负责全市医疗卫生行业网络与信息安全指导工作。北京市的信息安全等级保护工作是从2007年开始开展的。总结来说，主要有以下几点做法：

一是强化组织，落实责任。每年年初组织召开北京市医疗卫生信息化工作会，市卫生计生委领导、市公安局领导均出席会议，对全年信息安全工作提出部署，明确全行业信息安全保障重点任务，为落实全年信息安全工作的组织开展奠定了坚实的基础。

二是联合检查，摸清底数。自2008年起，我们每年都与市公安局联合开展医疗卫生行业信息安全检查工作。在市公安局的指导下，我们针对卫生行业机构众多的特点，设立了由市区两级卫生行政部门与市区两级公安部门联合检查的工作机制。全市三级医疗机构及市卫生局直属单位由市卫生计生委、市公安局负责，区县医疗卫生机构由区县卫生局与区县公安分局联合进行。目前，我市所有三级以上医疗机构和重要公共卫生部门均已完成了信息安全等级保护定级和备案工作。

三是政策落实，推动整改。近几年，市财政、市经信委大力支持卫生行业信息安全等级保护工作，在2012年度至2014年度的市卫生信息化项目申报指南中，明确规定了信息安全等级保护建设属于政府支持项目。到目前为止已有10家市属三级医院（世纪坛医院、朝阳医院、地坛医院、儿童医院、安定医院、北京胸科医院、友谊医院、佑安医院、中医医院、首都儿童研究所）完成信息整改项目的申报工作，已由市经济信息委审核通过项目资金共计3670.902万元，现在建设资金正在陆续拨付到位。通过安全整改、等级测评，完成信息安全等级保护工作，切实提高了本市医疗卫生机构信息安全保障能力。

四是制定预案，强化值守。

五是及时总结，持续改进。

信息安全等级保护工作的体会

从2007年开始参与信息安全等级保护工作，我个人经历了北京市等级保护工作推动的全过程，在这里谈几点个人对于信息安全等级保护相关工作的思考。

首先，信息安全等级保护制度为我们医疗卫生行业带来了很大的变化。第一是看待信息安全工作视角的变化。以前，我们可能更关注技术本身，有了等级保护要求之后，使得我们从一个整体的角度来看待信息安全这件事情。因为信息安全是符合木桶原理的，最薄弱的地方往往是最容易出现问题的地方，也代表着整个安全防护的水平。第二个变化是让我们更清晰地梳理了医疗卫生行业的信息系统，以往可能主要从系统功能来区分，现在会考虑从业务连续性的高低、数据安全防护需求的高低来区分。

其次，通过对信息系统的梳理、划分也清楚了信息安全等级保护要求里哪些要求对我们医疗卫生行业更适用。信息安全等级保护相关标准是各行业通用的，因此在行业内推动时，一定要结合行业特点，按照信息安全等级保护工作要求制定适合本行业的标准和规范。我们之前推出的《细则》其实就是基于这个思路，但由于行业的复杂性，真正形成一套适合医疗卫生行业的完整的标准规范，难度还是非常大的。

第三点，医院的院长、信息中心主任在增加新的信息系统时，都应从信息安全的角度对信息系统进行分析，在项目规划申报阶段就将信息安全需求整合考虑。现在大部分医院都上线了移动医疗、移动护理，面向公众开通了微信、手机App，增加这样一些新的业务之后，医院原有信息安全防护体系发生了较大改变，具体应如何解决？另外数字医疗设备信息安全的问题也应得到广泛的关注，根据我们的调研，随着影像检查、生化检验等设备的数字化，这些设备都接入到医院的信息网络当中，但对这些设备的安全管理基本属于空白，存在较多安全隐患。其实这些问题都可以在信息安全等级保护要求的指导下通过技术手段和管理制度的完善而解决。

第9篇：网络信息安全等级保护范文

2013年 8月23日，在由中国电子信息产业发展研究院主办，《信息安全与技术》杂志社和赛迪智库信息安全研究所承办的“2013 中国信息安全技术大会”上，国家信息化专家咨询委员会委员、中国工程院院士沈昌祥发出了以上呼吁。沈昌祥院士同时强调，要落实2011年工业和信息化部的《关于加强工业控制系统安全管理的通知》精神，做好重点领域工业控制系统信息安全的管理工作，对连接、组网、配置、设备选择与升级、数据、应急等管理方面的要求，要逐一落实。

可信、可控、可管

沈昌祥院士认为，随着信息化不断深入，工业控制系统已从封闭、孤立的系统走向互联体系的IT系统，采用以太网、TCP/IP网及各种无线网，控制协议已迁移到应用层；采用的标准商用操作系统、中间件与各种通用软件，已变成开放、互联、通用和标准化的信息系统。因此，安全风险也等同于通用的信息系统。工业控制系统网络架构是依托网络技术，将控制计算节点构建成为工业生产过程控制的计算环境，是属于等级保护信息系统范围。信息安全等级保护是我国信息安全保障的基本制度，从技术和管理两个方面进行安全建设，做到可信、可控、可管，使工业控制系统具有抵御高强度连续攻击（APT）的能力。

就工业控制系统等级保护技术框架而言，沈昌祥院士认为，信息安全等级保护要做到三点：可信——针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护；可控——针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源）；可管——保证资源安全必须实行科学管理，强调最小权限管理，尤其是高等级系统实行三权分离管理体制，不许设超级用户。针对工业控制特点，要按GB/17859要求，构建在安全管理中心支持下的计算环境、区域边界、通信网络三重防御体系是必要的且可行的，具体设计可参照GB/T25070-2010，以实现通信网络安全互联、区域边界安全防护和计算环境的可信免疫。

坚持自主创新、纵深防御

沈昌祥院士特别强调，做好工业控制系统的信息安全等级保护工作，更要坚持自主创新、纵深防御。

他认为，工业控制系统是定制的运行系统，其资源配置和运行流程具唯一性和排它性特点，用防火墙、杀病毒、漏洞扫描不仅效果不好，而且会引起新的安全问题；坚持自主创新，采用可信计算技术，使每个计算节点、通信节点都有可信保障功能，系统资源就不会被篡改，处理流程就不会扰破坏，系统能按预定的目标正确运行，“震网”、“火焰”等病毒攻击不查即杀。

坚持纵深防御，就是要扭转“封堵查杀”被动局面。加强信息系统整体防护，建设区域隔离、系统控制三重防护、多级互联体系结构；重点做好操作人员使用的终端防护，把住攻击发起的源头，做到操作使用安全；加强处理流程控制，防止内部攻击，提高计算节点自我免疫能力，减少封堵；加强技术平台支持下的安全管理，基于安全策略，与业务处理、监控及日常管理制度有机结合。（作者系《信息安全与技术》主编）