安徽天柱山旅游職業(yè)學(xué)院等級保護(hù)測評及安全整改工作啟動

潛山市公安局網(wǎng)安大隊民警受邀參加天柱山旅游職業(yè)學(xué)院等四家等保單位的信息系統(tǒng)等級保護(hù)測評工作啟動會。
會上等保測評機構(gòu)介紹了本次測評工作的各環(huán)節(jié)后，該局網(wǎng)安大隊民警向各單位強調(diào)了國家對網(wǎng)絡(luò)安全的重視，針對信息系統(tǒng)安全等級保護(hù)出臺的相關(guān)的政策法規(guī)和行業(yè)規(guī)范，強調(diào)了等級保護(hù)測評工作對單位信息安全的重要性，要求各相關(guān)部門要重視此項工作，積極配合完成等保測試工作，以及需要各相關(guān)部門進(jìn)行配合的工作。

一、安全建設(shè)整改概述

1、工作目標(biāo)

網(wǎng)絡(luò)安全等級保護(hù)安全建設(shè)整改的工作目標(biāo)可概括為：利用三年時間，開展三項重點工作，實現(xiàn)五方面目標(biāo)。

① 三年時間。由于一些重要行業(yè)信息系統(tǒng)較多，受資金、人員等條件限制，考慮實際情況，全國已定級信息系統(tǒng)安全建設(shè)整改工作總體上用三年時間完成。各行業(yè)主管（監(jiān)管）部門應(yīng)按照時間要求，根據(jù)本行業(yè)信息系統(tǒng)數(shù)量和實際情況，合理部署總體工作進(jìn)度。

② 三項重點工作。通過組織開展安全管理制度建設(shè)、技術(shù)措施建設(shè)和等級測評等三項重點工作，落實制度的各項要求。

③ 五方面目標(biāo)。通過開展安全建設(shè)整改工作，達(dá)到五方面的目標(biāo)：一是信息系統(tǒng)安全管理水平明顯提高，二是信息系統(tǒng)安全防范能力明顯增強，三是信息系統(tǒng)安全隱患和安全事故明顯減少，四是有效保障信息化健康發(fā)展，五是有效維護(hù)國家安全、社會秩序和公共利益。

2、工作內(nèi)容

各單位、各部門在主旨開展信息系統(tǒng)定級時，是按照有關(guān)標(biāo)準(zhǔn)要求，對每個業(yè)務(wù)系統(tǒng)進(jìn)行定級，但在開展信息系統(tǒng)安全建設(shè)整改時，可以采取“分區(qū)、分域”的方法，按照“整改保護(hù)”的原則進(jìn)行整改方案設(shè)計，對信息系統(tǒng)進(jìn)行加固改造，缺什么補什么。對于新建系統(tǒng)，在規(guī)劃設(shè)計時應(yīng)確定信息系統(tǒng)安全保護(hù)等級，按照信息系統(tǒng)等級，同步規(guī)劃、同步設(shè)計、同步實施安全保護(hù)技術(shù)措施。

（1）網(wǎng)絡(luò)安全等級保護(hù)安全管理制度建設(shè)

① 開展安全管理制度建設(shè)的依據(jù)

按照《管理辦法》、《信息系統(tǒng)安全等級保護(hù)基本要求》，參照《信息系統(tǒng)安全管理要求》、《信息系統(tǒng)安全工程管理要求》等標(biāo)準(zhǔn)規(guī)范要求，建立健全并落實符合相應(yīng)等級要求的安全管理制度。

② 開展安全管理制度建設(shè)的內(nèi)容

一是落實責(zé)任制。成立工作領(lǐng)導(dǎo)機構(gòu)，明確工作的主管領(lǐng)導(dǎo)。成立專門的管理部門或落實責(zé)任部門，確定安全崗位，落實專職人員兼職人員。明確落實領(lǐng)導(dǎo)機構(gòu)、責(zé)任部門和有關(guān)人員的責(zé)任。

二是落實人員安全管理制度。制定人員錄用、離崗、考核、教育培訓(xùn)等管理制度，落實管理的具體措施。對安全崗位人員要進(jìn)行安全審查，定期進(jìn)行培訓(xùn)、考核和安全保密教育，提高安全崗位人員的專業(yè)水平，逐步實現(xiàn)安全崗位人員持證上崗。

三是落實系統(tǒng)建設(shè)管理制度。建立信息系統(tǒng)定級備案、方案設(shè)計、產(chǎn)品采購使用、密碼使用、軟件開發(fā)、工程實施、驗收交付、等級測評、安全服務(wù)等管理制度，明確工作內(nèi)容、工作方法、工作流程和工作要求。

四是落實系統(tǒng)運維管理制度。建立機房環(huán)境安全、存儲介質(zhì)安全、設(shè)備設(shè)施安全、安全監(jiān)控、、系統(tǒng)安全、惡意代碼防范、保護(hù)、備份與恢復(fù)、事件處置等管理制度，制定應(yīng)急預(yù)案并定期開展演練，采取相應(yīng)的管理技術(shù)措施和手段，確保系統(tǒng)運維管理制度的有效落實。

③ 開展安全管理制度建設(shè)的要求

在具體實施過程中，可逐項建立管理制度，也可以進(jìn)行整合，形成完善的安全管理體系。要根據(jù)具體情況，結(jié)合系統(tǒng)管理實際，不斷健全完善管理制度。同時，將管理制度與管理技術(shù)措施有機結(jié)合，確保安全管理制度得到有效落實。

建立并落實監(jiān)督檢查機制。備案單位定期對各項制度的落實情況進(jìn)行自查，行業(yè)主管部門組織開展督導(dǎo)檢查，公安機關(guān)會同主管部門開展監(jiān)督檢查。

（2）開展網(wǎng)絡(luò)安全等級保護(hù)安全技術(shù)措施建設(shè)

① 開展安全技術(shù)措施建設(shè)的依據(jù)

按照《管理辦法》、《基本要求》，參照《實施指南》、《信息系統(tǒng)通用安全技術(shù)要求》、《信息系統(tǒng)安全工程管理要求》、《安全設(shè)計技術(shù)要求》等標(biāo)準(zhǔn)規(guī)范要求，建設(shè)信息系統(tǒng)安全保護(hù)技術(shù)措施。

② 開展安全技術(shù)措施建設(shè)的內(nèi)容

結(jié)合行業(yè)特點和安全需求，制定符合相應(yīng)等級要求的信息系統(tǒng)安全技術(shù)建設(shè)整改方案，開展技術(shù)措施建設(shè)，落實相應(yīng)的物理安全、、主機安全、應(yīng)用安全和等安全保護(hù)技術(shù)措施。在信息系統(tǒng)安全技術(shù)建設(shè)整改中，可以采取“一個中心、三維防護(hù)”（即一個安全管理中心和計算環(huán)境安全、區(qū)域邊界安全和通信）的防護(hù)策略，實現(xiàn)相應(yīng)級別信息系統(tǒng)的安全保護(hù)技術(shù)要求，建立并完善信息系統(tǒng)綜合防護(hù)體系，提高信息系統(tǒng)的能力和水平。

③ 開展安全技術(shù)措施建設(shè)的要求

備案單位要開展信息系統(tǒng)安全保護(hù)現(xiàn)狀分析，確定信息系統(tǒng)安全技術(shù)建設(shè)整改需求，制定信息系統(tǒng)安全技術(shù)建設(shè)整改方案，組織實施信息系統(tǒng)安全建設(shè)整改工程，開展安全自查和等級測評，及時發(fā)現(xiàn)信息系統(tǒng)中存在的安全隱患和威脅，進(jìn)一步開展安全建設(shè)整改工作。

3、工作流程

安全建設(shè)整改工作可以分為五步進(jìn)行。

第一步：落實負(fù)責(zé)安全建設(shè)整改工作的責(zé)任部門，由責(zé)任部門牽頭制定本單位和行業(yè)信息系統(tǒng)安全建設(shè)整改工作規(guī)劃，對安全建設(shè)整改工作進(jìn)行總體部署。

第二步：開展信息系統(tǒng)安全保護(hù)現(xiàn)狀分析，從管理和技術(shù)兩方面確定信息系統(tǒng)安全建設(shè)整改需求?？梢砸罁?jù)《基本要求》等標(biāo)準(zhǔn)，采取對照檢查、風(fēng)險評估、等級測評等方法，分析判斷目前所采取的安全保護(hù)措施與等級保護(hù)標(biāo)準(zhǔn)要求之間的差距，分析系統(tǒng)已發(fā)生的事件或事故，分析安全保護(hù)方面存在的問題，形成安全建設(shè)整改的需求并論證。

第三步：確定安全保護(hù)策略，制定信息系統(tǒng)安全建設(shè)整改方案。在安全需求分析的基礎(chǔ)上，進(jìn)行信息系統(tǒng)安全建設(shè)整改方案設(shè)計，包括總體設(shè)計和詳細(xì)設(shè)計，制定工程預(yù)算和工程實施計劃等，為后續(xù)安全建設(shè)整改工程實施提供依據(jù)。安全建設(shè)整改方案須經(jīng)專家評審論證，第三級（含）以上信息系統(tǒng)安全建設(shè)整改方案應(yīng)報公安機關(guān)備案，公安機關(guān)監(jiān)督檢查備案單位安全建設(shè)整改方案的實施。

第四步：開展信息系統(tǒng)安全建設(shè)整改工作，建立并落實安全管理制度，落實安全責(zé)任制，建設(shè)安全設(shè)施，落實安全措施；在實施安全建設(shè)整改過程中，需要加強投資風(fēng)險控制、實施流程管理、進(jìn)度規(guī)劃控制、工程質(zhì)量控制和信息保密管理。

第五步：開展安全自查和等級測評，及時發(fā)現(xiàn)信息系統(tǒng)中存在安全隱患和威脅。制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項制度、措施的落實情況，并不斷完善。定期對信息系統(tǒng)安全狀況進(jìn)行自查，第三級信息系統(tǒng)每年自查一次，第四級信息系統(tǒng)每半年自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級要求的，應(yīng)當(dāng)進(jìn)一步開展整改工作。該流程如圖1所示。

圖1 信息系統(tǒng)整改工作流程

4、工作要求

目前，存在一些單位和部門尚未開展信息系統(tǒng)定級備案工作，存在漏定級、漏備案和定級不準(zhǔn)等情況，所以，各行業(yè)主管（監(jiān)管）部門應(yīng)在公安部指導(dǎo)下出臺行業(yè)信息系統(tǒng)定級制度意見和要求。先解決備案工作中存在的突出問題，在此基礎(chǔ)上開展安全整改工作。整改范圍如下：一是各單位、各部門要將已備案的第二級（含）以上信息系統(tǒng)納入安全建設(shè)整改的范圍。二是尚未開展定級備案的信息系統(tǒng)，要先定級備案，再開展安全建設(shè)整改。三是新建系統(tǒng)要同步開展安全建設(shè)工作。在建設(shè)整改中，要落實如下工作要求。

（1）統(tǒng)一組織，加強領(lǐng)導(dǎo)

要按照“誰主管、誰負(fù)責(zé)”的原則，切實加強對網(wǎng)絡(luò)安全等級保護(hù)安全建設(shè)整改工作的組織領(lǐng)導(dǎo)，完善工作機制。要結(jié)合各自實際，統(tǒng)一規(guī)劃和部署安全建設(shè)整改工作，制定安全建設(shè)整改工作實施方案。要落實責(zé)任部門、責(zé)任人員和安全建設(shè)整改經(jīng)費。要利用多種形式，組織開展宣傳、培訓(xùn)工作。

（2）循序漸進(jìn)，分步實施

信息系統(tǒng)主管部門可以結(jié)合本行業(yè)、本部門信息系統(tǒng)數(shù)量、等級、規(guī)模等實際情況，按照自上而下或先重點后一般的順序開展。重點行業(yè)、部門可以根據(jù)需要和實際情況，選擇有代表性的第二、三、四級信息系統(tǒng)先進(jìn)行安全建設(shè)整改和等級測評工作試點、示范，在總結(jié)經(jīng)驗的基礎(chǔ)上全面推開。

（3）結(jié)合實際，制定規(guī)范

重點行業(yè)信息系統(tǒng)主管部門可以按照《基本要求》等國家標(biāo)準(zhǔn)，結(jié)合行業(yè)特點，確定《基本要求》的具體指標(biāo)；在不低于基本要求的情況下，結(jié)合系統(tǒng)安全保護(hù)的特殊需求，在有關(guān)部門指導(dǎo)下制定行業(yè)標(biāo)準(zhǔn)規(guī)范或細(xì)則，指導(dǎo)本行業(yè)信息系統(tǒng)安全建設(shè)整改工作。

（4）認(rèn)真總結(jié)，按時報送

要對定級備案、等級測評、安全建設(shè)整改和自查等工作開展情況進(jìn)行年度總結(jié)，于每年年底前報同級公安機關(guān)網(wǎng)安部門，各省（自治區(qū)、直轄市）公安機關(guān)網(wǎng)安部門報公安部保衛(wèi)局。信息系統(tǒng)備案單位每半年要填寫《網(wǎng)絡(luò)安全等級保護(hù)安全建設(shè)整改工作情況統(tǒng)計表》并報受理備案的公安機關(guān)。

5、整改效果

依據(jù)有關(guān)政策和標(biāo)準(zhǔn)，通過組織開展安全管理制度建設(shè)、技術(shù)措施建設(shè)和等級測評，落實制度的各項要求，使信息系統(tǒng)安全管理水平明顯提高，安全防范能力明顯增強，安全隱患和安全事故明顯減少，有效保障信息化健康發(fā)展，維護(hù)、社會秩序和公共利益。其整改效果，按照等級要求如下。

第一級信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)具有抵御一般性攻擊的能力，防范常見計算機病毒和惡意代碼危害的能力；系統(tǒng)遭到損害后，具有恢復(fù)系統(tǒng)主要功能的能力。

第二級信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)具有抵御小規(guī)模、較弱強度惡意攻擊的能力，抵抗一般的自然災(zāi)害的能力，防范一般性計算機病毒和惡意代碼危害的能力；具有檢測常見的攻擊行為，并對安全事件進(jìn)行記錄的能力；系統(tǒng)遭到損害后，具有恢復(fù)系統(tǒng)正常運行狀態(tài)的能力。

第三級信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御大規(guī)模、較強惡意攻擊的能力，抵抗較為嚴(yán)重的自然災(zāi)害的能力，防范計算機病毒和惡意代碼危害的能力；具有檢測、發(fā)現(xiàn)、報警、記錄入侵行為的能力；具有對安全事件進(jìn)行響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后，具有能夠較快恢復(fù)正常運行狀態(tài)的能力；對于服務(wù)保障性要求高的系統(tǒng)，應(yīng)能快速恢復(fù)正常運行狀態(tài)；具有對系統(tǒng)資源、用戶、安全機制等進(jìn)行集中控管的能力。

第四級信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御敵對勢力有組織的大規(guī)模攻擊的能力，抵抗嚴(yán)重的自然災(zāi)害的能力，防范計算機病毒和惡意代碼危害的能力；具有檢測、發(fā)現(xiàn)、報警、記錄入侵行為的能力；具有對安全事件進(jìn)行快速響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后，具有能夠較快恢復(fù)正常運行狀態(tài)的能力；對于服務(wù)保障性要求高的系統(tǒng)，應(yīng)能立即恢復(fù)正常運行狀態(tài)；具有對系統(tǒng)資源、用戶、安全機制等進(jìn)行集中控管的能力。

二、如何整改安全管理制度

按照國家有關(guān)規(guī)定，依據(jù)《基本要求》，參照《信息系統(tǒng)安全管理要求》等標(biāo)準(zhǔn)規(guī)范要求，開展信息系統(tǒng)等級保護(hù)安全管理制度建設(shè)工作，如圖2所示。

圖2 安全管理制度建設(shè)工作內(nèi)容

1、落實網(wǎng)絡(luò)安全責(zé)任制

明確領(lǐng)導(dǎo)機構(gòu)和責(zé)任部門，設(shè)立或明確領(lǐng)導(dǎo)機構(gòu)，明確主管領(lǐng)導(dǎo)，落實責(zé)任部門。建立崗位和人員管理制度，根據(jù)職責(zé)分工，分別設(shè)置安全管理機構(gòu)和崗位，明確每個崗位的職責(zé)與任務(wù)，落實安全管理責(zé)任制。建立安全教育和培訓(xùn)制度，對信息系統(tǒng)人員、管理人員、使用人員等定期進(jìn)行培訓(xùn)和考核，提高相關(guān)人員的安全意識和操作水平。具體依據(jù)《基本要求》中的“安全管理機構(gòu)”內(nèi)容，同時可以參照《信息系統(tǒng)安全管理要求》等。

落實安全責(zé)任制的具體措施還應(yīng)參照執(zhí)行相關(guān)管理規(guī)定。

2、開展安全管理現(xiàn)狀分析

在開展信息系統(tǒng)安全管理建設(shè)之前，通過開展信息系統(tǒng)安全管理現(xiàn)狀分析，查找信息系統(tǒng)安全管理建設(shè)整改需要解決的問題，明確信息系統(tǒng)安全管理建設(shè)整改的需求。

可以采取對照檢查、風(fēng)險評估、等級測評等方法，分析判斷目前所采取的安全管理措施與等級保護(hù)標(biāo)準(zhǔn)之間的差距，分析系統(tǒng)已發(fā)生的事故或事件，分析安全管理方面存在的問題，形成安全管理建設(shè)整改的需求并論證。

3、制定安全管理制度

根據(jù)安全管理需求，確定安全管理目標(biāo)和安全策略，針對信息系統(tǒng)的各類管理活動，制定人員安全管理制度、系統(tǒng)建設(shè)管理制度、系統(tǒng)運維管理制度、定期檢查制度等，規(guī)范安全管理人員或操作人員的操作規(guī)程等，形成安全管理體系。

在制定安全管理制度是，要按照《管理辦法》、《基本要求》，參照《信息系統(tǒng)安全管理要求》、《信息系統(tǒng)安全工程管理要求》等標(biāo)準(zhǔn)規(guī)范要求，建立健全并落實符合相應(yīng)等級要求的安全管理制度。主要內(nèi)容要求如下：制定責(zé)任制度，明確工作的主管領(lǐng)導(dǎo)、責(zé)任部門、人員及有關(guān)崗位的責(zé)任；制定人員安全管理制度，明確人員錄用、離崗、考核、教育培訓(xùn)等管理內(nèi)容；制定系統(tǒng)建設(shè)管理制度，明確系統(tǒng)定級備案、方案設(shè)計、產(chǎn)品采購使用、使用、軟件開發(fā)、工程實施、驗收交付、等級測評、安全服務(wù)等管理內(nèi)容；制定系統(tǒng)管理制度，明確機房環(huán)境安全、存儲介質(zhì)安全、設(shè)備設(shè)施安全、安全監(jiān)控、、系統(tǒng)安全、惡意代碼防范、保護(hù)、備份與恢復(fù)、事件處置、應(yīng)急預(yù)案等管理內(nèi)容。制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項制度、措施的落實情況，并不斷完善。

安全管理體系規(guī)劃的核心思想是調(diào)整原有管理模式和管理策略，即從全局高度考慮整個信息系統(tǒng)制定安全管理目標(biāo)和統(tǒng)一的安全管理策略，又要從每個定級系統(tǒng)的實際等級、實際需求出發(fā)，選擇和調(diào)整安全管理措施，最后形成統(tǒng)一的系統(tǒng)整體安全管理體系。

4、落實安全管理措施

（1）人員安全管理

人員安全管理主要包括人員錄用、離崗、考核、教育培訓(xùn)等內(nèi)容。規(guī)范人員錄用、離崗、過程，關(guān)鍵崗位簽署保密協(xié)議，對各類人員進(jìn)行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)，對關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核。對外部人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等進(jìn)行控制。具體依據(jù)《基本要求》中的“人員安全管理”內(nèi)容，同時可以參照《信息系統(tǒng)安全管理要求》等。

（2）系統(tǒng)運維管理

① 環(huán)境和資產(chǎn)安全管理

明確環(huán)境（包括主機房、輔機房、辦公環(huán)境等）安全管理的責(zé)任部門或責(zé)任人，加強對人員出入、來訪人員的控制，對有關(guān)物理訪問、物品進(jìn)出和環(huán)境安全等方面作出規(guī)定。對重要區(qū)域設(shè)置門禁控制手段，或使用視頻監(jiān)控等措施。明確資產(chǎn)（包括介質(zhì)、設(shè)備、設(shè)施、數(shù)據(jù)和信息等）安全管理的責(zé)任部門或責(zé)任人，對資產(chǎn)進(jìn)行分類、標(biāo)識，編制與信息系統(tǒng)相關(guān)的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。具體依據(jù)《基本要求》中的“系統(tǒng)運維管理”內(nèi)容，同時可以參照《信息系統(tǒng)安全管理要求》等。

② 設(shè)備和介質(zhì)安全管理

明確配套設(shè)施、軟硬件設(shè)備管理、維護(hù)的責(zé)任部門或責(zé)任人，對信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護(hù)和維修等過程進(jìn)行控制，對介質(zhì)的存放、使用、維護(hù)和銷毀等方面作出規(guī)定，加強對涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控制。具體依據(jù)《基本要求》中的“系統(tǒng)運維管理”內(nèi)容，同時可以參照《信息系統(tǒng)安全管理要求》等。

③ 日常運行維護(hù)

明確網(wǎng)絡(luò)、系統(tǒng)日常運行維護(hù)的責(zé)任部門或責(zé)任人，對運行管理中的日常操作、賬號管理、安全配置、日志管理、補丁升級、口令更新等過程進(jìn)行控制和管理，制訂相應(yīng)的管理制度和操作規(guī)程并落實執(zhí)行。具體依據(jù)《基本要求》中的“系統(tǒng)運維管理”內(nèi)容，同時可以參照《信息系統(tǒng)安全管理要求》等。

④ 集中安全管理

第三級（含）以上信息系統(tǒng)應(yīng)按照統(tǒng)一的安全策略、安全管理要求，統(tǒng)一管理信息系統(tǒng)的安全運行，進(jìn)行安全機制的配置與管理，對設(shè)備安全配置、惡意代碼、補丁升級、安全審計等進(jìn)行管理，對與安全有關(guān)的信息進(jìn)行匯集與分析，對安全機制進(jìn)行集中管理。具體依據(jù)《基本要求》中的“系統(tǒng)管理”內(nèi)容，同時可以參照《安全設(shè)計技術(shù)要求》和《信息系統(tǒng)安全管理要求》等。

⑤ 事件處置與應(yīng)急響應(yīng)

按照國家有關(guān)標(biāo)準(zhǔn)規(guī)定，確定事件的等級。結(jié)合等級，制定事件分級應(yīng)急處置預(yù)案，明確應(yīng)急處置策略，落實應(yīng)急指揮部門、執(zhí)行部門和技術(shù)支撐部門，建立應(yīng)急協(xié)調(diào)機制。落實安全事件報告制度，第三級（含）以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時，運營使用單位按照相應(yīng)預(yù)案開展應(yīng)急處置，并及時向受理備案的公安機關(guān)報告。組織應(yīng)急技術(shù)支撐力量和專家隊伍，按照應(yīng)急預(yù)案定期組織開展應(yīng)急演練。具體依據(jù)《基本要求》中的“系統(tǒng)管理”內(nèi)容，同時可以參照《事件分類分級指南》和《事件管理指南》等。

⑥ 災(zāi)難備份

要對第三級（含）以上信息系統(tǒng)采取災(zāi)難備份措施，防止重大事故、事件發(fā)生。識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等，制定數(shù)據(jù)的備份策略和恢復(fù)策略，建立備份與恢復(fù)管理相關(guān)的安全管理制度。具體依據(jù)《基本要求》中的“系統(tǒng)運維管理”內(nèi)容和《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》。

⑦ 安全監(jiān)測

開展信息系統(tǒng)實時安全監(jiān)測，實現(xiàn)對物理環(huán)境、通信線路、主機、網(wǎng)絡(luò)設(shè)備、用戶行為和業(yè)務(wù)應(yīng)用等的監(jiān)測和報警，及時發(fā)現(xiàn)設(shè)備故障、入侵、攻擊、誤用和誤操作等安全事件，以便及時對安全事件進(jìn)行響應(yīng)與處置。具體依據(jù)《基本要求》中的“系統(tǒng)管理”。

⑧ 其他安全管理

對系統(tǒng)運行維護(hù)過程中的其他活動，如系統(tǒng)變更、密碼使用等進(jìn)行控制和管理。按國家密碼管理部門的規(guī)定，對信息系統(tǒng)中密碼和密鑰的使用進(jìn)行分級管理。

5、加強系統(tǒng)建設(shè)過程管理

制定系統(tǒng)建設(shè)相關(guān)的管理制度，明確系統(tǒng)定級備案、方案設(shè)計、產(chǎn)品采購使用、軟件開發(fā)、工程實施、驗收交付、等級測評、安全服務(wù)等內(nèi)容的管理責(zé)任部門、具體管理內(nèi)容和控制方法，并按照管理制度落實各項管理措施。

具體依據(jù)《基本要求》中的“系統(tǒng)建設(shè)管理”內(nèi)容。

6、定期組織安全自查

制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項制度、措施的落實情況，并不斷完善。定期對信息系統(tǒng)安全狀況進(jìn)行自查，第三級信息系統(tǒng)每年自查一次，第四級信息系統(tǒng)每半年自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級要求的，應(yīng)當(dāng)進(jìn)一步開展整改。具體依據(jù)《基本要求》中的“安全管理機構(gòu)”內(nèi)容，同時可以參照《信息系統(tǒng)安全管理要求》等。信息系統(tǒng)安全管理建設(shè)整改工作完成后，安全管理方面的等級測評與安全技術(shù)方面的測評工作一并進(jìn)行。

三、如何整改安全技術(shù)措施

按照國家有關(guān)規(guī)定，依據(jù)《基本要求》，參照《信息系統(tǒng)通用安全技術(shù)要求》、《信息系統(tǒng)等級保護(hù)安全設(shè)計技術(shù)要求》等標(biāo)準(zhǔn)規(guī)范要求，開展信息系統(tǒng)安全技術(shù)建設(shè)工作。工作流程如圖3所示。

圖3 技術(shù)措施建設(shè)工作

1、開展安全保護(hù)技術(shù)現(xiàn)狀分析

了解掌握信息系統(tǒng)現(xiàn)狀，分析信息系統(tǒng)的安全保護(hù)狀況，明確信息系統(tǒng)安全技術(shù)建設(shè)整改需求，為安全建設(shè)整改技術(shù)方案設(shè)計提供依據(jù)。

（1）信息系統(tǒng)現(xiàn)狀分析

了解掌握信息系統(tǒng)的數(shù)量和等級、所處的網(wǎng)絡(luò)區(qū)域以及信息系統(tǒng)所承載的業(yè)務(wù)應(yīng)用情況，分析信息系統(tǒng)的邊界、構(gòu)成和相互關(guān)聯(lián)情況，分析網(wǎng)絡(luò)結(jié)構(gòu)、內(nèi)部區(qū)域、區(qū)域邊界以及軟、硬件資源等。具體可以參照《信息系統(tǒng)安全等級保護(hù)實施指南》中“信息系統(tǒng)分析”的內(nèi)容。

（2）信息系統(tǒng)安全保護(hù)技術(shù)現(xiàn)狀分析

在開展信息系統(tǒng)安全技術(shù)建設(shè)整改之前，應(yīng)通過開展信息系統(tǒng)安全保護(hù)技術(shù)現(xiàn)狀分析，查找信息系統(tǒng)安全保護(hù)技術(shù)建設(shè)整改需要解決的問題，明確信息系統(tǒng)安全保護(hù)技術(shù)建設(shè)整改的需求。

可采取對照檢查、風(fēng)險評估、等級測評等方法，分析判斷目前所采取的安全技術(shù)措施與標(biāo)準(zhǔn)要求之間的差距，分析系統(tǒng)已發(fā)生的事件或事故，分析安全技術(shù)方面存在的問題，形成安全技術(shù)建設(shè)整改的基本安全需求。在滿足基本要求基礎(chǔ)上，可以結(jié)合行業(yè)特點和信息系統(tǒng)安全保護(hù)的特殊要求，提出特殊安全需求。具體可以參照《基本要求》、《測評要求》和《測評過程指南》等標(biāo)準(zhǔn)。

（3）安全需求論證和確定

安全需求分析工作完成后，將信息系統(tǒng)的安全管理需求與安全技術(shù)需求綜合形成安全需求報告。組織專家對安全需求進(jìn)行評審論證，形成評審論證意見。

2、設(shè)計安全技術(shù)建設(shè)整改方案

在安全需求分析的基礎(chǔ)上，開展信息系統(tǒng)安全建設(shè)整改方案設(shè)計，包括總體設(shè)計和詳細(xì)設(shè)計，制定工程預(yù)算和工程實施計劃等，為后續(xù)安全建設(shè)整改工程實施提供依據(jù)。

（1）確定安全技術(shù)策略，設(shè)計總體技術(shù)方案

① 確定安全技術(shù)策略

根據(jù)安全需求分析，確定安全技術(shù)策略，包括業(yè)務(wù)系統(tǒng)分級策略、數(shù)據(jù)信息分級策略、區(qū)域互連策略和信息流控制策略等，用以指導(dǎo)系統(tǒng)安全技術(shù)體系結(jié)構(gòu)設(shè)計。

② 設(shè)計總體技術(shù)方案

在進(jìn)行信息系統(tǒng)安全建設(shè)整改技術(shù)方案設(shè)計時，應(yīng)以《基本要求》為基本目標(biāo)，可以針對安全現(xiàn)狀分析發(fā)現(xiàn)的問題進(jìn)行加固改造，缺什么補什么；也可以進(jìn)行總體的安全技術(shù)設(shè)計，將不同區(qū)域、不同層面的安全保護(hù)措施形成有機的安全保護(hù)體系，落實物理安全、、主機安全、應(yīng)用安全和等方面基本要求，最大程度發(fā)揮安全措施的保護(hù)能力。在進(jìn)行安全技術(shù)設(shè)計時，可參考《安全設(shè)計技術(shù)要求》，從安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心等方面落實安全保護(hù)技術(shù)要求。

（2）安全技術(shù)方案詳細(xì)設(shè)計

① 物理安全設(shè)計

從安全技術(shù)設(shè)施和安全技術(shù)措施兩方面對信息系統(tǒng)所涉及的主機房、輔助機房和辦公環(huán)境等進(jìn)行設(shè)計，設(shè)計內(nèi)容包括防震、防雷、防火、防水、防盜竊、防破壞、溫濕度控制、電力供應(yīng)、電磁防護(hù)等方面。設(shè)計是對采用的安全技術(shù)設(shè)施或安全技術(shù)措施的物理部署、物理尺寸、功能指標(biāo)、性能指標(biāo)等內(nèi)容提出具體設(shè)計參數(shù)。具體依據(jù)《基本要求》中的“”內(nèi)容，同時可以參照《信息系統(tǒng)技術(shù)要求》等。

② 通信網(wǎng)絡(luò)安全設(shè)計

對信息系統(tǒng)所涉及的通信網(wǎng)絡(luò)，包括骨干網(wǎng)絡(luò)、城域網(wǎng)絡(luò)和其他通信網(wǎng)絡(luò)（租用線路）等進(jìn)行安全設(shè)計，設(shè)計內(nèi)容包括通信過程數(shù)據(jù)完整性、數(shù)據(jù)保密性、保證通信可靠性的設(shè)備和線路冗余、通信網(wǎng)絡(luò)的網(wǎng)絡(luò)管理等方面。通信設(shè)計涉及所需采用的安全技術(shù)機制或安全技術(shù)措施的設(shè)計，對技術(shù)實現(xiàn)機制、產(chǎn)品形態(tài)、具體部署形式、功能指標(biāo)、性能指標(biāo)和配置參數(shù)等提出具體設(shè)計細(xì)節(jié)。具體依據(jù)《基本要求》中“”內(nèi)容，同時可以參照《網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》等。

③ 區(qū)域邊界安全設(shè)計

對信息系統(tǒng)所涉及的區(qū)域進(jìn)行安全設(shè)計，內(nèi)容包括對區(qū)域網(wǎng)絡(luò)的邊界保護(hù)、區(qū)域劃分、、訪問控制、安全審計、入侵防范、惡意代碼防范和網(wǎng)絡(luò)設(shè)備自身保護(hù)等方面。區(qū)域邊界安全設(shè)計涉及所需采用的安全技術(shù)機制或安全技術(shù)措施的設(shè)計，對技術(shù)實現(xiàn)機制、產(chǎn)品形態(tài)、具體部署形式、功能指標(biāo)、性能指標(biāo)和配置策略和參數(shù)等提出具體設(shè)計細(xì)節(jié)。具體依據(jù)《基本要求》中的“”內(nèi)容，同時可以參照《安全設(shè)計技術(shù)要求》、《網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》等。

④ 主機系統(tǒng)安全設(shè)計

對信息系統(tǒng)涉及的和工作站進(jìn)行主機系統(tǒng)安全設(shè)計，內(nèi)容包括或管理系統(tǒng)的選擇、安裝和安全配置，主機入侵防范、惡意代碼防范、資源使用情況監(jiān)控等。其中，安全配置細(xì)分為身份鑒別、訪問控制、安全審計等方面的配置內(nèi)容。具體依據(jù)《基本要求》中的“”內(nèi)容，同時可以參照《安全設(shè)計技術(shù)要求》、《信息系統(tǒng)通用安全技術(shù)要求》等。

⑤ 應(yīng)用系統(tǒng)安全設(shè)計

對信息系統(tǒng)涉及的應(yīng)用系統(tǒng)軟件（含應(yīng)用/中間件平臺）進(jìn)行安全設(shè)計，設(shè)計內(nèi)容包括身份鑒別、訪問控制、安全標(biāo)記、可信路徑、安全審計、剩余信息保護(hù)、通信完整性、通信保密性、抗抵賴、軟件容錯和資源控制等。具體依據(jù)《基本要求》中的“”內(nèi)容，同時可以參考《安全設(shè)計技術(shù)要求》、《信息系統(tǒng)通用安全技術(shù)要求》等。

⑥ 備份和恢復(fù)安全設(shè)計

針對信息系統(tǒng)的業(yè)務(wù)和系統(tǒng)服務(wù)連續(xù)性進(jìn)行安全設(shè)計，設(shè)計內(nèi)容包括數(shù)據(jù)備份系統(tǒng)、備用基礎(chǔ)設(shè)施以及相關(guān)技術(shù)設(shè)施。針對業(yè)務(wù)的數(shù)據(jù)備份系統(tǒng)可考慮數(shù)據(jù)備份的范圍、時間間隔、實現(xiàn)技術(shù)與介質(zhì)以及數(shù)據(jù)備份線路的速率以及相關(guān)通信設(shè)備的規(guī)格和要求；針對信息系統(tǒng)服務(wù)連續(xù)性的安全設(shè)計可考慮連續(xù)性保證方式（設(shè)備冗余、系統(tǒng)級冗余直至遠(yuǎn)程集群支持）與實現(xiàn)細(xì)節(jié)，包括相關(guān)的基礎(chǔ)設(shè)施支持、冗余/集群機制的選擇、硬件設(shè)備的功能/性能指標(biāo)以及軟硬件的部署形式與參數(shù)配置等。具體依據(jù)《基本要求》中“和備份恢復(fù)”內(nèi)容，同時可以參考《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》等。

（3）建設(shè)經(jīng)費預(yù)算和工程實施計劃

① 建設(shè)經(jīng)費預(yù)算

根據(jù)信息系統(tǒng)的安全建設(shè)整改內(nèi)容提出詳細(xì)的經(jīng)費預(yù)算，包括產(chǎn)品名稱、型號、配置、數(shù)量、單價、總價和合計等，同時應(yīng)包括集成費用、等級測評費用、服務(wù)費用和管理費用等。對于跨年度的安全建設(shè)整改或安全改建，提供分年度的經(jīng)費預(yù)算。

② 工程實施計劃

根據(jù)信息系統(tǒng)的安全建設(shè)整改內(nèi)容提出詳細(xì)的工程實施計劃，包括建設(shè)內(nèi)容、工程組織、階段劃分、項目分解、時間計劃和進(jìn)度安排等。對于跨年度的安全建設(shè)整改或安全改建，要對安全建設(shè)整改方案明確的主要安全建設(shè)整改內(nèi)容進(jìn)行適當(dāng)?shù)捻椖糠纸猓热绶纸獬蓹C房安全改造項目、網(wǎng)絡(luò)安全建設(shè)整改項目、系統(tǒng)平臺和應(yīng)用平臺安全建設(shè)整改項目等，分別制定中期和短期的實施計劃，短期內(nèi)主要解決目前急迫和關(guān)鍵的問題。

③ 方案論證和備案

將信息系統(tǒng)安全建設(shè)整改技術(shù)方案與安全管理體系規(guī)劃共同形成安全建設(shè)整改方案。組織專家對安全建設(shè)整改方案進(jìn)行評審論證，形成評審意見。第三級（含）以上信息系統(tǒng)安全建設(shè)整改方案應(yīng)報公安機關(guān)備案，并組織實施安全建設(shè)整改工程。

3、加強安全建設(shè)整改工程的實施和管理

（1）工程實施和管理

安全建設(shè)整改工程實施的組織管理工作包括落實安全建設(shè)整改的責(zé)任部門和人員，保證建設(shè)資金足額到位，選擇符合要求的安全建設(shè)整改服務(wù)商，采購符合要求的產(chǎn)品，管理和控制安全功能開發(fā)、集成過程的質(zhì)量等方面。按照《信息系統(tǒng)安全工程管理要求》中有關(guān)資格保障和組織保障等要求組織管理安全建設(shè)整改工程。實施流程管理、進(jìn)度規(guī)劃控制和工程質(zhì)量控制可參照《信息系統(tǒng)安全工程管理要求》中第 8、9、10 章提出的工程實施、項目實施和安全工程流程控制要求，實現(xiàn)相應(yīng)等級的工程目標(biāo)和要求。

（2）工程監(jiān)理和驗收

為保證建設(shè)工程的安全和質(zhì)量，第二級以上信息系統(tǒng)安全建設(shè)整改工程可以實施監(jiān)理。監(jiān)理內(nèi)容包括對工程實施前期安全性、采購?fù)獍踩浴⒐こ虒嵤┻^程安全性、系統(tǒng)環(huán)境安全性等方面的核查。工程驗收的內(nèi)容包括全面檢驗工程項目所實現(xiàn)的安全功能、設(shè)備部署、安全配置等是否滿足設(shè)計要求，工程施工質(zhì)量是否達(dá)到預(yù)期指標(biāo)，工程檔案資料是否齊全等方面。在通過安全測評或測試的基礎(chǔ)上，組織相應(yīng)網(wǎng)絡(luò)安全專家進(jìn)行工程驗收。具體參照《信息系統(tǒng)安全工程管理要求》。

（3）安全等級測評

信息系統(tǒng)安全建設(shè)整改完成后要進(jìn)行等級測評，在工程預(yù)算中應(yīng)當(dāng)包括等級測評費用。對第三級（含）以上信息系統(tǒng)每年要進(jìn)行等級測評，并對測評費用做出預(yù)算。

在備案的信息系統(tǒng)，備案單位應(yīng)選擇國家工作協(xié)調(diào)小組辦公室推薦的等級測評機構(gòu)實施等級測評；在?。▍^(qū)、市）、地市級公安機關(guān)備案的信息系統(tǒng)，備案單位應(yīng)選擇本?。▍^(qū)、市）工作協(xié)調(diào)小組辦公室或國家工作協(xié)調(diào)小組辦公室推薦的等級測評機構(gòu)實施等級測評。

四、如何制定整改方案

下面主要介紹信息系統(tǒng)安全整改方案的主要內(nèi)容，整改過程中涉及的網(wǎng)絡(luò)安全產(chǎn)品選擇使用注意事項。

1、整改方案主要內(nèi)容

整改方案可以不拘泥于單一內(nèi)容格式，設(shè)計內(nèi)容可以隨著單個信息系統(tǒng)、整個單位、多個系統(tǒng)進(jìn)行方案設(shè)計。建議在信息系統(tǒng)安全整改方案中可以包含以下內(nèi)容。

（1）項目背景

簡述信息系統(tǒng)概況，信息系統(tǒng)在等級保護(hù)工作方面的進(jìn)展情況，例如定級備案、安全現(xiàn)狀測評情況等。

（2）信息系統(tǒng)安全建設(shè)整改的法規(guī)、政策和技術(shù)依據(jù)

列舉在建設(shè)整改過程中涉及的國家層面、行業(yè)層面、主管單位層面等，所依據(jù)的網(wǎng)絡(luò)安全等級保護(hù)有關(guān)法規(guī)、政策、文件和技術(shù)標(biāo)準(zhǔn)等。

（3）信息系統(tǒng)安全建設(shè)整改安全需求分析

從技術(shù)和管理兩方面描述信息系統(tǒng)建設(shè)情況，系統(tǒng)應(yīng)用情況及安全建設(shè)情況。結(jié)合安全現(xiàn)狀評估結(jié)果，分析信息系統(tǒng)現(xiàn)有保護(hù)狀況與等級保護(hù)要求的差距，結(jié)合信息系統(tǒng)自身的安全需求形成安全建設(shè)整改安全需求。

（4）信息系統(tǒng)安全等級保護(hù)建設(shè)整改技術(shù)方案設(shè)計

根據(jù)安全需求，確定整改技術(shù)方案的設(shè)計原則，建立總體技術(shù)框架結(jié)構(gòu)。圍繞差距報告，從、、、、角度，結(jié)合系統(tǒng)自身所在的物理環(huán)境、通信網(wǎng)絡(luò)、可信環(huán)境、區(qū)域邊界、安全管理中心，設(shè)計落實基本技術(shù)要求。

（5）信息系統(tǒng)安全等級保護(hù)建設(shè)整改管理體系設(shè)計

根據(jù)安全需求，確定整改管理體系的設(shè)計原則，指導(dǎo)思想。要求安全管理策略、制度體系建設(shè)要可操作性強、責(zé)任明確。

（6）信息系統(tǒng)安全產(chǎn)品選型及其技術(shù)指標(biāo)

依據(jù)整改技術(shù)方案，確定設(shè)備選型的原則，給出具體的部署策略，明確選用設(shè)備的功能、性能指標(biāo)。

（7）安全整改后信息系統(tǒng)面臨的風(fēng)險分析

安全整改不可能解決所有不符合基本要求的問題，對于沒有解決的問題，或整改后引入的心問題，分析其可能的安全風(fēng)險，提出合理可行的風(fēng)險規(guī)避措施。

（8）信息系統(tǒng)安全等級保護(hù)建設(shè)整改項目實施計劃

安全整改項目的實施需要制定相應(yīng)的實施計劃，落實項目管理部門和人員，對設(shè)備招標(biāo)采購、工程實施協(xié)調(diào)、系統(tǒng)部署和測試驗收、人員培訓(xùn)等活動進(jìn)行規(guī)劃安排。

（9）信息系統(tǒng)安全等級保護(hù)項目預(yù)算

根據(jù)本單位信息化的中長期發(fā)展規(guī)劃和近期的建設(shè)投資規(guī)模，將等級保護(hù)安全整改建設(shè)工作納入整體規(guī)劃，可以采取分期分批、有計劃的實施安全建設(shè)整改。在項目建設(shè)進(jìn)行預(yù)算時，不僅僅包含安全設(shè)備投入、還需要將集成項目、等級測評費用、服務(wù)費用、運行管理費用等納入到資金預(yù)算中。

2、信息安全產(chǎn)品選擇

（1）選擇獲得銷售許可證的網(wǎng)絡(luò)安全產(chǎn)品

《中華人民共和國計算機信息系統(tǒng)安全保護(hù)條例》（國務(wù)院令147號）第十六條規(guī)定，國家對計算機信息系統(tǒng)安全專用產(chǎn)品的銷售實行許可證制度?！队嬎銠C信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》（公安部令第32號）第三條規(guī)定，中華人民共和國境內(nèi)的安全專用產(chǎn)品進(jìn)入市場銷售，實行銷售許可證制度。安全專用產(chǎn)品的生產(chǎn)者在其產(chǎn)品進(jìn)入市場銷售之前，必須申領(lǐng)《計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可證》。

（2）產(chǎn)品分等級檢測和使用

國家針對具體的產(chǎn)品類別，制定了一系列標(biāo)準(zhǔn)。產(chǎn)品標(biāo)準(zhǔn)，從產(chǎn)品的安全功能要求和安全保證要求兩個方面，將每類產(chǎn)品劃分為不同的等級，安全等級越高，安全功能要求越多，安全功能范圍越廣，安全功能粒度越細(xì)，安全保證要求越高。信息系統(tǒng)的等級越高，能力的要求越高，信息系統(tǒng)的能力，歸根到底必須由具體的產(chǎn)品來實現(xiàn)。根據(jù)的“木桶理論”，最弱的那個環(huán)節(jié)將決定整個信息系統(tǒng)的安全。而產(chǎn)品的等級越高，就能提供越高的安全防護(hù)能力。所以不同等級的信息系統(tǒng)，應(yīng)該使用相應(yīng)等級的產(chǎn)品。

（3）第三級以上信息系統(tǒng)使用網(wǎng)絡(luò)安全產(chǎn)品優(yōu)先選擇國產(chǎn)品

《管理辦法》第二十一條規(guī)定，第三級以上信息系統(tǒng)應(yīng)當(dāng)選擇使用符合以下條件的產(chǎn)品：① 產(chǎn)品研制、生產(chǎn)單位是由中國公民、法人投資或者國家投資或者控股的，在中華人民共和國境內(nèi)具有獨立的法人資格；② 產(chǎn)品的核心技術(shù)、關(guān)鍵部件具有我國自主知識產(chǎn)權(quán)；③ 產(chǎn)品研制、生產(chǎn)單位及其主要業(yè)務(wù)、技術(shù)人員無犯罪記錄；④ 產(chǎn)品研制、生產(chǎn)單位聲明沒有故意留有或者設(shè)置、、等程序和功能；⑤ 對、社會秩序、公共利益不構(gòu)成危害；⑥ 對已列入產(chǎn)品認(rèn)證目錄的，應(yīng)當(dāng)取得國家產(chǎn)品認(rèn)證機構(gòu)頒發(fā)的認(rèn)證證書。