等級(jí)保護(hù)工作全流程
在展開信息系統(tǒng)等級(jí)保護(hù)測(cè)評(píng)工作之前，需要先對(duì)企業(yè)的信息系統(tǒng)進(jìn)行調(diào)研，調(diào)研的主要內(nèi)容包含：
1. 資產(chǎn)清單：系統(tǒng)所使用的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備的廠商、類型、版本號(hào)、所使用的操作系統(tǒng)，數(shù)據(jù)庫等，及資產(chǎn)的責(zé)任人等；
2. 網(wǎng)絡(luò)拓?fù)鋱D：要求與網(wǎng)絡(luò)現(xiàn)狀一致。
3. 配合人員：網(wǎng)絡(luò)管理員、服務(wù)器管理員、數(shù)據(jù)庫管理員、應(yīng)用管理員等。
4. 企業(yè)相關(guān)的安全管理制度：如整體安全策略，近遠(yuǎn)期安全發(fā)展目標(biāo)，人員管理制度等，（一般要求提供所有制度）
1、定級(jí)方式
主管部門統(tǒng)一確定安全保護(hù)等級(jí)。
2、定級(jí)的一般流程
依照《定級(jí)指南》對(duì)信息系統(tǒng)進(jìn)行定級(jí)，或依照上級(jí)主管部門要求對(duì)信息系統(tǒng)進(jìn)行定級(jí)。詳見附件《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》
信息系統(tǒng)安全包括業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全，與之相關(guān)的受侵害客體和對(duì)客體的侵害程度可能不同，因此，信息系統(tǒng)定級(jí)也應(yīng)由業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全兩方面確定。從業(yè)務(wù)信息安全角度反映的信息系統(tǒng)安全保護(hù)等級(jí)稱為業(yè)務(wù)信息安全等級(jí)。從系統(tǒng)服務(wù)安全角度反映的信息系統(tǒng)安全保護(hù)等級(jí)稱系統(tǒng)服務(wù)安全等級(jí)。
1、前期準(zhǔn)備工作：
人員：等級(jí)保護(hù)行業(yè)相關(guān)專家3~5人，企業(yè)方負(fù)責(zé)等級(jí)保護(hù)項(xiàng)目的項(xiàng)目經(jīng)理，網(wǎng)絡(luò)管理員、運(yùn)維管理員，應(yīng)用管理員等。會(huì)議過程中，專家可能會(huì)對(duì)信息系統(tǒng)的基本狀況進(jìn)行詢問。如：網(wǎng)絡(luò)結(jié)構(gòu)，業(yè)務(wù)主體，服務(wù)對(duì)象，數(shù)據(jù)備份情況，安全運(yùn)維情況等。
時(shí)間：與專家協(xié)調(diào)好的會(huì)議時(shí)間。
地點(diǎn)：與專家約定好的會(huì)議地點(diǎn)，一般在企業(yè)會(huì)議室。
需要準(zhǔn)備的文檔：定級(jí)報(bào)告、備案表各三份；定級(jí)過程闡述文檔；電子版專家評(píng)審意見。需注意專家評(píng)審意見中信息系統(tǒng)的名稱，專家一旦簽字，信息系統(tǒng)的名稱將無法更改（如有軟件著作權(quán)，則名稱最好與軟件著作權(quán)名稱一致）。
2、專家評(píng)審流程：
專家簽到 → 確定專家組組長 → 定級(jí)闡述 → 專家就定級(jí)相關(guān)問題進(jìn)行提問 → 專家對(duì)定級(jí)結(jié)果進(jìn)行討論→ 修改專家評(píng)審意見 → 簽字 → 定級(jí)評(píng)審會(huì)議結(jié)束。
3、文檔輸出（電子版+紙質(zhì)蓋章版）
《XXX系統(tǒng)定級(jí)報(bào)告》、《XXX系統(tǒng)備案表》
第二級(jí)以上信息系統(tǒng)，在安全保護(hù)等級(jí)確定后30日內(nèi)，由其運(yùn)營、使用單位或者其主管部門（以下簡稱“備案單位”）到所在地設(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)辦理備案手續(xù)。辦理備案手續(xù)時(shí)，應(yīng)先與所在地設(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)辦（所在地網(wǎng)安大隊(duì)）取得聯(lián)系，詢問所需的備案材料，不同地區(qū)所需的備案材料不盡相同。
依照網(wǎng)安大隊(duì)的要求將備案資料準(zhǔn)備齊全后，到網(wǎng)安大隊(duì)進(jìn)行備案。
1、備案時(shí)應(yīng)提交的材料
* 定級(jí)報(bào)告
* 備案表
* 企業(yè)工商營業(yè)執(zhí)照等相關(guān)資料。
* 法人身份證
* 網(wǎng)絡(luò)安全承諾書
* 24小時(shí)緊急聯(lián)系人
* 三級(jí)及以上信息系統(tǒng)提供備案表中的全部內(nèi)容。
* 對(duì)應(yīng)管理區(qū)網(wǎng)安大隊(duì)要求提供的其他資料
2、網(wǎng)安大隊(duì)受理
辦理備案前應(yīng)先與網(wǎng)安大隊(duì)約定好備案時(shí)間，并準(zhǔn)時(shí)到達(dá)網(wǎng)安大隊(duì)辦理備案。
3、網(wǎng)安大隊(duì)輸出文檔
《信息系統(tǒng)安全等級(jí)保護(hù)備案證明》
相當(dāng)于等級(jí)保護(hù)的差距測(cè)評(píng)（可選，不強(qiáng)制），對(duì)信息系統(tǒng)預(yù)先進(jìn)行的一次模擬測(cè)評(píng)，目的是發(fā)現(xiàn)信息系統(tǒng)安全現(xiàn)狀與國家等級(jí)保護(hù)對(duì)應(yīng)等級(jí)安全防護(hù)能力之前的差距。
出具差距分析報(bào)告及整改意見報(bào)告。
1、現(xiàn)場(chǎng)訪談
測(cè)評(píng)工程是在測(cè)評(píng)過程中需要網(wǎng)絡(luò)管理員、服務(wù)器管理員、數(shù)據(jù)庫管理員、應(yīng)用管理員等人員進(jìn)行現(xiàn)場(chǎng)配合，主要的工作方式為：測(cè)評(píng)工程師說明需要檢查哪些相關(guān)安全策略，客戶的工程師進(jìn)行操作查詢，測(cè)評(píng)工程師負(fù)責(zé)記錄。
人員：網(wǎng)絡(luò)管理員、服務(wù)器管理員、數(shù)據(jù)庫管理員、應(yīng)用管理員等。
文檔：公司所有有關(guān)的安全管理制度、規(guī)范、手冊(cè)等。
2、滲透測(cè)試及漏洞掃描
等級(jí)保護(hù)二級(jí)信息系統(tǒng)需進(jìn)行漏洞掃描，三級(jí)信息系統(tǒng)需進(jìn)行滲透測(cè)試，根據(jù)其結(jié)果進(jìn)行整改。其中高危、中危漏洞必須修復(fù)。整改完成需再次滲透測(cè)試驗(yàn)證，確認(rèn)漏洞修復(fù)有效。
3、整改建議
結(jié)合企業(yè)自身情況進(jìn)行整改。其中高、中危漏洞必須修復(fù)后才能進(jìn)行測(cè)評(píng)。
4、文檔輸出
《等級(jí)保護(hù)差距測(cè)評(píng)報(bào)告》
此部分根據(jù)等級(jí)保護(hù)差距測(cè)評(píng)和加固建議，出具具體的安全加固及整改建議方案，并根據(jù)方案進(jìn)行整改，包括：系統(tǒng)補(bǔ)丁升級(jí)、網(wǎng)絡(luò)及安全產(chǎn)品配置整改、增加相應(yīng)的安全產(chǎn)品、各種環(huán)境整改、制度評(píng)估及整改等。
由擁有國家等級(jí)測(cè)評(píng)資質(zhì)測(cè)評(píng)機(jī)構(gòu)對(duì)企業(yè)的信息系統(tǒng)進(jìn)行等級(jí)測(cè)評(píng)，并出具等級(jí)測(cè)評(píng)報(bào)告。
1、信息安全等級(jí)保護(hù)測(cè)評(píng)的四個(gè)階段
2、信息安全等級(jí)保護(hù)測(cè)評(píng)的基本內(nèi)容
3、文檔輸出
《XXX系統(tǒng)安全等級(jí)測(cè)評(píng)報(bào)告》
