1999 年底, 公安部与信息产业部国家安全部国家保密局国家密码管理委员会等相关部门起草了计算机信息系统安全保护等级制度建设纲要 [3], 初步确立了安全保护等级制度的主要适用范围建设目标建设原则建设任务实施步骤及措施等主要问题 2000 年 11 月 10 日, 国家

Size: px

Start display at page:

Download "1999 年底, 公安部与信息产业部国家安全部国家保密局国家密码管理委员会等相关部门起草了计算机信息系统安全保护等级制度建设纲要 [3], 初步确立了安全保护等级制度的主要适用范围建设目标建设原则建设任务实施步骤及措施等主要问题 2000 年 11 月 10 日, 国家"

筌欣常
7 years ago
Views:

1 * 信息安全等级保护研究李和平 / 南京政治学院上海分院上海摘要 : 随着信息技术的高速发展和网络应用的迅速普及, 整个社会对信息系统的依赖日益加深, 面临的信息安全风险也与日俱增实施信息系统安全等级保护, 能够有效地提高我国信息系统安全建设的整体水平文章根据国内信息安全等级保护发展状况, 概述了我国等级保护的发展历程通过对等级保护有关政策和标准的研究, 介绍了等级保护的定级等级保护实施的原则和基本流程等级保护相关标准及其应用实例, 以期能对等级保护的进一步研究应用提供参考关键词 : 信息安全, 等级保护, 定级 DOI: /j.issn 引言在信息化时代, 随着信息技术的高速发展和网络应用的迅速普及, 国家的政治经济文化军事和社会体系的运行对信息系统的依赖日益加深, 信息系统的基础性全局性作用日益增强, 面临的安全风险也与日俱增近年来, 我国信息安全保障工作取得了很大进展, 但是从总体上看, 我国的信息安全保障工作尚处于起步阶段, 基础薄弱, 水平不高, 存在以下突出问题 : 信息安全意识和安全防范能力薄弱, 信息安全滞后于信息化发展 ; 信息系统安全建设和管理的目标不明确 ; 信息安全保障工作的重点不突出 ; 信息安全监督管理缺乏依据和标准, 监管措施有待到位, 监管体系尚待完善保障信息安全, 维护国家安全公共利益和社会稳定, 是当前信息化发展中迫切需要解决的重大问题实施信息系统安全等级保护, 能够有效地提高我国信息和信息系统安全建设的整体水平 [1] 2 发展历程美国国防部早在 80 年代就针对国防部门的计算机安全保密开展了一系列有影响的工作, 并于 1987 年出版了一系列有关可信计算机数据库可信计算机网络的指南等 ( 俗称彩虹系列 ) [2], 根据所采用的安全策略系统所具备的安全功能将系统分为四类七个安全级别, 将计算机系统的可信程度划分为 D C1 C2 B1 B2 B3 和 A1 七个层次 90 年代西欧四国 ( 英法荷德 ) 联合提出了信息技术安全评估标准 (ITSEC),ITSEC( 又称欧洲白皮书 ) 除了吸收 TCSEC 的成功经验外, 首次提出了信息安全的保密性完整性可用性的概念, 把可信计算机的概念提高到可信信息技术的高度上来认识 1991 年 1 月美国联合其他国家共同宣布了制定通用安全评估准则 (CC) 的计划 1996 年 1 月出版了 1.0 版, 它的基础是欧洲的 ITSEC, 美国的包括 TCSEC 在内的新的联邦评估标准, 加拿大的 CTCPEC, 以及国际标准化组织 ISO:SC27WG3 的安全评估标准 CC 标准吸收了各先进国家对现代信息系统信息安全的经验与知识, 对信息安全的研究与应用带来重大影响我国于 80 年代末开始研究信息系统安全防护问题 [2],1994 年国务院颁布中华人民共和国计算机信息系统安全保护条例, 规定计算机信息系统实行安全等级保护这一重大决定, 明确了关于实行信息安全等级保护制度的有关规定, 提出从整体上根本上解决国家信息安全问题的办法 1999 年, 国家标准 GB 计算机信息系统安全保护等级划分准则颁布 [2], 提出从整体上根本上基础上来解决等级保护问题, 对计算机信息系统安全保护能力划分为五个等级, 即 : 用户自主保护级系统审计保护级安全标记保护级结构化保护级和访问验证保护级, 计算机信息系统安全保护能力随着等级的增高逐渐增强 * 本文系国家社科基金青年项目网络信息资源内容安全主动监控体系研究与实现 ( 项目编号 :07CTQ004) 的研究成果之一 11

2 1999 年底, 公安部与信息产业部国家安全部国家保密局国家密码管理委员会等相关部门起草了计算机信息系统安全保护等级制度建设纲要 [3], 初步确立了安全保护等级制度的主要适用范围建设目标建设原则建设任务实施步骤及措施等主要问题 2000 年 11 月 10 日, 国家发展计划委员会正式向公安部印发批复, 同意将计算机信息系统安全保护等级评估认证体系建设项目列入 2000 年国家高技术产业发展项目计划 [3] 建设内容包括在北京和上海分别建立信息产品安全保护等级检测中心和计算机信息系统安全保护等级评估中心等目标是初步建立我国计算机信息系统安全等级保护监督管理系统, 为实施计算机信息系统安全保护等级划分准则提供基本条件 2003 年, 中共中央办公厅国务院办公厅转发了国务院信息化领导小组关于加强信息安全保障的意见 ( 中办发 [2003]27 号 ) [4], 再次强调对信息安全进行等级保护, 提出要重点保护基础信息网络和关系国家安全经济命脉社会稳定等方面的重要信息系统, 抓紧建立信息安全等级保护制度, 制定信息安全等级保护的管理办法和技术指南 [5] 2004 年公安部联合国家保密局国家密码管理局国家保密委员会和国务院信息化工作办公室发布关于信息安全等级保护工作的实施意见 ( 公通字 [2004]66 号 ) [4], 对信息安全等级保护的基本制度框架进行了规划 2005 年底, 公安部和国务院信息化工作办公室联合印发了关于开展信息系统安全等级保护基础调查工作的通知 ( 公信安 [2005]1431 号 ) [6] 2006 年上半年, 公安部会同国信办在全国范围内开展了信息系统安全等级保护基础调查通过基础调查, 基本摸清和掌握了全国信息系统特别是重要信息系统的基本情况, 为制定信息安全等级保护政策奠定了坚实的基础 2006 年 6 月, 公安部国家保密局国家密码管理局国务院信息办联合下发了关于开展信息安全等级保护试点工作的通知 ( 公信安 [2006]573 号 ) [6] 在 13 个省区市和 3 个部委联合开展了信息安全等级保护试点工作通过试点, 完善了开展等级保护工作的模式和思路, 检验和完善了开展等级保护工作的方法思路规范标准, 探索了开展等级保护工作领导组织协调的模式和办法, 为全面开展等级保护工作奠定了坚实的基础 2007 年 6 月, 公安部国家保密局国家密码管理局和国务院信息化工作办公室联合下发了信息安全等级保护管理办法 ( 公通字 [2007]43 号 ) [7], 对信息安全等级的划分与保护等级保护的实施与管理法律责任进行了规定 7 月, 公民法人和其他组织的合法权益社会秩序公共利益国家安全受侵害的客体下发关于开展全国重要信息系统安全等级保护定级工作的通知 ( 公信安 [2007]861 号 ) [6] 对重要信息系统安全等级保护定级工作提出要求, 召开全国重要信息系统定级电视电话会议, 部署在全国范围内开展重要信息系统安全等级保护定级工作 3 等级确定确定信息系统的安全保护等级是实施等级保护的基础信息系统的安全保护等级由两个定级要素决定 : 等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度等级保护对象受到破坏时所侵害的客体包括以下三个方面 :1 公民法人和其他组织的合法权益 ; 2 社会秩序公共利益 ;3 国家安全等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种 :1 造成一般损害 ;2 造成严重损害 ;3 造成特别严重损害定级要素与信息系统安全保护等级的关系如表 1 所示表 1 定级要素与安全保护等级的关系信息系统安全包括业务信息安全和系统服务安全, 与之相关的受侵害客体和对客体的侵害程度可能不同, 因此, 信息系统定级也应由第一级第三级对客体的侵害程度一般损害严重损害特别严重损害第三级第四级第四级第五级业务信息安全和系统服务安全两方面确定从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级, 从系统服务安全 12

3 角度反映的信息系统安全保护等级称系统服务安全保护等级, 作为定级对象的信息系统的安全保护等级由业务信息安全保护等级和系统服务安全保护等级的较高者决定确定信息系统安全保护等级的一般流程如图 1 2 确定业务信息安全受到破坏时所侵害的客体 3 综合评定对客体的侵害程度 4 业务信息安全等级 1 确定定级对象 5 确定系统服务安全受到破坏时所侵害的客体 6 综合评定对客体的侵害程度 7 系统服务安全等级 8 定级对象的安全保护等级图 1 确定等级一般流程 4 等级保护的实施信息系统安全等级保护的核心是对信息系统分等级按标准进行建设管理和监督信息系统安全等级保护实施过程中应遵循以下基本原则 [9] : (1) 自主保护原则信息系统运营使用单位及其主管部门按照国家相关法规和标准, 自主确定信息系统的安全保护等级, 自行组织实施安全保护 (2) 重点保护原则根据信息系统的重要程度业务特点, 通过划分不同安全保护等级的信息系统, 实现不同强度的安全保护, 集中资源优先保护涉及核心业务或关键信息资产的信息系统 (3) 同步建设原则信息系统在新建改建扩建时应当同步规划和设计安全方案, 投入一定比例的资金建设信息安全设施, 保障信息安全与信息化建设相适应 (4) 动态调整原则要跟踪信息系统的变化情况, 调整安全保护措施由于信息系统的应用类型范围等条件的变化及其他原因, 安全保护等级需要变更的, 应当根据等级保护的管理规范和技术标准的要求, 重新确定信息系统的安全保护等级, 根据信息系统安全保护等级的调整情况, 重新实施安全保护等级保护实施的基本流程如图 2 所示 [9] : 信息系统定级总体安全规划安全设计与实施安全运行与维护信息系统终止图 2 信息系统安全等级保护实施的基本流程等级变更局部调整13 在安全运行与维护阶段, 信息系统因需求变化等原因导致局部调整, 而系统的安全保护等级并未改变, 应从安全运行与维护阶段进入安全设计与实施阶段, 重新设计调整和实施安全措施, 确保满足等级保护的要求 ; 但信息系统发生重大变更导致系统安全保护等级变化时, 应从安全运行与维护阶段进入信息系统定级阶段, 重新开始一轮信息安全等级保护的实施过程值得注意的是, 在信息系统生命周期中, 有些系统并不是真正意义上的废弃, 而是改进技术或转变业务到新的信息系统, 对于这些信息系统在终止处理过程中应确保信息转移设备迁移和介质销毁等方面的安全 5 主要标准信息安全等级保护工作涉及信息安全科学基础系统建设产品测评管理等多个方面工作 [6], 为保障全面实施信息安全等级保护制度, 必须建立信息安全等级保护标准体系经过公安部国信安标委标准编制企事业单位有关专家等多方努力, 多年攻关, 目前, 已基本形成了由 50 多个国家标准和公共安全行业标准构成的比较完整的信息安全等级保护标准体系, 基本能够满足国家信息安全等级保护制度全面实施的需求信息安全等级保护管理办法规定了信息系统运营使用单位在等级保护工作中按照或参照国家行业技术标准开展系统定级建设整改测评等工作, 鼓励重要行业根据行业特点制定等级保护行业标准 (1) 计算机信息系统安全保护等级划分准则 GB

4 计算机信息系统安全保护等级的划分是建立安全保护等级制度的重要基础和核心, 公安部专门组织力量, 经过反复研究论证, 起草了强制性国家标准计算机信息系统安全保护等级划分准则 GB [3] 准则是建立计算机信息系统安全保护等级制度, 实施安全保护等级管理的重要基础性标准, 为开展我国计算机信息系统安全等级保护工作奠定了基础准则将计算机信息系统安全保护能力划分为五级, 即第一级 : 用户自主保护级, : 系统审计保护级, 第三级 : 安全标记保护级, 第四级 : 结构化保护级, 第五级 : 访问验证保护级, 计算机信息系统安全保护能力随着等级的增高逐渐增强旨在达到以下三个目的 : 一是为计算机信息系统安全法规的制定和执法部门的监督检查提供依据 ; 二是为安全产品的研制提供技术支持 ; 三是为安全系统的建设和管理提供技术指导准则的发布和实施, 极大地促进我国计算机信息系统安全保护等级工作的发展 (2) 信息安全技术信息系统安全等级保护定级指南 GB/ T 是信息系统安全保护等级确定标准 [6], 属于管理规范, 规范了信息系统安全保护等级的定级方法 (3) 信息安全技术信息系统安全等级保护实施指南 ( 国家标准报批稿, 全国信息安全标准化技术委员会文件, 信安字 [2007]10 号 ) 是信息系统安全等级保护实施的过程控制标准, 规范了信息系统安全等级保护的实施各阶段内容和过程控制问题 [6] (4) 信息安全技术信息系统安全等级保护基本要求 GB/ T [10] 规定了不同安全保护等级信息系统的基本保护要求根据实现方式的不同, 基本安全要求分为基本技术要求和基本管理要求两大类基本技术要求从物理安全网络安全主机安全应用安全和数据安全几个层面提出 ; 基本管理要求从安全管理制度安全管理机构人员安全管理系统建设管理和系统运维管理几个方面提出, 基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分 [6] 该标准需与以下国家标准及其他标准规范配合使用, 规范指导信息系统安全等级保护整改建设工作 : 信息安全技术系统安全等级保护通用安全技术要求 GB/ T ; 信息安全技术网络基础安全技术要求 GB/T ; 信息安全技术操作系统安全技术要求 GB/T ; 信息安全技术操作系统安全评估准则 GB/T ; 信息安全技术数据库管理系统安全技术要求 GB/ T ; 信息安全技术数据库管理系统安全评估准则 GB/T (5) 信息安全技术信息系统安全工程管理要求 GB/ T [6] 是信息系统安全等级保护管理标准之一, 规范信息系统安全等级保护方案技术集成和工程实施过程控制问题 (6) 信息安全技术信息系统安全管理要求 GB/T [6] 是信息系统安全等级保护管理标准, 规范信息系统生命周期的安全等级保护技术和相关人员问题的管理工作 6 主要应用在关于开展全国重要信息系统安全等级保护定级工作的通知 ( 公信安 [2007]861 号 ) 中, 对需要进行等级保护定级的重要信息系统作出了明确 : (1) 电信广电行业的公用通信网广播电视传输网等基础信息网络, 经营性公众互联网信息服务单位互联网接入服务单位数据中心等单位的重要信息系统 (2) 铁路银行海关税务民航电力证券保险外交科技发展改革国防科技公安人事劳动和社会保障财政审计商务水利国土资源能源交通文化教育统计工商行政管理邮政等行业部门的生产调度管理办公等重要信息系统 (3) 市 ( 地 ) 级以上党政机关的重要网站和办公信息系统 (4) 涉及国家秘密的信息系统此后, 各行各业和党政部门都抓紧进行等级保护的部署和实施工作如北京市自 2006 年初就开展信息安全等级保护工作,2006 年初颁布了北京市公共服务网络与信息系统安全管理规定 [11], 为开展等级保护工作提供了规范和法律依据 2007 年 4 月北京市公安局依据国家和北京市相关法规文件, 制定了北京市公安局开展信息安全等级保护工作方案 [11], 明确了各部门在等级保护工作中的职责分工和任务通过对北京农村商业银行和中国长城资产管理公司两个单位的试点工作, 积累了等级保护监督管理工作经验, 完善了北京市开展信息等级安全保护工作的具体流程和 14

5 本期话题内容网络行业协会信息安全应急响应与 2007 年 12 月 24 日市长办处置中心 [13] 中心由北京市网络行政府行政管理部门改善和加强全市应对信息安全突发事件的能力和管理需求 [13] 公会专门听取了公安局开展信息安业协会召集在京的数十家重点网络全等级保护工作情况的汇报通过与信息安全企业共同组建而成目了关于进一步加强北京市重要信的主要是致力于解决北京市社会领息系统信息安全等级保护工作的意域重要信息系统应对突发信息安全见同意对北京市公共服务网事件的问题通过相应的信息安全本文通过对我国信息系统安络与信息系统安全管理规定北应急响应手段和技术以建立长效全等级保护发展历程的回顾和对相京市人民政府第 163 号令中有关信息安全应急响应与处置机制为目关技术标准的研究介绍了等级保信息安全等级保护若干问题作补充的以建立专职信息安全应急响应护的定级实施并对相关国家标和研究建立城市信息安全应急响应与处置队伍为保障同组织管理准和行业标准及北京市实施等级保预案制定制度规范操作流程等护的有关情况进行了简介信息系综合措施相匹配确保及时发现统安全等级保护在我国迅速推广实市重要信息系统的安保需求完善跟踪分析和确认有重大危害的信施取得了很大进展但也有许多城市信息安全体系提高全社会信息安全事件并对其进行响应从问题需要研究解决希望通过本文息安全意识 2008 年 4 月 1 日北而降低社会领域重要信息系统面临的介绍能在更多的行业和领域进京网络行业协会宣布正式成立北京的风险和可能造成的损失并配合行等级保护研究推广和使用与处置中心 [12] 为了满足奥运期间社会领域城 7 结语参考文献 [1] 公安部,等.关于信息安全等级保护工作的实施意见[EB/OL].[ ]. [2] 张晔.浅谈网络信息安全等级保护制度[EB/OL].[ ]. [3] 赵林.我国计算机信息系统安全等级保护制度及有关政策上 [J].网络安全技术与应用,2002(8): [4] 李承.我国信息安全等级保护法律框架及其完善[J].信息化建设,2009(5): [5] 张志军.关于信息等级保护中操作系统技术要求等级分类的研究[D].北京北京图书馆 [6] 郭启全.国家信息安全等级保护工作的开展与实施][J].警察技术,2007(5):9-12. [7]公安部等. 信息安全等级保护管理办法[EB/OL].[ ]. [8] 中国标准出版社第四编辑室.信息安全标准汇编信息安全管理卷 [M].北京中国标准出版社,2008: [9] 全国信息安全标准化技术委员会.信息安全技术信息系统安全等级保护实施指南[EB/OL].[ ]. [10] 中国标准出版社第四编辑室.信息安全标准汇编信息安全管理卷 [M].北京中国标准出版社,2008: [11] 国家信息安全等级保护工作协调小组办公室.北京市积极探索开拓创新全力推进首都信息安全等级保护工作信息安全等级保护工作[J]. 信息安全等级保护工作简报,2007(4):1-6. [12] 国家信息安全等级保护工作协调小组办公室.北京市公安局加速推进全市信息安全等级保护工作[J].信息安全等级保护工作简报,2008(35):1-4. [13] 新华网.北京网络协会信息安全应急中心成立[EB/OL].[ ]. 作者简介李和平(1982-) 硕士研究生,主要研究领域为信息安全通讯地址北京市西城区地安门西大街34号 lhp_2009@chinaren.com Research on Classiﬁed Protection of Information Security Li Heping / Shanghai Branch of Nanjing Political College, Shanghai, Abstract: With the rapid development of the information technology and the wide spread of the application of internet, the operating of the whole society depends on information system more and more deeply and the risk of the information security is increasing day by day. The classiﬁed protection of information system security can effectively improve the building of the information system security in China. According to the development situation in China, this paper gives a summary of the course of classiﬁed protection of information system security in China. On the research of the polices and standards, it introduces the classiﬁcation, the implementation, some standards and some application examples of information system security. And hoping that this research can give some help to the further study and application. Key words: Information security, Classiﬁed protection, Classiﬁcation 收稿日期年第9期总第64期

关于信息安全等级保护工作的实施意见

关于信息安全等级保护工作的实施意见公安部国家保密局国家密码管理局国务院信息化工作办公室文件公通字 [2004]66 号关于印发关于信息安全等级保护工作的实施意见的通知各省自治区直辖市公安厅 ( 局 ) 保密局国家密码管理委员会办公室信息化领导小组办公室, 新疆生产建设兵团公安局保密局国家密码管理委员会办公室信息化领导小组办公室, 中央和国家机关各部委保密委员会办公室, 各人民团体保密委员会办公室