信息安全等级保护的分析.doc

信息安全等级保护的分析
1信息安全等级保护

此级别功能最全,除具备上述所有级别功能外,对系统加设了访问验证保护,以此不但记录访问者对系统的访问历史,还对访问者的访问权限进行设置,确保信息被安全使用,保障信息不外泄。

对于一些需要特殊保护和隔离的信息系统,如我国的国防部、国家机关以及重点科研机构等特殊机构的信息系统,在进行信息安全保护时,要严格按照国家颁布的关于信息安全等级保护的相关政策制度以及法律法规的规定要求对信息系统进行等级保护。根据需被保护的信息的类别和价值的不同,通常其受到保护的安全等级也不同。此举目的为在保护信息安全的同时降低运作成本。
2信息安全等级保护的基本要求
信息安全等级保护的基本要求分为技术和管理两大类。技术部分是要求在信息安全保护过程中采取安全技术措施,使系统具备对抗外来威胁和受到破坏后自我修复的能力,主要涉及到物理、网络、主机、应用安全和数据恢复功能等技术的应用。管理部分是要求在信息系统的全部运行环节中对各运行环节采取控制措施。管理过程要求对制度、政策、人员和机构都提出要求,涉及到安全保护等级管理、工程建设管理、系统的运行与维护管理以及应急预案管理等管理环节。
3信息安全等级保护的方法

信息安全等级保护涉及到多个环节,需要各相关部门共同参与,合力完成。安全等级保护的环节大体上分为以下九步:(1)确定系统等级作为实现信息等级保护的前提,确定信息系统的安全保护等级是必不可缺的步骤。用户要严格按照国家规范标准给所使用的信息系统科学确定等级。(2)等级审批信息系统主管部门对信息系统的安全等级进行审批调整,但调整时要按照规定,只能将等级调高。(3)确定安全需求信息系统的安全需求可反映出该等级的信息系统普遍存在的安全需求。信息系统在确定安全需求时要依赖该系统的安全等级,但因为信息系统普遍存在可变性,因此用户在确定安全需求时还要根据自身实际情况确定自己系统的安全需求。(4)制定安保方案当信息系统的等级和安全需求确定后,针对已掌握情况制定出包括技术安全和管理安全在内的最佳安全保护方案。(5)安全产品选型安全产品的选择直接决定了安全保护工作是否能够成功实现。因此在安全产品的选择过程中,不仅要对产品的可信度和功能进行认真审查,还要求国家相关部门监管产品的使用情况。(6)安全测评测评的目的在于确定系统安全保护的实现,以保证信息安全。若测评不能达到预期目标,要及时进行重新调整。(7)等级备案安全保护等级在三级以上的信息系统,其用户和运营商需要向地市级以上公安机关备案。跨地域的信息系统的备案由其主管部门在当地同级公安机关完成,分系统的备案由其用户和运营商完成。(8)监督管理信息系统的监管工作主要是监督安全产品的使用情况,并对测评机构和信息系统的登记备案进行监管。(9)运行维护该环节主要目的在于通过运行确定系统的信息安全,还可以重新确定对产生变化的信息系统的安全保护等级。以上环节在实现信息系统的安全等级保护过程中极其重要,不可跨环节、
漏环节操作。

信息安全等级保护分为物理安全保护和网络系统安全保护两类。对于物理安全保护,又分为必要考虑和需要考虑两个安全层面。对于必要考虑的物理安全方面:对于主机房等场所设施来说,要做