(安全生产)信息安全等级保护安全建设整改工作指南信息安全等级保护.docx

附件2信息安全等级保护安全建设整改工作指南中华人民共和国公安部二◦◦九年十月为便于信息安全等级保护安全建设整改工作相关单位全面了解和掌握安全建设整改工作所依据的技术标准规范,以及安全建设整改工作的目标、内容和方法,公安部编写了《信息安全等级保护安全建设整改工作指南》 ,供参考。本指南包括总则、安全管理制度建设、安全技术措施建设三个部分,附录是信息安全等级保护主要标准简要说明。由于时间仓促,经验不足,不妥之处,敬请批评指正。目录1总则 (1) (1) (1) (2) (3) (5)2安全管理制度建设 (6) (7) (7),制定安全管理制度 (8) (8)人员安全管理 (8) (8)环境和资产安全管理 (8)设备和介质安全管理 (9)日常运行维护 (9)集中安全管理 (9)事件处置与应急响应 (9)灾难备份 (9)安全监测 (10)其他安全管理 (10) (10) (10)3安全技术措施建设 (10) (11)信息系统现状分析 (11) (12)安全需求论证和确定 (12) (12),设计总体技术方案 (12)确定安全技术策略 (12)设计总体技术方案 (12) (13)物理安全设计 (13)通信网络安全设计 (13)区域边界安全设计 (13)主机系统安全设计 (13)应用系统安全设计 (14)备份和恢复安全设计 (14) (14)建设经费预算 (14)工程实施计划 (14) (15) (15)工程实施和管理 (15) (15)安全等级测评 (15)附录:信息安全等级保护主要标准简要说明 (17)总则工作目标信息系统运营使用单位在做好信息系统安全等级保护定级备案工作基础上,按照国家有关规定和标准规范要求,开展信息安全等级保护安全建设整改工作。通过落实安全责任制,开展管理制度建设、技术措施建设,落实等级保护制度的各项要求,使信息系统安全管理水平明显提高,安全保护能力明显增强,安全隐患和安全事故明显减少,有效保障信息化健康发展,维护国家安全、社会秩序和公共利益。工作内容信息系统运营使用单位在开展信息安全等级保护安全建设整改工作中,应按照国家有关规定和标准规范要求,坚持管理和技术并重的原则,将技术措施和管理措施有机结合,建立信息系统综合防护体系,提高信息系统整体安全保护能力。要依据《信息系统安全等级保护基本要求》(以下简称《基本要求》),落实信息安全责任制,建立并落实各类安全管理制度,开展人员安全管理、系统建设管理和系统运维管理等工作,落实物理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施,具体内容如图1所示。信息系统安全等级保护基本要求安全技术建设整改安全管理建设整改安全管理机构岗位设置人员配备授权和审批沟通和合作审核和检查安全管理制度管理制度制定和发布评审和修订系统建设管理定级备案安全方案设计产品采购使用自行软件开发外包软件开发工程实施测试验收系统交付安全服务选择等级测评人员安全管理人员录用人员离岗人员考核教育和培训人员访问管理系统运维管理环境管理资产管理介质管理设备管理监控管理安全管理中心网络安全管理系统安全管理变更管理备份恢复管理事件处置应急响应物理安全机房位置选择防火防雷防水防潮防静电物理访问控制防盗窃防破坏温湿度控制电力供应电磁防护网络安全区域划分边界防护访问控制安全审计入侵防范病毒防护通信保护数据保密性数据完整性备份与恢复主机安全身份鉴别访问控制安全审计入侵防范病毒防护资源控制安全标记剩余信息保护应用安全身份鉴别访问控制安全审计通信完整性通信保密性软件容错资源控制安全标记剩余信息保护抗抵赖图1:信息系统安全建设整改主要内容需要说明的是:不同级别信息系统安全建设整改的具体内容应根据信息系统定级时的业务信息安全等级和系统服务安全等级,以及信息系统安全保护现状确定。信息系统安全建设整改工作具体实施可以根据实际情况,将安全管理和安全技术整改内容一并实施,或分步实施。。第一步:制定信息系统安全建设整改工作规划,对信息系统安全建设整改工作进行总体部署;第二步:开展信息系统安全保护现状分析,从管理和技术两个方面确定信息系统安全建设整改需求;第三步:确定安全保护策略