信息安全等级保护与风险评估

以就业为导向，以能力为本位

学习任务引领，工作需求驱动

通用内容为主，特殊内容为辅

前 言

随着我国经济的持续发展和国际地位的不断提高，我国的基础信息网络和重要信息系统面临的安全威胁和安全隐患十分严峻，计算机病毒传播和网络非法入侵猖獗，犯罪分子利用一些安全漏洞，使用黑客病毒技术、网络钓鱼技术、木马间谍程序等进行网络盗窃、网络诈骗、网络赌博等违法活动，带来了大量的社会问题。出于对信息安全的重视，国家陆续出台了信息安全等级保护和风险评估与管理的一系列文件和标准，用以促进和指导信息安全的建设。

为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作的顺利开展，公安部下发了《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号），对等级测评工作、等级测评机构建设以及等级测评人员进行了规范和要求。要求开展等级测评的人员要参加专门培训和考试，并取得由公安部信息安全等级保护评估中心颁发的“信息安全等级测评师证书”（等级测评师分为初级、中级和高级），持证上岗。

本书根据高职高专教育教学特点，面向等级保护测评师岗位，以等级保护工作实施过程所需的技术为主线选择教材内容，阐述如何对一个信息系统进行等级保护定级、安全设计、安全建设、安全测评、安全整改等有关等级保护和风险评估的相关工作。全书共分七个章节，具体内容安排如下：

第一章，介绍了等级保护的基础知识，内容包括：等级保护的来源、发展，等级保护的基本含义、实施原则，等级保护的相关工作部门，以及相关标准简介等。

第二章，介绍了等级保护的实施过程，主要包括等级保护五个环节：信息系统定级、总体安全规划、安全设计与实施、安全运行与维护和信息系统终止的主要工作内容和工作方法等。

第三章，介绍了信息系统定级的方法，包括信息系统定级的重要性、定级要素、主要的定级过程，并以学生最为熟悉的高校教育信息系统为例详细描述了定级的方法和应用。

第四章，介绍了信息系统等级保护测评的方法和过程，主要包括等级保护测评实施过程、测评对象的确定方法、测评内容和测评要求，以及测评方案和测评报告的编制。

第五章，介绍了基于等级保护的信息系统安全建设与整改方法，包括新建系统等级保护设计和已建系统的整改方案设计等。

第六章，介绍了根据国家对“数字海洋”应用系统的定级要求，及等级保护三级标准进行建设方案的分析与设计的过程和方法。

第七章，介绍了信息安全风险评估的基本概念、原则和要求等，给出了信息安全风险评估的一般方法和流程。

本书适合作为计算机相关专业开设的“信息安全等级保护和风险评估”课程的配套教材，也适合作为考取“信息安全等级保护测评师”的学习材料，对从事网络安全管理、网络安全规划与设计的工程技术人员也有一定的参考价值。

本书由重庆电子工程职业学院教师李贺华任主编（编写第1、2、3、5和7章），武春岭、鲁先志、巍嵬（西安理工大学）和宋敦波（西昌学院）任副主编（编写第4、6章和附录），最后由巍嵬博士统稿，胡云兵、李腾、何倩、童均等老师参与部分内容的审稿和修订，对本书编写提出了宝贵意见。本书在编写过程中参考了大量的国际标准、国家标准、专著、教材和网络资源等，在此对其作者表示衷心的感谢。另外，由于编者水平有限，书中难免存在不妥甚至错误之处，请广大读者批评指正，不胜感激。编者的联系方法：lihehuacqcet@yeah.net。

前言

第1章 信息安全与等级保护概述 1
1.1 等级保护的基本概念 1
1.1.1 什么是等级保护 1
1.1.2 等级保护的来源与发展 2
1.1.3 安全等级的划分 3
1.1.4 等级保护基本原则 4
1.2 等级保护主要标准介绍 5
1.2.1 相关标准及其体系结构 5
1.2.2 十大主要标准作用简介 9
1.3 等级保护与风险评估和安全测评 11
1.3.1 三者的基本概念和工作背景 11
1.3.2 三者的内在联系与区别 12
1.3.3 在SDLC过程中三者的实施建议 14
思考与练习 16
第2章 等级保护工作的实施过程 17
2.1 等级保护主要工作 17
2.1.1 等级保护的实施流程 17
2.1.2 相关部门的工作责任 18
2.2 等级保护五个环节 19
2.2.1 信息系统定级 19
2.2.2 总体安全规划 22
2.2.3 安全设计与实施 28
2.2.4 安全运行与维护 36
2.2.5 信息系统终止 44
思考与练习 46
第3章 信息系统的等级保护定级 47
3.1 信息系统定级概述 47
3.1.1 信息系统定级的重要性 47
3.1.2 安全保护等级的定级要素 48
3.1.3 安全保护等级定级方法 49
3.2 等级保护定级主要过程 50
3.2.1 确定定级对象 50
3.2.2 确定受侵害的客体 50
3.2.3 确定对客体的侵害程度 51
3.2.4 确定定级对象的安全保护等级 52
3.2.5 等级变更 53
3.3 教育信息系统分析与定级 53
3.3.1 教育信息系统等级保护的对象 53
3.3.2 教育系统受破坏时侵害的客体 58
3.3.3 教育系统受到破坏对客体的侵害
程度 59
3.3.4 教育信息系统的等级保护级别 60
思考与练习 64
第4章 基于等级保护的安全测评 65
4.1 安全等级测评实施过程 65
4.1.1 测评申请 65
4.1.2 测评准备 67
4.1.3 核查测评 68
4.1.4 测评结果评价 68
4.1.5 测评报告备案 69
4.2 确定测评对象的方法 69
4.2.1 等级测评执行主体 69
4.2.2 测评对象确定原则 69
4.2.3 具体确定方法的说明 70
4.3 等级保护测评内容与实施 72
4.3.1 单元测评内容（以三级系统为例） 72
4.3.2 整体测评内容 108
4.4 测评方案与测评报告编制 110
4.4.1 测评方案编制示例 110
4.4.2 测评报告编制示例 121
思考与练习 123
第5章 等级保护安全建设与整改 125
5.1 等级保护建设整改概述 125
5.1.1 安全建设整改目的 125
5.1.2 安全建设工作内容 126
5.1.3 安全建设整改工作流程 127
5.1.4 理解和掌握《信息安全技术 信息
系统安全等级保护基本要求》 128
5.2 新建系统安全等级保护设计 133
5.2.1 等级保护安全需求分析 133
5.2.2 安全等级与安全设计 135
5.2.3 总体安全设计方法 136
5.3 已建系统安全整改方案设计 142
5.3.1 确定系统改建的安全需求 142
5.3.2 存在差距的原因分析 142
5.3.3 分类处理的改建措施 143
5.3.4 改建措施的详细设计 143
5.4 安全管理措施的建设与整改 144
5.4.1 安全管理制度建设流程 144
5.4.2 落实安全管理措施 145
5.4.3 安全自查与调整 147
5.5 安全技术措施的建设与整改 147
5.5.1 安全技术建设整改流程 147
5.5.2 安全保护技术现状分析 148
5.5.3 安全技术建设整改方案设计 149
5.5.4 安全建设整改工程管理 151
思考与练习 152
第6章 等级保护方案设计与分析 153
6.1 等级保护项目设计概述 153
6.1.1 项目设计要求与任务 153
6.1.2 等级保护的建设流程 154
6.1.3 建设方案参照的标准 155
6.1.4 安全区域框架 156
6.2 系统安全风险与需求分析 157
6.2.1 安全技术需求分析 157
6.2.2 安全管理的需求分析 160
6.3 安全技术体系方案设计 161
6.3.1 方案设计目标 161
6.3.2 方案设计框架 161
6.3.3 安全技术体系设计 162
6.4 安全管理体系的设计 174
6.4.1 安全管理制度 174
6.4.2 安全管理机构 175
6.4.3 人员安全管理 175
6.4.4 系统建设管理 175
6.4.5 系统运维管理 175
6.5 安全运维服务的设计 175
6.5.1 安全扫描 176
6.5.2 人工检查 176
6.5.3 安全加固 176
6.5.4 日志分析 179
6.5.5 补丁管理 179
6.5.6 安全监控 180
6.5.7 安全通告 181
6.5.8 应急响应 181
6.6 方案合规性分析 183
6.6.1 技术部分 183
6.6.2 管理部分 193
思考与练习 201
第7章 信息安全风险评估与实施 202
7.1 等级保护中的风险评估 202
7.1.1 风险评估对等级保护的意义 202
7.1.2 风险评估的主要依据 203
7.2 风险评估框架及流程 204
7.2.1 风险要素与属性关系 204
7.2.2 风险分析主要内容 205
7.2.3 风险评估一般流程 205
7.3 风险评估实施过程 206
7.3.1 风险评估的准备 206
7.3.2 资产识别 207
7.3.3 威胁识别 210
7.3.4 脆弱性识别 212
7.3.5 已有安全措施的确认 214
7.3.6 风险分析 214
7.3.7 风险评估文件记录 216
7.4 风险的计算方法 217
7.4.1 使用矩阵法计算风险 217
7.4.2 使用相乘法计算风险 221
7.5 风险评估的角色与工具 223
7.5.1 风险评估的形式及角色运用 223
7.5.2 风险评估的工具 225
7.6 不同阶段的不同评估要求 226
7.6.1 信息系统生命周期概述 226
7.6.2 生命周期各阶段的风险评估 227
思考与练习 229
附录1 信息系统安全等级保护定级报告 231
附录2 信息系统安全等级保护备案表 235
附录3 涉秘信息系统分级保护备案表 241
附录4 信息系统安全等级测评报告模板 242
附录5 信息系统安全风险评估报告模板 254
附录6 等级测评师培训及考试指南 266
参考文献 272

1. 信息系统项目管理师章节习题与考点特训（第二版） [主编 薛大龙]
2. 信息系统项目管理师5天修炼（第四版） [施游 刘毅 编著]
3. 信息系统项目管理师考试32小时通关（第二版） [薛大龙]
4. 信息系统项目管理师备考一本通 [倪奕文 编著]
5. 信息系统项目管理师案例分析一本通 [王树文]
6. 软考论文高分特训与范文10篇—信息系统项目管理师 [薛大龙]
7. 信息安全技术基础（第二版） [主编 张浩军 陈莉 王峰]
8. 信息安全工程师5天修炼（第二版） [施游 朱小平 编著]
9. 系统规划与管理师章节习题与考点特训 [主编 薛大龙]
10. 管理信息系统（第三版） [王欣 编著]
11. 注册消防工程师考前冲刺密卷（三合一） [靳红雨 王跃琴 杨殿波 张福东]
12. 系统规划与管理师真题精析与命题密卷 [主编 薛大龙]
13. 信息系统项目管理师真题精析与命题密卷 [薛大龙]
14. 信息系统监理师真题精析与命题密卷 [薛大龙]
15. 管理信息系统教程 [黄珍生]
16. 信息系统监理师考试32小时通关 [薛大龙]
17. 信息系统项目管理师考试32小时通关 [主编 薛大龙 ]
18. 信息系统项目管理师5天修炼（第三版） [施游 刘毅 编著]
19. 信息安全工程师5天修炼 [施游 朱小平 编著]
20. 信息系统项目管理师考前冲刺100题 [刘毅 朱小平 编著]
21. 会计信息系统操作案例教程（第二版） [主编 张兴武 石焱]
22. 网络安全技术项目化教程 [主编 段新华 宋风忠]
23. 大型数据库应用与安全 [主编 刘涛 胡凯]
24. 公安信息系统应用教程 [主编 贾学明 刘凌 徐明]
25. 信息安全基础 [主编 曹敏 刘艳]
26. 信息系统项目管理师5天修炼（第二版） [施游 刘毅 编著]
27. Web开发与安全防范 [主编 武春岭]
28. 网络安全技术 [姚奇富]
29. 管理信息系统 [主编 刘芊]
30. 攻克要塞——信息系统项目管理师考试冲刺指南 [刘毅 施游]