前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇信息安全等級(jí)保護(hù)辦法范文，相信會(huì)為您的寫作帶來幫助，發(fā)現(xiàn)更多的寫作思路和靈感。

信息安全等級(jí)保護(hù)辦法范文第1篇

根據(jù)《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)［200］27號(hào)）、《北京市政務(wù)與公共服務(wù)信息化工程建設(shè)管理辦法》（市政府第67號(hào)令）、《北京市信息化工作領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的實(shí)施意見》（京辦發(fā)［200］3號(hào)）以及其他有關(guān)法律、法規(guī)的規(guī)定，結(jié)合本市實(shí)際情況，現(xiàn)就本市黨政機(jī)關(guān)開展網(wǎng)絡(luò)與信息系統(tǒng)安全等級(jí)保護(hù)工作的有關(guān)要求通知如下：

一、充分認(rèn)識(shí)開展安全等級(jí)保護(hù)工作的重要意義

為進(jìn)一步提高信息安全保障能力和防護(hù)水平，維護(hù)國(guó)家安全、社會(huì)穩(wěn)定，保障和促進(jìn)信息化建設(shè)的健康發(fā)展，國(guó)務(wù)院在全面分析全國(guó)信息安全保障工作形勢(shì)的基礎(chǔ)上，針對(duì)存在問題，明確指示要抓緊建立信息安全等級(jí)保護(hù)制度，制定信息安全等級(jí)保護(hù)管理辦法和技術(shù)指南，突出重點(diǎn)，切實(shí)保護(hù)好基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國(guó)家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)。國(guó)務(wù)院的指示對(duì)于加強(qiáng)信息安全保障工作十分重要，我市要認(rèn)真貫徹執(zhí)行。

開展安全等級(jí)保護(hù)工作就是依據(jù)網(wǎng)絡(luò)與信息系統(tǒng)的重要程度和面臨的安全風(fēng)險(xiǎn)等因素，綜合平衡安全成本和風(fēng)險(xiǎn)，劃分系統(tǒng)的安全等級(jí)，優(yōu)化資源配置，進(jìn)行建設(shè)和管理。

開展安全等級(jí)保護(hù)工作是關(guān)系到信息化建設(shè)全局的重要舉措，是做好信息安全保障工作基本思路，是網(wǎng)絡(luò)與信息系統(tǒng)基礎(chǔ)設(shè)施建設(shè)的重要內(nèi)容，是一個(gè)非靜止、非僵化的系統(tǒng)工程。切實(shí)做好安全等級(jí)保護(hù)工作，建立安全等級(jí)保護(hù)制度，能夠使我市的網(wǎng)絡(luò)與信息系統(tǒng)防護(hù)水平從“獨(dú)立運(yùn)行、自主保護(hù)”的狀況盡快過渡到“統(tǒng)一管理平臺(tái)、統(tǒng)一安全標(biāo)準(zhǔn)”的階段；能夠有效地提高網(wǎng)絡(luò)與信息系統(tǒng)安全建設(shè)的整體水平，增強(qiáng)使用效益；能夠使信息安全與信息化建設(shè)協(xié)調(diào)發(fā)展，減少建設(shè)成本；重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國(guó)家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)的安全；能夠明確國(guó)家、法人和其他組織、公民的信息安全責(zé)任；能夠有力推動(dòng)信息安全產(chǎn)業(yè)發(fā)展，探索一套適應(yīng)社會(huì)主義市場(chǎng)經(jīng)濟(jì)發(fā)展的信息安全發(fā)展模式。同時(shí)，開展安全等級(jí)保護(hù)工作也是加速首都現(xiàn)代化建設(shè)和成功舉辦2008年奧運(yùn)會(huì)的迫切需要。

二、加強(qiáng)對(duì)安全等級(jí)保護(hù)工作的指導(dǎo)和管理

在北京市網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組的統(tǒng)一領(lǐng)導(dǎo)下，市信息辦會(huì)同有關(guān)部門負(fù)責(zé)本市黨政機(jī)關(guān)網(wǎng)絡(luò)與信息系統(tǒng)安全等級(jí)保護(hù)的統(tǒng)籌規(guī)劃、綜合協(xié)調(diào)和監(jiān)督檢查，并對(duì)重要網(wǎng)絡(luò)與信息系統(tǒng)的安全等級(jí)保護(hù)定期進(jìn)行檢查指導(dǎo)，并定期通報(bào)。

各區(qū)縣信息化主管部門會(huì)同有關(guān)部門負(fù)責(zé)本區(qū)縣黨政機(jī)關(guān)網(wǎng)絡(luò)與信息系統(tǒng)安全等級(jí)保護(hù)的統(tǒng)籌規(guī)劃、綜合協(xié)調(diào)和監(jiān)督檢查。

本市各級(jí)黨政機(jī)關(guān)負(fù)責(zé)本單位網(wǎng)絡(luò)與信息系統(tǒng)安全等級(jí)保護(hù)的組織實(shí)施。

涉及到國(guó)家秘密的網(wǎng)絡(luò)與信息系統(tǒng)按照國(guó)家和本市有關(guān)保密規(guī)定執(zhí)行。

北京市信息安全測(cè)評(píng)中心負(fù)責(zé)本市各級(jí)黨政機(jī)關(guān)重要網(wǎng)絡(luò)與信息系統(tǒng)實(shí)行安全等級(jí)保護(hù)過程中的檢查評(píng)估和驗(yàn)收的安全測(cè)評(píng)。

各單位在自定級(jí)過程中，可以委托專業(yè)信息安全服務(wù)機(jī)構(gòu)協(xié)助完成，市信息辦將定期公布通過信息安全服務(wù)能力評(píng)估的機(jī)構(gòu)目錄。

三、開展安全等級(jí)保護(hù)工作的實(shí)施計(jì)劃

本市各級(jí)黨政機(jī)關(guān)網(wǎng)絡(luò)與信息系統(tǒng)均要開展安全等級(jí)保護(hù)工作。新建和已建成但未正式運(yùn)行的網(wǎng)絡(luò)與信息系統(tǒng)要按照安全等級(jí)保護(hù)制度的有關(guān)要求進(jìn)行建設(shè)；已經(jīng)正式運(yùn)行的網(wǎng)絡(luò)與信息系統(tǒng)要按計(jì)劃逐步納入安全等級(jí)保護(hù)制度；網(wǎng)絡(luò)與信息系統(tǒng)結(jié)構(gòu)和功能等要素發(fā)生變化，要及時(shí)重新進(jìn)行風(fēng)險(xiǎn)評(píng)估、安全定級(jí)和檢測(cè)評(píng)估。各單位均應(yīng)根據(jù)所核定的安全等級(jí)進(jìn)行使用和管理。主要職責(zé)是：落實(shí)相應(yīng)的管理制度和技術(shù)保護(hù)要求，組織管理人員和技術(shù)人員進(jìn)行安全教育培訓(xùn)；適時(shí)進(jìn)行安全應(yīng)急預(yù)案的演練；定期組織自評(píng)估，保持系統(tǒng)良好的安全狀態(tài)；認(rèn)真履行信息安全等級(jí)管理職責(zé)，協(xié)助主管部門做好網(wǎng)絡(luò)與信息系統(tǒng)的安全等級(jí)保護(hù)檢查工作。

安全等級(jí)保護(hù)是一項(xiàng)基礎(chǔ)性、長(zhǎng)期性的工作，各單位均要將其作為一項(xiàng)重要內(nèi)容納入整個(gè)信息化建設(shè)過程的始終，切實(shí)抓好落實(shí)工作。在全市黨政機(jī)關(guān)建立網(wǎng)絡(luò)與信息系統(tǒng)的安全等級(jí)保護(hù)制度，計(jì)劃用三年時(shí)間，分為四個(gè)步驟。

準(zhǔn)備階段：200年6月底完成。主要做好以下工作：明確主管部門、專業(yè)技術(shù)支撐單位和使用單位的職責(zé)、權(quán)利和義務(wù)，理順關(guān)系，建立協(xié)調(diào)配合和管理的運(yùn)行機(jī)制；依照國(guó)家有關(guān)法規(guī)，制定、完善安全等級(jí)保護(hù)工作的相關(guān)的配套文件；廣泛開展宣傳教育工作，組織培訓(xùn)，特別是對(duì)監(jiān)管隊(duì)伍和專業(yè)技術(shù)支撐單位人員的培訓(xùn)，在思想認(rèn)識(shí)、政策理論、管理和技術(shù)等方面作好充足準(zhǔn)備。

試行階段：200年底前完成。在前期準(zhǔn)備的基礎(chǔ)上，全面展開建立安全等級(jí)保護(hù)制度的工作。工作內(nèi)容包括：自定級(jí)、備案、建設(shè)整改、檢查評(píng)估。其中，200年9月底前，各單位要完成自身網(wǎng)絡(luò)與信息系統(tǒng)的自定級(jí)工作；200年10月底前，各單位要完成3級(jí)以上的網(wǎng)絡(luò)與信息系統(tǒng)向市信息辦備案工作；200年6月底前，各單位要完成對(duì)正在運(yùn)行的3級(jí)以上的網(wǎng)絡(luò)與信息系統(tǒng)的整改工作；200年12月底前，完成對(duì)本市部分重要網(wǎng)絡(luò)與信息系統(tǒng)的檢查評(píng)估工作。

完善階段：200年12月底前完成。其中，200年6月底前完成本市黨政機(jī)關(guān)開展安全等級(jí)保護(hù)的總結(jié)工作、相關(guān)配套文件的修訂工作和信息安全測(cè)評(píng)基礎(chǔ)設(shè)施能力建設(shè)工作；200年12月底前，完成本市重要網(wǎng)絡(luò)與信息系統(tǒng)的檢查評(píng)估工作。

正常階段：200年開始，全市各級(jí)黨政機(jī)關(guān)全面推行網(wǎng)絡(luò)與信息系統(tǒng)安全等級(jí)保護(hù)制度，轉(zhuǎn)入經(jīng)常性工作。各單位每年應(yīng)對(duì)其自身的網(wǎng)絡(luò)與信息系統(tǒng)進(jìn)行一次自評(píng)估；市信息辦每?jī)赡陮?duì)本市各級(jí)黨政機(jī)關(guān)重要網(wǎng)絡(luò)與信息系統(tǒng)進(jìn)行一次檢查評(píng)估。

各單位要認(rèn)真執(zhí)行安全等級(jí)保護(hù)的有關(guān)規(guī)定，認(rèn)真落實(shí)安全等級(jí)保護(hù)制度，自覺接受主管部門的檢查指導(dǎo)，切實(shí)做好信息安全保障工作。

四、堅(jiān)決落實(shí)安全等級(jí)保護(hù)工作的各項(xiàng)措施

各單位要認(rèn)真貫徹執(zhí)行國(guó)家和本市關(guān)于信息化建設(shè)和信息安全保障工作的一系列指示、要求和規(guī)定，切實(shí)保證信息安全等級(jí)保護(hù)工作的順利開展。

(一)各單位在立項(xiàng)前對(duì)其網(wǎng)絡(luò)與信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，依據(jù)《北京市黨政機(jī)關(guān)網(wǎng)絡(luò)與信息系統(tǒng)安全定級(jí)指南》（見附件）自行確定安全等級(jí)。3級(jí)以上網(wǎng)絡(luò)與信息系統(tǒng)應(yīng)填寫《北京市黨政機(jī)關(guān)網(wǎng)絡(luò)與信息信息安全定級(jí)備案（審查）表》，報(bào)市信息化主管部門審查。未經(jīng)審查的，依據(jù)北京市人民政府第67號(hào)令《北京市政務(wù)與公共服務(wù)信息化工程建設(shè)管理辦法》第八條規(guī)定，主管部門不予批準(zhǔn)立項(xiàng)，財(cái)政部門不予撥款。

(二)在信息化項(xiàng)目預(yù)算時(shí)，各單位要按照等級(jí)保護(hù)的要求將安全等級(jí)保護(hù)的各項(xiàng)費(fèi)用（風(fēng)險(xiǎn)評(píng)估、方案設(shè)計(jì)、工程實(shí)施、測(cè)評(píng)驗(yàn)收、工程監(jiān)理等）列入項(xiàng)目預(yù)算；在網(wǎng)絡(luò)與信息系統(tǒng)運(yùn)行后，也要按照安全等級(jí)保護(hù)的要求將相關(guān)費(fèi)用列入系統(tǒng)運(yùn)行維護(hù)費(fèi)。

(三)各單位的重要網(wǎng)絡(luò)與信息系統(tǒng)在正式投入運(yùn)行前應(yīng)依據(jù)北京市人民政府第67號(hào)令《北京市政務(wù)與公共服務(wù)信息化工程建設(shè)管理辦法》第十三條規(guī)定，經(jīng)過安全測(cè)評(píng)認(rèn)證，未經(jīng)測(cè)評(píng)認(rèn)證的，不得投入運(yùn)行。

(四)北京信息安全測(cè)評(píng)中心在測(cè)評(píng)過程中必須堅(jiān)持客觀公正、實(shí)事求是的原則，出具真實(shí)的測(cè)評(píng)報(bào)告，市信息辦對(duì)安全等級(jí)保護(hù)測(cè)評(píng)活動(dòng)進(jìn)行監(jiān)督管理，對(duì)違反上述原則，出具虛假報(bào)告等行為的將追究有關(guān)領(lǐng)導(dǎo)和責(zé)任人的責(zé)任；情節(jié)嚴(yán)重構(gòu)成犯罪的，由有關(guān)部門追究其法律責(zé)任。

(五)專業(yè)信息安全服務(wù)機(jī)構(gòu)為本市各級(jí)黨政機(jī)關(guān)提供信息安全服務(wù)應(yīng)符合國(guó)家和本市的有關(guān)規(guī)定，北京信息安全測(cè)評(píng)中心應(yīng)定期了解為本市各級(jí)黨政機(jī)關(guān)提供信息安全服務(wù)機(jī)構(gòu)的有關(guān)情況、征求用戶意見，對(duì)有問題的單位提出建議和警告，問題嚴(yán)重的應(yīng)取消其信息安全服務(wù)能力等級(jí)證書并予以公布。

(六)市信息辦加強(qiáng)對(duì)安全等級(jí)保護(hù)工作的指導(dǎo)和監(jiān)督檢查。對(duì)違反有關(guān)規(guī)定的，要及時(shí)進(jìn)行糾正；情節(jié)嚴(yán)重并造成重大損失的，由其上級(jí)主管部門依照有關(guān)規(guī)定追究單位負(fù)責(zé)人和有關(guān)人員的行政責(zé)任。構(gòu)成犯罪的，由有關(guān)部門追究其法律責(zé)任。

五、切實(shí)加強(qiáng)對(duì)安全等級(jí)保護(hù)工作的組織領(lǐng)導(dǎo)

信息安全等級(jí)保護(hù)辦法范文第2篇

本報(bào)訊 7月20日，公安部、國(guó)務(wù)院信息辦等4部門在北京聯(lián)合召開“全國(guó)重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作電視電話會(huì)議”，部署在全國(guó)范圍內(nèi)開展重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作(以下簡(jiǎn)稱“定級(jí)工作”)。國(guó)家信息安全等級(jí)保護(hù)協(xié)調(diào)小組組長(zhǎng)、公安部副部長(zhǎng)張新楓，國(guó)務(wù)院信息化工作辦公室副主任、國(guó)家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組辦公室主任楊學(xué)山出席會(huì)議并講話。

張新楓指出，當(dāng)前，我國(guó)信息安全面臨的形勢(shì)仍然十分嚴(yán)峻，維護(hù)國(guó)家信息安全的任務(wù)非常艱巨、繁重。隨著我國(guó)經(jīng)濟(jì)的持續(xù)發(fā)展和國(guó)際地位的不斷提高，我國(guó)的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)面臨的安全威脅及安全隱患比較嚴(yán)重，計(jì)算機(jī)病毒傳播和網(wǎng)絡(luò)非法入侵十分猖獗，網(wǎng)絡(luò)違法犯罪持續(xù)大幅上升，犯罪分子利用一些安全漏洞，使用黑客病毒技術(shù)、網(wǎng)絡(luò)釣魚技術(shù)、木馬間諜程序等新技術(shù)，進(jìn)行網(wǎng)絡(luò)盜竊、網(wǎng)絡(luò)詐騙、網(wǎng)絡(luò)賭博等違法犯罪，給用戶造成嚴(yán)重?fù)p失。特別是“科技奧運(yùn)”和“數(shù)字奧運(yùn)”是2008年北京奧運(yùn)會(huì)的一大亮點(diǎn)，網(wǎng)絡(luò)與信息安全已經(jīng)成為事關(guān)北京奧運(yùn)安全的重大問題之一。

張新楓強(qiáng)調(diào)，信息安全等級(jí)保護(hù)制度是國(guó)家信息安全保障工作的基本制度。為了加快推進(jìn)信息安全等級(jí)保護(hù)工作，此前，公安部、國(guó)務(wù)院信息辦等部門已聯(lián)合出臺(tái)了有關(guān)信息安全等級(jí)保護(hù)工作的實(shí)施意見、管理辦法等相關(guān)文件。定級(jí)是等級(jí)保護(hù)工作的首要環(huán)節(jié)，是開展信息系統(tǒng)建設(shè)、整改、測(cè)評(píng)、備案、監(jiān)督檢查等后續(xù)工作的重要基礎(chǔ)。此次定級(jí)工作的主要內(nèi)容：一是開展信息系統(tǒng)基本情況的摸底調(diào)查，確定定級(jí)對(duì)象。二是信息系統(tǒng)主管部門和運(yùn)營(yíng)使用單位按照等級(jí)保護(hù)管理辦法和定級(jí)指南，初步確定定級(jí)對(duì)象的安全保護(hù)等級(jí)，請(qǐng)專家進(jìn)行評(píng)審，并報(bào)經(jīng)上級(jí)行業(yè)主管部門審批同意。三是信息系統(tǒng)安全保護(hù)等級(jí)為第二級(jí)以上的信息系統(tǒng)運(yùn)營(yíng)使用單位或主管部門到公安機(jī)關(guān)備案。公安機(jī)關(guān)和國(guó)家有關(guān)部門受理備案后，要對(duì)信息系統(tǒng)的安全保護(hù)等級(jí)和備案情況進(jìn)行審核、管理。

會(huì)議由公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局局長(zhǎng)李昭主持，公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局副局長(zhǎng)、國(guó)家網(wǎng)絡(luò)與信息安全信息通報(bào)中心主任顧建國(guó)對(duì)定級(jí)工作作了具體說明。

信息安全等級(jí)保護(hù)辦法范文第3篇

關(guān)鍵詞：信息安全；等級(jí)保護(hù)；定級(jí)制度

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2017）03-0045-02

信息安全等級(jí)保護(hù)制度的建設(shè)，是隨著經(jīng)濟(jì)建設(shè)和信息化建設(shè)的全面展開而進(jìn)行的。對(duì)國(guó)家重要的信息系統(tǒng)等進(jìn)行定級(jí)保護(hù)，可以提高信息系統(tǒng)的工作效率，在大數(shù)據(jù)、云計(jì)算的技術(shù)支持下，實(shí)現(xiàn)全系統(tǒng)的信息安全。為此國(guó)家多部門早已出臺(tái)多項(xiàng)關(guān)于信息安全的制度和規(guī)定，明確說明國(guó)家信息安全保障工作的基本制度之一就是信息安全等級(jí)保護(hù)制度。其工作流程包含定級(jí)、對(duì)級(jí)別的建設(shè)和整改、測(cè)評(píng)建設(shè)整改工作、向主管公安部門備案；監(jiān)管信息系統(tǒng)。其中首要階段的定級(jí)工作，是作為等級(jí)保護(hù)的起始，為后面四個(gè)階段的工作奠定基礎(chǔ)。

1 信息系統(tǒng)安全等級(jí)保護(hù)政策概述

我國(guó)在信息技術(shù)的浪潮退推動(dòng)下，各行各業(yè)都在面臨信息化、智能化的轉(zhuǎn)型升級(jí)帶來的沖擊和挑戰(zhàn)。需要建設(shè)的信息化項(xiàng)目不斷增多，很多領(lǐng)域的業(yè)務(wù)都要采用網(wǎng)絡(luò)信息系統(tǒng)作為載體，因此，信息系統(tǒng)的數(shù)量和結(jié)構(gòu)都在增加和復(fù)雜化，對(duì)信息進(jìn)行等級(jí)保護(hù)就被提上了日程。

2008年，我國(guó)首部信息安全等級(jí)保護(hù)管理辦法由公安部下發(fā)，信息系統(tǒng)有了等級(jí)的劃分，并且對(duì)信息系統(tǒng)的保護(hù)也有了明確的管理規(guī)定。2008年，信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)上升到了國(guó)家級(jí)別的標(biāo)準(zhǔn)，擁有了定級(jí)指南，對(duì)于信息系統(tǒng)安全等級(jí)定級(jí)工作來說，意味著擁有了定級(jí)的方法和準(zhǔn)則。2009年，關(guān)于整改信息安全等級(jí)保護(hù)工作的指導(dǎo)意見證實(shí)下發(fā)，要求對(duì)信息安全等級(jí)保護(hù)的整改要按照測(cè)評(píng)工作的標(biāo)準(zhǔn)展開。這是第一次對(duì)信息安全等級(jí)保護(hù)測(cè)評(píng)體系的建設(shè)進(jìn)行的規(guī)定。

2 信息系統(tǒng)的安全定級(jí)

在信息安全技術(shù)等級(jí)定級(jí)指南中，對(duì)于信息技術(shù)的重要性以及遭到破壞的危害性進(jìn)行了詳細(xì)的闡述，從公共安全、社會(huì)利益、公民權(quán)益等幾個(gè)方面，將信息系統(tǒng)的安全等級(jí)劃分為五個(gè)等級(jí)：

第一級(jí)為當(dāng)信息安全被侵犯，國(guó)家利益、公共安全等合法權(quán)益就會(huì)被損壞，但是國(guó)家安全、社會(huì)利益和公共秩序不會(huì)受到損害。

第二級(jí)為當(dāng)信息安全被侵犯，公民的合法權(quán)益就會(huì)被侵害，但是國(guó)家安全不會(huì)受到破壞。

第三級(jí)為當(dāng)信息系統(tǒng)受到侵犯后，社會(huì)秩序和公共利益被損壞，進(jìn)而產(chǎn)生對(duì)國(guó)家安全的損害。

第四級(jí)是信息系統(tǒng)受到破壞，社會(huì)秩序、公共利益、國(guó)家安全都會(huì)受到特別嚴(yán)重的損傷。

第五級(jí)是信息系統(tǒng)受到侵犯，國(guó)家安全被特別嚴(yán)重地?fù)p壞。

3 當(dāng)前信息系統(tǒng)安全定級(jí)中存在的問題

1）定級(jí)對(duì)象不明確是信息系統(tǒng)安全定級(jí)中的常見問題。當(dāng)信息系統(tǒng)在相同的網(wǎng)絡(luò)環(huán)境中被按照獨(dú)立的系統(tǒng)進(jìn)行定級(jí)時(shí)，多個(gè)定級(jí)對(duì)象會(huì)重復(fù)出現(xiàn)環(huán)境和設(shè)備。以機(jī)房的EPR系統(tǒng)和OA系統(tǒng)以及配套為例，系統(tǒng)中如果使用到網(wǎng)絡(luò)資源，就有可能產(chǎn)生相同的定級(jí)對(duì)象同時(shí)出現(xiàn)不同的網(wǎng)絡(luò)設(shè)備的情況。

2）根據(jù)安全信息國(guó)家定級(jí)指南中對(duì)安全保護(hù)等級(jí)的定級(jí)要求。當(dāng)受侵害客體為國(guó)家、社會(huì)、公民安全以及組織法人的合法權(quán)益時(shí)，客體的侵害程度可以分為一般、嚴(yán)重、特別嚴(yán)重。這種分類是比較抽象的。需要進(jìn)行具體的描述，但是從目前的發(fā)函情況看，對(duì)于危害程度的描述還是過于傾向于主觀判斷，因此對(duì)客觀情況的定級(jí)準(zhǔn)確率不足，依據(jù)不足。

3）現(xiàn)有的定級(jí)報(bào)告皆是從模板中引用格式，參考定價(jià)指南，提供定級(jí)流程，引導(dǎo)結(jié)論的驗(yàn)證。從下表我們可以大概地看到定級(jí)要素和安全保護(hù)等級(jí)的關(guān)系：

表1

[受侵害的客體＼&一般損害＼&嚴(yán)重?fù)p害＼&特別嚴(yán)重的損害＼&公民、法人和組織的合法權(quán)益＼&第一級(jí)＼&第二級(jí)＼&第二級(jí)＼&社會(huì)利益、公共秩序＼&第二級(jí)＼&第三級(jí)＼&第四級(jí)＼&國(guó)家安全＼&第三級(jí)＼&第四級(jí)＼&第五級(jí)＼&]

對(duì)于基礎(chǔ)數(shù)據(jù)的描述雖然也能顯示出關(guān)于信息安全系統(tǒng)定級(jí)的重要意義，但是從系統(tǒng)的客觀問題以及隨時(shí)可能出現(xiàn)威脅和侵害的現(xiàn)象角度觀察，很多關(guān)于信息安全等級(jí)定級(jí)的新方法還不能保證定級(jí)結(jié)果的準(zhǔn)確性，很多定級(jí)報(bào)告不完善，缺乏依據(jù)，主觀判斷成分多，無法將信息安全系統(tǒng)的真實(shí)情況反映給決策層，對(duì)于工作的開展沒有好處。

4 等級(jí)保護(hù)流程

等級(jí)保護(hù)的工作是循環(huán)的、動(dòng)態(tài)發(fā)展的。將等級(jí)保護(hù)工作視為循環(huán)性強(qiáng)的工作對(duì)于工作流程加以分析，最終得到的是等級(jí)保護(hù)工作的流程圖：

定級(jí)階段：系統(tǒng)劃分、等級(jí)確定；填寫表格；

初步備案階段：上報(bào)材料、專家評(píng)審，不符合安全等級(jí)規(guī)定的重新定級(jí)，最終進(jìn)入初備案。

測(cè)評(píng)階段：選定機(jī)構(gòu)、測(cè)評(píng)、出具報(bào)告；

整改階段：制訂方案、專家論證、提出整改措施并實(shí)施；

復(fù)評(píng)階段：對(duì)定級(jí)方案進(jìn)行復(fù)評(píng)，得到最終的備案；

根據(jù)等級(jí)保護(hù)制度接受監(jiān)管的階段。

需要說明的是，等級(jí)保護(hù)工作的初始階段：定級(jí)工作可以采用自行定級(jí)的方法，也可以委托第三方機(jī)構(gòu)進(jìn)行監(jiān)管和測(cè)評(píng)。定級(jí)工作是所有階段工作的基礎(chǔ)。初備案階段有一個(gè)重新定級(jí)的環(huán)節(jié)，主要是如果出現(xiàn)不公平、不公正或者定級(jí)不合格的情況，要對(duì)信息系統(tǒng)的等級(jí)評(píng)定工作進(jìn)行復(fù)評(píng)選，并達(dá)到等級(jí)保護(hù)的要求，才能進(jìn)行最終的備案。

5 信息安全定級(jí)方法

1）定流程是參照定級(jí)指南進(jìn)行的，包括了業(yè)務(wù)信息和系統(tǒng)服務(wù)等內(nèi)容。首先是確定定級(jí)對(duì)象，然后確定業(yè)務(wù)信息安全受到破壞和侵害的客體，以及系統(tǒng)服務(wù)安全受到破壞和侵害的客體。兩方面都要進(jìn)行客體的侵害程度的評(píng)定，前者得出業(yè)務(wù)信息安全等級(jí)，后者得出系統(tǒng)服務(wù)安全等級(jí)，最后形成了定級(jí)對(duì)象的安全保護(hù)等級(jí)。

定級(jí)對(duì)象的選取根據(jù)定級(jí)指南的規(guī)定，具有一些特征，首先是擁有安全責(zé)任單位，第二是信息系統(tǒng)要素，第三是承載單一和獨(dú)立的業(yè)務(wù)。在定級(jí)對(duì)象的業(yè)務(wù)應(yīng)用上應(yīng)該擁有共享的機(jī)房基礎(chǔ)環(huán)境和網(wǎng)絡(luò)設(shè)備等，這樣就不會(huì)產(chǎn)生重復(fù)出現(xiàn)的定級(jí)對(duì)象。而且將物理環(huán)境、網(wǎng)絡(luò)資源等納入到信息系統(tǒng)中，形成具有單獨(dú)優(yōu)先定級(jí)權(quán)限的定級(jí)對(duì)象[1]。

對(duì)于受侵害的客體的損害程度的評(píng)分，要對(duì)危害后果等進(jìn)行權(quán)重分析。參照的依據(jù)包括國(guó)家安全、社會(huì)利益、公眾秩序、公民法人和組織的權(quán)益?？腕w的侵害程度在定x和解釋上是簡(jiǎn)單而抽象的，要對(duì)危害程度進(jìn)行具體的描述，就要規(guī)避主觀判斷、依據(jù)不足的問題。對(duì)客體的侵害程度進(jìn)行確定，是需要參考很多元素的，要得到一個(gè)準(zhǔn)確的定量，可以采用評(píng)分表的方法對(duì)危害后果予以打分。

表2

[危害后果＼&得分＼&權(quán)重＼&影響工作職能形式＼&＼&＼&降低業(yè)務(wù)能力＼&＼&＼&引起糾紛需要法律介入＼&＼&＼&財(cái)產(chǎn)損失＼&＼&＼&社會(huì)不良影響＼&＼&＼&損害到組織和個(gè)人＼&＼&＼&其他影響＼&＼&＼&]

根據(jù)對(duì)表格中的打分得到的數(shù)值和權(quán)重的分析，可以得出定級(jí)對(duì)象被破壞后可能產(chǎn)生的危害以及后果。不存在危害的數(shù)值為0，有危害程度較輕的數(shù)值為1，有危害程度較高的為2，后果嚴(yán)重的為3。不同的信息系統(tǒng)在服務(wù)內(nèi)容、范圍、對(duì)象上都不同，因此不同的得分和權(quán)重最能反映信息安全系統(tǒng)的實(shí)際情況。

確定安全保護(hù)等級(jí)是在所有流程結(jié)束后，得到的結(jié)論。這個(gè)結(jié)論包括客體對(duì)等級(jí)對(duì)象的侵害造成的危害，信息安全的保密性、可用性的情況，系統(tǒng)服務(wù)安全的及時(shí)性、有效性的問題等等。當(dāng)業(yè)務(wù)信息安全和服務(wù)系統(tǒng)的客體侵害程度不同時(shí)，就要在定級(jí)過程中處理不同的危害后果。

2）定級(jí)表格的細(xì)化是為定級(jí)報(bào)告模板提供基礎(chǔ)數(shù)據(jù)，并保證信息安全系統(tǒng)穩(wěn)定可靠的重要保障。當(dāng)系統(tǒng)內(nèi)部問題導(dǎo)致其難以支撐定級(jí)結(jié)果后，采用系統(tǒng)定級(jí)的方法，就能夠?qū)⑿畔⑾到y(tǒng)的情況記載道定級(jí)表中。定級(jí)表包括了定級(jí)系統(tǒng)的用戶情況以及定級(jí)系統(tǒng)的業(yè)務(wù)職能等情況，例如在行業(yè)和部門內(nèi)的地位和作用。定級(jí)系統(tǒng)需要有備份系統(tǒng)作為應(yīng)急措施，保證定級(jí)系統(tǒng)在關(guān)聯(lián)系統(tǒng)受到破壞后不會(huì)受到數(shù)據(jù)傳遞等的影響。

6 案例分析

按照等級(jí)保護(hù)工作測(cè)評(píng)和定級(jí)的規(guī)定，確定信息系統(tǒng)的等級(jí)。某政府網(wǎng)站信息系統(tǒng)包括的板塊為：政務(wù)公開、地方行政、法制建設(shè)、管理措施、領(lǐng)導(dǎo)講話、網(wǎng)上辦事大廳、新聞動(dòng)態(tài)、政府公告、舉報(bào)建議等，還專門開辟了一個(gè)下載板塊，方便下載有用的電子表單加以填報(bào)。

在這個(gè)政府網(wǎng)站的信息系統(tǒng)中，制訂了符合信息安全等級(jí)保護(hù)定級(jí)指南的流程和標(biāo)準(zhǔn)，通過分析，判斷，研究等流程確定定級(jí)的系統(tǒng)。該網(wǎng)站的擁有者設(shè)立的專門的政府網(wǎng)站平臺(tái)，由指定部門確定相關(guān)資料的搜集、采集、整理的過程方案。在這套流程中，信息生產(chǎn)者為企業(yè)，產(chǎn)生的資料是信息，管理信息的手段是利用科學(xué)技術(shù)，對(duì)外承擔(dān)政務(wù)信息，擁有獨(dú)立的業(yè)務(wù)，如辦事流程、新聞會(huì)等。將各類任務(wù)的環(huán)境加以構(gòu)建，就形成了政府網(wǎng)站中具有基本特征和要素的定級(jí)對(duì)象。對(duì)定級(jí)客體的邀請(qǐng)，要采取分析的方法，確保信息系統(tǒng)內(nèi)的保密性和可用性。實(shí)際操作中只要能夠保證信息的完整性和通用性，又增強(qiáng)了制作、、管理的職能建設(shè)，激發(fā)出參與者的完整性和保密性。提高可用概率。而系統(tǒng)服務(wù)安全有力地支撐著系統(tǒng)安全運(yùn)行，并為信息安全系統(tǒng)提供有效的服務(wù)，達(dá)到地方網(wǎng)站發(fā)揮在定級(jí)中的作用，幫助提供服務(wù)，滿足消費(fèi)者的需求。采用了這種方法，網(wǎng)站信息系統(tǒng)的業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全都將是今后在企業(yè)運(yùn)用中需要特別加以注意的。

例如：對(duì)于受侵害的客體，必須說明客體的情況，是否受到法律保護(hù)，等級(jí)保護(hù)中牽扯到的社會(huì)關(guān)系和合法權(quán)益。尤其是針對(duì)信息系統(tǒng)的客體的先后順序進(jìn)行判斷，結(jié)合政府平臺(tái)，實(shí)施政務(wù)信息公開。如果做不到政務(wù)信息公開，政府就要設(shè)置管理界限，發(fā)揮人的主觀能動(dòng)性，在知情權(quán)、業(yè)務(wù)能力、投訴與批評(píng)等階段加大業(yè)務(wù)辦理力度，最大可能地維護(hù)法人和代表組織的知情權(quán)，排棄受到破壞的客體，法人由于難以摻入個(gè)人組織中，直接投訴合法的法律法規(guī)，由于業(yè)務(wù)施工的進(jìn)度過快，環(huán)節(jié)紛繁眾多[2]。再由于受損教育可以對(duì)客體的積極主動(dòng)性。方便法人和組織知情、辦理業(yè)務(wù)、舉報(bào)、投訴等。

對(duì)于客體造成的侵害進(jìn)行后果的分析，無論是大型門戶網(wǎng)站，還是在金融政策引領(lǐng)下，親自感受到客體檢查結(jié)果的影響，如信息安全管理等，都要注重網(wǎng)絡(luò)平臺(tái)的臨時(shí)性。

7 結(jié)束語

要做好信息系統(tǒng)的安全保護(hù)等級(jí)的確定，就要采取正確的 （下轉(zhuǎn)第51頁）

（上接第46頁）

策略以及方法，對(duì)信息安全管控產(chǎn)生依賴，保護(hù)過程中采取正確的策略和方法，等等。信息系統(tǒng)、安全等級(jí)保護(hù)不足的問題，都要求管理覺決策層加熬煮。在實(shí)際運(yùn)行中，還要以定級(jí)指南為指導(dǎo)，綜合信息系統(tǒng)的業(yè)務(wù)特征，切實(shí)推動(dòng)信息技術(shù)等級(jí)保護(hù)工作的大力發(fā)展。

參考文獻(xiàn)：

信息安全等級(jí)保護(hù)辦法范文第4篇

本文重點(diǎn)在結(jié)合信息安全等級(jí)的要求與IDS本身結(jié)構(gòu)的優(yōu)缺點(diǎn)，對(duì)信息安全策略進(jìn)行分析，構(gòu)建滿足五級(jí)信息安全保護(hù)能力的入侵檢測(cè)系統(tǒng)。

關(guān)鍵詞：入侵檢測(cè)，信息安全

1.信息安全等級(jí)

信息安全等級(jí)保護(hù)是我國(guó)信息安全保障工作的綱領(lǐng)性文件（《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》）（中辦發(fā)[2003]27號(hào)）提出的重要工作任務(wù)[1]，其基本原理是，不同的信息系統(tǒng)有不同的重要性，在決定信息安全保護(hù)措施時(shí)，必須綜合平衡安全成本和風(fēng)險(xiǎn)。

2007年6月，公安部的《信息安全等級(jí)保護(hù)管理辦法》規(guī)定，根據(jù)信息系統(tǒng)在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，其遭受破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，其安全等級(jí)由低到高劃分為五級(jí)，其等級(jí)劃分原則如表1.1所示：

表1.1 安全等級(jí)劃分原則

不同安全等級(jí)的信息系統(tǒng)應(yīng)該具備相應(yīng)的基本安全保護(hù)能力，其中第四級(jí)安全保護(hù)能力是應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自國(guó)家級(jí)別的、敵對(duì)組織的、擁有豐富資源的威脅源發(fā)起的惡意攻擊，嚴(yán)重的自然災(zāi)害，以及其他相當(dāng)維護(hù)程度的威脅所造成的資源損害，能夠發(fā)現(xiàn)安全漏洞和安全相關(guān)事件，在系統(tǒng)遭到損害后，能夠迅速恢復(fù)所有功能；第五級(jí)安全保護(hù)能力是在第四級(jí)安全的安全保護(hù)能力的基礎(chǔ)上，由訪問控制監(jiān)視器實(shí)行訪問驗(yàn)證，采用形式化技術(shù)驗(yàn)證相應(yīng)的安全保護(hù)能力確實(shí)得到實(shí)現(xiàn)。

2.IDS主要功能

入侵檢測(cè)：通過對(duì)行為、安全日志、審計(jì)數(shù)據(jù)或其他網(wǎng)絡(luò)上可以獲得的信息進(jìn)行操作，檢測(cè)到對(duì)系統(tǒng)的闖入或者闖入的企圖[2]。（國(guó)標(biāo)GB/T 18336）

入侵檢測(cè)系統(tǒng)的主要功能：

檢測(cè)并分析用戶和系統(tǒng)的活動(dòng)，查找非法用戶和合法用戶的越權(quán)操作；檢查系統(tǒng)配置和漏洞，并提示管理員修補(bǔ)漏洞。（由安全掃描系統(tǒng)完成）、評(píng)估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性；識(shí)別已知的攻擊行為；統(tǒng)計(jì)分析異常行為；操作系統(tǒng)日志管理，并識(shí)別違反安全策略的用戶活動(dòng)等；

成功的入侵檢測(cè)系統(tǒng)，應(yīng)該達(dá)到的效果：可以使系統(tǒng)管理員時(shí)刻了解網(wǎng)絡(luò)系統(tǒng)（軟件和硬件）的任何變更，能給網(wǎng)絡(luò)安全策略的制定提供依據(jù)；管理配置簡(jiǎn)單，使非專業(yè)人員非常容易地獲得網(wǎng)絡(luò)安全。入侵檢測(cè)的規(guī)模還應(yīng)根據(jù)網(wǎng)絡(luò)規(guī)模、系統(tǒng)構(gòu)造和安全需求的改變而改變。入侵檢測(cè)系統(tǒng)在發(fā)現(xiàn)入侵后，能及時(shí)作出響應(yīng)，包括切斷網(wǎng)絡(luò)連接、記錄事件和報(bào)警等。

圖2.1入侵檢測(cè)系統(tǒng)結(jié)構(gòu)圖

3.IDS類別

由于IDS的模型多樣化，IDS的類別也表現(xiàn)出較為復(fù)雜的情況，但是當(dāng)前通常將入侵檢測(cè)按照分析方法和數(shù)據(jù)來源來進(jìn)行分類[3]。

3.1按照分析方法（檢測(cè)方法）

異常檢測(cè)模型（Anomaly Detection）：首先總結(jié)正常操作應(yīng)該具有的特征（用戶輪廓），當(dāng)用戶活動(dòng)與正常行為有重大偏離時(shí)即被認(rèn)為是入侵。

誤用檢測(cè)模型（MisuseDetection）：收集非正常操作的行為特征，建立相關(guān)的特征庫，當(dāng)監(jiān)測(cè)的用戶或系統(tǒng)行為與庫中的記錄相匹配時(shí)，系統(tǒng)就認(rèn)為這種行為是入侵。

3.2按照數(shù)據(jù)來源

基于主機(jī)的IDS：系統(tǒng)獲取數(shù)據(jù)的依據(jù)是系統(tǒng)運(yùn)行所在的主機(jī)，保護(hù)的目標(biāo)也是系統(tǒng)運(yùn)行所在的主機(jī)；檢測(cè)的目標(biāo)主要是主機(jī)系統(tǒng)和系統(tǒng)本地用戶。檢測(cè)原理是根據(jù)主機(jī)的審計(jì)數(shù)據(jù)和系統(tǒng)的日志發(fā)現(xiàn)可疑事件，檢測(cè)系統(tǒng)可以運(yùn)行在被檢測(cè)的主機(jī)或單獨(dú)的主機(jī)上。

圖3.1基于主機(jī)的IDS結(jié)構(gòu)圖

基于網(wǎng)絡(luò)的IDS：系統(tǒng)獲取的數(shù)據(jù)是網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包，保護(hù)的是網(wǎng)絡(luò)的運(yùn)行；根據(jù)網(wǎng)絡(luò)流量、協(xié)議分析、單臺(tái)或多臺(tái)主機(jī)的審計(jì)數(shù)據(jù)檢測(cè)入侵。

圖3.2 基于網(wǎng)絡(luò)的IDS結(jié)構(gòu)圖

探測(cè)器由過濾器、網(wǎng)絡(luò)接口引擎器以及過濾規(guī)則決策器構(gòu)成，探測(cè)器的功能是按一定的規(guī)則從網(wǎng)絡(luò)上獲取與安全事件相關(guān)的數(shù)據(jù)包，傳遞給分析引擎器進(jìn)行安全分析判斷[4]。

分析引擎器將從探測(cè)器上接收到的包并結(jié)合網(wǎng)絡(luò)安全數(shù)據(jù)庫進(jìn)行分析，把分析的結(jié)果傳遞給配置構(gòu)造器。

配置構(gòu)造器按分析引擎器的結(jié)果構(gòu)造出探測(cè)器所需要的配置規(guī)則。

分布式IDS：

傳統(tǒng)的集中式IDS的基本模型是在網(wǎng)絡(luò)的不同網(wǎng)段放置多個(gè)探測(cè)器收集當(dāng)前網(wǎng)絡(luò)狀態(tài)的信息，然后將這些信息傳送到中央控制臺(tái)進(jìn)行處理分析。

分布式結(jié)構(gòu)采用了本地主體處理本地事件，中央主體負(fù)責(zé)整體分析的模式。

3.3 IDS的局限性

對(duì)于大規(guī)模的分布式攻擊，中央控制臺(tái)的負(fù)荷將會(huì)超過其處理極限，這種情況會(huì)造成大量信息處理的遺漏，導(dǎo)致漏警率的增高[5]。

多個(gè)探測(cè)器收集到的數(shù)據(jù)在網(wǎng)絡(luò)上的傳輸會(huì)在一定程度上增加網(wǎng)絡(luò)負(fù)擔(dān)，導(dǎo)致網(wǎng)絡(luò)系統(tǒng)性能的降低[6]。

由于網(wǎng)絡(luò)傳輸?shù)臅r(shí)延問題，中央控制臺(tái)處理的網(wǎng)絡(luò)數(shù)據(jù)包中所包含的信息只反映了探測(cè)器接收到它時(shí)網(wǎng)絡(luò)的狀態(tài)，不能實(shí)時(shí)反映當(dāng)前網(wǎng)絡(luò)狀態(tài)[7]。

4.五級(jí)安全防護(hù)能力IDS構(gòu)建

根據(jù)公安部《信息安全等級(jí)保護(hù)管理辦法》，五級(jí)安全防護(hù)能力需要具備四級(jí)安全防護(hù)的漏洞發(fā)現(xiàn)和入侵檢測(cè)能力，同時(shí)需要由訪問控制監(jiān)視器實(shí)現(xiàn)對(duì)訪問的及時(shí)驗(yàn)證，保證杜絕未授權(quán)用戶的非法訪問。

與此同時(shí)，如何解決因?yàn)榫W(wǎng)絡(luò)時(shí)延而導(dǎo)致的數(shù)據(jù)分析的延后，以及解決探測(cè)器在網(wǎng)絡(luò)傳輸中造成的網(wǎng)絡(luò)負(fù)擔(dān)，提高網(wǎng)絡(luò)系統(tǒng)性能的同時(shí)保證中央控制臺(tái)的高效運(yùn)轉(zhuǎn)，是當(dāng)前IDS需要重點(diǎn)研究的問題。

當(dāng)前IDS的結(jié)構(gòu)中入侵檢測(cè)和數(shù)據(jù)安全審計(jì)是兩個(gè)不同的模塊，入侵檢測(cè)系統(tǒng)將檢測(cè)數(shù)據(jù)提交給安全審計(jì)模塊，對(duì)入侵行為的確認(rèn)是由安全審計(jì)模塊進(jìn)行的[8]。因此在成本可接受的范圍內(nèi)，如果將審計(jì)模塊和檢測(cè)模塊結(jié)合，并且將分布式IDS的每一個(gè)檢測(cè)終端都由一個(gè)獨(dú)立處理單元來進(jìn)行基本的檢測(cè)，只將較為復(fù)雜的數(shù)據(jù)提交給中央控制臺(tái)，這樣即減輕了網(wǎng)絡(luò)傳輸?shù)膲毫?，也有利于中央控制臺(tái)更加高效運(yùn)轉(zhuǎn)。將每一個(gè)獨(dú)立處理單元命名為一個(gè)agent，每個(gè)agent的結(jié)構(gòu)如下圖所示：

5.結(jié)束語

本文介紹了信息安全等級(jí)的分類依據(jù)，在對(duì)IDS系統(tǒng)的類別和局限性進(jìn)行分析的基礎(chǔ)上，對(duì)滿足五級(jí)信息安全防護(hù)能力的入侵檢測(cè)系統(tǒng)進(jìn)行了基本構(gòu)建，探討通過對(duì)分布式IDS終端處理單元的結(jié)構(gòu)和防范策略進(jìn)行調(diào)整，研究對(duì)IDS存在主要問題的處理策略。

參考文獻(xiàn)

[1] 高永強(qiáng)，羅世澤.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用大典[M].北京：人民郵電出版社，2003：15-16.

[2] 盛思源，戰(zhàn)守義，石耀斌.基于數(shù)據(jù)挖掘的入侵檢測(cè)系統(tǒng)[J].計(jì)算機(jī)工程，2003，28（3）.

[3] 胡振昌.網(wǎng)絡(luò)入侵檢測(cè)原理與技術(shù)[M].北京：北京理工大學(xué)出版社，2006

[4] 唐正軍，李建華.入侵檢測(cè)技術(shù)[M].北京：清華大學(xué)出版，2004.

[5] 程伯良，周洪波，鐘林輝.基于異常與誤用的入侵檢測(cè)系統(tǒng)[J].計(jì)算機(jī)工程與設(shè)計(jì).2007，28（14）

[6] 胥小波，蔣琴琴.基于混沌粒子群的IDS告警聚類算法[J].通信學(xué)報(bào).2013，34（3）

信息安全等級(jí)保護(hù)辦法范文第5篇

關(guān)鍵詞：衛(wèi)生系統(tǒng)門戶網(wǎng)站；網(wǎng)站群運(yùn)維監(jiān)測(cè)平臺(tái)；信息安全等級(jí)保護(hù)；網(wǎng)站運(yùn)營(yíng)；門戶網(wǎng)站健康性

中圖分類號(hào)：TP311 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2016）16-0122-02

浙江省衛(wèi)生廳、浙江省公安廳聯(lián)合下發(fā)文件《關(guān)于做好全省醫(yī)療衛(wèi)生行業(yè)重要信息系統(tǒng)信息安全等級(jí)保護(hù)工作的通知》對(duì)全省醫(yī)療衛(wèi)生行業(yè)重要信息系統(tǒng)提出高度重視信息安全等級(jí)保護(hù)工作、明確工作職責(zé)，建立工作機(jī)制等重要要求。同時(shí)為加強(qiáng)浙江省醫(yī)療衛(wèi)生系統(tǒng)網(wǎng)站的運(yùn)維和管理，提高醫(yī)療衛(wèi)生系統(tǒng)網(wǎng)站運(yùn)行質(zhì)量，經(jīng)研究決定開展浙江省醫(yī)療衛(wèi)生系統(tǒng)網(wǎng)站群運(yùn)維監(jiān)測(cè)平臺(tái)（以下簡(jiǎn)稱運(yùn)維監(jiān)測(cè)平臺(tái)）的建設(shè)工作?；诨ヂ?lián)網(wǎng)搭建，集“訪問分析、健康診斷、實(shí)時(shí)監(jiān)控、績(jī)效考核”四大功能于一體，實(shí)現(xiàn)對(duì)醫(yī)療衛(wèi)生系統(tǒng)門戶網(wǎng)站的網(wǎng)頁差錯(cuò)、信息更新量、訪問流量和可用性進(jìn)行統(tǒng)一診斷、檢測(cè)和分析。截止四月底，浙江省衛(wèi)生系統(tǒng)網(wǎng)站評(píng)測(cè)針對(duì)全省276個(gè)預(yù)參評(píng)網(wǎng)站實(shí)現(xiàn)過半數(shù)的檢測(cè)，其中包括行政類（103個(gè)，含新增2個(gè)），委直屬單位（11個(gè)，含新增3個(gè)），監(jiān)督所（12個(gè)），疾控中心（12個(gè)），醫(yī)院（138個(gè)，含新增12個(gè)）

衛(wèi)生系統(tǒng)門戶網(wǎng)站建設(shè)及運(yùn)維需在實(shí)現(xiàn)日常網(wǎng)站內(nèi)容分享及告知功能外，更合理的設(shè)計(jì)信息安全、健康等方面的環(huán)節(jié)，以確保門戶正常合理運(yùn)營(yíng)。針對(duì)實(shí)際需求，醫(yī)院類門戶網(wǎng)站關(guān)注重點(diǎn)主要包含：健康情況、院務(wù)公開、醫(yī)療服務(wù)、互動(dòng)交流、訪問量、網(wǎng)站設(shè)計(jì)與用戶體驗(yàn)、安全管理。

1 健康情況

針對(duì)“站點(diǎn)可用性”、“首頁更新”、“鏈接可用性”、“欄目維護(hù)情況”4個(gè)指標(biāo)中的每個(gè)網(wǎng)站各按標(biāo)準(zhǔn)分100分采樣后加權(quán)折算，得出健康情況總和得分，以評(píng)定出站點(diǎn)可用性及用戶操作通暢性體驗(yàn)描述。

2 院務(wù)公開

針對(duì)“概況信息”，“ 院務(wù)信息”，“ 行風(fēng)廉政建設(shè)”，“ 院務(wù)動(dòng)態(tài)”，“ 信息保障”4個(gè)指標(biāo)欄目完整性 加以評(píng)測(cè)。詳細(xì)欄目見附圖1

3 醫(yī)療服務(wù)

針對(duì)“健康服務(wù)”，“ 科室服務(wù)”，“ 專家服務(wù)”，“ 就醫(yī)指南”，“ 查詢服務(wù)” 5個(gè)指標(biāo)欄目完整性加以評(píng)測(cè)。詳細(xì)欄目見表1。

4 互動(dòng)交流

針對(duì)“醫(yī)院信箱”，“ 信件反饋”，“ 在線調(diào)查”等功能完整性、可操作性、功能介紹完整性加以評(píng)定，并承諾時(shí)限超過10個(gè)工作日或未提供承諾時(shí)限的要求在10個(gè)工作日內(nèi)給予反饋。

5 訪問量

同一時(shí)間段內(nèi)網(wǎng)站的訪問量。

6 網(wǎng)站設(shè)計(jì)與用戶體驗(yàn)

針對(duì)“頁面布局”，“ 欄目設(shè)置”，“ 檢索功能”，“ 網(wǎng)站導(dǎo)航”，“ 輔助信息”，“ 網(wǎng)站使用幫助”，“ 頁面相關(guān)度”，“ 網(wǎng)站群標(biāo)識(shí)”等方面對(duì)用戶實(shí)用性加以評(píng)定。

7 安全管理

1）組織機(jī)構(gòu)、組織領(lǐng)導(dǎo)、制度保障設(shè)置完整

2）等級(jí)保護(hù)，公安廳（局）進(jìn)行備案，有備案證書

3）安全檢測(cè)，檢查網(wǎng)站是否被掛馬、SQL 注入、XPath注入攻擊、源碼泄露、web漏洞等到安全隱患。

7.1 主機(jī)安全

7.1.1 操作系統(tǒng)

1）門戶網(wǎng)站服務(wù)器都未對(duì)登錄口令進(jìn)行復(fù)雜度限制且無登錄失敗處理功能，容易產(chǎn)生較弱的登錄口令，非授權(quán)人員可通過無限制的嘗試暴力破解，會(huì)導(dǎo)致系統(tǒng)被非授權(quán)訪問；

2）門戶網(wǎng)站服務(wù)器未對(duì)默認(rèn)賬戶administrator進(jìn)行修改，非授權(quán)人員可跳過猜測(cè)用戶名的步驟直接嘗試暴力破解密碼，加大了登錄口令被破解的可能性，使系統(tǒng)被非授權(quán)訪問；

3）門戶網(wǎng)站服務(wù)器的日志審計(jì)范圍未包括部分重要安全相關(guān)事件，審計(jì)內(nèi)容不完善，不利于管理員對(duì)重要?dú)v史事件進(jìn)行追溯；

4）門戶網(wǎng)站服務(wù)器日志空間過小，可能導(dǎo)致重要的日志信息被未預(yù)期的刪除或覆蓋等，降低了審計(jì)記錄的可信度，也不利于事故時(shí)對(duì)重要?dú)v史事件進(jìn)行追溯處理；

5）門戶網(wǎng)站服務(wù)器未對(duì)操作系統(tǒng)補(bǔ)丁進(jìn)行及時(shí)的更新，可能導(dǎo)致產(chǎn)生較多的系統(tǒng)漏洞，增加了操作系統(tǒng)被入侵的風(fēng)險(xiǎn)；

6）門戶網(wǎng)站服務(wù)器未對(duì)遠(yuǎn)程登錄地址進(jìn)行限制，可能導(dǎo)致非授權(quán)人員通過遠(yuǎn)程連接登錄系統(tǒng)，使系統(tǒng)被非授權(quán)訪問；

7.1.2 數(shù)據(jù)庫

1）數(shù)據(jù)庫未對(duì)登錄口令進(jìn)行復(fù)雜度限制容易產(chǎn)生較弱的登錄口令，非授權(quán)人員可能暴力破解，會(huì)導(dǎo)致數(shù)據(jù)庫被非授權(quán)訪問；

2）數(shù)據(jù)庫未設(shè)置超時(shí)鎖定功能，可能導(dǎo)致數(shù)據(jù)庫被非授權(quán)訪問；

3）數(shù)據(jù)庫未限制單個(gè)用戶對(duì)數(shù)據(jù)庫資源的最大或最小使用限度，可能因某些用戶占用數(shù)據(jù)庫過多的資源，導(dǎo)致其他用戶的重要服務(wù)得不到及時(shí)響應(yīng)和處理。

7.2 數(shù)據(jù)及備份恢復(fù)

7.3 管理安全

在CGI中限制用戶提交數(shù)據(jù)的長(zhǎng)度。對(duì)用戶輸入的數(shù)據(jù)進(jìn)行合法性檢查，只允許合法字符通過檢測(cè)。對(duì)于非字符串類型的，強(qiáng)制檢查類型；字符串類型的，過濾單引號(hào)。WEB程序調(diào)動(dòng)低權(quán)限的sql用戶連接，勿用類似于dbo高權(quán)限的sql 賬號(hào)。細(xì)化Sql用戶權(quán)限，限定用戶僅對(duì)自身數(shù)據(jù)庫的訪問控制權(quán)限。使用Web應(yīng)用防火墻來加固整個(gè)網(wǎng)站系統(tǒng)。

參考文獻(xiàn)：

[1] 浙江省醫(yī)療衛(wèi)生行業(yè)信息安全等級(jí)保護(hù)工作實(shí)施方案[Z].

[2] 浙江省衛(wèi)生行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作指導(dǎo)意見[Z].

[3] 關(guān)于做好全省醫(yī)療衛(wèi)生行業(yè)重要信息系統(tǒng)信息安全等級(jí)保護(hù)工作的通知[Z].

[4] 浙江省政府網(wǎng)站日常運(yùn)維監(jiān)測(cè)實(shí)施辦法（浙政辦發(fā)〔2012〕50號(hào)）[Z].

[5] 中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局， 中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì). GB/T 22239-2008信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S]. GB/T 22239-2008， 北京： 中國(guó)標(biāo)準(zhǔn)出版社.

[6] 中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局. GB/T 25058-2010信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南[S]. 北京： 中國(guó)標(biāo)準(zhǔn)出版社.