等级保护建设培训（PPT65页).pptx

文档介绍：信息安全等级保护建设
1
了解等保政策与技术要求
我司产品如何与等保要求对应关系
培训目的
2
等级保护政策介绍和建设思路
等保建设方案统一规划
等保项目注意事项
目录
3
等级保护政策介绍和建设思路
等级保护政策介绍
等级保护政策解读
等级保护建设思路探讨
等保建设方案统一规划
等保项目注意事项
目录
4
信息安全等级保护制度
信息安全等级保护（以下简称等保）是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
5
等保的5个监管等级
等保采用分系统定级的方法，当拥有多个信息系统时，需要分别进行定级，并分别进行保护。
在五个监管等级中，三级与四级系统为监管的重点，也是建设的重点。
决定等级的主要因素分析
信息系统所属类型
业务数据类别
信息系统服务范围
业务处理的自动化程度
业务重要性
业务数据安全性
业务处理连续性
业务依赖性
基于业务的重要性和依赖性分析关键要素，确定业务数据安全性和业务处理连续性要求。
业务数据安全性
业务处理连续性
信息系统安全保护等级
根据业务数据安全性和业务处理连续性要求确定安全保护等级。
从等保的定级要求可以看出，等保关注的重点在于业务的可靠性和信息保密性。
7
不同级别之间保护能力的区别
总体来看，各级系统应对威胁的能力不同，即能够对抗系统面临的威胁的程度以及在遭到威胁破坏后，系统能够恢复之前的各种状态的能力是不同的。
一级具有15个技术目标，16个管理目标；
二级具有29个技术目标，25个管理目标；
三级具有36个技术目标，27个管理目标；
四级具有41个技术目标，28个管理目标。
技术要求的变化包括：
安全要求的增加
安全要求的增强
管理要求的变化包括：
管理活动控制点的增加，每个控制点具体管理要求的增多
管理活动的能力逐步加强，借鉴能力成熟度模型（CMM）
8
安全
控制
定级指南
过程
方法
确定系统等级
启动
采购/开发
实施
运行/维护
废弃
确定安全需求
设计安全方案
安全
建设
安全
测评
监督
管理
运行
维护
暂不
考虑
特殊需求
等级需求
基本
要求
产品
使用
选
型
监督
管理
测评
准则
流程
方法
监管
流程
应急
预案
应急
响应
等级保护定义的信息安全建设过程
等级保护工作对应完整的信息安全建设生命周期
9
等级保护建设的一般过程
整改
评估
定级
评测
确定系统或者子系统的安全等级
依据等级要求，对现有技术和管理手段的进行评估，并给出改进建议
针对评估过程中发现的不满足等保要求的地方进行整改
评测机构依据等级要求，对系统是否满足要求进行评测，并给出结论
监管
对系统进行周期性的检查，以确定系统依然满足等级保护的要求
10