信息系統(tǒng)安全等級保護(hù)定級指南

1、前言本標(biāo)準(zhǔn)由公安部和全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出。本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會歸口。本標(biāo)準(zhǔn)起草單位：公安部信息安全等級保護(hù)評估中心。本標(biāo)準(zhǔn)主要起草人：任衛(wèi)紅、曲潔、馬力、朱建平、李明、李升、謝朝海、畢馬寧、陳雪秀。引言依據(jù)《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》（國務(wù)院147號令）、《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號）、《關(guān)于信息安全等級保護(hù)工作的實(shí)施意見》（公通字[2004]

2、66號）和《信息安全等級保護(hù)管理辦法》（公通字[2007]43號），制定本標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)是信息安全等級保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括：——GBTBBBBBBBBB信息系統(tǒng)安全等級保護(hù)基本要求；——GBTCCCCCCCCC信息系統(tǒng)安全等級保護(hù)實(shí)施指南；——GBTDDDDDDDDD信息系統(tǒng)安全等級保護(hù)測評準(zhǔn)則。本標(biāo)準(zhǔn)依據(jù)等級保護(hù)相關(guān)管理文件，從信息系統(tǒng)所承載的業(yè)務(wù)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要作用和業(yè)務(wù)對信息系統(tǒng)的依

3、賴程度這兩方面，提出確定信息系統(tǒng)安全保護(hù)等級的方法。信息系統(tǒng)安全等級保護(hù)定級指南1范圍本標(biāo)準(zhǔn)規(guī)定了信息系統(tǒng)安全等級保護(hù)的定級方法，適用于為信息系統(tǒng)安全等級保護(hù)的定級工作提供指導(dǎo)。2規(guī)范性引用文件下列文件中的條款通過在本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否使用這些文件的最新版本。凡是不注明日期的引用文件，其最新版本適用

4、于本標(biāo)準(zhǔn)。GBT5271.8信息技術(shù)詞匯第8部分：安全GB178591999計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則3術(shù)語和定義GBT5271.8和GB178591999確立的以及下列術(shù)語和定義適用于本標(biāo)準(zhǔn)。3.1等級保護(hù)對象targetofclassifiedsecurity信息安全等級保護(hù)工作直接作用的具體的信息和信息系統(tǒng)。3.2表1定級要素與安全保護(hù)等級的關(guān)系受侵害的客體對客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的

5、合法權(quán)益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級5定級方法5.1定級的一般流程信息系統(tǒng)安全包括業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全，與之相關(guān)的受侵害客體和對客體的侵害程度可能不同，因此，信息系統(tǒng)定級也應(yīng)由業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全兩方面確定。從業(yè)務(wù)信息安全角度反映的信息系統(tǒng)安全保護(hù)等級稱業(yè)務(wù)信息安全保護(hù)等級。從系統(tǒng)服務(wù)安全角度反映的信息系統(tǒng)安全保護(hù)等級稱系統(tǒng)服務(wù)安全保護(hù)等級。確定信息系統(tǒng)安全保護(hù)等級的一般流

6、程如下：a)確定作為定級對象的信息系統(tǒng)；b)確定業(yè)務(wù)信息安全受到破壞時所侵害的客體；c)根據(jù)不同的受侵害客體，從多個方面綜合評定業(yè)務(wù)信息安全被破壞對客體的侵害程度；d)依據(jù)表2，得到業(yè)務(wù)信息安全保護(hù)等級；e)確定系統(tǒng)服務(wù)安全受到破壞時所侵害的客體；f)根據(jù)不同的受侵害客體，從多個方面綜合評定系統(tǒng)服務(wù)安全被破壞對客體的侵害程度；g)依據(jù)表3，得到系統(tǒng)服務(wù)安全保護(hù)等級；h)將業(yè)務(wù)信息安全保護(hù)等級和系統(tǒng)服務(wù)安全保護(hù)等級的較高者確定為定級對象的

7、安全保護(hù)等級。上述步驟如圖1確定等級一般流程所示。圖1確定等級一般流程5.2確定定級對象一個單位內(nèi)運(yùn)行的信息系統(tǒng)可能比較龐大，為了體現(xiàn)重要部分重點(diǎn)保護(hù)，有效控制信息安全建設(shè)成本，優(yōu)化信息安全資源配置的等級保護(hù)原則，可將較大的信息系統(tǒng)劃分為若干個較小的、可能具有不同安全保護(hù)等級的定級對象。作為定級對象的信息系統(tǒng)應(yīng)具有如下基本特征：a)具有唯一確定的安全責(zé)任單位作為定級對象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。如果一個單位的某個下級單位