信息安全等级保护政策培训教程

出版时间：2010-6  出版社：电子工业出版社  作者：公安部信息安全等级保护评估中心  页数：280  

前言

信息安全等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。国务院法规和中央文件明确规定，要实行信息安全等级保护，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度。信息安全等级保护是当今发达国家保护关键信息基础设施、保障信息安全的通行做法，也是我国多年来信息安全工作经验的总结。开展信息安全等级保护工作不仅是保障重要信息系统安全的重大措施，也是一项事关国家安全、社会稳定、国家利益的重要任务。近几年，为组织各单位、各部门开展信息安全等级保护工作，公安部根据法律授权，会同国家保密局、国家密码管理局和原国务院信息办组织开展了基础调查、等级保护试点、信息系统定级备案、安全建设整改等重要工作，出台了一系列政策文件，构成了信息安全等级保护政策体系，为指导各地区、各部门开展等级保护工作提供了政策保障。同时，在国内有关部门、专家、企业的共同努力下，公安部和标准化工作部门组织制订了信息安全等级保护工作需要的一系列标准，形成了信息安全等级保护标准体系，为开展信息安全等级保护工作提供了标准保障。今后一段时期，公安机关、行业主管部门和信息系统运营使用单位将组织开展等级保护培训工作。我们结合近些年的工作实践，在公安部网络安全保卫局的指导下，编写了这本教程，对开展信息安全等级保护工作的主要内容、方法、流程、政策和标准等内容进行解读，对信息系统定级备案、安全建设整改、等级测评、安全检查等工作进行详细解释说明，供读者参考、借鉴。由于水平所限，书中难免有不足之处，敬请读者指正。本书由公安部信息安全等级保护评估中心组织编写，在编写过程中得到国家网络与信息安全信息通报中心赵林副主任的大力支持和指导，在此表示由衷地感谢。参加编写的有周左鹰、郭启全、朱建平、毕马宁、景乾元、刘伟、张秀东、祝国邦、马力、任卫红、李升、刘静等。

内容概要

本教程共6章，主要介绍开展信息安全等级保护工作的主要内容、信息安全等级保护政策体系和标准体系、信息系统定级与备案工作、信息安全等级保护安全建设整改工作、信息安全等级保护等级测评工作、安全自查和监督检查。    本教程对信息安全等级保护工作有关政策、标准进行解读，对主要工作环节进行解释说明，供有关部门在开展信息安全等级保护培训中使用。

书籍目录

第1章  信息安全等级保护制度的主要内容 1  1.1  信息安全保障工作概述 1    1.1.1  加强信息安全工作的必要性和紧迫性 1    1.1.2  信息安全基本属性 2    1.1.3  我国信息安全保障工作的确立 2    1.1.4  信息安全保障工作的主要内容 3    1.1.5  保障信息安全的主要措施 3    1.1.6  北京奥运会网络安全保卫成功经验给信息安全工作带来的启示 4  1.2  信息安全等级保护的基本含义 5    1.2.1  信息安全等级保护的法律和政策依据 5    1.2.2  什么是信息安全等级保护 6    1.2.3  公安机关组织开展等级保护工作的法律、政策依据 8    1.2.4  贯彻落实信息安全等级保护制度的原则 9    1.2.5  信息系统安全保护等级的划分与监管 10  1.3  实行信息安全等级保护制度的必要性和紧迫性 11    1.3.1  为什么要强制实行信息安全等级保护制度 11    1.3.2  实施信息安全等级保护制度能解决什么问题 14    1.3.3  国外实施等级保护的经验和做法 15  1.4  信息安全等级保护制度的主要内容 17    1.4.1  等级保护工作中有关部门的责任和义务 17    1.4.2  等级保护工作的主要环节和基本要求 18  1.5  实施等级保护制度的工作情况 20    1.5.1  基础调查 20    1.5.2  等级保护试点工作 20    1.5.3  部署定级备案工作 20    1.5.4  等级测评体系建设试点工作 21    1.5.5  等级保护协调（领导）机构和专家组建设 22第2章  信息安全等级保护政策体系和标准体系 24  2.1  信息安全等级保护政策体系 24    2.1.1  总体方面的政策文件 24    2.1.2  具体环节的政策文件 26  2.2  信息安全等级保护标准体系 28    2.2.1  信息安全等级保护相关标准类别 28    2.2.2  相关标准与等级保护各工作环节关系 32    2.2.3  在应用有关标准中需要注意的几个问题 35    2.2.4  信息安全等级保护主要标准简要说明 36第3章  信息系统定级与备案工作 60  3.1  信息系统安全保护等级的划分与保护 60    3.1.1  信息系统定级工作原则 60    3.1.2  信息系统安全保护等级 61    3.1.3  信息系统安全保护等级的定级要素 61    3.1.4  五级保护和监管 62  3.2  定级工作的主要步骤 62    3.2.1  开展摸底调查 62    3.2.2  确定定级对象 63    3.2.3  初步确定信息系统等级 64    3.2.4  信息系统等级评审 64    3.2.5  信息系统等级的审批 64  3.3  如何确定信息系统安全保护等级 65    3.3.1  如何理解信息系统的五个安全保护等级 65    3.3.2  定级的一般流程 66  3.4  信息系统备案工作的内容和要求 71    3.4.1  信息系统备案与受理 71    3.4.2  公安机关受理备案要求 72    3.4.3  对定级不准以及不备案情况的处理 73第4章  信息安全等级保护安全建设整改工作 74  4.1  工作目标和工作内容 74    4.1.1  工作目标 74    4.1.2  工作范围和工作特点 75    4.1.3  工作内容 76    4.1.4  信息系统安全保护能力目标 78    4.1.5  基本要求的主要内容 81  4.2  工作方法和工作流程 85    4.2.1  工作方法 85    4.2.2  工作流程 86  4.4  安全管理制度建设 87    4.4.1  落实信息安全责任制 87    4.4.2  信息系统安全管理现状分析 89    4.4.3  制定安全管理策略和制度 89    4.4.4  落实安全管理措施 90    4.4.5  安全自查与调整 93  4.5  安全技术措施建设 93    4.5.1  信息系统安全保护技术现状分析 93    4.5.2  信息系统安全技术建设整改方案设计 95    4.5.3  安全建设整改工程实施和管理 99    4.5.4  信息系统安全建设整改方案要素 100  4.6  信息安全产品的选择使用 102    4.6.1  选择获得销售许可证的信息安全产品 102    4.6.2  产品分等级检测和使用 102    4.6.3  第三级以上信息系统使用信息安全产品问题 103第5章  信息安全等级保护等级测评工作 104  5.1  等级测评工作概述 104    5.1.1  等级测评的基本含义 104    5.1.2  等级测评的目的 104    5.1.3  开展等级测评时机 105    5.1.4  等级测评机构的选择 105    5.1.5  等级测评依据的标准 106  5.2  等级测评机构及测评人员的管理与监督 107    5.2.1  为什么要开展等级测评体系建设工作 107    5.2.2  对测评机构和测评人员的管理 108    5.2.3  等级测评机构应当具备的基本条件 108    5.2.4  测评机构的业务范围和工作要求 109    5.2.5  测评机构的的禁止行为 110    5.2.6  测评机构的申请、受理、审核、推荐流程 110    5.2.7  对测评机构的监督管理 113  5.3  等级测评的工作流程和工作内容 113    5.3.1  基本工作流程和工作方法 113    5.3.2  系统信息收集 115    5.3.3  编制测评方案 118    5.3.4  现场测评 122    5.3.5  测评结果判断 126    5.3.6  测评报告编制 128  5.4  等级测评工作中的风险控制 129    5.4.1  存在的风险 129    5.4.2  风险的规避 129  5.5  等级测评报告的主要内容 131    5.5.1  等级测评报告的构成 131    5.5.2  等级测评报告的主要内容说明 131第6章  安全自查和监督检查 134  6.1  定期自查与督导检查 134    6.1.1  备案单位的定期自查 134    6.1.2  行业主管部门的督导检查 135  6.2  公安机关的监督检查 135    6.2.1  检查的原则和方法 135    6.2.2  检查的主要内容 135    6.2.3  检查整改要求 136    6.2.4  检查工作要求 136附录A  关于信息安全等级保护工作的实施意见 138附录B  信息安全等级保护管理办法 148附录C  关于开展全国重要信息系统安全等级保护定级工作的通知 162附录D  信息安全等级保护备案实施细则（试行） 177附录E  公安机关信息安全等级保护检查工作规范（试行） 186附录F  关于加强国家电子政务工程建设项目信息安全风险评估工作的通知 201附录G  关于开展信息安全等级保护安全建设整改工作的指导意见 222附录H  信息系统安全等级测评报告模版（试行） 227附录I  关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知 249附录J  信息安全等级保护测评工作管理规范（试行） 252附录K  信息安全等级保护安全建设指导委员会专家名单 275

章节摘录

插图：安全管理要求的分级描述方式根据信息系统的五个安全保护等级的划分，随着信息系统安全保护能力逐级增高，相应的安全管理要求也逐级增强，体现在管理要素数量的增加和管理强度的增强两方面。例如，在描述信息系统安全管理要素“建立安全管理机构”时，在该安全管理要素的标题之下，首先简要说明本要素的作用，然后分列（a）配备安全管理人员、（b）建立安全职能部门、（c）成立安全领导小组、（d）主要负责人出任领导、（e）建立信息安全部门为小标题的五个不同强度的管理要求，而且在小标题之下还有更细化的描述。由（a）至（e）强度逐步提高，并明确规定不同安全等级应有选择地满足这些要求的一项。在具体描述时，有些管理要素的管理强度要求在前一强度基础之上继续完成的，会明确指出，如“在（a）的基础上，……”。安全管理要素《安全管理要求》以安全管理要素作为描述安全管理要求的基本组件。信息系统安全管理要素是指，为实现信息系统安全等级保护所规定的安全要求，从管理角度应采取的控制点，即实施的方法和措施。根据GB 17859对安全保护等级的划分，不同的安全保护等级会有不同的安全管理要求，具体体现在管理要素数量的增加和管理强度的增强两方面。这些安全管理要素构成信息系统安全管理的基本组件库，为提出分等级管理要求奠定了基础。安全管理要素的结构分为三个层次，为便于说明将第一层称为类，第二层称为族，第三层为具体的安全管理要素，共计8个类，30个族，98个要素，对于每个管理要素，根据特定情况分别列出不同的管理强度，最多分为五级，最少可不分级。

编辑推荐

《信息安全等级保护政策培训教程》：信息安全等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。开展信息安全等级保护工作不仅是保障重要信息系统安全的重大措施，也是一项事关国家安全、社会稳定、国家利益的重要任务。《信息安全等级保护政策培训教程》内容包括：信息安全等级保护制度的主要内容信息安全等级保护政策体系和标准体系信息系统定级与备案工作信息安全等级保护安全建设整改工作信息安全等级保护等级测评工作安全自查和监督检查

用户评论 (总计19条)

•   有许多政策、法规，很有参考价值
•   此书用于专门的考试，挺好。如果用一般的学习之用，对于了解等保的工作也是有一定帮助的。比较简单明了，易于理解。
•   很好的一本书，呵呵，第政策理解到位
•   用于培训，性价比很好，打折购买
•   作为教材使用，不错！
•   图书质量不错，印刷效果很好，内容详实，是不错的工具书。
•   正版，很快。
•   考试用书。比较全面。
•   速度很快。包装完好。
•   好书啊，太牛了。
•   物流很给力！书的纸张质量有些。。。
•   本书实用性强，就是纸张不是太好
•   内容覆盖面可以说讲的都差不多了，只是在具体内容上缺乏一定的详细描述。
•   考试指定教材，专业人士必备。
•   学习中，不过觉得缺了点有关分级保护的技术标准，有点遗憾。
•   帮朋友买的，还没看，希望他能喜欢。
•   自学用书，在信息安全等保方面的权威著作，方便学习使用。
•   介绍等级保护培训政策的，挺不错，对等级保护学习入门和做宣传有很好的作用
•   本书对信息安全等级保护制度做了全面的讲解，从主要内容到体系、定级，以及等级测评工作的方法和开展情况，非常细致，附录包括国家政策红头文件。是比较权威的一本政策性图书。