網絡安全等級保護要求精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的網絡安全等級保護要求主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：網絡安全等級保護要求范文

關鍵詞：等級保護 信息系統(tǒng) 安全策略

中圖分類號：TP391.41 文獻標識碼：A 文章編號：1007-9416（2015）12-0000-00

隨著我國信息化建設的高速發(fā)展，信息技術水平的日益提高，眾多單位、組織都建立了自己的信息系統(tǒng)，以充分利用各類網絡信息資源。與此同時，各種非法入侵和盜竊、計算機病毒、拒絕服務攻擊、機密數據被篡改和竊取、網絡癱瘓等安全問題也時刻威脅著我國網絡的安全。因此，維護網絡信息安全的任務異常艱巨、繁重。信息安全等級保護制度的建立，可以有效地解決我國網絡信息安全面臨的威脅及存在的問題。

隨著信息安全等級保護工作的深入開展，不同等級信息系統(tǒng)之間的互聯、互通、互操作是當前研究的熱點和難點，其中，如何制定有效的安全策略，確保信息在多級互聯信息系統(tǒng)間安全流通，是亟待解決的關鍵問題。

1信息安全等級保護

信息安全等級保護是指對國家重要信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應、處置。

等級保護環(huán)境下的信息系統(tǒng)一般由安全計算環(huán)境、安全區(qū)域邊界、安全通信網絡和安全管理中心構成。其中，安全計算環(huán)境是對信息系統(tǒng)的信息進行存儲、處理的相關部件；安全區(qū)域邊界是對信息系統(tǒng)的各個區(qū)域之間實現連接并實施訪問控制的相關部件；安全通信網絡是保障信息在系統(tǒng)內安全傳輸及安全策略實施的相關部件；安全管理中心是對信息系統(tǒng)的安全策略及安全計算環(huán)境、安全區(qū)域邊界和安全通信網絡上的安全機制實施統(tǒng)一管理的平臺。

2多級互聯信息系統(tǒng)

我國信息安全等級保護標準將信息系統(tǒng)按照安全保護能力劃分為五個安全等級，一些重要、大型的信息系統(tǒng)中可能存在多個不同等級的子系統(tǒng)，不同等級信息系統(tǒng)之間要實現可信互聯，由于信任體系和運行模式不盡相同，互聯互通會導致安全風險的進一步增加，尤其是低等級信息系統(tǒng)可能通過惡意授權給高等級信息系統(tǒng)帶來權限失控風險。

因此，需要建立一個總體的安全管理中心，將不同安全等級的子系統(tǒng)連接在一起，通過協同合作，實現特定的功能服務，這就是多級互聯信息系統(tǒng)。在多級互聯信息系統(tǒng)中，各個子系統(tǒng)和互聯系統(tǒng)本身，都需要實施信息分級分類保護，從而確保系統(tǒng)間的交互協作及信息流動，保障系統(tǒng)的安全。

本文將在信息安全等級保護的要求下，研究多級互聯信息系統(tǒng)安全策略的制定，從而較好地解決多級互聯系統(tǒng)的安全風險問題，確保系統(tǒng)安全。

3多級互聯信息系統(tǒng)安全策略的制定

安全策略是為規(guī)范網絡安全防護工作，保證網絡正常使用、發(fā)揮網絡效能所必須強制執(zhí)行的一系列要求、規(guī)范或操作。其主要作用是針對被保護對象面臨的主要威脅，圍繞安全防護目標，提出網絡安全防護具體要求，指導安全管理行動。確定并實施網絡安全策略是對網絡進行有效安全管理的基礎和依據，是網絡信息系統(tǒng)安全保障的核心和起點，是實現網絡安全管理和技術措施的前提。因此，為了確保多級互聯信息系統(tǒng)安全有效地運行，制定明確和合理的安全策略就成為了關鍵。

3.1指導思想

根據不同應用類別和安全等級防護目標的需求，給出安全防護策略的框架，研究制定各類網絡相應的安全防護策略，并保證制定的安全策略具有較高的規(guī)范性、完備性和有效性。安全策略的制定與實施應當遵循“局部策略符合全局策略、下級策略符合上級策略”的原則。同時，隨著信息技術的發(fā)展以及系統(tǒng)的升級、調整，安全策略也應該隨之進行重新評估和制定，隨時保持策略與安全目標的一致性，確保信息系統(tǒng)安全有效地運行。

3.2基本原則

基于以上思想，制定多級互聯信息系統(tǒng)安全策略時應遵循以下原則：

（1）統(tǒng)一領導，分級負責。針對系統(tǒng)、數據、用戶等保護對象，按照同類、同級集中的原則進行等級保護級別的劃分，確定安全保護等級對應的適用范圍及具體組織實施單位。（2）廣域監(jiān)察，局域管控。依托總體安全管理中心，建立多級互聯系統(tǒng)廣域安全監(jiān)察機制，監(jiān)督、檢查各安全域網絡節(jié)點和用戶網絡安全策略的配置執(zhí)行情況，監(jiān)測重要骨干網絡流量，預警網絡攻擊和入侵行為，形成網絡安全實時態(tài)勢；在各安全域網絡節(jié)點和用戶網絡建立局域安全管控機制，依托各級安全管理中心，對網絡節(jié)點和用戶網絡的安全設備、主機系統(tǒng)的安全策略和安全事件進行集中統(tǒng)一管理，實現網內各類資源的可控可管，提高系統(tǒng)整體防護能力和維護管理效率。（3）分區(qū)分域，適度防護。根據等級保護的思想，在劃分的安全域中，一方面要遵循等級保護要求，加強主動防范措施；另一方面要針對各安全域業(yè)務特點的保護強度，在不影響系統(tǒng)整體安全性的前提下，進一步對各域的安全策略進行設置，并確保這些策略的相對性、獨立性及關聯性。（4）區(qū)域自治，聯防聯動：各安全域根據總體安全管理中心下發(fā)的安全策略，結合自身特定的安全需求，實施本區(qū)域內的安全防護和管理。依托總體安全管理中心，建立廣域網上下一體的預警響應和聯防聯動機制；依托各級安全管理中心，建立局域網內各安全設備之間的檢測響應和聯防聯動機制；并在各級安全管理中心、重要骨干節(jié)點、用戶網絡之間建立安全事件響應和應急協調機制。

第2篇：網絡安全等級保護要求范文

【關鍵詞】網絡安全 等級保護 實施方案

信息等級保護是我國踐行的一項主要制度，在實踐中通過對信息系統(tǒng)的相關重要程度與危害程度進行等級劃分的形式開展保護，保障其信息的最大安全性，避免各種不同因素導致安全事故問題的產生，因此本文對具體的安全等級保護以及實施方案進行了探究分析。

1 三級安全系統(tǒng)模型的構建

1.1 安全計算環(huán)境的具體實施

安全計算環(huán)境就是對相關等級系統(tǒng)進行詳細的管理，通過對相關信息的存儲、處理以及安全策略的實施，掌握信息系統(tǒng)的核心情況。安全計算環(huán)境在其有效的區(qū)域邊界安全防護之下，可以有針對性的避免各種外界網絡攻擊行為以及一些非授權的訪問。對此，安全計算機環(huán)境的整體安全防范工作就是有計劃有標準的提升系統(tǒng)整體安全性改造，避免出現系統(tǒng)因為自身的安全漏洞、系統(tǒng)缺陷等原因導致的攻擊問題。

同時，安全計算環(huán)境自身安全防護工作的開展，主要是實現對系統(tǒng)內部產生的相關攻擊以及非授權訪問的各種各樣行為進行防范與控制，避免內部人員因自身的數據以及信息處理方式導致的各種破壞行為的產生。

1.2 安全網絡環(huán)境的具體實施

信息系統(tǒng)中的各個計算機與計算域、用戶與用戶域主要是通過網絡進行系統(tǒng)的銜接，網絡對不同系統(tǒng)之間的相關信息傳輸有著承載通道的主要作用。網絡在應用中可以位于系統(tǒng)之內也可以位于系統(tǒng)之外，其中一些網絡數據信息流，或多或少會通過或者經過一些不穩(wěn)定的網絡環(huán)境進行傳輸。對此，網絡安全防護工作在實際操作過程中，首先要保障整個網絡設備自身的安全性，要對設備進行定期的維護，避免其受到各種網絡攻擊，進而在最大程度上提升網絡中信息流的整體安全健壯性，之后在此基礎上逐步提升其整體通信架構的實用性、完整性以及保密性。

基于網絡自身的保密要求，在應用中要使用網絡加密技術與應用本身進行融合，進而實現三級保護中的相關要求。網絡安全域要具有自身的網絡結構安全范圍，同時可以對相關網絡的具體訪問操作進行系統(tǒng)的控制，進一步提升對安全審計工作的重視，保障相關邊界的完整性，避免各種網絡入侵以及網絡攻擊問題的出現，杜絕惡意代碼問題的產生，進而實現整體網絡設備的有效防護與相關網絡信息保護功能。

1.3 安全區(qū)域邊界的具體實施

邊界安全防護是指在相關信息安全系統(tǒng)的各種業(yè)務流程上對其進行區(qū)分與劃分，是不同應用與數據內容的安全域的系統(tǒng)邊界。一般狀況之下，邊界安全的防護邊界與相關防御工作的開展就是通過依托于相關隔離設備與防護技術進行完成的，并且將其作為安全保護的切入點，邊界防護主要實現網絡隔離、地址綁定以及訪問控制管理等相關功能。其主要目標是對相關邊界內外部的各種攻擊進行檢測、告警與防御，可以有效的避免內部相關工作人員出現惡意或者無意的跨越邊界造成攻擊與泄露行為隱患。相關管理人員通過對相關日志的審核，可對一些違規(guī)事件進行詳細的審計追蹤。

1.4 安全管理中心的具體實施

安全管理中心是整個信息系統(tǒng)的核心安全管理系統(tǒng)，對于整個系統(tǒng)的安全機制管理有著重要的作用，作為信息系統(tǒng)的核心安全管理平臺，是對相關信息系統(tǒng)不同的安全機制進行有效高效的管理，安全管理中心將相關系統(tǒng)中的較為分散的安全機制進行系統(tǒng)化的管理后，通過集中管理模式提升其整體效能與作用。

安全管理中心可以將其作為整個信息系統(tǒng)中與相關體系域中的整體安全計算域、相關安全用戶域以及各個網絡安全域等流程進行系統(tǒng)的進行統(tǒng)籌記錄與分析管理，進而對其進行整體的統(tǒng)一調度，有效實現相關用戶身份與授權、用戶訪問與控制、用戶操作與審計的過程管理，最終達到對其存在的風險進行控制、通信架構運行情況得到實施展現于掌握，充分地凸顯整體安全防護系統(tǒng)的內在效能與作用。

2 信息安全系統(tǒng)的有效實現

2.1 系統(tǒng)定級實現

系統(tǒng)定級在操作中主要涵蓋了系統(tǒng)識別與相關描述，利用風險評估，基于相關標準對整個信息系統(tǒng)的實際等級標準進行確定，在通過相關部門批準之后形成一個定級報告，在此基礎上最后完成相關信息系統(tǒng)的等級劃分與具體的定級工作。

2.2 總體的安全建設規(guī)劃

總體的安全建設規(guī)劃主要是基于相關信息系統(tǒng)，承載相關業(yè)務的狀況，根據風險評估數據，明確其具體結構，綜合實踐中存在的安全風險，結合相關系統(tǒng)的具體安全要求，并制定出一個具體的安全實施計劃，為今后的信息系統(tǒng)安全建設工程的相關內容實施提供參考依據與指導。對處于一些已經開展的信息系統(tǒng)，要對其具體的需求進行分析，判斷其整體狀況與要求，明確差距后再開展工作。

2.3 安全實施

安全實施的過程就是根據信息系統(tǒng)的整體方案的相關要求，綜合信息系統(tǒng)的項目建設計劃與目的，分期分步的落實各項安全措施，同時將根據具體的等級需求，制定符合其對應等級的安全需求方案，對整個系統(tǒng)進行評估，使其滿足各種不同等級的保護需求。

2.4 運行與維護工作

在系統(tǒng)的整體運行期間，需對全網整體的安全風險進行監(jiān)控，對其變化進行分析，進而對其安全運行狀況進行系統(tǒng)化的評估?；诰唧w的評估結果對整個系統(tǒng)中存在安全[患的架構部分進行優(yōu)化設計與改造，進而制定相應的安全措施。

3 結束語

信息安全系統(tǒng)的實施對于網絡安全等級的優(yōu)化有著重要的意義，對此要提升對其工作的重視度，全面踐行相關等級保護與實施方案中的各項措施，提升整體的網絡安全性。

參考文獻

[1]陳華智，張聞，張華磊.網絡安全等級保護實施方案的實施及應用實踐[J].浙江電力，2011（03）：54-57.

[2]張都樂，何淼，張洋，王照付.信息系統(tǒng)等級保護實施方案研究與分析[J].網絡安全技術與應用，2012（08）：5-7.

[3]李洪民.淺談網絡安全等級保護信息建設方案[J].現代工業(yè)經濟和信息化，2016（13）：85-87+89.

作者簡介

趙晶晶（1983-），女，北京市人。工程師。碩士研究生學歷。研究方向為網絡安全。

第3篇：網絡安全等級保護要求范文

建設財政信息的安全系統(tǒng)是財政管理改革發(fā)展中的要求。當下財政信息化的應用在全國各地的財政系統(tǒng)中正逐漸深入，覆蓋了各級財政部門和面向社會公眾的財政信息系統(tǒng)?？梢哉f財政信息系統(tǒng)是各級財政系統(tǒng)進行信息共享的平臺，目前由于大量需要保護的數據和信息存儲在財政信息系統(tǒng)中，所以對系統(tǒng)中運行的安全保障提出了更高的要求。

【關鍵詞】等級保護 財政信息系統(tǒng) 信息安全

在財政信息系統(tǒng)安全建設的過程中，由于系統(tǒng)復雜、數據安全的屬性要求存在著差異，導致系統(tǒng)在不同程度上存在一定的脆弱性；在系統(tǒng)安全的規(guī)劃和設計中由于對策略認識不夠，以致風險延續(xù)到信息系統(tǒng)的運行和維護管理階段。文章從我國信息安全等級體系的規(guī)范和標準著眼，對財政信息系統(tǒng)的安全保護等級模型進行了分析，并提出了進一步完善財政信息系統(tǒng)安全的措施。

1 信息安全的保護等級及其基本流程

目前信息安全技術和管理水平在不斷地提升和發(fā)展，人們逐漸意識到要想保障信息系統(tǒng)的安全，就要不斷完善信息安全管理和技術體系，構建完整的信息系統(tǒng)，并且為了把信息和信息系統(tǒng)的殘留風險降低到最小級別，就要提高信息安全應急處置的能力。由于當前不同的信息和信息系統(tǒng)，對其安全級別的要求也不盡相同，應將管理策略、技術、工程過程等多個方面相結合，同時進行客觀的綜合考慮，對信息系統(tǒng)的安全分類需要充分運用信息安全等級保護的思想和方式。

1.1 信息系統(tǒng)安全保護等級

信息系統(tǒng)安全保護等級在《信息安全技術――信息系統(tǒng)安全等級保護基本要求》中劃分為五個等級，信息系統(tǒng)安全保護等級的第一級是用戶自主保護等級，用戶可根據自主訪問控制、身份鑒別和數據的完整性這三個條款進行判斷；第二級是系統(tǒng)審計保護級，在第一級的基礎上增加了兩個條款，分別是客體重用和審計；第三級是安全標記保護級，在第二級的基礎上增加了強制訪問控制、標記等條款；第四級是結構化保護級，在第三級的基礎上增加了可信路徑和隱蔽信道分析；第五級是訪問驗證保護級，在第四級的基礎上增加了可信恢復條款。這五個等級的基本內容以信息安全的屬性為主，即網絡安全、系統(tǒng)安全、應用安全、物理安全以及管理安全等五個方面，根據其不同要求，對安全信息系統(tǒng)的構建、測評和運行過程進行管理和掌控，進而實現對不同信息的類別按照不同的要求進行等級安全保護的目標，盡管不同等級的條款中有些內容是相似的，但在一定程度上仍然存在著差異，安全保護能力的要求會隨著保護等級的提升而逐漸增強。

1.2 信息系統(tǒng)安全等級保護實施的流程

信息系統(tǒng)安全等級保護實施的基本流程包括五個階段，分別是定級階段、備案階段、測評階段、整改階段、運行和維護階段。其中等級保護工作的基本前提是系統(tǒng)劃分和定級工作，定級工作必須要首先確定，否則后面的工作將會無從做起；備案階段中，當專家評審與自定級不同時，要重新定級，才能夠進行備案工作；測評階段中指定的第三方測評機構必須是權威機構，需要公正公平地對系統(tǒng)進行測評；整改和復測階段中對于整改的項目要通過等級保護測評和風險評估的方法進行分析。等級保護工作要隨著信息系統(tǒng)建設的變化和發(fā)展而做出不斷循環(huán)的工作。

2 財政信息系統(tǒng)的等級保護

2.1 財政信息系統(tǒng)安全的架構

在財政信息系統(tǒng)安全的架構模式中，既包含計算機網絡通信和環(huán)境平臺、又有多種相關的業(yè)務平臺，并且這些應用的安全等級各不相同，所以采取的安全保護策略也有所不同。財政信息系統(tǒng)規(guī)模大、系統(tǒng)復雜，按照系統(tǒng)的功能可以分為核心數據中心、采購管理、預算管理、業(yè)務門戶網站等多個子系統(tǒng)，要按照業(yè)務應用數據的不同性質進行不同安全等級的保護?？傊鶕斦畔⑾到y(tǒng)的實際情況，構建一個相對完善的財政信息系統(tǒng)模型。

2.2 財政信息系統(tǒng)安全的等級區(qū)域的劃分

財政信息系統(tǒng)安全等級保護要根據系統(tǒng)的特點和性質進行不同區(qū)域的安全劃分，以實現不同強度下的安全保護。針對財政信息系統(tǒng)中不同子系統(tǒng)的實際情況，可以將財政信息網絡劃分為不同的安全保密等級區(qū)域，分別為業(yè)務核心區(qū)，辦公用戶區(qū)域、專線用戶區(qū)域、內部網與互聯網信息交換的區(qū)域等。

3 財政信息系統(tǒng)的等級的保護措施

在財政信息系統(tǒng)安全等級保護的建設工作中，目前采取內網與外網物理隔離的方式，從物理上把財政業(yè)務中各個子系統(tǒng)與對外服務區(qū)進行劃分，分別劃分到不同的子網，在財政業(yè)務的防火墻上可以設置權限為允許的策略，源地址是內部桌面，目的地址是業(yè)務服務器，對于其他服務的子系統(tǒng)，同樣需要防火墻進行隔離，使各子系統(tǒng)都有充分的隔離和清晰的界限，同時可以配置漏洞掃描設備的檢測設備，不定期對各個服務器進行掃描。

數據備份能夠進一步保障財政信息系統(tǒng)的安全，在財政信息系統(tǒng)應用中需要配備存儲備份設備以實現數據自動備份，一旦系統(tǒng)出現故障，通過數據備份即可恢復。為了進一步支持財政信息系統(tǒng)的穩(wěn)步運行，可建立一個異地財政信息數據備份中心，以防財政信息系統(tǒng)發(fā)生災難性故障時實現異地遠程恢復的功能。

在財政信息系統(tǒng)安全保障體系建立的過程中，要嚴格依照等級保護下的安全管理制度、系統(tǒng)建設制度和相關財政系信息管理的法律及標準，在建立完善的網絡安全管理機制的同時明確管理人員的職責。

4 結論

綜上所述，文章從我國信息安全等級體系的規(guī)范和標準著眼，對財政信息系統(tǒng)的安全保護等級模型進行了分析，并提出了進一步完善財政信息系統(tǒng)安全的有效措施。在財政信息建設的過程中，設計出一個科學合理、全面的信息安全解決方案是一個關鍵的任務，要從我國信息安全等級體系的規(guī)范和標準著眼，對財政信息系統(tǒng)安全保障的體系進行深入的探討，以達到切實保護財政信息系統(tǒng)安全的目的。

參考文獻

[1]龔雷.應用安全透明支撐平臺體系結構與模型研究[D].鄭州：信息工程大學，2013.

[2]王會.基于等級保護的黨校網絡安全體系的研究與應用[D].廣州：中山大學，2012.

[3]劉莎莎.NN市委辦政務信息系統(tǒng)安全等級保護策略研究[D].南寧：廣西大學，2012.

[4]高朝勤.信息系統(tǒng)等級保護中的多級安全技術研究[D].北京：北京工業(yè)大學，2012.

第4篇：網絡安全等級保護要求范文

1 廈門港集裝箱智慧物流平臺概述

廈門港集裝箱智慧物流平臺是廈門港務控股集團有限公司為適應港口物流業(yè)轉型升級的需要，利用移動互聯網、物聯網等技術，以打造港口物流數字化、智能化生態(tài)系統(tǒng)，實現物流信息的高效、便捷共享為目的所建立的集裝箱物流信息服務平臺。該平臺以一次錄入、全流程共享為特色，集合全港集裝箱進出口流程，涵蓋貨代、船代、堆場、集卡、碼頭以及“一關三檢”等各節(jié)點的有效數據，實現集裝箱設備交接的電子化、智能化，并支持集卡運輸企業(yè)對集卡的指揮、調度功能。

廈門港集裝箱智慧物流平臺的主要功能如下：（1）報文平臺功能，連接船代、車隊、堆場、碼頭各方，實現集裝箱設備交接單數據的實時共享；（2）接口平臺功能，向堆場、車隊、碼頭提供統(tǒng)一的數據接口，對接信息化管理下的堆場、車隊和碼頭，實現各環(huán)節(jié)物流信息的實時更新；（3）互聯網平臺功能，實現車隊、集卡、司機信息備案管理，為車隊提供調度派單功能，為堆場提供數據更新功能，為碼頭提供數據查詢、統(tǒng)計分析等功能；（4）移動應用平臺功能，開發(fā)支持Android和iOS系統(tǒng)的手機應用程序，為車隊提供手機派單、查詢追蹤等功能，為司機提供手機接單、預約等功能，為堆場提供拍照驗箱功能，并為用戶提供數據查詢服務。

2 廈門港集裝箱智慧物流平臺安全策略

規(guī)劃

（1）管理安全 管理安全是安全策略中十分重要的環(huán)節(jié)。管理安全策略涉及安全組織機構、安全管理制度、安全培訓、安全意識教育等，以實現對維護人員、技術支持人員、管理人員、開發(fā)人員的權限控制、口令保密、審計跟蹤等安全管控為目標。

（2）物理安全 物理安全涉及基礎設施、環(huán)境、設備、電磁屏蔽等方面的安全控制，為平臺部署提供防災、防震、防干擾、防輻射等物理安全保障以及雙機熱備、鏈路冗余等安全策略規(guī)劃。

（3）網絡安全 網絡安全包括內外網區(qū)域隔離、不同網段應用訪問控制或隔離、虛擬專用網絡登錄、鏈路均衡負載、防火墻、防篡改等網絡安全策略。

（4）系統(tǒng)安全 保障操作系統(tǒng)和數據庫安全，定期掃描發(fā)現并修復漏洞和隱患，關閉不必要的服務、端口、協議等。

（5）應用安全 確保集裝箱智慧物流平臺的各項應用功能連續(xù)、可靠運行，支持功能模塊擴展、用戶擴容需要，使平臺升級更新不影響正常業(yè)務運行。

（6）運營安全 對集裝箱智慧物流平臺實施動態(tài)保護，并在系統(tǒng)運行中實現信息和數據的恢復；采用上網行為控制、網絡管理、防病毒、入侵防護、抗拒絕服務等手段監(jiān)控網絡運行及流量；制訂應急計劃和策略，實現突發(fā)事件的異地備份和恢復。

（7）密鑰安全 密鑰管理處理密鑰自產生到最終銷毀整個過程中的所有問題，包括系統(tǒng)初始化以及密鑰的產生、存儲、備份（或裝入）、分配、保護、更新、控制、丟失、吊銷和銷毀等。通過制定密鑰管理制度，對密鑰實施完整而周密的管理。

（8）數據和信息安全 通過數據庫審計等手段對數據的訪問活動進行跟蹤記錄，確保數據的完整性、保密性、可用性和不可否認性，涉及數據加密、完整性校驗、數據備份、數字簽名等。

3 廈門港集裝箱智慧物流平臺安全策略的

實施情況

3.1 建設互為災備的高可靠性綠色節(jié)能雙機房

在廈門島內和島外分別選址建設B類標準整體機房（見圖1），實現區(qū)域中心機房的互為災備和恢復。主機房采用先進、節(jié)能、高效、集約的密封冷通道模塊化架構設計，部署安防監(jiān)控、泄露檢測、消防報警、自動滅火和場地監(jiān)控等系統(tǒng)，保證機房的溫度、濕度、潔凈度、照度、防靜電、防干擾、防震動、防雷電、實時監(jiān)控等，以確保計算機設備安全、可靠運行，延長計算機系統(tǒng)使用壽命。

3.2 部署安全防護體系

如圖2所示：分別接入電信、聯通、移動等運營商寬帶，通過負載均衡設備實現鏈路冗余；部署防篡改、抗拒絕服務、防病毒、防火墻、入侵防護等安全防護系統(tǒng)；通過上網行為控制設備規(guī)范上網行為，由網絡管理軟件監(jiān)控設備運行狀況，由堡壘機監(jiān)控技術人員操作行為，由數據庫審計保障數據安全，形成強大的安全防護堡壘。

3.3 制定安全管理制度

安全管理制度涉及中心機房管理制度、網絡管理制度、信息系統(tǒng)建設管理辦法、信息系統(tǒng)運維管理辦法、信息安全處理預案等。在制定安全管理制度的基礎上，嚴格按照制度定期檢查、落整改和定期演練，并及時跟蹤機房運行狀況，每月編制運行報告。

3.4 開展信息安全等級保護工作

信息安全等級保護工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查等內容。一般情況下，委托有資質的第三方機構確定信息安全保護等級。根據平臺的業(yè)務信息和系統(tǒng)服務描述、系統(tǒng)服務受到破壞時所侵害客體以及系統(tǒng)服務受到破壞后對侵害客體的侵害程度，按照GB 17859D1999《計算機信息系統(tǒng)安全保護等級劃分準則》和GB/T 22240D2008《信息安全技術信息系統(tǒng)安全等級保護定級指南》等，確定廈門港集裝箱智慧物流平臺的業(yè)務信息安全等級和系統(tǒng)服務安全等級均為第二級，最終確定其安全保護等級為第二級。確定保護等級后，按照規(guī)定，向公安機關備案。在等級測評過程中，對測評發(fā)現的問題及時加以整改，確保信息平臺安全防護滿足要求。

4 結束語

第5篇：網絡安全等級保護要求范文

關鍵詞：企業(yè)；網絡安全防護；網絡管理

中圖分類號：TP393.08 文獻標識碼：A文章編號：1007-9599 (2010) 16-0000-02

The Construction of Enterprise Computer Network Security Protection System

Zhang Xu

(Xi'an Xianyang International Airport Co.,Ltd.,Xianyang 712035,China)

Abstract:With the development of network technology and the falling cost of network products,computer network has been in daily operation of enterprises play an increasingly important role.From e-commerce to e-mail, to the most basic file sharing,network communication,a good network system to improve efficiency,strengthen internal cooperation and communication between enterprise and outside to deal with customer demands have played a key role;However,a problem can not be ignored because of the vulnerability of the network itself,resulting in the existence of network security issues.This article illustrates the importance of enterprise network security,analysis of network threats facing enterprises,from the technical architecture and network management proposed appropriate network security policies.

Keywords:Enterprise;Network security protection;Network management

一、企業(yè)網絡安全的重要性

在信息社會中，信息具有和能源、物源同等的價值，在某些時候甚至具有更高的價值。具有價值的信息必然存在安全性的問題，對于企業(yè)更是如此。例如：在競爭激烈的市場經濟驅動下，每個企業(yè)對于原料配額、生產技術、經營決策等信息，在特定的地點和業(yè)務范圍內都具有保密的要求，一旦這些機密被泄漏，不僅會給企業(yè)，甚至也會給國家造成嚴重的經濟損失。

二、企業(yè)網絡安全風險分析

網絡安全涉及計算機科學、網絡技術、通信技術、密碼技術、信息安全技術、應用數學、數論、信息論等多種學科的綜合性應用，企業(yè)網絡安全也不例外。企業(yè)網絡安全的本質是保證在安全期內，網絡上流動或者靜態(tài)存放的信息不被非法用戶訪問，而合法授權用戶可以正常訪問。企業(yè)網絡安全的目標是保障信息資產的機密性、完整性和可用性。通過對企業(yè)網絡現狀分析，并與資產的機密性、完整性和可用性的要求比較，我們總結出企業(yè)主要面臨的安全威脅和問題主要體現在以下幾個方面。

（一）網絡物理安全風險分析

地震、水災、火災等環(huán)境事故會造成整個系統(tǒng)毀滅；電源故障會導致設備斷電以至操作系統(tǒng)引導失敗或數據庫信息丟失；設備被盜、被毀造成數據丟失或信息泄漏；電磁輻射可能造成數據信息被竊取或偷閱。

（二）網絡邊界安全風險分析

網絡的邊界是指兩個不同安全級別的網絡的接入處。對于骨干網來說，網絡邊界主要存在于Internet和出口外部網絡的連接處，內部網絡中辦公系統(tǒng)和業(yè)務系統(tǒng)之間以及內部網絡之間也存在不同安全級別子網的安全邊界。如果沒有采取一定的安全防護措施，內部網絡容易遭到來自外網一些不懷好意的入侵者的攻擊。

（三）應用服務系統(tǒng)安全風險分析

目前使用的操作系統(tǒng)主要包括Windows、UNIX操作系統(tǒng)，應用系統(tǒng)主要通過外購、自行開發(fā)的系統(tǒng)，這些系統(tǒng)可能存在著“Back-Door”或安全漏洞。這些“后門”或安全漏洞都將存在重大安全隱患。

（四）網絡內部安全風險分析

網絡安全攻擊事件70%是來自內部網絡；通過網上下載、電子郵件、使用盜版光盤或軟盤、人為投放等傳播途徑使病毒程序潛入內部網絡；而網絡是病毒傳播的最好、最快的途徑之一；內網客戶端一旦感染病毒就很容易對整個網絡造成危害；所以內網客戶端的病毒防護和補丁管理等是網絡安全管理的重點。

（五）網絡管理的安全風險分析

在網絡安全中，安全策略和管理扮演著極其重要的角色，如果沒有制定有效的安全策略，沒有進行嚴格的安全管理制度來控制整個網絡的運行，那么這個網絡就很可能處在一種混亂的狀態(tài)。再者就是安全管理意識不強。企業(yè)管理層重視程度不夠，認為花錢就能解決問題，盲目追求先進，甚至打算一步到位。

三、企業(yè)計算機網絡安全體系的建構

企業(yè)中計算機網絡安全防護體系的構建應該依據以下步驟：應用分析劃分適當的安全域風險分析以《計算機信息系統(tǒng)安全等級劃分準則》為依據，確定相應的安全等級以安全保護（PDRR）模型為指導，以保護信息的安全為目標，以計算機安全技術、加密技術和安全管理等為方法進行分層保護構建整體的安全保護保障體系。

（一）應用分析

應用分析，應該包括二個方面，一是用途分析；二是對信息網絡上的信息資產進行分析。不同的應用，信息資產也是不同的，存在的安全問題也肯定是不同的。試想一個單純的接人互聯網的信息網絡（如網吧）與政府的辦公網絡的安全問題會一樣嗎?實際上，在同一個信息網絡上，流動的信息也是不一樣的，它們安全性的要求當然也是不同的。

（二）風險分析

在進行了應用分析的基礎上，應該對某一用途，或某一級別或類別的信息，或某一安全域進行風險分析。這種分析可用一個二維的表格來實現。首先確定某一信息類別，或一個安全域，以可能發(fā)生的風險為X軸，對應于每一個風險，應該有3個參數填入到表格中，一個是該風險發(fā)生的概率，另一個是該類信息對該風險的容忍程度，再一個是該風險可能發(fā)生的頻率。事件發(fā)生的概率，目前可能很難給出量化值，可以給出一個等級標準，如不易發(fā)生，易發(fā)生和極易發(fā)生，而容忍度也只能給出等級，如無所謂、可以容忍，不能容忍和絕對不能容忍等。實際上我們在風險分析時，可以將風險列得更細些，更全面些。對一個與互聯網沒有物理聯結的內部網絡來說，通過互聯網發(fā)生的人侵，發(fā)生的病毒災害應該是不易發(fā)生的是小概率事件，而對于一個網站來說，這二者且是極易發(fā)生的事件。

（三）確定安全等級

在對信息分級和分類基礎上，應該依據《計算機信息系統(tǒng)安全等級劃分準則》（國標17859）確定相應的安全保護等級?！稖蕜t》給出了五個等級標準，每個標準等級都相應的要求。筆者認為不一定完全的套用某一個級別，可以根據風險分析的結果，與準則中的要求進行一定的對應，確定準則中的某一個級別，或以一個級別為基礎，在某些方面可做加強，而在另一些方面可以相對減弱。再次強調，保護應該是信息分級為基礎，對于不同級別的信息保護強度是不一樣，不同等級信息，最好在不同的安全域中加以保護。這樣不需要保護的信息就可以不加保護，而需要加強保護的信息，就可以采取相對強度較高的保護措施。但這種保護，必須兼顧到應用，不能因為保護而造成系統(tǒng)的應用障礙不過為了安全犧牲掉一些應用的方便性也是必要的。

（四）分層保護問題

確定了安全級別之后，在風險分析的基礎上，應該以計算機安全保護（PDRR）模型為指導，以《計算機信息系統(tǒng)安全等級劃分準則》的依據，以計算機技術、計算機安全保護技術、保密技術和安全管理等為保護手段，以信息的機密性、完整性、可控性、可審計性、可用性和不可否認性等為安全為保護目標，分層分析和制定保護措施。所謂分層保護，就是要把所列出的那些較為容易發(fā)生，且又不能容忍的風險，分解到各個層面上，然后利用計算機技術、計算機安全保護技術、加密技術和安全管理手段盡量的按一定的強度加以保護，以規(guī)避相應的風險。如信息抵賴的風險，應該發(fā)生在用戶層面，可以用對用戶的身份認證技術來解決這樣的風險。火災、水災都應該在物理層面上加以保護。許多風險可能是對應于多個層面，那就應該在多個層面上加以保護，如信息泄露，在所有的層面上都會發(fā)生，那就應該在所有的層面加以保護。

（五）構建完整的保障體系

對信息網絡進行了分層次的安全保護，好像我們的任務就已經完成了，實際上則不然。信息網絡是一個整體，對它的保護也應該是一個整體。首先，在進行分層保護的策略制定以后，首先應該在整體上進行評估，特別是結合部安全是還存在著問題。如，通過數據庫可以獲得系統(tǒng)的超級用戶權限。其次，我們是以不同的信息資產或不同的安全域來進行分層保護的，而不是整個網絡。此時我們應該對不同的信息資產或不同的安全域的分層保護方案進行比較和綜合并進行適當的調整，考慮信息網絡整體的保護方案。第三是應該選擇適當的安全產品或安全技術。在安全產品的選擇上即要考慮產品本身的先進性，還應該考慮安全產品本身的成熟性，對一些非常重要的信息網絡，不要第一個去吃螃蟹。最后還應該考慮對網絡中的安全產品實現統(tǒng)一的動態(tài)管理和聯動，使之能成為一個動態(tài)的防范體系，成為一個有機的整體。動態(tài)管理應該考慮，安全策略發(fā)生錯誤和失效的修改，以及對安全產品失效的對策，應該有預案。聯動，就是使所有使用的安全產品，在發(fā)生安全事件時，能夠成為一個防范的整體。整體的安全體系的建立，還應該對安全的措施成本進行核算，國外的信息網絡在安全方面的投人可達到系統(tǒng)建設費用的15%-30%，這個費用標準我們可以用來參考。核算措施成本后，還應該對成本效益進行評估，對于保護費用與效益在同一數量級上的花費，則應該考慮是否有必要進行這樣的保護。

四、結束語

技術與管理相結合，是構建計算機網絡信息系統(tǒng)安全保密體系應該把握的核心原則。為了增強計算機網絡信息系統(tǒng)和計算機網絡信息系統(tǒng)網絡的綜合安全保密能力，重點應該在健全組織體系、管理體系、服務體系和制度（技術標準及規(guī)范）體系的基礎上，規(guī)范數據備份、密鑰管理、訪問授權、風險控制、身份認證、應急響應、系統(tǒng)及應用安全等管理方案，努力提高系統(tǒng)漏洞掃描、計算機網絡信息系統(tǒng)內容監(jiān)控、安全風險評估、入侵事件檢測、病毒預防治理、系統(tǒng)安全審計、網絡邊界防護等方面的技術水平。

參考文獻：

第6篇：網絡安全等級保護要求范文

1.1國家衛(wèi)生部文件

文件明確規(guī)定了信息安全等級保護工作的工作目標、工作原則、工作機制、工作任務、工作要求，工作任務別強調了“三級甲等醫(yī)院的核心業(yè)務信息系統(tǒng)”應進行定級備案。

1.2浙江省衛(wèi)生廳文件

為加強醫(yī)療衛(wèi)生行業(yè)信息安全管理，提高信息安全意識，以信息安全等級保護標準促進全行業(yè)的信息安全工作，提高全省衛(wèi)生系統(tǒng)信息安全保護與信息安全技術水平，強化信息安全的重要性。2011年6月7日，浙江省衛(wèi)生廳和浙江省公安廳聯合下發(fā)《關于做好全省醫(yī)療衛(wèi)生行業(yè)重要信息系統(tǒng)信息安全等級保護工作的通知》（浙衛(wèi)發(fā)〔2011〕131號），并一同下發(fā)了《浙江省醫(yī)療衛(wèi)生行業(yè)信息安全等級保護工作實施方案》和《浙江省衛(wèi)生行業(yè)信息系統(tǒng)安全等級保護定級工作指導意見》。為進一步指導我省衛(wèi)生行業(yè)單位開展信息安全等級保持工作，浙江省衛(wèi)生信息中心于2012年4月6日下發(fā)了《關于印發(fā)<浙江省衛(wèi)生行業(yè)信息安全等級保護工作指導意見細則>的函》。上述文件詳細規(guī)定了工作目標、工作流程和工作進度，并明確了醫(yī)療衛(wèi)生單位重要信息系統(tǒng)的劃分和定級，具有很強的指導性和操作性。

2醫(yī)院信息安全等級保護

依據上述行業(yè)文件要求，全省醫(yī)院重要信息系統(tǒng)信息安全等級保護工作由省衛(wèi)生廳和各級衛(wèi)生局、公安局分級負責，按照系統(tǒng)定級、系統(tǒng)備案、等級測評、安全整改[1]四個工作步驟實施。

2.1系統(tǒng)定級

2.1.1確定對象

我省醫(yī)院信息化發(fā)展較早，各類系統(tǒng)比較完善，但數量繁多。將出現多達幾十甚至上百個定級對象的狀況，這與要求重點保護、控制建設成本、優(yōu)化資源配置[2]的原則相違背，不利于醫(yī)院重要信息系統(tǒng)開展信息安全等級保護工作。依據《計算機信息系統(tǒng)安全保護等級劃分準則（GB17859-1999）》等標準，結合我省醫(yī)院信息化現狀及發(fā)展需要，經衛(wèi)生信息化專家和信息安全專家多次論證，本著突出重點、按類歸并、相對獨立、節(jié)約費用的原則，從系統(tǒng)管理、業(yè)務使用者、系統(tǒng)服務對象和運行環(huán)境等多方面綜合考慮，把醫(yī)院信息系統(tǒng)劃分為以下幾類，如表1所示。

2.1.2等級評定

醫(yī)院重要信息系統(tǒng)的信息安全和系統(tǒng)服務應用被破壞時，產生的危害主要涉及公民的個人隱私、就醫(yī)權利及合法權益，對社會秩序和公共利益的損害屬于“損害”或“嚴重損害”程度。參考《信息安全等級保護管理辦法》及省衛(wèi)生信息中心指導意見細則要求[3]，即屬于“第二級”或“第三級”范疇。因此醫(yī)院信息系統(tǒng)對信息安全防護和服務能力保護的要求較高，結合業(yè)務服務及系統(tǒng)應用范疇，實行保護重點、以點帶面原則，參考定級如表2所示。

2.2系統(tǒng)定級備案

省衛(wèi)生廳及省級醫(yī)療衛(wèi)生單位信息系統(tǒng)、全省統(tǒng)一聯網或跨市聯網運行的信息系統(tǒng)由省公安廳受理備案；各市衛(wèi)生局及其下屬單位、轄區(qū)內醫(yī)院信息系統(tǒng)由屬地公安機關受理備案。各市衛(wèi)生局應將轄區(qū)內醫(yī)療衛(wèi)生單位備案匯總情況和《信息系統(tǒng)安全等級保護備案表》等材料以電子文件形式向省衛(wèi)生廳報備。定級備案流程示意圖如圖1所示。

2.3等級保護測評

醫(yī)院重要信息系統(tǒng)完成定級備案后，應依據《浙江省信息安全等級保護工作協調小組關于公布信息安全等級報測評機構的通知》（浙等?！?010〕9號）選擇浙江省信息安全等級保護工作協調小組辦公室推薦的等級測評機構，啟動等級測評工作，結合所屬等級要求對系統(tǒng)進行逐項測評。通過對醫(yī)院系統(tǒng)進行查驗、訪談、現場測試等方式收集相關信息，詳細了解信息安全保護現狀，分析所收集的資料和數據，查找發(fā)現醫(yī)院重要信息系統(tǒng)漏洞和安全隱患，針對測評報告結果進行分析反饋、溝通協商，明確等級保護整改工作目標、整改流程及注意事項，共同制定等級保護整改建議方案用于指導后續(xù)整改工作。對第二級以上的信息系統(tǒng)要定期開展等級測評。信息系統(tǒng)測評后，醫(yī)院應及時將測評機構出具的《信息系統(tǒng)等級測評報告》向所屬地公安機關報備。

2.4等級保護規(guī)劃建設整改

根據《信息系統(tǒng)安全等級保護實施指南》及省實施方案，結合醫(yī)院信息系統(tǒng)的安全需求分析，判斷安全保護現狀，設計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施規(guī)劃[4]等，用以指導信息系統(tǒng)安全建設工程實施。引進第三方安全技術服務商，協助完成系統(tǒng)安全規(guī)劃、建設及整改工作。建設，整改實施過程中按照詳細設計方案，設置安全產品采購、安全控制開發(fā)與集成、機構和人員配置、安全管理制度建設、人員安全技能培訓等環(huán)節(jié)[5]，將規(guī)劃設計階段的安全方針和策略，切實落實到醫(yī)院系統(tǒng)的信息安全規(guī)劃、建設、評估、運行和維護等各個環(huán)節(jié)。其核心是根據系統(tǒng)的實際信息安全需求、業(yè)務特點及應用重點，并結合醫(yī)院自身信息安全建設的實際需求，建設一套全面保護、重點突出、持續(xù)運行的安全保障體系，確保醫(yī)院系統(tǒng)的信息安全。等級保護工程及管理體系建設整改流程如圖2所示。

3醫(yī)院重要信息系統(tǒng)安全等級保護成效

各級醫(yī)院按照國家有關信息安全等級保護政策、標準，結合衛(wèi)生行業(yè)政策和要求，全面落實信息系統(tǒng)信息安全等級保護工作，保障信息系統(tǒng)安全可靠運行，提高安全管理運維水平。

3.1明確系統(tǒng)安全保護目標

通過推行各級醫(yī)院信息安全等級保護工作，梳理衛(wèi)生信息系統(tǒng)資產、網絡邊界、網絡安全設備部署及運行狀況。根據系統(tǒng)風險評估、危害的覆蓋范圍及影響性判定安全等級，從而根據標準全面、系統(tǒng)、深入地掌握系統(tǒng)潛在的風險隱患，安全漏洞。明確需要重點保護的應用系統(tǒng)及信息資產，提出行之有效的保護措施，有針對性地提高保護等級，實現重點目標重點保護。

3.2建立安全管理保障體系

安全管理保障體系是開展信息安全工作的保障，指導落實各項安全指標要求。信息安全等級保護基本要求中明確要求加強主管及安全責任部門領導，配備信息安全專員督導安全檢查、維護、培訓工作。建立健全信息安全管理保障制度體系，包括機房安全管理制度、人員安全管理制度、運維安全管理規(guī)范。建立行之有效的安全應急響應預案及常規(guī)化的信息安全培訓及預防演練，形成長期的安全風險管控機制。

3.3加強安全意識和管理能力

通過落實等級保護制度的各項要求，認識安全意識在信息安全工作中的重要性和必要性，調動安全保護的自覺主動性，加大安全保護的資金投入力度，優(yōu)化安全管理資源及策略，主動提升安全保護能力。同時重視常規(guī)化的信息安全管理教育和培訓，強化安全管理員和責任人的安全意識，提高風險分析和安全性評估等能力，信息系統(tǒng)安全整體管理水平將得到提高。

3.4強化安全保護技術實施

醫(yī)院開展信息安全等級保護工作可加深分級、分域的縱深防御理念，進一步結合終端安全、身份認證、網絡安全、容災技術，建立統(tǒng)一的安全監(jiān)控平臺和安全運行中心。根據測評報告及建設整改建議，增強對應用系統(tǒng)的授權訪問，終端計算機的安全控制，網絡流量的異常監(jiān)控，業(yè)務與數據安全保障，惡意軟件和攻擊行為的防御、發(fā)現及阻擊等功能，深層次提高抵御外部和內部信息安全威脅的能力。

3.5優(yōu)化第三方技術服務

與安全技術服務機構建立長期穩(wěn)定的合作關系，引進并優(yōu)化第三方技術資源，搭建安全保護技術的學習橋梁與交流平臺。在安全技術與管理方面加固信息安全防護措施，完善信息安全管理制度，同時通過安全技術管理培訓強化醫(yī)院工作人員信息安全保護意識，提高信息安全隊伍的技術與管理水平，共同為醫(yī)院系統(tǒng)信息化建設的快速發(fā)展保駕護航。總之，醫(yī)院開展信息安全等級保護工作將有效提高醫(yī)院信息化建設的整體水平，有利于醫(yī)院信息化建設過程中同步建設信息安全設施，保障信息安全與信息化建設相協調；有利于為信息系統(tǒng)安全建設和管理提供系統(tǒng)性、針對性、可行性的指導和服務；有利于優(yōu)化信息安全資源的配置，重點保障基礎信息網絡、個人隱私、醫(yī)療資源和社會公共衛(wèi)生等方面的重要信息系統(tǒng)的安全[6]。

4結束語

第7篇：網絡安全等級保護要求范文

此次大會由杭州市人民政府、中國網絡空間安全協會、浙江省網信辦、浙江省公安廳、浙江省經信委、云棲大會組委會指導，中國信息產業(yè)商會信息安全產業(yè)分會、阿里云計算有限公司、杭州安恒信息技術有限公司主辦，浙江省計算機信息系統(tǒng)安全協會、杭州市網絡安全協會、北京洋浦偉業(yè)科技發(fā)展有限公司、飛塔信息科技（北京）有限公司、北京元支點信息安全技術有限公司、北京珊瑚靈御科技有限公司協辦。

本屆大會以“安若磐石，云之所棲”為主題，以全新的國際視野，洞悉全球云安全發(fā)展趨勢；圍繞“中國網絡安全創(chuàng)新分享”這一主題，共同研討探索適應我國國情的網絡安全發(fā)展的道路，共商凝聚共識，整合資源的網絡安全創(chuàng)新新模式。

大會由公安部第一研究所原所長、計算機安全專委會主任嚴明主持，并宣讀了杭州市委副書記、市政府黨組書記、市長張鴻銘對大會發(fā)來的賀信。參加本次大會的致辭和重要演講的嘉賓有，中央網信辦網絡安全協調局副局長胡嘯，浙江省公安廳副廳長石小忠，浙江省經信委總工程師厲敏，中國信息產業(yè)商會信息安全產業(yè)分會理事長朱勝濤，公安部網絡安全保衛(wèi)局總工程師郭啟全，國家信息中心專家委員會副主任、國家信息化專家咨詢委員會委員寧家駿等領導和專家。另外，來自全國各地政府機構、公安部門、信息安全科研單位、央企、金融、運營商、互聯網、軍工各行業(yè)信息安全決策人員、信息安全主管、CIO、媒體等1500余人出席了本次大會。

專家論道產業(yè)安全

郭啟全總工在演講“加強創(chuàng)新和能力協同 全力保衛(wèi)國家關鍵信息基礎設施安全”中提到，國家對網絡安全提出了新的要求，首先就是要健全和完善國家信息安全等級保護制度，強化關鍵信息基礎設施保護?！毒W絡安全法（草案）》中也提出明確要求，國家實施網絡安全等級保護制度。

等級保護在網絡安全保障、網絡強國建設方面起著至關重要的作用。基礎信息網絡與重要信息系統(tǒng)面臨著日益嚴峻的威脅與挑戰(zhàn)。

為適應新技術的發(fā)展，解決云計算、物聯網、移動互聯和工控領域信息系統(tǒng)的等級保護工作的需要，從2014年3月開始，由公安部牽頭組織開展了信息技術新領域等級保護重點標準申報國家標準的工作，等級保護正式進入了2.0時代。

全新的《網絡安全等級保護基本要求》涵蓋了6個部分的內容：安全通用要求、云計算安全擴展要求、移動互聯安全擴展要求、物聯網安全擴展要求、工業(yè)控制安全擴展要求以及大數據安全擴展要求。

寧家駿指出，開展關鍵信息基礎設施網絡安全檢查至關重要，安全檢查是從涉及國計民生的關鍵業(yè)務入手，理清可能影響關鍵業(yè)務運轉的信息系統(tǒng)和工業(yè)控制系統(tǒng)，準確掌握關鍵信息基礎設施的安全狀況，科學評估面臨的網絡安全風險，以查促管、以查促防、以查促改、以查促建，同時為構建關鍵信息基礎設施安全保障體系提供基礎性數據和參考。

他建議，充分借鑒國外關鍵基礎設施網絡安全保護相關法律，分析我國現有立法的不足和主要問題，抓緊建立我國關鍵基礎設施網絡安全法律體系，從法律層面明確關鍵基礎設施的定義和范圍、界定政府部門的職責、規(guī)范運營者何所有者的運營資質要求。同時通過關鍵基礎設施網絡安全態(tài)勢感知、積極穩(wěn)妥推動關鍵基礎設施相關產品的國產替代、開展安全檢查評測督促關鍵基礎設施運營單位加強管理等方案促進我國關鍵基礎設施網絡安全與信息化的大發(fā)展。

聚焦G20杭州峰會安保

安恒信息CSO劉志樂在演講中表示，杭州安恒信息技術有限公司作為本次大會網絡安保和應急支撐工作的主要技術支撐單位，歷經近360天精心準備、投入309位技術骨干參與到G20峰會網絡安保任務。通過企業(yè)自主知識產權的最新大數據態(tài)勢感知系統(tǒng)及應急處置工具箱、工控檢查工具箱等二十多種產品平臺，為G20峰會網絡安保構建了全網全程網絡安保和應急支撐監(jiān)測體系、防御體系和服務體系，經過G20峰會全程考驗，安恒信息圓滿完成為本次峰會相關重要信息系統(tǒng)、關鍵基礎設施、省市兩級重要信息系統(tǒng)提供網絡安全保障的安保任務。

安恒信息網絡安保團隊以遠程和現場人員安全檢測，結合部署基于云與大數據技術的遠程安全監(jiān)測、大會系統(tǒng)現場各重要駐點安全值守、會議安保指揮中心四方互聯，多地支撐的形式，為大會召開保駕護航。他以本次峰會核心信息系統(tǒng)為例介紹道，安恒信息安保團隊共發(fā)現高危以上漏洞438個，共攔截3300萬次攻擊。經風暴中心分析，攻擊來自于41個國家和地區(qū)。

DT時代的云計算安全

阿里云安全資深總監(jiān)肖力表示，云計算時代所面臨的安全挑戰(zhàn)并不比傳統(tǒng)安全所面臨的問題要少，甚至于相較之下更加復雜。通過10多年在安全領域的積累，阿里云建立了一支全球頂級的云計算安全團隊，有完善的基礎設施，并且有更快的安全應急時間，能及時發(fā)現高危的安全漏洞信息，用最短時間修復，幫助用戶應對安全問題。

據普華永道統(tǒng)計，目前69%的企業(yè)正在使用基于云的安全服務，阿里云保護云上37%的數百萬的網站，每天防御8億次各類攻擊，每天識別并防御35000個惡意IP，每天防御2000次DDoS攻擊。安全從來就不是云平臺、用戶或者安全廠商某一方的單打獨斗。云計算廠商需要建立強大的生態(tài)讓用戶個性化的安全需求能夠快速有效的解決，云上客戶需要與SaaS服務商和安全廠商的虛擬化產品協同作戰(zhàn)，目前阿里云安全生態(tài)市場已有包括安恒信息在內的79家生態(tài)廠商、168款安全產品。

阿里云首席安全研究員、云盾負責人吳翰清在大會上首次了“阿里云云盾混合云解決方案”，混合云解決方案由阿里云安全團隊與數夢工場聯合開發(fā)、交付，支持公共云、專有云、線下IDC全場景覆蓋，讓企業(yè)擁有與阿里云一樣的世界級安全能力與體驗效果：包括安全態(tài)勢感知大屏、海量寬帶和快速擴容、大數據安全分析、威脅情報支持和0DAY快速反應能力。

模塊化是混合云云盾解決方案的一大體驗亮點。阿里云云盾的安全能力和服務，用“可插拔”的模式，模塊化輸入。用戶可以按需購買，按需啟用，解決以往線下解決方案不靈活、投入大的缺點。

安恒密盾2.0

安恒密盾安全產品經理楊錦峰做題為“打造你的釘釘移動應用安全之路（密盾2.0）”的演講。

第8篇：網絡安全等級保護要求范文

關鍵詞:電子政務信息安全

0引言

隨著電子政務不斷推進，社會各階層對電子政務的依賴程度越來越高，信息安全的重要性日益突出，在電子政務的信息安全管理問題中，基于現實特點的電子政務信息安全體系設計和風險評估[1]模型是突出的熱點和難點問題。本文試圖就這兩個問題給出分析和建議。

1電子政務信息安全的總體要求

隨著電子政務應用的不斷深入，信息安全問題日益凸顯，為了高效安全的進行電子政務，迫切需要搞好信息安全保障工作。電子政務系統(tǒng)采取的網絡安全措施[2][3]不僅要保證業(yè)務與辦公系統(tǒng)和網絡的穩(wěn)定運行，另一方面要保護運行在內部網上的敏感數據與信息的安全，因此應充分保證以下幾點：

1.1基礎設施的可用性：運行于內部專網的各主機、數據庫、應用服務器系統(tǒng)的安全運行十分關鍵，網絡安全體系必須保證這些系統(tǒng)不會遭受來自網絡的非法訪問、惡意入侵和破壞。

1.2數據機密性：對于內部網絡，保密數據的泄密將直接帶來政府機構以及國家利益的損失。網絡安全系統(tǒng)應保證內網機密信息在存儲與傳輸時的保密性。

1.3網絡域的可控性:電子政務的網絡應該處于嚴格的控制之下，只有經過認證的設備可以訪問網絡，并且能明確地限定其訪問范圍，這對于電子政務的網絡安全十分重要。

1.4數據備份與容災:任何的安全措施都無法保證數據萬無一失，硬件故障、自然災害以及未知病毒的感染都有可能導致政府重要數據的丟失。因此，在電子政務安全體系中必須包括數據的容災與備份，并且最好是異地備份。

2電子政務信息安全體系模型設計

完整的電子政務安全保障體系從技術層面上來講，必須建立在一個強大的技術支撐平臺之上，同時具有完備的安全管理機制，并針對物理安全，數據存儲安全，數據傳輸安全和應用安全制定完善的安全策略

在技術支撐平臺方面，核心是要解決好權限控制問題。為了解決授權訪問的問題，通常是將基于公鑰證書（PKC）的PKI（PublicKeyInfrastructure）與基于屬性證書（AC）的PMI（PrivilegeManagementInfrastructure)結合起來進行安全性設計，然而由于一個終端用戶可以有許多權限，許多用戶也可能有相同的權限集，這些權限都必須寫入屬性證書的屬性中，這樣就增加了屬性證書的復雜性和存儲空間，從而也增加了屬性證書的頒發(fā)和驗證的復雜度。為了解決這個問題，作者建議根據X.509標準建立基于角色PMI的電子政務安全模型。該模型由客戶端、驗證服務器、應用服務器、資源數據庫和LDAP目錄服務器等實體組成，在該模型中：

2.1終端用戶：向驗證服務器發(fā)送請求和證書，并與服務器雙向驗證。

2.2驗證服務器：由身份認證模塊和授權驗證模塊組成提供身份認證和訪問控制，是安全模型的關鍵部分。

2.3應用服務器：與資源數據庫連接，根據驗證通過的用戶請求，對資源數據庫的數據進行處理，并把處理結果通過驗證服務器返回給用戶以響應用戶請求。

2.4LDAP目錄服務器：該模型中采用兩個LDAP目錄服務器，一個存放公鑰證書（PKC）和公鑰證書吊銷列表（CRL），另一個LDAP目錄服務器存放角色指派和角色規(guī)范屬性證書以及屬性吊銷列表ACRL。

安全管理策略也是電子政務安全體系的重要組成部分。安全的核心實際上是管理，安全技術實際上只是實現管理的一種手段，再好的技術手段都必須配合合理的制度才能發(fā)揮作用。需要制訂的制度包括安全行政管理和安全技術管理。安全行政管理應包括組織機構和責任制度等的制定和落實；安全技術管理的內容包括對硬件實體和軟件系統(tǒng)、密鑰的管理。

3電子政務信息安全管理體系中的風險評估

電子政務信息安全等級保護是根據電子政務系統(tǒng)在國家安全、經濟安全、社會穩(wěn)定和保護公共利益等方面的重要程度。等級保護工作的要點是對電子政務系統(tǒng)進行風險分析，構建電子政務系統(tǒng)的風險因素集。

3.1信息系統(tǒng)的安全定級信息系統(tǒng)的安全等級從低到高依次包括自主保護級、指導保護級、監(jiān)督保護級、強制保護級、?？乇Ｗo級五個安全等級。對電子政務的五個安全等級定義，結合系統(tǒng)面臨的風險、系統(tǒng)特定安全保護要求和成本開銷等因素，采取相應的安全保護措施以保障信息和信息系統(tǒng)的安全。

3.2采用全面的風險評估辦法風險評估具有不同的方法。在ISO/IECTR13335-3《信息技術IT安全管理指南:IT安全管理技術》中描述了風險評估方法的例子，其他文獻，例如NISTSP800-30、AS/NZS4360等也介紹了風險評估的步驟及方法，另外，一些組織還提出了自己的風險評估工具，例如OCTAVE、CRAMM等。

電子政務信息安全建設中采用的風險評估方法可以參考ISO17799、OCTAVE、CSE、《信息安全風險評估指南》等標準和指南，從資產評估、威脅評估、脆弱性評估、安全措施有效性評估四個方面建立風險評估模型。其中，資產的評估主要是對資產進行相對估價，其估價準則依賴于對其影響的分析，主要從保密性、完整性、可用性三方面進行影響分析;威脅評估是對資產所受威脅發(fā)生可能性的評估，主要從威脅的能力和動機兩個方面進行分析;脆弱性評估是對資產脆弱程度的評估，主要從脆弱性被利用的難易程度、被成功利用后的嚴重性兩方面進行分析;安全措施有效性評估是對保障措施的有效性進行的評估活動，主要對安全措施防范威脅、減少脆弱性的有效狀況進行分析;安全風險評估就是通過綜合分析評估后的資產信息、威脅信息、脆弱性信息、安全措施信息，最終生成風險信息。

在確定風險評估方法后，還應確定接受風險的準則，識別可接受的風險級別。

4結語

電子政務與傳統(tǒng)政務相比有顯著區(qū)別，包括:辦公手段不同，信息資源的數字化和信息交換的網絡化是電子政務與傳統(tǒng)政務的最顯著區(qū)別;行政業(yè)務流程不同，實現行政業(yè)務流程的集約化、標準化和高效化是電子政務的核心;與公眾溝通方式不同，直接與公眾溝通是實施電子政務的目的之一，也是與傳統(tǒng)政務的重要區(qū)別。在電子政務的信息安全管理中，要抓住其特點，從技術、管理、策略角度設計完整的信息安全模型并通過科學量化的風險評估方法識別風險和制定風險應急預案，這樣才能達到全方位實施信息安全管理的目的。

參考文獻：

[1]范紅，馮國登，吳亞非.信息安全風險評估方法與應用.清華大學出版社.2006.

第9篇：網絡安全等級保護要求范文

【 關鍵詞 】 信息安全等級保護；等級測評；物聯網；云計算

Research of Effect of Internet of Things and Cloud Computing to Classified Evaluation

Zhao Liang

（Sinopec Shandong Dongying Oil Company ShandongJinan 257000）

【 Abstract 】 Classified Protection of Information Security is the basic system and strategy of national information security work. And Classified Evaluation is an important method of testing and evaluating the level of Information Security Protection. The appearance of new technologies， such as cloud computing， Internet of Things， tri-networks integration， brings new challenge to the Classified Evaluation technology. This paper introduced the influences upon Classified Evaluation from new technology development， represented by cloud computing and Internet of Things， in order to promote the development of test method research， and provide theoretical basis to further research.

【 Keywords 】 classified protection of information security； multilevel security database； cloud computing； internet of things

1 引言

社會信息化技術和國民經濟的飛速發(fā)展，使得信息系統(tǒng)與網絡的基礎性與全面性作用逐漸增強，而由此帶來的信息安全問題也變得突出，并逐漸成為關系國家安全的重大戰(zhàn)略問題。信息安全等級保護制度是國家在國民經濟和社會信息化的發(fā)展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩(wěn)定和公共利益，保障和促進信息化建設健康發(fā)展的一項基本制度，而等級測評作為檢驗和評價信息系統(tǒng)安全保護水平的重要方法，是信息安全等級保護實施過程中的重要環(huán)節(jié)。近幾年，越來越多的研究者致力于等級測評技術、方法和工具的研究與開發(fā)，并取得了一定的成果。但越來越多網絡新技術的出現，在開拓等級保護與等級測評應用領域的同時，也對傳統(tǒng)等級測評技術帶來了一定的挑戰(zhàn)。本文分別介紹了物聯網和云計算兩種新的技術應用，并探討了其對等級測評技術產生的影響，旨在推動等級測評技術的發(fā)展，為其深入研究提供理論參考。

2 安全等級保護與等級測評

信息安全等級保護是指根據應用業(yè)務重要程度及其實際安全需求，通過制定統(tǒng)一的信息安全等級保護管理規(guī)范和技術標準，對信息安全實行等級化保護和等級化管理，以保障信息安全和系統(tǒng)安全正常運行，維護國家利益、公共利益和社會穩(wěn)定。等級保護是幫助用戶分析、評定信息系統(tǒng)的等級，在后期的工作中根據不同的等級進行不同級別的安全防護，

在我國的信息安全等級保護制度中，等級保護工作主要分為五個環(huán)節(jié)：定級、備案、建設整改、等級測評和監(jiān)督檢查。

等級測評是指第三方等級測評機構根據等級保護的管理規(guī)范和技術標準要求，針對已經實施了安全等級保護的信息系統(tǒng)進行的符合性測評活動，以確保信息系統(tǒng)的安全性保護措施符合對應等級的基本安全要求，是信息安全等級保護工作的重要環(huán)節(jié)，既可以在信息系統(tǒng)安全建設完成后進行，也可以在信息系統(tǒng)的運行維護過程中進行?！禛B/T 22239-2008 信息安全技術 信息系統(tǒng)安全等級保護基本要求》作為等級測評的基礎性標準，目前主要基于其進行符合性判定。

3 物聯網技術與等級測評

3.1 物聯網技術簡介

物聯網（Internet of Things， IOT），顧名思義，就是“物物相連的網絡”，是指通過各種信息傳感設備（如傳感器、射頻識別技術、全球定位系統(tǒng)、紅外感應器、激光掃描器等各種裝置與技術），實時采集任何需要監(jiān)控、連接、互動的物體或過程，采集其聲、光、熱、電、力學、化學等各種需要的信息，與互聯網結合形成的一個巨大網絡。物聯網作為新一代信息技術的重要組成部分，其目的是實現物與物、物與人，所有的物品與網絡的連接，方便識別、管理和控制。

物聯網被稱為繼計算機、互聯網之后，世界信息產業(yè)的第三次浪潮。業(yè)內專家認為，物聯網不僅可以大大提高經濟效益，有效節(jié)約成本，還可以為全球經濟的復蘇提供技術動力支持。目前，美國、歐盟、韓國等都在加大力度深入研究物聯網。我國也正在高度關注、重視物聯網的研究，工業(yè)和信息化部會同有關部門，在新一代信息技術方面正在開展研究，以形成支持新一代信息技術發(fā)展的政策措施。

與傳統(tǒng)的互聯網相比，物聯網有其明顯的特征：（1）它是各種感知技術的廣泛應用；（2）以互聯網為基礎；（3）其本身具有智能處理的能力，能對物體實施智能控制。物聯網用途廣泛，主要應用領域有智能家居、智能醫(yī)療、智能環(huán)保、智能交通、智能農業(yè)。

3.2 物聯網對等級測評技術的影響

物聯網技術的推廣和應用，一方面將顯著提高經濟和社會運行效率，另一方面也對國家、社會、企業(yè)、公民的信息安全和隱私保護問題提出了嚴峻的挑戰(zhàn)，其開放性的特點與信息安全理念背道而馳，對信息安全等級測評的工作方法及測評范圍產生了較大的影響。主要體現在幾個方面。

（1） 信號易擾：雖然物聯網能夠智能化的處理一些突發(fā)事件，不需要人為干涉，但傳感設備都是安裝在物品上的，且其信號很容易收到干擾，因此很可能導致物品的損失。此外，如果國家某些重要機構如金融機構依賴物聯網，也存在信號擾導致重要信息丟失的隱患。這樣如何評估物聯網技術的安全性及穩(wěn)定性成為等級測評中的難題。

（2） 針對性入侵技術：物聯網與互聯網的關系，使得互聯網上的安全隱患同樣也會對物聯網造成危害。物聯網上傳播的黑客、病毒和惡意軟件等進行的惡意操作會侵害物品，進一步侵犯用戶的隱私權。尤其是對一些敏感物品如銀行卡、身份證等物品的惡意掌控，將造成不堪設想的后果。因此，在對物聯網進行安全保護以及等級測評過程中，不僅要考慮到物聯網無線網絡的防惡意入侵能力，更要考慮互聯網傳統(tǒng)的入侵技術。

（3） 通訊安全：物聯網與3G手機的結合，在很大程度上方便了人們的生活。然而，移動通訊設備本身存在的安全問題也會對物聯網造成影響。移動通信設備存在許多安全漏洞，黑客很有可能通過移動設備的漏洞竊取物聯網內部的各種信息，從而帶來安全隱患。而且移動設備的便攜性也使得其很容易丟失，若被不法分子獲得，則很容易造成用戶敏感信息的泄露。因此，在對物聯網進行等級測評的過程中，還要考慮到通信終端及通信過程的保密性。

總之，在考慮物聯網的等級保護與等級測評過程中，要以構建物聯網安全體系框架為目標，在充分理解物聯網的結構、技術和應用模式的基礎上，深入分析物聯網設備、網絡、信息和管理等各層面面臨的安全威脅和風險，梳理物聯網安全的主要問題，明確物聯網安全需求（“物”的真實性、“聯”的完整性、“網”的健壯性），并針對各項安全需求，研究保障物聯網安全的關鍵技術（低能耗密碼算法設計技術、海量信息標識技術、物聯網設備管理技術、物聯網密鑰管理技術、動態(tài)安全策略控制技術、物聯網安全等級保護技術、傳感設備物理安全防護技術），提出物聯網安全目標以及技術體系、承載裝備體系、標準規(guī)范體系和管理體系框架，給出物聯網安全體系頂層設計思路、建設任務和應對措施，為全面建設物聯網安全體系奠定必要的基礎。

4 計算與等級測評

4.1 云計算技術簡介

作為一種新興的共享基礎架構的網絡應用模式，云計算（Cloud Computing）越來越受到研究者的關注。云計算的概念最早由IBM提出，是傳統(tǒng)計算機技術和網絡技術發(fā)展融合的產物，旨在通過網絡把多個成本相對較低的計算機實體整合成一個具有強大計算能力的系統(tǒng)，并借助各種商業(yè)模式把強大的計算能力分布給終端用戶。其核心思想是使用大規(guī)模的數據中心和功能強勁的服務器運行網絡應用程序、提供網絡服務，使得任何一個用戶都能輕松訪問應用程序。這種特殊的應用模式，使得云計算具有大規(guī)模、服務虛擬化、通用性、高可靠性、高擴展性等特點。

云計算作為一種新的概念和應用模式，研究尚未成熟，還存在若干制約其發(fā)展的問題，包括服務的可靠性、標準化問題、安全性問題、數據傳輸瓶頸以及信譽和法律危機。其中云安全問題是目前發(fā)展云計算首要解決的問題之一。

4.2 云計算對等級測評技術的影響

云計算平臺在為用戶提供服務的同時，仍不可避免的面臨嚴峻的安全考驗。由于其用戶、信息資源的高度集中，帶來的安全事件后果與風險較傳統(tǒng)應用高出很多。據IDC在2009年底的一項調查報告顯示，當前云計算面臨的三大市場挑戰(zhàn)分別為安全性、穩(wěn)定性和性能表現。由此可見，解決云計算的安全問題尤為迫切。云計算面臨的安全問題及其對等級保護和等級測評造成的影響主要有幾個方面。

（1） 身份與權限控制：大數用戶對于云計算缺乏信心，其中一個很大原因是對于云模式下的使用和管理權限有顧慮。在復雜、虛擬的環(huán)境下，如何有效保證數據與應用依然清晰可控，這既是用戶的問題，也是云服務提供商的問題。因此，身份與權限控制解決方案成為云安全的核心問題之一，同樣的，傳統(tǒng)等級測評中針對身份認證和權限控制的相關技術與方法也不適用于這種虛擬、復雜的應用環(huán)境，需要開發(fā)專用的測試技術；

（3）計算層并行計算的干擾：計算層的主要功能是為整個云計算提供高效、靈活、高強度的計算服務，但也面臨一定的問題，主要有計算性能的不可靠性，即資源競爭造成的性能干擾，云計算主要采用并行計算間性能隔離機制來解決此問題。因此在等級測評中，需要開發(fā)新的測試技術和方法來評估并行計算間的干擾問題。

云計算給我們帶來創(chuàng)新和變革的同時，對安全問題與等級測評技術也提出了更高的要求。在云計算環(huán)境下，無論是使用云服務的用戶，還是云服務提供商，安全問題都是第一大問題。研究適用于云計算應用的等級測評技術，將極大的推動云計算領域的發(fā)展。

5 結束語

隨著各行各業(yè)對信息安全等級保護工作的關注和重視，等級保護和等級測評工作已逐漸成為制度化、規(guī)范化的研究課題。許多新技術如云計算、物聯網、三網融合等的推廣應用在帶來機遇的同時，也給等級保護乃至整個信息安全帶來了新的挑戰(zhàn)。本文分別介紹了物聯網和云計算兩種新的技術應用，并探討了其對等級測評技術產生的影響，旨在推動等級測評技術的發(fā)展，為其深入研究提供理論參考。

參考文獻

[1] 公通字[2004]66號 關于信息安全等級保護工作的實施意見.

[2] GB/T 22239-2008 信息安全技術 信息系統(tǒng)安全等級保護基本要求.

[3] 楊磊，郭志博. 信息安全等級保護的等級測評. 中國人民公安大學學報（自然科學版），No. 1 2007.

[4] 劉忠寶. 物聯網技術應用與研究. 信息與電腦，2010年第10期.

[5] 郝文江，武捷. 物聯網技術安全問題探析. 實踐探究，2010.

[6] 王斐. 淺談信息化的新浪潮――云計算. 科技創(chuàng)新導報，2010 No.30

[7] Jon Brodkin. Gartner： Seven cloud-computing Security risks[EB/OL]. 2008，07.http：///d/.

[8] 陳丹偉，黃秀麗，任勛益. 云計算及安全分析. 計算機技術與發(fā)展，2010 第2期.

[9] 任偉.物聯網安全架構與技術路線研究.信息網絡安全，2012.5.