网络信息安全等级保护范文

网络信息安全等级保护篇1

关键词：信息系统安全 等级保护 福建

一、引言

信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。我国实施的信息系统安全等级保护制度，根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素,将信息系统的安全保护等级划分为5个级别，从第一级到第五级逐级增高，对不同安全级别的信息系统实施不同的安全管理。

二、我国信息系统安全等级保护思想的形成

1994年，《中华人民共和国计算机信息系统安全保护条例 》（国务院147号令）规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。

20世纪80年代初，美国国防部制定了“国家计算机安全标准”等系列标准，包括《可信计算机系统评估准则》（TCSEC，即俗称的“桔皮书”）及其他近40个相关标准，合称“彩虹系列”。 TCSEC标准是国际上计算机系统安全评估的第一套大规模系统标准，具有划时代的意义。TCSEC将安全产品的安全功能和可信度综合在一起，设立了4类7级。

1999年，我国公安部组织制定了强制性国家标准――《计算机信息系统安全保护等级划分准则》。

2000年11月10日，国家计委批准公安部开展“计算机信息系统安全保护等级评估体系及互联网络电子身份管理与安全保护平台项目”建设。

2003年，《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发［2003］27号）明确指出“实行信息安全等级保护”，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。这标志着等级保护从计算机信息系统安全保护的一项制度提升到国家信息安全保障一项基本制度。同时中央27号文明确了各级党委和政府在信息安全保障工作中的领导地位，以及“谁主管谁负责，谁运营谁负责”的信息安全保障责任制。

2004年9月，公安部会同国家保密局、国家密码管理局和国务院信息办联合出台了《关于信息安全等级保护工作的实施意见》（公通字［2004］66号），明确了信息安全等级保护制度的原则和基本内容，以及信息安全等级保护工作的职责分工、工作实施的要求等。

2006年1月，公安部、国家保密局、国家密码管理局、国信办联合制定了《信息安全等级保护管理办法（试行）》，并于2007年6月修订。

2007年6月，公安部会同国家保密局、国家密码管理局和国务院信息办联合颁布《信息安全等级保护管理办法》（公通字［2007］43号，以下简称《管理办法》），明确了信息安全等级保护制度的基本内容、流程及工作要求，进一步明确了信息系统运营使用单位和主管部门、监管部门在信息安全等级保护工作中的职责、任务，为开展信息安全等级保护工作提供了规范保障。

三、开展信息系统安全等级保护工作的必要性和重要性

⒈开展信息系统安全等级保护工作的必要性

随着网络新技术的飞速发展和各类信息系统的广泛应用，网络与信息安全也相应出现了许多新情况、新问题，福建省网络与信息安全防护工作面临的形势十分严峻。这就使得开展信息系统安全等级保护工作成为必然。

一是网上斗争日趋复杂，不确定性增强。由于在互联网上传播信息具备快速便捷、低成本、无国界、易消除痕迹、技术变化快等特点，使互联网成为境内外敌对势力、敌对分子从事各种破坏活动的重要工具。我国将长期面临敌对势力的信息优势、技术优势所带来的信息安全威胁。

二是网络违法犯罪活动迅速增多，造成的后果越来越严重。随着新技术、新应用的发展，暴露出来的网络与信息安全问题也日益增多。

三是漏洞数量居高不下，利用漏洞发起攻击仍是互联网最大的安全隐患。安全漏洞是指在网络系统中硬件、软件、协议和系统安全策略等存在的缺陷和错误，攻击者利用这些缺陷和错误可以对网络系统进行非授权的访问或破坏。

四是计算机病毒传播和对网络非法入侵十分严重。据公安机关调查，2007年1-6月，我国平均每月截获计算机病毒6.6万个，累计感染计算机达1.18亿台次。2007年初在我国发生的“熊猫烧香”病毒案，短时间内就出现病毒变种700余个，感染了445万台计算机，大批网民的网上帐号、口令被窃取。

⒉开展信息系统安全等级保护工作的重要性

开展信息安全等级保护工作，就是要解决我国信息安全面临的威胁和存在的主要问题，按标准建设安全保护措施，建立安全保护制度，落实安全责任，加强监督检查，有效保护重要信息系统安全，有效提高我国信息和信息系统安全建设的整体水平。

建立信息安全等级保护制度，开展信息安全等级保护工作，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；有利于优化信息安全资源的配置，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理；有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。

四、加快推进福建省重要信息系统安全等级保护工作

2007年7月20日，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室在北京联合召开“全国重要信息系统安全等级保护定级工作电视电话会议”，部署在全国范围内开展重要信息系统安全等级保护定级工作。8月13日，福建省公安厅、省保密局、省委机要局、数字福建建设领导小组办公室等四家单位也联合召开“福建省重要信息系统安全等级保护定级工作电视电话会议”。这标志着福建省重要信息系统安全等级保护工作正式启动。

信息系统安全保护工作的首要环节是定级，定级工作是开展信息系统建设、整改、测评、备案、监督检查等后续工作的重要基础。信息系统安全级别定不准，系统建设、整改、备案、等级测评等后续工作都将失去针对性。此次福建省重要信息系统安全等级保护工作将分四个阶段进行。

1.突出重点，全面准确划定定级范围和定级对象

此次重要信息系统定级的范围是国家基础信息网络和重要信息系统，这些网络和系统广泛分布在各级党政机关和电信、广电、铁路、银行、民航、海关、税务、电力、证券、保险等数十个行业。将这些基础信息网络和重要信息系统纳入此次定级的重点范围，体现了统筹规划、突出重点、重点保障基础信息网络和重要信息系统安全的总体要求和原则。

2.依据《管理办法》，准确确定信息系统安全保护等级

福建省各运营使用单位和主管部门在全面分析各自信息网络和信息系统在国家安全、社会秩序、公共利益等方面的作用和影响的基础上，根据信息网络和信息系统被攻击破坏后对国家安全、社会秩序和公共利益等方面可能造成的危害程度等因素，依据《管理办法》，参照《定级指南》所提供的定级方法，综合确定信息系统的安全保护等级。在确定等级的过程中，要最大限度地避免定级的盲目性、随意性，力争做到定级准确、科学、合理。

3.及时备案，加强对定级工作的监督、检查和指导

为全面掌握基础信息网络和重要信息系统的单位和系统的基本情况，保护重点领域的重要信息网络和信息系统，凡是安全保护等级为第二级以上的信息系统运营使用单位或主管部门要按照《管理办法》的要求，到公安机关进行备案。公安机关受理备案后要对备案材料进行审核，加强对重要信息系统安全等级保护定级工作的监督、检查和指导；对定级不准的，要及时通知备案单位重新定级。

4.依据《管理办法》和技术标准，开展整改、测评等工作

信息系统的安全保护等级确定后，运营使用单位要按照信息安全等级保护管理规范和技术标准，使用符合国家有关规定、满足信息系统安全保护等级需求的信息技术产品，开展信息系统安全建设或者改建工作，建设符合等级要求的信息安全设施；参照信息安全等级保护管理规范，制定并落实安全管理制度；选择符合《管理办法》规定条件的测评机构，依据技术标准对信息系统安全等级状况开展等级测评，使其尽快达到等级要求的安全保护能力和水平。

五、加大力度，确保福省重要信息系统安全等级保护工作任务落到实处

随着北京奥运会的日益临近，特别是“科技奥运”和“数字奥运”是2008年北京奥运会的一大亮点，信息安全等级保护的工作任务艰巨，责任重大。福建省公安、保密、密码工作和信息化等部门要密切配合，及时开展监督、检查，严格审查信息系统所定级别，积极开展备案、整改、测评等工作。同时，充分利用广播电视、报刊杂志、互联网等媒体，加大对国家信息安全等级保护制度的宣传力度，积极开展面向不同层次、不同对象的宣传、培训，以确保福建省重要信息系统安全等级保护工作落到实处。

1.明确职责，落实责任

各级公安机关要积极向当地党委、政府专门汇报，主动争取党委、政府对信息安全等级保护工作的重视和支持；或者成立专门的等级保护工作直辖市领导小组，加强对定级工作的领导，研究制定定级工作实施方案。各运营使用单位及其主管部门要按照“谁主管谁负责、谁运营谁负责”的要求，明确主管领导和责任部门。各信息系统主管部门要切实加强对定级工作的组织、领导，落实等级保护各项责任，督促、指导本行业、本系统开展定级、备案、建设整改等工作。

2.密切配合，通力协作

各级公安机关作为开展等级保护工作的牵头部门，要加强同保密、密码工作、信息办等其他信息安全职能部门的协调、配合，尽快建立健全信息安全等级保护监管工作的协调配合机制；要主动与信息系统主管部门交流沟通，督促配合其组织下属信息系统运营、使用单位建立信息安全责任制，建立并落实等级保护制度，从而确保等级保护工作的顺利、有效实施。

3.加强宣传，强化培训

等级保护工作是各单位、各部门面临的新任务、新工作，要大力加强宣传、培训，提高对等级保护工作重要性的认识，提高开展等级保护工作的能力和水平。公安、保密、密码工作和信息办等部门要认真组织相关部门、单位及人员学习和掌握等级保护有关政策、规范和相关标准，针对信息系统运营、使用单位及信息安全相关技术支持单位对等级保护工作有关政策、步骤、方法和措施不了解等问题，要有针对性地加强对等级保护有关政策的技术标准的宣传和培训。

网络信息安全等级保护篇2

关键词：信息安全；等级保护；技术方案

中图分类号：TP393.092

随着采供血业务对信息系统的依赖程度越来越高，信息安全问题日益突现，各采供血机构对信息安全保障工作给予了高度重视，各方面的信息安全保障工作都在逐步推进。《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号）指出[1]，依据国家信息安全等级保护制度，遵循相关标准规范，全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，明确信息安全保障重点，落实信息安全责任，建立信息安全等级保护工作长效机制，切实提高卫生行业信息安全防护能力、隐患发现能力、应急能力，做好信息安全等级保护工作，对于促进采供血机构信息化发展，维护公共利益、社会秩序和国家安全具有重要意义。

1 信息安全等级保护概述

1994年国务院147号令《中华人民共和国计算机信息系统保护条例》，规定我国实行“计算机信息安全等级保护制度”[2]。根据147号令的要求，公安部制定了《计算机信息等级划分标准》（GB17859-1999以下简称GB17859），该标准是我国最早的信息安全等级标准。

当前实施的信息安全等级保护制度是由公安部等四部委联合发文《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）及《信息安全等级保护管理办法》（公通字[2007]43号），文件明确了信息安全等级保护制度的原则、内容、工作要求、部门分工和实施计划，为信息安全工作提供了规范保障。这些信息安全的有关政策法规主要是从管理角度划分安全等级的要求。

2006年，国家信息安全技术标准化技术委员会以GB17859为基本依据，提出并制定了一系列信息安全国家标准（GB/T20269-2006《信息安全技术 信息系统安全管理要求》等）。这一系列规范性文件体现了从技术角度划分信息安全等级的要求，主要以信息安全的基本要素为单位，对实现不同安全要求的安全技术和机制提出不同的要求。本文主要讨论以GB17859为依据从技术角度探讨信息安全等级保护技术在采供血机构中的实践。

2 等级保护技术方案

信息安全等级保护制度明确了信息安全防护方案，要求确保信息系统安全稳定运行，确保信息内容安全。保证业务数据在生成、存储、传输和使用过程中的安全，重要业务操作行为可审计，保证应用系统可抵御黑客、恶意代码、病毒等造成的攻击与破坏，防范恶意人员对信息系统资源的非法、非授权访问。

2.1 实现要求。三级安全应用平台安全计算环境的安全目标是保护计算环境的终端、重要服务器、乃至上层的应用安全和数据安全，并对入侵事件进行检测/发现、防范/阻止和审计/追查。依据GB17859-1999等系列标准把相关技术要求落实到安全计算环境、安全区域边界和安全通信网络、安全管理中心及四个部分，形成“一个中心”三重保障体系[3]。

图1 三级安全应用平台TCB模型

2.2 安全计算机环境。安全计算机环境是由安全局域通信网络连接的各个安全的计算资源所组成的计算环境，其工作方式包括客户/服务器模式；主机/终端模式；服务器/工作站模式。

2.3 安全区域边界。是安全计算环境通过安全通信网络与外部连接的所有接口的总和，包括防火墙、防病毒网关及入侵检测等共同实现。

2.4 安全通信网络。实现信息系统中各个安全计算机环境之间互相连接的重要设施。包括安全性检测、安全审计病毒防杀、备份与故障恢复以及应急计划与应急反应。

2.5 安全管理中心。针对安全计算机环境、安全区域边界和安全通信网络三个部分的安全机制的集中管理设施。针对安全审计网络管理、防病毒等技术的安全集中管理。

3 采供血机构信息系统等级保护建设

3.1 定级。采供血机构为地市级公益卫生事业单位，信息管理系统受到破坏会严重损害社会秩序，采供血业务停滞会严重损害公共利益，信息泄露则会严重影响公众利益，按信息系统安全等级保护定级指南，确定采供血信息系统安全保护等级为第三级。

3.2 系统分析。采供血信息系统覆盖采供血业务和相关服务过程，包括献血者档案、血液采集、制备、检验和发放等信息记录必须妥善保存并保持可溯性。艾滋病疫情信息根据国家相关法律法规的要求，必须防止泄露，以免产生对国家安全及社会稳定的负面影响。

信息系统核心由两台双机热备服务器、磁盘阵列柜组成，采用硬件VPN、硬件防火墙作为网络安全设备。应用VPN技术将远离采供血机构本部的献血屋、移动采血车及医院输血科使用的业务计算机与站内的服务器联网。

3.3 等级保护建设。依据GB17859-1999等系列标准把相关技术要求落实到安全计算环境、安全区域边界和安全通信网络和安全管理中心四部分。构建“一个中心”管理下的“三重保障体系”，实现拓朴图如下：

图2 采供血机构拓扑图

3.3.1 安全计算环境。系统层主要进行身份认证及用户管理、访问控制、安全审计、审恶意代码防范，补丁升级及系统安全性检测分析。安全计算环境主要依靠在用户终端或是服务器中充分挖掘完善现有windows/Linux操作系统本身固有的安全特性来保证其安全性。在应用系统实现身份鉴别、访问控制、安全审计等安全机制。

3.3.2 安全区域边界。在网络边界处以网关模式部署深信服下一代防火墙AF-1320，电信及联通两条线路都接入其中，达到以下防护目的：（1）区域边界访问控制：逻辑隔离数据、透明并严格进行服务控制，隔离本单位网络和互联网，成为网络之间的边界屏障，单位内部电脑上网，实施相应访问控制策略，设置自主和强制访问控制机制；（2）区域边界包过滤：通过检查数据包源地址、过滤与状态检测提供静态的包过滤和动态包过滤功能；（3）区域边界安全审计：由内置数据中心和独立数据中心记录各类详细事件，并产生统计报表。还可根据管理者定义的风险行为特征自动挖掘并输出风险行为智能报表；（4）完整性保护：保护计算机网络免受非授权人员的骚扰与黑客的入侵，过滤所有内部网和外部网之间的信息交换。该防火墙具有IPS入侵防护，防护类型包括蠕虫/木马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利用漏洞的攻击/缓冲区溢出攻击/协议异常/ IPS逃逸攻击等；具有网络应用层防护，识别及清杀恶意代码功能。

3.3.3 安全通信网络。当用户跨区域访问时，根据三级标准要求，需要进行数据传输保护。通过部署VPN安全设备构建安全隧道，实施机密性和完整性保护，实现对应用数据的网络传输保护。（1）本单位用采两台深信服VPN网关为跨区域边界的通信双方建立安全的通道。一台为IPsec VPN用于连接采供血机构的分支机构如大型献血屋，另一台为SSL VPN用于小型捐血屋、流动采血车、各医院与采供血机构的数据通信。VPN设备可为采供血机构内部网络与外部网络间信息的安全传输提供加密、身份鉴别、完整性保护及控制等安全机制。另外，VPN安全网关中设计了审计功能来记录、存储和分析安全事件，可为安全管理员提供有关追踪安全事件和入侵行为的有效证据；（2）在防火墙下端部署华为S5700系列三层核心交换机，并在网络中划分VLAN，设置部门应用终端的访问权限，规定哪些部门可以访问哪些服务器等以减少网络中的广播风暴，提高网络效率；（3）在行政办公区域利用深信服上网行为管理（Sinfor-M5000-AC）有效管理与利用互联网资源，合理封堵非业务网络应用。

3.3.4 安全管理中心。信息安全等级保护三级的信息系统，应建立安全管理中心，主要用于监视和记录信息系统中比较重要的服务器、网络设备等环节，以及所有应用系统和主要用户的安全状况。本单位目前安全管理中心由两部分组成，配置赛门铁克赛门铁克SEP12.1，采用分布式的体系结构部署了防病毒系统中心、防病毒服务器端、防病毒客户端、防病毒管理员控制台。防病毒软件与防火墙、VPN及上网行为管理协同完成通信线路、主机、网络设备、应用软件的运行等监测和报警，并形成相关报表。对设备状态、恶意代码、补丁升级及安全审计等相关事项进行集中管理。

4 结束语

按照等级保护的相关规范和技术要求，结合采供血机构具体网络和系统应用，设计三级信息安全等级保护方案并建设，保证采供血机构网络的安全、稳定、通畅，保障了整个采供血业务的正常运转，更好地服务于广大患者。

参考文献：

[1]网神信息技术（北京）股份有限公司[J].信息网络安全，2012（10）：28.

[2]郎漫芝，王晖，邓小虹.医院信息系统信息安全等级保护的实施探讨[J].计算机应用与软件，2013（01）：206.

[3]胡志昂，范红.信息系统等级保护安全建设技术方案设计实现与应用[M].北京：电子工业出版社，2011：98-104.

作者简介：蔡海岩（1973.04-），女，信息科科长、信息顾问，工程师，研究方向：计算机信息安全及信息系统规划。

网络信息安全等级保护篇3

[关键词] 信息等级保护概述；中国石油；等级保护建设

[中图分类号] TP391；X913.2 [文献标识码] A [文章编号] 1673 - 0194（2013）05- 0057- 02

1 信息等级保护制度概述

信息安全等级保护制度是国家信息安全保障工作的基本制度，是促进信息化健康发展的根本保障。其具体内容包括：①对国家秘密信息，法人和其他组织及公民的专有信息以及公开信息，存储、传输、处理这些信息的信息系统实行分等级安全保护、分等级监管；②对信息系统中使用的信息安全产品实行按等级管理；③对信息系统中发生的信息安全事件分等级响应、处置。信息安全等级保护配套政策体系及标准体系如图1、图2所示。

定条件的测评机构开展等级测评；④建设整改：备案单位根据信息系统安全等级，按照国家政策、标准开展安全建设整改；⑤检查：公安机关定期开展监督、检查、指导。

2 中国石油信息安全等级保护制度建设

中国石油信息化建设处于我国大型企业领先地位，在国资委历年信息化评比中都名列前茅。2007 年全国开展信息安全等级保护工作之后，中国石油认真贯彻国家信息安全等级保护制度各项要求，全面开展信息安全等级保护工作。逐步建成先进实用、完整可靠的信息安全体系，保障信息化建设和应用，支撑公司业务发展和总体战略的实施，使中国石油的信息安全保障能力显著提高。主要采取的措施有以下几个方面：

（1）以信息安全等级保护工作为契机 ， 全面梳理业务系统并定级备案。中国石油根据国家信息安全等级保护制度要求，建立自上而下的工作组织体系，明确信息安全责任部门，对中国石油统一建设的应用系统进行等级保护定级和备案，通过制定《中国石油天然气集团公司重要信息系统安全等级保护定级实施暂行意见》，加强桌面安全、网络安全、身份认证等安全基础防护工作，加快开展重要信息系统的等级测评和安全建设整改工作，进一步提高信息系统的安全防御能力，提高系统的可用性和安全性。在全面组织开展信息系统等级保护定级备案工作之后，聘请专业测评机构，及时开展等级测评、安全检查和风险评估工作，并通过等级测评工作查找系统的不足和安全隐患，制订安全整改方案，开展安全整改和加固改造，保障信息系统持续安全稳定运行。

（2）以信息安全等级保护工作为抓手 ， 全面推动中国石油信息安全体系建设。中国石油以信息安全等级保护工作为抓手，完善信息安全整体解决方案，建立技术保障体系、管理保障体系和控制保障体系。采用分级、分域的纵深防御理念，将桌面安全、身份认证、网络安全、容灾等相关技术相互结合，建立统一的安全监控平台和安全运行中心，实现对应用系统的授权访问、桌面计算机的安全控制、网络流量的异常监控、恶意软件与攻击行为的及时发现与防御、业务与数据安全保障等功能，显著提高抵御外部和内部信息安全威胁的能力。建立了总部、区域网络中心、企事业单位三级信息系统安全运维队伍；采用集中管理、分级维护的管理模式，网络与安全运维人员采用授权方式，持证上岗，建立网络管理员、安全管理员和安全审计员制度；初步建立起中国石油内部信息安全风险评估队伍，并于 2010 年完成地区公司的网络安全风险评估工作。

（3）建立重要信息系统应急处置预案，完善灾难恢复机制。2008 年，中国石油了《网络与信息安全突发事件专项应急预案》，所有业务系统、网络管理、安全管理等都建立了应急响应处置预案和灾备系统，保障业务系统在遭遇突发事件时，能快速反应并恢复业务系统可用性。通过灾难恢复项目研究，形成了现状及风险分析、灾难恢复等级划分、灾备部署策略分析和灾备部署方案四步法，划分了信息系统灾难恢复等级，完善了灾难恢复机制。

（4）规划信息安全运行中心，建立重要信息系统安全监控机制。中国石油规划了信息安全运行中心的建设方案，提出了信息安全运行中心建设目标，通过网络运行状态、安全信息数据汇集、安全监测分析功能和安全管理流程的有机整合，实现中国石油 信息安全状况的可感知、可分析、可展示、可管理和可指挥，形成中国石油信息安全事件分析、风险分析、预警管理和应急响应处理一体化的技术支撑能力；通过完善安全运行管理体系，将安全运行管理组织、安全运维管理流程和安全监测预警系统三方面有机结合，实现事前预警防范、事中监控处置、事后追溯定位的信息安全闭环运行机制，形成中国石油统一的应急指挥与协调调度能力，为中国石油信息安全保障奠定良好的基础。

3 信息安全等级保护工作存在的不足及改进建议

信息安全等级保护管理办法 （公通字[2007]43号）正式标志着全国范围内的信息安全等级保护工作开始，通过5年的努力，全国信息安全工作形成了以落实信息安全等级保护制度为核心，信息通报、应急处理、技术研究、产业发展、网络信任体系和标准化建设等工作快速发展的良好局面，重要行业部门的信息安全意识、重视程度、工作能力有了显著提高。40余个重要行业出台了100余份行业等级保护政策文件，20余个重要行业出台了40余份行业等级保护标准，但同时存在着以下不足：

（1）对信息安全工作的认识不到位，对重要信息系统安全保护缺乏应有的重视。依据公安部相关资料统计，截至2012年6月，我国有18%的单位未成立信息安全工作领导机构；21%的单位未落实信息安全责任部门，缺乏信息安全整体规划；14个行业重要信息系统底数不清、安全保护状况不明；12个行业未组织全行业信息安全专门业务培训，开展信息安全工作的思路和方法不得当，措施不得力。20%的单位在信息系统规划过程中，没有认真制定安全策略和安全体系规划，导致安全策略不得当；22%的信息系统网络结构划分不合理，核心业务区域部署位置不当，业务应用不合理，容易导致黑客入侵攻击，造成网络瘫痪，数据被窃取和破坏。34.6%的重要信息系统未配置专职安全管理人员，相关岗位设置不完整，安全管理人员身兼多职；48%的单位信息安全建设资金投入不足，导致重要信息系统安全加固和整改经费严重缺乏；27%的单位没有针对安全岗位人员制订相关的培训计划，没有组织开展信息安全教育和培训，安全管理、运维技术人员能力较弱。

（2）重要信息系统未落实关键安全保护技术措施。重要信息系统未落实安全审计措施。在主机层面，有34.9%的信息系统没有保护主机审计记录，34.8%的信息系统没有保护主机审计进程，容易导致事故责任无法认定，无法确定事故（事件）原因，影响应急处理效率。38%的信息系统没有落实对重要系统程序和文件进行完整性检测和自动恢复的技术措施，35%的信息系统没有采取监测重要服务器入侵行为的技术措施，容易使内部网络感染病毒，对攻击行为无法进行有效监测和处置。

（3）我国信息技术与国外存在一定差距，安全专业化服务力量薄弱。具有我国自主知识产权的重要信息技术产品和核心技术水平还有待提高，依赖国外产品的情况还比较普遍；国内信息安全专业化服务力量薄弱，安全服务能力不强，部分重要信息系统的关键产品维护和系统运维依赖国外厂商，给重要信息系统安全留下了隐患。

为了有效提高我国企业信息安全水平，增加等级保护的可行性及执行力，建议：①各企业开展以信息安全等级保护为核心的安全防范工作，提高网络主动防御能力，并制订应急处置预案，加强应急演练，提高网络应急处置能力。②加大人员和资金投入，提高保障能力。③国家层面加快关键技术研究和产品化，重视产品供应链的安全可控。

主要参考文献

[1]中国石油天然气集团公司. 中国石油天然气集团公司全面开展信息安全等级保护工作为信息化建设保驾护航[J].信息网络安全，2012（1）.

[2]池仁隆，张超，张春柳.信息系统安全等级保护建设与测评方法简析[J].软件产业与工程，2012（2）.

网络信息安全等级保护篇4

【关键词】信息安全等级保护 测评实施

1 引言

医院信息化建设快速发展，信息系统应用深入到各个环节，信息业务系统承载了门诊收费、门诊药房、住院收费、住院药房、医保、财务、门急诊医生护士站、住院医生护士站、电子病历、病案首页、检验LIS系统、检查PACS系统、体检系统等。保障重点信息系统的安全，规范信息安全等级保护，完善信息保护机制，提高信息系统的防护能力和应急水平，有效遏制重大网络与信息安全事件的发生，创造良好的信息系统安全运营环境势在必要。根据卫生部印发的《卫生行业信息安全等级保护工作的指导意见》，卫生信息安全工作是我国卫生事业发展的重要组成部分。做好信息安全等级保护工作，对于促进卫生信息化健康发展，保障医药卫生体制改革，维护公共利益、社会秩序和国家安全具有重要意义。

2 确定测评对象与等级

我院是一所二级甲等综合医院，日门诊人次1000人左右，住院日人次400余人。医院信息系统HIS、LIS、PACS、电子病历、体检等50余个系统无缝结合，信息双向交流。按照《信息系统安全等级保护定级指南》定级原理，确定医院信息业务系统的安全保护等级为第2级，其中业务信息安全保护等级为2级，系统服务安全保护等级为2级。

2.1 招标比选测评公司

医院通过四川警察网了解到四川省获得信息安全等级保护测评有资质的5家公司。医院电话通知该5家公司，简单介绍医院信息化情况，其中有3家公司到现场进行调查，掌握了信息系统情况。然后通过招标比选确定一家公司为我院测评安全等级保护。

2.2 测评实施

2.2.1 准备阶段

医院填报《安全等级保护备案申报表》、《安全等级保护定级报告》，确定安全主管人员、系统管理员、数据库管理员、审计管理员、安全管理员。医院组织相关人员到市级计算机安全学会进行安全培训学习。确定医院信息安全主管人员协助测评公司人员就医院信息业务系统做调研，提交准备资料。调研内容涉及网络拓扑结构图、线路链接情况、中心机房位置分布情况、应用系统组成情况、服务器操作系统、数据库系统以及相应的IP地址、网络互连设备的配置、网络安全设备的配置、安全文档等。

2.2.2 测评主要内容

主要针对医院信息系统技术安全和安全管理两方面实施测评，其中技术安全包括物理安全、网络安全、主机安全、应用系统安全、数据安全及备份恢复进行5；安全管理包括安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。

2.2.3 测评方式与测评范围

测评公司综合采用了现场测评与风险分析方法测评、单元测评与整体测评。单元测评实施过程中采用现场访谈、检查和测试等测评方法。就各类岗位人员进行访谈，了解医院业务运作以及网络运行状况；查看主机房、应用系统软件、主机操作系统及安全相关软件、数据库管理系统、安全设备管理系统、安全文档、网络分布链接情况。检查物理安全、主机安全、网络安全、应用安全和数据安全及备份恢复等技术类测评任务，以及安全管理类测评任务；查阅分析文档、核查安全配置、监听与分析网络等检查方法查证防火墙、路由器、交换机部署及其配置情况、端口开放情况等；测评人员采用手工验证和工具测试进行漏洞扫描、系统渗透测试，检查系统的安全有效性。

整体测评主要应用于安全控制间、层面间和区域间等三个方面。主要就是针对同一区域内、同一层面上或不同层面上的不同安全控制间存在的安全问题以及不同区域间的互连互通时的安全性。

医院信息系统运用了身份鉴别措施、软件容错机制、用户权限分组管理、密码账户登录、数据库表中记录用户操作、对重要事件进行审计并留存记录。网络边界处部署防火墙防御入侵，终端使用了趋势网络版本防病毒产品，抵御恶意代码。开启系统审计日志，制定和实施有效安全管理制度，加强安全管理，降低系统安全风险。网络进行了有效的区域划分，区域之间通过访问控制列表实现安全控制，与社保局、医管办等第三方外联区之间通过防火墙严格限制访问端口。

2.2.5 差距分析与测评整改

通过测评，测评公司写出测评报告，提出整改建议。按照《信息系统安全等级保护基本要求》要求6，测评公司人员根据医院当前安全管理需要和管理特点，针对等级保护所要求的安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理，从人员、制度、运作、规范等角度，进行全面的建设7，提供技术建设措施，落实等级保护制度的各项要求，就各类人员进行安全培训，提升医院信息系统管理的能力。医院分期逐步投入防网络入侵系统、数据库审计系统等。

2.2.6 编制报告，成功备案

测评公司编制报告，上报市公安局备案成功，获得二级信息系统备案证书。二级信息系统，每两年进行一次信息安全等级测评。实施安全等级保护测评备案使医院信息系统安全管理水平提高，安全保护能力增强，有效保障信息化健康发展。

3 结语

网络安全问题是一个集技术、管理和法规于一体的长期系统工程，始终有其动态性，医院需要不断进行完善，加强管理，持续增加安全设备以保障医院数据安全有效，保障信息系统安全稳定运行。医院信息安全建设要切合自身条件特点，分期分批循序建设，保证医院各系统长期稳定安全运行，以适应医院不断扩展的业务应用和管理需求8。

参考文献

[1]卫办发.〔2011〕85号，卫生部关于印发“卫生行业信息安全等级保护工作的指导意见”的通知，2011.

[2]尚邦治.做好信息安全等级保护工作[J].中国卫生信息管理杂志，2005.

[3]王建英，陈文霞，胡雯，张鹏.医院信息安全分析及措施[J].中国病案，2013.

[4]王俊.医院信息安全等级保护管理体系的构建[J].医学信息，2013.

[5]韩作为.医院信息安全等级保护三级建设流程与要点[J].中国数字医学，2006.

作者单位

网络信息安全等级保护篇5

关键词：信息安全 等级划分 等级保护

中图分类号：TP309 文献标识码：A 文章编号：1007-9416(2012)05-0177-01

随着现在高科技的快速发展以及当前社会对信息系统需求的不断增加，信息系统的规模也在日益扩大，它的诸多应用都给社会创造了巨大的财富，与此同时，信息系统也成为了威胁、攻击以及破坏的对象。由于信息在网络上的存储、传输和共享等过程的非法利用，导致目前如何确保信息系统的安全性就成为了我们现阶段亟待解决的重点问题。当前，我们正在有计划的开展信息安全等级保护制度实施工作。为了确保计算机信息系统的安全，一定要系统地、深入地研究和学习信息系统安全技术和等级保护方法。

1、信息安全等级保护

2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27 号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。

信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

信息系统的安全保护等级分为五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。该级别是用户自主保护级。完全由用户自己来决定如何对资源进行保护，以及采用何种方式进行保护。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。该级别是系统审计保护级。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。该级别是安全标记保护级。除具有第二级系统审计保护级的所有功能外，它还要求对访问者和访问对象实施强制访问控制，并能够进行记录，以便事后的监督、审计。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。该级别是结构化保护级。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。该级别是访问验证保护级。这一个级别除了具备前四级的所有功能外还特别增设了访问验证功能，负责管理访问者对访问对象的所有访问活动，管理访问者能否访问某些对象从而对访问对象实行专控，保护信息不能被非授权获取。

2、信息安全等级划分

2.1 按相关政策规定划分安全保护等级

对于我国中央和国家各级机关、国家重点科研部门机构、国防建设部门等需要对信息系统施行特殊隔离和保护的单位机关，均应按照相关政策、相关法律法规，实施安全等级保护。

2.2 按照保护数据的价值划分保护等级

不同类别的数据信息需要实施不同安全等级的保护，这样不仅能使信息系统中的数据信息的安全得到应有的保证，而且又能缩减一部分不必要的开销。

3、信息安全等级保护具体方法

信息系统安全等级划分的最优的选择是全方位划分等级，其最基本的思想为重点保护和适度保护。在此基础上，投入合理的安全投入，运用以下两点信息安全等级保护方法，努力使信息系统得到应有的安全保护。

3.1 全系统的同一安全等级的安全保护

全系统同一安全等级安全保护：在一个需要进行安全等级保护的信息系统中，在组成系统的任何部分，所存储、传输和处理的全部数据信息，都需进行相同的安全保护等级的保护措施。

当有这样要求，规定所要保护的数据信息，不管处于系统中任何位置，进行任何形式的数据处理都需采取相同安全保护等级是，都应严格按照全系统同一安全等级安全保护方法开展系统安全性设计，设计出要求所需的安全机制。

3.2 分系统不同安全等级安全保护

所谓分系统不同安全等级安全保护：在一个需要进行安全等级保护的计算机信息系统中，其中所存储、传输和处理的全部数据信息，应该按照信息在组成计算机信息系统的每个分系统中的不同保护要求的原则，对其实施不同安全保护等级的安全保护。

3.3 虚拟系统不同安全等级安全保护

络信息安全进行控制。具体的实施措施可以使用路由器对外界进行控制，将路由器作为网关的局域网上的诸如Internet等网络服务的信息流量，也可以通过对系统文件权限的设置来确认访问是否合法，以此来保证计算机网络信息的安全。

3.4 计算机网络病毒的防范技术

计算机病毒是威胁计算机网络安全的重大因素，因此应该对常见的计算机病毒知识进行熟练地掌握，对其基本的防治技术手段有一定的了解，能够在发现病毒的第一时间里对其进行及时的处理，将危害降到最低。对于计算机病毒的防范可以采用以下一些技术手段，可以通过加密执行程序，引导区保护、系统监控和读写控制等手段，对系统中是否有病毒进行监督判断，进而阻止病毒侵入计算机系统。

3.5 漏洞扫描及修复技术

计算机系统中的漏洞是计算机网络安全中存在的极大隐患，因此，要定期对计算机进行全方位的系统漏洞扫描，以确认当前的计算机系统中是否存在着系统漏洞。一旦发现计算机中存在系统漏洞，要及时的对其进行修复，避免被黑客等不放法子利用。漏洞的修复分两种，有的漏洞系统自身可以进行恢复，而有一部分漏洞则需要手动进行修复。

4、结语

在当前通信与信息产业高速发展的形势下，计算机网络安全技术的研究与应用也应该与时俱进，不断地研究探讨更加优化的计算机网络防范技术，将其应用到计算机网络系统的运行中，减少计算机网络使用的安全风险。实现安全的进行信息交流，资源共享的目的，使计算机网络系统更好的为人们的生活工作服务。

作者简介

网络信息安全等级保护篇6

第一条为加强和规范信息安全等级保护管理，提高信息安全保障能力，维护国家安全、公共利益和社会稳定，促进信息化建设，根据国家有关规定，结合本省实际，制定本办法。

第二条本省行政区域内建设、运营、使用信息系统的单位，均须遵守本办法。

第三条本办法所称信息安全等级保护，是指按国家规定对需要实行安全等级保护的各类信息的存储、传输、处理的信息系统进行相应的等级保护，对信息系统中发生的信息安全突发公共事件实行分等级响应和处置的安全保障制度。

第四条本办法所称信息，是指通过信息系统进行存储、传输、处理的语言、文字、声音、图像、数字等资料。

本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。

第五条信息安全等级保护应当遵循分级实施、明确责任、确保安全的原则；重点保障基础信息网络和重要信息系统各类信息的安全性和信息处理的连续性。

信息系统应当按照信息安全等级保护的要求，实行同步建设、动态调整、谁运行谁负责的原则。

第六条县级以上人民政府应当加强对信息安全等级保护工作的领导，把信息安全等级保护纳入信息化建设规划，协调、解决有关重大问题，建立必要的资金和技术的保障机制。

第七条县级以上人民政府公安、国家安全、保密、密码、信息化等行政主管部门应当按照国家和本办法规定，履行监督管理职责。

县级以上人民政府其他相关部门，应当按照职责分工，落实信息安全等级保护管理的责任，配合做好相关工作。

第二章等级保护的分级与实施

第八条根据信息系统承载的信息的重要性、业务处理对系统的依赖性以及系统遭到破坏后对经济、社会的危害程度，确定信息系统相应的保护等级。

信息系统的保护等级分为以下五级：

（一）信息系统承载的信息涉及公民、法人和其他组织的权益，信息系统遭到破坏后，业务可以直接用其他方式替代处理，对公民、法人和其他组织的权益有一定影响，但不损害国家安全、社会秩序、经济建设和公共利益的，为一级保护，由运营单位自主保护；

（二）信息系统承载的信息直接涉及公民、法人和其他组织的权益，信息系统遭到破坏后，会影响业务的正常处理，并对国家安全、社会秩序、经济建设和公共利益造成一定损害的，为二级保护，由运营单位在信息安全等级保护工作监管部门的指导下进行保护；

（三）信息系统承载的信息涉及国家、社会和公共利益，信息系统遭到破坏后，会严重影响业务的正常处理，并对国家安全、社会秩序、经济建设和公共利益造成较大损害的，为三级保护，由运营单位在信息安全等级保护工作监管部门的监督下进行保护；

（四）信息系统承载的信息直接涉及国家、社会和公共利益，信息系统遭到破坏后，业务无法正常处理，并对国家安全、社会秩序、经济建设和公共利益造成严重损害的，为四级保护，由运营单位按照信息安全等级保护工作监管部门的强制要求进行保护；

（五）信息系统承载的信息直接关系国家安全、社会稳定、经济建设和运行，信息系统遭到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的，为五级保护，由运营单位在国家指定的专门部门、专门机构的专控下进行保护。

第九条信息系统的建设、运营、使用单位，应当按照国家有关技术规范、标准和本办法第八条规定自行选定其信息系统相应的保护等级。

基础信息网络和重要信息系统的保护等级，建设单位应当在信息系统规划设计时，按照本办法第十条规定报经审定。

第十条基础信息网络和重要信息系统保护等级，实行专家评审制度。

省、设区的市信息化行政主管部门应当分别建立省、市信息系统保护等级专家评审组，并分别组织对关系全省和关系全市的基础信息网络和重要信息系统的保护等级进行审定。申报与审定的具体细则，由省信息化行政主管部门会同省公安部门制定，并报省人民政府备案。

第十一条对于包含多个子系统的信息系统，应当根据各子系统的重要程度分别确定保护等级。

第十二条信息系统建设完成后，其运营、使用单位应当按照国家有关技术规范和标准进行安全测评，符合要求的，方可投入使用。

第十三条信息系统投入运行或者系统变更之日起三十日内，运营、使用单位应当将信息系统保护等级选定或者审定情况报所在地县级以上人民政府公安部门备案。备案的具体细则由省公安部门制定。

信息系统涉及国家秘密的，运营、使用单位应当按照有关保密法律、法规、规章的规定执行。

第十四条信息系统的运营、使用单位，应当按照国家有关技术规范和标准，建立信息安全等级保护管理制度，落实安全保护责任，采取相应的安全保护措施，切实保障信息系统正常安全运行。

第十五条信息系统的运营、使用单位，应当建立信息系统安全状况日常检测工作制度，加强对信息系统的日常维护和安全管理，及时消除安全隐患，确保信息的安全和系统的正常运行。

基础信息网络和重要信息系统的运营、使用单位，应当按照国家有关技术规范和标准，每年对系统的信息安全状况进行一次全面的测评，也可以委托有相应资质的单位进行安全测评。

第十六条信息系统发生信息安全突发公共事件时，应当根据事件的可控性、地域影响范围和信息系统遭到破坏的严重程度，实行分级响应和应急处置。分级响应和应急处置按照省有关网络与信息安全应急预案的规定执行。

通信基础网络发生突发公共事件时，应当按照省有关通信保障应急预案的规定执行。

第三章监督管理

第十七条县级以上人民政府公安部门依法对运营、使用信息系统的单位的信息安全等级保护工作实施监督管理，并做好下列工作：

（一）督促、指导信息安全等级保护工作；

（二）监督、检查信息系统运营、使用单位的安全等级保护管理制度和技术措施的落实情况；

（三）受理信息系统保护等级的备案；

（四）依法查处信息系统运营、使用单位和个人的违法行为；

（五）信息安全等级保护的其他相关工作。

第十八条保密工作部门依照职责分工，依法做好下列工作：

（一）督促、指导涉及国家秘密的信息安全等级保护工作；

（二）受理涉及国家秘密的信息系统保护等级的备案；

（三）依法查处信息泄密、失密事件；

（四）信息安全等级保护中涉及国家秘密的其他相关工作。

第十九条密码管理部门应当按照职责分工依法做好相关工作，加强对涉及密码管理的信息安全等级保护工作的监督、检查和指导，查处信息安全等级保护工作中违反密码管理的行为和事件。

第二十条信息化行政主管部门应当加强对信息安全等级保护工作的指导、服务、协调和管理，并做好下列工作：

（一）指导、协调信息安全等级保护工作；

（二）组织制定信息安全等级保护工作规范;

（三）组织专家审定信息系统的保护等级；

（四）为相关单位提供信息安全等级保护的有关资讯和技术咨询；

（五）根据预案规定，组织落实信息安全突发公共事件的应急处置工作；

（六）信息安全等级保护的其他相关工作。

第二十一条信息系统建设、运营、使用单位，应当按照国家和本办法有关规定，开展信息安全等级保护工作，接受有关部门的指导、检查和监督管理。

信息系统运营、使用单位，在运营、使用中发生信息安全突发公共事件、泄密失密事件的，应当按照应急预案要求，及时采取有效措施，防止事态扩大，并立即报告有关主管部门，配合做好应急处置工作。

第四章法律责任

第二十二条违反本办法规定的行为，有关法律、法规已有行政处罚规定的，从其规定。

第二十三条信息系统运营、使用单位违反本办法规定，不建立信息系统保护等级或者自行选定的保护等级不符合国家有关技术规范和标准的，由公安部门责令限期改正，并给予警告；逾期拒不改正的，处一千元以上二千元以下罚款。

第二十四条信息系统运营、使用单位违反本办法第十二条、第十三条第一款规定的，由公安部门责令限期改正，并给予警告；逾期不改正的，处二千元罚款。

第二十五条信息系统运营、使用单位违反本办法第十四条规定，未建立信息安全等级保护管理制度、落实安全保护责任和措施的，由公安部门责令限期改正，并给予警告；

逾期拒不改正的，对经营性的处五千元以上五万元以下罚款，对非经营性的处二千元罚款。

第二十六条违反本办法第十五条第一款规定，信息系统运营、使用单位未建立信息系统安全状况日常检测工作制度的，由公安部门责令限期改正，并给予警告；逾期拒不改正的，处一千元以上二千元以下罚款。

违反本办法第十五条第二款规定，基础信息网络与重要信息系统的运营、使用单位，未定期对系统的信息安全状况进行测评的，由公安部门责令限期改正，并给予警告；逾期拒不改正的，对经营性的处二千元以上二万元以下罚款，对非经营性的处二千元罚款。

第二十七条信息系统运营、使用单位违反本办法第二十一条第二款规定的，由县级以上人民政府信息化行政主管部门责令改正，给予警告，对经营性的并处五千元以上三万元以下罚款，对非经营性的并处二千元罚款；涉及泄密、失密的，按照有关保密法律、法规、规章的规定处理。

第二十八条有关信息安全等级保护监管部门及其工作人员有下列行为之一的，由其主管部门或者监察部门对直接负责的主管人员和其他直接责任人依法给予行政或者纪律处分。

（一）未按照本办法规定履行监督管理职责的；

（二）违反国家和本办法规定审定信息系统保护等级的；

（三）违反法定程序和权限实施行政处罚的；

（四）在履行监督管理职责中，玩忽职守、滥用职权、徇私舞弊的；

（五）其他应当依法给予行政或者纪律处分的行为。

第二十九条违反本办法规定，构成犯罪的，依法追究刑事责任。

第五章附则

第三十条在本办法施行前已经建成的信息系统，运营、使用单位应当依照本办法规定建立相应的保护等级。

网络信息安全等级保护篇7

等级保护是什么？

从概念上说，等级保护是对涉及国计民生的信息网络和信息系统按其重要程度及实际安全需求，合理投入，分级进行保护，分类指导，分阶段实施，以保障信息系统安全正常运行和信息安全，提高信息安全综合防护能力，保障国家安全，维护社会秩序和稳定，保障并促进信息化建设健康发展，拉动信息安全和基础信息科学技术发展与产业化，进而推动经济发展，提高综合国力。

我国有关信息安全实施等级保护的问题从2002年即被提出，其间经过专家的反复论证研究，信息安全等级保护的相关制度不断得到细化和完善。2003年出台的《国家信息化领导小组关于加强信息安全保障工作的意见》明确提出三个方面的要求：

一是必须从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，建立信息安全等级保护制度，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统。

二是要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。

三是对涉及国家秘密的信息系统，要按照党和国家有关保密规定进行保护。

2004年出台的《关于信息安全等级保护工作的实施意见》进一步明确了信息安全等级保护制度的基本内容：

一是根据信息和信息系统在国家安全、社会秩序、公共利益、社会生活中的重要程度；遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；针对信息的保密性、完整性和可用性要求及信息系统必须要达到的基本的安全保护水平等因素，确定信息和信息系统的安全保护等级，共分五级。

二是国家通过制定统一的管理规范和技术标准，组织行政机关、公民、法人和其他组织根据信息和信息系统的不同重要程度开展有针对性的保护工作。国家对不同安全保护级别的信息和信息系统实行不同强度的监管政策。

三是国家对信息安全产品的使用实行分等级管理。

四是信息安全事件实行分等级响应、处置的制度。

2006年3月，国家《信息安全等级保护管理办法（试行）》开始正式实施。《信息安全等级保护管理办法（试行）》根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度；遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；针对信息的保密性、完整性和可用性要求及信息系统必须要达到的基本的安全保护水平等因素，将信息和信息系统的安全保护等级共分五级：

第一级为自主保护级，适用于一般的信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益。

第二级为指导保护级，适用于一般的信息系统，其受到破坏后，会对社会秩序和公共利益造成轻微损害，但不损害国家安全。

第三级为监督保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成损害。

第四级为强制保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害。

第五级为专控保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成特别严重损害。

为什么要进行等级保护？

对信息系统分级实行保护是国际上通行的做法，西方国家已经对涉及到国家安全、社会稳定的重要部门实施强制监管，他们使用的操作系统必须有三级以上的信息安全保护。随着信息技术的高速发展和网络应用的迅速普及，我国国民经济和社会信息化进程全面加快，信息系统的基础性、全局性作用日益增强，信息资源已经成为国家经济建设和社会发展的重要战略资源之一。保障信息安全，维护国家安全、公共利益和社会稳定，是当前信息化发展中迫切需要解决的重大问题。

近年来，党中央、国务院高度重视，各有关方面协调配合、共同努力，我国信息安全保障工作取得了很大进展。但是从总体上看，我国的信息安全保障工作尚处于起步阶段，基础薄弱，水平不高，存在以下突出问题：信息安全意识和安全防范能力薄弱，信息安全滞后于信息化发展；信息系统安全建设和管理的目标不明确；信息安全保障工作的重点不突出；信息安全监督管理缺乏依据和标准，监管措施有待到位，监管体系尚待完善。

实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理；有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。

等级保护将如何实施？

信息安全等级保护涉及政府机构中多个部门的职能，因此，其实施应当在国家网络与信息安全协调小组的领导下，地方各级人民政府、信息安全监管职能部门、信息系统的主管部门和运营、使用单位要明确各自的安全责任，建立协调配合机制，分别制定详细的实施方案，积极推进信息安全等级保护制度的建立，推动信息安全管理运行机制的建立和完善。开展信息安全等级保护工作要突出重点、分级负责、分类指导、分步实施，按照谁主管谁负责、谁运营谁负责的要求，明确主管部门以及信息系统建设、运行、维护、使用单位和个人的安全责任，分别落实等级保护措施。信息安全监管职能部门负责监督、检查、指导。

目前，公安部已经联合有关部门积极组织开展信息安全等级保护相关工作，并成立了由公安部张新枫副部长任组长，公安部、国家保密局、国家密码管理局和国务院信息化办公室有关局级领导为成员的国家信息安全等级保护协调小组，统一协调部署信息安全等级保护工作。

据初步计划，我国等级保护工作将分三个阶段推进完成：第一阶段，加强领导，落实责任；加快完善法律法规和标准体系；建设信息安全等级保护监督管理队伍和技术支撑体系；进一步做好等级保护试点工作；加强宣传、培训工作。第二阶段，在做好前期准备工作的基础上，在国家重点保护的涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统中实行等级保护制度；第三阶段，在试行工作的基础上，在全国全面推行信息安全等级保护制度。

结语

通过信息安全等级保护制度的制定与实施，逐步将信息安全等级保护制度落实到信息安全规划、建设、评估、运行维护等各个环节，使我国信息安全保障状况得到基本改善。同时，信息安全等级保护制度实施后，我国信息安全厂商的相关产品也应针对等级划分进行有针对性的调整，对整个安全产业的未来发展，将有着重要的指导意义。

首期信息安全等级保护试点单位名单

北京银行

山西宇通信息中心

上海国泰君安证券股份有限公司

上海申银万国证券股份有限公司

上海期货交易所

江苏徐州市地方税务局

浙江省温州市电子政务中心

安徽省邮政局

江西省工商局

山东高速集团

河南省郑州宇通集团

湖北省武汉市物价局

广东省广州市商业银行

广西壮族自治区政府及招生考试院

重庆市轨道交通总公司

网络信息安全等级保护篇8

随着信息安全等级保护工作的不断深化，已延伸到医疗卫生行业。卫计委要求三级医院核心业务系统定级不低于第三级。本文结合医院实际，介绍了医院信息安全等级保护工作的建设，阐明了信息系统的定级、备案、整改、测评四个实施步骤，以供大家探讨。

关键词：

医院信息安全；等级保护工作；等级测评

一、引言

随着我国信息化建设的快速发展与广泛应用，信息安全的重要性愈发突出。在国家重视信息安全的大背景下，推出了信息安全等级保护制度。为统一管理规范和技术标准，公安部等四部委联合了《信息安全等级保护管理办法》（公通字[2007]43号）。随着等级保护工作的深入开展，原卫生部制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号），进一步规范和指导了我国医疗卫生行业信息安全等级保护工作，并对三级甲等医院核心业务信息系统的安全等级作了要求，原则上不低于第三级。从《关于信息安全等级保护工作的实施意见》中可知信息安全等级保护对象是国家秘密信息、法人和其他组织以及公民的专有信息和公开信息。对信息系统及其安全产品进行等级划分，并按等级对信息安全事件响应[1]。

二、医院信息安全等级保护工作实施步骤

2.1定级与备案[2]。

根据公安部信息安全等级保护评估中心编制的《信息安全等级保护政策培训教程》，有两个定级要素决定了信息系统的安全保护等级，一个是等级保护对象受到破坏时所侵害的客体，另外一个是对客体造成侵害的程度。对于三级医院，门诊量与床位相对较多，影响范围较广，一旦信息系统遭到破坏，将会给患者造成生命财产损失，对社会秩序带来重大影响。因此，从影响范围和侵害程度来看，我们非常认同国家卫计委对三级甲等医院的核心业务信息系统安全等级的限制要求。在完成定级报告编制工作后，填写备案表，并按属地化管理要求到市级公安机关办理备案手续，在取得备案回执后才算完成定级备案工作。我院已按照要求向我市公安局网安支队，同时也是我市信息安全等级保护工作领导小组办公室，提交了定级报告与备案表。

2.2安全建设与整改[3]。

在完成定级备案后，就要结合医院实际，分析信息安全现状，进行合理规划与整改。

2.2.1等保差距分析与风险评估。

了解等级保护基本要求。《信息系统安全等级保护基本要求》分别从技术和管理两方面提出了基本要求。基本技术要求包括五个方面：物理安全、网络安全、主机安全、应用安全和数据安全，主要是由在信息系统中使用的网络安全产品（包括硬件和软件）及安全配置来实现；基本管理要求也包括五个方面：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理，主要是根据相关政策、制度以及规范流程等方面对人员活动进行约束控制，以期达到安全管理要求[4]。技术类安全要求按保护侧重点进一步划分为三类：业务信息安全类（S类）、系统服务安全类（A类）、通用安全保护类（G类）。如受条件限制，可以逐步完成三级等级保护，A类和S类有一类满足即可，但G类必须达到三级，最严格的G3S3A3控制项共计136条[5]。医院可以结合自身建设情况，选择其中一个标准进行差距分析。管理方面要求很严格，只有完成所有的154条控制项，达到管理G3的要求，才能完成三级等级保护要求。这需要我们逐条对照，发现医院安全管理中的不足与漏洞，找出与管理要求的差距。对于有条件的三甲医院，可以先进行风险评估，通过分析信息系统的资产现状、安全脆弱性及潜在安全威胁，形成《风险评估报告》。经过与三级基本要求对照，我院还存在一定差距。比如：在物理环境安全方面，我院机房虽有灭火器，但没安装气体灭火装置。当前的安全设备产品较少，不能很好的应对网络入侵。在运维管理方面，缺乏预警机制，无法提前判断系统潜在威胁等。

2.2.2建设整改方案。

根据差距分析情况，结合医院信息系统安全实际需求和建设目标，着重于保证业务的连续性与数据隐私方面，满足于临床的实际需求，避免资金投入的浪费、起不到实际效果。整改方案制订应遵循以下原则：安全技术和安全管理相结合，技术作保障，管理是更好的落实安全措施；从安全区域边界、安全计算环境和安全通信网络进行三维防护，建立安全管理中心[6]。方案设计完成后，应组织专家或经过第三方测评机构进行评审，以保证方案的可用性。整改方案实施。实施过程中应注意技术与管理相结合，并根据实际情况适当调整安全措施，提高整体保护水平。我院整改方案是先由医院内部自查，再邀请等级测评公司进行预测评，结合医院实际最终形成的方案。网络技术人员熟悉系统现状，易于发现潜在安全威胁，所以医院要先自查，对自身安全进行全面了解。等级测评公司派专业安全人员进驻医院，经过与医院技术人员沟通，利用安全工具进行测试，可以形成初步的整改报告，对我院安全整改具有指导意义。

2.3开展等级保护测评[7]。

下一步工作就是开展等级测评。在测评机构的选择上，首先要查看其是否具有“DICP”认证，有没有在当地公安部门进行备案，还可以到中国信息安全等级保护网站进行核实。测评周期一般为1至2月，其测评流程如下。

2.3.1测评准备阶段。

医院与测评机构共同成立项目领导小组，制定工作任务与测评计划等前期准备工作。项目启动前，为防止医院信息泄露，还需要签订保密协议。项目启动后，测评机构要进行前期调研，主要是了解医院信息系统的拓扑结构、设备运行状况、信息系统应用情况及安全管理等情况，然后再选择相应的测评工具和文档。在测评准备阶段，主要是做好组织机构建设工作，配合等级测评公司人员的调查工作。

2.3.2测评方案编制阶段。

测评内容主要由测评对象与测评指标来确定。我院测评对象包含三级的医院信息系统、基础网络和二级的门户网站。测评机构要与医院沟通，制定工具测试方法与测评指导书，编制测评方案。在此阶段，主要工作由等级测评机构来完成。

2.3.3现场测评阶段。

在经过实施准备后，测评机构要对上述控制项进行逐一测评，大约需要1至2周，需要信息科人员密切配合与注意。为保障医院业务正常开展，测评工作应尽量减少对业务工作的冲击。当需要占用服务器和网络资源时应避免业务高峰期，可以选择下班时间或晚上。为避免对现有业务造成影响，测评工具应在接入前进行测试，同时要做好应急预案准备，一旦影响医院业务，应立即启动应急预案[8]。在对209条控制项进行测评后应进行结果确认，并将资料归还医院。该阶段是从真实情况中了解信息系统全面具体的主要工作，也是技术人员比较辛苦的阶段。除了要密切配合测评，还不能影响医院业务开展，除非必要，不然安全测试工作必须在夜间进行。

2.3.4报告编制阶段。

通过判定测评单项，测评机构对单项测评结果进行整理，逐项分析，最终得出整体测评报告。测评报告包含了医院信息安全存在的潜在威胁点、整改建议与最终测评结果[9]。对于公安机关来讲，医院能否通过等级测评的主要标准就是测评结果。因此，测评报告的结果至关重要。测评结果分为：不符合、部分符合、全部符合。有的测评机构根据单项测评结果进行打分，最后给出总分，以分值来判定是否通过测评。为得到理想测评结果，需要医院落实安全整改方案。

2.4安全运维。

我们必须清醒地认识到，实施安全等级保护是一项长期工作，它不仅要在信息化建设规划中考虑，还要在日常运维管理中重视，是不断循环的过程。按照等级保护制度要求，信息系统等级保护级别定为三级的三甲医院每年要自查一次，还要邀请测评机构进行测评并进行整改，监管部门每年要抽查一次。因此，医院要按照PDCA的循环工作机制，不断改进安全技术与管理上，完善安全措施，更好地保障医院信息系统持续稳定运行[10]。

三、结语

医院信息安全工作是信息化建设的一部分，是一项长期的系统工程，需要分批分期的循序改建。还要结合医院实际，考虑安全产品的实用性，不能盲目的进行投资。医院通过实施等级保护工作，可以有效增强网络与信息系统整体安全性，有力保障医院各项业务的持续开展，适应医院信息化不断发展的需求。

作者：王磊 单位：蚌埠医学院第二附属医院

参考文献

[1]公安部,国家保密局,国家密码管理局,国务院信息化办公室文件.关于信息安全等级保护工作的实施意见（公通字[2004]66号）[R],2004-9-15.

[2]GB/T22240-2008．信息安全技术信息系统安全等级保护定级指南[S],2008-06-19.

[3]GB/T25058-2010．信息安全技术信息系统安全等级保护实施指南[S],2010-09-02.

[4]GB/T22239-2008．信息安全技术信息系统安全等级保护基本要求[S],2008-06-19.

[5]魏世杰.医院信息安全等级保护三级建设思路[J].科技传播,2013,5(99):208-209.

[6]张滨.构建医院信息安全等级保护纵深防护体系[J].信息通信,2014(141):148-149.

[7]GB/T28449-2012.信息安全技术信息系统安全等级保护测评过程指南[S],2012-06-29.

[8]姚红磊,杨文.三级系统信息安全等级保护测评指标体系研究[J].铁路计算机应用,2015,24(2):59-61.

[9]廉明,郭浩,蒋凡.等级测评报告管理系统研究与设计[A].第二届全国信息安全等级保护技术大会会议论文集[C],2013.