《新版《網(wǎng)絡(luò)安全等級保護定級指南》解讀》由會員分享，可在線閱讀，更多相關(guān)《新版《網(wǎng)絡(luò)安全等級保護定級指南》解讀（26頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、,*,*,網(wǎng)絡(luò)安全等級保護定級指南解讀,支撐等級保護管理工作新思路和內(nèi)容；,適應(yīng)新形勢下信息化新技術(shù)新應(yīng)用的不斷涌現(xiàn)；,針對標(biāo)準(zhǔn)使用過程中發(fā)現(xiàn)的一些問題進行修訂：,降級躲避監(jiān)管；,拍腦袋定級，流程不完整。,安全保護等級定義,第三級：對公民、法人和其他組織的合法權(quán)益產(chǎn)生特別嚴(yán)重損害。,等級保護對象,云計算平臺、工業(yè)控制系統(tǒng)、物聯(lián)網(wǎng)、大數(shù)據(jù)等,定級流程,流程完善、定級方法細化。,第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重損害，或 者對國家安全造成損害。,第三級，等級保護對象受到破壞后，,會對公民、法人和其他組織的 合法權(quán)益產(chǎn)生特別嚴(yán)重損害，,或者對社會秩序和公共利益造成嚴(yán)重 損害，

2、或者對國家安全造成損害。,安全保護等級,受侵害的客體,對客體的侵害程度,一般損害,嚴(yán)重損害,特別嚴(yán)重損害,公民、法人和其他組織的合法權(quán)益,第一級,第二級,第三級,社會秩序、公共利益,第二級,第三級,第四級,國家安全,第三級,第四級,第五級,信息安全等級保護工作直接作用的具體信息和信息系統(tǒng)。,網(wǎng)絡(luò)安全等級保護工作的作用對象，主要包括基礎(chǔ)信息網(wǎng)絡(luò)、信息 系統(tǒng)（諸如傳統(tǒng)信息系統(tǒng)、工業(yè)控制系統(tǒng)、云計算平臺、物聯(lián)網(wǎng)、使用移動互聯(lián)技術(shù)的信息系統(tǒng)等）和大數(shù)據(jù)等。,等級保護對象,等級保護對象,基,礎(chǔ)信息網(wǎng)絡(luò)信息系統(tǒng)大數(shù)據(jù),采用移動互聯(lián),工業(yè)控制系統(tǒng)云計算平臺物聯(lián)網(wǎng)系統(tǒng),技術(shù)信息系統(tǒng),傳統(tǒng)信息系統(tǒng),為信息流通、

3、信息系統(tǒng)運行等起基礎(chǔ)支撐作用的信息網(wǎng)絡(luò)，包括電信網(wǎng)、廣 播電視傳輸網(wǎng)、互聯(lián)網(wǎng)、業(yè)務(wù)專網(wǎng)等網(wǎng)絡(luò)設(shè)備設(shè)施。,信息系統(tǒng),由計算機和類計算機的軟硬件及其相關(guān)的和配套的設(shè)備、設(shè)施構(gòu)成的，按照,一定的應(yīng)用目標(biāo)和規(guī)則 進行信息處理或過程控制的資源集合。,注,:,資源可以是物理設(shè)備，也可以是虛擬設(shè)備。,基礎(chǔ)信息網(wǎng)絡(luò),定級流程,1.,確定定級對象,2.,初步確定等級,3.,專家評審,4.,主管部門審核,5.,公安機關(guān)備案審查,自主定級,專家評審,主管部門審批 公安機關(guān)監(jiān)督,1.,確定定級對象,2.,初步確定等級,3.,專家評審,4.,主管部門審核,5.,公安機關(guān)備案審查,定級對象的運營、使用單位應(yīng)組織,信息 安

4、全專家和業(yè)務(wù)專家,，對初步定級結(jié)果 的合理性進行評審，出具專家評審意見。,1.,確定定級對象,2.,初步確定等級,3.,專家評審,4.,主管部門審核,5.,公安機關(guān)備案審查,定級對象的運營、使用單位應(yīng)將初步定 級結(jié)果上報行業(yè)主管部門或上級主管部 門進行審核。,1.,確定定級對象,2.,初步確定等級,3.,專家評審,4.,主管部門審核,5.,公安機關(guān)備案審查,定級對象的運營、使用單位應(yīng)按照相關(guān) 管理規(guī)定，將初步定級結(jié)果提交公安機 關(guān)進行備案審查，,最終確定,定級對象的 安全保護等級。,對于電信網(wǎng)、廣播電視傳輸網(wǎng)、互聯(lián)網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)，應(yīng)分別依 據(jù)服務(wù)類型、服務(wù)地域和安全責(zé) 任主體等因素將其劃分為

5、不同的 定級對象。,跨省全國性業(yè)務(wù)專網(wǎng)可作為一個整體對象定級，也可以分區(qū)域劃分 為若干個定級對象。,確定定級對象,具有唯一確定的安全責(zé)任單位；,【,大切小,】,承載相對獨立的業(yè)務(wù)應(yīng)用；,【,再切小,】,具有信息系統(tǒng)的基本要素。,【,不能再小了,】,單一設(shè)備（如服務(wù)器、終端、網(wǎng)絡(luò)設(shè)備等）不單獨定級。,傳統(tǒng)信息系統(tǒng),層級,4,企業(yè)資源層 該層級主要通過,ERP,系統(tǒng)為企業(yè)決策層及員工提供 決策運行手段。,層級,3,生產(chǎn)管理層 該層級主要通過,MES,系統(tǒng)為企業(yè)提供包括制造數(shù) 據(jù)管理、計劃排程管理、生產(chǎn)調(diào)度管理等管理模 塊。,層級,2,過程監(jiān)控層 該層級主要通過分布式,SCADA,系統(tǒng)采集和監(jiān)控生產(chǎn)

6、 過程參數(shù)，并利用,HMI,系統(tǒng)實現(xiàn)人機交互。,層級,1,現(xiàn)場控制層 該層級主要通過,PLC,、,DCS,控制單元 和,R T U,等 進 行 生產(chǎn)過程的控制。,層級,0,現(xiàn)場設(shè)備層 該層級主要通過傳感器對實際生產(chǎn)過程的數(shù)據(jù)進行 采集，同時，利用執(zhí)行器對生產(chǎn)過程進行操作。,工,程師站,操作員站,根據(jù)系統(tǒng)功能、,O,O,控,P,P,C,C,服,制,務(wù),對,器,象和生,生產(chǎn)管理層,過程監(jiān)控層,現(xiàn)場控制層,現(xiàn)場設(shè)備層,倉儲管理系統(tǒng),計劃排產(chǎn)系統(tǒng),現(xiàn)場設(shè)備層、現(xiàn)場控制層,和過程監(jiān)控層應(yīng)作為一個,素不單獨定級。,產(chǎn)廠商等因素,劃分為多個定,級對象。,SP 800-146,GB/T 31168,：,201

7、4,ISO/IEC17789-2014,云計算層次框架,云計算典型模型,云計算模式與控制范圍,運維服務(wù)系統(tǒng),業(yè)務(wù)運營系統(tǒng),安全系統(tǒng),集成,開發(fā),IaaS,組件棧和控制范圍,在云計算環(huán)境中，應(yīng)將云服務(wù)方側(cè)的 云計算平臺單獨作為定級對象定級，云租戶側(cè)的等級保護對象也應(yīng)作為單 獨的定級對象定級。,對于大型云計算平臺，應(yīng) 將云計算基礎(chǔ)設(shè)施和有關(guān) 輔助服務(wù)系統(tǒng)劃分為不同 的定級對象。,在云計算環(huán)境中，應(yīng)將云服務(wù)方側(cè)的 云計算平臺單獨作為定級對象定級，云租戶側(cè)的等級保護對象也應(yīng)作為單 獨的定級對象定級。,物聯(lián)網(wǎng)應(yīng)作為一個整體對象定級，主要包括感知層、網(wǎng)絡(luò) 傳輸層和處理應(yīng)用層等要素。,區(qū)別在于：移動終端可以

8、通過無線方式,接入網(wǎng)絡(luò)。,移動終端可以遠程通過運營商基站或公共,Wi-Fi,接入等級保護對象，也可以在本地通過本地?zé)o 線接入設(shè)備接入等級保護對象；,系統(tǒng)通過移動管理系統(tǒng)的服務(wù)端軟件向客戶端 軟件發(fā)送管理策略，并由客戶端軟件執(zhí)行實現(xiàn) 系統(tǒng)的安全管理。,采用移動互聯(lián)技術(shù)的等級保護對象應(yīng)作 為一個整體對象定級，移動終端、移動 應(yīng)用和無線網(wǎng)絡(luò)等要素不單獨定級。,應(yīng)將具有統(tǒng)一安全責(zé)任單位的大數(shù)據(jù)作為一個整體對象定級。,業(yè)務(wù)處理類定級方法,適用于傳統(tǒng)信息系統(tǒng)、工業(yè)控制系統(tǒng)、物聯(lián)網(wǎng)、和采用移動互聯(lián) 技術(shù)的信息系統(tǒng)等定級對象。,數(shù)據(jù)資源類定級方法：,適用于大數(shù)據(jù)等定級對象。,基礎(chǔ)支撐類定級方法,適用于基礎(chǔ)信息網(wǎng)絡(luò)和云計算平臺等定級對象。,確定安全保護等級,對于大數(shù)據(jù)等定級對象，應(yīng)綜合考慮數(shù)據(jù)規(guī)模、數(shù)據(jù)價值等因素根據(jù) 其在國家安全、經(jīng)濟建設(shè)、社 會生活中的重要程度，以及數(shù)據(jù)資源 遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其 他組織的合法權(quán)益的危害程度等因素確定其安全保護等級。,原則上大數(shù)據(jù)安全 保護等級為第三級以上。,數(shù)據(jù)資源類定級方法,對于基礎(chǔ)信息網(wǎng)絡(luò)、云計算平臺等定級對象，應(yīng)根據(jù)其承載或 將要承載的等級保護對象的重要程度 確定其安全保護等級，原 則上應(yīng)不低于其承載的等級保護對象的安全保護等級。,基礎(chǔ)支撐類定級方法,謝謝！,請大家指正！,