2011年度卫生行业信息安全等级保护培训-基本要求发展测评

1、医疗卫生行业,信息系统 等级保护测评基本要求,目 录,信息系统安全等级保护基本要求 测评基本内容 基本要求中二、三级要求的差异 网络安全测评内容与常见问题（三级）,GB/T22239-2008 信息系统安全等级保护基本要求,基本要求产生的思路,不同级别的 信息系统,重要程度不同 保护需求不同,安全保护 能力不同,应对威胁的 能力不同,不同的安全目标,不同基本要求,基本要求的定位,是系统安全保护、等级测评的一个基本“标尺”，同样级别的系统使用统一的“标尺”来衡量，保证权威性，是一个达标线； 每个级别的信息系统按照基本要求进行保护后，信息系统具有相应等级的基本安全保护能力，达到一种基本的安全状态; 是每个级别信息系统进行安全保护工作的一个基本出发点，更加贴切的保护可以通过需求分析对基本要求进行补充，参考其他有关等级保护或安全方面的标准来实现;,基本要求的定位,某级信息系统,基本保护,精确保护,基本要求,保护,基本要求,测评,补充的安全措施 GB17859-1999 通用技术要求 安全管理要求 高级别的基本要求 等级保护其他标准 安全方面相关标准 等等,基本保护,特殊需求 补充措施,不同级别

2、的安全保护能力要求,2级安全保护能力：应具有能够对抗来自小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等）以及其他相当危害程度（无意失误、设备故障等）威胁的能力，并在威胁发生后，能够在一段时间内恢复部分功能。,不同级别的安全保护能力要求,3级安全保护能力：应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。,安全保护能力要求说明,核心思想:级别越高,安全控制点越多,安全控制要求越细。,测评基本内容,测评基本内容,对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容： 一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况

3、； 二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。,安全控制测评,对安全控制测评的描述，使用工作单元方式组织。工作单元分为安全技术测评和安全管理测评两大类。 安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上的安全控制测评； 安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。,在内容上，与基本要求一一对应，针对基本要求的每一个控制项，开发具体的测评实施方法。 在结构上，以“测评单元”为基本工作单位，分等级进行组织。,工作单元,系统整体测评,系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。 根据特定信息系统的具体情况，结合本标准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同

4、信息系统之间整体安全性等。,系统整体测评的思路,根据安全控制、层面和区域之间的关联作用，逐层测评分析安全控制间、层面间和区域间关联关系对整体安全功能的影响， 具体应包括：安全控制间安全测评、层面间安全测评、区域间安全测评 。 进行系统整体结构安全测评 从安全的角度，分析信息系统整体结构的安全性从安全角度看系统 从系统的角度，分析信息系统安全防范(体系)的合理性 以系统的观点看安全防范（体系),系统整体测评,安全控制间安全测评 安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。 层面间安全测评 层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。 区域间安全测评 区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。 系统结构安全测评 系统结构安全测评主要考虑信息系统整体结构的安全性和整体安全防范的合理性。,信息安全等级保护实施-测评过程,三种基本测评方法： 访谈 检查 测试,访谈的对象：人员 典型的访

5、谈对象包括：访谈信息安全主管、信息系统安全管理员、系统管理员、网络管理员、人力资源管理员、设备管理员和用户等。 工具：管理核查表 适用情况： 对技术要求，使用访谈方法进行测评的目的是为了了解信息系统的全局性(包括局部，但不是细节)、方向/策略性和过程性信息，一般不涉及到具体的实现细节和具体技术措施。 对管理要求，访谈的内容应该较为详细和明确的。,信息安全等级保护实施-测评过程（访谈）,信息安全等级保护实施-测评过程（检查）,检查包括：评审、核查、审查、观察、研究和分析等方式。 检查对象包括文档、机制、设备等。 工具：技术核查表。 适用情况： 对技术要求，检查的内容应该是具体的、较为详细的机制配置和运行实现 。 对管理要求，检查方法主要用于规范性要求（检查文档）。,信息安全等级保护实施-测评过程（测试）,测试包括：功能/性能测试。 测评对象包括机制和设备等。 测试一般需要借助特定工具。 扫描检测工具 网络协议分析仪 模拟攻击工具 适用情况： 对技术要求，测试的目的是验证信息系统当前的、具体的安全机制或运行的有效性或安全强度。 对管理要求，一般不采用测试技术。,信息安全等级保护实施-测评强

6、度,对信息系统的要求：安全等级级别越高，基本要求强度越强，体现为安全控制点越多，安全控制要求越细。 对信息系统的测评：安全等级级别越高，测评强度越强，测评强度体现测评工作的努力程度，反映出测评的广度和深度。,信息安全等级保护实施-测评强度,测评强度体现测评工作的努力程度，反映出测评的广度和深度。 测评广度越大，范围越大，包含的测评对象就越多，就需要更大的努力。 测评的深度越深，越需要在细节上展开，就越需要更大的努力。 越大的努力程度就越能为测评提供更好的保证，体现测评强度越强。,信息安全等级保护实施-测评强度,测评的广度和深度落实在具体的测评方法访谈、检查和测试上，体现出访谈、检查和测试的努力程度不同。,信息安全等级保护实施-测评强度,访谈方法的测评强度,信息安全等级保护实施-测评强度,检查方法的测评强度,信息安全等级保护实施-测评强度,测试方法的测评强度,各级系统的保护要求差异（宏观）-技术,一级系统,二级系统,三级系统,四级系统,通信/边界（基本）,通信/边界/内部（关键设备）,通信/边界/内部（主要设备）,通信/边界/内部/基础设施（所有设备）,各级系统的保护要求差异（宏观）-管

7、理,一级系统,二级系统,三级系统,四级系统,计划和跟踪（主要制度）,计划和跟踪（主要制度）,良好定义（管理活动制度化）,持续改进（管理活动制度化/及时改进）,二、三级系统基本要求的差异,信息安全等级保护实施-测评内容,物理安全,技术部分,管理部分,信息系统（等级）,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,信息安全等级保护实施-测评内容,物理层面 物理层面构成组件包括信息系统工作的设施环境以及构成信息系统的硬件设备和介质等。 物理层面构成组件可能分布在被测单位物理控制范围内，也可能位于被测单位物理控制范围外。一般来说，大部分物理层面构成组件位于被测单位的物理控制范围内，是物理层面安全测评的重点。,信息安全等级保护实施-测评内容（技术）,物理环境可以划分为一般客户机运行场地A（如数据录入室和一般终端室等）、重要客户机运行场地B（如重要终端室）、通信线路间C（如网络设备室等）和机房和介质存放地S（包括计算机机房和已记录的媒体存放间等）,信息安全等级保护实施-测评内容（技术）,从安全等级二级、三级，物理层面设置测评单元的情况

8、。,信息安全等级保护实施-测评内容（技术）,在第二级信息系统中，物理安全包括10个测评单元。,物理位置选择,物理安全,物理访问控制,防盗窃和防破坏,防雷击,防火,防静电,温湿度控制,电力供应,电磁防护,防水和防潮,序号 1 2 3 4 5 6 7 8 9 10,信息安全等级保护实施-测评内容（技术）,网络层面 网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各个构成组件进行安全通信传输，一般包括计算机、网络设备、连接线路以及它们构成的网络拓扑等。 网络层面构成组件可能位于被测单位的物理控制范围内，也可能处于被测单位物理控制范围外。一般来说，大部分网络层面构成组件位于被测单位的物理控制范围内，是网络层面安全保护的重点。 位于被测单位物理控制范围内的网络，通常是局域网，包括客户机、网络设备和服务器等 。,信息安全等级保护实施-测评内容（技术）,被测单位内的两个不同信息系统可能需要交换信息，而进行网络互联（内部互联）。 被测单位为了与其他单位/网络交换信息，可能需要与他们的网络互联（外部互联）。 网络互联一般都有网络连接边界，这些边界是网络安全测评的重点之一。,信息安全等级保护实施-

9、测评内容（技术）,设备共用 设备共用是指被测系统和其他信息系统共用网络中的设备、通信线路和/或主机（共用设备的系统可能不需要交换信息）。设备共用可能发生在内网、外网或者外网连接处，设备共用一般有三种基本方式： 客户机共用 （少）； 网络通信设备共用； 服务器共用 。,信息安全等级保护实施-测评内容（技术）,从安全等级第一级到第四级，网络层面设置测评单元的情况。,信息安全等级保护实施-测评内容（技术）,网络安全包括8个测评单元。,序号 1 2 3 4 5 6 7 8,结构安全和网段划分,网络安全,网络访问控制,拨号访问控制,网络安全审计,边界完整性检查,网络入侵检测,恶意代码防护,网络设备防护,信息安全等级保护实施-测评内容（技术）,系统层面 系统层面主要是指主机系统，构成组件有服务器、终端/工作站等计算机设备，包括他们的操作系统、数据库系统及其相关环境等 主机系统直接为信息系统的信息采集、加工、存储、传输、检索等提供运行环境，包括为信息系统用户提供人机交互的环境。通常采取身份鉴别、访问控制、安全审计、系统资源控制等安全功能，以保证系统的安全。 目前常见的操作系统有Windows、Linux和类UNIX等，数据库系统有Oracle、Sybase、MS SQL SERVER等。,信息安全等级保护实施-测评内容（技术）,从安全等级第一级到第四级，主机系统层面设置测评单元的情况。,信息安全等级保护实施方案-测评内容,在第二级信息系统中，主机系统安全包括7个测评单元。三级9个单位,序号 1 2 3 4 5 6 7 8 9 10,身份鉴别,主机系统安全,自主访问控制,强制访问控制,可信路径,安全审计,剩余信息保护,入侵防范,恶意代码防范,资源控制,系统保护,信息安全等级保护实施-测评内容（技术）,应用系统 应用系统体系结构模型可以根据用户与数据之间所具有的层次来划分，即：单层应用体系结构模型、两层应用体系结构模型、多层（可以是三层或三层以上）应用体系结构模型。,从安全等级第一级到第四级，应用层面设置测评单元的情况。,信息安全等级保护实施-测评内容（技术）,在第二级信息系统中，应用系统安全包括9个测评单元。,序号 1 2 3 4 5 6

《2011年度卫生行业信息安全等级保护培训-基本要求发展测评》由会员繁星分享，可在线阅读，更多相关《2011年度卫生行业信息安全等级保护培训-基本要求发展测评》请在金锄头文库上搜索。