信息系统安全等级保护定级指南.docx

本标准由公安部和全国信息安全标准化技术委员会提出本标准由全国信息安全标准化技术委员会归口本标准起草单位：公安部信息安全等级保护评估中心本标准主要起草人：任卫红、曲洁、马力、朱建平、李明、李升、谢朝海、毕马宁、陈雪秀依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发［2003127号）、《关于信息安全等级保护工作的实施意见》（公通字［2004］66号）和《信息安全等级保护管理办法》（公通字［2007］43号），制定本标准本标准是信息安全等级保护相关系列标准之一与本标准相关的系列标准包括：——GB/TBBBBB-BBBB信息系统安全等级保护基本要求；——GB/TCCCCC-CCCC信息系统安全等级保护实施指南;——GB/TDDDDD-DDDD信息系统安全等级保护测评准则本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法信息系统安全等级保护定级指南本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。

2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本凡是不注明日期的引用文件，其最新版本适用于本标准GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则3术语和定义GB/T527L8和GB17859-1999确立的以及下列术语和定义适用于本标准3.1等级保护对象targetofclassifiedsecurity信息安全等级保护工作直接作用的具体的信息和信息系统3.2客体object受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益3.3客观方面objective对客体造成侵害的客观外在表现，包括侵害方式和侵害结果等3.4系统服务systemservice信息系统为支撑其所承载业务而提供的程序化过程4定级原理4.1信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全表1定级要素与安全保护等级的关系受侵害的客体对客体的侵害程度般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第社会秩序、公共利益第二级第三级第四级家安全第三级第四级第五级业务信息安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级根据系统服务安全被破坏时所侵害的客体以及对相应客体的侵害程度，依据表2系统服务安全保护等级矩阵表，即可得到系统服务安全保护等级表3系统服务安全保护等级矩阵表系统服务安全被破坏时所侵害的客体对相应客体的侵害程度般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级作为定级对象的信息系统的安全保护等级由业务信息安全保护等级和系统服务安全保护等级的较高者决定6等级变更在信息系统的运行过程中，安全保护等级应随着信息系统所处理的信息和业务状态的变化进行适当的变更，尤其是当状态变化可能导致业务信息安全或系统服务受到破坏后的受侵害客体和对客体的侵害程度有较大的变化，可能影响到系统的安全保护等级时，应根据本标准第5章给出的定级方法重新定级。