| |
信息系统如何定级（问答）
|
| [文章作者：zhujia] [发布日期：2007-11-22] [发布单位：服务中心] [信息来源：服务中心] |
| 信息系统如何定级（问答）
1.信息系统安全等级保护的定级范围包括哪些？
【答案】
信息系统安全等级保护的定级范围包括：
a)电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统；
b)铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统；
c)市（地）级以上党政机关的重要网站和办公信息系统；
d)涉及国家秘密的信息系统。
2.信息系统安全等级保护的定级工作主要内容是什么？
【答案】
信息系统安全等级保护的定级工作主要内容是：
a)开展信息系统基本情况的摸底调查
各行业主管部门、运营使用单位要组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况，按照《信息安全等级保护管理办法》和《信息系统安全等级保护定级指南》的要求，确定定级对象。各行业主管部门要根据行业特点提出指导本地区、本行业定级工作的具体意见。
b)初步确定安全保护等级
各信息系统主管部门和运营使用单位要按照《信息安全等级保护管理办法》和《信息系统安全等级保护定级指南》，初步确定定级对象的安全保护等级，起草定级报告（可参见报告模版）。跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
c)评审与审批
初步确定信息系统安全保护等级后，可以聘请专家进行评审。对拟确定为第四级以上信息系统的，由运营使用单位或主管部门请国家信息安全保护等级专家评审委员会评审。运营使用单位或主管部门参照评审意见最后确定信息系统安全保护等级，形成定级报告。当专家评审意见与信息系统运营使用单位或其主管部门意见不一致时，由运营使用单位或主管部门自主决定信息系统安全保护等级。信息系统运营使用单位有上级行业主管部门的，所确定的信息系统安全保护等级应当报经上级行业主管部门审批同意。
d)备案
根据《管理办法》，信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到公安部网站下载《信息系统安全等级保护备案表》和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，第二级信息系统的备案单位只需填写备案表中的表一、表二和表三，第三级以上信息系统的备案单位还应当同时提交备案表表四所列各项内容的书面材料。隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。
涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级保护备案表》，按照属地化管理原则，中央和国家机关单位的涉密信息系统向国家保密局备案；地方单位的涉密信息系统向所在地的市（地）级以上保密工作部门备案；中央和国家机关地方所属单位的涉密信息系统，向所在地的省级保密工作部门备案。
e)备案管理
公安机关和国家保密工作部门负责受理备案并进行备案管理。信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，应当通知备案单位予以纠正。发现定级不准的，应当通知运营使用单位或其主管部门重新审核确定。各级保密工作部门加强对涉密信息系统定级工作的指导、监督和检查。
3.对信息系统分析时如何进行系统识别和描述？
【答案】
系统识别和描述的目标是通过从信息系统运营、使用单位相关人员处收集有关信息系统的信息，并对信息进行综合分析和整理，依据分析和整理的内容形成组织机构内信息系统的总体描述性文档。
参与角色：信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统的立项、建设和管理文档。
活动描述：
本活动主要包括以下子活动内容：
a)识别信息系统的基本信息
调查了解信息系统的行业特征、主管机构、业务范围、地理位置以及信息系统基本情况，获得信息系统的背景信息和联络方式。
b)识别信息系统的管理框架
了解信息系统的组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责，获得支持信息系统业务运营的管理特征和管理框架方面的信息，从而明确信息系统的安全责任主体。
c)识别信息系统的网络及设备部署
了解信息系统的物理环境、网络拓扑结构和硬件设备的部署情况，在此基础上明确信息系统的边界，即确定定级对象及其范围。
d)识别信息系统的业务种类和特性
了解机构内主要依靠信息系统处理的业务种类和数量，这些业务各自的社会属性、业务内容和业务流程等，从中明确支持机构业务运营的信息系统的业务特性，将承载比较单一的业务应用或者承载相对独立的业务应用的信息系统作为单独的定级对象。
e)识别业务系统处理的信息资产
了解业务系统处理的信息资产的类型，这些信息资产在保密性、完整性和可用性等方面的重要性程度。
f)识别用户范围和用户类型
根据用户或用户群的分布范围了解业务系统的服务范围、作用以及业务连续性方面的要求等。
g)信息系统描述
对收集的信息进行整理、分析，形成对信息系统的总体描述文件。一个典型的信息系统的总体描述文件应包含以下内容：
1) 系统概述；
2) 系统边界描述；
3) 网络拓扑；
4) 设备部署；
5) 支撑的业务应用的种类和特性；
6) 处理的信息资产；
7) 用户的范围和用户类型；
8) 信息系统的管理框架。
活动输出： 信息系统总体描述文件。
4.对信息系统分析时如何进行系统划分？
【答案】
活动目标：
本活动的目标是依据信息系统的总体描述文件，在综合分析的基础上将组织机构内运行的信息系统进行合理分解，确定所包含可以作为定级对象的信息系统的个数。
参与角色：信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统总体描述文件。
活动描述：
本活动主要包括以下子活动内容：
a)划分方法的选择
一个组织机构可能运行一个大型信息系统，为了突出重点保护的等级保护原则，应对大型信息系统进行划分，进行信息系统划分的方法可以有多种，可以考虑管理机构、业务类型、物理位置等因素，信息系统的运营、使用单位应该根据本单位的具体情况确定一个系统的分解原则。
b)信息系统划分
依据选择的系统划分原则，将一个组织机构内拥有的大型信息系统进行划分，划分出相对独立的信息系统并作为定级对象，应保证每个相对独立的信息系统具备定级对象的基本特征。在信息系统划分的过程中，应该首先考虑组织管理的要素，然后考虑业务类型、物理区域等要素。
c)信息系统详细描述
在对信息系统进行划分并确定定级对象后，应在信息系统总体描述文件的基础上，进一步增加信息系统划分信息的描述，准确描述一个大型信息系统中包括的定级对象的个数。
进一步的信息系统详细描述文件应包含以下内容：
1) 相对独立信息系统列表；
2） 每个定级对象的概述；
3) 每个定级对象的边界；
4) 每个定级对象的设备部署；
5) 每个定级对象支撑的业务应用及其处理的信息资产类型；
6) 每个定级对象的服务范围和用户类型；
7) 其他内容。
活动输出： 信息系统详细描述文件。
5.对信息系统分析时如何确定业务信息和系统服务？
【答案】
a)关于确定业务信息
对本单位的信息系统支持的业务信息进行统计和分类，确定相对独立的业务信息，以业务系统名称命名，或以业务工作中习惯名称命名，逐一根据业务信息的产生、传输、处理和存储情况、共享情况，以及业务信息的作用及重要性、安全性要求等进行描述。
如果一个业务系统或子系统的业务信息的种类很多，一般可选择比较重要的、具有一定数量的、且能够代表业务系统特征的业务信息。
在定级过程中主要关注业务信息的安全性要求。
b)关于确定系统服务
系统服务是指信息系统为支撑其所承载业务而提供的程序化过程，可以具体化为信息系统中的一个相对独立的应用系统或子系统正常运行时能够提供的业务服务。
在定级过程中主要关注系统服务的可用性要求，包括业务连续性要求等。
6.对信息系统分析时如何确定受侵害的客体？
【答案】
定级对象受到破坏时所侵害的客体包括国家安全、社会秩序、公众利益以及公民、法人和其他组织的合法权益。
a)侵害国家安全的事项包括：
- 影响国家政权稳固和国防实力；
- 影响国家统一、民族团结和社会安定；
- 影响国家对外活动中的政治、经济利益；
- 影响国家重要的安全保卫工作；
- 影响国家经济竞争力和科技实力；
- 其他影响国家安全的事项。
b)侵害社会秩序的事项包括：
- 影响国家机关社会管理和公共服务的工作秩序；
- 影响各种类型的经济活动秩序；
- 影响各行业的科研、生产秩序；
- 影响公众在法律约束和道德规范下的正常生活秩序等；
- 其他影响社会秩序的事项。
c)影响公共利益的事项包括：
- 影响社会成员使用公共设施；
- 影响社会成员获取公开信息资源；
- 影响社会成员接受公共服务等方面；
- 其他影响公共利益的事项。
d)影响公民、法人和其他组织的合法权益
是指由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益。
确定作为定级对象的信息系统受到破坏后所侵害的客体时，应首先判断是否侵害国家安全，然后判断是否侵害社会秩序或公众利益，最后判断是否侵害公民、法人和其他组织的合法权益。
各行业可根据本行业业务特点，分析各类信息和各类信息系统与国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的关系，从而确定本行业各类信息和各类信息系统受到破坏时所侵害的客体。
7.对信息系统分析时如何确定对客体的侵害程度？
【答案】
a)侵害的客观方面
在客观方面，对客体的侵害外在表现为对定级对象的破坏，其危害方式表现为对信息安全的破坏和对信息系统服务的破坏，其中信息安全是指确保信息系统内信息的保密性、完整性和可用性等，系统服务安全是指确保信息系统可以及时、有效地提供服务，以完成预定的业务目标。由于业务信息安全和系统服务安全受到破坏所侵害的客体和对客体的侵害程度可能会有所不同，在定级过程中，需要分别处理这两种危害方式。
信息安全和系统服务安全受到破坏后，可能产生以下危害后果：
- 影响行使工作职能；
- 导致业务能力下降；
- 引起法律纠纷；
- 导致财产损失；
- 造成社会不良影响；
- 对其他组织和个人造成损失；
- 其他影响。
b)综合判定侵害程度
侵害程度是客观方面的不同外在表现的综合体现，因此，应首先根据不同的受侵害客体、不同危害后果分别确定其危害程度。对不同危害后果确定其危害程度所采取的方法和所考虑的角度可能不同，例如系统服务安全被破坏导致业务能力下降的程度可以从信息系统服务覆盖的区域范围、用户人数或业务量等不同方面确定，业务信息安全被破坏导致的财物损失可以从直接的资金损失大小、间接的信息恢复费用等方面进行确定。
在针对不同的受侵害客体进行侵害程度的判断时，应参照以下不同的判别基准：
-如果受侵害客体是公民、法人或其他组织的合法权益，则以本人或本单位的总体利益作为判断侵害程度的基准；
-如果受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家的总体利益作为判断侵害程度的基准。
不同危害后果的三种危害程度描述如下：
一般损害：工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害。
严重损害：工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害。
特别严重损害：工作职能受到特别严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。
信息安全和系统服务安全被破坏后对客体的侵害程度，由对不同危害结果的危害程度进行综合评定得出。由于各行业信息系统所处理的信息种类和系统服务特点各不相同，信息安全和系统服务安全受到破坏后关注的危害结果、危害程度的计算方式均可能不同，各行业可根据本行业信息特点和系统服务特点，制定危害程度的综合评定方法，并给出侵害不同客体造成一般损害、严重损害、特别严重损害的具体定义。
8.信息系统安全保护等级确定时如何进行初步定级、审核和批准？
【答案】
活动目标：
本活动的目标是按照国家有关管理规范和《信息系统安全等级保护定级指南》，确定信息系统的安全保护等级，并对定级结果进行审核和批准，保证定级结果的准确性。
参与角色：信息系统主管部门，信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统总体描述文件，信息系统详细描述文件。
活动描述：
本活动主要包括以下子活动内容：
a)信息系统安全保护等级初步确定
根据国家有关管理规范和《信息系统安全等级保护定级指南》确定的定级方法，信息系统运营、使用单位对每个定级对象确定初步的安全保护等级。
b)定级结果审核和批准
信息系统运营、使用单位初步确定了安全保护等级后，有主管部门的，应当经主管部门审核批准。跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。对拟确定为第四级以上信息系统的，运营使用单位或者主管部门应当邀请国家信息安全保护等级专家评审委员会评审。
活动输出：信息系统定级评审意见。
9.信息系统安全保护等级确定时如何形成定级报告？
【答案】
活动目标：
本活动的目标是对定级过程中产生的文档进行整理，形成信息系统定级结果报告。
参与角色：信息系统主管部门，信息系统运营、使用单位。
活动输入：信息系统总体描述文件，信息系统详细描述文件，信息系统定级结果。
活动描述：
对信息系统的总体描述文档、信息系统的详细描述文件、信息系统安全保护等级确定结果等内容进行整理，形成文件化的信息系统定级结果报告。
信息系统定级结果报告可以包含以下内容：
a)单位信息化现状概述；
b)管理模式；
c)信息系统列表；
d)每个信息系统的概述；
e)每个信息系统的边界；
f)每个信息系统的设备部署；
g)每个信息系统支撑的业务应用；
h)信息系统列表、安全保护等级以及保护要求组合；
i)其他内容。
活动输出：信息系统安全保护等级定级报告。
|
|
