等级保护管理体系设计

等级保护管理体系设计（共8篇）

1.等级保护管理体系设计 篇一

《信息安全等级保护管理办法（试行）》

第一章 总则

第一条 为加强信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等国家有关法律法规，制定本办法。

第二条 信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

第三条 信息系统的安全保护等级应当根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度，信息和信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度，信息和信息系统应当达到的基本的安全保护水平等因素确定。

第四条 信息系统的安全保护等级分为以下五级：

（一）第一级为自主保护级，适用于一般的信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益。

（二）第二级为指导保护级，适用于一般的信息系统，其受到破坏后，会对社会秩序和公共利益造成轻微损害，但不损害国家安全。

（三）第三级为监督保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成损害。

（四）第四级为强制保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害。

（五）第五级为专控保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成特别严重损害。

第五条 信息系统运营、使用单位及个人依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。

（一）第一级信息系统运营、使用单位或者个人可以依据国家管理规范和技术标准进行保护。

（二）第二级信息系统运营、使用单位应当依据国家管理规范和技术标准进行保护。必要时，国家有关信息安全职能部门可以对其信息安全等级保护工作进行指导。

（三）第三级信息系统运营、使用单位应当依据国家管理规范和技术标准进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行监督、检查。

（四）第四级信息系统运营、使用单位应当依据国家管理规范和技术标准进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行强制监督、检查。

（五）第五级信息系统运营、使用单位应当依据国家管理规范和技术标准进行保护，国家指定的专门部门或者专门机构对其信息安全等级保护工作进行专门监督、检查。

第六条 公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。

涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。

国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。

第二章 信息安全等级保护工作的安全管理

第七条 信息系统的运营、使用单位应当依据本办法和有关标准，确定信息系统的安全保护等级。有主管部门的，应当报主管部门审核批准。

第八条 信息系统的运营、使用单位应当根据据已确定的安全保护等级，依照本办法和有关技术标准，使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品，进行信息系统建设。

第九条 信息系统的运营、使用单位应当履行下列安全等级保护职责：

（一）落实信息安全等级保护的责任部门和人员，负责信息系统的安全等级保护管理工作；

（二）建立健全安全等级保护管理制度；

（三）落实安全等级保护技术标准要求；

（四）定期进行安全状况检测和风险评估；

（五）建立信息安全事件的等级响应、处置制度；

（六）负责对信息系统用户的安全等级保护教育和培训；

（七）其他应当履行的安全等级保护职责。

第十条 信息系统建设完成后，其运营、使用单位应当依据本办法选择具有国家相关技术资质和安全资质的测评单位，按照技术标准进行安全测评，符合要求的，方可投入使用。

第十一条 从事信息系统安全等级测评的单位，应当遵守国家有关法律法规和技术标准规定，保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，提供安全、客观、公正的检测评估服务。

测评单位资质管理办法由有关部门另行制定。

第十二条 第三级以上信息系统的运营、使用单位应当自系统投入运行之日起三十日内，到所在地的省、自治区、直辖市公安机关指定的受理机构办理备案手续，填写《信息系统安全保护等级备案登记表》。国家另有规定的除外。

备案事项发生变更时，信息系统运营、使用单位或其主管部门应当自变更之日起三十日内将变更情况报原备案机关。

第十三条 公安机关应当掌握信息系统运营、使用单位的备案情况，建立备案档案，进行备案管理。发现不符合本办法及有关标准的，应通知其予以纠正。

第十四条 公安机关应当监督、检查第三级和第四级信息系统运营、使用单位履行安全等级保护职责的情况。

对安全保护等级为三级的信息系统每年至少检查一次，对安全保护等级为四级的信息系统每半年至少检查一次。

第十五条 公安机关发现信息系统运营、使用单位未履行安全等级保护职责或未达到安全保护要求的，应当书面通知其整改。

第三章 信息安全等级保护的保密管理

第十六条 涉及国家秘密的信息系统应当依据国家信息安全等级保护的基本要求，按照国家保密工作部门涉密信息系统分级保护的管理规定和技术标准，结合系统实际情况进行保护。

不涉及国家秘密的信息系统不得处理国家秘密信息。

第十七条 涉及国家秘密的信息系统按照所处理信息的最高密级，由低到高划分为秘密级、机密级和绝密级三个级别，其总体防护水平分别不低于三级、四级、五级的要求。

涉及国家秘密的信息系统建设单位应当依据《中华人民共和国保守国家秘密法》和国家有关秘密及其密级具体范围的规定，确定系统处理信息的最高密级和系统的保护级别。

第十八条 涉及国家秘密的信息系统的设计实施、审批备案、运行维护和日常保密管理，按照国家保密工作部门的有关规定和技术标准执行。

第十九条 各级保密工作部门应当对已投入使用的涉及国家秘密的信息系统组织检查和测评。发现系统存在安全隐患或系统保护措施不符合分级保护管理规定和技术标准的，应当通知系统使用单位和管理部门限期整改。

对秘密级、机密级信息系统，每两年至少进行一次保密检查或系统测评；对绝密级信息系统，每年至少进行一次保密检查或系统测评。

第四章 信息安全等级保护的密码管理

第二十条 国家密码管理部门对信息安全等级保护的密码实行分类分级管理。根据被保护对象在国家安全、社会稳定、经济建设中的作用和重要程度，被保护对象的安全防护要求和涉密程度，被保护对象被破坏后的危害程度以及密码使用部门的性质等，确定密码的等级保护准则。

信息系统运营、使用单位采用密码进行等级保护的，应当遵照信息安全等级保护密码管理规定和相关标准。

第二十一条 信息系统安全等级保护中密码的配备、使用和管理等，应严格执行国家密码管理的有关规定。

第二十二条 要充分运用密码技术对信息系统进行保护。采用密码对涉及国家秘密的信息和信息系统进行保护的，密码的设计、实施、使用、运行维护和日常管理等，应当按照国家密码管理有关规定和技术标准执行；采用密码对不涉及国家秘密的信息和信息系统进行保护的须遵照《商用密码管理条例》和密码分类分级保护有关规定与相关标准。

第二十三条 各级密码管理部门可以定期或者不定期对信息系统等级保护工作中密码配备、使用和管理的情况进行检查和测评，对重要涉密信息系统的密码配备、使用和管理情况每两年至少进行一次检查和测评。在监督检查过程中，发现存在安全隐患或违反密码管理相关规定或者未达到密码相关标准要求的，按照国家密码管理的相关规定进行处置。

第五章 法律责任

第二十四条 三级、四级信息系统和涉及国家秘密的信息系统的主管部门和运营、使用单位违反本办法规定，有下列行为之一，造成严重损害的，由相关部门依照有关法律、法规予以处理：

（一）未按本办法规定报请备案、审批的；

（二）未按等级保护技术标准要求进行系统安全设施建设和制度建设的；

（三）接到整改通知后，拒不整改的；

（四）违反保密管理规定的；

（五）违反密码管理规定的；

（六）违反本办法和其他规定的。

第六章 附则

第二十五条 军队的计算机信息系统安全保护工作，按照军队的有关法规执行。

第二十六条 本管理办法自2006年3月1日起施行。

2.等级保护管理体系设计 篇二

近年来信息安全问题也是层出不穷,非法入侵、网络攻击等严重问题已经开始影响到政府、金融、贸易、日常生活等许多方面的网络系统,造成了严重的影响和巨大的破坏。因此,加强网络安全体系的建设和相关的保护管理工作就显得非常重要,对网络信息系统的安全保护加大重视程度,加强监督管理水平,严厉遏制和打击各类网络信息安全的违法犯罪活动,建立以及进一步完善网络安全体系不仅是我们国家信息发展的紧迫要求,同时也是我国经济发展的稳定、人们和谐生活的保障的重要任务。其中,对于网络安全体系的建设工作中等级保护工作是非常重要的一部分内容,我国2010年出台的《中华人民共和国计算机信息系统安全保护条例》就对网络安全的体系研究中明确提出了等级保护的相关制度。第二年跟着发布的《关于信息安全等级保护工作的实施意见》中开始对网络信息安全工作中等级保护的具体工作内容和实施建议做出了明确的规定,以期通过对等级保护安全制度的抓紧建设来尽快实现信息安全网络安全体系的建立和完善。

以等级保护为重要基础的网络信息安全体系其实就是对网络系统内各种信息和信息载体按照各自重要等级程度分别进行重点保护一种差别性工作。这其实就是把安全体系系统内更加优质的保护资源集中优先的享用给更加隐秘和重量级的信息的一种倾斜式保护方式,这样对于我国的整体网络系统内国家秘密信息、公司企业商业信息、公民个人隐私信息以及一些公开资源信息就会有区别的进行保护处理,这样网络安全体系内的安全保护工作就更加具有条理性和重点性,也能更高效的实行对信息的安全保护。对信息系统的安全保护产品进行相应的等级安全管理,从而进一步的实现信息安全事件的分等级响应和对应处理,这样才能更好达到网络安全体系内特定安全保护等级的安全需求。

1 等级保护工作的重要性

我国目前对于网络安全体系中的等级保护相关工作还只是处于初步发展阶段,一切都相当的不成熟,不能十分有效地利用现有的资源和相关技术来实现网络安全体系的完善建设,进而导致等级保护的网络安全工作不能很好地应用和开展。其中主要存在的问题有以下三个方面:第一,网络安全体系内的网络信息很多涉及重要商业机密发展方向,是非常重要的核心机密信息。这些信息如果因为安全体系的问题出现泄漏会对国家经济发展带来重大的影响,但同时,也有很多机密性一般甚至是公开的网络基础信息,如果没有很好的等级制度实行区分划别,统一管理,就很容易出现核心机密信息的外泄;第二,网络是一个开放的巨大资源信息平台,这样全开放式的信息平台却还涉及着许多金钱往来的贸易业务,日常数据信息交换频繁,最容易遭受破坏和入侵,如果没有实现明确的等级安全保护制度,一旦第一层屏障被入侵,很可能全部信息资源都会泄漏,对整个社会来说影响和破坏都是巨大的;第三,网络信息安全系统一般复杂而庞大。其中的网络信息网络环境则是错综复杂,如果不加以区别对待,分类整理,这本身对于网络安全体系的管理和发展来说就是非常危险和困难的事情。所以,因为网络安全工作这些问题的存在,要求网络安全体系的建设一定要加入等级保护的制度要求,图1所示等级保护信息系统的体系结构能更好地实现网络信息的安全。

2 网络安全风险分析

2.1 来自互联网的风险

网络安全体系系统是网络信息资源的保护系统,终归是要经常的与互联网发生联系和相互影响。现在的互联网信息渠道复杂,信息质量参差不齐,有很多都是非常危险的信息种类,其中包含木马危险和入侵病毒,这样网络安全体系在互联网的信息交换中很容易就会受到不明危险的信息的侵入和影响,如果安全体系内没有等级制度明确的识别系统,对于数量有一定的规模、来源渠道又多样复杂的互联网信息就不能很好的阻截和处理,造成网络安全体系的重大影响。

2.2 来自人为的风险

现在有许多职业从事网络系统破坏和木马植入的网络黑客。网络安全体系内的许多安全信息涉及国家机密、企业商业机密和个人安全隐私,出于各种目的都会有人对网络安全体系试图进行侵入和攻击,如果网络安全体系没有层次分明的保护系统,只是统一的防护管理,很容易就会被外界入侵从而造成重要信息的泄漏。

2.3 来自管理安全的风险

网络安全体系内部的许多管理人员其本身就可能是内部网络信息泄漏的主要原因,员工职责权利不明晰、管理方法落后紊乱、网络信息安全意识淡薄、制度缺失不完善都会是管理人员本身造成重要信息泄漏的原因方面,当然也包括一些机密信息负责人员的监守自盗。当然,如果实现了等级保护制度的权限信息要求,那样不同等级的重要信息会需要不同级别管理人员权限才有机会触及,这样一般的基础工作人员就会大大减少重要信息泄漏的机会也解除了信息故意泄漏的危险。

3 网络安全体系的要求和趋势

网络安全体系是为网络信息和网络环境提供安全支持的一个最为重要的平台,一方面网络安全体系能够确保网络设备的安全运行,提供优质高效的网络服务:一方面,网络安全体系又能最大限度的保障网络信息系统内各种信息的保密性、完整性和有效性,成功的抵御来自外部的网络入侵,对网络信息系统的各方面进行防护。

网络安全体系有两个最基本的要求:共享和安全。网络信息系统最基础的功能就是必须实现资源和信息的全平台共享,所以网络环境必须是开放的,确保信息的交换和流动,所以这也为网络信息系统带来了很多的潜在风险,这个时候确保安全就显得非常必要了。一定要在共享和安全之间寻找最适合的平衡点,使网络信息系统在安全的保障下最大限度的提供信息资源的交流与共享,这也是网络安全体系最基本的技术要求。

未来的网络安全体系是各种安全防护技术融合的趋势,等级保护是其中相对比较重要和基础的技术工作,信息安全检查技术、反病毒技术和入侵监测技术以及计算机网络防火墙中的应用都在等级保护技术的基础上进行融合。目前我国各行各业的网络信息系统都更加重视起网络安全体系的设计和实现,因为实现网络信息的安全不仅是一个纯粹的技术问题,更是一个困难的管理问题,不仅关系到信息安全的私密性,更关系到经济建设的各方面利益,所以在未来实现等级保护为基础各种安全防护技术相融合的网络安全体系是主要的趋势和各行各业关注的重点方向。

4 网络安全体系的总体设计

4.1 安全域的划分

网络安全域的实现是等级保护技术的基础要求,安全域就是对整个网络信息系统内根据信息资源重要性、关系程度、私密等级等具体要求来进行划分的不同逻辑子网,每一个安全区域都有各自的安全保护要求和安全实现等级。安全域的具体优势在于:第一,将一个复杂的大型网络安全问题成功的转化为了相对小区域,更加清晰明了和单纯的安全保护问题,这样更加容易实现网络信息系统安全保护工作的管理,降低整个系统的风险;第二,利用网络安全域的划分,理顺重要级别的划分布局,更好地指导全系统内的安全防护工作;第三,清晰的掌握不同重要程度安全域的防护重点和各自安全域的等级防护要求,将有限的安全设备最优的配置给所有的安全域,实现安全设备的最大化利用率;第四,简化网络安全的运维工作,有的放矢地部署网络审计设备,提供检査和审核的依据。所以,在网络安全体系的设计中实现安全域的划分是最为基础和重要的。

4.2 边界防护墙

在网络安全体系的设计中边界防护墙是使外部网与内部网之间或同一个局域网内的不同安全域之间进行网络互访、信息互换最重要的屏障和保护。因为不同的安全域之间的信息的安全等级和稳定性都是不一样的,如果安全域边界之间没有很好的防护屏障,很容易造成低安全等级的网络信息在交换中影响到高安全等级的网络信息,从而造成严重的恶劣影响。边界防护墙的主要功能是决定了哪些内部服务可以被外部访问,外部的哪些主机可以访问内部的服务,以及哪些外部服务可以被内部主机访问,而且防火墙只允许授权的数据通过。边界防护墙一般都设置在不同安全域之间的核心交换区位置,不同的安全域子网被完全的隔离开,其他安全域子网的服务请求只能传递到边界防护墙内,而不能穿越边界防护墙,防护墙会对收到的数据信息访问请求进行筛选和分析,对于没有权限或非法的访问予以拒绝。防护墙是不同安全域之间唯一的通信渠道,因此边界防护墙还能对所有的信息访问一一记录,形成详细的日志访问记录,便于接下来的安全风险分析。

4.3 入侵防御系统

在网络安全体系的设计中,入侵防御系统也是非常重要的,入侵防御系统主要功能是恶意代码的检测与防范。入侵防御系统主要包括防病毒网关和防病毒基础系统。整个入侵防御系统会对网络信息安全所面对的病毒、垃圾邮件、恶意代码、超文本传送协议、交互式邮件存取协议、FTP、SMTP的数据传送都进行细致缜密的数据检测和病毒扫描,帮助实现整个网络环境的安全,一旦发现病毒入侵防御系统就会立刻进行隔离或查杀,因为处理的及时性和果断性,入侵防御系统在防护病毒方面起到了非常重要的作用。

4.4 网络防病毒系统

网络防病毒系统和入侵防御系统功能上有所相似,但是作用范围却是不尽相同,入侵防御系统是对外部网络进入系统内网的各类信息进行恶意代码的监测和防范,而网络防病毒系统则是对各安全域内已经存在的潜在危险信息进行病毒的预防、检测和查杀。系统内各个安全域内部主机的保护都以防病毒系统为主,为所有安全域子网内的服务器、数据库、终端连接都进行病毒扫描和清除保护,是各自安全域的稳定和防护最为重要的系统防护涉及了。

4.5 安全审计系统设计

安全审计功能主要是对不同安全域子网内的信息内容记录进行重新的审查,并上传到控制台保存。审计的目的是记录和跟踪信息系统状态的变化,如用户的活动,对程序和文件的使用情况监控,记录对程序和文件的使用以及文件的处理过程。安全审计可以监控和捕捉各种安全事件,实现对安全事件的识别、定位并给予以相应的响应。审计会对整个网络安全体系内的各种安全防护系统日志都进行记录检测,比如边界防护墙日志、入侵防御系统日志以及网络防病毒系统日志等等,同时安全审计系统还能实现网络运营状态的实时监测,配合各种网络安全防护系统更好实现整个网络安全体系内的信息安全和防护。

5 结语

综上所述,我国等级保护的网络安全体系设计与研究目前在我国受到了高度的重视,是未来重要的研究方向和发展前景,只有更好地实现了等级保护基础要求的网络安全体系建设才能更好地保证网络信息系统的安全和整个信息社会发展的稳定。

摘要：随着我国社会化网络进程的加快,大到国家的经济发展社会稳定小到人们生活日常处处都开始显现出基础信息网络的重要性。网络信息系统的安全性开始受到社会的普遍关注,其中,等级保护工作是当前信息网络安全工作的重要内容。本文在重点解释等级保护制度内容的基础上,简要的分析研究等级保护要求下网络安全体系的研究与设计,希望能设计出具有一定通用性和实用性的安全防护体系,实现网络信息的安全与保护。

关键词：等级保护,网络安全体系,研究与设计

参考文献

[1]王会.基于等级保护的党校网络安全体系的研究与应用[D].中山大学,2012.

[2]毛颉.基于等级保护的电子政务网络系统安全设计研究及应用[D].浙江工业大学,2012.

[3]苏阳浪.基于等级保护的电子政务安全保障体系设计与实现[A].第二届全国信息安全等级保护技术大会会议论文集[C].公安部第三研究所,2013.

3.等级保护管理体系设计 篇三

摘 要：本文首先提出了等级考试在管理上的一些问题，然后给出了解决这些问题的方案，并详细描述方案中各环节的实施角色、过程和其他要点；其次列出了管理系统的关键表以及核心代码。

关键词：计算机；等级考试；PHP；数据库

中图分类号：TP315

1 现状及存在问题

全国计算机等级考试（National Computer Rank Examination，简称NCRE），是经原国家教育委员会（现教育部）批准，由教育部考试中心主办，面向社会，用于考查应试人员计算机应用知识与技能的全国性计算机水平考试体系。

自1994年开考以来，由于NCRE适应了市场经济发展的需要，学校与社会对其认可度逐步提高，考生的人数也在逐年递增。使用NCRE原有的考务系统进行报名，须待考生到报名现场时进行信息的逐一录入，采用这种方式报名不仅工作量大而且效率低下。因此每年两次的考前集中报名工作，给考点的工作人员带来了很大的压力，由此带来的录入错误也在所难免。

2 解决方案

目前，网络的使用已经非常普遍，充分利用网络资源，改变传统的等级考试报名方式，进行网上报名是一个可行的途径，也是发展趋势。本系统使用PHP作为开发语言，利用Thinkphp快速开发框架开发，将报名、缴费、查询、数据导出4种功能融为一体，实现角色访问控制，不种的角色拥有不同的功能菜单，最大限度的减轻考点的工作人员的工作压力。

3 系统需求分析

系统采用多角色、模块化管理设计，各个角色赋予的功能既有区别又有交叉，从而给系统开发和后台管理上带来了极大的便利。具体有以下四种角色：（1）系统管理员，主要负责系统的参数设置和基础数据的导入导出；2、普通管理员，主要负责各系的报名审核、学生拍照工作）；3、财务管理人员（主要负责报名收费和相关证明打印）；4、学生（报名、成绩查询等功能）。以下是系统报名环节的流程图：

3.1 基础数据导入。该环节的执行角色为系统管理员，主要功能是将待报名学生的数据导入系统，数据来源为学校的教务管理系统，现今的教务系统一般都具有数据导出功能并提供相应的数据接口。本系统采取的方案为制作数据接口，将教务系统的基础数据直接同步到本系统中。

3.2 报名学生拍照。该环节的执行角色为系统管理员或普通管理员，主要功能为给没有照片的考生或照片有误考生拍照。系统采用网页控制相机进行拍照，极大地提高了拍照的速度和质量。

3.3 等级信息维护。该环节的执行角色为系统管理员，用来添加或修改计算机等级基本信息，比如等级代码、名称、各等级报考条件、等级报名费、培训费、教材费等。

3.4 报名参数维护。该环节的执行角色为系统管理员，用来设置当前报名批次，报名开始时间和结束时间等。

3.5 学生在线报名。该环节的执行角色为学生。学生登录系统后进行报名，系统检测学生是否有报考其选定等级的条件。

3.6 处理报名数据。该环节的执行角色为系统管理员和普通管理员。学生报名完成后，管理员将统计并审核各等级报名信息，同时也将报名信息有误的数据删除并重新报名。

3.7 报名学生缴费。该环节的执行角色为财务人员。财务人员按照报名数据收缴学生的报名费用，并在系统中做确认处理，确认之后报名信息不可以再修改。

3.8 报名数据导出。该环节的执行角色为系统管理员。财务人员收费完成后，系统管理员将报名数据从系统中导出并上传到国家等级考试报名系统。

4 系统设计

4.1 系统软件环境

操作系统：WindowsServer2003、2008、2008R2、Linux

支持环境：ThinkPHP2.0，PHP5.0及以上版本

数据库：SqlServer2005及以上版本、MySQL

4.2 开发环境及方法

使用开源的NetBeans集成开发工具，选择PHP、ThinkPHP框架进行开发。

4.3 数据库设计

班级表、学生表、等级代码表、报名表、成绩表、收费表、系统参数表。

5 系统开发（核心代码段）

5.1 学生报名信息展示页面

publicfunctionsign（）

{

$Model=newModel（）；

$data=$Model->SqlSrvQuery（"selectmc，begintime，endtime，flagfromparam"，array（））；//获取报名参数

////

//代码段：根据$data判断是否报名是否过期

////

$this->assign（"mc"，$data[0]["mc"]）；

$xs=$Model->SqlSrvQuery（"selectxh，xm，xb，sfzh，phone，name，xbdm，bhfromxs_vwherexh=？"，array（$_REQUEST["idn"]））；//查询学生基本信息

////

//代码段：根据$xs获取学生基本信息

////

if（file_exists（"./Photo/".$xs[0]["xbdm"]."/".$xs[0]["bh"]."/".$xs[0]["xh"].".jpg"））//判断照片是否存在

{

//代码段：存在显示

}

else

{

//代码段：不存在显示默认提示图片

}

////////////////////////////////////////////

$cj=$Model->SqlSrvQuery（"selectnamefromcj_vwheresfzh=？andzcj>0orderbydm"，array（$xs[0]["sfzh"]））；//查询学生成绩

if（count（$cj）>0）

{

//代码段：根据$cj获取已通过等级

}

$submit=$Model->SqlSrvQuery（"select*frombmbwherexh=？andmc=？"，array（$xs[0]["xh"]，$data[0]["mc"]））；

if（count（$submit）>0）

{

//代码段：根据$submit显示已报名信息

}

$this->display（）；

}

5.2 保存报名信息

publicfunctionSaveSign（）

{

$Model=newModel（）；

$dj=$Model->SqlSrvQuery（"selectdj，conditionfromlevelwheredm=？"，array（$_POST["dj"]））；//查询等级及报考条件

////

//代码段：根据$dj判断可否报考该等级

////

if（可以报考）

{

////

//代码段：删除系统中该学生原有报名信息

////

$k=$Model->SqlSrvExecute（"insertintobmb（xh，bh，mc，dm，yzkzh，blcjzl，price，train，TrainPrice，Book，BookPrice，SumPrice）values（？，？，？，？，？，？，？，？，？，？，？，？）"，$param）；//将报名信息保存到数据库

}

}

6 结语

江苏农林职业技术学院是国家示范性高职院建设单位、全国职业教育先进单位，在校生人员大约13000人。学院是国家计算机等级考试考点单位，每次报考人数达2000人左右，目前，系统已经稳定运行2年，获得了学生和管理人员的一致好评。

参考文献：

[1]周丽莉.基于B/S结构的等级考试管理系统[J].计算机工程，2005，S1.

[2]方媛.基于PHP技术的计算机等级考试考务管理系统[J].电脑开发与应用，2012，11.

[3]唐超尘.全国计算机等级考试辅助报名系统设计[J].计算机与现代化，2010，06.

4.浙江省信息安全等级保护管理办法 篇四

第一条为加强和规范信息安全等级保护管理，提高信息安全保障能力，维护国家安全、公共利益和社会稳定，促进信息化建设，根据国家有关规定，结合本省实际，制定本办法。

第二条本省行政区域内建设、运营、使用信息系统的单位，均须遵守本办法。

第三条本办法所称信息安全等级保护，是指按国家规定对需要实行安全等级保护的各类信息的存储、传输、处理的信息系统进行相应的等级保护，对信息系统中发生的信息安全突发公共事件实行分等级响应和处置的安全保障制度。

第四条本办法所称信息，是指通过信息系统进行存储、传输、处理的语言、文字、声音、图像、数字等资料。

本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。

第五条信息安全等级保护应当遵循分级实施、明确责任、确保安全的原则;重点保障基础信息网络和重要信息系统各类信息的安全性和信息处理的连续性。

信息系统应当按照信息安全等级保护的要求，实行同步建设、动态调整、谁运行谁负责的原则。

第六条县级以上人民政府应当加强对信息安全等级保护工作的领导，把信息安全等级保护纳入信息化建设规划，协调、解决有关重大问题，建立必要的资金和技术的保障机制。

第七条县级以上人民政府公安、国家安全、保密、密码、信息化等行政主管部门应当按照国家和本办法规定，履行监督管理职责。

县级以上人民政府其他相关部门，应当按照职责分工，落实信息安全等级保护管理的责任，配合做好相关工作。

第二章等级保护的分级与实施

第八条根据信息系统承载的信息的重要性、业务处理对系统的依赖性以及系统遭到破坏后对经济、社会的危害程度，确定信息系统相应的保护等级。

信息系统的保护等级分为以下五级：

(一)信息系统承载的信息涉及公民、法人和其他组织的权益，信息系统遭到破坏后，业务可以直接用其他方式替代处理，对公民、法人和其他组织的权益有一定影响，但不损害国家安全、社会秩序、经济建设和公共利益的，为一级保护，由运营单位自主保护;

(二)信息系统承载的信息直接涉及公民、法人和其他组织的权益，信息系统遭到破坏后，会影响业务的正常处理，并对国家安全、社会秩序、经济建设和公共利益造成一定损害的，为二级保护，由运营单位在信息安全等级保护工作监管部门的指导下进行保护;

(三)信息系统承载的信息涉及国家、社会和公共利益，信息系统遭到破坏后，会严重影响业务的正常处理，并对国家安全、社会秩序、经济建设和公共利益造成较大损害的，为三级保护，由运营单位在信息安全等级保护工作监管部门的监督下进行保护;

(四)信息系统承载的信息直接涉及国家、社会和公共利益，信息系统遭到破坏后，业务无法正常处理，并对国家安全、社会秩序、经济建设和公共利益造成严重损害的，为四级保护，由运营单位按照信息安全等级保护工作监管部门的强制要求进行保护;

(五)信息系统承载的信息直接关系国家安全、社会稳定、经济建设和运行，信息系统遭到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的，为五级保护，由运营单位在国家指定的专门部门、专门机构的专控下进行保护。

第九条信息系统的建设、运营、使用单位，应当按照国家有关技术规范、标准和本办法第八条规定自行选定其信息系统相应的保护等级。

基础信息网络和重要信息系统的保护等级，建设单位应当在信息系统规划设计时，按照本办法第十条规定报经审定。

第十条基础信息网络和重要信息系统保护等级，实行专家评审制度。

省、设区的市信息化行政主管部门应当分别建立省、市信息系统保护等级专家评审组，并分别组织对关系全省和关系全市的基础信息网络和重要信息系统的保护等级进行审定。申报与审定的具体细则，由省信息化行政主管部门会同省公安部门制定，并报省人民政府备案。

第十一条对于包含多个子系统的信息系统，应当根据各子系统的重要程度分别确定保护等级。

第十二条信息系统建设完成后，其运营、使用单位应当按照国家有关技术规范和标准进行安全测评，符合要求的，方可投入使用。

第十三条信息系统投入运行或者系统变更之日起三十日内，运营、使用单位应当将信息系统保护等级选定或者审定情况报所在地县级以上人民政府公安部门备案。备案的具体细则由省公安部门制定。

信息系统涉及国家秘密的，运营、使用单位应当按照有关保密法律、法规、规章的规定执行。

第十四条信息系统的运营、使用单位，应当按照国家有关技术规范和标准，建立信息安全等级保护管理制度，落实安全保护责任，采取相应的安全保护措施，切实保障信息系统正常安全运行。

第十五条信息系统的运营、使用单位，应当建立信息系统安全状况日常检测工作制度，加强对信息系统的日常维护和安全管理，及时消除安全隐患，确保信息的安全和系统的正常运行。

基础信息网络和重要信息系统的运营、使用单位，应当按照国家有关技术规范和标准，每年对系统的信息安全状况进行一次全面的测评，也可以委托有相应资质的单位进行安全测评。

第十六条信息系统发生信息安全突发公共事件时，应当根据事件的可控性、地域影响范围和信息系统遭到破坏的严重程度，实行分级响应和应急处置。分级响应和应急处置按照省有关网络与信息安全应急预案的规定执行。

通信基础网络发生突发公共事件时，应当按照省有关通信保障应急预案的规定执行。

第三章监督管理

第十七条县级以上人民政府公安部门依法对运营、使用信息系统的单位的信息安全等级保护工作实施监督管理，并做好下列工作：

(一)督促、指导信息安全等级保护工作;

(二)监督、检查信息系统运营、使用单位的安全等级保护管理制度和技术措施的落实情况;

(三)受理信息系统保护等级的备案;

(四)依法查处信息系统运营、使用单位和个人的违法行为;

(五)信息安全等级保护的其他相关工作。

第十八条保密工作部门依照职责分工，依法做好下列工作：

(一)督促、指导涉及国家秘密的信息安全等级保护工作;

(二)受理涉及国家秘密的信息系统保护等级的备案;

(三)依法查处信息泄密、失密事件;

(四)信息安全等级保护中涉及国家秘密的其他相关工作。

第十九条密码管理部门应当按照职责分工依法做好相关工作，加强对涉及密码管理的信息安全等级保护工作的监督、检查和指导，查处信息安全等级保护工作中违反密码管理的行为和事件。

第二十条信息化行政主管部门应当加强对信息安全等级保护工作的指导、服务、协调和管理，并做好下列工作：

(一)指导、协调信息安全等级保护工作;

(二)组织制定信息安全等级保护工作规范;

(三)组织专家审定信息系统的保护等级;

(四)为相关单位提供信息安全等级保护的有关资讯和技术咨询;

(五)根据预案规定，组织落实信息安全突发公共事件的应急处置工作;

(六)信息安全等级保护的其他相关工作。

第二十一条信息系统建设、运营、使用单位，应当按照国家和本办法有关规定，开展信息安全等级保护工作，接受有关部门的指导、检查和监督管理。

信息系统运营、使用单位，在运营、使用中发生信息安全突发公共事件、泄密失密事件的，应当按照应急预案要求，及时采取有效措施，防止事态扩大，并立即报告有关主管部门，配合做好应急处置工作。

第四章法律责任

第二十二条违反本办法规定的行为，有关法律、法规已有行政处罚规定的，从其规定。

第二十三条信息系统运营、使用单位违反本办法规定，不建立信息系统保护等级或者自行选定的保护等级不符合国家有关技术规范和标准的，由公安部门责令限期改正，并给予警告;逾期拒不改正的，处一千元以上二千元以下罚款。

第二十四条信息系统运营、使用单位违反本办法第十二条、第十三条第一款规定的，由公安部门责令限期改正，并给予警告;逾期不改正的，处二千元罚款。

第二十五条信息系统运营、使用单位违反本办法第十四条规定，未建立信息安全等级保护管理制度、落实安全保护责任和措施的，由公安部门责令限期改正，并给予警告;

逾期拒不改正的，对经营性的处五千元以上五万元以下罚款，对非经营性的处二千元罚款。

第二十六条违反本办法第十五条第一款规定，信息系统运营、使用单位未建立信息系统安全状况日常检测工作制度的，由公安部门责令限期改正，并给予警告;逾期拒不改正的，处一千元以上二千元以下罚款。

违反本办法第十五条第二款规定，基础信息网络与重要信息系统的运营、使用单位，未定期对系统的信息安全状况进行测评的，由公安部门责令限期改正，并给予警告;逾期拒不改正的，对经营性的处二千元以上二万元以下罚款，对非经营性的处二千元罚款。

第二十七条信息系统运营、使用单位违反本办法第二十一条第二款规定的，由县级以上人民政府信息化行政主管部门责令改正，给予警告，对经营性的并处五千元以上三万元以下罚款，对非经营性的并处二千元罚款;涉及泄密、失密的，按照有关保密法律、法规、规章的规定处理。

第二十八条有关信息安全等级保护监管部门及其工作人员有下列行为之一的，由其主管部门或者监察部门对直接负责的主管人员和其他直接责任人依法给予行政或者纪律处分。

(一)未按照本办法规定履行监督管理职责的;

(二)违反国家和本办法规定审定信息系统保护等级的;

(三)违反法定程序和权限实施行政处罚的;

(四)在履行监督管理职责中，玩忽职守、滥用职权、徇私舞弊的;

(五)其他应当依法给予行政或者纪律处分的行为。

第二十九条违反本办法规定，构成犯罪的，依法追究刑事责任。

第五章附则

第三十条在本办法施行前已经建成的信息系统，运营、使用单位应当依照本办法规定建立相应的保护等级。

5.信息安全等级保护 篇五

一、物理安全

1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）

2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录

3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录

4、主要设备或设备的主要部件上应设置明显的不易除去的标记

5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放

6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；

7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录

8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；

9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告

10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品

11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录

12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录

13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录

14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录

15、应具有冗余或并行的电力电缆线路（如双路供电方式）

16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录

二、安全管理制度

1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程

2、应具有安全管理制度的制定程序：

3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）

4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录

5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。

6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）

7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）

三、安全管理机构

1、应设立信息安全管理工作的职能部门

2、应设立安全主管、安全管理各个方面的负责人

3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）

4、安全管理员应是专职人员

5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。

6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）

7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：

8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）

9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：

10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）

11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）

12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。

13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）

14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）

15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）

四、人员安全管理

1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）

2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录

3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）

4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。

5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）

6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）

7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）

8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。

9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。

10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。

11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）

12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）

13、应具有外部人员访问重要区域的书面申请

14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）

五、系统建设管理

1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）

2、应具有系统建设/整改方案

3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责

4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）

5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）

6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订

7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本

8、应按照国家的相关规定进行采购和使用系统信息安全产品

9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品

10、应具有专门的部门负责产品的采购

11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单

12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）

13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册

14、对程序资源库的修改、更新、发布应进行授权和批准

15、应具有程序资源库的修改、更新、发布文档或记录

16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测

17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品

18、应具有软件设计的相关文档和使用指南

19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档

20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制

21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案

22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）

23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）

24、应具有测试验收报告

25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）

26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）

27、应具有系统交付时的技术培训记录

28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。

29、应指定部门负责系统交付工作

30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容

31、选定的安全服务商应提供一定的技术培训和服务

32、应与安全服务商签订的服务合同或安全责任合同书

11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单

12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）

13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册

14、对程序资源库的修改、更新、发布应进行授权和批准

15、应具有程序资源库的修改、更新、发布文档或记录

16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测

17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品

18、应具有软件设计的相关文档和使用指南

19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档

20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制

21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案

22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）

23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）

24、应具有测试验收报告

25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）

26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）

27、应具有系统交付时的技术培训记录

28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。

29、应指定部门负责系统交付工作

30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容

31、选定的安全服务商应提供一定的技术培训和服务

32、应与安全服务商签订的服务合同或安全责任合同书

六、系统运维管理

1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。

2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录

3、应指定部门和人员负责机房安全管理工作

4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）

5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）

6、应指定资产管理的责任部门或人员

7、应依据资产的重要程度对资产进行标识

8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））

9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）

10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制

11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）

12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）

13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）

14、介质上应具有分类的标识或标签

15、应对各类设施、设备指定专人或专门部门进行定期维护。

16、应具有设备操作手册

17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）

18、应监控主机、网络设备和应用系统的运行状况等

19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警

20、应具有日常运维的监控日志记录和运维交接日志记录

21、应定期对监控记录进行分析、评审

22、应具有异常现象的现场处理记录和事后相关的分析报告

23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理

24、应指定专人负责维护网络安全管理工作

25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）

26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。

27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）

28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。

29、对便携式和移动式设备的网络接入应进行限制管理

30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。

31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。

32、应有补丁测试记录和系统补丁安装操作记录

33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）

34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）

35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）

36、应指定专人对恶意代码进行检测，并保存记录。

37、应具有对网络和主机进行恶意代码检测的记录

38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理

39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告 40、应具有变更方案评审记录和变更过程记录文档。

41、重要系统的变更申请书，应具有主管领导的批准

42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）

43、应定期执行恢复程序，检查和测试备份介质的有效性

44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档

45、应对安全事件记录分析文档

46、应具有不同事件的应急预案

47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。

48、应对系统相关人员进行应急预案培训（应急预案培训记录）

49、应定期对应急预案进行演练（应急预案演练记录）50、应对应急预案定期进行审查并更新

6.网络安全等级保护条例 篇六

（征求意见稿）

目录

总 则..........................................支持与保障......................................网络的安全保护..................................涉密网络的安全保护.............................密码管理.......................................监督管理.......................................法律责任.......................................附 则.........................................第一章 总 则

第一条【立法宗旨与依据】为加强网络安全等级保护工作，提高网络安全防范能力和水平，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，依据《中华人民共和国网络安全法》、《中华人民共和国保守国家秘密法》等法律，制定本条例。

第二条【适用范围】在中华人民共和国境内建设、运营、维护、使用网络，开展网络安全等级保护工作以及监督管理，适用本条例。个人及家庭自建自用的网络除外。

第三条【确立制度】国家实行网络安全等级保护制度，对网络实施分等级保护、分等级监管。

前款所称“网络”是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。

第四条【工作原则】网络安全等级保护工作应当按照突出重点、主动防御、综合防控的原则，建立健全网络安全防护体系，重点保护涉及国家安全、国计民生、社会公共利益的网络的基础设施安全、运行安全和数据安全。

网络运营者在网络建设过程中，应当同步规划、同步建设、同步运行网络安全保护、保密和密码保护措施。

3络安全防范意识。

国家鼓励和支持企事业单位、高等院校、研究机构等开展网络安全等级保护制度的教育与培训，加强网络安全等级保护管理和技术人才培养。

第十四条【鼓励创新】国家鼓励利用新技术、新应用开展网络安全等级保护管理和技术防护，采取主动防御、可信计算、人工智能等技术，创新网络安全技术保护措施，提升网络安全防范能力和水平。

国家对网络新技术、新应用的推广，组织开展网络安全风险评估，防范网络新技术、新应用的安全风险。

第三章 网络的安全保护

第十五条【网络等级】根据网络在国家安全、经济建设、社会生活中的重要程度，以及其一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及相关公民、法人和其他组织的合法权益的危害程度等因素，网络分为五个安全保护等级。

（一）第一级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益的一般网络。

（二）第二级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造

6用；

（八）落实违法信息发现、阻断、消除等措施，落实防范违法信息大量传播、违法犯罪证据灭失等措施；

（九）落实联网备案和用户真实身份查验等责任；

（十）对网络中发生的案事件，应当在二十四小时内向属地公安机关报告；泄露国家秘密的，应当同时向属地保密行政管理部门报告。

（十一）法律、行政法规规定的其他网络安全保护义务。第二十一条【特殊安全保护义务】第三级以上网络的运营者除履行本条例第二十条规定的网络安全保护义务外，还应当履行下列安全保护义务：

（一）确定网络安全管理机构，明确网络安全等级保护的工作职责，对网络变更、网络接入、运维和技术保障单位变更等事项建立逐级审批制度；

（二）制定并落实网络安全总体规划和整体安全防护策略，制定安全建设方案，并经专业技术人员评审通过；

（三）对网络安全管理负责人和关键岗位的人员进行安全背景审查，落实持证上岗制度；

（四）对为其提供网络设计、建设、运维和技术服务的机构和人员进行安全管理；

（五）落实网络安全态势感知监测预警措施，建设网络安全防护管理平台，对网络运行状态、网络流量、用户行为、网络安全案事件等进行动态监测分析，并与同级公安机关对接；

（六）落实重要网络设备、通信链路、系统的冗余、备份和恢复措施；

（七）建立网络安全等级测评制度，定期开展等级测评，并将测评情况及安全整改措施、整改结果向公安机关和有关部门报告；

（八）法律和行政法规规定的其他网络安全保护义务。第二十二条【上线检测】新建的第二级网络上线运行前应当按照网络安全等级保护有关标准规范，对网络的安全性进行测试。

新建的第三级以上网络上线运行前应当委托网络安全等级测评机构按照网络安全等级保护有关标准规范进行等级测评，通过等级测评后方可投入运行。

第二十三条【等级测评】第三级以上网络的运营者应当每年开展一次网络安全等级测评，发现并整改安全风险隐患，并每年将开展网络安全等级测评的工作情况及测评结果向备案的公安机关报告。

第二十四条【安全整改】网络运营者应当对等级测评中发现的安全风险隐患，制定整改方案，落实整改措施，消除风险隐患。

第二十五条【自查工作】网络运营者应当每年对本单位落实网络安全等级保护制度情况和网络安全状况至少开展一次自

第二十九条【技术维护要求】第三级以上网络应当在境内实施技术维护，不得境外远程技术维护。因业务需要，确需进行境外远程技术维护的，应当进行网络安全评估，并采取风险管控措施。实施技术维护，应当记录并留存技术维护日志，并在公安机关检查时如实提供。

第三十条【监测预警和信息通报】地市级以上人民政府应当建立网络安全监测预警和信息通报制度，开展安全监测、态势感知、通报预警等工作。

第三级以上网络运营者应当建立健全网络安全监测预警和信息通报制度，按照规定向同级公安机关报送网络安全监测预警信息，报告网络安全事件。有行业主管部门的，同时向行业主管部门报送和报告。

行业主管部门应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，按照规定向同级网信部门、公安机关报送网络安全监测预警信息，报告网络安全事件。

第三十一条【数据和信息安全保护】网络运营者应当建立并落实重要数据和个人信息安全保护制度；采取保护措施，保障数据和信息在收集、存储、传输、使用、提供、销毁过程中的安全；建立异地备份恢复等技术措施，保障重要数据的完整性、保密性和可用性。

未经允许或授权，网络运营者不得收集与其提供的服务无关的数据和个人信息；不得违反法律、行政法规规定和双方约

112涉密网络中使用的安全保密产品，应当通过国家保密行政管理部门设立的检测机构检测。计算机病毒防护产品应当选用取得计算机信息系统安全专用产品销售许可证的可靠产品，密码产品应当选用国家密码管理部门批准的产品。

第四十条【测评审查和风险评估】涉密网络应当由国家保密行政管理部门设立或者授权的保密测评机构进行检测评估，并经设区的市级以上保密行政管理部门审查合格，方可投入使用。

涉密网络运营者在涉密网络投入使用后，应定期开展安全保密检查和风险自评估，并接受保密行政管理部门组织的安全保密风险评估。绝密级网络每年至少进行一次，机密级和秘密级网络每两年至少进行一次。

公安机关、国家安全机关涉密网络投入使用的管理，依照国家保密行政管理部门会同公安机关、国家安全机关制定的有关规定执行。

第四十一条【涉密网络使用管理总体要求】涉密网络运营者应当制定安全保密管理制度，组建相应管理机构，设臵安全保密管理人员，落实安全保密责任。

第四十二条【涉密网络预警通报要求】涉密网络运营者应建立健全本单位涉密网络安全保密监测预警和信息通报制度，发现安全风险隐患的，应及时采取应急处臵措施，并向保密行政管理部门报告。

4密码产品应当经过密码管理部门批准，采用密码技术的软件系统、硬件设备等产品，应当通过密码检测。

密码的检测、装备、采购和使用等，由密码管理部门统一管理；系统设计、运行维护、日常管理和密码评估，应当按照国家密码管理相关法规和标准执行。

第四十七条【非涉密网络密码保护】非涉密网络应当按照国家密码管理法律法规和标准的要求，使用密码技术、产品和服务。第三级以上网络应当采用密码保护，并使用国家密码管理部门认可的密码技术、产品和服务。

第三级以上网络运营者应在网络规划、建设和运行阶段，按照密码应用安全性评估管理办法和相关标准，委托密码应用安全性测评机构开展密码应用安全性评估。网络通过评估后，方可上线运行，并在投入运行后，每年至少组织一次评估。密码应用安全性评估结果应当报受理备案的公安机关和所在地设区市的密码管理部门备案。

第四十八条【密码安全管理责任】网络运营者应当按照国家密码管理法规和相关管理要求，履行密码安全管理职责，加强密码安全制度建设，完善密码安全管理措施，规范密码使用行为。

任何单位和个人不得利用密码从事危害国家安全、社会公共利益的活动，或者从事其他违法犯罪活动。

第六章 监督管理

第四十九条【安全监督管理】县级以上公安机关对网络运营者依照国家法律法规规定和相关标准规范要求，落实网络安全等级保护制度，开展网络安全防范、网络安全事件应急处臵、重大活动网络安全保护等工作，实行监督管理；对第三级以上网络运营者按照网络安全等级保护制度落实网络基础设施安全、网络运行安全和数据安全保护责任义务，实行重点监督管理。

县级以上公安机关对同级行业主管部门依照国家法律法规规定和相关标准规范要求，组织督促本行业、本领域落实网络安全等级保护制度，开展网络安全防范、网络安全事件应急处臵、重大活动网络安全保护等工作情况，进行监督、检查、指导。

地市级以上公安机关每年将网络安全等级保护工作情况通报同级网信部门。

第五十条【安全检查】县级以上公安机关对网络运营者开展下列网络安全工作情况进行监督检查：

（一）日常网络安全防范工作；

（二）重大网络安全风险隐患整改情况；

（三）重大网络安全事件应急处臵和恢复工作；

（四）重大活动网络安全保护工作落实情况；

（五）其他网络安全保护工作情况。

7自参加境外组织的网络攻防活动。

第五十五条【事件调查】公安机关应当根据有关规定处置网络安全事件，开展事件调查，认定事件责任，依法查处危害网络安全的违法犯罪活动。必要时，可以责令网络运营者采取阻断信息传输、暂停网络运行、备份相关数据等紧急措施。

网络运营者应当配合、支持公安机关和有关部门开展事件调查和处置工作。

第五十六条【紧急情况断网措施】网络存在的安全风险隐患严重威胁国家安全、社会秩序和公共利益的，紧急情况下公安机关可以责令其停止联网、停机整顿。

第五十七条【保密监督管理】保密行政管理部门负责对涉密网络的安全保护工作进行监督管理，负责对非涉密网络的失泄密行为的监管。发现存在安全隐患，违反保密法律法规，或者不符合保密标准保密的，按照《中华人民共和国保守国家秘密法》和国家保密相关规定处理。

第五十八条【密码监督管理】密码管理部门负责对网络安全等级保护工作中的密码管理进行监督管理，监督检查网络运营者对网络的密码配备、使用、管理和密码评估情况。其中重要涉密信息系统每两年至少开展一次监督检查。监督检查中发现存在安全隐患，或者违反密码管理相关规定，或者不符合密码相关标准规范要求的，按照国家密码管理相关规定予以处理。

第五十九条【行业监督管理】行业主管部门应当组织制定本行业、本领域网络安全等级保护工作规划和标准规范，掌握网络基本情况、定级备案情况和安全保护状况；监督管理本行业、本领域网络运营者开展网络定级备案、等级测评、安全建设整改、安全自查等工作。

行业主管部门应当监督管理本行业、本领域网络运营者依照网络安全等级保护制度和相关标准规范要求，落实网络安全管理和技术保护措施，组织开展网络安全防范、网络安全事件应急处臵、重大活动网络安全保护等工作。

第六十条【监督管理责任】网络安全等级保护监督管理部门及其工作人员应当对在履行职责中知悉的国家秘密、个人信息和重要数据严格保密，不得泄露、出售或者非法向他人提供。

第六十一条【执法协助】网络运营者和技术支持单位应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供支持和协助。

第六十二条【网络安全约谈制度】省级以上人民政府公安部门、保密行政管理部门、密码管理部门在履行网络安全等级保护监督管理职责中，发现网络存在较大安全风险隐患或者发生安全事件的，可以约谈网络运营者的法定代表人、主要负责人及其行业主管部门。

第七章 法律责任

第六十三条【违反安全保护义务】网络运营者不履行本条例第十六条，第十七条第一款，第十八条第一款、第二款，第二十条、第二十二条第一款，第二十四条，第二十五条，第二十八条第一款，第三十一条第一款，第三十二条第二款规定的网络安全保护义务的，由公安机关责令改正，依照《中华人民共和国网络安全法》第五十九条第一款的规定处罚。

第三级以上网络运营者违反本条例第二十一条、第二十二条第二款、第二十三条规定、第二十八条第二款，第三十条第二款，第三十二条第一款规定的，按照前款规定从重处罚。

第六十四条【违反技术维护要求】网络运营者违反本条例第二十九条规定，对第三级以上网络实施境外远程技术维护，未进行网络安全评估、未采取风险管控措施、未记录并留存技术维护日志的，由公安机关和相关行业主管部门依据各自职责责令改正，依照《中华人民共和国网络安全法》第五十九条第一款的规定处罚。

第六十五条【违反数据安全和个人信息保护要求】网络运营者违反本条例第三十一条第二款规定，擅自收集、使用、提供数据和个人信息的，由网信部门、公安机关依据各自职责责令改正，依照《中华人民共和国网络安全法》第六十四条第一款的规定处罚。

第六十六条【网络安全服务责任】违反本条例第二十六条

1保密管理和密码管理规定的，由保密行政管理部门或者密码管理部门按照各自职责分工责令改正，拒不改正的，给予警告，并通报向其上级主管部门，建议对其主管人员和其他直接责任人员依法给予处分。

第六十九条【监管部门渎职责任】网信部门、公安机关、国家保密行政管理部门、密码管理部门以及有关行业主管部门及其工作人员有下列行为之一，对直接负责的主管人员和其他直接责任人员，或者有关工作人员依法给予处分：

（一）玩忽职守、滥用职权、徇私舞弊的；

（二）泄露、出售、非法提供在履行网络安全等级保护监管职责中获悉的国家秘密、个人信息和重要数据；或者将获取其他信息，用于其他用途的。

第七十条【法律竞合处理】违反本条例规定，构成违反治安管理行为的，由公安机关依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

第八章 附 则

第七十一条【术语解释】本条例所称的“内”、“以上”包含本数；所称的“行业主管部门”包含行业监管部门。

第七十二条【军队】军队的网络安全等级保护工作，按照军队的有关法规执行。

第七十三条【生效时间】本条例由自

7.等级保护管理体系设计 篇七

关键词：三甲医院,信息系统,等级保护,测评

1引言

伴随着医院信息化建设的开展,医院对信息系统的依赖越来越大[1,2]。然而,信息系统本身存在技术、管理等安全问题。因此,文章根据国家及行业制定的信息系统安全等级保护相关配套标准[3,4,5],设计了某三级甲等医院信息系统等级保护测评的方案。通过测试手段对信息系统的安全技术措施、安全管理制度进行单项验证和整体性分析,检测信息系统现有的安全保护能力与国家、行业要求之间的差距,为该医院信息化建设的下一步整改提供科学、合理的依据。

2 医院概况

该医院为全国三级甲等综合性医院,医院信息系统的安全保护等级定为三级(S3A3G3)。医院的信息系统包括:市医保、区医保、金保、铁路医保、挂号系统、门诊系统、住院系统、排队叫号系统、检验系统、医学影像系统、病理系统、药房系统、药库系统、OA系统等。医院的网络结构按功能划分为边界接入区、核心交换区、服务器区和办公区4大功能区域,如图2所示。

3 信息系统安全等级保护测评的设计

3.1 信息系统安全等级保护测评流程

测评流程如图1所示。其中,测评准备活动包括等级测评项目启动、信息收集与分析、工具和表单准备。方案编制活动包括测评对象和指标、测评工具接入点、测评内容三者的确定,测评实施手册开发及测评方案编制。现场测评活动包括测评实施准备、现场测评和结果记录、结果确认和资料归还。分析与报告编制活动包括单项测评结果判定、等级测评结论形成、整体测评、测评报告编制、风险分析、测评结果评审[3]。

3.2 测评对象与指标

3.2.1 测评对象

机房、业务应用软件(市医保、区医保、金保、铁路医保、挂号系统、门诊系统、住院系统、排队叫号系统、检验系统、医学影像系统、病理系统、药房系统、药库系统、OA系统等)、业务应用软件服务器的操作系统、网络互联设备(交换机、路由器)的操作系统、安全设备(防火墙)的操作系统、安全管理文档。

3.2.2 测评指标

测评指标包括物理安全等10项指标,而物理安全又包括防盗窃和防破坏、物理位置的选择等子类[5]。

3.3 测评方法与工具

3.3.1 测评方法

(1)本次测评的主要方法包括访谈、检查和测试三种方式。

(1)访谈的主要内容是“安全管理”类的安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等管理制度。通过详细阅读各项管理制度,并与安全主管、人事负责人、系统建设负责人、资产管理员、运维管理员等,讨论各项制度描述、执行过程中存在疑问的地方。

通过与不同类型的人员讨论的方式体现了访谈的广度,通过对管理制度存在的疑问进行共同探讨研究的方式体现了访谈的深度。

(2)检查是对所有测评指标的功能级文档、机制和活动进行详细彻底的分析、观察和研究。根据获取的数据,证明被测系统当前的安全机制、配置、实现情况是否符合要求。

检查所有测评指标体现了检查内容的广度。详细彻底的分析、观察和研究测评指标的功能级文档、机制和活动的检查方式,体现了检查内容的深度。

(3)测试是通过手工测试、工具扫描、模拟攻击等方式,对被测系统中的主机、网络设备、业务系统,进行功能、安全性等方面的测试。

手工测试、工具扫描、模拟攻击等方式,体现了测试的深度。对主机、网络设备、业务系统进行功能、安全性等方面的测试,体现了测试的广度。

(2)风险分析方法

测评项目依据安全事件可能性和安全事件后果,对信息系统面临的风险进行分析。分析过程包括:

(1)判断医院信息系统的安全保护能力缺失(等级测评结果中的部分符合项和不符合项)被威胁的时候,利用导致安全事件发生的概率,可能性的取值范围为高、中和低。

(2)判断安全事件对信息系统业务信息安全和系统服务安全造成的影响程度。影响程度取值范围为高、中和低。

(3)综合过程(1)和(2)的结果,对信息系统面临的风险进行汇总和分等级。风险等级的取值范围为高、中和低。

(4)结合信息系统的安全保护等级,对风险分析结果进行评价,即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。

3.3.2 测评工具

测评的信息系统为三级信息系统。根据三级信息系统的测评强度要求,在测试的广度上,应基本覆盖所有的安全机制,在数量、范围上可以抽样;在测试的深度上,应执行功能测试和渗透测试。功能测试可能涉及机制的功能规范、高级设计和操作规程等文档。渗透测试可能涉及机制的所有可用文档,并试图进入信息系统等。因此,对其进行测评,应涉及到漏洞扫描工具、渗透测评工具集等多种测试工具:

(1)Nessus,是目前全世界使用人数最多的集系统漏洞扫描与分析一体的软件。

(2)绿盟远程安全评估系统,它能够实现漏洞预警、漏洞检测、风险管理、漏洞修复和漏洞审计等功能。绿盟科技NSFOCUS安全小组到目前为止已经独立发现了40多个知名厂家的漏洞,绿盟科技维护着全球最大的中文漏洞知识库。

3.4 测评内容与实施

等级测评的现场实施过程由单元测评、工具测试和整体测评三部分构成。

3.4.1 单元测评

对应各安全控制点的测评称为单元测评。其包括物理安全测评等10个测评任务[5]。因篇幅有限,这里只列举物理安全测评。

(1)物理安全测评

物理安全测评通过访谈和检查方式测评信息系统的物理安全保障情况,主要涉及对象为信息系统所在的机房。

(2)物理安全测评内容

物理安全层面测评内容涉及物理位置的选择等10个安全子类。而物理位置测评指标包括:

(1)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。

(2)机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。

(3)物理安全测评实施

物理安全测评实施方法及过程[5]:

(1)文档查阅与分析。测评人员对测评委托放提交的物理安全相关文档(含制度、记录等)等进行查看和分析,并记录相关证据。

(2)机房实地观测。测评人员在配合人员的陪同下对机房的安全措施进行现场观测,并记录相关证据。

(3)人员访谈。测评人员根据文档查阅和实地观测的测评结果,针对部分不确定项目访谈相关人员,获取补充证据。

(4)结果确认。测评人员向配合人员提交物理安全测评的初步结果记录。测评双方对初步结果进行下一步的分析和修订后,认可形成物理安全测评结果记录。

(4)物理安全测评配合需求

物理安全测评配合项及需求说明[5]:

(1)配合人:机房安全管理员陪同测评人员出入机房,并提供相关的文档(如机房出入人员记录、空调设备等基础设施的维护记录等)。

(2)安全权:测评人员在测评实施期间出入机房的授权许可。

(3)办公环境:会议室。

3.4.2 工具测试

通过漏洞扫描工具、应用安全扫描工具,对主机、应用业务系统进行扫描,找出其存在的安全隐患。

3.4.3 工具接入点

针对被测系统的网络边界和抽查设备、主机及业务应用系统的情况,需要在被测系统及其互联网络中设置两个工具接入点JA、JB。工具测试接入点示意图如图2所示。“接入点”标注表示进行工具测试时,需要从该接入点接入,对应的箭头路线表示工具测试数据的主要流向。

(1)JA接入点工具测试过程描述:

(1)在JA接入点的边界区域互联网、卫生专网、市医保、南铁医保等,为扫描工具提供网络接入接口。

(2)为扫描工具分配相应网段的IP地址,在JA点接入扫描工具,通过防火墙、核心交换机,对服务器区的HIS服务器、PACS服务器等,进行漏洞扫描及应用安全扫描。

(2)JB接入点工具测试过程描述:

(1)在JB接入点抽取一个办公区接入交换机,为扫描工具提供网络接入接口。

(2)为扫描工具分配两个办公区网段的IP地址,在JB点接入扫描工具,通过接入层交换机、汇聚层交换机、核心交换机,对服务器区的HIS服务器、PACS服务器等,进行漏洞扫描及应用安全扫描。

3.5 整体测评

系统整体测评主要是在单项测评的基础上,通过测评分析安全控制点间、层面间和安全区域间存在的关联作用,在整体结构上是否合理、简单、有效,验证和分析不符合项是否影响系统的安全保护能力,测试分析系统的整体安全性是否合理[3]。

3.5.1 控制点间安全测评

在同一功能区域的同一层面内,其他安全控制点是否存在对该安全控制点具有补充作用(如安全审计、物理访问控制、防盗窃及抗抵赖等)。另外,分析是否存在其他的安全措施或技术与该要求项具有相似的安全功能。

3.5.2 层面间安全测评

层面间的安全测评,重点分析其他层面上功能相同或相似的安全控制点是否对该安全控制点存在补充作用(如应用层加密与网络层加密、主机层与应用层上的身份鉴别等),以及技术与管理上各层面的关联关系(如主机安全与系统运维管理、应用安全与系统运维管理等)。

3.5.3 区域间安全测评

区域间安全测评,重点分析系统中访问控制路径(如不同功能区域间的数据流流向和控制方式),是否存在区域间安全功能的相互补充。

4 结论

通过对三级甲等医院的信息系统进行安全等级保护测评方案的设计,与国家及行业的标准、制度进行比较,得出该医院信息系统基本符合第三级安全保护的要求。但存在如机房管理不规范、工作人员信息安全意识薄弱等问题。文章设计的信息系统等级保护测评方法,具有较高的可操作性,为该医院信息化建设的整改提供依据,可作为其他医院测评的借鉴。

参考文献

[1]郎漫芝,王晖,邓小虹.医院信息系统信息安全等级保护的实施探讨[J].计算机应用与软件,2013,1:206-208.

[2]徐璟璟.医院信息系统安全等级保护[J].信息与电脑(理论版),2015(8):91,93.

[3]GB/T28449-2012.信息安全技术信息系统安全等级保护测评过程指南[S].2012.

[4]GB/T22240-2008.信息安全技术信息系统安全等级保护定级指南[S].2008.

8.等级保护管理体系设计 篇八

摘 要：安全问题是制约云计算发展的重要因素，如何判断云服务安全性是否可以达到安全要求，需要在现有的等级保护体系下进一步丰富完善涉及云计算相关的内容，为等级测评提供必要的依据。文章在教育等级保护测评中心实际测评工作实践基础上对信息安全在云计算环境下面临的新挑战与问题进行了分析，提出信息安全等级保护建设在云计算环境下的若干建议，并就如何对云计算环境进行等级测评提出参考办法，给出了云计算环境下信息安全等级保护的思考，阐述了云计算相关安全标准和配套法规目前不够完善，亟需补充加强。

关键词：云计算；等级保护；等级测评

中图分类号：TP319 文献标志码：B 文章编号：1673-8454（2016）11-0013-05

引言

云计算（cloud computing）发展如火如荼，在各个行业都得到了广泛应用，政府部门以及产业界和学术界对此非常关注。云计算的本质就是将大量计算资源统一整合，这个资源远离终端用户，通过网络高速链接提供给用户进而云化，这里的计算资源也包括了存储资源以及软件资源。云计算服务商藉此对外提供便捷的IT 服务。云计算可以说是继互联网经济繁荣以来IT 产业的又一个重要增长点，其主要特点是成本低、通用型、可扩展性强、服务灵活。云计算极大提高了IT资源的使用效率，但也必须充分认识到这一新技术的发展给用户的信息资产安全及隐私保护等带来了巨大威胁和考验。安全问题是云计算服务使用过程中用户最为关注的关键性问题。伴随随着云计算应用的不断推广与普及，云计算安全与否已成为用户选择云计算服务商的重要因素之一。从国家层面到许多信息安全企业以及学术研究团体、国家标准化组织对云计算安全课题已经开始进行研究，同时国内外云服务商联合传统安全厂商也在研究开发基于云计算的信息安全产品并有一些应用。本文拟通过对当前云计算所面临的安全问题以及云计算环境下等级保护工作开展中遇到的问题进行分析与总结，探索云计算安全等级保护建设和测评的方法，希望可以为各测评机构和用户在云计算安全与信息系统安全等级保护工作实践做出有益的探索。

一、云计算概述

根据NIST对云计算的定义：云计算是一种基于互联网实现的可以随时随地、按需、便捷地访问共享资源池（如计算设施、存储设备、应用程序等）的计算模式[1]。

云计算融合与发展了互联网技术、分布式计算、大规模资源管理等技术，云计算的应用研究是一个复杂的系统工程，其知识领域覆盖了信息安全、虚拟化资源管理、云数据中心管理、大规模数据处理等重要问题。云计算最主要的特征，就是提供按需服务的弹性资源，其主要特点有：运用虚拟化技术、低成本、高可用、高可靠、横向扩展能力强、按需服务、不受规模限制等特点。

云计算服务可以分为三个层次：基础设施即服务（IaaS， infrastructure as a service）、平台即服务（PaaS， platform as a service）、软件即服务（SaaS， software as a service）[2]。其中：

（1）IaaS基础设施服务：封装云数据中心的基础设施，为用户提同服务，提供给用户不同的操作系统，数据库软件等来部署不同的业务，自主完成应用系统的搭建，典型的如Amazon的EC2、S3、VPC等分别为用户提供计算、存储和虚拟网络服务；

（2）PaaS平台服务：通过整合各种应用程序所需的运行环境对外提供服务，用户只需安装自己的软件即可，典型的有微软的AZURE；

（3）SaaS软件服务，是云服务商将应用软件以服务的方式封装提供给用户，用户可以不要安装部署任何软件，直接使用云端提供的服务（预装软件）即可，微软的Office Live就是这样的一种服务。

云计算服务的参考体系架构[3]可以用图1表示。云计算服务管理的重点是对云计算核心服务（IaaS、PaaS、SaaS）进行管理，保证这些服务的安全性、可用性、可靠性等是有保障的。服务管理的内容主要包括云计算的安全管理、云计算服务质量保证、云计算服务计费管理、资源监控等。云计算服务管理的的核心是云平台本身的运行管理和服务质量管理。

云计算部署可以分为公有云、私有云、混合云和社区云四种[4]。其中公有云，是由云服务商负责搭建并以服务的方式提供给用户共享使用的云环境；而私有云一半是由企业自己出资独立构建并只为用户自己使用的私有云环境；混合云是对前两种云部署模式的折衷，用户一方面部署了自己的私有云，此外由购买使用第三方的公有云服务，通过一定技术手段实现了公有云和私有云之间的数据和应用交互；所谓社区云则是指那些有着共同利益的企业和用户自己出资的共享基础设施的云环境，本质是一种私有云，只是不是由一个用户独立投资建设使用。

二、云计算所带来的安全挑战

随着信息系统和用户数据向云端的转移，云计算数据中心势必成为网络信息安全攻击的核心目标。云计算环境下数据中心内系统的规模都比较巨大，云管理平台系统本身就非常的复杂、对多租户的管理及权限的划分也是一大管理难点，基于以上因素给云计算的安全性带来了非常严峻的考验：①云环境下提供的各种云计算服务都没有独立的主机、网络、存储等基础设施，各用户的服务之间没有明确安全边界，用户的数据安全和隐私保护需要较传统数据中心更加高强度的保护；②云服务的环节较多，涉及不同的云数据中心，云平台的管理、不同云计算资源的管理、带来了较大程度上的管理复杂性，在安全防护的统一规划部署上有一定的局限、而且有的云服务商需要用户自己进行安全防护；③云计算服务汇聚了多用户的数据与计算，在存储与读取上，安全策略的制定上，要求能够满足的规模并发信息处理的需求[5]。

云计算模式所带来的的核心安全问题是用户对自身数据失去了完全控制权，而对元计算环境基本不可控。一般而言，云计算的安全保障是由云计算服务提供商来提供的，但也不完全是，云计算的安全问题主要集中在云数据中心的安全，云管理平的安全、数据的安全，虚拟化应用部署的安全，服务器的安全，云计算本身的安全，瘦客户端的安全，云服务的法律保障等方面。怎么来解决云计算安全，需要重点分析与解决以下问题：

1.云计算数据存储的安全

对私有云和社区云而言，数据存储可以认为还是在用户可控的存储服务器内，但对于业选择使用公有云环境的用户而言，云计算服务商实际掌控了用户的数据物理存储，用户很难限制其数据访问权[6]。云计算服务商应保证：用户的数据被正确合理地存储、传递及使用，证明该用户的数据没有被盗用或者泄漏、确保用户的相关行为数据没有被记录并分析、非业务数据已被彻底清楚，最终要的是该用户数据被正确存储在中国境内等等；

2.虚拟化应用安全问题

在云计算环境中，计算、存储、网络等都是宿主机虚拟出来的，很多云计算用户共享基础资源，存在不同虚拟资源运行于相同的物理资源上的可能。虚拟化层面的安全漏洞，极有可能导致虚拟机逃逸和用户数据的泄露。

3.云计算的服务安全问题

在公有云计算环境下，根据用户选择不同的云服务，用户和云计算服务商的安全边界比较模糊。不同的云服务可能涉及到多个云计算服务提供商，当用户同时选择了多个云服时，而云服务又是由不同的云计算服务商来提供，那么这些服务的衔接之间可能存在着多层转包问题会将云服务管理的复杂性进一步放大，从而使得云计算服务的安全风险变得更大。

4.云计算软件平台的安全问题

云计算软件平台因为设计或配置不当，可能导致在云计算资源调度、用户访问控制隔离等方面存在安全问题，存在云计算环境下的非授权用户访问不当资源、进一步造成数据泄露等安全风险。

5.云管理平台的安全问题

云管理平台对云计算环境进行统一监控和运维管理，对云管理平台的操作或配置不当将导致云计算服务水平下降。

6.网络边界问题

虚拟网络和SDN的出现打破了传统网络的边界，虚拟网络的访问控制和恶意代码检查变得更加复杂。

三、信息系统安全等级保护概述

信息安全等级保护制度是国家实施网络与信息安全工作的抓手，信息安全等级保护制度是一系列的管理规范和标准体系的总和， 主要包括了30多个国家标准，其中基础核心标准主要有：

（1）《计算机信息系统安全等级保护划分准则》（GT/T 17859-1999）；

（2）《信息系统安全管理要求》（GB/T 20269-2006）；

（3）《信息系统安全等级保护基本要求》（22239-2008）；

（4）《信息系统安全等级保护定级指南》（GB/T 22240-2008）等。

信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理、对信息系统中发生的信息安全事件分等级响应、处置[7]。

如图2所示，我国的信息安全等级等保护标准体系的组成包含了等级保护工作过程中所需的各标准共同组成。这些标准按照基本分类的视角可以划分为三大类：基础类标准、管理类标准和产品类标准；根据标准制定对象视角可以分为基础标准、系统标准、产品标准、安全服务标准和安全时间标准五大类；而根据等级保护的生命周期则可以分为通用/基础标准、系统定级应用标准、安全建设用标准、等级测评用标准、运行维护用标准等[8]。

我国的信息系统安全等级保护主要工作主要有：定级备案、建设整改、等级测评和监督检查。其中《计算机信息系统安全保护等级划分准则》（GB17859-1999）是基础性标准、其他标准在GB17859-1999的基础上做了进一步的扩展。《信息系统安全等级保护实施指南》（GB/T 25058-2010）指导等级保护工作如何开展；《信息系统安全保护等级定级指南》（GB/T22240-2008）指导系统定级；《信息系统安全等级保护基本要求》（GB/T22239-2008）是建设整改和测评的依据；在等级测评环节主要参考《信息系统安全等级保护测评要求》（GB/T 28448-2012）和《信息系统安全等级保护测评过程指南》（GB/T 28449-2012）。

《信息安全等级保护管理办法》（公通字[2007]43号）明确要求：信息系统运营、使用单位依据[2007]43号文和相关技术标准对信息系统进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。《信息系统安全等级保护测评要求》明确提出应定期开展等级测评工作，其中三级系统的测评频率是年度至少一次，四级系统至少半年一次，五级系统的测评要求不低于四级，依据特殊安全需求进行等级测评——实践中还没有系统为五级，暂是没有可参考的数据。

四、云计算环境下的等级测评

和传统的信息系统安全等级测评不同，云计算环境可以被视为是一类特殊的信息系统，等级保护虽然对于云计算而言有一定的局限性，但依然可以参考适用于云计算环境。

在选择不同的云计算环境前，用户和企事业单位应对重要的信息系统（主要指三级及以上系统）进行研究，从系统安全性、运营成本等方面综合考虑，考察是否符合等级保护建设的要求，建议重要信息系统（三级及以上系统）应当以私有云建设为主[9]。

云计算环境下的测评，主要针对云基础设施如云计算数据中心、云管理软件如云平台、其他云应用服务如操作系统、虚拟机、存储、应用软件、身份认证识别与管理等，其中云计算数据中心是基础，云平台是管理核心。和传统的数据中心相比较而言，云计算数据中心的规模经济效应更为明显、可扩展性更强、具有更强的自治性[10]。超大规模的的云计算数据中心有数万个计算节点，而且其规模一直在呈上升趋势。大规模云计算中心的网络结构非常复杂，网络虚拟化和主机虚拟化技术被广泛深入应用在云计算中，为硬件资源池化提供了技术基础，使得为用户提供按需服务得以实现，充分利用硬件的性能而没有浪费。

唐国纯在文献[11]中提出了云安全框架，如图3所示。该架构指出云计算安全问题不仅是云服务提供商的责任，用户也要为自身安全承担责任。云服务提供商承担数据安全、信息加密安全、身份识别、业务连续性等云服务公共安全问题，其中云计算数据中心的基础设施安全、运维安全管理、云平台的安全管理是根本，而云用户主则要对自身使用的终端、身份及密码负责，保证与云端链接的是用户自己。

等级保护测评需要根据信息系统安全保护对象，按照其对应的安全功能要求项进行检测，通过表1对云计算环境下的保护对象与传统环境下的保护对象进行了简单的对比。

针对云计算环境下保护对象特点，总结教育信息安全等级保护测评中心的项目实施经验以及与公安部三所及不同云服务商的交流结果，根据云环境中所特有的安全风险，等级保护测评在传统环境下测评之外应重点检查以下内容：

（1）云计算环境中的网络虚拟化结构是否合理，边界是否清晰，访问控制策略是否合理，虚拟化网络设备配置是否恰当；

（2）云计算环境中云平台的管理是否得到恰当的授权，资源的访问和申请是否得到有效控制，关键业务系统是否采取了加固的操作系统；

（3）云计算环境中对数据传输是否有完整性、保密性和抗抵赖性保障安全措施；

（4）云计算环境中的虚拟机之间是否隔离，是否存在隐蔽信道；

（5）云计算服务商是否对访问用户数据做了限制，是否记录了用户隐私；

（6）云计算环境中的用户数据是否按照指定加密算法进行了加密；

（7）云计算环境中的用户数据及管理数据是否有合理的备份策略并能及时恢复；

（8）云环境中的数据是否采用了数据审计的策略，包括云服务方和用户方各自的审计，以保证数据的可溯源性；

（9）云计算中心是否采用剩余信息保护机制以防止用户数据泄露。

（10）云计算服务内容的审查和服务水平的约定，以及云服务提供商与用户的责任与权限的界定；

（11）云计算环境中虚拟机镜像是否不定期进行安全加固、涉及敏感信息的快照应当加密以防止非法访问；

（12）云计算的软件平台应该进行访问控制和身份鉴别，并能进行安全审计，应检查其通信接口是否统一并进行了加密。

五、云计算环境下等级保护工作的思考

我们国家的信息系统安全等级保护体系经过20多年的发展已经基本建立并逐步完善，各行业也陆续推出了自己的行业标准，但基本仍然是在国标的基础上针对本行业的信息系统特点进行的特殊归纳总结，面对大数据和云计算的应用模式仍然存在这一定的局限性。国标GB/T 22239-2008主要从物理、网络、主机、数据保护、应用安全等方面对信息系统安全等级保护提出了明确的要求，其立足点主要是针对信息系统，鉴于标准本身的滞后性，其面对当前广泛应用的云计算，不是非常的适用，对于云计算的服务模式、云计算应用构架、云计算的安全模型等方面亟须补充一个统一规范和标准。从目前云计算服务的发展来看，不同的云计算服务商服务平台的建设存在较大差异，用户和云计算服务商都对云计算环境的安全保障存在着不同的理解。考虑到国内外复杂的信息安全形势，出台配套的云计算安全保障相关的规范和标准用以指导云计算环境下的信息系统安全建设变得尤为迫切，对云计算的安全风险进行分析，在此基础上建立一个安全框架，提供云计算安全服务体系与云计算安全标准及其测评规范，并积极开展其中各个云安全的关键技术研究，为实现云计算环境下的安全目标提供技术支撑，为云计算服务平台和云计算安全体系的同步规划建设提供依据，指导用户在国内云计算环境下的信息系统安全建设，减少云计算环境下的信息安全风险，实现对云计算环境有效管理和控制。

从当前教育等级保护中心开展的测评实践来看，依照现有的基本要求和测评指南，对大的云计算中心进行测评比较困难，我们认为要从根本上解决云计算安全问题，可以首先考虑从国家层面上补充建立云计算安全标准和云计算安全服务等级测评办法和实施指南。通过云计算安全标准规范云计算服务商为云计算用户提供一个可以度量的云用户安全目标，同时为等级保护测评机构检验云服务商安全服务能力提供依据，通过云计算安全服务等级测评版和试试指南指导信息系统安全等级测评机构为云计算安全服务提供商的云计算中心和提供的云服务进行测评，以满足我国信息安全等级保护法规的相关要求。

结束语

云计算安全既包含技术问题和管理管理问题，更是相关技术标准和服务监管模式等问题的综合，更离不开国家在大数据及隐私保护方面的法律法规的进一步完善。要解决云计算环境下的安全问题，单从信息安全技术本身出发是远远不够的，云计算安全是IT厂商、云计算服务商、信息安全领域的厂商和学者以及政府信息安全主管部门的共同责任，需要大家的共同努力才有可能实现。

等级保护制度是国家信息安全的基本制度，坚定不移地推动等级保护工作，丰富和完善等级保护相关标准制度，通过测评机构在信息安全等级测评及时发现当前云计算环境下暴露出来的信息安全问题，指导云计算服务商和用户及时整改，是推动和加速云计算应用健康发展的基石。本文从信息安全等级保护机构从业者的角度出发，把我们遇到的一些问题进行分析，为等级保护从业人员及云计算终端用户提供一些思考，为在云计算环境下的国家信息安全等级保护标准系统的补充制定和推广提供参考。

参考文献：

[1]MELL P， GRANCE T.The NIST Definition of Cloud Computing[R].National Institute of Standards and Technology， 2011.

[2]黄河，刘旭东，孙海龙.云计算环境下服务中间件动态管理框架的设计与实现[J].计算机工程与科学，2013，35（1）：30-35.

[3]罗军舟等.云计算：体系架构与关键技术[J].通信学报，2011（7）.

[4]王宗江，郑秋生，曹健.混合云中的一个高效协调器[J].计算机科学，2015，42（1）：92-95.

[5]冯登国等.云计算安全研究[J].软件学报，2011（1）.

[6]赵雅琴.以用户为中心的云计算服务存在的问题[J].信息系统工程，2012（3）：152-153.

[7]刘静，王鹏.基于等级保护的检察系统信息安全保障体系建设[C].全国计算机安全学术交流会论文集（第二十二卷），2007：29-31.

[8]赵林，郭启全，任卫红等.信息安全等级保护系列标准应用案例[J].中国信息安全，2012（4）：73-77.

[9]孙铁.云环境下开展等级保护工作的思考[J].信息网络安全，2011（6）：11-13.

[10]Greenberg A， Hamilton J， Maltz D A， et al. The Cost of a Cloud： Research Problems in Data Center Networks[J]. Acm Sigcomm Computer Communication Review， 2009， 39（1）：68-73.

[11]唐国纯.云安全的体系结构及关键技术研究[J].信息技术，2015（7）.

[12]黄海.关于云计算的数据安全关键技术研析[J].科技创新与应用，2015（25）.

[13]王静宇.面向云计算环境的访问控制关键技术研究[D].北京科技大学，2015.

[14]陈敏刚，胡芸，蔡立志.云计算环境下数据安全的等级保护研究[C].第二届全国信息安全等级保护技术大会会议论文集，2013.