信息安全等級(jí)保護(hù)操作指南和操作流程

1、信息安全等級(jí)保護(hù)操作流程1信息系統(tǒng)定級(jí)1.1定級(jí)工作實(shí)施范圍“關(guān)于開(kāi)展全國(guó)重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知”對(duì)于重 要信息系統(tǒng)的范圍規(guī)定如下：（-）電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng) 絡(luò)，經(jīng)營(yíng)性公眾互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、數(shù)據(jù)中心等單 位的重要信息系統(tǒng)。（二）鐵路、銀行、海關(guān)、稅務(wù)、民航、電力、證券、保險(xiǎn)、外 交、 科技、發(fā)展改革、國(guó)防科技、公安、人事勞動(dòng)和社會(huì)保障、財(cái)政、審計(jì)、商 務(wù)、水利、國(guó)土資源、能源、交通、文化、教育、統(tǒng)計(jì)、工商行政管理、郵 政等行業(yè)、部門(mén)的生產(chǎn)、調(diào)度、管理、辦公等重要信息系統(tǒng)。（三）市（地）級(jí)以上黨政機(jī)關(guān)的重要網(wǎng)站和辦公信息系

2、統(tǒng)。（四）涉及國(guó)家秘密的信息系統(tǒng)（以下簡(jiǎn)稱“涉密信息系 統(tǒng)”）。注：跨省或者全國(guó)統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)可以由主管部門(mén)統(tǒng)一確定安 全保護(hù)等級(jí)。涉密信息系統(tǒng)的等級(jí)確定按照國(guó)家保密局的有關(guān)規(guī)定和標(biāo)準(zhǔn) 執(zhí)行。1.2定級(jí)依據(jù)標(biāo)準(zhǔn)國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)（中辦發(fā)2003 27號(hào)文件）關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見(jiàn)（公通字【2004 66號(hào)文 件）電子政務(wù)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南（試行）（國(guó)信辦2005 25號(hào)文件）信息安全等級(jí)保護(hù)管理辦法（公通字【2007】43號(hào)文件）計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則電子政務(wù)信息安全等級(jí)保護(hù)實(shí)施指南信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南信息系統(tǒng)安全

3、等級(jí)保護(hù)基木要求信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南 信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)指南1.3定級(jí)工作流程網(wǎng)絡(luò)拓?fù)湔{(diào)杳資產(chǎn)信息調(diào)査服務(wù)信息漓査系統(tǒng)邊界洞査,管理機(jī)構(gòu)分析業(yè)務(wù)類型分析物理位宜分析運(yùn)行環(huán)境分析業(yè)務(wù)信息分析 系統(tǒng)服務(wù)分析綜合分析確定等級(jí)編寫(xiě)定級(jí)報(bào)吿廠孫助評(píng)審審批形戍扇終報(bào)告圖信息系統(tǒng)定級(jí)工作流程13.1信息系統(tǒng)調(diào)查信息系統(tǒng)調(diào)查是通過(guò)一系列的信息系統(tǒng)情況調(diào)查表對(duì)信息系統(tǒng)基本情況 進(jìn)行摸底調(diào)查，全面掌握信息系統(tǒng)的數(shù)量、分布、業(yè)務(wù)類型、應(yīng)用、服務(wù)范 圍、系統(tǒng)結(jié)構(gòu)、管理組織和管理方式等基本情況。同時(shí)，通過(guò)信息系統(tǒng)調(diào)查 還可以明確信息系統(tǒng)存在的資產(chǎn)價(jià)值、威脅等級(jí)、風(fēng)險(xiǎn)等級(jí)以及可能造成的 影響客體、影響范圍等

4、基 本情況。信息系統(tǒng)調(diào)查結(jié)果將作為信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的主要依據(jù)，保證定級(jí)結(jié)果的客觀、合理和準(zhǔn)確。通常，信息系統(tǒng)調(diào)查工具表包括系統(tǒng)資產(chǎn)調(diào)查表、系統(tǒng)應(yīng)用調(diào)查表、和 管理信息調(diào)查表等。系統(tǒng)資產(chǎn)調(diào)査表用于調(diào)查信息系統(tǒng)的基本情況，主要包括主機(jī)、網(wǎng)絡(luò)設(shè)備、人員、人 員、服務(wù)等信息。在調(diào)查過(guò)程中，可以得到系統(tǒng)資產(chǎn)的基本信息、主要用 途、重要程度、服務(wù)對(duì)象等相關(guān)信息。系統(tǒng)應(yīng)用調(diào)査表用于明確系統(tǒng)應(yīng)用的基本狀況。明確各個(gè)系統(tǒng)應(yīng)用的拓?fù)湫畔?、邊界?息、應(yīng)用架構(gòu)、數(shù)據(jù)流等基本情況，為確定和分析定級(jí)對(duì)象提供詳細(xì)信 息。管理信息調(diào)査表用于明確信息系統(tǒng)的組織結(jié)構(gòu)、隸屬關(guān)系等管理信息。1.3.1.2調(diào)査方法信息系

5、統(tǒng)調(diào)查的實(shí)施包括信息收集、訪談和核查三個(gè)步驟。信息收集協(xié)助信息系統(tǒng)使用管理單位完成系統(tǒng)資產(chǎn)調(diào)查表填寫(xiě)工作，同時(shí)收集信息系統(tǒng)所涉及的一系列訪談核查對(duì)調(diào)查表中的信息進(jìn)行驗(yàn)證的過(guò)程，驗(yàn)證包括檢查和測(cè)試等方式。13.2確定定級(jí)對(duì)象一個(gè)單位可能運(yùn)行了比較龐大的信息系統(tǒng)，為了重點(diǎn)保護(hù)重要部分，有 效控制信息安全建設(shè)和管理成本，優(yōu)化信息安全資源配置等保護(hù)原則，可將 較大的信息系統(tǒng)劃分為若干個(gè)較小的、相對(duì)獨(dú)立的、具有不同安全保護(hù)等級(jí) 的定級(jí)對(duì)象。這樣，可以保證信息系統(tǒng)安全建設(shè)能夠突出重點(diǎn)、兼顧一般。1.3.2.1基本原則如果信息系統(tǒng)只承載一項(xiàng)業(yè)務(wù)，可以直接為該信息系統(tǒng)確定等級(jí)，不必 劃分業(yè)務(wù)子系統(tǒng)。如果信息系

6、統(tǒng)承載多項(xiàng)業(yè)務(wù)，應(yīng)根據(jù)各項(xiàng)業(yè)務(wù)的性質(zhì)和特點(diǎn)，將信息系 統(tǒng)分成若干業(yè)務(wù)子系統(tǒng)，分別為各業(yè)務(wù)子系統(tǒng)確定安全保護(hù)等級(jí)，信息系 統(tǒng)的安全保護(hù)等級(jí)由各業(yè)務(wù)子系統(tǒng)的最高等級(jí)決定。信息系統(tǒng)是進(jìn)行等級(jí) 確定和等級(jí)保護(hù)管理的最終對(duì)象。主要?jiǎng)澐衷瓌t有：一、具有唯一確定的安全責(zé)任單位作為定級(jí)對(duì)象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。如果一個(gè) 單位的某個(gè)下級(jí)單位負(fù)責(zé)信息系統(tǒng)安全建設(shè)、運(yùn)行維護(hù)等過(guò)程的全部安全 責(zé)任，則這個(gè)下級(jí)單位可以成為信息系統(tǒng)的安全責(zé)任單位；如果一個(gè)單位 中的不同下級(jí)單位分別承擔(dān)信息系統(tǒng)不同方面的安全責(zé)任，則該信息系統(tǒng) 的安全責(zé)任單位應(yīng)是這些下級(jí)單位共同所屬的單位。 保證遵循相同的安全策略。三、

7、相同的物理位置或相似的運(yùn)行環(huán)境信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的物理位置或相似的運(yùn)行環(huán)境意味 著系統(tǒng)所而臨的威脅相似，有利于采取統(tǒng)一的安全保護(hù)。13.3定級(jí)要素分析通過(guò)針對(duì)定級(jí)對(duì)象分別進(jìn)行業(yè)務(wù)信息安全分析和系統(tǒng)服務(wù)安全分析，最 終確定信息系統(tǒng)安全等級(jí)保護(hù)系統(tǒng)等級(jí)。在進(jìn)行業(yè)務(wù)信息安全分析和系統(tǒng)服務(wù)安全分析時(shí)，充分考慮行業(yè)特點(diǎn)、業(yè)務(wù)應(yīng)用特點(diǎn)等因素，細(xì)化受侵害客體組成及損害程度判定要素，從而確 保信息系統(tǒng)定級(jí)的合理準(zhǔn)確。1.3.3.1定級(jí)流程根據(jù)定級(jí)流程，在定級(jí)要素分析時(shí)需對(duì)業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安 全等級(jí)進(jìn)行分析，分析內(nèi)容包括確定受侵害的客體、確定對(duì)客體的侵害程 度，從而確定相應(yīng)的業(yè)務(wù)信息安全

8、等級(jí)和系統(tǒng)服務(wù)安 全等級(jí)。最后，綜合 業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安全等級(jí)得到信息系統(tǒng)安全等級(jí)保護(hù)系統(tǒng)等 級(jí)。13.3.2確定受侵害客體定級(jí)對(duì)象收到破壞時(shí)所侵害的客體包括國(guó)家安全、社會(huì)秩序、公眾利益 及公民、法人和其他組織的合法權(quán)益。國(guó)家安全影響國(guó)家政權(quán)穩(wěn)固和國(guó)防實(shí)力； 影響國(guó)家統(tǒng)一、民族團(tuán)結(jié)和社會(huì)安定;影響國(guó)家對(duì)外活動(dòng)中的政治、經(jīng)濟(jì)利益；影響國(guó)家重要的安全保衛(wèi)工作；影響國(guó)家經(jīng)濟(jì)競(jìng)爭(zhēng)力和科技實(shí)力；其他影響國(guó)家安全的事項(xiàng)。社會(huì)秩序影響國(guó)家機(jī)關(guān)社會(huì)管理和公共服務(wù)的工作秩序；影響各種類型的經(jīng)濟(jì)活動(dòng)秩序；影響各行業(yè)的科研、生產(chǎn)秩序；影響公眾在法律約束和道德規(guī)范下的正常生活秩序等；其他影響社會(huì)秩序的事項(xiàng)。

9、公共利益影響社會(huì)成員使用公共設(shè)施；影響社會(huì)成員獲取公開(kāi)信息資源；影響社會(huì)成員接受公共服務(wù)等方面；其他影響公共利益的事項(xiàng)。公民、法人和其他組織由法律確認(rèn)的并受法律保護(hù)的公民、法人和其他組織所享有的一定的社會(huì)權(quán)利和利益。確定作為定級(jí)對(duì)象的信息系統(tǒng)受到破壞后所侵害的客體時(shí)，應(yīng)首先判斷 是否侵害國(guó)家安全，然后判斷是否侵害社會(huì)秩序或公眾利益，最后判斷是 否侵害公民、法人和其他組織的合法權(quán)益的關(guān)系，從而確定信息和信息系 統(tǒng)受到破壞時(shí)所侵害的客體。1.3.3.3確定對(duì)客體的損害程度在針對(duì)不同的受侵害客體進(jìn)行侵害程度的判斷時(shí)，應(yīng)參照以下的判別基 準(zhǔn)。如果受侵害客體是公民、法人或其他組織的合法權(quán)益，則以本人或木

10、 單位的總體利益作為判斷侵害程度的基準(zhǔn)。如果受侵害客體是社會(huì)秩序、公共利益或國(guó)家安全，則應(yīng)以整 個(gè)行業(yè) 或國(guó)家的總體利益作為判斷侵害程度的基準(zhǔn)。不同危害后果的三種危害程度危害程度描述如下： 一般損害工作職能受到局部影響，業(yè)務(wù)能力有所降低但不影響主要功能的執(zhí) 行，出現(xiàn)較輕的法律問(wèn)題，較低的財(cái)產(chǎn)損失，有限的社會(huì)不良影響，對(duì) 其他組織和個(gè)人造成較低損害。嚴(yán)重?fù)p害工作職能受到嚴(yán)重影響，業(yè)務(wù)能力顯著下降且嚴(yán)重影響主要功能執(zhí) 行，出現(xiàn)較嚴(yán)重的法律問(wèn)題，較高的財(cái)產(chǎn)損失，較大范圍的社會(huì)不良影響，對(duì)其他組織和個(gè)人造成較嚴(yán)重?fù)p害。特別嚴(yán)重?fù)p害工作職能受到特別嚴(yán)重影響或喪失行使能力，業(yè)務(wù)能力嚴(yán)重下降 且或功能無(wú)法執(zhí)

11、行，出現(xiàn)極其嚴(yán)重的法律問(wèn)題，極高的財(cái)產(chǎn)損失，大 范圍的社會(huì)不良影響，對(duì)其他組織和個(gè)人造成非常嚴(yán)重?fù)p害。1.3.3.4確定定級(jí)對(duì)象的安全保護(hù)等級(jí)在確定完成受侵害客體以及對(duì)客體的侵害程度后，依據(jù)表1分別確定 業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安全等級(jí)。作為定級(jí)對(duì)象的信息系統(tǒng)的安全 保護(hù)等級(jí)由業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安全等級(jí)的較高者決定。表1定級(jí)要素與安全保護(hù)等級(jí)的關(guān)系受侵害的客體對(duì)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩療：、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家安全第三級(jí)第四級(jí)第五級(jí)13.4編寫(xiě)定級(jí)報(bào)告根據(jù)定級(jí)過(guò)程和定級(jí)結(jié)果，編寫(xiě)初步信息系統(tǒng)定級(jí)報(bào)告。1

12、3.5協(xié)助定級(jí)備案在完成初步定級(jí)報(bào)告后，協(xié)助信息系統(tǒng)管理使用單位進(jìn)行評(píng)審與審批， 并最終確定定級(jí)報(bào)告，完成信息系統(tǒng)備案工作。2等級(jí)測(cè)試2.作內(nèi)容等級(jí)測(cè)評(píng)是信息安全等級(jí)保護(hù)實(shí)施中的一個(gè)重要環(huán)節(jié)。等級(jí)測(cè)評(píng)是指具 有相關(guān)資質(zhì)的、獨(dú)立的第三方評(píng)測(cè)服務(wù)機(jī)構(gòu)，對(duì)信息系統(tǒng)的等級(jí)保護(hù)落實(shí) 情況與信息安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)要求之間的符合程度的測(cè)試判定。2.2依據(jù)標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則信息系統(tǒng)安全等級(jí)保護(hù)基木要求信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南電子政務(wù)信息安全等級(jí)保護(hù)實(shí)施指南信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)指南信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求 信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求信息

13、安全技術(shù)操作系統(tǒng)安全技術(shù)要求信息安全技術(shù)數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求信息安全技術(shù)服務(wù)器技術(shù)要求信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級(jí)技術(shù)要求2.3等級(jí)評(píng)測(cè)內(nèi)容2.3.1基本內(nèi)容對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行測(cè)試評(píng)估，應(yīng)包括兩個(gè)方面的內(nèi)容： 一是安全控制測(cè)評(píng)，主要測(cè)評(píng)信息安全等級(jí)保護(hù)要求的基木安全控制在信 息系統(tǒng)中的實(shí)施配置情況；二是系統(tǒng)整體測(cè)評(píng)，主要測(cè)評(píng)分析信息系統(tǒng)的 整體安全性。其中，安全控制測(cè)評(píng)是信息系統(tǒng)整體安全測(cè)評(píng)的基礎(chǔ)。對(duì)安全控制測(cè)評(píng)的描述，使用工作單元方式組織。工作單元分為安全技 術(shù)測(cè)評(píng)和安全管理測(cè)評(píng)兩大類。安全技術(shù)測(cè)評(píng)包括：物理安全、網(wǎng)絡(luò)安 全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)層面

14、上的安全控制測(cè)評(píng)； 安全管理測(cè)評(píng)包括：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng) 建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方而的安全控制測(cè)評(píng)。系統(tǒng)整體測(cè)評(píng)涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu)，也關(guān)系到信息系統(tǒng) 的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實(shí)際情況緊密相 關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個(gè)性。因此，全面地給出系統(tǒng)整體測(cè)評(píng)要求的完 整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方 法是很困難的。測(cè)評(píng)人員應(yīng)根 據(jù)特定信息系統(tǒng)的具體情況，結(jié)合標(biāo)準(zhǔn)要求，確定系統(tǒng)整體測(cè)評(píng)的具體內(nèi) 容，在安全控制測(cè)評(píng)的基礎(chǔ)上，重點(diǎn)考慮安全控制間、層面間以及區(qū)域間 的相互關(guān)聯(lián)關(guān)系，測(cè) 評(píng)安全控制間、層面間和區(qū)域間是否存在安全功能上

15、的增強(qiáng)、補(bǔ)充和削弱作用以及信息系統(tǒng)整體結(jié)構(gòu)安全性、不同信息系統(tǒng)之 間整體安全性等，等級(jí)測(cè)評(píng)基本內(nèi)容如圖2所示。系統(tǒng)整體測(cè)評(píng)信息系統(tǒng)等級(jí)測(cè)評(píng)安全控制測(cè)評(píng)安全技術(shù)測(cè)評(píng)安全管理測(cè)評(píng)安全控制間層面間區(qū)域間選2充殳里箕建管不同信息系統(tǒng)之間整體安全性整體結(jié)構(gòu)安全整體拓?fù)?局部結(jié)構(gòu)圖1等級(jí)測(cè)評(píng)基本內(nèi)容232等級(jí)測(cè)評(píng)工作單元工作單元是安全測(cè)評(píng)的基木工作單位，對(duì)應(yīng)一組相對(duì)獨(dú)立和完整的測(cè)評(píng) 內(nèi)容。工作單元由測(cè)評(píng)項(xiàng)、測(cè)評(píng)對(duì)象、測(cè)評(píng)方式、測(cè)評(píng)實(shí)施和結(jié)果判定組成， 如圖2示。工作單元廠一I測(cè)評(píng)項(xiàng)IS具體技術(shù)和管理要或IJ_丿J丿C' ,、 “ 、測(cè)評(píng)方式 訪談應(yīng)查t試_Ie-Beee-eeeeeeeBee-Be

16、eeIBeeeB-Be測(cè)評(píng)對(duì)象J人員戊檔燦制/沒(méi)備i J測(cè)評(píng)實(shí)施 r. 測(cè)評(píng)方式對(duì)參÷接作 '丿 結(jié)果判定 是否符合測(cè)評(píng)項(xiàng)要求丿i 川I i.1“丿圖2工作單元構(gòu)成測(cè)評(píng)項(xiàng)描述測(cè)評(píng)目的和測(cè)評(píng)內(nèi)容，與信息安全等級(jí)保護(hù)要求的基木安全 控制要求相一致。測(cè)評(píng)方式是指測(cè)評(píng)人員依據(jù)測(cè)評(píng)目的和測(cè)評(píng)內(nèi)容應(yīng)選取的、實(shí)施特定測(cè) 評(píng)操作的方式方法，包插三種基木測(cè)評(píng)方式：訪談、檢查和測(cè)試。測(cè)評(píng)對(duì)象是測(cè)評(píng)實(shí)施過(guò)程中涉及到的信息系統(tǒng)的構(gòu)成成分，是客觀存在 的人員、文檔、機(jī)制或者設(shè)備等。測(cè)評(píng)對(duì)象是根據(jù)該工作單元中的測(cè)評(píng)項(xiàng)要 求提出的，與測(cè)評(píng)項(xiàng)的要求相適應(yīng)。一般來(lái)說(shuō)，實(shí)施測(cè)評(píng)時(shí)，面臨的具體測(cè) 評(píng)對(duì)象可以是單個(gè)

17、人員、文檔、機(jī)制或者設(shè)備等，也可能是由多個(gè)人員、文 檔、機(jī)制或者設(shè)備等構(gòu)成的集合，它們分別需要使用到某個(gè)特定安全控制的不同于行政執(zhí)法意義上的監(jiān)督檢查，而是指測(cè)評(píng)人員通過(guò)對(duì)測(cè)評(píng)對(duì)象進(jìn) 行觀察、查驗(yàn)、分析等活動(dòng)，獲取證據(jù)以證明信息系統(tǒng)安全等級(jí)保護(hù)措施是 否有效的一種方法?？梢允褂酶鞣N檢查表和相應(yīng)的安全調(diào)查工具實(shí)施檢查。三、測(cè)試(test)測(cè)評(píng)人員通過(guò)對(duì)測(cè)評(píng)對(duì)象按照預(yù)定的方法/工具使其產(chǎn)生特定的行為等 活動(dòng)，查看、分析輸出結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全等級(jí)保護(hù)措施 是否有效的一種方法。包括功能測(cè)試和滲透性測(cè)試、系統(tǒng)漏洞掃描等。滲透性測(cè)試：等級(jí)測(cè)評(píng)的一個(gè)重要內(nèi)容是對(duì)測(cè)試目標(biāo)進(jìn)行脆弱性分 析，探知產(chǎn)品

18、或系統(tǒng)安全脆弱性的存在，其主要目的是確定測(cè)試目標(biāo)能夠 抵抗具有不同等級(jí)攻擊潛能的攻擊者發(fā)起的滲透性攻擊。因此，滲透性測(cè) 試就是在測(cè)試目標(biāo)預(yù)期使用環(huán)境下進(jìn)行的測(cè)試，以確定測(cè)試目標(biāo)中潛在的 脆弱性的可利用程度。系統(tǒng)漏洞掃描：要是利用掃描工具對(duì)系統(tǒng)進(jìn)行自動(dòng)檢查，根據(jù)漏洞庫(kù) 的描述對(duì)系統(tǒng)進(jìn)行模擬攻擊測(cè)試，如果系統(tǒng)被成功入侵，說(shuō)明存在漏洞。 主要分為網(wǎng)絡(luò)漏洞掃描和主機(jī)漏洞掃描等方式。2.5等級(jí)測(cè)評(píng)工作流程一、測(cè)評(píng)準(zhǔn)備階段本階段是開(kāi)展現(xiàn)場(chǎng)測(cè)評(píng)工作的前提和基礎(chǔ)，是整個(gè)等級(jí)測(cè)評(píng)過(guò)程有效 性的保證。測(cè)評(píng)準(zhǔn)備工作是否充分直接關(guān)系到現(xiàn)場(chǎng)測(cè)評(píng)工作能 否順利開(kāi) 展。本階段的主要工作是掌握被測(cè)方系統(tǒng)的詳細(xì)情況和為實(shí)施現(xiàn)場(chǎng)

19、測(cè)評(píng)做 好方案、文檔及測(cè)試工具等方面的準(zhǔn)備。二、現(xiàn)場(chǎng)實(shí)施階段木階段是開(kāi)展等級(jí)測(cè)評(píng)工作的關(guān)鍵階段。本階段的主要工作是按照測(cè) 評(píng)方案的總體要求，嚴(yán)格執(zhí)行作業(yè)指導(dǎo)書(shū)，分步實(shí)施所有測(cè)評(píng)項(xiàng)目，包括 單項(xiàng)測(cè)評(píng)和系統(tǒng)整體測(cè)評(píng)兩個(gè)方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足 夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問(wèn)題。三、分析與報(bào)告編制階段該階段是等級(jí)測(cè)評(píng)工作的最后環(huán)節(jié)，是對(duì)被測(cè)方系統(tǒng)整體安全保護(hù)能 力的綜合評(píng)價(jià)過(guò)程。主要工作是根據(jù)現(xiàn)場(chǎng)測(cè)評(píng)結(jié)果和測(cè)評(píng)準(zhǔn)貝0的有關(guān) 要求，通過(guò)單項(xiàng)測(cè)評(píng)結(jié)論判定和系統(tǒng)整體測(cè)評(píng)分析等方法，分析整個(gè)系統(tǒng) 的安全保護(hù)現(xiàn)狀與相應(yīng)等級(jí)的保護(hù)要求之間的差距，編制測(cè)評(píng)報(bào)告。等級(jí)測(cè)評(píng)基本流程如圖3示。等級(jí)側(cè)評(píng)項(xiàng)Ll

20、啟動(dòng)溝通與洽談測(cè)評(píng)準(zhǔn)備階段現(xiàn)場(chǎng)實(shí)施階段信息收集和分析編制測(cè)評(píng)方案工具和文檔準(zhǔn)備方案確認(rèn)和資源協(xié)調(diào)現(xiàn)場(chǎng)測(cè)評(píng)和記錄結(jié)果結(jié)果確認(rèn)和資料歸還分析與報(bào)告編制階段分析測(cè)評(píng)結(jié)果形成等級(jí)評(píng)測(cè)結(jié)論說(shuō)明：圖中底線框中的活動(dòng)不是一個(gè)獨(dú)立的活動(dòng)或稱，它貫穿尊級(jí)測(cè)評(píng)的各個(gè)階段中，需耍戎方配合共同完成等級(jí)測(cè)評(píng)工作圖3等級(jí)測(cè)評(píng)基本流程2.6系統(tǒng)整體測(cè)評(píng)系統(tǒng)整體測(cè)評(píng)涉及到信息系統(tǒng)的整體拓?fù)洹⒕植拷Y(jié)構(gòu)，也關(guān)系到信息系 統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實(shí)際情況緊密 相關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個(gè)性。因此，全面地給出系統(tǒng)整體測(cè)評(píng)要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方 法是很困難的。首先測(cè)評(píng)人員應(yīng)根據(jù)特定信息

21、系統(tǒng)的具體情況，結(jié)合標(biāo)準(zhǔn)要求，確定 系統(tǒng)整體測(cè)評(píng)的具體內(nèi)容。其次在安全控制測(cè)評(píng)的基礎(chǔ)上，重點(diǎn)考慮安全 控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，測(cè)評(píng)安全控制間、層面間和 區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱 作用，最后才能得出測(cè)評(píng) 結(jié)論。2.6.1安全控制間安全測(cè)評(píng)安全控制間的安全測(cè)評(píng)主要考慮同一區(qū)域內(nèi)、同一層而上的不同安全控 制間存在的功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用。安全功能上的增強(qiáng)和補(bǔ)充可 以使兩個(gè)不同強(qiáng)度、不同等級(jí)的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個(gè) 低等級(jí)安全控制在特定環(huán)境中達(dá)到高等級(jí)信息系統(tǒng)的安全要求。安全功能 上的削弱會(huì)使一個(gè)安全控制的引入影響另一個(gè)安全控制的功能發(fā)揮或者給

22、 其帶來(lái)新的脆弱性。例如，某金融機(jī)構(gòu)的核心系統(tǒng)，它的訪問(wèn)路徑未采用 SSL加密設(shè)置，容易導(dǎo)致數(shù)據(jù)被嗅探和非法篡改，但核心系統(tǒng)采用SSL加 速器對(duì)網(wǎng)絡(luò)上數(shù)據(jù)傳輸進(jìn)行加密，可以有效保護(hù)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)陌踩?。?以，在進(jìn)行測(cè)評(píng)綜合判定時(shí)，該測(cè)評(píng)項(xiàng)就可以判為通過(guò)。2.6.2層面間安全測(cè)評(píng)層面間的安全測(cè)評(píng)主要考慮同一區(qū)域內(nèi)的不同層而之間存在的功能增 強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用。安全功能上的增強(qiáng)和補(bǔ)充可以使兩個(gè)不同層面 上的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個(gè)低等級(jí)安全控制在特定環(huán) 境中達(dá)到高等級(jí)信息系統(tǒng)的安全要求。安全功能上的削弱會(huì)使一個(gè)層面上 的安全控制影響另一個(gè)層而安全控制的功能發(fā)揮或者給其帶來(lái)新的脆

23、弱性。 例如，某金融機(jī)構(gòu)，它的網(wǎng)絡(luò)核心設(shè)備對(duì)內(nèi)部的訪問(wèn)控制存在不足，安全風(fēng) 險(xiǎn)主要來(lái)自內(nèi)部人員的誤用、濫用和惡用，但是它的教育、管理和考核制度 都比較完善，對(duì)內(nèi)部員工要求也比較嚴(yán)格，所以在一定程度上降低了這種來(lái) 自內(nèi)部的風(fēng)險(xiǎn)，對(duì)網(wǎng)絡(luò)訪問(wèn)控制進(jìn)行了相應(yīng)的補(bǔ)充和增強(qiáng)。2.6.3區(qū)域間安全測(cè)評(píng)區(qū)域間的安全測(cè)評(píng)主要考慮互連互通（包括物理上和邏輯上的互連互通 等）的不同區(qū)域之間存在的安全功能增強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用，特別是 有數(shù)據(jù)交換的兩個(gè)不同區(qū)域。安全功能上的增強(qiáng)和 補(bǔ)充可以使兩個(gè)不同區(qū) 域上的安全控制發(fā)揮更強(qiáng)的綜合效能，可以使單個(gè)低等級(jí)安全控制在特定 環(huán)境中達(dá)到高等級(jí)信息系統(tǒng)的安全要求。安全功能上

24、的削弱會(huì)使一個(gè)區(qū)域 上的安全功能影響另一個(gè)區(qū)域安全功能的發(fā)揮或者給其帶來(lái)新的脆弱性。 例如，某金融機(jī)構(gòu)的核心數(shù)據(jù)機(jī)房位于中心機(jī)房?jī)?nèi)部，它只有一個(gè)出入口, 該出入口在中心機(jī)房?jī)?nèi)。因此，在中心機(jī)房的出入口上安排24小時(shí)專人值 守等措施，可以解決核心數(shù)據(jù)機(jī)房區(qū)域上的物理訪問(wèn)控制等相應(yīng)措施的安 全功能，使其達(dá)到該區(qū)域物理安全所要求的安全保護(hù)強(qiáng)度。3全面認(rèn)識(shí)和正確實(shí)施信息安全等級(jí)保護(hù)3.1全面認(rèn)識(shí)信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)的各項(xiàng)工作是圍繞對(duì)信息系統(tǒng)的安全等級(jí)保護(hù)開(kāi)展的。全面認(rèn)識(shí)信息安全等級(jí)保護(hù)，需要確立 以下基木觀占八、1）整體看，信息安全等級(jí)保護(hù)是制度；分開(kāi)看，信息安全是目的，等

25、級(jí)保護(hù)是方法；2）對(duì)信息安全劃分等級(jí)是管理的需要；3）信息安全是圍繞信息系統(tǒng)安全開(kāi)展的一系列工作的總稱；4）風(fēng)險(xiǎn)等級(jí)、需求等級(jí)、安全保護(hù)等級(jí)、安全技術(shù)等級(jí)和安全管理等級(jí)是信息系統(tǒng)安全等級(jí)保護(hù)對(duì)等級(jí)劃分的全面反映；5）安全系統(tǒng)等級(jí)與安全技術(shù)等級(jí)和安全管理等級(jí)既相互關(guān)聯(lián)又各有其不同的含義；6）安全管理是信息安全的生命線。整體看，“信息安全等級(jí)保護(hù)”是制度；分開(kāi)看，“信息安全是 目的, 等級(jí)保護(hù)是方法”，這一基本認(rèn)識(shí)明確定位了信息安全等級(jí)保護(hù)的重要位 置以及信息安全與等級(jí)保護(hù)之間的關(guān)系。用分等級(jí)保護(hù)的方法實(shí)現(xiàn)國(guó)家信 息安全的總體目標(biāo)，既是一項(xiàng)制度，也是一種方法。其基本思想是：重點(diǎn)保 護(hù)和適度保護(hù)。進(jìn)

26、一步理解可以包扌舌以下含義：方法是可選的，不是唯一 的；但制度一經(jīng)確定就是不可改變的；等級(jí)的劃分可以是多種多樣的，但作 為要具體執(zhí)行的制度，就應(yīng)有確定的等級(jí)劃分；對(duì)已經(jīng)確定的等級(jí)劃分，如 果沒(méi)有發(fā)現(xiàn)其不可執(zhí)行的缺陷，就不要輕易改變?！皩?duì)信息安全劃分等級(jí)是管理的需要”，這一基木認(rèn)識(shí)表明：分等級(jí)保 護(hù)是從便于管理的角度對(duì)實(shí)現(xiàn)信息安全的考慮。其實(shí)，等級(jí)化管理是人類社 會(huì)普遍采用的管理方法?？v觀人類社會(huì)活動(dòng)的各個(gè)環(huán)節(jié)，無(wú)不存在著按等級(jí) 管理的情況。就信息安全而言，等級(jí)化管理在國(guó)際和國(guó)內(nèi)也是普遍采用的方 法。經(jīng)典的安全標(biāo)準(zhǔn)-TCSEC和最新國(guó)際信息安全技術(shù)標(biāo)準(zhǔn)-CC等無(wú)不以分 等級(jí)的方法對(duì)信息安全技術(shù)的

27、不同要求進(jìn)行描述，盡管他們各自在描述方 法上有所不同（CC沒(méi)有對(duì)安全功能要求進(jìn)行等級(jí)劃分，很大程度上是因?yàn)?各個(gè)國(guó)家沒(méi)有取得共識(shí)）。從我國(guó)當(dāng)前的實(shí)際情況出發(fā)，采用分等級(jí)保護(hù)的 方法實(shí)現(xiàn)信息安全，無(wú)疑是適用于我國(guó)當(dāng)前實(shí)際的一種有效的信息安全管 理方法。“信息安全是圍繞信息系統(tǒng)安全開(kāi)展的一系列工作的總稱”。這一基 本認(rèn)識(shí)表明：信息安全是指信息系統(tǒng)和信息系統(tǒng)中存儲(chǔ)、傳輸和處理的數(shù)據(jù) 信息的安全。一方面“信息安全”是一個(gè)具有較廣泛概念的稱謂，是包括從 中央到地方、從法律到法規(guī)、從管理到技術(shù)、從系統(tǒng)到產(chǎn)品等，涉及國(guó)家有 關(guān)機(jī)構(gòu)和部門(mén)圍繞對(duì)信息的安全保護(hù)所進(jìn)行的所有活動(dòng)；另一方面“，信息 安全”的所有活動(dòng)

28、則完全是圍繞對(duì)信息系統(tǒng)和信息系統(tǒng)中所存儲(chǔ)、傳輸和 處理的數(shù)據(jù)信息進(jìn)行安全保護(hù)應(yīng)采取的安全技術(shù)和安全管理措施這一目標(biāo) 開(kāi)展的，并且具體落實(shí)到各個(gè)單位和部門(mén)的所有信息系統(tǒng)的建設(shè)和運(yùn)行控 制的全過(guò)程?！帮L(fēng)險(xiǎn)等級(jí)、需求等級(jí)、安全保護(hù)等級(jí)、安全技術(shù)和安全管理等級(jí)是信 息系統(tǒng)安全等級(jí)保護(hù)對(duì)等級(jí)劃分的全而反映”這一基木認(rèn)識(shí)表明：圍繞信 息系統(tǒng)的安全等級(jí)保護(hù)，需要對(duì)信息系統(tǒng)的安全風(fēng)險(xiǎn)、安全需求、安全保護(hù)、 安全技術(shù)和安全管理等各個(gè)階段和層面進(jìn)行等級(jí)劃分。信息系統(tǒng)的安全風(fēng) 險(xiǎn)等級(jí)是根據(jù)對(duì)目標(biāo)信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)分析所確定的風(fēng)險(xiǎn)度的表示，66號(hào) 文件所規(guī)定的5個(gè)安全等級(jí)，就是建立在對(duì)國(guó)家各行各業(yè)的信息系統(tǒng)的安 全保護(hù)

29、要求進(jìn)行總體風(fēng)險(xiǎn)分析的基礎(chǔ)上確定的信息系統(tǒng)的安全風(fēng)險(xiǎn)框架， 是各有關(guān)單位確定其所屬信息系統(tǒng)的安全風(fēng)險(xiǎn)等級(jí)的基木依據(jù)；信息系統(tǒng) 安全需求等級(jí)是根據(jù)目標(biāo)信息系統(tǒng)的安全風(fēng)險(xiǎn)等級(jí)確定的；信息系統(tǒng)的安 全保護(hù)等級(jí)是對(duì)信息系統(tǒng)安全保護(hù)的總體要求，是確定目標(biāo)信息系統(tǒng)應(yīng)選 取何種等級(jí)的安全保護(hù)措施（包扌舌安全技術(shù)措施和安全管理措施）的基本 依據(jù)，這些安全措施共同確保信息系統(tǒng)安全達(dá)到其安全性目標(biāo)；安全技術(shù)等 級(jí)和安全管理等級(jí)分別從技術(shù)和管理的角度對(duì)安全保護(hù)措施的安全性進(jìn)行 區(qū)分，為不同安全等級(jí)的信息系統(tǒng)進(jìn)行技術(shù)和管理措施的選擇提供支持?！鞍踩到y(tǒng)等級(jí)與安全技術(shù)等級(jí)和安全管理等級(jí)既相互關(guān)聯(lián)又各有其 不同的含義”。

30、這一基本認(rèn)識(shí)表明：安全技術(shù)等級(jí)和安全管理等級(jí)與系統(tǒng)安 全等級(jí)有著十分密切的關(guān)系但兩者并不是等同的關(guān)系。為了貫徹重點(diǎn)保護(hù) 和適度保護(hù)的原則，信息系統(tǒng)需要?jiǎng)澐值燃?jí)，信息安全技術(shù)和信息安全管理 同樣需要?jiǎng)澐值燃?jí)。然而，信息系統(tǒng)的安全等級(jí)與安全技術(shù)的安全等級(jí)和安 全管理的安全等級(jí)（以下簡(jiǎn)稱“技術(shù)和管理的安全等級(jí)”）是兩個(gè)既有聯(lián)系 又不完全相同的概念。信息系統(tǒng)的安全等級(jí)是根據(jù)信息系統(tǒng)的風(fēng)險(xiǎn)程度（或 者說(shuō)風(fēng)險(xiǎn)等級(jí)）確定的，是與信息系統(tǒng)的重要性（或資產(chǎn)價(jià)值）及其所處 的環(huán)境和條件（或安全威脅）有關(guān)的。而技術(shù)和管理的安全等級(jí)則是按安全 技術(shù)和安全管理要素的安全性強(qiáng)度劃分并與環(huán)境和條件無(wú)關(guān)的。由于信息 系統(tǒng)所處

31、環(huán)境和條件的各不相同，信息系統(tǒng)的安全等級(jí)劃分難以制定出明 確的標(biāo)準(zhǔn)，而技術(shù)和管理的安全等級(jí)完全可以根據(jù)其所實(shí)現(xiàn)的安全功能和 所采取的安全保證措施制定出明確的劃分標(biāo)準(zhǔn)。到目前為止，所制定的一系 列與信息安全等級(jí)保護(hù)相關(guān)的標(biāo)準(zhǔn)，其等級(jí)的劃分都是以安全要素為單位 進(jìn)行劃分的。不同安全要素所實(shí)現(xiàn)的安全功能的安全性強(qiáng)度（也就是安全等 級(jí)），根據(jù)其所采用的安全機(jī)制的不同和安全保證措施的不同而定。至于劃 分為幾個(gè)等級(jí)和每個(gè)安全等級(jí)之間的差異，完全是人為確定的。當(dāng)然，這里 所說(shuō)的人為確定并是由哪一個(gè)隨意確定的，而是由有關(guān)主管部門(mén)組織業(yè)內(nèi) 有關(guān)專家，根據(jù)信息安全等級(jí)保護(hù)的需要，參考國(guó)際和國(guó)外的相關(guān)標(biāo)準(zhǔn)，結(jié) 合我

32、國(guó)安全技術(shù)發(fā)展和信息系統(tǒng)安全等級(jí)劃分的具體情況，認(rèn)真研究確定 的。這就是我們當(dāng)前所制定的一系列安全技術(shù)和安全管理標(biāo)準(zhǔn)等級(jí)劃分的 基礎(chǔ)和依據(jù)。對(duì)一個(gè)具體的信息系統(tǒng)，在選擇采用何種等級(jí)的安全技術(shù)和安 全管理措施時(shí)，需要考慮目標(biāo)信息系統(tǒng)所處的環(huán)境和條件對(duì)安全性要求的 影響，而并非簡(jiǎn)單的按對(duì)應(yīng)等級(jí)進(jìn)行選擇?！鞍踩芾硎切畔踩纳€”。這一基本認(rèn)識(shí)表明：安全管理在信 息安全等級(jí)保護(hù)制度實(shí)施過(guò)程中重要作用。人們通常用'三分技術(shù)，七分管 理”來(lái)形容管理對(duì)技術(shù)的重要性。其實(shí)，用“安全 管理是信息安全的生命 線”來(lái)描述安全管理對(duì)信息安全的重要性可能更為貼切。對(duì)信息安全等級(jí) 保護(hù)的管理分為“宏觀管理”

33、和“微 觀管理”。宏觀管理是指從國(guó)家的政 策法規(guī)到設(shè)置各種管理機(jī)構(gòu)等全局性的管理措施微觀管理是指圍繞信息系 統(tǒng)的安全等級(jí)保護(hù)所實(shí)施的一系具體管理。從宏觀管理看，沒(méi)有政策法規(guī)的 明確要求，信息安全等級(jí)保護(hù)就是依據(jù)空話。從微觀管理看，安全管理貫穿 從確定信息系統(tǒng)安全需求到控制信息系統(tǒng)安全運(yùn)行的信息系統(tǒng)整個(gè)生命周 期的全過(guò)程，是信息安全的每一個(gè)環(huán)節(jié)實(shí)現(xiàn)的前提和保證。沒(méi)有嚴(yán)格的組織 管理，無(wú)法進(jìn)行信息安全的需求分析，從而無(wú)法確定信息安全的等級(jí)需求; 無(wú)法確定信息系統(tǒng)的安全方案；無(wú)法確保信息系統(tǒng)安全工程按確定的安全 目標(biāo)實(shí)現(xiàn)；無(wú)法確保設(shè)計(jì)、實(shí)現(xiàn)的信息安全系統(tǒng)的運(yùn)行達(dá)到所要求的安全目 標(biāo)；無(wú)法應(yīng)對(duì)安全系統(tǒng)

34、運(yùn)行中出現(xiàn)的新情況和新問(wèn)題?？傊谛畔踩?統(tǒng)生周期的每一個(gè)環(huán)節(jié)，沒(méi)有嚴(yán)格的符合要求的管理，安全技術(shù)的作用就會(huì) 打折扣，甚至成為攻擊的弱點(diǎn)和漏洞。技術(shù)是手段，管理是前提和保證目標(biāo) 只有一個(gè)，那就是信息安全。根據(jù)我國(guó)的國(guó)情，管理的重要性還體現(xiàn)在領(lǐng) 導(dǎo)的重要性。實(shí)踐證明，在我國(guó)信息系統(tǒng)建設(shè)階段，單位領(lǐng)導(dǎo)的重視與支持 對(duì)單位的信息系統(tǒng)建設(shè)和發(fā)展的重要性己經(jīng)成為不爭(zhēng)的事實(shí)。同樣，單位領(lǐng) 導(dǎo)，特別是主要領(lǐng)導(dǎo)的重視與支持，對(duì)單位信息安全系統(tǒng)建設(shè)和運(yùn)行具有十 分重要的作用。3.2正確實(shí)施信息安全等級(jí)保護(hù)正確實(shí)施信息安全等級(jí)保護(hù)需要采用以下基本方法：1）風(fēng)險(xiǎn)管理與信息安全等級(jí)保護(hù)相結(jié)合是貫穿信息系統(tǒng)整個(gè)生

35、命周期的有效措施；2）構(gòu)建等級(jí)化的信息安全保障體系是實(shí)施信息安全等級(jí)保護(hù)的正確途徑；3）按區(qū)域分類、分層、分等級(jí)保護(hù)是對(duì)信息系統(tǒng)實(shí)施安全等級(jí)保護(hù)的有效方法；4）安全的一致性原理是等級(jí)化信息系統(tǒng)安全設(shè)計(jì)的重耍思想。在進(jìn)行等級(jí)化的信息系統(tǒng)安全設(shè)計(jì)時(shí)，首先采用風(fēng)險(xiǎn)分析的方法確定安 全風(fēng)險(xiǎn)程度（等級(jí)）和安全需求，然后將這些安全需求轉(zhuǎn)化為相應(yīng)的安全要 求，再根據(jù)這些安全要求，確定對(duì)應(yīng)的安全技術(shù)和安全管理措施。根據(jù)這些 安全技術(shù)和安全管理措施在相關(guān)的安全技術(shù)標(biāo)準(zhǔn)和安全管理標(biāo)準(zhǔn)中的安全 級(jí)，從而最終確定信息系統(tǒng)的安全等級(jí)。由于安全技術(shù)和安全管理標(biāo)準(zhǔn)的等 級(jí)劃分己經(jīng)充分考慮到信息系統(tǒng)安全等級(jí)的劃分，所以從整體

36、上兩者的等 級(jí)應(yīng)該是基木一致的。但這里并不要求完全對(duì)應(yīng)。因?yàn)閺哪举|(zhì)上講，技術(shù)和 管理的安全等級(jí)的劃分是比較單一的，而信息系統(tǒng)安全等級(jí)的劃分是比較 復(fù)雜的，而且與信息系統(tǒng)所在的環(huán)境和條件有關(guān)的?？梢詭椭覀兝斫膺@ 一觀點(diǎn)的一個(gè)例子是，美國(guó)的NIST系列文檔將信息系統(tǒng)的安全等級(jí)劃分為 基本級(jí)、增強(qiáng)級(jí)、強(qiáng)健級(jí)三個(gè)等級(jí)，并通過(guò)選取CC中的相應(yīng)安全組件來(lái)構(gòu) 建所需要的信息安全系統(tǒng)。通過(guò)風(fēng)險(xiǎn)分析確定安全風(fēng)險(xiǎn)等級(jí)，威脅針對(duì)脆弱性和資產(chǎn)所產(chǎn)生的后果 是，在脆弱性和資產(chǎn)確定的情況下，安全風(fēng)險(xiǎn)隨威脅的增加而增加；在威脅 確定的情況下，安全風(fēng)險(xiǎn)隨資產(chǎn)和/或脆弱性的增加而增加；安全需求等級(jí) 由安全風(fēng)險(xiǎn)等級(jí)產(chǎn)生，安全目標(biāo)等級(jí)由安全需求等級(jí)確定，安全目標(biāo)等級(jí)通 過(guò)選擇相應(yīng)安全等級(jí)的安全措施（安全技術(shù)措施和安全管理措施）來(lái)實(shí)現(xiàn); 安全措施通過(guò)對(duì)抗威脅、保護(hù)資產(chǎn)和降低脆弱性來(lái)減少安全風(fēng)險(xiǎn)，使剩余風(fēng) 險(xiǎn)降低到可接受的范圍，從而達(dá)到對(duì)信息系統(tǒng)進(jìn)行安全保護(hù)的目標(biāo)?！皹?gòu)建等級(jí)化的信息安全保障體系是實(shí)施信息安全等級(jí)保護(hù)的正確途 徑”，這一基本方法表明：對(duì)信息系統(tǒng)實(shí)施安全等級(jí)保護(hù)，需要根據(jù)其承載 的各個(gè)業(yè)務(wù)應(yīng)用的不同安全需求確定不同的安全保護(hù)等級(jí)，從而構(gòu)成等級(jí) 化的信息系統(tǒng)安全保障體系。一個(gè)大型復(fù)雜的信息系統(tǒng)，其所承載的業(yè)務(wù)應(yīng) 用會(huì)有各