等级保护基础知识.pdfVIP

等级保护基础知识 1. 等级保护分为哪几级？哪些系统属于这 些等级？这些等级都有哪些要求？ 回答： 1-5 级 第一级， 信息系统受到破坏后，会对 公民、法人和其他组织的合法权益造成损 害，但不损害国家安全、社会秩序和公共 利益。 不需要备案，也没人管。 第二级， 信息系统受到破坏后，会对 公民、法人和其他组织的合法权益产生严 重损害，或者对社会秩序和公共利益造成 损害，但不损害国家安全。 需要备案，必 须至少测评一次。典型客户有：地级市委 办局（处级） 、小国企、二甲医院、普通 高校、普教 第三级， 信息系统受到破坏后，会对 社会秩序和公共利益造成严重损害，或者 对国家安全造成损害。 需要备案，至少每 年测评一次，每年都会在安全检查的范围 内。典型单位有： 厅局级以上单位、 金融、 运营商、大国企、三甲医院、部属高校、 1 公共平台、有大量（ 10 万以上）会员信息 的网站等。 第四级， 信息系统受到破坏后，会对 社会秩序和公共利益造成特别严重损害， 或者对国家安全造成严重损害。 特别重要 的才有，省里一般很少，比如人民银行网 站、 12306 等都是四级。 第五级， 信息系统受到破坏后，会对 国家安全造成特别严重损害。 没有制定出 对第五级的要求，所以也没有系统是五级， 这个级别是预留的。 2. 如何确定系统等级？ 系统等级是通过该系统被破坏后造成的 影响决定的，跟系统的安全防护程度、连 不连互联网没关系，是看系统被破坏后， 破坏的是他们本单位的利益还是公共利 益（所以某化妆品网站里存储了大量的会 员信息，这个如果遭到破坏，损失的就是 公共利益）还是国家安全（这个一般很少 见），然后破坏程度是一般、严重还是非 常严重。当然具体等级的时候，可以根据 2 上级主管部门的要求和行业属性进行参 考。 3. 等级保护有哪些相关标准，作用是什么？ 国务院 147 号令：首先提出分等级对信息 系统进行保护的概念，提出了既不要不保 护，也不要过保护，而是要分等级保护。 GB17859，国家针对等级保护的一个强制 标准，对等级保护的关键技术提出要求。 《基本要求》针对等级保护技术和管理共 10 个方面要满足的内容做出具体的要求。 《实施指南》规定了等级保护项目实施的 流程。 《定级指南》规定了一个系统应该如何完 成定级。 《测评准则》规定了测评中心进行测评的 时候应该如何操作。 网络安全法草案规定了国家实行等级保 护制度是法律要求。 第十七条国家实行网络安全等级保护制 度。网络运营者应当按照网络安全等级保 护制度的要求，履行下列安全保护义务， 3 保障网络免受干扰、破坏或者未经授权的 访问，防止网络数据泄露或者被窃取、篡 改： (一 )制定内部安全管理制度和操作规程， 确定网络安全负责人，落实网络安全保护 责任； (二 )采取防范计算机病毒和网络攻击、网 络入侵等危害网络安全行为的技术措施； (三 )采取记录、 跟踪网络运行状态， 监测、 记录网络安全事件的技术措施，并按照规 定留存网络日志