【信息化-精编】电子政务信息安全等级保护实施综合指南.pdf

电子政务信息安全等

级保护实施综合指南

电子政务信息安全等级保护

实施指南（试行）

国务院信息化工作办公室

2005年9月

目录

1引言1

1.1编写目的1

1.2适用范围1

1.3文档结构1

2基本原理2

2.1基本概念2

2.1.1电子政务等级保护的基本含义2

2.1.2电子政务安全等级的层级划分4

2.1.3电子政务等级保护的基本安全要求5

2.2基本方法6

2.2.1等级保护的要素及其关系6

2.2.2电子政务等级保护实现方法8

2.3实施过程8

2.4角色及职责11

2.5系统间互联互通的等级保护要求12

3定级13

3.1定级过程13

3.2系统识别与描述14

3.2.1系统整体识别与描述14

3.2.2划分子系统的方法14

3.2.3子系统识别与描述16

3.3等级确定16

3.3.1电子政务安全属性描述16

3.3.2定级原则17

3.3.3定级方法20

3.3.4复杂系统定级方法22

4安全规划与设计24

4.1系统分域保护框架建立24

4.1.1安全域划分24

4.1.2保护对象分类25

4.1.3系统分域保护框架27

4.2选择和调整安全措施28

4.3安全规划与方案设计30

4.3.1安全需求分析31

4.3.2安全项目规划31

4.3.3安全工作规划31

4.3.4安全方案设计32

5实施、等级评估与运行32

5.1安全措施的实施32

5.2等级评估与验收32

5.3运行监控与改进33

附录A术语与定义33

附录B大型复杂电子政务系统等级保护实施过程示例35

B.1大型复杂电子政务系统描述35

B.2等级保护实施过程描述35

B.3系统划分与定级37

B.3.1系统识别和子系统划分37

B.3.2系统安全等级确定38

B.3.3系统分域保护框架38

B.4安全规划与设计42

B.4.1安全措施的选择与调整43

B.4.2等级化风险评估43

B.4.3等级化安全体系设计43

B.4.4安全规划与方案设计44

B.5安全措施的实施45

图表目录

图2-1电子政务等级保护的实现方法8

图2-2电子政务等级保护的基本流程8

图2-3等级保护过程与新建和已建系统生命周期对应关系11

图3-1定级工作流程13

图4-1安全规划与设计过程24

图4-2电子政务的保护对象及信息资产26

图4-3系统分域保护框架示意图28

图4-4确定安全措施的过程28

图4-5系统安全需求31

图5-1安全措施的实施32

图5-2等级保护的运行改进过程33

表2-1电子政务系统五个安全等级的基本内容4

表3-1电子政务安全等级在安全属性方面的描述19

表4-1安全措施的调整因素和调整方式29

电子政务信息安全等级保护实施指南（试行）

1引言

1.1编写目的

《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号，以下简称

“27号文件”）明确要求我国信息安全保障工作实行等级保护制度,提出“抓紧建立信息安

全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2004年9月发布的《关

于信息安全等级保护工作的实施意见》（公通字[2004]66号，以下简称“66号文件”）进一

步强调了开展信息安全等级保护工作的重要意义，规定了实施信息安全等级保护制度的原

则、内容、职责分工、基本要求和实施计划，部署了实施信息安全等级保护工作的操作办法。

27号文件和66号文件不但为各行业开展信息安全等级保护工作指明了方向，同时也为各行

业如何根据自身特点做好信息安全等级保护工作提出了更高的要求。电子政务作为国家信息

化战略的重要组成部分，其安全保障事关国家安全和社会稳定，必须按照27号文件要求，

全面实施信息安全等级保护。因此，组织编制《电子政务信息安全等级保护实施指南》，规

范电子政务信息安全等级保护工作的基本思路和实施方法，指导我国电子政务建设中的信息

安全保障工作，对搞好电子政务信息安全保障具有十分重要的现实意义。

1.2适用范围

本指南提供了电子政务信息安全等级保护的基本概念、方法和过程，适用于指导各级党政机

关新建电子政务系统和已建电子政务系统的等级保护工作。

1.3文档结构

本指南包括五个章节和两个附录。

第1