信息安全等级保护定级指导

《网络安全法》第三章用了近三分之一的篇幅讲述了网络运行安全，着重强调要保障重要数据基础建设的运行安全。重视在网络安全等级保护制度的基础上，对重要数据基础建设实行重点保护，明确重要数据基础建设的运营者负有更多的安全保护义务，并配以国家安全审查、重要数据强制本地存储等法律措施，确保重要数据基础建设的运行安全。可见，开展等级保护工作是企业义不容辞的网络安全义务，所以我们务必要更重视等级保护工作，务必更重视网络安全，合法合规地及时开展好网络安全工作。

　　网络信息安全等级保护是决定在网络安全领域实施的基本国策，网络安全等级保护制度是国家网络安全工作的基本制度。依据国家网络安全等级保护制度规定，按照有关管理规范和技术标准，对非涉密的信息系统安全等级保护状态进行评估。但等级保护工作不是一件事，而是有五件事组成的一个完整工作流程。根据信息系统等级保护相关标准，等级保护工作流程总共分五个阶段，分别为以下五个阶段：

　　阶段：系统定级——按照《信息安全等级保护管理办法》和《网络安全等级保护定级指南》，初步确定定级对象的安全保护等级，完成在公安机关的定级备案。

　　第二阶段：安全规划与建设——备案时应当提交《网络安全等级保护备案表》和定级报告，专家评审意见、系统拓扑说明、安全管理制度、安全建设方案等。

　　第三阶段：安全建设与实现——依据《网络安全等级保护基本要求》，利用自有或第三方的安全产品和专家服务，对信息系统进行安全建设和整改，同时制定相应的安全管理制度

　　第四阶段：等级备案与检测——运营使用单位应当选择合适的测评机构，依据网络安全等级保护测评要求，对信息系统安全等级状况开展等级测评。

　　第五阶段：等级保护运营与管理——公安机关及其他监管部门依据信息安全等级保护管理规范及《网络安全法》相关条款，监督检查运营使用单位开展等级保护工作，定期对信息系统进行安全检查。

信息数据安全

　　信息安全等级保护制度是国家信息安全保障的基本制度，而定级是等级保护工作的首要环节和关键环节，定级不准，系统备案、建设、整改、等级测评等后续工作都会失去意义，信息系统安全就没有保证。信安IT技术专家为了帮助信息系统运营使用单位准确确定信息系统安全保护等级，提供了下列对五级的定级系统等级的参考：

　　级信息系统：(无需备案，对测评周期无要求)一般适用于小型私营、个体企业、中小学，乡镇所属信息系统、县级单位中一般的信息统。

　　第二级信息系统：(公安部门备案，建议两年测评一次)一般适用于县级其些单位中的重要信息系统;地市级以上国家机关、企事业单位内部一般的信息系统。例如非涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统等。

　　第三级信息系统：(公安部门备案，要求每年测评一次)一般适用于地市级以上国家机关、企业、事业单位内部重要的信息系统，例如涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统;跨省或全国联网运行的用于生产、调度、管理、指挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的分支系统;中央各部委、省(区、市)门户网站和重要网站;跨省连接的网络系统等。

　　第四级信息系统：(公安部门备案，要求半年一次)一般适用于国家重要领域、重要部门中的特别重要系统以及核心系统。例如电力、电信、广电、铁路、民航、银行、税务等重要、部门的生产、调度、指挥等涉及国家安全、国计民生的核心系统。

　　第五级信息系统：(公安部门备案，依据特殊安全需求进行)一般适用于国家重要领域、重要部门中的极端重要系统。

　　以上是信息安全等级保护的全流程和确定系统等级的参考，而不只是测评工作，测评的目的是开展测评以后续的安全整改，发现问题并持续地解决问题。等级测评的流程：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。如下是等级保护评测流程图：
等保测评工作流程图

　　等級评测是评测组织根据国家网络安全等级保护机制要求，受相关企业受托，依照相关管理制度和标准规范，应用地理学的方式和方式，对解决特殊运用的信息管理系统，选用安全生产技术评测和安全工作评测方法，对维护情况开展检验评测。

　　等级保护评测是履行网络安全义务并完善我们的信息安全建设工作，保障系统正常服务以及数据的安全。所以做等级保护评测必须要找符合规定要求的等级保护测评机构。而等保通是国家高新技术认定，通过中国国家信息安全安全质量认证，专业的服务赢得众多客户的认可，下面等保通简单讲述一下开展等保评测的手段和方法：

　　工具测试(利用漏洞扫描等技术工具，从网络的不同接入点对网络内的主机、服务器、数据库、网络设备、安全设备等进行脆弱性检查和分析)

　　配置检查(通过登录系统控制台的方式，人工核查和分析主机、服务器、数据库、网络设备、安全设备、应用系统的安全配置情况)

　　人员访谈(通过交流、讨论的方式，对技术和管理方面进行脆弱性检查和分析)

　　实地查看(通过现场人员行为、技术设施和物理环境状况，检查人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况)

　　文档查看(通过文档审核与分析、检查制度、策略、操作规程、制度执行情况记录的完整性和内部一致性)

　　综上所述，是进行信息安全等级保护的整个流程，办理信息安全等级保护有利于提高安全保护的科学性、整体性、针对性，推动信息安全产业水平，逐步探索一条适应社会主义市场经济发展的信息安全发展模式。通过等级保护工作可以发现企业单位信息系统存在的安全隐患和不足，进行安全整改之后，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险，落实网络安全保护义务，合理规避风险。

等保通一家专业做等级保护的机构 ：https://www.*** 电话：400-133-0633