关于银行信息安全等级保护建设的几点思考
近年来，随着我行信息化建设的不断推进和深入，上线的系统越来越多，**行业务对信息科技的依赖显著增强，目前已经无法想象如果没有信息系统的支持，**行的业务如何运行。随之而来带给信息科技部门的问题是如何建设一套高效、安全的信息系统支持和引领业务的发展，同时如何通过加强信息安全的建设保证信息系统的安全平稳运行。在**行信息化建设从信息技术向信息科技转变的时刻，以国家和相关主管部门对信息安全等级保护建设的要求和规范为主要依据，思考如何通过落实信息安全等级保护管理制度，按阶段、分级别提高我行信息安全保障能力和水平，促进信息化建设的健康发展。
一、什么是信息安全等级保护
要落实信息安全等级保护管理制度，首先要了解信息安全等级保护是什么及其推进历程，国家相关主管部门对信息安全等级保护的相关要求。
（一）信息安全等级保护的概念。
从概念上讲信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
（二）实施信息安全等级保护的作用。实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理；有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。
（三）信息安全等级保护的推进历程和要求。
1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。2003年，中共中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发„2003‟27号），其明确指出“实行信息安全等级保护”。“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2004年9月，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合下发了《关于信息安全等级保护工作的实施意见》，对信息安全等级保护的基本制度框架进行了规划，明确了信息安全等级保护的重要意义、原则、基本内容、职责分工、实施计划。2006年1月，四部委又下发了《信息安全等级保护管理办法（试行）》，开始具体搭建信息安全等级保护制度，该办法试行一年后于2007年6月正式发布实施，与之配套的相关国家技术标准也在逐步建立和完善。从2007年下半年开始，公安部开始组织全国各行业、各单位开展了信息系统的定级和备案工作，并推进系统的等级测评和整改。
（四）国家对于信息安全等级保护工作的定位。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。从国家层面而言，信息安全等级保护是国家信息安全保障的基本制度、基本策略和基本方法，是维护国家信息安全的根本保障。通过开展信息安全等级保护工作，可以有效地解决我国信息安全面临的主要问题，按照“明确重点、突出重点、保护重点”的原则，将有限的财力、物力、投入到重要信息系统的安全保护中去。通过实施信息安全等级保护制度，使信息系统运营使用单位和主管部门都能按照标准进行安全建设、整改、管理和运行，防止出现过保护和欠保护的情况。
（五）信息安全等级保护的分级。顾名思义，信息安全等级保护工作就是要将信息系统分成不同的级别进行保护，按照《计算机信息系统安全保护等级划分准则》gb17859-1999，将信息系统的安全等级划分为5级，分别为自主保护级、指导保护级、监督保护级、强制保护级、专控保护级，对应的级别分别为第一到第五级。对应与每一个等级，国家出台了相关的技术规范对管理和技术要达到的基本要求进行了规定。我行的行业主管部门人民银行结合金融业信息化和信息安全建设的实际情况，同时增加了金融业信息系统的增强安全保护要求。
二、我行信息安全等级保护工作开展的现状
我行通过建行十七年以来的努力，信息化建设取得了很大的成就，实现了业务生产系统的全国大集中，完成了综合报表平台、数据交换平台、综合办公平台的建设，上线了cm2006信贷管理系统、统计数据集中管理系统、人力资源管理系统等一大批管理信息系统，正在开发国际业务系统、电子影像平台等信息系统，为全行的业务经营和管理提供服务。基础建设方面完成了总行数据中心、同城灾备中心、珠海it基地的建设工作，建成了“两地三中心”的容灾系统，稳步推进全系统各级机房的达标建设，为各信息系统的稳定运行提供基础支撑。
为保障信息系统的稳定运行，信息安全的建设是必不可少的。近年来，通过部署防火墙、建设全行统一的企业防病毒系统、建立入侵检测系统等技术手段，以及各项管理制度的落实，信息安全建设也取得了一定的成效。按照公安部、人民银行和银监会等部委的相关要求，我行也开展了信息安全等级保护的相关工作，完成了13个信息系统定级和备案工作，结合信息安全等级保护相关标准规范的要求，正在逐步开展系统的整改和达标工作。
在取得上述成绩的同时，我们应该清醒地看到我行信息安全建设仍然存在着各种不足，与同业金融机构相比仍存在比较大的差距。具体表现在：
（一）信息安全管理和技术体系建设尚不完善。信息安全建设的管理体系和技术体系的建设对比有关国家标准和主管部门的要求上存在不足之处，没有建立起我行信息安全建设的相关标准，信息安全的建设停留在“补漏”的层面，针对不同信息系统的信息安全要求尚不明确，哪些信息安全措施该上没有统一的要求，容易出现某些层面“过保护或欠保护”的情况，主动安全的建设需要进一步加强
（二）信息安全应急建设需要进一步加强。
经过近几年的应急体系建设，我行的应急建设取得了不小的成就，各级行从不敢演练到敢演练，从被动演练到主动演练。但是从检查各行和各行反映上来的情况看，应急预案的建设尚需进一步加强，相关的步骤需进一步细化，落实《中国农业发展银行计算机信息系统突发事件应急管理办法》的措施和力度需要进一步的加强。
（三）信息化建设项目建设过程中的信息安全控制亟待增强。
目前，我行信息安全建设中基础设施已经达到一定的水平和规模，应用系统的开发经过近几年的完善，相关的管理制度正在逐步完善，但信息安全等级保护中提出的信息系统建设包括立项、方案设计、开发实施、验收移交等过程中的安全控制措施尚没有得到有效的落实。
三、对我行信息安全等级保护建设的几点思考
信息安全等级保护工作目前是国家推行的对于信息安全建设的抓手，以信息安全等级保护的建设促进信息安全整体保护水平的提高。如何以信息安全等级保护工作的有效开展提升我行的信息安全水平进行一些思考。
（一）加强对信息安全等级保护工作的认识。
加强对信息安全等级保护工作的认识包括两个层面的内容，一个是要促进全行认识信息安全等级保护工作对于信息安全建设的重要作用，信息安全等级保护是将我们需要保护的对象进行分级，按照其重要性采取针对的信息安全措施，信息安全等级保护为我们开展信息安全建设指明了方向和需要完成的规定动作；另一个是加强对信息安全等级保护工作自身的认识，信息科技人员要了解信息安全等级保护工作定级、建设、测评、持续改进等环节的认识，掌握其工作方法和步骤，更好地开展工作。可以通过举办讲座、发放宣传光盘、制作宣传板、培训等方式开展此项工作。
（二）明确信息安全等级保护工作开展的原则。
信息安全等级保护需遵循重点保护、分区域保护、同步建设、动态调整的原则。重点保护就是要突出重点，集中资源优先建设和保护关系我行业务生产经营，直接面对客户服务的信息系统；分区域保护原则就是要根据各级行、各信息系统的重要程度、业务特点，分类、分级、分阶段进行实施，通过划分不同的安全区域，实现不同强度的安全保护；同步建设原则在新建、改建、扩建时应当同步建设信息安全设施，保证信息安全与信息化建设相适应；动态调整原则信息与信息系统的安全保护等级需要根据变化情况适时重新确定，并相应调整对应的保护措施。
解决信息安全问题，要从管理和技术两个层面入手，强调等级保护制度，坚持管理与技术并重，建立健全安全管理组织体系，明确安全管理责任制，制定安全保障方案，实施安全宣传、安全监管和安全服务。正确处理安全与发展的关系，以安全促发展，在发展中求安全，统筹规划，突出重点，强化基础性工作。充分体现“适度安全，促进应用，综合防范”的要求，充分考虑到现有的安全保护基础，合理利用现有的安全设备，做到适度保护，而不是过度保护，这样既可以满足安全设备，做到适度保护，而不是过度保护，这样既可以满足安全的需求也可以节省投入。要充分认识到安全只是应用的保障，安全是为应用服务的，并不是安全措施越多越好，不能为了安全而安全，应该根据系统的安全等级采用适度安全措施。在综合考虑系统的风险、需求与保护的前提下，增加必要的技术手段，通过安全等级和安全域的划分，对不同等级信息系统和安全域的安全保护采取管理与技术相结合的手段，实现适度的安全保障，提高信息系统的整体防御能力。通过综合防范，构建有效的安全体系，使得信息系统既安全又好用。
（三）掌握信息安全等级保护工作的实施过程。信息安全等级保护的建设过程是一个系统工程，主要分三个阶段：一是系统定级阶段，定级是等级保护工作的首要环节，是后续工作的重要基础，要清晰地了解我行所拥有的业务信息系统，根据需要将复杂业务系统分解为业务子系统，描述系统和子系统的组成及边界。二是规划与设计阶段，根据定级阶段确定的安全等级和系统的特殊要求来确定安全需求，通过对业务信息系统进行安全域划分、保护对象分类，建立信息系统的分域保护框架，进行安全体系和安全技术体系两方面的安全方案设计，包括系统分域保护框架建立、选择和调整所选等级的基本安全要求、安全规划和方案设计，制定安全技术解决方案和安全管理解决方案。三是实施、等级评估与改进阶段，主要是对等级保护的具体实施，根据规划和设计阶段制定的安全方案选择合适的安全产品进行安全建设。实施完成后，按照等级保护的标准，由专门机构来评估系统是否满足相应的等级保护要求，并对等级保护建设的最终结果进行验收。在实施等级保护的各种安全措施之后的运行期间，监控系统的变化和系统安全风险的变化，评估系统的安全状况。如果经评估发现系统及其风险环境已发生重大变化，新的安全保护要求与原有的安全等级已不相适应，则应进行系统重新定级，并根据新的安全等级调整和改进相应的安全措施。通过引入信息安全等级保护综合管理系统等自动化的工具实现对信息安全等级保护工作各项措施的分析和统计。
第二篇：信息安全等级保护信息安全等级保护（二级）信息安全等级保护（二级）备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。
一、物理安全
1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）
2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录
3、应配置电子门禁系统（三级明确要求）；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录
4、主要设备或设备的主要部件上应设置明显的不易除去的标记
5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放
6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；
7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录
8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；
9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告
10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品
11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录
12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录
13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录
14、应具有短期备用电力供应设备（如ups）；短期备用电力供应设备的运行记录、定期检查和维护记录
15、应具有冗余或并行的电力电缆线路（如双路供电方式）
2
16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录
二、安全管理制度
1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程
2、应具有安全管理制度的制定程序：
3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）
4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录
5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）—-安全管理制度应注明发布范围，并对收发文进行登记。
6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）
7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）
三、安全管理机构
1、应设立信息安全管理工作的职能部门
2、应设立安全主管、安全管理各个方面的负责人
3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）
4、安全管理员应是专职人员
5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。
6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）
7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：
8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）
9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：
10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）
11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）
12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。
13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）
14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）
15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）
四、人员安全管理
1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）
2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录
3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）
4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。
5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）
6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）
7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）
8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。
9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。
10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。
6
11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）
12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）
13、应具有外部人员访问重要区域的书面申请
14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）
五、系统建设管理
1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）
2、应具有系统建设/整改方案
3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责
4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）
5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）
6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订
7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本
8、应按照国家的相关规定进行采购和使用系统信息安全产品
9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品
10、应具有专门的部门负责产品的采购
11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单
12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）
13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册
14、对程序资源库的修改、更新、发布应进行授权和批准
8
15、应具有程序资源库的修改、更新、发布文档或记录
16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测
17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品
18、应具有软件设计的相关文档和使用指南
19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档
20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制
21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案
22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）
23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）
24、应具有测试验收报告
9
25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）
26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）
27、应具有系统交付时的技术培训记录
28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。
29、应指定部门负责系统交付工作
30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容
31、选定的安全服务商应提供一定的技术培训和服务
32、应与安全服务商签订的服务合同或安全责任合同书
11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单
12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）
10
13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册
14、对程序资源库的修改、更新、发布应进行授权和批准
15、应具有程序资源库的修改、更新、发布文档或记录
16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测
17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品
18、应具有软件设计的相关文档和使用指南
19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档
20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制
21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案
22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）
11
23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）
24、应具有测试验收报告
25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）
26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）
27、应具有系统交付时的技术培训记录
28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。
29、应指定部门负责系统交付工作
30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容
31、选定的安全服务商应提供一定的技术培训和服务
32、应与安全服务商签订的服务合同或安全责任合同书
六、系统运维管理
1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。
2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录
3、应指定部门和人员负责机房安全管理工作
4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）
5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）
6、应指定资产管理的责任部门或人员
7、应依据资产的重要程度对资产进行标识
8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））
9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）
10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制
13
11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）
12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）
13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）
14、介质上应具有分类的标识或标签
15、应对各类设施、设备指定专人或专门部门进行定期维护。
16、应具有设备操作手册
17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）
18、应监控主机、网络设备和应用系统的运行状况等
19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警
20、应具有日常运维的监控日志记录和运维交接日志记录
14
21、应定期对监控记录进行分析、评审
22、应具有异常现象的现场处理记录和事后相关的分析报告
23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理
24、应指定专人负责维护网络安全管理工作
25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）
26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。
27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）
28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。
29、对便携式和移动式设备的网络接入应进行限制管理
30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。
31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。
15
32、应有补丁测试记录和系统补丁安装操作记录
33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）
34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）
35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）
36、应指定专人对恶意代码进行检测，并保存记录。
37、应具有对网络和主机进行恶意代码检测的记录
38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理
39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告40、应具有变更方案评审记录和变更过程记录文档。
41、重要系统的变更申请书，应具有主管领导的批准
42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）
16
43、应定期执行恢复程序，检查和测试备份介质的有效性
44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档
45、应对安全事件记录分析文档
46、应具有不同事件的应急预案
47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。
48、应对系统相关人员进行应急预案培训（应急预案培训记录）
49、应定期对应急预案进行演练（应急预案演练记录）50、应对应急预案定期进行审查并更新
51、应具有更新的应急预案记录、应急预案审查记录。
第三篇：信息安全等级保护测评topsec可信等级体系天融信等级保护方案
hacker.cn更新时间：08-03-2709：37来源：硅谷动力作者：中安网
1.等级保护概述
1.1为什么要实行等级保护。
信息系统与社会组织体系是具有对应关系的，而这些组织体系是分层次和级别的，因此各种信息系统是具有不同等级的重要性和社会、经济价值的。对信息系统的基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统的重要程度进行区别对待就是级别的客观要求。信息安全必须符合这些客观要求，这就需要对信息系统进行分级、分区域、分阶段进行保护，这是做好国家信息安全的必要条件。
1.2等级保护的政策文件
信息安全等级保护工作非常重要，为此从2003年开始国家发布了一系列政策文件，具体如下：
2003年9月，中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号），这是我国第一个信息安全保障工作的纲领性文件，战略目标为经过五年努力，基本形成国家信息安全保障体系，实行等级保护制度。
2004年11月，四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）：等级保护是今后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原则、基本内容、工作职责分工、工作要求和实施计划。2005年9月，国信办文件，《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）：基本原理、定级方法、安全规划与设计、实施与运营、大型复杂电子政务系统等级保护过程。
2005年，公安部标准。《等级保护安全要求》、《等级保护定级指南》、《等级保护实施指南》、《等级保护测评准则》。
2006年1月，四部委会签《关于印发《信息安全等级保护管理办法的通知》（公通字[2006]7号）。
1.3等级保护的管理结构－北京为例
等级保护的实施和落实离不开各级管理机构的指导和监督，这在等级保护的相关文件中已经得到了规定，下面以北京市为例来说明管理机构的组成和职责，具体如下图所示：
此处内容需要权限查看
会员免费查看28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。
29、对便携式和移动式设备的网络接入应进行限制管理
30、应具有内部网络外联的授权