信息系统安全等级保护基本要求.pptx

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,*,Second level,Third level,Fourth level,Fifth level,*,*,标题,教育部教育管理信息中心信息安全测评部,湖北教育信息化发展中心,*,Second level,Third level,Fourth level,Fifth level,标题,教育部教育管理信息中心信息安全测评部,湖北教育信息化发展中心,*,Second level,Third level,Fourth level,Fifth level,标题,*,*,Second level,Third level,Fourth level,Fifth level,标题,*,Second level,Third level,Fourth level,Fifth level,*,*,标题,教育部教育管理信息中心信息安全测评部,湖北教育信息化发展中心,教育部教育管理信息中心信息安全测评部,湖北教育信息化发展中心,*,Second level,Third level,Fourth level,Fifth level,标题,*,信息系统安全等级保护基本要求湖北教育信息化发展中心,12月,第1页,信息系统安全等级保护基本要求,主要内容,引言,第一部分：标准术语与定义,第二部分：基本要求概述,第三部分：基本要求应用范围,第四部分：基本要求主要内容,第五部分：基本要求分类与组合,第六部分：基本要求级差,第七部分：基本要求详细内容,第2页,基本要求,引言,依据以下相关文件，制订（实施指南）标准：,-,中华人民共和国计算机信息系统安全保护条例,国务院,147,号令,-,国家信息化领导小组关于加强信息安全保障工作意见,中办发,27,号,-,关于信息安全等级保护工作实施意见,公通字,66,号,-,信息安全等级保护管理方法,公通字,43,号,本标准是信息安全等级保护相关系列标准之一；相关系列标准包含：,-,信息安全技术 信息系统安全等级保护定级指南；,（,GB/T22240-,）,-,信息安全技术 信息系统安全等级保护基本要求；,（,GB/T22239-,）,-,信息安全技术 信息系统安全等级保护测评准则；,（送审稿）,在对信息系统实施信息安全等级保护过程中，除使用本标准外，在不一样阶,段，还应参考其它相关信息安全等级保护标准开展工作，本课程将对信息系统安全等级保护,基本要求,重点进行讲述。,第3页,基本要求,第一部分 标准术语与定义,1,、,计算机信息系统可信计算基,trusted computing base of computer information system,：计算机系统内保护装置总体，包含硬件、固件、软件和负责执行安全策略组合体。它建立了一个基本保护环境并提供一个可信计算系统所要求附加用户服务。,2,、,客体,object,：信息载体。,3,、,主体,subject,：引发信息在客体之间流动人、进程或设备等。,4,、,敏感标识,sensitivity label,：表示客体安全级别并描述客体数据敏感性一组信息，可信计算基中把敏感标识作为强制访问控制决议依据。,5,、,安全策略,security policy,：相关管理、保护和公布敏感信息法律、要求和实施细则。,6,、,信道,channel,：系统内信息传输路径。,7隐蔽信道,covert channel,：允许进程以危害系统安全策略方式传输信息通信信道。,8,、,安全保护能力,security protection ability,：系统能够抵抗威胁、发觉安全事件以及在系统遭到损害后能够恢复先前状态等程度。,第4页,基本要求,第一部分 标准术语与定义,1,自主访问控制,计算机信息系统可信计算基定义并控制系统中命名用户对命名客体访问。实施机制（比如：访问控制表）允许命名用户和（或）以用户组身份要求并控制客体共享；阻止非授权用户读取敏感信息。并控制访问权限扩散。,自主访问控制机制依据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制粒度是单个用户访问控制能够为每个命名客体指定命名用户和用户组，并要求他们对客体访问模式。没有存取权用户只允许由授权用户指定对客体访问权。,2,强制访问控制,计算机信息系统可信计算基对外部主体能够直接或间接访问全部资源（比如：主体、存放客体和输入输出资源）实施强制访问控制。为这些主体及客体指定敏感标识，这些标识是等级分类和非等级类别组合，它们是实施强制访问控制依据。计算机信息系统可信计算基支持两种或两种以上成份组成安全级。计算机信息系统可信计算基外部全部主体对客体直接或间接访问应满足：仅当主体安全级中等级分类高于或等于客体安全级中等级分类，且主体安全级中非等级类别包含了客体安全级中全部非等级类别，主体才能读客体；仅当主体安全级中等级分类低于或等于客体安全级中等级分类，且主体安全级中非等级类别包含于客体安全级中非等级类别，主体才能写一个客体。计算机信息系统可信计算基使用身份和判别数据，判别用户身份，确保用户创建计算机信息系统可信计算基外部主体安全级和授权受该用户安全级和授权控制。,第5页,基本要求,第一部分 标准术语与定义,3,标识,计算机信息系统可信计算基维护与可被外部主体直接或间接访问到计算机信息系统资源（比如：主体、存放客体、只读存放器）相关敏感标识。这些标识是实施强制访问基础。为了输入未加安全标识数据，计算机信息系统可信计算基向授权用户要求并接收这些数据安全级别，且可由计算机信息系统可信计算基审计。,4,身份判别,计算机信息系统可信计算基初始执行时，首先要求用户标识自己身份，而且，计算机信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统可信计算基使用这些数据，判别用户身份，并使用保护机制（比如：口令）来判别用户身份；阻止非授权用户访问用户身份判别数据。经过为用户提供唯一标识，计算机信息系统可信计算基能够使用户对自己行为负责。计算机信息系统可信计算基还具备将身份标识与该用户全部可审计行为相关联能力。,5,客体重用,在计算机信息系统可信计算基空闲存放客体空间中，对客体初始指定、分配或再分配一个主体之前，撤消客体所含信息全部授权。当主体取得对一个已被释放客体访问权时，当前主体不能取得原主体活动所产生任何信息。,第6页,基本要求,第一部分 标准术语与定义,6,审计,计算机信息系统可信计算基能创建和维护受保护客体访问审计跟踪统计，并能阻止非授权用户对它访问或破坏。,计算机信息系统可信计算基能统计下述事件：使用身份判别机制；将客体引入用户地址空间（比如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安全管理员实施动作，以及其它与系统安全相关事件。对于每一事件，其审计统计包含：事件日期和时间、用户、事件类型、事件是否成功。对于身份判别事件，审计统计包含请求起源（比如：终端标识符）；对于客体引入用户地址空间事件及客体删除事件，审计统计包含客体名及客体安全级别。另外，计算机信息系统可信计算基含有审计更改可读输出记号能力。,对不能由计算机信息系统可信计算基独立分辨审计事件，审计机制提供审计统计接口，可由授权主体调用。这些审计统计区分于计算机信息系统可信计算基独立分辨审计统计。计算机信息系统可信计算基能够审计利用隐蔽存放信道时可能被使用事件。,计算机信息系统可信计算基包含能够监控可审计安全事件发生与积累机制，当超出阈值时，能够马上向安全管理员发出报警。而且，假如这些与安全相关事件继续发生或积累，系统应以最小代价中止它们。,第7页,基本要求,第一部分 标准术语与定义,7,数据完整性,计算机信息系统可信计算基经过自主和强制完整性策略，阻止非授权用户修改或破坏敏感信息。在网络环境中，使用完整性敏感标识来确信信息在传送中未受损。,8,隐蔽信道分析,系统开发者应彻底搜索隐蔽信道，并依据实际测量或工程估算确定每一个被标识信道最大带宽。,9,可信路径,当连接用户时（如注册、更改主体安全级），计算机信息系统可信计算基提供它与用户之间可信通信路径。可信路径上通信只能由该用户或计算机信息系统可信计算基激活，且在逻辑上与其它路径上通信相隔离，且能正确地加以区分。,第8页,基本要求,第二部分 概述,信息系统安全保护等级,信息系统依据其在国家安全、经济建设、社会生活中主要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其它组织正当权益危害程度等，由低到高划分成五级。五级定义见,GB/T 22240-,。,第9页,基本要求,第二部分 概述,不一样等级安全保护能力,第一级,应能够防护系统免受来自个人、拥有极少资源（如利用公开可获取工具等）威胁源发起恶意攻击、普通自然灾难（灾难发生强度弱、连续时间很短等）以及其它相当危害程度威胁（无意失误、技术故障等）所造成关键资源损害，在系统遭到损害后，能够恢复部分功效。,第二级,应能够防护系统免受来自外部小型组织（如自发三两人组成黑客组织）、拥有少许资源（如个他人员能力、公开可获或特定开发工具等）威胁源发起恶意攻击、普通自然灾难（灾难发生强度普通、连续时间短、覆盖范围小等）以及其它相当危害程度威胁（无意失误、技术故障等）所造成主要资源损害，能够发觉主要安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功效。,第10页,基本要求,第二部分 概述,第三级,应能够在统一安全策略下防护系统免受来自外部有组织团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包含人员能力、计算能力等）威胁源发起恶意攻击、较为严重自然灾难（灾难发生强度较大、连续时间较长、覆盖范围较广等）以及其它相当危害程度威胁（内部人员恶意威胁、无意失误、较严重技术故障等）所造成主要资源损害，能够发觉安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功效。,第四级,应能够在统一安全策略下防护系统免受来自国家级别、敌对组织、拥有丰富资源威胁源发起恶意攻击、严重自然灾难（灾难发生强度大、连续时间长、覆盖范围广等）以及其它相当危害程度威胁（内部人员恶意威胁、无意失误、严重技术故障等）所造成资源损害，能够发觉安全漏洞和安全事件，在系统遭到损害后，能够快速恢复全部功效。,第11页,基本要求,第二部分 概述,等级保护基本思想,第12页,基本要求,第二部分 概述,基本技术要求和基本管理要求,基本安全要求是针对不一样安全保护等级信息系统应该含有基本安全保护能力提出安全要求，依据实现方式不一样，基本安全要求分为,基本技术要求,和,基本管理要求,两大类。,第13页,基本要求,第二部分 概述,等级保护关键要求,第14页,基本要求,第二部分 概述,每一个等级信息系统,基本安全要求,满足,具备,实现,基本要求模型描述,第15页,基本要求,第三部分 应用范围,基本要求,作用,第16页,基本要求,第三部分 应用范围,是系统安全保护、等级测评一个基本“标尺”，一样级别系统使用统一“标尺”来衡量，确保权威性，是一个达标线；,每个级别信息系统按照基本要求进行保护后，信息系统含有对应等级基本安全保护能力，到达一个基本安全状态；,是每个级别信息系统进行安全保护工作一个基本出发点，愈加贴切保护能够经过需求分析对基本要求进行补充，参考其它相关等级保护或安全方面标准来实现。,基本要求,定位,第17页,基本要求,第三部分 应用范围,某等级信息系统,基本保护,准确保护,基本要求,保护,测评,补充安全办法,GB17859-1999,通用技术要求,安全管理要求,高级别基本要求,等级保护其它标准,安全方面相关标准,等等,基本保护,特殊需求,补充办法,基本要求,定位,基本要求,第18页,基本要求,第四部分 主要内容,基本技术要求,技术类安全要求与信息系统提供技术安全机制相关，主要经过在信息系统中布署软硬件并正确配置其安全功效来实现。,基本技术要求,物理安全,网络安全,主机安全,应用安全,数据安全,第19页,基本技术要求主要内容,基本要求,第四部分 主要内容,第20页,基本要求,第四部分 主要内容,基本技术要求三种类型,依据保护侧重点不一样，技术类安全要求深入细分为：,保护数据在存放、传输、处理过程中不被泄漏、破坏和免受未授权修改,信息安全类,要求（简记为,S,）；,保护系统连续正常运行，免受对系统未授权修改、破坏而造成系统不可用,服务确保类,要求（简记为,A,）；,通用安全保护类,要求（简记为,G,）。,第21页,基本要求,第四部分 主要内容,基本管理要求,管理类安全要求与信息系统中各种角色参加活动相关，主要经过控制各种角色活动，从政策、制度、规范、流程以及统计等方面做出要求来实现。,基本管理要求,安全管理制度,安全管理机构,人员安全管理,系统建设管理,系统运维管理,第22页,基本要求,第四部分 主要内容,基本,管理要求,主要内容,第23页,基本要求,第四部分,主要内容,基本要求组织方式,第24页,基本要求,第五部分 选择和使用,信息系统差异和安全保护等级,不一样安全保护等级信息系统，其对业务信息安全性要求和系统服务连续性要求是有差异。,相同安全保护等级信息系统，其对业务信息安全性要求和系统服务连续性要求也是有差异。,信息系统,安全保护等级,由,业务信息安全性等级,和,系统服务确保性等级,较高者,决定。,第25页,基本要求,第五部分 选择和使用,信息系统定级后，不一样安全保护等级信息系统可能形成定级结果组合以下,第一级,第二级,第三级,第四级,第26页,1,、明确信息系统应该含有安全保护能力，依据信息系统安全保护等级选择基本安全要求，包含技术要求和管理要求。,简单方法是依据本标准，一级系统选择第一级基本安全要求，二级系统选择第二级基本安全要求，三级系统选择第三级基本安全要求，四级系统选择第四级基本安全要求，以此作为出发点。,2,、依据信息系统定级结果对基本安全要求进行调整。,依据系统服务确保性等级选择对应等级系统服务确保类（,A,类）基本安全要求；依据业务信息安全性等级选择对应等级业务信息安全类（,S,类）基本安全要求。,3,、针对不一样行业或不一样系统特点，分析可能在一些方面特殊安全保护能力要求，选择较高级别基本安全要求或补充基本安全要求。,对于本标准中提出基本安全要求无法实现或有愈加有效安全办法能够替换，能够对基本安全要求进行调整，调整标准是确保不降低整体安全保护能力。,选择和使用步骤,基本要求,第五部分 选择和使用,第27页,基本要求,第六部分 级差,等级,等级保护,保护级别（,GB17859),实施与管理,一级,自主保护,自主访问,主管部门审批,自定,二级,指导,审计（自主访问）,主管部门审批,公安部门立案,三级,监督检验,标识（强制访问）,主管部门审批,每年一次测评检验,四级,强制监督检验,结构化确保,教授委评审,六个月一次测评检验,五级,专门监督检验,实时监控,教授委评审,专门检验,等级保护与,GB17859,第28页,基本要求,第六部分 级差,从,PDRR,角度分析：,防护,防护,/,监测,策略,/,防护,/,监测,/,恢复,策略,/,防护,/,监测,/,恢复,/,响应,一级系统,二级系统,三级系统,四级系统,等级保护要求：,PDR,标准,第29页,基本要求,第六部分 级差,从,IATF,层面分析,通信,/,边界（基本）,通信,/,边界,/,内部（关键设备）,通信,/,边界,/,内部（主要设备）,通信,/,边界,/,内部,/,基础设施（全部设备）,一级系统,二级系统,三级系统,四级系统,分级保护要求：纵深防护,第30页,基本要求,第六部分 级差,从,PDCA,角度分析,计划和跟踪（主要制度）,计划和跟踪（主要制度）,良好定义（管理活动制度化）,连续改进（管理活动制度化,/,及时改进）,一级系统,二级系统,三级系统,四级系统,分级保护要求：连续改进,第31页,基本要求,第六部分 级差,安全要求类,层面,一级,二级,三级,四级,技术要求,物理安全,7,10,10,10,网络安全,3,6,7,7,主机安全,4,6,7,9,应用安全,4,7,9,11,数据安全及备份恢复,2,3,3,3,管理要求,安全管理制度,2,3,3,3,安全管理机构,4,5,5,5,人员安全管理,4,5,5,5,系统建设管理,9,9,11,11,系统运维管理,9,12,13,13,累计,/,48,66,73,77,级差,/,/,18,7,4,控制点分布,第32页基本要求,第六部分 级差,安全要求类,层面,一级,二级,三级,四级,技术要求,物理安全,9,19,32,33,网络安全,9,18,33,32,主机安全,6,19,32,36,应用安全,7,19,31,36,数据安全及备份恢复,2,4,8,11,管理要求,安全管理制度,3,7,11,14,安全管理机构,4,9,20,20,人员安全管理,7,11,16,18,系统建设管理,20,28,45,48,系统运维管理,18,41,62,70,累计,/,85,175,290,318,级差,/,/,90,115,28,控制项分布,第33页,物理安全类,基本要求,第七部分 详细内容,第34页,基本要求,第七部分 详细内容,技术要求,第一级,第二级,第三级,第四级,物理环境,基本防护,深入防护,增强控制,扩大防护范围,人员控制,对基本出入行为进行控制,对进入后活动也要进行控制,对出入加强了控制，做到人、电子设备共同监控,要求多道电子设备监控,物理环境,进行基本防护,要求愈加细致，加强了各方面防护,深入采取各种控制方法来进行防护,要求采取一定防护设备进行防护,物理安全类,第35页,基本要求,第七部分 详细内容,网络安全类,第36页,网络安全类,技术要求,第一级,第二级,第三级,第四级,网络处理能力,提供基本保障,满足业务极限时要求,确保主要主机优先级,同第三级,访问控制粒度,对用户组数据包头进行基本过滤,对单个用户会话信息进行过滤,应用层过滤，设备接入做一定限制,限制通用协议，依据敏感标识进行过滤，禁止远程拨号访问,边界防护能力,进行基本防护,非法外联；,入侵检测；,非法外联定位、阻断；,入侵检测并报警；,恶意代码防范；,入侵检测、报警并阻断；,与内网异构恶意代码防范；,审计能力,无要求,设备运行,网络流量,对形成统计进行分析、形成报表；,对审计系统进行保护,设计审计系统跟踪极限阀值；,集中审计,身份判别,基本登录判别方法,判别标示唯一，判别信息复杂,两种以上判别技术；,特权用户分离,最少一个判别信息为不可伪造,基本要求,第七部分 详细内容,第37页,基本要求,第七部分 详细内容,主机安全类,第38页,基本要求,第七部分 详细内容,主机安全类,技术要求,第一级,第二级,第三级,第四级,资源控制,无要求,单个用户会话数量和终端登录,监视服务器；,对系统最小服务进行监测和报警,同第三级,访问控制,粗粒度控制策略,不一样系统用户权限分离,最小授权标准,强制访问控制，控制力度为用户、进程、文件、数据库表、统计和字段,安全防护,进行基本防护,非法外联；,入侵检测；,非法外联定位、阻断；,入侵检测并报警；,恶意代码防范；,入侵检测、报警并阻断；,与内网异构恶意代码防范；,审计能力,无要求,审计服务器中用户行为和,系统异常,对形成统计进行分析、形成报表；,对审计系统进行保护；,审计范围扩展到客户端,集中审计,身份判别,简答身份判别方法,判别标示唯一，判别信息复杂,两种以上判别技术,最少一个判别信息为不可伪造；,设置判别警示信息,第39页,基本要求,第七部分 详细内容,应用安全类,第40页,应用安全类,技术要求,第一级,第二级,第三级,第四级,资源控制,无要求,单个用户会话数量和终端登录,时间段内会话数量；,依据优先级分配资源；,对系统最小服务进行监测和报警,同第三级,访问控制,粗粒度控制策略,细化控制力度；,最小授权标准,对主要信息设置敏感标识，并控制对其操作,以标识方式,软件安全,进行基本防护,操作系统及时更新,剩下信息保护；,抗抵赖,安全标识和可信路径,通信安全,确定会话方式单项校验码；,初始化验证；,敏感信息加密；,利用密码技术来判断数据完整性；整个报文或会话过程加密来确保通信保密性,加解密运算要求设备化,审计能力,无要求,用户行为,安全事件,对形成统计进行分析、形成报表；,对审计系统进行保护；,集中审计接口,身份判别,简答身份判别方法,判别标示唯一；判别信息复杂,两种以上判别技术,最少一个判别信息为不可伪造；,基本要求,第七部分 详细内容,第41页,基本要求,第七部分 详细内容,数据安全及备份恢复类,第42页,基本要求,第七部分 详细内容,数据安全及备份恢复类,技术要求,第一级,第二级,第三级,第四级,数据完整性,数据传输过程进行完整性检测,判别信息和主要业务数据在传输过程中都要确保其完整性,系统管理数据传输完整性，不但能够检测出数据受到破坏，并能进行恢复,采取安全、专用通信协议,数据保密性,无要求,能够实现判别信息存放保密性,实现系统管理数据、判别信息和主要业务数据传输和存放保密性,采取安全、专用通信协议,备份和恢复,对主要数据进行备份,提供一定硬件冗余,当地完全数据备份；异地备份和冗余网络拓扑,建立异地适时灾难备份中心，在灾难发生后系统能够自动切换和恢复,第43页,基本要求,第七部分 详细内容,安全管理制度类,第44页,基本要求,第七部分 详细内容,安全管理制度类,技术要求,第一级,第二级,第三级,第四级,管理制度,制订日常惯用管理制度,管理制度要求更高，并总体方针和安全策略，主要操作规程要求,建立信息安全管理制度体系,同第三级,制订和公布,有些人员负责安全管理制度制订，相关人员能够了解管理制度,有专门部门或人员负责安全管理制订制订，而且公布前要组织论证,制度制订格式、公布范围、发式等进行了控制,侧重对有密级安全制度管理,评审和修订,无要求,对安全管理制度评审和修订,安全领导小组负责组织定时和不定时评审和修订,侧重对有密级安全制度修订和制度日常维护,第45页,基本要求,第七部分 详细内容,安全管理机构类,第46页,基本要求,第七部分 详细内容,安全管理机构类,技术要求,第一级,第二级,第三级,第四级,岗位设置,设置基本工作岗位,安全主管，安全管理各个方面责任人等岗位要求,设置信息安全职能部门和上层领导小组,同第三级,人员配置,配置一定数量基本岗位工作人员,安全管理员不可兼任其它岗位,设专职安全员，而且加强对关键事务管理,同第三级,授权和审批,明确授权和审批职责对关键活动进行审批,对审批形式增强要求,增强审批制度、程序、审查、统计等方面要求,同第三级,沟通和合作,加强对外沟通和合作,与机构内部及与其它部门沟通和合作,扩大与外界组织沟通范围,同第三级,审核和检验,无要求,定时进行安全检验和检验基本内容,增强对检验内容、检验制度、责任人、检验流程、检验结果处理等要求,同第三级,第47页,基本要求,第七部分 详细内容,人员安全管理类,第48页,基本要求,第七部分 详细内容,人员安全管理类,技术要求,第一级,第二级,第三级,第四级,人员录用,负责部门或人员对录用人员身份、专业等进行基本审查,对录用人员技能考评，并与关键岗位人员签署保密协议形式约束其职责,从事关键岗位人员愈加严格录用，并与全部员工签署保密协议,同第三级,人员离岗,对离岗人员进行设备偿还和权限中止,规范离岗过程,关键岗位人员离岗,制度化规范,人员考评,无要求,对人员定时进行技能考评。,考评结果处理和对关键岗位考评,保密制度和保密检验,安全意识教育和培训,对人员进行基本安全意识和责任教育。,对安全教育培训正规化管理,侧重于不一样岗位安全教育培训和制度化要求同第三级,外部人员访问管理,对外部人员访问要得到授权和审批。,对外部人员访问监督、立案等过程管理,访问书面申请，访问制度等，愈加严格外部人员访问管理,要求外部人员禁止访问关键区域,第49页,基本要求,第七部分 详细内容,系统建设管理类,第50页,基本要求,第七部分 详细内容,系统建设管理类,技术要求,第一级,第二级,第三级,第四级,定级与方案,确定系统边界和等级，并得到相关部门同意；,形成书面安全方案和详细设计方案,对设计方案论证和同意；,增加对密码产品采购和使用要求,对定级结果论证；系统建设总体规划，安全保障体系，并加强体系论证和修订；采购产品要进行选型测试,对主要产品采购和使用要进行专题测试,软件开发,要求自主软件开发环境；要求外包软件质量和设计文档,增加对自主软件开发制度化要求；,对外包软件开发后进行审查,加强自主软件开发制度化和过程管理,深入加强自主软件开发人员要求；对外包软件进行隐蔽信道检测,工程实施,对工程实施、系统交付过程、文档、培训等进行基本管理；,要求测试验收前、测试过程中以及验收后含有基本文档；,制订实施方案进行实施；,对验收汇报审定。,工程实施、验收和系统交付管理制度化；,工程验收要委托第三方测试,要求工程监理,立案与测评,专门人员或部门负责立案；定级相关材料上报主管部门，并送公安机关立案,同第一级,系统投入运行30日内到对应受理机构办理立案手续；测试时机、测评方资质、测评后结果处理等,同第三级,选择服务商,应选择那些已取得国家相关要求，并签署相关安全协议，必要时签署服务协议,同第一级,同第一级,同第一级,第51页,基本要求,第七部分 详细内容,系统运维管理类,第52页,基本要求,第七部分 详细内容,系统运维管理类,技术要求,第一级,第二级,第三级,第四级,基本管理,基本管理制度；,有资产清单；,设备使用过程规范化,机房出入管理，办公环境保密；资产管理制度化；介质分类标示和销毁处理；带离设备控制,办公环境部门负责制；资产标示和信息分类管理；介质管理制度化；配套设备和设备维护制度化,办公环境与机房管理策略一致；,增强介质销毁处理,密码与变更,无要求密码使用符合国家相关要求；,制订变更方案，并进行过程控制,密码使用制度化；,变更制度化，变革控制整体流程化,对变更控制进行检验,网络和系统,网络日常维护和漏洞扫描；系统访问控制策略、漏洞扫描和补丁管理；对恶意代码防范基本意识教育,网络、系统安全管理制度化；提升对操作和维护要求；对恶意代码防范制度化管理,设备配置、网络连接和定时违规检验；管理系统账户；恶意代码库定时升级，病毒检测与分析等,网络用户授权管理；,禁止部分设备接入；,系统资源冗余,安全事件,管理,用户进行基本安全事件处置教育，并以制度进行要求,安全事件分类分级和统计等处理；,制订应急预案,明确安全事件处置程序，且不一样事件对应不一样处理流程；增加应急预案资源保障、演练和定时审查,对涉密事件安全处置；,应急预案定时修订,备份与恢复,对主要信息、数据备份管理,明确备份和恢复策略,备份和恢复程序、备份介质有效性检验,灾难恢复计划和对保密数据备份,监控和安全中心,无要求,无要求,建立安全管理中心，对各种安全事项集中监控管理，及对监测结果处理,同第三级,第53页,谢谢！,湖北教育信息化发展中心,第54页,