1 范圍

      本標(biāo)準(zhǔn)規(guī)定了等級(jí)保護(hù)對(duì)象實(shí)施網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的過(guò)程。

      本標(biāo)準(zhǔn)適用于指導(dǎo)網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的實(shí)施。

2 規(guī)范性引用文件

      下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計(jì)算機(jī)信息系統(tǒng) 安全保護(hù)等級(jí)劃分準(zhǔn)則

      GB/T 22239 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

      GB/T 22240 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南

      GB/T 25069 信息安全技術(shù) 術(shù)語(yǔ)

      GB/T 28448 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求

3 術(shù)語(yǔ)和定義

      GB 17859、GB/T 22239、GB/T 25069和GB/T 28448界定的術(shù)語(yǔ)和定義適用于本文件。

4 等級(jí)保護(hù)實(shí)施概述

4.1 基本原則

      安全等級(jí)保護(hù)的核心是將等級(jí)保護(hù)對(duì)象劃分等級(jí)，按標(biāo)準(zhǔn)進(jìn)行建設(shè)、管理和監(jiān)督。安全等級(jí)保護(hù)實(shí)施過(guò)程中應(yīng)遵循以下基本原則：

      a）自主保護(hù)原則

      等級(jí)保護(hù)對(duì)象運(yùn)營(yíng)、使用單位及其主管部門按照國(guó)家相關(guān)法規(guī)和標(biāo)準(zhǔn)，自主確定等級(jí)保護(hù)對(duì)象的安全保護(hù)等級(jí)，自行組織實(shí)施安全保護(hù)。

      b）重點(diǎn)保護(hù)原則

      根據(jù)等級(jí)保護(hù)對(duì)象的重要程度、業(yè)務(wù)特點(diǎn)，通過(guò)劃分不同安全保護(hù)等級(jí)的等級(jí)保護(hù)對(duì)象，實(shí)現(xiàn)不同強(qiáng)度的安全保護(hù)，集中資源優(yōu)先保護(hù)涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的等級(jí)保護(hù)對(duì)象。

      c）同步建設(shè)原則

      等級(jí)保護(hù)對(duì)象在新建、改建、擴(kuò)建時(shí)應(yīng)同步規(guī)劃和設(shè)計(jì)安全方案，投入一定比例的資金建設(shè)網(wǎng)絡(luò)安全設(shè)施，保障網(wǎng)絡(luò)安全與信息化建設(shè)相適應(yīng)。

      d）動(dòng)態(tài)調(diào)整原則

      應(yīng)跟蹤定級(jí)對(duì)象的變化情況，調(diào)整安全保護(hù)措施。由于定級(jí)對(duì)象的應(yīng)用類型、范圍等條件的變化及

其他原因，安全保護(hù)等級(jí)需要變更的，應(yīng)根據(jù)等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，重新確定定級(jí)對(duì)象的安全保護(hù)等級(jí)，根據(jù)其安全保護(hù)等級(jí)的調(diào)整情況，重新實(shí)施安全保護(hù)。

4.2 角色和職責(zé)

      等級(jí)保護(hù)對(duì)象實(shí)施網(wǎng)絡(luò)安全等級(jí)保護(hù)過(guò)程中涉及的各類角色和職責(zé)如下：

      a）等級(jí)保護(hù)管理部門

      等級(jí)保護(hù)管理部門依照等級(jí)保護(hù)相關(guān)法律、行政法規(guī)的規(guī)定，在各自職責(zé)范圍內(nèi)負(fù)責(zé)網(wǎng)絡(luò)安全保護(hù)和監(jiān)督管理工作。

      b）主管部門

      負(fù)責(zé)依照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，督促、檢查和指導(dǎo)本行業(yè)、本部門或者本地區(qū)等級(jí)保護(hù)對(duì)象運(yùn)營(yíng)、使用單位的網(wǎng)絡(luò)安全等級(jí)保護(hù)工作。

      c）運(yùn)營(yíng)、使用單位

      負(fù)責(zé)依照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，確定其等級(jí)保護(hù)對(duì)象的安全保護(hù)等級(jí)，有主管部門的，應(yīng)報(bào)其主管部門審核批準(zhǔn)；根據(jù)已經(jīng)確定的安全保護(hù)等級(jí)，到公安機(jī)關(guān)辦理備案手續(xù)；按照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，進(jìn)行等級(jí)保護(hù)對(duì)象安全保護(hù)的規(guī)劃設(shè)計(jì)；使用符合國(guó)家有關(guān)規(guī)定，滿足等級(jí)保護(hù)對(duì)象安全保護(hù)等級(jí)需求的信息技術(shù)產(chǎn)品和網(wǎng)絡(luò)安全產(chǎn)品，開(kāi)展安全建設(shè)或者改建工作；制定、落實(shí)各項(xiàng)安全管理制度，定期對(duì)等級(jí)保護(hù)對(duì)象的安全狀況、安全保護(hù)制度及措施的落實(shí)情況進(jìn)行自查，選擇符合國(guó)家相關(guān)規(guī)定的等級(jí)測(cè)評(píng)機(jī)構(gòu)，定期進(jìn)行等級(jí)測(cè)評(píng)；制定不同等級(jí)網(wǎng)絡(luò)安全事件的響應(yīng)、處置預(yù)案，對(duì)網(wǎng)絡(luò)安全事件分等級(jí)進(jìn)行應(yīng)急處置。

      d）網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)

      負(fù)責(zé)根據(jù)運(yùn)營(yíng)、使用單位的委托，依照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，協(xié)助運(yùn)營(yíng)、使用單位完成等級(jí)保護(hù)的相關(guān)工作，包括確定其等級(jí)保護(hù)對(duì)象的安全保護(hù)等級(jí)、進(jìn)行安全需求分析、安全總體規(guī)劃、實(shí)施安全建設(shè)和安全改造、提供服務(wù)支撐平臺(tái)等。

      e）網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)機(jī)構(gòu)

      負(fù)責(zé)根據(jù)運(yùn)營(yíng)、使用單位的委托或根據(jù)等級(jí)保護(hù)管理部門的授權(quán)，協(xié)助運(yùn)營(yíng)、使用單位或等級(jí)保護(hù)管理部門，按照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對(duì)已經(jīng)完成等級(jí)保護(hù)建設(shè)的等級(jí)保護(hù)對(duì)象進(jìn)行等級(jí)測(cè)評(píng)；對(duì)網(wǎng)絡(luò)安全產(chǎn)品供應(yīng)商提供的網(wǎng)絡(luò)安全產(chǎn)品進(jìn)行安全測(cè)評(píng)。

      f）網(wǎng)絡(luò)安全產(chǎn)品供應(yīng)商

      負(fù)責(zé)按照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，開(kāi)發(fā)符合等級(jí)保護(hù)相關(guān)要求的網(wǎng)絡(luò)安全產(chǎn)品，接受安全測(cè)評(píng)；按照等級(jí)保護(hù)相關(guān)要求銷售網(wǎng)絡(luò)安全產(chǎn)品并提供相關(guān)服務(wù)。

4.3 實(shí)施的基本流程

      對(duì)等級(jí)保護(hù)對(duì)象實(shí)施等級(jí)保護(hù)的基本流程包括等級(jí)保護(hù)對(duì)象定級(jí)與備案階段、總體安全規(guī)劃階段、安全設(shè)計(jì)與實(shí)施階段、安全運(yùn)行與維護(hù)階段和定級(jí)對(duì)象終止階段，見(jiàn)圖1。

圖1 安全等級(jí)保護(hù)工作實(shí)施的基本流程

      在安全運(yùn)行與維護(hù)階段，等級(jí)保護(hù)對(duì)象因需求變化等原因?qū)е戮植空{(diào)整，而其安全保護(hù)等級(jí)并未改變，應(yīng)從安全運(yùn)行與維護(hù)階段進(jìn)入安全設(shè)計(jì)與實(shí)施階段，重新設(shè)計(jì)、調(diào)整和實(shí)施安全措施，確保滿足等級(jí)保護(hù)的要求；當(dāng)?shù)燃?jí)保護(hù)對(duì)象發(fā)生重大變更導(dǎo)致安全保護(hù)等級(jí)變化時(shí)，應(yīng)從安全運(yùn)行與維護(hù)階段進(jìn)入等級(jí)保護(hù)對(duì)象定級(jí)與備案階段，重新開(kāi)始一輪網(wǎng)絡(luò)安全等級(jí)保護(hù)的實(shí)施過(guò)程。等級(jí)保護(hù)對(duì)象在運(yùn)行與維護(hù)過(guò)程中，發(fā)生安全事件時(shí)可能會(huì)發(fā)生應(yīng)急響應(yīng)與保障。

      等級(jí)保護(hù)對(duì)象安全等級(jí)保護(hù)實(shí)施的基本流程中各個(gè)階段的主要過(guò)程、活動(dòng)、輸入和輸出見(jiàn)附錄A。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購(gòu)買標(biāo)準(zhǔn)正版。