1 范圍

      本標準規(guī)定了等級保護對象實施網(wǎng)絡(luò)安全等級保護工作的過程。

      本標準適用于指導(dǎo)網(wǎng)絡(luò)安全等級保護工作的實施。

2 規(guī)范性引用文件

      下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機信息系統(tǒng) 安全保護等級劃分準則

      GB/T 22239 信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護基本要求

      GB/T 22240 信息安全技術(shù) 信息系統(tǒng)安全等級保護定級指南

      GB/T 25069 信息安全技術(shù) 術(shù)語

      GB/T 28448 信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護測評要求

3 術(shù)語和定義

      GB 17859、GB/T 22239、GB/T 25069和GB/T 28448界定的術(shù)語和定義適用于本文件。

4 等級保護實施概述

4.1 基本原則

      安全等級保護的核心是將等級保護對象劃分等級，按標準進行建設(shè)、管理和監(jiān)督。安全等級保護實施過程中應(yīng)遵循以下基本原則：

      a）自主保護原則

      等級保護對象運營、使用單位及其主管部門按照國家相關(guān)法規(guī)和標準，自主確定等級保護對象的安全保護等級，自行組織實施安全保護。

      b）重點保護原則

      根據(jù)等級保護對象的重要程度、業(yè)務(wù)特點，通過劃分不同安全保護等級的等級保護對象，實現(xiàn)不同強度的安全保護，集中資源優(yōu)先保護涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的等級保護對象。

      c）同步建設(shè)原則

      等級保護對象在新建、改建、擴建時應(yīng)同步規(guī)劃和設(shè)計安全方案，投入一定比例的資金建設(shè)網(wǎng)絡(luò)安全設(shè)施，保障網(wǎng)絡(luò)安全與信息化建設(shè)相適應(yīng)。

      d）動態(tài)調(diào)整原則

      應(yīng)跟蹤定級對象的變化情況，調(diào)整安全保護措施。由于定級對象的應(yīng)用類型、范圍等條件的變化及

其他原因，安全保護等級需要變更的，應(yīng)根據(jù)等級保護的管理規(guī)范和技術(shù)標準的要求，重新確定定級對象的安全保護等級，根據(jù)其安全保護等級的調(diào)整情況，重新實施安全保護。

4.2 角色和職責

      等級保護對象實施網(wǎng)絡(luò)安全等級保護過程中涉及的各類角色和職責如下：

      a）等級保護管理部門

      等級保護管理部門依照等級保護相關(guān)法律、行政法規(guī)的規(guī)定，在各自職責范圍內(nèi)負責網(wǎng)絡(luò)安全保護和監(jiān)督管理工作。

      b）主管部門

      負責依照國家網(wǎng)絡(luò)安全等級保護的管理規(guī)范和技術(shù)標準，督促、檢查和指導(dǎo)本行業(yè)、本部門或者本地區(qū)等級保護對象運營、使用單位的網(wǎng)絡(luò)安全等級保護工作。

      c）運營、使用單位

      負責依照國家網(wǎng)絡(luò)安全等級保護的管理規(guī)范和技術(shù)標準，確定其等級保護對象的安全保護等級，有主管部門的，應(yīng)報其主管部門審核批準；根據(jù)已經(jīng)確定的安全保護等級，到公安機關(guān)辦理備案手續(xù)；按照國家網(wǎng)絡(luò)安全等級保護管理規(guī)范和技術(shù)標準，進行等級保護對象安全保護的規(guī)劃設(shè)計；使用符合國家有關(guān)規(guī)定，滿足等級保護對象安全保護等級需求的信息技術(shù)產(chǎn)品和網(wǎng)絡(luò)安全產(chǎn)品，開展安全建設(shè)或者改建工作；制定、落實各項安全管理制度，定期對等級保護對象的安全狀況、安全保護制度及措施的落實情況進行自查，選擇符合國家相關(guān)規(guī)定的等級測評機構(gòu)，定期進行等級測評；制定不同等級網(wǎng)絡(luò)安全事件的響應(yīng)、處置預(yù)案，對網(wǎng)絡(luò)安全事件分等級進行應(yīng)急處置。

      d）網(wǎng)絡(luò)安全服務(wù)機構(gòu)

      負責根據(jù)運營、使用單位的委托，依照國家網(wǎng)絡(luò)安全等級保護的管理規(guī)范和技術(shù)標準，協(xié)助運營、使用單位完成等級保護的相關(guān)工作，包括確定其等級保護對象的安全保護等級、進行安全需求分析、安全總體規(guī)劃、實施安全建設(shè)和安全改造、提供服務(wù)支撐平臺等。

      e）網(wǎng)絡(luò)安全等級測評機構(gòu)

      負責根據(jù)運營、使用單位的委托或根據(jù)等級保護管理部門的授權(quán)，協(xié)助運營、使用單位或等級保護管理部門，按照國家網(wǎng)絡(luò)安全等級保護的管理規(guī)范和技術(shù)標準，對已經(jīng)完成等級保護建設(shè)的等級保護對象進行等級測評；對網(wǎng)絡(luò)安全產(chǎn)品供應(yīng)商提供的網(wǎng)絡(luò)安全產(chǎn)品進行安全測評。

      f）網(wǎng)絡(luò)安全產(chǎn)品供應(yīng)商

      負責按照國家網(wǎng)絡(luò)安全等級保護的管理規(guī)范和技術(shù)標準，開發(fā)符合等級保護相關(guān)要求的網(wǎng)絡(luò)安全產(chǎn)品，接受安全測評；按照等級保護相關(guān)要求銷售網(wǎng)絡(luò)安全產(chǎn)品并提供相關(guān)服務(wù)。

4.3 實施的基本流程

      對等級保護對象實施等級保護的基本流程包括等級保護對象定級與備案階段、總體安全規(guī)劃階段、安全設(shè)計與實施階段、安全運行與維護階段和定級對象終止階段，見圖1。

圖1 安全等級保護工作實施的基本流程

      在安全運行與維護階段，等級保護對象因需求變化等原因?qū)е戮植空{(diào)整，而其安全保護等級并未改變，應(yīng)從安全運行與維護階段進入安全設(shè)計與實施階段，重新設(shè)計、調(diào)整和實施安全措施，確保滿足等級保護的要求；當?shù)燃壉Ｗo對象發(fā)生重大變更導(dǎo)致安全保護等級變化時，應(yīng)從安全運行與維護階段進入等級保護對象定級與備案階段，重新開始一輪網(wǎng)絡(luò)安全等級保護的實施過程。等級保護對象在運行與維護過程中，發(fā)生安全事件時可能會發(fā)生應(yīng)急響應(yīng)與保障。

      等級保護對象安全等級保護實施的基本流程中各個階段的主要過程、活動、輸入和輸出見附錄A。

以上為標準部分內(nèi)容，如需看標準全文，請到相關(guān)授權(quán)網(wǎng)站購買標準正版。