信息安全等级保护政策培训教程（2016版）

近年来，国家对信息安全和网络安全的重视程度日益提高，公安机关、行业主管部门和信息系统运营使用单位将继续组织开展等级保护培训工作。本书对国家网络安全形势进行了分析，特别对开展信息安全等级保护工作的主要内容、方法、流程及政策、标准等内容进行了解读，对信息系统定级备案、安全建设整改、等级测评、安全检查等工作进行了详细的解释说明，并对智慧城市网络安全管理、重点网站安全整治专项行动等网络安全重点工作进行了说明。

《信息安全等级保护政策培训教程（2016版）》共7章，主要介绍我国网络安全面临的形势、存在的突出问题和重点工作等，包括网络安全与信息安全等级保护制度概述、信息安全等级保护政策体系和标准体系、信息系统定级与备案工作、信息安全等级保护安全建设整改工作、信息安全等级保护等级测评工作、网络安全自查和监督检查及网络安全重点专项工作。

《信息安全等级保护政策培训教程（2016版）》对国家网络安全工作进行了分析，对信息安全等级保护工作的有关政策、标准进行了解读，并对主要工作环节进行了解释说明，供有关部门在网络安全和信息安全等级保护培训中使用。

郭启全，现任公安部网络安全保卫局处长，信息安全等级保护方面的专家。曾任中国人民公安大学科技系教师、副教授。 参加制定《中华人民共和国治安管理处罚法》、“国家信息安全战略”等国家法律和政策文件，以及《互联网安全保护技术措施管理规定》(公安部82号部长令)。 组织起草了《信息安全等级保护管理办法》、《关于开展全国重要信息系统安全等级保护定级工作的通知》等国家有关等级保护工作的政策、文件。 主持完成了“基于移动终端的可视化警力布控与网上追逃系统”、“全实时数字视频监控系统”等公安部重点科研项目。

第1章 网络安全与信息安全等级保护制度概述 1
1．1 我国网络安全面临的形势 1
1．1．1 我国网络安全发展面临的重大机遇 1
1．1．2 我国网络安全面临的威胁、风险和挑战 4
1．1．3 我国网络安全存在的突出问题 9
1．1．4 美、俄、日、英等国的经验和做法值得借鉴 13
1．2 我国网络安全工作的指导思想和主要任务 16
1．2．1 我国网络安全工作的基本遵循 16
1．2．2 网络安全的基本属性 17
1．2．3 我国网络安全工作的确立 18
1．2．4 网络安全工作的主要内容 23
1．2．5 保障网络安全的主要措施 26
1．2．6 抗战胜利70周年纪念活动网络安保带给我们的启示 29
1．2．7 重要行业应重点加强的网络安全工作 32
1．3 信息安全等级保护的基本含义 33
1．3．1 开展信息安全等级保护工作的法律依据 33
1．3．2 开展信息安全等级保护工作的政策依据 34
1．3．3 什么是信息安全等级保护 36
1．3．4 贯彻落实信息安全等级保护制度的原则 38
1．3．5 信息系统安全保护等级的划分与监管 39
1．4 实行信息安全等级保护制度的必要性和紧迫性 40
1．4．1 为什么要强制实行信息安全等级保护制度 40
1．4．2 实施等级保护制度是落实习近平总书记指示的必然要求 41
1．4．3 实施信息安全等级保护制度能解决什么问题 42
1．4．4 信息安全等级保护制度与关键信息基础设施的关系 43
1．4．5 国外实施等级保护策略的经验和做法 46
1．5 信息安全等级保护制度的主要内容 50
1．5．1 等级保护工作中有关部门的责任和义务 50
1．5．2 等级保护工作的主要环节和基本要求 51
1．6 健全完善信息安全等级保护制度的工作思路和措施 52
1．6．1 健全完善信息安全等级保护制度的重要性 52
1．6．2 健全完善等级保护制度的基本思路 53
1．6．3 健全完善等级保护制度的主要内容和任务 54
1．7 实施等级保护制度开展的工作情况 56
1．7．1 基础调查 56
1．7．2 等级保护试点工作 56
1．7．3 组织开展信息系统定级备案工作 57
1．7．4 组织开展等级测评体系建设和测评工作 57
1．7．5 组织开展等级保护安全建设整改工作 57
1．7．6 组织开展等级保护执法检查工作 58
1．7．7 信息安全等级保护工作协调（领导）机构和专家组建设 58
1．7．8 信息安全等级保护工作取得的主要成效 59
第2章 信息安全等级保护政策体系和标准体系 62
2．1 信息安全等级保护政策体系 62
2．1．1 总体方面的政策文件 62
2．1．2 具体环节的政策文件 64
2．2 信息安全等级保护标准体系 66
2．2．1 信息安全等级保护相关标准类别 67
2．2．2 相关标准与等级保护各工作环节的关系 70
2．2．3 在应用有关标准中需要注意的几个问题 74
2．2．4 信息安全等级保护主要标准简要说明 74
第3章 信息系统定级与备案工作 97
3．1 信息系统安全保护等级的划分与保护 97
3．1．1 信息系统定级工作原则 97
3．1．2 信息系统安全保护等级 98
3．1．3 信息系统安全保护等级的定级要素 98
3．1．4 五级保护和监管 99
3．2 定级工作的主要步骤 99
3．2．1 开展摸底调查 100
3．2．2 确定定级对象 100
3．2．3 初步确定信息系统安全保护等级 101
3．2．4 信息系统安全保护等级专家评审 102
3．2．5 信息系统安全保护等级的审批 102
3．2．6 公安机关审核信息系统安全保护等级 103
3．3 如何确定信息系统安全保护等级 103
3．3．1 如何理解信息系统的5个安全保护等级 103
3．3．2 信息系统定级的一般流程 104
3．4 信息系统备案工作的内容和要求 109
3．4．1 信息系统备案与受理 109
3．4．2 公安机关受理信息系统备案要求 110
3．4．3 对信息系统定级不准及不备案情况的处理 111
3．4．4 公安机关对信息系统定级备案工作的指导 112
第4章 信息安全等级保护安全建设整改工作 113
4．1 工作目标和工作内容 113
4．1．1 工作目标 113
4．1．2 工作范围和工作特点 114
4．1．3 工作内容 115
4．1．4 信息系统安全保护能力目标 117
4．1．5 《信息系统安全等级保护基本要求》的主要内容 119
4．2 工作方法和工作流程 123
4．2．1 工作方法 123
4．2．2 工作流程 124
4．3 安全管理制度建设 125
4．3．1 落实信息安全责任制 126
4．3．2 信息系统安全管理现状分析 127
4．3．3 制定安全管理策略和制度 127
4．3．4 落实安全管理措施 128
4．3．5 安全自查与调整 131
4．4 安全技术措施建设 131
4．4．1 信息系统安全保护技术现状分析 131
4．4．2 信息系统安全技术建设整改方案设计 133
4．4．3 安全建设整改工程实施和管理 137
4．4．4 信息系统安全建设整改方案要素 138
4．5 网络安全防范的新策略和新技术 139

4．6 信息安全产品的选择使用 141
4．6．1 选择获得销售许可证的信息安全产品 141
4．6．2 产品分等级检测和使用 141
4．6．3 第三级以上信息系统使用信息安全产品的相关问题 141
第5章 信息安全等级保护测评工作 143
5．1 等级测评工作概述 143
5．1．1 等级测评的基本含义 143
5．1．2 等级测评的目的 144
5．1．3 开展等级测评的时机 144
5．1．4 等级测评机构的业务范围 145
5．1．5 等级测评依据的标准 146
5．1．6 等级测评工作的开展 147
5．2 等级测评机构及测评人员的管理与监督 149
5．2．1 为什么要开展等级测评体系建设工作 149
5．2．2 对测评机构和测评人员的管理 149
5．2．3 等级测评机构应当具备的基本条件 150
5．2．4 测评机构的业务范围和工作要求 151
5．2．5 测评机构的禁止行为和整改事项 152
5．2．6 测评机构的申请、受理、审核、推荐流程 153
5．2．7 对测评机构的监督管理 154
5．3 等级测评的工作流程和工作内容 155
5．3．1 基本工作流程和工作方法 155
5．3．2 收集系统信息 157
5．3．3 编制测评方案 160
5．3．4 现场测评 163
5．3．5 判断测评结果 167
5．3．6 编制测评报告 170
5．4 等级测评工作中的风险控制 170
5．4．1 存在的风险 170
5．4．2 风险的规避 171
5．5 等级测评报告的主要内容 172
5．5．1 等级测评报告的构成 172
5．5．2 等级测评报告的主要内容说明 172
第6章 网络安全自查和监督检查 175
6．1 定期自查与督导检查 175
6．1．1 备案单位的定期自查 175
6．1．2 行业主管部门的督导检查 175
6．2 公安机关的监督检查 176
6．2．1 检查的原则和方法 176
6．2．2 检查的主要内容 176
6．2．3 检查整改要求 177
6．2．4 检查工作要求 178
第7章 网络安全重点专项工作 179
7．1 智慧城市网络安全管理 179
7．1．1 加强智慧城市网络安全管理工作的主要依据 179
7．1．2 智慧城市网络安全管理的总体要求 180
7．1．3 智慧城市网络安全管理的重点工作 181
7．1．4 智慧城市网络安全管理的保障措施 182
7．2 重点网站安全专项整治 185
7．2．1 开展网站安全专项整治的目的 185
7．2．2 网站安全专项整治的指导思想和工作目标 186
7．2．3 网站安全专项整治的工作任务和具体措施 186
7．2．4 网站安全专项整治的工作要求 188
7．2．5 公安机关在网站安全专项整治行动中的工作要求 189
附录A 关于信息安全等级保护工作的实施意见 193
附录B 信息安全等级保护管理办法 203
附录C 关于开展全国重要信息系统安全等级保护定级工作的通知 217
附录D 信息安全等级保护备案实施细则（试行） 232
附录E 公安机关信息安全等级保护检查工作规范（试行） 241
附录F 关于加强国家电子政务工程建设项目信息安全风险评估工作的通知 256
附录G 关于开展信息安全等级保护安全建设整改工作的指导意见 277
附录H 信息系统安全等级测评报告模版（2015年版） 282
附录I 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知 336
附录J 信息安全等级保护测评机构管理办法 339
附录K 信息安全等级保护安全专家委员会专家名单 385
附录L 关于加强智慧城市网络安全管理工作的若干意见 387
附录M 关于印发《党政机关、事业单位和国有企业互联网网站安全专项整治行动方案》的通知 392
附录N 教育部、公安部关于全面推进教育行业信息安全等级保护工作的通知 397

前言

近年来，我国综合国力明显上升，信息化发展迅速，网络安全建设取得了很大的成效和进步，网络安全发展面临着新的、最有利的战略机遇。与此同时，世界主要国家将网络作为谋求战略优势的新抓手，对内不断加强顶层设计和能力建设，对外抢抓网络空间控制权、规则制定权和话语权，世界大国网络空间博弈加剧，网络问题已成为大国互动的新焦点、大国战略关系走向的重大课题。我国的网络安全形势异常严峻，面临着前所未有的威胁、风险和挑战，并存在着许多突出的问题和困难。为此，我们要深刻学习领会习近平总书记的重要指示精神，充分认识网络安全工作的极端重要性，以“建设网络强国”为战略目标，以需求为牵引，以问题为导向，采取综合手段和强有力的措施，坚定不移地维护网络空间的国家安全和国家关键信息基础设施安全。

信息安全等级保护制度是国家网络安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。国务院法规和中央一系列文件明确规定，要实行信息安全等级保护，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度。信息安全等级保护是当今发达国家保护关键信息基础设施、保障信息安全的通行做法，也是我国多年来网络安全工作实践和经验的总结。开展信息安全等级保护工作的主要目的就是要保护国家关键信息基础设施安全、维护国家安全，这是一项事关国家安全、社会稳定、国家利益的重要任务。

多年来，在党中央的坚强领导下，在有关部门、专家、企业的大力支持下，公安部根据法律授权，会同国家保密局、国家密码管理局和原国务院信息办在全国范围内组织开展了基础调查、等级保护试点、信息系统定级备案、安全建设整改、等级测评、网络安全大检查等信息安全等级保护工作，创造性地构建并实施了信息安全等级保护制度，确立了具有中国特色的国家网络安全基本制度和基本国策，全面促进了国家网络安全工作体系化，有力促进了我国网络安全工作法制化、规范化和标准化，全力提升了国家关键信息基础设施安全保护能力，为保卫国家网络空间安全和关键信息基础设施安全发挥了关键作用。公安部会同网信办、工信部、国家保密局、国家密码管理局、国资委、国家发改委、财政部、教育部等部门出台了一系列政策文件，构成了信息安全等级保护工作的政策体系，组织制定了信息安全等级保护工作需要的一系列标准，形成了信息安全等级保护标准体系，为指导各地区、各部门开展等级保护工作提供了政策保障和标准保障。

加强培训是开展信息安全等级保护工作的重要保障。近年来，公安机关、行业主管部门和信息系统运营使用单位组织开展了大规模的等级保护业务培训工作，取得了良好的成效。为深化开展信息安全等级保护工作，完善信息安全等级保护制度，深入开展培训工作，应有关单位、部门开展培训的迫切需要，结合近些年的工作实践，在有关领导和专家的指导下，我们在原有教程的基础上组织编写了本书，增加了许多内容。本书主要对国家网络安全形势进行了分析，对国家网络安全工作提出了一些思路和建议，特别是对开展信息安全等级保护工作的主要内容、方法、流程及政策、标准等内容进行了解读，对信息系统定级备案、安全建设整改、等级测评、安全检查等工作进行了详细的解释说明，对如何完善信息安全等级保护制度进行了阐述，对智慧城市网络安全管理、重点网站安全整治专项行动等网络安全重点工作进行了说明，供读者参考借鉴。由于水平所限，书中难免有不足之处，敬请读者指正。

本书主要由郭启全编著，参与编写的还有周左鹰、葛波蔚、祝国邦、范春玲、陆磊、夏雨、张宇翔、马力、任卫红、李明、李升、刘静。

读者可以登录中国信息安全等级保护网（www.djbh.net），了解信息安全等级保护领域的最新情况。

郭启全

2016年2月