信息安全技術信息系統(tǒng)安全等級保護定級指南

信息安全技術信息系統(tǒng)安全等級保護定級指南〔〕全國信息安全標準化技術委員會前前言本標準由公安部和全國信息安全標準化技術委員會提出。本標準由全國信息安全標準化技術委員會歸口。本標準起草單位：本標準主要起草人：引引言依據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》〔國務院147號令〕、《國家信息化領導小組關于加強信息安全保障工作的意見》〔中辦發(fā)[2023]27號〕、《關于信息安全等級保護工作的實施意見》〔公通字[2023]66號〕和《信息安全等級保護治理方法》〔公通字[2023]43號〕，制定本標準。本標準是信息安全等級保護相關系列標準之一。與本標準相關的系列標準包括：——GB/TBBBBB-BBBB信息系統(tǒng)安全等級保護根本要求；——GB/TCCCCC-CCCC信息系統(tǒng)安全等級保護實施指南；——GB/TDDDDD-DDDD信息系統(tǒng)安全等級保護測評準則。的重要作用和業(yè)務對信息系統(tǒng)的依靠程度這兩方面，提出確定信息系統(tǒng)安全保護等級的方法。信息系統(tǒng)安全等級保護定級指南范圍本標準規(guī)定了信息系統(tǒng)安全等級保護的定級方法，適用于為信息系統(tǒng)安全等級保護的定級工作供給指導。標準性引用文件以下文件中的條款通過在本標準的引用而成為本標準的條款。但凡注日期的引用文件，〔不包括訂正的內(nèi)容〕或均不適用于本標準，然而，鼓舞依據(jù)本版本適用于本標準。GB/T5271.8 8局部：安全GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則術語和定義GB/T5271.8GB17859-1999確立的以及以下術語和定義適用于本標準。3.1等級保護對象targetofclassifiedsecurity信息安全等級保護工作直接作用的具體的信息和信息系統(tǒng)。3.2object受法律保護的、等級保護對象受到破壞時所侵害的社會關系，如國家安全、社會秩序、公共利益以及公民、法人或其他組織的合法權益。3.3客觀方面objective對客體造成侵害的客觀外在表現(xiàn)，包括侵害方式和侵害結果等。3.4系統(tǒng)效勞systemservice信息系統(tǒng)為支撐其所承載業(yè)務而供給的程序化過程。定級原理信息系統(tǒng)安全保護等級依據(jù)等級保護相關治理文件，信息系統(tǒng)的安全保護等級分為以下五級：第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。其次級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益產(chǎn)生嚴峻損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴峻損害，或者對國家安全造成損害。第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴峻損害，或者對國家安全造成嚴峻損害。第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴峻損害。信息系統(tǒng)安全保護等級的定級要素信息系統(tǒng)的安全保護等級由兩個定級要素打算：等級保護對象受到破壞時所侵害的客體和對客體造成侵害的程度。受侵害的客體等級保護對象受到破壞時所侵害的客體包括以下三個方面：公民、法人和其他組織的合法權益；社會秩序、公共利益；國家安全。對客體的侵害程度對客體的侵害程度由客觀方面的不同外在表現(xiàn)綜合打算。由于對客體的侵害是通過對危害方式、危害后果和危害程度加以描述。等級保護對象受到破壞后對客體造成侵害的程度歸結為以下三種：造成一般損害；造成嚴峻損害；造成特別嚴峻損害。定級要素與等級的關系定級要素與信息系統(tǒng)安全保護等級的關系如表1所示。表1定級要素與安全保護等級的關系一般損害嚴峻損害特別嚴峻損害第一級其次級其次級其次級第三級第四級第三級第四級第五級對客體的侵害程度受侵害的客體對客體的侵害程度受侵害的客體公民、法人和其他組織的合法權益社會秩序、公共利益國家安全定級的一般流程信息系統(tǒng)安全包括業(yè)務信息安全和系統(tǒng)效勞安全害程度可能不同，因此，信息系統(tǒng)定級也應由業(yè)務信息安全和系統(tǒng)效勞安全兩方面確定。從業(yè)務信息安全角度反映的信息系統(tǒng)安全保護等級稱業(yè)務信息安全保護等級。從系統(tǒng)效勞安全角度反映的信息系統(tǒng)安全保護等級稱系統(tǒng)效勞安全保護等級。確定信息系統(tǒng)安全保護等級的一般流程如下：確定作為定級對象的信息系統(tǒng)；確定業(yè)務信息安全受到破壞時所侵害的客體；依據(jù)不同的受侵害客體，從多個方面綜合評定業(yè)務信息安全被破壞對客體的侵害程度；依據(jù)表2，得到業(yè)務信息安全保護等級；確定系統(tǒng)效勞安全受到破壞時所侵害的客體；依據(jù)不同的受侵害客體，從多個方面綜合評定系統(tǒng)效勞安全被破壞對客體的侵害程度；依據(jù)表3，得到系統(tǒng)效勞安全保護等級；將業(yè)務信息安全保護等級和系統(tǒng)效勞安全保護等級的較高者確定為定級對象的安全保護等級。上述步驟如圖1確定等級一般流程所示。11、確定定級對象所侵害的客體所侵害的客體3、綜合評定對客體的侵害程度6、綜合評定對客體的侵害程度234、業(yè)務信息安全等級7、系統(tǒng)效勞安全等級8、定級對象的安全保護等級圖1確定等級一般流程確定定級對象一個單位內(nèi)運行的信息系統(tǒng)可能比較浩大，為了表達重要局部重點保護，有效把握信個較小的、可能具有不同安全保護等級的定級對象。作為定級對象的信息系統(tǒng)應具有如下根本特征：具有唯一確定的安全責任單位作為定級對象的信息系統(tǒng)應能夠唯一地確定其安全責任單位。假設一個單位的某個下全責任，則該信息系統(tǒng)的安全責任單位應是這些下級單位共同所屬的單位。具有信息系統(tǒng)的根本要素作為定級對象的信息系統(tǒng)應當是由相關的和配套的設備、設施依據(jù)確定的應用目標和為定級對象。承載單一或相對獨立的業(yè)務應用定級對象承載“單一”的業(yè)務應用是指該業(yè)務應用的業(yè)務流程獨立，且與其他業(yè)務應其他業(yè)務應用共享一些設備，尤其是網(wǎng)絡傳輸設備。確定受侵害的客體定級對象受到破壞時所侵害的客體包括國家安全、社會秩序、公眾利益以及公民、法人和其他組織的合法權益。侵害國家安全的事項包括以下方面：影響國家政權穩(wěn)固和國防實力；影響國家統(tǒng)一、民族團結和社會安定；影響國家對外活動中的政治、經(jīng)濟利益；影響國家重要的安全保衛(wèi)工作；影響國家經(jīng)濟競爭力和科技實力；其他影響國家安全的事項。侵害社會秩序的事項包括以下方面：影響國家機關社會治理和公共效勞的工作秩序；影響各種類型的經(jīng)濟活動秩序；影響各行業(yè)的科研、生產(chǎn)秩序；影響公眾在法律約束和道德標準下的正常生活秩序等；其他影響社會秩序的事項。影響公共利益的事項包括以下方面：影響社會成員使用公共設施；影響社會成員獵取公開信息資源；影響社會成員承受公共效勞等方面；其他影響公共利益的事項。其他組織所享有確實定的社會權利和利益。確定作為定級對象的信息系統(tǒng)受到破壞后所侵害的客體時，應首先推斷是否侵害國家合法權益。各行業(yè)可依據(jù)本行業(yè)業(yè)務特點，分析各類信息和各類信息系統(tǒng)與國家安全、社會秩序、息系統(tǒng)受到破壞時所侵害的客體。確定對客體的侵害程度侵害的客觀方面在客觀方面，對客體的侵害外在表現(xiàn)為對定級對象的破壞，其危害方式表現(xiàn)為對信息可能會有所不同，在定級過程中，需要分別處理這兩種危害方式。信息安全和系統(tǒng)效勞安全受到破壞后，可能產(chǎn)生以下危害后果：影響行使工作職能；導致業(yè)務力氣下降；引起法律糾紛；導致財產(chǎn)損失；造成社會不良影響；對其他組織和個人造成損失；-

其他影響。綜合判定侵害程度侵害程度是客觀方面的不同外在表現(xiàn)的綜合表達以從直接的資金損失大小、間接的信息恢復費用等方面進展確定。在針對不同的受侵害客體進展侵害程度的推斷時，應參照以下不同的判別基準：假設受侵害客體是公民、法人或其他組織的合法權益，則以本人或本單位的總體利益作為推斷侵害程度的基準；假設受侵害客體是社會秩序、公共利益或國家安全，則應以整個行業(yè)或國家的總體利益作為推斷侵害程度的基準。不同危害后果的三種危害程度描述如下：一般損害嚴峻損害嚴峻損害。特別嚴峻損害組織和個人造成格外嚴峻損害。信息安全和系統(tǒng)效勞安全被破壞后對客體的侵害程度造成一般損害、嚴峻損害、特別嚴峻損害的具體定義。確定定級對象的安全保護等級依據(jù)業(yè)務信息安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據(jù)表2業(yè)務信息安全保護等級矩陣表，即可得到業(yè)務信息安全保護等級。表2業(yè)務信息安全保護等級矩陣表一般損害嚴峻損害特別嚴峻損害第一級其次級其次級其次級第三級第四級第三級第四級第五級對相應客體的侵害程度業(yè)務信息安全被破壞時所侵害的客體公民、法人和其他組織的合法權益社會秩序、公共利益國家安全對相應客體的侵害程度業(yè)務信息安全被破壞時所侵害的客體公民、法人和其他組織的合法權益社會秩序、公共利益國家安全表3系統(tǒng)效勞