1 范圍

      本標(biāo)準(zhǔn)規(guī)定了等級保護(hù)對象實(shí)施網(wǎng)絡(luò)安全等級保護(hù)工作的過程。

      本標(biāo)準(zhǔn)適用于指導(dǎo)網(wǎng)絡(luò)安全等級保護(hù)工作的實(shí)施。

2 規(guī)范性引用文件

      下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機(jī)信息系統(tǒng) 安全保護(hù)等級劃分準(zhǔn)則

      GB/T 22239 信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求

      GB/T 22240 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)定級指南

      GB/T 25069 信息安全技術(shù) 術(shù)語

      GB/T 28448 信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評要求

3 術(shù)語和定義

      GB 17859、GB/T 22239、GB/T 25069和GB/T 28448界定的術(shù)語和定義適用于本文件。

4 等級保護(hù)實(shí)施概述

4.1 基本原則

      安全等級保護(hù)的核心是將等級保護(hù)對象劃分等級，按標(biāo)準(zhǔn)進(jìn)行建設(shè)、管理和監(jiān)督。安全等級保護(hù)實(shí)施過程中應(yīng)遵循以下基本原則：

      a）自主保護(hù)原則

      等級保護(hù)對象運(yùn)營、使用單位及其主管部門按照國家相關(guān)法規(guī)和標(biāo)準(zhǔn)，自主確定等級保護(hù)對象的安全保護(hù)等級，自行組織實(shí)施安全保護(hù)。

      b）重點(diǎn)保護(hù)原則

      根據(jù)等級保護(hù)對象的重要程度、業(yè)務(wù)特點(diǎn)，通過劃分不同安全保護(hù)等級的等級保護(hù)對象，實(shí)現(xiàn)不同強(qiáng)度的安全保護(hù)，集中資源優(yōu)先保護(hù)涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的等級保護(hù)對象。

      c）同步建設(shè)原則

      等級保護(hù)對象在新建、改建、擴(kuò)建時應(yīng)同步規(guī)劃和設(shè)計安全方案，投入一定比例的資金建設(shè)網(wǎng)絡(luò)安全設(shè)施，保障網(wǎng)絡(luò)安全與信息化建設(shè)相適應(yīng)。

      d）動態(tài)調(diào)整原則

      應(yīng)跟蹤定級對象的變化情況，調(diào)整安全保護(hù)措施。由于定級對象的應(yīng)用類型、范圍等條件的變化及

其他原因，安全保護(hù)等級需要變更的，應(yīng)根據(jù)等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，重新確定定級對象的安全保護(hù)等級，根據(jù)其安全保護(hù)等級的調(diào)整情況，重新實(shí)施安全保護(hù)。

4.2 角色和職責(zé)

      等級保護(hù)對象實(shí)施網(wǎng)絡(luò)安全等級保護(hù)過程中涉及的各類角色和職責(zé)如下：

      a）等級保護(hù)管理部門

      等級保護(hù)管理部門依照等級保護(hù)相關(guān)法律、行政法規(guī)的規(guī)定，在各自職責(zé)范圍內(nèi)負(fù)責(zé)網(wǎng)絡(luò)安全保護(hù)和監(jiān)督管理工作。

      b）主管部門

      負(fù)責(zé)依照國家網(wǎng)絡(luò)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，督促、檢查和指導(dǎo)本行業(yè)、本部門或者本地區(qū)等級保護(hù)對象運(yùn)營、使用單位的網(wǎng)絡(luò)安全等級保護(hù)工作。

      c）運(yùn)營、使用單位

      負(fù)責(zé)依照國家網(wǎng)絡(luò)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，確定其等級保護(hù)對象的安全保護(hù)等級，有主管部門的，應(yīng)報其主管部門審核批準(zhǔn)；根據(jù)已經(jīng)確定的安全保護(hù)等級，到公安機(jī)關(guān)辦理備案手續(xù)；按照國家網(wǎng)絡(luò)安全等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，進(jìn)行等級保護(hù)對象安全保護(hù)的規(guī)劃設(shè)計；使用符合國家有關(guān)規(guī)定，滿足等級保護(hù)對象安全保護(hù)等級需求的信息技術(shù)產(chǎn)品和網(wǎng)絡(luò)安全產(chǎn)品，開展安全建設(shè)或者改建工作；制定、落實(shí)各項(xiàng)安全管理制度，定期對等級保護(hù)對象的安全狀況、安全保護(hù)制度及措施的落實(shí)情況進(jìn)行自查，選擇符合國家相關(guān)規(guī)定的等級測評機(jī)構(gòu)，定期進(jìn)行等級測評；制定不同等級網(wǎng)絡(luò)安全事件的響應(yīng)、處置預(yù)案，對網(wǎng)絡(luò)安全事件分等級進(jìn)行應(yīng)急處置。

      d）網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)

      負(fù)責(zé)根據(jù)運(yùn)營、使用單位的委托，依照國家網(wǎng)絡(luò)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，協(xié)助運(yùn)營、使用單位完成等級保護(hù)的相關(guān)工作，包括確定其等級保護(hù)對象的安全保護(hù)等級、進(jìn)行安全需求分析、安全總體規(guī)劃、實(shí)施安全建設(shè)和安全改造、提供服務(wù)支撐平臺等。

      e）網(wǎng)絡(luò)安全等級測評機(jī)構(gòu)

      負(fù)責(zé)根據(jù)運(yùn)營、使用單位的委托或根據(jù)等級保護(hù)管理部門的授權(quán)，協(xié)助運(yùn)營、使用單位或等級保護(hù)管理部門，按照國家網(wǎng)絡(luò)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對已經(jīng)完成等級保護(hù)建設(shè)的等級保護(hù)對象進(jìn)行等級測評；對網(wǎng)絡(luò)安全產(chǎn)品供應(yīng)商提供的網(wǎng)絡(luò)安全產(chǎn)品進(jìn)行安全測評。

      f）網(wǎng)絡(luò)安全產(chǎn)品供應(yīng)商

      負(fù)責(zé)按照國家網(wǎng)絡(luò)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，開發(fā)符合等級保護(hù)相關(guān)要求的網(wǎng)絡(luò)安全產(chǎn)品，接受安全測評；按照等級保護(hù)相關(guān)要求銷售網(wǎng)絡(luò)安全產(chǎn)品并提供相關(guān)服務(wù)。

4.3 實(shí)施的基本流程

      對等級保護(hù)對象實(shí)施等級保護(hù)的基本流程包括等級保護(hù)對象定級與備案階段、總體安全規(guī)劃階段、安全設(shè)計與實(shí)施階段、安全運(yùn)行與維護(hù)階段和定級對象終止階段，見圖1。

圖1 安全等級保護(hù)工作實(shí)施的基本流程

      在安全運(yùn)行與維護(hù)階段，等級保護(hù)對象因需求變化等原因?qū)е戮植空{(diào)整，而其安全保護(hù)等級并未改變，應(yīng)從安全運(yùn)行與維護(hù)階段進(jìn)入安全設(shè)計與實(shí)施階段，重新設(shè)計、調(diào)整和實(shí)施安全措施，確保滿足等級保護(hù)的要求；當(dāng)?shù)燃壉Ｗo(hù)對象發(fā)生重大變更導(dǎo)致安全保護(hù)等級變化時，應(yīng)從安全運(yùn)行與維護(hù)階段進(jìn)入等級保護(hù)對象定級與備案階段，重新開始一輪網(wǎng)絡(luò)安全等級保護(hù)的實(shí)施過程。等級保護(hù)對象在運(yùn)行與維護(hù)過程中，發(fā)生安全事件時可能會發(fā)生應(yīng)急響應(yīng)與保障。

      等級保護(hù)對象安全等級保護(hù)實(shí)施的基本流程中各個階段的主要過程、活動、輸入和輸出見附錄A。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請到相關(guān)授權(quán)網(wǎng)站購買標(biāo)準(zhǔn)正版。