GB/T 25058-2010信息安全技術信息系統安全等級保護實施指南

ICS35040

L80.

中華人民共和國國家標準

GB/T25058—2010

信息安全技術

信息系統安全等級保護實施指南

Informationsecuritytechnology—

Implementationguideforclassifiedprotectionofinformationsystem

2010-09-02發布2011-02-01實施

中華人民共和國國家質量監督檢驗檢疫總局發布

中國國家標準化管理委員會

GB/T25058—2010

目次

前言…………………………

Ⅲ

引言…………………………

Ⅳ

范圍………………………

11

規范性引用文件…………………………

21

術語和定義………………

31

等級保護實施概述………………………

41

基本原則………………

4.11

角色和職責……………

4.21

實施的基本流程………………………

4.32

信息系統定級……………

53

信息系統定級階段的工作流程………………………

5.13

信息系統分析…………………………

5.23

安全保護等級確定……………………

5.35

總體安全規劃……………

66

總體安全規劃階段的工作流程………………………

6.16

安全需求分析…………………………

6.26

總體安全設計…………………………

6.38

安全建設項目規劃……………………

6.410

安全設計與實施…………………………

712

安全設計與實施階段的工作流程……………………

7.112

安全方案詳細設計……………………

7.212

管理措施實施…………………………

7.313

技術措施實施…………………………

7.415

安全運行與維護…………………………

818

安全運行與維護階段的工作流程……………………

8.118

運行管理和控制………………………

8.219

變更管理和控制………………………

8.319

安全狀態監控…………………………

8.420

安全事件處置和應急預案……………

8.521

安全檢查和持續改進…………………

8.623

等級測評………………

8.724

系統備案………………

8.824

監督檢查………………

8.924

信息系統終止……………

925

信息系統終止階段的工作流程………………………

9.125

信息轉移暫存和清除………………

9.2、25

設備遷移或廢棄………………………

9.326

存儲介質的清除或銷毀………………

9.426

附錄規范性附錄主要過程及其活動輸出…………

A()27

Ⅰ

GB/T25058—2010

前言

本標準的附錄是規范性附錄

A。

本標準由公安部和全國信息安全標準化技術委員會提出

。

本標準由全國信息安全標準化技術委員會歸口

。

本標準起草單位公安部信息安全等級保護評估中心

:。

本標準主要起草人畢馬寧馬力陳雪秀李明朱建平任衛紅謝朝海曲潔袁靜李升劉靜

:、、、、、、、、、、、

羅崢

。

Ⅲ

GB/T25058—2010

引言

依據中華人民共和國計算機信息系統安全保護條例國務院號令國家信息化領導小組關

《》(147)、《

于加強信息安全保障工作的意見中辦發號關于信息安全等級保護工作的實施意見公

》([2003]27)、《》(

通字號和信息安全等級保護管理辦法公通字號制定本標準

[2004]66)《》([2007]43),。

本標準是信息安全等級保護相關系列標準之一

。

與本標準相關的系列標準包括

:

信息安全技術信息系統安全等級保護定級指南

———GB/T22240—2008;

信息安全技術信息系統安全等級保護基本要求

———GB/T22239—2008。

在對信息系統實施信息安全等級保護的過程中除使用本標準外在不同的階段還應參照其他有

,,,

關信息安全等級保護的標準開展工作

。

在信息系統定級階段應按照介紹的方法確定信息系統安全保護等級

,GB/T22240—2008,。

在信息系統總體安全規劃安全設計與實施安全運行與維護和信息系統終止等階段應按照

,,,

和

GB17859—1999、GB/T22239—2008、GB/T20269—2006、GB/T20270—2006GB/T20271—2006

等技術標準設計建設符合信息安全等級保護要求的信息系統開展信息系統的運行維護管理工作

,、,。

和

GB17859—1999、GB/T22239—2008、GB/T20269—2006、GB/T20270—2006GB/T20271—

等技術標準是信息系統安全等級保護的系列相關配套標準其中是基礎性標準

2006,GB17859—1999,

和等是對的進一步細化

GB/T20269—2006、GB/T20270—2006GB/T20271—2006GB17859—1999

和擴展是以為基礎根據現有技術發展水平提出的對不同安全

,GB/T22239—2008GB17859—1999,

保護等級信息系統的最基本安全要求是其他標準的一個底線子集

,。

對信息系統的安全等級保護應從出發在保證信息系統滿足基本安全要求的

GB/T22239—2008,

基礎上逐步提高對信息系統的保護水平最終滿足

,,GB17859—1999、GB/T20269—2006、

和等標準的要求

GB/T20270—2006GB/T20271—2006。

除本標準和上述提到的標準外在信息系統安全等級保護實施過程中還可參照和使用

,,

和等其他等級保護相關技術標準

GB/T20272—2006GB/T20273—2006。

Ⅳ

GB/T25058—2010

信息安全技術

信息系統安全等級保護實施指南

1范圍

本標準規定了信息系統安全等級保護實施的過程適用于指導信息系統安全等級保護的實施

,。

2規范性引用文件

下列文件中的條款通過本標準的引用而成為本標準的條款凡是注日期的引用文件其隨后所有

。,

的修改單不包括勘誤的內容或修訂版均不適用于本標準然而鼓勵根據本標準達成協議的各方研究

(),,

是否可使用這些文件的最新版本凡是不注日期的引用文件其最新版本適用于本標準

。,。

信息技術詞匯第部分安全

GB/T5271.88:

計算機信息系統安全保護等級劃分準則

GB17859—1999

信息安全技術信息系統安全等級保護定級指南

GB/T22240—2008

3術語和定義

和確立的以及下列術語和定義適用于本標準

GB/T5271.8GB17859—1999。

31

.

等級測評classifiedsecuritytestingandevaluation

確定信息系統安全保護能力是否達到相應等級基本要求的過程

。

4等級保護實施概述

41基本原則

.

信息系統安全等級保護的核心是對信息系統分等級按標準進行建設管理和監督信息系統安全

、、。

等級保護實施過程中應遵循以下基本原則

:

自主保護原則

a)

信息系統運營使用單位及其主管部門按照國家相關法規和標準