第1章 概论 1
1.1等级保护的目的和意义 1
1.2等级保护法律法规与政策规范 5
1.3信息安全等级保护标准 6
第2章 信息系统安全等级保护实施 10
2.1等级保护工作的主要内容 10
2.2信息系统定级 11
2.3信息系统备案 14
2.4信息系统安全建设整改 15
2.5信息系统等级测评 16
2.6监督检查 17
第3章 信息系统定级与备案 20
3.1信息系统安全保护等级 20
3.2信息系统安全保护等级的确定方法 21
3.2.1定级原则 21
3.2.2定级要素 21
3.2.3定级流程 22
3.2.4定级方法 23
3.3信息系统定级实例 27
3.3.1系统描述 27
3.3.2系统定级过程 28
3.4信息系统备案工作 29
3.4.1信息系统备案与受理 29
3.4.2公安机关受理备案要求 30
3.4.3对定级不准和不备案情况的处理 31
第4章 建设整改分析与设计 32
4.1安全需求分析方法 32
4.1.1选择、调整基本安全要求 32
4.1.2明确系统特殊安全需求 35
4.2新建系统的安全等级保护设计方案 35
4.2.1总体安全设计方法 37
4.2.2总体安全设计方案大纲 41
4.2.3设计实施方案 41
4.3系统改建实施方案设计 42
4.3.1确定系统改建的安全需求 42
4.3.2差距原因分析 43
4.3.3分类处理的改建措施 44
4.3.4改建措施详细设计 45
第5章 安全管理体系建设 46
5.1信息安全组织结构建设 46
5.1.1岗位设置和人员配备 47
5.1.2授权和审批 50
5.1.3沟通和合作 51
5.1.4审核和检查 51
5.2信息安全管理制度体系建设 51
5.2.1信息安全方针和策略 52
5.2.2安全管理制度制定原则 54
5.2.3操作规程 55
5.2.4制订和发布 56
5.2.5评审和修订 56
第6章 安全管理实施 57
6.1人员安全管理 57
6.1.1人员录用 57
6.1.2人员离岗 59
6.1.3人员考核 59
6.1.4安全意识教育和培训 59
6.1.5外部人员访问管理 60
6.2系统建设安全管理 61
6.2.1信息系统生命周期与系统建设 61
6.2.2系统建设管理的要求 63
6.2.3初始管理 65
6.2.4采购和开发管理 67
6.2.5实施管理 70
6.2.6系统备案和测评管理 73
6.3系统运维管理 74
6.3.1系统生命周期与系统运维管理 74
6.3.2系统运维管理要求 76
6.3.3基本管理 77
6.3.4密码和变更 80
6.3.5网络和系统 81
6.3.6安全事件管理 83
6.3.7备份和恢复管理 85
6.3.8监控和安全中心 86
6.3.9运维管理制度实例 86
第7章 物理安全技术实施 88
7.1安全风险 88
7.2安全目标 89
7.3目标措施对应表 91
7.4安全措施 92
7.4.1环境物理安全措施 92
7.4.2基本设备物理安全措施 95
7.4.3智能设备物理安全措施 99
7.5物理安全设计方案实例 103
7.5.1机房环境安全 103
7.5.2机房运行安全 103
7.5.3基本设备物理安全 104
7.5.4智能设备物理安全 104
第8章 网络安全技术实施 105
8.1安全风险 105
8.2安全目标 107
8.3目标措施对应表 109
8.4安全措施 110
8.4.1结构安全 110
8.4.2访问控制 112
8.4.3安全审计 119
8.4.4边界完整性检查 121
8.4.5入侵防范 124
8.4.6恶意代码防范 127
8.4.7网络设备防护 129
8.5网络安全设计方案实例 132
第9章 主机安全技术实施 134
9.1安全风险 134
9.2安全目标 135
9.3目标措施对应表 137
9.4安全措施 139
9.4.1身份鉴别 139
9.4.2访问控制 143
9.4.3安全审计 146
9.4.4剩余信息保护 149
9.4.5入侵防范 152
9.4.6恶意代码防范 154
9.4.7资源控制 155
9.5主机安全设计方案实例 160
第10章 应用安全技术实施 162
10.1安全风险 162
10.2安全目标 163
10.3目标措施对应表 166
10.4安全措施 168
10.4.1身份鉴别 168
10.4.2访问控制 170
10.4.3安全审计 172
10.4.4剩余信息保护 175
10.4.5通信完整性 175
10.4.6通信保密性 176
10.4.7抗抵赖性 177
10.4.8软件容错 178
10.4.9资源控制 179
10.5应用安全设计方案实例 181
第11章 数据安全技术实施 184
11.1安全风险 184
11.2安全目标 185
11.3目标措施对应表 186
11.4安全措施 187
11.4.1数据完整性 187
11.4.2数据保密性 190
11.4.3数据备份和恢复 194
11.5数据安全设计方案实例 202
第12章 信息系统安全等级保护实施难点 204
12.1三级以上信息系统安全结构分析 204
12.2大型信息系统安全域划分 210
12.3强制访问控制技术与实现 212
12.4可信路径技术与实现 217
第13章 信息系统安全等级测评 220
13.1等级测评的概述 220
13.1.1等级测评的发展历史 220
13.1.2等级测评的意义与作用 221
13.1.3等级测评的相关标准 222
13.2等级测评过程 223
13.2.1测评准备 223
13.2.2方案编制 225
13.2.3现场测评 231
13.2.4分析与报告编制 234
13.2.5小结 238
13.3等级测评工作的角色与职责 238
13.3.1测评准备活动中的职责 238
13.3.2方案编制活动中的职责 239
13.3.3现场测评活动中的职责 239
13.3.4分析与报告编制活动中的职责 240
13.4等级测评与风险评估 240
13.4.1风险评估流程 240
13.4.2风险计算方法 243
13.4.3风险评估工具 244
第14章 信息系统安全等级保护检查 247
14.1检查的分类 247
14.1.1概述 247
14.1.2检查的工作形式 247
14.1.3检查的分类 247
14.2检查的目标和内容 248
14.2.1检查目标 248
14.2.2检查内容 248
14.3检查的实施 249
14.3.1管理类检查 249
14.3.2技术类检查 253
第15章 信息系统安全建设整改实例 261
15.1系统定级 261
15.2需求分析 264
15.2.1系统现状 264
15.2.2等级保护符合性分析 265
15.2.3安全风险分析 266
15.3安全技术总体设计 269
15.3.1总体安全建设目标 269
15.3.2方案设计的原则和依据 269
15.3.3方案依据标准 270
15.3.4安全方案的总体架构 271
15.3.5系统的安全保障体系 274
15.3.6系统拓扑结构 276
15.4安全技术详细设计 276
15.4.1安全防护解决方案 276
15.4.2安全监测解决方案 278
15.4.3安全管理解决方案 282
15.5安全服务解决方案 283
15.5.1安全咨询服务 283
15.5.2安全评估服务 283
15.5.3安全加固服务 285
15.5.4日常维护服务 286
15.6系统测评 286
参考文献 287