信息安全等級保護概述
Information Security Level Protection Overview
信息安全等級保護是國家信息安全保障的基本制度、基本策略、基本方法。開展信息安全等級保護工作是保護信息化發展、維護信息安全的根本保障,是信息安全保障工作中國家意志的體現。信息安全等級保護工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查五個階段。信息系統建設完成后,運營、使用單位或者其主管部門應當選擇符合國家要求的測評機構,依據《信息系統安全等級保護測評要求》等技術標準,定期對信息系統安全等級狀況開展等級測評。
等級保護發展歷程
-
1994年
1994年國務院頒布的《中華人民共和國計算機信息系統安全保護條例》(147號令)規定,“計算機信息系統實行安全等級保護,安全等級的劃分標準和安全等級保護的具體辦法,由公安部會同有關部門制定”,要求實行安全等級保護。
-
1999年
1999年,國家質量技術監督局正式發布了強制性國家標準:GB17859-1999:《計算機信息系統安全保護等級劃分準則》。
-
2003年
2003年中央辦公廳、國務院辦公廳轉發的《國家信息化領導小組關于加強信息安全保障工作的意見》(中辦發[2003]27號文件)明確指出,“要重點保護基礎信息網絡和關系國家安全、經濟命脈、社會穩定等方面的重要信息系統,抓緊建立信息安全等級保護制度,制定信息安全等級保護的管理辦法和技術指南”。
-
2004年
2004年9月15日,由公安部、國家保密局、國家密碼管理局和國信辦聯合下發《關于信息安全等級保護工作的實施意見》(66號文件),明確實施等級保護的基本做法。
-
2007年
2007年6月22日又由四單位聯合下發《信息安全等級保護管理辦法》(43號文件),規范了信息安全等級保護的管理。
-
2007年
2007年7月20日,公安部、國務院信息辦等4部門在北京聯合召開“全國重要信息系統安全等級保護定級工作電視電話會議”,部署在全國范圍內開展重要信息系統安全等級保護定級工作。
-
2008年
2008年《信息安全技術信息系統安全等級保護基本要求》(GB/T 22239-2008):明確對于各等級信息系統的安全保護基本要求。
-
2017年
2017年《中華人民共和國網絡安全法》:第二十一條明確國家實行等級保護制度,三十一條要求關鍵信息基礎設施在網絡安全等級保護制度的基礎上,實行重點保護,落實等級保護制度已經上升到法律層面。
等級保護工作意義
-
(1)責任更清晰
完成等保測評意味著當前的安全狀況被公安機關認可,一旦發生安全事件則是天災與意外;如果沒有進行等級保護測評意味安全狀況沒有達到國家要求,一旦發生安全事件則是人禍,需要自己承擔相關責任。
-
(2)安全建設體系化
以等級保護為標準開展安全建設,可以讓安全建設更加體系化。通過從物理、網絡、主機、應用和數據等多個方面成體系的進行安全建設,打破了傳統頭痛醫頭腳痛醫腳的建設狀況,能對各單位的安全建設提出整體的規劃和思路。
-
(3)合規合法
履行國家《網絡安全法》法律義務、滿足行業監管機構在信息安全領域的合規要求,開展等級保護建設工作可以有效規避組織所面臨的信息安全法律及合規風險。