信息系统安全等级保护定级指南

龍爷

信息系统安全等级保护定级指南
1        范围
本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。
2        规范性引用文件
下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8  信息技术 词汇 第8部分：安全
GB17859-1999 计算机信息系统安全保护等级划分准则
3        术语和定义
GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1        等级保护对象 target of classified security
信息安全等级保护工作直接作用的具体的信息和信息系统。
3.2        客体object
受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。
3.3        客观方面objective
对客体造成侵害的客观外在表现，包括侵害方式和侵害结果等。
3.4        系统服务 system service
信息系统为支撑其所承载业务而提供的程序化过程。
4        定级原理
4.1        信息系统安全保护等级
根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
4.2        信息系统安全保护等级的定级要素
信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
4.2.1        受侵害的客体
等级保护对象受到破坏时所侵害的客体包括以下三个方面：
a)        公民、法人和其他组织的合法权益；
b)        社会秩序、公共利益；
c)        国家安全。
4.2.2        对客体的侵害程度
对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。
等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：
a)        造成一般损害；
b)        造成严重损害；
c)        造成特别严重损害。
4.3        定级要素与等级的关系
定级要素与信息系统安全保护等级的关系如表1所示。
表1 定级要素与安全保护等级的关系

受侵害的客体        对客体的侵害程度
        一般损害        严重损害        特别严重损害
公民、法人和其他组织的合法权益        第一级        第二级        第二级
社会秩序、公共利益        第二级        第三级        第四级
国家安全        第三级        第四级        第五级