信息網絡的全球化使得信息網絡的安全問題也全球化起來，任何與互聯網相連接的信息系統都必 須面對世界範圍内的網絡攻擊、數據竊取、身份 假冒等安全問題。發達國家普遍發生(shēng)的有關利用 計算機進行犯罪的案件，絕大(dà)部分(fēn)已經在我(wǒ)(wǒ)國出現。
當前計算機信息系統的建設者、管理者和使用者都面臨着一(yī)個共同的問題，就是他們建設、管理 或使用的信息系統是否是安全的？如何評價系統 的安全性？
這就需要有一(yī)整套用于規範計算機信息系統安全建設和使用的标準和管理辦法。
1994 年，國務院發布了《中(zhōng)華人民共和國計算機信息系統安全保護條例》，該條例是計算機信息系統安全保護的法 律基礎。其中(zhōng)第九條規定“計算機信息系統實行安全等級保護。安全等級的劃分(fēn)标準和安全等級保護的具體(tǐ)辦法，
由公安部會同有關部門制定。”
公安部在《條例》發布實施後便着手開(kāi)始了計算機信息系統安全等級保護的研究和準備工(gōng)作。等級管理的思想和方法具有科學、合理、規範、便于理解、掌握和運用等優點， 因此，對計算機信息系統實行安全等級保護制度，是我(wǒ)(wǒ)國計算機信息系統安全保護工(gōng)作的重要發展思路，對于正在
發展中(zhōng)的信息系統安全保護工(gōng)作更有着十分(fēn)重要的意義。
等級保護制度的意義
爲切實加強重要領域信息系統安全的規範化建設和管理， 全面提高國家信息系統安全保護的整體(tǐ)水平，使公安機關 公共信息網絡安全監察工(gōng)作更加科學、規範，指導工(gōng)作更 具體(tǐ)、明确，公安部組織制訂了《計算機信息系統安全保護等級劃分(fēn)準則》國家标準，并于1999年9 月13日由國家 質量技術監督局審查通過并正式批準發布，已于 2001年1 月1日執行。
該準則的發布爲計算機信息系統安全法規和配套标準的制 定和執法部門的監督檢查提供了依據，爲安全産品的研制 提供了技術支持，爲安全系統的建設和管理提供了技術指 導，是我(wǒ)(wǒ)國計算機信息系統安全保護等級工(gōng)作的基礎。
美國國防部早在80年代就針對國防部門的計算機 安全保密開(kāi)展了一(yī)系列有影響的工(gōng)作，後來成立了所屬的機構--國家計算機安全中(zhōng)心（NCSC）繼續進行有關工(gōng)作。
1984年美國國防部發布的《可信計算機系統評估準則》（Trusted Computer System Evaluation Criteria）即桔皮書(shū)。
目的：
爲制造商(shāng)提供一(yī)個安全标準；
爲國防部各部門提供一(yī)個度量标準，用來評估計算機 系統或其他敏感信息的可信度；
在分(fēn)析、研究規範時，爲指定安全需求提供基礎。
TCSEC采用等級評估的方法，将計算機安全分(fēn)爲A、B、C、D四個等級八個級别，D等級安全級别最低，風險最高，A等級安全級别最高，風險最低；
評估類别：
安全策略
可審計性
保證
文檔
無保護級（D級）
是爲那些經過評估，但不滿足較高評估等級要 求的系統設計的，隻具有一(yī)個級别
該類是指不符合要求的那些系統，因此，這種 系統不能在多用戶環境下(xià)處理敏感信息
自主保護級（C級）
具有一(yī)定的保護能力，采用的措施是身份認證、自主訪問控制和審計跟蹤
一(yī)般隻适用于具有一(yī)定等級的多用戶環境
具有對主體(tǐ)責任及其動作審計的能力
自主安全保護級（C1級)
控制訪問保護級（C2級）
強制保護級 （B級）
B類系統中(zhōng)的客體(tǐ)必須攜帶敏感标記（安全等級）
TCB應維護完整的敏感标記，并在此基礎上執行一(yī)系列 強制訪問控制規則
标記安全保護級（B1級）
結構保護級（B2級）
強制安全區域級（B3級）
驗證保護級（A級）
A類的特點是使用形式化的安全驗證方法，保證系統的自主和強制 安全控制措施能夠有效地保護系統中(zhōng)存儲和處理的秘密信息或其他敏感信息
爲證明TCB滿足設計、開(kāi)發及實現等各個方面的安全要求，系統應 提供豐富的文檔信息
Trusted Computing Base可靠計算基礎。就是計算系統中(zhōng)的每 個事物(wù)都提供了一(yī)個安全環境。這包括操作系統和它提供的安全 機制，硬件，物(wù)理定位，網絡硬件和軟件，指定處理過程。具有 代表性的是控制訪問的防備，對特殊資(zī)源的授權，支持用戶身份 驗證，抵抗病毒和其他對系統的滲透，還有數據備份。假設可靠 計算基礎已經或必須被測試和驗證通過。
驗證設計級（A1級）
超A1級
TCSEC 帶動了國際計算機安全的評估研究。
90年代西歐四國（英、法、荷、德）聯合提出了信息技術 安全評估标準（ITSEC），ITSEC（又(yòu)稱歐洲白(bái)皮書(shū)）除 了吸收TCSEC 的成功經驗外(wài)，首次提出了信息安全的保密性、完整性、可用性的概念，把可信計算機的概念提高 到可信信息技術的高度上來認識。他們的工(gōng)作成爲歐共體(tǐ) 信息安全計劃的基礎，并對國際信息安全的研究、實施帶 來深刻的影響。
來自六國七方的安全标準組織組合成的單一(yī)的、能被廣泛使用的IT安全準則。
目的：解決各标準中(zhōng)出現的概念和技術上的差異，并把結 果作爲國際标準提交給ISO。
内容：對信息系統的安全功能、安全保障給出了分(fēn)類描述， 并綜合考慮信息系統的資(zī)産價值、威脅等因素後，對被評估對象提出了安全需求（保護輪廓PP）及安全實現（安全目标ST）等方面的評估。
重點考慮人爲的威脅，也用于非人爲因素導緻的威脅。
CC适用于硬件、固件和軟件實現的信息技術安全措施，而某些内容因涉及特殊專業技術或僅是信息技術安全的外(wài)圍技術不在CC的範圍内。
通用準則(Common Criteria,CC)是目前國際上最全面的 信息技術安全性評估準則,它具有國際互認的優勢,因此研究CC評估、建立CC評估體(tǐ)系對我(wǒ)(wǒ)國的信息安全發展具有 重大(dà)意義。通用評估方法CEM(Common Evaluation Methodology,CEM)是CC評估配套的評估方法。
1989年公安部開(kāi)始設計起草法律和标準，在起草過程中(zhōng)經過長期的對國内外(wài)廣泛的調查和研究，特 别是對國外(wài)的法律法規、政府政策、标準和計算機 犯罪的研究，使我(wǒ)(wǒ)們認識到要從法律、管理和技術 三個方面着手；采取的措施要從國家制度的角度來 看問題，對信息安全要實行等級保護制度。
《計算機信息系統安全保護等級劃分(fēn)準則》
意義：
該準則的發布爲計算機信息系統安全法規和配套标準 的制定和執法部門的監督檢查提供了依據
爲安全産品的研制提供了技術支持
爲安全系統的建設和管理提供了技術指導是我(wǒ)(wǒ)國計算 機信息系統安全保護等級工(gōng)作的基礎
将計算機信息系統安全保護等級劃分(fēn)爲五個級别。
第一(yī)級：用戶自主保護級
第二級：系統審計保護級
第三級：安全标記保護級
第四級：結構化保護級
第五級：訪問驗證保護級
第一(yī)級：用戶自主保護級：
計算機信息系統可信計算基通過隔離(lí)用戶與數據， 使用戶具備自主安全保護的能力。
它具有多種形式的控制能力，對用戶實施訪問控 制，即爲用戶提供可行的手段，保護用戶和用戶 組信息，避免其他用戶對數據的非法讀寫與破壞
第二級：系統審計保護級：
與用戶自主保護級相比，計算機信息系統可信計 算基實施了粒度更細的自主訪問控制
它通過登錄規程、審計安全性相關事件和隔離(lí)資(zī)源，使用戶對自己的行爲負責
第三級：安全标記保護級：
計算機信息系統可信計算基具有系統審計保護級 所有功能
此外(wài)，還提供有關安全策略模型、數據标記以及主體(tǐ)對客體(tǐ)強制訪問控制的非形式化描述
具有準确地标記輸出信息的能力
消除通過測試發現的任何錯誤
第四級：結構化保護級：
計算機信息系統可信計算基建立于一(yī)個明确定義的形式化安全策略模型之上
要求将第三級系統中(zhōng)的自主和強制訪問控制擴展到所有主體(tǐ)與客體(tǐ)
此外(wài)，還要考慮隐蔽通道
計算機信息系統可信計算基必須結構化爲關鍵保護元素和非關鍵保護元素
計算機信息系統可信計算基的接口也必須明确定義，使其設計與實現 能經受更充分(fēn)的測試和更完整的複審
加強了鑒别機制
支持系統管理員(yuán)和操作員(yuán)的職能
提供可信設施管理
增強了配置管理控制
系統具有相當的抗滲透能力
第五級：訪問驗證保護級：
計算機信息系統可信計算基滿足訪問監控器需求
訪問監控器仲裁主體(tǐ)對客體(tǐ)的全部訪問
訪問監控器本身是抗篡改的；必須足夠小(xiǎo)，能夠分(fēn)析和測 試支持安全管理員(yuán)職能
擴充審計機制，當發生(shēng)與安全相關的事件時發出信号
提供系統恢複機制
系統具有很高的抗滲透能力
- 黨政系統(黨委、政府)；
- 金融系統(銀行、保險、證券)；
- 财稅系統(财政、稅務、工(gōng)商(shāng))；
- 經貿系統(商(shāng)業貿易、海關)；
- 電(diàn)信系統(郵電(diàn)、電(diàn)信、廣播、電(diàn)視)；
- 能源系統(電(diàn)力、熱力、燃氣、煤炭、油料)；
- 交通運輸系統(航空、航天、鐵路、公路、水運、海運)；
- 供水系統(水利及水源供給)；
- 社會應急服務系統(醫療、消防、緊急救援)；
- 教育科研系統(教育、科研、尖端科技)；
- 國防建設系統;
-國有大(dà)中(zhōng)型企業系統；
-互聯單位、接入單位、重點網站及向公衆提供上網服務場所的計算機信息 系統.
2017/6/30 27/41
信息安全等級保護是《中(zhōng)華人民共和國計算機信息系統安全保護條例》規定的法定保護制度，具有強制性；
以國家制度推進信息和信息系統安全保護責任的落實；
符合客觀實際，具有科學性；
具有自我(wǒ)(wǒ)保護與國家保護相結合的長效保護機制；
突出保護重點，國家優先重點保護涉及國計民生(shēng)的信息系統， 國家基礎信息網絡和重要信息系統内分(fēn)級重點保護三級以上的局域網和子系統安全；
具有整體(tǐ)保護性，在突出重點，兼顧一(yī)般的原則下(xià)，着重加 強重點、要害部位,由點到面進行保護，逐步實現信息安全整 體(tǐ)保障。國家實行信息安全等級保護，必須緊緊抓住抓好五個關鍵環節，形成長效信息安全等級保護運行機制。國家信息 安全等級保護制度運行機制有以下(xià)關鍵環節構成：
1．法律規範
2．管理與技術規範
3．實施過程控制
4．結果控制
5．監督管理。
3．實施過程控制：明确落實系統擁有者的安全責任制，系
統擁有者按法律規定和安全等級标準的要求進行信息系統的建 設和管理，并承擔應急管理責任，在信息系統生(shēng)命周期内進行 自管、自查、自評，建立安全管理體(tǐ)系。安全産品的研發者提 供符合安全等級标準要求的技術産品。
5．監督管理：公安機關依法行政，督促安全等級保護
責任制的落實，以等級保護标準監督、檢查、指導基礎信 息網絡和重要信息系統安全等級保護建設、管理。對安全 等級技術産品實行監管，對監測評估機構實施監管。政府 其他職能部門應當認真履行職責，依法行政，按職責開(kāi)展 信息安全等級保護專項制度建設工(gōng)作，完善信息安全監督 體(tǐ)系。
首先，公安、國家保密、國家密碼管理、技術監督、
信息産業等國家有關信息網絡安全的行政主管部門要在國家 信息化領導小(xiǎo)組的統一(yī)領導下(xià)，制定我(wǒ)(wǒ)國開(kāi)展信息網絡安全 等級保護工(gōng)作的發展政策，統一(yī)制定針對不同安全保護等級 的管理規定和技術标準，對不同信息網絡确定不同安全保護等級和實施不同的監督管理措施，既包括依法進行行政監督、 檢查和指導，也包括依據國家技術标準進行的技術檢查和評 估。
第三，等級保護實行“國家主導； 重點單位強制，一(yī)般單位自願；高保護 級别強制，低保護級别自願”的監管原則。
第四，信息網絡安全狀況等級的技術檢測是等級保護的重點。
由國家授權的技術檢測機構通過技術檢測 來進行評定。技術檢測機構需取得國家主管部 門的技術資(zī)質和授權後，方可從事信息網絡安 全等級保護的技術檢測。
計劃在五年左右的時間在全國範圍内分(fēn)三個階段實施信息安全等級保護制度：
1、準備階段
2、試行階段
3、全面實行階段
信息系統等級的劃分(fēn)方法（自主評級）
實施步驟：
業務影響分(fēn)析、劃分(fēn)子系統 确定子系統邊界
确定安全保護等級
子系統間訪問關系的模型化
安全風險分(fēn)析與控制措施調整 确定系統保護安全計劃
系統等級和安全計劃的批準