金融行業信息安全等級保護測評服務安全指引

❶ 想知道有關於信息安全等級保護服務都是有哪些

等級保護是我們國家的基本網路安全制度、基本國策，也是一套完整和完善的網路安全管理體系。遵循等級保護相關標准開始安全建設是目前企事業單位的普遍要求，也是國家關鍵信息基礎措施保護的基本要求。

信息安全等級保護分為五個級別：

第一級，信息系統受到破壞後，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統受到破壞後，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

第三級，信息系統受到破壞後，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。

第四級，信息系統受到破壞後，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。

第五級，信息系統受到破壞後，會對國家安全造成特別嚴重損害。

企業申請等級保護的作用有：

1、通過等級保護工作發現單位信息系統存在的安全隱患和不足，進行安全整改之後，提高信息系統的信息安全防護能力，降低系統被各種攻擊的風險，維護單位良好的形象。

2、等級保護是我國關於信息安全的基本政策，國家法律法規、相關政策制度要求單位開展等級保護工作。如《網路安全等級保護管理辦法》和《中華人民共和國網路安全法》。

3、很多行業主管單位要求行業客戶開展等級保護工作，目前已經下發行業要求文件的有：金融、電力、廣電、醫療、教育等行業等。落實個人及單位的網路安全保護義務，合理規避風險。

證書案例

❷ 獲國家信息系統安全等級保護測評第二級和第三級的金融企業分別有哪些

信息系統安全等級保護的定義：

等級保護是我們國家的基本網路安全專制度、基本國策，也是屬一套完整和完善的網路安全管理體系。遵循等級保護相關標准開始安全建設是目前企事業單位的普遍要求，也是國家關鍵信息基礎措施保護的基本要求。

信息系統安全等級保護分為五個級別：

① 第一級，等級保護對象受到破壞後，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益;

② 第二級，等級保護對象受到破壞後，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全;

③ 第三級，等級保護對象受到破壞後，會對公民、法人和其他組織的合法權益產生特別嚴重損害，或者對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害;

④ 第四級，等級保護對象受到破壞後，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害;

⑤ 第五級，等級保護對象受到破壞後，會對國家安全造成特別嚴重損害。

證書案例

❸ 如何進行信息系統安全等級保護備案

確定對象
各行業主管部門、運營使用單位按照《信息安全等級保護管理辦法》和《信息系統安全等級保護定級指南》的要求，初步確定定級對象的安全保護等級，起草《信息系統安全等級保護定級報告》。跨省或者全國統一聯網運行的信息系統可以由主管部門統一確定安全保護等級。涉密信息系統的等級確定按照國家保密局的有關規定和標准執行
備案依據
《中華人民共和國計算機信息系統安全保護條例》、《計算機信息網路國際聯網安全保護管理辦法（公安部第33號令）》、公安部、國家保密局、國家密碼管理局、國務院信息化工作辦公室《關於信息安全等級保護工作的實施意見》、《信息安全等級保護管理辦法》（以下簡稱《管理辦法》）。
備案對象
1、電信、廣電行業的公用通信網、廣播電視傳輸網等基礎信息網路，經營性公眾互聯網信息服務單位、互聯網接入服務單位、數據中心等單位的重要信息系統。
2、鐵路、銀行、海關、稅務、民航、電力、證券、保險、外交、科技、發展改革、國防科技、公安、人事勞動和社會保障、財政、審計、商務、水利、國土資源、能源、交通、文化、教育、統計、工商行政管理、郵政等行業、部門的生產、調度、管理、辦公等重要信息系統。
3、市（地）級以上黨政機關的重要網站和辦公信息系統。
4、涉及國家秘密的信息系統（以下簡稱「涉密信息系統」）。
備案材料准備
辦理信息系統安全保護等級備案手續時，應當填寫《信息系統安全等級保護備案表》，第三級以上信息系統應當同時提供以下材料：
（一）系統拓撲結構及說明；
（二）系統安全組織機構和管理制度；
（三）系統安全保護設施設計實施方案或者改建實施方案；
（四）系統使用的信息安全產品清單及其認證、銷售許可證明；
（五）測評後符合系統安全保護等級的技術檢測評估報告；
（六）信息系統安全保護等級專家評審意見；
（七）主管部門審核批准信息系統安全保護等級的意見。
專家評審與審批
初步確定信息系統安全保護等級和准備好備案材料後，三級或以上信息系統需要聘請專家進行評審。
信息系統運營使用單位有上級行業主管部門的，所確定的信息系統安全保護等級應當報上級行業主管部門審批同意。
備案材料提交及審核
定級備案單位將《信息系統安全等級保護備案表》、《信息系統安全等級保護定級報告》及上述配套材料提交屬地公安機關網安部門審核。對符合等級保護要求的，在收到備案材料之日起的10個工作日內頒發信息系統安全等級保護備案證明；發現不符合本辦法及有關標準的，在收到備案材料之日起的10個工作日內通知備案單位予以糾正。
建議如果不懂的可以去網路搜索一下：等保通

❹ 什麼是信息安全等級保護評測標准

信息安全等級保護是我國信息安全保障的一項基本制度，是國家通過制定統 一的信息安全等級保護管理規范和技術標准，組織公民、法人和其他組織對信息系統分等級實行安全保護，對等級保護工作的實施進行監督、管理。 其中，安全控制測評是信息系統整體安全測評的基礎。 對安全控制測評使用 測評單元方式組織。

❺ 信息系統安全等級保護測評流程是什麼

等級測評的流程：

差距測評階段又分為以下內容：測評准備活動、方案編制活動、現場測評活動、分析及報告編制活動，整改階段、驗收測評階段。

1、測評准備活動階段

簽訂《合作合同》與《保密協議》

首先，被測評單位在選定測評機構後，雙方需要先簽訂《測評服務合同》，合同中對項目范圍（系統數量）、項目內容（差距測評？驗收測評？協助整改？）、項目周期（什麼時間進場？項目計劃做多長時間？）、項目實施方案（測評工作的步驟）、項目人員（項目實施團隊人員）、項目驗收標准、付款方式、違約條款等等內容逐一進行約定。

簽訂《測評服務合同》同時，測評機構應簽署《保密協議》。《保密協議》一般分兩種，一種是測評機構與被測單位（公對公）簽署，約定測評機構在測評過程中的保密責任；一種是測評機構項目組成員與被測單位之間簽署。

項目啟動會

在雙方簽完委託測評合同之後，雙方即可約定召開項目啟動會時間。項目啟動會的目的，主要是由甲方領導對公司內部涉及的部門進行動員、提請各相關部門重視、協調內部資源、介紹測評方項目實施人員、計劃安排等內容，為整個等級測評項目的實施做基本准備。

系統情況調研

啟動會後，測評方開展調研，通過填寫《信息系統基本情況調查表》，掌握被測系統的詳細情況，為編制測評方案做好准備。測評准備活動是開展等級測評工作的前提和基礎，是整個等級測評過程有效性的保證。測評准備工作是否充分,直接關繫到後續工作能否順利開展。一個二級系統的測評准備工作一般需要1天半，三級系統的准備工作一般需要2天左右完成。

2、測評方案編制階段

該階段的主要任務是確定與被測信息系統相適應的測評對象、測評指標及測評內容等，並根據需要重用或開發測評實施手冊，形成測評方案。方案編制活動為現場測評提供最基本的文檔依據和指導方案。一個二級系統的方案編制工作一般需要2天左右完成。

3、現場測評階段

現場測評活動是開展等級測評工作的核心活動，包括技術測評和管理測評。其中技術測評包括: 物理安全、網路安全、主機安全、應用安全、數據安全和備份恢復。管理測評包括:安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理。現場差距測評一般包括訪談、文檔審查、配置檢查、工具測試和實地察看五個方面。

一個二級系統的現場測評工作一般需要5天左右完成。

此階段的輸出物為物理安全現場測評記錄、網路安全現場測評記錄、主機安全現場測評記錄、應用安全現場測評記錄、數據安全和備份恢復現場測評記錄、安全管理制度現場測評記錄、安全管理機構現場測評記錄、人員安全管理現場測評記錄、系統建設管理現場測評記錄和系統運維管理現場測評記錄等。

4、分析與報告編制階段

此階段主要任務是根據現場測評結果，通過單項測評結果判定、單元測評結果判定、整體測評和風險分析等方法，找出整個系統的安全保護現狀與相應等級的保護要求之間的差距，並分析這些差距導致被測系統面臨的風險，從而給出等級測評結論，形成測評報告文本。一個二級系統的分析和報告編制工作一般需要3-4天左右完成。

此階段工作不一定需要在客戶現場完成。《測評報告》的模板是由公安機關統一制定的。

此階段的輸出物為《某系統等級測評報告》、《某系統整改建議》。

5、整改階段

主要根據測評機構出具的差距測評報告和整改建議進行整改，此階段主要由備案單位實施，測評機構協助，客戶可以根據自身的實際情況，把整改分為短期、中期、長期。

6、驗收測評階段

測評流程與之前的流程相同，主要是檢查整改的效果。

綜上，一個二級系統完整的測評一次，在客戶方充分配合、測評方派3名測評師的情況下，大致需要四周左右。如果有多個系統同時測評，會存在部分重復工作，具體情況需要具體分析。

❻ 詳細信息安全等級保護測評流程

等保測評工作流程
准備階段
項目啟動
· 組建評測項目組。
· 編制項目計劃書。
· 確定評測委託單位應提供的資料。
信息收集分析
· 查閱定級報告、系統描述文件、系統安全設計方案、自查或上次等級測評報告(如果做過資產或等級測評)等資料。
· 根據查閱到的系統情況調整調查表內容。
· 發放調查表給測評委託單位。
工具和表單准備
· 調試測評工具。
· 模擬被測系統搭建測評環境。
· 模擬測評。
· 准備列印表單。
方案編制階段
測評對象的確定
· 識別被測系統等級。
· 識別被測系統的整體結構。
· 識別被測系統的邊界。
· 識別被測系統的網路區域。
測評指標確定
· 識別被測系統業務信息和系統服務安全保護等級。
· 選擇對應等級的ASG三類安全要求作為測評指標。
註：ASG
A:保護系統連續正常的運行，免受對系統的未授權修改、破壞而導致系統不可用的服務保證類要求;--電力供應、資源控制、軟體容錯等。
S:保護數據在存儲、傳輸、處理過程中不被泄漏、破壞和免受未授權修改的信息安全類要求;--物理訪問控制、邊界完整性檢查、身份鑒別、通信完整性、保密性等。
G:通用安全保護類要求。--技術類中的安全審計、管理制度等。
參考鏈接：www.dbbst.com

❼ 銀行業金融機構信息系統風險管理指引的主要要求是什麼

機構職責
第六條 銀行業金融機構應建立有效的信息系統風險管理架構，完善內部組織結構和工作機制，防範和控制信息系統風險。
第七條 銀行業金融機構應認真履行下列信息系統管理職責：
（一）貫徹執行國家有關信息系統管理的法律、法規和技術標准，落實銀監會相關監管要求；
（二）建立有效的信息安全保障體系和內部控制規程，明確信息系統風險管理崗位責任制度，並監督落實；
（三）負責組織對本機構信息系統風險進行檢查、評估、分析，及時向本機構專門委員會和銀監會及其派出機構報送相關的管理信息；
（四）及時向銀監會及其派出機構報告本機構發生的重大信息系統事故或突發事件，並按有關預案快速響應；
（五）每年經董事會或其他決策機構審查後向銀監會及其派出機構報送信息系統風險管理的年度報告；
（六）做好本機構信息系統審計工作；
（七）配合銀監會及其派出機構做好信息系統風險監督檢查工作，並按照監管意見進行整改；
（八）組織本機構信息系統從業人員進行信息系統有關的業務、技術和安全培訓；
（九）開展與信息系統風險管理相關的其他工作。
第八條 銀行業金融機構的董事會或其他決策機構負責信息系統的戰略規劃、重大項目和風險監督管理；信息科技管理委員會、風險管理委員會或其他負責風險監督的專業委員會應制定信息系統總體策略，統籌信息系統項目建設，定期評估、報告本機構信息系統風險狀況，為決策層提供建議，採取相應的風險控制措施。
第九條 銀行業金融機構法定代表人或主要負責人是本機構信息系統風險管理責任人。
第十條 銀行業金融機構應設立信息科技部門，統一負責本機構信息系統的規劃、研發、建設、運行、維護和監控，提供日常科技服務和運行技術支持；建立或明確專門信息系統風險管理部門，建立、健全信息系統風險管理規章、制度，並協助業務部門及信息科技部門嚴格執行，提供相關的監管信息；設立審計部門或專門審計崗位，建立健全信息系統風險審計制度，配備適量的合格人員進行信息系統風險審計。
第十一條 銀行業金融機構從事與信息系統相關工作的人員應符合以下要求：
（一）具備良好的職業道德，掌握履行信息系統相關崗位職責所需的專業知識和技能；
（二）未經崗前培訓或培訓不合格者不得上崗；經考核不適宜的工作人員，應及時進行調整。
第十二條 銀行業金融機構應加強信息系統風險管理的專業隊伍建設，建立人才激勵機制，適應信息技術的發展。
第十三條 銀行業金融機構應依據有關法律法規及時和規范地披露信息系統風險狀況。
總體風險控制
第十四條 總體風險是指信息系統在策略、制度、機房、軟體、硬體、網路、數據、文檔等方面影響全局或共有的風險。
第十五條 銀行業金融機構應根據信息系統總體規劃，制定明確、持續的風險管理策略，按照信息系統的敏感程度對各個集成要素進行分析和評估，並實施有效控制。
第十六條 銀行業金融機構應採取措施防範自然災害、運行環境變化等產生的安全威脅，防止各類突發事故和惡意攻擊。
第十七條 銀行業金融機構應建立健全信息系統相關的規章制度、技術規范、操作規程等；明確與信息系統相關人員的職責許可權，建立制約機制，實行最小授權。
第十八條 在境外設立的我國銀行業金融機構或在境內設立的境外銀行業金融機構，應防範由於境內外信息系統監管制度差異等造成的跨境風險。
第十九條 銀行業金融機構應嚴格執行國家信息安全相關標准，參照有關國際准則，積極推進信息安全標准化，實行信息安全等級保護。
第二十條 銀行業金融機構應加強對信息系統的評估和測試，及時進行修補和更新，以保證信息系統的安全性、完整性。
第二十一條 銀行業金融機構信息系統數據中心機房應符合國家有關計算機場地、環境、供配電等技術標准。全國性數據中心至少應達到國家A類機房標准，省域數據中心至少應達到國家B類機房標准，省域以下數據中心至少應達到C類機房標准。數據中心機房應實行嚴格的門禁管理措施，未經授權不得進入。
第二十二條 銀行業金融機構應重視知識產權保護，使用正版軟體，加強軟體版本管理，優先使用具有中國自主知識產權的軟、硬體產品；積極研發具有自主知識產權的信息系統和相關金融產品，並採取有效措施保護本機構信息化成果。
第二十三條 銀行業金融機構與信息系統相關的電子設備的選型、購置、登記、保養、維修、報廢等應嚴格執行相關規程，選用的設備應經過技術論證，測試性能應符合國家有關標准。信息系統所用的伺服器等關鍵設備應具有較高的可靠性、充足的容量和一定的容錯特性，並配置適當的備品備件。
第二十四條 信息系統的網路應參照相關的標准和規范設計、建設；網路設備應兼備技術先進性和產品成熟性；網路設備和線路應有冗餘備份；嚴格線路租用合同管理，按照業務和交易流量要求保證傳輸帶寬；建立完善的網管中心，監測和管理通信線路及網路設備，保障網路安全穩定運行。
第二十五條 銀行業金融機構應加強網路安全管理。生產網路與開發測試網路、業務網路與辦公網路、內部網路與外部網路應實施隔離；加強無線網、互聯網接入邊界控制；使用內容過濾、身份認證、防火牆、病毒防範、入侵檢測、漏洞掃描、數據加密等技術手段，有效降低外部攻擊、信息泄漏等風險。
第二十六條 銀行業金融機構應加強信息系統加密機、密鑰、密碼、加解密程序等安全要素的管理，使用符合國家安全標準的密碼設備，完善安全要素生成、領取、使用、修改、保管和銷毀等環節管理制度。密鑰、密碼應定期更改。
第二十七條 銀行業金融機構應加強數據採集、存貯、傳輸、使用、備份、恢復、抽檢、清理、銷毀等環節的有效管理，不得脫離系統採集加工、傳輸、存取數據；優化系統和資料庫安全設置，嚴格按授權使用系統和資料庫，採用適當的數據加密技術以保護敏感數據的傳輸和存取，保證數據的完整性、保密性。
第二十八條 銀行業金融機構應對信息系統配置參數實施嚴格的安全與保密管理，防止非法生成、變更、泄漏、丟失與破壞。根據敏感程度和用途，確定存取許可權、方式和授權使用范圍，嚴格審批和登記手續。

第二十九條 銀行業金融機構應制定信息系統應急預案，並定期演練、評審和修訂。省域以下數據中心至少實現數據備份異地保存，省域數據中心至少實現異地數據實時備份，全國性數據中心實現異地災備。
第三十條 銀行業金融機構應加強對技術文檔資料和重要數據的備份管理；技術文檔資料和重要數據應保留副本並異地存放，按規定年限保存，調用時應嚴格授權。信息系統的技術文檔資料包括：系統環境說明文件、源程序以及系統研發、運行、維護過程中形成的各類技術資料。重要數據包括：交易數據、賬務數據、客戶數據，以及產生的報表數據等。
第三十一條 銀行業金融機構在信息系統可能影響客戶服務時，應以適當方式告知客戶。
研發風險控制
第三十二條 研發風險是指信息系統在研發過程中組織、規劃、需求、分析、設計、編程、測試和投產等環節產生的風險。
第三十三條 銀行業金融機構信息系統研發前應成立項目工作小組，重大項目還應成立項目領導小組，並指定負責人。項目領導小組負責項目的組織、協調、檢查、監督工作。項目工作小組由業務人員、技術人員和管理人員組成，具體負責整個項目的開發工作。
第三十四條 項目工作小組人員應具備與項目要求相適應的業務經驗與專業技術知識，小組負責人需具備組織領導能力,保證信息系統研發質量和進度。
第三十五條 銀行業金融機構業務部門根據本機構業務發展戰略，在充分進行市場調查、產品效益分析的基礎上制定信息系統研發項目可行性報告。
第三十六條 銀行業金融機構業務部門編寫項目需求說明書，提出風險控制要求，信息科技部門根據項目需求編制項目功能說明書。
第三十七條 銀行業金融機構信息科技部門依據項目功能說明書分別編寫項目總體技術框架、項目設計說明書，設計和編碼應符合項目功能說明書的要求。
第三十八條 銀行業金融機構應建立獨立的測試環境，以保證測試的完整性和准確性。測試至少應包括功能測試、安全性測試、壓力測試、驗收測試、適應性測試。測試不得直接使用生產數據。
第三十九條 銀行業金融機構信息科技部門應根據測試結果修補系統的功能和缺陷，提高系統的整體質量。
第四十條 銀行業金融機構業務人員、技術人員應根據職責范圍分別編寫操作說明書、技術應急方案、業務連續性計劃、投產計劃、應急回退計劃，並進行演練。

第四十一條 開發過程中所涉及的各種文檔資料應經相關部門、人員的簽字確認並歸檔保存。
第四十二條 項目驗收應出具由相關負責人簽字的項目驗收報告，驗收不合格不得投產使用。
第五章運行維護風險控制
第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。
外包風險控制
第五十一條 外包風險是指銀行業金融機構將信息系統的規劃、研發、建設、運行、維護、監控等委託給業務合作夥伴或外部技術供應商時形成的風險。
第五十二條 銀行業金融機構在進行信息系統外包時，應根據風險控制和實際需要，合理確定外包的原則和范圍，認真分析和評估外包存在的潛在風險，建立健全有關規章制度，制定相應的風險防範措施。
第五十三條 銀行業金融機構應建立健全外包承包方評估機制，充分審查、評估承包方的經營狀況、財務實力、誠信歷史、安全資質、技術服務能力和實際風險控制與責任承擔水平，並進行必要的盡職調查。評估工作可委託經國家相應監管部門認定資質，具有相關專業經驗的獨立機構完成。
第五十四條 銀行業金融機構應當與承包方簽訂書面合同，明確雙方的權利、義務，並規定承包方在安全、保密、知識產權方面的義務和責任。
第五十五條 銀行業金融機構應充分認識外包服務對信息系統風險控制的直接和間接影響，並將其納入總體安全策略和風險控制之中。
第五十六條 銀行業金融機構應建立完整的信息系統外包風險評估與監測程序，審慎管理外包產生的風險，提高本機構對外包管理的能力。
第五十七條 銀行業金融機構的信息系統外包風險管理應當符合風險管理標准和策略，並應建立針對外包風險的應急計劃。
第五十八條 銀行業金融機構應與外包承包方建立有效的聯絡、溝通和信息交流機制，並制定在意外情況下能夠實現承包方的順利變更，保證外包服務不間斷的應急預案。
第五十九條 銀行業金融機構將敏感的信息系統，以及其他涉及國家秘密、商業秘密和客戶隱私數據的管理與傳遞等內容進行外包時，應遵守國家有關法律法規，符合銀監會的有關規定，經過董事會或其他決策機構批准，並在實施外包前報銀監會及其派出機構和法律法規規定需要報告的機構備案。