电信网和互联网安全等级保护实施指南 全文 v4.0

电信网和互联网安全等级保护实施指南

1　范围

本标准规定了电信网和互联网安全等级保护的概念、对象、目标，安全等级划分原则，并结合电信网和互联网的生命周期定义了电信网和互联网安全等级保护实施过程中的主要阶段及主要活动。

本标准适用于电信网和互联网的安全等级保护工作。

本标准是电信网和互联网安全等级保护的总体指导性文件，针对具体网络的安全等级保护可参考具体网络的安全防护要求和安全防护检测要求。

2　规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

GB/T 5271.8-2001    信息技术 词汇 第8部分：安全

GB/T xxxx-xxxx      信息系统安全保护等级定级指南

GB/T xxxx-xxxx      信息系统安全等级保护实施指南

GB/T xxxx-xxxx      信息安全风险评估实施规范

GB/T xxxx-xxxx      信息安全风险管理指南

GB/T xxxx-xxxx      信息系统灾难恢复规划指南

3　术语和定义

GB/T 5271.8-2001确立的术语和定义，以及下列术语和定义适用于本标准。

3.1 

电信网 telecom network

利用有线和/或无线的电磁、光电系统，进行文字、声音、数据、图象或其它任何媒体的信息传递的网络，包括固定网、移动网等。

3.2

电信网和互联网安全防护体系 security protection architecture of telecom network and Internet

电信网和互联网的安全等级保护、安全风险评估、灾难备份及恢复三项工作互为依托、互为补充、相互配合，共同构成了电信网和互联网安全防护体系。

3.3

电信网和互联网相关系统 systems of telecom network and Internet

组成电信网和互联网的相关系统，包括接入网、传送网、IP承载网、核心网、信令网、同步网、支撑网、网络终端等。其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH等，核心网包括固定交换、移动交换、软交换、集群、卫星网、3G和下一代网络相关的核心网等，而支撑网包括业务支撑和网管系统。

3.4 

电信网和互联网安全等级 security classification of telecom network and Internet

电信网和互联网及相关系统安全重要程度的表征。重要程度可从电信网和互联网及相关系统受到破坏后，对国家安全、社会秩序、经济建设、公共利益、网络和业务运营商造成的损害来衡量。

3.5 

电信网和互联网安全等级保护 classified security protection of telecom network and Internet

指对电信网和互联网及相关系统分等级实施安全保护。

3.6

电信网和互联网基本保护要求 basic protection requirements of telecom network and Internet

为确保电信网和互联网及相关系统具有与其安全等级相对应的安全保护能力应该满足的最低要求。

3.7 

电信网和互联网安全检测 security testing of telecom network and Internet

对电信网和互联网及相关系统的安全保护能力是否达到相应保护要求进行衡量。

3.8

电信网和互联网安全风险 security risk of telecom network and Internet

人为或自然的威胁利用电信网和互联网及相关系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。

3.9

电信网和互联网安全风险评估 security risk assessment of telecom network and Internet

指运用科学的方法和手段，系统地分析电信网和互联网及相关系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解电信网和互联网及相关系统安全风险，或者将风险控制在可接受的水平，从而最大限度地为保障电信网和互联网及相关系统的安全提供科学依据。

3.10

电信网和互联网灾难  disaster of telecom network and Internet

由于人为或自然的原因，造成电信网和互联网及相关系统故障或瘫痪，使电信网和互联网及相关系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。

3.11

电信网和互联网灾难备份 backup for disaster recovery of telecom network and Internet

为了电信网和互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。

3.12

电信网和互联网灾难恢复 disaster recovery of telecom network and Internet

为了将电信网和互联网及相关系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。

4　安全等级保护概述

4.1　安全等级保护对象

电信网和互联网安全等级保护的主要对象是电信网和互联网及相关系统，包括固定网、移动网、互联网、增值业务网、接入网、传送网、IP承载网、核心网、信令网、同步网、支撑网、网络终端等。其中，增值业务网则包括消息网、智能网等业务平台以及业务管理平台，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH等，核心网包括固定交换、移动交换、软交换、集群、卫星网、3G和下一代网络相关的核心网等，支撑网包括业务支撑和网管系统。

安全等级保护的具体工作涉及到对电信网和互联网分等级实施安全保护、对电信网和互联网中使用的安全产品实行分等级管理、对电信网和互联网中发生的安全事件分等级处理等内容。本标准主要关注于对电信网和互联网分等级实施安全保护提供指导，关于国家对电信网和互联网使用的安全产品实行分等级管理以及电信网和互联网发生的安全事件实行分等级处理的管理参见其它的相关标准。

本标准后续内容中所指的“安全等级保护”，其含义均为“对电信网和互联网分等级实施安全保护”。

4.2　安全等级保护目标

安全等级保护的目标是通过对电信网和互联网及相关系统进行安全等级划分，按照本系列标准中的安全等级保护要求进行规划、建设、运维、管理和监督，从而加强电信网和互联网及相关系统的安全防护能力，确保其安全性和可靠性。

主管部门对不同安全等级的电信网和互联网及相关系统提出不同的基本保护要求，实行不同等级的监管，这些基本保护要求是保障各等级电信网和互联网及相关系统安全的最基本要求。电信网和互联网及相关系统应能够满足其所属安全等级的基本保护要求。

电信网和互联网安全等级保护工作可以实现对电信网和互联网及相关系统重点保护和有效保护的目的，增强安全保护的整体性、针对性和实效性，使电信网和互联网及相关系统的安全建设能够突出重点、统一规范、科学合理。

5　安全等级保护的实施过程

5.1　基本原则

电信网和互联网安全等级保护工作应首先满足电信网和互联网安全防护工作提出的适度安全原则、标准性原则、可控性原则、完备性原则、最小影响原则以及保密性原则。在此基础上，电信网和互联网安全等级保护工作在实施过程中还应重点遵循以下原则：

a)  自主保护原则

    在主管部门的监督指导下，各网络和业务运营商遵照本系列标准中确定的安全等级，对本单位的电信网和互联网及相关系统自主实施安全保护。

b)  同步建设原则

各运营商在对电信网和互联网及相关系统进行新建、改建、扩建时，应当同步规划和设计其安全方案，投入一定比例的资金实施安全方案，保障电信网和互联网及相关系统与其所属安全等级的要求相适应。

c)  重点保护原则

通过对电信网和互联网及相关系统划分不同的安全等级，提出不同程度的安全保护要求，实现不同等级的安全保护，集中资源优先保护关键的电信网和互联网及相关系统。

d)  适当调整原则

跟踪电信网和互联网及相关系统的变化情况调整其安全等级，并根据安全等级的调整情况及时调整相应的安全保护措施。

5.2　相关角色和职责

对电信网和互联网及相关系统实施安全等级保护的过程中涉及到各类组织和人员，不同组织和人员将会参与不同或相同的活动。安全等级保护实施过程中各类角色及其职责如下：

a)  主管部门

主管部门的主要职责是监督、管理网络和业务运营商遵照本系列标准中确定的安全等级和安全等级保护的要求对其管辖的电信网和互联网及相关系统进行安全等级保护；对网络和业务运营商的安全等级保护工作开展情况进行检查，发现存在安全隐患或未达到安全等级保护要求的，责令其限期整改。安全等级保护工作的主管部门是信息产业部和相关电信管理局。

b)  网络和业务运营商

网络和业务运营商的主要职责是根据本系列标准中确定的安全等级和安全等级保护的要求对其管辖的电信网和互联网及相关系统进行安全等级保护的实施工作，包括规划设计、建设施工、运维、废弃等；对安全等级是自主保护级的电信网和互联网及相关系统，加强其自主保护工作，对安全等级是指导保护级、监督保护级的电信网和互联网及相关系统，根据主管部门的要求上报其等级保护工作的实施情况；定期对其管辖的电信网和互联网及相关系统进行安全状况检查，及时消除安全隐患和漏洞；加强和完善自身安全等级保护制度的建设，制定不同等级安全事件的响应、处置预案，加强电信网和互联网及相关系统的安全管理。

c)  设备制造商

设备制造商的主要职责是遵照本系列标准中的安全等级保护要求开发安全的网络设备，提交网络设备进行入网测试，并且销售安全的网络设备。

d)  检测机构

检测机构必须是由信息产业部授权的具有安全防护检测服务资质的机构。检测机构的主要职责是根据主管部门或网络和业务运营商的委托，按照本系列标准对已经完成安全等级保护建设的电信网和互联网及相关系统进行安全检测。

e)  安全服务商

安全服务商应按照国家和信息产业部的相关规定,在本系列标准的指导下，根据网络和业务运营商的要求协助其实施安全等级保护工作。

更多内容请免费下载中存储网整理上传的电信网和互联网安全等级保护实施指南 全文 v4.0

声明： 此文观点不代表本站立场；转载须要保留原文链接；版权疑问请联系我们。