等级保护工作汇报（精选8篇）由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“等级保护工作总结”。
第1篇：信息安全等级保护工作汇报
2013年信息安全等级保护工作汇报
一、加强领导
2013年，根据扬州市信息安全等级保护办公室的的通知，集团高度重视非涉密重要信息系统的信息安全保护工作。集团安全等级保护工作由集团信息安全领导小组负责，具体工作由网络技术部和扬州网等部门承担，负责集团信息系统等级保护工作，并开展对集团所属单位的监督指导。根据安排，集团自2011年以来就开展了信息系统安全等级保护基础调查工作等相关工作，全面开展信息系统安全等级保护，同时通过组织培训等方式，不断加强技术人员的培养，强化信息安全保护能力。
二、完善制度
为贯彻落实全市加强和改进互联网建设与管理工作会议和市委办公室、市政府办公室《扬州市深入推进信息安全等级保护工作的实施意见》（扬办发[2012]57号）文件精神，对集团信息系统安全等级保护工作做出了具体的要求，根据等级保护要求，开展了信息安全制度的前期完善工作。陆续制定了“增加扬州网一些网站新闻发布审核的制度”、《外部人员访问机房审批管理制度》、《中心机房管理办法》、《机房消防安全管理制度》等制度。
三、信息等级安全保护基本情况
目前，集团已有扬州网、扬州晚报网、扬州汽车网、艺术在线网和多个内部信息系统根据等级保护的要求进行了整改优化，积极加强信息系统安全环境建设，消除安全管理中的薄弱环节。在物理安全方面，机房安装门禁系统，严格管理机房人员进出，消防设施完善，所有设备通过UPS供电。关键网络设备和服务器做到有主有备，确保在发生物理故障时可以及时更换。
在网络安全方面，我们严格按照内、外网物理隔离的标准建设网络系统，并采用虚拟局域网技术，通过交换机端口的IP绑定，防止非法网络接入；在网络出口以及不同网络互联边界全面部署硬件防火墙，部署日志服务器，记录并留存使用互联网和内部网络地址对应关系；
在集团互联网出口部署网络行为管理系统，规范和记录上网行为，合理控制不同应用的网络流量，实现网络带宽动态分配，保障了信息系统正常应用的网络环境。
在主机安全方面，终端计算机采用双硬盘及物理隔离互联网及内网应用，通过部署趋势网络防毒墙网络版，安装联软安全管理软件保障客户机系统安全，并且做到漏洞补丁及时更新，重要的应用系统安装了计算机监控与审计系统，实现对主机的USB等外设接口的控制管理，采用KEY用户名密码等方式控制用户登陆行为。
对于应用安全，严格做好系统安全测试，配备了专门的漏洞 扫描仪定期扫描应用系统漏洞，并按测试结果做好安全修复和加固工
作；在网站区，部属入侵防御系统，监测、记录安全事件，及时阻断入侵行为，自部署起已多次成功检测出SQL注入，FTP匿名登录，网站目录遍历，探测主机地址漏洞等。
在数据安全方面，数据库通过备份系统定期备份，关键数据库服务器采用双机热备份，保证数据库服务器的可用性和高效性，在出现故障时可以快速恢复；数据库的访问按不同用户身份进行严格的权限控制。
四、建议
信息系统安全等级保护工作责任重大，技术性强，工作量巨大，集团在该项工作上虽然取得一些进展，但是与市里要求还有相当的差距，在等级保护意识、宣传力度、技术人才的培养和制度的建立上仍然存在问题。
建议市里加强工作指导，通过多种方式的等级保护技术交流和培训，提高单位领导及员工的等级保护意识，进一步推进集团的信息系统等级保护工作。
第2篇：信息安全等级保护工作汇报
2009年信息安全等级保护工作汇报
2010年1月20日
一、加强领导 2009年，根据部里的总体部署，我厅高度重视非涉密重要信息系统的信息安全保护工作。我厅交通信息安全等级保护工作由厅信息安全领导小组负总责，具体工作由厅信息安全领导小组办公室承担，负责厅机关信息系统等级保护工作，并开展对厅直单位的监督指导。根据安排，我厅自2007年以来就开展了信息系统安全等级保护基础调查工作等相关工作，全面开展信息系统安全等级保护，同时通过组织培训等方式，不断提高技术人员的培养，强化信息安全保护能力。
二、完善制度 为了做好信息系统等级保护工作，根据《信息安全等级保护管理办法》（公通字200743号）的要求，结合我省实际，我厅制定并印发了《福建省交通运输厅信息系统等级保护管理制度》，对交通信息系统安全等级保护工作做出了具体的要求，同时在我厅开展的资源整合和服务工程建设中，根据等级保护要求，编制《厅网络安全系统建设方案》，制订了分步实施计划，并开展了数据库审计测试等前期工作。2
三、信息等级安全保护基本情况 目前，厅机关已有办公自动化、门户网站及交通地理信息系统等3个系统完成了等级保护备案和测评工作，并根据测评中心的评估报告进行了整改优化，积极加强信息系统安全环境建设，消除安全管理中的薄弱环节。在物理安全方面，机房安装门禁系统，严格管理机房人员进出，消防设施完善，所有设备通过UPS供电。关键网络设备和服务器做到有主有备，确保在发生物理故障时可以及时更换。
在网络安全方面，我们严格按照内、外网物理隔离的标准建设网络系统，并采用虚拟局域网技术，通过交换机端口的IP绑定，防止非法网络接入；在网络出口以及不同网络互联边界全面部署硬件防火墙，部署日志服务器，记录并留存使用互联网和内部网络地址对应关系；在厅互联网出口部署网络行为管理（智能网关）系统，规范和记录上网行为，合理控制不同应用的网络流量，实现网络带宽动态分配，保障了信息系统正常应用的网络环境。部署入侵防御系统监测、记录网络安全事件。在主机安全方面，终端计算机采用双硬盘及物理隔离卡隔离互联网及政务内网应用，通过部署趋势网络防毒墙网络版，安装360安全卫士等安全软件保障主机系统安全，并且做到系统漏洞补丁及时更新，内网终端全部在政务网注册，重要的应用系统安装了计算机监控与审计系统，实现对主机的USB等外设接口的控制管理，采用KEY用户名密码等方式控制用户登陆行为。对于应用安全，严格做好系统安全测试，配备了专门的漏洞 3 扫描仪定期扫描应用系统漏洞，并按测试结果做好安全修复和加固工作；在网站区，部属入侵防御系统，监测、记录安全事件，及时阻断入侵行为，自部署起已多次成功检测出SQL注入，FTP匿名登录，网站目录遍历，探测主机地址漏洞等。同时还安装网页防篡改系统，保障网站正常运行。在数据安全方面，数据库通过备份系统定期备份，关键数据库服务器采用双机热备份，保证数据库服务器的可用性和高效性，在出现故障时可以快速恢复；数据库的访问按不同用户身份进行严格的权限控制。此外，2009年我厅新建成的福建省卫星定位安全服务等4个系统也
及时向省网安办履行了申请备案和测评手续，具体测评正在实施中。
四、建议 信息系统安全等级保护工作责任重大，技术性强，工作量巨大，我省在该项工作上虽然取得一些进展，但是与部、省要求还有相当的差距，在等级保护意识、宣传力度、技术人才的培养和制度的建立上仍然存在问题。建议部里加强工作指导，通过多种方式的等级保护技术交流和培训，提高交通系统各级单位领导及职工的等级保护意识，进一步推进交通系统的信息系统等级保护工作。
第3篇：信息安全等级保护工作汇报
XXX 信息安全等级保护工作汇报
一、医院简介
XXX拥有66年发展历史，坐落于黑龙江北部中心城市北安市的城市中心，地处政治、经济、文化中心地带，交通便利，医院学科优势突出，专业特色明显，在市内外享有较高的声誉。医院总占地面积22599平方米，业务用房建筑面积25027平方米。
医院在职职工664人，专业技术人员 557人，其中高级技术职称172 人，中级技术职称109人，床位400余张。设有内、外、妇、儿、五官等二十个临床科室，15个医技科室。外科共设五个科室包括普外、脑外、胸科、烧伤、泌尿、骨科、肛肠等学科，其中胸外科、脑外科是我院重点科室之一，胸外科是黑河地区该专业龙头科室，外科常规开展肺癌、脑外、食道癌等复杂手术，广泛开展腹腔镜、前列腺电切等介入手术。多项技术的开展和研发均获得国家及省级科技进步奖，开创了历史先河，成为北安市及黑河地区医疗技术的领头雁。内科设有五个科室包括神经内科、心脑血管内科、内分泌内科、呼吸内科、血液内科、肿瘤内科、消化内科、肾内科、传染科及在黑河地区处于领先地位的急诊科。我院影像科室技术实力在本市区位居首位，吸引了大量外院病人来我院检查，整合了各方优势资源。
医院环境优美，整洁。目前，现已发展成为一所集医疗、康复、保健、预防、科研、教学为一体的综合性二级甲等医院。公共医疗改革试点医院、城镇职工医疗保险定点医院、新型农村合作医疗定点医院、城乡医疗救助一站式即时结算定点医院、农垦北安管局医疗保险定点医院、铁路职工医疗保险定点医院、公安定点医院、黑河地区首家工伤康复定点医院，“120”急救中心设在我院，同时担负着全市司法鉴定工作。
医院拥有大型核磁共振成像系统、螺旋CT、高压氧舱、德国贝朗血液透析机、日产全自动生化分析仪、数字X光机、数字多功能胃肠Ｘ光机、Ｃ型臂数字成像系统、彩超、经颅多普勒、体外碎石机、电子胃镜、欧美达麻醉机、运动平板、２４小时动态心电监测系统等先进设备百余台，抢占医疗市场的制高点。全套电子内窥镜系统、各种手术用硬镜、介入治疗设备、高压氧舱等一批国内外精密医疗设备，精良的医疗设备为提高临床诊治水平提供了重要的保证。
医院由门诊楼，病房楼，急救中心组成，住院楼设有内科、外科、妇产科、儿科、重症监护室、手术室、麻醉科、康复科等病区。医院通过计算机网络实现信息化管理，所有病房均设有中央空调、独立卫生间，配备集中供氧、集中负压吸引、自动对讲呼叫等设施。
XXX拥有黑河地区首家具有国际先进水平的ICU重症监护病房，是我省北部地区成立较早发展最快的重症科室，设备实力和省级医院相聘美，从业人员都经过正规重症医学培训学习，成立后为北安市危重症治疗开辟了新的天地，危重症抢救成功率达到省级医院水平。具有国际水准的最先进的层流净化手术室共六个6 手术间，同时可开展胸、脑、腹、四肢、五官、妇科等高尖端手术。急诊科是黑龙江北部地区最大的急诊综合科室，科室有独立床位近30张，抢救设备齐全，实力雄厚，是我院“门神”级科室。我院拥有全区设备最先进功能最完善的烧伤病房和血液病房，发热门诊、检验科均按照国家级标准建设，为患者提供了方便、安全的就医环境。
XXX领导班子带领广大职工勇于拼搏，锐意进取实现了医院的快速、稳定、健康发展，以改革创新的精神脚，踏实地的工作作风使社会效益和经济效益稳步增长，年收入突破亿元大关。医院的各项事业蓬勃发展，硕果累累，成绩斐然。
“以病人为中心，创建人民群众最满意医院”是XXX始终坚持的办院宗旨。医院人正以执着的医志、高尚的医德、精湛的医术和严谨的学风书写着辉煌的历史，为打造“国内知名、省内一流”医院的目标而努力奋斗！
二、加强领导
根据黑龙江省卫生计生委、黑龙江省公安厅、黑龙江省工信委《关于进一步开展好卫生计生行业信息安全等级保护工作的通知》医院高度重视信息系统的信息安全保护工作，成立信息安全领导小组，具体工作由网络中心承担，负责医院信息系统等级保护工作，并开展相关科室的监督指导，根据安排，医院自成立信息安全领导小组以来，就开展了信息系统安全等级保护基础调查工作等相关工作，全面开展信息系统安全等级保护，同时组织培训等方式，不断加强技术人员的培养，对网络中心增加专业技术人员，强化信息安全保护能力。
三、完善制度
为落实加强和改进互联网建设与管理，根据原卫生部《关于印发卫生行业信息安全等级保护工作的指导意见》（卫办发【2011】85号）的文件要求，我们对医院信息系统安全等级保护工作做出了具体的要求，根据等级保护要求，开展了信息安全制度的前期完善工作。陆续制定了《信息系统安全组织结构及管理制度》《信息人员安全管理制度》《信息系统管理制度》《信息安全组织机构设置》《信息安全组织机构管理制度》《系统运维管理制度》等制度及《物理安全技术措施建设》、《网络安全技术措施建设》、《主机安全技术措施建设》、《应用安全技术措施建设》、《数据安全技术措施建设》等措施。
四、信息等级安全保护基本情况
目前，医院已有HIS、院内办公网、农村合作医疗、城镇职工医保、城镇居民医保、铁路医保、低保等多个内部信息系统，根据等级保护的要求进行了整改优化，积极加强信息系统安全环境建设，消除安全管理中的薄弱环节。
在物理安全方面，严格管理机房人员进出，消防设施完善，所有设备通过UPS供电。关键网络设备和服务器做到有主有备，确保在发生物理故障时可以及时更换。机房做到防水、防火、防静电处理，温湿度控制在要求的温湿度之间。
在网络安全方面，我们严格按照内、外网物理隔离的标准建设网络系统，并采用虚拟局域网技术，通过交换机端口的IP绑定，防止非法网络接入；在网络出口以及不同网络互联边界全面部署硬件防火墙，部署日志服务器，记录并留存使用互联网和内部网络地址对应关系；在医院互联网出口部署网络行为管理系统，规范和记录上网行为，合理控制不同应用的网络流量，实现网络带宽动态分配，保障了信息系统正常应用的网络环境。
在主机安全方面，终端计算机采用虎纹远程管理软件，对终端进行工作行为、上网行为等管理，重要的应用系统安装了计算机监控与审计系统，实现对主机的USB等外设接口的控制管理，采用KEY用户名密码等方式控制用户登陆行为。
对于应用安全，严格做好系统安全测试，配备了专门的漏洞 扫描仪定期扫描应用系统漏洞，并按测试结果做好安全修复和加固工作；安装彩蝶ARP检测系统及局域网抓包工具，自部署起已多次成功检测出SQL注入，伪装IP地址，全网攻击，FTP匿名登录，探测主机地址漏洞等。
在数据安全方面，数据库通过备份系统定期备份，关键数据库服务器采用双机热备份，保证数据库服务器的可用性和高效性，在出现故障时可以快速恢复；数据库的访问按不同用户身份进行严格的权限控制。
对于医院信息系统的不足，医院高度重视，在资金紧张等情况下，自筹300余万元，对系统进行改造，将在下半年投入200余万元将对医院信息系统软件升级改造。增加电子病历系统，检验科LIS系统，医学影像系统。硬件投入100余万元，增加服务器终端，网络设备等。
五、建议
信息系统安全等级保护工作责任重大，技术性强，工作量巨大，医院在该项工作上虽然取得一些进展，但是与上级主管部门要求还有相当的差距，在等级保护意识、宣传力度、技术人才的培养和制度的建立上仍然存在问题。
建议上级领导加强工作指导，通过多种方式的等级保护技术交流和培训，提高单位领导及员工的等级保护意识，进一步推进医院的信息系统等级保护工作。
第4篇：等级保护安全检查汇报
等级保护安全检查汇报
按照芜公发[2015]146号和芜公信安检字[2015]028号文件精神，我院信息科对医院内各硬件系统和软件系统进行自查，并结合自身具体实际，认真贯彻落实相关工作机制，逐步完善各项制度，积极参加信息公开相关培训，稳步有序地推进我院信息安全等级建设等各项工作。现汇报总报告如下所示。
目前，我院为建立相对完善的信息安全责任制体系，提高我院信息化安全管理工作，完善医院信息化安全等级保护工作，于2012年3月5日成立信息等级保护安全协调小组，由院长担任信息协调小组组长，三位副院长和纪委书记担任副组长的。主要负责全院信息安全，提高我院信息系统安全发展。下设办公室，由信息科负责人担任办公室主任。成员分别由各职能科室科长、主任、负责人组成。小组成立以来通过自查等方式来加强院内的信息系统安全。目前我院正在准备按照三级等保的要求来升级我院的安全防护体系。
我院已把单位信息安全保护工作纳入科室年度考核，每月对网络安全设备、硬件设备、系统等进行安全检查，实时监控网络安全设备运行情况，同时针对医疗行业的特点，安装了反统方系统。单位按照国家相关要求部署和开展等级保护有关要求，对需要进行二级等保备案的系统已经进行了相关的定级与备案、业务变更报备工作。2012年7月和2014年9月对院内的信息系统进行了全面的自查工作，对问题与风险进行了分析，并提交了自查报告。目前我院部分重要信息系统已参照三级等级保护要求进行了安全建设，增加了防火墙，IPS，EMC存储，防毒墙，双核心交换机等设备。
我院已建立信息安全责任制度，成立由院领导担任组长的信息安全领导小组，对本单位信息安全负责领导工作。由信息科具体承担信息安全工作。科室配备网络管理员，系统管理员，安全审计员，硬件维护员各一名，并严格按照信息安全政策与业务培训制度对信息科人员录用、培训，时时强调安全保密的重要性。强调信息安全对医院的影响，对科室、个人的影响。加强科内人员的安全责任心。对机房出入人员进行视频监控记录，对所有信息设备进行台账化管理。网络系统配备防火墙、IPS、防毒墙等设备进行日常检测，每日对网络安全日志，服务器系统进行检查工作。已建立信息系统应急预案，并根据应急演练中发生的问题进行总结，改进，不断进行完善，提高应急处理能力。
数据方面，根据单位实际情况对重要数据库进行每天一次的增量备份，每星期一次的完全备份。单位主要包括His、EMR、Pacs等11个系统。本单位服务器个数为20台，使用的系统为windows2003,windows 2008,redhat 5.5，全部为国外操作系统，使用的数据库为Microsoft sql server 2005,Microsoft sql server 2008,ORACLE 10g等。终端个数为390台全部使用windows操作系统。
我院目前为止未发生安全事件或安全事故。我单位在工作中，经常与上级信息主管部门联系，同时就网络安全问题与市网监处保持在线联系。
医院按照上级主管部门的要求对医院相关信息系统进行相关的安全检查，每月定期进行安全检查、上报，对检查时遇到的安全问题进行分析、汇总、整改。对新进人员进行网络安全培训，建立网络安全培训制度。加强科室人员信息安全意识。单位每年派出信息科人员参加上级主管部门、公安部门、行业部门举办的信息化安全培训，
第5篇：等级保护
信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段，作为公安部授权的第三方测评机构，为企事业单位提供免费专业的信息安全等级测评咨询服务。
信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。
第一级：用户自主保护级；
第二级：系统审计保护级；
第三级：安全标记保护级；
第四级：结构化保护级；
第五级：访问验证保护级”
计算机信息系统安全等级保护划分准则（GB 17859-1999）（基础类标准）
信息系统安全等级保护实施指南（GB/T 25058-2010）（基础类标准）
信息系统安全保护等级定级指南（GB/T 22240-2008）（应用类定级标准）
信息系统安全等级保护基本要求（GB/T 22239-2008）（应用类建设标准）
信息系统通用安全技术要求（GB/T 20271-2006）（应用类建设标准）
信息系统等级保护安全设计技术要求（GB/T 25070-2010）（应用类建设标准）信息系统安全等级保护测评要求（GB/T 28448-2012）（应用类测评标准）
信息系统安全等级保护测评过程指南（GB/T 28449-2012）（应用类测评标准）信息系统安全管理要求（GB/T 20269-2006）（应用类管理标准）
信息系统安全工程管理要求（GB/T 20282-2006）（应用类管理标准）
第6篇：等级保护
总结下关于等级保护工作的一些基础性知识，对等级保护工作有个快速的认识和了解。
一、什么是等级保护？
答：网络安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
解读：等级保护是对专有信息及信息系统进行分等级保护，对其中的信息安全产品进行按等级管理，对发现的安全事件分等级响应和处置。两个对象，三重管理。
二、等级保护工作具体步骤是怎样的？
答：根据信息系统等级保护相关标准，等级保护工作总共分五个阶段，分别为：
1）是信息系统定级。
2）是信息系统备案。
3）是系统安全建设。
4）是信息系统开始等级测评。
5）主管单位定期开展监督检查。
解读：系统定级和备案工作是等级保护工作开展的前提，也是等级保护工作最先要做的内容，系统安全建设可以先做也可以在等级测评之后再进行，第三和第四步没有严格意义上的先后顺序之分。
三、开展等级保护工作的相关法律法规或文件要求？
答：《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）明确要求我国信息安全保障工作实行等级保护制度;
《信息安全等级保护管理办法》的通知（公通字[2007]43号）具体部署了实施信息安全等级保护工作的操作办法;
《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号）加快推动了等级保护工作的发展；
《中华人民共和国网络安全法》明确了国家实行网络安全等级保护制度。
解读：网络安全法的出台将等级保护工作以法律形式确定下来，等级保护工作至此以法律的形式确定为国家网络安全的基本国策，没有网络安全就没有国家安全.四、等级保护分为几个等级？
答：分为五个等级，分别为：
第一级（自主保护级）
第二级（指导保护级）
第三级（监督保护级）
第四级（强制保护级）
第五级（专控保护级）
系统的重要程度从1-5级逐级升高。
解读：我们在日常工作中需要进行等级保护测评的系统是2-4级，经常遇到的是二级和三级信息系统，一级系统要求比较低，不需要进行测评，如果某个系统达到五级系统，那么这个系统很可能就已经涉密了，就不是等级保护范畴了，所以在技术要求里也没有五级的相关标准要求。
五、去哪里进行信息系统的定级备案工作？
答：全国绝大部分地方规定：各地级市的单位将定级资料交给各自地级市的网安支队，省级单位将资料交给省公安网安总队，特定行业有要求的另说，也有部分地方是先将资料交到区县网安大队，再由区县网安大队转交地级市网安支队进行备案。
解读：系统定级资料填写完成之后打印两份，首页盖章，电子档准备一份，带着这些资料去当地公安网安部门进行系统备案，至于到底是哪个网安请根据各地的要求，省、市、区县都有可能。
六、什么是等级保护测评？
答：等级保护测评指的是用户单位委托第三方有测评资质且在当地备案的测评机构对单位已定级备案的信息系统按照对应的等级标准要求进行测评的过程，测评结束后出具相应的信息系统测评报告。
解读：对测评机构要求一定是有资质且在用户所在地公安网安部门备案
七、信息系统的测评多久需要测一次？
答：四级信息系统要求每半年至少开展一次测评；三级信息系统要求每年至少开展一次测评；二级信息系统一般每两年开展一次测评，时间上没有强制要求，部分行业有行业标准要求，如电力行业明确二级系统两年做一次测评。
解读：二级系统为什么建议是两年呢？
一、系统相对三级没那么重要，所以时间上相对长点；
二、系统相对没有定级的系统更重要些，且往往有些二级系统也非常重要，存储了大量重要的信息数据（其实本来是定三级的，种种原因定了二级），不去做测评，风险太大。
八、等级保护测评一般多长时间能测完？
答：现场测评周期一般一周左右，具体看信息系统数量及信息系统的规模，有所增减。小规模安全整改2-3周，出具报告时间一周，整体持续周期1-2个月。如果整改不及时或牵涉到购买设备，时间不好说，但总的要求一年内要完成。
解读：测评周期最不确定的因素就是整改，整改的快自然结束的快，所以用户单位想早点结束的话就得把安全整改抓紧落实完成。
九、等级保护测评的费用是多少？
答：测评的费用首先是按照信息系统来算，不是按照一个单位，不同等级的测评费用不一样。费用每个省市具体要求不一样，通常每个省市都有自己的一个价格体系，二级和三级系统的测评费用相对都是固定的，如某些省市：二级系统不低于4万元；三级系统不低于8万元。
解读：测评的费用按照系统个数和系统的等级去核算，等级越高的相对费用越高
十、用户单位需要开展等级保护测评，找谁去做？
答：找有测评资质在当地有资格的测评公司去做测评，该单位至少具有该省市信息安全等级保护协调小组办公室发放的《信息安全等级保护测评机构推荐证书》，同时要求在测评机构在省公安厅网安总队备案成功；另外部分省份要求测评机构在用户单位所在地级市公安网安部门备案，备案成功后方可在当地开展等级保护测评工作。
解读：测评必须是有资质有资格的测评公司去做，有些厂商或者集成商号称能做测评，他们可能是有这个技术水平，但是没有这个资格和资质。
十一、等级保护测评后的最终结论分为哪几种？
答：测评最终结论分为不符合、基本符合和符合三种。除了结论之外还有具体得分，如82分。
解读：测评的结论理论上有符合这种结论，就是满分100分的情况，但是实际上很难达到，也几乎没有出现过，如果你们家测评达到100分了，或者你经常看到有人得100分，那一定是这家测评机构不负责任地在测评。一方面是没有绝对的安全，另一方面等保的一些条款确实很难达到或者不适用。初次做等保能达到65-75之间就已经不错了。
十二、等级保护测评结论不符合是不是等级保护工作就白做了？
答：等级保护测评结论不符合表示目前该信息系统存在高危风险或整体安全性较差，不符合等保的相应标准要求。但是这并不代表等级保护工作白做了，即使你拿着不符合的测评报告，主管单位也是承认你们单位今年的等级保护工作已经开展过了，只是目前的问题较多，没达到相应的标准。
解读：测评结论不符合不是最重要的，最重要的是我们已经发现了问题，下面就需要及时对这些问题特别是高危风险及时进行安全整改，消除隐患，降低风险。
十三、测评结束后有什么书面性的材料证明自己开展过等保工作？
答：书面性材料有：一个是加盖过主管部门的公章的系统定级备案资料和系统备案证明；另一个就是测评报告，加盖过测评机构公章及测评专用章。
解读：有不少人会问，测评报告出了后主管部门有没有一个类似通过测评的一个证明，这个据我了解全国只有极个别地方有类似证明文件，绝大多数地方都没有，拿到了正式测评报告测评的工作就可以算是告一段落了
第7篇：信息安全等级保护工作汇报(精)
2009年信息安全等级保护工作汇报
福建省交通运输厅 2010年1月20日
一、加强领导
2009年，根据部里的总体部署，我厅高度重视非涉密重要信息系统的信息安全保护工作。我厅交通信息安全等级保护工作由厅信息安全领导小组负总责，具体工作由厅信息安全领导小组办公室承担，负责厅机关信息系统等级保护工作，并开展对厅直单位的监督指导。根据安排，我厅自2007年以来就开展了信息系统安全等级保护基础调查工作等相关工作，全面开展信息系统安全等级保护，同时通过组织培训等方式，不断提高技术人员的培养，强化信息安全保护能力。
二、完善制度
为了做好信息系统等级保护工作，根据《信息安全等级保护管理办法》（公通字[2007]43号）的要求，结合我省实际，我厅制定并印发了《福建省交通运输厅信息系统等级保护管理制度》，对交通信息系统安全等级保护工作做出了具体的要求，同时在我厅开展的资源整合和服务工程建设中，根据等级保护要求，编制《厅网络安全系统建设方案》，制订了分步实施计划，并开展了数据库审计测试等前期工作。
三、信息等级安全保护基本情况
目前，厅机关已有办公自动化、门户网站及交通地理信息系统等3个系统完成了等级保护备案和测评工作，并根据测评中心的评估报告进行了整改优化，积极加强信息系统安全环境建设，消除安全管理中的薄弱环节。在物理安全方面，机房安装门禁系统，严格管理机房人员进出，消防设施完善，所有设备通过UPS供电。关键网络设备和服务器做到有主有备，确保在发生物理故障时可以及时更换。在网络安全方面，我们严格按照内、外网物理隔离的标准建设网络系统，并采用虚拟局域网技术，通过交换机端口的IP绑定，防止非法网络接入；在网络出口以及不同网络互联边界全面部署硬件防火墙，部署日志服务器，记录并留存使用互联网和内部网络地址对应关系；在厅互联网出口部署网络行为管理（智能网关）系统，规范和记录上网行为，合理控制不同应用的网络流量，实现网络带宽动态分配，保障了信息系统正常应用的网络环境。部署入侵防御系统监测、记录网络安全事件。
在主机安全方面，终端计算机采用双硬盘及物理隔离卡隔离互联网及政务内网应用，通过部署趋势网络防毒墙网络版，安装360安全卫士等安全软件保障主机系统安全，并且做到系统漏洞补丁及时更新，内网终端全部在政务网注册，重要的应用系统安装了计算机监控与审计系统，实现对主机的USB等外设接口的控制管理，采用KEY+用户名+密码等方式控制用户登陆行为。
对于应用安全，严格做好系统安全测试，配备了专门的漏洞扫描仪定期扫描应用系统漏洞，并按测试结果做好安全修复和加固工作；在网站区，部属入侵防御系统，监测、记录安全事件，及时阻断入侵行为，自部署起已多次成功检测出SQL注入，FTP匿名登录，网站目录遍历，探测主机地址漏洞等。同时还安装网页防篡改系统，保障网站正常运行。
在数据安全方面，数据库通过备份系统定期备份，关键数据库服务器采用双机热备份，保证数据库服务器的可用性和高效性，在出现故障时可以快速恢复；数据库的访问按不同用户身份进行严格的权限控制。
此外，2009年我厅新建成的福建省卫星定位安全服务等4个系统也及时向省网安办履行了申请备案和测评手续，具体测评正在实施中。
四、建议
信息系统安全等级保护工作责任重大，技术性强，工作量巨大，我省在该项工作上虽然取得一些进展，但是与部、省要求还有相当的差距，在等级保护意识、宣传力度、技术人才的培养和制度的建立上仍然存在问题。建议部里加强工作指导，通过多种方式的等级保护技术交流和培训，提高交通系统各级单位领导及职工的等级保护意识，进一步推进交通系统的信息系统等级保护工作。
第8篇：等级保护与分级保护
等级保护与分级保护
一、信息系统等级保护
1999年国家发布并于2001年1月1日开始实施GB17859《计算机信息系统安全保护等级划分准则》。2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。2004年9月17日，公安部、国家保密局、国家密码管理委员会办公室、国务院信息办下发了《关于信息安全等级保护工作的实施意见》，明确了信息安全等级保护的重要意义、原则、基本内容、工作职责分工、要求和实施计划。2006年1月17日，四部门又下发了《信息安全等级保护管理办法（试行）》，进一步确定职责分工，明确了公安机关负责全面工作、国家保密工作部门负责涉密信息系统、国家密码管理部门负责密码工作、国务院信息办负责的管理职责和要求。涉及国家秘密的信息系统应当依据国家信息安全等级保护的基本要求，按照国家保密工作部门涉密信息系统分级保护的管理规定和技术标准，结合系统实际情况进行保护。
由于信息系统结构是应社会发展、社会生活和工作的需要而设计、建立的，是社会构成、行政组织体系的反映，因而这种系统结构是分层次和级别的，而其中的各种信息系统具有重要的社会和经济价值，不同的系统具有不同的价值。系统基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统重要程度的区别等就是级别的客观体现。信息安全保护必须符合客观存在和发展规律，其分级、分区域、分类和分阶段是做好国家信息安全保护的前提。
信息系统安全等级保护将安全保护的监管级别划分为五个级别：
第一级：用户自主保护级完全由用户自己来决定如何对资源进行保护，以及采用何种方式进行保护。
第二级：系统审计保护级本级的安全保护机制受到信息系统等级保护的指导，支持用户具有更强的自主保护能力，特别是具有访问审计能力。即能创建、维护受保护对象的访问审计跟踪记录，记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，所有和安全相关的操作都能够被记录下来，以便当系统发生安全问题时，可以根据审计记录，分析追查事故责任人，使所有的用户对自己行为的合法性负责。
第三级：安全标记保护级除具有第二级系统审计保护级的所有功能外，还它要求对访问者和访问对象实施强制访问控制，并能够进行记录，以便事后的监督、审计。通过对访问者和访问对象指定不同安全标记，监督、限制访问者的权限，实现对访问对象的强制访问控制。
第四级：结构化保护级将前三级的安全保护能力扩展到所有访问者和访问对象，支持形式化的安全保护策略。其本身构造也是结构化的，将安全保护机制划分为关键部分和非关键部分，对关键部分强制性地直接控制访问者对访问对象的存取，使之具有相当的抗渗透能力。本级的安全保护机制能够使信息系统实施一种系统化的安全保护。
第五级：访问验证保护级这一个级别除了具备前四级的所有功能外还特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动，仲裁访问者能否访问某些对象从而对访问对象实行专控，保护信息不能被非授权获取。因此，本级的安全保护机制不易被攻击、被篡改，具有极强的抗渗透的保护能力。
在等级保护的实际操作中，强调从五个部分进行保护，即：
物理部分：包括周边环境，门禁检查，防火、防水、防潮、防鼠、虫害和防雷，防电磁泄漏和干扰，电源备份和管理，设备的标识、使用、存放和管理等；
支撑系统：包括计算机系统、操作系统、数据库系统和通信系统； 网络部分：包括网络的拓扑结构、网络的布线和防护、网络设备的管理和报警，网络攻击的监察和处理；
应用系统：包括系统登录、权限划分与识别、数据备份与容灾处理，运行管理和访问控制，密码保护机制和信息存储管理；
管理制度：包括管理的组织机构和各级的职责、权限划分和责任追究制度，人员的管理和培训、教育制度，设备的管理和引进、退出制度，环境管理和监控，安防和巡查制度，应急响应制度和程序，规章制度的建立、更改和废止的控制程序。
由这五部分的安全控制机制构成系统整体安全控制机制。
二、涉密信息系统分级保护 1997年《中共中央关于加强新形势下保密工作的决定》明确了在新形势下保密工作的指导思想和基本任务，提出要建立与《保密法》相配套的保密法规体系和执法体系，建立现代化的保密技术防范体系。中央保密委员会于2004年12月23日下发了《关于加强信息安全保障工作中保密管理若干意见》明确提出要建立健全涉密信息系统分级保护制度。2005年12月28日，国家保密局下发了《涉及国家秘密的信息系统分级保护管理办法》，同时，《保密法》修订草案也增加了网络安全保密管理的条款。随着《保密法》的贯彻实施，国家已经基本形成了完善的保密法规体系。
涉密信息系统实行分级保护，先要根据涉密信息的涉密等级，涉密信息系统的重要性，遭到破坏后对国计民生造成的危害性，以及涉密信息系统必须达到的安全保护水平来确定信息安全的保护等级；涉密信息系统分级保护的核心是对信息系统安全进行合理分级、按标准进行建设、管理和监督。国家保密局专门对涉密信息系统如何进行分级保护制定了一系列的管理办法和技术标准，目前，正在执行的两个分级保护的国家保密标准是BMB17《涉及国家秘密的信息系统分级保护技术要求》和BMB20《涉及国家秘密的信息系统分级保护管理规范》。从物理安全、信息安全、运行安全和安全保密管理等方面，对不同级别的涉密信息系统有明确的分级保护措施，从技术要求和管理标准两个层面解决涉密信息系统的分级保护问题。
涉密信息系统安全分级保护根据其涉密信息系统处理信息的最高密级，可以划分为秘密级、机密级和机密级（增强）、绝密级三个等级：
秘密级：信息系统中包含有最高为秘密级的国家秘密，其防护水平不低于国家信息安全等级保护三级的要求，并且还必须符合分级保护的保密技术要求。
机密级：信息系统中包含有最高为机密级的国家秘密，其防护水平不低于国家信息安全等级保护四级的要求，还必须符合分级保护的保密技术要求。属于下列情况之一的机密级信息系统应选择机密级（增强）的要求：
（1）信息系统的使用单位为副省级以上的党政首脑机关，以及国防、外交、国家安全、军工等要害部门；
（2）信息系统中的机密级信息含量较高或数量较多；（3）信息系统使用单位对信息系统的依赖程度较高。绝密级：信息系统中包含有最高为绝密级的国家秘密，其防护水平不低于国家信息安全等级保护五级的要求，还必须符合分级保护的保密技术要求，绝密级信息系统应限定在封闭的安全可控的独立建筑内，不能与城域网或广域网相联。
涉密信息系统分级保护的管理过程分为八个阶段，即系统定级阶段、安全规划方案设计阶段、安全工程实施阶段、信息系统测评阶段、系统审批阶段、安全运行及维护阶段、定期评测与检查阶段和系统隐退终止阶段等。在实际工作中，涉密信息系统的定级、安全规划方案设计的实施与调整、安全运行及维护三个阶段，尤其要引起重视。
系统定级决定了系统方案的设计实施、安全措施、运行维护等涉密信息系统建设的各个环节，因此如何准确地对涉密信息系统进行定级在涉密信息系统实施分级保护中尤为重要。涉密信息系统定级遵循“谁建设、谁定级"的原则，可以根据信息密级、系统重要性和安全策略划分为不同的安全域，针对不同的安全域确定不同的等级，并进行相应的保护。在涉密信息系统定级时，可以综合考虑涉密信息系统中资产、威胁、受到损害后的影响，以及使用单位对涉密信息系统的信赖性等因素对涉密信息系统进行整体定级;同时，在同一个系统里，还允许划分不同的安全域，在每个安全域可以分别定级，不同的级别采取不同的安全措施，更加科学地实施分级保护，在一定程度上可以解决保重点，保核心的问题，也可以有效地避免因过度保护而造成应用系统运行效能降低以及投资浪费等问题。涉密信息系统建设单位在定级的同时，必须报主管部门审批。
涉密信息系统要按照分级保护的标准，结合涉密信息系统应用的实际情况进行方案设计。设计时要逐项进行安全风险分析，并根据安全风险分析的结果，对部分保护要求进行适当的调整和改造，调整应以不降低涉密信息系统整体安全保护强度，确保国家秘密安全为原则。当保护要求不能满足实际安全需求时，应适当选择采用部分较高的保护要求，当保护要求明显高于实际安全需求时，可适当选择采用部分较低的保护要求。对于安全策略的调整以及改造方案进行论证，综合考虑修改项和其他保护要求之间的相关性，综合分析，改造方案的实施以及后续测评要按照国家的标准执行，并且要求文档化。在设计完成之后要进行方案论证，由建设使用单位组织有关的专家和部门进行方案设计论证，确定总体方案达到分级保护技术的要求后再开始实施；在工程建设实施过程中注意工程监理的要求；建设完成之后应该进行审批；审批前由国家保密局授权的涉密信息系统测评机构进行系统测评，确定在技术层面是否达到了涉密信息系统分级保护的要求。
运行及维护过程的不可控性以及随意性，往往是涉密信息系统安全运行的重大隐患。通过运行管理和控制、变更管理和控制，对安全状态进行监控，对发生的安全事件及时响应，在流程上对系统的运行维护进行规范，从而确保涉密信息系统正常运行。通过安全检查和持续改进，不断跟踪涉密信息系统的变化，并依据变化进行调整，确保涉密信息系统满足相应分级的安全要求，并处于良好安全状态。由于运行维护的规范化能够大幅度地提高系统运行及维护的安全级别，所以在运行维护中应尽可能地实现流程固化，操作自动化，减少人员参与带来的风险。还需要注意的是在安全运行及维护中保持系统安全策略的准确性以及与安全目标的一致性，使安全策略作为安全运行的驱动力以及重要的制约规则，从而保持整个涉密信息系统能够按照既定的安全策略运行。在安全运行及维护阶段，当局部调整等原因导致安全措施变化时，如果不影响系统的安全分级，应从安全运行及维护阶段进入安全工程实施阶段，重新调整和实施安全措施，确保满足分级保护的要求；当系统发生重大变更影响系统的安全分级时，应从安全运行及维护阶段进入系统定级阶段，重新开始一次分级保护实施过程。
随着我们国家民主与法制建设进程的不断推进，保密的范围和事项正在逐步减少，致使一些涉密人员保密意识和敌情观念淡化，对保密工作的必要性和重要性认识不足。虽然长期处于和平时期，但并不意味着无密可保。事实上，政府部门掌握着大量重要甚至核心的机密，已成为各种窃密活动的重点目标。我党政机关和军工单位也是国家秘密非常集中的领域，一直是窃密与反窃密，渗透与反渗透的主战场。据国家有关部门统计，在全国泄密事件中，军工系统占有很大比例。境内外敌对势力和情报机构以我党政军机关和军工单位为主要目标的窃密活动更加突出，渗透与反渗透、窃密与反窃密的斗争更加激烈。由于一些单位涉密信息系统安全保障能力不够、管理不力，导致涉密信息系统泄密案件的比例逐年上升，安全保密形势非常严峻。因此严格按照涉密信息系统分级保护的要求，加强涉密信息系统建设意义重大。
三、等级保护和分级保护之间的关系 国家信息安全等级保护与涉密信息系统分级保护是两个既有联系又有区别的概念。涉密信息系统分级保护是国家信息安全等级保护的重要组成部分，是等级保护在涉密领域的具体体现。
国家安全信息等级保护重点保护的对象是涉及国计民生的重要信息系统和通信基础信息系统，而不论它是否涉密。如：
(1)国家事务处理信息系统（党政机关办公系统）；
(2)金融、税务、工商、海关、能源、交通运输、社会保障、教育等基础设施的信息系统；
(3)国防工业企业、科研等单位的信息系统；
(4)公用通信、广播电视传输等基础信息网络中的计算机信息系统；(5)互联网网络管理中心、关键节点、重要网站以及重要应用系统；(6)其他领域的重要信息系统。
国家实行信息安全等级保护制度，有利于建立长效机制，保证安全保护工作稳固、持久地进行下去；有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于突出重点，加强对涉及国家安全、经济命脉、社会稳定的基础信息网络和重要信息系统的安全保护和管理监督；有利于明确国家、企业、个人的安全责任，强化政府监管职能，共同落实各项安全建设和安全管理措施；有利于提高安全保护的科学性、针对性，推动网络安全服务机制的建立和完善；有利于采取系统、规范、经济有效、科学的管理和技术保障措施，提高整体安全保护水平，保障信息系统安全正常运行，保障信息安全，进而保障各行业、部门和单位的职能与业务安全、高速、高效地运转；有利于根据所保护的信息的重要程度，决定保护等级，防止“过保护”和“欠保护”的情况发生；有利于信息安全保护科学技术和产业化发展。
涉密信息系统分级保护保护的对象是所有涉及国家秘密的信息系统，重点是党政机关、军队和军工单位，由各级保密工作部门根据涉密信息系统的保护等级实施监督管理，确保系统和信息安全，确保国家秘密不被泄漏。国家秘密信息是国家主权的重要内容，关系到国家的安全和利益，一旦泄露，必将直接危害国家的政治安全、经济安全、国防安全、科技安全和文化安全。没有国家秘密的信息安全，国家就会丧失信息主权和信息控制权，所以国家秘密的信息安全是国家信息安全保障体系中的重要组成部分。
因为不同类别、不同层次的国家秘密信息，对于维护国家安全和利益具有不同的价值，所以需要不同的保护强度种措施。对不同密级的信息，应当合理平衡安全风险与成本，采取不同强度的保护措施，这就是分级保护的核心思想。对涉密信息系统的保护，既要反对只重应用不讲安全，防护措施不到位造成各种泄密隐患和漏洞的“弱保护”现象；同时也要反对不从实际出发，防护措施“一刀切”，造成经费与资源浪费的“过保护”现象。对涉密信息系统实行分级保护，就是要使保护重点更加突出，保护方法更加科学，保护的投入产出比更加合理，从而彻底解决长期困扰涉密单位在涉密信息系统建设使用中的网络互联与安全保密问题。
由上可以看出国家信息安全等级保护是国家从整体上、根本上解决国家信息安全问题的办法, 进一步确定了信息安全发展的主线和中心任务, 提出了总体要求。对信息系统实行等级保护是国家法定制度和基本国策，是开展信息安全保护工作的有效办法，是信息安全保护工作的发展方向。而涉密信息系统分级保护则是国家信息安全等级保护在涉及国家秘密信息的信息系统中的特殊保护措施与方法。由于国家秘密信息与公开信息在内容和特性上有着明显的区别，所以涉密信息系统和公众信息系统在保障安全的原则、系统和方法等方面也有不同的要求。既不能用维护国家秘密信息安全的办法去维护国家公众信息安全，以至于影响信息的合理利用，阻碍信息化的发展；也不能用维护公众信息安全的办法来维护国家的秘密信息安全，以至于窃密、泄密事件的发生，危害国家的安全和利益，同样影响信息化的健康发展。
