隨著我國(guo)國(guo)民經濟(ji)和社會(hui)信(xin)息化(hua)進(jin)程的(de)全面加快，信(xin)息系統的(de)基礎性、全局性作(zuo)用日益顯(xian)現，保障信(xin)息安全已(yi)成為(wei)當前信(xin)息化(hua)發展中迫切(qie)需(xu)要解決的(de)重大問題(ti)。
為了加(jia)強和規范計(ji)算(suan)機信息系(xi)(xi)統安全，目(mu)前國(guo)(guo)內(nei)各(ge)行各(ge)業(ye)都(dou)在按照公安部、國(guo)(guo)家保密(mi)局等(deng)(deng)部門的要(yao)求開展信息系(xi)(xi)統安全等(deng)(deng)級(ji)保護工(gong)作(zuo)，尤其是(shi)各(ge)商業(ye)銀行已將開展信息安全等(deng)(deng)級(ji)保護工(gong)作(zuo)納入(ru)重點實(shi)施進程。
安全(quan)形勢(shi)日(ri)趨嚴峻
隨(sui)著我國信息(xi)化建設的(de)快(kuai)速發展，近(jin)幾年，不(bu)法分子針對(dui)我國基礎信息(xi)網絡(luo)和重要信息(xi)系統的(de)攻擊持(chi)續(xu)上升(sheng)。從以下案例可(ke)見信息(xi)安全形勢(shi)很嚴峻。
震網病毒是世界上首個以直接破壞工業基礎設施為目標的蠕蟲病毒，被稱為網絡“超級武器”。自2010年7月(yue)開始爆發，截至2010年9月底，我國有近500萬(wan)網民以及多個企業遭此病毒(du)攻擊。
2011年，國家某(mou)部(bu)委信(xin)息(xi)中心數據備份系(xi)統服(fu)務外包(bao)，磁盤陣列中使用的一(yi)塊磁盤被(bei)外企取走。公安部(bu)組織專家進行(xing)安全事件后果分析，不排除(chu)重要(yao)信(xin)息(xi)被(bei)泄露的可能。2012年(nian)1月，Putty后門(men)程序將服務器的IP地址(zhi)、root密碼(ma)、連接(jie)端口等(deng)信息發送到自己(ji)指定的服(fu)務器上，并(bing)對服(fu)務器承載的重要數據進行(xing)拷貝、添加、刪除等(deng)操作，導致上萬條服(fu)務器賬戶信息遭到泄露(lu)。2012年7月，廣東(dong)一(yi)群80后(hou)“黑客”團伙，瘋狂入侵180多個政府人事網站，盜(dao)賣300多萬條涉及個人隱私(si)的(de)資料(liao)。
我國工業控制市場過度開放，國外產品占據大部分市場，如PLC（可(ke)編程邏輯控制器）國內(nei)產(chan)品(pin)的市(shi)場(chang)占有率不到1%，衛星導航芯片95%依賴進口。而國外工(gong)業控制芯片和(he)工(gong)業控制系統產品(pin)，在設計(ji)和(he)配置上都可能存在漏(lou)洞，這(zhe)些漏(lou)洞往往為不法(fa)分子用病毒進行網絡攻(gong)擊所(suo)利用。
近年來，雖(sui)然(ran)我國高度重視(shi)信(xin)息(xi)(xi)安(an)(an)全(quan)(quan)(quan)(quan)保障(zhang)工作，并取(qu)得(de)了(le)較(jiao)大進展，但是仍(reng)存(cun)在諸(zhu)多(duo)不足(zu)：“重發展，輕安(an)(an)全(quan)(quan)(quan)(quan)”的現象仍(reng)然(ran)存(cun)在；信(xin)息(xi)(xi)安(an)(an)全(quan)(quan)(quan)(quan)管理制度體系不完(wan)善(shan)，信(xin)息(xi)(xi)安(an)(an)全(quan)(quan)(quan)(quan)責任制落實(shi)不到位(wei)(wei)；缺少應(ying)有的崗位(wei)(wei)設置(zhi)，人員和(he)資金投入(ru)不足(zu)；信(xin)息(xi)(xi)技術產(chan)品與國外還存(cun)在一定差距。面對復(fu)雜(za)的信(xin)息(xi)(xi)安(an)(an)全(quan)(quan)(quan)(quan)形勢，實(shi)施信(xin)息(xi)(xi)安(an)(an)全(quan)(quan)(quan)(quan)等級保護勢在必行。
等級劃(hua)分舉足(zu)輕重
信(xin)息(xi)系(xi)統(tong)(tong)(tong)的安(an)全(quan)(quan)保護(hu)等(deng)(deng)級(ji)(ji)是根據信(xin)息(xi)系(xi)統(tong)(tong)(tong)在國(guo)家(jia)安(an)全(quan)(quan)、經濟建設、社(she)會(hui)(hui)生活(huo)中的重要程(cheng)度，信(xin)息(xi)系(xi)統(tong)(tong)(tong)遭到破(po)壞后對國(guo)家(jia)安(an)全(quan)(quan)、社(she)會(hui)(hui)秩序(xu)、公共利益以及公民、法人和其他(ta)組織的合法權益的危害(hai)程(cheng)度等(deng)(deng)因素確定。系(xi)統(tong)(tong)(tong)定級(ji)(ji)是進行(xing)等(deng)(deng)級(ji)(ji)保護(hu)規劃(hua)和建設的前(qian)提，是等(deng)(deng)級(ji)(ji)保護(hu)建設的起(qi)點，目前(qian)國(guo)家(jia)確定分為以下五(wu)級(ji)(ji)：
第一(yi)級(ji)為自主保護級(ji)，適用(yong)于一(yi)般(ban)的信息系統，其(qi)受到破壞(huai)后，會對公(gong)民、法人和(he)其(qi)他(ta)組織(zhi)的權益有一(yi)定(ding)影響，但不危害國家安全(quan)、社(she)會秩序、經濟建設和(he)公(gong)共(gong)利益。
第二級為(wei)指導保護(hu)級，適(shi)用于一(yi)定程度上(shang)涉及國家(jia)安全、社會秩(zhi)序(xu)(xu)、經濟建設和(he)公(gong)(gong)共利益的一(yi)般信息系統，其受到破壞后(hou)，會對國家(jia)安全、社會秩(zhi)序(xu)(xu)、經濟建設和(he)公(gong)(gong)共利益造成一(yi)定損害(hai)。
第三級(ji)為監(jian)督保護(hu)級(ji)，適用(yong)于(yu)涉及(ji)國家安(an)全、社會(hui)秩(zhi)(zhi)序、經(jing)濟建設(she)和公共利益的信(xin)息(xi)系統，其(qi)受到破壞后，會(hui)對國家安(an)全、社會(hui)秩(zhi)(zhi)序、經(jing)濟建設(she)和公共利益造(zao)成(cheng)較(jiao)大損害(hai)。
第四級為強制保護(hu)級，適用(yong)于(yu)涉及國家安(an)全、社會秩序(xu)(xu)、經濟建設和公(gong)共利益的重要信息(xi)系統，其受到(dao)破壞(huai)后，會對國家安(an)全、社會秩序(xu)(xu)、經濟建設和公(gong)共利益造成嚴重損害。
第五級為專控保護級，適用于涉及國家(jia)安全、社會秩(zhi)序、經濟建(jian)(jian)設和公(gong)共(gong)利(li)益的(de)重要信息系統的(de)核心子系統，其(qi)受到(dao)破壞后，會對國家(jia)安全、社會秩(zhi)序、經濟建(jian)(jian)設和公(gong)共(gong)利(li)益造成特別嚴重損害。
對不(bu)同安全(quan)保(bao)護(hu)級別(bie)的信息系統(tong)，國家(jia)通過制定統(tong)一的管(guan)理規范(fan)和技術標(biao)準(zhun)，開(kai)展有針對性的保(bao)護(hu)工作，實行不(bu)同強度的監(jian)管(guan)政(zheng)策。在(zai)依照國家(jia)管(guan)理規范(fan)和技術標(biao)準(zhun)對各級系統(tong)進行自主(zhu)保(bao)護(hu)的同時，信息安全(quan)監(jian)管(guan)職能部(bu)門(men)(men)重點對第三級系統(tong)進行監(jian)督(du)、檢查(cha)，對第四級系統(tong)進行強制監(jian)督(du)、檢查(cha)，而第五(wu)級系統(tong)應由國家(jia)指定專(zhuan)門(men)(men)部(bu)門(men)(men)、專(zhuan)門(men)(men)機構進行專(zhuan)門(men)(men)監(jian)督(du)。
實施(shi)信(xin)息(xi)(xi)(xi)安(an)全(quan)等級保(bao)護(hu)不(bu)僅(jin)有(you)利于(yu)在信(xin)息(xi)(xi)(xi)化(hua)建(jian)設過程中同(tong)步(bu)建(jian)設信(xin)息(xi)(xi)(xi)安(an)全(quan)設施(shi)，保(bao)障信(xin)息(xi)(xi)(xi)安(an)全(quan)與(yu)信(xin)息(xi)(xi)(xi)化(hua)建(jian)設協(xie)調發展，為信(xin)息(xi)(xi)(xi)系(xi)統安(an)全(quan)建(jian)設和(he)管理(li)提供系(xi)統性(xing)、針(zhen)對性(xing)、可(ke)行性(xing)的(de)指導和(he)服(fu)務，而且有(you)利于(yu)優化(hua)信(xin)息(xi)(xi)(xi)安(an)全(quan)資源的(de)配(pei)置，重(zhong)點保(bao)障關系(xi)國家(jia)安(an)全(quan)、經濟(ji)命脈、社會穩定(ding)等方面的(de)重(zhong)要信(xin)息(xi)(xi)(xi)系(xi)統的(de)安(an)全(quan)。
按步實施謹防風險
信息系(xi)統安全等級(ji)保護的(de)核心(xin)，是(shi)對信息系(xi)統分(fen)等級(ji)、按(an)標準進(jin)行(xing)建設、管(guan)理和(he)監督。要(yao)突出重點(dian)、分(fen)級(ji)負(fu)責(ze)、分(fen)類指導、分(fen)步實(shi)施(shi)，按(an)照(zhao)誰(shui)主管(guan)誰(shui)負(fu)責(ze)、誰(shui)運(yun)營誰(shui)負(fu)責(ze)、誰(shui)使用(yong)誰(shui)負(fu)責(ze)的(de)要(yao)求(qiu)，有(you)效落實(shi)等級(ji)保護責(ze)任和(he)措(cuo)施(shi)。
要(yao)合理定(ding)級(ji)(ji)，嚴格(ge)備(bei)案。信(xin)(xin)息(xi)系(xi)統的(de)運(yun)營、使用(yong)單位必(bi)須按(an)(an)照(zhao)等(deng)級(ji)(ji)保(bao)(bao)護(hu)(hu)的(de)管(guan)理規范和技(ji)(ji)術標準，結合自身實(shi)際(ji)情況，科(ke)學、合理確定(ding)其(qi)信(xin)(xin)息(xi)系(xi)統的(de)等(deng)級(ji)(ji)保(bao)(bao)護(hu)(hu)級(ji)(ji)別。對(dui)重要(yao)信(xin)(xin)息(xi)系(xi)統，其(qi)運(yun)營、使用(yong)單位及(ji)其(qi)主管(guan)部(bu)門應通(tong)過專家(jia)委員會的(de)安全(quan)評審(shen)。安全(quan)保(bao)(bao)護(hu)(hu)等(deng)級(ji)(ji)在(zai)二級(ji)(ji)以(yi)上的(de)信(xin)(xin)息(xi)系(xi)統，以(yi)及(ji)跨地域的(de)信(xin)(xin)息(xi)系(xi)統應按(an)(an)要(yao)求(qiu)向屬地公(gong)安機關(guan)備(bei)案。同(tong)時要(yao)加強整改，落實(shi)措施(shi)。對(dui)已有的(de)信(xin)(xin)息(xi)系(xi)統，其(qi)運(yun)營、使用(yong)單位要(yao)根據已經確定(ding)的(de)信(xin)(xin)息(xi)安全(quan)保(bao)(bao)護(hu)(hu)等(deng)級(ji)(ji)，按(an)(an)照(zhao)等(deng)級(ji)(ji)保(bao)(bao)護(hu)(hu)的(de)管(guan)理規范和技(ji)(ji)術標準，采用(yong)相應等(deng)級(ji)(ji)的(de)信(xin)(xin)息(xi)安全(quan)產(chan)品(pin)，落實(shi)安全(quan)技(ji)(ji)術措施(shi)，完成系(xi)統整改。對(dui)新建、改建、擴建的(de)信(xin)(xin)息(xi)系(xi)統，應當按(an)(an)照(zhao)等(deng)級(ji)(ji)保(bao)(bao)護(hu)(hu)的(de)管(guan)理規范和技(ji)(ji)術標準進行信(xin)(xin)息(xi)系(xi)統的(de)規劃設(she)計(ji)、建設(she)施(shi)工。
要自查自糾，落實(shi)要求。信息系統(tong)的運(yun)營、使用單位及其主管(guan)部門要按照等級保(bao)(bao)護(hu)的管(guan)理(li)規范(fan)和技術(shu)標(biao)準，對已經(jing)完(wan)成安(an)全(quan)(quan)等級保(bao)(bao)護(hu)建設(she)的信息系統(tong)，定期進行安(an)全(quan)(quan)狀況檢測評估，及時消除安(an)全(quan)(quan)隱患和漏洞，發現問題(ti)及時整改，不斷加強信息安(an)全(quan)(quan)等級保(bao)(bao)護(hu)能(neng)力。
要監督檢(jian)查(cha)，完(wan)善(shan)保(bao)護(hu)。公(gong)安(an)機(ji)關(guan)要按(an)照(zhao)等級(ji)保(bao)護(hu)的管理(li)規范和技術標準的要求，重點對(dui)三級(ji)及以上安(an)全等級(ji)的信息(xi)系統進行監督檢(jian)查(cha)。發現安(an)全保(bao)護(hu)不(bu)符合(he)管理(li)規范和技術標準的，要通知相關(guan)部(bu)門限期(qi)整改，確保(bao)信息(xi)安(an)全等級(ji)保(bao)護(hu)的完(wan)善(shan)實施。
在實(shi)(shi)施過(guo)(guo)程(cheng)中，信(xin)(xin)息系(xi)(xi)統(tong)的(de)(de)運營、使(shi)用(yong)單位要(yao)謹防測(ce)評(ping)風險(xian)。對(dui)于金融系(xi)(xi)統(tong)來說，首先要(yao)按照人(ren)民銀行(xing)發布的(de)(de)有關標準要(yao)求，嚴格選擇符(fu)合資質的(de)(de)測(ce)評(ping)機構和測(ce)評(ping)人(ren)員(yuan)，同(tong)時要(yao)加強(qiang)等(deng)級測(ce)評(ping)的(de)(de)資源(yuan)管理和過(guo)(guo)程(cheng)管理，做好測(ce)評(ping)設備和過(guo)(guo)程(cheng)的(de)(de)安(an)全隔離和封閉，確保(bao)測(ce)評(ping)過(guo)(guo)程(cheng)在安(an)全可控的(de)(de)前提下規范化實(shi)(shi)施。對(dui)等(deng)級測(ce)評(ping)中發現(xian)的(de)(de)問題，要(yao)及時采(cai)取(qu)防范措施加以防控或緩(huan)釋，并進一步制定(ding)和落(luo)實(shi)(shi)相應的(de)(de)整改方案，使(shi)信(xin)(xin)息系(xi)(xi)統(tong)的(de)(de)安(an)全等(deng)級保(bao)護得以有效落(luo)實(shi)(shi)。
