网络安全等级保护评估
前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇网络安全等级保护评估范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。
网络安全等级保护评估范文第1篇
关键词：政府网络安全；网络安全；风险评估；应用模型；电子政务
中图分类号：TP393.08
在新的发展环境下，开放和互联的网络时代给各种信息资源的流通带来了便利的同时，也带来了安全隐患。尤其是政府部门的电子政务信息资产，若是受到非法使用，不但会对政府部门造成资源损失，甚至会威胁到国家、单位部门和个人的安全。因此，对政府网络系统进行安全风险评估，不但能够有效地预防和解决潜在的威胁，而且能够保障整个政府网络系统的安全，促进政府网络建设的发展。
1 政府网络安全风险评估的方法
在电子政务信息系统的建设和运行过程中，需要进行网络安全防御的相关措施，以防止系统中存在的漏洞、隐患，以及人为或非人为因素引起的风险对系统的影响。因此，采取安全风险评估的方法，通过安全风险评估的相关技术的支持，对系统的设备及数据进行分析、确定等级和检查，是有效防范这些情况发生的重要措施。
政府网络安全风险评估的方法主要有安全风险分析、安全等级评估和安全检查评估等三种。
1.1 安全风险分析。在进行政府网络安全风险评估的前期工作中，主要是通过建立评估数据模型的方式进行安全风险分析。其中，主要是根据概率分布、外推法、矩阵图分析、风险发展趋势评价方法、假设前提评价及数据准确度评估等方法，并通过专家评估预测和相关历史数据对指标的选取和数据的采集，估算政府网络安全系统所存在的风险。
1.2 安全等级评估。在此阶段，主要是在政府的电子政务系统建成或是运行的过程中，由第三方权威机构采取强制或非强制的方式，对政府网络安全进行定期安全等级评估，从而确定政府网络系统在建成后，或是在系统更新后是否达到防范风险的可靠级别。
1.3 安全检查评估。在此阶段，主要采用专门的模拟攻击、漏洞扫描等方式，对政府电子政务（包括网络设备、服务器、客户机、数据库和应用系统等）进行安全检查，找出其中可能存在的安全隐患并提供扫描后的相关数据，给予政府电子政务安全检查评估。在安全检查评估中，主要运用到基于主机的（硬件系统）和基于网络的（软件系统）两种技术。通过安全检查评估，能够起到预防网络系统中存在的隐患的作用，并提供科学有效的解决措施，从而更进一步提高网络安全的整体水平。
2 政府网络安全风险评估的模型与应用
2.1 安全风险评估应用模型三阶段。在电子政务系统建设的实施过程，主要分为规划与设计阶段、建设与实施阶段、运行与管理阶段等三个阶段。其中，安全风险分析主要作用于规划与设计阶段，安全等级评估主要作用于建设与施工阶段，安全检查评估主要作用于运行与管理阶段。
安全风险分析，主要是利用风险评估工具对系统的安全问题进行分析。对于信息资产的风险等级的确定，以及其风险的优先控制顺序，可以通过根据电子政务系统的需求，采用定性和定量的方法，制定相关的安全保障方案。
安全等级评估，主要由自评估和他评估两种评估方式构成。被评估电子政务系统的拥有者，通过结合其自身的力量和相关的等级保护标准，进行安全等级评估的方式，称为自评估。而他评估则是指通过第三方权威专业评估机构，依据已颁布的标准或法规进行评估。通过定期或随机的安全等级评估，掌握系统动态、业务调整、网络威胁等动向，能够及时预防和处理系统中存在的安全漏洞、隐患，提高系统的防御能力，并给予合理的安全防范措施等。若电子政务网络系统需要进行较大程度上的更新或变革，则需要重新对系统进行安全等级评估工作。
安全检查评估，主要是在对漏洞扫描、模拟攻击，以及对安全隐患的检查等方面，对电子政务网络系统的运行状态进行监测，并给予解决问题的安全防范措施。
2.2 安全风险分析的应用模型。在政府网络安全风险评估工作中，主要是借助安全风险评测工具和第三方权威机构，对安全风险分析、安全等级评估和安全检查评估等三方面进行评估工作。在此，本文重点要讲述的是安全风险分析的应用模型。在安全风险分析的应用模型中，着重需要考虑到的是其主要因素、基本流程和专家评判法。
（1）主要因素
在资产上，政府的信息资源不但具有经济价值，还拥有者重要的政治因素。因此，要从关键和敏感度出发，确定信息资产。在不足上，政府电子政务网络系统，存在一定的脆弱性和被利用的潜在性。在威胁上，政府电子政务网络系统受到来自内、外部的威胁。在影响上，可能致使信息资源泄露，严重时造成重大的资源损失。
（2）基本流程
根据安全需求，确定政府电子政务网络系统的安全风险等级和目标。
根据政府电子政务网络系统的结构和应用需求，实行区域和安全边界的划分。
识别并估价安全区域内的信息资产。
识别与评价安全区域内的环境对资产的威胁。
识别与分析安全区域内的威胁所对应的资产或组织存在的薄弱点。
建立政府电子政务网络系统的安全风险评估方法和安全风险等级评价原则，并确定其大小与等级。
结合相关的系统安全需求和等级保护，以及费用应当与风险相平衡的原则，对风险控制方法加以探究，从而制定出有效的安全风险控制措施和解决方案。
（3）专家评判法
在建设政府电子政务网络系统的前期决策中，由于缺少相关的数据和资料，因此，可以通过专家评判的方法，为政府电子政务网络系统提供一个大概的参考数值和结果，作为决策前期的基础。
在安全区域内，根据网络拓扑结构（即物理层、网络层、系统层、应用层、数据层、用户层），应用需求和安全需求划分的安全边界和安全区域，建立起风险值计算模型。通过列出从物理层到用户层之间结构所存在的薄弱点，分析其可能为资产所带来的影响，以及这些薄弱点对系统薄弱环节外部可能产生的威胁程度大小，进而通过安全风险评估专家进行评判，得到系统的风险值及排序。
在不同的安全层次中，每个薄弱环节都存在着不同程度的潜在威胁。若是采用多嵌套的计算方法，能够帮助计算出特定安全区域下的资产在这些薄弱环节中的风险值。
3 结语
本文主要通过对政府电子政务网络系统的建设中，所进行的安全风险评估进行研究，分析和探讨在规划与设计阶段、建设与实施阶段、运行与管理阶段三个阶段中政府网络安全建设的相关问题。并在各阶段分别采用安全风险分析、系统建设完成后的安全等级评估。在系统建成后的运行和管理阶段，采用的安全检查评估等方法，保障政府电子政务网络系统的安全。此外，在安全风险分析中，可操作的方法并不多，需要有关部门加强力度，加以研究和探析。在等级安全评估和安全检查评估两个阶段，可以充分利用第三方权威机构的评测工具，来加强政府网络的安全性。
参考文献：
[1]杨志新.政府网络安全风险评估[J].系统工程，2005，4.
[2]王继晔.政府信息网络的安全措施及技术手段[J].交通与计算机，2003，2.
[3]黄炜.我国政府保护网络经济信息安全的现状和对策[J].华南理工大学，2010，5，6.
[4]夏义，李勇.政府网络安全问题分析[J].高校图书情报论坛，2003，2.
网络安全等级保护评估范文第2篇
随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：
1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。
1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。
1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。
1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。
2电子政务信息安全体系模型设计
完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略
在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：
2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。
2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。
2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。
2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。
安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。
转贴于中国论文下载中心www
3电子政务信息安全管理体系中的风险评估
电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。
3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。
3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。
电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。
在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。
4结语
电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。
参考文献：
[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.
[2]李波杰，张绪国，张世永.一种多层取证的电子商务安全审计系统微型电脑应用.2007年05期.
网络安全等级保护评估范文第3篇
建立等级保护制度是实现网络安全的保障。结合网络系统的网络结构、系统组成、服务模式等基本情况，建立等级保护制度实施的规范和标准。制定安全区域边界和内部实施相应的安全防护的策略，科学进行框架结构、系统部署等内容设计，建立一个适应性和可行性较强的网络安全防护体系。通过科学的建模分析方法，结合网络结构模型和对应的技术进行细致分析及思考。笔者针对如何建立适应性较强的网络安全体系提出一些思路，并构建出了具体的框架，提出具体的建模分析方法。
1当前等级保护制度研究的现状
我国网络技术迅猛发展，网络技术的应用已经渗透到各行各业中。由于网络信息系统的类型很多，因此各国实施的系统建设标准各有不同，同时系统针对应用场景适应性也各有差异，还有其他一些的因素都是造成网络安全等级保护制度难以进行推广的原因。针对基于等级保护的网络安全体系的建立和实施过程中的困难，有很多专家学者对信息安全等级保护制度进行了探讨和研究。针对基于安全等级保护的网络安全体系的研究，是从信息安全等级保护相关要求和标准角度，参考全球信息安全领域的安全保护原则与评估方法，进行科学的对比分析，常用的方法包括统计分析、系统建模等。信息安全等级保护制度的探索应用主要是在一些特定的对信息收集、处理标准较高的信息系统上，常见的比如，电子商务、媒体与信息服务、企业信息管理系统等。在特定领域的信息安全等级保护制度研究，要求结合行业领域的特点进行分析，还有一些相关的规范性文件要求。
2等级保护制度的内容和要求
所谓基于等级保护的网络安全体系是指处理信息和其载体，需要结合信息的重要性，进行等级的分级别，提高信息安全保护的效率的一种体系制度。要求是对一些专有的重要信息或者公开信息进行专项的存储、处理时，按照信息系统中内容的等级实施对应的安全保护措施，实现对安全体系下的信息安全事件进行分等级的处置工作。实现系统的安全的相应要求不同于一般的技术安全要求标准。从物理、网络、应用等层面，制定对不同等级的信息系统的建设标准。再根据实现方式的差异，提出基本的安全要求，分技术和管理要求两个基本的类别。安全技术要求要对应安全层面的内容，一些安全技术的实施标准的要求是能够与特定层面相适应，例如防雷、防火等这些物理层面的安全要求。而一些安全要求是对应多个层面进行实施的，如进行身份的鉴别、系统访问的控制等。
3网络安全体系的框架构建分析
构建科学的网络安全体系，需要考虑诸多方面的内容，比如安全组织、技术、和具体的实施等一系列的情况。在网络安全体系中的内容，必须符合我国当前的网络方面的相关法律和标准，能够适应各类的场景和应用环境来实现框架的构建思路，科学的安全体系应当具备适用于各种应用场景的特点，进行安全场景的建模分析。基于等级保护的网络安全体系，先要从需求角度进行分析，着重对体系建立的相关内容进行思考，网络安全体系框架的构建要求重点对网络安全体系和安全目标、安全边界多方面，通过建模方法进行分析，然后用具体明白的表述做好跟安全管理工作的对接。对安全目标的建模方法具体分析，要结合安全体系建立的需求，建立有针对性的安全目标。设立安全目标的内容，通常会包括了业务的范围、功能以及业务实施流程等方面的内容。业务功能是指在网络平台上进行的特定相关业务的能力。通常业务功能可以按照模块进行分解，目标的不同可能导致描述粒度要求的不同。针对安全目标的建立模型进行分析，由于业务需求与安全需求的内容上存在很多类似的地方，因此，需要设定相同的分析对象再进行建模，运用的建模方法为：进行业务功能方面的建模，要结合网络安全体系中的特定业务目标，深入分析业务的功能内容，进行相关描述时，要结合具体的目标和特定的需要，同时还要针对对业务功能的内容方面进行探讨，对名称的标识描述要突出，控制描述内容的质量，可以使用一些可视性例图进行描述，这样能起到帮助用户更深入理解系统功能的目的。分析业务开展的范围要结合相关的业务功能，在业务覆盖的范围内阐述网络覆盖的业务实施和各个环节的相关性，可以借助类图法对相关业务范围进行刻画。
4基于等级保护网络安全体系中的安全边界建模方法分析
利用网络安全边界理论进行安全界定时，要服从于网络安全体系可以涵盖所有范围的基本设立目标。利用SB=<LNB，SMB>来对安全边界模型的相关要素进行表示，在模型构建的元素中以LNB表示边界的连通，以SMB表示安全措施边界。应用LNB对联通的边界进行相关的分析，通过网络上的软件和硬件进行结合的内容，进行的连通边界的描述，同时还需要结合组件的运行和通信，对模型进行详细的补充。
4.1针对安全体系要素的建模
对安全体系的要素进行建模分析要求结合安全机制和安全威胁进行建模分析，对安全机制的相关要素和安全威胁的相关内容要进行科学全面的思考，提高建模分析的准确性和科学性。要应用模态逻辑对安全体系的要素进行分析，包括了必然和可能等相关的概念逻辑。
4.2安全措施分析
对网络信息技术进行分析制定，防止网络信息系统受到侵害，及时对一些安全事故进行分析处理，这是安全技术措施的主要内容，安全管理措施是对网络信息系统的检查和分析，实施对机构体制和系统操作人员的相关管理，还包括了对于提高系统的安全系数的工作内容。
4.3安全管理措施和安全技术措施的分析比较
安全管理措施和安全技术措施两者十分类似，但在措施的实施方面有实际的差异。前者针对的管理的相关规则，而后者却是针对技术制定相应的规则。进行模态逻辑的应用的时候，建立安全体系的模型，实现模拟逻辑的应用推导，利用安全体系中的有效性进行科学的推导和相应的分析，同时，利用强推理和弱推理的相关的规则进行对比分析，可以发现其中存在的一些关系。
5对网络安全体系建模方法的验证分析
用科学的方法建立模型，从安全目标和安全边界角度以及安全要素等进行了模型的分析。下面就结合模型的验证结果，分析安全目标的实现程度。主要针对安全要素计算法进行具体的分析如下：把特定的业务相关状态的内容进行模型的输入和输出操作，设定特定业务流程内业务状态的相应安全要素集，所谓安全要素集，是指若系统承载业务操作资产也成为了是安全威胁目标，那么该安全威胁就应该在此业务状态下需要应对的安全威胁攻击的集内。通过测定安全要素是否在安全边界中，实现对业务操作的性质的区分，定性是属于安全性还是威胁性的。其中有2个主要步骤：（1）界定安全威胁攻击目标是否在物理连通的边界范围中；（2）对安全技术措施和安全管理中制定的相关措施状态，对比该安全措施边界的模型定义和状态的情况是否一致。若业务操作中有安全威胁，但没有解决该安全威胁的安全技术措施，那么这个业务操作就形成了一定程度的存在安全风险；再对这一安全威胁的安全技术措施的模态进行判断，若发现“可能”针对这一模态的相应安全措施，根据弱推理规则对安全措施的科学性和可行性进行推导判断，否则就根据强推理规则进行推导，结合最终的结果，进行安全风险的处置。制定科学的安全技术和安全管理方面的保护措施，需要界定安全要素是否包含在相应的安全边界内，同时要求对安群威胁进行分析，根据最终系统是否受到攻击的实际情况，结合安全管理的对象和相应的技术规范的时，检测物理连接是否有效，连接的状态是否发生了改变以及是否满足要求，按照安全等级进行建模分析。结合上述的相关建模分析方法，安全管理部门可以细致的了解网络安全的相关内容,加深对网络安全风险状态的科学认知，并制定有针对性的标准和流程,保证业务操作的安全性和效率。
6结语
本文对网络安全体系建模分析的相关方法进行了详细的介绍，并进行了验证方法的阐述，满足了网络安全体系建模的方法的科学性和可行性要求。在具体的基于等级保护制度建立的网络安全体系框架内，对于建模上的规范性和功能提出了较高的要求，结合对网络安全体系建模分析，讨论了对此类网络安全建模分析方法科学性进行验证的方法。
作者:马荣华 单位:郑州铁路职业技术学院
引用：
网络安全等级保护评估范文第4篇
关键词：信息安全；等级保护；等级测评；实践教学；综合实训
DOIDOI：10.11907/rjdk.161717
中图分类号：G434
文献标识码：A文章编号文章编号：16727800（2016）009017303
基金项目基金项目：贵州省科技厅社发攻关项目（黔科合SY字2012-3050号）；贵州大学自然科学青年基金项目（贵大自青合字2010-026号）；贵州大学教育教学改革研究项目（JG2013097）
作者简介作者简介：张文勇（1973-），男，贵州台江人，硕士，贵州大学计算机科学与技术学院讲师，研究方向为网络与信息安全；李维华（1961-），男，贵州贵阳人，贵州大学计算机科学与技术学院高级实验师，研究方向为网络与信息安全；唐作其（1980-），男，贵州兴义人，硕士，贵州大学计算机科学与技术学院副教授，研究方向为信息安全保障体系。
0引言
信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障，是信息安全保障工作中国家意志的体现。信息安全学科要求学生不仅要具备很强的理论知识，更应具备较强的实践能力。现阶段很多高校在理论教学上有较好的培养方法和模式，学生具备良好的理论基础，但在实践教学中由于各课程的衔接和关联较少，尽管部分学校开设了信息安全实训或信息安全攻防实践等课程，但基本都是做一些单元实验，仅局限于某一方面的技能训练，没有从全局、系统的角度去培养学生综合运用各种信息安全知识解决实际问题的能力[15]。从贵州大学信息安全专业毕业生就业情况调查反馈信息来看，绝大多数毕业生主要从事企事业单位的信息安全管理、信息安全专业服务等工作，少数毕业生从事信息安全产品研发，或继续硕士博士深造，从事信息安全理论研究。用人单位普遍反映学生的基本理论掌握相对较好，但实际操作技能、综合分析能力欠缺。为了解决目前这种状况，笔者根据长期从事信息安全等级保护项目实施工作实践，提出在信息安全专业的实践教学环节中引入信息安全等级保护相关内容。
1信息安全等级保护对学生能力培养的作用
信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查5个阶段，信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护的知识体系完善，信息安全等级保护测评人员的技术要求涵盖多个方面，包括物理环境、主机、操作系统、应用安全、安全设备等，因此国家对于信息安全等级保护人员的技术要求十分综合和全面[3]。如参照信息安全等级保护专业人员的技术要求对学生开展信息安全综合实训将满足社会对信息安全专业人员的技能和知识结构要求，主要体现在以下4个方面：①培养学生了解国家关于非信息系统保护的基本方针、政策、标准；②培养学生掌握各种基本信息安全技术操作技能，熟悉各种信息系统构成对象的基本操作，为将来快速融入到信息安全保护实践工作奠定基础；③培养学生具备从综合、全面的角度去规划、设计、构建符合国家信息安全保障体系要求的信息安全防护方案能力；④培养学生建立信息安全等级保护的基本意识，在工作实践中自觉按国家信息安全等级保护要求开展工作，有利于促进国家信息安全等级保护政策实施。
2实训教学知识体系
信息安全等级保护的相关政策和标准是信息安全实训教学体系建立的基本依据，GB/T 22239-2008《信息安全等级保护基本要求》在信息安全等级保护标准体系中起基础性作用。信息安全等级保护基本要求充分体现了“全面防御，纵深防御”的理念，遵循了“技术和管理并重”的基本原则，而不同级别的业务信息系统在控制点要求项上的区别体现了“适度安全”的根本原则[6]。信息安全保护测评是信息安全等级保护的一项重要基础性工作，GB/T 28449-2012《信息安全等级保护测评过程指南》是对等级测评的活动、工作任务以及每项任务的工作内容作出了详细建议，等级测评中的单元测评、整体测评、风险分析、问题处置及建议环节体现了测评工程师对等保项目基本安全保障情况的综合分析能力[610]。信息安全等级保护知识体系庞大，不可能兼顾所有方面，因而在信息安全实训教学知识体系制订中采用兼顾全局、突出重点的基本原则；在实训教学知识体系的构成中重点以《信息安全等级保护基本要求》和《信息安全等级保护测评过程指南》为基础，包括基本理论培训、基本技能实训、安全管理培训、能力提高实训四大模块；在实际操作中将重点放在基本技能实训和能力提高实训上。各实训模块构成及关系如图1所示。
3实训教学实施
教学实施依据实训教学知识体系进行，教学方式采用集中课堂基本理论教学、在信息系统模拟平台实施现场测评数据采集的基本操作实训和以信息安全等级保护测评报告的编写为基础的数据分析、数据整理、安全方案编写实训。
3.1基本理论教学
该环节采用集中课堂教学方式，讲解的主要内容是信息安全等级保护政策和标准。讲解深度上应有所侧重，讲解重点包括：①信息安全等级保护基本要求中层面的划分原则和依据、控制点的构成、控制点中要求项的解读；②信息安全保护过程指南中单元测评、整体测评、风险分析、问题处置和建议等部分的解读。
理论教学在突出重点的同时，兼顾全局，让学生对信息安全等级保护制度和标准有一个完整、清晰的认识。
3.2基本技能实训
基本技能实训环节主要是强化学生各种信息安全技术的基本操作训练。首先，应根据最真实的企业内部环境搭建符合信息安全等级保护要求的模拟信息系统，并编写好对应的信息安全等级保护现场测评指导书；然后，指导学生在模拟系统上进行现场测评实训，实训过程按信息安全等级保护现场测评指导书要求进行，实训内容以获取信息系统安全配置和运行状态等原始数据为基础。基本技能实训模块包括网络安全、主机安全、应用安全、数据备份及恢复、自动化工具扫描这5个层面的训练项目。
（1）网络安全。学生在模拟平台上开展各种主流的网络设备和安全设备的基本操作训练，要求学生理解网络设备和安全设备的安全功能及安全设置，掌握设备的运行状态和信息数据采集方法。
（2）主机安全。学生在模拟平台上开展各种主流系统软件基本操作训练，包括操作系统、数据库系统、中间件等，要求学生理解各种系统软件的安全功能和安全设置。通过本环节的实训，学生应具备系统软件安全配置核查和运行状态信息采集能力。
（3）应用安全。学生在模拟平台上对所安装的主流商用应用软件和自主开发软件进行安全配置核查和安全功能验证训练，要求学生理解应用软件的安全功能设计要求，掌握应用软件的安全配置核查和安全功能验证方法。
（4） 数据备份和回复。通过模拟系统的磁盘冗余阵列进行基本操作训练，让学生了解磁盘冗余阵列的验证方法；通过训练学生在操作系统和数据库管理系统上配置计划备份任务，使其理解系统软件的数据备份安全功能，掌握系统软件的备份操作计划配置和验证方法。
（5）自动化工具扫描。学生利用主流的开源扫描工具和商用的扫描工具对模拟系统上的网络设备、安全设备、服务器主机等进行扫描，获取信息系统主要软硬件的漏洞，并验证系统的脆弱性。本部分获取的原始数据作为（1）、（2）、（3）部分的补充，通过本环节培训学生整理和分析漏洞扫描结果以及初步验证漏洞真实性的能力。
3.3能力提高实训
在学生掌握信息系统安全配置和运行状态数据采集的基本技能后实施能力提高实训，本模块主要培训学生对原始数据的分析、整理，并编写信息安全等级保护测评报告的能力。能力提高实训模块主要包括单元测评、整体测评、风险分析、问题处置和安全建议4个项目，各项目之间的关系流程如图2所示。
（1）通过基本技能实训获取到原始数据后，根据信息安全等级保护测评过程要求整理、分析原始数据，开展单元测评，并给出各单元层面内控制点中检查项的符合性，分析并给出单元测评结果，按信息安全等级保护报告模板编写单元测评报告。
（2）在完成单元测评后，由于单元测评参照的信息相对独立，未考虑原始数据间的关联性，而实际信息系统的最终安全防护效力和面临的风险是信息系统安全控制点间、安全层面间、安全区域间各组成要素共同作用的结果，因此在完成单元测评后还应该进行整体测评。整体测评主要是考虑单元测评中的各控制点间、安全层面间、安全区域间存在某种关联性，这种关联会对信息系统整体的安全防护效力、面临的风险具有降低或增加的作用，应从整体角度对信息系统安全的状态进行修正。
（3）风险分析结果是制订信息安全系统防护措施的重要依据，风险分析能力是体现信息安全工程师水平的一项重要指标。在风险分析实训项目中结合单元测评和整体测评结果利用风险分析计算工具对信息系统面临的风险等级大小进行定性或定量的分析计算，并编写风险分析报告。
（4）确定信息系统存在的风险后，接着应分析引起信息系统风险的因素，对不可接受风险因素或不能满足等级保护要求的安全防护项提出完整的问题处置和整改建议。问题处置和整改建议环节要求信息安全工程技术人员具备扎实理论知识的同时还具备相当丰富的实践经验，工程技术人员必须熟悉信息安全的各种防护技术和目前市场上相关的信息安全软硬件安全产品。因此，本实训项目主要是训练并提高学生综合运用信息安全技术解决实际问题的能力。
4结语
在信息安全专业的实践教学中引入信息安全等级保护内容，实训教学知识体系完全参照信息安全等级保护要求来构建，信息安全等级保护知识体系完善，保证了实训内容的广度和深度。通过信息安全等级保护现场测评环节训练学生的信息安全技术基本操作技能，通过信息安全等级保护测评报告的编制训练学生运用信息安全等级保护基本知识、理论和方法去分析信息系统存在的漏洞、面临的安全风险，并编制符合信息安全等级保护要求的安全防护方案，提高学生综合运用信息安全技术解决实际问题的能力，较好地满足了社会对信息安全人才的需求，深受信息安全等级保护技术服务机构和已开展或拟开展信息系统安全等级保护的企事业及机关单位的欢迎，为学生毕业后尽快适应工作要求奠定了基础。
由于实验环境的限制，所制订的基于信息安全等级保护的实训教学知识体系仍存在以下3点不足：①实训教学体系未涉及虚拟化、云计算、物联网安全实训，而这些是当前发展较快且正被广泛运用的信息技术；②由于渗透测试对测试环境搭建和学生基本技能要求较高，因而实训教学体系中并未涉及渗透测试项目；③信息安全管理在信息安全防护工作中是非常重要但却最容易被忽视的工作内容，可以说一个组织的信息安全管理水平高低直接决定其信息系统的安全防护能力。因为安全管理测评基本上采用的是制度类、证据类、记录类文档性资料的核查和访谈，而在实训中难以模拟一个完整的安全管理体系实际案例，所以在实训中安全管理部分更多地是采用课堂教学讲解，没有操作实训。 这些在后续教学实践工作中都有待改进。
参考文献参考文献：
[1]杨冬晓，严晓浪，于慧敏.信息类特色专业建设的若干实践[J].中国电子教育，2010（1）：3945.
[2]田秀霞.创新实践项目驱动的信息安全专业教学改革[J].计算机教育，2015（23）：3033.
[3]张胜生，吕绪银.基于信息安全场景下的等级保护技术人才培养模式研究[C].第二届全国信息安全等级保护测评体系建设会议论文集，2012：8385.
[4]李琳，陈东方，李涛，等.信息安全专业实践教学体系研究[J].电脑知识与技术.2014，10（35）：85148515.
[5]蒋炜.信息安全等级保护培训探讨[J].现代企业研究，2015（2）：64.
[6]公安部信息安全等级保护评估中心.信息安全等级保护政策培训教程[M].北京：电子工业出版社，2015.
[7]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（中级） [M].北京：电子工业出版社，2015.
[8]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（初级） [M].北京：电子工业出版社，2015.
网络安全等级保护评估范文第5篇
持续推动的等级保护
信息化技术标准委员会副主任委员崔书昆认为，在基础信息网络和重要信息系统的安全严重关系到国家安全、社会稳定以及人民群众切身利益的今天，信息安全问题已然成为事关全局的战略性问题。近年来，有关部门围绕信息安全保障体系建设，在信息安全等级保护、风险评估、标准制定、产品开发及打击各种网络违法犯罪活动等方面取得了积极进展。在这种情势下，将信息安全等级保护确定为提高国家信息安全保障能力，维护国家安全、社会稳定和公共利益的一项基本制度，是非常必要的。
可以这样理解，我国信息安全各项工作快速推进，信息安全风险评估工作和保障体系建设、信息安全管理工作、信息安全法制化和规范化建设、信息化基础设施和体系建设取得了重要的成效。特别是从2007年7月20号开始，全国重要信息系统定级工作已经开始，并在各行业、各部门、各单位的支持下，取得了丰硕的成果。
从2008年开始，公安部会同国家保密局等部门，在重要信息系统定级工作的基础之上，部署和开展深入推进信息安全等级保护工作，它主要分为三个方面：
第一，依据国家行业标准，从管理和技术两个方面，开展信息系统安全建设整改，建立并落实安全管理制度，落实安全责任制。
第二，根据等级保护标准开展风险评估、灾难备份、应急处置、安全检查等工作。
第三，对信息系统应用的一些重要单位，开展等级保护工作检查。
公安部网络安全保卫局郭启全处长说：“目前全国范围内，大规模的重要系统定级工作已经基本完成，相关资料目前集中到公安部进行管理。定级工作的主要成效是了解重要信息系统的底数，掌握国家信息安全的基本情况，为全面贯彻落实信息安全等级保护制度，推动国家信息安全保障等工作的深入发展奠定坚实的基础。同时，某些地方、企业或者单位没有完成定级工作，但会纳入到我们下一阶段的检查工作当中完成。另外，有些企业会随后逐步执行该工作，不会影响国家等级保护制度的大规模推动。”
实施等级保护，充分体现了“适度安全、保护重点”的目的，可以把国家的重要网络、重要系统挑出来，把国家有限的精力、财力投入到信息保护当中去，提高国家基础网络和重要信息系统的安全保护水平，同时提高信息安全保障工作的整体水平。
奥运留下的财富
“2008年北京奥运会的信息网络安全工作给我们留下了很多财富。”郭启全曾经说过，奥运会对我们国家的信息网络安全工作进行了一次大考。它既考验了我们国家信息网络安全的工作，同时也考验了等级保护主管部门、公安部和很多部委的行业主管部门的信息安全工作。在这次大考中，各部门均表现得很优秀。在北京奥运会期间，无论是核心网络还是信息系统，都遭受了大规模的攻击和入侵，却没有出现相关安全事故，支撑北京奥运会顺利举办，这是我国信息网络安全领域经历的考验。
实际上，奥运会取得的经验和公安部下一步等级保护工作之间存在密切的相关性。公安部和有关部委会借鉴奥运会信息安全网络经验，充分利用好奥运留下的财富，进一步开展今后的工作。
记者了解到，在北京奥运会之前，成立了以公安部牵头的包括海关、银行、广电等14个部委参加的信息网络安全指挥部。由于有了这样的指挥部，使得各项工作的落实有了一个组织保障。如果没有这个指挥部，大家各干各的，在北京奥运会期间便无法保证重要系统和网络的安全。
在2008年，国家安全的核心问题便是保障奥运的安全，奥运安全采取的第一个措施就是等级保护。郭启全介绍说：“公安部把奥运核心网络和涉及奥运会的系统都定级、备案，针对风险和重要性搞等级测评和风险评估，反复查找问题、漏洞、脆弱性和安全风险。从历史经验来看，总会有一些黑客试图攻击奥运系统。所以，在这些黑客攻击之前，我们就需要开始做严格的攻击性自测。找到问题后进行系统加固，并且是有针对性地进行加固。这种安全建设、整改、加固还有等级测评，提升了我们的系统防范能力。”
郭启全强调：“我们当时还专门针对北京奥运会提出了风险评估的指南。北京奥运会期间最大的风险是什么？其实就是来自黑客的攻击破坏，所以搞风险评估要针对最大的风险去做。举个例子，我到国家体育总局去了三次，就是研究他们的网络安全问题、网站安全问题，这就有针对性，搞等级保护、风险评估非常有针对性。这使得我们的风险找得准，漏洞找得准，问题找得准，因此相关措施就有针对性。”
2009年的新工作
中国工程院院士沈昌祥指出，目前我国信息与网络安全的防护能力还处于发展的初级阶段，有些应用系统处于不设防状态。国防科技大学的一项研究表明，我国与互联网相连的网络管理中心有95%都遭到过境内外黑客的攻击或侵入，其中银行、金融和证券机构是攻击重点。
由于奥运网络和信息系统开展了等级保护工作，并对等级保护工作的政策标准、工作环节进行了检验，所以等级保护下一步的工作部署将充分借鉴北京奥运会的经验，健全完善等级保护领导体制和协调配合机制，例如等级保护原来有些领导体制可能还要进行补充，明确重点工作对象，比如说拿三级系统作为重点工作对象。
郭启全说：“我们会严格落实责任制，认真抓好三点工作，计划三年内完成安全系统的整改工作，总的目标就是：能力提高，事故降低，等级保护制度得到落实，国家信息网络安全基本得到保障。”
开展的重点工作主要分为三个方面。第一个方面是全面开展等级保护安全建设整改工作，要建设安全设施，落实安全措施，建立并落实安全管理制度，落实责任制。第二个方面是各单位建立安全整改工作规划，完成定级系统整改规划和制定具体实施方案。第三个方面是以三级以上系统为重点，确定安全需求，制定安全方案。“当然，一些单位可能不太明白具体的操作办法，届时我们会选择有代表性的信息系统进行安全建设试点、示范，结合行业特点制定行业标准规范，按照有关工作实施的规范要求组织实施信息系统安全建设工程。”
