信息系統安全等級保護實務（簡體書）

《信息安全技術叢書：信息系統安全等級保護實務》系統、全面地介紹了信息系統安全等級保護的基本概念、實施流程和建設整改的方法。全書共15章，分為三個部分。第一部分簡要介紹信息系統安全等級保護的基本概念，以及實施等級保護的全部流程；第二部分從信息系統安全等級保護建設者的角度對定級與備案、建設與整改、測評、檢查等各環節的重點和難點進行了具體分析與論述，特別是從管理與技術兩個方面詳細講解了信息系統安全等級保護建設、整改的具體實施方法：第三部分給出一個信息系統安全建設整改的實例，幫助讀者實現從理論方法到具體實踐的跨越。
《信息安全技術叢書：信息系統安全等級保護實務》適合作為信息系統安全等級保護設計、建設、運營和管理等相關專業人員的培訓教材，也可作為信息安全專業安全等級保護類課程的教材。

《信息系統安全等級保護實務》適合作為信息系統安全等級保護設計、建設、運營和管理等相關專業人員的培訓教材，也可作為信息安全專業安全等級保護類課程的教材。

序
前言

第1章概論
1.1等級保護的目的和意義
1.2等級保護法律法規與政策規範
1.3信息安全等級保護標準

第2章信息系統安全等級保護實施
2.1等級保護工作的主要內容
2.2信息系統定級
2.3信息系統備案
2.4信息系統安全建設整改
2.5信息系統等級測評
2.6監督檢查

第3章信息系統定級與備案
3.1信息系統安全保護等級
3.2信息系統安全保護等級的確定方法
3.2.1定級原則
3.2.2定級要素
3.2.3定級流程
3.2.4定級方法
3.3信息系統定級實例
3.3.1系統描述
3.3.2系統定級過程
3.4信息系統備案工作
3.4.1信息系統備案與受理
3.4.2公安機關受理備案要求
3.4.3對定級不准和不備案情況的處理

第4章建設整改分析與設計
4.1安全需求分析方法
4.1.1選擇、調整基本安全要求
4.1.2明確系統特殊安全需求
4.2新建系統的安全等級保護設計方案
4.2.1總體安全設計方法
4.2.2總體安全設計方案大綱
4.2.3設計實施方案
4.3系統改建實施方案設計
4.3.1確定系統改建的安全需求
4.3.2差距原因分析
4.3.3分類處理的改建措施
4.3.4改建措施詳細設計

第5章安全管理體系建設
5.1信息安全組織結構建設
5.1.1崗位設置和人員配備
5.1.2授權和審批
5.1.3溝通和合作
5.1.4審核和檢查
5.2信息安全管理制度體系建設
5.2.1信息安全方針和策略
5.2.2安全管理制度制定原則
5.2.3操作規程
5.2.4制訂和發佈
5.2.5評審和修訂

第6章安全管理實施
6.1人員安全管理
6.1.1人員錄用
6.1.2人員離崗
6.1.3人員考核
6.1.4安全意識教育和培訓
6.1.5外部人員訪問管理
6.2系統建設安全管理
6.2.1信息系統生命週期與系統建設
6.2.2系統建設管理的要求
6.2.3初始管理
6.2.4採購和開發管理
6.2.5實施管理
……
第7章物理安全技術實施
第8章網絡安全技術實施
第9章主機安全技術實施
第10章應用安全技術實施
第11章數據安全技術實施
第12章信息系統安全等級保護實施難點
第13章信息系統安全等級測評
第14章信息系統安全等級保護檢查
第15章信息系統安全建設整改實例

（4）實施系統軟件版本管理，應用軟件備份和恢復管理。
5）網絡管理員的職責
（1）負責網絡的部署和網絡產品、網絡安全產品的配置、管理與監控，并對關鍵網絡配置文件進行備份，及時修補網絡設備的漏洞；
（2）協助安全管理員制定網絡設備安全配置規則，并落實執行；
（3）當網絡和設備異常或故障發生時，詳細記載發生異常時的現象、時間和處理方式，并及時上報；
（4）編制網絡設備的維修、報損和報廢等計劃，報安全主管審核。
6）機房管理員的職責
（1）負責機房硬件設備和機房環境的維護和管理工作；
（2）負責編制機房硬件設備使用和維護等的管理制度和規范；
（3）當機房設備異常或故障發生時，詳細記載發生異常時的現象、時間和處理方式，并及時上報；
（4）編制機房設備的維修、報損和報廢等計劃，報安全主管審核。
7）文檔管理員的職責
文檔管理員的職責為負責對信息安全相關文檔進行分類歸檔。
同時在上述崗位的設置方面應遵循以下原則：
（1）對一些信息安全關鍵崗位應配備兩人或兩人以上共同管理，信息安全關鍵崗位包括主機系統管理員、數據庫管理員、應用系統管理員和網絡管理員等可查詢及更改業務信息與系統配置的人員；
（2）為避免信息安全崗位的工作人員權力過于集中，出于對安全的考慮，應設置專職的安全管理員，尤其應注意安全管理員不能兼任網絡管理員、主機系統管理員、數據庫管理員或應用系統管理員崗位；
（3）根據崗位變動情況及時調整相應的授權，做到“在崗有權、離崗失權”；
（4）信息安全崗位的工作人員應該不定期循環任職，強制實行輪換制度，避免一人長期擔任信息安全管理職務，并對相關人員進行輪流培訓。
5.1.2授權和審批
各個部門和崗位的職責都需經過正規的審批流程，應有明確的授權審批事項、審批部門和批準人等，并有相應的審批管理制度文檔，其內容包括審批事項、需逐級審批的事項、對應審批部門、批準人和審批程序等。
對審批事項應建立審批程序，按照審批程序執行審批過程，對重要活動建立逐級審批制度。其中，審批事項包括系統變更、重要操作、物理訪問、系統接人、重要管理制度的制定和發布、人員的配備、人員的培訓、產品的采購、外部人員的訪問、與合作單位的合作項目等。并且應有相應的審批管理制度文檔，以明確對系統變更、重要操作、物理訪問和系統接入等事項的審批流程。
審批事項須定期審查，授權和審批的項目、審批部門和審批人等信息也需要及時更新，并有相應的審查周期。同時，在審批管理制度文檔中也要做出明確規定。審批事項的審批過程需要有記錄，并保存逐級審批的文檔，如各級批準人的簽字和審批部門的蓋章等。