• GB/T 20273ቤተ መጻሕፍቲ ባይዱ2006 数据库管理系统安全技术要求
• GB/T 20275—2006 入侵检测系统技术要求和测试评价方法
• GB/T 20278—2006 网络脆弱性扫描产品技术要求
• GB/T 20279—2006 网络和终端设备隔离部件安全技术要求
• GB/T 20281—2006 防火墙技术要求和测试评价方法
等级保护基本要求培训(第十二期)
等级保护相关标准
• GA/T 708-2007 信息系统安全等级保护体系框架
• GA/T 709－2007 信息系统安全等级保护基本模型
• GA/T 710-2007 信息系统安全等级保护基本配置
• GA/T 711-2007 应用软件系统安全等级保护通用技术指南
• GA/T 712－2007 应用软件系统安全等级保护通用测试指南
等级保护基本要求培训(第十二期)
不同级别的安全保护能力要求
• 第三级安全保护能力
– 应能够在统一安全策略下防护系统免受来自外部有组织的团体 （如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包 括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重 的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较 广等）以及其他相当危害程度的威胁（内部人员的恶意威胁、无 意失误、较严重的技术故障等）所造成的主要资源损害，能够发 现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大 部分功能。
安全保护和系统定级的关系
安全等级
信息系统保护要求的组合
第一级 S1A1G1
第二级 S1A2G2，S2A2G2，S2A1G2
第三级 S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3
第四级 S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4， S4A2G4，S4A1G4
• 是系统安全保护、等级测评的一个基本“标尺”， 同样级别的系统使用统一的“标尺”来衡量，保 证权威性，是一个达标线；
• 每个级别的信息系统按照基本要求进行保护后， 信息系统具有相应等级的基本安全保护能力，达 到一种基本的安全状态;
• 是每个级别信息系统进行安全保护工作的一个基 本出发点，更加贴切的保护可以通过需求分析对 基本要求进行补充，参考其他有关等级保护或安 全方面的标准来实现;
• GB/T 21053—2007 公钥基础设施 PKI系统安全等级保护技术要求
• GB/Z 20985—2007 信息安全事件管理指南 YD/T
• GB/Z 20986—2007 信息安全事件分类分级指南
等级保护基本要求培训(第十二期)
定级流程
S
A
G=MAX(S,A)
等级保护基本要求培训(第十二期)
• GA/T 713-2007 信息系统安全管理测评
• GB/T 18018—2007 路由器安全技术要求
• GB/T 20269—2006 信息系统安全管理要求
• GB/T 20270—2006 网络基础安全技术要求
• GB/T 20271—2006 信息系统安全通用技术要求
• GB/T 20272—2006 操作系统安全技术要求
• GB/T 20282—2006 信息系统安全工程管理要求
• GB/T 20979—2007 虹膜识别系统技术要求
• GB/T 20984—2007 信息安全风险评估规范
• GB/T 20988—2007 信息系统灾难恢复规范
• GB/T 21028—2007 服务器安全技术要求
• GB/T 21052—2007 信息系统物理安全技术要求
等级保护基本要求培训( 第十二期)
2020/11/29
等级保护基本要求培训(第十二期)
目录
• 等级保护知识回顾 • 使用时机和主要作用 • 基本要求主要思想 • 各级系统保护的主要内容
等级保护基本要求培训(第十二期)
等级保护等级
等级保护基本要求培训(第十二期)
等级保护基本要求培训(第十二期)
等级保护重要标准
源损害，在系统遭到损害后，能够恢复部分功能。 • 第二级安全保护能力
– 应能够防护系统免受来自外部小型组织的（如自发的三两人 组成的黑客组织）、拥有少量资源（如个别人员能力、公开 可获或特定开发的工具等）的威胁源发起的恶意攻击、一般 的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围 小等）以及其他相当危害程度的威胁（无意失误、技术故障 等）所造成的重要资源损害，能够发现重要的安全漏洞和安 全事件，在系统遭到损害后，能够在一段时间内恢复部分功 能。
• GB 17859-1999 计算机信息系统 安全保护等级划分准则 • GB/T 22239—2008 信息系统安全等级保护基本要求 • GB/T 22240—2008 信息系统安全等级保护定级指南 • 信息系统安全等级保护测评过程指南（国标报批稿） • 信息系统安全等级保护测评要求（国标报批稿） • GB/T 25058-2010信息系统安全等级保护实施指南 • GB/T 25070-2010信息系统等级保护安全设计技术要求
等级保护基本要求培训(第十二期)
使用时机和主要作用
等级保护基本要求培训(第十二期)
等级保护基本要求作用
等级保护基本要求培训(第十二期)
技术标准和管理规范的作用
信息系统定级 信息系统安全建设或改建
技术标准和管理规范 安全状况达到等级保护要求的信息系统
等级保护基本要求培训(第十二期)
《基本要求》的定位
等等
等级保护基本要求培训(第十二期)
基本要求主要思想
等级保护基本要求培训(第十二期)
《基本要求》基本思路
等级保护基本要求培训(第十二期)
不同级别的安全保护能力要求
• 第一级安全保护能力
– 应能够防护系统免受来自个人的、拥有很少资源（如利用公 开可获取的工具等）的威胁源发起的恶意攻击、一般的自然 灾难（灾难发生的强度弱、持续时间很短等）以及其他相当 危害程度的威胁（无意失误、技术故障等）所造成的关键资
等级保护基本要求培训(第十二期)
等级保护基本要求效果
等保三级
等保二级
等级保护基本要求培训(第十二期)
《基本要求》的定位
基本要求
保护 某级信息系统
基本保护
特殊需求 补充措施
精基确本保保护护
测评 基本要求
补充的安全措施
GB17859-1999 通用技术要求 安全管理要求 高级别的基本要求 等级保护其他标准 安全方面相关标准