网络安全等级保护定级策略在安全需求分析中的应用研究

湖北省烟草公司鄂州市公司 湖北 鄂州 436000

引言

依据当前阶段在安全需求的现状分析,发现不管是软件开发方还是客户方,在系统安全意识方面普遍不高,在相关需求文档当中很少对安全方面进行详细的描述,促使系统上线之后经常出现安全问题,使得社会影响极为不良,客户的信息资产也存在了损失,在后期修复与维护阶段,投入的成本也在极大程度上得到了增加。因此,在实际开展软件系统开发的过程中,严格依照定级备案的主要流程来实施安全建设,促使系统能够有效提升安全水平。

1 网络安全等级保护定级备案的主要流程

依据现行的《信息安全等级保护管理办法》当中的相关规定,再具体实施等级保护工作的时候,主要分为5个环节来具体实施,分别为定级、备案、建设整改、登记测评以及监督检查这5个环节,而定级与备案这两个环节,在实际开展网络安全等级保护工作当中属于首要环节,那些没有经过备案的项目,各个网络运行人员都应该对系统级别进行确认,然后再去公安机关进行相应的备案,定级工作在实际开展的时候,必须要严格遵循“网络运营者拟定网络安全保护等级、专家评审、公安机关审核以及主管部门核准”的各项原则来具体实施,当公安机关对其审核并通过之后,会下发相应的备案审批号。而那些已经备案的项目相关运营者仅需要对系统的级别、备案号、备案材料进行确认就可以了。而在实施等级保护对象定级工作的时候,一般都需要先对定级对象进行确定,然后初步确定相应的等级,初步确定完成之后需要经过专家的评审、主管部门的审核、公安机关备案审查,最终将等级进行确定。

2 网络安全等级保护定级策略在安全需求分析中的应用研究

2.1 网络安全等级保护定级对象的确定 网络安全等级的定级对象是多样化的,尤其是电信、广播电视传输以及互联网络等各种基础信息网络,都需要与各种因素相结合来实施相应的等级对象划分,比如服务类型、地域以及安全责任主体等因素。其中信息系统主要包括工业控制系统、云计算平台、物联网、移动互联网技术下的信息系统以及其他类型的信息系统,工业控制系统的构成部分主要有生产管理、现场设备、现场控制以及过程监控这4个阶层,除生产管理层外,其他均可以作为一个整体的定级对象,各层的要素定级都不需要单独进行定级。处于云计算环境之中,需要将云计算平台单独作为定级对象。物联网则属于一个整体的定级对象,包含多层要素,分别为感知层、网络传输层和处理应用层等。移动互联技术当中的等级保护对象则应该作为一个整体的定级对象,主要涵盖移动终端、移动应用、无线网络以及应用系统等。

2.2 针对安全保护等级的初步确定 在初步实施定级的时候,需要遵循相应的定级方法。⑴针对受破坏时的侵害客体进行确定:对于业务信息中遭受到破坏时所侵害的客体进行确定,对系统服务中受到侵害的客体进行确定;⑵针对客体遭受侵害的程度进行确定:需要与各个侵害客体相结合,以保证能够在多个角度被破坏的业务信息安全综合的进行评定,进而确定客体的侵害程度;⑶针对安全保护等级进行确定:对于业务信息与系统服务的安全保护等级进行确定。在确定受侵害客体的时候,应该先对其是否对国家安全产生侵害进行判断,然后在对其是否对社会秩序、公众利益等方面进行判断,最后再对公民、法人以及其他组织所具备的合法权益进行判断。对于客体侵害程度的确定需要以客观角度来思考,通常其外在表现为对于定级对象的破坏,主要是针对业务信息安全、信息系统服务方面造成的破坏,业务信息安全能够对信息系统内部信息在保密性、完整性以及可用性等方面得到保证,系统服务安全的定级对象能够确定为客户提供及时、有效地服务,进而将相应的预定业务目标得以完成。当业务信息安全与系统服务安全遭受到破坏之后,那么将会产生极大的危害与不良后果,比如工作职能的行使受到影响、业务能力下降、法律纠纷、财产损失以及社会不良影响等。

2.3 其他安全需求分析的应用 通过上述的网络安全等级保护定级备案主要流程,我们得知初步确定安全保护等级之后,还需要进行安全保护等级的确定、专家评审、主管部门审核以及公安机关备案审查,在对安全保护等级进行确定的时候,需要与业务信息安全被侵害时的客体以及课题侵害的具体程度相结合。(如表1、2所示).

表1 业务信息安全保护等级矩阵表:

表2 系统服务安全保护等级矩阵表:

专家评审的环节中定级对象实施初步定级评审的时候,需要运营单位、使用单位组织相应的信息安全专家、业务专家来具体实施,并出具相应的专家评审意见。主管部门审核需要运营与使用单位,将初步定级结果上报给行业主管部门来具体实施审核的。然后相关单位需要依照相关管理规定,将相应的定级结果提交给公安机关,进而完成相应的备案审查环节。

结束语

综上所述,网络安全等级定级备案,在信息系统安全等级保护当中,仅仅属于其前期的准备工作,但是这一环节也是极为重要的环节,必须要通过备案材料公安机关的审核,并且将备案编号下发之后,处于第三方的测评机构才能够真正实施相应的测评环节。