如何保护电脑系统安全

文章来源：全云在线

信息安全系统等级保护是指按照特定的等级要求，采取相应的安全措施保护信息系统的安全性。在建设信息安全系统等级保护时，应遵循一些基本原则和思路。首先，需根据系统的重要性和敏感程度确定相应的保护等级。其次，需建立全面的风险评估机制，识别系统可能存在的威胁和漏洞。然后，针对不同等级的安全需求，制定相应的安全策略和措施。此外，完善的安全

如果想要了解等保具体费用多少？可以先通过报价工具测算大概费用，可查看“纯测评”或“一站式全包”费用：等保价格计算器：https://offer.cloudallonline.com/?re

如何建设信息安全系统等级保护？信息安全系统等级保护的建设原则和思路有哪些？

摘要

信息安全系统等级保护是指根据信息系统的重要程度和安全风险，按照一定的标准和规范，对信息系统进行分级，并采取相应的技术措施和管理措施，以保障信息系统的安全运行和数据的完整性、可用性和保密性。本文介绍了信息安全系统等级保护的基本概念和目的，分析了信息安全系统等级保护的建设原则和思路，并举例说明了如何实施信息安全系统等级保护。

一、信息安全系统等级保护的基本概念和目的

1.1 信息安全系统等级保护的基本概念

信息安全系统等级保护（以下简称等级保护）是指根据信息系统的重要程度和安全风险，按照一定的标准和规范，对信息系统进行分级，并采取相应的技术措施和管理措施，以保障信息系统的安全运行和数据的完整性、可用性和保密性。

等级保护是一种动态的、综合的、整体的安全防护模式，它涉及到信息系统的设计、开发、运维、评估、监督等各个环节，要求从组织管理、人员管理、物理环境、网络通信、计算机平台、应用软件、数据存储等多个方面进行综合防护。

1.2 信息安全系统等级保护的目的

等级保护的目的是为了实现**“适度防护”**，即根据不同等级的信息系统所承担的社会责任和面临的威胁程度，采取相应程度和力度的防护措施，既不过度防护导致资源浪费和效率降低，也不低于防护导致安全隐患和损失增加。

二、信息安全系统等级保护的建设原则

在建设等级保护时，应遵循以下原则：

2.1 分级分类原则

分级分类原则是指根据信息系统的重要程度和安全风险，将信息系统划分为不同的等级，并根据不同的等级制定相应的安全要求和措施。

根据《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2019），信息系统分为五个等级，分别是：

一级：信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成无影响或者影响可忽略的，为一级。

二级：信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成轻微影响的，为二级。

三级：信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成一般影响的，为三级。

四级：信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成严重影响的，为四级。

五级：信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成特别严重影响的，为五级。

2.2 防御深度原则

防御深度原则是指在建设等级保护时，应采用多层次、多方面、多手段的防护措施，形成防御层层递进、环环相扣的防护体系，以提高信息系统的整体安全性能。

防御深度原则要求从组织管理、人员管理、物理环境、网络通信、计算机平台、应用软件、数据存储等多个方面进行综合防护，同时在每个方面采用预防措施、检测措施和恢复措施，以实现从源头到终端的全方位保护。

2.3 可靠性原则

可靠性原则是指在建设等级保护时，应选择符合国家标准和规范的技术产品和服务，确保信息系统的正常运行和数据的完整性、可用性和保密性。

可靠性原则要求在选择技术产品和服务时，应考虑其功能性能、兼容性能、稳定性能、可扩展性能等因素，同时应注意其供应商的资质认证、信誉评价、售后服务等情况，以避免引入不可靠的技术风险。

三、信息安全系统等级保护的建设思路

在建设等级保护时，可以参考以下思路：

3.1 分析确定信息系统等级

分析确定信息系统等级是指根据《信息安全技术信息系统安全等级划分指南》（GB/T22240-2019），结合信息系统所涉及的业务领域和数据类型，按照评估方法和评估标准，对信息系统进行等级划分，并形成等级划分报告。

分析确定信息系统等级时，应考虑以下因素：

**业务影

业务影响：是指信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成的影响程度，包括政治影响、经济影响、社会影响、法律影响等方面。

数据敏感性：是指信息系统所涉及的数据的保密性、完整性和可用性的重要程度，包括数据的保密级别、数据的价值和敏感程度、数据的更新频率和时效性等方面。

安全威胁：是指信息系统可能面临的来自内部或外部的恶意攻击或非恶意干扰，包括攻击者的能力和动机、攻击手段和技术、攻击目标和范围、攻击频率和持续时间等方面。

根据以上因素，可以使用评分表或者决策树等方法，对信息系统进行定量或定性的评估，确定其等级，并记录评估过程和结果。

3.2 制定实施信息系统等级保护方案

制定实施信息系统等级保护方案是指根据《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2019），结合信息系统的实际情况，按照不同等级的安全要求和措施，制定符合等级保护要求的技术方案和管理方案，并组织实施和监督。

制定实施信息系统等级保护方案时，应考虑以下内容：

技术方案：是指针对信息系统的物理环境、网络通信、计算机平台、应用软件、数据存储等方面，采用符合国家标准和规范的技术产品和服务，实现信息系统的安全防护功能，包括身份认证、访问控制、加密传输、防火墙、入侵检测、病毒防护、备份恢复等功能。

管理方案：是指针对信息系统的组织管理、人员管理、安全策略、安全培训、安全审计、安全应急等方面，建立符合国家标准和规范的管理制度和流程，实现信息系统的安全管理功能，包括组织架构、职责分工、权限分配、规章制度、培训考核、日志审计、事件处置等功能。

3.3 评估检测信息系统等级保护效果

评估检测信息系统等级保护效果是指根据《信息安全技术信息系统安全等级保护评估规范》（GB/T28448-2019），结合国家相关政策和规定，通过自查自评或者委托第三方机构，对信息系统的等级保护实施情况进行评估检测，并形成评估检测报告。

评估检测信息系统等级保护效果时，应考虑以下步骤：

准备阶段：是指收集并审核信息系统的相关资料，包括等级划分报告、技术方案和管理方案文档、相关证书和许可证等，并与被评估单位签订评估协议，确定评估范围和方法。

执行阶段：是指根据不同等级的评估要求和方法，对信息系统的技术方案和管理方案进行实地检查、文件审查、功能测试、漏洞扫描、渗透测试等，收集并分析评估数据，发现并记录评估问题。

报告阶段：是指根据评估数据和评估问题，对信息系统的等级保护实施情况进行综合评价，给出评估结论和建议，并编制并提交评估检测报告。

四、信息安全系统等级保护的建设示例

为了更好地理解信息安全系统等级保护的建设过程，以下给出一个简单的建设示例：

假设某单位拥有一个涉及人事管理的信息系统，该信息系统主要用于存储和处理员工的基本信息、考勤信息、薪酬信息、绩效信息等。该单位希望对该信息系统进行等级保护，以保障员工的个人隐私和单位的经营利益。

根据以上情况，该单位可以按照以下步骤进行等级保护的建设：

4.1 分析确定信息系统等级

该单位可以参考《信息安全技术信息系统安全等级划分指南》（GB/T22240-2019），对该信息系统进行等级划分。具体步骤如下：

确定业务影响：该单位可以根据自身的业务特点和风险评估，确定该信息系统的损毁、数据泄露或者非法使用对国家安全、社会秩序、公共利益造成的影响程度。例如，该单位可以认为，如果该信息系统出现安全问题，可能会导致员工的个人隐私泄露，影响员工的工作积极性和信任感，造成员工流失或者诉讼；同时，也可能会导致单位的经营利益受损，影响单位的声誉和竞争力。综合考虑后，该单位可以认为，该信息系统对国家安全、社会秩序、公共利益造成的影响程度为轻微影响。

确定数据敏感性：该单位可以根据自身的数据特点和价值评估，确定该信息系统所涉及的数据的保密性、完整性和可用性的重要程度。例如，该单位可以认为，该信息系统所涉及的数据包括员工的基本信息、考勤信息、薪酬信息、绩效信息等，这些数据都属于个人敏感数据或者商业机密数据，需要严格保密；同时，这些数据也具有一定的价值和敏感程度，需要保持完整和可用。综合考虑后，该单位可以认为，该信息系统所涉及的数据的保密性、完整性和可用性的重要程度为较高。

确定安全威胁：该单位可以根据自身的安全环境和威胁分析，确定该信息系统可能面临的来自内部或外部的恶意攻击或非恶意干扰。例如，该单位可以认为，该信息系统可能会受到来自内部员工或外部黑客的恶意攻击，目的可能是窃取或破坏数据；同时，也可能会受到来自网络故障或人为操作失误等非恶意干扰。综合考虑后，该单位可以认为，该信息系统可能面临的安全威胁程度为一般。

根据以上三个因素，该