信息安全技术丛书：信息系统安全等级保护实务

　　目录
　　序
　　前言
　　第1章 概论 1
　　1.1 等级保护的目的和意义 1
　　1.2 等级保护法律法规与政策规范 5
　　1.3 信息安全等级保护标准 6
　　第2章 信息系统安全等级保护实施 10
　　2.1 等级保护工作的主要内容 10
　　2.2 信息系统定级 11
　　2.3 信息系统备案 14
　　2.4 信息系统安全建设整改 15
　　2.5 信息系统等级测评 16
　　2.6 监督检查 17
　　第3章 信息系统定级与备案 20
　　3.1 信息系统安全保护等级 20
　　3.2 信息系统安全保护等级的确定方法 21
　　3.2.1 定级原则 21
　　3.2.2 定级要素 21
　　3.2.3 定级流程 22
　　3.2.4 定级方法 23
　　3.3 信息系统定级实倒 27
　　3.3.1 系统描述 27
　　3.3.2 系统定级过程 28
　　3.4 信息系统备案工作 29
　　3.4.1 信息系统备案与受理 29
　　3.4.2 公安机关受理备案要求 30
　　3.4.3 对定级不准和不备案情况的处理 31
　　第4章 建设整改分析与设计 32
　　4.1 安全需求分析方法 32
　　4.1.1 迭择、调整基本安全要求 32
　　4.1.2 明确系统特殊安全需求 35
　　4.2 新建系统的安全等级保护设计方案 35
　　4.2.1 总体安全设计方法 37
　　4.2.2 总体安全设计方案大纲 41
　　4.2.3 设计实施方案 41
　　4.3 系统改建实施方案设计 42
　　4.3.1 确定系统改建的安全需求 42
　　4.3.2 差距原因分析 43
　　4.3.3 分类处理的改建措施 44
　　4.3.4 改建措施详细设计 45
　　第5章 安全管理体系建设 46
　　5.1 信息安全组织结构建设 46
　　5.1.1 岗位设置和人员配备 47
　　5.1.2 授权和审批 50
　　5.1.3 沟通和合作 51
　　5.1.4 审核和检查 51
　　5.2 信息安全管理制度体系建设 51
　　5.2.1 信息安全方针和策略 52
　　5.2.2 安全管理制度制定原则 54
　　5.2.3 操作规程 55
　　5.2.4 制订和发布 56
　　5.2.5 评审和修订 56
　　第6章 安全管理实施 57
　　6.1 人员安全管理 57
　　6.1.1 人员录用 57
　　6.1.2 人员离岗 59
　　6.1.3 人员考核 59
　　6.1.4 安全意识教育和培训 59
　　6.1.5 外部人员访问管理 60
　　6.2 系统建设安全管理 6l
　　6.2.1 信息系统生命周期与系统建设 61
　　6.2.2 系统建设管理的要求 63
　　6.2.3 初始管理 65
　　6.2.4 采购和开发管理 67
　　6.2.5 实施管理 70
　　6.2.6 系统备案和测评管理 73
　　6.3 系统运维管理 74
　　6.3.1 系统生命周期与系统运维管理 74
　　6.3.2 系统运维管理要求 76
　　6.3.3 基本管理 77
　　6.3.4 密码和变更 80
　　6.3.5 网络和系统 81
　　6.3.6 安全事件管理 83
　　6.3.7 备份和恢复管理 85
　　6.3.8 监控和安全中心 86
　　6.3.9 运维管理制度实例 86
　　第7章 物理安全技术实施 88
　　7.1 安全风险 88
　　7.2 安全目标 89
　　7.3 目标措施对应表 91
　　7.4 安全措施 92
　　7.4.1 环境物理安全措施 92
　　7.4.2 基本设备物理安全措施 95
　　7.4.3 智能设备物理安全措施 99
　　7.5 物理安全设计方案实例 103
　　7.5.1 机房环境安全 103
　　7.5.2 机房运行安全 103
　　7.5.3 基本设备物理安全 104
　　7.5.4 智能设备物理安全 104
　　第8章 网络安全技术实施 105
　　8.1 安全风险 105
　　8.2 安全目标 107
　　8.3 目标措施对应表 109
　　8.4 安全措施 110
　　8.4.1 结构安全 110
　　8.4.2 访问控制 112
　　8.4.3 安全审计 119
　　8.4.4 边界完整性检查 121
　　8.4.5 入侵防范 124
　　8.4.6 恶意代码防范 127
　　8.4.7 网络设备防护 129
　　8.5 网络安全设计方案实例 132
　　第9章 主机安全技术实施 134
　　9.1 安全风险 134
　　9.2 安全目标 135
　　9.3 目标措施对应表 137
　　9.4 安全措施 139
　　9.4.1 身份鉴别 139
　　9.4.2 访问控制 143
　　9.4.3 安全审计 146
　　9.4.4 剩余信息保护 149
　　9.4.5 入侵防范 152
　　9.4.6 恶意代码防范 154
　　9.4.7 资源控制 155
　　9.5 主机安全设计方案实例 160
　　第10章 应用安全技术实施 162
　　10.1 安全风险 162
　　10.2 安全目标 163
　　10.3 目标措施对应表 166
　　10.4 安全措施 168
　　10.4.1 身份鉴别 168
　　10.4.2 访问控制 170
　　10.4.3 安全审计 172
　　10.4.4 剩余信息保护 175
　　10.4.5 通信完整性 175
　　10.4.6 通信保密性 176
　　10.4.7 抗抵赖性 177
　　10.4.8 软件容错 178
　　10.4.9 资源控制 179
　　10.5 应用安全设计方案实例 181
　　第11章 数据安全技术实施 184
　　11.1 安全风险 184
　　11.2 安全目标 185
　　11.3 目标措施对应表 186
　　11.4 安全措施 187
　　11.4.1 数据完整性 187
　　11.4.2 数据保密性 190
　　11.4.3 数据备份和恢复 194
　　11.5 数据安全设计方案实例 202
　　第12章 信息系统安全等级保护实施难点 204
　　12.1 三级以上信息系统安全结构分析 204
　　12.2 大型信息系统安全域划分 210
　　12.3 强制访问控制技术与实现 212
　　12.4 可信路径技术与实现 217
　　第13章 信息系统安全等级测评 220
　　13.1 等级测评的概述 220
　　13.1.1 等级测评的发展历史 220
　　13.1.2 等级测评的意义与作用 221
　　13.1.3 等级测评的相关标准 222
　　13.2 等级测评过程 223
　　13.2.1 测评准备 223
　　13.2.2 方案编制 225
　　13.2.3 现场测评 231
　　13.2.4 分析与报告编制 234
　　13.2.5 小结 238
　　13.3 等级测评工作的角色与职责 238
　　13.3.1 测评准备活动中的职责 238
　　13.3.2 方案编制活动中的职责 239
　　13.3.3 现场测评活动中的职责 239
　　13.3.4 分析与报告编制活动中的职责 240
　　13.4 等级测评与风险评估 240
　　13.4.1 风险评估流程 240
　　13.4.2 风险计算方法 243
　　13.4.3 风险评估工具 244
　　第14章 信息系统安全等级保护检查 247
　　14.1 检查的分类 247
　　14.1.1 概述 247
　　14.1.2 检查的工作形式 247
　　14.1.3 检查的分类 247
　　14.2 检查的目标和内容 248
　　14.2.1 检查目标 248
　　14.2.2 检查内容 248
　　14.3 检查的实施 249
　　14.3.1 管理类检查 249
　　14.3.2 技术类检查 253
　　第15章 信息系统安全建设整改实例 261
　　15.1 系统定级 261
　　15.2 需求分析 264
　　15.2.1 系统现状 264
　　15.2.2 等级保护符合性分析 265
　　15.2.3 安全风险分析 266
　　15.3 安全技术总体设计 269
　　15.3.1 总体安全建设目标 269
　　15.3.2 方案设计的原则和依据 269
　　15.3.3 方案依据标准 270
　　15.3.4 安全方案的总体架构 271
　　15.3.5 系统的安全保障体系 274
　　15.3.6 系统拓扑结构 276
　　15.4 安全技术详细设计 276
　　15.4.1 安全防护解决方案 276
　　15.4.2 安全监测解决方案 278
　　15.4.3 安全管理解决方案 282
　　15.5 安全服务解决方案 283
　　15.5.1 安全咨询服务 283
　　15.5.2 安全评估服务 283
　　15.5.3 安全加固服务 285
　　15.5.4 日常维护服务 286
　　15.6 系统测评 286
　　参考文献 287

　　《信息系统安全等级保护实务》系统、全面地介绍了信息系统安全等级保护的基本概念、实施流程和建设整改的方法。《信息系统安全等级保护实务》共15章，分为三个部分。第一部分简要介绍信息系统安全等级保护的基本概念，以及实施等级保护的全部流程;第二部分从信息系统安全等级保护建设者的角度对定级与备案、建设与整改、测评、检查等各环节的重点和难点进行了具体分析与论述，特别是从管理与技术两个方面详细讲解了信息系统安全等级保护建设、整改的具体实施方法；第三部分给出一个信息系统安全建设整改的实例，帮助读者实现从理论方法到具体实践的跨越。