《信息安全技術(shù) 信息系統(tǒng)安全管理要求》gb/t20269-2006

引 言

信息安全等級(jí)保護(hù)從與信息系統(tǒng)安全相關(guān)的物理層面、網(wǎng)絡(luò)層面、系統(tǒng)層面、應(yīng)用層面和管理層面對(duì)信息和信息系統(tǒng)實(shí)施分等級(jí)安全保護(hù)。管理層面貫穿于其他層面之中，是其他層面實(shí)施分等級(jí)安全保護(hù)的保證。本標(biāo)準(zhǔn)對(duì)信息和信息系統(tǒng)的安全保護(hù)提出了分等級(jí)安全管理的要求，闡述了安全管理要素及其強(qiáng)度，并將管理要求落實(shí)到信息安全等級(jí)保護(hù)所規(guī)定的五個(gè)等級(jí)上，有利于對(duì)安全管理的實(shí)施、評(píng)估和檢查。gb17859-1999中安全保護(hù)等級(jí)的劃分是根據(jù)對(duì)安全技術(shù)和安全風(fēng)險(xiǎn)控制的關(guān)系確定的，公通字[2004]66號(hào)文件中安全等級(jí)的劃分是根據(jù)信息和信息系統(tǒng)受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序、經(jīng)濟(jì)建設(shè)和公共利益造成損害的程度確定的。兩者的共同點(diǎn)是：安全等級(jí)越高，發(fā)生的安全技術(shù)費(fèi)用和管理成本越高，從而預(yù)期能夠抵御的安全威脅越大，建立起安全信心越強(qiáng)，使用信息系統(tǒng)的風(fēng)險(xiǎn)越小。 本標(biāo)準(zhǔn)以安全管理要素作為描述安全管理要求的基本組件。安全管理要素是指，為實(shí)現(xiàn)信息系統(tǒng)安全等級(jí)保護(hù)所規(guī)定的安全要求，從管理角度應(yīng)采取的主要控制方法和措施。根據(jù)gb17859-1999對(duì)安全
保護(hù)等級(jí)的劃分，不同的安全保護(hù)等級(jí)會(huì)有不同的安全管理要求，可以體現(xiàn)在管理要素的增加和管理強(qiáng)度的增強(qiáng)兩方面。對(duì)于每個(gè)管理要素，根據(jù)特定情況分別列出不同的管理強(qiáng)度，最多分為5級(jí)，最少可不分級(jí)。在具體描述中，除特別聲明之外，一般高級(jí)別管理強(qiáng)度的描述都是在對(duì)低級(jí)別描述基礎(chǔ)之上進(jìn)行的。 
信息系統(tǒng)是指由計(jì)算機(jī)及其相關(guān)和配套的設(shè)備、設(shè)施構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行存儲(chǔ)、傳輸、處理的系統(tǒng)或者網(wǎng)絡(luò)；信息是指在信息系統(tǒng)中存儲(chǔ)、傳輸、處理的數(shù)字化信息。本標(biāo)準(zhǔn)涉及信息系統(tǒng)的管理者包括國家機(jī)關(guān)、事業(yè)單位、廠礦企業(yè)、公司、集團(tuán)等各種類型和不同規(guī)模的組織機(jī)構(gòu)，以下統(tǒng)稱為“組織機(jī)構(gòu)”。 
信息系統(tǒng)在技術(shù)上采取何種安全機(jī)制應(yīng)根據(jù)相關(guān)技術(shù)標(biāo)準(zhǔn)確定，本標(biāo)準(zhǔn)僅提出保證這些安全機(jī)制實(shí)施的管理要求。與技術(shù)密切的管理是技術(shù)實(shí)現(xiàn)的組成部分，如果信息系統(tǒng)根據(jù)具體業(yè)務(wù)及其安全需求未采用該技術(shù)，則不需要相應(yīng)的安全管理要求。對(duì)與管理描述難以分開的技術(shù)要求會(huì)出現(xiàn)在管理要求中，具體執(zhí)行需要參照相關(guān)技術(shù)標(biāo)準(zhǔn)。對(duì)于涉及國家秘密的信息和信息系統(tǒng)的保密管理，應(yīng)按照國家有關(guān)保密的管理規(guī)定和相關(guān)標(biāo)準(zhǔn)執(zhí)行。 
本標(biāo)準(zhǔn)中有關(guān)信息系統(tǒng)安全管理要素及其強(qiáng)度與信息系統(tǒng)安全管理分等級(jí)要求的對(duì)應(yīng)關(guān)系的說明參見附錄a。為了幫助讀者從安全管理概念角度理解和運(yùn)用這些信息系統(tǒng)的安全管理要求，附錄b給出了信息系統(tǒng)安全管理概念說明。