隨著(zhù)我國國民經(jīng)濟和社會(huì )信息化進(jìn)程的全面加快，信息系統的基礎性、全局性作用日益顯現，保障信息安全已成為當前信息化發(fā)展中迫切需要解決的重大問(wèn)題。
為了加強和規范計算機信息系統安全，目前國內各行各業(yè)都在按照公安部、國家保密局等部門(mén)的要求開(kāi)展信息系統安全等級保護工作，尤其是各商業(yè)銀行已將開(kāi)展信息安全等級保護工作納入重點(diǎn)實(shí)施進(jìn)程。
安全形勢日趨嚴峻
隨著(zhù)我國信息化建設的快速發(fā)展，近幾年，不法分子針對我國基礎信息網(wǎng)絡(luò )和重要信息系統的攻擊持續上升。從以下案例可見(jiàn)信息安全形勢很?chē)谰?
震網(wǎng)病毒是世界上首個(gè)以直接破壞工業(yè)基礎設施為目標的蠕蟲(chóng)病毒，被稱(chēng)為網(wǎng)絡(luò )“超級武器”。自2010年7月開(kāi)始爆發(fā)，截至2010年9月底，我國有近500萬(wàn)網(wǎng)民以及多個(gè)企業(yè)遭此病毒攻擊。
2011年，國家某部委信息中心數據備份系統服務(wù)外包，磁盤(pán)陣列中使用的一塊磁盤(pán)被外企取走。公安部組織專(zhuān)家進(jìn)行安全事件后果分析，不排除重要信息被泄露的可能。2012年1月，Putty后門(mén)程序將服務(wù)器的IP地址、root密碼、連接端口等信息發(fā)送到自己指定的服務(wù)器上，并對服務(wù)器承載的重要數據進(jìn)行拷貝、添加、刪除等操作，導致上萬(wàn)條服務(wù)器賬戶(hù)信息遭到泄露。2012年7月，廣東一群80后“黑客”團伙，瘋狂入侵180多個(gè)政府人事網(wǎng)站，盜賣(mài)300多萬(wàn)條涉及個(gè)人隱私的資料。
我國工業(yè)控制市場(chǎng)過(guò)度開(kāi)放，國外產(chǎn)品占據大部分市場(chǎng)，如PLC（可編程邏輯控制器）國內產(chǎn)品的市場(chǎng)占有率不到1%，衛星導航芯片95%依賴(lài)進(jìn)口。而國外工業(yè)控制芯片和工業(yè)控制系統產(chǎn)品，在設計和配置上都可能存在漏洞，這些漏洞往往為不法分子用病毒進(jìn)行網(wǎng)絡(luò )攻擊所利用。
近年來(lái)，雖然我國高度重視信息安全保障工作，并取得了較大進(jìn)展，但是仍存在諸多不足：“重發(fā)展，輕安全”的現象仍然存在；信息安全管理制度體系不完善，信息安全責任制落實(shí)不到位；缺少應有的崗位設置，人員和資金投入不足；信息技術(shù)產(chǎn)品與國外還存在一定差距。面對復雜的信息安全形勢，實(shí)施信息安全等級保護勢在必行。
等級劃分舉足輕重
信息系統的安全保護等級是根據信息系統在國家安全、經(jīng)濟建設、社會(huì )生活中的重要程度，信息系統遭到破壞后對國家安全、社會(huì )秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素確定。系統定級是進(jìn)行等級保護規劃和建設的前提，是等級保護建設的起點(diǎn)，目前國家確定分為以下五級：
第一級為自主保護級，適用于一般的信息系統，其受到破壞后，會(huì )對公民、法人和其他組織的權益有一定影響，但不危害國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益。
第二級為指導保護級，適用于一定程度上涉及國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益的一般信息系統，其受到破壞后，會(huì )對國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益造成一定損害。
第三級為監督保護級，適用于涉及國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益的信息系統，其受到破壞后，會(huì )對國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益造成較大損害。
第四級為強制保護級，適用于涉及國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益的重要信息系統，其受到破壞后，會(huì )對國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益造成嚴重損害。
第五級為專(zhuān)控保護級，適用于涉及國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益的重要信息系統的核心子系統，其受到破壞后，會(huì )對國家安全、社會(huì )秩序、經(jīng)濟建設和公共利益造成特別嚴重損害。
對不同安全保護級別的信息系統，國家通過(guò)制定統一的管理規范和技術(shù)標準，開(kāi)展有針對性的保護工作，實(shí)行不同強度的監管政策。在依照國家管理規范和技術(shù)標準對各級系統進(jìn)行自主保護的同時(shí)，信息安全監管職能部門(mén)重點(diǎn)對第三級系統進(jìn)行監督、檢查，對第四級系統進(jìn)行強制監督、檢查，而第五級系統應由國家指定專(zhuān)門(mén)部門(mén)、專(zhuān)門(mén)機構進(jìn)行專(zhuān)門(mén)監督。
實(shí)施信息安全等級保護不僅有利于在信息化建設過(guò)程中同步建設信息安全設施，保障信息安全與信息化建設協(xié)調發(fā)展，為信息系統安全建設和管理提供系統性、針對性、可行性的指導和服務(wù)，而且有利于優(yōu)化信息安全資源的配置，重點(diǎn)保障關(guān)系國家安全、經(jīng)濟命脈、社會(huì )穩定等方面的重要信息系統的安全。
按步實(shí)施謹防風(fēng)險
信息系統安全等級保護的核心，是對信息系統分等級、按標準進(jìn)行建設、管理和監督。要突出重點(diǎn)、分級負責、分類(lèi)指導、分步實(shí)施，按照誰(shuí)主管誰(shuí)負責、誰(shuí)運營(yíng)誰(shuí)負責、誰(shuí)使用誰(shuí)負責的要求，有效落實(shí)等級保護責任和措施。
要合理定級，嚴格備案。信息系統的運營(yíng)、使用單位必須按照等級保護的管理規范和技術(shù)標準，結合自身實(shí)際情況，科學(xué)、合理確定其信息系統的等級保護級別。對重要信息系統，其運營(yíng)、使用單位及其主管部門(mén)應通過(guò)專(zhuān)家委員會(huì )的安全評審。安全保護等級在二級以上的信息系統，以及跨地域的信息系統應按要求向屬地公安機關(guān)備案。同時(shí)要加強整改，落實(shí)措施。對已有的信息系統，其運營(yíng)、使用單位要根據已經(jīng)確定的信息安全保護等級，按照等級保護的管理規范和技術(shù)標準，采用相應等級的信息安全產(chǎn)品，落實(shí)安全技術(shù)措施，完成系統整改。對新建、改建、擴建的信息系統，應當按照等級保護的管理規范和技術(shù)標準進(jìn)行信息系統的規劃設計、建設施工。
要自查自糾，落實(shí)要求。信息系統的運營(yíng)、使用單位及其主管部門(mén)要按照等級保護的管理規范和技術(shù)標準，對已經(jīng)完成安全等級保護建設的信息系統，定期進(jìn)行安全狀況檢測評估，及時(shí)消除安全隱患和漏洞，發(fā)現問(wèn)題及時(shí)整改，不斷加強信息安全等級保護能力。
要監督檢查，完善保護。公安機關(guān)要按照等級保護的管理規范和技術(shù)標準的要求，重點(diǎn)對三級及以上安全等級的信息系統進(jìn)行監督檢查。發(fā)現安全保護不符合管理規范和技術(shù)標準的，要通知相關(guān)部門(mén)限期整改，確保信息安全等級保護的完善實(shí)施。
在實(shí)施過(guò)程中，信息系統的運營(yíng)、使用單位要謹防測評風(fēng)險。對于金融系統來(lái)說(shuō)，首先要按照人民銀行發(fā)布的有關(guān)標準要求，嚴格選擇符合資質(zhì)的測評機構和測評人員，同時(shí)要加強等級測評的資源管理和過(guò)程管理，做好測評設備和過(guò)程的安全隔離和封閉，確保測評過(guò)程在安全可控的前提下規范化實(shí)施。對等級測評中發(fā)現的問(wèn)題，要及時(shí)采取防范措施加以防控或緩釋?zhuān)⑦M(jìn)一步制定和落實(shí)相應的整改方案，使信息系統的安全等級保護得以有效落實(shí)。
