¿Qué es la protección de nivel?

La protección del nivel de seguridad de la información se refiere a la protección de seguridad jerárquica de la información secreta de estado, la información patentada de personas jurídicas, otras organizaciones y ciudadanos, la información pública y los sistemas de información que almacenan, transmiten y procesan esta información. Los productos utilizados en el sistema se gestionan según niveles, y los incidentes de seguridad de la información que ocurren en el sistema de información se responden y tratan en diferentes niveles. El sistema de información al que se hace referencia aquí se refiere a un sistema o red compuesto por computadoras y equipos e instalaciones relacionados y de soporte que almacena, transmite y procesa información de acuerdo con ciertos objetivos y reglas de aplicación. La información se refiere a la información en el sistema de información. información almacenada, transmitida y procesada.

El contenido de los requisitos básicos para el nivel de protección se divide en dos partes: tecnología y gestión. La parte técnica se divide en cinco categorías: seguridad física, seguridad de red, seguridad del host, seguridad de aplicaciones, seguridad de datos y. Gestión de respaldo y recuperación Las partes se dividen en cinco categorías: sistema de gestión de seguridad, organización de gestión de seguridad, gestión de seguridad del personal, gestión de construcción del sistema y gestión de operación y mantenimiento del sistema.

La evaluación de riesgos se basa en la construcción de seguridad. Su importancia radica en cambiar el diseño de la arquitectura de seguridad tradicional basada en la tecnología y la formulación detallada del plan de seguridad, mediante la clasificación de los activos importantes que interesan a los usuarios y el análisis de las posibilidades. y gravedad de las amenazas a la seguridad, análisis de las vulnerabilidades de seguridad en el entorno físico del sistema, equipo de hardware, plataforma de red, plataforma del sistema básico, sistema de aplicaciones comerciales, gestión de seguridad, medidas operativas, etc., y mediante el análisis de las existentes Con la confirmación de la seguridad medidas de control, podemos utilizar métodos de análisis cuantitativos y cualitativos para deducir los riesgos de seguridad actuales de activos importantes que interesan a los usuarios y formular planes de eliminación de riesgos basados ​​en la gravedad de los riesgos para determinar la siguiente dirección de los requisitos de seguridad.

La premisa de la protección jerárquica es calificar el sistema. La calificación del sistema se determina en función de la confidencialidad, integridad y disponibilidad de la información del sistema. Es decir, los tres pasos de "aclarar varios tipos de información - determinar la categoría de seguridad de cada tipo de información - determinar la categoría de seguridad del sistema" se utilizan para finalizar el sistema.

La idea de clasificación y graduación del sistema en la protección jerárquica es básicamente la misma que la clasificación por importancia de los activos de información en la evaluación de riesgos. La diferencia es que el nivel de protección jerárquica se define en función de las necesidades del negocio. del sistema o las características de la CIA, el nivel de negocio de garantía de seguridad que debe tener el sistema, y ​​el nivel de riesgo final en la evaluación de riesgos es el resultado de la evaluación integral después de considerar exhaustivamente la importancia de la información, la efectividad de las medidas de control de seguridad existentes. el sistema y el estado operativo actual. Es decir, en la evaluación de riesgos, los activos de información con alto valor de CIA no necesariamente tienen altos niveles de riesgo.

Se puede entender simplemente que MLPS es un estándar o sistema, y ​​la evaluación es un medio.

La protección de clasificación en realidad ayuda a los usuarios a analizar y evaluar el nivel de los sistemas de información para que se puedan llevar a cabo diferentes niveles de protección de seguridad de acuerdo con diferentes niveles en trabajos posteriores. La evaluación de riesgos es para ayudar a los usuarios a descubrir el actual. estado de seguridad para llevar a cabo la planificación y construcción de seguridad general en la etapa posterior. Podemos utilizar la evaluación de riesgos para verificar la implementación y ejecución de MPS. Los resultados de la evaluación de riesgos se pueden utilizar como punto de partida y referencia para implementar una construcción de seguridad con un nivel de protección gradual.