网络安全等级化保护原理与实践

1. 理论联系实际，注重理论基础知识和最新工程实践之间的平衡。 2. 图文并茂，条例清晰。 3. 科研工作的理想参考书。 4. 本书可以作为网络安全专业本科和硕士研究生教材，也可以作为网络安全工程技术人员的参考书籍。

本书阐述了网络安全对国家各方面的重大影响及在国家安全中的重要地位，总结了等级保护思想的起源和发展历程；全面系统地介绍了我国在等级保护方面的创新成果：适合我国国情的全新的等级化保护体系架构、组成部分和设计原理，以及构建等级防御体系和实施等级保护的一般流程和方法，阐述了如何应用工程方法的原理来设计、建设新建网络信息系统的安全防御体系和已有网络信息系统的安全防御体系；同时介绍了依据等级保护2.0技术设计框架的基本要求设计的几个典型行业的等级保护体系。本书可以作为网络安全专业本科和硕士研究生教材，也可以作为网络安全工程技术人员的参考书籍。

第1章网络安全概述001
1.1引言002
1.1.1网络空间已经融入人们生活的方方面面002
1.1.2网络空间的安全威胁日趋激烈004
1.2网络安全在国家安全中的重要作用和战略地位006
1.2.1网络安全对国家政治的影响006
1.2.2网络安全对国家经济的影响008
1.2.3网络安全对国家文化的影响010
1.2.4网络安全对国家军事的影响011
1.3网络安全面临的新挑战013
1.4我国的网络安全形势与困难016
1.4.1传统网络信息安全形势依然严峻016
1.4.2新型网络信息安全攻击形态集中涌现017
1.4.3现阶段我国企业网络信息安全发展存在的突出问题018
1.4.4我国的工业控制信息安全机遇与危机并存019
1.4.5我国网络信息安全人才发展矛盾突显021
1.4.6西方国家对我国网络信息安全的威胁加剧022
1.5本章小结023
参考文献023
第2章等级保护的起源、发展及我国的创新025
2.1网络安全等级保护思想的起源及发展026
2.1.1等级保护思想的起源026
2.1.2橘皮书和通用准则028
2.1.3等级保护架构的发展029
2.1.4等级保护体系的新综合029
2.2等级保护的基本思想030
2.2.1信息系统分级的思路031
2.2.2安全措施的选择033
2.3我国网络安全等级化创新发展历程034
2.3.1等级保护工作研究准备阶段035
2.3.2等级保护工作全面实施阶段036
2.3.3等级保护工作深化推进阶段（等级保护1.0）037
2.3.4等级保护工作改进完善阶段（等级保护2.0）038
2.4等级保护相关的法律法规和政策依据038
2.4.1法律依据038
2.4.2政策依据040
2.5我国网络安全等级保护制度的地位和作用041
2.5.1网络安全等级保护的重要意义041
2.5.2网络安全等级保护制度的地位和作用042
2.5.3等级保护工作中有关部门的责任和义务043
2.6本章小结044
参考文献045
第3章等级保护基本要求047
3.1网络安全等级保护基本概念和内涵048
3.1.1基本概念048
3.1.2系统的重要程度等级048
3.1.3安全保护能力等级049
3.1.4监督管理强度等级050
3.2框架结构051
3.3描述模型052
3.3.1安全保护能力053
3.3.2安全要求054
3.4逐级增强的特点056
3.4.1增强原则056
3.4.2总体描述056
3.4.3控制点增加058
3.4.4要求项增加059
3.4.5控制强度增强059
3.5各级安全要求060
3.5.1技术要求060
3.5.2管理要求062
3.6等级保护2.0的调整064
3.7本章小结067
参考文献067
第4章网络安全等级防御体系069
4.1等级化安全防御体系070
4.1.1保护对象框架070
4.1.2安全对策框架071
4.1.3等级化安全防御体系结构073
4.2等级防御体系设计方法及原则074
4.2.1安全体系设计原则074
4.2.2等级保护工作的主要环节076
4.2.3等级化安全防御体系设计流程078
4.3安全组织体系设计079
4.3.1等级保护组织体系结构079
4.3.2安全管理机构081
4.3.3安全管理人员088
4.4本章小结090
参考文献090
第5章保护对象体系设计093
5.1信息系统抽象模型094
5.2保护对象框架建立095
5.2.1信息系统模型化处理096
5.2.2安全域的划分099
5.2.3保护对象分类100
5.2.4保护对象划分方法101
5.2.5系统分域保护框架102
5.2.6保护对象等级化划分102
5.3本章小结103
参考文献104
第6章安全策略体系设计105
6.1安全策略体系基本概念和内涵106
6.1.1安全策略基本概念106
6.1.2安全策略主要内容和措施107
6.2定级策略112
6.2.1定级范围113
6.2.2等级划分113
6.2.3不同等级的安全保护能力113
6.3等级保护评估策略115
6.3.1评估指标选择和组合115
6.3.2现状与评估指标对比116
6.3.3额外/特殊风险评估116
6.3.4综合评估分析119
6.4安全规划设计策略120
6.4.1系统等级化模型处理121
6.4.2总体安全策略设计121
6.4.3各级系统安全技术措施设计121
6.4.4系统整体安全管理策略设计122
6.4.5设计结果文档化122
6.5等级保护测评策略123
6.6实施与运维要求策略123
6.7备案与管理策略124
6.7.1对涉密信息系统的管理124
6.7.2信息安全等级保护的密码管理126
6.8本章小结127
参考文献127
第7章安全技术体系设计129
7.1通用定级要素130
7.1.1确定受侵害的客体130
7.1.2确定对客体的侵害程度131
7.2通用定级方法131
7.2.1确定定级对象132
7.2.2信息系统的基本属性133
7.2.3定级流程134
7.3涉密信息系统的等级保护135
7.4安全技术体系结构设计步骤与内容136
7.4.1安全技术体系结构设计步骤136
7.4.2物理环境安全防护137
7.4.3计算环境安全防护139
7.4.4区域边界安全防护144
7.4.5通信网络安全防护147
7.4.6存储安全防护151
7.4.7安全计算环境监控子系统151
7.4.8安全管理中心防护153
7.5本章小结155
参考文献155
第8章等级保护运作体系设计157
8.1运作体系及其组成158
8.2定级阶段159
8.2.1定级和备案159
8.2.2定级准备160
8.2.3定级主要工作164
8.3总体安全规划阶段165
8.3.1安全等级评估165
8.3.2安全等级保护规划流程及过程166
8.4设计开发/实施阶段166
8.4.1安全方案设计166
8.4.2安全方案设计管理167
8.4.3产品采购和使用167
8.4.4自主软件开发167
8.4.5外包软件开发168
8.4.6工程实施168
8.4.7测试验收168
8.4.8系统交付使用169
8.4.9等级测评169
8.4.10安全服务商管理169
8.5运行维护阶段170
8.5.1环境管理170
8.5.2资产管理171
8.5.3介质管理171
8.5.4设备维护管理171
8.5.5网络和系统安全管理172
8.5.6恶意代码防范管理173
8.5.7密码使用管理173
8.5.8变更管理174
8.5.9备份与恢复管理174
8.5.10安全事件处置管理174
8.5.11应急预案管理175
8.5.12安全监控管理175
8.6系统终止阶段176
8.7本章小结176
参考文献176
第9章等级保护实施的一般流程及方法179
9.1等级保护实施的基本流程180
9.2信息系统定级181
9.2.1定级流程181
9.2.2信息系统等级确定182
9.2.3定级报告184
9.2.4定级备案185
9.3差距分析185
9.3.1等级测评范围185
9.3.2等级测评内容185
9.3.3差距分析流程186
9.4体系咨询规划188
9.4.1渗透测试与安全加固188
9.4.2风险评估与合规性检测193
9.4.3安全体系咨询规划193
9.4.4解决方案设计196
9.5整改及集成实施199
9.5.1安全管理体系建设199
9.5.2安全技术体系建设199
9.6等级测评199
9.7安全运维200
9.7.1安全运维服务200
9.7.2监控应急201
9.7.3审计追查202
9.8本章小结202
参考文献202
第10章等级保护安全系统工程方法205
10.1传统工程建设方法206
10.1.1传统工程项目的生命周期206
10.1.2传统工程建设工作流程207
10.2系统安全工程方法210
10.2.1系统安全工程的定义210
10.2.2系统安全工程的目标及特点211
10.2.3系统安全工程的PDCA循环212
10.2.4系统安全工程能力成熟度模型213
10.2.5系统安全工程过程217
10.3等级保护的系统安全工程实施218
10.3.1系统安全工程实施工作的流程219
10.3.2系统安全工程实施工作的目标220
10.3.3系统安全工程实施工作的内容220
10.3.4系统安全工程实施工作的要求221
10.3.5系统安全保护能力目标222
10.4等级保护策略体系工程实施流程223
10.4.1网络安全管理现状分析223
10.4.2网络安全管理安全工程实施方案设计223
10.4.3网络安全管理策略落实方法224
10.5等级保护安全技术体系实施流程226
10.5.1网络安全技术现状分析226
10.5.2网络安全技术安全工程实施方案设计227
10.5.3网络安全技术安全工程实施和管理230
10.6本章小结231
参考文献231
第11章等级保护安全建设体系设计233
11.1网络安全等级保护安全建设需求分析234
11.1.1等级保护的一般安全建设需求234
11.1.2等级保护的系统特殊安全建设需求238
11.2新建系统等级保护安全建设方案设计239
11.2.1系统安全防护设计思路239
11.2.2系统安全防护设计240
11.3新建系统等级保护总体安全方案设计241
11.3.1网络安全等级保护安全建设方案大纲241
11.3.2安全技术设计要求的核心思想242
11.3.3安全技术设计要求的主要内容246
11.3.4安全技术设计要求的安全管理部分253
11.4本章小结253
参考文献253
第12章已有系统等级保护安全整改方案设计255
12.1系统安全整改工作基本定位及目的256
12.1.1系统安全整改工作的基本定位256
12.1.2系统安全整改工作的目的257
12.2系统安全整改工作的内容及基本流程257
12.2.1系统安全整改工作的内容257
12.2.2系统安全整改工作的基本流程258
12.3系统安全整改方案设计259
12.3.1确定系统安全整改的安全需求260
12.3.2差距原因分析260
12.3.3分类处理的系统安全整改措施261
12.3.4系统安全整改措施的详细设计262
12.4系统安全整改工程实施和项目管理262
12.5本章小结263
参考文献263
第13章典型的安全设计技术框架265
13.1通用网络安全等级保护安全技术设计框架266
13.2云计算等级保护安全技术设计框架270
13.3移动互联等级保护安全技术设计框架275
13.4物联网等级保护安全技术设计框架277
13.5工业控制等级保护安全技术设计框架279
13.6本章小结282
参考文献282
第14章重要行业网络安全等级保护建设案例285
14.1广播电视台安全等级保护建设案例286
14.1.1建设范围与系统介绍286
14.1.2业务流程及安全需求描述288
14.1.3分层分域设计288
14.1.4安全机制及策略设计289
14.2云计算虚拟化环境中的安全等级保护实例292
14.2.1云计算的定义293
14.2.2云计算安全294
14.2.3云安全服务模型295
14.2.4等级保护面临的挑战296
14.2.5云计算在电力行业的应用298
14.2.6等级保护电力云安全策略设计301
14.2.7基于云安全模型的信息安全等级测评304
14.3工业控制系统安全等级保护建设案例305
14.3.1工业控制系统等级保护1.0的建设状况305
14.3.2工业控制系统的等级保护2.0需求306
14.3.3等级保护2.0下工业控制系统安全新要求308
14.3.4等级保护2.0下能源工业控制系统安全体系建设案例309
14.3.5等级保护2.0下的能源网络安全方针310
14.4互联网企业等级保护建设与测评整改案例311
14.4.1《中华人民共和国网络安全法》的强制性合规要求以及监管检查311
14.4.2专项检查工作流程311
14.4.3腾讯等级保护工作312
14.4.4腾讯等级保护工作成效313
14.5本章小结313
参考文献314
名词索引317