GA/T 391-2002 计算机信息系统安全等级保护管理要求-检测标准-检测项目-北检院

标准中涉及的相关检测项目

《GA/T 391-2002 计算机信息系统安全等级保护管理要求》中规定了一系列相关的检测项目、检测方法和涉及产品。以下是相应的内容：

检测项目：

物理安全：防止未经授权的物理访问、破坏和干扰。
网络安全：针对计算机网络的安全防护，包括入侵和攻击防范。
数据安全：保护数据的完整性、机密性和可用性。
用户身份鉴别：验证用户身份，确保访问的合法性。
访问控制：设置权限，控制用户对系统资源的访问。
操作系统安全：对操作系统的配置和补丁进行检测。
应用安全：确保应用程序无安全漏洞并正确实施安全策略。
安全审计：日志和监控活动记录，以便后续审查。

检测方法：

人工检查：通过人工审核系统的配置和设定，以判断其是否符合规定。
自动化工具检测：使用软件工具执行自动化的安全扫描和漏洞检测。
渗透测试：模拟恶意攻击者尝试入侵系统，以识别潜在的漏洞。
日志分析：对系统日志进行分析，鲸探查可能的安全事件。
文档审查：检查安全策略、指南和记录文件以确保合规性。

涉及产品：

防火墙和入侵检测系统：用于网络层的安全保护。
数据加密工具：保障数据在传输和存储过程中的安全。
安全管理软件：包括身份认证、访问控制以及安全审计工具。
操作系统及其安全补丁：确保操作系统安全性。
业务应用程序：需要进行安全性评估和保护的程序。

这些检测项目、方法和相关产品保障了信息系统在不同安全等级下的安全性，确保系统在不同风险水平下的稳健性和安全性。

GA/T 391-2002 计算机信息系统安全等级保护管理要求的基本信息

标准名：计算机信息系统安全等级保护管理要求

标准号：GA/T 391-2002

标准类别：公共安全行业标准(GA)

发布日期：2002-07-18

实施日期：2002-07-18

标准状态：现行

GA/T 391-2002 计算机信息系统安全等级保护管理要求的简介

本标准依据GB17859-1999的内容规定了计算机信息系统安全等级保护的管理要求。本标准适用于相关部门依据国家有关规定实施计算机信息系统安全等级保护的安全管理。GA/T391-2002计算机信息系统安全等级保护管理要求GA/T391-2002

GA/T 391-2002 计算机信息系统安全等级保护管理要求的部分内容

ICS35.020

中华人民共和国公共安全行业标准GA/T391——2002

计算机信息系统安全等级保护管理要求ManagementRequirements

in Computer Information System Classified Security Protection2002-07-18发布

2002-07-18实施

中华人民共和国公安部发布

1范围

2规范性引用文件

3术语和定义

4信息系统安全管理概述

4.1信息系统安全管理内涵

4.2主要安全要素...

4.3信息系统安全管理的基本原则.4.4安全管理的过程

4.5安全管理组织.

4.6人员安全，

4.7安全管理制度

5安全等级信息系统的管理要求

5.1第一级

5.2第二级

5.3第三级

5.4第四级

5.5第五级

（用户自主保护级）实施基本的管理（系统审计保护级）实施操作规程管理（安全标记保护级）实施标记制度化管理（结构化保护级）实施标准化管理：（访问验证保护级）实施安全文化管理附录A安全管理等级要素

A.1管理目标和范围

A.2人员与职责要求

A.3物理安全管理要求

A.4系统安全要求，

A.5网络安全管理要求

A.6应用系统安全管理要求

A.7运行安全管理要求

A.7.1风险管理要求..

A.7.2生命周期管理要求，

A.7.3安全意识教育和培训要求，A.7.4病毒防护管理要求.

A.7.5对第三方访问的安全管理要求A.7.6应急计划和灾难恢复计划安全管理要求A.7.7变更控制管理要求

A.8人员安全管理要求

参考文献

图1主要安全要素与关系.

图2计算机信息系统安全管理过程模型次

GA/T391—2002

图3安全管理组织结构

表1安全目标与范围等级要求

表2人员与职责等级要求，

表3物理安全管理等级要求

表4系统安全管理等级要求.

表5网络安全管理等级要求

表6应用系统安全管理等级要求，表7运行安全管理等级要求.

表8风险管理等级要求.

表9生命周期管理等级要求

表10安全意识教育和培训等级要求表11病毒防护管理等级要求

表12对第三方访问的安全管理等级要求，表13应急计划和灾难恢复计划安全管理等级要求表14变更控制管理等级要求

表15人员安全管理等级要求

GA/T391—2002

a）前言

GA/T391—2002

本标准作为GB17859-1999《计算机信息系统安全保护等级划分准则》的管理要求，是根据《中华人民共和国计算机信息系统安全保护条例》（1994年2月18日中华人民共和国国务院令147号发布）的规定编制的。

本标准是GB17859-1999系列配套标准中重要标准之一，与GB17859-1999相关的通用技术要求、操作系统要求、网络要求、数据库要求、工程要求、评估要求等标准共同组成计算机信息系统的安全等级保护体系。计算机信息系统的安全等级保护体系从计算机信息系统的管理层面、物理层面、系统层面、网络层面、应用层面、运行层面对计算机信息系统资源实施保护，作为计算机信息系统安全保护的支撑服务，管理层面则贯穿了其他五个层面，是其他五个层面实施安全等级保护的保证。本标准吸收了IS0/IECTR13335[1]】［2]】[3]】［4]】［5]的管理概念，并结合计算机信息系统安全过程提出了比IS0/IECTR13335更详细的过程要求，对IS0/IEC17799[6|的有关内容进行了提炼，并从安全过程和安全行政管理的总体要求进行了论述。本标准明确提出了管理层、物理层、网络层、系统层、应用层和运行层的安全管理要求，并将管理要求落实到GB17859一1999的五个等级上，更有利于对安全管理的继承、理解、分工实施，更有利于对安全管理的评估和检查。由于GB17859-1999中保护等级的划分是在充分考虑安全技术和安全风险控制的关系上制定的，安全等级越高，安全技术的费用和管理成本也就越高，从而能抵御更大的安全威胁，能有效建立起安全信心，降低IT使用风险。本标准中，如无特殊说明，信息系统即指计算机信息系统，安全管理指计算机信息系统安全管理。本标准由公安部公共信息网络安全监察局提出。本标准由公安部信息系统安全标准化技术委员会归口。本标准起草单位：北京江南科友科技有限公司。本标准主要起草人：王志强颜基义赵战生黄云飞周思源伏劲松文坊m

b）引言

GA/T391—2002

GB17859-1999是我国计算机信息系统信息安全等级管理的重要标准，已于1999年9月13日发布，其配套相关的标准，包括：

a）计算机信息系统安全等级保护技术要求系列标准；计算机信息系统安全等级保护评估准则系列标准；b）

计算机信息系统安全等级保护工程要求系列标准c）

计算机信息系统安全等级保护管理要求。d)

本标准如有与国家有关法律、法规冲突、不一致或不兼容的内容，应按国家有关法律、法规执行。涉及国家秘密的计算机信息系统应按照国家有关部门的规定执行。本标准为计算机信息系统提出了计算机信息系统安全管理方面的要求，提供一个安全保护等级选择基准。各单位根据对计算机信息系统的安全要求，选择计算机信息系统的安全保护等级，并在本标准相应基准的基础上建立具体的计算机信息系统安全管理体系和安全标准，实施有效的安全管理，保障计算机信息系统的安全。

a）范围

计算机信息系统安全等级保护管理要求本标准依据GB17859-1999规定了计算机信息系统安全等级保护的管理要求。GA/T3912002

本标准适用于相关部门依据国家有关规定实施计算机信息系统安全等级保护的安全管理。b）规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB17859-1999计算机信息系统安全等级划分准则GA/TXX1-XXXX计算机信息系统安全等级保护通用技术要求GA/TXX2-XXXX计算机信息系统安全等级保护操作系统要求GA/TXX3-XXXX计算机信息系统安全等级保护数据库要求GA/TXX4-XXXX计算机信息系统安全等级保护网络要求GA/TXXX-XXXX计算机信息系统安全等级保护工程要求GA/TXXX-XXXX计算机信息系统安全等级保护评估要求中华人民共和国计算机信息系统安全保护条例（1994年2月18日中华人民共和国国务院令147号发布)

c）术语和定义

GB17859-1999确立的及下列的术语和定义适用于本标准。机密性/保密性confidentiality这一性质使信息不泄露给非授权的个人、实体或进程，不为其所用。[GB/T9387.2一19953.3.16]ii.

数据完整性dataintegrity

这—性质表明数据没有遭受以非授权方式所作的篡改或破坏。【GB/T9387.2一19953.3.21]iii.

可用性availability

根据授权实体的请求可被访问与使用。[GB/T9387.2-19953.3.11]iv.

可确认性accountability

这样一种性质，它确保一个实体的作用可以被独一无二地跟踪到该实体。[GB/T9387.2一19953.3.3]

访问控制accesscontrol

防止对资源的未授权使用，包括防止以未授权方式使用某一资源。[GB/T9387.2一19953.3.1]vi.

安全审计securityaudit

GA/T3912002

为了测试出系统的控制是否足够，为了保证与已建立的策略和操作堆积相符合，为了发现安全中的漏洞，以及为了建议在控制、策略和堆积中作任何指定的改变，而对系统记录与活动进行的独立观察和考核。GB/T9387.2-19953.3.47

审计跟踪securityaudittrail

收集起来并可用来使安全审计易于进行的数据。[GB/T9387.2一19953.3.48]］viii.

威胁threat

种潜在的对安全的侵害。[GB/T9387.2-19953.3.55]ix.

鉴别信息authenticationinformation用以建立身份有效性的信息。[GB/T9387.2—19953.3.8]x.

授权authorization

授予权限，包括允许基于访问权的访问。[GB/T9387.2一19953.3.10]xi.

敏感性sensitivity

资源所具有的一种特征，它意味着该资源的价值或重要性，也可能包含这一资源的脆弱性。[GB/T9387.2—1995 3.3.53

口令password

机密的鉴别信息，通常由一串字符组成。[GB/T9387.2一19953.3.39]xiii.

信息系统安全管理体系informationsystemsecuritymanagementarchitecture通过规划、组织、领导、控制等措施以实现组织或机构计算机信息系统安全目标的相互关联或相互作用的一系列支撑服务要素的集合。这些要素包括计算机信息系统安全组织或机构、计算机信息系统安全管理体系文件、控制措施、操作过程和程序等相关资源。xiv.

风险评估riskassessment

对信息、信息处理设施、信息处理过程和信息系统管理所受威胁、系统弱点保护不当等风险因素的发生可能性和后果影响的资产价值评估。xv.

安全策略securitypolicy

对计算机信息系统中与安全相关的资源，尤其是敏感信息，进行管理、保护、控制和发布的规定和实施细则。一个计算机信息系统中可以有一个或多个安全策略。d）信息系统安全管理概述

信息系统安全管理内涵

信息系统安全管理是对一个组织或机构中信息系统的生命周期全过程实施符合安全等级责任要求的科学管理，它包括：

e）落实安全组织及安全管理人员，明确角色与职责，制定安全规划f）开发安全策略：

实施风险管理：

制定业务持续性计划和灾难恢复计划：2

选择与实施安全措施；

保证配置、变更的正确与安全：进行安全审计：

保证维护支持：

进行监控、检查，处理安全事件；安全意识与安全教育：

人员安全管理等。

主要安全要素

资产拥有者

利角）

保护措施

可能被减小

可能意识到

（手发利用）

威胁主体

（引起）

希望最小仁

用于减小

合能有

脆弱性

(增加

，希望滥用或破坏“

主要安全要素与关系

主要包括：

支持设施（例如，建筑、供电、供水、空调等）：元）

（针双）

GA/T391—2002

硬件资产（例如，计算机设备如处理器、监视器、膝上型电脑、调制解调器，通信设施如路由器、数字程控交换机、传真机、应答机，存储媒体如磁盘、光盘等）；信息资产（例如，数据库和数据文档，系统文件，用户手册，培训资料，操作和支持程序，持续性计划，备用系统安排，访间信息等）：软件资产（例如，应用软件，系统软件，开发工具和实用程序等）：生产能力或服务能力；

人员；

无形资产（例如，信誉，形象）：等。

主要包括自然威胁和人为威胁。自然威胁有地震、雷击、洪水、火灾、静电、鼠害和电力故障等。人为威胁分为

x）盗窃类型的威胁，如偷窃设备、窃取数据、盗用计算资源等；破坏类型的威胁，如破坏设备、破坏数据文件、引入恶意代码等；y）

GA/T391—2002

处理类型的威胁，如插入假的输入、隐瞒某个输出、电子欺骗、非授权改变文件、修改程序和z）

更改设备配置等：

aa）操作错误和疏忽类型的威胁，如数据文件的误删除、误存和误改、磁盘误操作等。bb）管理类型威胁，如安全意识淡薄、安全制度不健全、岗位职责混乱、审计不力、设备选型不当、人事管理漏洞等：

cc）等。

3.脆弱性

与资产相关的脆弱性包括物理布局、组织、规程、人事、管理、行政、硬件、软件或信息等的弱点；与系统相关的脆弱性如分布式系统易受伤害的特征等。4.意外事件影响

影响资产安全的事件，无论是有意或是突发，其后果可能毁坏资产，破坏信息系统，影响保密性、完整性、可用性和可控性等。可能的间接后果包括危及国家安全，社会稳定，造成经济损失，破坏环组织或机构的社会形象等。

风险是某种威胁利用暴露系统脆弱性对组织或机构的资产造成损失的潜在可能性。风险由意外事件发生的概率及发生后可能产生的影响两种指标来评估。由于保护措施的局限性，信息系统总会面临或多或少的残留风险，组织或机构应考虑对残留风险的接受程度。

6.保护措施

保护措施是对付威胁，减少脆弱性，限制意外事件影响，检测意外事件并促进灾难恢复而实施的各种实践、规程和机制的总称。应考虑采用保护措施实现下述一种或多种功能：预防、延缓、阻止、检测限制、修正、恢复、监控以及意识性提示或强化。保护措施作用的区域可以包括物理环境、技术环境（如硬件、软件和通信）、人事和行政。保护措施可为：访问控制机制、抗病毒软件、加密、数字签名、防火墙、监控和分析工具、备用电源以及信息备份等。选择保护措施时要考虑由组织或机构运行环境决定的影响安全的因素，例如，组织的、业务的、财务的、环境的、人事的、时间的、法律的、技术的边界条件以及文化的或社会的因素等。iii.

信息系统安全管理的基本原则

1．信息系统安全管理的总原则

a）主要领导人负责原则

信息安全保护工作事关大局，影响组织和机构的全局，组织和机构的主要领导人应把信息安全列为其最重要的任务之一，并负责提高、加强部门人员的安全意识，组织有效队伍，调动并优化配置必要的资源和经费，协调安全管理工作与各部门工作的关系，确保落实、有效。b）规范定级原则

组织和机构应根据其计算机信息系统及应用的重要程度、敏感程度以及自身资源的客观条件，确定相应的计算机信息系统安全保护等级，在履行相应的审批手续后，切实遵从相应等级的规范要求，制定相应的安全策略，并认真实施。c）依法行政原则

信息安全管理工作主要体现为行政行为，因此应保证信息系统安全行政主体合法、行政行为合法、行政内容合法、行政程序合法，4

d）以人为本原则

GA/T391—2002

威胁和保障是安全管理工作的主题，它们在很大程度上受制于人为的因系。加强信息安全教育、培训和管理，强化安全意识和法治观念，提升职业道德，掌握安全技术，确保措施落实是做好信息安全管理工作的重要保证。

e）适度安全原则

安全需求的不断增加和现实资源的局限性使安全决策处于两难境地，恰当地平衡安全投入与效果是从全局上处置好安全管理工作的出发点。f）全面防范、突出重点原则

全面防范是保障计算机信息系统安全的关键。它需要从人员、管理和技术多方面，在预警、保护检测、反应、恢复和跟踪等多个环节上采用多种技术实现。同时，又要从组织和机构的实际情况出发，突出自身的安全管理重点。

g）系统、动态原则

安全管理工作的系统特征突出。要按照系统工程的要求，注意各方面，各层次、各时期的相互协调、匹配和衔接，以便体现系统集成效果和前期投入的效益。同时，安全又是一种状态和动态反馈过程，随着安全利益和系统脆弱性的时空分布的变化，威胁程度的提高，系统环境的变化以及人员对系统安全认识的深化等，应及时地将现有的安全策略、风险接受程度和保护措施进行复查、修改、调整以至提升安全管理等级。

h）控制社会影响原则

对安全事件的处理应由授权者适时披露与发布准确一致的有关信息，避免带来不良的社会影响2．主要安全管理策略

a）分权制衡

采取分权制衡的原则减小未授权的修改或滥用系统资源的机会，对特定职能或责任领域的管理执行功能实施分离、独立审计，避免操作权力过分集中。b）最小特权

任何实体（如用户、管理员、进程、应用或系统）仅享有该实体需要完成其任务所必须的特权，不应享有任何多余特权。

c）选用成熟技术

成熟的技术提供可靠性、稳定性保证，采用新技术时要重视其成熟的程度。如果新技术势在必行应该首先局部试点然后逐步推广，减少或避免可能出现的损失。d）普遍参与

不论信息系统的安全等级如何，要求信息系统所涉及人员普遍参与并与社会相关方面协同、协调共同保障信息系统安全。

安全管理的过程

1.安全管理过程模型

图1给出了一个计算机信息系统安全管理过程模型。安全管理是一个不断发展、不断修正的过程，贯穿于信息系统生命周期，涉及到信息系统管理层面、物理层面、网络层面、操作系统层面、应用系统层面和运行层面的安全风险管理。对信息系统上述几个层面的安全管理是保证信息系统安全技术、安全工程、安全运行正确、安全、有效的基础。在安全管理过程模型中，每个阶段的管理工作重点不同，要求不同。5

安全目标

安全目标，战略，政策和策略

风险分析

GA/T391—2002

组织、环境和法律等的影响

确定安全保护等级，

选择和实施保护措施

监控，安全意识，配置管理，

变更管理，业务持续性计划.

计算机信息系统安全管理过程模型防止国家秘密和单位敏感信息的失密、泄密和窃密，防止数据的非授权修改、丢失和破坏，防止系统能力的丧失、降低，防止欺骗，保证信息及系统的可信度和资产的安全。安全保护等级的确定

计算机信息系统的使用单位主管应根据国家有关法律法规、计算机信息系统所处理信息的安全要求和运行安全要求确定计算机信息系统的保护等级，并按照GA/TXX1-XXXX（技术要求）、GA/TXXX-XXXX（工程要求)和本标准的管理要求实施等级保护。安全风险分析与评估

识别需要控制或可接受的风险并形成风险的分析评估报告。方法

安全风险分析时应依据有关的信息系统安全标准和规定，采用多层面、多角度的系统分析方法，制定详细的分析计划和分析步骤，避免遗漏，以保证结果的可靠和科学，并形成文档，做到有据可查。内容与范围

信息系统安全组织、制度和人员情况，信息系统的体系结构，策略与技术运用，安全设施布控及外包服务状况，动态安全运行状况等。分析过程

信息及信息系统的分类；

识别要保护的资产及价值；

分析信息资产之间的相互依赖性：识别存在的脆弱性和威胁；

分析可能的入侵者和入侵活动的影响；编制安全风险分析报告。

制定安全策略

a）目的

GA/T391—2002

为保证信息系统的安全提供框架，提供安全管理的方法，规定各部门要遵守的规范及应负的责任，为信息系统的安全具体实施提供依据和基础。以调动、协调和组织各方面的资源共同保障信息系统的安全。

b）方法

安全策略应由计算机信息系统使用单位的相关部门负责制定，该部门由使用单位的主管成员和专业安全技术人员以及来自该单位不同部门的相关成员组成。有条件的部门，可聘请安全专家。安全策略在制定时应兼顾结构上的系统性、内容上的可理解性、技术上的可实现性、管理上的可执行性。安全策略应与时俱进，定期加以调整和更新。安全策略的内容

保护的内容和目标：安全策略中应包含计算机信息系统中要保护的所有资产以及每件资产的重要性，对计算机信息系统中的要素或资产进行分类，分类应体现各类资产的重要程度，所面临的主要威胁，并规定它们的受保护等级：明确人员的职责：明确每个人在信息安全保护中的责任和义务，以便有效地组织全员协同工作：实施保护的方法：确定保护计算机信息系统中各类资产的具体方法，如对于实体可以采用隔离防辐射、防自然灾害的措施，对于数据信息可以采用授权访问控制技术，对于网络传输可以采用安全隧道技术等：

事故的处理：为了确保任务的落实，提高安全意识和警惕性，应规定相关的奖惩条款，并建立监管机制，以保证各项条款的严格执行。安全需求分析

c）目的

提高计算机信息系统安全服务和安全机制等安全保障措施的有效性和针对性，并形成安全需求分析报告。

1）结合实际：针对计算机信息系统的实际环境和安全目标提出安全要求：2）依据标准：为了保证质量，做到有据可查，安全需求分析应符合有关标准；3）分层分析：从涉及的策略、体系结构、技术、管理等各个层次逐次进行分析：4）动态反馈：安全需求分析是一个不断发展的过程，随着系统更新换代或功能扩展、内部环境和外部环境的变化，安全需求随之发生变化。安全需求分析应保持结果的有效性、适应性，保证分析方法的科学性和系统性，安全需求分析过程应与系统发展过程同步。内容

管理层面：根据组织和机构的实际情况，确定管理机构或部门的形态和规模，并明确其目标、原则、任务、功能和人员配置等；物理层面：根据组织或机构的实际情况，确定各类实体财产的安全级别，以及需要保护的程度和方法；

系统层面：明确操作平台应该具备的安全级别，以及为达到所要求的级别，应选用的操作系统等：

网络层面：根据信息系统的业务方向，分析系统的网络，特别是网络边界的安全需求，确定应采用的防护体系；

应用层面：基于网络的应用以及应用供应商的多样性和复杂性，相应的安全防护体系和技术措施不尽相同，需要根据实际情况来确定、选择其安全需求。安全措施的实施

现行

北检院检验检测中心能够参考《GA/T 391-2002 计算机信息系统安全等级保护管理要求》中的检验检测项目，对规范内及相关产品的技术要求及各项指标进行分析测试。并出具检测报告。

检测范围包含《GA/T 391-2002 计算机信息系统安全等级保护管理要求》中适用范围中的所有样品。