《信息安全技术 网络安全等级保护实施指南》（GB∕T 25058-2019）

  本文摘录了《信息安全技术 网络安全等级保护实施指南》（GB∕T 25058-2019）的各级标题。

基本原则

  安全等级保护的核心是将等级保护对象划分等级，按标准进行建设、管理和监督。安全等级保护实施过程中应遵循以下基本原则：

1. 自主保护原则
2. 重点保护原则
3. 同步建设原则
4. 动态调整原则

定级与备案阶段的工作流程

1. 对象重要性分析
   1. 识别单位的基本信息
   2. 识别单位的等级保护对象基本信息
   3. 识别等级保护对象的管理框架
   4. 识别等级保护对象的网络及设备部署
   5. 识别等级保护对象的业务特性
   6. 识别等级保护对象处理的信息资产
   7. 识别用户范围和用户类型
   8. 等级保护对象描述
      1. 等级保护对象概述；
      2. 等级保护对象重要性分析；
      3. 等级保护对象边界描述；
      4. 网络拓扑；
      5. 设备部署；
      6. 支撑的业务应用的种类和特性；
      7. 处理的信息资产；
      8. 用户的范围和用户类型；
      9. 等级保护对象的管理框架。
2. 定级对象确定
   1. 划分方法的选择
   2. 等级保护对象划分
   3. 定级对象详细描述
      1. 相对独立的定级对象列表；
      2. 每个定级对象的概述；
      3. 每个定级对象的边界；
      4. 每个定级对象的设备部署；
      5. 每个定级对象支撑的业务应用及其处理的信息资产类型；
      6. 每个定级对象的服务范围和用户类型；
      7. 其他内容。
3. 定级、审核和批准
   1. 定级对象安全保护等级初步确定
   2. 定级结果评审
   3. 定级结果审核、批准
4. 形成定级报告
   1. 单位信息化现状概述；
   2. 管理模式；
   3. 定级对象列表；
   4. 每个定级对象的概述；
   5. 每个定级对象的边界；
   6. 每个定级对象的设备部署；
   7. 每个定级对象支撑的业务应用；
   8. 定级对象列表、安全保护等级以及保护要求组合；
   9. 其他内容。
5. 定级结果备案
   1. 备案材料整理
   2. 备案材料提交

总体安全规划

1. 基本安全需求的确定
   1. 确定等级保护对象范围和分析对象
   2. 形成基本安全需求
2. 特殊安全需求的确定
   1. 重要资产分析
   2. 重要资产安全弱点评估
   3. 重要资产面临威胁评估
   4. 综合风险分析
3. 形成安全需求分析报告
   1. 等级保护对象描述；
   2. 基本安全需求描述；
   3. 特殊安全需求描述。
4. 总体安全策略设计
   1. 确定安全方针
   2. 制定安全策略
5. 安全技术体系结构设计
   1. 设计安全技术体系架构
   2. 规定不同级别定级对象物理环境的安全保护技术措施
   3. 规定通信网络的安全保护技术措施
   4. 规定不同级别定级对象的边界保护技术措施
   5. 规定定级对象之间互联的安全技术措施
   6. 规定不同级别定级对象内部的安全保护技术措施
   7. 规定云计算、移动互联等新技术的安全保护技术措施
   8. 形成等级保护对象安全技术体系结构
6. 整体安全管理体系结构设计
   1. 设计等级保护对象的安全管理体系框架
      1. 总体方针/安全策略
      2. 网络安全管理制度
      3. 技术标准、操作规程
      4. 记录、表单
   2. 规定网络安全的组织管理体系和对不同级别定级对象的安全管理职责
   3. 规定不同级别定级对象的人员安全管理策略
   4. 规定不同级别定级对象机房及办公区等物理环境的安全管理策略
   5. 规定不同级别定级对象介质、设备等的安全管理策略
   6. 规定不同级别定级对象运行安全管理策略
   7. 规定不同级别定级对象安全事件处置和应急管理策略
   8. 形成等级保护对象安全管理策略框架
7. 设计结果文档化
   1. 等级保护对象概述；
   2. 总体安全策略；
   3. 等级保护对象安全技术体系结构；
   4. 等级保护对象安全管理体系结构。
8. 安全建设目标确定
   1. 信息化建设中长期发展规划和安全需求调查
   2. 提出等级保护对象安全建设分阶段目标
9. 安全建设内容规划
   1. 确定主要安全建设内容
      1. 安全基础设施建设；
      2. 网络安全建设；
      3. 系统平台和应用平台安全建设；
      4. 数据系统安全建设；
      5. 安全标准体系建设；
      6. 人才培养体系建设；
      7. 安全管理体系建设。
   2. 确定主要安全建设项目
10. 形成安全建设项目规划
    1. 规划建设的依据和原则；
    2. 规划建设的目标和范围；
    3. 等级保护对象安全现状；
    4. 信息化的中长期发展规划；
    5. 等级保护对象安全建设的总体框架；
    6. 安全技术体系建设规划；
    7. 安全管理与安全保障体系建设规划；
    8. 安全建设投资估算（含测试及运维估算等内容）；
    9. 等级保护对象安全建设的实施保障等内容。

安全设计与实施

1. 技术措施实现内容的设计
   1. 结构框架的设计
   2. 安全功能要求的设计
   3. 性能要求的设计
   4. 部署方案的设计
   5. 制定安全策略的实现计划
2. 管理措施实现内容的设计
3. 设计结果的文档化
   1. 建设目标和建设内容；
   2. 技术实现方案；
   3. 网络安全产品或组件安全功能及性能要求；
   4. 网络安全产品或组件部署；
   5. 安全控制策略和配置；
   6. 配套的安全管理建设内容；
   7. 工程实施计划；
   8. 项目投资概算。
4. 网络安全产品或服务采购
   1. 制定产品或服务采购说明书
   2. 选择产品或服务
5. 安全控制的开发
   1. 安全措施需求分析
   2. 概要设计
   3. 详细设计
   4. 编码实现
   5. 测试
   6. 安全控制的开发过程文档化
6. 安全控制集成
   1. 集成实施方案制定
   2. 集成准备
   3. 集成实施
   4. 培训
   5. 形成安全控制集成报告
7. 系统验收
   1. 系统验收准备
   2. 组织验收
   3. 验收报告
   4. 系统交付
8. 安全管理制度的建设和修订
   1. 应用范围明确
   2. 行为规范规定
   3. 评估与完善
9. 安全管理机构和人员的设置
   1. 安全组织确定
   2. 角色说明
   3. 人员安全管理
10. 安全实施过程管理
    1. 整体管理
    2. 质量管理
    3. 风险管理
    4. 变更管理
    5. 进度管理
    6. 文档管理

安全运行与维护

1. 运行管理职责确定
   1. 划分运行管理角色
   2. 授予管理权限
   3. 定义人员职责
2. 运行管理过程控制
   1. 建立操作规程
   2. 操作过程记录
3. 变更需求和影响分析
   1. 变更需求分析
   2. 变更影响分析
   3. 明确变更的类别
   4. 制定变更方案
4. 变更过程控制
   1. 变更内容审核和审批
   2. 建立变更过程日志
   3. 形成变更结果报告
5. 监控对象确定
   1. 安全关键点分析
   2. 形成监控对象列表
6. 监控对象状态信息收集
   1. 选择监控工具
   2. 状态信息收集
7. 监控状态分析和报告
   1. 状态分析
   2. 影响分析
   3. 形成安全状态分析报告
8. 安全状态自查
   1. 确定自查对象和自查方法
   2. 制定自查计划和自查方案
   3. 安全自查实施
   4. 安全自查结果和报告
9. 改进方案制定
   1. 安全改进的立项
   2. 制定安全改进方案
10. 安全改进实施
    1. 安全方案实施控制
    2. 安全措施测试与验收
    3. 配套技术文件和管理制度的修订
11. 服务商选择
    1. 服务能力分析
    2. 网络安全风险分析
    3. 服务内容互斥分析
12. 服务商管理
    1. 人员管理
    2. 服务管理
13. 服务商监控
    1. 使用单位负责组织制定服务评审标准及办法，并依据办法对服务质量进行评审；服务商应接受使用单位对其提供服务情况进行的监督和检查，并应及时按照使用单位要求对所提供的服务进行改进或调整，使服务质量符合使用单位要求。
    2. 使用单位对服务商日常工作进行指导，当发现服务商工作中存在问题时，要求服务商及时纠正，因服务商原因（故意或过失）给使用单位造成损失的，服务商应承担全部赔偿责任。
    3. 使用单位监管项目进展情况期间，对于重大情况服务商应及时主动报告。
    4. 使用单位负责对服务商人员定期进行考核评价，考核方式可采用日常考核、季度考核和年度考核，也可采用适合使用单位的考核方式；如发生严重违反合作原则、伤害使用单位利益、影响服务质量等行为，使用单位有权随时向服务商提出人员撤换要求。
    5. 服务过程中，服务商如因正当理由需要调整、变更人员的，应提前通知使用单位，做好工作交接，并获得使用单位同意后方可进行。
14. 等级测评
    1. 网络安全等级测评机构依据有关等级保护对象安全保护等级测评的规范或标准对等级保护对象开展等级测评。
    2. 运营、使用单位参考等级测评出具的安全等级测评报告，分析确定整改需求。
15. 监督检查
16. 应急准备
    1. 建立应急组织
    2. 明确应急工作职责
    3. 安全事件分类分级
    4. 确定应急预案对象
    5. 确定职责和应急协调方式
    6. 制定应急预案程序及其执行条件
    7. 培训宣贯
    8. 应急演练
17. 应急监测与响应
    1. 异常状态信息收集
    2. 异常状态分析
    3. 安全事件上报和共享
    4. 安全事件处置
    5. 安全事件总结和报告
18. 后期评估与改进
    1. 调查评估
    2. 改进预防
19. 应急保障

定级对象终止

1. 信息转移、暂存和清除
   1. 识别药转移、暂存和清除的信息资产
   2. 信息资产转移、暂存和清除
   3. 处理过程记录
2. 设备迁移或废弃
   1. 软硬件设备识别
   2. 制定硬件设备处理方案
   3. 处理方案审批
   4. 设备处理和记录
3. 存储介质的清除或销毁
   1. 识别要清除或销毁的介质
   2. 确定存储介质处理方法和流程
   3. 处理方案审批
   4. 存储介质处理和记录