阿里云信息安全等级保护解决方案_等保定级_等保等级评测-云巴巴 -云巴巴

阿里云信息安全等级保护解决方案

阿里云信息安全等级保护解决方案依据国家网络安全等级保护制度，提供一站式服务，帮助企业快速、省心地通过等保合规。该方案包括云安全中心的合规检查功能，提供等保合规检查和ISO 27001合规检测，全面覆盖通信网络、区域边界、计算环境和管理中心的网络安全检查，帮助用户检查系统是否符合等保合规要求，及时发现和处理安全风险。同时，阿里云还提供等保咨询服务和整改服务，包括差距性评估、整改方案咨询、安全管理制度完善、安全产品选型及部署指导、系统安全整改支持和等级保护测评服务。此外，阿里云公共云高分通过等保三级，金融云通过等保四级，显著提高客户测评分数。

立即咨询

等级保护介绍 - 概念 icon

信息安全等级保护的定义

等保是什么

✓ 国家制定的管理规范和技术标准

✓ 信息安全保障的基本制度和基本国策

✓ 适用境内信息系统

✓ 公安监管

客户价值是什么?

✓ 发现系统安全隐患及不足、及时整改

✓ 懂法、守法、履行义务

✓ 满足相关主管单位和行业要求

✓ 合理地规避或降低风险

等级保护介绍 - 分级 icon

等级保护介绍 - 基本要求 icon

等级保护工作内容 - 五项规定动作 icon

系统定级

自主定级、专家审核、上级主管单位审批。

系统备案

定级信息系统须在上级主管单位及属地公安机关进行备案。

建设整改

根据《信息系统安全等级保护基本要求》进行安全加固和改进。

等级测评

邀请具有信息安全等级保护测评资质的测评机构进行安全等级测评。

监督检查

通过安全检查的方式持续改进系统安全。

等级保护工作内容 - 定级流程 icon

具体可按照《关于开展全国重要信息系统安全等级保护定级工作的通知》(公通字[2007]1861号)要求执行

等级保护工作内容 - 定级 icon

定级关键词

等级保护对象

信息安全等级保护工作直接作用的具体的信息和信息系统。作为定级对象的信息系统应具有如下基本特征：
1、具有唯一确定的安全责任单位
2、具有信息系统的基本要素

3、承载相对独立的业务应用

客体

受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全，社会秩序、公共利益，以及公民、法人或其他组织的合法权益。

侵害程度综合判定

1、系统服务安全被破坏导致业务能力下降的程度可以从信息系统服务覆善的区域范围、用户人数或业务量等不同方面确定。
2、业务信息安全被破坏导致的财物损失可以从直接的资金损失大小、间接的信息恢复费用等方面进行确定。

等级保护工作内容 - 定级 icon

一般损害：工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻

的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害。

等级保护工作内容 - 定级 icon

严重损害：工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的

法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害。

等级保护工作内容 - 定级 icon

特别严重损害：工作职能受到特别严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。

等级保护工作内容 - 定级矩阵 icon

根据信息和信息系统遭到破坏或泄露后，对国家安全、社会秩序、公共利益及公民、法人和其他组织的合法权益的危害程度来进行定级。

等级保护工作内容 - 备案 icon

等级保护工作内容 - 工作流程 icon

等级保护工作内容 - 主要内容 icon

信息系统安全建设整改主要内容

等级保护工作内容 - 整改区别示例 icon

等级保护工作内容 - 现状调研差距分析 icon

现状调研差距分析

工作内容

• 资料收集：定级资料、设备清单、业务介绍、建设过程资料、管理制度等

• 确认工作范围
• 等级保护合规性分析(技术、管理)
• 风险评估(技术)
• 渗透测试(技术)
• 等级保护差距分析(综合)

• 信息安全建设需求分析

工作方法

• 资料审查

• 访谈

• 安全措施检查

• 验证

等级保护工作内容 - 方案设计 icon

关键点：

• 信息系统等级

• 基本要求

• 信息安全风险

• 控制

• 措施实际情况

评审成员可由以下人员组成：

• 同行业专家

• 指导单位

• 上级管理部门领导
• 测评机构专家等

集成实施：指导采购、技术策略设计、新产品实施与策略配置、原有产品策略调整、设备自身安全配置调整
安全评估加固：
两个维度：
• 合规性 - GB/T22239-2008

• 业务风险 - GB/T20984-2007

评估范围：

• 物理、网络、主机、应用(访谈+检查+渗透测试)

操作：
• 整体风险评估
• 物理、网络、主机---安全检查

• 应用---访谈+检查+渗透测试
• 提供安全评估报告

• 协助安全加固

等级保护工作内容 - 管理体系实施 icon

安全管理体系实施

• 建立安全管理组织架构

• 建立安全管理制度体系
• 安全管理制度发布与执行

等级保护工作内容 - 等级测评 icon

等级保护工作内容 - 监督检查 icon

◆ 对第一二级信息系统每年由主管部门进行自查。
◆ 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。
◆ 对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查，应当会同其主管部门进行。
◆ 对第五级信息系统，应当由国家指定的专门部门进行检查。