信息安全等级保护制度在信息系统建设中的应用分析

郑绍林

（贵州亨达集团信息安全技术有限公司，贵州 贵阳 550001）

0 引言

随着电子化、信息化、网络化应用的不断深入，信息安全事件的发生概率也在急剧增加，这也使得人们越来越注重对信息安全的保护。但要彻底落实信息安全保护工作，使其达到预期效果，就必须与信息安全等级保护制度充分地结合起来，并确保其能够发挥作用。对于相关职能单位和部门来说，通过建立和落实信息安全等级保护制度，使其发挥应有的作用，必然能够在信息安全工作中发挥更大的价值。尤其是在计算机网络搭建前期，信息安全等级保护制度就应当被充分地应用和落实，从而在应对信息安全时能够有应对之策。

1 关于信息安全等级保护制度的概述

1.1 信息安全

信息安全等级保护是一个国家对于信息安全保障所执行并应用的基础操作制度，等级保护工作包括了定级、等级差距之间的分析、安全规范建设、整改以及后续的等级评测等工作内容[1]。

1.2 定级

定级是开展等级保护工作的基础性工作，依照信息安全等级保护制度的相关文件进行落实。结合不同的客户组织架构、业务应用需求以及信息的统计方式等情况，对其信息内容进行进一步的层级划分，从而制定出符合自身行业发展需求和特点的定级方式。

1.3 整改

完成定级工作之后，需要结合相关规定和内容进行规范和整改。对定级内容进行风险评估并进行等级差距的保护分析，使方案更加优化，确保定级方案能够符合国家等级保护工作的基础要求。所有的工作内容都是建立在以信息数据应用需求、信息评估以及安全风险评估的基础上进行的。

1.4 等级保护

等级保护工作不仅需要投入大量的人力、物力和资源，同时还需要从整体角度出发，对信息进行全面的评测、咨询、检查等[2]。从而促使用户能够尽快完成等级保护制度的建设和实施，提升用户的信息应用安全水平。完成上述各个阶段的工作之后，还需要结合实际需求对等级保护进行进一步的优化。

（1）定级备案。结合信息系统进行划分，然后结合信息内容对信息内容进行价值确定，并确定相关的价值保护等级。

（2）差距分析。通过对数据信息的风险评估，我们要分析等级划分与实际应用过程中的安全目标之间的等级差异，让相关部门和单位能够有的放矢地进行整改和优化，从而确保安全等级的信息管理更加强化和完善。如此才能够确保单位自身的信息内容得到更好的应用。

（3）整改建议。单位结合评估的结果、信息系统所确认之后的保护等级、相关的信息安全等级保护要求、对应的各级别的信息等级技术、管理以及应用维护等方面的具体要求，制定对应的安全保障措施，从而让安全等级保护整改内容发挥最大的效益。

（4）整改实施。为用户提供更加详尽的信息等级保护建议，确保对于信息的保护等级能够达到互联网的应用需求，并协助用户进行等级保护地管理工作，针对承建单位进行监理审查，确保其等级保护应用符合相关设计要求。

（5）测评咨询。在完成信息系统的升级和定级工作之后，经过评测整改，需要对安全信息技术以及管理等各个层面的信息安全应用进行综合验证和评测，确保安全等级的应用要求与实际需求相符。

（6）检查咨询。在完成等级制定和整改工作之后，相关监管部门需要对安全等级的技术应用和管理工作的落实进行细致的查验，企业必须提供对应的数据资料并配合相关单位进行实地检查。

1.5 等级划分

结合计算机信息系统现行的安全保护应用方案来说，安全等级从中高低总共划分为5级。当计算机网络系统遭到破坏时，其所带来的破坏程度是可以依照等级进行划分的。从国家安全等级到公共安全到个人安全不同的角度进行衡量，如果造成的危害和风险较大，则其等级划分必然很高。比如，一个事业单位出现了计算机信息系统受损的情况，那么与之相关联的公共利益也会受到影响，那么在等级定位时则会被定义为三级。但是现行的这种划分方式和标准从实际应用角度来看也是存在分歧和矛盾的，其中最关键的就是对影响的量化衡量存在着一定的难度。

1.6 工作原则

在相关工作进行落实的过程中，需要结合实际情况进行自主定级，但也要遵循这个原则，确保等级制度的有效落实。一些单位的计算机信息系统在建立之后，必须充分地对其安全性能进行核查，了解单位内部的信息应用与公共利益以及组织权益之间的相互关系，然后依照信息安全等级保护制度来进行等级划分，并开展相应的安全等级防护[3]。

1.7 监督管理

结合目前现行的法律规范，目前从事安全网络管理的相关工作主要是由网信部门负责，而具体开展业务的相关部门在进行监督和管理的过程中也不能忽视信息安全等级保护制度。

1.8 法律制度

目前我国在进行网络安全管理工作过程中主要的依据还是以信息安全等级保护制度为准，在落实制度和定级的过程中仍延续着自主定级和自主保护的方针，但是如此行事并不代表就不需要承担相应的法律责任。国家已经就目前的网络应用安全工作设立了《网络安全法》，法案中表明网络运营者如果无法依照信息安全等级保护制度中的相关要求对网络使用者的信息进行保护就需要承担对应的责任，而相关职能部门也可以依照相关制度开展行政处罚工作。而在刑法修正案中也明确地指出：相关网络服务供应商如果无法依照网络安全的相关条例来履行对应的安全保障服务，对应的监管部门在要求其进行整改后仍存在问题则需要承担对应的刑事责任[4]。

2 在计算机网络中的搭建应用

2.1 设立边界

网络环境中也是存在边界的，通过边界来控制访问。在这里主要是依据网络平台通过对访问控制来进行边界划分。目前计算机网络边界主要分为三类，第一类是计算机网络面向互联网的边界，第二类则是物理机间边界，第三类就是虚拟机之间的边界。如果要确保计算机的网络系统能够处于保护状态中，对于互联网中的边界认知是非常重要的工作，网络进行数据分析的重要工作也主要是由边界所构成的，这就要求监管工作必须得到有效落实。而从实际业务的使用需求出发，对于网络上行、下行数据进行访问时必须结合相关的标准进行，并确保网络相关的模块之间保持着一定的独立性，才能够提升应用的安全性。在不同的网段中其安全等级也是各有差异的，这是由于所服务的对象不同，对于安全的需求也就变得有所区别[5]。所以从实际业务角度出发，来确保设备的各方面设置是否真正满足应用需求，并对数据流量进行规定。

虚拟机的通信不同于其他的设备，具有一定的独立性，尤其是在数据进行交换的过程中，如果外界想要对其进行检查或查证则是行不通的，所以其在安全性方面也更加凸显，同时也给信息之间的攻击提供了更多的便利。如果从虚拟机的角度出发，利用信息安全技术则会提升信息安全的保障作用，结合AUI网络接口的方式能够让交换式的流量在进入到虚拟机之前就可以使用二次保障软件来对信息进行检查。这时候会对网络中的实际需求进行确认，并对虚拟机进行归类处理，从而划分其安全区域，做好对应的隔离保护措施。对于信息相互访问的边界必须严格进行把控。在进行计算机网络搭建的过程中，需要充分做好虚拟化保护的应用工作，这样能够更好地实现虚拟化信息的安全性。而对于边缘的虚拟桥、以太网接入端口等技术则需要通过虚拟机的方式将其内部的流量进入外部的交换机中，在这个过程中则需要对这些流量进行二次传输，并在此之前通过镜像过滤、重新定位等方式进行流量的安全疏导，提升其应用的安全性，确保信息没有问题之后才可以上传到其他的设备，具体如表1所示。

表1 等级保护中数据链路层与安全要素之间的关联

2.2 提升存储的安全保密性

在我们的日常生活中，数据信息可以利用计算机等硬件进行网络上传，从而对这些信息进行保存。而这些信息的安全性则是通过密码保护的方式来实现的。这就要求密码系统必须严谨有效，并能够支持加密保护目标，确保网络应用的分配能够实现。在这里我们可以将网络编码定义的相关规则作为基础依据，从而对相关的信息数据进行进一步的分配应用，将无用且多余的数据进行清理。这样就能够确保数据不仅不会出现泄露的问题，而且能够提升数据的安全性。在进行网络化数据审查的过程中，无论是防火墙还是路由器其安全审查的应用水平都需要得到进一步的提升，尤其是计算机应用系统，要实现安全防护的目标，就必须严格依照既定的规则进行数据传输和录入，也就是结合实际的业务需求来进行数据访问。纵观目前我国的网络环境，我们可以看出外部网络所带来的安全攻击并没有得到足够的重视。在访问控制的执行作业应用之后，针对网络入侵的检查也是不能忽视的问题，简单来说就是对局域网络中的数据流量信息进行全程监控，尤其是针对数据流。当数据流和内部数据规则相符，那么就会自行对数据进行记录并发出警报，如此就能够确保实现信息安全保护的目标。

2.3 编码计算机的安全等级

计算机数据虽然是由简单的字节构成，但是却能够产生大量的信息。如果要保障信息的安全性和规范性，则必须从源头做好相应的设计工作。比如IPSO的长度有25个字节，所以在安全等级标记时则也要达到25个字节。这就要求在安全等级标记时必须能够携带符合实际的需要。安全标记的主要因素方向包括了安全等级、信任阈值等一些内容。在整个过程中会存在一定的可信任选项，针对计算机信息主体在进行安全标记的过程中，其所能进行识别的唯一对象便是ID，当客户设置了安全标记之后则会以空格的方式呈现。

通过对数据格式地分析我们可以得出：（1）要对类型字段进行关注，通过这个特征来对不同的网络信息进行区分；（2）长度标记，通常情况下会采用不同的长度对其进行标记；（3）安全等级的字段应用，在主体内容进行安全标记的过程中，主体内容的安全等级才是安全等级的主要依据；（4）在规定范围的字段内，通过数据的流经领域进行识别标记；（5）信任度阈值，可以通过对数据进行标记，对标记内容进行信任度识别也可以利用阈值进行识别；（6）特殊策略，这种方式只针对长字段，用于对一些特殊数据进行标记。通过对其进行分析我们可以了解到安全等级应用能够对计算机的数据元素进行安全等级划分。结合实际应用需求则会被划分为五个不同的安全等级类别，具体可见表2。这种划分方式具有一定的优点，不仅易于理解和记录，同时在网络识别过程中也不会出现混淆，当然在这个过程中安全标记也能够准确无误地执行。

表2 安全等级表

3 结语

信息安全等级制度的应用和落实对于计算机在应用中的价值和作用都是非常直观且影响巨大的，这也是保障安全管理工作能够顺利落实的基本依据。而在搭建计算机网络的过程中，必须将对应的管理制度进行充分的落实，不断地进行验证和分析，做好相关数据的反馈，确保设计目标能够得以实现。为了能够进一步落实计算机网络搭建工作的目标，需要对信息安全等级保护制度的内容进行充分分析，真正地将其与计算机网络搭建工作融合起来，使其发挥出真正的价值和作用。