烟草行业信息系统安全等级保护与信息安全事件的定级准则(标准状

I C S65.160

X85

备案号:31590 2011

中华人民共和国烟草行业标准

Y C/T389 2011

烟草行业信息系统安全等级保护

与信息安全事件的定级准则

C l a s s i f i c a t i o n c r i t e r i a f o r c l a s s i f i e d s e c u r i t yp r o t e c t i o n

o f i n f o r m a t i o n s y s t e ma n d i n f o r m a t i o n s e c u r i t y i n c i d e n t

o f t o b a c c o i n d u s t r y

2011-03-25发布2011-04-01实施

目 次

前言Ⅰ…………………………………………………………………………………………………………1 范围1………………………………………………………………………………………………………2 规范性引用文件1…………………………………………………………………………………………3 术语和定义1………………………………………………………………………………………………4 信息系统安全等级保护2………………………………………………………………………………… 4.1 概述2………………………………………………………………………………………………… 4.2 等级划分2…………………………………………………………………………………………… 4.2.1 信息系统重要程度3…………………………………………………………………………… 4.2.2 信息系统服务范围3…………………………………………………………………………… 4.2.3 经济损失4……………………………………………………………………………………… 4.3 定级方法4…………………………………………………………………………………………… 4.3.1 定级要素4……………………………………………………………………………………… 4.3.2 定级流程5……………………………………………………………………………………… 4.3.3 系统划分5……………………………………………………………………………………… 4.3.4 等级确定5……………………………………………………………………………………… 4.3.5 定级结果报告7

…………………………………………………………………………………5 信息安全事件7

…………………………………………………………………………………………… 5.1 概述7………………………………………………………………………………………………… 5.2 事件分级8…………………………………………………………………………………………… 5.2.1 级别划分8……………………………………………………………………………………… 5.2.2 分级要素8……………………………………………………………………………………… 5.3 事件分类10…………………………………………………………………………………………… 5.3.1 概述10…………………………………………………………………………………………… 5.3.2 自然灾害事件10………………………………………………………………………………… 5.3.3 设施故障事件10………………………………………………………………………………… 5.3.4 系统异常事件11………………………………………………………………………………… 5.3.5 其他信息安全事件12…………………………………………………………………………… 5.4 事件定级12…………………………………………………………………………………………… 5.4.1 概述12…………………………………………………………………………………………… 5.4.2 先期处置与初步定级12………………………………………………………………………… 5.4.3 后期处置与最终定级12…………………………………………………………………………附录A (规范性附录) 信息系统安全等级保护的定级结果报告13………………………………………附录B (规范性附录) 信息安全事件的定级结果报告15…………………………………………………参考文献19……………………………………………………………………………………………………Y C /T 389 2011

前言

本标准按照G B/T1.1 2009‘标准化工作导则第1部分:标准的结构和编写“给出的规则起草三请注意本文件的某些内容可能涉及专利三本文件的发布机构不承担识别这些专利的责任三

本标准由国家烟草专卖局提出三

本标准由全国烟草标准化技术委员会信息分技术委员会(S A C/T C144/S C7)归口三

本标准起草单位:国家烟草专卖局烟草经济信息中心二中国标准化研究院三

本标准主要起草人:张雪峰二任冠华二高一军二耿刚勇二王海清二黄云海二耿欣二陈淑仪二魏宏三

烟草行业信息系统安全等级保护

与信息安全事件的定级准则

1范围

本标准规定了烟草行业信息系统安全等级保护(以下简称为安全等级保护)的等级划分和定级方法,烟草行业信息安全事件(以下简称为信息安全事件二事件)的分级二分类和定级,并给出了信息系统安全等级保护和信息安全事件的定级结果报告的格式三

本标准适用于烟草行业信息系统安全等级保护与信息安全事件的定级三

2规范性引用文件

下列文件对于本文件的应用是必不可少的三凡是注日期的引用文件,仅注日期的版本适用于本文件三凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件三

G B17859 1999计算机信息系统安全保护等级划分准则

G B/Z20986 2007信息安全技术信息安全事件分类分级指南

G B/T22240 2008信息安全技术信息系统安全等级保护定级指南

关于信息安全等级保护工作的实施意见(公通字[2004]66号)

信息安全等级保护管理办法(公通字[2007]43号)

关于开展全国重要信息系统安全等级保护定级工作的通知(公信安[2007]861号)

3术语和定义

G B/T5271.8 2001二G B/T20269 2006二G B/T20271 2006二G B/T20274.1 2006二G B/T20275 2006确立的以及下列术语和定义适用于本文件三

3.1

信息系统i n f o r m a t i o n s y s t e m

基于计算机或计算机网络,按照一定的应用目标和规则对信息进行采集二加工二存储二传输二检索和服务的人机系统三

3.2

信息系统安全s e c u r i t y o f i n f o r m a t i o n s y s t e m

信息系统及其存储二传输和处理的信息的保密性二完整性和可用性的表征三

[G B/T20271 2006,定义3.1.1]

3.3

信息系统安全等级保护c l a s s i f i e d s e c u r i t yp r o t e c t i o no f i n f o r m a t i o n s y s t e m

对信息系统分等级实施安全保护和等级化管理三

3.4

保密性;机密性c o n f i d e n t i a l i t y

数据所具有的特性,即表示数据所达到的未提供或未泄露给非授权的个人二过程或其他实体的程度三

[G B/T5271.8 2001,定义8.1.9]