信息安全等级保护培训教材
《税务系统信息安全等级保护基本要求》
税务总局等级保护项目组
2011年9月
1
目录
1 概述 ............................................................ 3
1.1 1.2 1.3 1.4
背景介绍 ........................................................... 3 主要作用及特点 ..................................................... 3 与其他标准的关系 ................................................... 4 框架结构 ........................................................... 5
2 描述模型 ........................................................ 6
2.1 2.2 2.3 2.4
总体描述 ........................................................... 6 保护对象 ........................................................... 7 安全保护能力 ....................................................... 7 安全要求 ........................................................... 9
3 逐级增强的特点 ................................................. 10
3.1 3.2 3.3 3.4 3.5
增强原则 .......................................................... 10 总体描述 .......................................................... 11 控制点增加 ........................................................ 12 要求项增加 ........................................................ 13 控制强度增强 ...................................................... 13
4 各级安全要求 ................................................... 14
4.1
技术要求 .......................................................... 14 4.1.1 物理安全 .................................................... 14 4.1.2 网络安全 .................................................... 21 4.1.3 主机安全 .................................................... 26 4.1.4 应用安全 .................................................... 31 4.1.5 数据安全及备份恢复 .......................................... 37 4.2
管理要求 .......................................................... 40 4.2.1 安全管理制度 ................................................ 40 4.2.2 安全管理机构 ................................................ 42 4.2.3 人员安全管理 ................................................ 45 4.2.4 系统建设管理 ................................................ 49 4.2.5 系统运维管理 ................................................ 54
2
《税务系统信息安全等级保护基本要求》根据公信安[2009]1429号（关于印送《关于开展信息安全等级保护安全建设整改工作的指导意见》的函）对于信息安全等级保护安全建设整改工作内容的要求，以信息安全等级保护关于信息系统五个安全保护等级划分为基础，以《税务信息系统安全保障体系框架》关于税务信息系统的安全保障要求为基本内容，按照《税务系统信息安全保护层次、区域和等级划分准则》和《税务系统信息安全保护层次、区域和等级划分指南》关于信息系统安全等级的划分，参照信息安全等级保护相关国家标准，结合税务信息系统信息安全等级保护的实际进行编制。以下将《税务系统信息安全等级保护基本要求》简称为《税务基本要求》；将《信息系统安全等级保护基本要求GBT 22239-2008》简称为《基本要求》。
注：为了突出显示《税务基本要求》与《基本要求》相对应部分之间的不同点，《税务基本要求》中多出部分用斜体表示；
1 概述
1.1 背景介绍
公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号 ）文件要求，在信息安全等级保护定级工作基础上，在2012年底前完成已定级信息系统安全建设整改工作。
税务系统信息安全等级保护工作是个庞大的系统工程，关系到税务信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施。税务总局通过7个典型单位试点工作，不断的分析、总结、完善了具有税务系统特色的管理规范和技术标准体系，主要的包括《税务基本要求》、《税务系统信息安全等级保护测评准则》、《税务系统信息安全等级保护设计技术要求》、《税务系统信息安全等级保护实施指南》。《税务基本要求》作为税务系统信息等级保护最重要的标准之一，是等级保护测评的根本依据。
1.2 主要作用及特点
1. 主要作用
《税务基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种：
a) 为信息系统建设单位和运营、使用单位提供技术指导
在信息系统的安全保护等级确定后，《税务基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。 b) 为测评机构提供评估依据
《税务基本要求》为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机
3
构对信息系统安全保护等级的检测评估提供依据。 c) 为职能监管部门提供监督检查依据
《税务基本要求》为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。 2. 主要特点
《税务基本要求》是针对每个等级的信息系统提出相应安全保护要求，“基本”意味着这些要求是针对该等级的信息系统达到基本保护能力而提出的，也就是说，这些要求的实现能够保证系统达到相应等级的基本保护能力，但反过来说，系统达到相应等级的保护能力并不仅仅完全依靠这些安全保护要求。同时，《税务基本要求》强调的是“要求”，而不是具体实施方案或作业指导书，《税务基本要求》给出了系统每一保护方面需达到的要求，至于这种要求采取何种方式实现，不在《税务基本要求》的描述范围内。
按照《税务基本要求》进行保护后，信息系统达到一种安全状态，具备了相应等级的保护能力。
1.3 与其他标准的关系
从标准间的承接关系上讲：
? 《税务系统信息安全等级保护定级指南》确定出信息系统等级后，需要按照相应
等级，根据《税务基本要求》选择相应等级的安全保护要求进行系统建设实施。 ? 《税务系统信息安全等级保护设计技术要求》是以《税务信息系统安全保障体系
框架》和《税务系统信息安全等级保护基本要求》关于税务信息系统的安全保障要求为基本内容，参照公信安[2009]1429号文对于信息安全等级保护安全建设整改工作内容的要求，以及信息安全等级保护相关国家标准，结合税务信息系统信息安全等级保护的实际进行编制。明确了税务信息系统安全保护总体设计、详细设计的要求，对税务总局、省级局、地级局、县级局税务信息系统安全设计技术要求分别进行了描述。
? 《税务系统信息安全等级保护实施指南》是为落实和达到《税务基本要求》中相
应等级的保护能力，对税务信息系统的信息安全等级保护实施，从新建信息系统和已运行信息系统两方面对信息安全等级保护实施过程进行规范。
? 《税务系统信息安全等级保护测评准则》是针对《税务基本要求》的具体控制要
求开发的测评要求，旨在强调系统按照《税务基本要求》进行建设完毕后，如何检验系统的各项保护要求是否符合相应等级的基本要求。
由上可见，《税务基本要求》在整个标准体系中起着承上启下的作用。
从技术角度上讲：
《税务基本要求》的技术部分吸收和借鉴了《基本要求》标准，采纳其中的身份鉴别、
4
数据安全、自主访问控制、安全标记、安全审计、剩余信息保护、可信路径、入侵防范、恶意代码防范等9个安全机制的部分或全部内容，并将这些机制扩展到网络层、主机系统层、应用层和数据层。
《税务基本要求》的技术部分充分借鉴了《基本要求》标准中安全技术部分，并结合税务实际，增加了密码技术基本要求、安全集中管控技术基本要求。
此外，《税务基本要求》的管理部分充分借鉴了《基本要求》等国内和国际上流行的信息安全管理方面的标准，尽量做到全方位的安全管理。
1.4 框架结构
《税务基本要求》在整体框架结构上以三种分类为支撑点，自上而下分别为：类、控制点和项。其中，类表示《税务基本要求》在整体上大的分类，其中技术部分分为：物理安全、主机安全、网络安全、税务应用软件系统安全、数据保护安全、密码技术和安全集中管控技术等7大类，管理部分分为：安全管理机构、安全管理制度、人员安全管理、税务信息系统安全等级保护管理、税务信息系统安全建设管理、税务信息系统安全运维管理、安全变更管理、密码管理基本要求、税务信息系统安全集中管控基本要求等9大类，一共分为16大类。
控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。”
具体框架结构如图所示：
第一级基本要求 第二级基本要求 第三级基本 要求 第四级基本要求 第五级基本要求
技术要求 管理要求
物理安全 网络安全 主机安全 应用安全 数据保护 安全 密码技术 安全集中管控 安全管理制度 安全管理机构 人员安全管理 安全建设管理 安全集中管控 等级保护管理 安全运维管理 安全变更管理 密码管理
图1-1 《税务基本要求》的框架结构
5