.
划，以指导后续的信息系统安全建设工程实施。对 于已运营（运行）的信息系统，需求分析应当首先分析判断信息系统的安全保护现状与等级保护要求之间的差距。
6.2 安全需求分析
6.2.1 基本安全需求的确定 活动目标：
本活动的目标是根据信息系统的安全保护等级，判断信息系统现有的安全保护水平与国家等级保护管理规和技术标准之间的差距，提出信息系统的基本安全保护需求。
参与角色： 信息系统运营、使用单位，信息安全服务机构，信息安全等级测评机构。
活动输入： 信息系统详细描述文件，信息系统安全保护等级定级报告，信息系统相关的其它文档，信息系统安全等级保护基本要求。
活动描述：
本活动主要包括以下子活动容： a) 确定系统围和分析对象
明确不同等级信息系统的围和 边界，通过调查或查阅资料的方式，了解信息系统的构成，包括网络拓扑、业务应用、业务流程、设备信息、安全措施状况等。初步确定每个等级信息系统的分析对 象，包括整体对象，如机房、办公环境、网络等，也包括具体对象，如边界设备、网关设备、服务器设备、工作站、应用系统等。
b) 形成评价指标和评估方案
根据各个信息系统的安全保护等级从信息系统安全等级保护基本要求中选择相应等级的指标，形成评价指标。根据评价指标，结合确定的具体对象制定可以操作的评估方案，评估方案可以包含以下容：
1) 管理状况评估表格； 2) 网络状况评估表格；
3) 网络设备（含安全设备）评估表格； 4) 主机设备评估表格； 5) 主要设备安全测试方案； 6) 重要操作的作业指导书。 c) 现状与评价指标对比
通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术和安全管理方面的评估，判断安全技术和安全管理的各个方面与评价指标的符合程度，给出判断结论。整理和分析不符合的评价指标，确定信息系统安全保护的基本需求。
活动输出： 基本安全需求。 6.2.2 额外特殊安全需求的确定 活动目标：
本活动的目标是通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护基本要 求的部分或具有特殊安全保护要求的部分，采用需求分析/风险分析的方法，确定可能的安全风险，判断对超出等级保护基本要求部分实施特殊安全措施的必要性， 提出信息系统的特殊安全保护需求。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统详细描述文件，信息系统安全保护等级定级报告，信息系统相关的其它文档。 活动描述：
确定特殊安全需求可以采用目前成熟或流行的需求分析/风险分析方法，或者采用下面介绍的活动： a) 重要资产的分析
.
.
明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。
b) 重要资产安全弱点评估
检查或判断上述重要部件可能存在的弱点，包括技术上和管理上的；分析安全弱点被利用的可能性。 c) 重要资产面临威胁评估
分析和判断上述重要部件可能面临的威胁，包括外部的威胁和部的威胁，威胁发生的可能性或概率。 d) 综合风险分析
分析威胁利用弱点可能产生的结果，结果产生的可能性或概率，结果造成的损害或影响的大小，以及避免上述结果产生的可能性、必要性和经济性。按照重要资产的排序和风险的排序确定安全保护的要求。
活动输出： 重要资产的特殊保护要求。 6.2.3 形成安全需求分析报告 活动目标：
本活动的目标是总结基本安全需求和特殊安全需求，形成安全需求分析报告。 参与角色： 信息系统运营，使用单位，信息安全服务机构。
活动输入：信息系统详细描述文件，信息系统安全保护等级定级报告，基本安全需求，重要资产的特殊保护要求。
活动描述：
本活动主要包括以下子活动容： a) 完成安全需求分析报告
根据基本安全需求和特殊的安全保护需求等形成安全需求分析报告。 安全需求分析报告可以包含以下容： 1) 信息系统描述； 2) 安全管理状况； 3) 安全技术状况；
4) 存在的不足和可能的风险； 5) 安全需求描述。
活动输出： 安全需求分析报告。 6.3 总体安全设计 6.3.1 总体安全策略设计 活动目标：
本活动的目标是形成机构纲领性的安全策略文件，包括确定安全方针，制定安全策略，以便结合等级保护基本要求和安全保护特殊要求，构建机构信息系统的安全技术体系结构和安全管理体系结构。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
活动输入： 信息系统详细描述文件，信息系统安全保护等级定级报告，安全需求分析报告。 活动描述：
本活动主要包括以下子活动容： a) 确定安全方针
形成机构最高层次的安全方针文件，阐明安全工作的使命和意愿，定义信息安全的总体目标，规定信息安全责任机构和职责，建立安全工作运行模式等。
b) 制定安全策略
形成机构高层次的安全策略文件，说明安全工作的主要策略，包括安全组织机构划分策略、业务系统分级策略、数据信息分级策略、子系统互连策略、信息流控制策略等。
活动输出： 总体安全策略文件。 6.3.2 安全技术体系结构设计
.
.
活动目标：
本活动的目标是根据信息系统安全等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，提出系统需要实现的安全技术措施，形成机构特定的系统安全技术体系结构，用以指导信息系统分等级保护的具体实现。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统详细描述文件，信息系统安全保护等级定级报告，安全需求分析报告，信息系统安全等级保护基本要求。
活动描述：
本活动主要包括以下子活动容：
a) 规定骨干网/城域网的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出骨干网/城域网的安全保护 策略和安全技术措施。骨干网/城域网的安全保护策略和安全技术措施提出时应考虑网络线路和网络设备共享的情况，如果不同级别的子系统通过骨干网/城域网的 同一线路和设备传输数据，线路和设备的安全保护策略和安全技术措施应满足最高级别子系统的等级保护基本要求。
b) 规定子系统之间互联的安全技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出跨局域网互联的子系统之间 的信息传输保护策略要求和具体的安全技术措施，包括同级互联的策略、不同级别互联的策略等；提出局域网部互联的子系统之间的信息传输保护策略要求和具体 的安全技术措施，包括同级互联的策略、不同级别互联的策略等。
c) 规定不同级别子系统的边界保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别子系统边界的安全 保护策略和安全技术措施。子系统边界安全保护策略和安全技术措施提出时应考虑边界设备共享的情况，如果不同级别的子系统通过同一设备进行边界保护，这个边 界设备的安全保护策略和安全技术措施应满足最高级别子系统的等级保护基本要求。
d) 规定不同级别子系统部系统平台和业务应用的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别子系统部网络平台、系统平台和业务应用的安全保护策略和安全技术措施。
e) 规定不同级别信息系统机房的安全保护技术措施
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别信息系统机房的安 全保护策略和安全技术措施。信息系统机房安全保护策略和安全技术措施提出时应考虑不同级别的信息系统共享机房的情况，如果不同级别的信息系统共享同一机 房，机房的安全保护策略和安全技术措施应满足最高级别信息系统的等级保护基本要求。
f) 形成信息系统安全技术体系结构
将骨干网/城域网、通过骨干网/城域网的子系统互联、局域网部的子系统互联、子系统的边界、子系统部各类平台、机房以及其他方面的安全保护策略和安全技术措施进行整理、汇总，形成信息系统的安全技术体系结构。
活动输出： 信息系统安全技术体系结构。 6.3.3 整体安全管理体系结构设计 活动目标：
本活动的目标是根据等级保护基本要求、安全需求分析报告、机构总体安全策略文件等，调整 原有管理模式和管理策略，既从全局高度考虑为每个等级信息系统制定统一的安全管理策略，又从每个信息系统的实际需求出发，选择和调整具体的安全管理措施， 最后形成统一的整体安全管理体系结构。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
.
.
活动输入：信息系统详细描述文件，信息系统安全保护等级定级报告，安全需求分析报告，信息系统安全等级保护基本要求。
活动描述：
本活动主要包括以下子活动容：
a) 规定信息安全的组织管理体系和对各信息系统的安全管理职责
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出机构的安全组织管理机构框架，分配各个级别信息系统的安全管理职责，规定各个级别信息系统的安全管理策略等。
b) 规定各等级信息系统的人员安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的管理人员框架，分配各个级别信息系统的管理人员职责，规定各个级别信息系统的人员安全管理策略等。
c) 规定各等级信息系统机房及办公区等物理环境的安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的机房和办公环境的安全策略。
d) 规定各等级信息系统介质、设备等的安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的介质、设备等的安全策略。
e) 规定各等级信息系统运行安全管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的安全运行与维护框架和运维安全策略等。
f) 规定各等级信息系统安全事件处置和应急管理策略
根据机构总体安全策略文件、等级保护基本要求和安全需求，提出各个不同级别信息系统的安全事件处置和应急管理策略等。
g) 形成信息系统安全管理策略框架
将上述各个方面的安全管理策略进行整理、汇总，形成信息系统的整体安全管理体系结构。 活动输出：信息系统安全管理体系结构。 6.3.4 设计结果文档化 活动目标：
本活动的目标是将总体安全设计工作的结果文档化，最后形成一套指导机构信息安全工作的指导性文件。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
活动输入： 安全需求分析报告，信息系统安全技术体系结构，信息系统安全管理体系结构。 活动描述：
对安全需求分析报告、信息系统安全技术体系结构和安全管理体系结构等文档进行整理，形成信息系统总体安全方案。
信息系统总体安全方案包含以下容： a) 信息系统概述； b) 总体安全策略；
c) 信息系统安全技术体系结构； d) 信息系统安全管理体系结构。 活动输出：信息系统安全总体方案。 6.4 安全建设项目规划 6.4.1 安全建设目标确定 活动目标：
.
.
本活动的目标是依据信息系统安全总体方案（一个或多个文件构成）、机构或单位信息化建设的中长期发展规划和机构的安全建设资金状况确定各个时期的安全建设目标。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统安全总体方案、机构或单位信息化建设的中长期发展规划。 活动描述：
本活动主要包括以下子活动容：
a) 信息化建设中长期发展规划和安全需求调查
了解和调查单位信息化建设的现况、中长期信息化建设的目标、主管部门对信息化的投入，对比信息化建设过程中阶段状态与安全策略规划之间的差距，分析急迫和关键的安全问题，考虑可以同步进行的安全建设容等。
b) 提出信息系统安全建设分阶段目标
制定系统在规划期（一般安全规划期为3年）所要实现的总体安全目标；制定系统短期（1年以）要实现的安全目标，主要解决目前急迫和关键的问题，争取在短期安全状况有大幅度提高。
活动输出： 信息系统分阶段安全建设目标。 6.4.2 安全建设容规划 活动目标：
本活动的目标是根据安全建设目标和信息系统安全总体方案的要求，设计分期分批的主要建设容，并将建设容组合成不同的项目，阐明项目之间的依赖或促进关系等。
参与角色： 信息系统运营、使用单位，信息安全服务机构。 活动输入：信息系统安全总体方案，信息系统分阶段安全建设目标。 活动描述：
本活动主要包括以下子活动容： a） 确定主要安全建设容
根据信息系统安全总体方案明确主要的安全建设容，并将其适当的分解。主要建设容可能分解但不限于以下容：
1) 安全基础设施建设； 2) 网络安全建设；
3) 系统平台和应用平台安全建设； 4) 数据系统安全建设； 5) 安全标准体系建设； 6) 人才培养体系建设； 7) 安全管理体系建设。 b） 确定主要安全建设项目
组合安全建设容为不同的安全建设项目，描述项目所解决的主要安全问题及所要达到的安全目标，对项目进行支持或依赖等相关性分析，对项目进行紧迫性分析，对项目进行实施难易程度分析，对项目进行预期效果分析，描述项目的具体工作容、建设方案，形成安全建设项目列表。
活动输出： 安全建设项目列表（含安全建设容）。 6.4.3 形成安全建设项目计划 活动目标：
本活动的目标是根据建设目标和建设容，在时间和经费上对安全建设项目列表进行总体考虑，分到不同的时期和阶段，设计建设顺序，进行投资估算，形成安全建设项目计划。
参与角色： 信息系统运营、使用单位，信息安全服务机构。
活动输入：信息系统安全总体方案，信息系统分阶段安全建设目标，安全建设容等。 活动描述：
.
信息安全技术 信息系统安全等级保护实施指南
