ICS 65.160 YC X 89 备案号：44828—2014 中华人民共和国烟草行业标准 YC/T 495—2014 烟草行业信息系统安全等级保护 实施规范 Implementation specifications for classified protection of information system of tobacco industry 2014-03-24发布 2014-04-15实施 国家烟草专卖局 发布 YC/T495—2014 目 次 前言 范围 规范性引用文件 2 3 术语和定义 烟草行业信息系统安全等级保护实施流程 5 信息系统安全保护等级 6 技术防护 7 安全管理. 10 附录A（规范性附录） 烟草行业信息系统安全等级保护基本要求， 13 附录B（资料性附录） 安全目标实施措施示例· 75 附录C（资料性附录） 安全风险分析表 80 附录D（资料性附录） 烟草行业信息系统应急演练基本要求 参考文献 86 YC/T 495—2014 前言 本标准按照GB/T1.1一2009给出的规则起草。 请注意本标准的某些内容可能涉及专利。本标准的发布机构不承担识别这些专利的责任。 本标准由国家烟草专卖局提出。 本标准由全国烟草标准化技术委员会信息分技术委员会（SAC/TC144/SC7)归口。 究所。 本标准主要起草人：庄红、王海清、李超、耿欣、易伟文、林惠真、焉鹤、吕由。 YC/T495—2014 烟草行业信息系统安全等级保护 实施规范 1范围 本标准规定了烟草行业信息系统安全等级保护实施过程中的流程、等级划分与确定方法、技术保护 和安全管理的要求。 本标准适用于指导烟草行业新建和已投人使用的信息系统安全等级保护的实施，为烟草行业信息 系统的定级、技术防护、安全管理提供依据。 2 规范性引用文 件 下列文件对于本文件的应用是必不可少的，凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注 生日期的引用文 件，共最新版本（包括所看的修改单）适用于本文件 GB/T 2887 2011 计算机场地通用规范 GB/Z 2098 2007 息安全 术 全事 类分级指南 GB/T 21052 2007 技术 系统物 全技术 富息 GB/T 2223 2008 技术 信息系统安全 级保护基本要 GB/T 22240 2008 信息安全技 信息 全等级保护定级指南 GB/T25058 2010 信息安全技术 等级保护实施指南 GB5001 建筑设计防火规范 -2006 GB50057 -2010 GB 50174 2008 子信息系统机房设计规范 GB50222—1995（2001年修订版）建筑内部装修设计防火规范 SJ/T10796—2001防静电活动地板通用规范 信息安全等级保护管理办法（公通字2007743号文件 3术语和定义 下列术语和定义适用于本文件。 3.1 安全保护能力 securityprotection ability 系统能够抵御威胁、发现安全事件以及在系统遭到损害后能够恢复先前状态等的程度。 [GB/T22239—2008，定义3.1] 3.2 系统服务 systemservice 信息系统为支撑其所承载业务而提供的程序化过程。 [GB/T22240—2008，定义3.4] 1 YC/T495—2014 3.3 等级测评 classified securitytestingandevaluation 确定信息系统安全保护能力是否达到相应等级基本要求的过程。 ［GB/T25058—2010，定义3.1] 3.4 恢复时间目标 recovery time objective 灾难发生后，信息系统或业务功能从停顿到必须恢复的时间要求。 [GB/T20988—2007，定义3.18] 烟草行业信息系统安全等级保护实施流程 4.1 实施流程 烟草行业新建信息系统安全等级保护实施流程如图1所示 烟草行业已投人使用的信息系统安全等级保护实施流程如图2所示。 2 业务主管部门、信息化 业务主管部门、信息化 业务主管部门、信息化 工作部门 工作部门 工作部门 N 识别定级对象 确定定极要素 确定安全保护等级 n 业务主管部门、信 业务主管部门、信息化 业务主管部门、信息化 业务主管部门、信息化 工作郁门 工作解门 鼎化王作部门 工作部门 安全方案实施 安全方案设计 安全风险分析 安全雷求分析 4 局部调整 信息化工作部门、 信息化工作门、 信息化工作部门、上 公安机关 上一级单位 信息化工作部门 业务主营部门 测评机构 一级单位、公安机关 定级结果各案 安全等级审模 安全运行与维护 安全建设整改 测评结果各案 安全等级测评 定期测评 0 信息化工作部门、上 业务主管部门 信息化工作部门 信息化工作部门 一级举位、公安机关 提出下线申请 下线方案编制 系快下线实施 系恢各案激销 图1新建信息系统安全等级保护实施流程图 YC/T 495- 2014 2014 公安机关 定级结果备案 一级单位、公安机关 提出下线申请 下线方案编制 系统备案报销 系统下规实做 图2已投入使用的信息系统安全等级保护实施流程图