資料中心資訊保安的等保與分保

資料中心中的資訊保安問題已經成為人們關注的焦點中的焦點，如何讓人們安心地將自己的私密資訊放到資料中心中去，消除心中疑慮，仍有很多工作要做。從資料中心角度來講，只能不斷地加強對自身資訊保安的管理，保護資料中心的各類資訊不受洩露或損壞。在這裡，在國家層面也制定了相應的標準做參考，強制性地要求各資訊中心單位能夠遵守各項資訊保安規定，提升整體的資訊保安防護措施。8月16日，安徽網警依法查處一起違反網路安全等級保護制度的案件，因蚌埠懷遠縣教師進修學校網站因網路安全等級保護制度落實不到位，遭黑客攻擊入侵，安徽省公安廳對學校進行了處罰，同時約談了當地分管的副縣長。這件事情之所以受到廣泛關注在於處罰力度，以往這類事件也偶有發生，但並沒有相應的處罰，大家總是覺得這類事情不算個事兒。實際上，國家早就頒佈了相關法案，只是在執行上多采用警告、約談的方式，實際進行處罰的並不多，這次顯然國家加大了處罰力度，對不符合安全要求的就要堅決處理。說到這兒，資料中心資訊保安處罰依據有兩個方面國家制度：等級保護和分級保護，從事資訊互動的單位要遵守這些制度，觸犯了就要受到處罰。

等級保護全稱是資訊保安等級保護，2003年由中辦、國辦轉發《國家資訊化領導小組關於加強資訊保安保障工作的意見》提出實行資訊保安等級保護、建立國家資訊保安保障體系的明確要求，公安部又頒佈了《資訊保安等級保護管理辦法》。在2009年，公安部聯合國家保密局、國家密碼管理局、國務院資訊化工作辦公室釋出《關於組織開展2009年度本市重要資訊系統等級保護工作的通知》，可見國家層面對資訊保安是非常重視了，不斷加強健全資訊保安方面的法律法規，加強資訊保安方面的管理。等級保護按照破壞性、影響力分為五級：一級(自主保護)、二級(指導保護)、三級(監督保護)、四級(強制保護)、五級(專控保護)。其中，一二級一般不影響國家安全，但三級及以上就有可能對國家安全造成損害。等級保護的物件是涉及國計民生的重要資訊系統和通訊基礎資訊系統，自然包括那些中大型資料中心，而不論它是否涉密。公安機關是等級保護工作的主管部門，負責資訊保安等級保護工作的監督、檢查、指導。我們開啟一個正規的網站，在網站的下方都會有“X公網安備XXXX號”的字樣，證明此網站經過了公關機關的稽核，已經頒發了等級保護備案證明，大家可以放心使用和訪問，對於那些沒有經過公關機關備案的，多半是釣魚網站或黑網站，不要訪問和使用這類網站。國家保密工作部門、國家密碼管理部門負責等級保護工作中有關保密工作和密碼工作的監督、檢查、指導，國信辦及地方資訊化領導小組辦事機構負責等級保護工作部門間的協調，涉及國家祕密資訊系統的等級保護監督管理工作由國家保密工作部門負責。

分級保護是中央保密委員會於2004年12月下發的《關於加強資訊保安保障工作中保密管理若干一件》明確提出要建立健全涉密資訊系統分級保護制度，2005年12月國家保密局下發了《涉及國家祕密的資訊系統分級保護管理辦法》，同時，《保密法》修訂草案也增加了網路安全保密管理的條款。分級保護分為祕密級、機密級和機密級(增強)、絕密級三個等級。三個等級對應等級保護的三四五級。分級保護由國家保密局來管理，推廣帶有強制性。分級保護定級是依據資訊的重要性，以資訊最高密級確定受保護的級別。涉密資料中心建設使用單位將涉密資訊定級和建設使用情況，上報業務主管部門和保密工作機構和負責資料中心審批的保密工作部門備案，並接受保密部門的監督、檢查和指導。定級要素是資料中心內處理的最高密級的資料。簡單地講，如果資料中心存在機密級和祕密級檔案，那麼資料中心為機密級。另外，還有一個規定是，如果機密級資料中心中處理的資料涉及軍工，國防等領域，需要按機密增強進行防護。由保密局檢查監督。

從以上介紹中不難發現，等級保護和分級保護具有明顯不同。主管單位不同、等級定義也不同、依據標準不同等等。大部分的資料中心都要經過等級保護，而只有很少的資料中心需要分級保護稽核備案。等級保護是國家從整體上、根本上解決國家資訊保安問題的辦法, 進一步確定了資訊保安發展的主線和中心任務, 提出了總體要求。對資料中心實行等級保護是國家法定製度和基本國策，是開展資訊保安保護工作的有效辦法，是資訊保安保護工作的發展方向。而分級保護則是國家資訊保安等級保護在涉及國家祕密資訊的資料中心中特殊保護措施與方法。由於國家祕密資訊與公開資訊在內容和特性上有著明顯的區別，所以涉密的資料中心和公眾資訊的資料中心在保障安全的原則、系統和方法等方面也有不同的要求。既不能用維護國家祕密資訊保安的辦法去維護國家公眾資訊保安，以至於影響資訊的合理利用，阻礙資訊化的發展;也不能用維護公眾資訊保安的辦法來維護國家的祕密資訊保安，以至於竊密、洩密事件的發生，危害國家的安全和利益，同樣影響資訊化的健康發展。說到底，還是兩種保護標準的出發點不同，面向的物件也不同，資料中心要根據自己處理資訊的安全去考慮做等級保護還是分級保護的稽核和備案，公安機關和保密局也會根據資料中心的實際情況考慮做哪種資訊保安的保護備案。

本文轉自d1net（轉載）