B.2 信息系統安全設計概述

B.2.1 信息系統安全設計總體說明

B.2.1.1 信息系統安全設計示意圖

一個典型信息系統的安全設計如圖B.1所示。每一個具體的信息系統安全設計只是其中的某些部分。
圖B.1表示為一個可控范圍的有限用戶信息系統的安全設計示意圖。其中，用不同粗細的圓圖表示不同安全保護等級的安全計算域，不同粗細的方框表示不同安全保護等級的安全用戶域，不同粗細的線條表示不同安全保護等級的安全網絡域。獨立的圓圖表示單一等級的安全計算域；嵌套的圓圖表示具有多安全等級的安全計算域。
.

B.2.1.2 信息系統安全設計示意圖說明

1）關于安全計算域

安全計算域是需要進行相同安全保護的主機/服務器的集合。安全計算域的確定與數據的分布密切相關。不同數據類在主機/服務器上分布情況，是確定安全計算域的基本依據。根據數據分布，可以有以下安全計算域：

單一計算機單一安全等級計算域：在一個局域范圍內，如果同一類數據分布在一臺主機/服務器上，并且該主機/服務器上沒有分布其它類數據，則該臺主機/服務器就可組成一個與該類數據的安全保護等級相對應的單一計算機單一安全保護等級計算域。

單一計算機多安全等級計算域：在一個局域范圍內，如果同幾類數據分布在一臺主機/服務器上，并且這些主機/服務器上沒有分布其它類數據，則這些主機/服務器就可組成一個與該幾類數據的安全保護等級相對應的單一計算機多安全保護等級綜合計算域。

多計算機單一安全等級計算域：在一個局域范圍內，如果一個數據信息類分布在多臺主機/服務器上，并且這些主機/服務器上沒有分布其它類數據信息，則這幾臺主機/服務器可組成一個與該類數據的安全保護等級相對應的多計算機單一安全保護等級計算域。

多計算機多安全等級計算域：在一個局域范圍內，如果同幾類數據分布在多臺主機/服務器上，并且這些主機/服務器上沒有分布其它類數據，則這幾臺主機/服務器就可組成一個與這些類數據的安全保護等級相對應的多計算機多安全保護等級綜合計算域。

需要指出的是，某類數據在構成一種安全計算域的同時，并不排除該類數據在別的主機/服務器上組成別的安全計算域。

2）關于安全用戶域

安全用戶域是需要進行相同安全等級保護的端用戶計算機系統的集合，本地端用戶計算機組成本地安全用戶域；遠地端用戶計算機組成遠地安全用戶域。安全用戶域安全等級的確定與用戶所能訪問的計算域的安全等級有關。一個安全用戶域可由一個端用戶計算機或多個端用戶計算機組成，應根據這些計算機在地域上的分布和對不同安全等級的計算域的訪問能力確定。需要特別說明的是，用戶域的安全等級一般應根據該用戶域中的用戶所能訪問的計算域的安全等級確定。但是，有些情況下，集中存放的整體數據的部分被分散存放時，其安全性要求可能回降低。這時，用戶的安全等級就可能低于其所能訪問的計算域的安全等級。這一切都需要從應用系統的實際安全需求出發來確定。高級別（4，5級）安全的用戶域，一般與計算域在同一個局域范圍內。

3）關于安全網絡域

安全網絡域是由連接具有相同安全等級的安全計算域和/安全用戶域組成的網絡域。安全網絡域的安全等級的確定與其所連接的安全用戶域和/或安全計算域的安全等級有關。一般情況下，當一個安全網絡域所連接的安全計算域和/或安全用戶域具有單一安全等級時，該安全網絡域的安全等級應與該安全等級相同；當一個安全網絡域所連接的安全計算域和/安全用戶域具有多安全級別時，該安全網絡域的安全等級應與該其中較高的安全等級相同。

4）關于信息系統的安全等級

對于一個大型的復雜的信息系統，一般很難確定一個統一的安全等級。實際應中也沒有必要非有一個統一的安全等級。因為我們的最終目標不是劃分安全等級，而是通過劃分安全等級，使不同類的數據信息得到應有的不同安全保護。一個信息系統的安全等級可以有以下情況：

• 單一安全級別的系統：如果一個系統中的所有計算域、用戶域和網絡域都是具有相同的安全保護等級，則該系統為具有相應安全等級的系統。

• 多安全級別的系統：如果一個系統中的所有計算域、用戶域和網絡域不具有相同的安全等級，則該系統為具有多安全等級的系統。

B.2.2 信息系統安全的組成與相互關系

圖B.2是信息系統分層安全的組成與相互關系的示意圖。對于具有單一安全級別的信息系統，各個組成部分應按該級別的安全要求進行安全系統設計和實現；對于具有多安全級別的信息系統，不同安全域應按各自的安全級別的要求進行安全系統的設計和實現。

其中，物理安全包括計算機的物理安全和網絡的物理安全，是支持信息系統安全運行的硬件及環境安全平臺；系統安全包括操作系統安全和數據庫管理系統安全，確保信息系統在計算機環境安全運行和數據安全保護提供安全支持；網絡安全包括局域網安全和廣域網安全，為確保信息系統在網絡環境安全運行和數據安全保護提供安全支持；應用安全包括應用系統自身安全和應用系統支撐工具的安全，為確保應用系統在計算機和網絡環境安全運行和數據安全保護提供安全支持；與安全技術密切相關的管理包括從物理安全、系統安全、網絡安全到應用安全所需要的管理，為確保和部分的安全功能達到應有的安全性提供保證。

B.2.3 等級化信息系統安全的設計

B.2.3.1 信息系統安全設計各相關因素及其相互關系

圖 B.3為信息系統安全設計各相關因素及其相互關系示意圖。

按圖所示，信息系統安全設計主要相關因素總體上包括安全風險、安全需求和安全措施三部分。其中，安全風險是根據風險分析確定的目標信息系統/安全域所具有的風險程度，通常用風險等級表示；安全需求是根據安全風險產生的對目標信息系統/安全域的安全要求；安全措施是根據安全需求產生的為確保目標信息系統/安全域達到應有的安全性目標應采取的措施，包括安全技術措施和安全管理措施。

B.2.3.2 信息系統安全設計各相關因素相互關系的進一步說明

從信息系統安全設計過程來看，信息系統安全設計各相關因素的相互關系可以更詳細描述如下：

a) 風險分析

信息系統的安全設計從風險分析開始。采用風險分析方法，對目標信息系統/安全域的資產價值的評估，對目標信息系統/安全域所面臨威脅的評估，以及對目標信息系統/安全域自身安全脆弱性的評估（新建信息系統可對參照系統進行脆弱性評估）；通過對資產價值、威脅和脆弱性的綜合分析，確定信息系統/安全域的安全程度的等級。其中，威脅針對資產和脆弱性對安全風險產生影響。對同樣的資產價值，威脅越大安全風險就越大；對同樣的威脅，資產價值越大安全風險就越大。對同樣的脆弱性，威脅越大安全風險就越大；對同樣的威脅，脆弱性越大安全風險就越大。一般來講，對于一個信息系統/安全域，資產價值是確定的（通過評估確定），脆弱性是客觀存在的（通過評估確定），威脅則與信息系統/安全域所處的環境和條件有關。風險分析的過程就是對資產價值、脆弱性和威脅進行綜合分析和評估的過程，并由此確定目標信息系統/安全域所具有的安全風險程度。

b) 安全需求和安全目標

由安全風險產生安全需求是信息系統/安全域安全設計的一個重要環節，相當于要為目標信息系統/安全域描述一個安全輪廓（PP）。在這里需要確定，根據安全風險，目標信息系統/安全域需要從哪些層次和方面進行安全保護，包括：內部的和邊界的，系統的和應用的，網絡的和運算的等等。

c) 安全措施

由安全需求產生安全措施是信息系統/安全域安全設計的又一重要環節，相當于要為信息系統/安全域設計一個安全目標（ST），即安全方案。在這里需要確定，根據安全需求，目標信息系統/安全域應采取哪些具體的安全措施來達到確定的安全要求，這些安全措施包括安全技術措施和安全管理措施。從總體上講，這些安全措施應是對威脅的對抗。這些安全措施同時又針對脆弱性和通過對資產的保護使安全風險減少。

在增加新的安全措施以后，從整體上講只是對信息系統/安全域的脆弱性有所改變（環境和條件方面的措施也會使威脅產生改變）。在此基礎上，重新進行風險分析，確定在采取安全措施以后，目標信息系統/安全域所具有的安全風險，并根據剩余風險可接受原則，通過調整安全措施，使目標信息系統/安全域達到要求的安全設計目標。

d) 安全等級確定

到此，信息系統安全設計的工作還遠沒有完成。按照信息安全等級保護制度的要求，根據信息系統安全管理的需要，確定目標信息系統/安全域的安全等級成為等級化信息系統安全設計的一項重要內容。以上述過程確定的安全措施為基礎，對照本標準及其它相關標準關于信息安全技術和信息安全管理的分等級要求，選擇相應的安全技術（包括安全功能技術和安全保證技術）和安全管理，實現所確定的安全措施，并以此為依據，確定目標信息系統/安全域所具有的安全等級。該安全等級既是對目標信息系統/安全域進行設計、實現、測試與評估的依據，也是對目標信息系統/安全域進行運行控制和監督、檢查管理的依據。

B.2.3.3 等級化信息系統安全設計方法和步驟

根據圖 B.3所示的信息系統安全設計各相關因素及其相互關系，按照分等級保護的要求，進行息系統安全設計，一般應按以下方法和步驟進行：

第一步：數據分類。按照數據信息資產為信息系統主要資產的思想，采用風險分析方法，對信息系統中所存儲、傳輸和處理的數據信息，按價值進行分類，并確定各類數據信息安全風險。

第二步：數據分布。根據各類數據信息的安全風險確定其各自的安全需求，按照同類數據信息盡可能相對集中的原則，對數據在信息系統中的存儲、傳輸和處理進行合理分布。

第三步：劃分安全域。根據各類數據信息在信息系統中的分布情況，劃分并確定安全計算域及其安全等級；按照對安全計算域的訪問情況，確定安全用戶域及其安全等級；按照連接相同安全等級的安全計算域和/或安全用戶域的網絡應具有同樣安全等級的原則，確定網絡安全域及其安全等級。

第四步：確定系統安全等級。根據系統中安全域的安全等級，確定信息系統的安全等級。如果信息系統的所有安全域具有相同的安全等級，則該信息系統確定為具有該安全等級；如果信息系統中具有多個安全等級的安全域，應按安全域的最高安全等級確定該信息系統的安全等級。

第五步：信息系統安全設計：按圖B.2所示，分安全域分層進行系統安全設計。不同安全保護等級的物理安全應有不同安全等級的要求進行設計，對于具有多個不同安全等級的混合安全域，應按所支持的最高安全等級的要求進行物理安全設計；系統安全應根據不同安全等級的不同要求提供相應安全等級的操作系統和數據庫管理系統支持；網絡安全應按確定的安全等級對相關的局域網和廣域網分別進行相應安全等級的設計；應用安全應根據所確定的安全等級選擇具有相應安全等級的開發工具，并按所要求的安全等級進行相應安全等級的應用系統的開發。應用系統的安全是信息系統安全設計的出發點和歸宿。應用系統所需要的安全功能應在下層所有安全機制的支持下實現，或在應用層自身設計實現。這些不同層次的安全功能是不能互相替代的。

B.2.3.4 等級化信息系統安全設計示例

B.2.3.4.1 等級化信息系統安全設計示意圖

圖 B.4為信息系統安全設計示例的示意圖。

按圖 B.4所示，該示例信息系統安全邏輯上由以下安全域組成：

• 一個4級安全域：邏輯上由一個4級安全計算域、多個4級安全用戶域，以及連接該安全計算域和安全用戶域的4級安全網絡域組成；4級安全域在物理上與其它安全域隔離；

• 一個3級安全域：邏輯上由一個3級安全計算域、一個具有1、2、3級安全的混合安全計算域中的3級安全計算域、一個具由2、3級安全的混合安全計算域中的3級安全計算域和多個3級安全用戶域，以及連接這些安全計算域和安全用戶域的3級安全網絡域組成；

• 一個2級安全域：邏輯上由一個2級安全計算域、一個具有1、2、3級安全的混合安全計算域中的2級安全計算域、一個具由2、3級安全的混合安全計算域中的2級安全計算域、一個具由1、2級安全的混合安全計算域中的2級安全計算域和多個2級安全用戶域，以及連接這些安全計算域和安全用戶域的2級安全網絡域組成；

• 一個1級安全域：邏輯上由一個1級安全計算域、一個具有1、2、3級安全的混合安全計算域中的1級安全計算域、一個具由1、2級安全的混合安全計算域中的1級安全計算域和多個1級安全用戶域，以及連接這些安全計算域和安全用戶域的2級安全網絡域組成。

B.2.3.4.2 等級化信息系統安全設計示例說明

根據圖 B.4所示的等級化信息系統安全域的組成，以下對各個安全域的安全設計分別進行說明：

a) 4級安全域設計

在整個信息系統中4級安全域應是一個相對獨立的分系統。從整體上講，4級安全域一般應采用物理隔離和嚴格的管理等措施，確保其具有相對較小威脅的環境。4級安全域的安全設計包括4級安全計算域、4級安全用戶域河級安全網絡域的設計，原則上要求采用本標準6.4條中關于物理安全、運行安全和數據安全的要求設計和實現各個安全域的相應安全功能，以及關于安全子系統自身安全保護、安全子系統設計和安全子系統管理等方面的要求確保其安全功能達確定的安全性要求。具體講，4級安全計算域和用戶域，一般需要配置具有4級安全的操作系統和數據庫管理系統，并按4級安全的要求設計和開發業務應用系統；4級安全的網絡系統通常由專用的網絡組成，也可以采用高安全的VPN在較大范圍的網絡環境中構成安全的專用網絡系統。

b) 3級安全域設計

3級安全域邏輯上是一個具有多安全級的混合安全域。圖 B.4所示的示例3級安全域主要包括：一個具有1、2、3級安全的混合安全計算域中的3級安全計算域，一個具有2、3級安全的混合安全計算域中的3級安全計算域，一個具有3級安全的單一安全計算域和相應安全等級的安全用戶域，以及具有3級安全的安全用戶域和安全網絡域。對于混合安全計算域的設計，一般應以主機/服務器為單位實現。如果是多個獨立的單一安全級別的主機/服務器共同組成的混合安全計算域，則應對每個主機/服務器進行獨立的安全設計；如果是一個主機/服務器上具有多個安全級別的情況，則按高級別的要求進行安全設計。3級安全計算域的安全設計主要是計算機系統的物理安全、操作系統安全、數據庫管理系統安全以及應用系統的安全設計，包括配置具有不低于3級安全的安全操作系統和數據庫管理系統，開發具有不低于3級安全的應用系統等，還包括具有不低于3級安全的連接各個主機/服務器的局域網的安全設計等。對于混合安全網絡域，一般應按高級別的要求進行設計。

c) 2級安全域設計

2級安全域邏輯上是一個具有多安全級的混合安全域。圖 B.4所示的示例的2級安全域主要包括：一個具有1、2、3級安全的混合安全計算域中的2級安全計算域，一個具有2、3級安全的混合安全計算域中的2級安全計算域，一個具有2級安全的單一安全計算域，以及具有2級安全的安全用戶域和安全網絡域。對于混合安全計算域的設計，一般應以主機/服務器為單位實現。如果是多個獨立的單一安全級別的主機/服務器共同組成的混合安全計算域，則應對每個主機/服務器進行獨立的安全設計；如果是一個主機/服務器上具有多個安全級別的情況，則按高級別的要求進行安全設計。2級安全計算域的安全設計主要是計算機系統的物理安全、操作系統安全、數據庫管理系統安全以及應用系統的安全設計，包括配置具有不低于2級安全的安全操作系統和數據庫管理系統，開發具有不低于2級安全的應用系統等，還包括具有不低于2級安全的連接各個主機/服務器的局域網的安全設計等。對于混合安全網絡域，一般應按高級別的要求進行設計。

d) 1級安全域設計

1級安全域邏輯上可以是一個具有多安全級的混合安全域中的1級安全域部分，也可以是一個只具有1級安全的安全計算域、安全用戶于域和安全網絡域組成的單一安全級別的安全域。圖 B.4所示的示例的1級安全域主要包括：一個具有1、2、3級安全的混合安全計算域中的1級安全計算域，一個具有1、2級安全的混合安全計算域中的1級安全計算域，一個具有1級安全的單一安全計算域，以及具有1級安全的用戶域和網絡域。對于混合安全計算域的設計，一般應以主機/服務器為單位實現。如果是多個獨立的單一安全級別的主機/服務器共同組成的混合安全計算域，則應對每個主機/服務器進行獨立的安全設計；如果是一個主機/服務器上具有多個安全級別的情況，則按高級別的要求進行安全設計。1級安全計算域的安全設計主要是計算機系統的物理安全、操作系統安全、數據庫管理系統安全以及應用系統的安全設計，包括配置具有不低于1級安全的安全操作系統和數據庫管理系統，開發具有不低于1級安全的應用系統等，還包括具有不低于1級安全的連接各個主機/服務器的局域網的安全設計等。對于混合安全網絡域，一般應按高級別的要求進行設計。