2008年发布的信息安全国家标准简介

　　下面是国家质监局和国家标准委于2008年已发布的信息安全国家标准的简介。2008年以前发布的信息安全国家标准见计算机行业标准化网网站（网址：http:// www.nits.gov.cn/jhb ）。

　　我国称为“信息安全” ，而国际标准化组织称其为“安全技术” ，这从标准的名称中就能看出。在名称中，是“信息技术 安全技术”的标准即是采用国际标准制定的标准，是“信息安全技术”的标准则是我国自己制定的标准。

　　所发布的全部信息安全国家标准都已出版发行，中国电子技术标准化研究所标准服务中心（010-84029065）等部门有售。（郑洪仁）

　　GB/T 15843.1-2008 信息技术　安全技术　实体鉴别　第1部分：概述

　　GB/T 15843的该部分规定了一个鉴别模型以及采用安全技术的实体鉴别机制的一般要求和约束限制。这些机制用于证实某个实体就是是他所声称的实体。待鉴别的实体通过表明它确实知道某个秘密来证明其身份。这些机制定义由实体间的信息交换以及需要时与可信第三方的信息交换。

　　该部分首先给出了实体鉴别的有关术语定义和各种记法。在鉴别模型中规定，鉴别有单向鉴别和相互鉴别两种。对于单向鉴别，实体A被认为是声称者，则实体B被认为是验证者。而对于相互鉴别，A和B既是声称者，又是验证者。在标准中给出了一些具体的要求。标准还以附录的形式给出了文本字段的使用方法、时变参数（含时间标记、顺序号和随机数三类）的具体要求、证书中的密钥要求。
该部分等同采用国际标准ISO/IEC 9798-1：1997。

　　该部分代替GB/T 15843.1-1999。

　　GB/T 15843.2-2008 信息技术　安全技术　实体鉴别　第2部分：采用对称加密算法的机制

　　该部分规定了采用对称加密算法的实体鉴别机制。其中有四种是两个实体间无可信第三方参与的鉴别机制，而这四种机制中有两种是单个实体鉴别（单向鉴别），另两种是两个实体相互鉴别。其余的机制都要求有一个可信第三方参与。标准中规定的机制采用诸如时间戳、序号或随机数等时变参数。该部分用于证实一个实体是否就是他所声称的实体。

　　该部分首先为实施鉴别机制给出了总的要求，随后规定了具体的实体鉴别机制。该部分规定的鉴别机制中，待鉴别的实体通过表明它知道某秘密鉴别密密钥来证实其身份。标准将这些机制分为不涉及可信第三方的机制和涉及可信第三方的机制两大类。对于不涉及可信第三方的机制，可以是单向鉴别，也可以是相互鉴别。单向鉴别包括一次传递鉴别和两次传递鉴别，相互鉴别包括两次传递鉴别和三次传递鉴别。对于涉及可信第三方的机制，包括四次传递鉴别和五次传递鉴别。在标准中详细给出了各种鉴别机制的具体要求、示意图和传递交换鉴别信息的权标。标准以附录的形式给出了权标中的文本字段的使用方法。
该部分等同采用国际标准ISO/IEC 9798-2：1999。

　　该部分代替GB 15843.2-1997。

　　GB/T 15843.3-2008 信息技术　安全技术　实体鉴别　第3部分：采用数字签名技术的机制

　　该部分规定了采用数字签名技术的实体鉴别机制。有两种鉴别机制是单个实体的鉴别（单向鉴别），其余的是两个实体的相互鉴别机制。标准中规定的机制采用诸如时间戳、序号或随机数等时变参数。该部分用于证实一个实体是否就是他所声称的实体。

　　该部分首先为实施鉴别机制给出了总的要求，随后规定了具体的实体鉴别机制。该部分规定的鉴别机制中，待鉴别的实体通过表明它拥有某个私有签名密钥来证实其身份。标准将这些机制分为单向鉴别和相互鉴别两种机制。单向鉴别包括一次传递鉴别和两次传递鉴别，相互鉴别包括两次传递鉴别、三次传递鉴别、两次传递的并行鉴别。标准以附录的形式给出了权标中的文本字段的使用方法。

　　该部分等同采用国际标准ISO/IEC 9798-3：1998。
　　该部分代替GB/T 15843.3-1998。

　　GB/T 15843.4-2008 信息技术　安全技术　实体鉴别　第4部分：采用密码校验函数的机制

　　该部分规定了采用密码校验函数的实体鉴别机制。有两种鉴别机制是单个实体的鉴别（单向鉴别），其余的是两个实体的相互鉴别机制。标准中规定的机制采用诸如时间戳、序号或随机数等时变参数。该部分用于证实一个实体是否就是他所声称的实体。

　　该部分首先为实施鉴别机制给出了总的要求，随后规定了具体的实体鉴别机制。标准将这些机制分为单向鉴别和相互鉴别两种机制。单向鉴别包括一次传递鉴别和两次传递鉴别，相互鉴别包括两次传递鉴别和三次传递鉴别。标准以附录的形式给出了权标中的文本字段的使用方法、时变参数（含时间标记、顺序号和随机数三类）的具体要求等。

　　该部分等同采用国际标准ISO/IEC 9798-4：1999。
　　该部分代替GB/T 15843.4-1999。

　　GB/T 15852.1-2008 信息技术 安全技术　消息鉴别码 第1部分：采用分组密码的机制

　　GB/T 15853的该部分规定了六种采用分组密码的消息鉴别算法。这些消息鉴别算法可用作数据完整性检验，以检测数据是否已被非授权的改变。数据完整性和消息鉴别的强度依赖于密钥的长度及其保密性、分组密码的算法强度以及分组长度、消息鉴别码的长度和具体的消息鉴别码算法。该部分适用于任何安全体系结构、进程或应用的安全服务。

　　该部分规定，利用对称密码技术和秘密密钥，由消息导出的数据项称为消息鉴别码（MAC），并规定MAC的长度应该是一个正整数并且不大于分数的长度。标准详细规定了MAC算法的模型，包括消息填充、数据分割、初始变换、迭代应用分组密码、输出变换、截断操作；六种MAC算法的具体要求和示意图。标准以

　　附录的形式给出了多种MAC算法的例子，还对MAC算法的安全性进行了分析。
　　该部分等同采用国际标准ISO/IEC 9797：1999。
　　该部分代替GB 15852-1995。

　　GB/T 17710-2008 信息技术　安全技术 校验字符系统

　　该标准规定了一组校验字符系统，它可以防止在复制或键入数据时产生的串的错误。串的长度可以是固定的或是可变的，它包括数字、字母、字母数字，（字母和数字）。该标准还为生成校验字符和校验串产品规约了一致性要求。该标准用于各组织之间的信息交换，极力推荐用于内部信息系统。

　　该标准详细规定了校验字符系统的类型，包括纯系统和混合系统，以及它们的系统冠名和应用；校验系统的依从性及冠名，包括串、生成校验字符的产品、校验产品、系统名称；纯系统的说明，包括串校验的公式、计算公式、校验字符的位置；带一位校验字符的纯系统的计算方法，包括纯系统递归法和纯系统多项式法的计算方法和示例；带两位校验字符的纯系统的计算方法，包括计算方法和示例；混合系统的说明，包括混合系统递归法的计算方法和示例。标准以附录的形式给出了在各种应用场合选择校验字符系统的准则。

　　该标准等同采用国际标准ISO/IEC 7064：2003。
　　该标准代替GB 17710-1999。

　　GB/T 17903.1-2008 信息技术 安全技术　抗抵赖　第1部分:概述

　　GB/T 17904853的该部分可作为GB/T 17903其他几部分中规定的使用密码技术的抗抵赖机制的一般模型。GB/T 17903提供的抗抵赖机制可用于证据生成，证据传输、存储和检索，证据验证。

　　该部分规定了抗抵赖的具体要求，这些要求与生成安全信封和数字签名所使用的密码校验值的导出方式有关，而与抗抵赖机制所支持的抗抵赖服务无关。详细规定了通用抗抵赖服务，包括证据提供与验证过程中涉及的实体、六种抗抵赖服务（即创建抗抵赖、发送抗抵赖、接收抗抵赖、认知抗抵赖、提交抗抵赖、传输抗抵赖）；可信第三方在抗抵赖各阶段（包括证据生成过程，证据传输、存储和检索过程，证所验证过程）的参与情况；证据生成与验证机制，包括安全信封、数字签名、证据验证机制；三种抗抵赖权标，包括通用抗抵赖权标、时间戳权标、公证权标；特殊抗抵赖服务，包括原发抗抵赖（结合创建抗抵赖、发送抗抵赖）、交付抗抵赖（结合接收抗抵赖、认知抗抵赖）、提交抗抵赖、传输抗抵赖；消息环境中特定抗抵赖权标的使用。

　　该部分等同采用国际标准ISO/IEC 13888-1：2004。
　　该部分代替GB/T 17903.1-1999。

　　GB/T 17903.2-2008 信息技术 安全技术　抗抵赖　第2部分:采用对称技术的机制

　　抗抵赖服务旨在生成、收集、维护、维护和验证有关已声明的事件或动作的证据，以解决关于该事件或动作发生或未发生而引起的争议。该部分描述了可用于抗抵赖服务的通用结构，以及一些特定的、与通信有关的机制，用于提供原发抗抵赖（NRO）、交付抗抵赖（NRD）、提交抗抵赖（NRS）、传输抗抵赖（NRT）等。该部分依赖于可信第三方来防止欺诈性的抵赖。一般需要在线的可信第三方。

　　抗抵赖机制提供的协议用于交换各种抗抵赖服务规定的抗抵赖权标。该部分中使用的抗抵赖权标由安全信封和附加数据组成。抗抵赖权标可作为抗抵赖信息予以存储，以便为之后发生争议时使用。该部分适用于使用安全信封权标的对称抗抵赖技术。

　　该部分规定了抗抵赖的具体要求，标准中描述的机制要求每一个涉及的实体都可以与可信第三方单独进行通信。详细规定了通信时使用的安全信封；抗抵赖权标的生成和验证，包括可信第三方创建权标、安全信封和抗抵赖权标中使用的数据项、各种抗抵赖权标，包括原发、交付、提交、传输抗抵赖权标；特定抗抵赖机制，包括原发、交付、提交、传输抗抵赖机制，及获取时间戳的机制；三种不同的机制例子。

　　该部分等同采用国际标准ISO/IEC 13888-2：1998。
　　该部分代替GB/T 17903.2-1999。

　　GB/T 17903.3-2008 信息技术 安全技术　抗抵赖　第3部分:采用非对称技术的机制

　　抗抵赖服务旨在生成、收集、维护、维护和验证有关已声明的事件或动作的证据，以解决关于该事件或动作发生或未发生而引起的争议。该部分使用非对称技术规定了用于提供一些特定的、与通信有关的抗抵赖服务机制。

　　抗抵赖机制涉及到各种抗抵赖服务规定的抗抵赖权标的交换。抗抵赖权标由数字签名和附加数据组成。抗抵赖权标可作为抗抵赖信息予以存储，以便为之后发生争议时使用。该部分适用于使用数字签名权标的非对称抗抵赖技术。

　　标准规定了抗抵赖的具体要求；可信第三方参与的活动；数字签名，包括提供消息恢复的签名和带附录的签名；抗抵赖权标，包括原发、交付、提交、传输抗抵赖权标；不使用交付机构的机制，包括原发、交付抗抵赖机制；使用交付机构的机制，包括提交、传输抗抵赖机制。标准以附录的形式给出了其他抗抵赖服务的机制。

　　该部分等同采用国际标准ISO/IEC 13888-3：1997。
　　该部分代替GB/T 17903.3-1999。

　　GB/T 17964-2008 信息安全技术　分组密码算法的工作模式

　　该标准描述了分组密码算法的七种工作模式，以便规范分组密码的使用。当使用某一种工作模式时，所有通信方都要选择并使用同样的参数值。

　　标准给出了六种表达式，即加密、解密、位阵列、模2加、位选择、移位运算表达式的分组密码算法的函数关系。详细规定了密码算法的七种工作模式，即电码本模式、密码分组链接模式、密码反馈模式、输出反馈模式、计数器模式、分组链接模式、带非线性函数的输出反馈模式，以及这七种模式的变量定义、加密方式描述、解密方式描述。标准以附录的形式对每一种工作模式的性质进行了评述，并给部分工作模式给出了若干例子。

　　该标准代替GB/T 17974-2000（idt ISO/IEC 10116：1997）。

　　GB/T 18336.1-2008 信息技术 安全技术　信息技术安全性评估准则 第1部分：简介和一般模型

　　GB/T 18336旨在作为评估信息技术产品和系统安全特性的基础准则。包括评估的基本概念和一般模型。该部分定义了两种结构，即保护轮廓和安全目标。

　　该部分详细给出了评估的基本概念，包括确定GB/T 18336的目标读者、评估的相关要素、该部分与GB/T 18336其他三个部分之间的关系；一般模型，包括安全相关要素、安全信任及评估对象的开发模型和评估过程、安全概念、进行评估的框架和组织结构、评估类型、保证的维护；通用准则要求和评估结果，包括保护轮廓和安全目标的要求、评估对象的要求、评估结果的声明、评估对象评估结果的应用。标准以附录的形式给出了保护轮廓规范、安全目标规范。

　　该部分适用于具有信息技术安全功能的产品和系统的开发和采购指南。这样的产品和系统称为评估对象，如操作系统、计算机网络、分布式系统以及应用等的硬件、固件和软件实现的信息技术安全措施。
通用规则涉及到信息保护，以避免未经授权的信息泄露、修改和无法使用，即在保护类型中通常分别称之为保密性、完整性和可用性。

　　该部分等同采用国际标准ISO/IEC 15408-1：2005。
　　该部分代替GB/T 18336.1-2001。

　　GB/T 18336.2-2008 信息技术 安全技术　信息技术安全性评估准则 第2部分：安全功能要求

　　该部分定义了安全功能组件的规定结构和相关内容。该部分包含满足多个IT产品和系统通用安全功能要求的系列功能组件。标准中定义的安全功能组件是保护轮廓或安全目标所描述的安全功能要求的基础。该部分适用于安全IT系统的开发者、用户和评估员，以便用来创建反映市场需求的可信产品或系统。

　　该部分首先给出了安全功能要求使用的范型，并给出了安全功能要求范型和安全功能的示意图及其说明；介绍了安全功能组件的分类，包括功能类的结构和组件的分类，然后详细规定了各类的具体要求，包括安全审计（含自动应答、数据产生、分析、查阅、事件选择、事件存储），通信（含原发抗抵赖和接收抗抵赖），密码支持（含密钥管理和密码运算），用户数据保护（含访问控制策略和功能、数据鉴别、信息流控制策略和功能、残余信息保护、反转、存储数据的完整性、用户数据传送的保密性和完整性保护），标识和鉴别（含鉴别失败、用户属性定义、秘密的规范、用户鉴别、用户标识），安全管理（含评估对象安全功能和数据的管理、安全属性的管理、撤消、安全属性到期、安全管理角色），私密性（含匿名、假名、不可关联性、不可观察性），评估对象安全功能保护（含底层抽象机测试、失败保护、输出数据的保密性和完整性、可信恢复、重放检测、参照仲裁、时间堆戳、数据一致性、自检），资源利用（含容错、服务优先级、资源分配），评估对象访问（含可选属性范围、会话锁定、访问旗标、访问历史、会话建立），可信路径和信道。标准还以附录的形式给出了安全功能的注释结构和依赖关系表，以及各功能类的详细应用注释。

　　该部分等同采用国际标准ISO/IEC 15408-2：2005。
　　该部分代替GB/T 18336.2-2001。

　　GB/T 18336.3-2008 信息技术 安全技术　信息技术安全性评估准则 第3部分：安全保证要求

　　该部分描述了信息技术安全性评估的安全保证要求，包括衡量保证尺度的评估保证级、组成保证级的每个保证组件，以及保护轮廓（PP）和安全目标（ST）的评估准则。该部分适用于安全IT系统的开发者、用户和评估员，以便用来创建反映市场需求的可信产品或系统。

　　该部分详细规定了保证类、族、组件和评估保级的表示结构，以及它们这之间的关系；保护轮廓和安全目标的评估准则；保护轮廓评估，包括安全环境、安全目的、信息技术安全要求；安全目标评估，包括安全环境、安全目的、信息技术安全要求、评估对象概要规范；评估保证级的详尽定义；保证类、族、组件的简介；配置管理、交付和运行、开发、指导性文档、生命周期支持、测试、脆弱性评定各类的详细定义。标准

　　以附录的形式给出了保证组件的依赖关系和保证维护的内部依赖关系。
　　该部分等同采用国际标准ISO/IEC 15408-3：2005。
　　该部分代替GB/T 18336.3-2001。

　　GB/T 20274.2-2008 信息安全技术　信息系统安全保障评估框架 第2部分：技术保障

　　该部分建立了信息系统安全技术保障的框架，确立了组织机构内启动、实施、维护、评估和改进信息安全技术体系的指南和通用原则；定义和说明了信息系统安全体系建设和评估中反映组织机构信息安全的技术体系架构能力级，以及组织机构信息系统安全的技术要求。该部分适用于启动、实施、维护、评估和改进信息安全技术体系的组织机构和涉及信息系统安全技术工作的所有用户、开发人员和评估人员。

　　该部分详细给出了信息安全技术保障架构，包括安全技术保障架构的能力级，及控制要求范例；信息安全技术保障的控制结构及其组件的分类；安全审计，包括安全审计的自动响应、数据产生、分析、查阅、事件选择、事件存储；通信，包括原发抗抵赖和接收抗抵赖；密码支持，包括密钥管理和密码运算；用户数据保护，包括访问控制策略和功能、数据鉴别、信息流控制策略和功能、残余信息保护、用户数据传输的完整性保护；标识和鉴别，包括鉴别失败、用户属性定义、秘密的规范、用户鉴别、用户标识；安全管理，包括功能和安全属性的管理、撤消、安全管理角色；隐秘，包括匿名、假名、不可关联性和不可观察性；TSF保护，包括根本抽象测试机、失败保护、TSF数据的可用性、保密性和完整性、可信恢复、重放检测、时间戳、自检；资源利用，包括容错、服务优先级、资源分配；TOE访问，包括可选属性范围限定、访问旗标和历史、会话建立；可信路径和信道；安全技术架构能力成熟度级。标准以附录的形式给出了安全技术要求应用注释、分层多点信息系统安全体系结构。

　　GB/T 20274.3-2008 信息安全技术　信息系统安全保障评估框架 第3部分：管理保障

　　该部分建立了信息系统安全管理保障的框架，确立了组织机构内启动、实施、维护、评估和改进信息安全管理的指南和通用原则；定义和说明了信息系统安全管理保障中反映组织机构信息安全管理保障能力级，以及提供组织机构信息安全管理保障内容的管理保障控制类要求。该部分适用于涉及信息系统安全管理工作的组织机构的所有用户、开发者和评估者。

　　该部分详细给出了信息安全管理保障框架，包括安全管理保障控制和保障管理能力级；信息安全管理保障的控制类结构，包括类、子类、组件的结构；风险管理，包括对象的确立、风险评估、沟通与监控；信息安全策略；信息安全组织机构，包括管理支持、组织架构、职责、沟通协作；人员安全，包括人员审查、安全意识和培训、考核和奖惩、人事变更；资产管理，包括资产的登记管理、管理职责、分类管理；物理和环境安全，包括物理安全区域管理、基础设施安全、设备安全；符合性管理；信息安全规划管理；系统开发管理；运行管理；业务持续性和灾难恢复管理；应急响应管理，包括汇报安全事件和安全漏洞、应急响应管理；安全管理能力级说明。

　　GB/T 20274.4-2008 信息安全技术　信息系统安全保障评估框架 第4部分：工程保障

　　该部分建立了信息系统安全工程保障的框架，确立了组织机构内启动、实施、维护、评估和改进信息安全工程的指南和通用原则；定义和说明了信息系统安全工程保障中反映组织机构信息安全工程保障能力的安全工程能力级，以及提供组织机构信息安全工程保障内容的安全工程保障控制类要求。该部分适用于启动、实施、维护、评估和改进信息安全工程机构和涉及信息系统安全工程工作的所有用户、开发者和评估者。
该部分详细给出了信息系统安全工程保障框架，包括安全工程保障控制和工程能力成熟度级别；信息安全工程保障的控制类结构，包括类、子类、组件的结构；风险过程，包括安全工程保障控制类介绍、系统定义、评估威胁、评估脆弱性、评估影响、评估安全风险；工程过程，包括安全工程保障控制类介绍、确定安全要求、高层安全设计、详细安全设计、安全工程实施、提供安全输入、监视安全态势、管理安全控制、协调安全；保障过程，包括验证和确认安全、建立保证证据；安全工程保障控制类能力级，包括安全工程能力级别说明、信息系统安全工程能力级别要求。

　　GB/T 22080-2008 信息技术 安全技术　信息安全管理体系 要求

　　该标准从组织的整体业务风险的角度，为建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系（ISMS）规定了要求。它规定了为适应不同组织或部门的需要而定制的安全控制措施的实施要求。该标准适用于所有类型的组织（例如，商业企业、政府机构、非赢利组织）。

　　该标准详细规定了信息安全管理体系（ISMS），包括ISMS的总要求、建立和管理ISMS（含建立、实施和运行、监视和评审、保持和改进ISMS）、文件要求；管理职责，包括管理承诺、资源管理；ISMS内部审核；ISMS的管理评审，包括评审输入、评审输出；ISMS改进，包括持续改进、纠正措施、预防措施。标准以

　　附录的形式给出了控制目标和控制措施。
　　该标准等同采用国际标准ISO/IEC 27001：2005。

　　GB/T 22081-2008 信息技术 安全技术　信息安全管理实用规则

　　该标准给出了一个组织启动、实施、保持和改进信息安全管理的指南和一般原则。该标准列出的目标为通常所接受的信息安全管理的目的提供了一般性指南。该标准可供有关组织的所有员工，以及利益相关者、供应商、第三方、顾客或其他外部方参与者使用。

　　该标准详细规定了风险评估和处理；信息安全方针；信息安全组织，包括内部组织和外部组织；资产管理，包括资产的可核查性和信息分类；人力资源，包括人员在任用前、任用中、任用终止或变更的管理；物理和环境的安全，包括安全区域、设备安全；通信和操作管理，包括操作规程和职责、第三方服务交付管理、系统规划和验收、防范恶意和移动代码、备份、网络安全管理、媒体处置、信息的交换、电子商务服务、监视；访问控制，包括访问控制的业务要求、用户访问管理、用户职责、网络访问控制、操作系统访问控制、应用和信息访问控制、移动计算和远程工作；信息系统开发和维护，包括信息系统的安全要求、应用中的正确处理、密码控制、系统文件的安全、开发和支持过程中的安全、技术脆弱性管理；业务连续性管理的各方个面；符合性，包括符合法律要求、安全策略和标准以及技术符合性的评审、系统审计考虑。对上述各项都给出了它们的目的和有关内容。

　　该标准等同采用国际标准ISO/IEC 27002：2005。
　　国际标准ISO/IEC 27002替代ISO/IEC 17799。
　　该标准代替GB/T 19716-2005（ISO/IEC 17799：2000，MOD）。

　　GB/T 22186-2008 信息安全技术 具有中央处理器的集成电路（IC）卡芯片安全技术要求（评估保证级4增强级）

　　该标准规定了具有中央处理器的集成电路（IC）卡芯片达到评估保证级4增强级所要求的安全功能要求及安全保证要求。该标准适用于IC卡芯片的研制、开发、测试、评估和产品的采购。
该标准首先对IC卡芯片进行了概括描述，然后详细规定了安全环境，包括资产、假设、各种威胁、组织安全策略；安全目的，包括IC卡芯片安全目的和环境安全目的；安全要求，包括IC卡芯片安全要求（含各种安全功能要求、安全保证要求）、环境安全要求；基本原理，包括安全目的的基本原理、安全要求的基本原理。标准以附录的形式给出了各种组件间的依赖关系。

　　GB/T 22239-2008 信息安全技术　信息系统安全等级保护基本要求

　　该标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求。该标准适用于指导分等级的信息系统的安全建设和监督管理。
根据信息系统的重要程度和遭到破坏后的危害程度，该标准将信息系统具备的安全保护能力分为五级，并对各级的保护能力给出了说明。然后，该标准对第一级到第四级的基本要求分别作了详细规定（该标准没有规定第五级），包括技术要求的物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复，管理要求的安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。标准以附录的形式给出了关于信息系统整体安全保护能力的要求、基本安全要求的选拔和使用。

　　GB/T 22240-2008 信息安全技术　信息系统安全等级保护定级指南

　　该标准规定了信息系统安全等级保护的定级方法。该标准适用于为信息系统安全等级保护的定级工作提供指导。

　　根据等级保护相关管理文件，该标准将信息系统的安全保护等级分为五级，并对各级的保护能力给出了说明，还给出了信息系统安全保护等级了的定级要素、定级要素与等的关系。然后，该标准详细规定了定级方法，包括定级的一般流程、确定定级的对象、确定受侵害的客体、确定对客体的侵害程度、确定定级对象的安全保护等级；还规定了在信息系统的运行过程中需要进行等级变更的有关事项。