蔡皖东，西北工业大学网络与信息安全学科带头人，长期从事计算机网络、网络信息安全等学科方向的教学与科研工作。应邀担任科学出版社、机械工业出版社等国家级出版社的“计算机及信息安全学科教材建设专家委员会”委员，并担任多部教材的主审专家。主持的主要科研项目有：国家863计划项目、国家信息安全计划项目、科技部技术创新基金项目、教育部博士点基金项目、航空基础科学基金项目、部委创新基金项目以及省市科技计划项目等，在国内外核心学术刊物和重要学术会议上共发表学术论文200多篇，被SCI、EI和ISTP等三大检索机构收录100多篇。

　　信息系统安全等级保护是国家制定和推行的一项信息系统安全保护制度，并有一系列配套的技术标准和法律法规。由于信息系统安全等级保护标准比较多，覆盖了等级保护的各个阶段，因此不太容易理解和掌握。
　　《信息系统安全等级保护原理与应用》对相关标准进行了梳理，以第三级系统安全保护为主线，介绍了信息系统安全等级保护的概念、原理和应用。《信息系统安全等级保护原理与应用》全书分为8章，介绍了信息系统安全概论、信息系统安全等级保护定级、信息系统安全等级保护要求、信息系统等级保护安全设计、信息系统安全等级保护实施、信息系统安全等级保护测评、信息系统安全等级保护应用、工业控制系统信息安全等内容。

　　《信息系统安全等级保护原理与应用》：
　　1.7分级保护和等级保护
　　随着信息化的发展，国内各行各业建设了大量的网络信息系统，信息安全问题变得日益突出。为了应对信息安全方面的挑战，国家制定了两种信息系统安全保护制度：信息系统安全等级保护（简称等级保护）制度和涉密信息系统分级保护（简称分级保护）制度，并制定了一系列相关国家技术标准和法律法规。在实际上，准确运用相关标准，正确实施信息安全工程非常重要。
　　单从文字上理解，分级保护和等级保护似乎有相同之处，容易将两者混淆起来，实际上，这是两种不同的信息安全法规和标准。
　　1.7.1分级保护
　　分级保护的对象是涉密信息系统，重点是保障涉密信息安全。涉密信息是指涉及国家秘密的信息，而不是商业秘密和个人隐私信息。涉密信息分为绝密级、机密级和秘密级三个密级。
　　涉密信息系统是指存储、处理国家秘密的计算机信息系统。对涉密信息系统实行分级保护是国家强制执行的信息安全保密政策。国家制定了相应的法律和标准。
　　在新修订的《中华人民共和国保守国家秘密法》（2010年10月1日起施行）中，明确规定对涉密信息系统实行分级保护。
　　为了指导和规范涉密信息系统分级保护工作，国家制定了一系列国家保密标准（BMB）。
　　（1）BMB17-2006:涉及国家秘密的信息系统分级保护技术要求。
　　（2）BMB20-2007:涉及国家秘密的信息系统分级保护管理规范。
　　（3）BMB22-2007:涉及国家秘密的信息系统分级保护测评指南。
　　（4）BMB23-2007:涉及国家秘密的信息系统分级保护方案设计指南。
　　BMB标准规定，涉密信息系统分为绝密级、机密级和秘密级三个级别，每个级别可按一般要求或增强要求进行保护，增强要求是对一般要求的进一步增强，其安全防护要求更高一些。
　　1.7.2等级保护
　　等级保护的对象主要是非涉密信息系统，重点是保障信息系统安全。等级保护采取自主定级、自主保护的原则，其保护等级主要根据信息系统在国家安全、经济建设、社会生活中的重要程度，以及信息系统遭到破坏后对国家安全、社会秩序、公共利益及公民、法人和其他组织的合法权益的危害程度等因素来确定。
　　为了指导和规范信息系统安全等级保护工作，国家制定了一系列信息系统等级保护标准。
　　（1）GB17859-1999:计算机信息系统安全保护等级划分准则。
　　（2）GB/T22239-2008:信息系统安全等级保护基本要求。
　　（3）GB/T22240-2008:信息系统安全等级保护定级指南。
　　（4）GB/T25058-2010:信息系统安全等级保护实施指南。
　　（5）GB/T25070-2010:信息系统等级保护安全设计技术要求。
　　（6）GB/T28448-2012:信息系统安全等级保护测评要求。
　　（7）GB/T28449-2012:信息系统安全等级保护测评过程指南。
　　等级保护标准规定，信息系统安全保护等级分为以下五级。
　　第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
　　第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
　　第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
　　第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重的损害，或者对国家安全造成严重损害。
　　第五级，信息系统受到破坏后，会对国家安全造成特别严重的损害。
　　其中，第一级为最低级，属于基本保护；第五级为最高级。第三、四、五级主要侧重于社会秩序和公共利益的保护，虽然也涉及国家安全，但这类信息系统通常是涉密信息系统，必须实行分级保护，并且是强制执行的，而不是自主保护。
　　信息系统安全等级保护和分级保护制度为信息安全工程的规范化和标准化提供了法规和标准依据。
　　1.8本书编写说明
　　本书主要介绍信息系统安全等级保护的概念、原理和方法，包括信息系统安全等级保护的定级方法、基本要求、安全设计、实施流程、测评要求及应用实例等，主要内容源于信息系统安全等级保护相关标准。由于信息系统安全等级保护相关标准比较多，覆盖了等级保护的各个阶段，并且对每个保护级别都做了详细的规定和描述，阅读起来难免有些眼花缭乱，不易理解和掌握。因此，本书对相关标准进行了梳理，主要以第三级系统安全保护为主线来介绍等级保护的原理和方法，为进一步掌握和运用相关标准打下良好的基础。
　　本书没有对相关的信息安全技术做详细介绍，读者最好具有一定的信息安全基础知识，这样有助于理解和掌握本书的内容。
　　……

第1章 信息系统安全概论
1.1 概述
1.2 网络安全威胁
1.2.1 网络环境下的安全威胁
1.2.2 TCP/IP协议的安全弱点
1.3 网络攻击技术
1.3.1 计算机病毒
1.3.2 特洛伊木马
1.3.3 分布式拒绝服务攻击
1.3.4 缓冲区溢出攻击
1.3.5 IP欺骗攻击
1.4 信息安全技术
1.4.1 安全服务
1.4.2 安全机制
1.4.3 网络模型
1.4.4 信息交换安全技术
1.4.5 网络系统安全技术
1.5 信息安全标准
1.6 信息安全法规
1.7 分级保护和等级保护
1.7.1 分级保护
1.7.2 等级保护
1.8 本书编写说明

第2章 信息系统安全等级保护定级
2.1 定级原理
2.2 定级方法
2.2.1 定级的一般流程
2.2.2 确定定级对象
2.2.3 确定受侵害的客体
2.2.4 确定对客体的侵害程度
2.2.5 确定定级对象的安全保护等级

第3章 信息系统安全等级保护要求
3.1 概述
3.2 基本技术要求
3.2.1 物理安全
3.2.2 网络安全
3.2.3 主机安全
3.2.4 应用安全
3.2.5 数据安全
3.3 基本管理要求
3.3.1 安全管理制度
3.3.2 安全管理机构
3.3.3 人员安全管理
3.3.4 系统建设管理
3.3.5 系统运维管理
3.4 整体保护能力要求
3.5 基本安全要求的应用

第4章 信息系统等级保护安全设计
4.1 概述
4.2 第一级系统安全保护环境设计
4.2.1 设计目标
4.2.2 设计策略
4.2.3 设计技术要求
4.3 第二级系统安全保护环境设计
4.3.1 设计目标
4.3.2 设计策略
4.3.3 设计技术要求
4.4 第三级系统安全保护环境设计
4.4.1 设计目标
4.4.2 设计策略
4.4.3 设计技术要求
4.5 第四级系统安全保护环境设计
4.5.1 设计目标
4.5.2 设计策略
4.5.3 设计技术要求
4.6 第三级系统安全保护环境设计示例
4.6.1 功能与流程
4.6.2 各子系统主要功能
4.6.3 各子系统主要流程

第5章 信息系统安全等级保护实施
5.1 概述
5.2 信息系统定级
5.2.1 信息系统定级阶段的工作流程
5.2.2 信息系统分析
5.2.3 安全保护等级的确定
5.3 总体安全规划
5.3.1 总体安全规划阶段的工作流程
5.3.2 安全需求分析
5.3.3 总体安全设计
5.3.4 安全建设项目规划
5.4 安全设计与实施
5.4.1 安全设计与实施阶段的工作流程
5.4.2 安全方案详细设计
5.4.3 管理措施实现
5.4.4 技术措施实现
5.5 安全运行与维护
5.5.1 安全运行与维护阶段的工作流程
5.5.2 运行管理和控制
5.5.3 变更管理和控制
5.5.4 安全状态监控
5.5.5 安全事件处置和应急预案
5.5.6 安全检查和持续改进
5.5.7 等级测评
5.5.8 系统备案
5.5.9 监督检查
5.6 信息系统终止
5.6.1 信息系统终止阶段的工作流程
5.6.2 信息转移、暂存和清除
5.6.3 设备迁移或废弃
5.6.4 存储介质的清除或销毁

第6章 信息系统安全等级保护测评
6.1 概述
6.2 第三级安全技术测评
6.2.1 物理安全
6.2.2 网络安全
6.2.3 主机安全
6.2.4 应用安全
6.2.5 数据安全
6.3 第三级安全管理测评
6.3.1 安全管理制度
6.3.2 安全管理机构
6.3.3 人员安全管理
6.3.4 系统建设管理
6.3.5 系统运维管理
6.4 等级测评结论
6.4.1 各层面的测评结论
6.4.2 整体保护能力的测评结论
6.5 等级测评过程
6.5.1 等级测评的作用
6.5.2 等级测评执行主体
6.5.3 等级测评风险
6.5.4 等级测评过程
6.5.5 测评对象确定

第7章 信息系统安全等级保护应用
7.1 概述
7.2 信息系统定级
7.3 安全保护方案
7.3.1 安全技术方案
7.3.2 安全管理方案
7.4 安全风险评估
7.4.1 风险评估标准简介
7.4.2 风险管理标准简介
7.4.3 风险评估报告模板

第8章 工业控制系统信息安全
8.1 概述
8.2 工业控制系统及通信协议
8.2.1 工业控制系统简介
8.2.2 OPC通信协议简介
8.3 工业控制系统信息安全风险
8.4 工业控制系统信息安全标准
8.4.1 国际标准
8.4.2 国内标准
8.5 工业控制系统信息安全等级保护

附录A
附录B

参考文献