信息资产分级分类及灾备要求

发布时间：2020-08-10 23:49:30 作者：zerohand
来源：ITPUB博客阅读：855

一、目的

为降低或规避公司重要资产因遗失、损坏、篡改、外泄等事件带来的潜在风险，这些风险将对公司的信誉、经营活动、经济利益等造成较大或重大损失，需要规范信息资产分类定义与各项信息机密等级之准则，并规范各类信息资产之对应的灾备要求。

二、信息资产分类指导原则

1. 应对现有资产按不同存在形态和性质进行分类、依各种资产自身特性采取相应管控措施；

2. 应对同一形态的资产类别依重要程度及价值分类，依重要层级采取相应保护措施；

3. 每项资产应明确资产管理负责人或所有人、安全级别、技术文档、所处位置等；

4. 应定期进行资产盘点工作，定期检视资产分级分类的合理性，并防止资产流失。

三、参考文件

为确保与公司所定义的标准保持一致性，信息资产分类及资产价值的鉴别-- 参【略】

四、信息资产分类

公司信息资产是指一切关系公司安全和利益，在保护期限内只限一定范围的人员知悉、操作、维护的事物、文档、项目、数据等资源。

信息资产依指导原则，分为以下六类：

资产分类	代号	示例
文档和数据	D	1 ）保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等 ( 项目开发过程中产生的过程文档 ) 2 ）纸质的各种文件，如传真、电报、财务报告、发展计划等（公司经营中产生的行政文档）
软件和系统	R	系统软件：操作系统、语言包、工具软件、各种库等应用软件：外部购买的应用软件，外包开发的应用软件源程序：各种共享源代码
硬件和设施	H	网络设备：路由器、网关、交换机等计算机设备：大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等传输线路：光纤、双绞线等保障设备：动力保障设备（ UPS 、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等安全保障设备：防火墙、入侵检测系统、身份验证等其他：打印机、复印机、扫描仪、传真机等
服务	S	办公服务：为提高效率而开发的管理信息系统（ MIS ），包括各种内部配置管理、文件流转管理等服务网络服务：各种网络设备、设施提供的网络连接服务信息服务：对外依赖该系统开展的各类服务
人员	P	掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管等
其他	O

五、信息资产价值的鉴别

5.1 机密性赋值

根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上应达成的不同程度或者机密性缺失时对整个组织的影响，见下表：

赋值	标识	定义
5	很高	包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害。
4	高	包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害。
3	中等	组织的一般性秘密，其泄露会使组织的安全和利益受到损害。
2	低	仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害。
1	很低	可对社会公开的信息，公用的信息处理设备和系统资源等。

5.2 完整性赋值

根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上缺失时对整个组织的影响，见下表：

赋值	标识	定义
5	很高	完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补。
4	高	完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，较难弥补。
3	中等	完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补。
2	低	完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，容易弥补。
1	很低	完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略。

5.3 可用性赋值

根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度，见下表：

赋值	标识	定义
5	很高	可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度 99.9% 以上，或系统不允许中断。
4	高	可用性价值较高，合法使用者对信息及信息系统的可用度达到每天 90% 以上，或系统允许中断时间小于 10 分钟。
3	中等	可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到 70% 以上，或系统允许中断时间小于 30 分钟。
2	低	可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到 25% 以上，或系统允许中断时间小于 60 分钟。
1	很低	可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于 25% 。

5.4 判定重要资产

资产重要性（价值）应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出，本公司资产重要性评价计算模型如下：

资产价值重要性 =( 机密性 0.5+ 完整性 0.3+ 可用性 *0.2) 四舍五入取整

根据资产在重要性上的不同赋值结果，将其分为五个不同的等级， 3 级以上属本公司重要信息资产，将对重要信息资产进行信息安全风险评估（具体评估过程见信息安全风险评估表），资产重要性等级划分见下表：

等级	标识	描述
5	很高	非常重要，其安全属性破坏后可能对组织造成非常严重的损失。
4	高	重要，其安全属性破坏后可能对组织造成比较严重的损失。
3	中	比较重要，其安全属性破坏后可能对组织造成中等程度的损失。
2	低	不太重要，其安全属性破坏后可能对组织造成较低的损失。
1	很低	不重要，其安全属性破坏后对组织造成很小的损失，甚至忽略不计。

六、资产重要性与灾备要求

6-1 服务器( 含虚拟机)

A. 等级为高及很高的服务器，应确保双电源接入且网络具有冗余机制（如两张网卡组成桥接）

B. 等级为高及很高的服务器，OS 应具有冗余机制，如RAID1

C. 应统一纳入AD 管理及防毒体系

D. 应建立性能监控机制，提前预警通报

E. 定期更新补丁，紧急补丁与产线协调可安装的时间

等级	标识	双电源	双网络	OS-RAID	AD 管理	防毒	性能监控	补丁更新
●标配 ○选配 ☆不要求
5	很高	●	●	RAID1	●	●	●	与 MP 协调
4	高	●	●	RAID1	●	●	●	与 MP 协调
3	中	○	○	RAID5	●	●	○	与 MP 协调
2	低	○	○	☆	●	●	○	周末
1	很低	☆	☆	☆	●	●	☆	周末

6-2 DB&WEB& 源代码

A. 等级为高及很高的DB&WEB 服务器，应建立Cluster 机制

B. 建立完善的备份机制，至少应包括本机备份，集中备份及离线备份三种模式

C. 应视数据量的大小、备份所耗时间及负载情况，定义采用备份的方式，如完整备份，增量备份或差异备份

D. 应视重要程度，规范数据损失的时间并做相应的配置

E. 应建立DB&WEB 运作的监控机制

F. 应对备份数据进行权限保护，并定期对备份进行恢复测试，以确保数据的完整性和可用性

等级	标识	Cluster	数据损失（本机日志）	Backup （本机各一份）			Backup center	Backup
等级	标识	Cluster	数据损失（本机日志）	Daily	Weekly	Monthly	Daily	offline
●标配 ○选配 ☆不要求
5	很高	●	0~15min	●	●	●	●	Daily
4	高	●	15~30min	●	●	●	●	Weekly
3	中	○	30min~1h	●	○	○	●	Weekly
2	低	○	1h~2h	●	○	○	○	○
1	很低	☆	☆	●	☆	☆	○	○

6-3 网络

A．核心网络应建立冗余机制

B．核心网络应建立防护机制，如防火墙，VLAN 划分等

C．定期对网络配置进行存档，有变更时，应在变更后及时备份

D．核心网络设备应建立备份设备，如楼层汇聚层交换机

E．应建立网络实时流量监控及动作监控机制，提前预警

等级	标识	Cluster	安全防护	Backup （配置档）	备援设备及监控
●标配 ○选配 ☆不要求
5	很高	●	●	Monthly	●
4	高	●	●	Monthly	●
3	中	○	●	season	○
2	低	○	○	☆	☆
1	很低	☆	○	☆	☆

信息资产分级分类及灾备要求

资产价值重要性 =( 机密性 *0.5+ 完整性 *0.3+ 可用性 *0.2) 四舍五入取整

根据资产在重要性上的不同赋值结果，将其分为五个不同的等级， 3 级以上属本公司重要信息资产，将对重要信息资产进行信息安全风险评估（具体评估过程见信息安全风险评估表），资产重要性等级划分见下表：

相关阅读

资产价值重要性 =( 机密性 0.5+ 完整性 0.3+ 可用性 *0.2) 四舍五入取整