1.2.6 网络安全建设标准

要根据网络的用途和使用场景，以及网络对安全性的要求，来确定网络要以什么样的标准进行建设。

关于网络建设的等级保护标准和分级保护标准，我国有明确的规定。在此叙述仅供参考，权威的规定请参见有关国家标准和法律法规。

1.安全保障体系总体框架

国家信息安全保障体系如图1-4所示，此图较清晰地展示了国家信息安全的法律法规，这些法律法规是建设相应等级计算机网络的重要指导性文件。

图1-4 国家信息安全保障体系

2.等级保护

信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作。信息系统安全等级保护是指对信息系统安全实行等级化保护和等级化管理。根据信息系统应用业务的重要程度及其实际安全需求，实行分级、分类、分阶段保护，以此来保障信息安全和系统正常运行，维护国家利益、公共利益和社会稳定。

等级保护的核心是对信息系统特别是对业务应用系统分等级、按标准进行建设、管理和监督，以切实保障重要信息资源和重要信息系统的安全。

信息系统安全等级保护基本要求构架如图1-5所示。

图1-5 信息系统安全等级保护基本要求构架

安全等级保护基本要求分为技术要求和管理要求，技术要求的基本内容包括：物理安全、网络安全、主机安全、应用安全、数据安全等；管理要求的基本内容包括：安全管理机构、安全管理制度、系统建设管理、人员安全管理、系统运行管理、系统维护管理等。

落实等级保护措施（开展安全集成）主要有以下几方面的内容：制定安全方案、安全策略、安全制度、应急响应、安全培训、安全实施、风险评估。其具体内容如图1-6所示。

3.分级保护

涉密信息系统分级保护的对象是所有涉及国家秘密的信息系统。涉密信息系统安全分级保护是指对涉密信息系统安全实行分级化保护和分级化管理。涉密信息系统安全分级保护分为三级，即秘密级、机密级和绝密级，每一级都有相应的标准，具体参见相应的国家标准。

图1-6 落实等级保护措施的具体内容

4.行业定制标准

特殊行业根据国家的相关标准及自身行业的特点，经相关部门批准，可定制、实施适合本行业的网络建设标准。

5.十项防护措施

在实施网络建设过程中，要切实落实好网络安全“进不来、不发作、散不开（不扩散）、找不到、看不到、拿不走、读不懂、毁不掉、改不了、逃不脱”十项防护措施，做到来源可追，去向可查，将网络安全工作落到实处。具体讲，这十项防护措施就是非法用户无法进入网络；非法进入者进入后没办法发挥作用；非法进入者无法在网络中渗透、扩散；非法进入者找不到攻击的目标；非法进入者看不到文件；非法进入者拿不走文件，即复制不了文件；非法进入者看了文件也读不懂；非法进入者销毁不了文件，即不能删除文件；非法进入者修改不了原系统中保护的文件；非法进入者所有的行为均被完整地记录下来，不能修改日志、入侵痕迹。

网络安全建设除参考国家相关标准、规定和规范外，还要考虑行业的特殊规定和用户的特殊性，这样才能建成满足用户安全需求的安全网络。