YZ/T 0142-2015 邮政业信息系统安全等级保护定级指南

来源与版权：本页为本地转换稿（源文件 行业标准\46 邮政\邮政业信息系统安全等级保护定级指南（YZ-T 0142-2015）.pdf，共 16 页），版权归标准发布机构所有，仅供学习与测评工作参考，正式引用请核对官方发布版本。详见 版权声明。

ICS 35.240.01 A90 备案号:50662—2015

YZ

中华人民共和国邮政行业标准

YZ/T 0142—2015

邮政业信息系统安全等级保护定级指南

Classification guide for classified security protection of postal industry information system

2015-06-11 发布　　2015-10-01 实施

国家邮政局 发 布

目　次

前言 …… Ⅱ 1　范围 …… 1 2　规范性引用文件 …… 1 3　术语和定义 …… 1 4　基本原则 …… 1 4.1　自主定级原则 …… 1 4.2　重点保护原则 …… 1 4.3　动态调整原则 …… 1 5　安全保护等级 …… 2 5.1　定级要素 …… 2 5.2　受侵害客体 …… 2 5.3　对客体的侵害程度 …… 2 5.4　邮政业信息系统安全保护等级 …… 4 6　定级方法 …… 4 6.1　定级流程 …… 4 6.2　安全责任单位确定 …… 4 6.3　信息系统划分 …… 4 6.4　等级确定 …… 6 6.5　定级结果形成与备案 …… 7 7　等级变更 …… 7 附录 A（资料性附录）　邮政业信息系统安全保护等级定级参考表 …… 8 参考文献 …… 13

前　言

本标准按照 GB/T 1.1—2009 给出的规则起草。

本标准由国家邮政局提出。

本标准由全国邮政业标准化技术委员会（SAC/TC 462）归口。

本标准起草单位：顺丰速运有限公司。

本标准主要起草人：杨伟峰、田民、刘新凯、熊莹、谢朝海。

邮政业信息系统安全等级保护定级指南

1　范围

本标准规定了邮政业信息系统安全等级保护定级的基本原则、安全保护等级划分、定级方法和等级变更要求。

本标准适用于邮政服务、快递服务和邮政管理工作中非涉密信息系统的安全保护等级的定级。

2　规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 10757—2011　邮政业术语 GB/T 22240—2008　信息安全技术　信息系统安全等级保护定级指南 GB/Z 28828—2012　信息安全技术　公共及商用服务信息系统个人信息保护指南

3　术语和定义

GB/T 22240—2008、GB/Z 28828—2012 和 GB/T 10757—2011 界定的以及下列术语和定义适用于本文件。

3.1

邮政业信息系统　postal industry information system

由计算机及其相关的、配套的设备、设施（含网络）构成的，支撑邮政业对生产、服务、经营、管理等信息进行采集、加工、存储、传输、检索等处理的人机系统。

3.2

敏感信息　sensitive information

一旦遭到泄露或修改，会对标识的信息主体造成不良影响的信息，包括姓名、身份证号码、手机号码、地址等信息的组合。

4　基本原则

4.1　自主定级原则

邮政业信息系统的安全责任单位应按照国家相关法规、技术标准要求，自主确定本单位信息系统的安全保护等级。

4.2　重点保护原则

根据信息系统的不同安全保护等级和业务特点，安全责任单位自行组织实施相应强度的安全保护，集中资源优先保护高等级的信息系统。

4.3　动态调整原则

若邮政业信息系统所处理的信息和提供的服务发生变化，或其他原因影响信息系统的安全保护等级，安全责任单位需重新确定信息系统安全保护等级，及时调整安全保护措施。

5　安全保护等级

5.1　定级要素

邮政业信息系统的安全保护等级由信息系统受到破坏时所侵害的客体和侵害程度所决定。

5.2　受侵害客体

邮政业信息系统的受侵害客体主要包括：国家安全；社会秩序、公共利益；公民、法人和其他组织的合法权益。其中：

a）　侵害国家安全的事项包括： 　　——影响国家政权稳固和国防实力； 　　——影响国家统一、民族团结和社会安定； 　　——影响国家对外活动中的政治、经济利益； 　　——影响国家重要的安全保卫工作； 　　——影响国家经济竞争力和科技实力； 　　——其他影响国家安全的事项。

b）　侵害社会秩序的事项包括： 　　——影响邮政业相关社会管理和公共服务的工作秩序； 　　——影响邮政业相关的经济活动秩序； 　　——影响邮政业相关的科研、生产秩序； 　　——影响公众的正常生活秩序； 　　——其他影响社会秩序的事项。

c）　侵害公共利益的事项包括： 　　——影响社会成员使用邮政业公共设施； 　　——影响社会成员获取邮政业公开信息资源； 　　——影响社会成员接受邮政业公共服务； 　　——损害社会成员的隐私、名誉和利益。

5.3　对客体的侵害程度

5.3.1　邮政业信息系统遭到破坏会危及业务信息安全和系统服务安全。

5.3.2　业务信息安全主要指邮政业信息系统内各类业务信息（如：邮件信息、快件信息、个人信息和行业管理信息等）的保密性、完整性和可用性。业务信息安全主要关注的是保护数据在存储、传输、处理等过程中不被泄漏、破坏和免受未授权的修改，数据被破坏时因所侵害的业务信息类型、数量等不同而对客体造成不同程度的侵害。

5.3.3　系统服务安全主要指邮政业信息系统在处理各类业务信息过程中，其服务地域范围内所提供服务的及时性、有效性和持续性。系统服务安全关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用，系统被破坏时因所侵害的服务范围、服务时间等不同而对客体造成不同程度的侵害。

5.3.4　业务信息安全和系统服务安全遭受破坏，所产生的对客体的侵害程度应分为一般损害、严重损害和特别严重损害，各类侵害程度描述见表1。

表 1　侵害程度描述

5.4　邮政业信息系统安全保护等级

根据受侵害客体和侵害程度，邮政业信息系统安全保护等级由低到高可依次划分为五级，见表2。

表 2　邮政业信息系统安全保护等级

6　定级方法

6.1　定级流程

邮政业信息系统的定级流程包括安全责任单位确定、信息系统划分、等级确定和定级结果形成与备案，其中：

a）　安全责任单位确定：按 6.2 要求，确定邮政业信息系统的安全责任单位； b）　信息系统划分：按 6.3 要求，划分确定需要定级的信息系统； c）　等级确定：按 6.4 要求，确定邮政业信息系统的安全保护等级； d）　定级结果形成与备案：按 6.5 要求，形成定级结果和备案。

6.2　安全责任单位确定

6.2.1　作为定级对象的信息系统应具有唯一确定的安全责任单位。

6.2.2　如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位；如果一个跨不同地域运行的分布式信息系统，存在不同的安全责任单位，应根据不同地域划出不同的定级对象。

6.3　信息系统划分

6.3.1　安全责任单位应合理划分本单位的信息系统，确定需要定级的对象。

6.3.2　定级对象应承载单一或相对独立的业务应用、具备信息系统的基本要素并具有唯一确定的安全责任单位。

6.3.3　主要信息系统类别如下：

a）　邮政服务所涉及的主要信息系统类别见表3。

表 3　邮政服务主要信息系统类别表

b）　快递服务所涉及的主要信息系统类别见表4。

表 4　快递服务主要信息系统类别表

c）　邮政管理所涉及的主要信息系统类别见表5。

表 5　邮政管理主要信息系统类别表

6.4　等级确定

6.4.1　等级确定的两个方面

信息系统的安全保护等级应由业务信息安全保护等级和系统服务安全保护等级两个方面综合确定。

6.4.2　确定业务信息安全保护等级

业务信息安全保护等级由业务信息安全被破坏时所侵害的客体以及对客体的侵害程度确定，见表6。

表 6　业务信息安全保护等级矩阵表

6.4.3　确定系统服务安全保护等级

系统服务安全保护等级由系统服务安全被破坏时所侵害的客体以及对客体的侵害程度确定，见表7。

表 7　系统服务安全保护等级矩阵表

6.4.4　确定信息系统的安全保护等级

6.4.4.1　业务信息安全保护等级和系统服务安全保护等级的较高者确定为信息系统的安全保护等级，见表8。

表 8　安全保护等级矩阵表

6.4.4.2　邮政业不同类别信息系统的安全保护参考等级见附录 A。

6.5　定级结果形成与备案

6.5.1　安全责任单位在拟定信息系统安全保护等级后，应按照有关要求，对定级过程中产生的文档进行整理，形成定级结果报告。

6.5.2　对安全保护等级拟定为第二级以上（含第二级）的信息系统，安全责任单位应聘请相应专家进行评审，并按有关规定向公安机关备案。

7　等级变更

在邮政业信息系统的运行过程中，若信息系统所处理的信息和提供的服务发生变化，或其他原因影响到信息系统的安全保护等级，安全责任单位应重新确定信息系统安全保护等级，及时调整安全保护措施。

附　录　A

（资料性附录）

邮政业信息系统安全保护等级定级参考表

为了帮助安全责任单位拟定信息系统的安全保护等级，本附录给出邮政业信息系统业务信息安全等级和系统服务安全等级的定级简明参考条件（注：只给出了其中一些参考定级条件，非唯一的全部定级条件），见表 A.1～A.3。

邮政企业、快递服务组织和邮政管理部门可根据本单位信息系统业务功能，参考本附录进行定级。原则上，信息系统安全保护等级应不低于本附录建议的参考级别。未在参考表中列出的信息系统，以及其他拟定为第四级和第五级的信息系统，可根据其承载的业务功能参照本标准正文和相关国家标准进行定级。

表 A.1　邮政服务相关信息系统定级参考表

表 A.1（续）

表 A.1（续）

表 A.2　快递服务相关信息系统定级参考表

表 A.2（续）

表 A.3　邮政管理相关信息系统定级参考表

表 A.3（续）

参　考　文　献

[1]　GB/T 5271.8—2001　信息技术　词汇　第8部分：安全 [2]　GB 17859—1999　计算机信息系统　安全保护等级划分准则 [3]　GB/T 20269—2006　信息安全技术　信息系统安全管理要求 [4]　GB/T 20271—2006　信息安全技术　信息系统通用安全技术要求 [5]　GB/T 20274.1—2006　信息安全技术　信息系统安全保障评估框架　第一部分：简介和一般模型 [6]　GA/T 671—2006　信息安全技术　终端计算机系统安全等级技术要求 [7]　公通字〔2004〕66号　关于信息安全等级保护工作的实施意见 [8]　公通字〔2007〕43号　信息安全等级保护管理办法 [9]　公信安〔2007〕861号　关于开展全国重要信息系统安全等级保护定级工作的通知