等级保护建设
建设背景
网络安全等级保护制度是国家基本制度和基本国策。国家从法律、法规、政策、标准、文件、会议等不同层次、多个角度推动网络安全等级保护制度的落地实施。
设计原则
分区分域防护原则
任何安全措施都不是绝对安全可靠的，为保障攻破一层或一类保护的攻击行为不会破坏整个信息系统，以达到纵深防御的安全目标，需要合理划分安全域，综合采用多种有效安全保护措施，实施多层、多重保护。
均衡性保护原则
对任何类型网络，绝对安全难以达到，也不一定是必须的，需正确处理安全需求、安全风险与安全保护代价的关系。因此，结合适度防护实现分等级安全保护，做到安全性与可用性平衡，达到技术上可实现、经济上可执行。
技术与管理相结合原则
信息安全涉及人、技术、操作等方面要素，单靠技术或单靠管理都不可能实现。因此在考虑信息安全时，必须将各种安全技术与运行管理机制、人员思想教育、技术培训、安全规章制度建设相结合。
动态调整与可扩展原则
由于网络安全需求会不断变化，以及环境、条件、时间的限制，安全防护一步到位，一劳永逸地解决信息安全问题是不现实的。信息安全保障建设可先保证基本的、必须的安全保护，后续再根据应用和网络安全技术的发展，不断调整安全策略，加强安全防护力度，以适应新的网络安全环境，满足新的信息安全需求。
网络安全三同步原则
信息系统在新建、改建、扩建时应当同步建设信息安全设施，确保其具有支持业务稳定、持续运行性能的同时，保证安全技术措施同步规划、同步建设、同步使用，以保障信息安全与信息化建设相适应。
设计思路
根据信息系统的安全定级结果，明确该等级对应的总体防护描述；
根据系统和子系统划分结果、安全定级结果将保护对象归类，并组成保护对象框架；
根据方案的设计目标搭建整体保障框架，用以指导整个等级保护方案的设计，明确关键的安全要素、流程及相互关系；在安全措施框架细化后补充到整体保障框架中；
根据此等级受到的威胁对应出该等级的保护要求（即需求分析），并分布到物理和环境、网络和通信、设备与计算、应用和数据等层面上；
根据由威胁引出的等级保护基本要求、等级保护实施过程、整体保障框架来确定总体安全策略（即总体安全目标），再根据等级保护的要求将总体安全策略细分为不同的具体策略（即具体安全目标），包括安全域内部、安全域边界和安全域互联策略；
根据保护对象框架、等级化安全措施要求、安全措施的成本来选择和调整安全措施；根据安全技术体系和安全管理体系的划分，各安全措施共同组成了安全措施框架；
各保护对象根据系统功能特性、安全价值以及面临威胁的相似性来进行安全区域的划分；各安全区域将保护对象框架划分成不同部分，即各安全措施发生作用的保护对象集合。
根据选择好的各保护对象安全措施、安全措施框架、实际的具体需求来设计安全解决方案。
技术体系
管理体系
