GB/T 22240-2020 英語 PDF (GBT22240-2020)

配信: 3 秒。真の PDF + 請求書をダウンロードしてください。
1分で見積もりを取得: GB/T 22240-2020をクリック
過去のバージョン: GB/T 22240-2020
True-PDF をプレビュー(空白の場合は再読み込み/スクロール)

GB/T 22240-2020: 情報セキュリティ技術 - サイバーセキュリティの機密保護のための分類ガイド
22240-2020 国際電気標準会議 (IEC) 22240-2020
国家標準の
中華人民共和国
ICS35.040
80 円
GB/T 22240-2008 の置き換え
情報セキュリティ技術 - 分類ガイド
サイバーセキュリティの機密保護のため
発行日: 2020年4月28日
実施日: 2020年11月1日
発行元：国家市場監督管理総局
中華人民共和国標準化管理局。
目次
序文…3
はじめに…4
1 範囲 ... 5
2 規範的参照 ... 5
3 用語と定義 ... 5
4 評価の原則とプロセス ... 7
4.1 セキュリティ保護レベル ... 7
4.2 評価要素 ... 8
4.3 評価要素とセキュリティ保護レベルの関係 ... 9
4.4 評価プロセス ... 9
5 評価対象を決定する...10
5.1 情報システム ... 10
5.2 ネットワークインフラストラクチャ ... 12
5.3 データリソース ... 12
6 セキュリティ保護レベルを決定する...12
6.1 評価方法の概要 ... 12
6.2 侵害対象物の特定 ... 14
6.3 オブジェクトの侵害の程度を決定する...15
6.4 予備判定レベル ... 17
7 セキュリティ保護レベルを決定する...17
8 レベルの変化 ... 18
参考文献 ... 19
情報セキュリティ技術 - 分類ガイド
サイバーセキュリティの機密保護のため
1 範囲
この規格は、セキュリティ保護を評価するための方法と手順を示しています。
国家機密に関係しない機密保護対象のレベル。
この規格は、ネットワーク事業者が評価を実施するためのガイドとして適用されます。
国家機密に関係しない機密保護対象の業務。
2 規範的参照
この文書の申請には以下の文書が必須です。
日付の記載された文書については、日付が示されたバージョンのみが適用されます。
この文書にのみ適用されます。日付のない文書については、最新バージョン（
すべての修正がこの規格に適用されます。
GB 17859-1999 コンピュータのセキュリティ保護に関する分類基準
情報システム
GB/T 22239-2019 情報セキュリティ技術 - 機密情報に対する基準
サイバーセキュリティの保護
GB/T 25069 情報セキュリティ技術 - 用語集
GB/T 29246-2017 情報技術 - セキュリティ技術 -
情報セキュリティ管理システム - 概要と用語
GB/T 31167-2014 情報セキュリティ技術 - クラウドのセキュリティガイド
コンピューティングサービス
GB/T 32919-2016 情報セキュリティ - 産業用制御システム -
セキュリティ管理の適用に関するガイドライン
GB/T 35295-2017 情報技術 - ビッグデータ - 用語
3 用語と定義
GB 17859-1999、GB/T 22239-2019に定義されている用語と定義
GB/T 25069、GB/T 29246-2017、GB/T 31167-2014、GB/T 32919-2016、GB/T
正当な権利に対する重大な損害または特に重大な損害
関係する国民、法人、その他の団体の利益、または
社会秩序や公共の利益に害を及ぼすが、危険には至らない
国家安全保障;
c) レベル3: 機密保護対象物が損傷すると、
社会秩序や公共の利益に重大な損害を与えたり、国家を危険にさらしたりする
安全;
d) レベル4: 機密保護対象物が損傷すると、
社会秩序や公共の利益に重大な損害を与えたり、重大な危険を及ぼしたりする
国家安全保障;
e) レベル5: 機密保護対象物が損傷すると、
特に国家安全保障に重大な損害を与える。
4.2 評価要素
4.2.1 評価要素の概要
分類された保護オブジェクトの評価要素は次のとおりです。
a) 侵害された物
b) 対象に対する侵害の程度。
4.2.2 侵害対象
保護対象物が破損した場合の侵害対象物には、
次の3つの側面:
a) 国民、法人、その他の正当な権利と利益
組織;
b) 社会秩序と公共の利益
c) 国家安全保障。
4.2.3 対象に対する侵害の程度
対象に対する侵害の程度は、
目的の異なる外部表現。
機密保護の対象である外部の
侵害の現れは、その対象に対する損害である。
侵害の方法によって分類される保護は、
侵害の結果、侵害の程度。
注1: ​​セキュリティ責任の主な対象には、法的責任が含まれますが、これに限定されるものではありません。
企業、政府機関、公的機関、その他の社会団体などの個人
団体及び法人資格を有しないその他の団体。
注2: サーバー、端末、ネットワークなどの単一のシステムコンポーネントの使用は避けてください。
デバイスを評価対象として使用します。
評価対象を決定する際には、クラウドコンピューティングプラットフォーム/システム、
モノのインターネット、産業用制御システム、モバイルを使用したシステム
相互接続技術は5.1.2の関連要件に従う必要がある。
5.1.3、5.1.4、5.1.5のそれぞれを、上記の基本要件を満たす条件で実施する。
特徴。
5.1.2 クラウドコンピューティングプラットフォーム/システム
クラウドコンピューティング環境では、クラウド上の機密保護オブジェクトは
サービスクライアント側とクラウド上のクラウドコンピューティングプラットフォーム/システム
サービスプロバイダー側​​は別個の評価対象として評価される必要があり、一方で
クラウドコンピューティングプラットフォーム/システムは、異なる評価対象に分かれています
さまざまなサービスモデルに応じて。
大規模なクラウドコンピューティングプラットフォームの場合、クラウドコンピューティングを
インフラストラクチャと関連する補助サービス システムを異なる評価対象に分割します。
5.1.3 モノのインターネット
モノのインターネットには主に以下のような特徴的な要素が含まれます。
認識、ネットワーク伝送、処理アプリケーション。上記
要素はオブジェクト全体として評価される必要があり、各要素は評価されない。
個別に。
5.1.4 産業用制御システム
産業用制御システムは、主に次のような特徴的な要素で構成されています。
フィールド取得/実行、フィールド制御、プロセス制御、生産
管理。その中でも、フィールドの取得/実行、フィールドの制御、プロセス
制御と他の要素は全体として評価される必要があり、各要素は
個別に評価されない。生産管理要素は評価されるべきである。
別途。
大規模な産業用制御システムの場合、複数の定格に分割できます。
システム機能、責任主体、
制御対象、製造元。
5.1.5 モバイルインターネット技術を利用したシステム
モバイルインターネット技術を採用したシステムには、主にモバイル
端末、モバイルアプリケーション、無線ネットワーク、その他の特性
6.2 侵害対象物の特定
評価対象が破損した場合の侵害対象には、国家
安全、社会秩序、公共の利益、そして正当な権利と
国民、法人、その他の組織の利益。
国家の安全を侵害する事項としては、以下のものが挙げられる。
- 国家権力と領土主権の安定、そして
海洋権益の保全
- 国家の統一、国民の団結、社会の安定に影響を与える。
- 国家社会主義の市場経済秩序と文化力に影響を与える。
- 国家の安全保障に影響するその他の事項。
権利を侵害する事項