我国计算机信息系统安全保护等级划分准则

    1.4.7　我国计算机信息系统安全保护等级划分准则

    1994年，国务院发布了《中华人民共和国计算机信息系统安全保护条例》，该条例是计算机信息系统安全保护的法律基础。2001年1月1日我国开始实施《计算机信息安全保护等级划分准则》（GB 17859—1999），该准则为计算机信息系统安全法规和配套标准的制定和执法部门的监督检查提供了依据，为安全产品的研制提供了技术支持，为安全系统的建设和管理提供了技术指导，是我国计算机信息系统安全保护等级工作的基础。

    我国《计算机信息安全保护等级划分准则》将计算机安全保护等级划分为五个级别，第一级到第五级。计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。高级别的安全要求是低级别要求的超集。

    第一级：用户自主保护级。该级使用户具备自主安全保护能力，保护用户的数据免受非法的读写和破坏。

    第二级：系统审计保护级。除具备第一级所有的安全保护功能外，还要求创建和维护访问的审计跟踪记录，使所有的用户对自己行为的合法性负责。

    第三级：安全标记保护级。除继承前一个级别的安全功能外，还要求为访问者和访问对象指定安全标记，以访问对象标记的安全级别限制访问者的访问权限。

    第四级：结构化保护级。在继承前面安全级别安全功能的基础上，将安全保护机制划分为关键部分和非关键部分，对关键部分直接控制访问者对访问对象的存取，从而加强系统的抗渗透能力。

    第五级：访问验证保护级。除具备第四级的功能外，这一级别特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动，具有极强的抗渗透能力。