1.技术思路

《基本要求》是等级保护标准体系中的核心标准，也是信息系统安全建设和等级测评依据的最主要的标准。《基本要求》的核心思想是从信息系统的安全需求出发对信息系统进行保护，《基本要求》的形成过程也沿用这种思想。

对信息系统的定级过程反映了信息系统的安全需求分析过程，详细内容参见《信息系统安全保护等级定级指南》。根据信息系统在国家事务中的地位、信息系统承载的业务的重要程度等因素确定了信息系统的安全保护等级，《基本要求》需要解决的问题是对于不同等级的信息系统提出安全保护要求。

一般信息系统都不能对抗所有威胁，而只能对抗部分威胁，因此都具有有限的安全性，或称有条件的安全。低等级的信息系统，由于其重要性较低，其可能面临的威胁一般也比较少，其信息系统的投入一般也较少，因此低等级系统一般仅需要对抗较少、较弱的威胁，故通常低等级系统仅具有较少的安全需求和较低的保护能力；而高等级的信息系统，由于其重要性较高，受关注度和影响也相应较大，其可能面临的威胁一般也比较多、较复杂，其信息系统的投入一般也较多，因此高等级系统一般需要对抗较多、较强的威胁，故通常高等级系统一般具有较多的安全需求和较高的保护能力。

上述分析表明，不同等级信息系统的安全需求不同，因此应采用的安全保护策略也应有所不同。基于这一思路，《基本要求》将信息系统对抗威胁能力分为对抗能力和恢复能力：

• 对抗能力——信息系统能够应对威胁的能力。
• 恢复能力——能够恢复系统原有状态的能力。

不同等级的信息系统应具有不同的对抗能力，即应能够对抗不同的威胁。在某些情况下，无法阻挡威胁对信息系统的破坏时，如果系统具有很好的恢复能力，那么即使遭到破坏，也能在很短的时间内恢复系统原有的状态。不同等级的信息系统应具有不同的恢复能力，即应能够在不同的时间内恢复系统原有的状态。

对抗能力和恢复能力一起构成了信息系统的安全保护能力。不同级别的信息系统应具备不同的安全保护能力，即应该具备不同的对抗能力和恢复能力。

信息系统应具有的威胁对抗能力和恢复能力进一步细化可以形成各等级的安全目标，实现这些安全目标的途径和手段就构成了各等级的基本安全要求。基本安全要求包括了基本技术要求和基本管理要求，基本技术要求主要用于对抗威胁和实现技术能力，基本管理要求主要为安全技术实现提供组织、人员、程序等方面的保障。

2.基本保护能力

《基本要求》4.2节给出了4个等级信息系统所应具有的安全保护能力，更易于理解和更加细化的有关保护能力的描述还可以参照如下：

第一级安全保护能力：信息系统具有抵御一般性攻击的能力，防范常见计算机病毒和恶意代码危害的能力；系统遭到损害后，具有恢复系统主要功能的能力。

第二级安全保护能力：信息系统具有抵御小规模、较弱强度恶意攻击的能力，抵抗一般的自然灾害的能力，防范一般性计算机病毒和恶意代码危害的能力；具有检测常见的攻击行为，并对安全事件进行记录的能力；系统遭到损害后，具有恢复系统正常运行状态的能力。

第三级安全保护能力：信息系统在统一的安全保护策略下具有抵御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能力，防范计算机病毒和恶意代码危害的能力；具有检测、发现、报警、记录入侵行为的能力；具有对安全事件进行响应处置，并能够追踪安全责任的能力；在系统遭到损害后，具有能够较快恢复正常运行状态的能力；对于服务保障性要求高的系统，应能快速恢复正常运行状态；具有对系统资源、用户、安全机制等进行集中控管的能力。

第四级安全保护能力：信息系统在统一的安全保护策略下具有抵御敌对势力有组织的大规模攻击的能力，抵抗严重的自然灾害的能力，防范计算机病毒和恶意代码危害的能力；具有检测、发现、报警、记录入侵行为的能力；具有对安全事件进行快速响应处置，并能够追踪安全责任的能力；在系统遭到损害后，具有能够较快恢复正常运行状态的能力；对于服务保障性要求高的系统，应能立即恢复正常运行状态；具有对系统资源、用户、安全机制等进行集中控管的能力。

3.技术模型和管理模型

《基本要求》中各级别要求的逐级提高主要是在技术要求遵循的是PDR模型，管理要求主要遵循的是SSE-CMM模型（系统安全工程-能力成熟度模型）。技术上，第一级要求主要集中在对信息系统提供基本的安全防护，从第二级开始提出了安全检测和安全审计的要求，是安全保护从静态防护扩大到动态监测，第三级的安全要求进一步加强了对安全事件的响应和恢复能力，使安全防护从事前延伸到事后。第四级强调统一安全策略下的安全保护。管理上，第一级信息系统仅需要有部分必要的安全管理制度，第二级要求重要活动都需要建立相关的管理制度和流程，第三级要求建立全面的安全管理体系，第四级要求所建立的安全管理体系具有持续的自身改进能力。

4.控制点的标注

《基本要求》的技术类安全要求按其保护的侧重点不同，将所有的控制点分为三类：

业务信息安全类（S类）——关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改。如，访问控制，该控制点主要关注的是防止未授权的访问系统，进而造成数据的修改或泄漏。

系统服务安全类（A类）——关注的是保护系统连续正常的运行，避免因对系统的未授权修改、破坏而导致系统不可用。如，资源控制，该控制点很好的体现了对业务正常运行的保护。通过对资源的使用限制、监视和预警等控制，保证了重要业务的正常运行。

通用安全保护类（G类）——既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。大多数技术类安全要求都属于此类，保护的重点既是为了保证业务能够正常运行，同时数据要安全。如，物理访问控制，该控制点主要是防止非授权人员物理访问系统主要工作环境，由于进入工作环境可能导致的后果既可能包括系统无法正常运行（如，损坏某台重要服务器），也可能窃取某些重要数据。因此，它保护的重点二者兼而有之。

5.逐级增强的特点

不同等级的信息系统安全保护能力不同，具体体现在各等级的安全要求不同，总体上看各个级别的安全要求逐级增强。具体表现在三个方面：控制点增加、同一控制点的要求项强度增强。而要求项增强也可以表现为项数增加、要求范围扩大和要求细化。