涉密信息系统分级保护实施过程
（一）学习相关文件和标准。近年来，由于信息安全技术的快速发展，涉密信息系统的建设标准也不断变化。目前，以下四个文件基本涵盖了建设内容，建议学习掌握，具体如下：《涉及国家秘密的信息系统分级保护技术要求》、《涉及国家秘密的信息系统分级保护管理规范》、《涉及国家秘密的信息系统分级保护测评指南》和《涉及国家秘密的信息系统分级保护方案设计指南》。
（二）规范信息定密。规范信息定密是所有工作的基础，有两层含义：一是定密科学，确定哪些信息是涉密信息，同时明确涉密时限；二是确定涉密信息上网的范围。
（三）确定涉密等级。原则是合理定密，防止过高或者过低，一般根据处理信息的最高等级确定分级保护等级。
（四）方案设计与审核。方案设计必须选择具有相应涉密资质的单位承担,并且需要保密工作部门参加方案审查论证。根据相关要求，方案设计主要包括如下内容：
1、系统分析。含使用单位情况、物理环境、网络平台、软硬件、信息资源与应用系统方面。
2、安全保密分析。包括脆弱性、威胁、风险识别与确定。
3、安全保密需求分析。有技术和管理需求分析，其中技术防护分析，包括机房与重要部位、网络、主机、介质、数据与应用、隔离与信息交换；管理需求分析，包括人员、物理环境和设施、运行和开发、设计与介质、信息保密管理。
4、方案总体设计。目标、原则与依据、防护框架、安全域划分和定级、保护要求调整和确定。
5、方案详细设计。包括物理安全、运行安全、信息安全保密、安全保密管理、产品选型与安全服务、残留风险控制、实施计划、预算。
（五）落实保护措施。根据方案，进行政府采购、项目实施、监理执行。在监理执行阶段，建议了解《涉及国家秘密的信息系统工程监理规范》，可把握质量控制、进度控制、验收等相关环节。
（六）系统测评。建设完成后，必须经过测评，测评机构为国家保密局授权的系统测评机构，一般为涉密信息系统测评中心或各地分中心。测评主要内容如下：
1、技术要求。基本保护要求，物理安全（环境、设备和介质），运行安全（备份与恢复、应急响应和运行管理），信息安全保密要求（身份鉴别、访问控制、密码保护、安全审计、数据库、边界防护等）。
2、管理要求。分级保护管理过程，基本管理要求（策略、机构、制度和人员），系统管理要求。
测评流程主要如下：
1、资料审查，建设单位递交《申请书》。
2、测评机构现场考察，修改《申请书》。
3、根据考察结果，制定测评方案。
4、测评机构现场检测，出测评表。
5、根据检测分析，结果为“合格”、“基本合格”、“不合格”。若“不合格”，建设单位需要整改，返回步骤1。
6、专家评估。专家对结果提出调整，给出完善意见。
7、测评机构得出测评结论，并出具测评报告。
（七）系统审批。保密部门根据测评报告，对涉密信息系统进行审批，经过审批的涉密信息系统方可正式投入运行。
二、涉密信息系统的运行和监管
根据相关要求，保密工作部门需要定期进行保密检查或系统测评：秘密级和机密级信息系统，每两年至少一次；绝密级信息系统，每年至少一次。
三、实际工作中存在问题
由于涉密信息系统建设难度大，标准繁多，在实际执行过程中，我们也发现不少问题，主要如下：
（一）保密技术宣传教育滞后于应用发展。国家下发的保密相关规范、标准几乎都是秘级，有的保密部门自己保留，一般不下发，从而使这些标准不能及时传达到各级政府及涉密承建企业。另外，保密部门平时也很少作建设专题培训，导致有些单位对如何建设非常迷茫，涉密承建企业设计方案时还参照作废的标准和规范，从而阻碍了涉密信息系统建设。
（二）保密技术滞后于应用发展。如隔离交换技术，涉密介质管理技术等，无法跟上应用的发展，说了很多年，具体可操作的产品还是很少。另外，有些保密技术制定出来后，非常苛刻，导致无法与应用结合。
