我們的信息系統(tǒng)，是不是不用了就直接往那里一放，不管不問了呢？或者隨便處理掉呢？

　　前面文章里其實我們已經(jīng)也簡單談及，一個信息系統(tǒng)或者定級對象如同萬事萬物一樣，都有一個生滅流程。信息系統(tǒng)則從立項規(guī)劃到廢止，也需要經(jīng)歷它自身的生命周期。今天談的算是定級對象最后一個階段，也就是廢止該如何科學正確的處置之。

　　從標準層面我們進入下圖最后一層，標準給出的工作包含了信息轉移、暫存和清除、設備遷移或廢棄、存儲介質(zhì)的清除或銷毀三個階段。

　　從三個階段我們可以簡單看出，信息系統(tǒng)廢棄不是隨意置之不理，或隨意丟棄的，也要讓它各歸其位，科學安全合理處置，以防存在后續(xù)安全風險。這點其實很好理解，如同我們手里的一部手機處置不當，尚且還存在許許多多可以被壞人利用的數(shù)據(jù)信息和個人隱私數(shù)據(jù)，何況一個對國家安全或社會安全、社會秩序有影響的信息系統(tǒng)呢？

　　定級對象終止階段是等級保護實施過程中的最后環(huán)節(jié)。當定級對象被轉移、終止或廢棄時，正確處理其中的敏感信息對于確保機構信息資產(chǎn)的安全是至關重要的。圖片

　　在等級保護對象生命周期中，有些定級對象并不是真正意義上的廢棄，而是改進技術或轉變業(yè)務到新的定級對象，對于這些定級對象在終止處理過程中應確保信息轉移、設備遷移和介質(zhì)銷毀等方面的安全。

　　今天談論的則是定級對象終止階段關注信息轉移、暫存和清除，設備遷移或廢棄，存儲介質(zhì)的清除或銷毀等活動。

　　第一階段：信息轉移、暫存和清除

　　信息轉移、暫存和清除需要輸入定級對象信息資產(chǎn)清單，在定級對象終止處理過程中，對于可能會在另外的定級對象中使用的信息采取適當?shù)姆椒▽⑵浒踩剞D移或暫存到可以恢復的介質(zhì)中，確保將來可以繼續(xù)使用，同時采用安全的方法清除要終止的定級對象中的信息。最終輸出形成信息轉移、暫存、清除處理記錄文檔。

　　識別要轉移、暫存和清除的信息資產(chǎn)時應注意：根據(jù)要終止的定級對象的信息資產(chǎn)清單，識別重要信息資產(chǎn)、所處的位置以及當前狀態(tài)等，列出需轉移、暫存和清除的信息資產(chǎn)的清單。

　　信息資產(chǎn)轉移、暫存和清除時應注意：根據(jù)信息資產(chǎn)的重要程度制定信息資產(chǎn)的轉移、暫存、清除的方法和過程。如果是涉密信息，應按照國家相關部門的規(guī)定進行轉移、暫存和清除。

　　處理過程記錄時應注意：記錄信息轉移、暫存和清除的過程，包括參與的人員，轉移、暫存和清除的方式以及目前信息所處的位置等。

　　第二階段：設備遷移或廢棄

　　設備遷移或廢棄需要輸入設備遷移或廢棄清單等，確保定級對象終止后，遷移或廢棄的設備內(nèi)不包括敏感信息，對設備的處理方式應符合國家相關部門的要求。最終輸出設備遷移、廢棄處理報告。

　　軟硬件設備識別時應注意：根據(jù)要終止的定級對象的設備清單，識別要被遷移或廢棄的硬件設備、所處的位置以及當前狀態(tài)等，列出需遷移、廢棄的設備的清單。

　　制定硬件設備處理方案時應注意：根據(jù)規(guī)定和實際情況制定設備處理方案，包括重用設備、廢棄設備、敏感信息的清除方法等。

　　處理方案審批時應注意：包括重用設備、廢棄設備、敏感信息的清除方法等的設備處理方案應經(jīng)過主管領導審查和批準。

　　設備處理和記錄時應注意：根據(jù)設備處理方案對設備進行處理，如果是涉密信息的設備，其處理過程應符合國家相關部門的規(guī)定；記錄設備處理過程，包括參與的人員、處理的方式、是否有殘余信息的檢查結果等。

　　第三階段：存儲介質(zhì)的清除或銷毀

　　存儲介質(zhì)的清除或銷毀：需要輸入存儲介質(zhì)清單等，通過采用合理的方式對計算機介質(zhì)（包括磁帶、磁盤、打印結果和文檔）進行信息清除或銷毀處理，防止介質(zhì)內(nèi)的敏感信息泄露。最終輸出存儲介質(zhì)的清除或銷毀記錄文檔。

　　識別要清除或銷毀的介質(zhì)時應注意：根據(jù)要終止的定級對象的存儲介質(zhì)清單，識別載有重要信息的存儲介質(zhì)、所處的位置以及當前狀態(tài)等，列出需清除或銷毀的存儲介質(zhì)清單。

　　確定存儲介質(zhì)處理方法和流程時應注意：根據(jù)存儲介質(zhì)所承載信息的敏感程度確定對存儲介質(zhì)的處理方式和處理流程。存儲介質(zhì)的處理包括數(shù)據(jù)清除和存儲介質(zhì)銷毀等。對于存儲涉密信息的介質(zhì)應按照國家相關部門的規(guī)定進行處理。

　　存儲介質(zhì)處理和記錄時應注意：包括存儲介質(zhì)的處理方式和處理流程等的處理方案應經(jīng)過主管領導審查和批準。

　　處理方案審批時應注意：根據(jù)存儲介質(zhì)處理方案對存儲介質(zhì)進行處理，記錄處理過程，包括參與的人員、處理的方式、是否有殘余信息的檢查結果等。

　　這三個階段的工作則由運營、使用單位完成。

　　到現(xiàn)在，基本上我們根據(jù)《網(wǎng)絡安全法》《 網(wǎng)絡安全等級保護實施指南》《網(wǎng)絡安全等級保護基本要求》《國家網(wǎng)絡安全事件應急預案》《網(wǎng)絡安全事件應急演練指南》《網(wǎng)絡安全法與網(wǎng)絡安全等級保護》2018版、《公安機關信息安全等級保護檢查工作規(guī)范》（試行）等文件，將網(wǎng)絡安全等級保護一個生命周期整理完了。希望這次梳理能夠給落實等級保護的單位一個清晰的認識，對等級保護工作會有個全新的認知和理解。

　　在整理這些內(nèi)容過程中，我把大家常常誤會的地方，也做了疏通。比如絕大多數(shù)人口中的“等保”是“等級保護測評”，而國家文件要落實的“等級保護制度”則是一個系統(tǒng)從生到滅的全生命周期，所以不可等同。所以希望大家在開展工作中，正確認識。

　　當然，我個人認為這只是正確理解和認識等級保護，只是剛剛開始。接下來我將繼續(xù)結合相關國家標準和大家共同探討網(wǎng)絡安全保護及網(wǎng)絡安全等級保護測評。

　　如果你需要全面落實網(wǎng)絡安全等級保護，可以與我聯(lián)系；如果你需要開展等級保護測評，當然也請與我聯(lián)系。