1.技術(shù)思路
《基本要求》是等級(jí)保護(hù)標(biāo)準(zhǔn)體系中的核心標(biāo)準(zhǔn)，也是信息系統(tǒng)安全建設(shè)和等級(jí)測(cè)評(píng)依據(jù)的最主要的標(biāo)準(zhǔn)。《基本要求》的核心思想是從信息系統(tǒng)的安全需求出發(fā)對(duì)信息系統(tǒng)進(jìn)行保護(hù)，《基本要求》的形成過程也沿用這種思想。
對(duì)信息系統(tǒng)的定級(jí)過程反映了信息系統(tǒng)的安全需求分析過程，詳細(xì)內(nèi)容參見《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》。根據(jù)信息系統(tǒng)在國家事務(wù)中的地位、信息系統(tǒng)承載的業(yè)務(wù)的重要程度等因素確定了信息系統(tǒng)的安全保護(hù)等級(jí)，《基本要求》需要解決的問題是對(duì)于不同等級(jí)的信息系統(tǒng)提出安全保護(hù)要求。
一般信息系統(tǒng)都不能對(duì)抗所有威脅，而只能對(duì)抗部分威脅，因此都具有有限的安全性，或稱有條件的安全。低等級(jí)的信息系統(tǒng)，由于其重要性較低，其可能面臨的威脅一般也比較少，其信息系統(tǒng)的投入一般也較少，因此低等級(jí)系統(tǒng)一般僅需要對(duì)抗較少、較弱的威脅，故通常低等級(jí)系統(tǒng)僅具有較少的安全需求和較低的保護(hù)能力；而高等級(jí)的信息系統(tǒng)，由于其重要性較高，受關(guān)注度和影響也相應(yīng)較大，其可能面臨的威脅一般也比較多、較復(fù)雜，其信息系統(tǒng)的投入一般也較多，因此高等級(jí)系統(tǒng)一般需要對(duì)抗較多、較強(qiáng)的威脅，故通常高等級(jí)系統(tǒng)一般具有較多的安全需求和較高的保護(hù)能力。
上述分析表明，不同等級(jí)信息系統(tǒng)的安全需求不同，因此應(yīng)采用的安全保護(hù)策略也應(yīng)有所不同。基于這一思路，《基本要求》將信息系統(tǒng)對(duì)抗威脅能力分為對(duì)抗能力和恢復(fù)能力：
- 對(duì)抗能力——信息系統(tǒng)能夠應(yīng)對(duì)威脅的能力。
- 恢復(fù)能力——能夠恢復(fù)系統(tǒng)原有狀態(tài)的能力。
不同等級(jí)的信息系統(tǒng)應(yīng)具有不同的對(duì)抗能力，即應(yīng)能夠?qū)共煌耐{。在某些情況下，無法阻擋威脅對(duì)信息系統(tǒng)的破壞時(shí)，如果系統(tǒng)具有很好的恢復(fù)能力，那么即使遭到破壞，也能在很短的時(shí)間內(nèi)恢復(fù)系統(tǒng)原有的狀態(tài)。不同等級(jí)的信息系統(tǒng)應(yīng)具有不同的恢復(fù)能力，即應(yīng)能夠在不同的時(shí)間內(nèi)恢復(fù)系統(tǒng)原有的狀態(tài)。
對(duì)抗能力和恢復(fù)能力一起構(gòu)成了信息系統(tǒng)的安全保護(hù)能力。不同級(jí)別的信息系統(tǒng)應(yīng)具備不同的安全保護(hù)能力，即應(yīng)該具備不同的對(duì)抗能力和恢復(fù)能力。
信息系統(tǒng)應(yīng)具有的威脅對(duì)抗能力和恢復(fù)能力進(jìn)一步細(xì)化可以形成各等級(jí)的安全目標(biāo)，實(shí)現(xiàn)這些安全目標(biāo)的途徑和手段就構(gòu)成了各等級(jí)的基本安全要求。基本安全要求包括了基本技術(shù)要求和基本管理要求，基本技術(shù)要求主要用于對(duì)抗威脅和實(shí)現(xiàn)技術(shù)能力，基本管理要求主要為安全技術(shù)實(shí)現(xiàn)提供組織、人員、程序等方面的保障。
2.基本保護(hù)能力
《基本要求》4.2節(jié)給出了4個(gè)等級(jí)信息系統(tǒng)所應(yīng)具有的安全保護(hù)能力，更易于理解和更加細(xì)化的有關(guān)保護(hù)能力的描述還可以參照如下：
第一級(jí)安全保護(hù)能力：信息系統(tǒng)具有抵御一般性攻擊的能力，防范常見計(jì)算機(jī)病毒和惡意代碼危害的能力；系統(tǒng)遭到損害后，具有恢復(fù)系統(tǒng)主要功能的能力。
第二級(jí)安全保護(hù)能力：信息系統(tǒng)具有抵御小規(guī)模、較弱強(qiáng)度惡意攻擊的能力，抵抗一般的自然災(zāi)害的能力，防范一般性計(jì)算機(jī)病毒和惡意代碼危害的能力；具有檢測(cè)常見的攻擊行為，并對(duì)安全事件進(jìn)行記錄的能力；系統(tǒng)遭到損害后，具有恢復(fù)系統(tǒng)正常運(yùn)行狀態(tài)的能力。
第三級(jí)安全保護(hù)能力：信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御大規(guī)模、較強(qiáng)惡意攻擊的能力，抵抗較為嚴(yán)重的自然災(zāi)害的能力，防范計(jì)算機(jī)病毒和惡意代碼危害的能力；具有檢測(cè)、發(fā)現(xiàn)、報(bào)警、記錄入侵行為的能力；具有對(duì)安全事件進(jìn)行響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后，具有能夠較快恢復(fù)正常運(yùn)行狀態(tài)的能力；對(duì)于服務(wù)保障性要求高的系統(tǒng)，應(yīng)能快速恢復(fù)正常運(yùn)行狀態(tài)；具有對(duì)系統(tǒng)資源、用戶、安全機(jī)制等進(jìn)行集中控管的能力。
第四級(jí)安全保護(hù)能力：信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御敵對(duì)勢(shì)力有組織的大規(guī)模攻擊的能力，抵抗嚴(yán)重的自然災(zāi)害的能力，防范計(jì)算機(jī)病毒和惡意代碼危害的能力；具有檢測(cè)、發(fā)現(xiàn)、報(bào)警、記錄入侵行為的能力；具有對(duì)安全事件進(jìn)行快速響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后，具有能夠較快恢復(fù)正常運(yùn)行狀態(tài)的能力；對(duì)于服務(wù)保障性要求高的系統(tǒng)，應(yīng)能立即恢復(fù)正常運(yùn)行狀態(tài)；具有對(duì)系統(tǒng)資源、用戶、安全機(jī)制等進(jìn)行集中控管的能力。
3.技術(shù)模型和管理模型
《基本要求》中各級(jí)別要求的逐級(jí)提高主要是在技術(shù)要求遵循的是PDR模型，管理要求主要遵循的是SSE-CMM模型（系統(tǒng)安全工程-能力成熟度模型）。技術(shù)上，第一級(jí)要求主要集中在對(duì)信息系統(tǒng)提供基本的安全防護(hù)，從第二級(jí)開始提出了安全檢測(cè)和安全審計(jì)的要求，是安全保護(hù)從靜態(tài)防護(hù)擴(kuò)大到動(dòng)態(tài)監(jiān)測(cè)，第三級(jí)的安全要求進(jìn)一步加強(qiáng)了對(duì)安全事件的響應(yīng)和恢復(fù)能力，使安全防護(hù)從事前延伸到事后。第四級(jí)強(qiáng)調(diào)統(tǒng)一安全策略下的安全保護(hù)。管理上，第一級(jí)信息系統(tǒng)僅需要有部分必要的安全管理制度，第二級(jí)要求重要活動(dòng)都需要建立相關(guān)的管理制度和流程，第三級(jí)要求建立全面的安全管理體系，第四級(jí)要求所建立的安全管理體系具有持續(xù)的自身改進(jìn)能力。
4.控制點(diǎn)的標(biāo)注
《基本要求》的技術(shù)類安全要求按其保護(hù)的側(cè)重點(diǎn)不同，將所有的控制點(diǎn)分為三類：
業(yè)務(wù)信息安全類（S類）——關(guān)注的是保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、處理過程中不被泄漏、破壞和免受未授權(quán)的修改。如，訪問控制，該控制點(diǎn)主要關(guān)注的是防止未授權(quán)的訪問系統(tǒng)，進(jìn)而造成數(shù)據(jù)的修改或泄漏。
系統(tǒng)服務(wù)安全類（A類）——關(guān)注的是保護(hù)系統(tǒng)連續(xù)正常的運(yùn)行，避免因?qū)ο到y(tǒng)的未授權(quán)修改、破壞而導(dǎo)致系統(tǒng)不可用。如，資源控制，該控制點(diǎn)很好的體現(xiàn)了對(duì)業(yè)務(wù)正常運(yùn)行的保護(hù)。通過對(duì)資源的使用限制、監(jiān)視和預(yù)警等控制，保證了重要業(yè)務(wù)的正常運(yùn)行。
通用安全保護(hù)類（G類）——既關(guān)注保護(hù)業(yè)務(wù)信息的安全性，同時(shí)也關(guān)注保護(hù)系統(tǒng)的連續(xù)可用性。大多數(shù)技術(shù)類安全要求都屬于此類，保護(hù)的重點(diǎn)既是為了保證業(yè)務(wù)能夠正常運(yùn)行，同時(shí)數(shù)據(jù)要安全。如，物理訪問控制，該控制點(diǎn)主要是防止非授權(quán)人員物理訪問系統(tǒng)主要工作環(huán)境，由于進(jìn)入工作環(huán)境可能導(dǎo)致的后果既可能包括系統(tǒng)無法正常運(yùn)行（如，損壞某臺(tái)重要服務(wù)器），也可能竊取某些重要數(shù)據(jù)。因此，它保護(hù)的重點(diǎn)二者兼而有之。
5.逐級(jí)增強(qiáng)的特點(diǎn)
不同等級(jí)的信息系統(tǒng)安全保護(hù)能力不同，具體體現(xiàn)在各等級(jí)的安全要求不同，總體上看各個(gè)級(jí)別的安全要求逐級(jí)增強(qiáng)。具體表現(xiàn)在三個(gè)方面：控制點(diǎn)增加、同一控制點(diǎn)的要求項(xiàng)強(qiáng)度增強(qiáng)。而要求項(xiàng)增強(qiáng)也可以表現(xiàn)為項(xiàng)數(shù)增加、要求范圍擴(kuò)大和要求細(xì)化。
