【虚构案例声明】 本课程中的"美好家园"物业集团、"清华园社区"、"智慧邻里2.0"项目及全部人物均为教学所用的虚拟项目与虚构人物，详见第 01 讲首次声明。
一、上节作业讲评
1.1 刘副主任的三个问题
上一讲的核心作业：数据治理小组第一次开会，街道办刘副主任提出，清华园的人脸数据和业主信息属于重要的个人信息，集团平台上线前必须通过网络安全等级保护测评，否则街道不给二期的社区服务对接。周总问你三个问题：等级保护是什么、我们该定几级、定级以后要做什么。
先给你一个一分钟版本的答案，本讲后面再逐条展开。
等级保护是什么：国家把信息系统、通信网络设施和数据资源按"被破坏以后会伤害谁、伤害到什么程度"分成五个等级，等级越高，要求的安全保护能力越强。这不是行业自律，是《网络安全法》确立的制度，教材 4.2.3 节专门讲。
该定几级：定级看两件事，一是被破坏后侵害的对象是公民法人的合法权益、还是社会秩序和公共利益、还是国家安全；二是侵害程度是一般损害、严重损害还是特别严重损害。清华园一期单小区系统，主要影响业主个人权益，二级的可能性大；集团平台服务五十个小区、对接街道的社区服务，涉及社会秩序和公共利益，三级的可能性大。最终定几级，要开定级评审会，并以属地公安机关的意见为准，我们不能自己拍板。
定级以后做什么：按定下来的等级，对照 GB/T 22239 基本要求补齐技术和管理两方面的差距，再请测评机构做等级测评，测评通过才算过关。这件事要写进二期的工作分解结构和预算，不能上线以后再补。
周总听完会问第四个问题："要多少钱、多长时间？"这个问题本讲第七节回答。
二、一道绕不过去的门：本讲目标
2.1 为什么项目经理必须懂等保
第 7 讲讲了信息安全的技术，防火墙、入侵检测、加密、态势感知，那是"能不能防住"。第 12 讲讲了数据安全的管理，等级划分、访问控制、安全审计，那是"管不管得住"。本讲讲的是第三层："国家认不认"。技术再好、管理再严，没有按国家的等级保护制度定级、整改、测评，系统就没有合法上线的资格。刘副主任那句"不通过就不对接"，说的就是这个。
高项考试对这一节的要求不高也不低：CIA 三要素几乎年年考，等保五级和能力四级 2025、2026 连续两年考，信息安全管理体系的活动清单偶尔考"不属于"。但对项目经理的实际工作来说，这一节是模块二里最贵的一节，等保整改和测评的投入，往往占到项目安全预算的大头。
本讲要拿下三件事：
第一，教材 4.2.3 节的三块内容：CIA 三要素及其局限性、信息安全管理体系十一项活动与安全管理机构五步、网络安全等级保护的五级划分与四级能力。
第二，等保背后的三部法律和它们的生效日期，以及 2026 年起《网络安全法》修订的变化。
第三，把等保变成"智慧邻里2.0"集团平台的一份定级推演和一个工作包，回答周总"多少钱多长时间"的问题。
2.2 本讲任务地图
| 任务 | 教材位置 | 考试形态 | 项目落点 |
|---|---|---|---|
| CIA 三要素与局限性 | 4.2.3 第 1 点 | 三要素不包括、广义五属性 | 安全目标 |
| 信息安全管理体系 | 4.2.3 第 2 点 | 活动不属于、机构建设步骤 | 集团安全组织 |
| 等保 1.0 到 2.0 | 4.2.3 第 3 点开头 | 实施日期、对象扩展 | 立项依据 |
| 定级五级 | 4.2.3 第 3 点 1) | 给侵害描述判级 | 定级报告 |
| 能力四级 | 4.2.3 第 3 点 2) | 给能力描述判级 | 整改清单 |
| 三部法律 | 教材第 24 章、速查表 | 生效日期、适用范围 | 合规依据 |
三、核心内容精讲：CIA 三要素与信息安全管理体系
3.1 CIA 三要素与它的局限
教材口径：CIA 三要素是保密性、完整性和可用性三个词的缩写。CIA 是系统安全设计的目标。保密性、完整性和可用性是信息安全最为关注的三个属性，因此这三个特性也经常被称为信息安全三元组。
第 7 讲已经按教材 2.1.4 节把三个属性的定义讲透了，这里补 4.2.3 节新增的两句话。
第一句，广义的信息安全有五个属性。教材口径：从广义上来说，凡是涉及网络上信息的保密性、完整性、可用性、真实性和可核查性的相关技术和理论都属于信息安全的研究领域。三要素之外的真实性和可核查性，就是第 7 讲讲数字签名时说的"来源可信"和"不可抵赖"，考试出"不属于 CIA 三要素"时，真实性、可核查性、不可抵赖性都是正确答案的候选。2023 年下半年第 1 批第 30 题的答案就是"不可抵赖性"，2024 年上半年第 1 批第 69 题直接问三要素是哪三个，答案是保密性、完整性、可用性。
第二句，CIA 有局限。教材口径：CIA 关注的重心在信息，虽然这是大多数信息安全的核心要素，但对于信息系统安全而言，仅考虑 CIA 是不够的。教材说 CIA"可以作为规划、实施量化安全策略的基本原则，但是我们也应该认识到它的局限性"。这句话是判断题的常客，把"CIA 涵盖了信息系统安全的全部要求"作为错误选项。为什么不够？因为 CIA 说的是信息的三个属性，没说人、组织、制度、法律，而等级保护恰恰是从"组织和制度"这一头来管安全的。
教材第 4 章课后练习第 5 题问"确保所传输的数据只被其预定的接收者读取"是哪个属性，答案是保密性。这道题和第 7 讲讲的三属性原句对应：保密性是不被未授权者知晓。
3.2 信息安全管理体系十一项活动
教材口径：信息系统安全管理是对一个组织机构中信息系统的生存周期全过程实施符合安全等级责任要求的管理，主要包括十一项：落实安全管理机构及安全管理人员，明确角色与职责，制定安全规划；开发安全策略；实施风险管理；制订业务持续性计划和灾难恢复计划；选择与实施安全措施；保证配置、变更的正确与安全；进行安全审计；保证维护支持；进行监控、检查，处理安全事件；安全意识与安全教育；人员安全管理。
注意定义里那句"符合安全等级责任要求"，信息安全管理和等级保护在教材里是一体的：先定等级，再按等级的责任要求来管。