CACA是以下四个单词的首字母,即信息安全主要表现在如下几个方面：机密性（Confidentiality）：反映了信息与信息系统的不可被非授权者所利用；真实性（Authentication）：反映了信息与信息系统的行为不被伪造、篡改、冒充。；可控性（controllability）：反映了信息的流动与信息系统可被控制者所监控；可用性（Availability）：反映了信息与信息系统可被授权者所正常使用。

数字证书是由证书管理机构即数字证书认证中心签发的不可伪造的在网络上标识通讯各方身份信息的一系列数据的电子文件。数字证书是互联网上的网络身份证，它具有电子签名及信息加密两大功能，能在互连网上起到身份确认，保障信息的安全和完整及信息的不可否认性等作用。其在实际应用中能有效地解决上述两个问题：一、能有效地解决如网上商店、网上银行、网上政府等相关操作方的身份认证问题，确保网络上身份的是真实的、不可假冒的，并能有效地保障相关操作信息安全性、完整性及不可否认性。即采用数字证书能有效地建立一个安全可靠的网络上的可信任环境；二、应用数字证书特定的电子签名功能对相关的网络操作或传输信息进行电子签名并加盖时间戳电子印记，通过数字认证中心的第三方验证可起到防抵赖、防否认和防假冒的作用，能为处理可能出现的网上行为纠纷提供可靠有效的法律证据。

企业日常业务绝对离不开电子邮件，企业必须强制所有发出的 Email 要使用发件人的个人证书数字签名，而对于机密信息必须使用个人证书加密发送，这样，即使其他非指定收件人收到邮件也无法打开阅读，只要这样才能保证通过电子邮件发送的机密信息不会被非法窃取和非法外泄。而为了控制机密信息的非法转发，则可以把机密信息转化为PDF文件并使用特定的证书加密。
   同时邮件服务器也要部署 SSL 证书，邮件服务器的 Web 方式登录也要升级为使用客户端证书的强身份认证方式，并允许用户设置为不允许用户名 / 密码方式登录，或干脆取消用户名 / 密码方式登录。而邮件服务器的 SSL 证书部署保证了用户 Web 方式收发邮件时自动加密从浏览器到邮件服务器的信息传输。

可以参考电力行业信息系统安全等级保护定级工作的详细步骤。全文如下：
为贯彻落实公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）和《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）要求，提高电力行业网络和信息系统的信息安全保护能力和水平，定于2007年8月至10月在电力行业组织开展信息系统安全等级保护定级工作。现就有关事项通知如下：

一、工作组织

电力行业网络与信息安全领导小组：统一协调领导电力行业信息系统安全等级保护定级工作。

电力行业网络与信息安全领导小组办公室（以下简称领导小组办公室）：具体负责组织开展电力行业信息系统安全等级保护定级工作，监督指导信息系统运营使用单位的定级工作。

电力行业信息系统安全等级保护定级工作专家组（以下简称专家组）：对电力行业信息系统安全定级工作进行指导、咨询，对定级结果进行评审。

各有关电力公司（名单附后）等级保护责任部门（以下简称公司责任部门）：负责组织开展本单位（系统）信息系统安全等级保护定级工作。

信息系统运营使用单位（以下简称运营使用单位）：具体负责所运营、使用的信息系统的安全定级工作。

技术支持单位：中国电力科学研究院信息安全研究所等单位为本次信息系统安全定级工作的技术支持单位，负责提供技术支持。

二、主要工作内容

1、摸底调查

各公司责任部门要组织本系统的信息系统运营使用单位，开展对所属网络和信息系统的摸底调查工作，全面掌握信息网络和信息系统的数量、分布、业务类型、系统结构、应用或服务范围等基本情况。

2、初步定级

各单位在摸底调查的基础上，要按照《信息安全等级保护管理办法》（以下简称《管理办法》，附件1）和《信息系统安全等级保护定级指南》（附件2）的要求，确定各定级对象。并初步确定定级对象的安全保护等级，起草定级报告（报告模板见附件3）。各公司责任部门将本单位（系统）运营使用单位的定级报告汇总后统一报送领导小组办公室。

涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。

3、评审

领导小组办公室组织专家对上报的定级报告进行分类评审。评审后领导小组办公室印发《电力行业信息系统安全等级保护定级实施指南》，指导各电力公司和信息系统运营使用单位的定级工作。

对于跨电力公司联网运行的信息系统，由领导小组办公室统一确定安全保护等级。

对于属同一电力公司，但跨省联网运行的信息系统，由公司责任部门统一确定安全保护等级。

对于通用信息系统，由领导小组办公室提出安全保护等级建议，运营使用单位自主确定安全保护等级。

对于运营使用单位所特有的信息系统，各运营使用单位自行确定安全保护等级。

对拟确定为第四级以上信息系统的，由领导小组办公室邀请国家信息安全保护等级专家评审委员会评审。

4、审批与备案

根据《管理办法》，信息系统安全等级确定为二级以上的信息系统运营使用单位到公安部网站下载《信息系统安全等级保护备案表》（见附件4）和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，第二级信息系统的备案单位只需填写备案表中的表一、表二和表三，第三级以上信息系统的备案单位还应当同时提交备案表表四所列各项内容的书面材料。

各运营使用单位要参照《电力行业信息系统安全等级保护定级实施指南》，结合本单位实际，填写备案表，由公司责任部门审定后，统一汇总报送领导小组办公室审批。

备案表经领导小组办公室审查批准后，各有关单位应根据下列要求到公安机关办理备案手续。

（1）跨电力公司联网运行，且由领导小组办公室统一确定安全等级的信息系统，领导小组办公室负责统一向公安部办理备案手续。

（2）电力公司内部跨省联网运行，且由公司责任部门统一确定安全等级的信息系统，由公司责任部门负责统一向公安部办理备案手续。

（3）其它信息系统的由运营使用单位直接向当地设区的市级以上公安机关备案。

（4）跨省联网运行的信息系统，在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。

涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级 保护备案表》（见附件5），按照属地化管理原则，中央和国家机关单位的涉密信息系统向国家保密局备案；地方单位的涉密信息系统向所在地的市（地）级以上保密工作部门备案；中央和国家机关地方所属单位的涉密信息系统，向所在地的省级保密工作部门备案。

5、备案管理

公安机关和国家保密工作部门负责受理电力行业信息系统等级保护定级备案，并进行备案管理。信息系统备案后，公安机关对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，将通知备案单位予以纠正。发现定级不准的，通知运营使用单位或者领导小组办公室重新审核确定。各级保密工作部门加强对涉密信息系统定级工作的指导、监督和检查。

三、进度安排

动员部署阶段，8月15日前印发通知，对定级工作进行动员部署。

摸底调查及初步定级阶段，8月31日前完成。开展信息系统基本摸底调查，初步确定定级对象的安全保护等级，起草定级报告。

评审阶段，9月24日前完成。领导小组办公室对上报的初步定级报告进行分类评审，并编制印发《电力行业信息系统安全等级保护定级实施指南》。

审批与备案阶段，10月15日前完成。各运营使用单位按照《电力行业信息系统安全等级保护定级实施指南》，填写备案表并上报领导小组办公室审核，审核批准后按要求向公安机关备案。

总结阶段，10月20日前完成。各公司责任部门对本单位（系统）信息系统安全定级工作进行总结，并向领导小组办公室报送总结报告。领导小组办公室对行业信息系统安全定级工作进行总结，并报送公安部。

 
四、工作要求

1、加强领导，落实保障

各电力公司要按照领导小组办公室的统一部署，明确等级保护责任部门，加强组织领导，及时掌握工作进展情况。信息系统运营使用单位要落实责任部门、责任人员和经费，保障定级工作顺利进行。

2、明确责任，密切配合

信息系统的运营使用单位是安全等级保护工作的责任主体，要切实落实运营使用单位的责任。电力公司对所属单位信息系统的安全等级保护工作负总责，各单位要承担起本单位（本系统）信息系统安全等级保护工作的组织管理职责。

各电力公司、各运营使用单位要按照领导小组办公室的部署，积极协调做好本系统、本单位信息系统的安全等级保护工作。

3、动员部署，开展培训

各单位要按照统一部署，广泛进行宣传动员，举办形式多样的培训班、研讨班等，层层培训。领导小组办公室将根据电力行业特点，按照国家要求，会同有关专业培训单位，组织开展电力行业等级保护培训工作。

4、及时总结，提出建议

各电力公司、运营使用单位要结合本单位、本系统开展定级工作的实际，认真总结经验和不足，提出改进和完善定级方法的意见和建议。各公司责任部门要及时总结定级工作经验，形成定级工作总结报告，及时报送领导小组办公室。

此次定级工作完成后，领导小组办公室将按照《管理办法》和有关技术标准，继续组织开展信息系统安全等级保护的系统建设或整改、等级测评、自查自纠等后续工作。