信息安全测评认证系列文章之二--信息安全产品等级评估综述

一、等级评估简介现代社会越来越依赖于信息系统,信息系统的安全性也越来越成为企业、团体、乃至国家效益与稳定的关键。国家的信息化程度越高,其所面临的信息安全挑战就越多。如何成功地处理信息安全问题,从而在充分利用信息技术发展带来的好处的同时,保障发展的安全,具有极大的现实意义。网络安全产品分级评估的对象是信息技术产品和系统的安全功能及相应的保证措施,评估过程是为满足这些要求的产品和系统的安全功能以及相应的保证措施确定一个可信级别,使各种独立的安全评估结果具有可比性。不同的应用场合(或环境)对信息技术产品或系统…     

从信息安全等级保护看我国信息安全产品现状

随着我国信息安全等级保护制度的建立信息安全等级保护工作的不断推进信息系统对信息安全产品各种要求内涵在不断延伸．对信息安全产品的可控性、可靠性．安全性和可监督性要求越来越高。我国现有信息安全产品现状如何．能否满足信息安全等级保护的需要．如何生产出符台信息安全等级保护需要的产品等等都是我国信息安全界普遍关心的问题。     

产品等级评估清晰界定安全能力

做好信息系统的安全保障工作需要多少投资?许多信息系统的主管往往心中无数。同样的,科研单位和企业应该开发什么样的安全产品?信息安全专家应该如何对安全产品进行正确的评审?信息安全职能部门应该如何对信息系统的安全工作进行有效监督?这往往也很难说清楚。 这些问题如不解决,将导致国家信息安全科学技术水平和整体信息安全保护能力很难提高。为此,国家信息化领导小组决定加强信息安全保障工作,实行信息安全等级保护。这一重大决定,明确落实了《中华人民共和国计算机信息系统安全保护条例》中关于实行信息安全等级保护制度的有关规定。对信息系统实行等级保护是国家法定制度和基本国策,是开展信息安全保护工作的发展方向。实行信息安全等级保护的决定具有重大的现实和战略意义。 信息安全产品是信息系统等级保护的基础。因此,对信息安全产品进行等级认证就显得尤为重要,它将为信息系统安全建设提供重要的依据和切实保障。 本期CSO沙龙将和您一起探讨信息安全产品等级认证在等级保护中所发挥的作用。     

等级保护，你做好准备了吗？

我国将在2003年启动信息系统安全等级保护和网络身份认证管理服务体系,对计算机信息系统分五个安全等级加以保护。相关的计算机安全产品的检测也要划分等级,这是我国信息安全业界的一件大事,它直接关系到各行业信息系统的建设和管理,涉及到标准、立法、技术、监管等诸多方面,是一项综合、复杂的社会化工程,将使我国信息安全整体防护能力得到提高。 对于这项关系到国计民生的大工程,中国工程院沈昌祥院士认为,安全标准的体系化建设可以形成并促进我国四大类重要产业的发展:一、信息安全产品制造业,其中包括安全操作系统、数抵库、路由器、服务器等产品应由国内企业生产;二、信息安全保护服务业,等级保护制度的实施可以带动如安全等级检测评估、风险评估、安全等级保护咨询、安全登记管理与技术培训、防入侵检测与应急、灾难恢复、计算机病毒防护等网络安全服务产业;三、IT产业,国家等级保护制度具有强制性,对安全等级保护技术及产品保全自主和国产化的政策可以带动一大批IT产业的国产化发展;四、各类网络应用,包括电子政务、数字化城市的发展以及在此基础上的其他应用服务。 可以预见,随着国家相关政策和标准的出台,信息安全产业结构必将经历重大的变革,重组不可避免,当大风把空气中浮动的迷雾吹散后,人     

采供血机构信息安全等级保护建设方案与实践

随着采供血业务对信息系统的依赖程度越来越高,信息安全问题日益突现,本文以《计算机信息等级划分标准》(GB17859-1999)为依据从技术角度探讨信息安全等级保护技术在采供血机构中的实践,希望能对信息安全工作的人有所启发和帮助。     

信息安全产品可信程度的确定

公安部、国家保密局、国家密码管理工作办公室和国务院信息办联合签发的《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)，提出“国家对信息安全产品的使用实行分等级管理”和“对信息系统中使用的信息安全产品的等级进行监督检查”。这些意见确定了在信息安全等级保护工作中，国家对信息安全产品管理的基本思路和基本要求。如何落实这些思路和要求，是一个值得探讨的问题。     

信息安全等级保护技术测评常见问题的分析与对策

近年来,我国信息安全形势严峻,黑客攻击、病毒感染、信息泄密等安全问题日益突出,威胁着我国的社会稳定和国家安全。信息安全等级保护是保障我国信息安全的基本制度。通过对被测信息系统进行测评,可以帮助被测单位验证信息系统是否具备相应安全保护能力,提高其信息安全建设和保障能力。文章着重阐述了被测三级信息系统（S3A3G3）技术测评中普遍存在的一些安全问题,分析了其形成原因,探讨了相应的解决对策。     

“第四期信息安全专用产品标准培训会”在上海召开

为配合信息安全等级保护安全建设整改工作的开展,密切等级保政策与信息安全产品管理工作之间的联系,由公安部网络安全保卫局指导,公安部计算机信息系统安全产品质量监督检验中心主办的“第四期信息安全专用产品标准培训会”于2012年3月29日至30日在上海召开,全国44家信息安全企业的67名厂家代表参加了培训。会上,     

浅谈信息安全产品标准如何体现等级保护的要求

文章从国家等级保护系统建设的基本要求出发,结合作者在信息安全产品检测以及系统测评中的实际经验,阐述了以等级保护要求为基础实施信息安全产品分级管理的必要性,并就信息安全产品标准分级实施的可行性及方法进行了探讨。     

基于信息安全等级保护的安全测评服务框架研究

在等级保护工作全面开展的大背景下,等级测评机构如何发挥更大的技术支撑作用引起了业界广泛的关注。文章分析了等级保护工作面临的新挑战,提出了基于信息安全等级保护的安全测评服务框架。安全测评服务框架以信息安全相关标准为基础,以信息安全等级保护实施流程为时间线,针对信息系统备案单位在不同阶段的安全需求及工作重点开展有针对性的安全测评服务,提升信息系统备案单位信息安全管理水平及信息系统安全防护能力。等级测评机构可以通过安全测评服务框架充分发挥其信息安全专业机构的技术能力,在等级保护工作中发挥更大作用。     

无线局域网中实现信息系统安全等级保护的要求

文章对无线网络安全防护措施进行了分析,并以安全保护等级为三级（S3A3G3）的信息系统为例,给出了《信息安全技术信息系统安全等级保护基本要求》以及网络安全层面要求与无线安全防护措施的对应关系。     

一种风险评估和等级防护相结合的信息风险预测系统

信息安全问题越来越严重,仅仅依靠单一的产品预防根本无法安全有效地保护公司网络信息系统。对此设计一套应用于公司安全风险等级评估系统。风险评估是按照国家有关标准、规范,从信息系统的完整性、保密性及可用性等因素进行综合分析的过程。它和等级保护相结合成为一种有效的风险分析手段。该系统基于等级测评和风险评估相结合的理论,通过建立信息资产风险库,将信息风险和对应的风险等级建立连接。通过对公司信息进行相应的监测,自动测算出每一个系统的风险概率,并提出相应的风险预防措施。整个软件平台经多次测试结果表明,系统运行达到应有的效果。     

卷首语

信息网络的安全保障,涉及到多个角色。首先是各类信息系统的建设运营单位,他们要根据国家的有关法律法规和自身的安全需求,采取技术和管理手段保障自身信息系统的安全;其次是向社会提供信息安全产品和服务的专业企业,他们要以各具特色、可信可靠的产品和服务满足各类用户的安全     

医院信息安全等级保护整改设计研究

在满足等级保护合规性安全要求的前提下,医院需要结合信息系统的特点与实际安全需求,落实等级保护.因此,切实提高医院信息系统的防篡改、防窃密、防攻击、防病毒等能力,是一个亟待解决的问题.主要分析了当前医院的信息安全建设现状,并基于此提出了信息安全等级保护整改设计方案,详细阐述了方案目标、设计内容,为等级保护提供一定参考.     

企业信息安全工作实践

信息安全的重要性越来越受到国家和企业的重视,信息安全等级保护相关规范的出现,给各个企业的信息安全工作提供了一个很好的抓手,企业应该针对不同的信息系统,按照要求从定级、备案、安全建设和整改、等级测评五个方面入手开展企业信息安全工作,不仅能满足国家相关要求,也能从技术和管理两个方面开展工作,搭建企业信息化安全体系架构,提升企业的信息安全整体能力。     

安全分级：策略至上

实行信息安全产品的分级认证是推行信息安全产品等级保护的关键问题,而在这其中,尤为关键的是:我们不能将分级管理停留在概念上。     

首届全国信息安全等级保护技术研讨会(ICSP’2012)征文通知

基础信息网络与重要信息系统是国家关键基础设施,面临着日益严峻的威胁与挑战。信息安全等级保护制度是我国信息安全保障工作的基本制度,开展信息安全等级保护工作是保护我国信息化健康发展、维护基础信息网络与重要信息系统安全的根本保障。信息安全等级保护制度在实施过程中涉及到许多关键技术和产品,迫切需要开展针对关键技术、产品的研究和攻关,建立起以等级保护技术为核心的信息安全技术体系,推动等级保护工作的     

2009年我国信息安全产品发展和管理工作情况分析

近年来,我国信息安全产品数量、类型不断增多、技术水平不断发展进步,应用日趋广泛。产品销售许可管理制度确保了各类产品在信息系统中的安全应用,在我国信息安全保障领域发挥了重要作用。随着国家信息安全等级保护制度的全面落实,信息安全产品成为等级保护安全建设整改工作的重要基础。为支持并服务于等级保护工作,满足各等级信息系统安全保护需求,公安部计算机信息系统安全产品质量监督检验中心自2008年以来开展了产品分级检测工作。     

关于美国信息系统等级保护和信息产品策略的研究

分析美国信息系统分级的思路,从信息系统的分级、安全措施的选择以及安全产品的策略三个方面对联邦和国防部进行了比较,得出了系统处理信息的重要性可以作为划分等级的重要依据以及坚持信息安全技术和产品的发展要始终处于政府的监督、引导和控制之下的结论。这对于我国信息系统和产品等级保护工作有重要的借鉴意义。     

浅谈金融业信息系统等级保护工作的常态化简

近年来,信息系统信息安全等级保护制度已成为我国一项基本国策,如何持续地做好将信息系统等级保护工作,提高自身信息系统安全防御能力,已成为金融机构必须关注的问题。本文主要结合人民银行实际的信息安全管理工作,对单位开展信息安全等级保护工作的情况进行了分析,并就如何实现信息系统等级保护工作常态化提出了几点想法。