信息安全等级测评师素质模型分析

随着信息安全等级保护工作在全国范围内的开展,信息安全等级测评体系的建设与测评工作已成为开展信息安全等级保护工作的关键环节。测评体系建设和测评工作实施的主体是测评机构和测评人员,等级测评师的岗位素质关系到信息安全等级保护测评工作的有效开展。本文通过文献研究、行为事件访谈法和问卷法等研究方法,建立了拥有4个维度、16个项目的适合信息安全等级测评师的通用素质模型。并对信息安全等级测评师素质模型进行了研究分析,为等级测评机构进行等级测评师的招聘、选拔和培训工作提供了新的理论依据。     

基于信息安全等级保护的安全测评服务框架研究

在等级保护工作全面开展的大背景下,等级测评机构如何发挥更大的技术支撑作用引起了业界广泛的关注。文章分析了等级保护工作面临的新挑战,提出了基于信息安全等级保护的安全测评服务框架。安全测评服务框架以信息安全相关标准为基础,以信息安全等级保护实施流程为时间线,针对信息系统备案单位在不同阶段的安全需求及工作重点开展有针对性的安全测评服务,提升信息系统备案单位信息安全管理水平及信息系统安全防护能力。等级测评机构可以通过安全测评服务框架充分发挥其信息安全专业机构的技术能力,在等级保护工作中发挥更大作用。     

“中关村信息安全测评联盟”在深圳成立

自2009年全国信息安全等级保护测评体系建设工作开展以来,全国已有131家测评机构列入《全国信息安全等级保护测评机构推荐目录》,培训考试通过的测评师人数已达3103人,其中初级测评师2043人、中级测评师769人、高级测评师291人。经过五年多的实践锻炼,测评体系建设基本实现了测评力量专业化、测评管理规范化、测评技术标准化,这支覆盖全国的测评力量在推进国家信息安全等级保护工作中发挥了     

数据安全之剩余信息保护

随着信息化进程的加快,全球信息量呈爆炸式增长。随之而来的数据安全问题也日益增多,侵犯个人隐私、窃取个人信息等违法犯罪行为时有发生,数据安全问题日趋严重,已经成为影响国家公共安全、社会安全的突出问题。数据安全中的一个重要问题是对剩余信息的保护,即对用户使用过的信息,当该用户不再使用或不再存在时,应当采取一定的措施进行保护,防止剩余信息造成用户隐私的泄露。论文从标准要求、保护对象、在等级保护测评中面临的挑战、检测方法等多方面对剩余信息保护进行了分析,为等级保护测评中的剩余信息保护测试提供了全方位的技术支撑。     

征文通知

为加强信息安全等级保护测评体系建设,提高等级测评机构技术能力和水平,及时总结和交流等级测评工作经验,积极应对信息技术发展带来的新问题、新挑战,进一步推进信息安全等级保护测评工作的顺利开展,全国信息安全等级保护测评体系建设工作会议拟于2012年7月份召开。     

浅谈二级信息系统等级测评的实施与体会

等级测评是开展信息安全等级保护工作的关键环节,是保障已定级信息系统科学、合理开展安全整改工作的主要抓手。为深化我市等级保护工作,主动应对互联网技术与信息化应用的快速发展,积极推进各重点单位开展等级测评和安全整改工作,2011年10月,我支队自主研发了“二级信息系统安全自测评平台”,通过该平台实现对全市二级信息系统等级保护工作的主动化、信息化、动态化管控,有效提升信息安全等级保护工作效能。     

征文通知

为有力推动信息安全等级保护测评体系建设,总结和交流全国信息安全等级测评机构的工作经验,保障信息安全等级保护测评工作的顺利开展,全国信息安全等级保护测评体系建设工作会议拟于2011年6月份召开。     

石化等级测评活动的质量控制浅析

质量控制是等级测评活动公正性、客观性和保密性的根本保证。当前,国内还没有形成以等级测评活动为主体的质量管理体系标准,对等级测评活动过程中的质量控制,成为等级测评工作研究的重点难点。论文通过对信息系统安全等级保护政策法规体系和标准规范体系的研究,对等级测评活动的质量控制进行了分析,给出了具体实施建议和参考。     

浅谈行业测评机构在等级保护工作中的作用

文章结合行业测评机构近年来等级保护工作实践,介绍了行业测评机构的概况、行业标准规范的研究与编制,探讨了如何在信息系统全生命周期各阶段中开展等级保护工作,分析归纳了行业测评机构在开展等级保护工作中可以发挥的技术支撑作用。     

陕西省举办信息安全等级测评机构颁发仪式

近日,陕西省信息安全等级保护测评机构资质颁发仪式在陕西宾馆隆重举行。陕西思安信息网络安全有限公司、西安尚易安华信息科技有限责任公司、西安捷润数码科技有限公司获得国家信息安全等级保护测评机构能力评估合格证书。     

信息安全等级保护测评工作中存在的一些问题探讨

文章从等级保护标准及其理解和把握,以及测评结论、量化分级和新技术等层面,对目前等级保护测评工作中存在和面临的一些问题加以总结和探讨,分析了问题本身,并且提出了一些建议,旨在进一步推动等级保护测评工作的进步与发展。     

等级保护测评库的建立与完善工作探讨

文章通过对等级保护测评机构工作职责、自身优势等方面的客观研究分析,提出测评机构在信息安全等级保护制度贯彻落实过程中,在完成等级测评任务的同时,充分发挥作用,整合有限资源,全力支持公安机关网络安全部门开展等级保护状况分析与评价工作,协助公安机关全面总结本地区各行业、各部门等级保护工作情况,助力公安机关持续深入地推进等级保护工作的周期性开展。     

渗透测试在信息系统安全等级测评中的应用

信息安全等级测评中,对于不同等级的信息系统有不同强度的要求,通过渗透技术可以发现该目标系统的漏洞,并验证等级测评中发现的安全问题,渗透技术在等级测评过程中尤为重要。本文简要介绍了信息系统安全等级保护测评方式及工具,同时介绍了渗透技术的原理和步骤,详细说明了渗透测试工具在信息系统安全等级测评中的应用。分析说明合理使用渗透测试可以进一步对系统进行深层的评估,有助于增加等级测评结论的全面性和准确性。     

基于测评知识库的自动评价系统研究

等级测评的技术测评报告是国家信息安全职能部门监督、检查信息系统运营使用单位执行信息安全等级保护制度情况的重要参考。本文设计了一个等级测评自动评价系统,该系统采用面向对象的知识分析方法,构建了等级测评知识库体系。同时,提出了拓扑结构展示和业务流程展示方法,并给出了基于知识库的等级测评自动评价系统的基本规则。该系统给出了一种等级测评自动评价过程,弥补了人工主观评价测评结果的缺陷,能够利用事实型知识、过程型知识以及规则型知识自动形成单个测评项的测评结果,结合业务流程与渗透测试情况进行关联分析和自动处理,进而得到单个测评项的关联分析结果和安全控制测评结果,并形成等级测评结论,实现了测评结论的准确性、可重现性和客观性。     

物联网和云计算对等级测评的影响探究

信息安全等级保护制度是国家信息安全保障工作的基本制度和基本策略。而等级测评是用来检验和评价信息系统安全保护水平的重要方法。新技术的出现如云计算、物联网、三网融合等,给传统等级测评技术带来了新的挑战。本文以物联网和云计算为代表,探讨了新技术发展对等级测评产生的影响,旨在推动等级测评技术的发展,为其深入研究提供理论参考。     

基于风险权值的等级评测模型研究

信息安全风险评估作为信息安全保障工作的基础性工作和重要环节,要贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段,是信息安全等级保护制度建设的重要科学方法之一。文章基于风险评估的核心思想,从现有的风险评估和等级测评模型入手,介绍了风险评估的框架、流程,还分析了现有等级测评的基本流程和等级测评模型。并进一步建立了一种新的基于风险权值的等级测评模型。该模型在对整个信息系统的符合情况进行统计分析时,用风险权影响统计分析结果。使统计分析结果更贴近信息系统的实际安全状况,解决了统计分析结果受信息系统规模大小的影响。     

PDCA循环在等级测评项目质量管理中的应用探析

信息安全等级保护测评是等级测评机构依据国家信息安全等级保护制度,按照有关管理规范和技术标准,对国家重要信息系统安全等级保护状况进行检测评估。文章阐述了PDCA循环在等级测评项目质量管理中的应用,并最终得出通过在等级测评项目中应用PDCA循环,极大地提高了项目整体质量,确保实施项目质量目标。     

一种新的信息安全测评系统与方法的研究

信息安全风险测评是一个综合的复杂的系统过程,必然涉及到方方面面的众多因素,错综复杂,交错依赖.利用自动化的风险测评工具,人们可以提高风险分析与测评的效率.本文设计并实现了一个信息安全测评系统,风险测评系统实现了风险管理平台中信息收集层及信息处理层的功能,融合了漏洞扫描技术、威胁识别技术和风险测评技术.     

测评机构如何在等级保护工作中发挥更大作用

信息安全等级保护制度是我国信息安全保障工作的基本制度,如何更好地开展等级保护工作,充分发挥测评机构的技术优势,是当前面临的一个重要课题。文章对测评机构如何在等级保护工作中发挥更大的作用,更好地推动等级保护工作的开展,提出了一些思路和想法。     

在医疗机构中开展信息安全等级保护测评实践和探讨

卫生信息化已成为国家卫生事业“十二五”规划的重要组成部分,2012年正处于“十二五”规划的起步之年,全国卫生信息平台、健康档案、电子病历和远程医疗系统等重要系统将陆续建设完成,传统的医院信息系统从信息孤岛走向互联互通的趋势下也面临着新的安全挑战。文章结合上海市信息安全测评认证中心多年在上海市医疗卫生行业的等级保护测评的实践和体会,对如何在医疗机构中开展行业等级保护测评工作,以及测评过程中的相关问题进行初步探讨。