电子政务外网等级保护测评探讨

信息系统等级保护制度是我国加强信息系统安全防护的重要措施,电子政务外网运行着电子政务的公共服务业务,开展等级保护与等级保护测评非常必要,政务外网[2011]15号文要求开展电子政务外网的等级保护与等级保护测评工作。该文就政务外网某网络系统开展等级保护测评为例,探讨等级保护的定级、测评对象与测评机构的选择、测评内容与方法的确定、骨干网络系统的漏洞测试、安全整改等内容。本次测评在属地电子政务行业产生了良好的示范效应。     

信息系统等级保护测评实践

该文针对社会发展对信息化的依赖程度越来越高,而保障重要信息系统安全也是维护国家安全、保障社会稳定的重要组成部分这一事实.随着重要信息系统等级保护工作的深入,信息系统等级自测评与差距分析得到了广泛重视.文章系统阐述了自测评实践中的基本流程、测评方法与测评成果.     

气象信息系统等级保护测评实践

随着信息化的不断推进,气象信息业务系统有了很大的发展,信息系统的安全性、可用性越来越受到重视。以宁夏气象局三级信息系统为例,从信息系统情况调研、等级测评、系统加固等方面,阐述了信息系统安全等级保护主要内容。     

信息安全等级保护中等级测评的CAE建模

CAE模型具有很强的层次性与结构性,被广泛用于复杂的信息安全测评过程中.采用CAE模型对等级测评的过程进行建模,将测评过程的多个层面简化为声明论据证据三种层次,并从测评指标的选择和测评结果的融合两个方面具体说明了CAE模型的作用.结果表明等级测评的过程完全可以归纳入CAE模型中,等级测评的过程与CAE模型的分解和推理过程是一致的,进一步验证了信息安全等级保护标准支持下的等级测评的有效性和合理性.     

等级保护测评过程中的风险分析

信息系统等级保护测评是对信息系统是否满足相应等级要求的符合性验证。在等级保护测评过程中,结合风险分析是等级保护测评的重要补充,使得最终测评结果不仅是信息系统是否达到对应等级的判断依据,也使测评结果更加契合企业实际安全状况,为企业后续改进提供明确的目标,使企业的后续整改工作能更好的落实。以最优的经济效益方式建设企业信息系统,使企业信息系统符合国家等级保护相关政策要求的同时不断提高信息系统安全性。形成一套符合企业实际情况,可以有效保护信息系统安全的等级保护体系。     

网络安全等级保护测评中测评结论的度量方法优化

文章分析了网络安全等级保护2.0时期国家标准的新变化对等级测评结论可能产生的影响,并用实际案例和数据论述了以往描述的基于测评指标和基于测评对象的定量分析方法存在的局限性。根据网络安全等级保护国家标准结构和内容的新特点,结合新的等级测评结论表述方法,文章提出了调整和优化定量计算产生等级测评结论的思路,给出了缺陷扣分的原理和缺陷扣分的定量计算方法,并比较了各种定量计算方法在计算结果上的差异,提出了适合新标准的测评结论定量计算公式。     

石化等级测评活动的质量控制浅析

质量控制是等级测评活动公正性、客观性和保密性的根本保证。当前,国内还没有形成以等级测评活动为主体的质量管理体系标准,对等级测评活动过程中的质量控制,成为等级测评工作研究的重点难点。论文通过对信息系统安全等级保护政策法规体系和标准规范体系的研究,对等级测评活动的质量控制进行了分析,给出了具体实施建议和参考。     

信息系统等级测评中网络安全测评初探

随着信息技术的飞速发展和广泛应用,信息系统在给人们日常工作带来便利的同时,也面临着十分严峻的网络安全问题。网络安全测评是等级测评实施中的一个重要组成部分,它能够帮助系统运维、使用单位及时发现信息系统中存在的网络安全问题。本文简要介绍了网络安全测评的内容、方法及工作流程,并对网络安全测评实施中需要注意的问题进行了论述。     

PDCA循环在等级测评项目质量管理中的应用探析

信息安全等级保护测评是等级测评机构依据国家信息安全等级保护制度,按照有关管理规范和技术标准,对国家重要信息系统安全等级保护状况进行检测评估。文章阐述了PDCA循环在等级测评项目质量管理中的应用,并最终得出通过在等级测评项目中应用PDCA循环,极大地提高了项目整体质量,确保实施项目质量目标。     

试析云计算环境下信息安全等级保护测评

和传统信息系统进行比较,云计算环境下的数据量大、覆盖面更广,优势明显.但与此同时,其安全问题就更为突出.对云计算环境下的信息安全等级进行测评,可以有效保证云计算信息安全.该文就结合云计算和等级保护的相关内容,分析云计算背景下数据安全要点,并结合云计算环境下信息安全技术,重点探讨了云计算信息安全等级保护的测评问题.     

网络安全等级保护测评中的网络及通信安全测评

2019年颁布的《信息安全技术网络安全等级保护基本要求(GB/T 22239-2019)》(信安字[2019]12号)[1]在原有《网络安全等级保护基本要求(GB/T 22239-2008)》(信安字[2007]12号)[2]基础上进行了修订,使之更加切合当今中国的网络环境。针对新修版中的网络和通信安全层面部分内容,如:通信传输、边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范等控制点安全测评进行了综述,分析了与旧版之间的区别和重要改变,并将今后网络和通信安全测评的主要方法和思路进行了总结。对等保2.0时代的网络和通信安全测评工作有一定的借鉴意义。     

等级保护测评库的建立与完善工作探讨

文章通过对等级保护测评机构工作职责、自身优势等方面的客观研究分析,提出测评机构在信息安全等级保护制度贯彻落实过程中,在完成等级测评任务的同时,充分发挥作用,整合有限资源,全力支持公安机关网络安全部门开展等级保护状况分析与评价工作,协助公安机关全面总结本地区各行业、各部门等级保护工作情况,助力公安机关持续深入地推进等级保护工作的周期性开展。     

信息安全等级保护测评机构的法律责任问题

实行信息安全等级保护是信息安全保障的重要方法,信息安全等级测评是信息安全等级保护的重要环节。本文讨论了测评机构的设立条件和应当履行的义务,分析了测评机构应当承担的法律责任,提出了制定和完善现有法律法规的建议。     

量化风险的等级保护测评方法及平台设计

研究了等级保护测评的相关技术,针对当前等级保护测评中存在的典型问题,如风险分析不够准确、测评效率低、测评结果客观性不足等,提出一种量化风险的等级保护测评模型,将系统业务重要性因素引入风险分析环节,能较为可观的量化风险.基于该模型,设计并实现了分布式的等级测评平台(RQEP),能大大提升等级测评的效率,使测评过程更加规范化、标准化.     

信息系统等级保护测评

随着互联网技术的快速发展,信息系统对政府、机构、企业的日常工作和生产起到越来越重要的作用,信息系统的安全性、可用性和连续性越来越受到重视。开展信息系统的等级保护测评工作是评测系统安全性的必要手段,是检验系统整体的安全部署是否完善的有效方法。     

PMBOK在信息安全等级测评项目中的应用

PMBOK指南是一部公认的项目管理专业标准。文章根据信息安全等级测评项目的特点,结合PMBOK指南中的规范、方法和过程,主要从项目的启动、规划、执行、监控和收尾五大过程组,对信息安全等级测评项目全过程进行描述,旨在提高测评工作条理性和规范化。     

信息安全等级保护测评工作实践与探讨

文章通过阐述被测信息系统在等级保护测评中存在的主要问题,分析了形成的原因,从等级测评价格参考规范,加强对托管数据中心的等级保护管理,加强商用密码和数字证书的安全管理和测评,测评报告的专家评审等方面,对测评工作提出建议。     

网络安全等级保护测评中渗透测试的应用

渗透测试作为网络安全等级保护测评的一种补充和验证,能够对等保测评的风险判定和结论形成提供有力的支撑。本文从渗透测试的方法、使用的工具、实施流程和结果等方面,阐述了渗透测试在网络安全等级保护测评中的应用以及对于等级保护测评结论的影响,为等级保护中的渗透测试实施和结果的应用提供了参考。     

移动APP安全及等级保护测评实践研究

随着网络信息技术的发展,移动APP应用种类繁多、丰富多样,在极大方便广大用户生活的同时,其信息安全也面临着严峻的现实考验.对比分析了移动APP与传统应用安全的区别,提出了从身份鉴别、访问控制、通信完整性、通信保密性、软件容错等方面对移动APP进行全面深入测评的流程及方法,帮助测评人员开展具体测评实践工作,有效提升移动APP开发及运营维护人员的安全意识及安全水平,切实保障信息安全.     

通用基础软件等级保护测评原型的研究

文章提出了一种针对国产通用基础软件的等级保护测评原型。该原型在深入对比分析国内外主要等级保护相关标准的基础上,充分考虑了国产通用基础软件自身的特点。原型的内容既涵盖了软件代码、体系结构风险等常规软件安全测试项目,还包括了身份鉴别、访问控制、完整性等等级保护中的要求。本文提出的测评原型既可以为建立国产通用基础软件的安全测试标准体系提供参考,也可以用来指导国产通用基础软件的安全性测试工作。