ICT供应链安全标准化体系及实践应用

伴随着数字化、全球化的发展,信息通信技术(ICT)供应链已然成为现代供应链的基础。全球ICT供应链的发展,正持续引发数字能力的再构建和数字资源的再分配。ICT供应链安全关系到国家安全稳定、关键基础设施建设、数字经济发展等多个层面。目前,各国不断强化ICT供应链安全战略,推出安全模型与标准规范,并通过审查和采办等多种方式推进落实。2019年,我国第一个ICT供应链安全国家标准GB/T 36637-2018《信息安全技术ICT供应链安全风险管理指南》正式实施。笔者尝试通过梳理ISO国际标准、美国等国家标准,分析研究美国、日本、英国的ICT供应链安全实践,为我国ICT供应链安全建设提供参考。     

基于ISO 28000的企业供应链安全管理体系构建

随着全球经济一体化程度的加剧,供应链安全风险问题成为当前国际化企业面临的主要挑战之一。当前全球产业分工正面临新的形势,即全球产业链供应链的不稳定性和不确定性增加,产业链供应链韧性和安全水平成为影响全球产业分工格局的重要因素^[1]。为尽可能地预防和减少供应链中可能出现的破坏性影响,国际标准化组织(ISO)针对人员、货物、基础设施和设备安全事故制订了ISO 28000系列标准。该标准越来越成为国际性供应链公司的基本要求,越来越多的商业伙伴也会提出此要求。企业对构建ISO 28000供应链安全管理体系,系统导入和实施管理要求的需求日益增多,基于ISO28000的企业供应链安全管理体系构建路径做初步分析。     

基于全生命周期的IT项目信息安全管理方法

结合ISO27000标准体系、国家信息安全标准以及萨班斯法案（SOX）的要求，通过在OT项目全生命周期的各个阶段加强安全管理，确保项目满足规定的安全方案：降低IT项目安全风险的控制成本，提升项目安全水平。     

BS 15000正式成为ISO国际标准ISO 20000

5月17日，ISO通过快速通道进行表决，正式接受英国标准协会已有的IT服务管理标准BS 15000成为新的ISO标准：ISO20000。     

基于风险管理建立安全体系

随着信息化建设的不断发展,信息作为一种特殊的资产,和其他重要的业务资产一样需要妥善适当保护。本文参照我国有关计算机等级保护管理要求,依据国际ISO—17799／BS7799信息安全管理体系标准,引进风险管理理念,建立一个基于风险评估的信息安全保障体系,以加强信息系统风险防范。     

区块链安全保障策略体系研究

基于对影响区块链安全的漏洞攻击、技术防御、安全管理、标准保障等多重因素分析,详细阐述了以风险分析、安全需求、技术防御、标准保障等为主的区块链系统安全标准保障策略体系,并提出了夯实我国区块链技术产业安全水平的举措,为我国区块链系统安全技术研究和产业应用推广提供参考借鉴。     

ICT供应链安全的国际法问题

根据所涉主体的不同利益出发点和关切视角,“ICT供应链安全”的涵义不尽相同,“ICT供应链安全的国际法问题”因此也至少包含三个层次:对私主体而言,ICT供应链安全风险导致私主体受损需要追责时将涉及若干国际私法和国际商法问题;对国家而言,其为应对ICT供应链安全风险采取管制措施将涉及一系列国际贸易法和国际投资法问题;对国际社会而言,其为推进ICT供应链安全规范治理可能涉及若干国家责任法的适用和网络空间国际规范的创制问题。     

我国IT类产品安全标准与其他国家标准的差异

以IEC标准为基准,介绍和分析了我国IT类产品的安全标准与其他国家标准之间的差异.     

第2章应对策略、缓解手段和对抗措施

(1)考虑采用一种纲领性的方法解决本报告中揭露的问题和处理攻击媒介.例如下列标准中规定的做法:ISO/IEC 27000、信息和相关技术的控制目标(COBIT)或支付卡行业安全标准委员会(PCI SSC).不管怎样,有效利用风险管理方法是成功的一个关键.微软安全风险管理指南(http://technet.microsoft.com/en-us/library/ccl63143.aspx)为您的计算环境提供了定性和定量的风险分析.     

郭晓英

[简历] 郭晓英女士：DNV工业部大中国区总经理,ISO27001信息安全管理体系IRCA注册主任审核员及主任审核员课程讲师（中国地区第一个在国际审核员注册机构（IRCA）注册的信息安全管理体系主任审核员）、ISO20000IT服务管理体系itSMF主任审核员及主任审核员课程讲师,ISO9001质量管理体系IRCA注册审核员。     

ITSS/ITIL/ISO20000对比分析

针对目前IT服务领域的三项主要管理标准ITSS、ITIL、IS0 20000,从价值、关键内容、实施办法以及框架内容方面进行对比分析.这三项标准既有共性亦有特性,企业应结合当前的实施条件选择合适的IT服务标准.     

三种投影机测量方法标准的异同

介绍了 SJ/T 11346-2006,ISO/IEC 21118-2005和ANSI/NAPM IT7.228-1997这3种投影机测量相关标准,并对主要概念及标准间的异同进行了详细分析.     

电信企业的IT安全框架

电信竞争的日益加剧和以客户为中心的服务理念的应用,使得电信企业的IT系统日益复杂、安全问题日益突出.本文结合了上海电信在企业IT建设方面的部分经验,以及业界通行的安全规范,提出了电信企业的典型IT安全框架,及以ESP实施和SOC建设为核心的企业IT安全规划和实施方法.该框架较好地适应了目前国内电信企业的IT基础设施状况,可为其IT安全建设提供参考.     

云计算安全和标准研究

结合三种云服务模式和云安全体系架构,分析了云计算中存在的数据安全、虚拟化安全及平台安全等主要安全问题.梳理了ISO/ICE JTC1 SC27、ITU-T、NIST等当前主要标准化组织在云计算安全领域的标准研究情况,最后,针对当前云计算实施情况提出了我国云计算安全标准化工作思路.     

IDEAS09: Applying a Security Domain Requirements Engineering Process for Software Product Lines

Security requirements management is especially important in software product lines, given that a weakness in security or a security breach can cause problems throughout all the products of a product line. The main contribution of this work is that of illustrating, by describing part of a real case study, a guided, systematic and intuitive way of dealing with security requirements from the early stages of the product line lifecycle by applying our proposed process of security requirements engineering for software product lines (SREPPLine), which makes it easier the variability and reusability management as well as the traceability relations of the security requirements in the product line. It is based on the use of the latest security requirements techniques, together with the integration of the Common Criteria (ISO/IEC 15408) and ISO/IEC 27001 controls, so that it facilitates the conformance of the product line and its products to the most relevant security standards with regard to the management of security requirements, such as ISO/IEC 27001 and ISO/IEC 15408.     

电信IT安全保障能力评价模型与基线达标体系研究

首先分析了电信运营商内部业务运营支撑系统亟需解决的安全问题,围绕建立健全IT安全保障体系建设目标,设计了基于能力成熟度的安全能力评价模型,并给出了模型实现的安全基线达标体系标准实践的具体标准和方案。     

基于ISO20000的农村金融IT服务管理的应用与研究

文章介绍了IT服务管理的定义和ISO20000的主要内容,以MAXIMO软件平台为例,详细研究了如何将ISO20000理论体系融入到实际工作中,实现了以ISO20000理论指导的管理策略和工作流程.同时,本文以安徽省农村信用社为例,总结了农村金融实施IT服务管理的成效,说明了IT服务管理的必要性.     

基于ISO18000-6C标准的RFID认证协议

RFID技术应用越来越广,给人们带来便利的同时安全和隐私问题也相随而生,如何提高RFID系统的安全防范能力已成为该领域的重点研究方向。许多研究者提出了基于RFID空中接口通信的认证协议,但复杂的算法难以适用于符合ISO18000-6C标准的电子标签。论文根据ISO18000-6C标准提出了一种新的适合低成本标签的认证协议,为RFID安全提供了一套解决方案。     

国内外信息安全标准研究现状综述

文中对2008年以来国内外信息安全标准的研究动态做了综述。国外标准方面,主要介绍了国际标准组织ISO／IEC、ITU—T近期发布和预发布的信息安全标准,以及研究重点;国内标准方面,介绍了信息安全国家标准、行业标准、管理规范的研究现状,重点阐述了信息安全国家标准的体系以及与信息保障体系的关系、近期发布情况和研究动态,分析了当前信息安全技术国内外研究热点、重点。     

IT技术安全通用评估准则体系研究

信息安全评估是确保信息资源安全的有效手段之一。为了规范并统一全球的ＩＴ技术安全评估工作,ＩＳＯ启动了通用评估准则的制定。该准则充分吸收了当前主流的评估标准体系（ＴＣＳＥＣ、ＩＴＳＥＣ、ＦＣ等）的技术和经验,对中国的信息安全评估工作具有很高的参考价值。对该标准体系所进行的全面的研究与分析,可作为此方面进一步研究的基础。