要培养自己的风险评估队伍

随着国民经济和社会信息化进程的全面加快,网络和重要信息系统的基础性、全局性作用日益增强,由此产生的信息安全问题也越来越突出。《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号文件)分析了我国当前信息安全保障工作的基本状况,提出了加强信息安全保障工作的总体要求和主要原则,对下一步信息安全保障工作做出了全面部署,将系统安全评估作为一种重要的保障手段之一。在全国信息安全保障工作会议上,黄菊同志指出:“加强信息安全基础性工作和基础设施建设是当务之急”,并要求“抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。根据风险评估结果,进行相应等级的安全建设和管理。”信息安全风险评估,是信息安全的一项重要基础性工作,是风险管理理论和方法在信息化中的实际运用,也是等级防护思想的具体体现。目前,国内众多部门和行业都开始投入精力进行风险评估工作。可是对于许多单位而言,如何做好风险评估,风险评估实施过程中应该注意什么问题,却不是很清楚。本期CSO沙龙将和您一起探讨这方面的问题。     

对信息安全风险评估中几个重要问题的认识

《国家信息化领导小组关于加强信息安全保障工作的意见》中,提出了要实行信息安全等级保护,并在其中强调,要重视信息安全风险评估工作。2004年1月召开的全国信息安全保障工作会议则进一步深化了对信息安全风险评估工作的要求,将其列为当前需要务必抓好的五方面工作之一,并作了明确部署,要求“开展信息安全风险评估和检查,抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。”     

2005,步入新阶段迈上新台阶--赵战生教授如是说

2004年的信息安全工作在“全国信息安全保障工作会议”中拉开序幕，在信息化推进大会的进军号声中迈向新一年。党和国家关于加强信息安全保障工作的指导意见在全国各个领域和地区得到不断贯彻。等级保护、风险评估、信任体系、安全监控、应急响应等信息安全保障的基础性工作相继展开布局。     

简介几种安全评估工具

信息系统安全性评估正日益得到重视，2003年9月中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》，文件要求采取必要措施进行信息安全风险的防范，国家信息中心成立了信息安全风险评估课题组进行相关研究和标准制定工作，中国信息协会信息安全专业委员会2004年年会议题也是“信息安全风险评估”。     

把握焦点问题推进等级保护工作实施

《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号文)中．强调要实行信息安全等级保护制度。2004年1月召开的全国信息安全保障工作会议则再次将信息安全等级保护作为当务之急需要抓好的一项基础性工作：“抓紧建立信息安全等级保护制度．制定信息安全等级保护的管理办法和技术指南”。根据这些要求．     

黑龙江:启动信息安全风险评估工作的几点建议

信息安全风险评估是信息安全保障的基础性工作和重要环节。开展风险评估工作，是贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）的重要举措。     

基于风险权值的等级评测模型研究

信息安全风险评估作为信息安全保障工作的基础性工作和重要环节,要贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段,是信息安全等级保护制度建设的重要科学方法之一。文章基于风险评估的核心思想,从现有的风险评估和等级测评模型入手,介绍了风险评估的框架、流程,还分析了现有等级测评的基本流程和等级测评模型。并进一步建立了一种新的基于风险权值的等级测评模型。该模型在对整个信息系统的符合情况进行统计分析时,用风险权影响统计分析结果。使统计分析结果更贴近信息系统的实际安全状况,解决了统计分析结果受信息系统规模大小的影响。     

关于信息安全等级保护中认证认可工作的思考

信息安全等级保护是加强我国信息安全保障建设中的一项基础性工作。目前,我国已经对信息安全等级保护工作有了一定的理论探索和实践,在国家主管机关的大力推动下,等级保护将在制度与政策层面继续获得较大的进展。信息安全等级保护涉及到了信息系统的整个生命周期,对信息系统安全的认证和认可在其中占据着重要的地位。因此,如何在我国开展信息系统安全的认证和认可,是信息安全等级保护工作中的一项关键任务。     

北京市信息办率先开展等级保护工作

信息安全等级保护是关系到信息化建设全局的重要举措．是做好信息安全保障工作的基础性工作。2004年．北京市在全国率先实行了信息安全等级保护制度．制定了相关规章制度．组织了专题培训．开展了风险评估、定级和安全测评等一系列工作．使北京市的信息安全等级保护工作有计划、按步骤地向前推进。     

产品等级评估清晰界定安全能力

做好信息系统的安全保障工作需要多少投资?许多信息系统的主管往往心中无数。同样的,科研单位和企业应该开发什么样的安全产品?信息安全专家应该如何对安全产品进行正确的评审?信息安全职能部门应该如何对信息系统的安全工作进行有效监督?这往往也很难说清楚。 这些问题如不解决,将导致国家信息安全科学技术水平和整体信息安全保护能力很难提高。为此,国家信息化领导小组决定加强信息安全保障工作,实行信息安全等级保护。这一重大决定,明确落实了《中华人民共和国计算机信息系统安全保护条例》中关于实行信息安全等级保护制度的有关规定。对信息系统实行等级保护是国家法定制度和基本国策,是开展信息安全保护工作的发展方向。实行信息安全等级保护的决定具有重大的现实和战略意义。 信息安全产品是信息系统等级保护的基础。因此,对信息安全产品进行等级认证就显得尤为重要,它将为信息系统安全建设提供重要的依据和切实保障。 本期CSO沙龙将和您一起探讨信息安全产品等级认证在等级保护中所发挥的作用。     

级别是产品的可信度标签

做好信息系统的安全保障工作需要多少投资?许多信息系统的主管往往心中无数。同样的,科研单位和企业应该开发什么样的安全产品?信息安全专家应该如何对安全产品进行正确的评审?信息安全职能部门应该如何对信息系统的安全工作进行有效监督?这往往也很难说清楚。 这些问题如不解决,将导致国家信息安全科学技术水平和整体信息安全保护能力很难提高。为此,国家信息化领导小组决定加强信息安全保障工作,实行信息安全等级保护。这一重大决定,明确落实了《中华人民共和国计算机信息系统安全保护条例》中关于实行信息安全等级保护制度的有关规定。对信息系统实行等级保护是国家法定制度和基本国策,是开展信息安全保护工作的发展方向。实行信息安全等级保护的决定具有重大的现实和战略意义。 信息安全产品是信息系统等级保护的基础。因此,对信息安全产品进行等级认证就显得尤为重要,它将为信息系统安全建设提供重要的依据和切实保障。 本期CSO沙龙将和您一起探讨信息安全产品等级认证在等级保护中所发挥的作用。     

风险评估“热”了

国务院信息化力公室网络与信息安全组副组长吕诚昭日前指出:“曾强风险意识、加强风险管理是信息安全保障的重要内容。组织机构和企业必须加强信息安全风险评估工作。” 为了引导广大行业用户和企业用户,正确理解和认识信息安全风险评估的意义。内涵、实施策略,以及风险评估的方法论。《高端导刊一安全》栏目以“信息安全风险评估”为话题,邀请专家。厂商和用户代表畅谈各自对风险评估、风险管理、等级保护的观点。 栏目热线;jiez@ccu.com.cn     

完善信息安全管理标准 落实信息安全等级保护制度

从管理到管理体系是一次升华《国家信息化领导小组关于加强信息安全保障工作的意见》(27号文件)提出以后,文件要求的各项基础工作逐步铺开,特别是信息安全等级保护制度得到强力推动,重要信息系统和基础网络的安全定级工作将要在今年内进     

助力信息安全保障规划IT职业人生——谈全国信息安全技术水平考试(NCSE)体系建设

助力国家信息安全保障规划IT职业人生今后一段时期,我国信息安全的主要工作任务是要继续推进信息安全等级保护、信息安全风险评估、信息安全产品认证认可等基础性工作;继续加快以密码技术为基础的信息保护和网络信任体系建设,进一步完善应急协调机制与灾难备份工作;按照中央要求,进一步加强互联网管理,创建安全、健康、有序的网络环境;进一步创建产业发展环境支持信息安全产业发展,加快信息安全学科建设和人才培养,加强国际合作与交流,完善信息安全的管理体制和机制。人才培养作为重要一环,该如何开展工作,请参考“助力国家信息安全保障规划IT职业人生”一文。     

国家信息安全风险评估标准及试点工作进展介绍

根据〈国家信息化领导小组关于加强信息安全保障工作的意见〉(中办发27号文),为更好地落实信息安全等级保护的任务和信息安全风险评估工作,国务院信息化工作办公室网络与信息安全组组织了信息安全风险评估的研究课题组,开展了对信息安全风险评估工作的研究。课题组对国内风险评     

信息安全风险评估国家标准简述

2005年2月至2005年9月期间,国信办下发通知和《信息安全评估试点工作方案》,要求分别在银行、税务、电力等重要信息系统以及北京市、上海市、黑龙江省、云南省等地方的电子政务系统开展信息安全风险评估试点工作。几个月来,试点单位积累了哪些经验,又发现了哪些不足,2005年12月16日,作为一次研讨性质的总结会“中国信息安全风险评估现状与展望高峰论坛”在京举行,与会的专家、学者、国家基础信息网络和重要信息系统风险评估试点单位的负责人纷纷表示,开展信息安全风险评估工作是社会发展和科技进步的必然要求,它将为推动我国信息安全保障工作的全面开展,进而为保障我国信息化建设的顺利实施产生深远的影响,但风险评估作为一种新的理念还需要人们去认同,作为一种方法论还需要人们去研究和把握,作为一种管理措施还需要主管部门大力推进。在交流经验的过程中寻找不足之处,在不同的期待声中谋求一条共同的发展之道,作为此次大会的特别支持媒体,这是我们策划此次特别报道的初衷,同时希望通过刊登这组文章,对我国的信息安全风险评估工作,起到积极的推动作用。     

国家烟草专卖局全面开展等级保护工作有力保障信息系统平稳运行

近几年,随着烟草行业信息化的不断推进,烟草专卖局高度重视信息安全工作,按照公安部和工信部等有关主管部门要求,对信息安全工作坚持常抓不懈,重点开展了等级保护、安全检查和应急演练等工作,取得了较好的成效,有力保障了信息系统的安全稳定运行。2013年,烟草专卖局将以开展信息系统全面梳理、全面诊断、全面加固工作为重点,进一步推动信息安全等级保护工作,以“贴近实战、真演真练”为重点开展应急演练工作,现就有关情况汇报如下：     

北京将建成"信息安全城市"

信息安全保障工作专业性、政策性强,涉及方方面面,但当务之急是要加强信息安全基础性工作和基础设施建设,包括实行信息安全等级保护和开展信息安全风险评估,加强以密码技术为基础的信息保护和网络信任体系建设,加强信息安全应急处理工作等等.     

中国石油天然气集团公司全面开展信息安全等级保护工作为信息化建设保驾护航

近年来,为保障企业信息化健康、快速发展,确保生产业务安全高效运行,中国石油天然气集团公司（以下简称中国石油）高度重视重要信息系统安全保障工作。以开展信息安全等级保护工作为抓手,全面梳理业务信息系统,开展信息系统定级备案、等级测评、安全建设整改和安全检查等一系列工作,制定重要信息系统应急处置预案并组织演练,完善灾难恢复机制,建立重要信息系统安全监控机制,与信息安全专业技术单位建立战略合作联盟,全面推动中国石油重要信息系统安全建设,取得了很大成效。     

进一步理清有关重要问题及其关系认真贯彻落实信息安全等级保护制度

<中华人民共和国计算机信息系统安全保护条例>规定"计算机信息系统实行安全等级保护,安全等级划分标准和安全等级保护的具体办法由公安部会同有关部门制定".由党中央和国务院批准发布的<国家信息化领导小组关于加强信息安全保障工作的意见>特别强调,国家实行信息安全等级保护,要抓紧信息安全等级保护制度建设,重点是保障国家基础信息网络和重要信息系统安全,进步明确并落实了<中华人民共和国计算机信息系统安全保护条例>中关于实行信息安全等级保护的有关规定.信息安全等级保护是国家基本政策和战略措施.