基于信息安全等级保护的安全测评服务框架研究

在等级保护工作全面开展的大背景下,等级测评机构如何发挥更大的技术支撑作用引起了业界广泛的关注。文章分析了等级保护工作面临的新挑战,提出了基于信息安全等级保护的安全测评服务框架。安全测评服务框架以信息安全相关标准为基础,以信息安全等级保护实施流程为时间线,针对信息系统备案单位在不同阶段的安全需求及工作重点开展有针对性的安全测评服务,提升信息系统备案单位信息安全管理水平及信息系统安全防护能力。等级测评机构可以通过安全测评服务框架充分发挥其信息安全专业机构的技术能力,在等级保护工作中发挥更大作用。     

落实等级保护 构筑安全“城堡”

等级保护实施过程中,公安机关作为牵头部门,网络安全保卫局、地方公安局和网监部门作为等级保护工作的行政管理部门,监督、检查、指导等级保护的各项工作。测评机构作为第三方服务机构,验证和评价信息系统安全建设、整改的情况,判断系统的保护能力是否达到了对应等级的要求,其测评结果将作为公安机关监督检查运营使用单位开展等级保护工作的重要依据。     

电子政务外网等级保护测评探讨

信息系统等级保护制度是我国加强信息系统安全防护的重要措施,电子政务外网运行着电子政务的公共服务业务,开展等级保护与等级保护测评非常必要,政务外网[2011]15号文要求开展电子政务外网的等级保护与等级保护测评工作。该文就政务外网某网络系统开展等级保护测评为例,探讨等级保护的定级、测评对象与测评机构的选择、测评内容与方法的确定、骨干网络系统的漏洞测试、安全整改等内容。本次测评在属地电子政务行业产生了良好的示范效应。     

信息安全等级保护测评工作实践与探讨

文章通过阐述被测信息系统在等级保护测评中存在的主要问题,分析了形成的原因,从等级测评价格参考规范,加强对托管数据中心的等级保护管理,加强商用密码和数字证书的安全管理和测评,测评报告的专家评审等方面,对测评工作提出建议。     

浅谈二级信息系统等级测评的实施与体会

等级测评是开展信息安全等级保护工作的关键环节,是保障已定级信息系统科学、合理开展安全整改工作的主要抓手。为深化我市等级保护工作,主动应对互联网技术与信息化应用的快速发展,积极推进各重点单位开展等级测评和安全整改工作,2011年10月,我支队自主研发了“二级信息系统安全自测评平台”,通过该平台实现对全市二级信息系统等级保护工作的主动化、信息化、动态化管控,有效提升信息安全等级保护工作效能。     

信息安全等级保护测评体系建设试点工作稳步开展

为了推动信息安全等级保护测评机构建设,提高等级测评机构的技术和管理能力,规范等级测评活动,检验等级测评标;隹规范,为信息系统主管部门和运营使用单位开展等级保护工作提供支持。7月2日,公安部网络安全保卫局在北京召开了信息安全等级保护测评体系建设试点工作会议,会议由公安部网络安全保卫局处长郭启全主持。     

信息系统等级保护测评实践

该文针对社会发展对信息化的依赖程度越来越高,而保障重要信息系统安全也是维护国家安全、保障社会稳定的重要组成部分这一事实.随着重要信息系统等级保护工作的深入,信息系统等级自测评与差距分析得到了广泛重视.文章系统阐述了自测评实践中的基本流程、测评方法与测评成果.     

等级保护测评过程中的风险分析

信息系统等级保护测评是对信息系统是否满足相应等级要求的符合性验证。在等级保护测评过程中,结合风险分析是等级保护测评的重要补充,使得最终测评结果不仅是信息系统是否达到对应等级的判断依据,也使测评结果更加契合企业实际安全状况,为企业后续改进提供明确的目标,使企业的后续整改工作能更好的落实。以最优的经济效益方式建设企业信息系统,使企业信息系统符合国家等级保护相关政策要求的同时不断提高信息系统安全性。形成一套符合企业实际情况,可以有效保护信息系统安全的等级保护体系。     

信息系统等级测评中网络安全测评初探

随着信息技术的飞速发展和广泛应用,信息系统在给人们日常工作带来便利的同时,也面临着十分严峻的网络安全问题。网络安全测评是等级测评实施中的一个重要组成部分,它能够帮助系统运维、使用单位及时发现信息系统中存在的网络安全问题。本文简要介绍了网络安全测评的内容、方法及工作流程,并对网络安全测评实施中需要注意的问题进行了论述。     

通过信息安全等级保护提升信息系统管理水平

随着科技的进步,企业办公信息化、智能化程度显著提升,随之而来的信息安全问题日益突出。企业经营考虑信息化设备创造的利益时,需兼顾互联网开放性造成的风险。针对以上问题,国家严格规范信息系统等级保护工作流程,根据系统的重要性和影响范围划分定级,按照系统级别的不同实施区别化管理。此外,依照信息系统等级保护工作的"三同步"原则(同步规划、同步设计、同步投入运行),在信息系统应用建设的各环节进行标准化管理,规范了信息系统事件的定级、测评、备案、安全整改以及职责等工作标准,同时,明确了检查考核、管理与技术措施,促进供电企业信息专业能力不断提升,充分调动公司各专业的积极性和协调性,有效提高公司信息系统安全管理水平和保护能力。     

物联网技术对传统等级保护测评工作带来的一些影响

信息化技术飞速发展,使得各类信息系统与网络设备迅速增加,由此带来的信息安全问题变得异常突出。信息安全等级保护制度是国家信息安全保障工作的基本制度和基本战略,等保测评是用来检验和评价信息系统安全保护水平的重要方法。新技术的出现给传统等保测评技术带来了新的挑战。本文以当下最热门的物联网技术为代表,探讨新技术发展对传统等保工作产生的影响。     

2010年信息安全等级保护工作力口快推进成效显著有力促进了国家信息安全保障工作的深入开展

近年来,经过全国各地区、各单位、各部门的不懈努力,我国信息安全等级保护制度不断推进实施。2010年,在信息系统定级备案工作基础上,全国信息安全等级保护安全建设整改、等级测评、监督检查工作成效显著,推进了我国信息安全保障工作的深入开展。本文回顾总结了2010年我国信息安全等级保护工作情况及取得的成效,并展望了2011年等级保护工作计划。     

物联网和云计算对等级测评的影响探究

信息安全等级保护制度是国家信息安全保障工作的基本制度和基本策略。而等级测评是用来检验和评价信息系统安全保护水平的重要方法。新技术的出现如云计算、物联网、三网融合等,给传统等级测评技术带来了新的挑战。本文以物联网和云计算为代表,探讨了新技术发展对等级测评产生的影响,旨在推动等级测评技术的发展,为其深入研究提供理论参考。     

电力信息安全等级保护测评平台的设计与实现

介绍了电力信息安全等级保护测评平台的具体设计和实现方法。平台基于国家信息安全等级保护标准规范和技术要求,实现了等级测评的过程管理、结果评价和统计分析等功能,并充分考虑了电力行业信息系统的特征。平台具有集成性、自动化和可扩展性等特点,能够有效提高电力信息安全等级保护测评的工作效率。     

浅谈行业测评机构在等级保护工作中的作用

文章结合行业测评机构近年来等级保护工作实践,介绍了行业测评机构的概况、行业标准规范的研究与编制,探讨了如何在信息系统全生命周期各阶段中开展等级保护工作,分析归纳了行业测评机构在开展等级保护工作中可以发挥的技术支撑作用。     

等级测评中关键安全保护功能有效性测评技术研究

等级测评中关键安全保护功能是否有效保障信息系统具备相应的安全保护能力是目前等级测评需要解决的技术难点。文章结合等级测评的实际情况,以等级保护相关标准和法规政策等为基础,建立了关联测评对象与安全保护能力的有效性测评指标体系,给出了安全保护功能、控制有效性测评方法和安全保护功能综合评价方法,为信息系统具备的安全保护能力是否真实有效提供了一种确实可行的思路和判定方法。     

电力行业重要信息系统可信安全机制研究

电力行业正在开展信息安全等级保护工作,在等保测评过程中逐渐摸索针对电力行业相对封闭的实时处理控制信息系统的测试方法,安全防护不仅要关注外部恶意攻击,同时也要防止内部攻击,必须采取“防内为主、内外兼防”的模式。文章讨论了电力行业重要信息系统安全防护需求和等保技术要求,从终端自身防御入手研究基于可信计算技术的安全机制,在可信计算技术支撑的安全服务、等级保护的技术要求以及电力重要信息系统的安全机制等方面进行了探讨。     

性能测试在等级测评中的应用

为了保证信息系统的可用性和服务质量,《信息系统安全等级保护基本要求》中对于不同等级的信息系统,提出了服务保证类的各项要求。但由于系统的复杂性,等级测评中仅通过访谈和检查,很难准确判定被测系统是否符合相关要求。介绍性能测试的分类、方法,比较性能测试在等级测评和常规测试项目中使用的异同,提出在等级测评中,应引入性能测试以获取具有说服力的判定证据。以LoadRunner为例介绍了性能测试工具的使用,以及等级测评中应用性能测试的特点和注意事项。     

PDCA循环在等级测评项目质量管理中的应用探析

信息安全等级保护测评是等级测评机构依据国家信息安全等级保护制度,按照有关管理规范和技术标准,对国家重要信息系统安全等级保护状况进行检测评估。文章阐述了PDCA循环在等级测评项目质量管理中的应用,并最终得出通过在等级测评项目中应用PDCA循环,极大地提高了项目整体质量,确保实施项目质量目标。     

气象信息系统等级保护测评实践

随着信息化的不断推进,气象信息业务系统有了很大的发展,信息系统的安全性、可用性越来越受到重视。以宁夏气象局三级信息系统为例,从信息系统情况调研、等级测评、系统加固等方面,阐述了信息系统安全等级保护主要内容。