开创信息安全服务时代

靠服务打天下,把服务看作是信息安全的一个广阔天地,这是众多安全厂商的共识。近些年来,各路信息安全厂商纷纷开展信息安全服务—国内专业从事安全服务的厂商已达上百家,国外在我国开展这一业务的厂商也有上十家。目前几乎没有一个安全厂商不宣称自己能提供专业的信息安全服务,安全服务已成为安全厂商推广业务的不可或缺的一个招牌。专业机构把这种变化称为信息安全已发展到了从“以提供产品为主到同时提供产品和服务的阶段”。今年国信办等部门在全国范围内大力推行风险评估工作,这为信息安全服务创造了一个绝好的发展机遇。不仅如此,在今…     

信息安全举纲带目——"十一五"信息安全发展趋势高峰论坛侧记

“积极防御、综合防范,提高信息安全保障能力。强化安全监控、应急响应、密钥管理、网络信任等信息安全基础设施建设。加强基础信息网络和国家重要信息系统的安全防护。推进信息安全产品产业化。发展咨询、测评、灾备等专业化信息安全服务。健全安全等级保护、风险评估和安全准入制度。”——《国民经济和社会发展第十一个五年规划纲要》。     

国家发改委组织申报2009年信息安全专项重点扶持四大方面

11月14日国家发展和改革委员会委向工信部等相关部门发布通知,要求组织申报2009年信息安全专项,通知指出,专项将重点支持为国家信启、化建设及国家信息安全基础设施提供支撑的信息安全产品产业化、为基础信息网络和重要信息系统安全运行提供技术支持的信息安全专业化服务、面向国家电子政务建设的安全标准体系及重要信息安全产品的关键标准和采用自主信鼠化装备的信息系统示范工程等四大方面的专项。     

信息安全服务的概念与分类

在当前形势下,信息安全产业肩负着为国家信息化基础设施和信息系统安全保障提供信息安全产品及服务的战略任务。近年来随着信息技术的快速发展和广泛应用,信息安全产业的内涵也在不断丰富,外延不断扩大,产业结构正从技术、产品主导向技术、产品、服务并重调整,安全服务逐步成为产业发展重点。本文论述了信息安全服务的概念、分类、发展状况以及资质管理体系现状,希望以此为基础,为我国信息安全服务体系建设和管理提供有益的参考。     

信息安全服务工具的技术与市场

前言 随着人们对信息安全问题认识的深入,信息安全的解决之道不再是依赖某一具体的产品,而是要充分考虑到信息系统的全过程。指望技术来解决所有安全问题是不现实的。因此,实现深度的安全保障必须结合技术手段与管理措施,需要通过安全服务过程来实现。信息安全服务指的是信息安全工程的设计、实施、测试、运行和维护,以及相关的咨询和培训活动,它包括风险评估、确定安全需求、制订安全策略、监测系统安全状况、管理系统安全控制、提供安全保证证据等多个方面。由于信息安全服务除了服务质量的要求,还有时间的要求,而客户的信息系统环境复杂,其网络、硬件、软件、应用状况千变万化,这就     

业界动态

中国电科院信息安全实验室获得信息安全认证授权11月28日,中国信息安全认证中心IT产品信息安全认证授权实验室授牌仪式在中国电科院举行。这是中国信息安全认证中心开展信息技术产品信息安全认证工作以来,在特定行业内授权的第一家实验室。中国信息安全认证中心主任魏昊、副主任陈晓桦、中国电科院副院长胡毅出席仪式。成为认证授权实验室,是中国电科院在IT产品信息安全测评认证领域一次新的突破,不仅能够面向社会各生产企业、IT产品进行信息安全测评服务,而且进一步完善、拓展了已有的信息安全业务,标     

信息系统风险评估实践

风险评估在信息安全保密体系建设中起着重要作用,是组织内开展基于风险管理的基础,它贯穿信息系统的整个生命周期,是安全策略制定的依据;也是按照PDCA改进组织安全保密体系的关键。论文在分析常见信息系统风险评估方法的基础上,提出基于应用系统、关注纵深防御和持续改进的风险评估方法,从而全面、系统地开展风险评估工作。     

军事信息系统信息安全风险评估方法研究

信息安全风险评估是构建信息安全保障体系的重要手段,文章在分析当前信息安全风险评估方法的基础上,针对军事信息系统的特点,提出了适用于军事信息系统的信息安全风险评估方法,该方法能够较好地对军事信息系统进行信息安全风险评估。     

浅析信息安全方法中的测、评、估、审、查、量

通过对国内、外流行的信息安全方法进行研究与分析,从不同角度对信息系统的安全测试、产品与系统的安全性测评、信息安全风险评估、安全审计、安全检查与信息安全度量等概念进行对比,进一步解析信息安全相关的最佳实践类、基本要求类、通用准则类和合规审计类方法,阐明了信息安全的观念与发展方向。     

荣获军用产品安全认证保障国防信息建设安全

安全防护涉密计算机及安全防护涉密服务器通过了军队信息安全测评认证中心认证,获得了《军用信息安全产品认证证书》,有着极其重要的意义。它标志着这两项产品不但能够在地方信息安全领域得到广泛应用,而且可以在国防信息建设领域全面推广,从而为军队的信息化建设提供安全服务和保证。     

层次化的信息系统风险评估方法研究

由于当前主流的信息安全风险评估方法仅关注系统组件的风险,很少立足于业务风险视角,难以满足业务人员、组织管理者等不同层面人员对信息安全风险的理解。文中提出了一种层次化风险评估方法来量化风险,该方法将信息系统安全风险分为组件级、系统级和组织级3个层面,分别关注系统单一组件的风险、单个信息系统风险和多个信息系统构成的组织总体风险。通过对3个层次风险的逐层分析,使得风险分析结果更为全面和客观地反映安全风险评估的层次化需求。     

浅析移动终端的安全风险及防护建议

随着智能终端和移动通信技术的飞速发展,购物、支付、理财产品等金融业务层出不穷,移动终端的安全性成为了安全攻击的目标也是社会热点问题。本文对移动终端进行了风险分析,辅以使用Kali Linux系统攻击同一个WiFi局域网内的安卓手机作为案例加以说明,并提出了安全防护建议。     

联邦信息系统和组织风险管理分析与研究

美国国家标准和技术研究院信息技术实验室为保护联邦信息系统的安全和隐私,开发了管理、技术、物理相关标准和指南。特别是在风险管理方面的研究,发布了特殊出版物800系列的研究报告,从项目建设规划、风险管理、安全意识培训等多方面形成一整套信息系统风险管理体系,成为美国和国际安全界广泛认可的实施标准和权威指南。风险评估是风险管理过程的核心内容,我国的风险评估研究尚处起步阶段,相关标准体系仍不完善。研究美国联邦信息系统和组织的风险管理体系,对美国联邦信息系统风险管理的原理和实施步骤进行了较为详细的阐释,这对促进我国风险管理标准体系的建立和风险评估业务的开展均具有重要意义。     

信息安全风险评估策略研究

风险评估是当前企事业单位信息化工作的迫切需要和客观的需求,在此结合当前风险评估发展的现状,通过构造风险评估模型,提出了一种以定量方式为主的结构化的风险评估分析方法。该方法通过分析信息资产价值、威胁值、弱点值,合理地计算出风险值后构造出一种结构化的风险评估体系,提高了信息系统的安全防护能力。     

涉密信息系统中风险评估开展过程的研究

信息安全风险评估是一种保障信息系统正常运行的有效方式,文章阐述了军工企业涉密网络信息安全的特点,分析了军工涉密信息系统中开展风险评估的几个过程,包括：风险评估准备、风险评估调研、风险分析、风险处置。     

军工行业信息系统安全风险分析与评估

安全风险评估是信息系统安全工程的重要组成部分,是建立信息系统安全保障体系的基础和前提。文中对军工行业信息系统安全风险评估的主要内容、关键环节和评估准则进行了阐述,并结合实际风险评估工作给出了风险评估的基本方法和经验性策略,最后对军工行业信息系统的典型安全威胁和系统脆弱性进行了分析和归纳。     

一种信息安全风险评估可视化模型

随着信息安全风险因素和控制措施之间关联性的不断增长,传统的风险分析方式显现出了一定的弊端。面对这些变化,日渐成熟的可视化技术为风险分析提供了一个新的思路。提出一种信息安全风险评估可视化模型,实现对风险评估中过程数据和结果数据的可视化,并且提供多种风险评估算法,在帮助研究人员处理大量数据的同时,提高风险评估的客观性和有效性,为信息安全风险评估可视化的研究提供了一个新方向。     

信息安全风险评估方法研究

信息安全风险评估是建立信息安全保障体系过程中重要的评价方法和决策机制,是信息安全研究的重要组成部分。文章阐述了国内外信息安全风险评估的发展状况,对信息安全风险评估方法进行了分类和总结,通过对典型评估方法的讨论,深入分析了各种分析方法在评估过程中的优劣侧重和综合应用性。最后,就中国信息安全的发展状况,提出了在信息安全评估工作中急需解决的若干问题。     

信息安全风险评估在贵州移动的应用

论文通过对信息安全风险评估的概念及评估方法的介绍,并以贵州移动2008年网管系统的风险评估为例,结合风险评估在贵州移动的应用和成果,说明了风险评估对于贵州移动信息安全工作的重要性。同时,也希望对其他企事业单位进行信息安全建设提供一些有益的思路。