美国《信息系统保护国家计划》介绍

引言 信息系统安全是一项复杂、系统的工作,需要综合的指导,并要对以往工作有继承性。美国政府在这方面的工作值得参考。早在1998年5月,克林顿政府发布第63号总统令(PDD—63),曾对美国政府的信息安全保护工作产生了重要影响。在PDD63的要求之下,政府随后在2001年1月发布了《信息系统保护国家计划》(以后简称《计划》),以期对美国全国在21世纪初的安全工作进行规划和指导。在该计划发布时,世界上其他国家还没有同类文献。这之后,各国纷纷效仿,比如俄罗斯政府也在2000年6月也制定其国家计划。但就规模和成熟性来说,美国的计划仍处于世界前列。《计划》     

信息安全的等级保护体系

信息安全工作的目标就是采用适当的安全措施将信息和信息系统的残余风险降低到一个可接受的风险级别。要确定什么才是合适的安全措施,必然要先对信息和信息系统进行风险评估,然后根据评估结果对其进行安全分类。对不同安全分类的信息和信息系统,其要求的安全措施必然不同,如何选择适当的安全措施并对采取的措施及效果进行安全评价、认证和认可就要运用信息安全等级保护的思想。目前世界上很多国家和     

综述:美国政府信息安全教育项目

引言 　　科教兴国,人才为本,信息安全人才培养的成功与否,直接决定了一个国家信息安全总体工作的成败,从而也决定了国家的未来发展.……     

美国信息安全战略中的系统安全评估工作(上)

制定国家信息安全战略,应从顶层规划一个国家的信息安全工作,做出科学部署,使信息安全的主管机关和决策者能够心中有数,各级单位行动有方。其中,如何通过若干条     

如何使网络安全“接地气”

<正>很少有像网络安全这样的主题,既关系社稷安危,上承国家意志,又影响万民生息,下载百姓期盼;既蕴含了高科技对抗的玄机,刹那间昭示着高手比拼的武道哲学,又有赖于芸芸众生的一行一动与一念一知,归于隽永的是信息化大潮中每个当事者聚沙而成的网络安全文化。网络安全是国家的责任,也是全民的责任。但网络安全不只是责任,更是权利,是民众福祉之所在。构筑国家网络安全保障体系,需要举国行动起来。于国家而言,网络安全的内涵太多;然于民众而言,当致力于     

CC解释及对CC和CEM过渡版本的分析(五)

对CEM改动的分析 CCIMB对CEM《IT安全评估通用方法学》的改动涉及21条RI,如表四所示: 其中,第003、004、008、016、019、038、049、064、085条解释请求已在前文作了分析,这里不再赘述。RI024—— 主题:商业现货(COTS)产品所需的评估证据。 类型:请求说明/澄清。 原因:TEF(注:可信评估实验室)在处理多产品评估时出现问题。 问题描述:TOE中可能会包含与安全功能有关的其他开发商的产品。那么在评估这类TOE时,需要提交哪些证据?有时候,开发商并不知道其TOE中所包含的其它开发商产品的基本信息,比如配置管理(AC…     

网络安全审查体系下的云基线

<正>我国的网络安全审查制度,针对的是关系国家安全和公共利益的系统所使用的重要信息技术产品和服务。在这个审查制度的框架下,主管部门还专门为政府部门云计算服务建立了一套审查工作机制。政府部门云计算服务安全审查是网络安全审查制度的一部分,沿袭了网络安全审查制度的基本思路,但突出了云计算服务的特性。我国的政府部门云计算服务安全审查制度充分参考了美国联邦政府的云计算服务安全审查制度FedRAMP(联邦风险及授权管理项目)。美国的制度中,对云计算服务的审查标准是FedRAMP云安全基线(baseline)。正是在充分借鉴这套基线的基础上,我们起草了中国的国家标准《信息安全技术云计算服务安全能力要求》,这是我国对云服务商的安全审查依据,目前标准已经报批,即将正式发布。FedRAMP云安全基线对我国的云安全审查标准有重大影响,这里分析其发展和应用情况。     

关于信息安全等级保护中认证认可工作的思考

信息安全等级保护是加强我国信息安全保障建设中的一项基础性工作。目前,我国已经对信息安全等级保护工作有了一定的理论探索和实践,在国家主管机关的大力推动下,等级保护将在制度与政策层面继续获得较大的进展。信息安全等级保护涉及到了信息系统的整个生命周期,对信息系统安全的认证和认可在其中占据着重要的地位。因此,如何在我国开展信息系统安全的认证和认可,是信息安全等级保护工作中的一项关键任务。     

把握我国实施个人信息出境认证的几个要点

<正>当前,我国正在抓紧建立符合国际惯例的数据出境安全管理制度。2021年,《个人信息保护法》发布实施,对个人信息出境设置了多种方式,包括“按照国家网信部门的规定经专业机构进行个人信息保护认证”。这一法律规定既提出了“个人信息保护认证”的概念,也确立了“个人信息出境认证”的出境方式。认证机制作为个人信息的出境方式,是国际通行的做法,但尚未有成熟实施模式,各国也均在探索之中。近日,国家市场监管总局、国家互联网信息办公室联合印发公告,发布了《个人信息保护认证实施规则》,     

PCIS的角色与作用

一、引言 信息安全问题已经成为信息化发展中必须面对的经常性问题,它不仅给一个国家的信息化进程带来现实的挑战,而且也给国家与国家之间带来新的制约关系,为各国运用信息技术手段解决国际间的问题提供了可能。近十年来,一些力图在国际政治、经济生活中发挥更大作用的国家,比如美国、俄罗斯,日本