信息安全風(fēng)險評估標(biāo)準(zhǔn)編制與內(nèi)容介紹-免費閱讀
【正文】 57 匯報內(nèi)容 一、標(biāo)準(zhǔn)的編制過程 二、標(biāo)準(zhǔn)的主要內(nèi)容 三、下一步工作的幾點思考 58 按照標(biāo)準(zhǔn)化管理和審批程序，繼續(xù)完成 《 信息安全風(fēng) 險評估規(guī)范 》 和 《 信息安全風(fēng)險管理指南 》 兩項國家標(biāo)準(zhǔn)； 結(jié)合國家基礎(chǔ)網(wǎng)絡(luò)和重要系統(tǒng)工程發(fā)展的需要，在已 有相關(guān)標(biāo)準(zhǔn)推廣應(yīng)用的基礎(chǔ)上，進行風(fēng)險評估與管理標(biāo)準(zhǔn)體 系的研究，以構(gòu)建我國信息安全風(fēng)險評估標(biāo)準(zhǔn)體系； 根據(jù)標(biāo)準(zhǔn)體系總體規(guī)劃的原則，相應(yīng)開展規(guī)劃與設(shè)計 階段方案風(fēng)險評估實施細則、要素等級劃分規(guī)范等標(biāo)準(zhǔn)化項 目的研制工作； 在總結(jié)我國信息安全風(fēng)險評估與管理工作經(jīng)驗的基礎(chǔ) 上，積極參與 ISO相關(guān)國際標(biāo)準(zhǔn)化活動。 資產(chǎn)評估：在真實環(huán)境下較為細致的評估。 53 設(shè)計階段的風(fēng)險評估 設(shè) 計階段的風(fēng)險評估需要根據(jù)規(guī)劃階段所明確的系統(tǒng)運行環(huán)境、資產(chǎn)重要性，提出安全功能需求。 48 一是風(fēng)險評估究其根本是評估系統(tǒng)的敏感信息，涉及大量的安全問題，完全委托第三方將帶來評估本身的風(fēng)險； 二是進行風(fēng)險評估要求評估人員既要了解評估本身的一套方法與流程，還要了解被評估系統(tǒng)的業(yè)務(wù)特性，這對于完全從事評估的第三方來講，在短時間內(nèi)了解每個系統(tǒng)的業(yè)務(wù)特性難度是比較大的； 三是風(fēng)險評估工作流程中常常要求被評估方向評估方提供各種信息，需要之間的良好互動以及多方會商，單靠評估方第三方是無法完成系統(tǒng)評估的。但由于引入第三方本身就是一個風(fēng)險因素，因此，對其背景與資質(zhì)、評估過程與結(jié)果的保密要求等方面應(yīng)進行控制。 36 信 息安全風(fēng)險評估，是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。 32 風(fēng)險評估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價 值威 脅資 產(chǎn)風(fēng) 險 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風(fēng) 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導(dǎo) 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風(fēng)險評估的基本要素 。 25 2023年 4月 18日 ， 全國信息安全標(biāo)準(zhǔn)化技術(shù)委員 （ 安標(biāo)委 ） 會第五工作組 （ WG5） 在北京召開全體工作組成員 標(biāo)準(zhǔn)投票會議 ， 對信息安全風(fēng)險評估國家標(biāo)準(zhǔn)送審稿進行工 作組全體成員投票表決 。 同時 ， 專家們也對完善標(biāo)準(zhǔn)提出了進一步的修改意見 。 12 一、標(biāo)準(zhǔn)的制定過程 前期研究準(zhǔn)備 標(biāo)準(zhǔn)草案編制 試點實踐檢驗 專家評審論證 13 試點實踐檢驗 2023年 2月 , 根據(jù) 國信辦 [2023]4號和 5號文件 ，關(guān)于在銀行 、 稅務(wù) 、 電力等部門和電子政務(wù)外網(wǎng) ， 以及北京 、 上海 、 黑龍江 、 云南等省市 ， 開展信息安全風(fēng)險評估試點工作的要求 ， 標(biāo)準(zhǔn)起草組配合風(fēng)險評估試點工作專家組開展了以下工作： 為各試點單位提供標(biāo)準(zhǔn)草案文本和相關(guān)說明； 在試點準(zhǔn)備階段與各試點單位的技術(shù)骨干進行標(biāo) 準(zhǔn)技術(shù)交流； 根據(jù)標(biāo)準(zhǔn)草案文本涉及的關(guān)鍵技術(shù) ， 起草組成員 選擇試點環(huán)節(jié)參與實際試點； 在試點過程中 ， 先后幾次召開標(biāo)準(zhǔn)研討會 ， 征求 各單位對標(biāo)準(zhǔn)的意見與建議 。落實中辦發(fā) 27號文件、全面推進我國的信息安全風(fēng)險評估工作，首先就必須解決我國缺乏統(tǒng)一的風(fēng)險評估技術(shù)標(biāo)準(zhǔn)的問題。課題組利用半年多的時間，對我國信息安全風(fēng)險評估現(xiàn)狀進行了深入調(diào)查，掌握了第一手情況；對國內(nèi)外相關(guān)領(lǐng)域的理論進行了學(xué)習(xí)、分析和研究，查閱了大量的相關(guān)資料，基本了解了此領(lǐng)域的國際前沿動態(tài)。 起草組在前期準(zhǔn)備工作的基礎(chǔ)上，經(jīng)過多次研究探討，確定了編制標(biāo)準(zhǔn)應(yīng) 遵循的原則 : 標(biāo)準(zhǔn)草案編制 10 1 、符合我國現(xiàn)行的信息安全有關(guān)法律法規(guī)的要求，認真貫徹落實 27號文件關(guān)于加強信息安全風(fēng)險評估工作的精神； 2 、立足于我國信息化建設(shè)實踐，積極借鑒國際先進標(biāo)準(zhǔn)的技術(shù)，提出符合我國基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)工程建設(shè)需求的風(fēng)險評估規(guī)范； 3 、針對網(wǎng)絡(luò)與信息系統(tǒng)的全生命周期，制訂適應(yīng)不同階段特點和要求的風(fēng)險評估實施方法； 4 、積極吸收信息安全有關(guān)主管部門和單位在等級保護、保密檢查和產(chǎn)品測評等工作的經(jīng)驗與成果； 5 、標(biāo)準(zhǔn)文本體系結(jié)構(gòu)科學(xué)合理，表述清晰，具有可實現(xiàn)性和可操作性。 專家評審論證 17 第一次專家評審會名單 姓 名 單 位 職務(wù) /職稱 周
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1