從美國聯(lián)邦信息系統(tǒng)安全防護政策看我國信息系統(tǒng)安全風險評估(編輯修改稿)
2025-05-10 04:22 本頁面
【文章內容簡介】 NIST定義了總體的信息系統(tǒng)安全框架圖，如圖2所示： 從圖中可見，新建或再建的信息系統(tǒng)必須實施定期的風險評估(SP80030)，以分析信息系統(tǒng)面臨的威脅、信息系統(tǒng)存在的脆弱性，信息系統(tǒng)可 能遇到的安全事件損失及由此導致的風險；同時，風險評估將為信息系統(tǒng)確定其安全需求；隨后，應根據(jù)風險評估中確定的信息系統(tǒng)在機密性、完整性和可用性方面 存在的風險，確定信息系統(tǒng)的安全類別和等級(FIPS199)；針對信息系統(tǒng)的安全類別和等級，將為其選擇有效的安全控制(SP80053)，以實現(xiàn)合 適的安全等級(SP80060)；上述過程確定的安全需求、安全控制均將列入信息系統(tǒng)的安全計劃(SP80018)并得到實施(SP80053)。 此后，應定期通過安全測試和評估來衡量信息系統(tǒng)中安全控制的有效性，即信息系統(tǒng)安全認證工作(SP80037)；最終，基于安全控制的有效性和殘余風險 值，由聯(lián)邦機構的高級官員決定是否授權信息系統(tǒng)投入運行，即信息系統(tǒng)的安全認可工作(SP80037)。而且由于信息技術的發(fā)展、業(yè)務需求的變革，外部 環(huán)境的變化均可能使信息系統(tǒng)的安全態(tài)勢發(fā)生改變，因此上述過程是動態(tài)的，且需定期重復?！ 纳峡梢姡绹?lián)邦政府信息系統(tǒng)的安全工作是在整個信息系統(tǒng)的生命周期中進行的，而整個安全工作的關鍵則是信息系統(tǒng)安全認證與認可(它包含了信 息系統(tǒng)安全評估工作)，它是整個信息系統(tǒng)安全工作的關鍵控制點。 三、我國信息系統(tǒng)安全風險評估工作的思考 2004年1月9日，黃菊關于“全面加強信息安全保障工作，促進信息化健康發(fā)展”的講話中，對我國的信息安全風險評估工作做了很好的定位：“抓 緊研究制定基礎信息網(wǎng)絡和重要信息系統(tǒng)風險評估的管理規(guī)范，并組織力量提供技術支持。根據(jù)風險評估結果，進行相應等級的安全建設和管理，特別是對涉及國家 機密的信息系統(tǒng)，要按照黨和國家有關保密規(guī)定進行保護。對涉及國計民生的重要信息系統(tǒng)，要進行必要的信息安全檢查”。對我國信息系統(tǒng)安全風險評估工作（特 別是政府部門信息系統(tǒng)安全風險評估工作）的部署，要參照黃菊講話的精神進行。而且信息系統(tǒng)安全風險評估應當結合整個信息系統(tǒng)的安全評估體系來考慮?！ ⌒畔⑾到y(tǒng)安全評估和信息安全保障一樣是個復雜的問題，其復雜性不僅來源于信息系統(tǒng)安全本身，更來源于安全評估
公司管理相關推薦
鄂ICP備17016276號-1