從美國聯(lián)邦信息系統(tǒng)安全防護(hù)政策看我國信息系統(tǒng)安全風(fēng)險評估(編輯修改稿)
2025-05-10 04:22 本頁面
【文章內(nèi)容簡介】 NIST定義了總體的信息系統(tǒng)安全框架圖，如圖2所示： 從圖中可見，新建或再建的信息系統(tǒng)必須實(shí)施定期的風(fēng)險評估(SP80030)，以分析信息系統(tǒng)面臨的威脅、信息系統(tǒng)存在的脆弱性，信息系統(tǒng)可 能遇到的安全事件損失及由此導(dǎo)致的風(fēng)險；同時，風(fēng)險評估將為信息系統(tǒng)確定其安全需求；隨后，應(yīng)根據(jù)風(fēng)險評估中確定的信息系統(tǒng)在機(jī)密性、完整性和可用性方面 存在的風(fēng)險，確定信息系統(tǒng)的安全類別和等級(FIPS199)；針對信息系統(tǒng)的安全類別和等級，將為其選擇有效的安全控制(SP80053)，以實(shí)現(xiàn)合 適的安全等級(SP80060)；上述過程確定的安全需求、安全控制均將列入信息系統(tǒng)的安全計(jì)劃(SP80018)并得到實(shí)施(SP80053)。 此后，應(yīng)定期通過安全測試和評估來衡量信息系統(tǒng)中安全控制的有效性，即信息系統(tǒng)安全認(rèn)證工作(SP80037)；最終，基于安全控制的有效性和殘余風(fēng)險 值，由聯(lián)邦機(jī)構(gòu)的高級官員決定是否授權(quán)信息系統(tǒng)投入運(yùn)行，即信息系統(tǒng)的安全認(rèn)可工作(SP80037)。而且由于信息技術(shù)的發(fā)展、業(yè)務(wù)需求的變革，外部 環(huán)境的變化均可能使信息系統(tǒng)的安全態(tài)勢發(fā)生改變，因此上述過程是動態(tài)的，且需定期重復(fù)?！ 纳峡梢?，美國聯(lián)邦政府信息系統(tǒng)的安全工作是在整個信息系統(tǒng)的生命周期中進(jìn)行的，而整個安全工作的關(guān)鍵則是信息系統(tǒng)安全認(rèn)證與認(rèn)可(它包含了信 息系統(tǒng)安全評估工作)，它是整個信息系統(tǒng)安全工作的關(guān)鍵控制點(diǎn)。 三、我國信息系統(tǒng)安全風(fēng)險評估工作的思考 2004年1月9日，黃菊關(guān)于“全面加強(qiáng)信息安全保障工作，促進(jìn)信息化健康發(fā)展”的講話中，對我國的信息安全風(fēng)險評估工作做了很好的定位：“抓 緊研究制定基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)風(fēng)險評估的管理規(guī)范，并組織力量提供技術(shù)支持。根據(jù)風(fēng)險評估結(jié)果，進(jìn)行相應(yīng)等級的安全建設(shè)和管理，特別是對涉及國家 機(jī)密的信息系統(tǒng)，要按照黨和國家有關(guān)保密規(guī)定進(jìn)行保護(hù)。對涉及國計(jì)民生的重要信息系統(tǒng)，要進(jìn)行必要的信息安全檢查”。對我國信息系統(tǒng)安全風(fēng)險評估工作（特 別是政府部門信息系統(tǒng)安全風(fēng)險評估工作）的部署，要參照黃菊講話的精神進(jìn)行。而且信息系統(tǒng)安全風(fēng)險評估應(yīng)當(dāng)結(jié)合整個信息系統(tǒng)的安全評估體系來考慮?！ ⌒畔⑾到y(tǒng)安全評估和信息安全保障一樣是個復(fù)雜的問題，其復(fù)雜性不僅來源于信息系統(tǒng)安全本身，更來源于安全評估
公司管理相關(guān)推薦
鄂ICP備17016276號-1