安全測(cè)評(píng)實(shí)踐教材(編輯修改稿)
2025-02-03 12:07 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 L安全管理能力成熟度級(jí)TCML安全工程能力成熟度級(jí)XX 信息系統(tǒng)安全目標(biāo)（ ISST ）XX 信息系統(tǒng)保護(hù)輪廓（ ISP P ）信息系統(tǒng)保障評(píng)估方法信息系統(tǒng)安全保障級(jí)信息系統(tǒng)安全保障評(píng)估ISP P評(píng)估ISST評(píng)估））信息安全保障評(píng)估總體思路 26 ? 評(píng)估信息系統(tǒng)安全保障目標(biāo)（ ISST）對(duì)信息系統(tǒng)安全保障要求（ ISPP）的符合性，即具體的信息系統(tǒng)安全保障措施信息系統(tǒng)在其運(yùn)行環(huán)境下是否滿足信息系統(tǒng)安全保障的需求 ? 對(duì)信息系統(tǒng)安全保障的執(zhí)行能力進(jìn)行評(píng)估，評(píng)估信息系統(tǒng)安全保障級(jí)（包括技術(shù)架構(gòu)能力級(jí)、工程能力級(jí)和管理能力級(jí)的評(píng)定） 符合性目標(biāo)及級(jí)別目標(biāo) 27 信息系統(tǒng)安全分級(jí)分類 “信息系統(tǒng)安全保障評(píng)估框架” 信息系統(tǒng)安全保障級(jí) ISAL TCML 安全技術(shù)架構(gòu)能力級(jí) MCML 安全管理能力級(jí) ECML 安全過程能力級(jí) 信息系統(tǒng)安全分級(jí)分類 價(jià)值 信息特征 ?保密性 ?完整性 ?可用性 信息系統(tǒng)使命類 信息系統(tǒng)威脅分級(jí) + 信息系統(tǒng)的分級(jí)原則 28 信息系統(tǒng)的安全保障能力成熟度級(jí) ? 管理能力成熟度等級(jí)（ MCML）： MCML MCML MCML MCML4和 MCML5 ? 工程能力成熟度等級(jí)（ PCML）： PCML PCML PCML PCML4和 PCML5 ? 技術(shù)體系架構(gòu)成熟度級(jí)別（ TCML） ： TCML TCML TCML TCML TCML5 29 評(píng)估對(duì)象 評(píng)估實(shí)施 評(píng)估結(jié)果 評(píng)估規(guī)范、準(zhǔn)則 評(píng)估方法、工具 評(píng)估預(yù)案、組織 安全要求 安全風(fēng)險(xiǎn) 信息系統(tǒng)安全 保護(hù)等級(jí)劃分 等級(jí)認(rèn)證 信息系統(tǒng)安全保障評(píng)估總體框架 30 信息系統(tǒng)安全保障等級(jí)評(píng)估規(guī)范的建立 安全環(huán)境 安全目標(biāo) 安全需求 評(píng)估規(guī)范 ISPP/ ISST 物理環(huán)境 假 設(shè) 威 脅 系統(tǒng)使命 受保護(hù)資產(chǎn) 組織管理 管 理 技 術(shù) 工 程 服 務(wù) 31 服務(wù)商資質(zhì)測(cè)評(píng) ?信息安全服務(wù) 是指信息安全工程的設(shè)計(jì)、實(shí)施、測(cè)試、運(yùn)行和維護(hù)，以及相關(guān)的咨詢和培訓(xùn)活動(dòng)。 集成商 開發(fā)商 運(yùn)維商 32 信息安全服務(wù)資質(zhì)測(cè)評(píng) ?信息安全服務(wù)資質(zhì)測(cè)評(píng)是對(duì)信息安全服務(wù)商的技術(shù)、資源、管理等方面的能力和穩(wěn)定性、可靠性進(jìn)行評(píng)估 ?目前中國(guó)信息安全測(cè)評(píng)中心開展的信息安全服務(wù)資質(zhì)評(píng)估包括 3個(gè)類別 ? 信息安全工程類 ? 信息安全開發(fā)類 ? 信息系統(tǒng)災(zāi)難恢復(fù)類 服務(wù)資質(zhì)測(cè)評(píng)的作用 ? 對(duì)安全服務(wù)提供方： ? 獲得自身安全服務(wù)能力的認(rèn)可 ? 獲得自身安全服務(wù)能力規(guī)范和提高（可重復(fù)、可預(yù)測(cè)的過程和實(shí)施減少返工） ? 提高組織的市場(chǎng)競(jìng)爭(zhēng)力（知名度） ? ? 對(duì)安全服務(wù)需求方： ? 可獲得選擇服務(wù)商的第三方保證 ? 提供有能力、有保障的服務(wù)商的范圍（選擇依據(jù)） ? ? 對(duì)社會(huì)和行業(yè)： ? 規(guī)范和指導(dǎo)整個(gè)社會(huì)和信息安全服務(wù)行業(yè)的行為 ? 搭建起信息安全服務(wù)領(lǐng)域科學(xué)的、規(guī)范的發(fā)展框架 33 服務(wù)資質(zhì)測(cè)評(píng)的程序 申 請(qǐng) 委 托 人申 請(qǐng) 書形 式 化 審 查受 理 決 定評(píng) 審 決 定靜 態(tài) 評(píng) 估現(xiàn) 場(chǎng) 審 核專 家 組 評(píng) 審認(rèn) 證 決 定證 后 監(jiān) 督公 告發(fā) 證 備 案限 期 整 改抽 樣 檢 查不 予 認(rèn) 證不 予 受 理34 35 ?基本資格 ? 獨(dú)立實(shí)體 —— 本身合法 ? 遵守國(guó)家有關(guān)法規(guī) —— 行為合法 ?基本能力 ? 組織機(jī)構(gòu) ? 外部協(xié)作 ? 人員素質(zhì) ? 資產(chǎn)規(guī)模 ? 設(shè)施環(huán)境 ? 業(yè)績(jī) 信息安全服務(wù)資質(zhì)評(píng)估主要內(nèi)容 36 ? 安全工程過程能力級(jí)別是評(píng)定信息系統(tǒng)安全服務(wù)組織資質(zhì)的主要依據(jù)，標(biāo)志著服務(wù)組織提供給客戶的安全服務(wù)專
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1