安全測評實(shí)踐(編輯修改稿)
2025-02-03 12:18 本頁面
【文章內(nèi)容簡介】 L安全管理能力成熟度級TCML安全工程能力成熟度級XX 信息系統(tǒng)安全目標(biāo)（ ISST ）XX 信息系統(tǒng)保護(hù)輪廓（ ISP P ）信息系統(tǒng)保障評估方法信息系統(tǒng)安全保障級信息系統(tǒng)安全保障評估ISP P評估ISST評估））信息安全保障評估總體思路 26 ? 評估信息系統(tǒng)安全保障目標(biāo)（ ISST）對信息系統(tǒng)安全保障要求（ ISPP）的符合性，即具體的信息系統(tǒng)安全保障措施信息系統(tǒng)在其運(yùn)行環(huán)境下是否滿足信息系統(tǒng)安全保障的需求 ? 對信息系統(tǒng)安全保障的執(zhí)行能力進(jìn)行評估，評估信息系統(tǒng)安全保障級（包括技術(shù)架構(gòu)能力級、工程能力級和管理能力級的評定） 符合性目標(biāo)及級別目標(biāo) 27 信息系統(tǒng)安全分級分類 “信息系統(tǒng)安全保障評估框架” 信息系統(tǒng)安全保障級 ISAL TCML 安全技術(shù)架構(gòu)能力級 MCML 安全管理能力級 ECML 安全過程能力級 信息系統(tǒng)安全分級分類 價值 信息特征 ?保密性 ?完整性 ?可用性 信息系統(tǒng)使命類 信息系統(tǒng)威脅分級 + 信息系統(tǒng)的分級原則 28 信息系統(tǒng)的安全保障能力成熟度級 ? 管理能力成熟度等級（ MCML）： MCML MCML MCML MCML4和 MCML5 ? 工程能力成熟度等級（ PCML）： PCML PCML PCML PCML4和 PCML5 ? 技術(shù)體系架構(gòu)成熟度級別（ TCML） ： TCML TCML TCML TCML TCML5 29 評估對象 評估實(shí)施 評估結(jié)果 評估規(guī)范、準(zhǔn)則 評估方法、工具 評估預(yù)案、組織 安全要求 安全風(fēng)險(xiǎn) 信息系統(tǒng)安全 保護(hù)等級劃分 等級認(rèn)證 信息系統(tǒng)安全保障評估總體框架 30 信息系統(tǒng)安全保障等級評估規(guī)范的建立 安全環(huán)境 安全目標(biāo) 安全需求 評估規(guī)范 ISPP/ ISST 物理環(huán)境 假 設(shè) 威 脅 系統(tǒng)使命 受保護(hù)資產(chǎn) 組織管理 管 理 技 術(shù) 工 程 服 務(wù) 31 服務(wù)商資質(zhì)測評 ?信息安全服務(wù) 是指信息安全工程的設(shè)計(jì)、實(shí)施、測試、運(yùn)行和維護(hù)，以及相關(guān)的咨詢和培訓(xùn)活動。 集成商 開發(fā)商 運(yùn)維商 32 信息安全服務(wù)資質(zhì)測評 ?信息安全服務(wù)資質(zhì)測評是對信息安全服務(wù)商的技術(shù)、資源、管理等方面的能力和穩(wěn)定性、可靠性進(jìn)行評估 ?目前中國信息安全測評中心開展的信息安全服務(wù)資質(zhì)評估包括 3個類別 ? 信息安全工程類 ? 信息安全開發(fā)類 ? 信息系統(tǒng)災(zāi)難恢復(fù)類 服務(wù)資質(zhì)測評的作用 ? 對安全服務(wù)提供方： ? 獲得自身安全服務(wù)能力的認(rèn)可 ? 獲得自身安全服務(wù)能力規(guī)范和提高（可重復(fù)、可預(yù)測的過程和實(shí)施減少返工） ? 提高組織的市場競爭力（知名度） ? ? 對安全服務(wù)需求方： ? 可獲得選擇服務(wù)商的第三方保證 ? 提供有能力、有保障的服務(wù)商的范圍（選擇依據(jù)） ? ? 對社會和行業(yè)： ? 規(guī)范和指導(dǎo)整個社會和信息安全服務(wù)行業(yè)的行為 ? 搭建起信息安全服務(wù)領(lǐng)域科學(xué)的、規(guī)范的發(fā)展框架 33 服務(wù)資質(zhì)測評的程序 申 請 委 托 人申 請 書形 式 化 審 查受 理 決 定評 審 決 定靜 態(tài) 評 估現(xiàn) 場 審 核專 家 組 評 審認(rèn) 證 決 定證 后 監(jiān) 督公 告發(fā) 證 備 案限 期 整 改抽 樣 檢 查不 予 認(rèn) 證不 予 受 理34 35 ?基本資格 ? 獨(dú)立實(shí)體 —— 本身合法 ? 遵守國家有關(guān)法規(guī) —— 行為合法 ?基本能力 ? 組織機(jī)構(gòu) ? 外部協(xié)作 ? 人員素質(zhì) ? 資產(chǎn)規(guī)模 ? 設(shè)施環(huán)境 ? 業(yè)績 信息安全服務(wù)資質(zhì)評估主要內(nèi)容 36 ? 安全工程過程能力級別是評定信息系統(tǒng)安全服務(wù)組織資質(zhì)的主要依據(jù)，標(biāo)志著服務(wù)組織提供給客戶的安全服務(wù)專
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1