7信息安全等級(jí)測(cè)評(píng)實(shí)施細(xì)則(稿)(編輯修改稿)
2024-09-26 14:01 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 機(jī)關(guān)辦公系統(tǒng)）；金融、稅務(wù)、工商、海關(guān)、能源、交通運(yùn)輸、社會(huì)保障、教育等基礎(chǔ)設(shè)施的信息系統(tǒng)；國(guó)防工業(yè)企業(yè)、科研等單位的信息系統(tǒng)等。 涉密信息系統(tǒng)分級(jí)保護(hù)保護(hù)的對(duì)象是所有涉及國(guó)家秘密的信息系統(tǒng)，重點(diǎn)是黨政機(jī)關(guān)、軍隊(duì)和軍工單位，由各級(jí)保密工作部門(mén)根據(jù)涉密信息系統(tǒng)的保護(hù)等級(jí)實(shí)施監(jiān)督管理，確保系統(tǒng)和信息安全，確保國(guó)家秘密不被泄漏。 國(guó)家信息安全等級(jí)保護(hù)是國(guó)家從整體上、根本上解決國(guó)家信息安全問(wèn)題的辦法，進(jìn)一步確定了信息安全發(fā)展的主線(xiàn)和中心任務(wù)，提出了總體要求。對(duì)信息系統(tǒng)實(shí)行等級(jí)保護(hù)是國(guó)家法定制度和基本國(guó)策，是開(kāi)展信息安全保護(hù)工作的有效辦法，是信息安全保護(hù)工作的發(fā)展方向。而涉密信息系統(tǒng)分級(jí)保護(hù)則是是國(guó)家信息安全等級(jí)保護(hù)的重要組成部分，是等級(jí)保護(hù)在涉密領(lǐng)域的具體體現(xiàn)。 三、等級(jí)合規(guī)測(cè)評(píng)的主要內(nèi)容 單元測(cè)評(píng)。單元測(cè)評(píng)從信息安全管理制度、信息安全管理機(jī)構(gòu)、人員安全管理、信息系統(tǒng)建設(shè)管理、信息系統(tǒng)運(yùn)維管理、物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全等層面，測(cè)評(píng)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（gb/t222392008）所要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況。 整體測(cè)評(píng)。整體測(cè)評(píng)主要測(cè)評(píng)分析信息系統(tǒng)的整體安全性。在內(nèi)容上主要包括安全控制間、層面間和區(qū)域間相互作用的安全測(cè)評(píng)以及系統(tǒng)結(jié)構(gòu)的安全測(cè)評(píng)等，是在單元測(cè)評(píng)基礎(chǔ)上進(jìn)行的進(jìn)一步測(cè)評(píng)分析。 四、等級(jí)合規(guī)測(cè)評(píng)的重要作用 等級(jí)合規(guī)測(cè)評(píng)是落實(shí)信息安全等級(jí)保護(hù)制度的重要環(huán)節(jié) 在信息系統(tǒng)建設(shè)、整改時(shí)，信息系統(tǒng)運(yùn)營(yíng)、使用單位通過(guò)等級(jí)測(cè)評(píng)進(jìn)行現(xiàn)狀分析，確定系統(tǒng)的安全保護(hù)現(xiàn)狀和存在的安全問(wèn)題，并在此基礎(chǔ)上確定系統(tǒng)的整改安全需求。信息系統(tǒng)定級(jí)是整個(gè)等級(jí)保護(hù)工作的開(kāi)始，等級(jí)保護(hù)基本要求是對(duì)不同等級(jí)信息系統(tǒng)實(shí)行等級(jí)保護(hù)的基礎(chǔ)?？蛻?hù)可以基于定級(jí)指南對(duì)信息系統(tǒng)定級(jí)，基于等級(jí)保護(hù)基本要求實(shí)施保護(hù)措施，從而將有效落實(shí)國(guó)家有關(guān)等級(jí)保護(hù)的制度要求和文件精神。 等級(jí)測(cè)評(píng)報(bào)告是信息系統(tǒng)開(kāi)展整改加固的重要指導(dǎo)性文件，也是信息系統(tǒng)備案的重要附件材料 等級(jí)測(cè)評(píng)結(jié)論為信息系統(tǒng)未達(dá)到相應(yīng)等級(jí)的基本安全保護(hù)能力的，運(yùn)營(yíng)、使用單位應(yīng)當(dāng)根據(jù)等級(jí)測(cè)評(píng)報(bào)告，制定方案進(jìn)行整改，盡快達(dá)到相應(yīng)等級(jí)的安全保護(hù)能力。 等級(jí)測(cè)評(píng)使整個(gè)組織規(guī)范一致的開(kāi)展等級(jí)評(píng)定工作 合規(guī)測(cè)評(píng)基于客戶(hù)的組織架構(gòu)、運(yùn)作模式等特點(diǎn)，制定信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南，明確在組織內(nèi)開(kāi)展等級(jí)評(píng)定工作的原則、方法和流程，從而使得客戶(hù)的等級(jí)評(píng)定工作能夠在整個(gè)組織范圍內(nèi)一致地開(kāi)展。 確保突出重點(diǎn)保護(hù)對(duì)象并進(jìn)行適度保護(hù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求明確了不同等級(jí)信息系統(tǒng)的技術(shù)要求和管理要求，基于信息系統(tǒng)安全等級(jí)保護(hù)基本要求，合規(guī)測(cè)評(píng)可使客戶(hù)在符合國(guó)家法律法規(guī)要求的前提下，針對(duì)不同等級(jí)信息系統(tǒng)采取相應(yīng)等級(jí)的保護(hù)措施，從而確保重點(diǎn)突出、適度保護(hù)，節(jié)省it投資。 等級(jí)測(cè)評(píng)提高內(nèi)部人員的信息安全意識(shí) 合規(guī)測(cè)評(píng)過(guò)程中，第三方咨詢(xún)專(zhuān)家將與被服務(wù)單位人員密切合作。通過(guò)與被服務(wù)單位人員有針對(duì)性的交流，以及精心設(shè)計(jì)的調(diào)查問(wèn)卷等，被服務(wù)單位的管理、業(yè)務(wù)、技術(shù)等人員將逐步提高對(duì)信息安全合規(guī)的認(rèn)識(shí)，強(qiáng)化信息安全意識(shí)，杜絕違規(guī)操作。 作為第三方測(cè)評(píng)機(jī)構(gòu)，XX省軟件評(píng)測(cè)中心認(rèn)為，通過(guò)等級(jí)合規(guī)測(cè)評(píng)可指導(dǎo)用戶(hù)在各個(gè)層面上綜合采取多種保護(hù)措施，保護(hù)網(wǎng)絡(luò)和安全域邊界、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、終端計(jì)算環(huán)境的安全、以及進(jìn)行安全運(yùn)行中心等支撐性安全設(shè)施的建設(shè)。 五、等級(jí)合規(guī)測(cè)評(píng)的操作流程要充分發(fā)揮等級(jí)測(cè)評(píng)對(duì)信息安全的保障作用，就要按照科學(xué)的流程和方法進(jìn)行操作。XX省軟件評(píng)測(cè)中心根據(jù)等級(jí)測(cè)評(píng)的相關(guān)要求將等級(jí)測(cè)評(píng)過(guò)程分為四個(gè)基本測(cè)評(píng)活動(dòng)：測(cè)評(píng)準(zhǔn)備活動(dòng)、方案編制活動(dòng)、現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)、分析及報(bào)告編制活動(dòng)。而測(cè)評(píng)雙方之間的溝通與洽談應(yīng)貫穿整個(gè)等級(jí)測(cè)評(píng)過(guò)程。具體過(guò)程如下： 測(cè)評(píng)準(zhǔn)備活動(dòng) 本活動(dòng)是開(kāi)展等級(jí)測(cè)評(píng)工作的前提和基礎(chǔ)，是整個(gè)等級(jí)測(cè)評(píng)過(guò)程有效性的保證。測(cè)評(píng)準(zhǔn)備工作是否充分直接關(guān)系到后續(xù)工作能否順利開(kāi)展。本活動(dòng)的主要任務(wù)是掌握被測(cè)系統(tǒng)的詳細(xì)情況，準(zhǔn)備測(cè)試工具，為編制測(cè)評(píng)方案做好準(zhǔn)備。 方案編制活動(dòng) 本活動(dòng)是開(kāi)展等級(jí)測(cè)評(píng)工作的關(guān)鍵活動(dòng)，為現(xiàn)場(chǎng)測(cè)評(píng)提供最基本的文檔和指導(dǎo)方案。本活動(dòng)的主要任務(wù)是確定與被測(cè)信息系統(tǒng)相適應(yīng)的測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)及測(cè)評(píng)內(nèi)容等，并根據(jù)需要重用或開(kāi)發(fā)測(cè)評(píng)指導(dǎo)書(shū)測(cè)評(píng)指導(dǎo)書(shū)，形成測(cè)評(píng)方案。 現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng) 本活動(dòng)是開(kāi)展等級(jí)測(cè)評(píng)工作的核心活動(dòng)。本活動(dòng)的主要任務(wù)是按照測(cè)評(píng)方案的總體要求，嚴(yán)格執(zhí)行測(cè)評(píng)指導(dǎo)書(shū)測(cè)評(píng)指導(dǎo)書(shū)，分步實(shí)施所有測(cè)評(píng)項(xiàng)目，包括單元測(cè)評(píng)和整體測(cè)評(píng)兩個(gè)方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問(wèn)題。
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1