從美國聯(lián)邦信息系統(tǒng)安全防護政策看我國信息系統(tǒng)安全風(fēng)險評估-資料下載頁
2025-04-13 04:22本頁面
【正文】 系統(tǒng)投入運行；二、系統(tǒng)運行階段。在系統(tǒng)運行階段應(yīng)要求進行強制性定期再評估（例如每一年或兩 年一次）或系統(tǒng)發(fā)生重大變更時的再評估。系統(tǒng)安全保障等級評估包括對信息系統(tǒng)安全的技術(shù)和非技術(shù)環(huán)節(jié)的安全評估，并最終給出信息系統(tǒng)安全保障能力的等級和 系統(tǒng)安全當(dāng)前狀態(tài)的評價。它是信息系統(tǒng)進行安全認證與認可的前期工作。它綜合了當(dāng)前信息安全領(lǐng)域關(guān)于安全技術(shù)、安全管理及安全工程過程等方面的最新國際標 準進行，是一種非常全面、深入、細致的安全評估?！ ≡摲绞桨踩u估的適用范圍較廣，既能服務(wù)于一般的商業(yè)性信息系統(tǒng)，也能服務(wù)于涉及國家機密、國家重要基礎(chǔ)設(shè)施等關(guān)鍵信息系統(tǒng)特別是大信息系統(tǒng) 中。 安全認證與認可是以系統(tǒng)安全保障等級評估為依據(jù)和基礎(chǔ)的，它由一個具有權(quán)威性的、獨立的、公正公平的第三方認證來對信息系統(tǒng)進行安全認證，并由 信息系統(tǒng)的主管機構(gòu)方來對該認證結(jié)果進行認可的一個安全評估方式。安全認證與認可的目的是批準確保符合安全要求的信息系統(tǒng)投入正式運行，其結(jié)論有3種：全 認可（允許系統(tǒng)投入運行）、臨時認可（允許系統(tǒng)有條件地暫時投入運行）、拒絕認可（不允許系統(tǒng)投入運行）。因此，安全認證與認可通常是針對安全等級較高的 涉及國計民生或政府機構(gòu)的關(guān)鍵信息系統(tǒng)所進行?！ 【C上可見，以上這幾種信息安全評估類型主要的區(qū)分方式在于其評估方的不同，安全風(fēng)險自評估是信息系統(tǒng)所有者自己進行的評估，安全檢查是信息系統(tǒng) 所有者上級主觀部門對其進行的評估，第二方所進行安全風(fēng)險評估則是第二方商業(yè)服務(wù)機構(gòu)提供的安全評估服務(wù)，而系統(tǒng)安全保障等級評估和安全認證與認可是由客 觀公正公平科學(xué)的第三方所進行的評估；從這幾種評估的關(guān)系來看，安全風(fēng)險評估通常是系統(tǒng)安全保障等級評估的基礎(chǔ)和必要條件，而系統(tǒng)安全保障等級評估則是安 全檢查和安全認證與認可的基礎(chǔ)和依據(jù)。 因此，可以設(shè)計如圖3所示的信息系統(tǒng)安全評估體制，風(fēng)險評估具有基礎(chǔ)性作用，風(fēng)險評估的結(jié)果作為對信息系統(tǒng)進行分級的依據(jù)，并直接導(dǎo)出信息系統(tǒng) 安全需求，為信息系統(tǒng)安全建設(shè)指明方向?！ ∷?、小結(jié) 隨著信息化建設(shè)的快速推進，信息安全問題的重要性及緊迫性日益凸現(xiàn)。信息系統(tǒng)安全風(fēng)險評估工作的重要性越來越被人們所認識。本文從制定國家信息 系統(tǒng)安全評估體系的角度分析了系統(tǒng)安全風(fēng)險評估的作用。6 /
公司管理相關(guān)推薦
鄂ICP備17016276號-1