7信息安全等級測評實施細則(稿)-展示頁
2024-09-26 14:01本頁面
【正文】 國務(wù)院令147號發(fā)布）。它的出臺意味著在美國上市的公司不僅要保證其財務(wù)報表數(shù)據(jù)的準確，還要保證內(nèi)控系統(tǒng)能通過相關(guān)審計。 塞班斯法案成為在美上市企業(yè)躲不過去的坎。 塞班斯法案針對安然、世通等財務(wù)欺詐事件，美國國會出臺了《2002年公眾公司會計改革和投資者保護法案》。國家保密局專門對涉密信息系統(tǒng)如何進行分級保護制定了一系列的管理辦法和技術(shù)標準，目前，正在執(zhí)行的兩個分級保護的國家保密標準是bmb17《涉及國家秘密的信息系統(tǒng)分級保護技術(shù)要求》和bmb20《涉及國家秘密的信息系統(tǒng)分級保護管理規(guī)范》。等級保護依據(jù)公安部、國家保密局、國家密碼管理局和國信辦先后聯(lián)合下發(fā)《關(guān)于信息安全等級保護工作的實施意見》、《信息安全等級保護信息安全等級保護管理辦法》開展。 一、信息安全合規(guī)性要求 等級保護 等級保護將信息系統(tǒng)按照價值系統(tǒng)基礎(chǔ)資源和信息資源的價值大小、用戶訪問權(quán)限的大小、大系統(tǒng)中各子系統(tǒng)重要程度的區(qū)別劃分五個等級進行保護。 信息安全合規(guī)測評是國家強制要求的，信息系統(tǒng)運營、使用單位或者其主管部門，必須在系統(tǒng)建設(shè)、改造完成后，選擇具備資質(zhì)測評機構(gòu)，依據(jù)信息安全合規(guī)性要求，對信息系統(tǒng)是否合規(guī)進行檢測和評估的活動。信息安全等級測評實施細則(稿) 信息安全等級合規(guī)測評 合規(guī)，簡而言之就是要符合法律、法規(guī)、政策及相關(guān)規(guī)則、標準的約定。在信息安全領(lǐng)域內(nèi)，等級保護、分級保護、塞班斯法案、計算機安全產(chǎn)品銷售許可、密碼管理等，是典型的合規(guī)性要求。信息安全合規(guī)測評具有強制性和周期性（定期檢測），是國家信息安全部門督促合規(guī)性要求落地實施，保障信息安全的重要手段。其分級、分區(qū)域、分類和分階段是做好國家信息安全保護的前提。 分級保護 分級保護針對的是涉密信息系統(tǒng)，根據(jù)涉密信息的涉密等級，涉密信息系統(tǒng)的重要性，遭到破壞后對國計民生造成的危害性，以及涉密信息系統(tǒng)必須達到的安全保護水平劃分為秘密級、機密級和絕密級三個等級。 國家保密科技測評中心是我國唯一的涉密信息系統(tǒng)安全保密測評機構(gòu)，XX省軟件評測中心是國家保密科技測評中心在XX省設(shè)立的分中心。該法案由美國眾議院金融服務(wù)委員會主席奧克斯利和參議院銀行委員會主席塞班斯聯(lián)合提出，又被稱作《2002年塞班斯奧克斯利法案》（簡稱塞班斯法案），法案對美國《1933年證券法》、《1934年證券交易法》做了不少修訂，在會計職業(yè)監(jiān)管、公司治理、證券市場監(jiān)管等方面做出了許多新規(guī)定。它規(guī)定，上市公司的財務(wù)報告必須包括一份內(nèi)控報告，并明確規(guī)定公司管理層對建立和維護財務(wù)報告的內(nèi)部控制體系及相應(yīng)控制流程負有完全責(zé)任；此外，財務(wù)報告中必須附有其內(nèi)控體系和相應(yīng)流程有效性的年度評估。 計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可 計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可證是為了加強計算機信息系統(tǒng)安全專用產(chǎn)品的管理，保證安全專用產(chǎn)品的安全功能，由公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局頒發(fā)的許可證書。 （2）、《計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法》（1997年12月1日，公安部令第32號）。審批辦理流程： （1）、產(chǎn)品檢測。 （2）、申請辦證。（3）、審批發(fā)證。 信息系統(tǒng)密碼安全管理 為推動商用密碼發(fā)展，確保國家重要信息系統(tǒng)密碼安全，具備檢測資質(zhì)的機構(gòu)依據(jù)《信息安全等級保護商用密碼管理辦法》、《信息安全等級保護商用密碼技術(shù)實施要求》《信息系統(tǒng)安全等級保護基本要求》，對信息安全等級為三級以上（含三級）信息系統(tǒng)中的商用密碼系統(tǒng)進行測評。 在信息安全合規(guī)性要求中，等級保護和分級保護以其涉及范圍廣，實施具有高度專業(yè)化和復(fù)雜性的特點，成為信息安全合規(guī)測評工作的重點和難點，后面的文章將會對這兩個概念進行重點解讀。XX省軟件評測中心結(jié)合在等級保護測評和分級保護測評中的具體實踐，對等級保護和分級保護進行詳細介紹，理清兩者間的關(guān)聯(lián)。系統(tǒng)基礎(chǔ)資源和信息資源的價值大小、用戶訪問權(quán)限的大小、大系統(tǒng)中各子系統(tǒng)重要程度的區(qū)別等就是級別的客觀體現(xiàn)。 信息系統(tǒng)安全等級保護將安全保護的監(jiān)管級別劃分為五個級別： 第一級。 第二級：系統(tǒng)審計保護級本級的安全保護機制受到信息系統(tǒng)等級保護的指導(dǎo)，支持用戶具有更強的自主保護能力，特別是具有訪問審計能力。 第四級。 第五級。 在等級保護的實際操作中，強調(diào)從五個部分進行保護，即： 物理部分：包括周邊環(huán)境，門禁檢查，防火、防水、防潮、防鼠、蟲害和防雷，防電磁泄漏和干擾，電源備份和管理，設(shè)備的標識、使用、存放和管理等； 支撐系統(tǒng)：包括計算機系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和通信系統(tǒng)；網(wǎng)絡(luò)部分：包括網(wǎng)絡(luò)的拓撲結(jié)構(gòu)、網(wǎng)絡(luò)的布線和防護、網(wǎng)絡(luò)設(shè)備的管理和報警，
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1