信息安全等级保护综合管理平台的设计与实现

为了规范在等级保护测评过程中等级保护测评机构工作的实施与管理,减少人为错误,提高工作效率,节约测评成本,在深入分析等级保护测评过程中存在的问题,并结合当前等级保护测评流程和方法的基础上。本文研究和设计了信息安全等级保护综合管理平台。通过该平台,测评机构不仅可以方便的对所有的等级保护测评项目进行管理,还能将该测评机构在各个项目测评实施过程中形成的知识和经验进行归纳和管理,形成较完备的等级保护测评知识体系。     

基于信息安全等级保护的安全测评服务框架研究

在等级保护工作全面开展的大背景下,等级测评机构如何发挥更大的技术支撑作用引起了业界广泛的关注。文章分析了等级保护工作面临的新挑战,提出了基于信息安全等级保护的安全测评服务框架。安全测评服务框架以信息安全相关标准为基础,以信息安全等级保护实施流程为时间线,针对信息系统备案单位在不同阶段的安全需求及工作重点开展有针对性的安全测评服务,提升信息系统备案单位信息安全管理水平及信息系统安全防护能力。等级测评机构可以通过安全测评服务框架充分发挥其信息安全专业机构的技术能力,在等级保护工作中发挥更大作用。     

服务器操作系统的测评方法

服务器操作系统作为关键业务应用和重要信息数据的承载平台,在信息安全保障体系中处于非常关键的位置。文章从服务器操作系统安全入手,结合等级保护要求,分析等级保护中各级操作系统安全要求,重点阐述了在等级保护测评方面对服务器操作系统的测评标准及存在问题,同时也提出了对于等级保护测评标准及测评方法的修改建议。     

网络安全等级保护测评中渗透测试的应用

渗透测试作为网络安全等级保护测评的一种补充和验证,能够对等保测评的风险判定和结论形成提供有力的支撑。本文从渗透测试的方法、使用的工具、实施流程和结果等方面,阐述了渗透测试在网络安全等级保护测评中的应用以及对于等级保护测评结论的影响,为等级保护中的渗透测试实施和结果的应用提供了参考。     

首届全国信息安全等级保护测评体系建设会议在上海召开

为全面总结信息安全等级保护测评体系建设和测评工作经验,分析当前面临的形势和存在的问题,研究部署下一阶段等级保护工作,尽快实现等级测评和安全建设阶段既定工作目标.2011年6月16日至17日,由公安部网络安全保卫局指导、公安部第三研究所主办的首届全国信息安全等级保护测评体系建设会议在上海召开.来自全国各省级公安网安部门分管等级保护工作的总队领导和81家各省区市推荐的等级测评机构代表,以及公安部网络安全保卫局、公安部第三研究所、全国信息安全标准化技术委员会等单位的领导和有关同志共162人参加了会议.     

量化风险的等级保护测评方法及平台设计

研究了等级保护测评的相关技术,针对当前等级保护测评中存在的典型问题,如风险分析不够准确、测评效率低、测评结果客观性不足等,提出一种量化风险的等级保护测评模型,将系统业务重要性因素引入风险分析环节,能较为可观的量化风险.基于该模型,设计并实现了分布式的等级测评平台(RQEP),能大大提升等级测评的效率,使测评过程更加规范化、标准化.     

等级测评实施环节内容及过程质量控制

文章首先阐述了等级保护测评实施环节的质量控制存在的问题，借鉴ISO9001质量管理体系的方法，结合笔者对测评实施阶段质量控制的理解，针对等级保护测评实施环节的准备阶段、测评阶段和报告编制阶段，提出有利于测评实施环节质量提高的工作内容及质量控制方法的思路。     

信息安全等级保护测评工作实践与探讨

文章通过阐述被测信息系统在等级保护测评中存在的主要问题,分析了形成的原因,从等级测评价格参考规范,加强对托管数据中心的等级保护管理,加强商用密码和数字证书的安全管理和测评,测评报告的专家评审等方面,对测评工作提出建议。     

等级测评中关键安全保护功能有效性测评技术研究

等级测评中关键安全保护功能是否有效保障信息系统具备相应的安全保护能力是目前等级测评需要解决的技术难点。文章结合等级测评的实际情况,以等级保护相关标准和法规政策等为基础,建立了关联测评对象与安全保护能力的有效性测评指标体系,给出了安全保护功能、控制有效性测评方法和安全保护功能综合评价方法,为信息系统具备的安全保护能力是否真实有效提供了一种确实可行的思路和判定方法。     

信息安全等级保护测评体系建设试点工作稳步开展

为了推动信息安全等级保护测评机构建设,提高等级测评机构的技术和管理能力,规范等级测评活动,检验等级测评标;隹规范,为信息系统主管部门和运营使用单位开展等级保护工作提供支持。7月2日,公安部网络安全保卫局在北京召开了信息安全等级保护测评体系建设试点工作会议,会议由公安部网络安全保卫局处长郭启全主持。     

石化等级测评活动的质量控制浅析

质量控制是等级测评活动公正性、客观性和保密性的根本保证。当前,国内还没有形成以等级测评活动为主体的质量管理体系标准,对等级测评活动过程中的质量控制,成为等级测评工作研究的重点难点。论文通过对信息系统安全等级保护政策法规体系和标准规范体系的研究,对等级测评活动的质量控制进行了分析,给出了具体实施建议和参考。     

信息安全等级测评师素质模型分析

随着信息安全等级保护工作在全国范围内的开展,信息安全等级测评体系的建设与测评工作已成为开展信息安全等级保护工作的关键环节。测评体系建设和测评工作实施的主体是测评机构和测评人员,等级测评师的岗位素质关系到信息安全等级保护测评工作的有效开展。本文通过文献研究、行为事件访谈法和问卷法等研究方法,建立了拥有4个维度、16个项目的适合信息安全等级测评师的通用素质模型。并对信息安全等级测评师素质模型进行了研究分析,为等级测评机构进行等级测评师的招聘、选拔和培训工作提供了新的理论依据。     

基于测评知识库的自动评价系统研究

等级测评的技术测评报告是国家信息安全职能部门监督、检查信息系统运营使用单位执行信息安全等级保护制度情况的重要参考。本文设计了一个等级测评自动评价系统,该系统采用面向对象的知识分析方法,构建了等级测评知识库体系。同时,提出了拓扑结构展示和业务流程展示方法,并给出了基于知识库的等级测评自动评价系统的基本规则。该系统给出了一种等级测评自动评价过程,弥补了人工主观评价测评结果的缺陷,能够利用事实型知识、过程型知识以及规则型知识自动形成单个测评项的测评结果,结合业务流程与渗透测试情况进行关联分析和自动处理,进而得到单个测评项的关联分析结果和安全控制测评结果,并形成等级测评结论,实现了测评结论的准确性、可重现性和客观性。     

车载信息系统的安全测评体系及方法

汽车信息系统的安全工作主要集中在分析、挖掘车载信息系统及其功能组件现存的安全漏洞及可行攻击方式的实验验证,缺乏全面、系统的车载信息系统安全测评体系及评估方法。论文在分析车载信息系统安全现状的基础之上,提出将车载信息系统的安全等级划分为：家用车载信息系统和商用车载信息系统,定义了两个等级车载信息系统的保护能力,并借鉴通用信息系统的安全等级保护要求,提出车载信息系统不同保护等级的基本安全要求,首次建立车载信息系统的安全等级测评体系。进一步建立层次化安全评估模型及算法,实现车载信息系统的定量安全评估。通过奥迪C6的安全测评案例证明,提出的等级测评体系及评估方法是可行、合理的,为分析车辆信息系统的安全状况提供支撑,填补了国内车载信息系统安全测评体系及评估方法的空白。     

信息系统等级测评中网络安全测评初探

随着信息技术的飞速发展和广泛应用,信息系统在给人们日常工作带来便利的同时,也面临着十分严峻的网络安全问题。网络安全测评是等级测评实施中的一个重要组成部分,它能够帮助系统运维、使用单位及时发现信息系统中存在的网络安全问题。本文简要介绍了网络安全测评的内容、方法及工作流程,并对网络安全测评实施中需要注意的问题进行了论述。     

PDCA循环在等级测评项目质量管理中的应用探析

信息安全等级保护测评是等级测评机构依据国家信息安全等级保护制度,按照有关管理规范和技术标准,对国家重要信息系统安全等级保护状况进行检测评估。文章阐述了PDCA循环在等级测评项目质量管理中的应用,并最终得出通过在等级测评项目中应用PDCA循环,极大地提高了项目整体质量,确保实施项目质量目标。     

信息安全等级保护技术测评常见问题的分析与对策

近年来,我国信息安全形势严峻,黑客攻击、病毒感染、信息泄密等安全问题日益突出,威胁着我国的社会稳定和国家安全。信息安全等级保护是保障我国信息安全的基本制度。通过对被测信息系统进行测评,可以帮助被测单位验证信息系统是否具备相应安全保护能力,提高其信息安全建设和保障能力。文章着重阐述了被测三级信息系统（S3A3G3）技术测评中普遍存在的一些安全问题,分析了其形成原因,探讨了相应的解决对策。     

云计算系统的网络全局安全测评研究

文章主要讨论在采用虚拟机作为基础的环境下,使用云计算方式完成企业信息网络搭建的优缺点,以及等级保护测评工作的实施重点、实施方法,安全漏洞的改进方式等内容。文章以VMware为研究对象,详细分析了在等级保护中网络全局相关内容的测评内容、测评方法,并提出相应整改建议。     

信息安全等级保护测评工作中存在的一些问题探讨

文章从等级保护标准及其理解和把握,以及测评结论、量化分级和新技术等层面,对目前等级保护测评工作中存在和面临的一些问题加以总结和探讨,分析了问题本身,并且提出了一些建议,旨在进一步推动等级保护测评工作的进步与发展。     

等级保护应用安全与OWASP Top10

应用系统是信息安全等级保护测评的核心对象,直接面对用户,受到的安全威胁最大。OWASP Top10是指应用系统的十大安全风险。文章从信息安全等级保护的角度,对OWASP Top10进行研讨分析,整理OWASP Top10与等级保护应用安全测评控制点之间的关系,探讨OWASP测试方法在等级保护应用安全测评中的使用。