信息安全应急处理服务资质认证情况介绍 - 2009中国计算机网络安全 ...

2009 中 国 计 算 机 网 络 安 全 应 急 年 会 —— 长 沙
信 息 安 全 应 急 处 理 服 务
资 质 认 证 情 况 介 绍
陈 晓 桦
中 国 信 息 安 全 认 证 中 心
2009 年 10 月 23 日

主 要 内 容
一 、 什 么 是 信 息 安 全 服 务
二 、 信 息 安 全 服 务 分 类 原 则
三 、 信 息 安 全 服 务 资 质 管 理 意 义 及 思 路
四 、 信 息 安 全 应 急 处 理 服 务 资 质 认 证 工 作 介 绍
2

一 、 什 么 是 信 息 安 全 服 务
3

国 际 上 信 息 安 全 服 务 定 义
信 息 安 全 服 务 :
“ 由 供 应 商 、 组 织 机 构 或 人 员 所 执 行 的 一 个
安 全 过 程 或 任 务 ” 。 ( 在 我 国 ,“,
供 应 商 、 组
织 机 构 或 人 员 ” 即 指 企 事 业 单 位 或 个 人 。)
— ISO/IEC TR 15443-1: 1: 2005
《 信 息 技 术 安 全 技 术 IT 安 全 保 障 框 架 》
4

信 息 安 全 服 务 资 质
信 息 安 全 服 务 机 构 提 供 安 全 服 务 的 一 种 资 格
, 包 括 法 律 地 位 、 资 源 状 况 、 管 理 水 平 、 技 术 能
力 等 方 面 。
5

信 息 安 全 服 务 资 质 认 证
依 据 国 家 法 律 法 规 、 国 家 标 准 、 行 业 标 准 和
技 术 规 范 , 按 照 认 证 基 本 规 范 及 认 证 规 则 , 对 提
供 信 息 安 全 服 务 机 构 的 信 息 安 全 服 务 资 质 进 行 评
价 的 活 动 。
( 注 : 人 员 的 资 质 管 理 采 取 注 册 的 方 式 。)
6

二 、 信 息 安 全 服 务 分 类 原 则
7

我 国 信 息 安 全 服 务 的 分 类
结 合 我 国 信 息 安 全 服 务 现 存 的 类 别
, 可 以 归 结 为 以 下 几 种 主 要 服 务 类 型 :
1、 、 应 急 处 理 2、 、 风 险 评 估
3、 、 灾 难 恢 复 4、 、 系 统 测 评
5、 、 安 全 监 理 6、 、 安 全 咨 询
7、 、 安 全 培 训 8、 、 安 全 审 计
9、 、 安 全 运 维 10、 、 其 他 服 务
8

例 : 应 急 处 理 服 务
对 影 响 计 算 机 系 统 和 网 络 安 全 的 不 当 行 为
( 事 件 ) 进 行 标 识 、 记 录 、 分 类 和 处 理 , 直 到 受
影 响 的 业 务 恢 复 正 常 运 行 的 过 程 。
9

国 际 上 信 息 安 全 服 务 分 类
信 息 安 全 服 务 分 为 管 理 、 安 全 运 行 和 技 术 服 务 :
• 管 理 服 务 : 关 注 组 织 机 构 内 管 理 信 息 技 术 安 全
程 序 和 风 险 的 服 务 ;
• 安 全 运 行 服 务 : 关 注 由 人 所 实 施 和 执 行 的 安 全
控 制 措 施 ;
• 技 术 服 务 : 关 注 由 信 息 技 术 系 统 所 执 行 的 服
务 。
一 般 , 不 作 为 非 技 术 管 理 的 对 象 。
—NIST SP 800-35
35《 信 息 技 术 安 全 服 务 指 南 》
10

国 际 上 信 息 安 全 服 务 类 别
类 别
管 理 类
运 行 类
技 术 类
安 全 服 务
安 全 计 划 Security Program
安 全 策 略 Security Policy
风 险 管 理 Risk Management
安 全 体 系 结 构 Security Architecture
认 证 认 可 Certification & Accreditation
IT 产 品 安 全 测 评 Security Evaluation of IT Products
业 务 连 续 性 规 划 Contingency Planning
事 件 处 理 Incident Handling
测 试 Testing
培 训 Training
防 火 墙 Firewalls
入 侵 检 测 Intrusion Detection
公 钥 基 础 设 施 PKI
11

三 、 信 息 安 全 服 务 资 质 管 理 意 义
及 思 路
• 国 内 外 信 息 安 全 服 务 管 理 现 状 及 问 题
• 信 息 安 全 服 务 资 质 管 理 的 意 义
• 信 息 安 全 服 务 资 质 管 理 的 思 路
谁 来 管 ?
—— 本 报 告 关 注 国 家 与 行 业 主 管 部 门
12

国 外 信 息 安 全 服 务 管 理 现 状
• 实 施 组 织 和 人 员 的 安 全 背 景 审 查 , 设 立 人 员 安
全 许 可 证 制 度 ;
• 政 府 安 全 检 查 机 构 实 施 安 全 服 务 资 质 管 理 ;
• 通 过 采 购 和 进 出 口 政 策 进 行 资 质 管 理 。
13

国 内 信 息 安 全 服 务 管 理 现 状
行 政 审 批
• MIIT- 计 算 机 信 息 系 统 集 成 资 质
• 国 家 保 密 局 - 涉 密 系 统 集 成 资 质
• 原 信 息 产 业 部 - 电 子 认 证 服 务 资 质
• 北 京 市 信 息 化 办 公 室 、 广 东 省 公 安 厅 - 信 息 安 全 服 务 资 质 认 证
( 可 能 出 台 政 策 )
• 公 安 部 等 四 部 委 - 等 级 保 护
• 原 国 信 办 - 风 险 评 估 工 作
• CNCERT- 应 急 处 理 服 务 授 权 管 理
认 证 认 可
• 中 国 信 息 安 全 认 证 中 心 - 信 息 安 全 - 应 急 处 理 服 务 资 质 认 证
• 中 国 信 息 安 全 测 评 中 心 - 信 息 安 全 服 务 资 质 认 证
14

存 在 的 问 题
• 缺 乏 统 一 的 法 律 法 规 ;
• 部 分 重 要 行 业 信 息 安 全 服 务 管 理 和 使 用
存 在 盲 区 ;
• 缺 乏 对 信 息 安 全 服 务 人 员 的 管 理 ;
• 对 服 务 机 构 及 其 人 员 的 可 信 程 度 、 服 务
信 誉 等 缺 乏 科 学 、 系 统 的 评 价 ;
• 信 息 安 全 服 务 市 场 缺 乏 有 效 规 范 ;
• 信 息 安 全 服 务 标 准 缺 乏 。
15

信 息 安 全 服 务 资 质 管 理 的 意 义
随 着 我 国 信 息 化 和 信 息 安 全 保 障
工 作 的 不 断 深 入 推 进 , 以 应 急 处 理 、
风 险 评 估 、 灾 难 恢 复 、 系 统 测 评 、 安
全 运 维 、 安 全 审 计 、 安 全 培 训 和 安 全
咨 询 等 为 主 要 内 容 的 信 息 安 全 服 务 在
信 息 安 全 保 障 中 的 作 用 日 益 突 出 。
16

比 如 :
网 络 信 息 安 全 应 急 处 理 不 当 , 不 仅 可 能
引 发 新 的 风 险 , 甚 至 延 误 时 机 , 造 成 不
可 挽 回 的 损 失 。
加 强 和 规 范 信 息 安 全 服 务 资 质 管 理
已 成 为 信 息 安 全 管 理 的 重 要 基 础 性 工 作
。

加 强 我 国 信 息 安 全 服 务 资 质 管 理 的
基 本 工 作 思 路
1. 制 定 国 家 信 息 安 全 服 务 资 质 管 理 政 策 文 件 ;
2. 进 一 步 规 范 和 加 强 国 家 合 格 评 定 制 度 ;
3. 合 理 发 挥 行 政 许 可 管 理 的 作 用 ;
4. 研 究 并 提 出 适 合 我 国 国 情 的 信 息 安 全 服 务 专 业 人
员 的 从 业 管 理 办 法 。
18

四 、 信 息 安 全 应 急 服 务 资 质
认 证 工 作 介 绍
19

YD/T 1799-2008
《 网 络 与 信 息 安 全 应 急 处
理 服 务 资 质 评 估 方 法 》 标 准 介 绍
信 息 安 全 事 件 类 别 :
– 有 害 程 序 事 件
– 网 络 攻 击 事 件
– 信 息 破 坏 事 件
– 信 息 内 容 安 全 事 件
– 设 备 设 施 故 障
– 灾 害 性 事 件
– 其 他 信 息 安 全 事 件
20

YD/T 1799-2008
《 网 络 与 信 息 安 全 应 急 处
理 服 务 资 质 评 估 方 法 》 标 准 介 绍 ( 续 )
信 息 安 全 应 急 处 理 服 务 资 质 要 求
• 基 本 要 求 ;
• 基 本 能 力 : 人 员 构 成 与 素 质 要 求 、 规 模 与 资 产 要 求 、
设 备 设 施 与 环 境 要 求 、 业 绩 要 求 ;
• 管 理 能 力 : 项 目 管 理 要 求 、 应 急 响 应 时 间 要 求 、 质 量
保 证 要 求 ;
• 技 术 能 力 : 应 急 服 务 能 力 。
21

YD/T 1799-2008
信 息 安 全 应 急 服 务 技 术 能 力
阶 段 控 制 点 数 量 控 制 点
准 备 阶 段 4 • 服 务 需 求 界 定
• 服 务 合 同 或 协 议 签 订
• 服 务 方 案 制 定
• 人 员 和 工 具 准 备
检 测 阶 段 3 • 检 测 对 象 及 范 围 确 定 检 测
方 案 确 定
• 检 测 实 施
抑 制 阶 段 3 • 抑 制 方 法 确 定
• 抑 制 方 法 认 可
• 抑 制 实 施
根 除 阶 段 3 • 根 除 方 法 确 定
• 根 除 方 法 认 可
• 根 除 实 施
恢 复 阶 段 2 • 恢 复 方 法 确 定
• 恢 复 系 统
总 结 阶 段 2 • 总 结
• 报 告
22

YD/T 1799-2008
信 息 安 全 应 急 服 务 资 质 评 价 方 法
阶 段 控 制 点 必 备 项 可 选 项
准 备 阶 段 服 务 需 求 界 定 1 6
服 务 合 同 或 协 议 签 订 3 1
服 务 方 案 制 定 3
人 员 和 工 具 准 备 4
检 测 阶 段 检 测 对 象 及 范 围 确 定 3
检 测 方 案 确 定 5
检 测 实 施 3 1
抑 制 阶 段 抑 制 方 法 确 定 2
抑 制 方 法 认 可 3
抑 制 实 施 2 1
根 除 阶 段 根 除 方 法 确 定 2
根 除 方 法 认 可 2
根 除 实 施 1 1
恢 复 阶 段 恢 复 方 法 确 定 3
恢 复 系 统 4 3
总 结 阶 段 总 结 2
报 告 2 1
23

信 息 安 全 应 急 处 理 服 务 资 质 认 证 工 作
• 经 过
CNCERT/CC 与 ISCCC
严 格 的 联 合 审 核 ,
2008 年 7 月 8 日 ,ISCCC,
正 式 颁 发 第 一 批 应 急 处 理 服 务
资 质 的 分 级 认 证 证 书 22 张 。
• 首 批 获 证 服 务 商 7 月 份 获 得 了 信 息 安 全 应 急 处 理 服 务 资 质
认 证 证 书 ,8,
月 份 全 力 参 与 了 奥 运 安 保 工 作 , 是 此 次 奥 运
安 保 工 作 的 主 力 军 。9。
家 单 位 ( 其 中 8 家 是 获 得 我 中 心 认
证 ) 获 得 了 CNCERT/CC 的 表 彰 。
• 截 止 到 2009-10
月 为 止 , 共 颁 发 9 张 一 级 资 质 认 证 证 书 ,17,
家 二 、 三 级 资 质 认 证 证 书 。
24

奥 运 安 保 获 奖 名 单 (8 家 )
• 北 京 启 明 星 辰 信 息 安 全 技 术 有 限 公 司
• 沈 阳 东 软 系 统 集 成 工 程 有 限 公 司
• 北 京 神 州 绿 盟 科 技 有 限 公 司
• 北 京 安 氏 领 信 科 技 发 展 有 限 公 司
• 北 京 天 融 信 科 技 有 限 公 司
• 浪 潮 集 团 有 限 公 司
• 上 海 中 科 网 威 信 息 技 术 有 限 公 司
• 哈 尔 滨 安 天 信 息 技 术 有 限 责 任 公 司
26

现 已 发 布 的 标 准
YD/T 1799-2008
《 网 络 与 信 息 安 全 应 急 处
理 服 务 资 质 评 估 方 法 》 已 发 布 并 实 施 ;
• YD/T 1621-2007
2007 《 网 络 与 信 息 安 全 服 务
资 质 评 估 准 则 》 已 发 布 并 实 施 ;
27

正 在 编 制 过 程 中 的 标 准
• YD/T 1799-2008
《 网 络 与 信 息 安 全 应 急
处 理 服 务 资 质 评 估 方 法 》 申 请 转 换 为 国
家 标 准 , 已 在 安 标 委 TC260 立 项 ;
•《 信 息 安 全 风 险 评 估 服 务 资 质 评 估 准 则
》 行 业 标 准 正 在 起 草 过 程 中 ;
•《 信 息 安 全 灾 难 恢 复 服 务 评 估 准 则 》 行
业 标 准 正 在 起 草 过 程 中 。
28

谢 谢 !
http://www.isccc.gov.cn
Tel: 010-65994358
CHENXH@ISCCC.GOV.CN
北 京 朝 外 大 街 甲 10 号 中 认 大 厦 ,100020,
29