聊城信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)的研究

隨著互聯(lián)網(wǎng)、移動(dòng)應(yīng)用逐步滲透到人民生活的各個(gè)方面，信息安全形勢也日漸嚴(yán)峻，重大信息安全問題可能會(huì)直接威脅國家安全、社會(huì)穩(wěn)定和經(jīng)濟(jì)發(fā)展。

信息安全等級(jí)保護(hù)是國家信息安全保障工作的基本制度、基本策略、基本方法。開展信息安全等級(jí)保護(hù)工作不僅是實(shí)現(xiàn)國家對(duì)重要信息系統(tǒng)重點(diǎn)保護(hù)的重大措施，也是一項(xiàng)事關(guān)國家安全、社會(huì)穩(wěn)定的政治任務(wù)。

信息安全等級(jí)保護(hù)的過程

信息安全等級(jí)保護(hù)工作貫穿了信息系統(tǒng)從系統(tǒng)規(guī)劃、建設(shè)、運(yùn)行維護(hù)直到廢止的整個(gè)生命周期。等級(jí)保護(hù)的過程包括了定級(jí)、備案、安全建設(shè)整改、等級(jí)測評(píng)和監(jiān)督檢查五個(gè)環(huán)節(jié)。

測評(píng)方法和測評(píng)內(nèi)容

本次主要內(nèi)容圍繞等級(jí)測評(píng)的方法和測評(píng)內(nèi)容展開，包括了物理安全、網(wǎng)絡(luò)安全、主機(jī)安全和應(yīng)用與數(shù)據(jù)安全。

（1）物理安全：物理安全從物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)10個(gè)控制點(diǎn)進(jìn)行安全測評(píng)。主要通過訪談、實(shí)地查看和文檔審閱三種測評(píng)方式，現(xiàn)場測評(píng)主要以實(shí)地查看和文檔審閱為主，可以較直觀地獲取物理安全防護(hù)的情況。

（2）網(wǎng)絡(luò)安全：網(wǎng)絡(luò)安全測評(píng)主要從結(jié)構(gòu)安全、訪問控制、邊界完整性檢查、入侵防范、惡意代碼防范、安全審計(jì)和網(wǎng)絡(luò)設(shè)備防護(hù)7個(gè)控制點(diǎn)進(jìn)行安全測評(píng)。測評(píng)方式包括了訪談、文檔審閱、配置檢查和測試。

（3）主機(jī)安全：主機(jī)安全主要從身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防護(hù)和資源控制等7個(gè)控制點(diǎn)進(jìn)行安全測評(píng)。測評(píng)方式包括了訪談、文檔審閱、配置檢查和工具測試。

（4）應(yīng)用與數(shù)據(jù)安全：應(yīng)用與數(shù)據(jù)安全主要由應(yīng)用安全和數(shù)據(jù)安全及備份恢復(fù)組成。應(yīng)用安全主要從身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、抗抵賴、通信完整性、通信保密性、軟件容錯(cuò)和資源控制等9個(gè)控制點(diǎn)。數(shù)據(jù)安全及備份恢復(fù)主要從數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)3個(gè)方面進(jìn)行測評(píng)。測評(píng)方式包括了訪談、文檔審閱、配置檢查和測試。

浦軟平臺(tái)對(duì)信息安全等級(jí)保護(hù)的測評(píng)方法和測評(píng)方式上進(jìn)行了深入研究，已經(jīng)獲得了多個(gè)安全參數(shù)的信息安全CMA資質(zhì)認(rèn)可，同時(shí)也配備了多種專業(yè)的安全測評(píng)工具，包括應(yīng)用安全掃描工具、系統(tǒng)評(píng)估設(shè)備、數(shù)據(jù)庫安全評(píng)估設(shè)備和主機(jī)配置檢查工具等，可覆蓋包括網(wǎng)絡(luò)安全、主機(jī)安全和應(yīng)用與數(shù)據(jù)安全等多個(gè)方面的測評(píng)。

經(jīng)過調(diào)研發(fā)現(xiàn)，很多客戶在沒有準(zhǔn)備的情況直接接受信息系統(tǒng)安全等級(jí)保護(hù)的測評(píng)，往往很難順利通過測評(píng)，在測評(píng)過程中發(fā)現(xiàn)的問題和缺陷也不知道如何進(jìn)行整改，導(dǎo)致整改的周期拖長。由于沒有專業(yè)人員指導(dǎo)，甚至?xí)霈F(xiàn)整改多次的情況，費(fèi)時(shí)費(fèi)力，還可能仍達(dá)不到要求。

基于這樣的情況，我方具備專業(yè)技術(shù)能力可提供客戶安全建設(shè)準(zhǔn)備、整改階段的預(yù)測評(píng)和咨詢服務(wù)，使客戶順利通過正式的信息安全等級(jí)保護(hù)測評(píng)。