聊城信息系統(tǒng)安全等級保護測評的研究

隨著互聯(lián)網(wǎng)、移動應(yīng)用逐步滲透到人民生活的各個方面，信息安全形勢也日漸嚴峻，重大信息安全問題可能會直接威脅國家安全、社會穩(wěn)定和經(jīng)濟發(fā)展。

信息安全等級保護是國家信息安全保障工作的基本制度、基本策略、基本方法。開展信息安全等級保護工作不僅是實現(xiàn)國家對重要信息系統(tǒng)重點保護的重大措施，也是一項事關(guān)國家安全、社會穩(wěn)定的政治任務(wù)。

信息安全等級保護的過程

信息安全等級保護工作貫穿了信息系統(tǒng)從系統(tǒng)規(guī)劃、建設(shè)、運行維護直到廢止的整個生命周期。等級保護的過程包括了定級、備案、安全建設(shè)整改、等級測評和監(jiān)督檢查五個環(huán)節(jié)。

測評方法和測評內(nèi)容

本次主要內(nèi)容圍繞等級測評的方法和測評內(nèi)容展開，包括了物理安全、網(wǎng)絡(luò)安全、主機安全和應(yīng)用與數(shù)據(jù)安全。

（1）物理安全：物理安全從物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護10個控制點進行安全測評。主要通過訪談、實地查看和文檔審閱三種測評方式，現(xiàn)場測評主要以實地查看和文檔審閱為主，可以較直觀地獲取物理安全防護的情況。

（2）網(wǎng)絡(luò)安全：網(wǎng)絡(luò)安全測評主要從結(jié)構(gòu)安全、訪問控制、邊界完整性檢查、入侵防范、惡意代碼防范、安全審計和網(wǎng)絡(luò)設(shè)備防護7個控制點進行安全測評。測評方式包括了訪談、文檔審閱、配置檢查和測試。

（3）主機安全：主機安全主要從身份鑒別、訪問控制、安全審計、剩余信息保護、入侵防范、惡意代碼防護和資源控制等7個控制點進行安全測評。測評方式包括了訪談、文檔審閱、配置檢查和工具測試。

（4）應(yīng)用與數(shù)據(jù)安全：應(yīng)用與數(shù)據(jù)安全主要由應(yīng)用安全和數(shù)據(jù)安全及備份恢復(fù)組成。應(yīng)用安全主要從身份鑒別、訪問控制、安全審計、剩余信息保護、抗抵賴、通信完整性、通信保密性、軟件容錯和資源控制等9個控制點。數(shù)據(jù)安全及備份恢復(fù)主要從數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)3個方面進行測評。測評方式包括了訪談、文檔審閱、配置檢查和測試。

浦軟平臺對信息安全等級保護的測評方法和測評方式上進行了深入研究，已經(jīng)獲得了多個安全參數(shù)的信息安全CMA資質(zhì)認可，同時也配備了多種專業(yè)的安全測評工具，包括應(yīng)用安全掃描工具、系統(tǒng)評估設(shè)備、數(shù)據(jù)庫安全評估設(shè)備和主機配置檢查工具等，可覆蓋包括網(wǎng)絡(luò)安全、主機安全和應(yīng)用與數(shù)據(jù)安全等多個方面的測評。

經(jīng)過調(diào)研發(fā)現(xiàn)，很多客戶在沒有準備的情況直接接受信息系統(tǒng)安全等級保護的測評，往往很難順利通過測評，在測評過程中發(fā)現(xiàn)的問題和缺陷也不知道如何進行整改，導(dǎo)致整改的周期拖長。由于沒有專業(yè)人員指導(dǎo)，甚至會出現(xiàn)整改多次的情況，費時費力，還可能仍達不到要求。

基于這樣的情況，我方具備專業(yè)技術(shù)能力可提供客戶安全建設(shè)準備、整改階段的預(yù)測評和咨詢服務(wù)，使客戶順利通過正式的信息安全等級保護測評。