从系统测评要求角度探讨信息安全管理方法.pdfVIP

从系统测评要求的角度探讨信息安全管理方法 从系统测评要求的角度探讨信息安全管理方法 □梁晓光 中国工程物理研究院信息安全技术中心 摘　要：本文从系统测评要求的角度，分析了一些安全管理证据的产生环节及其与管理机构和人 员的相关性，并提出落实信息安全管理，可通过确定安全管理责任机构、确定安全管理流程、确定相关 工作人员、执行ＰＤＣＡ过程管理来实现。 关键词：信息系统；安全管理；系统测评 要内容。单位应如何开展安全管理工作，在对信息系 １ 统实施有效管理的同时，又能为定期开展的保密检查 或者系统测评保留充实的管理证据？这是相关管理者 随着现代信息技术及其应用的快速发展，先进的 关心的一个问题。笔者将根据个人对系统测评要求的 信息技术已大量应用到涉密单位日常涉密事务处理和 肤浅理解并结合日常工作体会，从系统测评要求的角 科研工作中。为确保国家秘密在信息技术应用过程中 度，对信息安全管理方法进行初步探讨。 的保密性和安全性，维护国家安全，我国确定了对计算 机信息系统实行安全等级保护的管理方针。针对涉密 ２系统测评中管理证据的检查要求 信息系统的安全保护问题，国家保密局发布了《涉及 梳理 国家秘密的信息系统分级保护管理办法》（国保发 ［ ２００５］１６号）。国家四部委联合发布的《信息安全等 　　无论是信息系统的等级测评指南还是分级保护测 级保护管理办法》（公通字［２００７］４３号）中明确规定， 评指南，其测评方法可划分为证据检查和现场查验两 涉密信息系统建设使用单位在系统工程实施结束后， 大类。 应当向保密工作部门提出申请，由国家保密局授权的 ２．１证据检查 系统测评机构依据ＢＭＢ２２－２００７《涉及国家秘密的计 算机信息系统分级保护测评指南》，对涉密信息系统 证据检查的对象，涉及文件文档类证据、管理过程 进行安全保密测评。同时规定应加强涉密信息系统运 类证据、证明类证据等三类。 行中的保密监督检查，定期开展保密检查或者系统 （１）文件文档类检查对象，主要包括：安全政策、 测评。 规章制度、安全策略，重要系统和应用的安全操作规 测评中对管理证据的检查，是对组织机构的安全 程，计划、方案、预案、报告，设备清单（台账）及权限列 管理过程进行检查的途径之一，是系统测评的一个重 表、日常管理工作日志等多种类型的文件文档。 ２０１１年１０月 保密科学技术 ３　　　３ 第二十一届全国信息保密学术会议（ＩＳ２０１１）论文集 （２）管理过程类检查对象，主要包括：针对安全政 言，管理机构根据组织赋予的管理职责，对信息系统生 策、规章制度、安全策略，安全操作规程，计划、方案、预 命周期各阶段的重要环节实施管理和控制的结果、相 案、报告等文件文档的评审、批复、处理意见、授权文 关人员在日常履行职责过程中的工作产出，与系统测 件等。 评中执行证据检查和现场验证时的操作对象，是具有 ３）证明类证据检查对象，主要包括：信息系统相 一定的关联性和对应关系的。 （ 关的产品证书、检测报告、验收报告、资质证明，相关人 因此，我们从测评中的证据检查要求出发，分析各 员的保密协议、承诺书等。 种证据对象与单位日常工作的相关性，