浅析信息安全服务资质认证审核.pdfVIP

_审 盔L垒 ～Research 浅析信息安全服务资质认证审核 ◇ 中国信息安全认证中心 翟亚红 张 斌 信息安全已成为社会关注的焦点问题之一， 的四种论断疾病的诊疗方法 ，即望、闻、问、 只有专业的信息安全服务提供商 (以下简称服 切 四诊 。 务商)才能提供系统的、全方位的服务以保证 望诊 ，对疾病的诊断既快又准 ，所 以中医 客户的信息安全。而普通用户及信息系统的运 说 “望而知之谓之神”。在现场审核过程中的参 营方对服务商的识别 ．是通过鉴别这些服务商 观即为 “望”，审核组参观服务商的工作环境与 是否经过国家的信息安全认证机构严格审核 ， 实验环境，如出入 口是否设置监控装置以防止 认定符合国家、行业相关标准要求的服务商。 未授权者的出入 ；实验环境的测试设备与工具 在国际上，信息安全服务是指由供应商、 是否具备并满足测试需求 ，如基础的网络设备 组织机构或人 员执行的一个安全过程或任务 与安全工具等 ；设备是否按要求摆放整齐 ；电 (ISO／IECTR15443—1：2005 信《息技术 安 源与通信线路是否铺在地下 ；地板是否具备防 全技术 信息技术安全保障框架 第一部分 ： 静电、防水 、防火的要求；是否保存所有故障 总揽和框架》)。通俗地讲 ，信息安全服务是指 的预防和纠正维护的记录等。 服务商为客户 (或用户)提供信息安全保证的 问诊内容涉及范围较广，是获取疾病信息 活动。整个服务过程依托于客户的信息系统， 的重要途径。访谈类似于中医中的问诊。访谈 只有客户 (或用户)才能真切体验服务结果 ， 是审核组与服务商的管理人员、服务人员等多 审核组到审核现场只能观察到服务商在服务过 种角色进行沟通，了解他们是否熟悉已制定的 程中填写的各种过程文档与最终验收报告，看 信息安全服务制度，包括安全方针 、质量保证 不到并且也感受不到信息安全服务的任何结果。 与项 目管理的具体要求，同时了解服务案例的 由 国 所以服务资质认证审核与传统的审核不同，因 实施情况。审核信息安全服务技术能力时，审 此，通过什么方式方法审核服务商资质是非常 核组应结合每一类服务的具体特点与要求开展 证 认 关键的。经过研究、分析，并试运行1年后，中 审核。例如，在应急处理服务资质认证审核时， 可 国信息安全认证中心 (ISCCC)审核组总结 出 应关注该服务商对应急事件是否分级，应急响 一 套独特的资质认证现场审核方法。 应预案中对不同级别的事件处理要求是否有异， 信息安全服务资质认证审核是通过参观 、 以及是否有相应的服务处理案例 ；服务商是否 检查、访谈、观察服务模拟演示取得相应的物 依据 信《息安全事件分类分级指南》 (GB／Z 证、人证 ，证明其是否具有明确的组织结构 、 20986—2007)对安全事件分类 。每一类事件是 人员结构 ，规范的管理 。可控的、标准化的服 否有明确的应急响应流程、操作规范等。在应 务过程等 ，真正保证安全服务质量 ，从而证 明 急服务过程 中，服务人员使用的测试工具是否 其具备相应级别的信息安全服务能力。ISCCC 有效 、安全 ，尤其在客户的内部信息系统实施 审核组从现场审核的方式联想到我国传统中医 安全服务时，尽量使用客户认可的测试工具或