原创力文档- 1、本文档共5页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
古之立大事者，不惟有超世之才，亦必有坚忍不拔之志。——苏轼
网络安全等级保护：信息系统安全运维管理指南思维导图
安全运维管理与运维管理有共通的地方，也有其不同处。
GB/T20257系列标准，通过六个部分，对信息技术服务运行维护
进行了阐释，这套标准对应着我们ITSS的认证工作，很多单位取得了
ITSS认证，但只停留在资质本身，而实际参与工作的人并没有被宣贯，
参与实际工作的对此知之甚少，依然是我行我素的主观性开展工作，
究竟是否“达标”全凭感觉，因为在这些从业人员心理，不知道标准
在哪里，所以无所谓达标不达标，或者有些人能力很强却使偏了劲。
GB/T28827共有六部分分别是：
——第1部分：通用要求；
——第2部分：交付规范；
——第3部分：应急响应规范；
——第4部分：数据中心服务规范；
——第5部分：桌面及外围设备服务规范；
——第6部分：应用系统服务规范。
而《信息安全技术信息系统安全运维管理指南》在制定中，也必
然参考GB/T28827系列标准，该标准提供了信息系统安全运维管理
体系的指导和建议，给出了安全运维策略、安全运维组织的管理、安
全运维规程和安全运维支撑系统等方面相关活动的目的、要求和实施
指南。标准定位可用于指导各组织信息系统安全运维管理体系的建立
和运行。标准中给出了安全运维体系，信息系统安全运维体系是一个
以业务安全为目的的信息系统安全运行保陷体系。通过该体系，能够
及时发现并处置信息资产及其运行环境存在的脆弱性、入侵行为和异
常行为。体系里提供了一个安全运维模型，如下图：
进而进行安全运维活动分类，安全运维体系涉及安全运维策略确
定、安全运维组织管理、安全运维规程制定和安全运维支撑系统建设
古之立大事者，不惟有超世之才，亦必有坚忍不拔之志。——苏轼
等四类活动。安全运维策略明确了安全运维的目的和方法，主要包括
策略制定和策略评审两个活动。安全运维组织明确了安全运维团队的
管理，包括运维的角色和责任、聘用前审查、工作履行职责、聘用终
止和变更。安全运维规程明确了安全运维的实施活动，包括资产管理、
日志管理、访问控制、密码管理、漏洞管理、备份、安全事件管理、
安全事件应急响应等。安全运维支撑系统给出了主要的安全运维辅助
性系统的工具。在安全运维活动要素方面，提及安全运维活动要素包
含了目的、要求和实施指南三个方面。目的部分描述了安全运维活动
的意义。要求部分描述了安全运维活动的指标要求。实施指南描述了
达成安全运维活动目标、实现安全运维要求的方法和手段。在安全运
维管理原则方面，为了保证安全运维体系的可靠性和有效性，安全运
维体系建设要求遵循以下内容：基于策划、实施、检查和改进的过程
进行持续完善。可以根据信息系统的安全保护等级要求，对控制实施
情况进行定期评估；安全运维体系建设应兼顾成本与安全。根据业务
安全需要，制定相应的安全运维策略、建立相应的安全运维组织、制
定相应的安全运维规程及建设相应的安全运维支撑系统。从整个安全
运维管理看，我们可以结合《信息安全技术网络安全等级保护基本要
求》中有关运维安全管理相关要求，我们会发现其各种活动的要求与
本标准实现的一致性，而我一直在重复一个观点就是《信息安全技术
网络安全等级保护基本要求》给出了我们的目标，而其他标准给出了
我们实践路径和方法论，而更细致的标准和知识给出了具体详细的落
地举措。
比照《信息安全技术信
文档评论（0）