电子商务安全管理秦成德第9章-信息系统安全评估新

第9章

信息系统安全评估9.1信息系统安全标准9.2信息系统安全评估标准9.3国际与国内信息系统安全测评认证

9.1信息系统安全标准信息系统安全标准简介我国的信息系统安全标准

信息系统安全标准简介9.1.2我国的信息系统安全标准9.1.2我国的信息系统安全标准2.物理安全相关国家标准（表9-2）

表9-2物理安全相关国家标准9.1.2我国的信息系统安全标准3.信息安全评估相关国家标准（表9-3）

表9-3信息安全评估相关国家标准9.2信息系统安全评估标准安全评估标准及其发展信息系统安全评估标准信息系统安全评估标准所面临的问题及改进建议

安全评估标准及其发展安全评估标准及其发展2.安全评估标准的发展在国际上，针对信息系统安全的等级防护和评估，先后制定了多个标准，其发展过程和关系见下图（图9-1）。但是，由于标准众多，对于标准的争论从未停息过。9.2.2信息系统安全评估标准9.2.2信息系统安全评估标准2.偏重于安全管理方面的标准1995年，英国贸工部根据英国国内企业对信息安全日益高涨的呼声，组织大企业的信息安全经理们，制定了世界上第一个信息安全管理体系标准BS7799-1：1995《信息安全管理实施规则》，作为工商业和大、中、小型组织实施信息安全管理的指南。1998年，为了适应第三方认证的需要，英国又制定了第一个信息安全管理体系认证标准--

BS7799-2：1998《信息安全管理体系规范》，作为对一个组织的全面或部分信息安全管理体系进行评审认证的依据标准。9.2.2信息系统安全评估标准信息系统安全管理标准发展过程如图9-2所示。9.2.2信息系统安全评估标准9.2.2信息系统安全评估标准9.2.2信息系统安全评估标准9.2.2信息系统安全评估标准三个过程控制是指：构建过程控制、测评过程控制、执行过程控制。9.2.3信息系统安全评估标准比较分析9.2.3信息系统安全评估标准比较分析9.2.3信息系统安全评估标准比较分析2.CC标准与BS7799的异同点CC（即GB/T18336:2001

idtISO/IEC15408:1999

）和BS7799标准的共同点表现在以下四个方面：（1）两个标准所涉及的范围从大的角度来说都是信息安全领域；（2）两个标准对信息安全的定义相同，都是指对信息保密性、完整性和可用性的保护；（3）两个标准对信息安全风险的定义基本相同，都是从资产、威胁、薄弱点和影响来考察风险；（4）两个标准都针对不同的风险提出了相应的控制目标和控制措施。9.2.4信息系统安全评估标准所面临的问题及改进建议9.2.4信息系统安全评估标准所面临的问题及改进建议9.3国际与国内信息系统安全测评认证测评认证的概念9.3.2测评认证的标准与规范9.3.3测评认证的方法与流程

9.3国际与国内信息系统安全测评认证9.3.1测评认证的概念9.3.1测评认证的概念9.3.1测评认证的概念3.测评认证的产生国际上信息大国每年用于信息安全领域的预算开支都在10亿美元以上。中国的信息安全产业近10年以惊人的速度发展起来。2000年底与信息安全相关的注册公司达1300多家，随着中国信息化水平的全面提高，将拥有世界最大的信息安全市场。9.3.1测评认证的概念9.3.2测评认证的标准与规范9.3.2测评认证的标准与规范9.3.2测评认证的标准与规范9.3.2测评认证的标准与规范测评认证的