國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估有關(guān)政策介紹

國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估有關(guān)政策介紹,國(guó)信辦網(wǎng)絡(luò)與信息安全組 熊四皓,2006年8月7日,開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意義 文件的主要內(nèi)容 下一步工作安排,信息安全保障本質(zhì)上是風(fēng)險(xiǎn)管理的工作，信息安全風(fēng)險(xiǎn)和事件不可能完全避免，關(guān)鍵在于如何控制、化解和規(guī)避風(fēng)險(xiǎn)。信息安全保障是高技術(shù)的對(duì)抗，有別于傳統(tǒng)安全，呈現(xiàn)擴(kuò)散速度快、難控制等特點(diǎn)，必須采取符合信息安全規(guī)律的科學(xué)方法和手段來(lái)保障信息安全。27號(hào)文件提出“要重視信息安全風(fēng)險(xiǎn)評(píng)估工作，對(duì)網(wǎng)絡(luò)與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)、防護(hù)措施等進(jìn)行分析評(píng)估 ”,風(fēng)險(xiǎn)評(píng)估是分析確定風(fēng)險(xiǎn)的過(guò)程 信息安全風(fēng)險(xiǎn)評(píng)估是信息安全建設(shè)的起點(diǎn)和基礎(chǔ) 信息安全風(fēng)險(xiǎn)評(píng)估是信息安全建設(shè)和管理的科學(xué)方法 風(fēng)險(xiǎn)評(píng)估實(shí)際上是在倡導(dǎo)一種適度安全 重視風(fēng)險(xiǎn)評(píng)估是信息化發(fā)達(dá)國(guó)家的重要經(jīng)驗(yàn),開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意義 文件的主要內(nèi)容 下一步工作安排,文件是集體智慧的結(jié)晶和實(shí)踐經(jīng)驗(yàn)的總結(jié) 風(fēng)險(xiǎn)評(píng)估工作的內(nèi)容與形式 開展信息安全風(fēng)險(xiǎn)評(píng)估工作的基本要求 加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)性工作,文件是集體智慧的結(jié)晶和實(shí)踐經(jīng)驗(yàn) 的總結(jié),風(fēng)險(xiǎn)評(píng)估工作的內(nèi)容與形式,信息安全風(fēng)險(xiǎn)評(píng)估分為自評(píng)估和檢查評(píng)估兩種形式。 自評(píng)估是指網(wǎng)絡(luò)和信息系統(tǒng)的擁有、運(yùn)營(yíng)、使用單位發(fā)起的對(duì)本單位信息系統(tǒng)進(jìn)行的風(fēng)險(xiǎn)評(píng)估。自評(píng)估是信息安全風(fēng)險(xiǎn)評(píng)估的主要形式。 檢查評(píng)估是指信息系統(tǒng)上級(jí)管理部門組織的或國(guó)家有關(guān)職能部門依法開展的信息安全風(fēng)險(xiǎn)評(píng)估。 自評(píng)估和檢查評(píng)估可以依靠自身技術(shù)力量進(jìn)行，也可委托第三方專業(yè)機(jī)構(gòu)提供技術(shù)支持。,開展信息安全風(fēng)險(xiǎn)評(píng)估工作的基本要求,信息安全風(fēng)險(xiǎn)評(píng)估的實(shí)施要求 信息安全風(fēng)險(xiǎn)評(píng)估的管理要求,信息安全風(fēng)險(xiǎn)評(píng)估工作應(yīng)當(dāng)貫穿信息系統(tǒng)全生命周期。在信息系統(tǒng)規(guī)劃設(shè)計(jì)階段，通過(guò)信息安全風(fēng)險(xiǎn)評(píng)估工作，可以明確信息系統(tǒng)的安全需求及其安全目標(biāo)，有針對(duì)性地制定和部署安全措施，從而避免產(chǎn)生欠保護(hù)或過(guò)保護(hù)的情況。,在信息系統(tǒng)建設(shè)完成驗(yàn)收時(shí)，通過(guò)風(fēng)險(xiǎn)評(píng)估工作可以檢驗(yàn)信息系統(tǒng)是否實(shí)現(xiàn)了所設(shè)計(jì)的安全功能，是否滿足了信息系統(tǒng)的安全需求并達(dá)到預(yù)期的安全目標(biāo)。,由于信息技術(shù)的發(fā)展、信息系統(tǒng)業(yè)務(wù)以及所處安全環(huán)境的變化，會(huì)不斷出現(xiàn)新的信息安全風(fēng)險(xiǎn)，因此，在信息系統(tǒng)的運(yùn)行階段，應(yīng)當(dāng)定期進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估，以檢驗(yàn)安全措施的有效性以及對(duì)安全環(huán)境的適應(yīng)性。當(dāng)安全形勢(shì)發(fā)生重大變化或信息系統(tǒng)使命有重大變更時(shí)，應(yīng)及時(shí)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。,信息安全風(fēng)險(xiǎn)評(píng)估也是落實(shí)等級(jí)保護(hù)制度的重要手段，應(yīng)通過(guò)信息安全風(fēng)險(xiǎn)評(píng)估為信息系統(tǒng)確定安全等級(jí)提供依據(jù)，根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果檢驗(yàn)網(wǎng)絡(luò)與信息系統(tǒng)的防護(hù)水平是否符合等級(jí)保護(hù)的要求。,開展信息安全風(fēng)險(xiǎn)評(píng)估工作的基本要求,信息安全風(fēng)險(xiǎn)評(píng)估的實(shí)施要求 信息安全風(fēng)險(xiǎn)評(píng)估的管理要求,信息安全風(fēng)險(xiǎn)評(píng)估工作敏感性強(qiáng)，涉及系統(tǒng)的關(guān)鍵資產(chǎn)和核心信息，一旦處理不當(dāng)，反而可能引入新的風(fēng)險(xiǎn)，意見強(qiáng)調(diào)，必須高度重視信息安全風(fēng)險(xiǎn)評(píng)估的組織管理工作,為規(guī)避由于風(fēng)險(xiǎn)評(píng)估工作而引入新的安全風(fēng)險(xiǎn)，意見提出以下要求：1）參與信息安全風(fēng)險(xiǎn)評(píng)估工作的單位及其有關(guān)人員必須遵守國(guó)家有關(guān)信息安全的法律法規(guī)，并承擔(dān)相應(yīng)的責(zé)任和義務(wù)。2）風(fēng)險(xiǎn)評(píng)估工作的發(fā)起方必須采取相應(yīng)保密措施，并與參與評(píng)估的有關(guān)單位或人員簽訂具有法律約束力的保密協(xié)議。3）對(duì)關(guān)系國(guó)計(jì)民生和社會(huì)穩(wěn)定的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估工作必須遵循國(guó)家的有關(guān)規(guī)定進(jìn)行。,加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)性工作,要加快制定和完善信息安全風(fēng)險(xiǎn)評(píng)估有關(guān)技術(shù)標(biāo)準(zhǔn)，盡快完善并頒布信息安全風(fēng)險(xiǎn)評(píng)估指南和信息安全風(fēng)險(xiǎn)管理指南等國(guó)家標(biāo)準(zhǔn)，各行業(yè)主管部門也可根據(jù)本行業(yè)特點(diǎn)制定相應(yīng)的技術(shù)規(guī)范。,要加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估核心技術(shù)、方法和工具的研究與攻關(guān)。 要從抓試點(diǎn)開始，逐步探索組織實(shí)施和管理的經(jīng)驗(yàn)，用三年左右的時(shí)間在我國(guó)基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)普遍推行信息安全風(fēng)險(xiǎn)評(píng)估工作，全面提高我國(guó)信息安全的科學(xué)管理水平，提升網(wǎng)絡(luò)和信息系統(tǒng)安全保障能力，為保障和促進(jìn)我國(guó)信息化發(fā)展服務(wù)。,開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意義 文件的主要內(nèi)容 下一步工作安排,圍繞著意見的貫徹落實(shí)，國(guó)務(wù)院信息辦今年將著重抓好以下三個(gè)方面的工作,一是組織意見宣傳貫徹，擬分批在北京和云南召開宣貫會(huì)，組織專家就意見的主要精神進(jìn)行宣講。同時(shí)，積極推動(dòng)信息安全風(fēng)險(xiǎn)評(píng)估指南的頒布，在指南正式頒布前以國(guó)信辦文件的形式將指南征求意見稿在內(nèi)部印發(fā)，供大家參考。,二是組織成立信息安全風(fēng)險(xiǎn)評(píng)估專家組。專家組的任務(wù)重點(diǎn)是抓好信息安全風(fēng)險(xiǎn)評(píng)估的技術(shù)培訓(xùn)、技術(shù)交流和教材的編寫；同時(shí)，開展面上的調(diào)研和指導(dǎo)，為各部門和地方的信息安全風(fēng)險(xiǎn)評(píng)估工作提供技術(shù)咨詢。,三是抓好基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國(guó)計(jì)民生的重要信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估工作。這項(xiàng)工作我們還將召開會(huì)議作專門部署。,推進(jìn)信息安全風(fēng)險(xiǎn)評(píng)估工作必須仔細(xì)謀劃，認(rèn)真組織，穩(wěn)步推進(jìn)。我們不希望一哄而起，剛開始時(shí)步子可以小一點(diǎn)，一定要先通過(guò)試點(diǎn)探索并積累經(jīng)驗(yàn)，然后再在面上推開?？傊?，要弄清楚、想明白之后再干，避免盲目性。,謝謝大家！,