國家信息安全風險評估有關(guān)政策介紹.ppt

《國家信息安全風險評估有關(guān)政策介紹.ppt》由會員分享，可在線閱讀，更多相關(guān)《國家信息安全風險評估有關(guān)政策介紹.ppt（25頁珍藏版）》請在裝配圖網(wǎng)上搜索。

國家信息安全風險評估有關(guān)政策介紹 國信辦網(wǎng)絡(luò)與信息安全組熊四皓 2006年8月7日 開展信息安全風險評估工作的意義文件的主要內(nèi)容下一步工作安排 信息安全保障本質(zhì)上是風險管理的工作 信息安全風險和事件不可能完全避免 關(guān)鍵在于如何控制 化解和規(guī)避風險 信息安全保障是高技術(shù)的對抗 有別于傳統(tǒng)安全 呈現(xiàn)擴散速度快 難控制等特點 必須采取符合信息安全規(guī)律的科學方法和手段來保障信息安全 27號文件提出 要重視信息安全風險評估工作 對網(wǎng)絡(luò)與信息系統(tǒng)安全的潛在威脅 薄弱環(huán)節(jié) 防護措施等進行分析評估 風險評估是分析確定風險的過程信息安全風險評估是信息安全建設(shè)的起點和基礎(chǔ)信息安全風險評估是信息安全建設(shè)和管理的科學方法風險評估實際上是在倡導一種適度安全重視風險評估是信息化發(fā)達國家的重要經(jīng)驗 開展信息安全風險評估工作的意義文件的主要內(nèi)容下一步工作安排 文件是集體智慧的結(jié)晶和實踐經(jīng)驗的總結(jié)風險評估工作的內(nèi)容與形式開展信息安全風險評估工作的基本要求加強信息安全風險評估的基礎(chǔ)性工作 文件是集體智慧的結(jié)晶和實踐經(jīng)驗的總結(jié) 風險評估工作的內(nèi)容與形式 信息安全風險評估分為自評估和檢查評估兩種形式 自評估是指網(wǎng)絡(luò)和信息系統(tǒng)的擁有 運營 使用單位發(fā)起的對本單位信息系統(tǒng)進行的風險評估 自評估是信息安全風險評估的主要形式 檢查評估是指信息系統(tǒng)上級管理部門組織的或國家有關(guān)職能部門依法開展的信息安全風險評估 自評估和檢查評估可以依靠自身技術(shù)力量進行 也可委托第三方專業(yè)機構(gòu)提供技術(shù)支持 開展信息安全風險評估工作的基本要求 信息安全風險評估的實施要求信息安全風險評估的管理要求 信息安全風險評估工作應(yīng)當貫穿信息系統(tǒng)全生命周期 在信息系統(tǒng)規(guī)劃設(shè)計階段 通過信息安全風險評估工作 可以明確信息系統(tǒng)的安全需求及其安全目標 有針對性地制定和部署安全措施 從而避免產(chǎn)生欠保護或過保護的情況 在信息系統(tǒng)建設(shè)完成驗收時 通過風險評估工作可以檢驗信息系統(tǒng)是否實現(xiàn)了所設(shè)計的安全功能 是否滿足了信息系統(tǒng)的安全需求并達到預(yù)期的安全目標 由于信息技術(shù)的發(fā)展 信息系統(tǒng)業(yè)務(wù)以及所處安全環(huán)境的變化 會不斷出現(xiàn)新的信息安全風險 因此 在信息系統(tǒng)的運行階段 應(yīng)當定期進行信息安全風險評估 以檢驗安全措施的有效性以及對安全環(huán)境的適應(yīng)性 當安全形勢發(fā)生重大變化或信息系統(tǒng)使命有重大變更時 應(yīng)及時進行信息安全風險評估 信息安全風險評估也是落實等級保護制度的重要手段 應(yīng)通過信息安全風險評估為信息系統(tǒng)確定安全等級提供依據(jù) 根據(jù)風險評估的結(jié)果檢驗網(wǎng)絡(luò)與信息系統(tǒng)的防護水平是否符合等級保護的要求 開展信息安全風險評估工作的基本要求 信息安全風險評估的實施要求信息安全風險評估的管理要求 信息安全風險評估工作敏感性強 涉及系統(tǒng)的關(guān)鍵資產(chǎn)和核心信息 一旦處理不當 反而可能引入新的風險 意見 強調(diào) 必須高度重視信息安全風險評估的組織管理工作 為規(guī)避由于風險評估工作而引入新的安全風險 意見 提出以下要求 1 參與信息安全風險評估工作的單位及其有關(guān)人員必須遵守國家有關(guān)信息安全的法律法規(guī) 并承擔相應(yīng)的責任和義務(wù) 2 風險評估工作的發(fā)起方必須采取相應(yīng)保密措施 并與參與評估的有關(guān)單位或人員簽訂具有法律約束力的保密協(xié)議 3 對關(guān)系國計民生和社會穩(wěn)定的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全風險評估工作必須遵循國家的有關(guān)規(guī)定進行 加強信息安全風險評估的基礎(chǔ)性工作 要加快制定和完善信息安全風險評估有關(guān)技術(shù)標準 盡快完善并頒布 信息安全風險評估指南 和 信息安全風險管理指南 等國家標準 各行業(yè)主管部門也可根據(jù)本行業(yè)特點制定相應(yīng)的技術(shù)規(guī)范 要加強信息安全風險評估核心技術(shù) 方法和工具的研究與攻關(guān) 要從抓試點開始 逐步探索組織實施和管理的經(jīng)驗 用三年左右的時間在我國基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)普遍推行信息安全風險評估工作 全面提高我國信息安全的科學管理水平 提升網(wǎng)絡(luò)和信息系統(tǒng)安全保障能力 為保障和促進我國信息化發(fā)展服務(wù) 開展信息安全風險評估工作的意義文件的主要內(nèi)容下一步工作安排 圍繞著意見的貫徹落實 國務(wù)院信息辦今年將著重抓好以下三個方面的工作 一是組織 意見 宣傳貫徹 擬分批在北京和云南召開宣貫會 組織專家就 意見 的主要精神進行宣講 同時 積極推動 信息安全風險評估指南 的頒布 在 指南 正式頒布前以國信辦文件的形式將 指南 征求意見稿在內(nèi)部印發(fā) 供大家參考 二是組織成立信息安全風險評估專家組 專家組的任務(wù)重點是抓好信息安全風險評估的技術(shù)培訓 技術(shù)交流和教材的編寫 同時 開展面上的調(diào)研和指導 為各部門和地方的信息安全風險評估工作提供技術(shù)咨詢 三是抓好基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國計民生的重要信息系統(tǒng)的信息安全風險評估工作 這項工作我們還將召開會議作專門部署 推進信息安全風險評估工作必須仔細謀劃 認真組織 穩(wěn)步推進 我們不希望一哄而起 剛開始時步子可以小一點 一定要先通過試點探索并積累經(jīng)驗 然后再在面上推開 總之 要弄清楚 想明白之后再干 避免盲目性 謝謝大家