第65页 中国证券监督管理委员会公告(2011)39号――证券期货业信息系统安全等级保护测评要求(试行)
|
[接上页] b） 如果单元测评结果存在不符合项或部分符合项，但所产生的安全问题不会导致信息系统存在高等级安全风险，则测评结论为“基本符合”； c） 如果单元测评结果存在不符合项或部分符合项，且所产生的安全问题导致信息系统存在高等级安全风险，则测评结论为“不符合”。 附录a （资料性附录） 测评力度 本标准在第5章到第8章描述了第一级到第四级信息系统的单元测评的具体测评实施过程要求。为了便于理解、对比不同测评方法的测评力度以及不同级别信息系统单元测评的测评力度增强情况，分别编制表a.1测评方法的测评力度描述和表a.2不同安全保护等级信息系统的测评力度要求表。 a.1 测评方法的测评力度描述 测评方法是测评人员依据测评内容选取的、实施特定测评操作的具体方法。本标准涉及访谈、检查和测试等三种基本测评方法。访谈、检查和测试等三种基本测评方法的测评力度可以通过其测评的深度和广度来描述，如表a.1。 表a.1 测评方法的测评力度
a.2 信息系统测评力度 为了进一步理解不同等级信息系统在测评力度上的不同，表a.2在表a.1的基础上，从测评对象数量和种类以及测评深度等方面详细分析了不同测评方法的测评力度在不同安全保护等级信息系统安全测评中的具体体现。 表a.2 不同安全保护等级信息系统的测评力度要求
对不同安全保护等级信息系统进行等级测评时，实际抽查测评对象的种类和数量，应当达到表a.2的要求，以满足相应等级的测评力度要求。在具体测评对象选择工作过程中，可参照遵循以下原则： a）完整性原则，选择的设备、措施等应能满足相应等级的测评力度要求； b）重要性原则，应抽查重要的服务器、数据库和网络设备等； c）安全性原则，应抽查对外暴露的网络边界； d）共享性原则，应抽查共享设备和数据交换平台/设备； e）代表性原则，抽查应尽量覆盖系统各种设备类型、操作系统类型、数据库系统类型和应用系统的类型。 附录b （资料性附录） 关于整体测评的进一步说明 信息系统的安全功能综合集成到信息系统不同层面后，会在层面内、层面间和区域间产生连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统，使信息系统的整体安全功能与信息系统的结构以及安全控制点间、层面间和区域间的相互关联关系密切相关。整体测评就是通过分析安全控制点间，以及层面间和区域间的安全控制点间可能产生的功能增强、补充等关联作用，找出其他安全控制点对单项测评结果为不符合或部分符合的安全控制点进行补充或增强。 信息系统在安全控制点部署、层面整合和区域互连等系统集成后呈现出的安全集成特性，在单元测评中是没有体现的。因此，在单元测评的基础上，有必要对集成系统和运行环境进行整体测评分析和判断，以确定安全控制部署、层面整合、区域互连乃至整体系统结构等是否会增强或者削弱信息系统的整体安全保护能力；缺失或者低等级的安全控制是否会影响到系统的整体安全功能，在高等级的信息系统中使用低等级的安全控制是否能够达到相应等级的安全要求等。 在测评内容方面，在单元测评的基础上，信息系统整体安全性测评应重点测评分析不同安全控制的部署、层面的整合和区域的互连后其安全功能的相互作用和对信息系统整体安全功能的影响，具体应包括：安全控制点间安全测评、层面间安全测评、区域间安全测评和系统结构安全测评等。 b.1 区域和层面 b.1.1 区域 根据在信息系统保护中所提供的安全功能，可以把信息系统划分为一个或者多个不同的区域。每个区域内的安全功能即可以为本区域提供服务，也可以为其它区域提供服务，使信息系统在整体安全性上表现出分区域的集成特性。 例如，可以把信息系统分为内部计算环境、区域边界和外部通信网络三大类。内部计算环境一般位于信息系统运营使用单位的物理控制范围内的局域网内，是信息系统进行信息存储和处理的主体。区域边界通常是处在内部计算环境和外部通信网络之间。外部通信网络区通常是信息系统提供通信的公共网络（如internet、pstn、isdn、公共无线网络等）或专用网络（如ddn等）。而基于统一的安全策略对计算环境、区域边界和通信网络的安全机制实施统一管理的设备可以在内部计算环境内，也可以独立构成一个功能区，即安全管理区。 | |||||||||||||||||||||||||||||||||||||||||||||||||||||||
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！