终端安全风险管理及信息安全标准

2023-11-23 理论教育版权反馈

【摘要】：GB/T20984-2007《信息安全技术—信息安全风险评估规范》标准提出了计算机风险评估的基本概念、要素关系、分析原理、实施流程和评估方法，以及风险评估在信息系统生命周期不同阶段的实施要点和工作形式。本标准适用于规范组织开展的风险评估工作。

（1）ISO/IEC27005《信息技术—安全技术—信息安全风险管理》

该标准给出了信息安全风险管理的指南，包括风险管理的原则，风险评估方法，风险处理和风险接受，风险的监视和评审等，以及给出了如何满足ISMS要求的更进一步的信息。明确了终端风险的管理原则等。

（2）ISO/IEC27001《信息安全管理体系—规范与使用指南》

该标准为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。

（3）ISO/IEC13335-2004《信息技术—安全技术—信息和通信技术安全的管理》

该标准是一个信息安全管理指南，这个标准的主要目的是给出如何有效地实施IT安全管理的建议和指南。

该标准目前分为5个部分。第1部分：IT安全的概念和模型，这部分包括了对IT安全和安全管理的一些基本概念和模型的介绍；第2部分：IT安全的管理和计划（Managing and Planning IT Security），建议性地描述了IT安全管理和计划的方式和要点；第3部分：IT安全的技术管理（Techniques for the Management of IT Security），覆盖了风险管理技术、IT安全计划的开发以及实施和测试，还包括一些后续的制度审查、事件分析、IT安全教育程序等；第4部分：防护的选择（Selectionof Safeguards），主要探讨如何针对一个组织的特定环境和安全需求来选择防护措施。这些措施不仅仅包括技术措施；第5部分：外部联接的防护（Safeguards for External Connections）。

（4）GB/T20984-2007《信息安全技术—信息安全风险评估规范》

标准提出了计算机风险评估的基本概念、要素关系、分析原理、实施流程和评估方法，以及风险评估在信息系统生命周期不同阶段的实施要点和工作形式。本标准适用于规范组织开展的风险评估工作。

（5）GB/T22239-2008《信息安全技术—信息系统安全等级保护基本要求》(www.chuimin.cn)

本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。

（6）《信息安全等级保护实施指南》

该标准详细介绍了计算机终端在进行分级保护时的实施流程，介绍了计算机运行维护、状态监控、安全检查等详细技术模型。

（7）GB/T20270-2006《信息安全网络基础安全技术要求》

本标准用以指导设计者如何设计和实现所有以终端为基础的具有所需要求的安全等级的网络系统。实现了对等级保护技术要求中各个安全要求项目，网络系统应采取的安全技术措施，以及各级技术要求在不同安全等级保护中的具体差异。

（8）GB20272-2006《信息安全技术操作系统安全技术要求》

本标准用于指导设计者如何设计和实现具有所需要求的安全保护等级的操作系统。主要说明技术要求中安全保护等级要求，操作系统应采取的安全技术措施，操作系统在不同安全保护等级中的具体差异。

（9）GB/T20279-2006《信息安全技术网络和终端设备隔离部件安全技术要求》

本标准用于指导设计者如何设计和实现具有所需的安全等级的隔离部件，主要从对隔离部件的安全保护等级进行划分的角度来说明其技术要求。