2015版-CISP0101信息安全保障_v3.0
信息系统安全等级测评报告模版(2015年版)
信息安全技术信息系统安全等级保护测评过程指南附件：报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX信息系统安全等级测评报告模版（2015年版）系统名称：委托单位：测评单位：报告时间：年月日说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明（声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
）本报告是xxx信息系统的等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
注册信息安全专业人员(CISP认证)
注册信息安全专业人员（CISP认证）认证介绍国家注册信息安全专业人员(简称：CISP）是有关信息安全企业，信息安全咨询服务机构、信息安全测评机构、社会各组织、团体、企事业有关信息系统（网络）建设、运行和应用管理的技术部门（含标准化部门）必备的专业岗位人员，其基本职能是对信息系统的安全提供技术保障，其所具备的专业资质和能力，系经中国信息安全测评中心实施注册。
2015年6月，全国获得CISP认证资格人员已超过15000名。
认证目的信息安全人员培训与姊姊认定的目的是构建全面的信息安全人才体系。
构建全面的信息安全人才体系是国家政策的要求，是组织机构信息安全保障建设自身的要求和组织机构人员自身职业发展的要求。
是国家政策的要求：中办发【2003】27号文件《国家信息化领导小组关于加强信息安全保障工作的I 安逸》中提出了“加快悉尼型安全人才培养，增强全民信息安全意识”的知道精神，重点强调了信息安全人才培养的重要性。
是组织机构信息安全保障建设自身的要求：企事业单位、政府机关等组织机构在信息安全保障建设、信息哈U建设中，需要有一个完整层次化的信息安全人才队伍以保障其信息安全、保障其信息化建设，从而保障其业务和使命。
是组织机构人员自身职业为发展的要求：作为人员本身，在其工作和职业发展中，需要充实其信息安全保障相关的只是和经验，以更好的开展其工作并为自己的只因为发展提供帮助。
认证价值对组织的价值：高素质的信息安全专业人才队伍，是信息安全的保障；信息安全人员持证上岗，满足政策部门的合规性要求；为组织实施信息安全岗位绩效考核提供了标准和依据；是信息安全企业申请安全服务资质必备的条件对个人的价值：适应市场中越来越热的对信息安全人才的需求；通过专业培训和考试提高个人信息安全从业水平；证明具备从事信息安全技术和管理工作的能力；权威认证提升职场竞争中的自身优势；可以获取信息安全专业人士的认可，方便交流。
认证分类根据工作领域和时间广州的需求，可以分为两类：注册信息安全工程师（CISE ）主要从事信息安全技术开发服务工程建设等工作。
CISP课堂笔记1
CISP课堂笔记信息安全测评体系介绍●测试／检验：按照规定的程序，为确定给定的产品、材料、设备、生物组织、物理现象、工艺或服务的一种或多种特性的技术操作●评估：对测试／检验产生的数据进行分析、形成结论的技术活动●认证：是指第三方依据程序对产品、过程或服务符合规定的要求给予书面保证（证书），用于评价产品质量和企业质量管理水平●信息系统评估通用准则（CC for Information）国际标准ISO/IEC 15408GB idt 18336●TCSEC升级FC，1992年12月公布引入了“保护轮廓PP”这一重要概●FC引入了PP（用户需求），CEM通用测评方法、TOE评估对象、ST安全目标●1993年开始，1996年出现V1.0，1998年出现V2.0，1999年5月，成为ISO 15408●CC主要思想和框架取自FC和ITSEC●1998年10月，国家质量技术监督局授权成立“中国国家信息安全测评中心”●2001年5月，中编办根据党中央、国务院有关领导的指示精神，正式行文（中编办[2001]51号），批准成立“中国信息安全产品测评认证中心”，英文简称为CNITSEC。
●信息安全测评认证两种方法：“质量过程核查”“评估活动评价”●信息安全测评认证三种阶段：准备阶段、评估阶段、认证阶段。
●国际：ISO(国际标准化组织) SC27 WG1:信息安全有关的需求、服务和指南WG2:信息安全技术和机制；WG3:信息安全评估标准；●各国信息安全测评认证体系负责机构美国国家信息保证联盟（NIAP）负责管理和运行美国的信息安全测评认证体系 英国通信电子安全局（CESG）负责管理和运行英国的信息安全测评认证体系澳大利亚国防情报总局（DSD）负责管理和运行澳大利亚的信息安全测评认证体系 加拿大通信安全机构（CSE）负责管理和运行加拿大的信息安全测评认证体系德国信息安全局（GISA）负责管理和运行德国的信息安全测评认证体系法国信息系统安全局（SCSSI）负责管理和运行法国的信息安全测评认证体系●信息安全测评认证的范围：信息技术产品安全性测评认证网络信息系统安全性测评认证信息安全服务单位资质测评认证信息安全服务人员资质测评认证信息安全工程测评认证●信息安全认证业务的范围：信息安全技术的产品（TOE）信息系统的认证信息安全服务提供商资质的认证信息安全专业人员资质认证●CC的结构：第一部分简介和一般介绍第二部分安全功能需求第三部分安全保障需求●评估项目按3人/日:EAL3级（含）以上分级评估将进行现场核查。
中国信息安全测评中心测评公告
ITSEC Evaluation
公告Biblioteka 中国信息安全测评中心 测评公告
（2011年第7号） 中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，主要职能包括： 为信息技术安全性提供测评服务；信息安全漏洞分析和信息安全风险评估；信息技术产品、信 息系统和工程安全测试与评估；信息安全服务和信息安全人员资质测评；信息安全技术咨询、 工程监理与开发服务等。 根据国家职能授权，测评结果定期向社会公布。 特此公告。 中国信息安全测评中心 二 〇一一年七月
3. 通过国家信息安全测评/ 信息安全服务资质（安全工程类一级）测评的单位
序 号 1 获证单位名称 上海熙菱信息技术有限公司 证书编号 CNITSEC2011SRV-Ⅰ-164 发证日期 2011-5-31 有效期 2014-5-30
88
/中国信息安全/2011.07
测评
Testing
4. 通过国家信息安全测评/注册信息安全工程师（CISE）的人员
CNITSEC
1. 通过国家信息安全测评/ 信息技术产品安全测评的产品
序 号 获证单位 获证产品名称 泰合信息安全运营中心系统 V3.0 中网物理隔离网闸X-GAP (千兆 V3.0) 普天敏感信息安全保护系统 V1.0.0 证书编号 CNITSEC2011PRD0109 CNITSEC2011PRD0110 CNITSEC2011PRD0111 级别 EAL3 EAL1 EAL3 发证日期 2011-6-9 2011-6-9 2011-6-9 有效期 2014-6-8 2014-6-8 2014-6-8 北京启明星辰信息安全技术有限 1 公司
2 3
中网通讯网络有限公司 普天信息技术研究院有限公司
2. 通过国家信息安全测评/信息系统安全测评的系统
CISP考试认证(习题卷32)
CISP考试认证(习题卷32)第1部分：单项选择题，共92题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]下列哪一个子网掩码可允许 IP 网络 10.0.0.0 上的每一个子网容纳 2040 台主机A)255.255.0.0B)255.255.254.0C)255.255.248.0D)255.255.240.0答案:C解析:2.[单选题]安全模型明确了安全策略所需的数据结构和技术，下列哪项最好描述了安全模型中的“简单安全规则”？A)Biba模型中的不允许向上写B)Biba模型中的不允许向下读C)Bell-Lapadula模型中的不允许向下写D)Bell-Lapadula模型中的不允许向上读答案:D解析:3.[单选题]多层的楼房中,最适合做数据中心的位置是:A)一楼B)地下室C)顶楼D)除以上外的任何楼层答案:D解析:4.[单选题]风险,在GB /T 22081中定义为事态的概率及其结果的组合。
风险的目标可能有很多不同的方面,如财务目标、健康和人身安全目标、信息安全目标和环境目标等:目标也可能有不同的级别,如战略目标、组织目标、项目目标、产品目标和过程目标等, ISO / IEC 13335-1中揭示了风险各要素关系模型,如图所示。
请结合此图,怎么才能降低风险对组织产生的影响?( )A)组织应该根据风险建立响应的保护要求,通过构架防护措施降低风险对组织产生的影响B)加强防护措施,降低风险C)减少威胁和脆弱点降低风险D)减少资产降低风险答案:A解析:5.[单选题]45.数据链路层负责监督相邻网络节点的信息流动，用检错或纠错技术来确保正确的传输，确保解决该层的流量控制问题。
数据链路层的数据单元是()A)报文B)比特流C)帧D)包6.[单选题]在HTTP 状态码中表示重定向的是（）A)200B)302C)403D)500答案:B解析:7.[单选题]在以下标准中，属于推荐性国家标准的是？A)GB/T XXXX.X-200XB)GB XXXX-200XC)DBXX/T XXX-200XD)GB/Z XXX-XXX-200X答案:A解析:8.[单选题]25. 小王是某通信运营商公司的网络按武安架构师，为该公司推出的一项新型通信系统项目做安全架构规划，项目客户要求对他们的大型电子商务网络进行安全域的划分，化解为小区域的 安全保护，每个逻辑区域有各自的安全访问控制和边界控制策略，以实现大规模电子商务系 统的信息保护。
软件运维服务技术规范
软件运维服务技术规范河南省工商行政管理局2014 年12 月第I 页目录1概述 (1)1.1背景 (1)1.2范围 (2)1.2.1定制应用软件（软件采购项目） (2)1.2.2其他系统软件及应用软件（其他项目） (12)2运维服务需求内容 (14)2.1软件开发需求 (14)2.2软件运行维护需求 (14)2.2.1问题报告单处理 (14)2.2.2软件版本升级 (15)2.2.3软件的部署 (15)2.2.4数据查询、统计与同步 (15)2.2.5突发事件响应及处理 (16)2.2.6软件配置维护 (16)2.2.7重要时间点的保障支持服务 (16)2.2.8各类数据交互程序维护 (16)2.3数据维护需求 (16)2.4系统运行维护需求 (17)2.4.1系统监控 (17)2.4.2数据库及系统备份 (17)2.4.3系统维护、故障分析及调优 (18)3运维服务规范 (19)3.1服务准则 (19)3.2服务流程 (20)3.2.1问题报告单处理流程 (20)3.2.1.1适用范围 (20)3.2.1.2操作流程图 (21)3.2.1.3流程说明 (21)3.2.2版本升级流程 (22)3.2.2.1适用范围 (22)3.2.2.2操作流程图 (23)3.2.2.3流程说明 (24)3.2.3需求变更流程 (24)3.2.3.1适应条件 (24)3.2.3.2操作流程图 (25)3.2.4政策变更引起程序调整流程 (26)3.2.4.1适应范围 (26)3.2.4.2操作流程图 (26)3.2.4.3流程说明 (27)3.2.5数据库操作流程 (27)3.2.5.1适应范围 (27)第II 页运维服务技术规范3.2.5.2操作流程图 (28)3.2.5.3流程说明 (28)3.2.6业务数据修改流程 (29)3.2.6.1适应范围 (29)3.2.6.2操作流程图 (30)3.2.6.3流程说明 (30)3.2.7数据提供流程 (31)3.2.7.1适应范围 (31)3.2.7.2操作流程图 (31)3.2.7.3流程说明： (32)3.2.8事故处理流程 (32)3.2.8.1事故处理目标 (32)3.2.8.2处理流程图 (33)3.2.8.3流程说明 (33)3.2.8.4应急预案目标 (34)3.2.8.5处理流程图 (34)3.2.8.6流程说明 (35)3.3系统监控 (36)3.3.1系统监控概述 (36)3.3.2监控手段 (36)3.3.3监控项目 (36)3.3.4监控要求 (36)4运维服务要求 (37)4.1现场服务要求 (37)4.2集成服务要求 (37)4.3培训要求 (38)4.4信息安全管理要求 (38)5运维服务考核指标体系 (39)第III 页1 概述河南省工商行政管理局金信工程项目自2009 年上线以来，信息系统运行稳定，应用软件满足了工商业务不断发展的需要，实现了全省工商系统软件应用与数据的全省大集中、大统一，该项目于2009 年9 月份完成验收。
CISP题库350题(答案)
中国信息安全测评中心CISP认证模拟试题中电运行信息安全网络技术测评中心编辑1.以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？A．提高信息技术产品的国产化率B．保证信息安全资金投入C．加快信息安全人才培养D．重视信息安全应急处理工作2.以下哪一项不是《GB/T20274信息安全保障评估框架》给出的信息安全保障模型具备的特点？A．强调信息系统安全保障持续发展的动态性，即强调信息系统安全保障应贯穿于整个信息系统生命周期的全过程B．强调信息系统安全保障的概念，通过综合技术、管理、工程和人员的安全保障要求来实施和实现信息系统的安全保障目标C．以安全概念和关系为基础，将安全威胁和风险控制措施作为信息系统安全保障的基础和核心D．通过以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征3.以下关于信息系统安全保障是主观和客观的结合说法最准确的是：A．信息系统安全保障不仅涉及安全技术，还应综合考虑安全管理、安全工程和人员安全等，以全面保障信息系统安全B．通过技术、管理、工程和人员方面客观地评估安全保障措施，向信息系统的所有者提供其现有安全保障工作是否满足其安全保障目标的信心C．是一种通过客观证据向信息系统评估者提供主观信心的活动D．是主观和客观综合评估的结果4.与PDR模型相比，P2DR模型多了哪一个环节？A．防护B．检测C．反应D．策略5.在密码学的Kerchhoff假设中，密码系统的安全性仅依赖于_______。
A．明文B．密文C．密钥D．信道6.通过对称密码算法进行安全消息传输的必要条件是：A．在安全的传输信道上进行通信B．通讯双方通过某种方式，安全且秘密地共享密钥C．通讯双方使用不公开的加密算法D．通讯双方将传输的信息夹杂在无用信息中传输并提取7.以下关于代替密码的说法正确的是：A．明文根据密钥被不同的密文字母代替B．明文字母不变，仅仅是位置根据密钥发生改变C．明文和密钥的每个bit异或D．明文根据密钥作移位8.AES在抵抗差分密码分析及线性密码分析的能力比DES更有效，已经替代DES成为新的数据加密标准。
CISP总结-信息安全保障知识点
1.信息安全特征：信息安全是系统的安全，是动态的安全，是无边界的安全，是非传统的安全。
2.信息系统包含三个要素：信息，计算机网络系统和运行环境。
3.1985年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），将操作系统安全分级（D、C1、C2、B1、B2、B3、A1）.4.信息技术安全性评估准则，即通用准则CC（ISO/IEC 15408，GB/T 18336），其中保障定义为，实体满足其安全目的的信心基础。
5.风险是指威胁利用资产或一组资产的脆弱性对组织机构造成伤害的潜在可能。
6.信息安全管理体系－ISMS,国际上主流的信息系统管理体系的标准有ISO/IEC 17799,英国标准协会（BSI）的77997.信息安全保障模型：保障要素：管理、工程、技术、人员。
安全特征：保密、完整、可用。
生命周期：规划组织、开发采购、实施交付、运行维护、废弃。
策略和风险是安全保障的核心问题。
信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。
8.风险管理贯穿整个信息系统生命周期，包括对象确立，风险评估，风险控制，审核批准，监控与审查和沟通与咨询6个方面。
9.基于时间的PDR模型（保护－检测－响应）是信息安全保障工作中常用的模型。
该模型的出发点是基于这样的前提：任何安全防护措施都是基于时间的，超过该时间段，这种防护措施是可能被攻破。
10.P2DR（策略－保护检测响应）：所有的行为都是依据安全策略实施的。
该模型强调安全管理的持续性、安全策略的动态性。
防护时间Pt，检测时间Dt,反应时间Rt：如果pt>dt+rt,则系统安全；如果pt<dt+rt,则暴露时间Et=(dt+rt)-pt11.PDCA(计划、实施、检查、改进)是信息安全管理体系ISMS的核心。
注册信息安全专业人员(CISP)
序号 1 2 3 4 5
修改版本 V.1.1 V.1.2 V.1.3 V.1.4 V.1.5
文件修改记录
修改日期 2013.4 2013.7 2014.1 2014.5 2017.3
适用性声明 本文档是中国信息安全测评中心资质评估处管理类文件，适用于本部门在进行 人员资质认定工作的工作指导。
注册信息安全专业人员（CISP） 学员培训手册
发布日期 2017 年 3 月
版本：1.5
中国信息安全测评中心
©版权 2017—中国信息安全测评中心
CISP 学员培训指南
咨询及索取 关于中国信息安全测评中心信息安全人员培训相关的文件，请与中国信息安
全测评中心质评估处接洽。 版权
©版权 2017—中国信息安全测评中心 联系信息
- II -
目录
目 录 ............................................................................................................. III 第 1 章 CISP 介绍 ..........................................................................................1
1.5.1 培训介绍 ...................................................................................2 1.5.2 培训适用人员 ............................................................................3 1.5.3 培训特点 ...................................................................................3 1.5.4 培训考试范围 ............................................................................3 1.5.5 培训课程安排 ............................................................................5 1.6 CISP 注册流程 .....................................................................................7 1.7 CISP 职业准则 .....................................................................................7 第 2 章 CISP 培训...........................................................................................9 2.1 学员申请资料要求 .............................................................................. 9 2.2 培训报名.............................................................................................9 2.3 学员培训纪律要求 .............................................................................. 9 第 3 章 考试应考人员考场守则及考试违纪、作弊处罚规则..........................10 3.1 考试应考人员考场守则 ..................................................................... 10 3.2 考试违纪、作弊处罚规则..................................................................10 第 4 章 注册维持 .......................................................................................... 13 4.1 维持换证要求 ................................................................................... 13 4.2 申请材料...........................................................................................13 4.3 超期维持...........................................................................................14
信息安全等级测评
信息安全等级测评ICS 35.040 L80 GB/T ×××××—×××× 信息安全技术信息系统安全等级保护测评过程指南 Information security technology- Testing and evaluation process guide forclassified protection of information system security ××××-××-××发布××××-××-××实施中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会发布GB/T XXXX – XXXX I 目次前言 ................................................................. ........................................................................... IV引言 ................................................................. ............................................................................ V1 范围 ................................................................. ......................................................................12 规范性引用文件 ................................................................. .................................................. 13 术语和定义 ................................................................. .......................................................... 14 等级测评概述 ..................................................................... .................................................. 14.1 等级测评的作用 ................................................................. .................................................. 14.2 等级测评执行主体 ..................................................................... .......................................... 24.3 等级测评风险 ..................................................................... .................................................. 24.3.1 验证测试影响系统正常运行 ................................................................. .......................... 24.3.2 工具测试影响系统正常运行 ..................................................................... ...................... 24.3.3 敏感信息泄漏 ................................................................. .................................................. 24.4 等级测评过程 ..................................................................... .................................................. 24.4.1 测评准备活动 ..................................................................... .............................................. 34.4.2 方案编制活动 ................................................................. .................................................. 34.4.3 现场测评活动 ..................................................................... .............................................. 34.4.4 分析与报告编制活动 ..................................................................... .................................. 35 测评准备活动 ................................................................. ...................................................... 35.1 测评准备活动的工作流程 ..................................................................... .............................. 35.2 测评准备活动的主要任务 ................................................................. .................................. 35.2.1 项目启动 ................................................................. .......................................................... 35.2.2 信息收集和分析 ..................................................................... .......................................... 45.2.3 工具和表单准备 ................................................................. .............................................. 45.3 测评准备活动的输出文档 ..................................................................... .............................. 55.4 测评准备活动中双方的职责 ..................................................................... .......................... 56 方案编制活动 ................................................................. ...................................................... 56.1 方案编制活动的工作流程 ..................................................................... .............................. 56.2 方案编制活动的主要任务 ................................................................. .................................. 66.2.1 测评对象确定 ................................................................. .................................................. 66.2.2 测评指标确定 ..................................................................... .............................................. 76.2.3 测试工具接入点确定 ..................................................................... .................................. 86.2.4 测评内容确定 ................................................................. .................................................. 96.2.5 测评指导书开发 ..................................................................... .......................................... 96.2.6 测评方案编制 ................................................................................................................. 10GB/T XXXX – XXXX 6.3 方案编制活动的输出文档 ................................................................. ................................ 116.4 方案编制活动中双方的职责 ..................................................................... ........................ 117 现场测评活动 ................................................................. .................................................... 117.1 现场测评活动的工作流程 ..................................................................... ............................ 117.2 现场测评活动的主要任务 ................................................................. ................................ 127.2.1 现场测评准备 ................................................................. ................................................ 127.2.2 现场测评和结果记录 ..................................................................... ................................ 127.2.3 结果确认和资料归还 ..................................................................... ................................ 147.3 现场测评活动的输出文档 ................................................................. ................................ 157.4 现场测评活动中双方的职责 ..................................................................... ........................ 158 分析与报告编制活动 ..................................................................... .................................... 168.1 分析与报告编制活动的工作流程 ..................................................................... ................ 168.2 分析与报告编制活动的主要任务 ................................................................. .................... 168.2.1 单项测评结果判定 ................................................................. ........................................ 168.2.2 单元测评结果判定 ..................................................................... .................................... 178.2.3 整体测评 ..................................................................... .................................................... 188.2.4 风险分析 ................................................................. ........................................................ 188.2.5 等级测评结论形成 ..................................................................... .................................... 198.2.6 测评报告编制 ................................................................. ................................................ 198.3 分析与报告编制活动的输出文档 ..................................................................... ................ 208.4 分析与报告编制活动中双方的职责 ..................................................................... ............ 20附录A .................................................................. ........................................................................ .... 22附录B .................................................................. ........................................................................ .... 24B.1 测评对象确定原则和方法 ................................................................. ................................ 24B.2 具体确定方法说明 ................................................................. ............................................ 24B.2.1 第一级信息系统 ..................................................................... ........................................ 24B.2.2第二级信息系统 ..................................................................... ........................................25B.2.3 第三级信息系统 ................................................................. ............................................ 25B.2.4 第四级信息系统 ..................................................................... ........................................ 26附录C .................................................................. ........................................................................ .... 27C.1 依据标准遵循原则 ................................................................. ........................................ 27C.2 恰当选取保证强度 ..................................................................... .................................... 27C.3 规范行为规避风险 ..................................................................... .................................... 27附录D .................................................................. ........................................................................ .... 27D.1 测评方案编制示例 ................................................................. ............................................ 27GB/T XXXX – XXXX III D.1.1 被测系统描述 ................................................................. ................................................ 27D.1.2 测评对象 ..................................................................... ....................................................28D.1.3 测评指标 ................................................................. ........................................................ 30D.1.4 测评工具和接入点 ..................................................................... ....................................31D.1.5 测评内容 ................................................................. ........................................................ 32D.1.6 测评指导书 ..................................................................... ................................................35D.2 测评报告编制示例 ................................................................. ............................................ 38D.2.1 整体测评 ................................................................. ........................................................ 38D.2.2 整改建议 ..................................................................... . (40)参考文献 ................................................................. ........................................................................42GB/T XXXX – XXXX 前言略 GB/T XXXX – XXXX V 引言依据《中华人民共和国计算机信息系统安全保护条例》国务院147号令、《国家信息化领导小组关于加强信息安全保障工作的意见》中办发200327号、《关于信息安全等级保护工作的实施意见》公通字200466号和《信息安全等级保护管理办法》公通字200743号制定本标准。
(整理)CISP资质
信息安全专业人员注册指南中国信息安全测评中心二00八年八月目录0 引言 (1)1 能力要求 (1)2 注册人员范围 (1)3 注册信息安全专业人员道德准则 (2)4 注册程序 (3)5 培训 (4)6 考试 (4)7 申请注册 (5)8 经历审核 (7)9 评估、注册与公布 (7)9.1评估 (7)9.2注册与公布 (7)10 注册维持 (8)11 专业发展 (10)12 处罚 (11)13 争议、投诉与申诉 (12)14 注册人员档案 (12)15 有关费用 (12)0 引言中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。
对信息安全服务和人员的资质进行审核与评价。
中国信息安全测评中心的英文名称为：China Information Technology Security Evaluation Center，简称：CNITSEC。
中国信息安全测评中心始建于1997年，1998年以“中国互联网络安全产品测评认证中心”的名称试运行。
同年经国家技术监督局授权为“中国国家信息安全测评认证中心”。
2001年，中央机构编制委员会将其正式定名为“中国信息安全产品测评认证中心”，并批准了相应的职能任务和机构编制。
2007年，经中央批准，增加漏洞分析和风险评估职能，更名为“中国信息安全测评中心”，成为国家信息安全专控队伍。
(以下简称中心)“注册信息安全专业人员”，英文为Certified Information Security Professional (简称CISP)，根据实际岗位工作需要，CISP分为三类,分别是“注册信息安全工程师”,英文为Certified Information Security Engineer（简称CISE）; “注册信息安全管理人员”，英文为Certified Information Security Officer(简称CISO)，“注册信息安全审核员”英文为Certified Information Security Auditor(简称CISA)。
CISP课程安排
CISP0203
访问控制与审计监控
访问控制模型；访问控制技术；审计和监控技术
CISP0210
软件安全开发
软件安全开发概况；软件安全开发的关键阶段
第七天
CISP0301
信息安全管理体系
信息安全管理基本概念；信息安全管理体系建设
CISP0302
信息安全风险管理
风险管理工作内容；信息安全风险评估实践
CISP0207
系统应用安全
数据库基础知识及安全机制/数据库管理系统安全管理/中间件安全；web服务基础、web浏览器与服务安全、电子邮件安全/FTP安全、常用软件安全
第五天
CISP0208
安全漏洞及恶意代码
恶意代码基本概念及原理、防御技术；信息安全漏洞/安全攻防基础
CISP0209
安全ห้องสมุดไป่ตู้防实践
目标信息收集/密码破解原理与实践；缓存溢出原理与实践；电子欺骗攻击原理与实例；拒绝服务攻击原理与实例；网页脚本漏洞原理与实例；计算机取证
CISP0502
信息安全标准介绍
安全标准化概述；信息安全管理标准ISMS/信息安全评估标准CC；等级保护标准
考试
100道单项选择题，两小时
CISP0202
密码学应用
VPN技术；PKI/CA系统
第三天
CISP0204
网络协议及架构安全
TCP/IP协议安全；无线安全/移动通信安全；网络架构安全
CISP0205
网络安全设备
防火墙技术；入侵检测技术；其他网络安全技术
第四天
CISP0206
操作系统安全
操作系统基础/安全机制；Unix安全实践；Windows安全实践
附件2：
CISP信息安全标准与法律法规
CISP 信息安全标准与法律法规介绍CISP（China Information Security Evaluation Standard）是由中国信息安全测评中心（CISE）制订的信息安全测评标准。
CISP分为5个等级，分别是CISP-1、CISP-2、CISP-3、CISP-4和CISP-5，其中CISP-5是最高等级。
CISP主要用于评估企业的信息安全水平，并根据评估结果给出相应的建议和改进措施。
除了CISP标准，中国还有其他一些相关的信息安全标准和法律法规。
CISP信息安全标准CISP-1CISP-1是最低安全等级，适用于对信息安全要求不高的小型企业。
CISP-1要求企业建立基本的信息安全管理制度，确保开展信息处理活动的合法性、正确性和安全性。
此外，CISP-1还要求企业对重要的信息资产进行分类和保护，并建立基本的安全防护措施，如防火墙、反病毒软件等。
CISP-2CISP-2适用于对信息安全要求较高的中小型企业。
CISP-2包括CISP-1的所有要求，并增加了一些额外要求，如完善的安全管理制度、信息安全培训和考核、网络安全事件的应急处理等。
CISP-3CISP-3适用于对信息安全要求较高的大型企业和政府机构。
CISP-3包括CISP-2的所有要求，并增加了一些更高级别的安全措施，如网络边界控制、网络入侵检测、流量监控等。
CISP-4CISP-4适用于对信息安全要求非常高的特定行业和组织，如金融机构、国家机密单位等。
CISP-4包括CISP-3的所有要求，并增加了一些更严格的安全措施，如网络隔离、异地备份、安全审计等。
CISP-5CISP-5是最高等级，适用于对信息安全要求极高的行业和组织，如核电站、军事领域等。
CISP-5包括CISP-4的所有要求，并增加了更加高级别的安全措施，如身份认证、权限控制、加密等。
法律法规《网络安全法》《网络安全法》是中国首部全面、系统的网络安全立法，于2016年11月7日正式施行。
计算机信息系统安全专用产品销售许可证目录(2015年8月)
智臣科技安全隔离与信息交换系统 合众请求服务系统 新模式图档卫士软件 兆物无线接入场所前端系统 ASEC运维安全管理系统 百米路由器3 蓝盾运维安全管理及审计系统 捷骅终端安全与数据保护系统软件 统一防护与安全管理系统 中网网闸 阳光无线安全管理系统 CA安全认证系统 商用智能路由 爱思网安绿色网景 网络督察 新网程无线上网接入管理系统 通元网页防篡改系统 天融信安全隔离与单向导入系统 天融信网站监测与自动修复系统 网御网络审计系统 网御网络审计系统 小云无线上网安全管理系统 云坚万盾运维安全审计系统 飕飕无线 公共场所无线上网管理前端 睿峰网络通讯安全审计 科盾打印复印和刻录安全监控与审计系统 科盾打印安全监控与审计系统（单机版） 天玥网络安全审计系统 天玥网络安全审计系统 竹云身份管理与访问控制平台 合众文件访问控制管理系统 浪潮安全应用交付系统 Logbase 日志管理综合审计系统 金翼护航 昂楷审计系统 宝利九章网络安全审计分析系统 亿邮邮件网关系统 连乐无线 无线上网场所专用安全无线路由器 瑞星网络安全预警系统 江民网络版杀毒软件（V16.0） 杀毒云平台V2.4.0 江民防毒墙KVG15 安天PTD威胁检测系统V6.0 瑞星虚拟化系统安全软件
许可证号
XKC41090 XKC41089 XKC41254 XKC41255 XKC41256 XKC41257 XKC41258 XKC41259 XKC41260 XKC41261 XKC41262 XKC34569 XKC34570 XKC34571 XKC34572 XKC34573 XKC34574 XKC34575 XKC34576 XKC34577 XKC34578 XKC34579 XKC34580 XKC71734 XKC71735 XKC71736 XKC71737 XKC71738 XKC71739 XKC71740 XKC71741 XKC71742 XKC70490 XKC70491 XKC70492 XKC38345 XKC38346 XKC38347 XKC38348 XKC38349 XKC38350 XKC38351 XKC38352 XKC38353 XKC38354 XKC38355 XKC38356 XKC38357 XKC38358 XKC38359 XKC38360 XKC38361 XKC4 XKC38365 XKC38366 XKC38367 XKC38368 XKC38369 XKC38370 XKC38371 XKC38372 XKC38373 XKC38374 XKC38375 XKC38376 XKC38377 XKC38378 XKC38379 XKC37291 XKC37356 XKC38380 XKC38381 XKC38382 XKC38383 XKC38384 XKC38385 XKC38386 XKC38387 XKC38388 XKC38389 XKC38390 XKC38391 XKC38392 XKC38393 XKC38394 XKC38395 XKC38396 XKC38397 XKC38398 XKC38399 XKC38400 XKA11039 XKA11029 XKA11030 XKA11031 XKA11032 XKA11033
信息安全产品实施政府采购的相关政策要求
信息安全产品实施政府采购的相关政策要求目录1. 相关政策文件及通知 (2)1.1 福建省财政厅通知： (2)1.2 （财库〔2010〕48号）主要内容： (2)1.3 《关于调整信息安全产品强制性认证实施要求的公告》（2009年第33号）文件重点内容： (3)2. 信息安全等级保护法规： (3)3. 防火墙产品ISCCC认证级别与等级保护要求对比： (4)3.1 信息安全等级保护技术要求： (4)3.2 防火墙ISCCC认证技术要求： (5)3.3 技术要求对比结论 (6)4. 经常接触产品的ISCCC认证情况： (7)5. 目前获得ISCCC认证的产品名录： (14)1. 相关政策文件及通知1.1 福建省财政厅通知：省直各单位，各设区市财政局、信息产业主管部门、质监局：根据《中华人民共和国政府采购法》，为进一步贯彻落实质检总局、财政部、认监委《关于调整信息安全产品强制性认证实施要求的公告》（2009年第33号）要求，规范政府采购信息安全产品行为，现将《财政部、工业和信息化部、质检总局、认监委关于信息安全产品实施政府采购的通知》（财库〔2010〕48号）转发给你们，请认真遵照执行。
二0一0年五月十九日1.2 （财库〔2010〕48号）主要内容：一、各级国家机关、事业单位和团体组织(以下统称采购人)使用财政性资金采购信息安全产品的，应当采购经国家认证的信息安全产品。
二、在政府采购活动中，采购人或其委托的采购代理机构按照政府采购法的规定一在政府采购招标文件(包括谈判文件、询价文件)中应当载明对产品获得信息安全认证的要求，并要求产品供应商提供由中国信息安全认证中心按国家标准认证颁发的有效认证证书。
三、对采购人或其委托的采购代理机构未按上述要求采购的，有关部门要按照有关法律、法规和规章予以处理，财政部门视情况可以拒付采购资金。
1.3 《关于调整信息安全产品强制性认证实施要求的公告》（2009年第33号）文件重点内容：根据《关于调整信息安全产品强制性认证实施要求的公告》（2009年第33号）规定，在政府采购法规定范围内实行强行认证，未获得强制性认证证书和未加施中国强制性认证标志的，不得进入政府采购领域。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
13
信息安全发展阶段
通信 COMSEC （电报\电话）
COMPUSEC
通信安全
计算机
计算机安全
信息系统安全
INFOSEC
信息安全保障
网络空间安全/信息安全保障
网络
IA
网络化社会 CS/IA
14
解决传输数据安全
斯巴达人的智慧：公元前500年，斯巴达人把一条 羊皮螺旋形地缠在一个圆柱形棒上写数据 现代人的智慧：20世纪，40年代-70年代通过密码 技术解决通信保密，内容篡改
从通信安全（COMSEC）-〉计算机安全（COMPUSEC）-〉信息 系统安全（INFOSEC）-〉信息安全保障（IA） -〉网络空间 安全/信息安全保障（CS/IA）。
22
网络空间安全/信息安全保障
2008年1月，布什政府发布了国家网络安全综合倡议（ CNCI），号称网络安全“曼哈顿项目”，提出威慑概念， 其中包括爱因斯坦计划、情报对抗、供应链安全、超越未 来（“Leap-Ahead”）技术战略 2009年5月29日发布了《网络空间政策评估：确保信息和 通讯系统的可靠性和韧性》报告 2009年6月25日，英国推出了首份“网络安全战略”，并 将其作为同时推出的新版《国家安全战略》的核心内容 2009年6月，美国成立网络战司令部 12月22日，奥巴马任命网络安全专家担任“网络沙皇” 2011年5月，美国发布《网络空间国际战略》，明确了针 对网络攻击的指导原则 …
核心思想：
• 综合通信安全和计算机安全安全 • 重点在于保护比“数据”更精炼的“信息”，确保信息在存储 、处理和传输过程中免受偶然或恶意的非法泄密、转移或破坏 。
安全威胁：网络入侵、病毒破坏、信息对抗等 安全措施：防火墙、防病毒、漏洞扫描、入侵检测、PKI、 VPN等
18
网络化社会
新世纪信息技术应用于人类社会的方方面面
9
内在复杂-使用
10
外因—人为的威胁
国家 安全 威胁 信息战士 情报机构 恐怖分子 共同 商业间谍 威胁 犯罪团伙 社会型黑客 娱乐型黑客 掠夺竞争优势，恐吓 施行报复，实现经济目的， 破坏制度 攫取金钱，恐吓，挑战，获取 声望 以吓人为乐，喜欢挑战 减小国家决策空间、 战略优势， 制造混乱，进行目标破坏 搜集政治、军事，经济信息 破坏公共秩序，制造混乱，发 动政变
信息安全的范畴
信息技术问题——技术系统的安全问题 组织管理问题——人+技术系统+组织内部环境 社会问题——法制、舆论 国家安全问题——信息战、虚拟空间
5
信息安全问题产生根源
因为有病毒吗？
• 因为有漏洞吗？
这些都是原因， 但没有说到根源
• 因为有黑客吗？
6
信息安全问题产生根源 内因：信息系统自身存在脆弱性
通过传统的静态安全技术和方法提高 网络的防护能力，主要包括：
• 访问控制技术
–ACL –Firewall
2
• 信息加密技术 • 身份认证技术
–一次性口令 –X.509
• ……
34
P2DR的理解 P2 R： Detection 检测
利用检测工具，监视、分析、审计网络 活动，了解判断网络系统的安全状态。 使安全防护从被动防护演进到主动防御 ，是整个模型动态性的体现。 主要方法包括：
信息系统安全 保障概念与模型 知识体 知识域
知识域：信息安全保障背景
知识子域：信息安全内涵和外延
理解信息安全基本概念，理解信息安全基本属性： 保密性、完整性和可用性 理解信息安全的特征与范畴
知识子域：信息安全问题根源
理解信息安全问题产生的内因是信息系统自身存在 脆弱性 理解信息安全问题产生的外因是信息系统面临着众 多威胁
过程复杂 结构复杂 应用复杂
外因：威胁与破坏
人为和环境
7
内在复杂-过程
系统理论：在程序与数据上存在“不确定性” 设计：从设计的角度看，在设计时考虑的优先级中安全性 相对于易用性、代码大小、执行程度等因素被放在次要的 位置 实现：由于人性的弱点和程序设计方法学的不完善，软件 总是存在BUG。 使用、运行：人为的无意失误、人为的恶意攻击
• 实时监控 • 检测 • 报警
D
35
P2DR的理解 P2D ： Response 反应
在检测到安全漏洞和安全事件时，通过及 时的响应措施将网络系统的安全性调整到 风险最低的状态。 评估系统受到的危害与损失，恢复系统功 能和数据，启动备份系统等。
23
信息安全保障是一种立体保障
24
知识域：信息安全保障概念与模型
知识子域：信息安全保障
理解信息安全保障的概念 理解信息安全保障与信息安全、信息系统安全的区 别
25
信息安全保障定义
防止信息泄露、修改和破坏 检测入侵行为，计划和部署针对入侵行为的防御 措施 采用安全措施和容错机制在遭受攻击的情况下保 证机密性、私密性、完整性、抗抵赖性、真实性 、可用性和可靠性 修复信息和信息系统所遭受的破坏
32
P2DR的基本原理
P2DR：Policy 策略
模型的核心，所有的防护、检测、响应都是依据安 全策略实施的。 策略体系的建立包括安全策略的制定、评估与执行 等。 策略包括：
• • • • • 访问控制策略 加密通信策略 身份认证策略 备份恢复策略 ……
33
P2DR的理解 P DR： Protection 防护
局部 威胁
11
外因—自然威胁
12
知识域：信息安全保障背景
知识子域：信息技术与信息安全发展阶段
了解通信、计算机、网络和网络化社会等阶段信息 技术的发展概况 了解信息技术和网络对经济发展、社会稳定及国家 安全等方面的影响 了解通信安全、计算机安全、信息系统安全和信息 安全保障等阶段信息安全的发展概况， 了解各个阶段信息安全面临的主要威胁和防护措施
28
安全模型的概念
什么是信息安全模型
通过建模的思想来解决网络安全管理问题，有效 抵御外部攻击，保障网络安全 安全模型用于精确和形式地描述信息系统的安全 特征，解释系统安全相关行为。
为什么需要安全模型
能准确地描述安全的重要方面与系统行为的关系 。 能提高对成功实现关键安全需求的理解层次。 从中开发出一套安全性评估准则，和关键的描述 变量
21
信息安全保障发展历史
第一次定义：在1996年美国国防部DoD指令5-3600.1（ DoDD 5-3600.1）中，美国信息安全界第一次给出了信息 安全保障的标准化定义 现在：信息安全保障的概念已逐渐被全世界信息安全领域 所接受。 中国：中办发27号文《国家信息化领导小组关于加强信息 安全保障工作的意见》，是信息安全保障工作的纲领性文 件 信息安全保障发展历史
安全威胁：黑客、恐怖分子、信息战、自然灾难、电力中断 等 安全措施：技术安全保障体系、安全管理体系、人员意识/ 培训/教育、认证和认可
20
CS/IA：Cyber Security/Information Assurance
2009年，在美国带动下，世界各国信息安全政策、技术和实践 等发生重大变革……
军事 经济 文化 ……
现在人们意识到：技术很重要，但技术不是一切 ；信息系统很重要，只有服务于组织业务使命才 有意义
19
信息安全保障
IA：Information Assurance 今天，将来……
核心思想：
• 信息安全从技术扩展到管理，从静态扩展到动态 • 通过技术、管理和工程等措施的综合融合，形成对信息、信息 系统乃至业务使命的保障。
共识：网络安全问题上升到国家安全的重要程度
核心思想：从传统防御的信息保障（IA），发展到“威慑”为主
的防御、攻击和情报三位一体的信息保障/网络安全（IA/CS）的 网空安全 • 网络防御-Defense（运维） • 网络攻击-Offense（威慑） • 网络利用-Exploitation（情报）
信息安全保障
版本：3.0 发布日期：2014-12-1 生效日期：2015-1-1
培训机构名称 讲师姓名
课程内容
信息安全内涵与外延 信息安全 保障背景 信息安全问题根源 信息技术与信息安全发展阶段 信息安全保障 基础 信息安全保障 概念与模型 信息安全保障 信息安全保障相关模型 信息系统安全保障 信息系统安全保障模型 知识子域
Reaction
系统审计、分析 – 入侵检测 – 定时响应（警告、拒绝服务）
文件、数据安全 系统 的第 一道 防线 系统 的第 二道 防线
文件、数据安全
protection
系 统 备 份 安 全 措 施
应用服务层安全
应用服务层安全
系统服务层安全 防止 远程 攻击 防止 内部 权限 提升
系统服务层安全
核心思想：
• 预防、检测和减小计算机系统（包括软件和硬件）用户（授权 和未授权用户）执行的未授权活动所造成的后果。 • 主要关注于数据处理和存储时的数据保护 。
安全威胁：非法访问、恶意代码、脆弱口令等 安全措施：通过操作系统的访问控制技术来防止非授权用户 的访问
17
信息系统安全
INFOSEC：Information Security 20世纪，90年代后
29
基于时间的PDR模型
思想：承认漏洞，正视威胁，适度防护，加强检测， 落实反应，建立威慑 出发点：任何防护措施都是基于时间的，是可以被攻 破的 核心与本质：给出攻防时间表
固定防守、测试攻击时间； 固定攻击手法，测试防守时间
缺点：难于适应网络安全环境的快速变化
30
基于PDR的安全架构
27
知识域：信息安全保障概念与模型