信息安全保障指标体系及评价方法第1部分概念和模型

ICS

35.040GB/T XXXXX.L801—XXXXOB中华人民共和I家标准信息安全技术信息安全保障指标体系及评价方法第部分概念和模型1Information securitytechnology-Indicator system of information security assuranceand evaluationmethods-Part1Concepts andmodel（在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上）（送审稿）2013-07XXXX-XX-XX发布XXXX-XX-XX实施中华人民共和国国家质量监督检验检疫总局国家标准化管理委员会信息对抗能力主要评价信息安全保障体系在运行中应对网络战等大规模攻击的综合能力3安全态势指标安全态势指标由保密性、完整性、可用性、真实性、可控性五方面指标组成•保密性指标保密性指信息不能被未授权的个人、实体或者过程利用或知悉的特性，主要评价信息安全保障体系对保密性的保障状态•完整性指标完整性指信息未经授权不能被修改的特性，主要评价信息安全保障体系对完整性的保障状态•可用性指标可用性指能够保证在需要时被授权用户使用的特性，主要评价信息安全保障体系对可用性的保障状态•真实性指标真实性指信息内容的来源真实可靠的特性，主要评价信息安全保障体系对真实性的保障状态•可控性指标可控性指对信息的传播方式以及对访问其信息资源的人或实体的使用方式进行有效的控制的特性,主要评价信息安全保障体系对可控性的保障状态参考文献

[1]ISO/IEC15408-1:2009Information technology-Security techniques-Evaluation criteriafor ITsecurity-Part1Jntroduction andgeneral model

[2]ISO/IEC27004:2009Informaition technology-security techniques-Information securitymanagement-Measuremant

[3]NIST SpecialPublication800-37:Guide forApplying theRisk Management

[4]（联邦信息安全管理法案）Federal InformationSecurity ManagementAct

[5]National SecurityAgency.National InformationSystems SecurityGlossary.NSTISSI4009FortMeade,MD.Sept.

2000.公通字号《信息安全等级保护管理办法》

[6]

[2007]43软件工程软件测量过程

[7]GB/T20917-2007信息技术安全技术信息安全保障框架第部分综述和框架

[8]GB/T

15443.11质量管理体系要求（）

[9]GB/T19001-2008ISO9001:2008信息安全技术信息系统安全管理测评

[10]G/VT713-2007信息安全技术信息系统安全等级保护基本要求

[11]GB/T22239-2008信息技术安全技术信息技术安全性评估准则

[12]GB/T18336-2001信息技术安全技术信息技术安全性评估准则第部分简介和一般模型

[13]GB/T

18336.1-20081

[14]钱学森著，创建系统学（新世纪版）上海交通大学出版社，2007年1月

[15]赵战生，杜虹，吕述望，信息安全保密教程，合肥中国科学技术大学出版社，2006年

[16]沈昌祥，信息安全工程导论电子工业出版社，

2003.7

[17]吴世忠，陈晓桦，李鹤田，李斌等，信息安全测评认证一理论与实际合肥中国科学技术大学出版社，2006

[18]冯登国，蔡吉人，网络安全与密码学贵州科学技术出版社，

2004.5

[19]宁家骏，信息内容安全贵州科技出版社，

2004.5目次前言II弓I言HI1范围12规范性引用文件13术语和定义14信息安全保障评价的概念25信息安全保障评价的相关要素36指标框架设计

46.1指标框架

46.2指标框架描述5参考文献7本部分按照GB/T L厂2009给出的规则起草本部分由全国信息安全标准化技术委员会SAC/TC260提出并归口本部分起草单位国家信息中心、国家新闻出版广电总局监管中心、中国电信集团、中国移动通信集团、中国信息安全测评中心、大连理工大学、中国民航大学、江苏省信息中心、中国电力科学研究院等本部分主要起草人何德全王长胜吕欣王宪磊郭艳卿杨月圆吕汉阳…等目次前言II弓I言HI1范围12规范性引用文件13术语和定义14信息安全保障评价的概念25信息安全保障评价的相关要素36指标框架设计

46.1指标框架

46.2指标框架描述5参考文献7本部分按照GB/T L厂2009给出的规则起草本部分由全国信息安全标准化技术委员会SAC/TC260提出并归口本部分起草单位国家信息中心、国家新闻出版广电总局监管中心、中国电信集团、中国移动通信集团、中国信息安全测评中心、大连理工大学、中国民航大学、江苏省信息中心、中国电力科学研究院等本部分主要起草人何德全王长胜吕欣王宪磊郭艳卿杨月圆吕汉阳…等本标准依据国家对信息安全保障工作的相关要求，提出了信息安全保障评价的概念和模型、指标体系及实施指南本标准由3个部分组成，各部分主要内容及关系为第1部分概述了本标准各部分通用的基础性概念，给出了信息安全保障指标体系设计的一般模型和指标框架;第2部分在第1部分的指标框架下，给出了一套适用于具体信息安全保障评价工作的指标体系；第3部分给出了信息安全保障评价的工作流程、方法工具和具体实施要求本标准主耍用于辅助政府管理层的信息安全态势判断和宏观决策；支撑各基础信息网络和重耍信息系统运营单位及管理部门的信息安全管理工作；规范评价机构和评价人员使用该标准开展的相关评价活动信息安全技术信息安全保障指标体系及评价方法第部分概念和模型11范围GB/T XXXXX.1界定了信息安全保障评价的基本概念，确立了信息安全保障评价的一般模型和总体指标框架本文件适用于国家宏观层面信息安全保障评价工作2规范性引用文件下列文件对于本文件的应用是必不可少的凡是注日期的引用文件，仅注日期的版本适用于本文件凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件GB/T25069-2010信息安全技术术语GB/Z信息安全技术信息安全事件分类分级指南信息安全技术信息系统灾难恢复规范信息20986-2007GB/T安全技术信息安全风险评估规范术语工作计算机应用词汇3术语和定义20988-2007GB/T20984-2007GB/T25069-

2010、GB/Z20986-

2007、GB/T20988-

2007、GB/T20984-2007GB/TGB/T17532-200517532-2005中界定的以及下列术语和定义适用于本文件

3.1信息安全保障i nformat i onsecur ity assurance对信息和信息系统的安全属性及功能、效率进行保障的一系列适当行为或过程信息安全保障体系systemofi nformati onsecur i ty assurance围绕信息安全保障对象形成的对信息和信息系统的安全目标及功能、效率进行保障的一系列适当行为或过程相互作用而成的集合信息安全保障评价eva Iuat i on ofi nformati onsecur i ty assurance收集信息安全保障证据，并获得信息安全保障值的过程和途径信息安全保障措施informationsecur i ty assurance messurement为达到信息安全目的所采用的保障手段的集合4言息安全保障能力i nformati onsecur ityassurancecapab i I ity被保障实体安全防御、响应和恢复等特性的体现信息安全保障效果i nformati onsecurityassuranceeffects被保障实体的信息安全保障目标和属性的实现程度保密性conf ident ia Iity使信息不泄露给未经授权的个人、实体、进程，或不被其读取的特性完整性integrity使数据在未授权情况下，不被个人、实体、进程更改或破坏的特性可用性ava iI abiIity已授权实体一旦需要就可访问和使用数据、网络和系统资源的特性

3.10真实性authenticity能够核实和信赖一个合法的传输、信息或信息源的可认证性的特性

3.11可控性control lability对未授权实体加以有效控制的特性，以保障所属设备、数据和网络系统的合法使用

3.12基础信息网络fundamenta Ii nformationnetworks承担国家公共通信、广播电视传输的电信网、互联网、广播电视网等信息网络

3.13重要信息系统critical information systems关系国家安全、经济命脉、社会稳定的信息系统4信息安全保障评价的概念信息安全保障评价围绕信息安全保障体系的三个维度进行，即保障措施、保障能力和保障效果（如图1所示）图1信息安全保障评价的概念模型其中——保障措施是基于利益相关方的保障需求和信息安全保障体系的建设要求设计的一系列战略、管理、技术等保障手段——保障能力是保障措施与保障对象以及外部环境等相互作用形成的，包括安全防护能力、隐患发现能力、应急处置能力和信息对抗能力等——保障效果是保障能力作用于保障对象后产生的满足利益相关方保障需求的程度，体现在信息安全保障上就是对保密性、完整性、可用性的满足程度信息安全保障效果为信息安全保障体系的持续改进提供信息信息安全保障要求具有正确性和有效性两大属性，保障措施是实现保障正确性的途径，保障能力是从防御过程的视角对保障措施运行有效性的体现，保障效果是从保障对象安全目标实现程度的视角对保障措施运行有效性的体现利益相关方是指对保障对象的安全负有职责的机构或部门，一般对保障对象负有主管或运营的责任5信息安全保障评价的相关要素图2描述了信息安全保障评价的相关要素图2信息安全保障评价的相关要素信息安全保障评价是基于一定的评价目标，针对特定的评价对象，使用评价指标和评价算法对评价对象进行测算，并结合专家知识对获得的测算结果进行研判后，得出科学评价结果的一系列过程信息安全保障评价目标是评价信息安全保障措施的正确性，以及评价保障能力和保障效果的有效性，以帮助持续改进信息安全保障评价对象是信息安全保障体系信息安全保障体系是对信息和信息系统的安全目标及功能、效率进行保障的一系列行为或过程的有序集合评价指标是针对评价对象的特点及其信息安全保障要求设计的衡量信息安全保障水平、能力和态势的准则评价指标的一般模型如图3所示，是通过对信息安全保障评价对象的一组关键属性进行度量,得到量化的指标值，形成评价结果，实现信息安全保障评价的目的图3指标提炼的一般模型评价算法是一系列数据处理方法，包括指标数据标准化方法、指标权重分配方法、各级指标综合方法等专家知识作为保证评价过程科学性的要素，主要参与对评价结果的研判6指标框架设计

6.1指标框架为了评价信息安全保障措施的实现情况、信息安全保障能力，以及信息安全保障效果的实现程度三方面内容，设计了如图4所示的指标框架，其中a）建设情况指标用于刻画信息安全保障措施的实现情况，涵盖战略、管理、技术等信息安全保障措施方面的指标；b）运行能力指标用于刻画信息安全保障能力，涵盖安全防护、隐患发现、应急处置、信息对抗等信息安全保障能力方面的指标；c）安全态势指标用于刻画信息安全保障效果，涵盖保密性、完整性、可用性、真实性、可控性等信息安全保障效果方面的指标建设情况指标运行能力指标安全态势指标战管技安隐应信略理术全患急息保真可保保保防发处对密实控障障障护现置抗性性性措措措能能能能指指指施施施力力力力标标标指指指指指指指标标标标标标标信息安全保障指标图4信息安全保障指标框架

6.2指标框架描述

（1）建设情况指标建设情况指标由战略保障措施、管理保障措施和技术保障措施三方面指标组成•战略保障措施指标信息安全保障体系中的“战略”是指为了完成信息安全保障的使命、功能、任务等，由国家信息安全主管部门制定的信息安全发展战略、五年规划、中长期发展计划等文件的通称战略保障指数的评价内容包括信息安全战略和规划的制定情况以及实施评估情况等•管理保障措施指标信息安全保障体系中的“管理”是指为了完成信息安全保障的使命、功能、任务等，所采用政策法规、管理方法、管理职责、管理标准的通称管理保障指数的评价内容包括法规标准体系建设情况、组织机构建设情况、人才队伍保障情况、安全意识保障情况、资金投入保证情况等方面•技术保障措施指标信息安全保障体系中的“技术”是指为完成信息安全保障的使命、功能、任务等，所提供的技术基础设施、技术平台和工具等技术保障手段的通称技术保障指数的评价内容包括信息安全关键核心技术和信息安全产业化等方面

（2）运行能力指标运行能力指标由安全防护能力、隐患发现能力、应急处置能力和信息对抗能力四方面指标组成•安全防护能力指标安全防护指数主要评价信息安全保障体系在运行中对信息窃取、信息篡改、系统攻击等破坏行为的防护能力•隐患发现能力指标隐患发现指数主要评价信息安全保障体系在运行中的检测危险、事故、侵害的能力，例如对漏洞的检测能力•应急处置能力指标应急处置指数主要评价信息安全保障体系在运行中应对信息安全事件的能力，包括对信息安全事件的预警和响应能力，以及在出现危险、事故、侵害后的恢复能力•信息对抗能力指标。