標(biāo)準(zhǔn)解讀

GB/T 20274.4-2008是中國關(guān)于信息安全技術(shù)領(lǐng)域的一個(gè)重要標(biāo)準(zhǔn)，專注于信息系統(tǒng)安全保障評(píng)估框架的第四部分——工程保障。這一部分詳細(xì)闡述了在設(shè)計(jì)、實(shí)施、運(yùn)行及維護(hù)信息系統(tǒng)時(shí)，如何確保其安全性的一系列原則、方法和要求。以下是該標(biāo)準(zhǔn)內(nèi)容的詳述：

該標(biāo)準(zhǔn)首先明確了工程保障在信息系統(tǒng)安全中的核心作用，強(qiáng)調(diào)了從工程項(xiàng)目管理的角度出發(fā)，將安全融入信息系統(tǒng)生命周期的每一個(gè)階段，以實(shí)現(xiàn)全面和持續(xù)的安全保障。

1. 范圍與適用性
標(biāo)準(zhǔn)明確了其適用范圍，即適用于各類組織的信息系統(tǒng)工程項(xiàng)目的安全保障工作，包括但不限于政府機(jī)構(gòu)、企業(yè)、以及提供信息技術(shù)服務(wù)的組織。它覆蓋了從信息系統(tǒng)規(guī)劃、需求分析、設(shè)計(jì)、開發(fā)、實(shí)施、運(yùn)維到廢棄的全生命周期過程。

2. 工程保障原則
提出了若干關(guān)鍵原則，如安全需求的早期融入、安全設(shè)計(jì)的一致性與完整性、安全控制措施的有效實(shí)施與驗(yàn)證、以及持續(xù)的安全監(jiān)控與改進(jìn)。這些原則指導(dǎo)著工程實(shí)踐中安全措施的選擇與執(zhí)行。

3. 安全需求管理
強(qiáng)調(diào)了明確和細(xì)化信息系統(tǒng)安全需求的重要性，要求在項(xiàng)目初期通過風(fēng)險(xiǎn)評(píng)估來識(shí)別安全需求，并確保這些需求在整個(gè)項(xiàng)目周期中得到跟蹤與滿足。

4. 安全設(shè)計(jì)與實(shí)施
介紹了如何在信息系統(tǒng)的設(shè)計(jì)階段集成安全控制措施，確保設(shè)計(jì)滿足既定的安全需求。同時(shí)，提供了實(shí)施過程中應(yīng)遵循的最佳實(shí)踐，包括安全配置管理、代碼審查、安全測(cè)試等，以減少漏洞并提高系統(tǒng)的健壯性。

5. 安全運(yùn)維與改進(jìn)
討論了信息系統(tǒng)運(yùn)行期間的安全管理，包括定期的安全審計(jì)、事件響應(yīng)、補(bǔ)丁管理及安全培訓(xùn)等。強(qiáng)調(diào)了持續(xù)監(jiān)控系統(tǒng)安全狀態(tài)的必要性，并基于監(jiān)測(cè)結(jié)果進(jìn)行必要的安全策略調(diào)整和改進(jìn)。

6. 審核與認(rèn)證
提到了在工程保障過程中引入第三方審核和認(rèn)證機(jī)制的價(jià)值，用以獨(dú)立驗(yàn)證安全控制措施的有效性和符合性，增強(qiáng)系統(tǒng)的可信度。


如需獲取更多詳盡信息，請(qǐng)直接參考下方經(jīng)官方授權(quán)發(fā)布的權(quán)威標(biāo)準(zhǔn)文檔。

....

查看全部

  • 現(xiàn)行
  • 正在執(zhí)行有效
  • 2008-07-18 頒布
  • 2008-12-01 實(shí)施
?正版授權(quán)
GB/T 20274.4-2008信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架第4部分：工程保障_第1頁
GB/T 20274.4-2008信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架第4部分：工程保障_第2頁
GB/T 20274.4-2008信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架第4部分：工程保障_第3頁
GB/T 20274.4-2008信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架第4部分：工程保障_第4頁
GB/T 20274.4-2008信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架第4部分：工程保障_第5頁
免費(fèi)預(yù)覽已結(jié)束，剩余47頁可下載查看

下載本文檔

GB/T 20274.4-2008信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架第4部分：工程保障-免費(fèi)下載試讀頁

文檔簡介

犐犆犛３５．０４０

犔８０

中華人民共和國國家標(biāo)準(zhǔn)

犌犅／犜２０２７４．４—２００８

信息安全技術(shù)

信息系統(tǒng)安全保障評(píng)估框架

第４部分：工程保障

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犈狏犪犾狌犪狋犻狅狀犳狉犪犿犲狑狅狉犽犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊狊犲犮狌狉犻狋狔犪狊狊狌狉犪狀犮犲—

犘犪狉狋４：犈狀犵犻狀犲犲狉犻狀犵犪狊狊狌狉犪狀犮犲

２００８０７１８發(fā)布２００８１２０１實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會(huì)

書

犌犅／犜２０２７４．４—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４本部分的結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５信息系統(tǒng)安全工程保障框架!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１信息系統(tǒng)安全工程保障概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．２信息系統(tǒng)安全工程保障控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．３信息系統(tǒng)安全工程能力成熟度級(jí)別!!!!!!!!!!!!!!!!!!!!!!!!!４

６信息安全工程保障控制類結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２安全工程保障控制類結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．３安全工程保障控制子類結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．４安全工程保障控制組件結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

７ＰＲＭ安全工程保障控制類：風(fēng)險(xiǎn)過程!!!!!!!!!!!!!!!!!!!!!!!!!６

７．１風(fēng)險(xiǎn)過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!!６

７．２系統(tǒng)定義（ＰＲＭ＿ＳＤＦ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．３評(píng)估威脅（ＰＲＭ＿ＡＴＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．４評(píng)估脆弱性（ＰＲＭ＿ＡＶＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．５評(píng)估影響（ＰＲＭ＿ＡＩＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．６評(píng)估安全風(fēng)險(xiǎn)（ＰＲＭ＿ＡＳＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

８ＰＥＮ安全工程保障控制類：工程過程!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．１工程過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．２確定安全要求（ＰＥＮ＿ＩＳＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

８．３高層安全設(shè)計(jì)（ＰＥＮ＿ＨＳＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

８．４詳細(xì)安全設(shè)計(jì)（ＰＥＮ＿ＤＳＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

８．５安全工程實(shí)施（ＰＥＮ＿ＳＥＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

８．６提供安全輸入（ＰＥＮ＿ＰＳＩ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

８．７監(jiān)視安全態(tài)勢(shì)（ＰＥＮ＿ＭＳＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

８．８管理安全控制（ＰＥＮ＿ＭＳＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

８．９協(xié)調(diào)安全（ＰＥＮ＿ＣＯＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

９ＰＡＳ安全工程保障控制類：保障過程!!!!!!!!!!!!!!!!!!!!!!!!!３６

９．１保障過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!!３６

９．２驗(yàn)證和確認(rèn)安全（ＰＡＳ＿ＶＶＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

９．３建立保證證據(jù)（ＰＡＳ＿ＥＡＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

１０安全工程保障控制類能力級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

１０．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

１０．２安全工程能力級(jí)別說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

Ⅰ

書

犌犅／犜２０２７４．４—２００８

１０．３信息系統(tǒng)安全工程能力級(jí)別要求!!!!!!!!!!!!!!!!!!!!!!!!!４４

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

圖１安全工程過程生命周期!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

圖２安全工程保障控制類結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

圖３安全工程保障控制子類結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

圖４安全工程保障控制組件結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

圖５風(fēng)險(xiǎn)過程說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

圖６系統(tǒng)定義（ＰＲＭ＿ＳＤＦ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!!７

圖７評(píng)估威脅（ＰＲＭ＿ＡＴＴ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!!８

圖８評(píng)估脆弱性（ＰＲＭ＿ＡＶＬ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!１０

圖９評(píng)估影響（ＰＲＭ＿ＡＩＭ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!１３

圖１０評(píng)估安全風(fēng)險(xiǎn)（ＰＲＭ＿ＡＳＲ）安全工程保障控制子類分解!!!!!!!!!!!!!!!１５

圖１１工程過程安全工程保障控制類介紹!!!!!!!!!!!!!!!!!!!!!!!!１８

圖１２確定安全要求（ＰＥＮ＿ＩＳＲ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!１８

圖１３高層安全設(shè)計(jì)（ＰＥＮ＿ＨＳＤ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２１

圖１４詳細(xì)安全設(shè)計(jì)（ＰＥＮ＿ＤＳＤ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２２

圖１５安全工程實(shí)施（ＰＥＮ＿ＳＥＥ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２４

圖１６提供安全輸入（ＰＥＮ＿ＰＳＩ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!２６

圖１７監(jiān)視安全態(tài)勢(shì)（ＰＥＮ＿ＭＳＰ）安全工程保障控制子類分解!!!!!!!!!!!!!!!２９

圖１８管理安全控制（ＰＥＮ＿ＭＳＣ）安全工程保障控制子類分解!!!!!!!!!!!!!!!３２

圖１９協(xié)調(diào)安全（ＰＥＮ＿ＣＯＳ）安全工程保障控制子類分解!!!!!!!!!!!!!!!!!３５

圖２０保障過程安全工程保障控制類說明!!!!!!!!!!!!!!!!!!!!!!!!３７

圖２１驗(yàn)證和確認(rèn)安全（ＰＡＳ＿ＶＶＳ）安全工程保障控制子類分解!!!!!!!!!!!!!!３７

圖２２建立保證證據(jù)（ＰＡＳ＿ＥＡＥ）安全工程保障控制子類分解!!!!!!!!!!!!!!!３９

圖２３信息系統(tǒng)安全工程能力要求級(jí)別圖!!!!!!!!!!!!!!!!!!!!!!!!４４

表１安全工程生命周期和過程域?qū)?yīng)表!!!!!!!!!!!!!!!!!!!!!!!!!３

Ⅱ

犌犅／犜２０２７４．４—２００８

前言

ＧＢ／Ｔ２０２７４《信息安全技術(shù)信息系統(tǒng)安全保障評(píng)估框架》分為以下四個(gè)部分：

———第１部分：簡介和一般模型

———第２部分：技術(shù)保障

———第３部分：管理保障

———第４部分：工程保障

本部分是ＧＢ／Ｔ２０２７４的第４部分。

本部分由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口。

本部分起草單位：中國信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中心。

本部分主要起草人：吳世忠、王海生、陳曉樺、王貴駟、李守鵬、江常青、彭勇、張利、姚軼嶄、班曉芳、

李靜、王慶、鄒琪、錢偉明、江典盛、陸麗、孫成昊、門雪松、杜宇鴿、楊再山。

Ⅲ

犌犅／犜２０２７４．４—２００８

信息安全技術(shù)

信息系統(tǒng)安全保障評(píng)估框架

第４部分：工程保障

１范圍

ＧＢ／Ｔ２０２７４的本部分建立了信息系統(tǒng)安全工程保障的框

溫馨提示

  • 1. 本站所提供的標(biāo)準(zhǔn)文本僅供個(gè)人學(xué)習(xí)、研究之用，未經(jīng)授權(quán)，嚴(yán)禁復(fù)制、發(fā)行、匯編、翻譯或網(wǎng)絡(luò)傳播等，侵權(quán)必究。
  • 2. 本站所提供的標(biāo)準(zhǔn)均為PDF格式電子版文本（可閱讀打?。驍?shù)字商品的特殊性，一經(jīng)售出，不提供退換貨服務(wù)。
  • 3. 標(biāo)準(zhǔn)文檔要求電子版與印刷版保持一致，所以下載的文檔中可能包含空白頁，非文檔質(zhì)量問題。

評(píng)論

0/150

提交評(píng)論