信息安全测评的科学精神

    怀疑、批判、创新、求实、协作

信息安全测评的科学方法

    信息安全测评工作最主要的方法：

        系统科学/系统工程

    系统还原论

        使用分析、分解的方法和演绎、精确的数学工具，对分解后的最小部件进行定量的刻画，然后又回过头来逐级叠加，形成对系统整体的定量描述。

        缺点：

            学科分割、“只见树木不见森林”

    复杂系统论

        定性分析和定量计算向结合的现代系统科学思想，欧洲的“复杂巨系统理论”、美国的“复杂性理论”、中国的“开发的复杂巨系统理论”。

    系统科学的含义

        从事测评的不是一个人，而是一个团队，对团队的组织和管理要有系统科学方法，以保证测评质量。

        测评对象往往不是一个单一软件或硬件，而是一个复杂、庞大其不断变化的信息系统，本身具有“自组织、自演化”的系统科学特征。

        测评过程中要贯彻“人机合一”的系统科学思想。

信息安全测评的贯标思想

    贯标：

        测评人员在测评活动中严格遵循相关标准的行为。

    贯彻国家有关信息安全测评标准的过程，是体现一名测评工程师“工程规范与艺术创造”完美结合的过程。

    工程规范——国家标准指明了一个信息系统所要达到的各项安全指标，这是测评工作的基线和基准，是最基本的要求。

    艺术创造——信息系统结构各异，工程师需要在有关标准的要求下，精心设计各种测评案例来验证一个信息系统是否达到相应安全标准的创造性过程。

    拟按照金融行业信息安全等级保护测评标准，对客户关键业务系统平台进行定级、备案及符合性测评。

信息安全标准化组织

    标准化组织：

        制定标准规范的权威机构

    国际标准化组织

        ISO（InternationalOrganization for Standardization）国际标准化组织

            主要工作是制定国际标准，协调世界范围内的标准化工作，组织各成员国和技术委员会进行信息交流，以及与其他国际性组织进行合作，共同研究标准化问题。

        IEC 国际电工委员会

            世界上最早的专业国际标准化组织。在信息安全标准方面，IEC成立了涉及电信、电子系统、信息技术和电磁兼容等方面的委员会，并制定相关国际标准

        ITU国际电信联盟

            主要负责研究通信系统安全标准。

        IETF Internet工程任务组

            主要任务是负责互联网相关技术规范的研发和制定。

    国外标准化组织：

        NIST 美国国家标准和技术委员会

            主要标准：NIST SP 800

        BSI 英国标准标准协会

            主要标准：BS7799

    国内标准化组织

        CITS 全国信息技术安全标准化技术委员会

            负责信息和通信安全的通用框架、方法、技术和机制的标准化，归口管理国内、外对应的标准化工作。

            其技术安全标准范围包括：开发的安全结构体系、各种安全信息交换的语义规则、有关的应用程序接口，以及本书所依据的各种安全测评标准。

为何测评

    信息系统面临的风险以及风险有多高将直接影响到这些复杂系统的应用范围和使用寿命。为此各国均出台了一系列相关标准规范，以确保这些信息系统具备同一的安全质量，而测评工程师的首要职责，就是在测评过程中贯彻这些安全标准。

    测评的目的就是要贯彻国家标准规范，保证在规划、设计、建设、运行维护和退役等不同阶段的信息系统满足统一、可靠的安全质量要求。