信息系统等级保护测评指标 .pdfVIP

信息系统等级保护测评指标

信息系统等级保护（InformationSystemSecurityEvaluation

Criteria，简称ISSEC）是由中国国家信息安全测评中心制定的一套信息

系统安全评估标准，旨在对各级信息系统进行安全评估，指导信息系统的

构建和管理。ISSEC体系包括五个等级，分别为一级（C1）、二级（C2）、

三级（B1）、四级（B2）和五级（A1），每个等级都有特定的评估指标。

以下是ISSEC的测评指标：

1.安全策略和管理

-核心安全价值观的定义和落地

-安全管理制度、安全责任制和安全宣导制度的建立

-安全标准和规范的制定和实施

-可信计算和可信网络的建设和管理

2.安全风险管理

-安全风险评估和风险管理策略的制定

-安全需求分析和安全架构设计

-安全控制措施的选择、实施和测试

-安全事件响应和事故处置能力的建立

3.认证和身份鉴别

-用户身份鉴别和访问控制的实施

-身份认证、会话管理和权限管理的支持

-安全认证技术的选择和应用

-密码词典管理、密码策略和密码保护措施的实施

4.数据和应用安全

-数据分类和安全等级保护措施的实施

-信息系统应用程序开发和测试的安全要求

-数据备份、恢复和业务连续性计划的建立

-存储和传输的数据加密和防护控制

5.网络和设备安全

-网络拓扑设计和访问边界的安全保护

-网络设备配置和访问控制的实施

-网络安全监测、入侵检测和防御的建立

-网络通信的加密和虚拟专用网络的建设

6.物理安全和环境保护

-机房、数据中心和服务器的物理安全保障

-硬件设备和存储介质的丢失和破坏防护

-电源供应和配电系统的可靠性和安全性

-火灾保护、环境监测和灾难恢复计划的建立

7.信息安全教育和培训

-员工、用户和管理人员的信息安全意识教育

-安全培训的内容和方法的制定

-组织和开展安全演练和应急预案的训练

-信息安全文化建设和社会责任教育

以上只是ISSEC测评指标的一部分，整个体系涵盖了信息系统在不同

方面的安全保护要求。通过对这些指标的评估和评定，可以帮助组织构建

更加安全可靠的信息系统，提升信息系统的必威体育官网网址性、完整性和可用性，从

而更好地保护信息资产的安全。