<尚大教育,教育至上,人才为大:sdedu.cc>
信息系统安全测评的基本原则
(1)标准性原则
信息系统的安全风险评估,应按照GB/T 20984-2007 中规定的评估流程进行实施,包括各阶段性的评估工作。
(2)关键业务原则
信息安全风险评估应以被评估组织的关键业务作为评估工作的核心,把涉及这些业务的相关网络与系统,包括基础网络、业务网络、应用基础平台、业务应用平台等作为评估的重点。
(3)可控性原则
①服务可控性
评估方应事先在评佑工作沟通会议中向用户介绍评估服务流程,明确需要得到被评估组织协作的工作内容,确保安全评估服务工作的顺利进行。
②人员与信息可控性
所有参与评估的人员应签署保密协议,以保证项目信息的安全:应对工作过程数据和结果数据严格管理,未经授权不得泄露给任何单位和个人。
③过程可控性
应按照项目管理要求,成立项目实施团队,项目组长负责制,达到项目过程的可控。
④工具可控性
安全评估人员所使用的评估工具应该事先通告用户,并在项目实施前获得用户的许可,包括产品本身、测试策略等。
<尚大教育,教育至上,人才为大:sdedu.cc>