YD1621-2007 网络与信息安全服务资质评估准则

更新时间：2023-12-18 06:08:54 大小：650K 上传用户：xuzhen1 查看TA发布的资源 标签：信息安全 下载积分：2分评价赚积分（如何评价?）打赏收藏评论(0) 举报

资料介绍

YD1621-2007 网络与信息安全服务资质评估准则范围本标准规定了为电信运营企业提供网络与信息安全服务的组织应具备的网络与信息安全服务资质要求。本标准适用于对为电信运营企业提供网络与信息安全服务的组织进行网络与信息安全服务资质评估，可作为电信运营企业对网络与信息安全服务提供者的选择依据，可以作为国家有关主管部门对网络与信息安全服务提供者进行管理、检查的技术性规范，也可为网络与信息安全服务提供者改进自身能力的指导。 2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注有日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB/T 19000.3-2001质量管理和质量保证标准第3部分：GB/T 19001在计算机软件开发、供应、安装和维护中的使用指南 GB/T 19001-2000质量体系要求 GB/T 19004.2-1994质量管理和质量体系要素第2部分：服务指南 GB/T 19004.4-1994质量管理和质量体系要素第4部分：质量改进指南 ISO/IEC 21827：2002信息技术系统安全工程能力成熟模型 3 术语和缩略语 3.1 术语和定义 GB/T 5271.8-2001中的术语和定义适用于本标准，另外以下术语和定义也适用于本标准。 3.1.1 网络与信息安全服务 Information Security Service网络与信息安全服务是指信息安全工程的设计、实施、测试、运行、维护以及相关的咨询和培训等活动。 3.1.2 网络与信息安全服务提供者 Information Security Service Provider按照一定的合同或协议，为电信运营企业提供网络与信息安全服务的组织，也常称为网络与信息安全服务商。 3.1.3 网络与信息安全服务资质等级Information Security Service Level网络与信息安全服务资质等级是指一个组织提供网络与信息安全服务的综合能力等级，包括法律资格、组织与管理能力、技术能力、人员构成与素质、规模与资产、项目管理能力、安全工程过程能力等多个方面。 3.1.4 IT安全策略IT Security Policy 网络与信息安全服务的类型网络与信息安全服务的类型主要指一个组织按照一定的合同或协议，为另一个组织所履行的安全服务的具体形式，包括： a）安全咨询服务 1）安全管理咨询：参照国内外信息安全标准为电信运营企业制定符合实际需要的安全策略或完善现有安全策略、设计建立信息安全管理体系的咨询服务。 2）安全架构咨询：包括安全框架、安全规划和安全解决方案设计。一安全框架是指以风险评估为依据，对组织的安全框架进行设计；安全规划是指通过对安全框架内的具体安全策略进行紧迫性分析、可实施性分析、难易分析和效果分析等，形成若干年内的安全建设规划；安全解决方案设计是指对计划实施的安全策略细化，包括提出为实现安全策略应外购的产品、服务或定制的软件等，并描述这些产品和服务应达到的功能和性能要求以及如何通过部署这些产品和服务来确保安全策略得到实施。 3）安全通告服务：是指定期或不定期地将经过汇总的最新安全漏洞、威胁信息、病毒信息、有害信息等安全信息及相应解决方案发布给电信运营企业的安全服务。 b）安全工程服务 1）安全实施方案设计：指在安全解决方案的基础上为下一步将要实施的安全产品集成、安全软件定制开发、安全加固或其他安全技术服务制定实施方案的服务。 2）安全集成服务：根据安全实施方案进行产品供货、施工和相关技术培训的服务。据3）安全监理服务：在电信运营企业进行安全建设时，以监理的形式参与，协助电信运营企业编写安全需求、测试安全需求满足程度并督促供货商或集成商按照安全建设方案进行供货或施工的服务。 c）安全培训服务：系统化地提供安全技术或安全管理培训，协助电信运营企业培养安全人才、提高从业人员安全技能、安全意识的服务。 d）安全运行支持服务 1）安全评估服务：指通过调查既定范围内的信息资产、分析其面临威胁以及资产上存在的漏洞，确定资产可能面临的风险，并提出相应风险控制措施的服务。