国家标准《信息安全技术信息安全风险处理实施指南》-全国信息安全

《国家标准《信息安全技术信息安全风险处理实施指南》-全国信息安全》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、国家标准《信息安全技术信息安全风险处理实施指南》（征求意见稿）编制说明—、任务来源根据全国信息安全标准化技术委员会2011年下达的国家信息安全战略研究与标准制定工作专项项目任务（计划号：20120535-T-469）,国家标准《信息安全技术信息安全风险处理实施指南》由中国信息协会信息安全专业委员会（秘书处设在国家信息中心）负责主办。—＞任务背景为落实与发展原国务院信息办《关于开展信息安全风险评估工作的意见》（国信办［2006J5号）的文件精神，在国家基木完成对我国基础信息网络和重要信息系统普遍进行信息安全风险评佔工作后，规范性指导各被评估单位开展信息安全风险管理，科学控制信息安全风险，提

2、升其信息安全技术与信息安全管理的安全保障能力，全面提高被评估单位信息安全的信息安全风险管理水平。本标准将在国家标准GB/T20984-2007《信息技术信息安全风险评估规范》、GB/T24364-2009《信息技术信息安全风险管理指南》及国标《信息安全风险评估实施指南》（GB/TXXXXX-XXXX）的基础上，针对风险评估工作中反映出來的各类信息安全风险，形成客观、规范的风险处理方案，用于指导信息安全风险处理工作，促进风险管理工作的完善。三、编制原则本标准属于信息安全标准，以自主编写的方式完成。国家标准《信息安全技术信息安全风险处理实施指南》根据我国信息安全风险管理工作的发展，针对风险评

3、估工作屮反映出来的齐类信息安全风险，形成客观、规范的风险处理方案,用于指导信息安全风险处理工作，促进风险管理工作的完善。四、主要工作过程1、2012年3月至5月，由国家信息中心牵头，成立了由北京信息安全测评中心、北京数字认证股份有限公司、小国民航大学、东软集团股份有限公司、西安交大捷普网络科技有限公司等单位共同组成的标准编制组，进行课题调研，并形成了《信息安全风险处理指南》标准的基本框架和编制思路。2、2012年5月17日，标准编制组正式召开国家标准《信息安全技术信息安全风险处理实施指南》编制工作启动会暨第一次标准编制组会。解放军信息安全测评认证中心崔书昆研究员、中国科学院研究生院赵战生

4、教授、中国信息安全认证屮心曹雅斌处长、电监会信息屮心胡红升副主任、国家税务总局李建彬研究员等专家岀席启动会。启动会上，各专家主要对本标准的范围、基本框架、指导思想以及标准中相关术语概念等提出了宝贵的意见和建议。根据专家意见及存在的问题，安排对标准的基木框架进一步完善。3、2012年5月至6月，标准编制组根据启动会专家的意见，确定了标准的基本框架，并对编制任务分工进行了安排。4、2012年6月至8月，标准编制组按照各口的任务分工，完成了和应部分的初稿，形成了本标准草案第一稿。5、2012年9月17召开第二次标准编制组会，对本标准草案第一稿进行讨论和研究，调整了部分章节的结构和内容顺序，并提

5、出了一些修改意见。6、2012年9月至11月，标准编制组根据第二次标准编制组会的要求，对标准草案第一稿进一步修改完善，形成了本标准草案第二稿。7、2012年11月8日，召开第三次标准编制组会，对木标准草案第二稿进行讨论和研究，统一正文和附录的编写体例，并再次对部分内容提岀了一些调整和修改意见。8、2012年11月至12月，标准编制组根据第三次标准编制组会的耍求，对标准草案第二稿进一步修改完善，形成了木标准草案第三稿。9、2012年12月27H,召开第四次标准编制组会，对本标准草案第三稿进行讨论和梳理，对附录部分的风险处理措施的编写方式进行了统一，并再次对部分内容提出一些调整和修改意见。1

6、0、2012年12月至2013年3月，标准编制组根据第四次标准编制组会的要求，对标准草案第三稿进一步修改完善，形成了本标准草案第四稿。11、2013年3月21日和27日，标准编制组召开了第五次和第六次标准编制组会，分别对标准草案第四稿的正文和附录部分进行梳理与修改，形成了本标准草案第五稿。12、2013年3月至6月，标准编制组对标准草案第五稿的内容进一步修改完善，形成了本标准草案第六稿。13、2013年7月4口，标准编制组召开国家标准《信息安全技术信息安全风险处理实施指南》编制工作专家研讨会暨第七次标准编制组会。全国信息安全标准化技术委员会崔书昆研究员、北京大学王立福教授、解放军信息安全

7、测评认证屮心肖京华高工、教育部考试屮心鲁欣正副研究员、屮国华能集团公司信息屮心郭森处长、中国信息安全测评中心班晓芳副研究员岀席了研讨会。会上，专家主要对本标准附录部分的信息安全风险分类方法和依据提出了疑问，并对标准中的其他内容提出了一些意见和建议。根据专家意见及存在的问题，安排对标准草案第六稿进行修改，并拟与中国信息安全认证中心联合对各信息安全风险评估服务单位（主要是一级和二级资质）开展信息安全风险分类调研，重新对信息安全风险进行梳