资源描述：
《以风险评估为基础按等级划分构建劳动保障信息系统安全.pdf》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、第25卷第3期贵州大学学报(自然科学版)Vol.25No.32008年5月JournalofGuizhouUniversity(NaturalSciences)May.2008文章编号1000-5269(2008)03-0280-04以风险评估为基础按等级划分构建3劳动保障信息系统安全体系洪华麟(贵州大学电子科学与信息学院,贵州贵阳550001)摘要:按系统等级保护的建设思想为合理构建劳动保障信息系统安全体系提供了一个基准点,在此基础上还应结合信息系统的安全风险评估方法对信息系统的风险进行科学的评估,从技术和管理两个层面实施信息系统的风险管理
2、,这是构建劳动保障信息系统安全体系的关键点。论文以风险评估为基础,合理使用信息系统安全技术标准,分等级地建设信息系统安全体系。关键词:风险评估;等级划分;劳动保障;信息系统中图分类号:TP309文献标识码:AUsingRiskRevaluationandHierarchicalPartitiontoBuildtheSecurityArchitectureofLaborInformationSystemHONGHua2lin(CollegeofElectricalandInformationTechnilogy,Grade2006ofGuizh
3、ouUniversity,GuiyangGuizhou550001,China)Abstract:ToprovideabasiswhichusethethinkofhierarchicalprotectiontoconstructtheSecurityar2chitectureofLaborInformationSystem.Besidesthisbasis,weshouldusethesecurityriskevaluationtoscientificallyevaluatetheInformationSystem’srisks.Weuse
4、twowaysthatistheTechniqueandtheotherismanagementtoimplementtheInformationSystem’sriskmanagement.ThesewaysarethekeypointtoconstructtheSecurityarchitectureofLaborInformationSystem.Thisdisquisition’sbasisistheriskevaluation,usethestandardofsecurityofInformationSystemlogically,
5、andtakethehierar2chicaltoconstructthearchitectureofthesecurityofInformationSystem.Keywords:riskevaluation,hierarchical,laborSecurity,InformationSystem.0引言按照信息系统安全等级划分原则及国保发[2005]16号《分级保护管理办法》的思想,对信息系统进行严格的系统检查与测评,根据分级保护的标准、规范要求,确定劳动保障信息系统的安全等级,等级确定之后,就必须按标准及规范要求进行劳动保障信息系统的安
6、全体系建设,按系统等级保护的建设思想为合理构建劳动保障信息系统安全体系提供了一个基准点,在此基础上还应结合信息系统的安全风险评估方法对信息系统的资产、面临的威胁、存在的脆弱性、安全控制、管理措施等进行全面科学的评估,从技术和管理两个层面实施信息系统的风险管理,这是构建劳动保障信息系统安全体系的关键点。1信息安全与风险评估信息可以理解为组织内的信息设施中存储与处理的数据、程序,在ISO/IEC17799中对信息的定义是3收稿日期:2008-03-19作者简介:洪华麟(1964-),男,信息系统项目管理师,高级工程师,主要从事信息技术及信息安全管
7、理工作;贵州大学2006级“电子与通信”工程在读工程硕士研究生。第3期洪华麟:以风险评估为基础按等级划分构建劳动保障信息系统安全体系·281·“信息是一种资产,像其它重要的业务资产一样,对组织具有价值,因此需要妥善保护”,信息安全已扩展到了信息的可靠性、可用性、可控性、完整性及不可抵赖性等更新、更深层次的领域。国际标准化组织(ISO)对信息安全的定义是“在技术上管理上为数据处理系统建立的安全保护,保护计算机硬件、软件和数据不因偶然和恶意的原因而遭受到破坏、更改和泄露”。信息安全风险是人为或自然的威胁利用系统存在的脆弱性引发的安全事件,并由于受
8、损信息资产的重要性而对机构造成的影响。信息安全风险评估,就是从风险管理角度,运用科学的方法和手段,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件
