GB/T 28453-2012 信息安全技术 信息系统安全管理评估要求

ICS35.040

L80

中华人民共和国国家标准

/—

GBT284532012

信息安全技术

信息系统安全管理评估要求

Informationsecurittechnolo—

ygy

Informationsstemsecuritmanaementassessmentreuirements

yygq

2012-06-29发布2012-10-01实施

中华人民共和国国家质量监督检验检疫总局

发布

中国国家标准化管理委员会

/—

GBT284532012

目次

前言…………………………Ⅲ

引言…………………………Ⅳ

1范围………………………1

2规范性引用文件…………………………1

3术语和定义………………1

4评估原则和模式…………………………2

4.1管理评估的原则……………………2

4.2管理评估的工作模式………………2

5评估组织和活动…………………………3

5.1评估组织……………3

5.1.1评估实施团队…………………3

5.1.2评估管理机构…………………3

5.1.3被评估方相关人员……………4

5.2评估目标范围和依据………………4

5.2.1评估目标………………………4

5.2.2评估范围………………………5

5.2.3评估依据………………………5

5.3评估活动内容………………………5

5.3.1评估准备及启动………………5

5.3.2确定信息系统资产及安全需求………………6

5.3.3确定信息系统安全管理现状…………………8

5.3.4确定信息系统安全管理评估结论……………12

5.3.5评估结束及后续安排…………13

、

6安全管理评估的方法工具和实施……………………14

6.1评估方法……………14

6.1.1访谈调查………………………14

6.1.2符合性检查……………………15

6.1.3有效性验证……………………16

6.1.4技术检测………………………17

6.2评估工具……………19

6.2.1调查表…………………………19

6.2.2访谈问卷………………………20

6.2.3检查表…………………………21

6.3评估的实施…………………………22

6.3.1评估实施控制…………………22

6.3.2评估结论判断…………………23

Ⅰ

/—

GBT284532012

7分等级管理评估…………………………25

7.1规划立项管理评估要求……………