時(shí)間：2023-10-11 10:06:02
緒論：在尋找寫作靈感嗎？愛發(fā)表網(wǎng)為您精選了8篇國(guó)內(nèi)信息安全認(rèn)證，愿這些內(nèi)容能夠啟迪您的思維，激發(fā)您的創(chuàng)作熱情，歡迎您的閱讀與分享！
【媒體聯(lián)絡(luò)】吳楠:010-68130909-8002,.cn
【參會(huì)報(bào)名】張晶晶:010-68254718,.cn
【商務(wù)咨詢】崔罡:010-68130909-6633,.cn
電子政務(wù)論壇10月在京召開
本報(bào)訊 由國(guó)家行政學(xué)院、國(guó)家發(fā)展和改革委員會(huì)、工業(yè)和信息化部聯(lián)合主辦的2010中國(guó)電子政務(wù)論壇暨第4屆國(guó)際電子政務(wù)理論與實(shí)踐交流會(huì)(ICEGOV2010)將于10月25日～28日在國(guó)家行政學(xué)院召開。今年的論壇將結(jié)合年度電子政務(wù)發(fā)展熱點(diǎn),探討電子政務(wù)發(fā)展趨勢(shì);促進(jìn)政企合作,推動(dòng)我國(guó)電子政務(wù)健康發(fā)展。
中國(guó)將完善災(zāi)備標(biāo)準(zhǔn)體系
本報(bào)訊 7月16日,由中國(guó)信息安全測(cè)評(píng)中心主辦的第5屆“中國(guó)災(zāi)難恢復(fù)行業(yè)高層論壇”召開。本屆論壇意在進(jìn)一步貫徹落實(shí)國(guó)家對(duì)信息系統(tǒng)災(zāi)難恢復(fù)提出的要求和行業(yè)管理導(dǎo)引。論壇上,國(guó)內(nèi)首部系統(tǒng)論述數(shù)據(jù)中心建設(shè)與管理的專著《數(shù)據(jù)中心建設(shè)與管理指南》對(duì)外。該書是萬國(guó)數(shù)據(jù)發(fā)起并組織的,適合企事業(yè)單位的中高層管理人員和數(shù)據(jù)中心相關(guān)部門的技術(shù)人員閱讀使用。
華為賽門鐵克通過信息安全服務(wù)資質(zhì)最高級(jí)別認(rèn)證
本報(bào)訊 近日,記者獲悉,華為賽門鐵克一次性通過中國(guó)信息安全認(rèn)證中心最高級(jí)別的兩項(xiàng)信息安全認(rèn)證:信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證(一級(jí))和信息安全應(yīng)急處理服務(wù)資質(zhì)(一級(jí))。據(jù)了解,信息安全風(fēng)險(xiǎn)評(píng)估是從風(fēng)險(xiǎn)管理的角度,系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性,并提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。信息安全應(yīng)急處理服務(wù)是處置網(wǎng)絡(luò)與信息安全事件時(shí)、為降低安全事件給客戶造成的損失或影響、信息安全服務(wù)提供商所提供的現(xiàn)場(chǎng)或遠(yuǎn)程的一系列措施和行動(dòng)。
首批信安風(fēng)險(xiǎn)評(píng)估服務(wù)單位出爐 浪潮獲得一級(jí)資質(zhì)認(rèn)證
本報(bào)訊近日,中國(guó)信息安全認(rèn)證中心在京召開信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證證書頒證大會(huì),向國(guó)家信息中心等18家從事風(fēng)險(xiǎn)評(píng)估的企事業(yè)單位頒發(fā)了一、二級(jí)資質(zhì)認(rèn)證證書,其中,浪潮集團(tuán)憑借著在信息安全領(lǐng)域的深厚實(shí)力脫穎而出,獲得了一級(jí)服務(wù)資質(zhì)認(rèn)證證書。據(jù)悉,這是我國(guó)首次在信息安全風(fēng)險(xiǎn)評(píng)估領(lǐng)域開展服務(wù)資質(zhì)認(rèn)證工作,信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)資質(zhì)認(rèn)證證書的頒發(fā)表明,我國(guó)信息安全服務(wù)資質(zhì)評(píng)價(jià)制度又取得了一項(xiàng)重要進(jìn)展。
關(guān)鍵詞 PKI；CA；RA；數(shù)字證書；信息安全；雙因素認(rèn)證；數(shù)字簽名；加密
中圖分類號(hào)：TM769 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1671-7597（2013）15-0119-02
隨著國(guó)內(nèi)外網(wǎng)絡(luò)與信息技術(shù)飛速發(fā)展和廣泛應(yīng)用，發(fā)電企業(yè)信息化也在不斷深入開展，信息安全形勢(shì)更加嚴(yán)峻，網(wǎng)絡(luò)與信息安全工作問題更加突出和重要。發(fā)電企業(yè)在保證發(fā)電安全生產(chǎn)的基礎(chǔ)上，逐步通過信息化建設(shè)，梳理管理流程，加強(qiáng)內(nèi)部管控，從而達(dá)到提升競(jìng)爭(zhēng)力的作用。
信息安全是信息化建設(shè)的基礎(chǔ)和前提，基于PKI技術(shù)的數(shù)字證書機(jī)制構(gòu)建的應(yīng)用層信息安全保障體系，已經(jīng)作為信息安全基礎(chǔ)設(shè)施，在政府、金融、電信等領(lǐng)域得到廣泛應(yīng)用。如何合理構(gòu)建安全認(rèn)證體系，既能滿足信息安全管理要求，又能保證投資和信息安全管理可控在控，已經(jīng)成為發(fā)電企業(yè)越來越關(guān)注的問題。
1 發(fā)電企業(yè)信息安全現(xiàn)狀分析
在發(fā)電企業(yè)構(gòu)建電子認(rèn)證體系以保障業(yè)務(wù)安全的過程中，主要面臨著如下需求和問題。
1）缺少完整的電子認(rèn)證基礎(chǔ)設(shè)施，企業(yè)內(nèi)部多級(jí)管理體系和獨(dú)立分支機(jī)構(gòu)的不同信息系統(tǒng)使用的數(shù)字證書不統(tǒng)一。
2）自建的電子認(rèn)證基礎(chǔ)設(shè)施，有可能不具備相關(guān)運(yùn)營(yíng)資質(zhì)，并且建設(shè)和運(yùn)營(yíng)維護(hù)成本較大，而只采購(gòu)第三方認(rèn)證機(jī)構(gòu)頒發(fā)的數(shù)字證書，又不能完全滿足企業(yè)內(nèi)部信息化管理的需要。
3）重要核心信息系統(tǒng)未采用雙因素認(rèn)證、數(shù)字簽名和數(shù)據(jù)加密等技術(shù)手段，無法保證數(shù)據(jù)保密性、完整性、抗抵賴性等信息安全要求。
為了很好的解決以上問題，結(jié)合發(fā)電企業(yè)信息化建設(shè)實(shí)際情況，提出以下幾點(diǎn)建議。
1）針對(duì)發(fā)電企業(yè)內(nèi)部多級(jí)管理體系和獨(dú)立分支機(jī)構(gòu)，建設(shè)統(tǒng)一的RA注冊(cè)審核機(jī)構(gòu)，與第三方認(rèn)證機(jī)構(gòu)PKI/CA基礎(chǔ)設(shè)施配合，將完整的電子認(rèn)證服務(wù)引入到現(xiàn)有信息系統(tǒng)中，既滿足了安全體系完整性，又方便了內(nèi)部安全認(rèn)證服務(wù)管理。
2）針對(duì)不同的信息系統(tǒng)特性，制定雙因素認(rèn)證、數(shù)字簽名和數(shù)據(jù)加密等安全認(rèn)證策略和實(shí)施規(guī)范，RA系統(tǒng)設(shè)計(jì)上應(yīng)方便的與業(yè)務(wù)系統(tǒng)進(jìn)行對(duì)接和交互，避免成為“信息孤島”，保證數(shù)據(jù)保密性、完整性、抗抵賴性等信息安全要求。
3）針對(duì)已經(jīng)使用了數(shù)字證書等安全認(rèn)證的信息系統(tǒng)，應(yīng)考慮能夠?qū)崿F(xiàn)平滑過渡和無縫對(duì)接，防止出現(xiàn)安全體系設(shè)計(jì)重大變更和大規(guī)模系統(tǒng)改造等情況。
2 PKI/CA/RA簡(jiǎn)介
1）PKI為“公鑰基礎(chǔ)設(shè)施”，是一個(gè)用非對(duì)稱密碼算法原理和技術(shù)實(shí)現(xiàn)的、具有通用性的安全基礎(chǔ)設(shè)施。PKI的基礎(chǔ)技術(shù)包括加密、數(shù)字簽名、數(shù)據(jù)完整性機(jī)制、數(shù)字信封、雙重?cái)?shù)字簽名等。
2）CA認(rèn)證機(jī)構(gòu)是采用PKI公開密鑰基礎(chǔ)架構(gòu)技術(shù)，專門提供網(wǎng)絡(luò)身份認(rèn)證服務(wù)，負(fù)責(zé)簽發(fā)和管理數(shù)字證書，且具有權(quán)威性和公正性的第三方信任機(jī)構(gòu)。它是PKI公鑰基礎(chǔ)設(shè)施的核心，主要完成生成/簽發(fā)證書、生成/簽發(fā)證書撤銷列表（CRL：Certificate Revocation List）、證書和CRL到目錄服務(wù)器、維護(hù)證書數(shù)據(jù)庫和審計(jì)日志庫等功能，即證書的頒發(fā)、證書的更新、證書的查詢、證書的作廢、證書的歸檔等功能。
3）RA注冊(cè)審核機(jī)構(gòu)：RA是數(shù)字證書的申請(qǐng)、審核和注冊(cè)中心。從廣義上講，RA是CA的一個(gè)組成部分，主要負(fù)責(zé)數(shù)字證書的申請(qǐng)、審核和注冊(cè)。
3 基于PKI/CA/RA的安全認(rèn)證服務(wù)平臺(tái)
3.1 平臺(tái)架構(gòu)
通過對(duì)發(fā)電企業(yè)安全現(xiàn)狀和需求分析，根據(jù)證書簽發(fā)、證書使用兩種應(yīng)用環(huán)境和職責(zé)不同，將RA系統(tǒng)劃分為RA子系統(tǒng)、證書驗(yàn)證子系統(tǒng)兩個(gè)子系統(tǒng)。
1）RA子系統(tǒng)：負(fù)責(zé)證書的申請(qǐng)、簽發(fā)、更新、狀態(tài)變更等證書業(yè)務(wù)功能。RA子系統(tǒng)結(jié)構(gòu)由CA能力接入、系統(tǒng)管理、證書服務(wù)、用戶自服務(wù)等功能模塊組成。CA能力接入模塊面向第三方CA系統(tǒng)，系統(tǒng)管理模塊面向RA系統(tǒng)管理員，證書服務(wù)模塊面向業(yè)務(wù)系統(tǒng)，用戶自服務(wù)模塊面向使用證書業(yè)務(wù)的用戶（個(gè)人用戶、企業(yè)用戶）。
2）證書驗(yàn)證子系統(tǒng)：負(fù)責(zé)證書有效性驗(yàn)證、簽名驗(yàn)簽等證書應(yīng)用功能，提供非對(duì)稱密鑰運(yùn)算、摘要運(yùn)算、簽名驗(yàn)簽運(yùn)算、證書驗(yàn)證等證書應(yīng)用服務(wù)。
3.2 數(shù)字證書設(shè)計(jì)
3.2.1 設(shè)計(jì)原則
RA系統(tǒng)簽發(fā)的數(shù)字證書應(yīng)具有以下特點(diǎn)。
1）數(shù)字證書符合X509v3國(guó)際通用標(biāo)準(zhǔn)，可以同發(fā)電企業(yè)目前的電子認(rèn)證體系無縫對(duì)接，平滑過渡。
2）數(shù)字證書獲得國(guó)家電子認(rèn)證服務(wù)資質(zhì)認(rèn)可，受《電子簽名法》保護(hù)，可以對(duì)外使用。
3）支持簽發(fā)軟/硬兩種形式的數(shù)字證書。
軟證書符合PKCS12標(biāo)準(zhǔn)，能方便的在手機(jī)、PDA等終端上使用。
硬證書保存在USBKEY等硬件存儲(chǔ)介質(zhì)上，安全可靠。
3.2.2 數(shù)字證書類型
按照數(shù)字證書的頒發(fā)對(duì)象不同，數(shù)字證書主要分為個(gè)人數(shù)字證書、機(jī)構(gòu)數(shù)字證書和設(shè)備數(shù)字證書等。
1）個(gè)人數(shù)字證書，主要用于標(biāo)識(shí)數(shù)字證書自然人所有人的身份，包含了個(gè)人的身份信息及其公鑰，如用戶姓名、證件號(hào)碼、身份類型等。
2）機(jī)構(gòu)數(shù)字證書，主要用于標(biāo)識(shí)數(shù)字證書機(jī)構(gòu)所有人的身份，包含機(jī)構(gòu)的相關(guān)信息及其公鑰，如：企業(yè)名稱、組織機(jī)構(gòu)代碼等。
3）設(shè)備數(shù)字證書，用于在網(wǎng)絡(luò)應(yīng)用中標(biāo)識(shí)網(wǎng)絡(luò)設(shè)備的身份，主要包含了設(shè)備的相關(guān)信息及其公鑰，可用于服務(wù)器或網(wǎng)絡(luò)設(shè)備標(biāo)識(shí)和驗(yàn)證設(shè)備身份。
3.2.3 證書使用范圍
從使用范圍上來說，企業(yè)數(shù)字證書分為內(nèi)部證書、外部
證書。
1）內(nèi)部證書限于企業(yè)內(nèi)部人員、業(yè)務(wù)使用，承擔(dān)行政責(zé)任，可以用于企業(yè)內(nèi)部安全保障；企業(yè)重要人員的證書采用USBKEY存放，其他人員采用軟件存儲(chǔ)。
2）外部證書限于企業(yè)外部人員、業(yè)務(wù)使用，如電子商務(wù)平臺(tái)的供應(yīng)商。承擔(dān)法律責(zé)任，在對(duì)外業(yè)務(wù)出現(xiàn)糾紛時(shí)，可以用于法律鑒定，采用USBKEY存放證書。
3.2.4 證書用途
根據(jù)數(shù)字證書的密鑰用途，將證書分為以下兩種。
1）簽名證書：其私鑰可用于對(duì)信息的簽名。用戶在使用私鑰對(duì)信息簽名時(shí)，應(yīng)知曉并確認(rèn)簽名的內(nèi)容。對(duì)于具有身份鑒別用途的證書，其私鑰可用于對(duì)鑒別方提交的挑戰(zhàn)信息簽名；在可能的情況下，具有身份鑒別用途的證書及信任鏈上的證書（根證書除外）應(yīng)提交給驗(yàn)證方。
2）加密證書：其私鑰可用于對(duì)采用對(duì)應(yīng)公鑰加密的信息
解密。
根據(jù)國(guó)家密碼管理局的相關(guān)要求以及發(fā)電企業(yè)對(duì)證書的使用需求，個(gè)人證書、企業(yè)證書都需要簽發(fā)雙證書（加密證書、簽名證書）。
3.2.5 證書存儲(chǔ)形態(tài)
根據(jù)數(shù)字證書的存儲(chǔ)形態(tài)不同，可以將證書存儲(chǔ)在以下介質(zhì)中。
1）軟證書：證書以軟件形式存放，包括以文件形式或者將證書導(dǎo)入到IE存儲(chǔ)；根據(jù)信息系統(tǒng)對(duì)證書的要求，可以將個(gè)人證書（大部分）以軟件形態(tài)存放。
2）USBKEY證書：證書存儲(chǔ)在USBKEY中；企業(yè)重要人員的證書采用USBKEY存放，企業(yè)外的個(gè)人證書、企業(yè)證書全部采用USBKEY存儲(chǔ)，便于保管。
4 應(yīng)用實(shí)踐
目前對(duì)于發(fā)電企業(yè)來講，PKI/CA/RA安全認(rèn)證服務(wù)主要可應(yīng)用于以下幾個(gè)方面。
1）辦公自動(dòng)化系統(tǒng)電子印章管理，采用數(shù)字簽名及證書對(duì)稱加密、非對(duì)稱加密等技術(shù)，防止電子文件被篡改、電子印章被非法利用。
2）企業(yè)資源計(jì)劃（ERP）、燃料管理、辦公自動(dòng)化、資金管理、電子商務(wù)等重要信息系統(tǒng)的雙因素認(rèn)證，為IT審計(jì)提供依據(jù)，防止抵賴，進(jìn)一步保證系統(tǒng)安全。
3）無線網(wǎng)絡(luò)、VPN網(wǎng)絡(luò)等網(wǎng)絡(luò)接入認(rèn)證管理。
5 結(jié)束語
PKI/CA/RA安全認(rèn)證服務(wù)平臺(tái)實(shí)現(xiàn)了統(tǒng)一、完整的電子認(rèn)證基礎(chǔ)設(shè)施，為發(fā)電企業(yè)提供數(shù)字證書申請(qǐng)、受理、審批、簽發(fā)、更新、吊銷、等業(yè)務(wù)功能，數(shù)字證書與企業(yè)資源計(jì)劃（ERP）、電子印章、電子商務(wù)等信息系統(tǒng)集成，全面支持企業(yè)內(nèi)部和對(duì)外電子商務(wù)應(yīng)用，以及重要信息系統(tǒng)、設(shè)備的雙因素認(rèn)證。
實(shí)踐證明，PKI/CA/RA安全認(rèn)證服務(wù)平臺(tái)在發(fā)電企業(yè)信息安全工作中，已發(fā)揮了不可替代的重要作用，可有效提高信息系統(tǒng)安全性和可靠性，下一步將加強(qiáng)核心業(yè)務(wù)信息系統(tǒng)中的重要操作、重要信息系統(tǒng)中敏感信息加密、移動(dòng)辦公等方面的研究和應(yīng)用。
參考文獻(xiàn)
[1]龍玉江，白雪，汪浩.PKI/CA技術(shù)在電力信息系統(tǒng)安全保障方面的應(yīng)用研究[J].貴州電力技術(shù)，2009（1）：40.
[2]劉欣.PKI/CA技術(shù)在電力信息系統(tǒng)中的應(yīng)用研究[J].電力信息化，2009，7（10）：30.
“我的信息安全嗎？”相信所有對(duì)信息技術(shù)有所了解的人都會(huì)存在這個(gè)擔(dān)憂。就我們所使用的IT設(shè)備而言，軟硬件的安全性將直接影響信息的安全。是否有什么手段來認(rèn)定軟硬件的安全性呢？答案是肯定的，那就是對(duì)其進(jìn)行安全認(rèn)證。
多年來，嘉興市辰翔信息科技有限公司致力于IT軟硬件安全檢測(cè)認(rèn)證，憑借著國(guó)際一流的技術(shù)，為IT軟硬件“蓋”上了信息安全的“合格章”。
權(quán)威認(rèn)證覆蓋全球
據(jù)國(guó)家工信部的《2013年電子信息產(chǎn)業(yè)統(tǒng)計(jì)公報(bào)》顯示，我國(guó)2013年電子信息產(chǎn)業(yè)銷售收入總規(guī)模達(dá)到12.4萬億元，同比增長(zhǎng)12.7%。在信息安全日益受重視的今天，這意味著巨大的安全認(rèn)證市場(chǎng)。就全球而言，反病毒軟件的檢測(cè)認(rèn)證市場(chǎng)銷售規(guī)模在2億人民幣左右，而安全硬件提供商全球多達(dá)幾萬家，銷售額至少在幾百億人民幣。檢測(cè)認(rèn)證行業(yè)作為IT軟硬件方案服務(wù)提供商的服務(wù)商，市場(chǎng)前景巨大。如此大的“蛋糕”，此前一直被AV-TEST、ISCA LABs、Virus Bulletin等幾家巨頭壟斷。
為了打破國(guó)外檢測(cè)機(jī)構(gòu)對(duì)計(jì)算機(jī)安全軟硬件檢測(cè)壟斷的局面，辰翔科技通過多年來的理論研究和實(shí)踐應(yīng)用研發(fā)了一系列符合計(jì)算機(jī)安全技術(shù)潮流發(fā)展的檢測(cè)技術(shù)和認(rèn)證標(biāo)準(zhǔn)，并在一些關(guān)鍵的技術(shù)環(huán)節(jié)大量應(yīng)用了新的檢測(cè)標(biāo)準(zhǔn)和檢測(cè)技術(shù)，是大中華區(qū)唯一專業(yè)從事計(jì)算機(jī)安全軟硬件測(cè)試認(rèn)證的公司，也是公安部計(jì)算機(jī)病毒應(yīng)急響應(yīng)中心的合作伙伴和唯一具有公安機(jī)關(guān)病毒分析備案的公司。除了自行研發(fā)外，辰翔科技還通過與國(guó)內(nèi)高等院校的合作，研究如何將病毒流行度指標(biāo)應(yīng)用在計(jì)算機(jī)安全檢測(cè)之上，相關(guān)論文也已經(jīng)在國(guó)際會(huì)議上發(fā)表。另外，其關(guān)于計(jì)算機(jī)安全軟硬件檢測(cè)的專用認(rèn)證標(biāo)志已經(jīng)在歐盟、美國(guó)和大陸成功注冊(cè)。
辰翔科技作為全球主要的安全軟件檢測(cè)認(rèn)證服務(wù)提供商，客戶基本已經(jīng)涵蓋主要的殺毒軟件提供商。值得一提的是，在手機(jī)Android操作系統(tǒng)安全測(cè)試領(lǐng)域，公司已經(jīng)基本實(shí)現(xiàn)壟斷。除了手機(jī)端的安全認(rèn)證外，辰翔科技還與美國(guó)微軟總部合作研發(fā)Windows安全認(rèn)證體系。目前辰翔科技在全球安全軟件測(cè)試認(rèn)證行業(yè)主要競(jìng)爭(zhēng)對(duì)手有6個(gè)，目標(biāo)客戶覆蓋率基本達(dá)到國(guó)外同行水平。未來，辰翔科技將以電源產(chǎn)品作為切入點(diǎn)，進(jìn)一步開展通用IT硬件（如CPU、內(nèi)存、音響制品、顯示器等）與安全硬件（如嵌入式反病毒硬件，硬件防火墻，郵件過濾器等）的檢測(cè)認(rèn)證工作。
打造全方位“防御體系”
通過從計(jì)算機(jī)軟件到硬件，再加上手機(jī)與網(wǎng)站的安全測(cè)評(píng)，辰翔科技打造了一個(gè)全方位的安全防御圈。
安全軟件測(cè)試
通過測(cè)試安全軟件的多層防御能力來判斷安全軟件的綜合防御能力。關(guān)鍵技術(shù)在于多層實(shí)時(shí)檢測(cè)技術(shù)，傳統(tǒng)的安全軟件檢測(cè)比較單一、一般都只檢測(cè)安全的一個(gè)參數(shù)值，比如病毒的查殺率，誤報(bào)水平等，而辰翔科技對(duì)測(cè)評(píng)體系進(jìn)行了升級(jí)，擺脫單一功能檢測(cè)無法反映軟件綜合性能的缺失，目前已經(jīng)基本運(yùn)用到日常檢測(cè)認(rèn)證中來。
云安全檢測(cè)認(rèn)證
辰翔科技采集最新最全的病毒樣本，運(yùn)用高性能的爬蟲系統(tǒng)，通過大量的新出現(xiàn)的病毒和常用軟件來判斷云安全軟件對(duì)未知病毒的響應(yīng)能力、白名單庫的收集能力和誤報(bào)水平、云安全技術(shù)的穩(wěn)定性判斷，在國(guó)內(nèi)率先提出了云安全檢測(cè)技術(shù)的思路和測(cè)試基本框架。
手機(jī)安全軟件檢測(cè)認(rèn)證
通過手機(jī)操作系統(tǒng)模擬器或真機(jī)來模擬或者重現(xiàn)手機(jī)安全軟件在各系統(tǒng)上的運(yùn)行情況，包括對(duì)病毒的檢測(cè)查殺能力、常用功能的比較和不同病毒對(duì)手機(jī)用戶的危害。目前，辰翔科技建立了一套完整的病毒分析流程，可以為殺毒軟件公司提供分析支持和軟件配套服務(wù)。
軟件安全性評(píng)估
通過代碼和行為分析判斷軟件是否具有惡意行為，對(duì)驗(yàn)證無惡意行為的軟件頒發(fā)認(rèn)證標(biāo)志。
非安全軟件類軟硬件檢測(cè)認(rèn)證
通過輔助軟件對(duì)同類通用軟件和硬件進(jìn)行性能評(píng)估和檢測(cè)認(rèn)證，對(duì)達(dá)標(biāo)產(chǎn)品相對(duì)應(yīng)的認(rèn)證標(biāo)志。通用軟硬件的測(cè)評(píng)和認(rèn)證將由辰翔科技和中國(guó)計(jì)量學(xué)院、浙江質(zhì)監(jiān)局共同進(jìn)行研發(fā)，遠(yuǎn)期將提供市場(chǎng)準(zhǔn)入認(rèn)證和產(chǎn)品改良服務(wù)。
網(wǎng)絡(luò)掛馬釣魚分析系統(tǒng)的建立和網(wǎng)站認(rèn)證
深信服AC產(chǎn)品獲EAL3等級(jí)認(rèn)證
本報(bào)訊 近日，深信服連續(xù)六年市場(chǎng)占有率第一的上網(wǎng)行為管理產(chǎn)品（AC），獲得國(guó)家信息安全測(cè)評(píng)中心頒發(fā)
的信息安全產(chǎn)品EAL3等級(jí)認(rèn)證，成為國(guó)內(nèi)首個(gè)獲得此項(xiàng)認(rèn)證的上網(wǎng)行為管理產(chǎn)品。目前我國(guó)除SIM卡能夠通過EAL4
增強(qiáng)級(jí)認(rèn)證外，EAL3級(jí)認(rèn)證成為網(wǎng)絡(luò)產(chǎn)品最高等級(jí)的國(guó)家信息安全認(rèn)證，代表國(guó)家對(duì)信息安全產(chǎn)品的最高認(rèn)可。
東軟醫(yī)療擬購(gòu)飛利浦合資公司股權(quán)
本報(bào)訊 東軟集團(tuán)股份有限公司日前發(fā)表公告稱，其與荷蘭皇家飛利浦電子集團(tuán)就合資運(yùn)營(yíng)的東軟飛利浦醫(yī)療
設(shè)備系統(tǒng)有限責(zé)任公司達(dá)成了交易備忘錄，東軟全資子公司沈陽東軟醫(yī)療系統(tǒng)有限公司及一家境外公司擬聯(lián)合收購(gòu)
飛利浦持有的合資公司全部股權(quán)，預(yù)計(jì)2013年年底前完成交易。
第四屆中國(guó)智能運(yùn)輸大會(huì)5月召開
本報(bào)訊 第四屆中國(guó)智能運(yùn)輸大會(huì)（ITSCC）暨“第二屆深圳國(guó)際智能交通與衛(wèi)星導(dǎo)航位置服務(wù)展覽會(huì)”將于
2013年5月26～28日在深圳舉行。ITSCC由交通運(yùn)輸部科技司指導(dǎo)，交通運(yùn)輸部公路科學(xué)研究院、深圳市交通運(yùn)輸委
員會(huì) 、中國(guó)衛(wèi)星導(dǎo)航定位協(xié)會(huì)主辦，國(guó)家ITS中心 、深圳市智能交通行業(yè)協(xié)會(huì)等單位承辦。
中國(guó)惠普全程質(zhì)量管控新規(guī)
本報(bào)訊 近日，中國(guó)惠普打印與信息產(chǎn)品集團(tuán)（PPS集團(tuán)）新質(zhì)量和服務(wù)體系，主要內(nèi)容是為中國(guó)區(qū)專門設(shè)
立全程質(zhì)量管控委員會(huì)，以保證產(chǎn)品質(zhì)量。在最新的質(zhì)量和服務(wù)系統(tǒng)中，中國(guó)惠普PPS集團(tuán)整合了原有的PC與打印
日前《數(shù)據(jù)中心服務(wù)能力成熟度評(píng)價(jià)要求》行業(yè)標(biāo)準(zhǔn)正式。該行業(yè)標(biāo)準(zhǔn)由招商銀行數(shù)據(jù)中心和中國(guó)信息安全認(rèn)證中心組織，中國(guó)惠普有限公司、萬國(guó)數(shù)據(jù)服務(wù)有限公司和北京趨勢(shì)引領(lǐng)信息咨詢有限公司共同研究、編寫?！稊?shù)據(jù)中心服務(wù)能力成熟度評(píng)價(jià)要求》歷時(shí)一年多，提出的數(shù)據(jù)中心服務(wù)能力成熟度模型從實(shí)現(xiàn)收益、控制風(fēng)險(xiǎn)和優(yōu)化資源的基本訴求出發(fā)，確立了數(shù)據(jù)中心的目標(biāo)以及實(shí)現(xiàn)這些目標(biāo)所應(yīng)具備的服務(wù)能力，并以此為基礎(chǔ)建立數(shù)據(jù)中心成熟度評(píng)價(jià)對(duì)象模型，提出了適用于數(shù)據(jù)中心成熟度評(píng)價(jià)的具體評(píng)價(jià)方法和指標(biāo)體系。
中國(guó)信息安全認(rèn)證中心魏昊主任告訴本報(bào)記者：“在模型的建立過程我們參考了國(guó)際上比較成熟的成熟度評(píng)價(jià)模型和管理體系，具有先進(jìn)性和前瞻性，同時(shí)也充分考慮了行標(biāo)的廣泛應(yīng)用問題，可以應(yīng)用到各種大型數(shù)據(jù)中心。”
魏昊主任還強(qiáng)調(diào)，《數(shù)據(jù)中心服務(wù)能力成熟度評(píng)價(jià)要求》在成熟度模型方面汲取了CMMI、COBIT等模型通行的基于過程評(píng)價(jià)的思路，采取了典型的5級(jí)分級(jí)；而在管理體系方面汲取了服務(wù)管理體系和信息安全管理體系的部分管理過程，但自己獨(dú)立建立了對(duì)數(shù)據(jù)中心服務(wù)能力進(jìn)行評(píng)價(jià)的成熟度評(píng)價(jià)模型，提出基于3個(gè)一級(jí)管理域、15個(gè)管理子域的42個(gè)管理過程為評(píng)價(jià)對(duì)象，7個(gè)評(píng)價(jià)要素、15個(gè)評(píng)價(jià)子要素和30個(gè)評(píng)價(jià)點(diǎn)的評(píng)價(jià)模型，特別是基于證據(jù)指數(shù)的加權(quán)平均計(jì)算過程成熟度、過程域成熟度和總體成熟度的方法完全是自主創(chuàng)新。
招商銀行數(shù)據(jù)中心是《數(shù)據(jù)中心服務(wù)能力成熟度評(píng)價(jià)要求》的研究原型，也是該標(biāo)準(zhǔn)的首個(gè)試點(diǎn)單位。招商銀行信息技術(shù)部數(shù)據(jù)中心總經(jīng)理高旭磊談及標(biāo)準(zhǔn)的產(chǎn)生過程時(shí)表示，現(xiàn)有的標(biāo)準(zhǔn)還不能覆蓋數(shù)據(jù)中心管理的各個(gè)方面，在數(shù)據(jù)中心管理成熟度精細(xì)度方面也有不足，這些基本訴求再加上招商銀行正在進(jìn)行的二次轉(zhuǎn)型服務(wù)的大背景，促使其開始考慮編寫該標(biāo)準(zhǔn)?！拔覀兡繕?biāo)是要把數(shù)據(jù)中心的管理從全面過程管理轉(zhuǎn)換成全面質(zhì)量管控，最終把數(shù)據(jù)中心管理工作進(jìn)一步科學(xué)化，以提高管理效率?！彼f。
信息安全是國(guó)家安全的基礎(chǔ)和關(guān)鍵，在信息安全保障的三大要素(人員、技術(shù)、管理)中，管理要素的地位和作用越來越受到重視。面對(duì)越來越嚴(yán)重的安全威脅，不單在IT技術(shù)領(lǐng)域，各行業(yè)的企業(yè)組織都越來越意識(shí)到信息安全的重要性，但單純依靠技術(shù)方案來并不能解決如何保護(hù)企業(yè)信息資產(chǎn)的問題，因此這對(duì)當(dāng)前高校的信息安全專業(yè)的人才培養(yǎng)也提出了更高的要求。
一、信息安全培訓(xùn)體系概況
信息安全培訓(xùn)作為高校信息安全專業(yè)教育的一種重要補(bǔ)充，主要用于解決學(xué)歷教育和社會(huì)實(shí)踐、社會(huì)認(rèn)證培訓(xùn)的結(jié)合、信息安全人才培養(yǎng)不規(guī)范等問題?，F(xiàn)有培訓(xùn)主要可分為四類。
第一，安全意識(shí)培訓(xùn)：其面向機(jī)構(gòu)一般員工、非技術(shù)人員以及所有信息系統(tǒng)的用戶，目的是提高整個(gè)組織普遍的安全意識(shí)和人員安全防護(hù)能力，使組織員工充分了解既定的安全策略，并能夠切實(shí)執(zhí)行。
第二，安全技能培訓(xùn)：其面向機(jī)構(gòu)網(wǎng)絡(luò)和系統(tǒng)管理員、安全專職人員、技術(shù)開發(fā)人員等，目的是讓其掌握基本的安全攻防技術(shù)，提升其安全技術(shù)操作水平，培養(yǎng)解決安全問題和杜絕安全隱患的技能。
第三，安全管理培訓(xùn)：其面向組織的管理職能和信息系統(tǒng)、信息安全管理人員，目的是提升組織整體的信息安全管理水平和能力，幫助組織有效建立信息安全管理體系。
第四，認(rèn)證資質(zhì)培訓(xùn)：其針對(duì)特殊崗位所需的職能人員，包括審核部門、監(jiān)管部門、信息保障部門等。通過提供國(guó)際信息安全相關(guān)認(rèn)證考試的輔導(dǎo)培訓(xùn)，可以幫助人員順利通過考試獲得各類信息安全資質(zhì)認(rèn)證培訓(xùn)。
前三類認(rèn)證主要依托專業(yè)的培訓(xùn)機(jī)構(gòu)或安全設(shè)備廠商進(jìn)行。第四類培訓(xùn)是當(dāng)前培訓(xùn)的主體。
二、信息安全相關(guān)資質(zhì)認(rèn)證培訓(xùn)情況
資質(zhì)認(rèn)證類培訓(xùn)是針對(duì)資質(zhì)認(rèn)證特點(diǎn)和內(nèi)容要求設(shè)計(jì)，依托專業(yè)機(jī)構(gòu)進(jìn)行的。一些認(rèn)證的培訓(xùn)機(jī)構(gòu)是由資質(zhì)管理機(jī)構(gòu)專門指定的。當(dāng)前，信息安全相關(guān)資質(zhì)認(rèn)證主要分三類：
第一，國(guó)內(nèi)以信息產(chǎn)業(yè)部，信息安全評(píng)測(cè)機(jī)構(gòu)為代表的組織來管理實(shí)施的信息安全資格認(rèn)證(或與國(guó)際組織聯(lián)合頒發(fā));這類的認(rèn)證培訓(xùn)有：CISP培訓(xùn)、NCSE培訓(xùn)、CISM培訓(xùn)、INSPC培訓(xùn)、CIW認(rèn)證培訓(xùn)等。
第二，由國(guó)外軟件、網(wǎng)絡(luò)產(chǎn)品廠商自己組織管理的產(chǎn)品專家認(rèn)證(側(cè)重于廠商產(chǎn)品、技術(shù)認(rèn)證);相關(guān)的認(rèn)證培訓(xùn)有：微軟Microsoft認(rèn)證培訓(xùn)、思科安全認(rèn)證CCSP培訓(xùn)、趨勢(shì)認(rèn)證信息安全TCSE培訓(xùn)等。
第三，國(guó)際權(quán)威信息安全組織、研究部門或培訓(xùn)機(jī)構(gòu)組來管理組織的國(guó)際化專業(yè)資格認(rèn)證。相關(guān)的認(rèn)證培訓(xùn)有：信息系統(tǒng)安全認(rèn)證CISSP培訓(xùn)、信息安全管理體系主任審核員ISO 27001培訓(xùn)、國(guó)際注冊(cè)信息系統(tǒng)審計(jì)師認(rèn)證CISA培訓(xùn)、國(guó)際IT運(yùn)營(yíng)與服務(wù)管理資格認(rèn)證ITIL培訓(xùn)等。
下面以CISP培訓(xùn)為例，分析其知識(shí)體系構(gòu)建情況。
CISP即“注冊(cè)信息安全專家”，是國(guó)家對(duì)信息安全人員資質(zhì)的最高認(rèn)可。其經(jīng)由中國(guó)信息安全測(cè)評(píng)中心實(shí)施國(guó)家認(rèn)證。CISP認(rèn)證和培訓(xùn)賦予如下專業(yè)資質(zhì)和能力：有關(guān)信息安全企業(yè)、咨詢服務(wù)機(jī)構(gòu)、測(cè)評(píng)認(rèn)證機(jī)構(gòu)、授權(quán)測(cè)評(píng)機(jī)構(gòu)和企事業(yè)有關(guān)信息系統(tǒng)建設(shè)、運(yùn)行和應(yīng)用管理的技術(shù)部門和標(biāo)準(zhǔn)化部門必備的專業(yè)崗位人員。
在整個(gè)CISP的知識(shí)體系結(jié)構(gòu)中，共包括信息安全保障概述、信息安全技術(shù)、信息安全管理、信息安全工程和信息安全標(biāo)準(zhǔn)法規(guī)這五個(gè)知識(shí)類。 CISP知識(shí)體系以信息安全保障為主線，全面覆蓋信息安全保障工作所需的基礎(chǔ)、標(biāo)準(zhǔn)、法規(guī)、技術(shù)、管理和工程等領(lǐng)域。CISP培訓(xùn)知識(shí)體系結(jié)構(gòu)共包含五個(gè)知識(shí)類，分別為：(1)信息安全保障概述：介紹了信息安全保障的框架、基本原理和實(shí)踐，它是注冊(cè)信息安全專業(yè)人員首先需要掌握的基礎(chǔ)知識(shí)。(2)信息安全技術(shù)：主要包括密碼技術(shù)、訪問控制、審計(jì)監(jiān)控等安全技術(shù)機(jī)制，網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用軟件等方面的基本安全原理和實(shí)踐，以及信息安全攻防和軟件安全開發(fā)相關(guān)的技術(shù)知識(shí)和實(shí)踐。(3)信息安全管理：主要包括信息安全管理體系建設(shè)、信息安全風(fēng)險(xiǎn)管理、安全管理措施等相關(guān)的管理知識(shí)和實(shí)踐。(4)信息安全工程：主要包括信息安全相關(guān)的工程的基本理論和實(shí)踐方法。(5)信息安全標(biāo)準(zhǔn)法規(guī)：主要包括信息安全相關(guān)的標(biāo)準(zhǔn)、法律法規(guī)、政策和道德規(guī)范，是注冊(cè)信息安全專業(yè)人員需要掌握的通用基礎(chǔ)知識(shí)。
CISP的注冊(cè)要求如下：
第一，教育與工作經(jīng)歷：碩士研究生以上，具有1年工作經(jīng)歷;或本科畢業(yè)，具有2年工作經(jīng)歷;或大專畢業(yè)，具有4年工作經(jīng)歷。
第二，專業(yè)工作經(jīng)歷：至少具備1年從事信息安全有關(guān)的工作經(jīng)歷。
第三，培訓(xùn)資格：在申請(qǐng)注冊(cè)前，成功地完成了CNITSEC或其授權(quán)培訓(xùn)機(jī)構(gòu)組織的注冊(cè)信息安全專業(yè)人員培訓(xùn)課程相應(yīng)資質(zhì)所需的分類課程，并取得培訓(xùn)合格證書。
第四，通過由CNITSEC舉行的注冊(cè)信息安全專業(yè)人員考試。
三、信息安全專業(yè)培訓(xùn)體系構(gòu)建的建議
1.構(gòu)建完善的高校信息安全專業(yè)人才培訓(xùn)體系
傳統(tǒng)的培訓(xùn)體系，比較側(cè)重于知識(shí)和技能傳授的過程控制，在對(duì)知識(shí)的共享、隱性知識(shí)的轉(zhuǎn)換等方面，已經(jīng)不能滿足當(dāng)前的要求，高校可以通過借鑒、學(xué)習(xí)CISP認(rèn)證和培訓(xùn)體系結(jié)構(gòu)和CISSP認(rèn)證課程內(nèi)容設(shè)置，從信安全崗位所需的基礎(chǔ)、標(biāo)準(zhǔn)、法規(guī)、技術(shù)、管理和工程等領(lǐng)域來完善信息安 全專業(yè)人才培訓(xùn)體系。根據(jù)培訓(xùn)對(duì)象的不同將課程分為五種類型(層次)：操作層面的基本安全意識(shí)培訓(xùn);
技術(shù)層面的各項(xiàng)安全技能培訓(xùn);管理層面的信息安全管理培訓(xùn);專家級(jí)的資質(zhì)認(rèn)證培訓(xùn)。當(dāng)然在培訓(xùn)體系里面信息安全技術(shù)方面的培訓(xùn)仍然是重點(diǎn)，為了加強(qiáng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施等新興重點(diǎn)網(wǎng)絡(luò)安全技術(shù)領(lǐng)域的培訓(xùn)，可以參考思科安全認(rèn)證CCSP培訓(xùn)的模式，對(duì)當(dāng)前使用的防火墻、侵入檢測(cè)、VPN、身份驗(yàn)證和安全管理等主流網(wǎng)絡(luò)安全防護(hù)裝備進(jìn)行系統(tǒng)性的專題培訓(xùn)。
2.建立逐級(jí)培訓(xùn)的信息安全專業(yè)人才培訓(xùn)模式
當(dāng)前信息安全技術(shù)的發(fā)展日新月異，信息化的網(wǎng)絡(luò)攻防形式也發(fā)生著翻天覆地的變化，因此對(duì)于信息安全專業(yè)人員的培訓(xùn)，僅靠一兩次培訓(xùn)是遠(yuǎn)遠(yuǎn)不夠的，必須連續(xù)、有針對(duì)性的接受相應(yīng)崗位和層次的逐級(jí)培訓(xùn)，才能保證知識(shí)、能力結(jié)構(gòu)的不斷優(yōu)化和提高。在逐級(jí)培訓(xùn)過程中要明確不同職務(wù)、技術(shù)等級(jí)的不同要求，使得逐級(jí)培訓(xùn)過程級(jí)與級(jí)之間層次清晰又銜接有序。如果沒有通過低級(jí)別的培訓(xùn)、認(rèn)證，便不能參加后門高級(jí)別的培訓(xùn)。同時(shí)利用職業(yè)資格證、學(xué)歷證書、執(zhí)行證書等為牽引，通過多階段培訓(xùn)、資格培訓(xùn)、升級(jí)培訓(xùn)使得知識(shí)結(jié)構(gòu)、能力素質(zhì)、崗位需求同步發(fā)展，取得相應(yīng)的職業(yè)證書才能晉升上崗，否則不予任用。
3.通過合理的認(rèn)證標(biāo)準(zhǔn)來動(dòng)態(tài)更新和完善培訓(xùn)體系的目標(biāo)任務(wù)
只有對(duì)培訓(xùn)成果進(jìn)行合理判斷，確定受訓(xùn)人員知識(shí)技能水平的提高幅度，才能了解培訓(xùn)項(xiàng)目是否達(dá)到原定的目標(biāo)和要求，從而為進(jìn)一步改進(jìn)培訓(xùn)體系提供重要依據(jù)。通過對(duì)培訓(xùn)人員最終考評(píng)成績(jī)的分析以及部隊(duì)調(diào)研，培訓(xùn)學(xué)員信息反饋等方式，針對(duì)培訓(xùn)內(nèi)容和教學(xué)組織形式聽取意見，并及時(shí)調(diào)整，使得培訓(xùn)效果真正適應(yīng)培訓(xùn)學(xué)員的實(shí)際需求，提高培訓(xùn)效果。這樣才能在保持相對(duì)穩(wěn)定的情況下對(duì)培訓(xùn)內(nèi)容實(shí)施動(dòng)態(tài)更新，不斷完善。
動(dòng)聯(lián)產(chǎn)品擁有“計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證”、“商用密碼產(chǎn)品型號(hào)證書”、“信息系統(tǒng)安全產(chǎn)品認(rèn)證”、“軍用信息安全產(chǎn)品認(rèn)證證書”、“產(chǎn)品信息安全認(rèn)證證書”等資質(zhì)。
動(dòng)聯(lián)產(chǎn)品主要應(yīng)用領(lǐng)域有：為各種機(jī)構(gòu)IT信息系統(tǒng)，如計(jì)算機(jī)主機(jī)、網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、中間件、數(shù)據(jù)庫、管理軟件等提供登錄保護(hù)，滿足國(guó)家《信息安全等級(jí)保護(hù)條例》等政策性要求，為客戶提供安全又方便的動(dòng)態(tài)密碼身份安全保護(hù)服務(wù)。
動(dòng)聯(lián)身份認(rèn)證產(chǎn)品
動(dòng)聯(lián)動(dòng)態(tài)密碼身份認(rèn)證軟件是由動(dòng)聯(lián)自主研發(fā)的一種安全可靠、簡(jiǎn)單易用的身份認(rèn)證軟件。該軟件基于動(dòng)態(tài)密碼技術(shù)，采用雙因素認(rèn)證機(jī)制，可以為網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)和其他信息系統(tǒng)登錄提供高強(qiáng)度的身份認(rèn)證保護(hù)，保障信息系統(tǒng)的安全。
動(dòng)聯(lián)動(dòng)態(tài)密碼身份認(rèn)證軟件支持多種動(dòng)態(tài)密碼認(rèn)證技術(shù)，為用戶的賬號(hào)提供全面保護(hù)：通過動(dòng)態(tài)密碼來保護(hù)賬號(hào)，可以有效防止盜號(hào)木馬攻擊；通過主機(jī)認(rèn)證，可以有效防止網(wǎng)絡(luò)釣魚；通過簽名動(dòng)態(tài)密碼，可以有效保護(hù)用戶交易的真實(shí)性和安全性，防止中間人的攻擊。
動(dòng)聯(lián)身份認(rèn)證軟件支持多種動(dòng)態(tài)密碼認(rèn)證終端，并支持多種終端混合使用。支持終端的形式包括多種品牌的多個(gè)型號(hào)的硬件動(dòng)碼令、軟件動(dòng)碼令、手機(jī)動(dòng)碼令、SIM動(dòng)碼令和短信動(dòng)碼令等。客戶可以根據(jù)自己的實(shí)際需求和預(yù)算選擇適合自己的認(rèn)證終端。
動(dòng)聯(lián)身份認(rèn)證軟件具備極高的性能，只需采用一套動(dòng)聯(lián)身份認(rèn)證軟件就可以為企業(yè)主要信息資產(chǎn)提供全面的動(dòng)態(tài)密碼保護(hù)，保護(hù)的范圍包括多個(gè)應(yīng)用系統(tǒng)、VPN訪問、大型數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、服務(wù)器和計(jì)算機(jī)終端。
動(dòng)聯(lián)提供全面的接口調(diào)用，包括Socket方式（可提供Jar包、動(dòng)態(tài)鏈接庫或Socket編程方式），支持WebServices和Radius協(xié)議。動(dòng)聯(lián)動(dòng)態(tài)密碼身份認(rèn)證軟件與應(yīng)用系統(tǒng)的集成開發(fā)極為方便，在實(shí)際的應(yīng)用案例中，往往1~3天內(nèi)即可完成。
電子政務(wù)身份認(rèn)證解決方案
動(dòng)聯(lián)結(jié)合電子政務(wù)的實(shí)際需求，采用動(dòng)態(tài)密碼認(rèn)證機(jī)制來鑒別用戶的身份合法性。只允許提供了動(dòng)態(tài)密碼的用戶接入系統(tǒng)，最大程度地保證登錄用戶確實(shí)為授權(quán)的個(gè)體，大大降低了攻擊和非法訪問的風(fēng)險(xiǎn)。
完全兼容現(xiàn)有電子政務(wù)系統(tǒng)的基礎(chǔ)認(rèn)證體系，包括公務(wù)員內(nèi)部辦公認(rèn)證、外部公眾身份認(rèn)證等。在認(rèn)證過程中，不影響電子政務(wù)系統(tǒng)的原業(yè)務(wù)邏輯，與電子政務(wù)系統(tǒng)應(yīng)用服務(wù)器之間的通信過程中采取雙向身份認(rèn)證的機(jī)制，能夠保證整個(gè)認(rèn)證過程不被繞過。
動(dòng)聯(lián)電子政務(wù)解決方案符合國(guó)家“信息安全等級(jí)保護(hù)條例”等政策性要求，從物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全等各方面提供了身份鑒別保護(hù)，幫助政府提高政務(wù)工作的效率，提升電子政務(wù)系統(tǒng)的安全等級(jí)。
通過安全認(rèn)證
隨著國(guó)航信息系統(tǒng)建設(shè)的飛速發(fā)展,在奧運(yùn)安全保障工作中,安全不再只是空防安全和飛行安全,信息安全已成為奧運(yùn)安保的重要環(huán)節(jié),并納入公司和信息管理部2008年重點(diǎn)工作之中。國(guó)航信息安全規(guī)劃咨詢項(xiàng)目就是在奧運(yùn)安保和國(guó)航信息系統(tǒng)跨越式發(fā)展的大背景下立項(xiàng)建設(shè)的,它旨在為國(guó)航信息安全體系建設(shè)打下堅(jiān)實(shí)的理論基礎(chǔ)。
國(guó)航也是通過這個(gè)項(xiàng)目完成了未來3~5年信息安全建設(shè)的發(fā)展規(guī)劃,建立了信息安全管理體系,于近日最終通過了ISO 27001信息安全管理體系認(rèn)證,使國(guó)航成為國(guó)內(nèi)首家通過此國(guó)際認(rèn)證的航空企業(yè),進(jìn)一步提升了公司的綜合競(jìng)爭(zhēng)實(shí)力。
記者了解到,ISO 27001是國(guó)際信息安全領(lǐng)域的重要標(biāo)準(zhǔn),它的前身源自英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)(British Standards Institute,BSI)在1995年2月制定的信息安全管理標(biāo)準(zhǔn) BS 7799,經(jīng)修訂后,于2005年10月15日作為國(guó)際標(biāo)準(zhǔn)ISOIEC 27001/2005。該標(biāo)準(zhǔn)基于風(fēng)險(xiǎn)評(píng)估的風(fēng)險(xiǎn)管理理念,可用于信息安全管理體系的建立和實(shí)施,保障信息安全,全面系統(tǒng)地持續(xù)改進(jìn)安全管理。國(guó)航的信息安全管理體系已于2008年12月就通過了國(guó)際權(quán)威認(rèn)證機(jī)構(gòu)的現(xiàn)場(chǎng)審核,具備了獲取ISO 27001信息安全管理體系國(guó)際認(rèn)證的條件。
在國(guó)航發(fā)展戰(zhàn)略中,信息安全占有非常重要的位置,幾乎所有業(yè)務(wù)都與信息技術(shù)相關(guān),特別是涉及到飛行安全、客戶信任度的商務(wù)及財(cái)務(wù)方面信息等,都需要信息安全管理體系這張保護(hù)網(wǎng)的保障,在這種發(fā)展趨勢(shì)下,國(guó)航以建立起成熟的、具備國(guó)際水平的信息安全保障體系,保障核心業(yè)務(wù)不中斷、核心系統(tǒng)不被攻擊、客戶信息不泄露為信息安全愿景目標(biāo),
中國(guó)國(guó)際航空股份有限公司信息管理部總經(jīng)理劉東說,國(guó)航有幾百個(gè)系統(tǒng)每天運(yùn)營(yíng)著國(guó)航所有的正常航線、飛機(jī)維護(hù)、機(jī)組人員的管理、人員的編排,還有財(cái)務(wù)的收益管理,以及訂座系統(tǒng)、離崗系統(tǒng)、網(wǎng)絡(luò)收益系統(tǒng)。對(duì)于航空公司來講,每個(gè)系統(tǒng)都不能失控,也不能出問題。
安全蹺蹺板
曾經(jīng)主抓飛行安全如今管信息安全的中國(guó)國(guó)際航空股份有限公司副總裁賀利,在回顧國(guó)航在信息安全方面取得建設(shè)的一些建設(shè)成果時(shí)表示,“信息安全的體系是一個(gè)很復(fù)雜的體系,我們?cè)跇I(yè)界經(jīng)常叫“安全蹺蹺板”,這個(gè)蹺蹺板主要是在IT基礎(chǔ)結(jié)構(gòu)的基礎(chǔ)上,包括三方面內(nèi)容:一是技術(shù)平臺(tái),二是組織和人員,三是制度和流程,由這三方面一起通過我們來執(zhí)行,去構(gòu)成信息安全體系。”
國(guó)航信息管理部技術(shù)管理辦公室高級(jí)經(jīng)理李宗琦表示,如果沒有信息安全管理體系這張保護(hù)網(wǎng),應(yīng)該說國(guó)航的飛行安全可能也無法得到保障。
第一要保證國(guó)航的核心業(yè)務(wù)不中斷,第二要保證國(guó)航信息系統(tǒng)不被攻擊,第三要保證重要客戶的信息不被泄漏,通過這樣的保障體系為國(guó)航的業(yè)務(wù)愿景的目標(biāo)實(shí)現(xiàn)保駕護(hù)航。
