网络安全等级保护2.0等级测评结论判定方法

栏目: IT技术 · 发布时间: 4年前

内容简介:网络安全等级保护2.0正式实施后,等级测评结论的判定较等保1.0时代的判定方法有着重大的变化,本篇对等保2.0时代等级测评结论的判定方法进行概述。等级测评综合得分依据综合得分计算公式给出,等级测评结论由综合得分和被测对象面临的风险等级综合决定。即,网络安全等级保护2.0等级测评结论的判定是定性加定量的综合评价,其中:

网络安全等级保护2.0正式实施后,等级测评结论的判定较等保1.0时代的判定方法有着重大的变化,本篇对等保2.0时代等级测评结论的判定方法进行概述。

结论

等级测评综合得分依据综合得分计算公式给出,等级测评结论由综合得分和被测对象面临的风险等级综合决定。

即,网络安全等级保护2.0等级测评结论的判定是定性加定量的综合评价,其中:

定性:被测对象面临的风险等级;

定量:综合得分(可看做“被测指标符合率”)。

解答

等级保护综合得分综合得分计算公式:

网络安全等级保护2.0等级测评结论判定方法

在网络安全等级保护基本要求中,共包括10个安全类:安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理,分别用D1、D2、D3、D4、D5、D6、D7、D8、D9、D10代表10个安全类,也就是说只有D1、D4会涉及对对象。

因测评项量化集为(0,0.5, 1),于是报告模板中的公式可以写成:

网络安全等级保护2.0等级测评结论判定方法

在网络安全等级保护2.0中,可信计算为可,暂不计入算分。D3、D5、D6、D7、D8、D9、D10的计算方法同D2,而D1,D4涉及多对象、多类对象,详细计算方法如下:

如安全通信网络这一安全类中,可求得D2:

网络安全等级保护2.0等级测评结论判定方法

于是可得:

网络安全等级保护2.0等级测评结论判定方法

被测对象面临的风险等级:

风险评估方法有两种:

i.定性分析

定性分析基于测评师的经验给出,同时可参考高风险判例指引得出,但存在一定的主观性和不可控性。

ii.定量分析

当前暂未有较优的量化方法,从定性到定量有一定的难度。本文参考GB/T 20984-XXXX信息安全风险评估规范中关于风险的评判方法,结合网络安全等级测评中发现的安全问题进行风险评判。

网络安全等级保护2.0等级测评结论判定方法

风险分析方法

基于网络安全等级保护测评工作,可以识别等级保护对象面临的风险,在风险识别基础上开展风险分析,风险分析应:

a)根据威胁出现的可能性及脆弱性被利用的可能性的基础上,确定安全事件发生的可能性;
b)根据脆弱性的严重程度及其作用的资产重要性,确定安全事件发生后的损失;
c)根据安全事件发生的可能性以及安全事件发生后造成的损失,确定被评估对象面临的风险。

基于上述风险分析方法,结合GB/T 20984-XXXX中附录F.2相乘法给出网络安全等级测评中的风险分析方法。

1.脆弱性等级

基于网络安全等级保护测评发现的安全问题,分析安全问题的严重程度,识别脆弱性等级A。A可根据安全问题的严重程度对脆弱性进行(1~5)赋值,A={1,2,3,4,5};

2.关联资产等级

安全问题关联资产,根据资产的重要性确定资产等级B,B可基于资产的完整性、保密性、可用性(C、I、A)进行(1~5)赋值,B={1,2,3,4,5};

3.威胁安全级别

基于安全问题关联的威胁发生的可能性C进行(1~5)赋值,C={1,2,3,4,5};

4.安全事件发生的可能性

安全事件发生的可能性D是基于威胁出现的可能性C及脆弱性被利用的可能性B求得,利用相乘法,可得:

网络安全等级保护2.0等级测评结论判定方法

5.安全事件发生后的损失

安全事件发生的损失E基于脆弱性的严重程度A及其关联资产重要性B求得,可得:

网络安全等级保护2.0等级测评结论判定方法

6.评估对象面临的风险

安全事件的风险值基于安全事件发生的可能性D以及安全事件发生后造成的损失E求得,可得:

网络安全等级保护2.0等级测评结论判定方法

综合可得:

网络安全等级保护2.0等级测评结论判定方法

基于上述方法可得到安全问题的风险级别以及被测等级保护对象面临的安全问题的风险等级。

等级测评结论判定方法

1)等级测评结论为优,当满足下列某一情形时:

a)被测等级保护对象存在低风险,被测等级保护对象得分大于等于90分;
b)被测等级保护对象不存在中、高风险。

2)等级测评结论为良,当满足下列某一情形时:

a)被测等级保护对象存在中风险,得分大于等于80分;
b)被测等级保护对象存在低风险,得分介于80分与90分(不含90分)之间。

3)等级测评结论为中,当满足下列情形时:

a)被测等级保护对象无高风险,得分介于70分与80分(不含80分)之间。

4)等级测评结论为差,当满足下列某一情形时:

a)被测等级保护对象存在高风险;
b)被测等级保护对象无高风险,得分介于60分与70分(不含70分)之间。

等级测评综合判断矩阵表:

网络安全等级保护2.0等级测评结论判定方法

*本文原创作者:艾尔等保之道,本文属于FreeBuf原创奖励计划,未经许可禁止转载


以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

文明之光

文明之光

吴军 / 人民邮电出版社 / 2014-12 / 177元

吴军博士从对人类文明产生了重大影响却在过去被忽略的历史故事里,选择了有意思的几十个片段特写,以人文和科技、经济结合的视角,有机地展现了一幅人类文明发展的宏大画卷。 《文明之光》系列大致按照从地球诞生到近现代的顺序讲述了人类文明进程的各个阶段,每个章节相对独立,全景式地展现了人类文明发展历程中的多样性。《文明之光》系列首册讲述从人类文明开始到近代大航海这一历史阶段,共八个专题。第二册讲述了从近......一起来看看 《文明之光》 这本书的介绍吧!

图片转BASE64编码
图片转BASE64编码

在线图片转Base64编码工具

SHA 加密
SHA 加密

SHA 加密工具

XML 在线格式化
XML 在线格式化

在线 XML 格式化压缩工具