资料介绍
中华人民共和国认证认可行业标准
RB/T 201—2013
信息系统安全集成服务资质
认证评价要求
Evaluation requirementsforservicecapability certification-of
information-system securityintegration
2013-12-02发布 2014-06-15实施
中国国家认证认可监督管理委员会发 布
前言
本标准按照 GB/T 1. 1—2009给出的规则起草。
本标准由国家认证认可监督管理委员会提出并归口。
本标准起草单位 : 中国信息安全认证中心、国家质量监督检验检疫总局标准法规中心、华为技术有限公司。
本标准主要起草人 :翟亚红、曹雅斌、陈晓桦、张斌、张志军、宋志刚、李强、路明、李宗洋。
1 范围
本标准规定了信息系统安全集成(以下简称 “安全集成”)服务提供者应具备的基本要求、服务过程要求以及各个级别的具体要求。
本标准适用于评价机构对服务提供者的服务能力进行评价 ,也适用于信息系统所有者选择服务提供者 ,有关管理部门对服务提供者进行管理 , 以及服务提供者自我能力改进等。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件 ,仅注日期的版本适用于本文件。凡是不注日期的引用文件 ,其最新版本(包括所有的修改单)适用于本文件。
GB/T 5271. 8—2001 信息技术词汇第 8部分 :安全
GB/T 20261—2006 信息技术系统安全工程能力成熟度模型
3 术语、定义和缩略语
GB/T 5271. 8—2001《信息技术词汇第 8部分 :安全》、GB/T 20261—2006《信息技术系统安全工程能力成熟度模型》界定的以及下列术语、定义和缩略语均适用于本文件。
3. 1 术语和定义
安全集成 securityintegration
按照信息系统建设的安全需求 ,采用信息系统安全工程的方法和理论 ,将安全单元、产品部件进行集成的过程。安全集成包括在新建信息系统的结构化设计中考虑信息安全保障因素 ,从而使建设完成后的信息系统满足建设方或使用方的安全需求而开展的活动。也包括在已有信息系统的基础上额外增加信息安全子系统或信息安全设备等 ,通常被称为安全优化或安全加固。安全集成服务通常包括计算机应用系统工程和网络系统工程的安全需求确定、方案设计、建设实施、安全保障等活动。
3.2 缩略语
CISAW 信息安全保障从业人员认证(certified information security assurance worker)
CISSP 注册信息系统安全专家(certified information system security professional)
CISA 注册信息安全审核员(certified information security auditor)
PMP 项目管理专业人员资格认证(projectmanagementprofessional)
4 基本要求
4. 1 基本条件
服务提供者应 :
a) 具有中华人民共和国境内的独立法人资格和相关部门颁发的合法经营资格 ,具备独立承担民
事责任的能力 ;
b) 具有良好的商业信誉和健全的财务会计制度 ; 近两年内经济状况良好 ,财务数据真实可信 ,并应经国家相关部门认定的会计师事务所核实 ;
c) 具有固定的工作场所及提供服务所必需的设备和专业技术能力 ;
d) 遵守国家现行法律、法规的规定。
4.2 基本管理能力
a) 采取技术和管理措施确保客户信息的安全、可控 ,这些信息包括但不限于客户资料、集成活动中产生的文档、最终安全集成报告等 ;
b) 制定保密管理制度 , 明确保密岗位与职责 ,定期对服务人员进行保密教育与培训 ,并签订《保密责任书》,规定应当履行的安全保密义务和承担的法律责任 ,并负责落实 ;
c) 建立人员管理制度 ,使每一位服务人员持续满足岗位职责的需求 ; 制定安全集成技能培训计划 ,定期对服务人员进行培训、指导、考核 ;
d) 建立项目管理制度 ,并按照项目管理制度实施 ,包括建立与组织内外的交流机制、规划关键技术活动、分配资源与责任、设立里程碑及评审要求、明确监督检查要求、编制过程文档、提供工具、开展培训、策划服务过程等 , 以保证安全服务的质量 ;
e) 建立安全集成所需的设备采购管理制度 , 明确规定采购流程、各环节责任 ,确保采购质量 ,控制采购成本 ;准确识别供方提供的服务或系统构件 ,及其专业资质和能力 ,并与供方建立的有效沟通机制 ;
f) 制定符合业务需求的安全集成方案、报告等文档模板。
4.3 基本技术能力
a) 配备专门的技术人员关注并掌握信息安全技术、标准和法律法规 ;
b) 具备安全集成有关的工作流程及操作规范 ;
c) 具备制定安全集成方案并能够按照该方案实施的能力 ;能够提供安全集成服务报告、系统使用指南等文档 ;
d) 具备对安全集成系统进行检测和验证的能力 ;
e) 熟悉国内外主流的信息技术产品、信息安全产品的功能及特性 ;
f) 具有满足项目需要的开发、测试工具及模拟环境 ;
g) 配备专门的人员关注国内外权威机构发布的安全公告及漏洞公告 ,并对最新的安全相关技术进行研究。
5 服务过程要求
5. 1 安全集成服务过程概述
安全集成服务过程分为四个阶段 :集成准备、方案设计、建设实施、安全保障(见表 1)。
表 1 安全集成服务过程要求列表
集成准备阶段主要是确定安全需求、签订服务合同、确定服务人员、签订保密协议 ;方案设计阶段主要是根据国家及有关行业的要求 ,充分考虑各方面的安全需求和安全背景 ,设计出适用的项目方案 ;建设实施阶段主要是在新建或已运行的系统环境中实现项目方案的预期安全目标和效果 ;安全保障阶段主要是对完成施工的信息系统进行检验、检测 ,监控试运行情况 ,证明客户安全需求得到实现。
安全集成服务过程的四个阶段包括 10个主要控制措施(见表 1) ,共 43个过程要求项(集成服务各阶段的过程要求 ,见表 2、表 3、表 4、表 5)。过程要求项定义了安全集成服务过程各阶段的内容要点 ,可分为必备项(基本要求)和可选项(高级要求)。
表 2 安全集成服务准备阶段要求
注 : 表中列出了服务过程中所有级别均需满足的项为必备项 ,只有一级和或二级需要满足的项为可选项。
表 3 安全集成服务方案设计阶段要求
表 4 安全集成服务建设实施阶段要求
注 : 表中列出了服务过程中所有级别均需满足的项为必备项 ,只有一级和或二别需要满足的项为可选项。
表 5 安全集成服务安全保障阶段要求
表 5 (续)
5.2 集成准备
5.2. 1 确定安全需求
5.2. 1. 1 明确客户的内外部安全需求 ,并制定安全目标。 风险评估过程中识别的风险是客户安全需求的来源之一 ,可作为基本的安全需求依据。
5.2. 1.2 本要求的目标 :在安全需求方面与客户和相关团体达成共识。
5.2. 1.3 具体要求和说明如下 :
a) 理解安全需求 :收集和分析所有有助于全面理解客户安全需求的信息。
b) 识别适用的法律、政策和约束条件 :识别影响客户系统安全需求的法律、法规和行业标准等外部因素 ,并确定遵从全球性政策和本地政策的优先权。
c) 识别安全背景 :识别影响信息系统安全的背景因素 ,如信息系统的用途(如金融、医疗)、运行场景、技术发展的变化、社会当前热点事件。
d) 获取安全视图 :开发组织的高层次安全分析视图 ,包括业务需求、角色、职责、信息流、资产、资源、人员保护以及物理保护等。
e) 识别安全目标 :识别满足信息系统安全需求的安全目标。安全目标应至少涉及信息系统及其承载信息的可用性、保密性、完整性、可核查性、真实性和可控性要求等。
f) 定义安全要求 :定义信息系统的安全要求 ,并确保安全要求与适用的政策、法律、标准、安全需求以及约束条件保持一致。安全要求应全面体现信息系统的安全需求 ,并与安全目标建立对应关系。
g) 达成安全协议 :依据安全要求和客户需求 ,与客户和相关团体达成共识。
5.2.2 确定服务合同
确定服务合同包括 :
a) 与客户和供方在服务合同中至少明确服务范围、目标、质量等 ;
b) 与客户和供方在服务合同中明确项目保密责任和违约责任。
5.2.3 确定服务人员和组织
与客户和供方确定项目人员构成 ,并控制由项目人员变更带来的相关风险。
5.2.4 签订保密协议
与客户和供方签订保密协议 ;注意保密内容与客户要求的一致性。
5.3 方案设计
5.3. 1 基于 5. 2. 1 中识别的安全需求 , 为信息系统的规划人员、设计人员、实施人员和客户提供所需的安全输入信息。
5.3.2 本要求的目标 :
a) 评审信息系统中所有涉及安全的问题 ,并按照安全目标在方案设计中落实 ;
b) 安全集成项目组及各工作组所有成员都应该理解安全问题 , 以各司其职 ;
c) 项目方案应反映所提供的安全需求和要求。
5.3.3 具体要求和说明如下 :
a) 理解安全需求 : 与设计人员、开发人员、客户沟通确认 , 以确保相关团体对安全输入需求达成共识。
b) 确定安全约束条件和考虑事项 : 安全集成项目组应分析和确定在需求、设计、实施、配置和文档方面的安全约束条件 和考 虑事 项 , 以便 于在 各工 作组 的具 体工 作中 做出 最佳 的安 全集 成选择。
c) 识别安全集成项目方案 : 根据客户安全需求以及其他约束条件 ,识别和制定项目方案。
d) 评审项目方案 : 各工作组和安全集成项目组要利用已识别的安全约束条件和考虑事项评审项目方案。
e) 提供安全集成指南 : 安全集成项目组应开发项目相关的安全集成指南 ,并把它提供给各工作组。各工作组根据相关的 安全 集成 指南 对信 息系 统体 系结 构、设计 和实 现的 选择 条件 做出决定。
f) 提供安全运行指南 : 安全集成项目组应设计并开发安全运行指南 ,并提供给系统用户和管理员。运行指南指导用户和管理员以安全的方式进行安装、配置、运行和废弃系统。
5.4 建设实施
5.4. 1 协调安全
5.4. 1. 1 协调安全的目的是确保所有相关组织和工作组人员都能积极参与安全集成项目。协调安全涉及到保持所有项目人员与外部组织以及工作组之间沟通。
5.4. 1.2 本要求的目标 :
a) 项目组的所有成员都能主动地参与到安全集成项目中 ,最大程度地发挥他们的作用 ;
b) 沟通和协调有关安全的决策和建议。
5.4. 1.3 具体要求和说明如下 :
a) 制定协调目标 : 需要相关工作组重视并参与安全集成项目。根据项目组的信息需求和项目要求决定共享信息的目标 ,并建立与他们之间的合作关系和承诺。
b) 识别协调机制 : 识别在项目 中协调安全的不同方法 ,用于与相关组织共享安全集成的决策和建议。
c) 促进安全协调 : 确保以合适和有效的方式来解决项目开展期间的意见分歧。
d) 协调安全决策和建议 : 运用已识别的协调机制 ,与项目组人员、各工作组及其他组织沟通安全决策和建议。
5.4.2 管理安全控制
5.4.2. 1 管理和维护安全控制措施。通过正确实施和配置 ,确保信息系统的安全措施在其运行状态下达到预期目标。
5.4.2.2 本要求的目标 :正确配置和使用安全控制措施。
5.4.2.3 具体要求和说明如下 :
a) 建立安全职责 :确保相关负责人的行为职责得到授权 ,并且传达给组织中的所有成员。无论采用什么安全控制措施 ,都应该确保管理职责是明确和持续适用的。
b) 管理安全控制措施的配置 : 对信息系统安全控制机制进行配置管理 ,制定相关流程和要求。
c) 管理安全意识、培训和教育 : 对所有员工的安全意识、培训和教育进行管理。
d) 定期维护与管理安全控制措施 : 定期维护和管理安全服务和控制措施 ,包括保护服务和控制机制免受有意或者无意的损坏 ,并依据法律和政策的要求进行备案。
5.4.3 监控安全态势
5.4.3. 1 监控安全态势的目的是确保识别和报告所有的安全违规行为、试图违规行为或能够潜在地导致安全违规的错误。监控安全态势需要监控内部和外部环境中可能影响信息系统安全的所有因素。
5.4.3.2 本要求的目标 :
a) 检测和跟踪内部与外部的安全事件 ,并根据策略进行安全响应 ;
b) 根据安全目标 ,识别并处理安全态势的变化。
5.4.3.3 具体要求和说明如下 :
a) 分析事件记录 : 检查安全信息相关的事件记录。识别值得关注的事件 , 以及与其他事件的关联性。
b) 监控变化 : 关注可能影响当前安全状态有效性的任何变化。威胁、脆弱性、影响和风险与信息系统的安全紧密相关。
c) 识别安全事件 : 确定是否发生了安全事件 ,识别其详细情况并且在必要时向上级报告。
d) 监控安全防护措施 : 经常检查安全防护措施的运行状态 , 以便识别出其功能的有效性和性能的变化。
e) 评审安全态势 : 定期检查安全措施和相关的安全要求 , 以识别必要的安全变更。
f) 管理安全事件响应 : 制定应急响应计划和快速恢复策略与计划 ;并定期测试和维护应急响应计划。
g) 保存安全监控结果 : 封存和归档安全监控日志、审计报告和分析结果。
5.5 安全保障
5.5. 1 建立保障论据
5.5. 1. 1 建立保障论据的目的是通过相关的证据清楚地表明客户的安全需求已经得到满足。保障论据是由多种保障证据支持的一系列陈述性保障目标 ,包括识别和定义的保障要求、证据的产生和分析活动以及支持保障要求所需的附加证据活动。
5.5. 1.2 本要求的目标 :项目工作结果和工作过程向客户明确地提供了其安全需求已被满足的证据。
5.5. 1.3 具体要求和说明如下 :
a) 识别保障目标 : 由客户确定的安全保障目标指明了信息系统需要的信任等级和安全策略实现的信任等级。保障目标的充分性应该由开发商、集成商、客户和信息系统运维人员共同确定。
b) 制定保障策略 :制定安全保障策略的目的是策划和确保安全目标被正确地贯彻和落实。通过制定和颁布安全保障策略 ,实现对安全保障相关活动的有效管理。
c) 控制保障证据 :在安全集成项目各阶段活动中识别并收集各种安全证据。本过程所产生的保障证据将会提供安全措施满足安全风险管理的可接受的信任等级。安全证据应该进行控制和管理 , 以确保与当前工作结果的通用性和与安全保障目标的关联性。
d) 分析保障证据 :分析保障证据 , 以提供满足安全目标的证据的信任等级 ,从而满足客户的安全需求。通过分析保障证据 ,可以确定安全建设实施过程和安全验证过程是否充分和完善 , 以便判断安全机制和安全功能的实现是否令人满意。 同时 ,也确保了安全集成项目结果相对于安全基线而言也是完整的和正确的。
e) 提供保障论据 : 向客户提供用于表明与安全保障目标相符合的整体安全保障论据。保障论据应该被评审 , 以确保保障证据的充分性和满足安全保障目标。
f) 制定测量准则 :可根据项目实际情况制定安全测量准则。安全测量准则有利于安全决策、绩效提升和职责核查。测量安全绩效的目的是基于已识别的测量准则监控安全运行的状态 , 以便于通过实施纠正措施进行过程改进。测量准则有助于监控保障策略和保障目标的完成。
5.5.2 验证和确认安全
5.5.2. 1 确保项目方案得到验证和确认。验证表明项目方案被正确地实施 , 而确认则证明项目方案是有效的。根据安全要求、体系结构和安全设计方面的信息 , 通过观察、演示、分析和测试来验证项目方案。通过客户的安全需求和安全目标确认项目方案。
5.5.2.2 本要求的目标 :用事实证明项目方案满足客户的安全需求和要求。
5.5.2.3 具体要求和说明如下 :
a) 识别项目方案 :分别识别验证和确认活动的目标。这涉及在安全集成项目 的整个生命周期内与所有工作组的协调。
b) 识别验证和确认方法 :识别待验证和确认项目方案的方法 , 涉及如何验证和确认每一项安全需求的方法。严格等级用于指明验证和确认工作的细致程度 , 而且这受到 “建立保障论据 ”中“制定面向所有安全目标的安全保障策略 ”预期输出结果的影响。
c) 执行验证 :通过确认安全要求(包括 “建立保障论据 ”识别的安全保障要求)来验证项目方案是正确的。
d) 执行确认 :确认项目方案的目的是表明项目方案能够有效地满足客户的安全需求。有多种方式提供确认证据证明客户安全需求已经得到满足 , 比如在运行环境或者代表性测试环境中测试项目方案。
e) 获取验证和确认结果 :获取并提供验证和确认的结果。验证和确认的结果应该以一种容易理解和使用的方式提供。结果应该能被跟踪 , 以保持从安全需求到安全要求、项目方案、测试结果的可跟踪性。
6 各级评价要求
6. 1 概述
根据服务提供者的机构基本资格、管理能力、技术能力和服务过程要求等要素 ,可将服务提供者的服务能力划分为三个级别。安全集成服务能力级别分为一级、二级、三级共三个级别 ,其中一级最高。各级别的具体要求见 6. 2、6. 3、6. 4。
6.2 三级要求
6.2. 1 基本资格
三级的基本资格应满足以下所有要求 :
a) 基本条件 :应满足 4. 1 的所有要求 ;
b) 注册资本 :产权关系明晰 ,注册资本不少于 200万元人民币 ;
c) 人员素质要求 :安全集成 服务 人员 10名以 上 ; 本科 以上 学历 人员 占机 构总 人数 比例 在 60%以上 ;
d) 具有信息系统安全 服务 相关 的资 质人 员至 少 2 人 (如 CISAW、信息 安全 管理 体系 审核 员、 CISSP、CISA等) ;至少有 1人具有项目管理(如 PMP、计算机信息系统集成项目经理等)的资格证书 ;
e) 主要负责人应具有 2 年以上从事信息技术领域企业管理经历 , 主要技术负责人应获得电子信息技术类高级职称且从事安全集成技术工作不少于 2 年 ,财务负责人应具有初级以上职称 ;
f) 从业时间 :从事安全集成服务 1 年以上 ;
g) 从业经验 :独立完成中小型企业的信息系统集成项目 ;近 3 年内至少完成 4个以上完整的信息安全集成项目 ,按合同要求质量合格 , 已通过验收并投入实际应用。项目合同总金 额不 少于300万元人民币。至少完成一个 100万以上的安全集成项目。
6.2.2 管理能力
三级的管理能力应满足 4. 2 的所有要求。
6.2.3 技术能力
三级的技术能力应满足 4. 3 的所有要求。
6.2.4 服务过程要求
三级的服务过程应满足第 5 章的所有必备要求。
6.3 二级要求
6.3. 1 基本资格
二级的基本资格应满足以下所有要求 :
b) 注册资本 :产权关系明晰 ,注册资本不少于 1 000万元人民币 ;
c) 人员素质要求 :安全集成 服务 人员 20名以 上 ; 本科 以上 学历 人员 占机 构总 人数 比例 在 70%以上 ;
d) 具有安全集成服务相关的资质人员至少 6 人 (如 CISAW、信息安全管理体系审核员、CISSP、 CISA等) ;至少有 2人具有项目管理(如 PMP、计算机信息系统集成项目经理等)的资格证书 ;
e) 主要负责人应具有 3 年以上从事电子信息技术领域企业管理经历 , 主要技术负责人应获得电子信息技术类高级职称 且从 事安 全集 成技 术工 作不 少于 3 年 , 财务 负责 人应 具有 中级 以上职称。
f) 从业时间 :从事安全集成服务 3 年以上 ;
g) 从业经验 :独立完成省级范围的信息安全集成项目或大型企业的信息安全集成项目 ;近 3 年内至少完成 6 个以上完整的信息安全集成项目且无客户投诉 ,项目合同总金额不少于 1 000万元人民币 ;至少完成一个 200万以上的安全集成项目。
6.3.2 管理能力
二级的管理能力方面应满足以下所有要求 :
a) 基本管理能力应满足 4. 2 的所有要求 ;
b) 制定项目质量管理计划 ,跟踪项目过程和结果的质量。
6.3.3 技术能力
二级的技术能力方面应满足以下所有要求 :
a) 基本技术能力应满足 4. 3 的所有要求 ;
b) 应具有足够的技术力量 ,根据客户业务的安全需求开发信息安全产品或支持性工具的能力。
6.3.4 服务过程要求
二级的服务过程应满足第 5 章的所有必备要求及部分可选要求。
6.4 一级要求
6.4. 1 基本资格
一级安全集成服务能力的基本资格应满足以下所有要求 :
b) 注册资本 :产权关系明晰 ,注册资本不少于 2 000万元人民币 ;
c) 人员素质要求 :安全集成 服务 人员 30名以 上 ; 本科 以上 学历 人员 占机 构总 人数 比例 在 80%以上 ;
d) 具有信息系统安全 服务 相关 的资 质人 员至 少 10人 (如 CISAW、信息 安全 管理 体系 审核 员、 CISSP、CISA等) ;至少有 5人具有项目管理(如 PMP、计算机信息系统集成项目经理等)的资格证书 ;
e) 主要负责人应具有 5 年以上从事电子信息技术领域企业管理经历 , 主要技术负责人应获得电子信息类高级职称且从事系统集成技术工作不少于 5 年 ,财务负责人应具有中级以上职称。
f) 从业时间 :从事安全集成服务 5 年以上 ;
g) 从业经验 :独立完成全国范围的信息安全集成项目 ; 近 3 年内至少完成并通过验收的 10个以上完整的安全集成服务项目且无客户投诉 ,项目合同总金额不少于 2 000万元人民币 ; 至少完成一个 500万以上的安全集成项目。
6.4.2 管理能力
一级的管理能力方面应满足以下所有要求 :
b) 制定服务质量持续改进的制度 ,跟踪其落实情况 ;
c) 参考信息安全相关标准建立信息安全管理体系并运行 3个月以上。
6.4.3 技术能力
一级的技术能力方面应满足以下所有要求 :
b) 应具有足够的技术力量 ,根据客户业务的安全需求开发信息安全产品或支持性工具的能力 ;
c) 应具有足够的技术力量 ,对市场上普通使用的信息安全产品进行功能分析、提出安全策略及对安全产品进行集成的能力 ;
d) 至少提供一个已完成的信息系统 ,经国家(或行业)权威机构或专家组验证其安全性符合要求。
6.4.4 服务过程要求
一级的服务过程应满足第 5 章的所有过程控制要求。
7 评价要求
对安全集成服务提供者的服务能力主要是从基本资格、管理能力、技术能力、服务过程要求等 4 个方面综合评价。各级别评价要求对比参见附录 A。
基本资格主要包括基本条件、注册资本、人员素质要求、从业时间、从业经验等方面。管理能力包括保密管理、人员管理、采购管理、项目管理、质量管理、信息安全管理等方面 ;技术能力包括工具开发与使用、安全集成方案与报告的编写、安全集成系统进行检测和验证、安全技术的研究与跟踪能力等多个方面 ;服务过程要求包括集成准备、方案设计、建设实施、安全保障 4个方面。
评价所依据的证明材料至少包含 :
a) 营业执照、独立法人资格证明 ;
b) 从事信息安全风险评估服务的相关资质证明材料 ;
c) 人员构成与素质证明材料 ;
d) 安全保密制度及措施 ;
e) 项目管理制度及措施 ;
f) 信息安全管理制度及措施(适用一级) ;
g) 一个已完成的信息系统 ,经国家(或行业)权威机构或专家组验证其安全性符合要求的证明材料 (适用一级) ;
h) 组织结构、规模与资产、设施环境相关材料 ;
i) 项目案例及业绩证明材料 ;
j) 安全集成流程与操作规范、质量管理等材料。
附录 A
(资料性附录)
信息系统安全集成服务资质认证要求简表
表 A. 1 信息系统安全集成服务资质认证要求简表
表 A. 1 (续)
参考 文献
[1] YD/T 1621—2007 网络与信息安全服务资质评价准则
[2] YD/T 1799—2008 网络与信息安全应急处理服务资质评估方法
[3] YD/T 2252—2011 网络与信息安全风险评估服务能力评估方法
[4] GB/T 22080—2008 信息技术安全技术信息安全管理体系
[5] CNCA/CTS0052—2007 信息安全服务资质认证技术规范
[6] ISO/IEC 21827:2008 信息技术安全技术系统安全工程能力成熟度模型
[7] SSE-CMM 3. 0:2003 系统安全工程能力成熟度模型
