《信息安全保障》一2.2 我国信息安全保障工作主要内容

本节书摘来自华章出版社《信息安全保障》一书中的第2章，第2.2节，作者 吴世忠 江常青 孙成昊 李华 李静，更多章节内容可以访问云栖社区“华章计算机”公众号查看

2.2　我国信息安全保障工作主要内容

为构建信息安全保障体系，我国已经在信息安全标准化、应急处理与信息通报、等级保护、风险评估和人才队伍建设等方面展开工作，并取得了一些成果。

2.2.1　信息安全标准化

信息安全标准为信息安全保障各项工作提供规范，为保障工作的各参与方提供交流和评判的基准，因此，信息安全标准化是国家构建信息安全保障体系的重要基础环节。
1.?意义
信息安全标准化工作是我国信息安全保障工作的重要组成部分之一，也是政府进行宏观管理的重要依据，同时也是保护国家利益、促进产业发展的重要手段之一。虽然国际上有很多标准化组织研究制定了多个信息安全标准，但是由于信息安全标准事关国家安全利益，因此不能过分依赖于国际标准，而是要在充分借鉴国际标准的前提下，通过本国组织和专家制定出符合本国国情并可以信任的信息安全技术和管理等领域的标准，切实有效地保护国家利益和安全。
信息安全标准是解决信息安全产品和系统在设计、研发、生产、建设、使用和测评中的一致性、可靠性、可控性、先进性和符合性的技术规范与依据。信息安全保障体系的建设是一个极其庞大的复杂系统，没有配套的安全标准，就不能构造出一个可用、实用的信息安全保障体系。信息安全标准化建设作为我国信息安全保障体系的重要组成部分，具有极其重要的意义。
信息安全标准化工作是解决信息安全问题的重要技术支撑，其作用突出地体现在能够确保有关产品、设施的技术先进性、可靠性和一致性。在按国际规则实行IT产品市场准入时能够为相关产品的安全性合格评定提供依据，以强化和保证我国信息化的安全产品、工程、服务的技术自主可控。
2.?实践历程
目前，国务院授权在国家质量监督检验检疫总局管理下，由国家标准化管理委员会统一管理全国标准化工作，下设有529个专业技术委员会。中国标准化工作实行统一管理与分工负责相结合的管理体制，由88个国务院有关行政主管部门和国务院授权的有关行业协会分工管理本部门、本行业的标准化工作，由31个省、自治区、直辖市政府有关行政主管部门分工管理本行政区域内本部门、本行业的标准化工作。
1984年7月，在我国的全国计算机与信息处理标准化技术委员会下，建立了相应的数据加密分技术委员会，在国家技术监督局和原电子工业部的领导下，归口管理国内外的信息技术数据加密的标准化工作。1997年8月，随着信息技术的发展和工作范围的扩大，在原数据加密分委员会的基础上，改组成立了信息技术安全分技术委员会（与国际ISO/IEC JTC1/SC27信息技术的安全技术分委会对应）。它是一个具有广泛代表性、权威性和军民结合的信息安全标准化组织，其工作范围是负责信息和通信安全的通用框架、方法、技术和机制的标准化，归口国内外对应的标准化工作。2002年4月，经国家标准化管理委员会批准，全国信息安全标准化技术委员会（简称“信安标委”，委员会编号为TC260）正式成立。
信安标委成立后，逐步形成“基础性研究——标准预研——标准制定”3个阶段波浪式的标准研制新模式，以工作组为主体开展信息安全标准的研究制定工作。工作组由国内信息安全技术领域的有关部门、研究机构、企事业单位及高等院校等代表组成，是标准研制的技术力量。目前正式成立了信息安全标准体系与协调工作组（WG1）、涉密信息系统安全保密工作组（WG2）、密码工作组（WG3）、鉴别与授权工作组（WG4）、信息安全评估工作组（WG5）、通信安全工作组（WG6）和信息安全管理工作组（WG7）7个工作组。
信安标委制定形成了我国信息安全标准体系框架，并以该标准体系框架作为指导我国信息安全标准制订工作的指导性技术文件，围绕信息安全保障体系建设，积极开展了配套标准的研究制定工作。
除全国信息安全标准化委员会、公安部信息系统安全标准化技术委员会、中国通信标准化协会网络与信息安全技术工作委员会3个专业性信息安全标准化组织外，我国其他有关主管部门和地方政府也发布了部分信息安全行业标准或地方标准。

2.2.2　信息安全应急处理与信息通报

发生信息安全事件可能造成严重损失和恶劣社会影响，我国非常重视信息安全事件管理。应急处理与信息通报是信息安全事件管理的重要内容。加强信息安全应急处理与信息通报是信息安全保障实践活动的重要内容，能够提高安全事件的整体应对能力。
1.?意义
国家信息基础设施安全应急保障工作是国家信息安全保障体系建设的重要组成部分。建立健全应急处理与信息通报机制依赖于建设和完善信息安全监控体系，提高网络安全事件应对和防范能力，防止有害信息传播。因此，高度重视信息安全应急处置工作，健全信息安全应急指挥和安全通报制度，不断完善信息安全应急处置预案，具有十分重要的意义。
1）信息安全应急处理与信息通报工作是国家信息安全保障工作的基本制度和重要措施。
建立国家网络与信息安全通报机制，有利于各部门、各领域实现信息交流与共享，综合分析安全威胁和安全状况，做好信息安全预警和防范工作，提升对信息安全事件的快速反应和整体应对能力，保证应对措施的及时性和有效性；有利于国家调动和整合各领域的有利资源，迅速、全面掌握整体情况，及时做出决策部署；有利于全社会增强安全防范意识，共同参与信息安全保障工作。因此，建立国家网络与信息安全通报制度，是国家信息安全保障工作的基本制度和重要举措。
2）信息安全应急处理与信息通报工作有利于提高基础信息网络与重要信息系统的信息安全防范、保障能力。
建立国家网络与信息安全信息通报制度，能够及时、全面地收集、汇总各方面的网络与信息安全信息，经过综合研判分析，提出对策、建议并及时通报基础信息网络和重要信息系统，为事件发生单位提供对策和技术支持，为其他单位提供预警信息，从而协助基础信息网络和重要信息系统全面掌握国内、外网络与信息安全政策和技术动态，有针对性地制定和实施安全防范措施，增强网络与信息安全防范、保障能力，确保涉及国计民生的基础信息网络和重要信息系统的安全。
3）信息安全应急处理与信息通报工作有助于加强国家网络与信息安全应急处置工作。
建立国家网络与信息安全通报制度，能够在发生重大网络与信息安全事件时，在国家网络与信息安全协调小组和成员单位之间以及各成员单位之间，建立畅通的信息交流渠道，全面收集事件的相关情况，及时上报协调小组，同时将协调小组的预警命令和决策部署下达到成员单位，做好预警和防范工作，建立健全国家信息安全应急处置协调机制和指挥调度机制，提高对网络与信息安全事件的快速反应和整体应对能力，保证应急处置措施的及时性和有效性，确保国家基础信息网络和重要信息系统的安全。
2.?实践历程
信息安全应急保障体系包括组织机构、标准法规、支撑系统和运行能力4个方面。组织机构是负责国家信息基础设施安全应急处理与通报工作的主体；标准法规是实施国家信息基础设施安全应急处理与通报工作的行为准则和技术标准；支撑