网络安全等级保护：信息系统安全运维管理指南思维导图

2022年11月9日10:32:36评论90 views字数 2273阅读7分34秒阅读模式

安全运维管理与运维管理有共通的地方，也有其不同处。

关注公众号，回复“213211”获取“信息系统安全运维管理指南思维导图”清晰版，获取文档后，记得帮忙分享一下哦！

GB/T 28827系列标准，通过六个部分，对信息技术服务运行维护进行了阐释，这套标准对应着我们ITSS的认证工作，很多单位取得了ITSS认证，但只停留在资质本身，而实际参与工作的人并没有被宣贯，参与实际工作的对此知之甚少，依然是我行我素的主观性开展工作，究竟是否“达标”全凭感觉，因为在这些从业人员心理，不知道标准在哪里，所以无所谓达标不达标，或者有些人能力很强却使偏了劲。

GB/T 28827共有六部分分别是：

——第1 部分：通用要求；

——第2 部分：交付规范；

——第3 部分：应急响应规范；

——第4 部分：数据中心服务规范；

——第5 部分：桌面及外围设备服务规范；

——第6 部分：应用系统服务规范。

网络安全等级保护：信息系统安全运维管理指南思维导图

而《信息安全技术信息系统安全运维管理指南》在制定中，也必然参考GB/T 28827系列标准，该标准提供了信息系统安全运维管理体系的指导和建议，给出了安全运维策略、安全运维组织的管理、安全运维规程和安全运维支撑系统等方面相关活动的目的、要求和实施指南。标准定位可用于指导各组织信息系统安全运维管理体系的建立和运行。

标准中给出了安全运维体系，信息系统安全运维体系是一个以业务安全为目的的信息系统安全运行保陷体系。通过该体系，能够及时发现并处置信息资产及其运行环境存在的脆弱性、入侵行为和异常行为。体系里提供了一个安全运维模型，如下图：

网络安全等级保护：信息系统安全运维管理指南思维导图

进而进行安全运维活动分类，安全运维体系涉及安全运维策略确定、安全运维组织管理、安全运维规程制定和安全运维支撑系统建设等四类活动。

安全运维策略明确了安全运维的目的和方法，主要包括策略制定和策略评审两个活动。

安全运维组织明确了安全运维团队的管理，包括运维的角色和责任、聘用前审查、工作履行职责、聘用终止和变更。

安全运维规程明确了安全运维的实施活动，包括资产管理、日志管理、访问控制、密码管理、漏洞管理、备份、安全事件管理、安全事件应急响应等。

安全运维支撑系统给出了主要的安全运维辅助性系统的工具。

在安全运维活动要素方面，提及安全运维活动要素包含了目的、要求和实施指南三个方面。

目的部分描述了安全运维活动的意义。

要求部分描述了安全运维活动的指标要求。

实施指南描述了达成安全运维活动目标、实现安全运维要求的方法和手段。

在安全运维管理原则方面，为了保证安全运维体系的可靠性和有效性，安全运维体系建设要求遵循以下内容：

基于策划、实施、检查和改进的过程进行持续完善。可以根据信息系统的安全保护等级要求，对控制实施情况进行定期评估；

安全运维体系建设应兼顾成本与安全。根据业务安全需要，制定相应的安全运维策略、建立相应的安全运维组织、制定相应的安全运维规程及建设相应的安全运维支撑系统。

从整个安全运维管理看，我们可以结合《信息安全技术网络安全等级保护基本要求》中有关运维安全管理相关要求，我们会发现其各种活动的要求与本标准实现的一致性，而我一直在重复一个观点就是《信息安全技术网络安全等级保护基本要求》给出了我们的目标，而其他标准给出了我们实践路径和方法论，而更细致的标准和知识给出了具体详细的落地举措。

网络安全等级保护：信息系统安全运维管理指南思维导图

比照《信息安全技术信息系统安全运维管理指南》，我们不难发现其可以对应到《信息安全技术网络安全等级保护基本要求》安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理中的一些要求项，以《信息安全技术网络安全等级保护基本要求》中安全运维管理，我们不难发现其中可以对照的地方。如资产管理、漏洞和风险管理、安全事件管理和响应等，都是可以参考的内容。

层面	对应指标
安全运维管理	环境管理
	资产管理
	介质管理
	设备维护管理
	漏洞和风险管理
	网络和系统安全管理
	恶意代码防范管理
	配置管理
	密码管理
	变更管理
	备份与恢复管理
	安全事件处置
	应急预案管理
	外包运维管理