ccrc信息安全风险评估等级，信息安全风险评估机构

什么是信息安全风险评估？

风险评估是指从风险管理角度，依据国家有关信息安全技术标准和准则，运用科学的方法和手段，对信息系统及处理、传输和存储信息的保密性、完整性及可用性等安全属性进行全面科学地分析;对网络与信息系统所面临的威胁及存在的脆弱性进行系统的评价;对安全事件一旦发生可能造成的危害程度进行评估，并提出有针对性地抵御威胁的防护对策和整改措施。

相关问答

Q1: 什么是信息安全、等级保护以及风险评估？

一、等级保护、风险评估和安全测评的概念和提出背景

1、等级保护

信息安全等级保护是指对国家秘密信息、法人和其他组织和公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的安全产品实行按等级管理，对信息系统中发生的信息安全事件进行等级响应、处置。

注意：这里所指的信息系统，是指由计算机及其相关、配套的设备和设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络。信息则是指在信息系统中存储、传输、处理的数字化信息。

提出背景：

1994年2月颁布的《中华人民共和国计算机信息系统安全保护条例》规定：计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。

1999年，公安部组织起草了《计算机信息系统安全保护等级划分准则》(GB 17859-1999)，规定了计算机信息系统安全保护能力的五个等级，即第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。GB17859中的分级是一种技术的分级，即对系统客观上具备的安全保护技术能力等级的划分。

2002年7月18日，公安部在GB17859的基础上，又发布实施了五个GA新标准，分别是:GA/T 387-2002《计算机信息系统安全等级保护网络技术要求》、GA 388-2002 《计算机信息系统安全等级保护操作系统技术要求》、GA/T 389-2002《计算机信息系统安全等级保护数据库管理系统技术要求》、GA/T 390-2002《计算机信息系统安全等级保护通用技术要求》、GA 391-2002 《计算机信息系统安全等级保护管理要求》。这些标准是我国计算机信息系统安全保护等级系列标准的一部分。

2004年，在《关于信息安全等级保护工作的实施意见的通知》(简称66号文)中，信息和信息系统的安全保护等级被划分为五级，即第一级：自主保护级；第二级：指导保护级；第三级：监督保护级；第四级：强制保护级；第五级：专控保护级。特别强调的是，66号文中的分级主要是从信息和信息系统的业务重要性及遭受破坏后的影响出发的，是系统从应用需求出发必须纳入的安全业务等级，而不是GB17859中定义的系统已具备的安全技术等级。

2、风险评估

信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。

提出背景：

风险评估不是一个新概念，金融、电子商务等许多领域都有风险及风险评估需求的存在。当风险评估应用于IT领域时，就是对信息安全的风险评估。国内这几年对信息安全风险评估的研究进展较快，具体的评估方法也在不断改进。风险评估也从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用BS7799、OCTAVE、NIST SP800-26、NIST SP800-30、AS/NZS4360、SSE-CMM等方法，充分体现以资产为出发点、以威胁为触发、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。

2004年，国务院信息化工作办公室组织完成了《信息安全风险评估指南》及《信息安全风险管理指南》标准草案的制定，并在其中规定了信息安全风险评估的工作流程、评估内容、评估方法和风险判断准则，这对规范我国信息安全风险评估的做法具有很好的指导意义。

3、系统安全测评

由具备检验技术能力和政府授权资格的权威机构，依据国家标准、行业标准、地方标准或相关技术规范，按照严格程序对信息系统的安全保障能力进行的科学公正的综合测试评估活动，以帮助系统运行单位分析系统当前的安全运行状况、查找存在的安全问题，并提供安全改进建议，从而最大程度地降低系统的安全风险。

注意：认证则是对测评活动是否符合标准化要求和质量管理要求所作的确认，认证以标准和测评的结果作为依据。

提出背景:

我国的系统认证虽然起步较早，但由于认证周期、建设差异等多方面的原因，目前的系统认证数量还非常少。在我国，中国信息安全产品测评认证中心(简称CNITSEC)是较早并较有影响力的开展有关系统安全测评认证的机构。

国家认监委等8部委联合下发的《关于建立国家信息安全产品认证认可体系的通知》(简称57号文)明确规定，对信息安全产品进行“统一标准、技术规范与合格评定程序；统一认证目录；统一认证标志；统一收费标准”的“四统一”的认证要求。在国家认监委对信息系统的安全认证相关具体意见尚未出台前，多数情况下，系统安全测评的结果可直接作为主管部门对系统安全认可的依据。

二、三者的联系和区别

等级保护是指导我国信息安全保障体系建设的一项基础管理制度，而风险评估、系统测评则是在等级保护制度下，对信息及信息系统安全性进行评价的两种特定的、有所区分但又有所联系的的不同的研究、分析方法。从这个意义上讲，等级保护要高于风险评估和系统测评。

打个比方：如果说等级保护是指导信息安全建设的宪法，风险评估和安全测评则是针对系统安全性评估或合格判定方面的专项法律。

Q2: 在哪儿能查到ccrc一级有几家?

在哪儿能查到ccrc一级有几家?要不是小卓亲自统计的数据，小卓都不敢相信，截止2020年9月24日，小卓在中国网络安全审查技术与认证中心网站上统计到的数据为2020年通过CCRC信息安全服务资质一级资质认证的企业数量竟然只有26家！更多数据，请看下文。



深圳市卓航信息科技有限公司

中国网络安全审查技术与认证中心的信息安全服务资质，2020年通过且获证的企业数量一共是：906家，三级780家；二级100家；一级26家。

以上就是小卓在中国网络安全审查技术与认证中心网站上统计到的数据啦，统计时间为2019年9月24日。

Q3: 信息安全风险评估分为哪几种

风险评估的方式分为自评估（自查）和检查评估两类。信息安全风险评估以自评估为主，自评估和检查评估相互结合、互为补充。

自评估：是指电脑系统自带的、运营中的、或者单位自行发起的风险评估。

自评估是组织为了定期了解自身安全状态而进行的一种评估活动，在组织信息安全管理中有着重要的作用。为了使组织自我的风险评估工作更具科学性和合理性，有必要在进行评估前确定一个评估实施的流程和方法。

检查评估：是指国家及系统管理部门遵循法律法规对网络安全实施的风险评估。

自评估和检查评估可以以自身技术力量为寄托，也可以向第三方机构寻求技术帮助。

关于ccrc信息安全风险评估等级和信息安全风险评估机构的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。