-
浏览次数：
0
2021
-
05
-
07
随着IT信息行业业务领域越来越细化，设备价格的透明化，传统的集成项目设备采买，安装 、维保等业务的利润空间越来越少。正因为如此，很多企业都在往运维服务领域拓展。CCRC安全运维和ITSS符合性评估，那么这两个有什么区别和联系呢 ？今天颐卓咨询给大家科普一下：一、发证机构不同CCRC安全运维：中国网络安全审查技术与认证中心信息系统安全运维服务是通过技术设施安全评估，技术设施安全加固，安全漏洞补丁通告、安全事件响应以及信息安全运维咨询，协助组织的信息系统管理人员进行信息系统的安全运维工作，以发现并修复信息系统中所存在的安全隐患，降低安全隐患被非法利用的可能性，并在安全隐患被利用后及时加以响应。安全运维资质认证是对安全运维服务方的基本资格、管理能力、技术能力和安全运维过程能力等方面进行评价。安全运维服务资质级别是衡量服务提供方的安全运维服务资格和能力的尺度。资质级别分为一级、二级、三级共三个级别，其中一级最高，三级最低。ITSS符合性评估：中国电子工业标准化技术协会信息技术服务分会ITSS是在工业和信息化部、国家标准化管理委员会的联合指导下，由国家信息技术服务标准工作组组织研究制定的，是我国IT服务行业最佳实践的总结和提升，也是我国从事IT服务研发、供应、推广和应用等各类组织自主创新成果的固化。ITSS充分借鉴了质量管理原理和过程改进方法的精髓，规定了IT服务的组成要素和生命周期，并对其进行标准化。ITSS能力成熟度模型是一个反映运维服务能力管理水平的框架，一共分四级从低到高分别用四、三、二、一表示，对应基本级、拓展级、改进（协同）级、提高（量化）级。每一级也都对应运维系列标准：基本级、拓展级对应通用要求、改进（协同）级对应交付规范和应急响应标准、提高（量化）级对应质量评价指标体系。二、导向性不同信息系统安全运维服务资质是以结果为导向，ITSS运维资质是过程导向。三、内容不同信息...
-
浏览次数：
0
2021
-
05
-
07
按照审核，内部管理体系审核由经过培训的有资格的内审员来执行审核任务。所以，凡是推行ISO管理体系的组织，通常都需要培养一批内审员，那么审核现场时内审员应该如何配合工作呢？审核关键步骤审核的关键步骤包括：策划、调查、现场评审、报告、后续的纠正措施及关闭。首次会议的内容首次会议介绍审核组成员，确认审核准则，明确审核范围，说明审核程序，解释相关细节，确定时间安排，包括具体时间或日期，以及明确末次会议参会人员。审核方法收集客观证据的调查过程涉及提问、观察活动、检查设施和记录。审核员检查实际的活动与管理体系的符合性。审核的依据审核员将质量管理体系文件（包括质量手册、体系程序、测试方法、工作指导书等）作为参考，将实际的活动与这些质量管理体系文件的规定进行比较。审核过程整个审核过程中，审核员始终要搜集实际活动是否满足管理体系要求的客观证据；收集的证据应当尽可能高效率并且客观有效，不存在偏见，不困扰受审核方。不符合的整改审核员应当注明不符合项，并对其进行深入的调查以发现潜在的问题。内审记录所有审核发现都应当予以记录。开不符合项审核完所有的活动后，审核组应当认真评价和分析所有审核发现，根据实际情况确定哪些应报告为不符合项，哪些只作为改进建议；审核组应依据客观的审核证据编写清晰简明的不符合项和改进建议的报告；应当以审核所依据的认可准则及本组织质量手册和相关文件的要求来确定不符合项。末次会议审核组应当与组织的高层管理者和被审核的职能部门的负责人召开末次会议。会议的主要目的是报告审核发现，报告方式需确保最高管理层清楚地了解审核结果。内审报告审核组长应当报告观察记录，并考虑其重要性，机构运作中好坏两方面的内容均应报告；审核组长应当就质量管理体系与审核准则的符合性，以及实际运作与管理体系的符合性报告审核组的结论；应当记录审核中确定的不符合项、适宜的纠正措施，及与受审核方商定的纠正措施完成时间；应当保存...
-
浏览次数：
1
2021
-
05
-
06
什么是CMMI远程评估呢?由于疫情原因，CMM研究院经慎重考虑，决定自3月20日起至5月15日，准许CMMIV2.0基准评估、SCAMPI A V1.3评估以及相关CMMI V2.0和V1.3培训课程以远程方式提供。1、学习并了解有关临时措施的要求，确保能够及时接收研究院相关政策的最新动态； 2、加强事前计划，充分考虑技术手段和评估/课程交付变化所带来的影响及应对措施，必要时根据评估方法和培训课程要求做出调整，确保包括保密和隐私在内的评估及培训的质量； 3、对采取的技术支撑平台的功能、性能、可用性等进行充分的了解和测试，充分识别可能的风险并做好应对； 4、考虑地区和时差带来的影响，参与各方应充分沟通达成合理有效的时间安排； 5、必须确保CMMI研究院的质量管理团队可以随时通过远程访问接入过程，了解评估和培训的实际执行情况； 6、服务结束后，应填写试点报告，提交CMMI研究院。
-
浏览次数：
0
2021
-
05
-
06
信息安全服务资质（安全工程类二级）为计划跟踪级，要求满足基本资格的信息安全工程服务组织通过建立有效的质量管理体系，使安全工程能力方面实施安全工程的过程规范被定义、标准化和文档化，实施工程过程时能普遍按照规范执行，通过跟踪发现工程过程中的重大偏离并采取纠正措施，从而使组织的安全工程能力达到部分可重复的水平。申请信息安全服务（安全工程类二级）资质的组织需要在基本资格、基本能力、质量管理和安全工程过程能力等几个方面符合《信息安全服务资质具体要求（安全工程类二级）》的规定。3.1 基本资格要求基本资格要求是评定信息安全服务资质的起评条件。申请信息安全服务（安全工程类二级）资质的组织必须：1. 是具有独立法人地位的实体；2. 获得相关主管部门的批准；3. 遵守国家现行法律法规；4. 已获信息安全服务（安全工程类一级）资质，且资质证书在有效期内；5. 达到其他补充要求。3.2 基本能力要求基本能力的要求包括：技术能力要求，资源配置要求（包括人员构成与素质要求、设备、设施与环境要求），规模与资产要求和业绩要求。申请信息安全服务（安全工程类二级）资质的组织应该：1. 从事信息安全服务行业3年以上；2. 注册资本应在100万元以上，资产总额在200万元以上；3. 近3年的财务状况良好；4. 从事信息安全服务的人力资源充足、人员结构合理、技术队伍相对稳定，拥有专职的注册信息安全专业人员（CISP）数量不少于从事安全工程服务专业技术人员的10%，但不得少于4人；5. 实践过完整的安全工程过程；6. 近3年完成信息安全服务工程项目总值应在200万元以上。3.3质量管理要求申请信息安全服务（安全工程类二级）资质的组织，在质量管理方面应该：1. 建立合理的组织架构来满足信息安全工程服务的实施和管理，信息安全工程服务技术部门相对独立；2. 建立合理的管理架构来满足信息安全服务的管理，建立有效的技术管理、...
-
浏览次数：
0
2021
-
04
-
30
随着等保2.0时代的来临，各级企事业机关单位已全面进入网络建设革新阶段。等保建设是一个复杂的体系建设过程，控制点众多，面临“建设繁琐、运维复杂、服务割裂、架构固化”等问题。一、企业自己做等级保护1.在定级备案的步骤，一级不需要备案仅需企业自主定级。二级、三级是大部分普通企业的信息系统定级。四级、五级普通企业不会涉及，通常是与国家相关（如等保四级-涉及民生的，如铁路、能源、电力等）的重要系统。根据地区不同备案文件修改递交通常需要1个月左右的时间。2.定级备案后，寻找本地区测评机构进行等级测评。3.根据测评评分(GBT22239-2019信息安全技术网络安全等级保护基本要求。具体分数需要测评后才能给出)对信息系统（APP）进行安全整改，如果企业没有专业的安全团队，需要寻找安全公司进行不同项目的整改。等级保护2.0三级有211项内容，通常企业需要根据自身情况采购安全产品完成整改。4.进行安全建设整改后，通过测评。当地公安机关会进行监督检查包含定级备案测评、测评后抽查。整个流程企业自行做等级保护，顺利的话3-4个月完成，如果不熟悉需要半年甚至更久。优势：与第三方企业对比几乎没有优势劣势：时间长、消耗人力成本高、技术人员不足还可能增加安全建设成本二、寻找第三方机构做等级保护1.在定级备案步骤，有些等保机构会提出指导性意见协助企业提交定级报告。2.第三方等保机构可以协助企业找到专业测评机构，测评机构提出整改意见，企业根据整改意见购买安全产品，完成测评。
-
浏览次数：
0
2021
-
04
-
30
在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统（APP）安全等级保护。什么是等保2.0？全称网络安全等级保护。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统（APP）安全等级保护。信息安全等级保护：•对信息系统分等级进行安全保护和监管；•对信息安全产品的使用实行分等级管理；•对信息安全事件实行分等级响应、处置。等级保护是怎么分等级的？将全国的信息系统（包括网络）按照信息系统的业务信息和系统服务被破坏后，对受侵害客体的侵害程度分成五个安全保护等级（从第一级到第五级逐级增高）。为什么要做等级保护？1. 法律法规要求《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。2. 行业要求在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统（APP）要开展等级保护工作。3. 企业系统安全的需求信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。简单来说，《网络安全法》一直对网站、信息系统、APP有等级保护要求，中小型企业通常是行业要求才意识到问题。那么，企业应怎样来做等级保护？等级保护通常需要5个步骤：1.定级（企业自主定级-专家评审-主管部门审核-公安机关审核）2.备案（企业提交备案材料-公安机关审核-发放备案证明）3.测评（等级测评-三级每年测评一次...