信息安全技術(shù) 信息安全服務(wù) 分類與代碼-編制說(shuō)明

國(guó)家標(biāo)準(zhǔn)征求意見(jiàn)稿資料5/5一、工作簡(jiǎn)況1、任務(wù)來(lái)源根據(jù)全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)2019年標(biāo)準(zhǔn)制訂計(jì)劃的安排，《信息安全技術(shù)信息安全服務(wù)分類》由上海三零衛(wèi)士信息安全有限公司負(fù)責(zé)承辦。該標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口管理。2、主要起草單位和工作組成員該標(biāo)準(zhǔn)由上海三零衛(wèi)士信息安全有限公司主要負(fù)責(zé)起草，協(xié)作起草單位為中國(guó)信息安全測(cè)評(píng)中心、中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心、中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、公安部第三研究所、神州網(wǎng)信技術(shù)有限公司、中國(guó)電子科技網(wǎng)絡(luò)信息安全有限公司、中電長(zhǎng)城網(wǎng)際系統(tǒng)應(yīng)用有限公司、畢馬威企業(yè)咨詢（中國(guó)）有限公司、工業(yè)互聯(lián)網(wǎng)創(chuàng)新中心（上海）有限公司、北京微智信業(yè)科技有限公司、北京安天網(wǎng)絡(luò)安全技術(shù)有限公司、陜西省信息化工程研究院、國(guó)網(wǎng)區(qū)塊鏈科技（北京）有限公司、北京知道創(chuàng)宇信息技術(shù)股份有限公司、國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心、網(wǎng)神信息技術(shù)（北京）股份有限公司、西安西電捷通無(wú)線網(wǎng)絡(luò)通信份股有限公司、山谷網(wǎng)安科技股份有限公司。主要起草人：劉慧晶、鄔敏華、張建軍、陳曉樺、閔京華、楊建軍、王惠蒞、李斌、陳長(zhǎng)松、翟亞紅、孫明亮、姚輝明、干露、張焱、王偉、張曉菲、王朝棟、康英來(lái)、崔婷婷、趙煥菊、潘正泰、張靜、杜志強(qiáng)、郭穎、陳亮、馬洪軍、焦軍勛、楊柯、王棟、周磊、左洪強(qiáng)、胡嘯、曹雅斌、王琰、沈傳寧。。3、主要工作過(guò)程標(biāo)準(zhǔn)制定的主要工作過(guò)程如下：標(biāo)準(zhǔn)修訂前期籌備2018年12月，在標(biāo)準(zhǔn)修訂工作啟動(dòng)之前，陸續(xù)拜訪了中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、神州網(wǎng)信技術(shù)有限公司等合作單位，聽(tīng)取合作單位對(duì)標(biāo)準(zhǔn)修訂工作的初步意見(jiàn)。相關(guān)標(biāo)準(zhǔn)及政策法規(guī)研究2019年1月-2月，收集、翻閱、分析研究了國(guó)外NIST的一系列信息安全標(biāo)準(zhǔn)、ISO27001系列標(biāo)準(zhǔn)以及國(guó)內(nèi)近年來(lái)陸續(xù)頒布的相關(guān)標(biāo)準(zhǔn)，形成了標(biāo)準(zhǔn)研究參考資料庫(kù)。同時(shí)，梳理我國(guó)近年來(lái)出臺(tái)的相關(guān)網(wǎng)絡(luò)安全法規(guī)政策，摘取對(duì)信息安全服務(wù)的若干要求，形成了政策法規(guī)研究參考資料庫(kù)。調(diào)研信息安全服務(wù)應(yīng)用實(shí)踐情況2019年1月-2月，通過(guò)走訪、咨詢、查詢等各種方式了解國(guó)外主流信息安全服務(wù)提供商、國(guó)內(nèi)信息安全服務(wù)廠商以及國(guó)內(nèi)大型企業(yè)在信息安全服務(wù)方面的應(yīng)用實(shí)踐情況，掌握了大量第一手的應(yīng)用實(shí)踐基礎(chǔ)資料。召開(kāi)標(biāo)準(zhǔn)修訂啟動(dòng)會(huì)議，成立標(biāo)準(zhǔn)編制工作組2019年2月22月，召開(kāi)標(biāo)準(zhǔn)修訂啟動(dòng)會(huì)議，會(huì)議確認(rèn)有8家單位（后續(xù)陸續(xù)有畢馬威企業(yè)咨詢（中國(guó)）有限公司、上海華東電信研究院、北京微智信業(yè)科技有限公司加入，目前共10家單位）共同參與本標(biāo)準(zhǔn)的修訂工作，有來(lái)自安全服務(wù)廠商的，有來(lái)自標(biāo)準(zhǔn)研究與編制單位的，也有來(lái)自第一線從事信息安全服務(wù)工作的具有豐富從業(yè)經(jīng)驗(yàn)的專家人士，基本涵蓋了信息安全服務(wù)產(chǎn)業(yè)各個(gè)環(huán)節(jié)。提交標(biāo)準(zhǔn)修訂立項(xiàng)申請(qǐng)報(bào)告2019年2月25日，標(biāo)準(zhǔn)編制工作組根據(jù)標(biāo)準(zhǔn)修訂啟動(dòng)會(huì)議上確定的修訂思路，編寫(xiě)標(biāo)準(zhǔn)修訂立項(xiàng)申請(qǐng)書(shū)，提交安標(biāo)委秘書(shū)處。標(biāo)準(zhǔn)修訂立項(xiàng)通過(guò)2019年4月23日，在2019年第一次工作組“會(huì)議周”全體會(huì)議上，標(biāo)準(zhǔn)修訂經(jīng)WG7全體成員投票通過(guò)。標(biāo)準(zhǔn)修訂任務(wù)書(shū)獲得通過(guò)2019年9月12日，《信息安全技術(shù)信息安全服務(wù)分類》標(biāo)準(zhǔn)修訂項(xiàng)目任務(wù)書(shū)獲得專家評(píng)審?fù)ㄟ^(guò)。發(fā)布征集標(biāo)準(zhǔn)修訂參編單位的通知2019年9月29日，由安標(biāo)委秘書(shū)處公開(kāi)發(fā)布征集《信息安全技術(shù)信息安全服務(wù)分類》標(biāo)準(zhǔn)參編單位的通知，畢馬威企業(yè)咨詢（中國(guó)）有限公司、上海華東電信研究院、北京微智信業(yè)科技有限公司、北京安天網(wǎng)絡(luò)安全技術(shù)有限公司、陜西省信息化工程研究院、國(guó)網(wǎng)區(qū)塊鏈科技（北京）有限公司6家單位成為標(biāo)準(zhǔn)修訂新成員單位。形成標(biāo)準(zhǔn)草案，提交專家審查2019年5月-10月，標(biāo)準(zhǔn)編制工作組形成標(biāo)準(zhǔn)草案第1稿，并于2019年10月9日舉行工作組第二次會(huì)議，就標(biāo)準(zhǔn)草案第1稿進(jìn)行討論，并于2019年10月10日提交外部專家審查會(huì)議，并獲得審查通過(guò)。標(biāo)準(zhǔn)草案稿轉(zhuǎn)為征求意見(jiàn)稿2019年10月第二次WG7第二次工作組“會(huì)議周”上，標(biāo)準(zhǔn)編制組介紹了標(biāo)準(zhǔn)編制思路、主要內(nèi)容及意見(jiàn)處理情況，形成轉(zhuǎn)為征求意見(jiàn)稿的會(huì)決議。編制組根據(jù)會(huì)議周上參會(huì)單位意見(jiàn)，修改完善后形成征求意見(jiàn)稿。二、標(biāo)準(zhǔn)編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問(wèn)題1、標(biāo)準(zhǔn)編制原則在標(biāo)準(zhǔn)制定過(guò)程中，主要遵循了以下原則：符合國(guó)家有關(guān)政策法規(guī)要求，并貫徹國(guó)家有關(guān)政策法規(guī)；標(biāo)準(zhǔn)編制與已頒布實(shí)施的相關(guān)標(biāo)準(zhǔn)不沖突、不重復(fù)；標(biāo)準(zhǔn)內(nèi)容符合中國(guó)國(guó)情，廣泛征求用戶、企業(yè)、專家和管理部門的意見(jiàn)；采用理論與技術(shù)相結(jié)合的工作方法，處理好標(biāo)準(zhǔn)的先進(jìn)性和實(shí)用性之間的關(guān)系，使標(biāo)準(zhǔn)技術(shù)可實(shí)現(xiàn)；標(biāo)準(zhǔn)結(jié)構(gòu)和編寫(xiě)規(guī)則，按照GB/T1.1—2009執(zhí)行。2、標(biāo)準(zhǔn)解決的問(wèn)題及主要內(nèi)容《信息安全技術(shù)信息安全服務(wù)分類》（GB/T30283-2013）發(fā)布并實(shí)施5年來(lái)，對(duì)促進(jìn)我國(guó)信息安全服務(wù)行業(yè)的規(guī)范化發(fā)展提供了有力支撐。近年來(lái)，國(guó)內(nèi)陸續(xù)頒布了一系列網(wǎng)絡(luò)安全相關(guān)的政策、法律法規(guī)等，如《網(wǎng)絡(luò)安全法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（征求意見(jiàn)稿）、《網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)審查辦法》（試行）、《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例》（征求意見(jiàn)稿）等，對(duì)信息安全服務(wù)提出了新的合規(guī)要求。同時(shí)，隨著云安全、態(tài)勢(shì)感知、威脅情報(bào)、調(diào)查取證等新技術(shù)的興起，也逐漸成為信息安全服務(wù)的主要交付內(nèi)容。目前，信息安全服務(wù)的內(nèi)涵和外延均發(fā)生了變化。本次修訂工作擬解決三個(gè)方面的主要問(wèn)題，分別為：達(dá)到國(guó)內(nèi)信息安全服務(wù)的合規(guī)性要求，符合新技術(shù)發(fā)展而帶來(lái)的國(guó)內(nèi)信息安全服務(wù)的應(yīng)用實(shí)踐變化以及與國(guó)內(nèi)相關(guān)信息安全服務(wù)標(biāo)準(zhǔn)的接軌。1、與國(guó)內(nèi)相關(guān)網(wǎng)絡(luò)安全法規(guī)的協(xié)調(diào)配套問(wèn)題。近年來(lái)，國(guó)內(nèi)陸續(xù)頒布《網(wǎng)絡(luò)安全法》、《網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)審查辦法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例》等。擬從適法的角度對(duì)信息安全服務(wù)定義、組件等進(jìn)行若干修改。2、隨著云安全、態(tài)勢(shì)感知、威脅溯源、大數(shù)據(jù)安全等技術(shù)的興起，逐漸成為信息安全服務(wù)的主要交付內(nèi)容以及國(guó)內(nèi)關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)對(duì)網(wǎng)絡(luò)安全保障要求的提升，信息安全服務(wù)內(nèi)容及形式出現(xiàn)了新的變化，擬從滿足國(guó)內(nèi)信息安全服務(wù)應(yīng)用實(shí)踐的角度對(duì)服務(wù)分類及內(nèi)容進(jìn)行若干修訂。3、與國(guó)際、國(guó)內(nèi)相關(guān)信息安全服務(wù)標(biāo)準(zhǔn)的接軌問(wèn)題。主要參考美國(guó)NISTSP800-35、SP800-33系列標(biāo)準(zhǔn)，行業(yè)標(biāo)準(zhǔn)YD/T1621-2007《網(wǎng)絡(luò)與信息安全服務(wù)資質(zhì)評(píng)估準(zhǔn)則》等，擬根據(jù)這些標(biāo)準(zhǔn)、白皮書(shū)等，對(duì)本標(biāo)準(zhǔn)的服務(wù)分類做適當(dāng)補(bǔ)充和完善。本標(biāo)準(zhǔn)規(guī)定了信息安全服務(wù)分類，包括信息安全咨詢類、信息安全實(shí)施類、信息安全培訓(xùn)類及其他類四個(gè)方面。本標(biāo)準(zhǔn)適用于信息安全行業(yè)對(duì)信息安全服務(wù)概念的理解和分類管理，適用于信息安全服務(wù)的開(kāi)發(fā)、提供、選用和采購(gòu)。。三、主要試驗(yàn)[或驗(yàn)證]情況分析標(biāo)準(zhǔn)編制工作組在修訂過(guò)程中，廣泛聽(tīng)取電信、交通等行業(yè)領(lǐng)域和信息安全廠商的意見(jiàn)。四、知識(shí)產(chǎn)權(quán)情況說(shuō)明本標(biāo)準(zhǔn)不涉及專利。五、產(chǎn)業(yè)化情況、推廣應(yīng)用論證和預(yù)期達(dá)到的經(jīng)濟(jì)效果無(wú)。六、采用國(guó)際標(biāo)準(zhǔn)和國(guó)外先進(jìn)標(biāo)準(zhǔn)情況無(wú)。七、與現(xiàn)行相關(guān)法律、法規(guī)、規(guī)章及相關(guān)標(biāo)準(zhǔn)的協(xié)調(diào)性本標(biāo)準(zhǔn)符合現(xiàn)有法律法規(guī)的要求。本標(biāo)準(zhǔn)與現(xiàn)有國(guó)家標(biāo)準(zhǔn)不矛盾、不沖突、也不重復(fù)。本標(biāo)準(zhǔn)在編制過(guò)程中，參考《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（征求意見(jiàn)稿）、《網(wǎng)絡(luò)產(chǎn)品和服務(wù)審查辦法》（試行）等相關(guān)法律條文。八、重大分歧意見(jiàn)的處理經(jīng)過(guò)和依據(jù)無(wú)。九、標(biāo)準(zhǔn)性質(zhì)的建議根據(jù)本標(biāo)準(zhǔn)的性質(zhì)，建議本標(biāo)準(zhǔn)為推薦性標(biāo)準(zhǔn)。十、貫徹標(biāo)準(zhǔn)的要求和措施建議無(wú)。十一、替代或廢止現(xiàn)行相關(guān)標(biāo)準(zhǔn)的建議無(wú)。十二、其它應(yīng)予說(shuō)明的事項(xiàng)無(wú)。國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)信