信息安全软件测评中心 国家信息安全测评中心

信息安全测评是什么？只有等级保护吗？

信息安全等级保护测评工作是等级测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动.等级测评体系建设主要内容包括测评机构的建设和规范管理，测评人员和测评活动的规范管理等。

信息安全等级保护测评工作是信息安全等级保护工作的重要环节，是专门机构针对信息系统开展的一种专业性、服务性的检测活动。

等级测评工作涉及的信息系统范围广、敏感性强，参与的测评机构及测评人员复杂，如果缺乏对测评机构和测评人员的管理，则难以保证等级测评的客观、公正和安全，甚至会给重要信息系统安全造成新的风险和隐患，危害国家安全和社会稳定。

为加强对测评机构及测评人员管理，稳步推进等级测评机构建设，规范等级测评活动，提高测评机构、人员的技术能力和水平，在国家信息安全等级保护协调小组的领导下，全国组织开展信息安全等级保护等级测评体系建设工作，以保障等级保护工作的顺利开展。

信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段，山东省软件评测中心作为公安部授权的第三方测评机构，为企事业单位提供免费专业的信息安全等级测评咨询服务。

信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。

信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。

因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。

...

信息系统安全等级保护测评流程是什么？

请问你要做什么业务呢？中国软件评测中心始终致力于软件工程、质量管理、软件系统测试、信息系统集成资质认证、ISO9000认证咨询、CMMI认证咨询、信息系统工程监理、信息系统验收评估等领域的研究与实践。

至今，中国软件评测中心已承担大型信息系统工程验收监理项目百余类；商品化软件测试千余件。

同时，受业主单位委托，CSTC依据国家有关法律法规、技术标准和信息系统工程监理合同，对信息系统工程项目的新建、升级和改造实施监理。

软件测试中安全性测试常见的问题有哪些呢？

1、问题：没有被验证的输入 测试方法： 数据类型（字符串，整型，实数，等） 允许的字符集 最小和最大的长度 是否允许空输入 参数是否是必须的 重复是否允许 数值范围 特定的值（枚举型） 特定的模式（正则表达式） 2、问题：有问题的访问控制 测试方法： 主要用于需要验证用户身份以及权限的页面，复制该页面的ul地址，关闭该页面以后，查看是否可以直接进入该复制好的地址 例：从一个页面链到另一个页面的间隙可以看到URL地址 直接输入该地址，可以看到自己没有权限的页面信息 3、错误的认证和会话管理 分析：帐号列表：系统不应该允许用户浏览到网站所有的帐号，如果必须要一个用户列表，推荐使用某种形式的假名（屏幕名）来指向实际的帐号。

浏览器缓存：认证和会话数据不应该作为GET的一部分来发送，应该使用POST。

4、问题：跨站脚本（XSS） 分析：攻击者使用跨站脚本来发送恶意代码给没有发觉的用户，窃取他机器上的任意资料 测试方法： HTML标签：… 转义字符：&（&）；（）； （空格） ； 脚本语言： 特殊字符：‘ ’ 最小和最大的长度 是否允许空输入 例：对Gid、Lael、Tee view类的输入框未作验证，输入的内容会按照html语法解析出来 5、缓冲区溢出 分析：用户使用缓冲区溢出来破坏we应用程序的栈，通过发送特别编写的代码到we程序中，攻击者可以让we应用程序来执行任意代码。

6、注入式漏洞 例：一个验证用户登陆的页面， 如果使用的sql语句为： Select * fom tale A whee usename='' + usename+'' and pass wod ….. Sql 输入 ‘ o 1=1 ―― 就可以不输入任何passwod进行攻击 7、不恰当的异常处理 分析：程序在抛出异常的时候给出了比较详细的内部错误信息，暴露了不应该显示的执行细节，网站存在潜在漏洞， 8、不安全的存储 没有加密关键数据 例：view-souce:http地址可以查看源代码 在页面输入密码，页面显示的是 *****， 右键，查看源文件就可以看见刚才输入的密码， 9、拒绝服务 分析：攻击者可以从一个主机产生足够多的流量来耗尽狠多应用程序，最终使程序陷入瘫痪。

需要做负载均衡来对付。

10、不安全的配置管理 分析：Config中的链接字符串以及用户信息，邮件，数据存储信息都需要加以保护 程序员应该作的： 配置所有的安全机制，关掉所有不使用的服务，设置角色权限帐号，使用日志和警报。

有谁知道信息安全等级测评的过程？

完整的等级测评过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。

而测评双方之间的沟通与洽谈应贯穿整个等级测评过程。

如有需要，等级测评还有一个补充测评的过程，补充测评过程主要包括现场测评活动，分析与报告编制活动。

以下是山东省软件评测中心根据多年的测评经验总结出来的4方面活动，仅供参考。

1、测评准备活动本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。

测评准备工作是否充分直接关系到后续工作能否顺利开展。

本活动的主要任务是掌握被测系统的详细情况，为实施测评做好文档及测试工具等方面的准备。

2、方案编制活动本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。

本活动的主要任务是确定与被测信息系统相适应的具体测评对象、测评内容等，形成测评方案。

3、现场测评活动本活动是开展等级测评工作的核心活动。

本活动的主要任务是按照测评方案的总体要求，分步实施所有测评项目，包括单项测评和系统整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。

4、分析与报告编制活动本活动是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。

本活动的主要任务是根据现场测评结果和基本要求，通过单项测评结果判定和系统整体测评分析等方法，分析整个系统的安全保护现状与相应等级的保护要求之间的差距，综合评价被测信息系统保护状况，并形成差距分析报告或者系统测评报告文本。

中国信息安全测评中心的作用是什么？

baidu.com/zhidao/wh%3D600%2C800/sign=6dfbce098d13632715b8ca35a1bf8cd4/0e2442a7d933c895ad67caaed61373f0830200cd.jpg＂ esrc=＂http://e.hiphotos.baidu、基础信息网络和重要信息系统开展风险评估的国家专控队伍。

血刺_裁决249 | 发布于2016-05-28 评论

信息管理与信息系统专业的适合做什么工作

中国信息安全测评中心不是企业，所以没有国企私企一说，这是政府机构，官方性质的政府机构。

中国信息安全测评中心是我国专门从事信息技术安全测试和风险评估的权威职能机构。

依据中央授权，测评中心的主要职能包括：负责信息技术产品和系统的安全漏洞分析与信息通报；负责党政机关信息网络、重要信息系统的安全风险评估；开展信息技术产品、系统和工程建设的安全性测试与评估；开展信息安全服务和专业人员的能力评估与资质审核；从事信息安全测试评估的理论研究、技术研发、标准研制等。

转载请注明出处51数据库 » 信息安全软件测评中心