【地方标准】 网络安全管理评估规范

ICS35.040 CCS L80 DB2101T 沈阳市地方 标准 DB2101/T00302021 网络安全管理评估规范 Specifications for network security management assessment2021-07-01发布 沈阳市市场监督管理局 2021-08-01实施 发布 前言 引言： 1范围. 2规范性引用文件. 3术语和定义 4缩略语 5评估流程. 6评估程序. 6.1工作准备阶段. 6.2工作实施阶段.. 6.3结果反馈阶段. 7评估内容. 7.1法律法规合规评估.. 7.2行业领域要求评估.. 7.3安全管理措施评估.. 7.4安全技术措施评估... 7.5技术检测评估. 附录A（资料性）记录表. 附录B（资料性）风险分析模型.附录C（资料性）评估报告模板示例参考文献 目 次 DB2101/T0030—2021 I IHI C c .10 10 ..13 .16 17 .19 .20 31 DB2101/T0030—2021 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。 本文件由中共沈阳市委网络安全和信息化委员会办公室提出并归口，同时负责标准的宣贯、监督实施等工作。 本文件起草单位：东软集团股份有限公司、东北大学、辽宁省信息安全与软件测评认证中心、沈阳赛宝科技服务有限公司、沈阳欣欣晶智计算机安全检测技术有限公司。本文件主要起草人：张泉、陈静相、路娜、王华锋、葛长龙、杨菲菲、周福才、郭剑锋、赵英科、金鑫、纪德海、文军日、金玉平。文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电、来函等方式进行反馈我们将及时答复并认真处理，根据实施情况依法进行评估及复审。本文件归口部门联系电话：024-22821200：联系地址：沈阳市浑南区沈中大街206-1号。本文件起草单位联系电话：18640508881：联系地址：沈阳市浑南新区新秀街2号。II 引言 DB2101/T0030—2021 为落实《中华人民共和国网络安全法》相关要求，解决地区产业结构差异、地区性共性及有代表性的个性化网络安全问题，通过制定《网络安全管理评估规范》标准，规范有关部门开展网络安全评估工作，充分掌握各级关键行业网络运营者的安全风险和防护状况。制定本标准旨在以查促建、促管、促改、促防，最终推动关键行业网络运营者安全责任制和网络安全防范体系的建立和落实，保障关键行业信息系统安全稳定运行。 《网络安全管理评估规范》列出了网络运营者在网络安全评估方面的流程、程序，定义了评估的主要内容。 评估流程分为工作准备、工作实施和结果反馈三个阶段，其中工作准备阶段是对评估实施有效性的保证，是评估工作的开始：工作实施阶段是对评估活动中涉及的评估内容进行判定，同时基于获得的各类信息进行关联分析，计算风险值，并综合评估整体安全状况出具评估报告：结果反馈阶段是对评估实施质量判定的过程，是评估工作的终止。评估程序是围绕评估工作的全生命周期，根据不同阶段的工作事项，为达到相应评估自的应采取的手段和行为方式，用手规范和指导评估者开展和落实网络安全评估具体工作。评估内容主要包括法律法规合规、行业领域要求、安全管理措施、安全技术措施、技术检测等方面的评估，通过文档查阅、现场访谈等方法，检查被评估方是否遵从法律、法规和政策标准的相关要求，是否存在安全漏洞和安全隐惠。II