安全测评宣传单（精选8篇）
1.安全测评宣传单 篇一
1、积极行动 全民参与 为提高城市公共文明指数增光添彩
2、提高公共文明指数 维护县城文明形象
3、优化公共环境 规范公共秩序 促进公共文明
4、说文明话 办文明事 行文明路 做文明人
5、文明创建重在行动 树立新风贵在坚持
6、人人参与文明创建 个个争当文明市民
7、举手投足见文明 一言一行讲道德
8、片言只语体现修养 小事细节彰显文明
9、遵守社会公德 维护公共秩序 优化发展环境
10、学道德模范 树文明新风 促社会和谐
11、注重细节文明 彰显星沙风采
12、文明伴我行 公德在我心
13、人人参与环境治理 天天享受健康生活
14、你我多一份自觉 县城多一份清洁
15、以文明求发展 以发展促文明
16、一言一行展示星沙文明 一举一动塑造星沙形象
17、文明是城市之魂 美德是立身之本
2.安全测评宣传单 篇二
一、旅游地生态安全测评的特殊性
旅游地生态系统从自然生态要素上看, 和其他地域空间一样, 其生态安全测度内容主要包括: (1) 水体安全, 包括陆地淡水和海水等各类水体; (2) 森林和草场、湿地等生态空间的安全; (3) 大气安全, 大气健康气体含量及结构; (4) 地表安全, 包括地表性状稳定、各类灾害发生的可能性等等。与其他类型区域生态环境一样, 旅游地生态安全受到地方社会文化、经济发展水平、相关政策法规、开发技术、管理体制等的综合影响。
此外, 旅游地作为一种休闲观光类生态地域, 其生态机理具有特殊性, 主要表现为:
1.生态风险时空的非均衡性。旅游者的活动时间和空间具有明显的非均衡性:一方面, 绝大部分旅游地旅游者人流及活动具有明显的季节性和周期性, 时间差异性必须考虑;另一方面, 在旅游地不同功能分区中, 游客的活动性质、消费类型、停留时间等均不相同, 核心景观、游乐区、服务区等生态风险明显高于其他功能区, 测度时要考虑旅游者生态消费的空间非均衡性。
2.生态威胁因素的特殊性。旅游地生态不安全的主要诱因是旅行空间尺度不等的外来人口———旅游者的消费行为, 其在旅游地的“食、住、行、游、购、娱”等成为旅游地生态安全的威胁因子, 这其中还需考虑生态风险具有弹性, 因为旅游地生态风险直接受旅游开发方式、旅游活动性质、旅游管理等影响, 相应地, 旅游项目开发、旅游管理水平、旅游地社区可能的响应方式都需被视为生态安全的重要影响因素。
3.生态安全内涵的独特性。基于旅游地主体功能是为了满足游客观光休闲游憩的需求, 对其生态安全测度不能只重视旅游地显性生态因子, 还应重视直接影响旅游者体验质量等非污染性的隐性生态影响因子, 如景观美感度、开展旅游活动的生态适宜度 (如河流两岸及河床地形、水位改变可能对漂流活动的体验影响) 等等。
正是因为旅游地生态安全具有上述特点, 在对其生态安全测度方法上具有一定的特殊要求。
二、旅游地生态安全测评方法
对旅游地生态安全的测度, 从各测评方法的立足点看, 大致可分为三类: (1) 从生态系统中各生态要素与标准状态的差距来测评; (2) 从旅游地生态景观的空间格局及稳定度来测评; (3) 从现有容量与旅游地生态系统的承载力或生产能力之间的差距来测评。
(一) 环境影响评价体系
环境影响评价体系 (EIA, Environmental Impact Assessments) 着眼于旅游地生态安全状况测评, 该方法依照系统思想对旅游地生态环境系统的组成部分进行分解、评价, 再对关键旅游生态安全影响因子进行测量, 其中指标体系的构建是其关键[3]。
1. 综合指数法。
综合指数法着眼于整个旅游地生态环境的各个自然关键因子, 属于多因子小综合评价法, 其过程为: (1) 分析旅游地生态安全变化规律, 建立表征各生态安全因子特性的指标体系; (2) 确定评价标准; (3) 建立评价函数曲线; (4) 根据因子的相对重要性赋予权重; (5) 将各因子的变化值综合, 得出生态安全测度值。
其代表性的模型为:
式中, ΔE为旅游开发前后生态安全变化值;Ehi为开发后因子的质量指标;Egi为开发前因子的质量指标;Wi为i因子的权重。
2. 层次分析法。
层次分析法 (AHP, Analytical Hierarchy Process) 的信息基础是人们对每一层次生态因子相对重要性给出判断, 过程为: (1) 建立层次结构, 分目标、准则、指标、要素层; (2) 构造判断矩阵; (3) 层次单排序; (4) 层次总排序; (5) 一致性检验。层次分析法中, 人们常采用P-S-R模型同时考虑自然、社会、经济等多方面因素, 先从层次结构的角度分析旅游活动对区域生态系统的影响, 然后再从功能的角度分析旅游活动对区域生态系统内部功能关系的影响, 最后再从层次与功能相结合的角度综合评价旅游活动对生态安全造成的影响。
其代表性的模型为:
式中, P为旅游地生态安全度;C为实测值 (或预测值) ;Cs为标准值;i为第i个生态要素;n为生态要素总数;j为第i生态要素中的第j生态因子;m为第i生态要素中的生态因子总数;Cij为第i生态要素中的第j生态因子的实测值 (或预测值) ;Csij为第i生态要素中的第j生态因子的标准值;Pij为第i生态要素中的第j生态因子的安全指数;Wij为第i生态要素中的第j生态因子的权重。
此外, 为克服单一数学模型存在的缺陷, 在综合各方法优点的基础上, 人们相继开发了各种方法相结合的EIA复合评价模型, 如模糊综合评价—层次分析—主成分分析模型、层次分析—变权—模糊—灰色关联复合模型、AHP-模糊数学评价法[4]等等。
(二) 人工神经网络法
人工神经网络 (Artificial Neural Networks, ANN) 是大量简单神经元联结而成的非线性复杂网络系统, 以其并行分布处理、自组织、自适应、自学习和健全性与容错性等独特性功能引起广泛关注。尤其在生态信息不完备情况下, 在知识处理、模式识别、方案决策等方面, ANN具有很强的能力。其中, BP人工神经网络是一种常用的数据挖掘分类方法, 具有非线性的模式识别、分类、预测、优化、控制等功能。旅游环境质量的许多指标是不能用数值确定的, 即没有明确的边界, 只有评价程度的高低, 因此采用BP神经网络专家系统, 为旅游生态安全测度提供了有效途径[5], 被越来越多生态研究者采用。其过程为:构建网络拓扑结构;提供训练样本;用实测值进行网络测度;生态安全等级评价等[6]。其代表性模型为:
式中, xi (t) 为t时刻神经元j接收的来自神经元i的输入信息;Qi (t) 为t时刻神经元j的输出信息;τij为输入输出间的突触时延;Tj为j的阈值;wij为i到j的突触连接系数或权重值。f (·) 代表神经元传递函数, 可以选择传递函数为所希望的函数形式———平方根、乘积、lg、ex等, 除线性传递函数外, 其他变换给出的均是累积信号的非线性变化。
(三) 景观生态学方法
景观生态学方法结合了生态学和地理学相关方法的优点, 其研究的主要内容是生态地域内异质土地单元之间的空间结构与功能、生态斑块随时间的变化规律等。其指标体系的构建涉及多个维度, 如景观多样性指数、分维数、均匀度、优势度、分离度、破碎度、蔓延度等, 较为全面的景观生态学评价体系涉及指标可达五十种以上。在旅游地, 景观生态学方法能够描述生态安全变化的时间动态和空间累积两方面特征。旅游地常从景观结构稳定性、景观功能效应性、景观受胁迫性等方面构建景观生态安全测度指标体系[7]。其代表模型为:
式中, EQ为旅游地景观生态安全;Ai分别为景观结构稳定性、功能效应性、受胁迫性等方面阈值;Wi为各方面对生态安全的权重。
此外, 还可根据旅游地生态特性采用专门指标体系进行针对性的要素安全测度, 如以景观生态格局分析法来测度景区内游步道对生物物种的影响。实际运用中, 人们往往将综合层次分析法、模糊数学法等与景观生态学方法结合起来使用[8]。
(四) 旅游生态承载力测评方法
生态环境承载力 (Ecological Carrying Capacity, ECC) 方法着眼于在维持旅游地生态安全的前提下, 旅游地到底能承受多大的生态压力。换言之, 该方法总体过程为:确定旅游地生态安全承受量或生产量;测算旅游地各类旅游活动的实际承受量或消费量;评估旅游地生态安全状态。
1. 旅游环境容量 (TECC) 方法体系。
旅游环境容量 (Tourism Environmental Carrying Capacity, TECC) 是指, 在自然环境没有出现不可接受的变化和游客体验质量没有降低的情况下, 使用一个景点的游客人数最大值[9]。旅游环境容量的最初研究者认为, 旅游环境容量主要指旅游地生态环境容量, 游憩区域的容量问题主要是指区域生态条件的恶化问题[10]。
旅游地生态环境容量代表模型为:
EEBC=min (WEC, AEC, SEC)
EEBC为生态环境承载力;WEC为水环境承载力 (以水面为主要旅游资源, 取WEC=污水日处理能力/人均污水产生量) ;AEC为大气环境承载力 (对于不产生大气环境污染的旅游活动, 可取无穷大;产生大气污染时, AEC=区域大气环境容量/人均废气产生量) ;SEC为对产生固体废弃物的承载力 (SEC=固体废弃物日处理能力/平均每人每天产生固体废弃物量) 。
其计算公式为:
式中, F为扩展性生态容量;n为污染物种类数;Si为自然生态环境净化吸收第种污染物的数量;Ti为各种污染物的自净化时间;Qi为每天人工处理掉的第种污染物数量;Pi为每位游客每天产生第种污染物的数量。
受旅游环境容量概念的启发, 美国学者先后提出了可接受的改变极限 (LAC) 和游客体验与资源保护 (VERP) 方法, 从游客体验质量 (旅游需求) 和生态环境承受能力 (旅游地生态供给) 两方面结合来对旅游地生态安全状况进行测度。LAC用一组指标来对相应地区进行监测, 如空气洁净度、空气湿度、道路两侧土壤状况、优势动植物营养水平等等。VERP体系比LAC方法考虑到更多的旅游地实际情况, 如来自于游客行为、活动种类、活动强度、活动时间及地点等更多方面的影响[11]。此外, Prato提出了判断一个环境系统的状态是否与容量要求相协调的 (AEM, Ex Post Adaptive Ecosystem Management) 适应性生态系统管理技术和寻求获得这种协调的MASTEC (Multiple Attribute Scoring Test Of Ecosystem Capacity) 容量多因素评分检验技术[12], 使TECC方法体系内涵不断丰富, 实用性逐渐增强。
2. 旅游生态足迹法。
旅游生态足迹法 (Tourist Ecological Footprint, TEF) 由生态足迹法 (EF) 发展而来, 是生态足迹法在旅游业的具体运用。TEF是通过测定一定区域内维持人口 (含本地居民和外来旅游人口) 生存与发展的自然资源消费量以及吸纳人口产生的废弃物所需的生物生产性土地面积大小, 与给定区域的生态承载力进行比较, 评估人口对生态系统的影响, 测度区域旅游可持续发展状况的方法。近些年, 生态足迹法已成为国内外一批旅游界学者来评估旅游地生态安全及旅游行为对环境影响的主要方法[13～16]。其基本模型为:
TEF=TEFtransport+TEFaccommo+TEFfood+TEFshopping+TEFentrainment+TEFvisiting
旅游生态足迹 (TEF) 分别由旅游交通生态足迹 (TEFtransport) 、旅游住宿生态足迹 (TEFaccommo) 、旅游餐饮生态足迹 (TEFfood) 、旅游购物生态足迹 (TEFshopping) 、旅游娱乐生态足迹 (TEFentrainment) 以及游览观光生态足迹 (TEFvisiting) 组成, 是6个子模块计算结果的总和。
其具体测算公式为:
EF=Nef=NΣ (aai) =NΣ (Ci/Pi)
式中, EF为总的生态足迹;i为消费商品和投入的类型;Pi为i种消费商品的平均生产能力;Ci为i种商品的人均消费量;aai为人均i种交易商品折算的生物生产性土地面积, N为人口数, ef为人均生态足迹。
三、各种旅游地生态安全测度方法的对比
EIA测评体系中, 综合指数法简明扼要, 该评析对象侧重于生态安全的自然环境要素, 能直接反映旅游地某一自然要素或自然环境总体所处的安全状态, 可以对比测度旅游开发前后旅游地的自然生态位差。由于旅游地生态环境的特殊性, 其自然环境要素和旅游开发项目两者内部各因子之间的生态联系常常不能准确表现, 而且不同类型旅游地又包含了不同的显性和隐性生态安全影响因素, 指标体系建立、权重关系确定等又受测评人员专业背景、经验和目标等影响, 因此构建的综合评价指标体系有时难免会有失偏颇。AHP法可对单个生态要素 (如水体、大气等) 或旅游地区域综合生态系统进行安全测度, 是一种对复杂现象的决策思维过程进行系统化、模型化、数量化的方法, 能从层次和功能相结合的角度综合评价开发活动对旅游地生态安全造成的影响, 较好地反映了自然、经济、资源之间的相互依存关系。但正因如此, 涉及多个因子的取舍及其权重关系, 其准确性也会受到数据和专家经验的影响。神经网络法数据处理能力强大、拟合误差小、预测灵活、参数调整控制方便、模型建立快捷等优点, 适合解决各类旅游地安全测度中信息不完全、分析指标较多、指标非线性关联难以确立等问题。但其结果的准确性和可操作性首先受到人为设定的标准 (教师信号) 影响, 而标准设定的恰当与否又直接受测评人员自身的经验影响, 因此测评人员的专业水平也尤为重要。
景观生态学对区域内某种指标生物自然栖息地的变化情况进行研究, 能够以整体的思想审视生态环境的现状和变化, 避免了大量反复的生态调查, 是在中国各旅游地现有生态环境基础数据较为缺失的情况下, 进行远期旅游发展影响评估的好方法[17]。但由于景观生态学方法的主要评价对象是自然类旅游地, 因此较适用于生物物种尤其是植被占优势的自然类旅游地, 如森林、草场等类型的旅游地。
相对而言, 旅游生态承载力测度方法体系容易理解和操作。旅游环境容量通过测评水、大气及污染物等是否超过生态环境容纳能力来反映旅游地生态安全程度, 它第一次将生态安全与游客数量直接联系起来。但国内外学者普遍认为, 旅游环境容量只能是一个阈值, 很难直接表征旅游地生态安全水平, 因为旅游环境容量模型缺乏对旅游地生物多样性、景观稳定性、旅游建设项目环境影响等方面的深入探讨[18]。此外, 旅游环境容量直接受制于旅游地生态环境性质, 普适性不强, 还受到旅游规划水平、旅游管理水平等“软”要素影响[19]。但该方法简单, 可操作性强, 可用其来简易测评目前各类非都市型“纯”旅游地承受的生态压力。LAC和VERP作为旅游环境容量方法的发展, 融合了自然环境、游客、社区、管理者等各种利益相关者的诉求, 该方法常被运用于以自然类旅游资源为主体的旅游地。旅游生态足迹法则从资源消耗和供给的角度, 提出“可持续性”的解释和测度方法, 容易理解也更加简便, 不需要很多专业技能[20], 并能给出一个关于整个旅游行为所引起的生态消耗的清晰描述, 甚至能从旅游产品分类的角度对生态安全作一个明晰的测度[21～22]。但由于任何旅游区域都不是一个封闭的系统, 与外界有物质流和能量流交换, 对那些开放度较高的旅游地而言, 用生态足迹模型分析旅游容量要考虑外地物质和能量输入, 而外地输入量具有较大的弹性空间, 因此作为一个区域旅游承载力的极限值难以准确界定。从各类旅游地看, 该方法较适用于范围较大、游客消费链完整的旅游地生态安全测评。
3.安全测评宣传单 篇三
的信息安全意识猛然击醒。信息安全最显著的特点是“出现的问题越大，受重视程度越高”，最显著的成效是“受重视程度越高，出问题的概率越小”。显然，在当今信息技术广泛应用，网络影响力日益增强的时代，信息安全的风险因受到各类威胁而不断增长。随着新技术、新应用越来越多，新风险、新问题也将越来越多。2013年，我国信息安全产品的规模已较2012年度增长了21.68%，而未来两年该规模总量还将出现翻番。作为保障信息安全重要手段之一的检测与评估工作，必然显得越来越重要。
专业检测是信息安全可靠性认定的“首选措施”
信息安全测试与评估（简称：信息安全测评）是对信息安全模块、产品和信息系统的安全性等进行测试、验证、评价和定级，以明确其安全特性。一般而言，信息安全测评的重点是安全产品的专项性能和信息系统的安全状态。在实际测评过程中，通常从技术与管理两个方面进行，同时对内部风险和外部风险进行确认和衡量，有针对性地提出抵御威胁的安全防护对策和整改措施，从而最大限度地确保不出现安全问题或少出现安全问题，努力减少因安全问题而造成的经济损失和负面影响。早在20世纪80年代，美、英、德、法等西方国家纷纷制定了本国的信息安全评测认证制度，并积极开展测评认证标准领域的合作。经过近20年的努力，终于在1999年形成了既考虑共同的技术基础，又兼顾各国信息安全主权的国际化标准，即信息技术安全性评估准则（Common Criteria，简称CC），CC中的安全要求分为安全功能和安全保证两大类。1997年，我国开始组织有关单位跟踪CC发展，并着手制定对应的国家标准，2001年开始正式实施我国的信息安全标准GB/T18336，此后不断丰富和完善相关标准规范。
当前，社会各界对网络安全、系统安全、信息安全的依赖性越来越大，对信息安全测评工作的要求越来越高。整体形势呈现三个特点：一是信息安全的影响力日渐增强。2012年我国IT消费达到1.8万亿，云计算、物联网、移动互联网、IPV6、智能终端等网络新技术应用范围和服务内容不断丰富扩大，信息安全成为重点关注内容；二是网络技术军事化应用倾向明显。计算机病毒、高能电磁脉冲、网络嗅控和攻击、内网无线注入、微波炸弹等技术成为未来网络作战武器，各国网络备战步步升级，也成为国际合作与斗争的重要内容；三是黑客攻击窃密风险长期存在。我国电脑病毒的感染率高达67%以上，监测发现木马控制端IP中有49.8%位于境外，美国称85.7%以上的联网工业设备存在软硬件漏洞，出现在政府、军工、金融等重要信息基础设施和关键信息系统的恶性攻击和信息窃取事件层出不穷。无疑，组织信息安全测评是确保信息系统建设与应用安全的首选措施。
当前信息安全测评的“主要压力”和“实施难点”
信息安全所面临的巨大压力已传递到安全测评领域
据国家互联网应急中心（CNCERT）统计：北京、广东、上海等互联网发达地区受黑客攻击的窃密数量排名靠前。据中研普华研究表明，与全球信息安全市场相比，我国信息安全行业正处于快速成长期。2006年至2010年，年均复合增长率为18.62%。
信息安全保障服务面临着三大压力：一是技术和服务能力压力。因新技术和新应用发展极其迅速，技术隐患和管理漏洞并存现象较普遍，仅2012年发现技术漏洞总数达6万个，年度上升达11%以上；新增病毒样本6.9亿个，挂马页面92万个，钓鱼网站12.4万个；安全产品除传统的防火墙、IDS/IPS、防病毒等产品外，UTM、WEB安全、安全审计、信息加密、身份认证等需求日益增大，NGFW（下一代防火墙）、云计算、移动终端等安全产品相继涌现，对测评的技术手段和适用性要求越来越高。二是人才和执业资质压力。信息安全市场高速增长，近三年我国信息安全专业技术人员数量增长40%，信息安全企业资产总额增长36.2%，信息安全服务业务合同值增长255%；信息安全人才十分紧缺，薪酬指数远领先于其它传统行业。对测评机构和测评人员而言，必须拥有多项授权资质，有时一项工程必须同时满足多个管理部门的要求和规定；对从业人员的学习能力要求很高，经常培训、经常考证成为必然，具有“经验积累型”加“学习提升型”的职业特点。三是发展模式和能力提升压力。当前，我国信息安全测评机构总体上有三种编制、五种类型，由于信息安全测评需要的是“学习提升型”+“经验积累型”人才，需要一种“技术发展不钝化，人员稳定不僵化”的生态环境，上述各种编制和类型各有特色和千秋，实现融合发展、创新发展是当务之急，即在稳定的前提下确保较强的活力显得尤为重要！
当前信息安全服务保障的难点持续涌现
国际标准化组织把信息安全定义为“信息的完整性、可用性、保密性和可靠性”。信息安全领域面临的挑战主要来自于两个方面：一方面是电子信息产业的创新发展带来应用技术的不断推陈出新；另一方面是应用模式不断创新发展，热点转换频率快，出现应接不暇、不断淘汰的格局。
信息安全的难点问题主要有四大类：一是对信息泄漏、信息污染等问题的控制和防范，对未经授权信息流出、信息泄漏增添侵权风险，信息污染积累潜在危害等，需要及时发现和堵漏处置；二是对某些组织、某些人出于特殊目的，利用网络进行信息渗透和攻击等恶意破坏行为的防范和反击；三是随着社会高度信息化，重要信息基础设施、核心控制系统等安全边界复杂，尤其是虚拟化应用增多，在恶意行为屡禁不止的情况下，国家利益、社会公共利益、各类主体合法权益面临更大风险和威胁；四是随着网络泛在化、跨界应用普遍化，随之带来控制权分散等管理问题，在信息资源管理体系上出现了较多脱节和真空地带，从而使信息安全问题变得更加广泛而复杂。因此，信息安全保障能力与信息化应用创新同步发展极为重要，绝不可顾此失彼。
测评领域已成为信息安全“矛”与“盾”的竞技场
据中研普华称，中国（大陆及台湾）是被全球威胁相关流量攻击最甚的国家。信息安全测评需求与信息系统应用中的安全需求是正向对应关系，必然上演“矛”与“盾”绞杀战。目前主要有：一是检测移动设备的安全隐患。移动通信已成为办公、商务、社交的有效手段和热门途径，且种类繁多而操作系统多样，据Check Point调研，68%用户认为安全事故增加与移动通信发展趋势有关，这已成为防范黑客盗取信息及敏感数据的重要领域。二是检测QR码被恶意利用的漏洞。许多零售商和广告商将使用QR作为时髦的推广手段，尤其是使用手机扫描二维条形码，黑客们可借机将用户转到一个恶意链接、文件或程序上。三是检测Botnets（僵尸网络）“绑架”计算机威胁。通过一种或多种传播手段，用 bot程序（僵尸程序）病毒感染和控制大量主机，实施非法访问、盗窃数据、启动拒绝服务（Dos）攻击或散布垃圾邮件的侵权行为，必须通过测评发现风险、填补漏洞、进行有效防范。四是识别无线路由器组网漏洞。去年，有多款无线路由器被曝存在重大安全漏洞，因无线路由器组网非常隐性，一旦被黑客攻入不易被发现，需增强相关技术检测手段和被侵入的识别监控能力。五是识别虚拟化、云应用、BYOD隐患。此类应用故障较难判断、检测维护复杂，比如，云应用集中了大量数据信息，一旦云服务器遭到入侵或损坏，危害极其严重，各终端只能“叫天天不应”了；BYOD（携带自己设备办公）让人在机场、酒店、咖啡厅等非办公室地点，通过WLAN也能登录公司邮箱和业务系统，实现在线办公，当然外来人员借此潜入网络的可能性也增大了，非常考验识别和防范应用漏洞与风险的能力。六是监测重要系统应用中出现的漏洞。系统应用时的负载场景、执行效率、资源占用和兼容性、安全性等状态处于变化当中，需要对重要系统的应用过程进行必要的监测，及时发现安全漏洞和隐患，把安全事故消灭在萌芽当中。
我国信息安全测评需要进一步规范和强化
多国信息安全测评认证体系（ICCC）表明，规范管理是迅速发展的重要基础。纵观美国、英国、德国、法国、芬兰、瑞典、西班牙和日本、韩国等国家，非常重视建设信息安全测评认证体系，测评工作得到有力推进。其体系建设的共同特点是：有一个测评认证管理协调组织；有一个测评认证实体；有多个技术检测机构。而且，各国政府为适应信息化时代国际竞争的新形势，有条件的进行互认也是各国参与国际化和维护自主权的务实选择。在我国，近年来新增了众多从事信息安全测评的机构和单位，尤其是执行信息安全等级保护、分级保护以来，信息系统使用单位普遍由专业机构依据管理规范和技术标准实施信息安全测评。
下一步，为适应信息安全测评业务的迅速发展，有必要在三个方面进一步规范和强化：一是规范和强化测评机构与人员管理。避免追求数量而忽视质量，要扎实推进测评机构职业道德、业务素养和服务能力的全面建设，规范实施人员的各类测评活动，确保公正、公平、权威的测评结果；二是规范和强化测评能力建设。打破测评机构因编制和类型差异造成的局限和隔阂，着眼于国家安全大局，配合组织技术培训和业务交流，力争显著提升测评机构、人员的技术能力和业务水平，以适应当今信息安全形势发展；三是规范和强化新的信息安全测评观——四个统一。系统应用与安全保障存在着有效性和性价比的问题，既要兼顾信息系统的适用性，也要强调安全测评的合规性，笔者认为应使两者有机统一，需要树立新的信息安全测评观，即综合考虑测评对象的应用模式、技术架构、安全措施、制度建设四个方面的优化及有机统一，要破除只盯技术和管理两个部分的片面导向，推动建设“业务应用便捷简化、安全测评严谨细化、风险评估持续深化、制度建设不断强化”多角度覆盖的新型信息安全测评保障格局。
4.安全测评宣传单 篇四
文明程度指数测评工作社会宣传方案
（代通知）
为做好全国城市文明程度指数测评迎评工作，营造浓厚的社会舆论氛围，根据《济南市文明办迎接全国城市文明程度指数测评工作社会宣传方案》，制定本方案。
一、主要任务
全市所有安装电子显示屏的旅游星级饭店，自即日起至全国城市文明程度指数测评工作结束后五日内，饭店电子显示屏全天滚动播出创城宣传口号（创城宣传口号见附件）。
二、工作要求
1、各星级饭店对此项工作要高度重视，高标准、高质量地落实好。对推诿扯皮，落实不力的单位，将按照创城的有关要求追究责任。
2、各星级饭店电子显示屏播出的创城宣传内容从创城宣传口号中选取，选取数量不得低于五条。
附件：创城宣传口号
济南市旅游局
二〇一二年七月二十日
附件：
创城宣传口号
爱我美丽泉城，建设文明济南
让城市更文明，让生活更美好。
只言片语显修养，小事细节讲文明。让文明成为习惯，让城市和谐美好。你我多一点文明，生活多一份和谐。
同创文明魅力济南，共建富裕幸福家园!文明城市全民共建，美好家园你我共享！带文明上路，携平安回家。
做文明使者，展泉城风采。
让语言传递文明，用行动扮靓泉城。文明从现在做起，文明从自己做起。文明时时处处，礼貌点点滴滴。
文明赢得尊重，文明营造和谐。
同住一座城，共爱一个家。
做文明使者，建魅力泉城。
做文明济南人，为泉城添光彩。
5.信息安全等级保护测评 篇五
Hacker.cn 更新时间:08-03-27 09:37 来源:硅谷动力 作者:中安网
1.等级保护概述
1.1为什么要实行等级保护？
信息系统与社会组织体系是具有对应关系的，而这些组织体系是分层次和级别的，因此各种信息系统是具有不同等级的重要性和社会、经济价值的。对信息系统的基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统的重要程度进行区别对待就是级别的客观要求。信息安全必须符合这些客观要求，这就需要对信息系统进行分级、分区域、分阶段进行保护，这是做好国家信息安全的必要条件。
1.2等级保护的政策文件
信息安全等级保护工作非常重要，为此从2003年开始国家发布了一系列政策文件，具体如下：
2003年9月，中办国办颁发《关于加强信息安全保障工作的意见》（中办发[2003]27号），这是我国第一个信息安全保障工作的纲领性文件，战略目标为经过五年努力，基本形成国家信息安全保障体系，实行等级保护制度。
2004年11月，四部委会签《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）：等级保护是今后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原则、基本内容、工作职责分工、工作要求和实施计划。2005年9月，国信办文件，《关于转发《电子政务信息安全等级保护实施指南》的通知》（国信办[2004]25号）：基本原理、定级方法、安全规划与设计、实施与运营、大型复杂电子政务系统等级保护过程。
2005年，公安部标准：《等级保护安全要求》、《等级保护定级指南》、《等级保护实施指南》、《等级保护测评准则》。
2006年1月，四部委会签《关于印发《信息安全等级保护管理办法的通知》（公通字[2006]7号）。
1.3 等级保护的管理结构－北京为例
等级保护的实施和落实离不开各级管理机构的指导和监督，这在等级保护的相关文件中已经得到了规定，下面以北京市为例来说明管理机构的组成和职责，具体如下图所示：
1.4等级保护理论的技术演进
在等级保护理论被提出以后，经过相关部门的努力工作，逐渐提出了一系列原则、技术和框架，已经具备实施等级保护工作的基础条件了，其具体演进过程如下图所示：
1.5等级保护的基本需求
一个机构要实施等级保护，需要基本需求。由于等级保护是国家推动的旨在规范安全工作的基本工作制度，因此各级组织在这方面就存在如下需求：
（1）政策要求－符合等级保护的要求。系统符合《基本要求》中相应级别的指标，符合《测评准则》中的要求。
（2）实际需求－适应客户实际情况。适应业务特性与安全要求的差异性，可工程化实施。
1.6基本安全要求的结构
对系统进行定级后，需要通过努力达到相应等级的基本安全要求，在总体上分为技术要求和管理要求，技术上又分为物理安全、网络安全、主机安全、应用安全、数据安全，在管理要求中又分为安全管理机构、安全管理制度等5项，具体如下图所示：
2.等级保护实施中的困难与出路
由于等级保护制度还处于探讨阶段，目前来看，尚存在如下困难：
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统，否则：
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
3.管理难度太大，管理成本高
4.大型客户最关注的关键要求指标超出《基本要求》规定
针对上述问题，在下面几小节分别给出了坚决办法。
2.1安全体系设计方法
需求分析－1
问题1：标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
需求：从组织整体出发，综合考核所有系统
方法：引入体系设计方法
2.2保护对象框架设计方法
需求分析－2
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
需求：准确地进行大系统的分解和描述，反映实际特性和差异性安全要求
方法：引入保护对象框架设计方法
保护对象框架－政府行业
保护对象框架－电信行业
保护对象框架－银行业
2.3安全平台的设计与建设方法
需求分析－3
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
需求：统一规划，集中建设，避免重复和分散，降低成本，提高建设水平
方法：引入安全平台的设计与建设方法
平台定义：为系统提供互操作性及其服务的环境
2.4建立安全运行体系
需求分析－4
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
需求：建立长效机制，建立可持续运行、发展和完善的体系
方法：建立安全运行体系
2.5安全运维工作过程
需求分析－5
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
3.管理难度太大，管理成本高
需求：需要高水平、自动化的安全管理工具
方法：TSM安全管理平台
2.6 TNA可信网络架构模型
需求分析－6
1.标准中从“单个系统”出发，但实际工作是从组织整体出发，整体考虑所有系统
a)各系统单独保护，将冲突和割裂，形成信息孤岛
b)复杂大系统的分解和差异性安全要求描述很困难
c)各系统安全单独建设，将造成分散、重复和低水平
2.在建立长效机制方面考虑较少，难以做到可持续运行、发展和完善
3.管理难度太大，管理成本高
4.大型客户最关注的关键指标超出《基本要求》规定
需求：在《基本要求》基础上提出更强的措施，满足客户最关注的指标
方法：引入可信计算的理念，提供可信网络架构
3.总体解决方案－TopSec可信等级体系
按照上面解决等级保护目前困难的方法，总体解决方案就是建立TopSec可信等级体系：
遵照国家等级保护制度、满足客户实际需求，采用等级化、体系化和可信保障相结合的方法，为客户建设一套覆盖全面、重点突出、节约成本、持续运行的安全保障体系。
实施后状态：一套持续运行、涵盖所有安全内容的安全保障体系，是企业或组织安全工作所追求的最终目标
特质：
等级化：突出重点，节省成本，满足不同行业、不同发展阶段、不同层次的要求
整体性：结构化，内容全面，可持续发展和完善，持续运行
针对性：针对实际情况，符合业务特性和发展战略
3.1可信等级体系设计方法
3.2信息安全保障体系总体框架
3.3体系设计的成果
安全组织体系
安全策略体系
安全技术体系
安全运行体系
3.4安全体系的实现
4.成功案例
6.群众安全感测评调查问卷 篇六
1、请问您对居住地社会治安总体感到安全吗？ ①安全②基本安全③不太安全④不安全
2、您对您居住地的社会治安状况如何评价？ ①满意②比较满意③基本满意④不满意⑤不知道
3、您是否知道当地正在开展两严一降工作？ ①知道②不知道
4、你对当地社会治安状况比2014年是否“有好转”？ ①有明显好转②有好转③和以前一样④没有好转
5、你认为当地学校及周边社会治安秩序如何？ ①好②一般③不好
6、您所在地公共场所的治安秩序如何？
①好②一般③不好
7、在您的居住地是否经常看见民警、巡防队员和保安巡逻？ ①经常见到②没看见③偶尔看见
8、您认为当地社会治安乱点整治成效明显吗？ ①明显②不明显③不知道
9、您的居住地是否存在突出的治安问题？ ① 没有 ②有
如果有
您认为当前社会存在的突出治安问题是什么？
①盗窃 ② 抢劫抢夺③ 赌博
④诈骗
⑤吸毒贩毒 ⑥ 外来人员违法犯罪
⑦黑恶势力犯罪
⑧制黄贩黄、卖淫嫖娼 ⑨ 其他
10、近年来您或您的家人是否遭受过不法侵害？ ①没有②有
如果有，是下面哪几种
①盗窃②人身伤害③诈骗④抢劫抢夺⑤敲诈勒索⑥其他 您或您的家人遭受不法侵害后是否向公安机关报案 ①报了②未报 报案后公安机关是否立即采取措施 ①采取了 ②未采取任何措施
11、您所在地公共场所治安秩序是否仍存在薄弱环节？ ①是 ②没有
12、您认为当地是否仍然存在帮派和黑恶势力，并对安全构成一定威胁？ ①有②没有
13、您认为当地政法机关对违法犯罪的打击力度有？ ①有力 ②一般 ③不太有力 ④不力
14、您认为当地社会治安乱点整治成效是否明显？ 是
15、您认为当地平安建设工作如何？ ①满意 ②一般 ③不满意
16、您所在地未成年人违法犯罪现象如何？ ①没有 ②一般 ③严重
17、您对当地公安派出所的工作如何评价？ ①满意
② 基本满意 ③不满意
18、您对当地检察院工作如何评价？ ①满意
② 基本满意 ③不满意
19、您对当地法院工作如何评价？ ①满意
② 基本满意③不满意 20、您对当地司法局工作如何评价？ ①满意
② 基本满意③不满意
21、您对当地综治办工作如何评价？ ①满意
② 基本满意③不满意
7.安全测评宣传单 篇七
物联网 (Internet of things, IOT[1]) 是通过无线射频识别 (RFID) 、红外感应器、全球定位系统、激光扫描器等信息传感设备, 按约定的协议, 把任何物品与互联网连接起来, 进行信息交换和通讯, 以实现智能化识别、定位、跟踪、监控和管理的一种网络。随着物联网的应用范围迅速扩展, 物联网信息系统的安全性问题越来越为人们所关注, 其中之一就是物联网信息系统安全测评服务的探索[2]。目前, 我国信息安全测评工作已取得了很大的进步, 信息安全测评已不仅仅局限于分析静态脆弱性, 还对动态安全态势进行评估, 基于主动防御思想对主机层面、网络层面、系统层面等进行安全漏洞的挖掘, 对信息系统的安全脆弱性进行量化评估。基于安全咨询、体系规划、安全管理、应急响应等的信息安全服务已逐渐与信息安全测评形成一体化的服务模式, 构成了信息系统生命周期的闭环保障体系, 利用信息系统前期安全服务的分析数据, 实现信息系统风险状况及发展态势的动态评估, 为物联网的信息安全测评服务的开展提供基础性指导[3]。但是, 由于物联网应用和产业发展总体处于初级阶段, 标准体系尚在建立, 基于物联网的信息安全测评的服务综合性、复杂性、环境性、主体性、时间性、对策性和高技术等特点, 无疑给测评服务提出了巨大的挑战, 信息安全测评服务机构必须面对一轮一轮新的攻击威胁面前。物联网所面临的主要威胁有以下几类:
一是传统互联网的安全威胁。物联网是传感器、RFID等物联网技术与传统互联网相融合所形成的一个泛在网络, 其核心与基础仍然是互联网, 所以传统互联网的安全威胁内容是物联网安全的重要部分。互联网信息安全可分为三个方面:信息存储安全、信息计算处理安全和信息传输安全。
二是物联网节点产品安全威胁。物联网信息系统与传统互联网信息系统的区别在于物联网信息节点处的信息采集系统, 在这部分的物联网相关产品一般具有较低的运算能力、电池使用寿命较短以及不完善的安全防护能力, 无法有效抵御来自外界有意或无意的窃听、欺骗、拒绝服务、物理环境破坏攻击行为, 尤其是物联网射频识别系统中的电子标签可以被嵌入任何目标物品中, 这样标签的安全和隐私性就受到了极大地限制[4], 根据产品分类可将物联网节点产品安全分为RFID安全、智能卡安全、读写器安全、空中接口安全、中间件安全、传感器安全等。
三是不同应用模式下的安全威胁。随着物联网技术的不断发展, 物联网信息系统所应用的业务平台也层出不穷, 在不同的应用模式下, 物联网信息系统所面临的安全威胁也不尽相同。例如在医疗领域, 物理环境安全部分要特别考虑的是电子标签和读写器等设备对消毒药剂等化学药品的抗腐蚀情况。
因此, 相对于传统的互联网信息系统, 物联网信息系统所体现的高度开放性、感知信息多样性、应用环境多样性等新的特点为物联网信息系统安全测评服务带来的新的挑战, 本文将重点研究基于物联网信息系统的安全测评指标体系建立方法和服务模式, 将分别从物联网信息系统产品测评和物联网信息系统测评两方面进行讨论, 给出未来物联网信息系统安全测评服务提供理论基础。
1 国内信息安全测评服务模式发展现状
所谓的信息安全测评是指遵循一个标准, 使用相应的方法, 对交付件 (例如系统) 安全所进行的验证, 以建立与标准的符合性, 并确定其保障。目前我国信息安全测评一般分为两类;一类是产品层面上的评估, 一类是系统层面上的评审。产品层面上的评估通常是由独立第三方测评机构承担的, 而后以产品形态投入市场, 并部署到成千上万个系统之中。系统层面上的评审一般是由信息系统开发人员、系统集成人员、认证机构、审核员、信息系统拥有者和组织的信息安全有关领导等所进行的, 对系统进行附加的评审。目前信息系统产品层面和系统层面上的测评服务模式可大致分为以下几类:
1.1 信息系统产品层面安全测评服务模式
1.1.1 信息系统产品认证服务
信息安全认证是认证机构证明信息系统产品、服务、管理体系符合相关技术规范或者标准的合格评定活动, 信息安全认可则是指由认可机构对信息安全认证机构、检查机构、实验室以及从事评审、审核等认证活动人员的能力和执业资格, 予以承认的合格评定活动[5]。信息系统产品认证服务可以分为以下两种认证模式:
(1) 一站式受理
申请方向指定的认证机构申请认证, 认证机构确认申请资料然后向实验室安排检测任务认证机构可从指定的实验室名单中选取检测实验室。实验室依据相关产品认证实施规则进行检测, 完成检测后将完整的检测报告提交至认证机构。认证机构对检测报告进行审查, 合格后由认证机构组织工厂检查, 对型式试验、工厂检查结果进行综合评价, 评价合格后向申请方颁发认证证书, 并定期对已获得证书的产品厂商进行监督检查。
(2) 分段式受理
申请方直接向实验室提交相关申请材料, 检测实验室需从指定实验室名单中选取。实验室确认申请产品提交资料, 合格后依据认证实施规则进行检测, 检测通过后向认证机构提交检测报告。认证机构对检测报告进行审查, 合格后申请方向认证机构提交认证所需资料。认证机构对所需资料进行确认, 合格后由认证机构进行工厂检查。认证机构对型式试验、工厂检查结果进行综合评价, 评价合格后向申请方颁发认证证书, 并定期对已获得证书的产品厂商进行监督检查。
根据国家标准, 信息技术安全产品的评估由低到高分为功能测试、结构测试等7 个级别。这种等级评估的方式不仅可以确定信息系统产品是否足够安全, 还可以确定产品使用过程中隐藏的安全风险是否可容忍, 信息安全认证是对信息技术领域内产品、系统、服务提供商和人员的资质和能力符合规范及安全标准要求的一种确认活动, 即检验评估过程是否正确并保证评估结果的正确性和权威性。
1.1.2 信息系统产品定制测试
目前, 随着信息安全服务提供商对信息安全产品质量的越来越关注, 委托第三方的评测机构进行定制的安全测试也逐渐成为一种服务模式, 在这种服务模式下, 第三方评测机构一般是在信息安全产品领域具有专业技术能力并取得国家认可的测试实施机构, 具体的测试活动可根据客户需求和评测机构的实施条件进行协商, 所有可实现的测试内容需写入服务合同中, 测试流程一般按照评测机构内部产品测试流程进行。
验收测试是定制测试的一种形式, 是指信息安全产品交付时进行的测试活动, 其测试活动一般包括五个方面:文档审核、功能测试、性能测试、安全性测试和按客户需求进行的其他测试项。对于信息安全产品验收测试应该由项目委托开发方组织实施, 但是由于技术条件等诸多因素限制, 项目委托开发方一般不具有完整的组织项目并实施验收测试的能力, 所以对于质量要求比较严格的信息安全产品而言, 项目组一般委托第三方评测机构完成产品验收测试工作。
1.1.3 技术咨询与培训
许多评测机构提供信息安全产品的技术咨询与培训业务, 包括传递与培训最新的有关信息安全产品的标准及最新进展, 分析客户的业务需求以及产品特点, 确定产品的安全目标, 建立产品结构, 进行风险分析, 并依据风险分析结果选择控制措施, 制定可执行的信息安全管理体系, 编制培训资料, 采用短训授课或专题讲座等形式为客户培训信息安全管理和技术人才。
1.2 信息系统层面安全测评服务模式
1.2.1 信息系统安全等级保护测评
信息安全等级保护是指国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护, 对信息系统中使用的信息安全产品信息系统安全等级保护工作包含系统定级、系统备案、安全建设、等级测评和监督检查五个工作环节[6]。测评通常用于判断信息系统的安全保护能力与国家要求之间的复合程度, 也可用于安全建设或安全改建的需求分析工作中, 通过对特定级别的信息系统进行等级测评, 寻找安全保护水平与国家要求之间的差距, 作为安全需求用于指导信息系统的安全建设或安全改造。实行按等级管理, 对信息系统发生的信息安全事件分等级响应和处置。
依据《信息安全技术信息系统安全案等级保护测评要求》等技术标准, 定期根据信息系统安全等级状况开展等级测评, 第三级信息系统应当每年至少进行一次等级测评, 第四级信息系统应当每半年至少进行一次等级测评, 第五级信息系统应当依据特殊安全需求进行等级测评。信息系统主管部门、信息系统运营和使用单位应根据《信息安全等级保护管理办法》和安全等级保护相关标准开展安全等级测评工作。按照《管理办法》中规定选择安全等级测评机构, 由测评机构制定安全等级保护测评方案, 测评报告应规范、完整, 测评结果应客观、公正, 一般测评机构的等级测评服务流程如下图所示:
目前安全测评工作是依据相关标准、规范, 通过有经验的测评人员进行检测和分析, 但信息系统安全测评是一个复杂的系统工程, 涉及到信息系统中的安全技术、管理体系、人员、资质等各方面, 并且测评人员水平高低不同, 从而导致评估结果主观性强, 并且评估周期难以控制, 随着评估方法的发展, 信息系统测评的过程逐渐转向自动化和标准化, 信息系统安全测评工具的开发不仅可以将分析人员从繁重的手工劳动中解脱出来, 还能够帮助企业了解相关标准和技术、提高企业的自我评估的能力, 使企业能够更清晰的认识到系统与标准和规范之间的差距。国内许多评测机构在深入分析信息系统的相关标准和技术要求、面临的安全威胁, 并结合多年积累的信息系统等级测评的经验和知识基础上研制出了许多可以为产品提供支持和服务的系列工具, 并已投入许多实践测评项目中, 取得了良好的效果, 大大提高了测评工作的效益, 这些测评工具不仅可以使相关单位和企业尽快掌握信息安全产品的标准和知识应用, 还提供了详细的操作流程、步骤说明, 为提高企业的自我检查和测评水平提高了自动化程度和工作效率。
1.2.2 信息系统风险评估
信息系统风险评估是依据国家有关政策、法律法规和信息技术标准, 运用科学的方法和手段, 对信息系统及其信息在机密性、完整性和可用性等安全属性面临的风险进行科学、系统、公正的综合评估[7]。采用信息系统风险评估可以帮助用户清楚的认识到信息系统的安全环境和安全状况, 以及信息化建设中各级的责任, 在相关指导建议下采取或完善更加经济、有效地安全保障措施, 来保证信息安全策略的一致性和持续性, 提高系统安全保障能力。
风险评估应贯穿信息系统的整个生命周期, 一般过程为:从信息系统的安全目标出发, 分析资源的重要程度和分布情况、风险分布情况, 评估信息系统的风险大小和信息系统采取的安全措施和实施情况, 确定系统是否达到安全目标或相应的安全等级。许多测评机构的风险评估的服务流程采用等级测评的服务流程, 但工作内容仍有区别, 一般工作流程如下图所示:
1.2.3 信息系统安全审计
信息系统安全审计是评判一个信息系统是否真正安全的重要方法之一。在国际通用的CC准则中对信息系统安全审计 (ISSA, Information System Security Audit) 给出了明确定义:信息系统安全审计主要指对与安全有关活动的相关信息进行识别、记录、存储和分析, 审计记录的结果用于检查网络上发生了哪些与安全有关的活动, 哪个用户对这个活动负责[8]。一般情况下测评机构有关信息系统审计的服务内容包括:依据相关标准和规范, 采用监测、记录、存储和分析等技术方法, 开展信息系统审计服务, 通过对信息系统的策划、开发、使用、维护等相关活动和产物完整有效的审计, 判断信息系统和IT环境能否保证资产安全、数据完整、资源有效利用和是否达到预定业务目标等。通过安全审计收集、分析、评估安全信息、掌握安全状态, 制定安全策略, 确保整个安全体系的完备性、合理性和适用性, 才能将系统调整到最安全和最低风险的状态。安全审计已成为企业内控、信息系统安全风险控制等不可或缺的关键手段, 也是威慑、打击内部计算机犯罪的重要手段。
目前, 随着信息安全建设的深入, 安全审计已成为国内信息安全建设的重要技术手段。总体来看, 由于信息系统发展水平和业务需求的不同, 各行业对安全审计的具体关注点存在一定差异, 但均是基于政策合规、自身安全建设要求, 如政府主要关注如何满足《信息系统安全等级保护》等政策要求的合规安全审计, 电信运营商则基于自身信息系统风险内控需求进行, 电力行业则将信息系统分为管理类信息系统和生产控制类信息系统, 对于生产控制类信息系统增强了对电力二次系统的安全要求, 金融行业和证券期货类行业也根据自身业务特点适当调整了信息系统安全等级保护基本要求。
1.2.4 信息系统的渗透测试
信息系统的渗透测试, 也称为黑盒测试或正派黑客测试, 是在经过用户授权批准后, 由信息安全专业人员采用攻击者的视角、使用同攻击者相同的技术和工具来尝试攻入信息系统的一种测评服务, 它用攻击来发现目标网络、系统、主机和应用系统所存在的漏洞, 从而帮助用户了解、改善和提高其信息系统安全的一种手段。
对于信息系统的渗透测试方法, 并没有一个统一的标准和规范, 开放信息系统安全组 (OISSG) 提出了一种比较具有代表性的3 阶段的渗透测试框架[9]。方案包括下列阶段和步骤:
阶段1:计划和准备
在这个阶段, 双方应签署一份正式的评估协议。这份协议内容包含指定工作小组、实际日期、测试时间、问题升级方式和其他工作安排。具体活动包含:指定双方联系人;首次会议确定范围、方案、方法和测试计划;就特定测试用例和问题升级路径达成协议。
阶段2:评估
在评估阶段, 应使用分层的方案, 每一层代表对信息资产更大一层的访问。执行步骤大致可分为以下几个内容:信息搜集、网络绘制、漏洞识别、渗透、获取访问和特权升级、进一步枚举、攻入远程用户或站点、维持访问、覆盖踪迹。执行步骤是循环和反复的。
阶段3:报告、清除和破坏测试过程产物
在此阶段, 报告内容包含口头报告和最终报告, 口头报告是指在渗透测试过程中对发现的关键问题及时报告被测方, 讨论关于这些问题的保护措施, 最终报告时在完成了工作中所定义的所有测试用例后测评机构出具的一份描述测试和审核详细结果以及改进推荐的书面报告。测试过程完毕后, 应从被测系统上删除所有创建或存储的信息。
1.2.5 信息系统安全等级保护测评
非金融机构支付业务设施技术认证, 是指对申请《支付业务许可证》的非金融机构或《非金融机构支付服务管理办法》所指的支付机构, 其支付业务处理系统、网络通信系统以及容纳上述系统的专用机房进行的技术标准符合性和安全性认证工作。非金融机构支付业务设施技术认证业务包括互联网支付、移动电话支付、固定电话支付、数字电视支付、预付卡发行与受理、银行卡收单以及中国人民银行确定的其他支付服务。认证依据《非金融机构支付业务设施技术认证规范》, 并将认证分为两级, 一级认证包含《非金融机构支付业务设施技术认证规范》中的基本要求, 二级认证包含《非金融机构支付业务设施技术认证规范》中的基本要求和增强要求, 认证的基本环节依据标准《ISCCC-SR-001:2014非金融机构支付业务设施技术认证实施规则》, 主要包括以下内容:认证申请及受理、检测、文件审查、现场审查、认证决定、获证后监督、再认证。
1.2.6 信息系统安全等级保护测评
信息系统安全建设是一个复杂的过程, 涉及到诸多方面, 如信息系统中安全保障措施、人员能力建设、管理体系建设等, 信息系统安全测评服务中的技术培训与咨询是由专业的测评机构提供的一项服务, 可指导和帮助被测方建立符合标准和技术要求的信息系统和管理体系, 并提升被测方的技术和管理能力。
技术培训与咨询服务项目可以在服务周期的各个阶段来展开, 技术资讯主要包括对安全策略的指导和规划, 技术培训主要包括人员意识教育培训、管理培训和技术培训等。
2 物联网信息系统安全测评指标体系
为保障物联网信息系统安全、可靠、有效地运行以及数据的完整性、保密性, 需根据标准规范的测评指标对系统安全进行有效性评审, 如何根据物联网信息系统安全性需求建立有效的测评服务保障论据, 需要从以下几个方面进行考虑:
(1) 从威胁源确定测评指标:根据物联网信息系统的业务特点和网络特点, 对物联网信息系统的现实和潜在的威胁源进行分析, 了解主要的威胁源, 并对威胁源进行分类。物联网信息系统应用体系结构可以分为三层:感知层、网络层和应用层, 每一层涉及若干相关技术领域, 例如在感知层就包含了各种传感器和RFID、二维码、视频采集终端等[10], 涉及的技术包括了RFID技术、传感器技术和通信和网络技术[11]等, 基于各层所采用的关键技术对系统可能面临的威胁源进行识别, 由于物联网信息系统相比于传统的互联网信息系统的主要区别在于感知层的组网和信息采集处理系统, 故可总结物联网信息系统威胁源如下图所示:
(2) 威胁源影响分析:分析威胁源对物联网信息系统的影响, 确定威胁源的重要等级。
(3) 威胁源量化和定性分析:基于对威胁源的量化和定性分析, 制定抵御威胁的量化指标。
(4) 设置权重:首先对指标的类别设置权重, 对关键类别的指标设置较重的权重, 然后根据指标对信息系统的安全影响进行权重设置。
3 物联网信息系统安全测评服务模型
通过对物联网信息系统的研究, 结合现有的国内发展较为成熟的信息系统测评服务模式, 提出一套适用于物联网信息系统的安全测评服务模型, 该模型仍将物联网信息系统安全测评服务分为产品层面和系统层面两大类, 结合物联网信息系统的特点, 形成以测评指标体系为核心, 以准备阶段、实施阶段、评估阶段、审定阶段、入库阶段服务活动为途径, 以技术支持与培训为保障的物联网铁路信息系统的安全服务模型。下图为物联网信息系统安全测评服务模型:
(1) 技术支持与咨询:该服务在安全服务整个周期里均有所体现。主要包含两方面的内容, 一方面就测评服务具体内容, 另一方面, 就系统的设计与管理方面的安全目标、策略、方案等内容。
(2) 准备阶段:此阶段是开展安全测评服务工作的基础, 在此阶段测评机构需对物联网信息系统当前业务和环境进行调研和分析, 充分了解被测系统的详细情况, 包括安全体系架构、业务架构、组织及人员结构、信息采集与处理端所使用的技术、安全策略等, 在此基础上制定测评方案。
(3) 实施阶段:在此阶段, 测评机构根据测评方案和测评体系及测评指标, 采用多种测评手段对物联网信息系统进行定性和定量的测评, 以了解系统的真实防护情况, 获取足够证据, 发现系统存在的安全问题, 主要的服务措施分为代码检测、漏洞扫描、渗透测试、现场审核与访谈等。
(4) 评估阶段:在此阶段, 主要根据现场实施的内容对系统进行深入评估, 来判断现有安全措施的有效性以及是否符合标准测评体系的要求, 分析系统部署情况与测评标准之间的差距, 并生成详细的测评报告。
(5) 审定阶段:在此阶段, 测评机构相关人员对测评报告内容进行审查, 对其中不合理之处与测评人员进行核实并形成最终测评报告, 对测评过程中发现的阿全漏洞和威胁对被侧方进行安全通告。
(6) 入库阶段:测评服务机构将系统测评报告和测评结果以及相关过程记录进行归档保存, 将相关测试经验形成知识库。
(7) 培训服务:在安全测评服务中添加培训服务内容能够为构建安全可靠的信息系统、提高安全服务测评效率发挥重要作用, 主要的培训服务内容包括:人员意识培训、管理培训和技术培训。
5 结论
物联网的快速发展给物联网信息系统的安全问题提出了新的挑战, 也给针对物联网信息系统的测评服务提出来越来越高的要求。如何快速有效的发现物联网信息系统的运行风险和潜在威胁, 对物联网信息系统做出合理、全面、有效的安全评估成为一个新的课题。本文针对这个问题提出了如何基于物联网信息系统的安全威胁建立测评指标体系的方法, 并给出了一套完整的物联网信息系统的测评服务模式, 其中包含物联网信息系统产品层面和系统层面的相关内容, 为物联网信息系统的安全测评提供理论基础。
摘要：近年来物联网的快速发展导致物联网信息系统的安全性问题越来越被人们所关注。面对物联网信息系统所面临的新的安全威胁, 如何对物联网信息系统进行有效、全面的安全测评成为新的挑战。本文介绍了当前信息系统测评服务的发展现状, 分析探讨了物联网信息系统所面临的新的安全威胁, 基于这些安全威胁给出了测评体系和测评指标的建立方法, 并设计出物联网信息系统的安全测评服务模式, 为开展物联网信息系统的安全测评工作提供理论基础。
关键词：物联网,安全性,测评指标,安全威胁,服务模式
参考文献
[1]Conti J.P.The Internet of Things[J].Communications Engineer, 2006, 4 (6) :20-25.
[2]祝咏升, 周泽岩, 张彦, 等.铁路信息系统安全测评服务体系的研究[J].信息系统工程, 2011 (12) :77-79.
[3]李维, 刘东, 骆俊瑞.一种面向Tiny OS的物联网系统信息安全测评工具[J].软件, 2012 (02) :1-5.
[4]李真, 宋朝阳.物联网技术发展及应用研究[J].软件, 2012, 33 (6) :125-127
[5]GB/T 18336-2008.信息技术安全技术信息技术安全性评估准则[S].
[6]GB/T 22239-2008.信息安全技术信息系统安全等级保护基本要求[S].
[7]GB/T 20984—2007.信息安全技术信息安全风险评估规范[S].
[8]CCMB-2005-08-001.Common Criteria for Information Technology Security Evaluation[S].
[9]中国信息安全测评中心.Web系统安全和渗透性测试基础[M].北京:航空工业出版社, 2009.
[10]李维, 苗勇, 汤业伟, 等.物联网系统可靠性检测与评估技术[J].软件, 2012, 33 (4) :1-4.
8.安全测评宣传单 篇八
摘要：采用层次分析法构建保护能力的评价指标体系，并以此为基础层层汇总计算各措施层指标的合成权重，作为保护能力得分量化的基础。同时，还在现有等级测评的基础上，创新性提出从“正反”两个不同的角度来度量信息系统的安全状况，安全保护能力评价结合了正向的保护状况和反向的风险情况进行综合判定。
关键词：等级测评；评价指标；权重；风险分析；多对象平均分
中图分类号：TP391文献标识码：A
Abstract：Evaluation Index System of information system protection capabilities was built based on AHP， which was used as the basis to calculate the various layers weights as the synthesis weight of the index of measure layer， and used as the foundation of quantifying security capability score. Meanwhile， based on the existing classified protection testing and evaluating， a new idea was put forward to measure the information system security protection situation from the "pros and cons" of two different views. Information system security capability was evaluated and comprehensively judged by combining with the positive evaluation of the protection situation and reverse risks.
Key words：classified protection testing and evaluating；evaluation index；weight；risk analysis；average score of multiobject
1引言
对信息系统实施等级测评具有重要的现实意义，其中对信息系统的安全保护能力进行评价是等级测评的重要环节。信息系统安全保护能力评价是对等级测评结果进行全面评估、分析与度量。安全保护能力评价虽然不能直接保护信息系统，但其结果可以反映信息系统的安全保护状况，发现信息系统存在的薄弱点，可以作为信息系统安全整改和后期安全规划的依据和基础。
2研究状况分析
在信息安全评价方面，从安全评估模型的着眼点看，目前存在两方面完全不同的模型：一种是从“正面”分析信息系统安全保护能力为出发点的安全评估模型，如闫强等人提出的安全度量评估模型[1]；另一种则是从“反面”以信息系统存在的脆弱性为出发点的安全评估模型，如风险评估模型，从可靠性评定模型中发展过来的故障树模型等。这两种不同的模型，分别从“正反”两个不同的角度来度量信息系统的安全状况。
本文充分借鉴上述两种模型的优点，首先从“正面”分析系统安全保护能力是否达到等级保护相关标准的要求，然后从“反面”以在等级测评中发现的系统脆弱性为出发点，综合分析系统面临的风险。
3系统安全保护能力评价指标体系
系统安全保护能力评价是在等级测评的单项测评结果基础上进行的，主要内容分为五个方面：单项测评结果判定、单元测评结果判定、整体测评、风险评估以及综合分析[2，3]。
整体测评主要是以“正向”为主，包括安全控制间、层面间和区域间相互作用的安全测评，以及漏洞扫描、渗透测试等。风险评估主要是以“反向”为主，综合分析则是根据单项测评、整体测评、风险评估的结果对信息系统的整体安全保护能力状况进行综合评价分析。
单项测评中的各项测评指标直接来自《信息系统安全等级保护基本要求》[4]（简称《基本要求》），与其存在一一对应的关系。这些测评指标与系统安全保护能力之间没有明确的关联关系。因此，为了判定系统安全保护能力，首先需要研究如何将安全保护能力与各项具体测评指标关联起来，形成科学的安全保护能力评价指标体系[5]。
本文借鉴层次分析法[6，7]的思想建立评价指标体系并求取各测评指标权重。评价指标体系可以分解为目标层、准则层和措施层[8]。措施层（对应《基本要求》的具体要求项）是明确实现各安全保护能力需要的安全机制或安全措施，是综合安全保护能力的最细化、最底层的层次。准则层（对应各项保护能力）是在归纳总结措施层不同层次不同方面的各项措施能够实现的安全保护能力形成的，是多项安全措施的综合，准则层是措施层与目标层之间的桥梁。目标层（A层）只有综合保护能力一个指标，是所有准则层各项保护能力的综合，是信息系统综合安全保护能力的量化直观反映，也是等级测评的最终结论，量化分数的高低可以反映出信息系统安全保护现状与相应等级安全保护能力要求之间的差距。
评价指标体系各层次内容及其之间的关系可用示例图1来表示。
其中，准则层指标可以进一步分为能力层（B层）、能力子层（C层）和能力底层（D层），该层指标自上而下是对综合保护能力的进一步细化、分解。其中能力层分为8类能力（见图1），能力子层分为36类子能力，能力底层则进一步细分为126类子能力。准则层分解示例如下表1所示：措施层（E层）来自于《基本要求》技术和管理两大部分的安全措施。其与准则层的关联关系示例如表2所示。
4测评指标综合权重计算
在建立了等级测评安全保护能力评价指标体系之后，进而通过层次分析法确定每一层相对于上一层的影响权重，得出全部测评指标的综合权重得分。
下面详细说明如何使用判断矩阵求得等级测评指标各层的权重系数。
B层相对于A层的各指标权重。根据层次分析法，当相互比较因素的重要性能够用具有实际意义的比值说明时，则取这个比值作为B层相对于A层的各指标权重。根据信息系统等级保护能力的要求，5个不同级别的安全保护能力有如下表的特点，即1级更强调安全防护方面的能力；2级在1级的基础上，进一步强调检测能力；等等。
因此，可以根据不同等级能力的体现，通过专家对比评审的方式确定判断矩阵。根据专家对比的结果形成判断矩阵AB，计算最大特征根和特征向量，归一化处理后得到B层指标对A层而言的权重系数WB，并进行一致性较验。
wb=WA1B1……WA1Bn
WA2B2……WA2Bn（1）
WA15n代表B层第n个指标对A1的权重系数，WA2Bn代表B层第n个指标对A2的权重系数，n为从1到8的正整数。
另外，C层相对于B层的各指标权重以及D层相对于C层、E层相对于D层的各指标权重是不会随安全等级的变动而改变的，也不随其服务的是业务信息安全还是系统服务安全而改变，也就是说其权重系数是相对稳定的，主要决定于C层对B层、D层对C层、E层对D层的贡献。因此，可以采取通过专家评审对比构造判断矩阵、计算最大特征根、计算特征向量并归一化的方式，得到权重向量。通过计算得出一组权重系数。
根据上述得出的这些权重系数可以生成合成权重。合成权重是指最下层（措施层E层）诸要素对最上层（目标层A层）的综合权重W。根据层次分析法，可以预先计算出从措施层E层到目标层A层的综合权重WA，WA=WB×WC×WD×WE。从而在计算综合得分中直接使用，以减少中介计算。
5安全保护能力综合评价
在等级测评中各单元测评指标的得分包括单项测评结果的符合程度直接得分和整体测评对直接得分的修正分。
5.1单项测评结果符合程度直接得分
单测评项根据不同的测评方式、测评内容等，可能会存在多个测评实施过程与之对应。执行这些测评实施过程后，会得到多个测评证据。如何根据这些测评证据获得单项测评结果是判定得到等级测评结论的基础。
单项测评结果的形成方法通常是：首先将实际获得的多个测评结果分别与预期的测评结果相比较，分别判断每一个测评结果与预期结果之间的相符性；然后，根据所有测评结果的判断情况，综合判定给出该测评项的符合程度得分，符合程度得分为5分制，满分为5分，最低分为0分，测评人员根据符合情况给出0～5的整数分值[9]。这个得分即为该测评项的单项测评结果符合程度的直接得分。其中，0分的情况是指获取的测评证据低于相应测评项应达到的最低要求。
单项测评结果的符合程度得分体现了安全保护措施是否有效以及有效性程度[10]。
同时，由于单项测评结果符合程度直接得分越高，表明该项对应的安全问题越不严重，因此可以根据单项测评结果的符合程度得分得到对应的安全问题严重程度得分。即：
S安全问题严重程度得分=5-S单项测评结果符合程度直接得分（2）
5.2单项测评结果的多对象平均分
一般来说，一个测评项可能在多个测评对象上实施。因此，作为综合得分计算基础的单项测评结果应为多个测评对象的平均得分，即多对象平均分。
5.2.1测评对象分类
针对单个测评项的测评可能会落实到一个或多个测评对象上。由于这些测评对象在信息系统中所起的作用会有所不同，所以测评对象对于测评项对应体现的安全功能所起的作用就有所不同，从而对单项测评结果形成的贡献就可能有所不同。根据测评对象对某一单项测评结果形成贡献的大小，即其重要程度的不同，把测评对象分为：重要测评对象和一般测评对象。
1）重要测评对象，主要是指该测评对象对于某一测评项在信息系统中的实现起关键性作用，即对此测评项测评结果的形成贡献非常大；
2）一般测评对象，主要是指该测评对象对于某一测评项在信息系统中的实现起一般性的作用，即对此测评项测评结果的形成贡献不大。
因为重要测评对象和一般测评对象对于单项测评结果形成的贡献大小有所不同，所以给他们赋予的权重也就应该不同[11]，在这里分别赋予他们相对权重为2和1。
5.2.2多对象平均分
结合单项测评结果符合程度直接得分和测评对象权重，采用几何加权平均方法计算测评项的多对象平均分（四舍五入取整小数点后一位计）：
P多对象平均分=（∑nK=1测评对象k在该测评项的符合程度得分×测评对象K权重）∑nK=1测评对象K权重（3）
其中，P为测评项的多对象平均分，n为同一测评项测评的测评对象个数。
5.3整体测评修正直接得分
系统整体测评主要是在单项测评的基础上，通过测评分析安全控制间、层面间和安全区域间存在的关联作用验证和分析不符合项是否影响系统的安全保护能力，测试分析系统的整体安全性是否合理。根据整体测评结果，确定已有安全控制措施对安全问题的弥补程度将修正因子设为0.5～0.9，已有安全问题相互之间的削弱程度将修正因子设为1.1～1.5。
根据修正因子修改安全问题严重程度值及对应的修正后的单测评项符合程度得分。具体计算公式为：
S修正后问题严重程度值=S修正前的问题严重程度值×g修正因子（4）
S修正后测评项符合程度=5-S修正后问题严重程度值/
W测评项权重（5）
其中，整体测评之后求得的修正后测评项符合程度得分即为单项测评结果符合程度最终得分，修正后问题严重程度值也为最终的安全问题严重值。
最后，根据修正后测评项符合程度判定最终的单项测评结果。
5.4风险分析
风险分析时，将结合关联资产和威胁分别分析安全危害，找出可能对信息系统、单位、社会及国家造成的最大安全危害（损失），并根据最大安全危害严重程度进一步确定信息系统面临的风险等级。最大安全危害（损失）结果应能够反映安全问题所影响业务的重要程度、相关系统组件的重要程度、安全问题严重程度以及安全事件影响范围等。
根据风险分析思路，本文确定最终的风险计算方法如下。
5.4.1可能性分析
本文以威胁的统计频率、脆弱性被利用的难易程度等因素计算安全事件发生的可能性。
安全事件发生的可能性P计算方法为：
P=f（T，V）=T×V（6）
T为威胁发生的频率；V为脆弱性组的利用难易程度，本文中为上述求出的修正后问题严重程度值。
5.4.2安全事件损失分析
L=F（A，V）=A×V（7）
L为安全事件的损失；A为资产价值；V为脆弱性组对资产的损害程度。
5.4.3安全风险分析
根据下表可计算安全风险值
R=L×P（8）
R为安全事件造成的风险；L为安全事件的损失；P为安全事件发生的可能性。
5.4.4风险等级确定
根据安全风险值R确定信息系统面临的风险等级，结果为“高”、“中”或“低”。
5.5计算综合得分及结论判定
综合得分可以采取层层往上汇总的方式来得到，各层指标的分值满分以5分计，也可以直接通过措施层E层各指标的“最终得分”乘以合成权重系数直接得到。在此以合成权重方式进行计算。
考虑等级保护要求，信息系统中不准存在高风险安全风险。因此，若信息系统中存在的安全问题会导致其面临高等级安全风险，则综合得分计算公式[9]为：
S综合得分=C60-∑mj=1Sj∑nK=1Wk×12（9）
其中，S综合得分为系统安全保护能力综合得分，Sj为修正后问题j的严重程度值，Wk为测评项k的合成权重，m为安全问题数量，n为总测评项数，不含不适用的控制点和测评项。
其他情况下，综合得分计算公式[7]为：
∑nk=1Pk×Wk∑nk=1WK×20（10）
其中S综合得分为系统安全保护能力综合得分，Pk为测评项k的多对象平均分QUOTE，Wk为测评项k的合成权重，n为总测评项数，不含不适用的控制点和测评项，有修正的测评项以4.3章节中的修正后测评项符合程度得分带入计算。
等级测评结论根据综合得分计算结果进行判定。结论分为“符合”、“基本符合”或者“不符合”，判定依据如下：
1）符合：综合得分为100分。
2）基本符合：综合得分为60分（含60分）至100分（不含100分）之间。
3）不符合：综合得分低于60分。
6结语
本文采用层次分析法构建保护能力的评价指标体系，并以此为基础层层汇总计算各措施层指标的合成权重，作为保护能力得分量化的基础。同时，本文还在现有等级测评的基础上，创新性提出了从“正反”两个不同的角度来度量信息系统的安全状况，安全保护能力评价结合了正向的保护状况和反向的风险情况进行综合判定。
依据本文的研究成果，公安部于2014年12月31日发布了《信息安全等级保护测评报告模版（2015年版）》，通过该模版发布前十几个第三级信息系统等级测评试用以及近一年来信息系统等级测评工作使用，验证了本文研究成果的有效性，能够较科学的反映信息系统的真实安全保护状况，并且已有多家机构开发了等级测评工具。
总而言之，本文采用了量化评价方式支撑系统等级测评结论判定，有利于促进等级测评往安全措施有效性和完备性方向发展，有利于等级测评工具化，从而使得结论更客观、更有利于不同系统之间安全保护状况的比较。
参考文献
[1]赵亮.信息系统安全评估理论及其群决策方法研究[D].上海：上海交通大学，2011.
[2]GB/T 28448-2012，信息安全技术 信息系统安全等级保护测评要求[S].北京：中国标准出版社，2012.
[3]GB/T 28449-2012，信息安全技术 信息系统安全等级保护测评过程指南[S].北京：中国标准出版社，2012.
[4]GB/T 22239-2008信息安全技术 信息系统安全等级保护基本要求[S].北京：中国标准出版社，2008.
[5]符萍.电子政务系统综合评价动态指标体系构建模型研究[D].成都：电子科技大学，2006.
[6]许树柏. 层次分析原理[M]. 天津：天津大学出版社，1988.
[7]王莲芬，许树柏. 层次分析法引论[M]. 北京：中国人民大学出版社，1990.
[8]袁礼， 黄洪，周绍华. 基于层次分析法的系统安全保护能力评价模型[J].计算机仿真， 2011（5）：126-130.
[9]公安部网络安全保卫局.信息安全等级保护测评报告模版（2015年版）[R]，2015年，http：//www.djbh.net/webdev/web/HomeWebAction.do？p=getlistHomeZxdt# .
[10]袁静，任卫红，朱建平.等级测评中关键安全保护功能有效性测评技术研究[J].信息网络安全，2013（1）：2-4.