中国移动信息安全保障框架

1项目背景

为了能够客观评价国家信息安全的现状，衡量各单位和行业，特别是国家基础网络设施、重要信息系统等关键部门所建设的信息安全保障体系的有效性，迫切需要针对不同重要行业、业务系统尽快研究建立科学的、可度量的、可操作的信息安全保障评价指标体系。因此，国家信息化专家咨询委员会立项开展信息安全保障评价指标体系课题研究，并委托中国移动承担此课题的研究工作。

2项目目标

由于安全涉及到信息系统的方方面面，具有高度的综合性和复杂性，从而形成科学的、合理的、同时又符合我国国情的评价指标体系具有相当大困难。

就课题研究内容本身而原，存在以下三个方面的困难：

1、本课题研究的一个前提条件就是确立评价对象——国家基础网络（移动通信）信息安全保障体系（保障体系的初步逻辑框架参见附录1），而确立得到国家权威专家认可的保障体系本身就极具挑战性。

2、课题涉及对信息安全保障体系的社会属性，如信息安全策略规范、运行保障、人才、保障资源等管理方面的软属性的评价，而建立软属性的评价指标是十分困难的。

3、由于信息安全保障体系伴随信息化的发展不断变化，要在短期内形成一套科学、合理的评价指标体系必须克服相当大的困难，更何况这些评价指标体系还需要与业务系统本身紧密结合才具有意义。

就课题研究的外部环境而言，存在以下两个方面的困难

1、在实践方面，国内和国际都尚无先例可供参照。

2、在理论方面，与本课题相关研究领域主要是风险评估和水平测算，但其现有研究成果和本课题的要求均存在较大距离。

因此，从事本课题研究，必须在理论和实践两个方面，进行较大创新，才能真正形成一套“可操作的、实用的、能反映信息系统安全状态的评价指标”。

4项目需求的资源

为保证研究课题的质量，需要以下资源：

1、课题研究人员：

2、从课题研究的经费

5项目时间计划

本课题研究应首先明确评价对象——国家基础网络（移动通信）信息安全保障体系

首先需要明确自评估的管理要求，明确自评估的内容、范围以及周期等。

确定各个阶段的评估规范，

人的因素、确定培训的人

选试点，规划本课题研究应根据课题任务书建议的信息安全保障评价指标体系逻辑框架（参见下图），结合移动通信系统的具体情况，确定指标体系的层次结构、各表现要素（如基础设施、安全保障资源、策略规范、运行保障、人才等）以及相互关联的关系，各基本要素应符合课题任务书规定的原则和要求。课题建立的信息安全保障评价指标体系应涵盖信息安全保障的方方面面，同时又反映出个方面的内在关联，既能体现信息安全保障体系的社会属性，又能体现其自然属性。

在具体评价指标的选择上，应包括诸如网络和系统脆弱性指标，网络和系统面临的威胁指标，当前防范措施指标，网络运行状态指标，各类安全事件容忍度评价方法（包括增长量、影响力、造成的损失、相对国际社会的损失比值等）等。

 课题内容的逻辑框架（参考）：

注：信息安全保障活动支信息系统的安全运行维护、安全预警、应急响应、灾难恢复、监控检测等。

7每个阶段的先决条件

项目准备阶段：需要明确研究范围，工作计划和项目操作方式得到领导的认可。

项目资料收集和实际调研阶段：需要落实课题研究所需的资源支持。

8风险分析

附录1：国家基础网络（移动通信）信息安全安全保障体系逻辑框架 

1.1信息安全安全保障体系总体框架

1.2信息安全的法规标准及管理规范框架

1.3信息安全的运行维护保障框架

1.4 信息安全的技术保障框架