Anna艷娜
近日，全國信息安全標準化技術委員會秘書處發布了《信息安全技術 網絡安全產品互聯互通 告警信息格式》《信息安全技術 信息安全風險管理指導》《信息安全技術 信息安全管理體系 要求》《信息安全技術 網絡安全產品互聯互通 資產信息格式》四項國家標準征求意見稿。
《信息安全技術 網絡安全產品互聯互通 告警信息格式》（征求意見稿）
本標準是國家標準《信息安全技術 網絡安全產品互聯互通框架》的配套標準，用于細化告警信息描述的格式。通過研究國內網絡安全產品互聯互通的現狀和需求，規范網絡安全產品的告警分類和告警信息數據字段類型的取值、告警信息通用部分格式和告警信息專用部分格式。
本標準主要技術內容如下：
（1）告警信息分類分級
參考GB/T 20986-2023中規定的網絡安全事件分類，將網絡安全產品互聯互通告警分為惡意程序告警、網絡攻擊告警、數據安全告警、異常行為告警和其他告警等類別，每個類別分別包括若干子類。
將告警信息分為重要告警信息和一般告警信息等級別。
（2）告警信息格式
告警信息由通用信息和專用信息組成，通用信息是描述各類告警的共性信息，專用信息是描述不同類別告警的信息，包括告警分類基礎信息和告警子類擴展信息。
通用信息為告警信息的通用字段，專用信息中的告警子類基礎信息為該告警基本分類的通用字段，專用信息中的告警子類擴展信息為詳細子類告警的特有字段。本標準將給出告警信息格式字段表，包括中英文名稱、字段說明、字段類型以及是否必填等。
為對告警信息格式信息分類代碼和產品代碼字段的取值給出說明，本標準將以文本或附錄的形式，給出網絡安全產品互聯互通告警信息分類代碼和網絡安全設備類型編碼。
《信息安全技術 信息安全風險管理指導》（征求意見稿）
本標準是ISO/IEC 27000（ISMS）系列標準的重要標準之一，適用于組織建立和實現自身信息安全管理體系（ISMS），改進自身信息安全風險管理過程。
本標準等同采用ISO/IEC 27005:2022《信息安全、網絡安全和隱私保護 信息安全風險管理指導》，對GB/T 31722—2015《信息技術 安全技術 信息安全風險管理南》。
本標準可用于組織實施信息安全風險管理活動，特別是信息安全風險評估和處置，實現ISMS規定的信息安全風險管理要求，有效管理信息安全風險，提升組織信息安全保障能力。
本標準共包含10章和1個附錄。前4章是標準的通用要素，分別為：范圍、規范性引用文件、術語和定義、本標準的結構。從第5章開始是標準的主要技術內容，分別為：信息安全風險管理、環境的建立背景介紹、信息安全風險評估過程、信息安全風險處理過程、運行、相關ISMS過程流程的利用。附錄A給出了支持風險評估過程的技術示例。
第5章對信息安全風險管理的概念進行了闡述，給出了與ISMS相關的信息安全風險管理過程。第6章詳細闡述了確立組織實施風險管理活動所處的內外部環境信息，包括應用風險評估和風險處理、確定利益相關方的基本要求、建立和維護信息安全風險標準等。第7章介紹了信息安全風險評估過程，該過程包括識別信息安全風險、分析信息安全風險、評估信息安全風險。第8章闡述了信息安全風險處理過程，該過程為選擇適當的信息安全風險處理方案，確定實施信息安全風險所需的所有控制。第9章是運行，具體包括執行信息安全風險評估程序、執行信息安全風險處理過程。第10章介紹了利用ISMS的相關過程，具體包括領導和承諾、溝通與協商，文件化信息、監視和測量、管理評審、糾正措施和持續改進。
《信息安全技術 信息安全管理體系 要求》（征求意見稿）
本標準是ISO/IEC 27000（ISMS）系列標準的核心基礎標準，適用于各種類型、規模或性質的組織，用于其建立、實現、維護和持續改進信息安全管理體系；也可用于相關認證機構開展ISMS認證審核。采用信息安全管理體系是組織的一項戰略性決策。
本標準等同采用ISO IEC 27001-2022《信息安全、網絡安全和隱私保護 信息安全管理體系 要求》，對原國家標準GB/T 22080-2016《信息技術 安全技術 信息安全管理體系 要求》進行修訂。
本標準適用對象包括擬提升自身信息安全保障能力的組織、擬建立ISMS的組織、擬實施ISMS認證的組織、開展ISMS認證和咨詢的相關機構等。本標準還可用于認可機構開展合格評定相關工作。
本標準共包含10章和1個附錄。前3章是標準的通用要素，分別為：范圍、規范性引用文件、術語和定義。從第4章開始是標準的主要技術內容，分別為：組織環境、領導、規劃、支持、運行、績效評價、改進。附錄A對標GB/T 22081列舉滿足信息安全管理體系要求需采取的信息安全控制措施參考。
《信息安全技術 網絡安全產品互聯互通 資產信息格式》征求意見稿
網絡安全產品互聯互通是提升網絡安全防護能力和網絡安全事件處置效率的重要基礎。網絡安全產品互聯互通系列標準擬由8個標準組成，包括框架、功能接口、資產信息格式、脆弱性信息格式、威脅信息格式、行為信息格式、告警信息格式、事件信息格式。本文件是網絡安全產品互聯互通系列標準的資產信息描述標準。
目前，本文件所提出的網絡安全產品互聯互通暫不包括互操作相關內容，互操作涉及網絡安全產品間在語義層面的相互理解，然而目前產業技術能力尚未成熟，大規模實現網絡安全產品互操作成本巨大且可能帶來未知風險。后續編制組將根據產業技術發展實際情況完善標準編制內容。
資產信息是指實現網絡安全產品互聯互通時所使用的資產的相關信息，資產包括但不限于設備、操作系統、數據庫、中間件、應用軟件、業務系統等，資產信息主要涉及資產名稱、位置、網絡、運行狀態等。資產信息由資產通用信息和資產擴展信息組成。資產信息屬于重要數據，應按照有關標準進行數據保護。
文件鏈接
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20240104115733&norm_id=20231220154403&recode_id=53948
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20240104115802&norm_id=20231220163108&recode_id=53950
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20240104115832&norm_id=20231228180954&recode_id=53952
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20240104115853&norm_id=20231220154827&recode_id=53954
一顆小胡椒
FreeBuf
尚思卓越
安全俠
Anna艷娜
一顆小胡椒
安全牛
中國信息安全
RacentYY
FreeBuf
