ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T30271—2013

信息安全技術(shù)

信息安全服務(wù)能力評(píng)估準(zhǔn)則

Informationsecuritytechnology—Assessmentcriteriaforinformation

securityservicecapability

2013-12-31發(fā)布2014-07-15實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T30271—2013

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)定義和縮略語(yǔ)

3、………………………1

術(shù)語(yǔ)和定義

3.1…………………………1

縮略語(yǔ)

3.2………………2

概述

4………………………3

信息安全服務(wù)過(guò)程概述

4.1……………3

能力評(píng)定原則

4.2………………………4

信息安全服務(wù)過(guò)程

5………………………4

組織戰(zhàn)略

5.1D01………………………4

規(guī)劃設(shè)計(jì)

5.2D02………………………15

實(shí)施交付

5.3D03………………………31

監(jiān)視支持

5.4D04………………………39

檢查改進(jìn)

5.5D05………………………52

信息安全服務(wù)能力級(jí)別

6…………………57

概述

6.1…………………57

能力級(jí)別基本執(zhí)行

6.21……………57

能力級(jí)別計(jì)劃跟蹤

6.32……………57

能力級(jí)別充分定義

6.43……………58

能力級(jí)別量化控制

6.54……………59

能力級(jí)別連續(xù)改進(jìn)

6.65……………59

信息安全服務(wù)能力評(píng)定

7…………………60

參考文獻(xiàn)

……………………62

GB/T30271—2013

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)主要起草單位中國(guó)信息安全測(cè)評(píng)中心北京江南博仁科技有限公司北京中天安信息技術(shù)

:、、

服務(wù)有限公司

。

本標(biāo)準(zhǔn)主要起草人張利佟鑫李斌班曉芳王琰劉作康任育波吳慎夕

:、、、、、、、。

Ⅰ

GB/T30271—2013

引言

本標(biāo)準(zhǔn)是對(duì)提供信息安全服務(wù)的組織進(jìn)行能力評(píng)估在編制過(guò)程中考慮到國(guó)內(nèi)環(huán)境與信息安全行

,

業(yè)的實(shí)際情況同時(shí)結(jié)合系列等

,GB/T20261—2006、ISO/IEC20000—2011、COBIT4.1、NISTSP800

國(guó)際或區(qū)域標(biāo)準(zhǔn)制定而成

。

Ⅱ

GB/T30271—2013

信息安全技術(shù)

信息安全服務(wù)能力評(píng)估準(zhǔn)則

1范圍

本標(biāo)準(zhǔn)規(guī)定了服務(wù)過(guò)程模型和信息安全服務(wù)商的服務(wù)能力的評(píng)估準(zhǔn)則

。

本標(biāo)準(zhǔn)適用于對(duì)信息安全服務(wù)提供商的能力進(jìn)行評(píng)估也適用于服務(wù)提供商對(duì)于自身能力的改善

,

提供指導(dǎo)

。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范

GB/T20984—2007

信息安全技術(shù)術(shù)語(yǔ)

GB/T25069—2010

信息安全技術(shù)信息安全服務(wù)分類

GB/T30283

3術(shù)語(yǔ)定義和縮略語(yǔ)

、

31術(shù)語(yǔ)和定義

.

界定的以及下列術(shù)語(yǔ)和定義適用于本文件

GB/T25069—2010。

311

..

能力等級(jí)abilitylevel

流程領(lǐng)域內(nèi)流程改善達(dá)到的程度

。

注能力等級(jí)由流程領(lǐng)域內(nèi)適當(dāng)?shù)奶囟耙话銏?zhí)行方法所定義

:。

312

..

基本實(shí)踐basepractices

系統(tǒng)工程過(guò)程中應(yīng)存在的性質(zhì)只有當(dāng)所有這些性質(zhì)完全實(shí)現(xiàn)后才可說(shuō)滿足了這個(gè)過(guò)程域的

,,

要求

。

注一個(gè)過(guò)程域由基本實(shí)踐組成

:(BP)。

313

..

能力成熟度模型capabilitymaturitymodel

有關(guān)組織的服務(wù)或開發(fā)過(guò)程中各個(gè)發(fā)展階段的定義實(shí)現(xiàn)質(zhì)量控制和改善的模型化描述

、、