国家标准数据库管理系统安全评价准则-全国信息安全标准化技术
国家标准《数据安全技术 数据安全风险评估方法》(报批稿)试点启动会在京召开
国家标准《数据安全技术数据安全风险评估方法》(报批稿)
试点启动会在京召开
佚名
【期刊名称】《信息技术与标准化》
【年(卷),期】2024()6
【摘要】全国网络安全标准化技术委员会(以下简称“网安标委”)秘书处近日在北京组织召开国家标准《数据安全技术数据安全风险评估方法》(报批稿)试点启动会。
本次试点工作旨在验证标准的科学性、合理性、可操作性和适用性,形成数据安全
风险评估典型案例和应用经验,为标准推广应用积累经验,为数据安全风险评估工作
提供标准支撑。
【总页数】1页(P69-69)
【正文语种】中文
【中图分类】TP3
【相关文献】
1.产业发展标准先行——第三次《工业机器人控制装置》国家标准工作组会及《数控机床电气设备及系统安全》国家标准制定启动会在京召开
2.强制性国家标
准《电动自行车安全技术规范》报批稿公示3.大数据安全技术和标准研讨会召开
聚焦大数据安全标准化需求4.《网络安全审查办法(征求意见稿)》、《数据安全管理办法(征求意见稿)》意见征求会在京召开5.国家标准《信息安全技术关键信息
基础设施安全检查评估指南》试点工作启动
因版权原因，仅展示原文概要，查看原文内容请购买。
信息安全技术数据库管理系统安全技术要求
信息安全技术数据库管理系统安全技术要求信息安全技术数据库管理系统安全技术要求1.引言本文档旨在确保信息安全技术数据库管理系统的安全性，保护数据库系统中的数据免受未经授权的访问、修改、泄露和破坏。
该系统用于存储和管理敏感信息和机密数据，因此需要严格的安全措施来保护其完整性和可信度。
2.范围该文档适用于信息安全技术数据库管理系统及其相关组件和设备，包括但不限于服务器、数据库软件、网络设备和存储设备等。
3.安全策略3.1 访问控制3.1.1 用户身份验证要求所有用户在访问系统前进行身份验证，采用强密码策略，并建议定期更换密码。
用户应仅获得所需权限，不得拥有超出其职责范围的权限。
3.1.2 多因素认证建议在用户身份验证中采用多因素认证，如使用密码配合生物特征识别、令牌和证书等。
3.1.3 访问授权用户应按照其职责和工作需求获得适当的访问权限。
不同层级的管理员应具有不同级别的权限，以控制其对系统的管理和配置。
3.2 数据保护3.2.1 数据加密对敏感和机密数据进行适当的加密，包括数据传输过程中和数据存储时的加密保护。
3.2.2 数据备份与恢复定期备份数据库中的数据，并确保备份数据的可用性和完整性。
测试备份和恢复过程，以验证其有效性。
3.2.3 数据传输安全要求在数据传输过程中使用安全的通信协议和加密技术，以防止数据被窃听、篡改或伪造。
3.3 系统安全3.3.1 操作系统安全确保操作系统的安全性和稳定性，包括及时安装补丁、限制操作系统权限和禁用不必要的服务和功能等。
3.3.2 应用程序安全对数据库管理系统及相关应用程序进行安全配置和安全测试，以防止应用程序漏洞被利用。
3.3.3 安全审计与监控建立日志记录和审计机制，记录用户访问、操作和系统事件。
监控系统的可疑活动，并及时报告、调查和采取相应的应对措施。
4.附件本文档附带以下附件：- 数据库管理系统安全配置指南- 用户权限分配表- 系统备份和恢复计划5.法律名词及注释- 信息安全法：指中华人民共和国于2016年6月1日实施的《中华人民共和国网络安全法》。
信息技术安全评估通用准则
信息技术安全评估通用准则
《信息技术安全评估通用准则》
信息技术安全评估是企业和组织确保其信息系统和数据安全的重要步骤。
通过对系统、网络和软件的安全性进行全面评估，可以有效识别并解决潜在的安全风险，提高系统的可靠性和稳定性。
在进行信息技术安全评估时，需要遵循一系列通用准则，以确保评估的全面性和有效性。
首先，评估范围和目标需要明确。
在开始评估之前，需要确定评估的范围和目标，包括评估的对象、要求达到的安全标准以及评估的目的。
这有助于明确评估的重点和方向，确保评估的有效性。
其次，评估过程和方法需科学合理。
评估过程需要遵循科学的方法论，包括对系统结构和功能的详细了解、安全漏洞的识别和分析、安全风险的评估和等级划分等步骤。
评估方法需要综合运用技术手段和专业知识，以确保评估的全面性和准确性。
此外，评估结果需客观真实。
评估结果需要客观、准确地反映出系统的安全状况和存在的安全风险。
评估人员应该坚持客观公正的原则，不受外部因素的影响，确保评估结果的真实性和可信度。
最后，评估报告需清晰完整。
评估完成后，需要及时编制和提交评估报告，报告内容应该包括对评估范围和目标的描述、评估过程和方法的说明、评估结果的总结和分析、安全风险的建议措施等内容。
报告需清晰明了，让相关人员可以清晰地了解评估结果和建议措施，以便及时采取应对措施。
总之，《信息技术安全评估通用准则》是进行信息技术安全评估时的重要参考，遵循这些准则有助于提高评估的质量和效果，确保信息系统的安全性和可靠性。
卫生行业安全技能大赛-网络安全标准规范-03
B.电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大型公共信息网络服务的单位;
C.国防科工、大型装备、化工、食品药品等行业.领域科研生产单位;
D.广播电台、电视台、通讯社等新闻单位;
A.经电子签名验证通过的电子病历及其电子签名数据应在电子病历系统数据库中建立关联关系并一同存储
B.电子病历系统应存储电子病历内容、文档样式以及电子病历原文散列值、电子签名、时间戳、签名人数字证书等信息
C.电子病历密码产品应详细记录电子签名日志，日志应包括:系统报警日志、电子签名对象的唯一-序列号、原文hash值、电子签名、时间戳、签名人数字证书;
A.两位
B.四位
C.三位
D.一位
正确答案：A
24.整体应用水平评价是针对医疗机构电子病历整体应用情况的评估。整体应用水平主要根据局部功能评价的()个项目评价结果汇总产生医院的整体电子病历应用水平评价。
A.39
B.40
C.38
D.37
正确答案：A
多选题
1.哪些应当纳入关键信息基础设置和保护范围？
D.电子病历系统或备份存储系统应建立电子病历及电子签名数据提取机制，建立提取流程，设置管理人员，保证在医疗纠纷需责任认定时，该电子病历及电子签名据能完整、及时的获取。
正确答案：A,B,D
4.信安标位其主要的工作范围是：
A.管理
B.服务
C.评估
D.认证
正确答案：A,B,C
5.研究者或相应研究机构在对数据进行发布和共享的时候，宜：
A.保密性、完整性、一致性、可用性、真实性
安全评价标准
安全评价标准安全评价标准是对安全性进行评估和衡量的指导方针和准则。
它是为了确保系统、组织或产品达到预期的安全目标而制定的。
安全评价标准的制定是为了保护信息系统和数据的完整性、可用性和保密性。
以下是关于安全评价标准的一些相关参考内容：1. 国家级安全评价标准：国家级安全评价标准是由政府或国家规定的，适用于特定行业或领域。
这些标准是为了确保国家的安全和稳定而制定的。
例如，中国信息安全评测中心（CNITSEC）发布的《信息安全产品评测管理规范》就是一个国家级的评价标准。
2. 国际标准化组织（ISO）标准：ISO制定了许多与安全评价相关的标准，如ISO 27001（信息安全管理体系要求）、ISO 27002（信息安全管理实践指南）等。
这些标准提供了一套综合的安全评估准则，适用于各种组织和行业。
3. 具体行业的安全评价标准：许多行业都有自己的安全评价标准，这些标准通常是根据该行业的特殊需求和风险制定的。
例如，金融行业有PCI DSS（支付卡行业数据安全标准），医疗行业有HIPAA（健康保险便携与责任法案）等。
4. 云计算安全评价标准：随着云计算的普及，确保云计算环境的安全已成为重要任务之一。
云计算安全评价标准包括云服务提供商的安全评估，以及云计算用户的安全要求和评估。
例如，云安全联盟（CSA）发布的《云计算安全指南》提供了一个综合的安全评价框架。
5. 安全评估方法：除了安全评价标准外，有许多安全评估方法可以用于评估系统、组织或产品的安全性。
例如，风险评估、威胁建模、脆弱性扫描等。
这些方法可以根据实际需求选择和组合使用。
总之，安全评价标准是确保系统、组织或产品达到预期的安全目标的指导方针和准则。
它们可以是国家级的、国际标准化组织制定的，也可以是特定行业的标准。
此外，安全评价方法也是评估安全性的重要手段之一。
大数据标准体系
大数据标准体系大数据标准体系包括数据处理、数据整理和数据分析三个基础标准。
其中，数据处理标准包括总则、术语和参考模型等一级分类和数据元素值格式记法等二级分类。
数据整理标准包括元数据注册系统(MDR)的框架、分类、注册系统元模型与基本属性、数据定义的形成、命名和标识原则以及注册等六个部分。
数据分析标准包括XML使用指南和信息技术实现元数据注册系统内容一致性的规程等。
其中，GB/T -2000是信息技术大数据标准化指南，GB/T .1-/T .6-2009是元数据注册系统(MDR)的六个部分标准，GB/T -2007是XML使用指南标准，GB/T .1-/T .3-2009是信息技术实现元数据注册系统内容一致性的规程的两个部分标准。
此外，还有信息技术元模型互操作性框架的四个部分标准、信息技术元数据模块(MM)的框架标准、信息技术技术标准及规范文件的元数据标准、信息技术通用逻辑基于逻辑的语系的框架标准、跨平台的元数据检索、提取与汇交协议标准、信息技术异构媒体数据统一语义描述标准以及信息技术大数据分析总体技术要求标准。
大数据标准体系的建立有助于促进大数据的开发和应用，并提高数据的可靠性和安全性。
各个标准的制定和实施，需要不断完善和更新，以适应不断发展的大数据行业需求。
数据访问和安全标准数据访问和安全是信息技术领域中非常重要的方面。
以下是一些相关的标准和指南。
GB/T -2008：该标准规定了数据元和数据元组的定义和表示方法。
GB/T -2005：该标准规定了数据交换格式。
GB/T -2006：该标准规定了数据元和数据元组的命名规则。
GB/T -2008：该标准规定了数据元和数据元组的元数据。
GB/T -2008：该标准规定了数据元和数据元组的元数据管理。
信息技术大数据分析过程模型参考指南：该指南提供了大数据分析过程模型的参考，并提供了一些实用的指导原则。
信息技术数据库语言SQL第1部分：框架：该标准规定了SQL语言的框架和基本规则。
数据安全评估标准
数据安全评估标准
数据安全评估标准是用于确定和评估组织或系统的数据安全性的基准和指导原则。
以下是一些常见的数据安全评估标准：
1. ISO 27001：这是国际标准化组织制定的信息安全管理系统（ISMS）的国际标准。
它提供了一个框架，用于建立、实施、操作、监控、审查、维护和改进信息安全管理系统。
2. NIST SP 800-53：这是美国国家标准与技术研究所（NIST）发布的一系列安全控制的目录，适用于联邦信息处理标准（FIPS）。
3. GDPR：通用数据保护法规是欧洲颁布的一项数据保护和隐
私法规，适用于所有处理和存储欧洲公民个人数据的组织。
4. HIPAA：医疗保险便携与隐私法案是美国联邦法律，旨在
保护个人的医疗信息和隐私。
5. PCI DSS：支付卡行业数据安全标准是一个强制性的数据安
全标准，适用于处理信用卡信息的组织。
6. CSA CCM：云安全联盟云控制矛盾矩阵是一个云计算安全
标准，提供了一套云计算环境中的控制要求。
这些标准提供了一个参考框架，帮助组织评估其数据安全性，并采取适当的措施来保护数据免受潜在的威胁。
全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知
全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知文章属性•【制定机关】全国信息安全标准化技术委员会•【公布日期】2007.06.27•【文号】信安字[2007]12号•【施行日期】2007.06.27•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】标准化正文全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知（信安字〔2007〕12号）各有关单位：《信息安全技术信息系统安全等级保护基本要求》国家标准基本成熟，通过了全国信息安全标准化技术委员会的审查，已形成国家标准报批稿，正在报批过程中。
为推动正在进行的全国信息系统安全等级保护工作，经信安标委主任办公会议同意，现将该国家标准报批稿先印发给你们，供在工作中参考。
特此通知。
全国信息安全标准化技术委员会二00七年六月二十七日附件：《信息安全技术信息系统安全等级保护基本要求》信息安全技术信息系统安全等级保护基本要求GB/T 0000-0000Information security technology-Baseline for classified protection of information system前言本标准的附录A和附录B是规范性附录。
本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：公安部信息安全等级保护评估中心。
本标准主要起草人：马力、任卫红、李明、袁静、谢朝海、曲洁、李升、陈雪秀、朱建平、黄洪、刘静、罗峥、毕马宁。
引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
本标准为GB/T 20009-2005标准的修订，修订过程主要把握了如下的原则：
以最新修订的GB/T20273-201X《信息安全技术数据库管理系统安全技术要求》和GB/T30270-2013 《信息技术 安全技术 信息技术安全性评估方法》国家标准作为首要依据，同时参考国内外相关行业的同类指南和出版物，涉及面广，取材充分。
七、
本标准不涉及专利问题。
本标准主要系统评估对象的评估要求、评估内容、评估环境、评估技术与工具和产品测试条件。
2)评估内容：从安全功能组件、安全保障组件和安全性能代价定义了GB/T 20273-201X《信息安全技术数据库管理系统安全技术要求》评估内容
3)按照EAL2、EAL3和EAL4安全保障级别列出了相应的安全组件要求。
《信息安全技术数据库管理系统安全评估准则》
（征求意见稿）编制说明
一、
2015年按照国家标准化管理委员会的国家标准制定计划，全国信息技术标准化技术委员会启动了《数据库管理系统安全评估准则》的修订工作。本项目主要起草单位为中国信息安全测评中心、清华大学、北京江南天安科技有限公司、北京大学、武汉达梦数据库有限公司、天津南大通用数据技术股份有限公司。
面向实际需要，在评估准则中增加与安全功能效用相关的安全性能评估内容，考察相对于基线性能数据的安全功能策略实施后的数据库系统性能下降比。
内容尽量简明扼要。通过目录可以清楚地了解标准的各项内容。对于易于理解的内容，不赘述、不举例，对于较为复杂的内容，作准确而恰到好处的阐释。
三、
本标准按照GB/T 30270-2013《信息技术-安全技术-信息技术安全性评估方法》定义了评估对象安全保障级别EAL2、EAL3和EAL4安全要求的评估内容。
3）2016年7月完成了对数据库厂商反馈意见收集整理，并对反馈意见进行处理。
4）2016年8月提交给WG5组讨论。
5）2017年4月完成了对反馈意见的处理，形成征求意见稿。
六、
GB/T 20273-201X《信息安全技术 数据库管理系统安全技术要求》规定了数据库管理系统的安全技术要求。本标准依照其安全原理和按照GB/T30270-2013中规定的EAL2、EAL3和EAL4保障级别给出了相应的评估准则。
四、
本标准只覆盖了安全保障级别EAL2、EAL3和EAL4保障级数据库管理系统软件及其数据资产进行安全保护所需的安全功能组件和安全保障组件的测试内容。
五、
计划任务下达后，成立了标准编制工作组，并编制了工作计划。小组成员有序地开展标准研究与制定工作。
1）2015年10月形成标准草案；
2）2016年5月进行了内部征求意见, 2016年6月起开始征求数据库厂商的意见。