92、新 IT 服务信息安全评估与认证研究

新 IT 服务信息安全评估与认证研究

1. 新 IT 服务信息安全架构与评估框架

1.1 新 IT 服务信息安全架构

新 IT 服务的信息安全架构反映了新 IT 服务的特征以及提供 IT 服务各要素的信息安全需求。研究中采用了常用于建立 IT 架构的“人员”“流程”和“技术”模型，构建了新的信息安全架构，如下表所示：
| 要素 | 具体内容 |
| — | — |
| 流程 | 业务流程、IT 服务流程 |
| 人员 | 服务提供商、供应商、客户 |
| 技术 | 基础设施、应用程序、终端 |
| 信息安全需求 | IT 服务通用信息安全需求、各 IT 服务特定信息安全需求 |

1.2 新 IT 服务信息安全评估系统框架

为开发新 IT 服务信息安全评估系统，构建了概念框架以把握评估系统的基本要素，这些要素可用“5W 1H”来理解：
- Why（为什么） ：体现为评估目标和评估系统。
- Who（谁） ：指评估推进系统，确定规划、执行、监督和管理评估的主体，并规范各主体的地位和能力。
- What（什么） ：即评估对象，确定评估的主题领域和所选标准。
- When（何时） ：是评估进度，确定评估对象选择的时间表和实际评估的时间表。
- Where（哪里） ：指评估类型，确定主要是通过文件审查还是实际检查。
- How（如何） </