YD/T 1730-2008 英語 PDF (YDT1730-2008)

配信: 3 秒。真の PDF + 請求書をダウンロードしてください。
1分で見積もりを取得: YD/T 1730-2008をクリック
歴史的バージョン: YD/T 1730-2008
True-PDF をプレビュー(空白の場合は再読み込み/スクロール)

YD/T 1730-2008: 電気通信ネットワークおよびインターネットのセキュリティリスク評価の実装ガイド
年/月 1730-2008
通信業界標準
中華人民共和国の
セキュリティリスク評価の実装ガイド
通信ネットワークとインターネット
発行日：2008年1月14日
2008年1月14日に実施
発行元：中華人民共和国情報産業部
目次
序文…3
1 スコープ...6
2 規範的参照... 6
3 用語と定義...7
4 リスク評価のフレームワークとプロセス... 10
4.1 リスク要因の関係...10
4.2 実装プロセス...12
4.3 仕事の形態...12
4.4 従うべき原則...13
5 リスク評価の実施...14
5.1 リスク評価の準備...14
5.2 資産の識別...16
5.3 脅威の特定...19
5.4 脆弱性の特定...21
5.5 脅威と脆弱性の関係... 24
5.6 既存のセキュリティ対策の確認...25
5.7 リスク分析...25
5.8 リスク評価文書...28
6 通信システムのライフサイクルにおけるリスク評価のさまざまな要件
ネットワークとインターネット...30
6.1 通信ネットワークとインターネットのシステムのライフサイクルの概要...30
6.2 立ち上げ段階のリスク評価...31
6.3 設計段階のリスク評価...32
6.4 実施段階のリスク評価...33
6.5 運用・保守段階のリスク評価...34
6.6 廃棄段階のリスク評価...35
付録A（規範）資産価値の計算方法...36
付録B（規範）リスク値の計算方法...38
参考文献...40
セキュリティリスク評価の実装ガイド
通信ネットワークとインターネット
1 範囲
この規格は、通信ネットワークとインターネットのリスク評価の要素を規定している。
セキュリティ、要素間の関係、実装プロセス、フォーム
仕事の内容、従うべき原則、さまざまな要件と実施
通信ネットワークとインターネットのライフサイクルのさまざまな段階を指します。
この規格は、通信ネットワークのリスク評価作業に適用され、
インターネット。
この規格は、セキュリティリスクに関する総合的なガイダンス文書として使用できます。
通信ネットワークとインターネットの評価。特定のセキュリティリスク評価のために
ネットワークについては、セキュリティ保護要件とセキュリティ保護を参照してください。
特定のネットワークのテスト要件。
2 規範的参照
以下の文書の規定は、この規格の規定となる。
この規格の参照。日付の付いた参照については、その後の修正
（訂正を除く）または改訂は、この規格には適用されない。ただし、
この標準に基づいて合意に達するには、最新バージョンの
これらの文書は適用可能です。日付のない参考文献については、
参照文書が適用されます。
GB/T 5271.8-2001 情報技術 - 用語 - パート 8.セキュリティ
GB/T 9361-2000 コンピュータ分野のセキュリティ要件
GB/T 19716-2005 情報技術 - 情報技術に関する実践規範
セキュリティ管理
YD/T 754-95 通信室の静電気保護に関する一般規則
YD/T 5026-2005 室内配線ダクトの設置および設計基準
通信
YD 5002-94 郵便局および通信施設の防火設計基準
YD 5098-2005 雷保護および雷害対策のためのエンジニアリング設計仕様
4.4.5 機密保持の原則
評価者は、関連する秘密保持契約および非侵襲的
評価対象のネットワークおよびサービス事業者と契約を締結し、
評価対象者の利益。
5 リスク評価の実施
5.1 リスク評価の準備
リスク評価の準備は、全体の有効性を保証するものである。
リスク評価プロセス。リスク評価の実施は戦略的な考慮事項です。
結果は組織のビジネス戦略、ビジネスプロセス、
セキュリティ要件、システム規模、構造など。したがって、実装前に
リスク評価を実施する際には、以下の準備を行う必要があります。
a) 支援と協力を得る。
b) リスク評価の目的を決定する。
c) リスク評価の内容を決定する。
d) リスク評価チームを編成する。
e) 評価対象に関する研究を実施する。
f) 評価の基準と方法を決定する。
5.1.1 サポートと協力を得る
自己評価は、責任を負う管理職員によって承認されるものとする。
組織の関連業務のために。関連する管理および
リスク評価作業における技術者の役割を明確にする。検査のために
評価においては、評価対象のネットワークおよびサービス事業者が責任を負う。
円滑な進捗を確保するために支援し協力する義務を負う。
検査評価。
5.1.2 目標を決定する
リスク評価の準備段階では、リスク評価の目的を明確にし、
リスク評価のプロセスに関するガイダンスを提供します。
通信ネットワークとインターネットのシステムに対するリスク評価の目的は、
技術的および管理上の脆弱性、直面する脅威、システムの潜在的なリスク
通信ネットワークとインターネット、客観的なリスクを明確にし、提案し、実施する
適切なセキュリティ保護措置を的を絞って実施し、
セキュリティイベントの発生、持続可能なセキュリティ要件を満たす
組織の事業の発展、維持と改善
組織の競争優位性、収益性、企業イメージ、
通信ネットワークおよびインターネットのシステムに対する国および業界の要件。
5.1.3 コンテンツの決定
リスク評価の目的に基づいてリスク評価の内容を決定することは、
リスク評価を完了するための前提。セキュリティリスク評価の内容
通信ネットワークとインターネットのシステムのすべての資産と管理が可能
通信ネットワークとインターネットのシステム全体における機関、またはそれは
電気通信システムの特定の部分の独立した資産および関連部門
ネットワークとインターネット。リスク評価の内容には、管理セキュリティが含まれます
リスクと技術的セキュリティリスク。管理セキュリティのリスク評価の内容
セキュリティ管理組織、セキュリティ管理システム、人員を含む
セキュリティ管理、システム構築管理、システム運用保守
管理等。技術的セキュリティのリスク評価の内容には、
ビジネス/アプリケーションセキュリティ、ネットワークセキュリティ、機器セキュリティ、物理的
環境セキュリティ等
5.1.4 チームを結成する
適切なリスク評価管理および実施チームを編成し、
リスク評価プロセス全体の進歩をサポートします。リスク評価
関連するビジネスキーパーソンによって自己評価チームを編成することができる。
開発、保守、および管理部門の技術者および管理担当者
ネットワークとサービス事業者の管理。
検査評価は、管轄当局と評価機関によって構成される場合があります。
評価チームは、リスク評価作業が確実に実行されるようにしなければならない。
効果的に。
5.1.5 評価対象を調査する
リスク評価チームは、評価対象について十分な調査を実施し、
...