| 注册

028-83201992

首页 / 关于我们


一、信息系统安全运维服务认证需求

运维一般是指对大型组织已经建立好的网络软硬件的维护,其中传统的运维是指IT运维。所谓IT运维,是指单位IT部门采用相关的方法、手段、技术、制度、流程和文档等,对IT运行环境(如软硬件环境、网络环境等)、IT业务系统和IT运维人员进行的综合治理。随着IT建设的不断深入和完善,计算机硬软件系统的运行维护已经成为了各行各业各单位领导和信息服务部门普遍关注和不堪重负的问题。据统计,IT运维服务占到IT部门工作量的80%左右。目前,大多数的运维服务水平处在一个被动的阶段。这主要表现在信息技术和设备的应用越来越多,但运维人员在信息系统出现安全事件的时候却茫然不知所措。究其原因,是该组织未建设成完整的运维体系。

其中问题集中体现在:

1.     众多安全设备缺乏有效的统一管理

2.     安全运维能力不足,5×8小时外的安全事件无暇顾及

3.     信息安全产品更新太快,信息安全系统建设投入太大

4.     缺乏专业的安全运维团队

5.     突发安全事件的应急处理能力不足、异常操作行为无法及时预警

6.     海量日志需要统一存储审计

7.     信息管理部门的人员有限,员工的精力有限

8.     安全管理制度体系不完善,安全责任制落实不到位

9.     安全技术能力方面或多或少的存在一定的限制

10.  外界新技术无法更快更好的应用到内网

而随着信息安全管理体系和技术体系在企业领域的信息安全建设中不断推进,占信息系统生命周期70%~80%的信息安全运维体系的建设已经越来越被广大用户重视。尤其是随着信息系统建设工作从大规模建设阶段逐步转型到“建设和运维”并举的发展阶段,运维人员需要管理越来越庞大的IT系统这样的情况下,信息安全运维体系建设已经被提到了一个空前的高度上。

目前,具有一定规模的单位已经部署相当多的安全设施,如防火墙、防病毒、远程访问设备等等。众多的安全技术与安全设备的应用却在相当程度上加重了系统与IT管理人员的负担。

另一方面,安全设备的应用越来越多,安全手段的采用也越来越多,而安全状况却不见好转。以下就是经常摆在IT管理人员面前的问题:

1.我们已经在安全方面投入了相当多的努力,但为什么还不时出现安全问题?

2.我们的安全项目己制定了很多安全制度、管理流程等,但面对一大堆的文档,怎么样才能真正地执行下去?

这类问题,几乎让每个IT管理人员头痛。面对众多的设备与手段,安全管理人员却往往感到无所适从。其根源是什么呢?

我们早就知道,安全不仅仅是一个技术问题,更是一个管理问题。实际上,在整个IT产品的生命周期中,运营阶段占了整个时间和成本的70%~80%左右,剩下的时间和成本才是花费在产品开发((或采购))上面。以往我们听说“三分技术、七分管理”是突出管理的重要性,而这个"管理"则是大部分的精力花费在“运营”方面。

效果和效率是安全运维服务的主要目标。安全运维的主要目的即是保证安全手段(产品+技术)的应用能够达到预期的良好效果和提高效率。因此,如何保证安全运维工作的有效性是摆在IT安全管理人员面前的主要难题。

正是因为目前信息系统安全运维服务中存在的弊端,依靠长期从事信息安全和信息系统运维服务的经验,同时结合信息安全保障体系建设中运维体系建设的要求,遵循ITIL(最佳实践指导)、ISO/IEC 27000系列服务标准、以及国家其它相关标准,建立了一整套完善和切实可行的信息系统安全运维服务规范。

引发信息系统安全运维服务各环节安全问题的主要原因在于人,即相关人员在安全意识、安全技能和安全素养上的欠缺。

CISAW《信息系统安全运维服务》人员认证依据国家相关的政策和国内外相关标准对从事信息系统安全运维服务的运维管理人员、运行维护人员、运维部门经理和CIO等展开认证和培训,有效提升相关人员的安全意识、安全素养和安全技能。

CISAW《信息系统安全运维服务》人员认证中,参照的技术标准主要有:

1.《信息技术—服务管理-第1部分:规范》(ISO/IEC 20000-1:2005)

2.《信息技术—服务管理-第2部分:实施指南》(ISO/IEC 20000-2:2005)

3.《信息技术—安全技术—信息安全管理体系要求》(ISO/IEC27001:2013)

4.《信息技术安全性评估准则》 (GB/T18336-2008)

5.《信息系统通用安全技术要求》 (GB/T20271-2006)

6.《信息系统安全管理要求》 (GB/T 20269-2006)

7.《信息安全风险评估规范》 (GB/T 20984-2007)

8.《信息安全事件分类分级指南》 (GB/Z 20986-2007)

9.《信息安全管理体系要求》 (GB/T 22080-2008)

10.《信息安全管理实用规则》 (GB/T 22081-2008)

11.《信息技术服务 运行维护》

12.信息技术基础架构库(ITIL)

结合上述标准开展的《信息系统安全运维服务》人员认证,是实现信息系统安全运维和信息安全保障的有力手段。

二、培训对象

各行业领域从事信息系统安全运维服务及相关工作的运维人员、管理人员、骨干技术人员、各级领导和核心人员。包括CIO、运维部门经理、信息安全经理、运维管理人员、运行维护人员和IT人员等。

三、培训内容

为满足ISCCC-COP-R02《信息安全保障人员认证考试大纲》对信息系统安全运维服务人员认证的要求,信息系统安全运维服务人员认证培训内容由CISAW知识体系介绍、信息安全基础知识、安全运维模型、安全运维内容、安全运维流程和安全运维的典型实例等内容构成。

具体内容及安排,见下表。

专业资格认证培训以研讨为主,讲授为辅,为期5天,具体研讨培训内容如下:


四、培训收益

针对提供运维服务的人员:

1. 运维人员掌握最佳安全运维实践方法,提升个人的业务能力和处理效率;

2. 运维人员了解和掌握运维安全的概念和实例,避免在运维过程中的安全事件,提升客户满意度;

3. 掌握安全运维服务体系的流程和方法,提高服务意识,采用的管理措施和技术手段建立一套信息系统安全运维服务的管理流程和管控方法。

对系统运营单位的管理者:

1. 了解运维活动中的安全风险,熟悉安全运维工作方法,获得信息系统安全运维服务体验;

2. 确保安全运维流程支持业务流程,提高企业整体业务运营的质量;

3. 了解和熟悉运维监控和运维评审活动,追求安全运维活动的持续改善。

   对系统运营单位的运维管理者:

1. 了解业界领先的信息系统安全运维服务管理模式,熟悉业界领先的信息系统安全运维服务最佳实践;

2. 了解和熟悉处于运行阶段的信息系统在运维过程中的安全性和避免信息系统运维过程面临的风险;

3. 加强个人的信息系统安全运维服务管理工作技能,有能力和方法实施运维监控和运维评审活动。

通过培训有效提升管理和技术人员的安全意识、安全素养和信息系统安全运维服务的运维准备、运维设计、运维实施和服务评审与改进等相关能力,整体提高信息系统安全运维服务能力。

考试通过后可获得由中国信息安全认证中心统一颁发的认证证书。

获证人员为信息系统安全运维服务资质认证提供支撑,是服务资质认证的审查条件之一。




TEL:028-83201992

地址:成都市一环路东一段电子科技大学信息产业大厦1310