科研机构信息安全评价指标体系研究_李岚

《科研机构信息安全评价指标体系研究_李岚》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、科研机构信息安全评价指标体系研究李岚，杜澄（中国科学院研究生院管理学院，北京１０００４９）摘要：科研信息化的发展，为科学研究过程带来了新模式和新特征。但是，由于信息技术或管理不完善造成的信息安全问题也使科研工作在安全性和稳定性上突显出其脆弱性。科研活动中存在的信息安全问题，不仅会侵害个人和科研机构的知识产权，如果是涉及国家重大项目或涉密课题的科研活动，还会危害国家安全。深入分析科研机构信息化面临的信息安全问题，并在此基础上构建评价指标体系，从信息安全管理、建设保障和战略３个方面对科研活动信息技术应用环境的安全性与可靠性进行科学评价，找出信息安全工作中的不足，以指导科研活动中

2、的信息安全工作能够科学合理开展，同时为其它相关领域的信息安全评价工作提供参考。关键词：科研机构；科研信息化；信息安全；评价指标体系ＤＯＩ：１０．６０４９／ｋｊｊｂｙｄｃ．２０１１０９００４４中图分类号：Ｇ３２２．２文献标识码：Ａ文章编号：１００１－７３４８（２０１２）１７－０１４３－０６的连接越是紧密，对信息技术及网络可靠性和安全性０引言的要求也越高。目前，伴随着信息技术的蓬勃发展，利［１］用信息技术破坏基础网络、攻击网络节点等不法行为科研信息化（ｅ－Ｓｃｉｅｎｃｅ）的概念最早由英国提出，也日益猖獗，国防、经济和科研都面临着一系列的信息经历了十几年的发展，各发达国家已经基本

3、完成了科［７］安全问题。科研机构作为国家的创新基地，对知识的研机构信息化基础设施建设工作，如欧盟的ｅ－ｉｎｆｒａ－保护尤为重要，许多科研机构承担的重大研究课题都ｓｔｒｕｃｔｕｒｅ和美国的ｃｙｂｅｒ－ｉｎｆｒａｓｔｒｕｃｔｕｒｅ建设。研究和关系国家安全。所以，如果在信息化背景下，科研过程实践证明，科研信息化的相关基础设施建设，对各国的［２－５］存在信息安全隐患，不仅会打击科研人员的创新积极科学研究水平和研究模式均产生了极大的影响。性，也会对国家安全造成威胁。我国科研信息化虽然起步较晚，但发展迅速。我国的科研网络不仅连接了国内的主要科研机构，同时１信息安全评价指标体系研究现状也

4、搭建起与发达国家科研网络之间互通的桥梁，如连接中欧之间的ＯＲＩＥＮ网络和中美俄环球科教网络从国际上主要的信息安全评价研究成果来看，评（ＧＬＯＲＩＡＤ）。在科研信息化基础设施建设方面，受国价内容主要包括信息安全管理和信息安全技术两个方家“８６３计划”重大专项等支持建设的中国国家网格面，主要是对系统、数据库和网络的信息安全进行评（ＣＮＧｒｉｄ），聚合了高性能计算和事务处理能力，共集成价。１１种应用网格，通过资源共享，服务于科学实验研美国国家标准技术局ＮＩＳＴ制定的ＮＩＳＴＳＰ８００－［６］［８，９］究。中国科学院“十一五”统筹规划建设的超级计算３０和ＮＩＳＴＳＰ８００－２６信息

5、安全评估标准体现了风中心，支持基础研究模拟仿真等高性能计算。截至险管理理念，从管理、技术和操作３个方面定义信息安２００９年１０月，超级计算中心已累计为全社会近千个科全问题控制的具体要求。关于信息安全技术评价，国［６］研用户提供逾６０００万ＣＵＰ小时的计算服务。际标准化组织制定的ＩＳＯ／ＩＥＣ１５４０８：信息技术安全［１０］可以看到，科研信息化是我国在信息化时代科研评价通用准则，是面向产品和计算机系统实施的评［４］活动的必然发展方向，也是增强我国创新力、立足世界测标准。科技发展前沿的重要途径。但是科研活动与信息技术国际上对信息安全管理评价领域的研究成果颇收稿日期：２０１１－１

6、１－１０作者简介：李岚（１９８７－），女，河南安阳人，中国科学院研究生院硕士研究生，研究方向为信息系统安全评价和经济信息安全；杜澄（１９４７—），男，北京人，中国科学院研究生院博士生导师、教授，研究方向为科技与工程管理、技术创新管理、宏观科技与经济政策。·１４４·科技进步与对策２０１２年多，其中一些已成为日后各个领域研究信息安全管理整体规划、安全管理制度的建立与规范以及安全投资评价模型的主要参考标准。美国卡内基梅隆大学系统等都具有重要意义。科研机构对信息安全的需求，具安全工程能力成熟度模型ＳＳＥ－ＣＭＭ较早建立了信体表现在以下５个方面。息安全保障评价指标体系，通过对系统安全

7、工程进行（１）科研机构信息系统的特殊性带来的信息安全管理的途径，将其转变为一个具有良好定义的、成熟需求。从信息系统建设来看，科研机构的信息化不同［１１］的、可测量的模型。英国标准协会（ＢＳＩ）编制的信息于高校、企业和政府。科研机构信息系统的安全需求［１２］除了像高校、企业和政府的信息系统一样要求信息保安全管理体系ＢＳ７７９９标准，即国际信息安全管理标准体系，为各种机构和企业进行信息安全管理提供了密性和服务可靠性之外，由于其服务的具体事件不同一个完整的参照，它以计划（Ｐｌａｎ）、实施（Ｄｏ）、检查而有别于企业的ＥＲＰ