金融行业信息安全等级保护测评服务安全指引.pdf

《金融行业信息安全等级保护测评服务安全指引.pdf》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、ICS03.060A11JR中华人民共和国金融行业标准JR/T0073—2012金融行业信息安全等级保护测评服务安全指引Testingandevaluationservicesecurityguideforclassifiedprotectionofinformationsecurityoffinancialindustry2012-07-06发布2012-07-06实施中国人民银行发布JR/T0073—2012目次前言.........................................

2、.....................................II引言.............................................................................III1范围.................................................................................12规范性引用文件.......................................

3、................................13资质能力要求.........................................................................14测评过程要求.........................................................................2参考文献......................................................

4、.........................5IJR/T0073—2012前言本标准是“金融行业信息系统等级保护”系列标准中的第三项标准。该系列标准的结构及名称如下：金融行业信息系统信息安全等级保护实施指引金融行业信息系统信息安全等级保护测评指南金融行业信息安全等级保护测评服务安全指引本标准按照GB/T1.1-2009给出的规则起草。本标准由中国人民银行提出。本标准由全国金融标准化技术委员会归口。本标准负责起草单位：中国人民银行科技司。本标准参加起草单位：中国金融电子化公司。本标准主要起草人：王

5、永红、王小青、张永福、王晓燕、王海涛、杨剑、白智勇、沈力克、徐明本标准为首次发布。IIJR/T0073—2012引言金融行业重要的信息系统关系到国计民生，是国家信息安全重点保护对象，因此金融行业是落实和实施信息安全等级保护的重点行业之一。由于金融行业的信息系统多是技术密集、资金密集、大型复杂、网络化的人机系统，所以针对金融行业开展信息系统的信息安全等级保护测评，需要一批对金融行业业务系统有一定了解，并具有较强技术能力的测评机构来进行测评；金融行业定级为三级或四级的信息系统都是关系到国计民生的重要系统，

6、有效规避等级保护测评工作中存在的风险，对保障金融行业重要信息系统的安全稳定运行，以及国计民生的稳定都具有重要意义。因此，对测评机构的约束与规范化，是在金融行业实施等级保护的重要一环。为此，中国人民银行特制定《金融行业信息安全等级保护测评服务安全指引》（以下简称《安全指引》），以明确金融行业等级保护测评服务机构安全、人员安全、过程安全、测评对象安全、工具安全等方面的基本要求，指导等级保护测评机构在金融机构开展的信息系统安全等级保护测评工作。IIIJR/T0073—2012金融行业信息安全等级保护测评服务

7、安全指引1范围本标准总结了金融行业应用系统多年的安全需求和业务特点，并参考国际、国内相关信息安全标准及行业标准，明确等级保护测评服务机构安全、人员安全、过程安全、测评对象安全、工具安全等方面的基本要求。本标准适用于信息安全职能部门对从事金融行业信息系统开展信息安全等级保护测评的第三方机构（以下简称测评机构）和人员及其测评活动的监督管理。2规范性引用文件下列文件对于本文件的应用是比不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的文件，其最新版本(包括所有的修改单)适用于本文件

8、。公通字〔2007〕43号信息安全等级保护管理办法3资质能力要求3.1测评机构资质要求从事金融行业信息系统信息安全等级保护测评的第三方机构其机构资质应具备并符合以下要求：a)具有公安部认可的信息安全等级保护测评资质，并在公安部等级保护测评机构推荐目录中；b)产权关系明晰，注册资金不低于500万元人民币；c)具有中国合格评定国家认可委员会（CNAS）实验室或检查机构认可证书；d)具有2年以上信息系统安全测评工作经验，且最近1年内至少从事过1次金融机构的信息