山东CCRC信息安全服务规范术语与定义

CCRC---信息安全服务规范术语与定义

3.1. 信息安全服务 由供应商、组织机构或人员执行的一个安全过程或任务。 （ISO/IEC TR 15443-1:2005《信息技术 安全技术 信息技术安全保障框架 第一部分：总揽和 框架》）

3.2. 信息安全风险评估 对特定威胁利用单个或一组资产脆弱性的可能性以及由此可能给组织带来的损害进行识别、分析和评价的过程。

3.3. 信息安全应急处理 为应对信息系统运行过程中突发/重大信息安全事件的发生所做的准备，在事件发生时，按照既 定的程序对事件进行处理，以及在事件发生后所采取措施的过程。

3.4. 信息系统安全集成 按照信息系统建设的安全需求，采用信息系统安全工程的方法和理论，将安全单元、产品部件 进行集成的行为或活动。

3.5. 信息系统灾难备份与恢复 将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力 进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、将 其支持的业务功能从灾难造成的不正常状态恢复到可接受状态的过程。 注：信息系统灾难备份与恢复分为资源服务类（A 类）、技术服务类（B 类）两个类别。 资源服务类（A 类），指灾难备份资源服务提供方需具备灾备中心场地资源、基础设施、运维 管理等能力。 技术服务类（B 类），指灾难备份技术服务提供方实施灾备技术服务时具备灾备方案设计、系 统建设与管理、预案制定与演练等能力。

3.6. 软件安全开发 为解决软件产品的漏洞问题，而将安全活动集成到系统开发和软件质量保证活动中，在软件开 发的每个关键点嵌入安全要素，通过安全需求分析、安全设计、安全编码、安全测试等专业手段， 解决各阶段可能出现的安全问题，有效减少软件产品潜在的漏洞数量提高软件产品安全质量的活动。 3.7. 信息系统安全运维 从面向业务的运维服务出发，依据安全需求对信息系统进行安全运维准备、安全运维实施，并 对实施安全运维服务的有效性进行评审，从而进行持续性改进，全过程、全生命周期地为信息系统 运行提供安全保障的过程。

3.8. 网络安全审计 网络安全审计是指网络安全审计机构对被审计方所属的计算机信息系统的安全性、可靠性和经 济性进行检查、监督，通过获取审计证据并对其进行客观评价所开展的系统的、独立的、形成文件 的活动。

3.9. 工业控制系统安全 工业控制系统安全服务围绕提升工业控制系统的高可用性和业务连续性，提升功能安全、物理 安全和信息安全的保障能力为目标，涉及工业控制系统设计、建设、运维和技改各个阶段，主要包 括系统集成、系统运维、应急处理、风险评估等工业控制系统安全服务，形成系统的、独立的、形 成文件的过程。