我國(guó)采購(gòu)信息安全管理 需借鑒先進(jìn)管理規(guī)范
http://www.scshapp.com
發(fā)布日期：2014年03月26日
隨著信息安全受到的關(guān)注越來(lái)越廣泛，政府采購(gòu)信息安全的也吸引業(yè)界廣泛聚焦，政府采購(gòu)信息安全可以分為兩大類(lèi)。一是涉及國(guó)家安全的采購(gòu)信息保全，而不單指國(guó)家安全系統(tǒng)的技術(shù)、設(shè)備及服務(wù)等采購(gòu)；二是信息技術(shù)的安全采購(gòu)。美國(guó)采購(gòu)信息安全政策和措施非常完善，信息安全規(guī)范貫穿《聯(lián)邦采購(gòu)條例》始末。
完備的法規(guī)支撐體系。第一層次是計(jì)劃目標(biāo)，包括《國(guó)家產(chǎn)業(yè)安全計(jì)劃》(NISP)與《國(guó)家產(chǎn)業(yè)安全計(jì)劃實(shí)施指南》；第二層次是立法規(guī)范，包括《美國(guó)法典》第10部分和第41部分、美國(guó)《公法》第40部分、《聯(lián)邦法規(guī)法典》（CFR）第36部分、《1996年卡琳爾-科恩法案》、《隱私權(quán)法》以及《聯(lián)邦信息安全管理法案》；第三層級(jí)是具體規(guī)范，包括《產(chǎn)業(yè)安全條例》、《合同安全保密等級(jí)規(guī)范》、HSPD-12、預(yù)算管理辦公室第A-130通知、預(yù)算管理辦公室(OMB)指南M-05-24及國(guó)家安全部(DHS)與美國(guó)公民和移民服務(wù)機(jī)構(gòu)的合格雇傭查證計(jì)劃(E-Verify)等。對(duì)于沒(méi)有納入國(guó)家產(chǎn)業(yè)安全計(jì)劃(NISP)的采購(gòu)機(jī)構(gòu)應(yīng)按照相關(guān)規(guī)定來(lái)制定本機(jī)構(gòu)的安全規(guī)范。
詳實(shí)具體的執(zhí)行標(biāo)準(zhǔn)。政府采購(gòu)信息安全執(zhí)行第201期《聯(lián)邦信息處理標(biāo)準(zhǔn)》(FIPS PUB)、聯(lián)邦總務(wù)局第70《聯(lián)邦供給目錄》、第132-62期《特別項(xiàng)目》(SIN)、國(guó)家標(biāo)準(zhǔn)以及技術(shù)協(xié)會(huì)的商業(yè)部門(mén)指南和標(biāo)準(zhǔn)，便于機(jī)構(gòu)購(gòu)買(mǎi)已認(rèn)證的安全貨物和服務(wù)。
國(guó)家安全至上原則。政府采購(gòu)社會(huì)政策要讓位于信息安全政策，同時(shí)允許合同公告例外、公開(kāi)競(jìng)爭(zhēng)及密封投標(biāo)的例外。
明確的采購(gòu)機(jī)構(gòu)和官員職責(zé)。不僅明確規(guī)范了采購(gòu)機(jī)構(gòu)負(fù)責(zé)人和合同官保護(hù)祖國(guó)信息安全的職責(zé)，而且設(shè)立機(jī)構(gòu)首席安全信息管理官和信息技術(shù)采購(gòu)計(jì)劃員職位，并明確他們具體責(zé)任。
忠誠(chéng)等級(jí)審查認(rèn)證制。對(duì)供應(yīng)商、其從業(yè)人員以及臨時(shí)雇員進(jìn)行國(guó)家忠誠(chéng)程度的審查，并依據(jù)其安全等級(jí)的不同分別允許他們使用不同保密等級(jí)的公共設(shè)施或信息資料。
強(qiáng)化信息安全風(fēng)險(xiǎn)管理。在承認(rèn)風(fēng)險(xiǎn)客觀存在的同時(shí)，要求最大限度地控制和減少風(fēng)險(xiǎn)，加強(qiáng)信息安全的風(fēng)險(xiǎn)管理。
D1Net評(píng)論：
采購(gòu)信息安全管理是一個(gè)不斷完善的過(guò)程，我國(guó)采購(gòu)信息安全管理存在一些不足之處，需要借鑒先進(jìn)的管理規(guī)范，這就要求我國(guó)在實(shí)現(xiàn)政府采購(gòu)信息安全政策中，不僅要借鑒美國(guó)政府采購(gòu)信息安全的規(guī)范性程序設(shè)計(jì)，而且要借鑒其對(duì)人的安全性管理和規(guī)范。
來(lái)源：企業(yè)網(wǎng)D1net
完備的法規(guī)支撐體系。第一層次是計(jì)劃目標(biāo)，包括《國(guó)家產(chǎn)業(yè)安全計(jì)劃》(NISP)與《國(guó)家產(chǎn)業(yè)安全計(jì)劃實(shí)施指南》；第二層次是立法規(guī)范，包括《美國(guó)法典》第10部分和第41部分、美國(guó)《公法》第40部分、《聯(lián)邦法規(guī)法典》（CFR）第36部分、《1996年卡琳爾-科恩法案》、《隱私權(quán)法》以及《聯(lián)邦信息安全管理法案》；第三層級(jí)是具體規(guī)范，包括《產(chǎn)業(yè)安全條例》、《合同安全保密等級(jí)規(guī)范》、HSPD-12、預(yù)算管理辦公室第A-130通知、預(yù)算管理辦公室(OMB)指南M-05-24及國(guó)家安全部(DHS)與美國(guó)公民和移民服務(wù)機(jī)構(gòu)的合格雇傭查證計(jì)劃(E-Verify)等。對(duì)于沒(méi)有納入國(guó)家產(chǎn)業(yè)安全計(jì)劃(NISP)的采購(gòu)機(jī)構(gòu)應(yīng)按照相關(guān)規(guī)定來(lái)制定本機(jī)構(gòu)的安全規(guī)范。
詳實(shí)具體的執(zhí)行標(biāo)準(zhǔn)。政府采購(gòu)信息安全執(zhí)行第201期《聯(lián)邦信息處理標(biāo)準(zhǔn)》(FIPS PUB)、聯(lián)邦總務(wù)局第70《聯(lián)邦供給目錄》、第132-62期《特別項(xiàng)目》(SIN)、國(guó)家標(biāo)準(zhǔn)以及技術(shù)協(xié)會(huì)的商業(yè)部門(mén)指南和標(biāo)準(zhǔn)，便于機(jī)構(gòu)購(gòu)買(mǎi)已認(rèn)證的安全貨物和服務(wù)。
國(guó)家安全至上原則。政府采購(gòu)社會(huì)政策要讓位于信息安全政策，同時(shí)允許合同公告例外、公開(kāi)競(jìng)爭(zhēng)及密封投標(biāo)的例外。
明確的采購(gòu)機(jī)構(gòu)和官員職責(zé)。不僅明確規(guī)范了采購(gòu)機(jī)構(gòu)負(fù)責(zé)人和合同官保護(hù)祖國(guó)信息安全的職責(zé)，而且設(shè)立機(jī)構(gòu)首席安全信息管理官和信息技術(shù)采購(gòu)計(jì)劃員職位，并明確他們具體責(zé)任。
忠誠(chéng)等級(jí)審查認(rèn)證制。對(duì)供應(yīng)商、其從業(yè)人員以及臨時(shí)雇員進(jìn)行國(guó)家忠誠(chéng)程度的審查，并依據(jù)其安全等級(jí)的不同分別允許他們使用不同保密等級(jí)的公共設(shè)施或信息資料。
強(qiáng)化信息安全風(fēng)險(xiǎn)管理。在承認(rèn)風(fēng)險(xiǎn)客觀存在的同時(shí)，要求最大限度地控制和減少風(fēng)險(xiǎn)，加強(qiáng)信息安全的風(fēng)險(xiǎn)管理。
D1Net評(píng)論：
采購(gòu)信息安全管理是一個(gè)不斷完善的過(guò)程，我國(guó)采購(gòu)信息安全管理存在一些不足之處，需要借鑒先進(jìn)的管理規(guī)范，這就要求我國(guó)在實(shí)現(xiàn)政府采購(gòu)信息安全政策中，不僅要借鑒美國(guó)政府采購(gòu)信息安全的規(guī)范性程序設(shè)計(jì)，而且要借鑒其對(duì)人的安全性管理和規(guī)范。
來(lái)源：企業(yè)網(wǎng)D1net
