風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)

1、風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)1.0 目的 建立立風(fēng)險(xiǎn)評(píng)評(píng)估標(biāo)準(zhǔn)準(zhǔn)的目的的在于為為IT安安全解決決方案提提供依據(jù)據(jù)和參考考。2.0 適用范范圍 適用用于公司司所有IIT安全全的風(fēng)險(xiǎn)險(xiǎn)分析和和評(píng)估。3.0 參考 1.Innforrmattionn teechnnoloogy - SSecuuritty ttechhniqquess - Evvaluuatiion criiterria IT seccuriity ISSO/IIEC1154008-33 2.計(jì)算算機(jī)信息息系統(tǒng)安安全保護(hù)護(hù)等級(jí)劃劃分準(zhǔn)則則GBB178859-199994.0 定義 保密密性(cconffideentiialiity):使信信息不泄泄露

2、給非非授權(quán)的的個(gè)人、實(shí)實(shí)體或進(jìn)進(jìn)程, 不為其其所用 完完整性(inttegrrityy):信信息系統(tǒng)統(tǒng)中的數(shù)數(shù)據(jù)與在在原文檔檔中的相相同，未未遭受偶偶然或惡惡意修改改/破壞壞時(shí)所具具有的性性質(zhì)；或或者信息息系統(tǒng)中中的系統(tǒng)統(tǒng)不能被被非授權(quán)權(quán)破壞或或修改的的性質(zhì) 可用用性( Avaailaabillityy):被被授權(quán)實(shí)實(shí)體所需需的資源源可被訪訪問(wèn)與使使用，即即攻擊者者不能占占用相關(guān)關(guān)資源而而阻礙授授權(quán)者的的工作 抗抵抵賴 性性(reepuddiattionn): 防防止在通通信中涉涉及到的的那些實(shí)實(shí)體不承承認(rèn)參加加了該通通信 可審審查性：有依據(jù)據(jù)、有手手段地對(duì)對(duì)出現(xiàn)的的信息安安全問(wèn)題題提供跟跟蹤

3、和調(diào)調(diào)查5.0 內(nèi)內(nèi)容5.1 安安全風(fēng)險(xiǎn)險(xiǎn)評(píng)估的的基本步步驟 確定定需保護(hù)護(hù)的資源源，找出出該資源源的安全全弱點(diǎn)和和可能有有的安全全威脅，得得出安全全風(fēng)險(xiǎn)等等級(jí)。然然后列舉舉可采取取的降低低風(fēng)險(xiǎn)的的對(duì)策，直直至風(fēng)險(xiǎn)險(xiǎn)減小至至安全需需求允許許的范圍圍。下圖顯示了了風(fēng)險(xiǎn)評(píng)評(píng)估中的的各要素素和工作作步驟的的關(guān)系： 5.1.1 明確需需安全保保護(hù)資源源5.1.22 評(píng)估脆脆弱性，包括： 1. 場(chǎng)所安安全 2. 安全流流程 3. 系統(tǒng)安安全 4. 網(wǎng)絡(luò)安安全5. 應(yīng)用用安全 5.1.3 評(píng)估威威脅 5.1.4 列舉安安全對(duì)策策 5.1.5 損失評(píng)評(píng)估 5.1.6 確定風(fēng)風(fēng)險(xiǎn)等級(jí)級(jí)5.2 細(xì)細(xì)則 5.2.

4、1 明確需需安全保保護(hù)資源源 11.網(wǎng)絡(luò)絡(luò)設(shè)備：交換機(jī)機(jī)、路由由器、HHUB、網(wǎng)網(wǎng)絡(luò)布線線等 22.計(jì)算算機(jī)設(shè)備備：個(gè)人人計(jì)算機(jī)機(jī)、便攜攜機(jī)、網(wǎng)網(wǎng)絡(luò)服務(wù)務(wù)器、文文件服務(wù)務(wù)器、工工作站等等 33.存儲(chǔ)儲(chǔ)介質(zhì)；軟盤、硬硬盤、磁磁帶、光光盤、MMO等 44.軟件件： 操操作系統(tǒng)統(tǒng)、數(shù)據(jù)據(jù)庫(kù)、工工具軟件件、辦公公平臺(tái)軟軟件、開開發(fā)用軟軟件等 55.網(wǎng)上上應(yīng)用系系統(tǒng)： EMaail系系統(tǒng)、IInteerneet PProxxy服務(wù)務(wù)、Nootess系統(tǒng)、MMRPIII、SSAP、HHR、WWWW、FFTP等等 66. 網(wǎng)絡(luò)服服務(wù)： DNSS、DHHCP、WWINSS、網(wǎng)絡(luò)絡(luò)路由服服務(wù)等 77. 數(shù)據(jù)資資

5、料： 電子文文檔、數(shù)數(shù)據(jù)庫(kù)等等 5.2.2 評(píng)估脆脆弱性 使用用最好的的測(cè)試工工具和技技術(shù)、使使用不同同的工作作方法，對(duì)對(duì)公司的的整體資資源系統(tǒng)統(tǒng)的安全全進(jìn)行評(píng)評(píng)估和審審查（從從技術(shù)和和管理兩兩方面），找找出存在在的安全全隱患。1. 場(chǎng)所所安全評(píng)評(píng)估 11)對(duì)公公司場(chǎng)所所安全評(píng)評(píng)估，信信息安全全監(jiān)控須須包含硬硬件監(jiān)控控。 22)對(duì)公公司信息息安全部部安全措措施及相相關(guān)文件件評(píng)估，包包括：場(chǎng)場(chǎng)所安全全、存儲(chǔ)儲(chǔ)介質(zhì)安安全、硬硬件安全全、緊急急事故處處理和信信息保護(hù)護(hù)等。 33)分析析公司安安全標(biāo)準(zhǔn)準(zhǔn)并與業(yè)業(yè)界最佳佳實(shí)踐標(biāo)標(biāo)準(zhǔn)進(jìn)行行比較。 44)總結(jié)結(jié)安全措措施優(yōu)缺缺點(diǎn)及措措施實(shí)用用性。2. 安全全

6、流程評(píng)評(píng)估 11)評(píng)估估公司的的安全管管理流程程的效率率及效用用，評(píng)估估查安全全信息保保障系統(tǒng)統(tǒng)是否真真正保護(hù)護(hù)了至關(guān)關(guān)重要的的業(yè)務(wù)信信息，評(píng)評(píng)估管理理流程和和安全技技術(shù)是否否同時(shí)在在各方面面發(fā)揮作作用。 22)針對(duì)對(duì)已有的的信息安安全標(biāo)準(zhǔn)準(zhǔn)或規(guī)則則，通過(guò)過(guò)相關(guān)安安全接口口人員了了解情況況，審查查各監(jiān)控控環(huán)節(jié)以以確認(rèn)該該環(huán)節(jié)能能夠履行行監(jiān)控職職責(zé)。 33)對(duì)各各環(huán)節(jié)中中所使用用的ITT安全監(jiān)監(jiān)控系統(tǒng)統(tǒng)評(píng)估：安全決決策，組組織結(jié)構(gòu)構(gòu)，硬件件監(jiān)控，資資產(chǎn)評(píng)估估及控制制，系統(tǒng)統(tǒng)安全監(jiān)監(jiān)控，網(wǎng)網(wǎng)絡(luò)和計(jì)計(jì)算機(jī)管管理，業(yè)業(yè)務(wù)連續(xù)續(xù)性，應(yīng)應(yīng)用程序序發(fā)展和和維護(hù)，以以及服從從性。 44)與業(yè)業(yè)界相比比對(duì)，對(duì)對(duì)

7、所收集集到的信信息進(jìn)行行分析。 55)總結(jié)結(jié)系統(tǒng)優(yōu)優(yōu)勢(shì)及弱弱勢(shì)，推推薦改進(jìn)進(jìn)方法，以以完善安安全系統(tǒng)統(tǒng)，降低低風(fēng)險(xiǎn)。 33. 系統(tǒng)安安全評(píng)估估 11)評(píng)估估公司一一系列全全面辦公公解決方方案、數(shù)數(shù)據(jù)庫(kù)服服務(wù)器、文文件和打打印服務(wù)務(wù)器、應(yīng)應(yīng)用程序序服務(wù)器器，找出出系統(tǒng)弱弱點(diǎn)。 22)找出出公司主主要系統(tǒng)統(tǒng)平臺(tái)（如如：UNNIX,Winndowws/NNT）和和一些捆捆綁銷售售的組件件（如：Miccrossoftt Exxchaangee, LLotuus NNotees, COBBRA,Tivvolii）的弱弱點(diǎn)所在在。 33)從技技術(shù)和管管理兩方方面進(jìn)行行評(píng)估： aa.技術(shù)術(shù)審查對(duì)對(duì)每一個(gè)個(gè)組

8、件的的機(jī)制進(jìn)進(jìn)行真實(shí)實(shí)性、可可靠性、可可審查性性、保密密性、適適用性檢檢驗(yàn)，并并根據(jù)公公司書面面文件對(duì)對(duì)其進(jìn)行行核查及及預(yù)警。 bb.管理理審查包包括聽取取管理員員意見，對(duì)對(duì)該組件件相關(guān)的的書面文文件、標(biāo)標(biāo)準(zhǔn)和措措施進(jìn)行行審查。這這將保證證公司能能夠發(fā)現(xiàn)現(xiàn)來(lái)自于于公司內(nèi)內(nèi)部或外外部的能能越過(guò)安安全監(jiān)控控的潛在在威脅。 55)對(duì)系系統(tǒng)軟件件和組件件的配置置文件是是否能讓讓授權(quán)用用戶正常常登錄進(jìn)進(jìn)行審查查，同時(shí)時(shí)阻止和和發(fā)現(xiàn)非非授權(quán)用用戶的登登錄企圖圖。 66)對(duì)安安全管理理監(jiān)控作作以下方方面的綜綜合審查查：計(jì)劃劃、組織織、人事事、資產(chǎn)產(chǎn)分類和和監(jiān)控、硬硬件監(jiān)控控、資產(chǎn)產(chǎn)監(jiān)控、網(wǎng)網(wǎng)絡(luò)及計(jì)計(jì)算機(jī)管管

9、理、業(yè)業(yè)務(wù)連續(xù)續(xù)性、系系統(tǒng)發(fā)展展和維護(hù)護(hù)、適用用性等。 4. 網(wǎng)絡(luò)安安全評(píng)估估 11)對(duì)公公司網(wǎng)絡(luò)絡(luò)平臺(tái)的的安全設(shè)設(shè)計(jì)情況況（路由由器、防防火墻、網(wǎng)網(wǎng)絡(luò)服務(wù)務(wù)器、應(yīng)應(yīng)用程序序服務(wù)器器等）進(jìn)進(jìn)行審查查，以確確定是否否有些功功能會(huì)存存在安全全問(wèn)題。將將不受信信任的、外外部的網(wǎng)網(wǎng)絡(luò)與內(nèi)內(nèi)部的、受受信任的的網(wǎng)絡(luò)和和系統(tǒng)隔隔離開來(lái)來(lái)。 22)(根根據(jù)情況況需要）模模擬入侵侵者的攻攻擊，必必須以可可控制的的安全的的方式進(jìn)進(jìn)行。模模擬三個(gè)個(gè)方面非非法進(jìn)入入內(nèi)部網(wǎng)網(wǎng)絡(luò)：低低水平的的單個(gè)黑黑客，有有一定能能力的黑黑客小分分隊(duì)，有有高度動(dòng)動(dòng)機(jī)的專專家黑客客隊(duì)伍。 33)檢查查系統(tǒng)的的配置和和管理以以及可能能在將來(lái)

10、來(lái)引起新新的安全全問(wèn)題的的因素。評(píng)評(píng)估內(nèi)容容可以根根據(jù)需要要裁剪，包包括系統(tǒng)統(tǒng)平臺(tái)、網(wǎng)網(wǎng)絡(luò)連接接、軟件件和數(shù)據(jù)據(jù)庫(kù)。 44)在技技術(shù)和管管理層面面綜合性性地檢查查網(wǎng)絡(luò)方方案。技技術(shù)檢查查包括多多方面的的入侵測(cè)測(cè)試和配配置分析析，全面面了解網(wǎng)網(wǎng)絡(luò)解決決方案的的長(zhǎng)處和和不足。管管理檢查查包括訪訪問(wèn)管理理者和檢檢查安全全文件。 5. 應(yīng)用安安全評(píng)估估 11)全面面評(píng)估應(yīng)應(yīng)用程序序的：體體系結(jié)構(gòu)構(gòu)、設(shè)計(jì)計(jì)及功能能；開發(fā)發(fā)和維護(hù)護(hù)過(guò)程；運(yùn)行過(guò)過(guò)程及包包括運(yùn)行行平臺(tái)在在內(nèi)的技技術(shù)組件件；使用用的網(wǎng)絡(luò)絡(luò)服務(wù)及及數(shù)據(jù)庫(kù)庫(kù)或使用用的運(yùn)行行平臺(tái)服服務(wù)。 22)對(duì)應(yīng)應(yīng)用所采采用的過(guò)過(guò)程和技技術(shù)進(jìn)行行審核，以以保證主

11、主應(yīng)用程程序的安安全性和和保密性性要求。對(duì)對(duì)應(yīng)用程程序新的的安全代代碼和支支持基礎(chǔ)礎(chǔ)結(jié)構(gòu)的的服務(wù)進(jìn)進(jìn)行審核核，檢查查影響生生產(chǎn)環(huán)境境完整性性的一般般錯(cuò)誤。 33)復(fù)查查應(yīng)用程程序安全全和保密密的要求求、體系系結(jié)構(gòu)規(guī)規(guī)范、功功能規(guī)范范和測(cè)試試計(jì)劃。 4)分析析所選擇擇應(yīng)用程程序代碼碼，找出出有關(guān)代代碼中的的脆弱性性。 55)分析析操作系系統(tǒng)平臺(tái)臺(tái)、數(shù)據(jù)據(jù)庫(kù)、網(wǎng)網(wǎng)絡(luò)、以以及該應(yīng)應(yīng)用程序序可能調(diào)調(diào)用的安安全和保保密服務(wù)務(wù)。 66)對(duì)現(xiàn)現(xiàn)有基礎(chǔ)礎(chǔ)結(jié)構(gòu)中中的部件件和過(guò)程程的安全全和保密密性進(jìn)行行確認(rèn)。 77)復(fù)查查客戶與與安全和和保密政政策以及及相關(guān)標(biāo)標(biāo)準(zhǔn)的程程序和過(guò)過(guò)程。 5.2.3 評(píng)估威威脅 當(dāng)當(dāng)

12、需要保保護(hù)的資資源被確確定后，進(jìn)進(jìn)一步則則需確定定所需保保護(hù)資源源存在的的威脅。 1. 查非授授權(quán)訪問(wèn)問(wèn)：如沒沒有預(yù)先先經(jīng)過(guò)同同意就使使用網(wǎng)絡(luò)絡(luò)或計(jì)算算機(jī)資源源被看作作是非授授權(quán)訪問(wèn)問(wèn)。如：有意避避開系統(tǒng)統(tǒng)訪問(wèn)控控制機(jī)制制，擅自自擴(kuò)大權(quán)權(quán)限，越越權(quán)訪問(wèn)問(wèn)信息。 2. 查信息息泄漏：是否敏敏感數(shù)據(jù)據(jù)在有意意或無(wú)意意中被泄泄漏出去去或丟失失。如：信息在在傳輸中中或在存存儲(chǔ)介質(zhì)質(zhì)中丟失失或泄漏漏，通過(guò)過(guò)隱蔽通通道竊取取機(jī)密信信息等。 3. 查數(shù)據(jù)據(jù)完整性性：如非非法竊得得數(shù)據(jù)使使用權(quán)，修修改或重重發(fā)某些些重要信信息，惡惡意添加加、修改改數(shù)據(jù)，干干擾用戶戶的正常常使用。 4. 查拒絕絕服務(wù)攻攻擊：查查

13、潛在的的對(duì)網(wǎng)絡(luò)絡(luò)服務(wù)進(jìn)進(jìn)行干擾擾的活動(dòng)動(dòng)，該活活動(dòng)可能能造成系系統(tǒng)響應(yīng)應(yīng)減慢甚甚至癱瘓瘓，影響響正常用用戶進(jìn)入入網(wǎng)絡(luò)系系統(tǒng)或不不能得到到相應(yīng)的的服務(wù)。 5.2.4 列舉降降低風(fēng)險(xiǎn)險(xiǎn)的對(duì)策策 為保保護(hù)公司司網(wǎng)絡(luò)資資源，采采取怎樣樣的控制制措施，應(yīng)應(yīng)根據(jù)損損失的風(fēng)風(fēng)險(xiǎn)概率率、控制制的費(fèi)用用、控制制后的變變化率以以及公司司在安全全防護(hù)上上所能投投入的財(cái)財(cái)力確定定。 降低低風(fēng)險(xiǎn)的的對(duì)策主主要從三三個(gè)方面面考慮：嚴(yán)格的的安全管管理、運(yùn)運(yùn)用先進(jìn)進(jìn)的安全全技術(shù)、一一套威嚴(yán)嚴(yán)的管理理制度和和標(biāo)準(zhǔn)。風(fēng)險(xiǎn)對(duì)策舉舉例： 采用用一些復(fù)復(fù)合安全全技術(shù)，如如防火墻墻，單點(diǎn)點(diǎn)登錄方方案，中中央安全全管理方方案以及及公共秘秘

14、鑰等。 每周周進(jìn)行策策略順應(yīng)應(yīng)性測(cè)試試-檢查查與方針針相符的的網(wǎng)絡(luò)服服務(wù)是否否可用，尋尋找一般般的網(wǎng)絡(luò)絡(luò)漏洞并并檢查提提供互連連網(wǎng)連接接的域名名系統(tǒng)（DDNS）的的內(nèi)容。 每月月進(jìn)行脆脆弱性測(cè)測(cè)試-用用一切方方法搜尋尋所有已已知的漏漏洞和未未被授權(quán)權(quán)的服務(wù)務(wù)，使用用各種專專門的安安全工具具來(lái)模仿仿黑客的的攻擊方方法。 在進(jìn)行行每周和和每月測(cè)測(cè)試的同同時(shí)，選選購(gòu)一些些強(qiáng)有力力的補(bǔ)充充監(jiān)控服服務(wù)，以以顯著減減少處理理互連網(wǎng)網(wǎng)不速之之客侵入入的響應(yīng)應(yīng)時(shí)間。對(duì)對(duì)惡意活活動(dòng)進(jìn)行行24xx7x3365的的監(jiān)視。 11)在網(wǎng)網(wǎng)絡(luò)和主主服務(wù)器器中配置置、布置置監(jiān)視測(cè)測(cè)試儀。使使用工業(yè)業(yè)上領(lǐng)先先的入侵侵偵察軟軟

15、件，擴(kuò)擴(kuò)大安全全策略，防防止安全全侵犯。 22)培訓(xùn)訓(xùn)專業(yè)的的安全管管理人員員，當(dāng)有有懷疑的的活動(dòng)發(fā)發(fā)生時(shí)，進(jìn)進(jìn)行調(diào)查查和警告告，有效效的事故故處理，及及時(shí)的安安全預(yù)警警和協(xié)調(diào)調(diào)。 33)在關(guān)關(guān)鍵業(yè)務(wù)務(wù)服務(wù)器器上建立立入侵偵偵察軟件件，分析析運(yùn)行記記錄和系系統(tǒng)文件件，偵察察安全侵侵犯或?yàn)E濫用。 44)與安安全事故故反應(yīng)機(jī)機(jī)構(gòu)建立立聯(lián)系，以以便盡快快得到良良好的安安全服務(wù)務(wù)。 55)建立立拒絕服服務(wù)告警警系統(tǒng)，對(duì)對(duì)拒絕服服務(wù)攻擊擊、潛在在的入侵侵和類似似問(wèn)題作作出快速速反響，同同時(shí)，檢檢查配置置和系統(tǒng)統(tǒng)管理，防防止可能能導(dǎo)致的的信息泄泄露和拒拒絕服務(wù)務(wù)。 5.2.5 損失評(píng)評(píng)估 在通過(guò)過(guò)分析資資源存在在的威脅脅和隱患患并確定定出其安安全等級(jí)級(jí)后，根根據(jù)公司司對(duì)安全全要求的的側(cè)重點(diǎn)點(diǎn)，列出出相應(yīng)的的損失及及代價(jià)。在在采取控控制措施施之前，預(yù)預(yù)估可能能發(fā)生的的損失及及可能發(fā)發(fā)生損失失的概率率