中海信托信息安全風(fēng)險(xiǎn)評(píng)估及整改項(xiàng)目技術(shù)方案建議書

中海信托信息安全風(fēng)險(xiǎn)評(píng)估及整改項(xiàng)目技術(shù)方案建議書北京天融信公司第32頁(yè)目錄TOC\o"1-2"\h\z\u1 概述 351.1 項(xiàng)目背景 351.2 項(xiàng)目目標(biāo) 351.3 項(xiàng)目?jī)?nèi)容 361.4 項(xiàng)目設(shè)計(jì)原則 371.5 項(xiàng)目范圍 381.6 文件和法律法規(guī) 382 天融信對(duì)本項(xiàng)目的理解 392.1 對(duì)項(xiàng)目目標(biāo)的理解 392.2 對(duì)項(xiàng)目特點(diǎn)的理解 393 項(xiàng)目總體方法與流程 413.1 概述 413.2 天融信風(fēng)險(xiǎn)評(píng)估方法 443.3 本項(xiàng)目采用的安全風(fēng)險(xiǎn)評(píng)估方法 453.4 技術(shù)難點(diǎn)和關(guān)鍵突破 484 信息資產(chǎn)調(diào)查和賦值 504.1 信息資產(chǎn)概述 504.2 信息資產(chǎn)分類 504.3 保護(hù)對(duì)象框架 564.4 資產(chǎn)識(shí)別過(guò)程 584.5 信息資產(chǎn)賦值 594.6 賦值工作操作方法指南 645 IT設(shè)備評(píng)估 665.1 評(píng)估的過(guò)程 665.2 評(píng)估的方法 685.3 評(píng)估的內(nèi)容 705.4 評(píng)估的風(fēng)險(xiǎn)和應(yīng)對(duì) 726 網(wǎng)絡(luò)設(shè)備安全風(fēng)險(xiǎn)評(píng)估 736.1 評(píng)估過(guò)程描述 746.2 評(píng)估的方法 776.3 評(píng)估的內(nèi)容 786.4 評(píng)估的風(fēng)險(xiǎn)和應(yīng)對(duì) 817 應(yīng)用系統(tǒng)和管理安全風(fēng)險(xiǎn)評(píng)估 817.1 評(píng)估過(guò)程描述 847.2 評(píng)估方法 467.3 評(píng)估內(nèi)容 477.4 風(fēng)險(xiǎn)及應(yīng)對(duì)措施 608 安全增強(qiáng)與加固 618.1 安全加固內(nèi)容 628.2 安全加固流程 649 應(yīng)急響應(yīng)服務(wù) 659.1 服務(wù)目標(biāo)： 659.2 服務(wù)特點(diǎn)： 669.3 一般實(shí)施流程： 669.4 流程說(shuō)明： 6610 安全解決方案 6810.1 解決方案設(shè)計(jì)概述 6810.2 安全需求分析 6810.3 安全解決方案設(shè)計(jì) 6911 項(xiàng)目組織結(jié)構(gòu) 7111.1 現(xiàn)場(chǎng)實(shí)施階段，項(xiàng)目組織結(jié)構(gòu) 7111.2 項(xiàng)目角色和責(zé)任 7112 項(xiàng)目進(jìn)度計(jì)劃 7412.1 項(xiàng)目主要過(guò)程時(shí)間安排 7413 項(xiàng)目啟動(dòng)和準(zhǔn)備階段 7513.1 概述 7513.2 參加人員 7513.3 過(guò)程描述 7513.4 需要中海信托配合的工作 7513.5 輸出 7614 現(xiàn)場(chǎng)實(shí)施階段 7614.1 資產(chǎn)調(diào)查 7614.2 安全評(píng)估（包括漏洞掃描、人工檢查等） 7714.3 滲透測(cè)試 7914.4 安全加固 8014.5 應(yīng)急響應(yīng)服務(wù) 8115 數(shù)據(jù)分析及報(bào)告階段 8315.1 概述 8315.2 過(guò)程描述 8315.3 需要中海信托配合的工作 8415.4 輸出 8416 項(xiàng)目收尾階段 8416.1 概述 8416.2 過(guò)程描述 8516.3 需要中海信托配合的工作 8516.4 輸出 8517 售后服務(wù) 8517.1 安全服務(wù)技術(shù)支持服務(wù) 8517.2 安全服務(wù)跟蹤服務(wù) 8517.3 天融信安全服務(wù)業(yè)務(wù)關(guān)鍵能力 8618 項(xiàng)目管理及溝通辦法 8718.1 天融信工程項(xiàng)目管理方法 8718.2 天融信項(xiàng)目管理遵循的標(biāo)準(zhǔn) 8818.3 項(xiàng)目溝通辦法 8819 項(xiàng)目風(fēng)險(xiǎn)管理及保密控制 9219.1 項(xiàng)目風(fēng)險(xiǎn)分析及規(guī)避措施 9219.2 項(xiàng)目的保密控制 9420 天融信信息安全服務(wù)業(yè)務(wù)介紹 9520.1 安全服務(wù)組織結(jié)構(gòu)圖 9520.2 安全服務(wù)業(yè)務(wù)范圍 9621 項(xiàng)目實(shí)施質(zhì)量保證 9821.1 項(xiàng)目執(zhí)行人員的質(zhì)量職責(zé) 9821.2 天融信安全服務(wù)質(zhì)量保證體系嚴(yán)格貫徹以下過(guò)程 9822 項(xiàng)目驗(yàn)收方式 10122.1 驗(yàn)收方法確認(rèn) 10222.2 驗(yàn)收程序 10322.3 版本控制 10522.4 交付件歸檔辦法 10623 項(xiàng)目分項(xiàng)報(bào)價(jià)表 107概述項(xiàng)目背景近年來(lái)，隨著信息化技術(shù)越來(lái)越深入和廣泛的應(yīng)用，信息安全的風(fēng)險(xiǎn)日益加大，國(guó)家和各行業(yè)主管機(jī)構(gòu)都對(duì)防范信息安全風(fēng)險(xiǎn)非常重視。國(guó)家信息化領(lǐng)導(dǎo)小組頒發(fā)的《信息安全等級(jí)化保障體系》系列標(biāo)準(zhǔn)文件對(duì)我國(guó)信息安全保障工作做出原則性戰(zhàn)略性的規(guī)定，要求堅(jiān)持積極防御、綜合防范的方針，全面提高信息安全防護(hù)能力，重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全，經(jīng)過(guò)五年左右的努力，基本形成國(guó)家信息安全保障體系。2006年起，銀監(jiān)會(huì)發(fā)布了《商業(yè)銀行內(nèi)部控制指引》，并進(jìn)一步發(fā)出了關(guān)于信托投資公司加強(qiáng)內(nèi)部控制和風(fēng)險(xiǎn)控制的要求。2008年7月，國(guó)家財(cái)政部和證監(jiān)會(huì)、銀監(jiān)會(huì)、保監(jiān)會(huì)等聯(lián)合發(fā)布了《企業(yè)內(nèi)部控制基本規(guī)范》，對(duì)企業(yè)的內(nèi)部控制提出了較為具體的要求。為進(jìn)一步保障銀聯(lián)網(wǎng)絡(luò)的邊界安全，降低信息安全風(fēng)險(xiǎn)，中海信托投資有限公司擬于2009年在業(yè)界知名互聯(lián)網(wǎng)安全服務(wù)公司的協(xié)助下，對(duì)中海信托信息系統(tǒng)實(shí)施安全風(fēng)險(xiǎn)管理服務(wù)（包括安全技術(shù)和管理評(píng)估、互聯(lián)網(wǎng)應(yīng)用滲透測(cè)試、安全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)），為中海信托的核心業(yè)務(wù)系統(tǒng)穩(wěn)定運(yùn)行提供安全保障。項(xiàng)目目標(biāo)通過(guò)實(shí)施整體信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)（包括安全技術(shù)和管理評(píng)估、互聯(lián)網(wǎng)應(yīng)用滲透測(cè)試、安全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)）提高中海信托信息系統(tǒng)的安全性和可靠性，并在緊急情況下對(duì)提供緊急安全事件響應(yīng)支持，控制并降低來(lái)自于互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)。通過(guò)本次對(duì)中海信托網(wǎng)絡(luò)安全服務(wù)項(xiàng)目，可以達(dá)到以下主要目標(biāo)：通過(guò)安全風(fēng)險(xiǎn)評(píng)估，得到中海信托的整體安全現(xiàn)狀；通過(guò)滲透測(cè)試和安全技術(shù)評(píng)估，分析中海信托信息系統(tǒng)存在的各類技術(shù)性安全缺陷，并進(jìn)行整改；通過(guò)管理體系評(píng)估，發(fā)現(xiàn)中海信托在風(fēng)險(xiǎn)管理、安全策略和內(nèi)部控制等方面存在的問(wèn)題并加以改進(jìn)；通過(guò)安全加固和策略體系改進(jìn)，全方位的提升中海信托的信息安全管理水平。項(xiàng)目?jī)?nèi)容本次整體信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的內(nèi)容可以分為幾個(gè)部分：信息安全風(fēng)險(xiǎn)評(píng)估信息資產(chǎn)調(diào)查調(diào)查和統(tǒng)計(jì)中海信托信息系統(tǒng)所包含的信息資產(chǎn)（包含物理環(huán)境、終端、網(wǎng)絡(luò)設(shè)備、主機(jī)、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、人員、標(biāo)準(zhǔn)流程等），明確其現(xiàn)有狀況、配置情況和管理情況。如主機(jī)系統(tǒng)，需要明確其平臺(tái)、版本、補(bǔ)丁等基本情況外，還需明確開(kāi)放端口、服務(wù)和進(jìn)程等配置管理信息。并對(duì)所有信息資產(chǎn)按照一定標(biāo)準(zhǔn)進(jìn)行資產(chǎn)賦值。現(xiàn)有安全系統(tǒng)調(diào)查工作包括明確現(xiàn)有安全設(shè)備(包括防火墻、防病毒系統(tǒng)、入侵檢測(cè)系統(tǒng)、安全掃描系統(tǒng)、帳號(hào)口令集中管理系統(tǒng)、域控制服務(wù)器等)的部署情況和使用情況；同時(shí)了解在建網(wǎng)絡(luò)與信息安全建設(shè)項(xiàng)目，使之服從統(tǒng)一部署原則。安全風(fēng)險(xiǎn)評(píng)估根據(jù)中海信托現(xiàn)有的安全標(biāo)準(zhǔn)規(guī)范和業(yè)務(wù)對(duì)安全的要求，分析主機(jī)、網(wǎng)絡(luò)及安全設(shè)備面臨的威脅，評(píng)估現(xiàn)有系統(tǒng)的存在的弱點(diǎn)，明確所有信息系統(tǒng)面臨的安全風(fēng)險(xiǎn)和隱患。應(yīng)用系統(tǒng)滲透測(cè)試通過(guò)黑客或白客方式對(duì)指定的Internet業(yè)務(wù)系統(tǒng)進(jìn)行滲透攻擊，發(fā)現(xiàn)該系統(tǒng)存在的安全隱患，并提出解決措施。信息系統(tǒng)安全加固安全加固和優(yōu)化服務(wù)是實(shí)現(xiàn)客戶信息系統(tǒng)安全的關(guān)鍵環(huán)節(jié)。通過(guò)使用該項(xiàng)服務(wù)，將在中海信托信息系統(tǒng)的網(wǎng)絡(luò)層、主機(jī)層和應(yīng)用層等層次建立符合中海信托安全需求的安全狀態(tài)，并以此作為保證中海信托信息系統(tǒng)安全的起點(diǎn)。安全策略體系整改通過(guò)對(duì)現(xiàn)有安全體系策略制度的審閱、解讀和差距性分析，對(duì)現(xiàn)有安全管理制度和內(nèi)控制度進(jìn)行改善，使之能夠完全符合當(dāng)前國(guó)內(nèi)相關(guān)控制標(biāo)準(zhǔn)的要求，并向相關(guān)的國(guó)際化標(biāo)準(zhǔn)看齊。項(xiàng)目設(shè)計(jì)原則符合性原則：符合國(guó)家等級(jí)化保護(hù)體系指出的積極防御、綜合防范的方針和等級(jí)保護(hù)的原則。標(biāo)準(zhǔn)性原則：服務(wù)方案的設(shè)計(jì)與實(shí)施應(yīng)依據(jù)國(guó)內(nèi)或國(guó)際的相關(guān)標(biāo)準(zhǔn)進(jìn)行；規(guī)范性原則：服務(wù)工作中的過(guò)程和文檔，具有很好的規(guī)范性，可以便于項(xiàng)目的跟蹤和控制；可控性原則：方法和過(guò)程在雙方認(rèn)可的范圍之內(nèi)，安全服務(wù)的進(jìn)度要按照進(jìn)度表進(jìn)度的安排，保證甲方對(duì)于服務(wù)工作的可控性；整體性原則：安全服務(wù)的范圍和內(nèi)容整體全面，包括安全涉及的各個(gè)層面（應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、管理制度、人員等），避免由于遺漏造成未來(lái)的安全隱患；最小影響原則：安全服務(wù)中的工作盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行，不能對(duì)現(xiàn)網(wǎng)的運(yùn)行和業(yè)務(wù)的正常提供產(chǎn)生顯著影響；保密性原則：對(duì)過(guò)程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不得利用此數(shù)據(jù)進(jìn)行任何侵害甲方的行為，否則甲方有權(quán)追究乙方的責(zé)任。甲方有權(quán)要求乙方在服務(wù)結(jié)束之后銷毀所有和本項(xiàng)目有關(guān)的數(shù)據(jù)和文檔。項(xiàng)目范圍本項(xiàng)目選擇中海信托的核心業(yè)務(wù)系統(tǒng)作為服務(wù)對(duì)象。文件和法律法規(guī)國(guó)內(nèi)政策與標(biāo)準(zhǔn)：《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)》（中辦發(fā)[2003]27號(hào)）；《關(guān)于開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見(jiàn)》2006年1月國(guó)家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組；《關(guān)于印發(fā)《信息安全風(fēng)險(xiǎn)評(píng)估指南》的通知》2006年2月國(guó)信辦（國(guó)信辦綜[2006]9號(hào)）；《商業(yè)銀行內(nèi)部控制指引》2006年12月銀監(jiān)會(huì)《企業(yè)內(nèi)部控制基本規(guī)范》2008年7月財(cái)政部、證監(jiān)會(huì)、審計(jì)署、銀監(jiān)會(huì)、保監(jiān)會(huì)國(guó)際政策與標(biāo)準(zhǔn)：ISO/IEC27001信息安全管理體系標(biāo)準(zhǔn)COSO/COBIT內(nèi)控和信息技術(shù)控制框架ISO/IECTR13335Series,GuidelinesforthemanagementofITSecurity(CMITS)，1996-2001NISTSP800Series,ComputerSecuritySpecialPublications，1991-2005天融信對(duì)本項(xiàng)目的理解對(duì)項(xiàng)目目標(biāo)的理解安全風(fēng)險(xiǎn)評(píng)估工作是中海信托信息安全體系運(yùn)作體系中風(fēng)險(xiǎn)管理的重要組成部分，通過(guò)周期性的安全風(fēng)險(xiǎn)評(píng)估工作發(fā)現(xiàn)公司的安全現(xiàn)狀，為公司安全建設(shè)和安全加固提供數(shù)據(jù)基礎(chǔ)。綜上所述，本期項(xiàng)目的目標(biāo)是：通過(guò)安全評(píng)估的技術(shù)手段，盡可能發(fā)現(xiàn)和定位中海信托各信息系統(tǒng)存在的安全風(fēng)險(xiǎn)，為安全加固、系統(tǒng)整改及應(yīng)急響應(yīng)提供依據(jù)和技術(shù)指導(dǎo)，降低中海信托整體的安全風(fēng)險(xiǎn)。對(duì)項(xiàng)目特點(diǎn)的理解通過(guò)上面對(duì)本項(xiàng)目目標(biāo)的分析，本期深度安全風(fēng)險(xiǎn)評(píng)估工作存在如下特點(diǎn)：要求高：由于中海信托業(yè)務(wù)的快速增長(zhǎng)，對(duì)信息安全的要求越來(lái)越高，所以要比以前采用更加規(guī)范的項(xiàng)目管理要求；本次評(píng)估的技術(shù)深度和廣度，都要強(qiáng)于以前的項(xiàng)目及同行業(yè)的要求（多個(gè)系統(tǒng)的應(yīng)用分析）；采用的技術(shù)標(biāo)準(zhǔn)，是當(dāng)前最新、最及時(shí)的，相比歷史評(píng)估工作和同行業(yè)類似工作的技術(shù)要求是最高的；技術(shù)與管理并重：由于面臨的外部威脅的壓力和影響力比以往要大很多，所以本次項(xiàng)目更加側(cè)重于通過(guò)外部滲透測(cè)試的方法，發(fā)現(xiàn)從外部的威脅和影響（尤其是從外部Internet進(jìn)行滲透測(cè)試）；本次項(xiàng)目滲透測(cè)試涉及的系統(tǒng)范圍更廣，而且更深地分析通過(guò)“信任關(guān)系”發(fā)生的滲透，從而發(fā)現(xiàn)“木桶原理”中的“最短那塊板”；更加側(cè)重于應(yīng)用系統(tǒng)自身特點(diǎn)的安全評(píng)估：綜合分析業(yè)務(wù)和管理層（數(shù)據(jù)流，角色權(quán)限…）；應(yīng)用層（數(shù)據(jù)庫(kù)，中間件）；系統(tǒng)層（主機(jī)操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出的安全風(fēng)險(xiǎn)更加有針對(duì)性；中海信托各應(yīng)用系統(tǒng)有不同的特點(diǎn)，在本次項(xiàng)目中要結(jié)合不同部門、不同系統(tǒng)特點(diǎn)進(jìn)行相應(yīng)的應(yīng)用系統(tǒng)安全評(píng)估；更加考慮安全加固和應(yīng)急響應(yīng)體系建設(shè)的可行性：本次項(xiàng)目在實(shí)施過(guò)程中安排了時(shí)間，對(duì)發(fā)現(xiàn)的問(wèn)題進(jìn)行及時(shí)地講解和答疑；對(duì)發(fā)現(xiàn)的問(wèn)題提出的解決方案，和系統(tǒng)管理員及時(shí)溝通，并協(xié)助進(jìn)行講解和培訓(xùn)，對(duì)不能直接解決的，提出綜合解決、降低風(fēng)險(xiǎn)的方案。項(xiàng)目總體方法與流程概述風(fēng)險(xiǎn)管理（RiskManagement）旨在對(duì)潛在機(jī)會(huì)和不利影響進(jìn)行有效管理的文化、程序和結(jié)構(gòu)。風(fēng)險(xiǎn)管理是良好管理的一個(gè)組成部分，它用一種將損失減小到最低程度而使商業(yè)機(jī)會(huì)達(dá)到最大限度的方式，對(duì)與機(jī)構(gòu)的任何活動(dòng)、功能和過(guò)程相關(guān)的風(fēng)險(xiǎn)進(jìn)行環(huán)境建立、鑒定、分析、評(píng)價(jià)、處理、監(jiān)控和信息交流。風(fēng)險(xiǎn)管理過(guò)程（RiskManagementProcess）是指系統(tǒng)地將管理方針、程序和結(jié)構(gòu)應(yīng)用于風(fēng)險(xiǎn)的環(huán)境建立、鑒定、分析、評(píng)價(jià)、處理、監(jiān)控和信息交流等過(guò)程任務(wù)。在信息安全領(lǐng)域，同樣適用于風(fēng)險(xiǎn)管理的理念和方法論。在當(dāng)前信息技術(shù)得到普遍應(yīng)用，并且很多成為關(guān)鍵業(yè)務(wù)系統(tǒng)的環(huán)境下，企業(yè)或組織的信息安全風(fēng)險(xiǎn)很大，而且普遍缺乏有效的控制和管理，但過(guò)度的風(fēng)險(xiǎn)管理，無(wú)疑會(huì)導(dǎo)致大量的金錢和人力的花費(fèi)、以及工作效率的嚴(yán)重降低。所以，如何適度和有效地進(jìn)行信息安全的風(fēng)險(xiǎn)的管理和控制，成為了一項(xiàng)迫切和重要的任務(wù)。下面的描述即是闡明風(fēng)險(xiǎn)評(píng)估過(guò)程的理念和方法論，以作為天融信安全服務(wù)的標(biāo)準(zhǔn)方法論和理論基礎(chǔ)，指導(dǎo)和規(guī)范天融信的安全風(fēng)險(xiǎn)安全服務(wù)工作。安全模型參考在澳大利亞和新西蘭國(guó)家標(biāo)準(zhǔn)《風(fēng)險(xiǎn)管理RiskManagement》（AS/NZS4360:1999）中描述了風(fēng)險(xiǎn)管理過(guò)程，如下圖所示：在國(guó)際標(biāo)準(zhǔn)ISO13335中，安全模型如下圖所示，特點(diǎn)是以風(fēng)險(xiǎn)為核心。在國(guó)際標(biāo)準(zhǔn)中，安全模型如下圖所示，其特點(diǎn)是強(qiáng)調(diào)了模型的對(duì)抗性和動(dòng)態(tài)性。可以看出，安全模型中的核心要素都是資產(chǎn)、弱點(diǎn)、威脅、風(fēng)險(xiǎn)、安全措施等，各要素之間的關(guān)系也基本類似，只是描述和關(guān)注的角度不同。風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)風(fēng)險(xiǎn)評(píng)估過(guò)程中主要選擇的規(guī)范和標(biāo)準(zhǔn)包括：中海信托技術(shù)規(guī)范和標(biāo)準(zhǔn)：國(guó)內(nèi)政策與標(biāo)準(zhǔn)：《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)》（中辦發(fā)[2003]27號(hào)）；《關(guān)于開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見(jiàn)》2006年1月國(guó)家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組；《關(guān)于印發(fā)《信息安全風(fēng)險(xiǎn)評(píng)估指南》的通知》2006年2月國(guó)信辦（國(guó)信辦綜[2006]9號(hào)）；國(guó)際政策與標(biāo)準(zhǔn)：ISO/IEC27001ISO/IECTR13335Series,GuidelinesforthemanagementofITSecurity(CMITS)，1996-2001NISTSP800Series,ComputerSecuritySpecialPublications，1991-2005ISO/IEC15408-1999“信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則”（簡(jiǎn)稱CC）天融信風(fēng)險(xiǎn)評(píng)估方法風(fēng)險(xiǎn)評(píng)估模型在安全評(píng)估服務(wù)中，天融信參照上述兩個(gè)安全模型，根據(jù)自己的工程實(shí)踐，建立了自己的風(fēng)險(xiǎn)評(píng)估模型，描述如下：在天融信的風(fēng)險(xiǎn)評(píng)估模型中，主要包含信息資產(chǎn)，弱點(diǎn)/脆弱性、威脅和風(fēng)險(xiǎn)四個(gè)要素。每個(gè)要素有各自的屬性，信息資產(chǎn)的屬性是資產(chǎn)價(jià)值，弱點(diǎn)的屬性是弱點(diǎn)被威脅利用后對(duì)資產(chǎn)帶來(lái)的影響的嚴(yán)重程度，威脅的屬性是威脅發(fā)生的可能性，風(fēng)險(xiǎn)的屬性是風(fēng)險(xiǎn)發(fā)生的路徑。因此，天融信風(fēng)險(xiǎn)評(píng)估的過(guò)程是：對(duì)信息資產(chǎn)進(jìn)行識(shí)別，并對(duì)資產(chǎn)賦值；識(shí)別信息資產(chǎn)的脆弱性（弱點(diǎn)/漏洞），并對(duì)弱點(diǎn)的嚴(yán)重程度賦值；對(duì)威脅進(jìn)行分析，并對(duì)威脅發(fā)生的可能性賦值；綜合分析資產(chǎn)價(jià)值、資產(chǎn)的脆弱性和威脅發(fā)生的可能性，得到信息資產(chǎn)的風(fēng)險(xiǎn)發(fā)生的路徑和級(jí)別，并對(duì)風(fēng)險(xiǎn)進(jìn)行處置，選擇合適的控制措施?？傮w工作流程圖根據(jù)安全風(fēng)險(xiǎn)評(píng)估模型，天融信安全風(fēng)險(xiǎn)評(píng)估的總體工作流程如下圖：在評(píng)估過(guò)程中首先要進(jìn)行全網(wǎng)的資產(chǎn)調(diào)查，識(shí)別的內(nèi)容包括：“信息設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)環(huán)境、組織結(jié)構(gòu)及物理環(huán)境；然后進(jìn)行應(yīng)用系統(tǒng)安全目標(biāo)的識(shí)別和分析；以及通過(guò)安全評(píng)估的“業(yè)務(wù)系統(tǒng)評(píng)估”、“滲透測(cè)試”、“網(wǎng)絡(luò)架構(gòu)評(píng)估”、“IT設(shè)備弱點(diǎn)評(píng)估”、“應(yīng)用安全評(píng)估”、“安全管理評(píng)估”、“物理安全評(píng)估”各項(xiàng)內(nèi)容獲取“安全現(xiàn)狀”(包括：安全威脅)、“安全弱點(diǎn)”。最后通過(guò)各系統(tǒng)、子系統(tǒng)的安全目標(biāo)和其“安全現(xiàn)狀”、“安全弱點(diǎn)”的對(duì)比分析，得到安全現(xiàn)狀和解決方案。本項(xiàng)目采用的安全風(fēng)險(xiǎn)評(píng)估方法本次項(xiàng)目由于側(cè)重點(diǎn)于技術(shù)問(wèn)題的發(fā)現(xiàn)，并指導(dǎo)今后的安全加固和系統(tǒng)技術(shù)整改等技術(shù)工作；根據(jù)本次項(xiàng)目的特點(diǎn)，準(zhǔn)備采用如下三種安全風(fēng)險(xiǎn)評(píng)估的方法，主要針對(duì)非重點(diǎn)系統(tǒng)、重點(diǎn)系統(tǒng)網(wǎng)絡(luò)類、重點(diǎn)系統(tǒng)計(jì)算類；非重點(diǎn)系統(tǒng)的IT設(shè)備弱點(diǎn)評(píng)估如下圖所示：本評(píng)估主要目標(biāo)是為IT設(shè)備的弱點(diǎn)提供安全加固的指導(dǎo)和依據(jù)，主要涉及“主機(jī)系統(tǒng)弱點(diǎn)評(píng)估”；“網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估”；“安全設(shè)備弱點(diǎn)評(píng)估”。主機(jī)系統(tǒng)弱點(diǎn)評(píng)估采用人工現(xiàn)場(chǎng)檢查和工具掃描兩種方式；網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估和安全設(shè)備弱點(diǎn)評(píng)估，對(duì)能夠?qū)С雠渲眯畔ⅰ⒉⑴渲眯畔⒖勺R(shí)別分析的，采用后臺(tái)人工分析方式；對(duì)不能導(dǎo)出配置信息、或配置信息不可識(shí)別分析的，采用人工現(xiàn)場(chǎng)檢查方式。評(píng)估的結(jié)果，是體現(xiàn)各單點(diǎn)資產(chǎn)的弱點(diǎn)狀況，以及綜合的統(tǒng)計(jì)分析報(bào)告，主要為指導(dǎo)單點(diǎn)設(shè)備的安全加固工作。網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)的安全評(píng)估如下圖所示：網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)是公司主要承載各業(yè)務(wù)的基礎(chǔ)平臺(tái)，其評(píng)估的目標(biāo)不僅是發(fā)現(xiàn)現(xiàn)存系統(tǒng)的問(wèn)題，指導(dǎo)安全加固和系統(tǒng)整改的工作和依據(jù)；而且還要根據(jù)業(yè)務(wù)發(fā)展需要，為網(wǎng)絡(luò)建設(shè)提供安全保障的規(guī)劃依據(jù)。本安全評(píng)估包含：“IT設(shè)備弱點(diǎn)評(píng)估；網(wǎng)絡(luò)架構(gòu)安全評(píng)估和滲透測(cè)試”，其中IT設(shè)備弱點(diǎn)評(píng)估和前面的一致。網(wǎng)絡(luò)架構(gòu)安全評(píng)估包括：網(wǎng)絡(luò)現(xiàn)狀安全合理性分析以及隨業(yè)務(wù)發(fā)展需要的網(wǎng)絡(luò)安全需求分析，主要采用的方法是：后臺(tái)分析（對(duì)網(wǎng)絡(luò)拓?fù)洹⑾嚓P(guān)技術(shù)文檔、訪問(wèn)控制等配置信息分析）、現(xiàn)場(chǎng)設(shè)備檢查（對(duì)網(wǎng)絡(luò)設(shè)備或網(wǎng)管系統(tǒng)的安全狀況查看）、系統(tǒng)管理員的顧問(wèn)訪談（網(wǎng)絡(luò)現(xiàn)狀存在的問(wèn)題、網(wǎng)絡(luò)安全事件、業(yè)務(wù)發(fā)展對(duì)網(wǎng)絡(luò)的影響及假設(shè)）、主管領(lǐng)導(dǎo)的顧問(wèn)訪談（業(yè)務(wù)發(fā)展對(duì)網(wǎng)絡(luò)安全的要求）；滲透測(cè)試，主要采用嗅探及入侵的手法，分析從外部越權(quán)進(jìn)入本系統(tǒng)的路徑和可能性，以及可越權(quán)訪問(wèn)接入本網(wǎng)絡(luò)系統(tǒng)的系統(tǒng)范圍和影響。注：如無(wú)特殊需要，不采用DOS等惡意攻擊手段。本評(píng)估的結(jié)果，除體現(xiàn)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；還可為系統(tǒng)整改，劃分安全域以及未來(lái)網(wǎng)絡(luò)規(guī)劃提供參考；同時(shí)由于公司涉及網(wǎng)絡(luò)類系統(tǒng)之間是有強(qiáng)的關(guān)聯(lián)，最后要綜合分析各網(wǎng)絡(luò)類系統(tǒng)和應(yīng)用系統(tǒng)的關(guān)聯(lián)性，設(shè)計(jì)全網(wǎng)的網(wǎng)絡(luò)安全解決方案建議。應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)的安全評(píng)估如下圖所示：應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)是公司各獨(dú)立的業(yè)務(wù)單元，包括完整的主機(jī)、網(wǎng)絡(luò)、應(yīng)用各項(xiàng)內(nèi)容；其評(píng)估的目標(biāo)是從深度上（業(yè)務(wù)管理層<數(shù)據(jù)流，用戶角色權(quán)限…>；應(yīng)用層<數(shù)據(jù)庫(kù)，中間件>）；到廣度上系統(tǒng)層（主機(jī)操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出全面的安全風(fēng)險(xiǎn)分析報(bào)告。本安全評(píng)估包含：“IT設(shè)備弱點(diǎn)評(píng)估；網(wǎng)絡(luò)架構(gòu)安全評(píng)估；應(yīng)用系統(tǒng)安全評(píng)估和滲透測(cè)試”，其中IT設(shè)備弱點(diǎn)評(píng)估和前面一致。網(wǎng)絡(luò)架構(gòu)安全評(píng)估主要從網(wǎng)絡(luò)結(jié)構(gòu)上分析其應(yīng)用系統(tǒng)安全域劃分的合理性及訪問(wèn)控制策略的符合性，具體方法和前面一致。應(yīng)用系統(tǒng)安全評(píng)估，主要包括：對(duì)業(yè)務(wù)邏輯和數(shù)據(jù)流的安全分析；對(duì)應(yīng)用平臺(tái)的安全分析。主要方法是：后臺(tái)分析（對(duì)業(yè)務(wù)系統(tǒng)設(shè)計(jì)、運(yùn)行相關(guān)技術(shù)文檔）、現(xiàn)場(chǎng)設(shè)備檢查（對(duì)應(yīng)用平臺(tái)和數(shù)據(jù)庫(kù)進(jìn)行安全狀況查看）、源代碼評(píng)估（對(duì)部分關(guān)鍵流程的代碼進(jìn)行分析）、系統(tǒng)管理員的顧問(wèn)訪談（現(xiàn)狀存在的問(wèn)題、安全事件、業(yè)務(wù)發(fā)展的影響及假設(shè)）。滲透測(cè)試，主要采用入侵和角色提升的手法，分析從外部越權(quán)侵入本系統(tǒng)的路徑和可能性；以及模擬不同用戶角色提升權(quán)限，進(jìn)行數(shù)據(jù)篡改或越權(quán)訪問(wèn)的可能性分析。本評(píng)估的結(jié)果，除體現(xiàn)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；重點(diǎn)為系統(tǒng)整改，安全域劃分以及系統(tǒng)開(kāi)發(fā)提供參考。技術(shù)難點(diǎn)和關(guān)鍵突破在對(duì)中海信托進(jìn)行安全風(fēng)險(xiǎn)評(píng)估的過(guò)程中，由于其規(guī)模龐大，信息系統(tǒng)復(fù)雜，業(yè)務(wù)系統(tǒng)的特性和安全屬性存在巨大差異，因此對(duì)于評(píng)估標(biāo)準(zhǔn)的選擇，以及評(píng)估成果的適用性都提出了巨大的挑戰(zhàn)。評(píng)估指標(biāo)的定制面臨困難：安全沒(méi)有定制化的適用的安全指標(biāo)，造成評(píng)估結(jié)果不可信一般在安全評(píng)估時(shí)，評(píng)估服務(wù)提供者因?yàn)樵谠u(píng)估前并不熟悉和理解被評(píng)估方的業(yè)務(wù)特性和安全特性，所以不能定制非常適用的評(píng)估標(biāo)準(zhǔn)指標(biāo)，也就是說(shuō)沒(méi)有非常適用，反映被評(píng)估對(duì)象特性的評(píng)估標(biāo)準(zhǔn)，一般都采用國(guó)際或國(guó)家標(biāo)準(zhǔn)。雖然國(guó)際或國(guó)家標(biāo)準(zhǔn)適用于所有信息系統(tǒng)，但其適用廣泛性原因，評(píng)估標(biāo)準(zhǔn)比較籠統(tǒng)，不反映行業(yè)特性和企業(yè)特性。這樣，因?yàn)槿狈m用的評(píng)估標(biāo)準(zhǔn)，造成的評(píng)估結(jié)果可用性差，也缺乏針對(duì)性，不能反映業(yè)務(wù)特性和行業(yè)特性。尤其是如果服務(wù)提供者對(duì)客戶首次評(píng)估，存在評(píng)估質(zhì)量較低的風(fēng)險(xiǎn)，這是評(píng)估服務(wù)業(yè)務(wù)一個(gè)多年存在的難題，很難解決。通常情況下，評(píng)估質(zhì)量取決于評(píng)估服務(wù)提供者和評(píng)估顧問(wèn)的經(jīng)驗(yàn)是否豐富，是否非常熟悉被評(píng)估者的業(yè)務(wù)特性和行業(yè)特性。解決方法：在評(píng)估前設(shè)計(jì)行業(yè)安全評(píng)估指標(biāo)，并在評(píng)估開(kāi)始階段盡可能的定制能否準(zhǔn)確定制行業(yè)安全評(píng)估指標(biāo)，即行業(yè)評(píng)估標(biāo)準(zhǔn)是評(píng)估項(xiàng)目能否成功的關(guān)鍵環(huán)節(jié)之一，它對(duì)評(píng)估結(jié)果的適用性和真實(shí)性起著關(guān)鍵作用。在作評(píng)估前，我們根據(jù)多年對(duì)不同行業(yè)的豐富評(píng)估經(jīng)驗(yàn)和深刻理解，根據(jù)不同的行業(yè)業(yè)務(wù)特性和安全要求特性的理解，總結(jié)出反映行業(yè)特性的安全要求，設(shè)計(jì)出針對(duì)不同行業(yè)的安全對(duì)策指標(biāo)體系，再細(xì)化成不同行業(yè)的安全評(píng)估指標(biāo)。強(qiáng)調(diào)評(píng)估成果的適用性面臨困難：評(píng)估成果和建議難以實(shí)施，技術(shù)和管理難以有效融合，缺乏抗打擊能力和可控性信息安全問(wèn)題包含管理方面問(wèn)題、技術(shù)方面問(wèn)題以及兩者的交叉，它從來(lái)都不是靜態(tài)的，隨著組織的策略、組織架構(gòu)、業(yè)務(wù)流程和操作流程的改變而改變。中海信托現(xiàn)有的安全防護(hù)措施大多屬于靜態(tài)的單點(diǎn)技術(shù)防護(hù)，單純部署安全產(chǎn)品是一種靜態(tài)的解決辦法，單純防范黑客入侵和病毒感染更是是片面的。一旦單點(diǎn)防護(hù)措施被突破、繞過(guò)或失效，整個(gè)安全保障將會(huì)失效，威脅將影響到整個(gè)信息系統(tǒng)。評(píng)估成果中解決方案在設(shè)計(jì)過(guò)程中需要系統(tǒng)化的全面考慮，避免單點(diǎn)考慮，形成系統(tǒng)化措施。解決方案：強(qiáng)調(diào)多重深度保障和抗打擊能力，強(qiáng)調(diào)評(píng)估成果的可用性27號(hào)文件提出“堅(jiān)持積極防御、綜合防范的方針”，《美國(guó)國(guó)家安全戰(zhàn)略》中指出，國(guó)家的關(guān)鍵基礎(chǔ)設(shè)施的“這些關(guān)鍵功能遭到的任何破壞或操縱必須控制在歷時(shí)短、頻率小、可控、地域上可隔離以及對(duì)利益損害最小這樣一個(gè)規(guī)模上”。兩者都強(qiáng)調(diào)了抗打擊能力和可控性，這就要求采用多層保護(hù)的深度防御策略，實(shí)現(xiàn)安全管理和安全技術(shù)的緊密結(jié)合，防止單點(diǎn)突破。天融信在輸出評(píng)估結(jié)果時(shí)，會(huì)將管理手段和安全技術(shù)緊密結(jié)合，充分吸收業(yè)務(wù)特性，建立一個(gè)適用性強(qiáng)、可行性強(qiáng)并具有多重深度保障手段的防護(hù)網(wǎng)絡(luò)。信息資產(chǎn)調(diào)查和賦值信息資產(chǎn)概述資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價(jià)值因而需要保護(hù)的東西。它可能是以多種形式存在，有無(wú)形的、有有形的，有硬件、有軟件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。它們分別具有不同的價(jià)值屬性和存在特點(diǎn)，存在的弱點(diǎn)、面臨的威脅、需要進(jìn)行的保護(hù)和安全控制都各不相同。為此，有必要對(duì)企業(yè)、機(jī)構(gòu)中的信息資產(chǎn)進(jìn)行科學(xué)識(shí)別，以便于進(jìn)行后期的信息資產(chǎn)抽樣、制定風(fēng)險(xiǎn)評(píng)估策略、分析安全功能需求等活動(dòng)。雖然信息資產(chǎn)具有非常廣泛的含義，但這里將信息資產(chǎn)定義如下：信息資產(chǎn)是指組織的信息系統(tǒng)、其提供的服務(wù)以及處理的數(shù)據(jù)。信息資產(chǎn)分類參照ISO27001對(duì)信息資產(chǎn)的描述和定義，結(jié)合安全評(píng)估的經(jīng)驗(yàn)，將信息資產(chǎn)按照下面的方法進(jìn)行分類：類別解釋/示例網(wǎng)絡(luò)設(shè)備一臺(tái)或一組互備的網(wǎng)絡(luò)設(shè)備，包括網(wǎng)絡(luò)設(shè)備中的硬件，IOS，配置文件數(shù)據(jù)及其提供的網(wǎng)絡(luò)服務(wù)。包括路由器、交換機(jī)、RAS等，防火墻、IDS等安全設(shè)備除外。服務(wù)器一臺(tái)或一組服務(wù)器，包括服務(wù)器硬件、運(yùn)行于其上的OS、通用應(yīng)用、服務(wù)，數(shù)據(jù)庫(kù)、磁盤陣列等。工作站客戶端用機(jī)、個(gè)人用機(jī)等。安全設(shè)備作為安全用途的硬件和軟件,如:防火墻、IDS、AV等。存儲(chǔ)設(shè)備提供存儲(chǔ)用途的硬件和軟件，如：磁盤陣列等。業(yè)務(wù)系統(tǒng)指組織為其應(yīng)用而開(kāi)發(fā)或購(gòu)買的各類應(yīng)用軟件及其提供的業(yè)務(wù)服務(wù)。應(yīng)用平臺(tái)軟件主要是指提供通用服務(wù)的各種平臺(tái)系統(tǒng)，包括：數(shù)據(jù)庫(kù)WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括數(shù)據(jù)庫(kù)數(shù)據(jù)、存放于硬盤上的文件、代碼；財(cái)務(wù)數(shù)據(jù)及書面報(bào)告等。組織和人員指和安全相關(guān)的組織和人員，包括各級(jí)安全組織，安全人員、各級(jí)管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等物理環(huán)境指支持IT系統(tǒng)運(yùn)行的基礎(chǔ)物理設(shè)施，如：機(jī)房、空調(diào)、UPS、監(jiān)控器等。網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備是指構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的設(shè)備，軟件和介質(zhì)。包括路由器、交換機(jī)、通信終端和網(wǎng)關(guān)以及網(wǎng)絡(luò)設(shè)備控制臺(tái)等硬件設(shè)施和軟件系統(tǒng)，為了更清晰地區(qū)別資產(chǎn)的安全屬性，網(wǎng)絡(luò)設(shè)備類資產(chǎn)不包括防火墻、VPN、網(wǎng)絡(luò)入侵檢測(cè)等網(wǎng)絡(luò)安全產(chǎn)品。服務(wù)器服務(wù)器是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)和軟件的計(jì)算環(huán)境。包括大型機(jī)、小型機(jī)、Unix服務(wù)器、Windows服務(wù)器、移動(dòng)計(jì)算設(shè)備、應(yīng)用加密機(jī)和磁盤陣列等計(jì)算設(shè)備硬件及其操作系統(tǒng)、數(shù)據(jù)庫(kù)。除此之外，行業(yè)特殊的設(shè)備，例如銀行的ATM等，也屬于主機(jī)系統(tǒng)。同一臺(tái)主機(jī)系統(tǒng)，安裝兩種或以上操作系統(tǒng)（主要針對(duì)工作站、移動(dòng)計(jì)算設(shè)備），并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項(xiàng)主機(jī)系統(tǒng)信息資產(chǎn)。工作站工作站是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)軟件客戶端軟件的計(jì)算環(huán)境和OA系統(tǒng)中個(gè)人用機(jī)。同一臺(tái)主機(jī)系統(tǒng)，安裝兩種或以上操作系統(tǒng)（主要針對(duì)工作站、移動(dòng)計(jì)算設(shè)備），并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項(xiàng)主機(jī)系統(tǒng)信息資產(chǎn)。安全設(shè)備安全設(shè)備主要指在信息系統(tǒng)中用作網(wǎng)絡(luò)安全保護(hù)用途的硬件設(shè)施和軟件系統(tǒng)，包括：防火墻、VPN、網(wǎng)絡(luò)入侵檢測(cè)、網(wǎng)閘、防病毒系統(tǒng)以及相關(guān)系統(tǒng)的控制臺(tái)軟硬件設(shè)施。存儲(chǔ)設(shè)備存儲(chǔ)設(shè)備主要指在信息系統(tǒng)中用作數(shù)據(jù)存儲(chǔ)用途的硬件設(shè)施和軟件系統(tǒng)，并均能接入到網(wǎng)絡(luò)中的信息資產(chǎn)。包括：DAS、NAS、SAN等軟硬件設(shè)施。業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng)主要指為業(yè)務(wù)生產(chǎn)、管理支撐及辦公等業(yè)務(wù)需求提供服務(wù)的軟件系統(tǒng)，此類資產(chǎn)在信息資產(chǎn)中占有非常重要的地位。本項(xiàng)目所指的業(yè)務(wù)系統(tǒng)是指獨(dú)立應(yīng)用、運(yùn)作的系統(tǒng)，例如短消息業(yè)務(wù)系統(tǒng)、MISC系統(tǒng)、辦公自動(dòng)化系統(tǒng)、管理信息系統(tǒng)等，網(wǎng)管系統(tǒng)等。業(yè)務(wù)系統(tǒng)屬于需要重點(diǎn)評(píng)估、保護(hù)的對(duì)象。業(yè)務(wù)系統(tǒng)作為獨(dú)立的資產(chǎn)存在的同時(shí)，對(duì)于其他資產(chǎn)又存在如下關(guān)系：作為“網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在其資產(chǎn)賦值時(shí)，作為考慮的因素。應(yīng)用平臺(tái)軟件主要是指提供通用服務(wù)的各種平臺(tái)系統(tǒng)，包括：數(shù)據(jù)庫(kù)WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；通常將其所代表的安全屬性落實(shí)到如下部分來(lái)體現(xiàn)：應(yīng)用平臺(tái)軟件作為“服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出，在進(jìn)行資產(chǎn)賦值和弱點(diǎn)的時(shí)候，作為考慮的因素。數(shù)據(jù)及文檔數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括源代碼、數(shù)據(jù)庫(kù)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、客戶數(shù)據(jù)、各種數(shù)據(jù)資料、系統(tǒng)文檔、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊(cè)等。數(shù)據(jù)及文檔資產(chǎn)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識(shí)產(chǎn)權(quán)、競(jìng)爭(zhēng)優(yōu)勢(shì)、商業(yè)秘密的載體。屬于需要重點(diǎn)評(píng)估、保護(hù)的對(duì)象。通常，數(shù)據(jù)及文檔類資產(chǎn)需要保護(hù)的安全屬性是機(jī)密性。例如，公司的財(cái)務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機(jī)密性的數(shù)據(jù)。但是，完整性的重要性會(huì)隨著機(jī)密性的提高而提高。企業(yè)內(nèi)部對(duì)于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的敏感性（Sensitivity）來(lái)進(jìn)行，與機(jī)密性非常類似。例如，下表是常用的一種數(shù)據(jù)分類方法：簡(jiǎn)稱解釋/舉例公開(kāi)Public不需要任何保密機(jī)制和措施，可以公開(kāi)使用（例如產(chǎn)品發(fā)表新聞等）。內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用（例如合同等）秘密Private由和項(xiàng)目相關(guān)公司和客戶公司成員使用機(jī)密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時(shí)間內(nèi)受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按要求銷毀但是，由于數(shù)據(jù)及文檔數(shù)量巨大，且對(duì)其分類存在巨大的偏差和困難，通常將其所代表的安全屬性落實(shí)到如下部分來(lái)體現(xiàn)：作為“服務(wù)器、工作站、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在進(jìn)行資產(chǎn)賦值和弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。作為“組織和人員”資產(chǎn)的屬性之一列出。在進(jìn)行弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。組織和人員主要指企業(yè)與信息相關(guān)的人員和組織，包括各級(jí)安全組織，安全人員、各級(jí)管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等與被評(píng)估信息系統(tǒng)相關(guān)人員和組織。組織和人員作為獨(dú)立的資產(chǎn)存在進(jìn)行識(shí)別，但不對(duì)其進(jìn)行資產(chǎn)賦值，對(duì)其安全性因素的考慮如下：作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。物理環(huán)境主要指支持信息系統(tǒng)運(yùn)行的環(huán)境的非IT類的設(shè)備，主要包括機(jī)房、UPS、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等。此處一般屬于物理安全的問(wèn)題，主要的設(shè)備一般集中在機(jī)房?jī)?nèi)，所以評(píng)估時(shí)應(yīng)重點(diǎn)考慮機(jī)房提供的環(huán)境安全。物理環(huán)境與其他資產(chǎn)存在如下關(guān)系：物理位置作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在其弱點(diǎn)及威脅評(píng)估時(shí)，作為考慮的因素。信息資產(chǎn)分類整體圖網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備服務(wù)器工作站安全設(shè)備存儲(chǔ)設(shè)備組織和人員業(yè)務(wù)系統(tǒng)信息資產(chǎn)調(diào)查表屬性描述資產(chǎn)名稱在一個(gè)業(yè)務(wù)系統(tǒng)中不能重名資產(chǎn)編號(hào)全局唯一資產(chǎn)類型資產(chǎn)的類別屬性包括服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等資產(chǎn)子類型子類型是對(duì)類型的進(jìn)一步說(shuō)明，例如網(wǎng)絡(luò)設(shè)備中的路由器、交換機(jī)等操作系統(tǒng)類型設(shè)備所承載的系統(tǒng)的類型，例如包括windows2000,windows2003,hp-unix,aix,solaris等操作系統(tǒng)版本號(hào)各類操作系統(tǒng)的版本，例如solaris2.8，8.0等操作系統(tǒng)補(bǔ)丁各類操作系統(tǒng)的安全補(bǔ)丁信息應(yīng)用軟件平臺(tái)應(yīng)用系統(tǒng)所需的應(yīng)用軟件，例如WEB、J2EE等應(yīng)用平臺(tái)軟件版本應(yīng)用軟件所對(duì)應(yīng)的相應(yīng)版本。應(yīng)用平臺(tái)軟件補(bǔ)丁應(yīng)用軟件廠商發(fā)布的安全補(bǔ)丁。設(shè)備型號(hào)網(wǎng)絡(luò)、服務(wù)器、工作站等的硬件設(shè)備型號(hào)設(shè)備工作方式硬件、系統(tǒng)之間的工作方式，例如熱備、冷備、負(fù)載均衡等用途信息資產(chǎn)的主要功能。資產(chǎn)所在地理位置信息資產(chǎn)所處的地域、機(jī)房和機(jī)柜等資產(chǎn)所在業(yè)務(wù)系統(tǒng)和部門信息資產(chǎn)所屬的業(yè)務(wù)系統(tǒng)名稱和業(yè)務(wù)系統(tǒng)所屬的部門名稱資產(chǎn)責(zé)任人信息資產(chǎn)在登記過(guò)程中的責(zé)任人。資產(chǎn)維護(hù)人維護(hù)信息資產(chǎn)的人員名稱資產(chǎn)安全三性安全屬性，機(jī)密性、完整性和可用性資產(chǎn)創(chuàng)建時(shí)間信息資產(chǎn)入網(wǎng)的時(shí)間資產(chǎn)最后修改時(shí)間信息資產(chǎn)功能修改、人員變換等信息更換的最后時(shí)間資產(chǎn)最后修改人信息資產(chǎn)功能修改、人員變換等信息更換的修改人員名稱保護(hù)對(duì)象框架一般來(lái)說(shuō)，信息系統(tǒng)的資產(chǎn)數(shù)量十分龐大，為了更好的研究其計(jì)算機(jī)安全問(wèn)題，還需要從龐大的信息資產(chǎn)中提煉出保護(hù)對(duì)象。保護(hù)對(duì)象框架是指以結(jié)構(gòu)化的方法表達(dá)信息系統(tǒng)的框架模型。所謂結(jié)構(gòu)化是指通過(guò)特定的結(jié)構(gòu)將問(wèn)題拆分成子問(wèn)題的迭代方法。例如“魚刺圖”或“問(wèn)題樹(shù)”。結(jié)構(gòu)化方法包括以下幾條基本原則：充分覆蓋所有子問(wèn)題的總和必須覆蓋原問(wèn)題。如果不能充分覆蓋，那么解決問(wèn)題的方法就可能出現(xiàn)遺漏，嚴(yán)重影響本方法的可行性?；ゲ恢丿B所有子問(wèn)題都不允許出現(xiàn)重復(fù)，類似以下的情況不應(yīng)出現(xiàn)在一個(gè)框架中：兩個(gè)不同的子問(wèn)題其實(shí)是同一個(gè)子問(wèn)題的兩種表述；某一個(gè)子問(wèn)題其實(shí)是另外兩個(gè)問(wèn)題或多個(gè)問(wèn)題的合并；不可再細(xì)分所有子問(wèn)題都必須細(xì)分到不能再被細(xì)分。當(dāng)一個(gè)問(wèn)題經(jīng)過(guò)框架分析后，所有不可再細(xì)分的子問(wèn)題構(gòu)成了一個(gè)“框架”。保護(hù)對(duì)象的主要作用為：有助于信息資產(chǎn)識(shí)別的全面性。在列舉信息資產(chǎn)時(shí)，保護(hù)對(duì)象框架有助于識(shí)別者系統(tǒng)的進(jìn)行思考；從資產(chǎn)安全估價(jià)到區(qū)域的安全性賦值，有助于降低風(fēng)險(xiǎn)分析的難度，同時(shí)確保風(fēng)險(xiǎn)分析的有效性。保護(hù)對(duì)象框架內(nèi)容保護(hù)對(duì)象框架主要包括計(jì)算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐性基礎(chǔ)設(shè)施四部分；計(jì)算區(qū)域還可作為下一級(jí)保護(hù)對(duì)象，向下細(xì)分為下一級(jí)計(jì)算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐性基礎(chǔ)設(shè)施。1）計(jì)算區(qū)域計(jì)算區(qū)域是指由相同功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來(lái)源的一組信息系統(tǒng)組成。同一計(jì)算區(qū)域內(nèi)的信息資產(chǎn)在安全性上具有較強(qiáng)的同質(zhì)性。計(jì)算區(qū)域還可以按照安全性能進(jìn)一步細(xì)分，直至到安全性完全同質(zhì)。2）網(wǎng)絡(luò)及基礎(chǔ)設(shè)施網(wǎng)絡(luò)及基礎(chǔ)設(shè)施是指相同功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來(lái)源的一組網(wǎng)絡(luò)系統(tǒng)組成。通常包括路由器，交換機(jī)和防火墻等提供網(wǎng)路服務(wù)的局域網(wǎng)和廣域網(wǎng)。3）邊界邊界是指兩個(gè)區(qū)域或兩組區(qū)域之間的隔離功能集。邊界是一組功能集合，包括訪問(wèn)控制，身份認(rèn)證等。4）支撐性基礎(chǔ)設(shè)施支撐性基礎(chǔ)設(shè)施是指在區(qū)域內(nèi)提供安全保障功能的功能集。支撐性基礎(chǔ)設(shè)施是一組功能集合，包括入侵檢測(cè)、審計(jì)及計(jì)算機(jī)病毒防護(hù)等。保護(hù)對(duì)象和信息資產(chǎn)保護(hù)對(duì)象框架就是信息系統(tǒng)的真實(shí)模型，計(jì)算區(qū)域、網(wǎng)絡(luò)與基礎(chǔ)設(shè)施作為保護(hù)對(duì)象框架的兩類基本元素，分別對(duì)應(yīng)了不同信息資產(chǎn)的集合。計(jì)算區(qū)域：對(duì)應(yīng)信息資產(chǎn)，通常包括：工作站、存儲(chǔ)設(shè)備，服務(wù)器，安全設(shè)備（不具有訪問(wèn)控制及邊界隔離功能）；當(dāng)計(jì)算區(qū)域作為一級(jí)保護(hù)對(duì)象框架時(shí)，應(yīng)按照保護(hù)對(duì)象框架的思路向下繼續(xù)分解。網(wǎng)絡(luò)與基礎(chǔ)設(shè)施：對(duì)應(yīng)信息資產(chǎn)，通常包括：網(wǎng)絡(luò)設(shè)備，安全設(shè)備（具有訪問(wèn)控制及邊界隔離功能）。邊界：對(duì)應(yīng)信息資產(chǎn)，通常包括:網(wǎng)絡(luò)設(shè)備(具有訪問(wèn)控制及邊界隔離的功能模塊)，安全設(shè)備（具有訪問(wèn)控制及邊界隔離功能）。支撐性基礎(chǔ)設(shè)施：對(duì)應(yīng)信息資產(chǎn)，通常包括：安全設(shè)備（不具有訪問(wèn)控制及邊界隔離功能）如上信息資產(chǎn)和保護(hù)對(duì)象框架的關(guān)系，都為各類信息資產(chǎn)的一個(gè)或多個(gè)屬性。對(duì)于業(yè)務(wù)系統(tǒng)資產(chǎn)來(lái)說(shuō)，在確立保護(hù)對(duì)象框架時(shí)，可以將其作為一個(gè)獨(dú)立的保護(hù)對(duì)象來(lái)看待。對(duì)于組織和人員資產(chǎn)，通過(guò)業(yè)務(wù)系統(tǒng)的屬性和相應(yīng)的保護(hù)對(duì)象框架相關(guān)聯(lián)。資產(chǎn)識(shí)別過(guò)程繪制拓?fù)鋱D資產(chǎn)識(shí)別的首要步驟是繪制拓?fù)鋱D。在拓?fù)鋱D中盡可能真實(shí)地描繪拓?fù)鋱D。一般來(lái)說(shuō)，拓?fù)鋱D越詳細(xì)，資產(chǎn)識(shí)別的精度也就越高。如果系統(tǒng)非常復(fù)雜，一張拓?fù)鋱D很難描述清楚，則應(yīng)采用多張拓?fù)鋱D。在安全咨詢項(xiàng)目中，顧問(wèn)應(yīng)要求用戶首先提供用戶事先拓?fù)鋱D。并以此為基礎(chǔ)改成標(biāo)準(zhǔn)化的拓?fù)鋱D。確定業(yè)務(wù)系統(tǒng)繪制拓?fù)鋱D以后，通過(guò)訪談等方式，確定業(yè)務(wù)系統(tǒng)，且識(shí)別業(yè)務(wù)系統(tǒng)的功能類型。確定第一層保護(hù)對(duì)象框架根據(jù)業(yè)務(wù)系統(tǒng)的各服務(wù)功能，對(duì)劃分出第一層保護(hù)對(duì)象框架，劃分的原則：根據(jù)業(yè)務(wù)的類型：比如是生產(chǎn)業(yè)務(wù)，管理支撐業(yè)務(wù)，還是辦公業(yè)務(wù)等。根據(jù)業(yè)務(wù)的重要性：比如核心區(qū)域，非核心區(qū)域等。劃分出存在哪些外部區(qū)域確定第二層保護(hù)對(duì)象框架第二層保護(hù)對(duì)象框架在第一層的區(qū)域內(nèi)劃分，劃分原則：通常依據(jù)業(yè)務(wù)系統(tǒng)及其提供的功能特性順序識(shí)別資產(chǎn)識(shí)別出系統(tǒng)級(jí)保護(hù)對(duì)象框架后，才真正開(kāi)始進(jìn)行資產(chǎn)識(shí)別。在這一階段，根據(jù)信息資產(chǎn)的種類來(lái)進(jìn)行識(shí)別。并將其歸屬入相應(yīng)的保護(hù)對(duì)象框架，或在過(guò)程中創(chuàng)建下一級(jí)保護(hù)對(duì)象框架。信息資產(chǎn)賦值信息資產(chǎn)識(shí)別完成后，形成了一個(gè)信息資產(chǎn)的清單，但對(duì)于大型組織來(lái)說(shuō)，信息資產(chǎn)數(shù)目十分龐大，所以需要確認(rèn)資產(chǎn)的價(jià)值和重要性，重點(diǎn)保護(hù)關(guān)鍵的、重要的資產(chǎn)，并便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點(diǎn)、威脅和風(fēng)險(xiǎn)屬性，并進(jìn)行量化，因此需要對(duì)資產(chǎn)進(jìn)行估價(jià)。安全風(fēng)險(xiǎn)評(píng)估中所指的信息資產(chǎn)價(jià)值有別于資產(chǎn)的帳面價(jià)值和重置價(jià)值，而是指資產(chǎn)在安全方面的相對(duì)價(jià)值。本文中所指的信息資產(chǎn)價(jià)值全部都表示相對(duì)價(jià)值。在本文中，信息資產(chǎn)的安全價(jià)值主要是指其機(jī)密性、完整性和可用性。資產(chǎn)的安全價(jià)值具有很強(qiáng)的時(shí)間特性，所以應(yīng)該根據(jù)時(shí)間變化的頻度制定資產(chǎn)相關(guān)的評(píng)估和安全策略的頻度。例如，某公司重要的市場(chǎng)活動(dòng)策劃方案（數(shù)據(jù)資產(chǎn)），在活動(dòng)開(kāi)始之前，為達(dá)成市場(chǎng)目標(biāo)，需要對(duì)該數(shù)據(jù)資產(chǎn)進(jìn)行機(jī)密性、完整性和可用性方面的保護(hù)。但是在該活動(dòng)之后，策劃已經(jīng)基本上都傳達(dá)給了大眾，所以資產(chǎn)價(jià)值已經(jīng)大部分消失，相關(guān)的安全屬性也失去保護(hù)意義。信息資產(chǎn)估價(jià)方法信息資產(chǎn)估價(jià)的方法有定性、半定量、定量三種，鑒于定量估價(jià)的巨大工作量和技術(shù)難度，所以采用定性估價(jià)的方法。信息資產(chǎn)分別具有不同的安全屬性，機(jī)密性、完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性。安全屬性的不同通常也意味著安全控制、保護(hù)功能需求的不同。通過(guò)考察三種不同安全屬性，可以得出一個(gè)能夠基本反映資產(chǎn)價(jià)值的定性的數(shù)值。在信息資產(chǎn)估價(jià)時(shí)，主要對(duì)資產(chǎn)的這三個(gè)安全屬性分別賦予價(jià)值，以此反映出信息資產(chǎn)的價(jià)值。機(jī)密性、完整性和可用性的定義如下：保密性：確保只有經(jīng)過(guò)授權(quán)的人才能訪問(wèn)信息；完整性：保護(hù)信息和信息的處理方法準(zhǔn)確而完整；可用性：確保經(jīng)過(guò)授權(quán)的用戶在需要時(shí)可以訪問(wèn)信息并使用相關(guān)信息資產(chǎn)。對(duì)安全屬性賦值時(shí)主要考慮的是對(duì)整個(gè)評(píng)估體影響和損害，然后按照下面的賦值標(biāo)準(zhǔn)來(lái)衡量。這里整個(gè)評(píng)估體是指本次評(píng)估的主體，包含本次評(píng)估范圍內(nèi)的所有信息資產(chǎn)。下面描述信息資產(chǎn)賦值時(shí)采用的標(biāo)準(zhǔn)。要求顧問(wèn)在評(píng)估工作中，嚴(yán)格依照賦值標(biāo)準(zhǔn)進(jìn)行賦值，并且所有顧問(wèn)對(duì)賦值標(biāo)準(zhǔn)的理解應(yīng)該達(dá)成一致，以避免賦值的隨意性和不一致性，從而避免降低評(píng)估工作的質(zhì)量。半定量化的資產(chǎn)賦值在分析資產(chǎn)的安全性價(jià)值時(shí)，分析其真實(shí)數(shù)值非常困難，因此在本項(xiàng)目中我們采用半定量化的方式，即資產(chǎn)價(jià)值等級(jí)劃分。在本項(xiàng)目中，我們對(duì)于所有資產(chǎn)的機(jī)密性、完整性和可用性價(jià)值，均劃分為5級(jí)。其中5代表資產(chǎn)安全性價(jià)值最高，1代表資產(chǎn)性價(jià)值最低。采用這種方法，使得資產(chǎn)賦值簡(jiǎn)便易行，同時(shí)也體現(xiàn)了不同資產(chǎn)之間安全價(jià)值的差距。其缺點(diǎn)是由于缺乏統(tǒng)一準(zhǔn)則，對(duì)于每項(xiàng)資產(chǎn)，其機(jī)密性、完整性和可用性三者之間價(jià)值是不可比的。也就是說(shuō)，如果一項(xiàng)資產(chǎn)的機(jī)密性和可用性賦值都是4，并不意味該資產(chǎn)的機(jī)密性和可用性價(jià)值相同。資產(chǎn)賦值方法采用5級(jí)標(biāo)準(zhǔn)，較好地反映了資產(chǎn)價(jià)值的差異，但對(duì)于用戶和顧問(wèn)來(lái)說(shuō)，在為某一項(xiàng)資產(chǎn)的機(jī)密性、完整性或可用性價(jià)值賦值時(shí)，仍然很難在相鄰的兩個(gè)數(shù)值之間作出選擇。為此，本項(xiàng)目中提出了一套方法，通過(guò)將機(jī)密性、完整性和可用性的每個(gè)值分解為兩個(gè)相乘的指標(biāo)，而每個(gè)指標(biāo)均分為三級(jí)。從而得出五級(jí)安全價(jià)值。V={Vc,Vi,Va} 資產(chǎn)的安全價(jià)值由機(jī)密性價(jià)值、完整性價(jià)值和可用性價(jià)值三者組成。Vc=Xc*YcVi=Xi*YiVa=Xa*Ya 將三個(gè)安全性價(jià)值分別分解為兩個(gè)相乘的指標(biāo)。VX=3X=2X=1Y=3543Y=2432Y=1321 分別為兩個(gè)指標(biāo)（三級(jí)）賦值，然后查上表得出價(jià)值（五級(jí)）。機(jī)密性賦值Vc（資產(chǎn)的機(jī)密性價(jià)值）是指該資產(chǎn)被暴露時(shí)對(duì)組織造成的損害，因此資產(chǎn)的機(jī)密性價(jià)值可分解為以下兩個(gè)指標(biāo)：Xc=資產(chǎn)被暴露時(shí)與所造成最嚴(yán)重后果之間的關(guān)系；Yc＝后果對(duì)組織的最嚴(yán)重?fù)p害程度；Vc=Xc*YcXc（資產(chǎn)被暴露時(shí)與造成后果之間的關(guān)系）可分為下述三級(jí)：直接產(chǎn)生后果：即當(dāng)資產(chǎn)被暴露時(shí)，后果既已發(fā)生。例如，組織的商業(yè)秘密，要求密級(jí)的涉密信息，這些信息一旦被暴露，后果隨之發(fā)生，無(wú)法挽回。容易產(chǎn)生后果：當(dāng)資產(chǎn)被暴露時(shí)，后果非常容易發(fā)生。例如當(dāng)操作系統(tǒng)的超級(jí)用戶口令失密時(shí)，如果獲知者無(wú)惡意，后果可能不會(huì)發(fā)生，但是如果獲知者具有惡意，那么后果非常容易發(fā)生?？赡墚a(chǎn)生后果：當(dāng)資產(chǎn)被暴露時(shí)，后果有可能會(huì)發(fā)生，但離后果發(fā)生仍存在一定距離。例如某客戶端軟件被盜用，在沒(méi)有得到服務(wù)器驗(yàn)證口令之前，后果仍未造成。Yc（后果對(duì)組織的損害程度）包括下述三種情況：嚴(yán)重?fù)p害：例如引起法律糾份、造成聲譽(yù)下降或帶來(lái)嚴(yán)重的經(jīng)濟(jì)損失；中等損害：例如局部范圍內(nèi)的聲譽(yù)下降或明顯的經(jīng)濟(jì)損失；輕度損害：例如輕微的經(jīng)濟(jì)損失。完整性賦值Vi（資產(chǎn)的完整性價(jià)值）是指該資產(chǎn)不處于準(zhǔn)確，完整或可依賴狀態(tài)時(shí)對(duì)組織造成損害，因此資產(chǎn)的完整性價(jià)值可分解為以下兩個(gè)指標(biāo)：Xi=資產(chǎn)不處于準(zhǔn)確，完整或可依賴狀態(tài)時(shí)與所造成最嚴(yán)重后果之間的關(guān)系；Yi＝后果對(duì)組織的最嚴(yán)重?fù)p害程度；Vi=Xi*YiXi（資產(chǎn)不處于準(zhǔn)確，完整或可依賴狀態(tài)時(shí)與造成后果之間的關(guān)系）可分為下述三級(jí)：直接產(chǎn)生后果：即當(dāng)資產(chǎn)不準(zhǔn)確或被篡改時(shí)，后果既已發(fā)生。例如，數(shù)據(jù)庫(kù)中的交易記錄。容易產(chǎn)生后果：當(dāng)資產(chǎn)不準(zhǔn)確或被篡改時(shí)，后果非常容易發(fā)生。例如當(dāng)應(yīng)用軟件的流程被篡改?？赡墚a(chǎn)生后果：當(dāng)資產(chǎn)被暴露時(shí)，后果有可能會(huì)發(fā)生，例如操作系統(tǒng)被種入木馬等。Yc（后果對(duì)組織的損害程度）包括下述三種情況：嚴(yán)重?fù)p害：例如引起法律糾份、造成聲譽(yù)下降或帶來(lái)嚴(yán)重的經(jīng)濟(jì)損失；中等損害：例如局部范圍內(nèi)的聲譽(yù)下降或明顯的經(jīng)濟(jì)損失；輕度損害：例如輕微的經(jīng)濟(jì)損失。可用性賦值Va（資產(chǎn)的可用性價(jià)值）是指當(dāng)某一項(xiàng)資產(chǎn)完全不可用時(shí)對(duì)業(yè)務(wù)系統(tǒng)所造成的后果。它可被分解為以下兩個(gè)指標(biāo)：Xa＝資產(chǎn)不可用時(shí)對(duì)某個(gè)業(yè)務(wù)的影響Ya＝該業(yè)務(wù)系統(tǒng)的關(guān)鍵性程度Va=Xa*YaXa（資產(chǎn)不可用時(shí)對(duì)某個(gè)業(yè)務(wù)的影響）可分為下述三級(jí)：整體不可用：當(dāng)資產(chǎn)不可用時(shí)，業(yè)務(wù)系統(tǒng)即不可用。例如，服務(wù)器當(dāng)機(jī)，主干網(wǎng)絡(luò)癱瘓等。局部不可用：當(dāng)資產(chǎn)不可用時(shí)，業(yè)務(wù)系統(tǒng)局部不可用。例如局部網(wǎng)絡(luò)癱瘓，網(wǎng)絡(luò)阻塞等。個(gè)體不可用：當(dāng)資產(chǎn)不可用時(shí)，業(yè)務(wù)系統(tǒng)的某個(gè)或某幾個(gè)客戶不可用，例如終端故障，客戶機(jī)當(dāng)機(jī)等。Ya（該業(yè)務(wù)系統(tǒng)的關(guān)鍵性程度）包括下述三種情況：核心業(yè)務(wù)系統(tǒng)；關(guān)鍵業(yè)務(wù)系統(tǒng)；一般業(yè)務(wù)系統(tǒng)。采用5級(jí)標(biāo)準(zhǔn)，較好地反映了資產(chǎn)價(jià)值的差異，但對(duì)于用戶和顧問(wèn)來(lái)說(shuō)，在為某一項(xiàng)資產(chǎn)的機(jī)密性、完整性或可用性價(jià)值賦值時(shí)，仍然很難在相鄰的兩個(gè)數(shù)值之間作出選擇。為此，本項(xiàng)目中提出了一套方法，通過(guò)將機(jī)密性、完整性和可用性的每個(gè)值分解為兩個(gè)相乘的指標(biāo)，而每個(gè)指標(biāo)均分為三級(jí)。從而得出五級(jí)安全價(jià)值。V={Vc,Vi,Va} 資產(chǎn)的安全價(jià)值由機(jī)密性價(jià)值、完整性價(jià)值和可用性價(jià)值三者組成。Vc=Xc*YcVi=Xi*YiVa=Xa*Ya 將三個(gè)安全性價(jià)值分別分解為兩個(gè)相乘的指標(biāo)。VX=3X=2X=1Y=3543Y=2432Y=1321 分別為兩個(gè)指標(biāo)（三級(jí)）賦值，然后查上表得出價(jià)值（五級(jí)）。賦值工作操作方法指南首先對(duì)各資產(chǎn)賦值通過(guò)對(duì)各資產(chǎn)賦值，我們可以獲得在同一個(gè)區(qū)域內(nèi)核心資產(chǎn)。對(duì)保護(hù)對(duì)象框架賦值在資產(chǎn)識(shí)別和賦值過(guò)程中，最大的障礙在于資產(chǎn)數(shù)量過(guò)多、過(guò)雜，得不到全局、宏觀的分析。通過(guò)對(duì)保護(hù)對(duì)象框架進(jìn)行賦值，可以同一層保護(hù)對(duì)象框架內(nèi)的核心保護(hù)對(duì)象框架。保護(hù)對(duì)象框架賦值除了要考慮其所屬資產(chǎn)的價(jià)值，還要綜合考慮到其框架內(nèi)業(yè)務(wù)系統(tǒng)、數(shù)據(jù)及文檔、組織和人員、物理環(huán)境等因素。業(yè)務(wù)系統(tǒng)的資產(chǎn)賦值與其映射的保護(hù)對(duì)象一致。賦值標(biāo)準(zhǔn)的理解資產(chǎn)賦值時(shí)，賦值的原則是這個(gè)資產(chǎn)或資產(chǎn)組在某個(gè)安全屬性方面的價(jià)值或者在安全屬性方面受到損失和破壞時(shí)對(duì)整個(gè)評(píng)估體的影響和損害，安全屬性指機(jī)密性、完整性和可用性。理解賦值標(biāo)準(zhǔn)時(shí)，這個(gè)安全屬性價(jià)值非常關(guān)鍵，對(duì)整個(gè)評(píng)估體具有致命性的潛在影響或無(wú)法接受、特別不愿接受的影響和損害，符合這樣的描述時(shí)表明這個(gè)安全屬性值為4，其余類推。這里整個(gè)評(píng)估體是指本次評(píng)估的主體，可能是評(píng)估范圍內(nèi)的所有信息資產(chǎn)組成的系統(tǒng)，如ERP信息系統(tǒng)；也可能是一個(gè)部門，如IT部門；也可能時(shí)整個(gè)企業(yè)或組織。賦值時(shí)考慮的是對(duì)整個(gè)評(píng)估體的影響，注意不要擴(kuò)大到整個(gè)企業(yè)或集團(tuán)，也不要縮小到部門。顧問(wèn)在工作中，開(kāi)始一般不要直接問(wèn)客戶應(yīng)該賦值為幾，應(yīng)該是問(wèn)客戶這個(gè)安全屬性完全損害或破壞時(shí)，對(duì)企業(yè)的影響如何，對(duì)關(guān)鍵業(yè)務(wù)的影響如何，企業(yè)的接受程度如何，然后根據(jù)影響程度按照賦值標(biāo)準(zhǔn)自己來(lái)判斷應(yīng)該賦值為幾。當(dāng)然，隨著賦值工作的進(jìn)行，當(dāng)客戶完全理解賦值標(biāo)準(zhǔn)后可以由客戶進(jìn)行判斷，顧問(wèn)如有疑問(wèn)進(jìn)行詳細(xì)詢問(wèn)和修正。獨(dú)立資產(chǎn)按照賦值標(biāo)準(zhǔn)來(lái)理解，對(duì)資產(chǎn)組需要考慮組中所有資產(chǎn)的安全屬性，然后綜合起來(lái)作為一個(gè)整體的概念來(lái)賦值。選擇訪談對(duì)象的原則賦值時(shí)，選擇訪談對(duì)象的原則是找具有企業(yè)整體概念，又清楚各個(gè)具體資產(chǎn)的情況的人?？梢哉乙粋€(gè)知道所有情況的人，也可以找?guī)讉€(gè)人。人員選擇時(shí)一般選擇中層干部，具有一定企業(yè)整體概念，又熟悉具體工作。如果選擇多人，一般資產(chǎn)可以找安全主管或網(wǎng)管主管，業(yè)務(wù)系統(tǒng)的資產(chǎn)找業(yè)務(wù)部門主管或維護(hù)主管。對(duì)于一個(gè)資產(chǎn)的價(jià)值，可能不同的人理解會(huì)不一樣，賦出來(lái)也不同，因?yàn)檫@個(gè)資產(chǎn)對(duì)不同的人具有不同的意義，但從效率來(lái)講，一個(gè)資產(chǎn)的賦值最好找一個(gè)人來(lái)訪談，不推薦找一組不同性質(zhì)和級(jí)別的人來(lái)訪談，再把結(jié)果綜合，所以選擇訪談對(duì)象要比較謹(jǐn)慎，盡可能按照上述的原則找到合適的人。賦值本來(lái)就是個(gè)定性分析，允許存在一個(gè)粒度的誤差，但如果顧問(wèn)覺(jué)得有明顯疑問(wèn)或較大誤差，也可以找其他人來(lái)核實(shí)。在只找一個(gè)人來(lái)訪談時(shí)，為了避免太大的誤差和明顯錯(cuò)誤，影響整個(gè)項(xiàng)目的質(zhì)量，一般最后賦值結(jié)束后，要把結(jié)果向?qū)Ψ降捻?xiàng)目經(jīng)理核實(shí)，需要對(duì)方確認(rèn)。此步工作不能省略。賦值訪談時(shí)應(yīng)向?qū)Ψ秸f(shuō)明，考慮影響的出發(fā)點(diǎn)應(yīng)是對(duì)整個(gè)評(píng)估體，使之站在對(duì)整個(gè)評(píng)估體的高度來(lái)。IT設(shè)備評(píng)估IT設(shè)備評(píng)估是所有系統(tǒng)都要進(jìn)行的，也是非重點(diǎn)系統(tǒng)安全評(píng)估的主要內(nèi)容，業(yè)務(wù)系統(tǒng)的正常運(yùn)行不僅僅需要高效的網(wǎng)絡(luò)傳輸和交換，還需要主機(jī)、服務(wù)器的良好運(yùn)轉(zhuǎn)，也需要足夠的安全保證。通過(guò)IT設(shè)備安全評(píng)估，發(fā)現(xiàn)系統(tǒng)的風(fēng)險(xiǎn)點(diǎn)和脆弱性，為設(shè)備安全加固提供指導(dǎo)和依據(jù)，從而提高系統(tǒng)安全狀況，保障業(yè)務(wù)系統(tǒng)的高性能、高可靠性、高可用性、高效率運(yùn)行。IT設(shè)備評(píng)估內(nèi)容包括：主機(jī)操作系統(tǒng)弱點(diǎn)評(píng)估、網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估、安全設(shè)備弱點(diǎn)評(píng)估。評(píng)估的過(guò)程IT設(shè)備評(píng)估的評(píng)估過(guò)程，根據(jù)內(nèi)容和方法分為兩種：現(xiàn)場(chǎng)操作的評(píng)估過(guò)程；后臺(tái)分析的評(píng)估過(guò)程。現(xiàn)場(chǎng)操作的評(píng)估過(guò)程現(xiàn)場(chǎng)操作的評(píng)估過(guò)程，主要針對(duì)：主機(jī)操作系統(tǒng)人工評(píng)估、工具掃描、網(wǎng)絡(luò)及安全設(shè)備需要的現(xiàn)場(chǎng)評(píng)估工作，下圖是“現(xiàn)場(chǎng)操作評(píng)估過(guò)程的流程圖”：安全顧問(wèn)根據(jù)信息資產(chǎn)調(diào)查的結(jié)果，提前一周確定評(píng)估申請(qǐng)表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評(píng)估申請(qǐng)表內(nèi)容包括：評(píng)估設(shè)備詳細(xì)范圍、評(píng)估內(nèi)容、相關(guān)的管理人員，以及風(fēng)險(xiǎn)規(guī)避措施建議等。部門安全管理員和涉及系統(tǒng)的管理員最終確定具體的評(píng)估時(shí)間，并做好評(píng)估準(zhǔn)備工作。評(píng)估時(shí)間通知項(xiàng)目負(fù)責(zé)人，如有必要正式發(fā)文。安全顧問(wèn)進(jìn)行現(xiàn)場(chǎng)實(shí)施評(píng)估，如有必要，在現(xiàn)場(chǎng)之間和相關(guān)人員溝通評(píng)估發(fā)現(xiàn)的問(wèn)題；現(xiàn)場(chǎng)全部評(píng)估工作完成后，確認(rèn)該現(xiàn)場(chǎng)評(píng)估工作結(jié)束（如有必要，系統(tǒng)管理員可及時(shí)檢查系統(tǒng)的可用性是否存在問(wèn)題）。現(xiàn)場(chǎng)評(píng)估后，安全顧問(wèn)進(jìn)行后臺(tái)數(shù)據(jù)分析，完成評(píng)估分析報(bào)告，提交給各部門安全管理員和該系統(tǒng)管理員，并進(jìn)行溝通和講解工作；最終，由該項(xiàng)目負(fù)責(zé)人確認(rèn)評(píng)估報(bào)告，評(píng)估結(jié)束。后臺(tái)分析的評(píng)估過(guò)程后臺(tái)分析的評(píng)估過(guò)程，主要針對(duì)：網(wǎng)絡(luò)及安全設(shè)備配置信息可以后臺(tái)進(jìn)行分析的評(píng)估工作，下圖是“后臺(tái)分析評(píng)估過(guò)程的流程圖”：安全顧問(wèn)根據(jù)信息資產(chǎn)調(diào)查的結(jié)果，提前一周確定評(píng)估申請(qǐng)表，并提交給相關(guān)部門安全管理員和該系統(tǒng)管理員，評(píng)估申請(qǐng)表內(nèi)容包括：評(píng)估設(shè)備詳細(xì)范圍、評(píng)估內(nèi)容、相關(guān)的管理人員等。部門安全管理員和涉及系統(tǒng)的管理員在一周內(nèi)提交申請(qǐng)?jiān)u估設(shè)備的配置信息給安全顧問(wèn)。安全顧問(wèn)進(jìn)行后臺(tái)配置分析，如有必要，和相關(guān)人員溝通評(píng)估發(fā)現(xiàn)的問(wèn)題；如有必要，進(jìn)行現(xiàn)場(chǎng)評(píng)估設(shè)備的檢查。安全顧問(wèn)完成評(píng)估分析報(bào)告，提交給各部門安全管理員和該系統(tǒng)管理員，并進(jìn)行溝通和講解工作；最終，由該項(xiàng)目負(fù)責(zé)人確認(rèn)評(píng)估報(bào)告，評(píng)估結(jié)束。評(píng)估的方法本次的安全評(píng)估主要是依靠天融信具有多年豐富經(jīng)驗(yàn)的安全專家來(lái)進(jìn)行的。我們依據(jù)天融信公司經(jīng)多年實(shí)踐檢驗(yàn)而積累下來(lái)的，在業(yè)內(nèi)領(lǐng)先的安全檢查方案，在得到中海信托有關(guān)工作人員的授權(quán)并在有關(guān)人員的監(jiān)督下實(shí)施。評(píng)估將根據(jù)被評(píng)估系統(tǒng)的不同情況，選擇以下幾種方式進(jìn)行：主機(jī)系統(tǒng)評(píng)估方法工具掃描的方法：使用中海信托提供的ISSInternetScanner安全漏洞掃描工具對(duì)主機(jī)進(jìn)行掃描，掃描評(píng)估主要是根據(jù)已有的安全漏洞知識(shí)庫(kù)，模擬黑客的攻擊方法，檢測(cè)網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)等各種信息資產(chǎn)所存在的安全隱患和漏洞。工具掃描主要依靠帶有安全漏洞知識(shí)庫(kù)的網(wǎng)絡(luò)安全掃描工具對(duì)信息資產(chǎn)進(jìn)行基于網(wǎng)絡(luò)層面安全掃描，其特點(diǎn)是能對(duì)被評(píng)估目標(biāo)進(jìn)行覆蓋面廣泛的安全漏洞查找，并且評(píng)估環(huán)境與被評(píng)估對(duì)象在線運(yùn)行的環(huán)境完全一致，能較真實(shí)地反映主機(jī)系統(tǒng)所存在的安全問(wèn)題。專家評(píng)估（安全基線分析）方法：依據(jù)天融信對(duì)主機(jī)平臺(tái)的標(biāo)準(zhǔn)化的安全審計(jì)列表（安全基線），檢查和分析主機(jī)系統(tǒng)平臺(tái)存在的安全問(wèn)題。根據(jù)天融信最新的安全檢查核對(duì)表內(nèi)容，逐項(xiàng)檢查系統(tǒng)的各項(xiàng)配置和運(yùn)行狀態(tài)。核對(duì)表內(nèi)容根據(jù)最新漏洞發(fā)現(xiàn)、客戶不同的系統(tǒng)和運(yùn)行環(huán)境、以及專家的經(jīng)驗(yàn)知識(shí)而制定，它主要包括有以下幾個(gè)方面：安全配置檢查：系統(tǒng)管理和維護(hù)的正常配置，合理配置，及優(yōu)化配置。例如系統(tǒng)目錄權(quán)限，帳號(hào)管理策略，文件系統(tǒng)配置，進(jìn)程通信管理等。安全機(jī)制檢查：安全機(jī)制的使用和正常配置，合理配置，及優(yōu)化配置。例如日志及審計(jì)、備份與恢復(fù)，簽名與校驗(yàn)，加密與通信，特殊授權(quán)及訪問(wèn)控制等。入侵追查及事后取證：檢查與發(fā)現(xiàn)系統(tǒng)入侵，攻擊或其它危害，盡可能追查及取證。例如日志被毀壞篡改或刪除，計(jì)費(fèi)數(shù)據(jù)被刪除，遭受DOS攻擊，系統(tǒng)被監(jiān)聽(tīng)，控制或安裝后門等。網(wǎng)絡(luò)及安全設(shè)備評(píng)估方法專家評(píng)估（安全基線分析）方法：依據(jù)天融信對(duì)網(wǎng)絡(luò)和安全設(shè)備的標(biāo)準(zhǔn)化安全審計(jì)列表（安全基線），檢查和分析網(wǎng)絡(luò)及安全設(shè)備存在的安全問(wèn)題。根據(jù)天融信最新的安全檢查核對(duì)表內(nèi)容，逐項(xiàng)檢查系統(tǒng)的各項(xiàng)配置和運(yùn)行狀態(tài)。核對(duì)表內(nèi)容根據(jù)最新漏洞發(fā)現(xiàn)、客戶不同的系統(tǒng)和運(yùn)行環(huán)境、以及專家的經(jīng)驗(yàn)知識(shí)而制定；可采用后臺(tái)配置檢查或現(xiàn)場(chǎng)登錄設(shè)備配置查看兩種方式。顧問(wèn)訪談?lì)檰?wèn)訪談在安全顧問(wèn)咨詢服務(wù)中處于不可替代的關(guān)鍵地位，目前尚沒(méi)有成型的工具、模型、算法等可以將專家的經(jīng)驗(yàn)完全體現(xiàn)出來(lái)，通過(guò)進(jìn)行面對(duì)面或電話訪談，顧問(wèn)會(huì)將自己的經(jīng)驗(yàn)體現(xiàn)于網(wǎng)絡(luò)安全脆弱性評(píng)估中。評(píng)估的內(nèi)容主機(jī)系統(tǒng)評(píng)估主要內(nèi)容主機(jī)系統(tǒng)的安全目標(biāo)是保障主機(jī)平臺(tái)系統(tǒng)高效、優(yōu)質(zhì)運(yùn)行，滿足業(yè)務(wù)系統(tǒng)的需求，防止主機(jī)和系統(tǒng)遭受外部和內(nèi)部的破壞和濫用，避免和降低由于主機(jī)和系統(tǒng)的問(wèn)題對(duì)業(yè)務(wù)系統(tǒng)的損害；協(xié)助應(yīng)用進(jìn)行訪問(wèn)控制和安全審計(jì)。主機(jī)系統(tǒng)安全評(píng)估主要包括如下內(nèi)容：系統(tǒng)安全管理：嚴(yán)格管理系統(tǒng)帳戶、有效控制系統(tǒng)服務(wù)，優(yōu)化系統(tǒng)的安全配置，啟用系統(tǒng)必要的安全控制措施,避免系統(tǒng)發(fā)生故障或遭受攻擊；系統(tǒng)資源控制：系統(tǒng)的補(bǔ)丁管理、文件和目錄管理等安全配置；系統(tǒng)冗余：根據(jù)業(yè)務(wù)需要對(duì)系統(tǒng)進(jìn)行冗余設(shè)計(jì)；系統(tǒng)訪問(wèn)控制和審計(jì)：對(duì)系統(tǒng)進(jìn)行有效訪問(wèn)控制和日志審計(jì)。主機(jī)系統(tǒng)安全評(píng)估將進(jìn)行如下幾個(gè)方面的檢查：系統(tǒng)補(bǔ)丁系統(tǒng)賬號(hào)文件系統(tǒng)網(wǎng)絡(luò)及服務(wù)系統(tǒng)配置文件NFS或其它文件系統(tǒng)共享審計(jì)及日志系統(tǒng)備份及恢復(fù)應(yīng)用系統(tǒng)其它網(wǎng)絡(luò)及安全設(shè)備評(píng)估主要內(nèi)容網(wǎng)絡(luò)及安全設(shè)備評(píng)估的目標(biāo)是發(fā)現(xiàn)網(wǎng)絡(luò)設(shè)備或安全設(shè)備存在的弱點(diǎn)，防止網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部的攻擊和濫用。主要檢查設(shè)備是否存在已知的漏洞，設(shè)備的安全配置是否正確。網(wǎng)絡(luò)及安全設(shè)備評(píng)估將主要涉及到以下幾個(gè)方面的內(nèi)容：關(guān)閉不必要的服務(wù)禁止CDP(CiscoDiscoveryProtocol)禁止TCP、UDPSmall服務(wù)禁止Finger服務(wù)禁止NTP服務(wù)禁止BOOTp服務(wù)（路由器適用）禁止IPSourceRouting禁止IPDirectedBroadcast（路由器和三層交換機(jī)適用）啟用servicepassword-encryption關(guān)閉WINS和DNS服務(wù)關(guān)閉ARP-Proxy服務(wù)登錄要求和帳號(hào)管理采用enablesecret設(shè)置密碼采用認(rèn)證設(shè)置exec-timeout（5分鐘及以內(nèi)）采用訪問(wèn)控制措施，限制可登錄的源地址關(guān)閉HTTP服務(wù)遠(yuǎn)程登錄采用加密傳輸（SSH）采用多用戶分權(quán)管理SNMP協(xié)議設(shè)置和日志審計(jì)設(shè)置SNMP讀寫密碼更改SNMP協(xié)議端口限制SNMP發(fā)起連接源地址開(kāi)啟日志審計(jì)功能其它安全要求禁止從網(wǎng)絡(luò)啟動(dòng)和自動(dòng)從網(wǎng)絡(luò)下載初始配置文件。禁止未使用或空閑的端口符合banner的設(shè)置要求符合設(shè)備提示符的設(shè)置要求啟用源地址路由檢查（路由器適用）VTP設(shè)置密碼（交換機(jī)適用）評(píng)估的風(fēng)險(xiǎn)和應(yīng)對(duì)工具掃描風(fēng)險(xiǎn)分析采用ISSInternetScanner作為掃描工具，ISSInternetScanner是業(yè)界上最優(yōu)秀的網(wǎng)絡(luò)掃描器，通過(guò)掃描引擎發(fā)送掃描探測(cè)數(shù)據(jù)包，獲取遠(yuǎn)程主機(jī)設(shè)備的安全漏洞。發(fā)送的數(shù)據(jù)包會(huì)占用網(wǎng)絡(luò)資源，通常百兆網(wǎng)絡(luò)占用3－5%的帶寬資源，目標(biāo)主機(jī)設(shè)備由于需要響應(yīng)探測(cè)數(shù)據(jù)包，會(huì)占用目標(biāo)主機(jī)設(shè)備的資源，例如CPU和內(nèi)存資源。特別是，InternetScanner可以發(fā)送DOS攻擊探測(cè)數(shù)據(jù)包，如果目標(biāo)主機(jī)設(shè)備存在該漏洞，掃描過(guò)程中可能會(huì)宕機(jī)。主機(jī)人工評(píng)估風(fēng)險(xiǎn)分析人工評(píng)估采用安全檢查列表，評(píng)估過(guò)程中，對(duì)目標(biāo)主機(jī)設(shè)備逐一按照安全檢查列表進(jìn)行檢查。人工評(píng)估只是查看目標(biāo)主機(jī)設(shè)備的配置信息，不會(huì)對(duì)目標(biāo)主機(jī)設(shè)備進(jìn)行修改操作，主要存在的安全風(fēng)險(xiǎn)是檢查操作帶來(lái)的安全風(fēng)險(xiǎn)，例如運(yùn)行命令、操作界面帶來(lái)的安全風(fēng)險(xiǎn)。主機(jī)系統(tǒng)弱點(diǎn)評(píng)估的工具掃描過(guò)程，盡量避免使用含有拒絕服務(wù)類型的掃描方式，而主要采用人工檢查的方法來(lái)發(fā)現(xiàn)系統(tǒng)可能存在的拒絕服務(wù)漏洞。在掃描過(guò)程中如果出現(xiàn)被評(píng)估系統(tǒng)沒(méi)有響應(yīng)的情況，應(yīng)當(dāng)立即停止掃描工作，與配合的工作人員一起分析情況，在確定原因后，并正確恢復(fù)系統(tǒng)，采取必要的預(yù)防措施（比如調(diào)整掃描策略等）后，才可以繼續(xù)進(jìn)行。網(wǎng)絡(luò)設(shè)備配置檢查和網(wǎng)絡(luò)拓?fù)浞治鲋粚?duì)被評(píng)估對(duì)象進(jìn)行運(yùn)行狀態(tài)和配置檢查，因此不會(huì)對(duì)現(xiàn)有信息系統(tǒng)上的其他設(shè)備和資源帶來(lái)任何影響。評(píng)估成員會(huì)與中海信托系統(tǒng)管理員保持良好溝通，隨時(shí)協(xié)商解決出現(xiàn)的各種難題。并且在評(píng)估完成時(shí)，由相關(guān)的管理人員對(duì)被評(píng)估主機(jī)系統(tǒng)的狀態(tài)進(jìn)行確認(rèn)，保證評(píng)估后系統(tǒng)運(yùn)行正常。網(wǎng)絡(luò)設(shè)備安全風(fēng)險(xiǎn)評(píng)估通過(guò)有針對(duì)性的安全評(píng)估，發(fā)現(xiàn)現(xiàn)存網(wǎng)絡(luò)類系統(tǒng)的安全風(fēng)險(xiǎn)點(diǎn)和脆弱性，防止網(wǎng)絡(luò)和通信系統(tǒng)遭受外部和內(nèi)部的攻擊和濫用，避免和降低由于網(wǎng)絡(luò)和通信系統(tǒng)的問(wèn)題對(duì)業(yè)務(wù)系統(tǒng)造成損害的風(fēng)險(xiǎn)；同時(shí)，也要從業(yè)務(wù)發(fā)展的角度分析網(wǎng)