網(wǎng)絡(luò)安全等保保護(hù)風(fēng)險(xiǎn)評(píng)估方案

XXXX

風(fēng)險(xiǎn)評(píng)估建議書(shū)TOC\o"1-5"\h\z\o"CurrentDocument"項(xiàng)目背景 4\o"CurrentDocument"風(fēng)險(xiǎn)評(píng)估概念 4\o"CurrentDocument"風(fēng)險(xiǎn)評(píng)估的必要性 4\o"CurrentDocument"全面了解信息安全現(xiàn)狀 4\o"CurrentDocument"提供安全項(xiàng)目建設(shè)依據(jù) 5\o"CurrentDocument"有效規(guī)避項(xiàng)目風(fēng)險(xiǎn) 6避免盲目投資 6防止項(xiàng)目失控 6\o"CurrentDocument"評(píng)估范圍和內(nèi)容 7范圍 7\o"CurrentDocument"涉及領(lǐng)域 7涉及資產(chǎn) 9\o"CurrentDocument"風(fēng)險(xiǎn)評(píng)估的方式 10\o"CurrentDocument"風(fēng)險(xiǎn)評(píng)估理論模型 10\o"CurrentDocument"風(fēng)險(xiǎn)管理流程模型 10\o"CurrentDocument"風(fēng)險(xiǎn)關(guān)系模型 13\o"CurrentDocument"風(fēng)險(xiǎn)計(jì)算模型 15輸入要素描述 15輸出要素描述 15\o"CurrentDocument"評(píng)估過(guò)程 15\o"CurrentDocument"階段一前期準(zhǔn)備 15\o"CurrentDocument"制定計(jì)劃 16\o"CurrentDocument"培訓(xùn)溝通 16建立評(píng)估環(huán)境 17階段二現(xiàn)場(chǎng)評(píng)估和調(diào)查 18資產(chǎn)調(diào)查 18問(wèn)卷調(diào)查數(shù)據(jù)收集 19工具協(xié)助和專家控制臺(tái)分析 19網(wǎng)絡(luò)掃描 21網(wǎng)絡(luò)IDS嗅探 23\o"CurrentDocument"滲透測(cè)試（可選） 24\o"CurrentDocument"階段三風(fēng)險(xiǎn)評(píng)估 24\o"CurrentDocument"風(fēng)險(xiǎn)估計(jì) 25\o"CurrentDocument"風(fēng)險(xiǎn)評(píng)價(jià) 25\o"CurrentDocument"評(píng)估報(bào)告 26\o"CurrentDocument"階段四項(xiàng)目驗(yàn)收 26\o"CurrentDocument"階段五售后支持 27\o"CurrentDocument"結(jié)果文檔 27過(guò)程文檔 27評(píng)估報(bào)告 27\o"CurrentDocument"項(xiàng)目風(fēng)險(xiǎn)控制 28\o"CurrentDocument"原則要求 28\o"CurrentDocument"風(fēng)險(xiǎn)控制 29\o"CurrentDocument"法律保障 29人力資源控制 29\o"CurrentDocument"密級(jí)控制 29\o"CurrentDocument"項(xiàng)目工作界面 30\o"CurrentDocument"項(xiàng)目組織結(jié)構(gòu) 30\o"CurrentDocument"項(xiàng)目協(xié)調(diào)會(huì) 32\o"CurrentDocument"實(shí)施計(jì)劃 33\o"CurrentDocument"任務(wù)分配 33\o"CurrentDocument"項(xiàng)目進(jìn)度 36項(xiàng)目背景隨著網(wǎng)絡(luò)技術(shù)應(yīng)用的推廣普及，應(yīng)用層次的不斷深入，網(wǎng)絡(luò)應(yīng)用領(lǐng)域也正從傳統(tǒng)的、小型業(yè)務(wù)系統(tǒng)向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)擴(kuò)展。網(wǎng)絡(luò)所具有的開(kāi)放性、國(guó)際性和自由性在增加應(yīng)用自由度的同時(shí)，也為網(wǎng)絡(luò)安全增加了更多的風(fēng)險(xiǎn)，網(wǎng)絡(luò)安全正日益成為影響網(wǎng)絡(luò)效能的重要因素。在全球范圍內(nèi)看，中國(guó)的證券電子化工作屬于世界領(lǐng)先水平。XXXX從創(chuàng)立之初就把交易無(wú)紙化作為發(fā)展目標(biāo)并很快得到實(shí)現(xiàn)。隨著信息技術(shù)的發(fā)展，涉及信息網(wǎng)絡(luò)的安全問(wèn)題日益突出，XXXX對(duì)網(wǎng)絡(luò)安全的需求也越來(lái)越迫切。XXXX近幾年對(duì)網(wǎng)絡(luò)安全的防護(hù)工作展開(kāi)過(guò)多次調(diào)研，并且得出了“XXXX需要全面加強(qiáng)網(wǎng)絡(luò)安全框架建設(shè)”的初步結(jié)論。參考國(guó)外的成熟標(biāo)準(zhǔn)和成功經(jīng)驗(yàn)，我們逐漸達(dá)成了一個(gè)共識(shí)，即：XXXX要把信息安全建設(shè)好，必須首先進(jìn)行一次針對(duì)網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)評(píng)估，并以該次風(fēng)險(xiǎn)評(píng)估的結(jié)果指導(dǎo)后續(xù)的信息安全建設(shè)工作。風(fēng)險(xiǎn)評(píng)估概念風(fēng)險(xiǎn)評(píng)估，是對(duì)企業(yè)信息資產(chǎn)面臨的威脅進(jìn)行評(píng)估、對(duì)采取的安全措施的有效性進(jìn)行評(píng)估、以及對(duì)系統(tǒng)漏洞被利用的可能性進(jìn)行評(píng)估后的綜合結(jié)果。作為信息安全建設(shè)中的重要一環(huán)，它是XXXX信息安全策略和解決方案的基礎(chǔ)，評(píng)估結(jié)果也是下一步XXXX系統(tǒng)安全建設(shè)的指導(dǎo)。風(fēng)險(xiǎn)評(píng)估的必要性全面了解信息安全現(xiàn)狀XXXX目前已經(jīng)擁有一個(gè)龐大的網(wǎng)絡(luò)系統(tǒng)，每天運(yùn)行在該系統(tǒng)上的信息資產(chǎn)的價(jià)值同樣是巨大的和難以估算的，但是我們對(duì)于目前整個(gè)網(wǎng)絡(luò)系統(tǒng)存在哪些威脅還缺乏一個(gè)全面的認(rèn)識(shí)和了解，對(duì)于我們的信息安全管理方面存在哪些安全漏洞和隱患也缺乏一個(gè)清晰的認(rèn)識(shí)。而風(fēng)險(xiǎn)評(píng)估恰恰是幫助我們了解這些信息的一個(gè)必要而有效的手段。通過(guò)風(fēng)險(xiǎn)評(píng)估項(xiàng)目的實(shí)施，我們可以清楚的了解目前網(wǎng)絡(luò)以及信息安全管理的現(xiàn)狀。提供安全項(xiàng)目建設(shè)依據(jù)目前幾乎所有的企業(yè)都意識(shí)到了安全的重要性，也都在積極推動(dòng)信息安全建設(shè)。一種常見(jiàn)的安全建設(shè)方式如下：出現(xiàn)問(wèn)題-->進(jìn)行安全項(xiàng)目投資-->尋找產(chǎn)品-->產(chǎn)品實(shí)施但這種頭痛醫(yī)頭、腳痛醫(yī)腳的方式很快便暴露其弊端：隨著業(yè)務(wù)系統(tǒng)的發(fā)展和多樣性安全需求的提出，老的問(wèn)題安全解決了，但新的安全隱患又源源不斷地被發(fā)現(xiàn)，系統(tǒng)的整體安全狀況也沒(méi)有得到明顯改善。之所以這種情況，問(wèn)題在于在進(jìn)行信息安全建設(shè)中沒(méi)有對(duì)企業(yè)的安全現(xiàn)狀進(jìn)行必要的風(fēng)險(xiǎn)評(píng)估，只是簡(jiǎn)單的認(rèn)為網(wǎng)絡(luò)中存在的安全問(wèn)題通過(guò)簡(jiǎn)單的安全產(chǎn)品配置即可解決，所以最后造成信息安全項(xiàng)目投資失敗也就在所難免了。目前雖然XXXX從上至下、從最高領(lǐng)導(dǎo)到基層員工都知道應(yīng)該抓安全，但對(duì)安全防護(hù)的范圍和成效并無(wú)把握。例如：最大的安全問(wèn)題是什么？應(yīng)該保護(hù)到哪一級(jí)？投入多少經(jīng)費(fèi)才合適？采用的安全措施是否是有用的？安全項(xiàng)目實(shí)施以后，安全問(wèn)題是否就解決了？是否會(huì)在項(xiàng)目建設(shè)完以后仍然遺留重大隱患？這些問(wèn)題，實(shí)際上已經(jīng)嚴(yán)重影響到了信息安全建設(shè)的決策。只有經(jīng)過(guò)對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行整體的風(fēng)險(xiǎn)評(píng)估，然后以《風(fēng)險(xiǎn)評(píng)估報(bào)告》作為信息安全建設(shè)的依據(jù)和基準(zhǔn)點(diǎn)，才能夠?yàn)樾畔踩ㄔO(shè)決策提供強(qiáng)有力的決策支持，并最大程度的保證信息安全建設(shè)的成功。3.3.有效規(guī)避項(xiàng)目風(fēng)險(xiǎn)避免盲目投資為信息安全建設(shè)投入相應(yīng)的資金，同樣面臨著兩種風(fēng)險(xiǎn)：投資過(guò)度與投資不足。投資過(guò)度是指人為夸大了風(fēng)險(xiǎn)的程度，使得用于安全建設(shè)的資金遠(yuǎn)遠(yuǎn)超過(guò)所保護(hù)資產(chǎn)的原有價(jià)值，例如用一萬(wàn)元的代價(jià)去保護(hù)價(jià)值一千元的信息。投資不足則是低估了安全威脅可能造成的損失，使得安全建設(shè)投入不足，以致于系統(tǒng)中的重大威脅沒(méi)有得到消除，在系統(tǒng)遭到破壞的時(shí)候才發(fā)現(xiàn)原有的防護(hù)措施不夠。實(shí)際上，評(píng)估安全建設(shè)所需資金與評(píng)估安全威脅帶來(lái)的損失同樣重要。在現(xiàn)代網(wǎng)絡(luò)環(huán)境中，安全措施是必不可少的，但只有經(jīng)過(guò)風(fēng)險(xiǎn)評(píng)估確定需要何種層次的保護(hù)水平，然后使用這些分析后的數(shù)據(jù)信息制定出安全防護(hù)的策略，才能有效地作出信息安全建設(shè)預(yù)算。國(guó)內(nèi)某券商就曾有過(guò)投資失敗的教訓(xùn)，他們?cè)跊](méi)有進(jìn)行充分的風(fēng)險(xiǎn)評(píng)估的情況下，就盲目地購(gòu)買了一些防病毒、防火墻等安全產(chǎn)品，認(rèn)為這樣系統(tǒng)就安全了。結(jié)果，今年二月，網(wǎng)絡(luò)中大面積爆發(fā)蠕蟲(chóng)病毒，造成網(wǎng)絡(luò)擁塞，業(yè)務(wù)中斷。當(dāng)客戶已經(jīng)進(jìn)行了投訴，系統(tǒng)管理員查找問(wèn)題原因的時(shí)候，才發(fā)現(xiàn)系統(tǒng)中根本就沒(méi)有建立相應(yīng)的監(jiān)控機(jī)制，無(wú)法知道問(wèn)題出自于何方，導(dǎo)致了故障遲遲不得解決。事后反思，該安全投資因?yàn)榈凸懒讼到y(tǒng)風(fēng)險(xiǎn)而導(dǎo)致失敗。所以，在進(jìn)行信息安全建設(shè)投資的第一步進(jìn)行風(fēng)險(xiǎn)評(píng)估是非常必要的。一個(gè)風(fēng)險(xiǎn)評(píng)估項(xiàng)目的成功實(shí)施是做好信息安全建設(shè)的良好開(kāi)端。防止項(xiàng)目失控一個(gè)信息安全建設(shè)項(xiàng)目，如果沒(méi)有經(jīng)過(guò)充分的信息采集、調(diào)研和評(píng)估而匆忙上馬，很有可能陷入以下三種尷尬的境地，導(dǎo)致項(xiàng)目失控：信息安全建設(shè)目標(biāo)不當(dāng)。目標(biāo)錯(cuò)誤的后果是解決了部份安全問(wèn)題，但必須要解決的風(fēng)險(xiǎn)被遺漏，安全項(xiàng)目仍然不能保證系統(tǒng)的安全運(yùn)行。信息安全建設(shè)的目標(biāo)雖然正確，但不具備可操作性，難以實(shí)現(xiàn)其目標(biāo)。最常見(jiàn)的情況就是，為了達(dá)到某一個(gè)防護(hù)目標(biāo)，必須要對(duì)網(wǎng)絡(luò)系統(tǒng)、業(yè)務(wù)系統(tǒng)做重大的變動(dòng)，以至于嚴(yán)重影響原有業(yè)務(wù)的連續(xù)運(yùn)行。象這樣不可實(shí)現(xiàn)的安全防護(hù)，實(shí)際上也反應(yīng)出目標(biāo)的制訂存在主觀性，缺乏建立在評(píng)估過(guò)程之上的安全管理和控制。信息安全建設(shè)未達(dá)到預(yù)定目標(biāo)。如果沒(méi)有風(fēng)險(xiǎn)評(píng)估的過(guò)程，即使目標(biāo)正確，策略配置的不當(dāng)也會(huì)影響安全控制措施的性能發(fā)揮，使到預(yù)定目標(biāo)難以達(dá)到。風(fēng)險(xiǎn)評(píng)估的過(guò)程除了揭示風(fēng)險(xiǎn)之外，另有一個(gè)重要的功能就是指導(dǎo)風(fēng)險(xiǎn)管理的進(jìn)行，即對(duì)每一項(xiàng)風(fēng)險(xiǎn)提供針對(duì)性的策略，采取適合的控制措施。在安全項(xiàng)目建設(shè)之前進(jìn)行風(fēng)險(xiǎn)評(píng)估，能夠有效預(yù)防以上三種問(wèn)題的發(fā)生，避免信息安全項(xiàng)目失控。評(píng)估范圍和內(nèi)容4.1.范圍評(píng)估范圍的確定是評(píng)估過(guò)程中的關(guān)鍵因素，不同的評(píng)估范圍決定了不同的評(píng)估對(duì)象、評(píng)估方式、評(píng)估內(nèi)容。評(píng)估范圍可以依據(jù)業(yè)務(wù)關(guān)系來(lái)確定（例如交易搓合系統(tǒng)），或者依據(jù)地域關(guān)系（例如某一幢大樓），或者某個(gè)子網(wǎng)（例如財(cái)務(wù)子網(wǎng)）。根據(jù)證券交易所的特性與需求，我們建議先以辦公網(wǎng)為本次評(píng)估的范圍，根據(jù)評(píng)估的效果，以后可以逐步擴(kuò)展到業(yè)務(wù)領(lǐng)域。（重要提示：在本次項(xiàng)目啟動(dòng)之前，雙方需要明確界定本次評(píng)估的范圍，以利于確定詳細(xì)的實(shí)施內(nèi)容和計(jì)劃。）4.2.涉及領(lǐng)域本次評(píng)估涉及信息安全管理的十大領(lǐng)域:

安全政策組織機(jī)構(gòu)安今—資產(chǎn)分類和控制管理系統(tǒng)開(kāi)發(fā)維護(hù)訪問(wèn)系統(tǒng)開(kāi)發(fā)維護(hù)訪問(wèn)控制通訊運(yùn)行安全物理環(huán)境安全A員安全業(yè)務(wù)連續(xù)性

遵從性4?3.涉及資產(chǎn)本次評(píng)估涉及的資產(chǎn)有七種23個(gè)組：?信息資產(chǎn)業(yè)務(wù)信息、配置信息、財(cái)務(wù)信息、個(gè)人信息?軟件資產(chǎn)定制軟件、通用軟件、自行開(kāi)發(fā)軟件?物理資產(chǎn)加密設(shè)備、移動(dòng)設(shè)備、網(wǎng)絡(luò)設(shè)備、辦公設(shè)備、服務(wù)器/工作站、硬件管理設(shè)備?人員資產(chǎn)內(nèi)部員工、外聘人員?媒體資產(chǎn)紙質(zhì)文檔、計(jì)算機(jī)媒體?服務(wù)資產(chǎn)第三方應(yīng)用?操作系統(tǒng)微軟平臺(tái)操作系統(tǒng)、非微軟平臺(tái)操作系統(tǒng)風(fēng)險(xiǎn)評(píng)估的方式由于安全項(xiàng)目的專業(yè)性，更重要的是為了保證風(fēng)險(xiǎn)評(píng)估的客觀公正性，本次評(píng)估項(xiàng)目必須由第三方的具備相應(yīng)資質(zhì)和經(jīng)驗(yàn)的安全咨詢顧問(wèn)進(jìn)行。風(fēng)險(xiǎn)評(píng)估的一般方式均是由專業(yè)的安全服務(wù)隊(duì)伍在XXXX的相關(guān)人員的指導(dǎo)與配合下進(jìn)行。風(fēng)險(xiǎn)評(píng)估理論模型本方案中提供的安全風(fēng)險(xiǎn)模型主要依據(jù)ASNZS4360:1999標(biāo)準(zhǔn)、國(guó)際風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)BS7799/ISO17799，ISO/IEC13335，建立安全風(fēng)險(xiǎn)管理流程模型、安全風(fēng)險(xiǎn)關(guān)系模型和安全風(fēng)險(xiǎn)計(jì)算模型共同組成安全風(fēng)險(xiǎn)模型。分別從風(fēng)險(xiǎn)管理的流程，所依賴的國(guó)際標(biāo)準(zhǔn)，描述風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)管理的標(biāo)準(zhǔn)規(guī)范流程；從安全風(fēng)險(xiǎn)的所有要素：資產(chǎn)、影響、威脅、漏洞、安全控制、安全需求、安全風(fēng)險(xiǎn)等方面形象地描述的他們各自之間的關(guān)系和影響；在安全風(fēng)險(xiǎn)計(jì)算模型中詳細(xì)具體地提供了風(fēng)險(xiǎn)計(jì)算的方法，通過(guò)兩個(gè)因素：威脅級(jí)別、威脅發(fā)生的概率，通過(guò)風(fēng)險(xiǎn)評(píng)估矩陣得出安全風(fēng)險(xiǎn)。風(fēng)險(xiǎn)管理流程模型風(fēng)險(xiǎn)管理流程模型見(jiàn)下圖所示。＞安全風(fēng)險(xiǎn)分析按照相關(guān)國(guó)際標(biāo)準(zhǔn)(ASNZS4360：1999；BS7799/ISO17799;ISO/IEC13335等)采用定性與定量相結(jié)合的方法，通過(guò)對(duì)網(wǎng)絡(luò)層存在的網(wǎng)絡(luò)安全漏洞進(jìn)行掃描分析，進(jìn)行評(píng)估，獲知網(wǎng)絡(luò)層風(fēng)險(xiǎn)。以下為評(píng)估的對(duì)象簡(jiǎn)要描述：物理環(huán)境；網(wǎng)絡(luò)結(jié)構(gòu)；網(wǎng)絡(luò)服務(wù)；主機(jī)系統(tǒng)；數(shù)據(jù)庫(kù)系統(tǒng)；應(yīng)用系統(tǒng)；安全系統(tǒng)；安全相關(guān)人員；處理流程；安全管理制度；安全策略等。＞風(fēng)險(xiǎn)評(píng)估報(bào)告提交風(fēng)險(xiǎn)評(píng)估報(bào)告，獲知XXXX網(wǎng)絡(luò)安全風(fēng)險(xiǎn)狀況是本次對(duì)風(fēng)險(xiǎn)評(píng)估的主要目標(biāo)。通過(guò)上述描述的重要過(guò)程，主要提交風(fēng)險(xiǎn)評(píng)估報(bào)告。＞風(fēng)險(xiǎn)控制根據(jù)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估報(bào)告，結(jié)合實(shí)際的網(wǎng)絡(luò)特點(diǎn)，針對(duì)系統(tǒng)面對(duì)的安全風(fēng)險(xiǎn)，分析將面對(duì)的安全影響，提供相應(yīng)的安全控制。但是實(shí)際上，由于控制的不完整性，總會(huì)有一些遺漏的漏洞可以仍然被人利用。所以風(fēng)險(xiǎn)評(píng)估過(guò)程不僅是控制風(fēng)險(xiǎn)，并且要定義可能殘留的風(fēng)險(xiǎn)。通過(guò)風(fēng)險(xiǎn)控制減少風(fēng)險(xiǎn)到用戶可以接受的程度。實(shí)現(xiàn)減少風(fēng)險(xiǎn)需求和控制價(jià)值的代價(jià)平衡。＞監(jiān)控復(fù)審在整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程中的每一個(gè)步驟，都需要進(jìn)行監(jiān)控和復(fù)審程序，保證整個(gè)評(píng)估過(guò)程的規(guī)范，安全，可信。＞溝通、咨詢對(duì)于整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程的溝通、咨詢是保證本次風(fēng)險(xiǎn)評(píng)估項(xiàng)目成功實(shí)施很關(guān)鍵的因素。在整個(gè)風(fēng)險(xiǎn)管理、評(píng)估過(guò)程中，針對(duì)每一個(gè)步驟應(yīng)該交流風(fēng)險(xiǎn)管理經(jīng)驗(yàn)，同時(shí)形成相關(guān)文檔，保留資料。隨著時(shí)間的推移，風(fēng)險(xiǎn)評(píng)估的方法和結(jié)果可能發(fā)生變化，所以，具體的文檔和材料非常重要，可能使下一次的風(fēng)險(xiǎn)評(píng)估變的更容易些。建立評(píng)估環(huán)境AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等usnocdnaetacinum資產(chǎn)調(diào)查AS/NZS4360:1999；usnocdnaetacinum資產(chǎn)調(diào)查AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性與定量相結(jié)合的方法安全風(fēng)險(xiǎn)分析AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性與定量相結(jié)合的方法漏洞分析威脅分析風(fēng)險(xiǎn)分析安全風(fēng)險(xiǎn)報(bào)告AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性與定量相結(jié)合的方法漏洞統(tǒng)計(jì)報(bào)告風(fēng)險(xiǎn)評(píng)估報(bào)告監(jiān)控與復(fù)審monitorandreview風(fēng)險(xiǎn)控制安全控制安全影響殘留風(fēng)險(xiǎn)定義安全控制安全影響殘留風(fēng)險(xiǎn)定義有效安全需求整體安全策略整體安全解決萬(wàn)案整體安全策略整體安全解決萬(wàn)案安全實(shí)施、培訓(xùn)? ?A4有效安全需求有效安全需求是根據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告和XXXX的安全控制能力，決定XXXX的有效安全需求。獲知XXXX需要立即解決的安全問(wèn)題，獲知XXXX面臨的巨大安全威脅，獲知XXXX將有可能面臨的巨大經(jīng)濟(jì)損失，和潛在的重要安全影響等。同時(shí)在考慮XXXX在安全建設(shè)投資的合理性、針對(duì)性、適當(dāng)性、有效性°XXXX進(jìn)行安全評(píng)估之后，需要進(jìn)行的將是更為關(guān)鍵和意義深遠(yuǎn)的事情。＞安全策略本部分屬于XXXX安全風(fēng)險(xiǎn)管理的內(nèi)容，是在完成XXXX安全風(fēng)險(xiǎn)評(píng)估之后，根據(jù)XXXX有效安全需求，結(jié)合XXXX網(wǎng)絡(luò)安全現(xiàn)狀，制定相應(yīng)的安全策略。包括人員組織策略、安全管理策略、訪問(wèn)控制策略、網(wǎng)絡(luò)管理策略、數(shù)據(jù)安全策略、緊急響應(yīng)策略等，動(dòng)態(tài)的、整體的考慮XXXX的安全策略。＞安全解決方案制定XXXX整體動(dòng)態(tài)的安全策略之后，構(gòu)建XXXX安全體系結(jié)構(gòu)，結(jié)合XXXX本地網(wǎng)絡(luò)架構(gòu)、業(yè)務(wù)結(jié)構(gòu)，依據(jù)策略制定XXXX系統(tǒng)完整動(dòng)態(tài)的安全解決方案。包括管理、邊界層、支撐應(yīng)用平臺(tái)和業(yè)務(wù)應(yīng)用等。并且注重高可用性、動(dòng)態(tài)性、整體性。6.2.風(fēng)險(xiǎn)關(guān)系模型為了更加清晰的描述XXXX面臨的安全風(fēng)險(xiǎn)，以及造成風(fēng)險(xiǎn)的各個(gè)要素之間的關(guān)系，我們根據(jù)相關(guān)國(guó)際標(biāo)準(zhǔn)(ASNZS4360:1999;BS7799/ISO17799;ISO/IEC13335等)建立XXXX安全風(fēng)險(xiǎn)關(guān)系模型。主要以風(fēng)險(xiǎn)為中心形象描述了XXXX本地網(wǎng)絡(luò)所面臨的風(fēng)險(xiǎn)、漏洞、威脅及其相應(yīng)的復(fù)雜關(guān)系。XXXX安全風(fēng)險(xiǎn)關(guān)系模型各個(gè)要素之間關(guān)系說(shuō)明：該關(guān)系模型動(dòng)態(tài)的表現(xiàn)了XXXX網(wǎng)絡(luò)所面臨的安全風(fēng)險(xiǎn)與其它各個(gè)要素之間的內(nèi)在關(guān)系。下面從評(píng)估的角度進(jìn)行描述，幫助更好的理解該模型的內(nèi)涵。從評(píng)估的角度來(lái)說(shuō)，XXXX網(wǎng)絡(luò)面臨很多威脅（外部威脅、內(nèi)部威脅），攻擊者利用網(wǎng)絡(luò)存在的漏洞（物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管系統(tǒng)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略等等），攻擊網(wǎng)絡(luò)，增加了XXXX網(wǎng)絡(luò)所面臨的威脅，同時(shí)，攻擊事件的成功導(dǎo)致資產(chǎn)的暴露（信息資產(chǎn)、物質(zhì)資產(chǎn)、軟件資產(chǎn)、服務(wù)、設(shè)備、人員等）造成安全風(fēng)險(xiǎn)；同時(shí)資產(chǎn)的暴露（如XXXX高級(jí)管理人員由于不小心而導(dǎo)致重要機(jī)密信息的泄露），隨著資產(chǎn)價(jià)值的大小而導(dǎo)致相應(yīng)安全風(fēng)險(xiǎn)。對(duì)XXXX網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的分析，迫切的提出了XXXX網(wǎng)絡(luò)的安全需求。根據(jù)安全需求的級(jí)別制定XXXX的整體安全策略，安全解決方案，進(jìn)行安全控制措施的實(shí)施，降低安全風(fēng)險(xiǎn)，防范威脅。6.3.風(fēng)險(xiǎn)計(jì)算模型輸入要素描述威脅級(jí)別：表示威脅對(duì)系統(tǒng)造成影響的后果級(jí)別。威脅可能性：表示該威脅發(fā)生的可能性。采取的控制措施：針對(duì)該威脅是否已采取相應(yīng)的控制措施。輸出要素描述風(fēng)險(xiǎn)級(jí)別：根據(jù)風(fēng)險(xiǎn)矩陣得出的風(fēng)險(xiǎn)等級(jí)。評(píng)估過(guò)程7.1.階段一前期準(zhǔn)備與專業(yè)的安全評(píng)估公司共同確定評(píng)估目標(biāo)和評(píng)估范圍（詳見(jiàn)4.1節(jié)），雙方成立相應(yīng)的評(píng)估小組。準(zhǔn)備相應(yīng)的場(chǎng)地、設(shè)備、資料，保障配合人員能夠良好的配合評(píng)估工作；安全評(píng)估公司根據(jù)達(dá)成的目標(biāo)和范圍，選擇評(píng)估人員，準(zhǔn)備交流資料、評(píng)估工具和設(shè)備，制定詳細(xì)的實(shí)施計(jì)劃。雙方就實(shí)施計(jì)劃達(dá)成初步共識(shí)，準(zhǔn)備實(shí)施。制定計(jì)劃風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施的第一步是對(duì)評(píng)估方案計(jì)劃的評(píng)審。主要由評(píng)估方人員對(duì)評(píng)估方案作詳細(xì)介紹，XXXX做出審核，審核內(nèi)容主要包括評(píng)估的范圍、階段流程、工作方式、人員需求等，并通過(guò)雙方溝通做出進(jìn)一步調(diào)整，務(wù)必使雙方參與人員達(dá)成一致意見(jiàn)。培訓(xùn)溝通為了統(tǒng)一意識(shí)，確保整個(gè)項(xiàng)目的良好運(yùn)行，在前期需要進(jìn)行充分的培訓(xùn)溝通，培訓(xùn)溝通的對(duì)象為：風(fēng)險(xiǎn)評(píng)估項(xiàng)目組成員以及各相關(guān)部門負(fù)責(zé)人。培訓(xùn)溝通的內(nèi)容包括：?評(píng)估公司和評(píng)估人員的介紹?信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的相關(guān)概念進(jìn)行風(fēng)險(xiǎn)評(píng)估的目的和目標(biāo)?信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的具體方法?信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的具體內(nèi)容信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的工程實(shí)施流程同時(shí)，由于風(fēng)險(xiǎn)評(píng)估只是整個(gè)風(fēng)險(xiǎn)管理過(guò)程的一個(gè)部分，所以在風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施介紹的內(nèi)容中可以依據(jù)客戶的認(rèn)識(shí)程度適當(dāng)穿插以下方面的內(nèi)容：?信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理的相關(guān)概念和理念?信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理的相關(guān)理論模型?信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制的相關(guān)理念建立評(píng)估環(huán)境為了能夠保證評(píng)估的效率和保密性，評(píng)估項(xiàng)目必須在證券交易所進(jìn)行。因此，XXXX將會(huì)提供獨(dú)立的評(píng)估環(huán)境、場(chǎng)地、設(shè)備。此外，XXXX還需做好以下準(zhǔn)備：資料準(zhǔn)備為了確保評(píng)估的順利進(jìn)行，XXXX需要向評(píng)估承擔(dān)方＞建議提供評(píng)估目標(biāo)網(wǎng)絡(luò)的詳細(xì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)＞建議提供評(píng)估目標(biāo)網(wǎng)絡(luò)的業(yè)務(wù)功能、流程和運(yùn)行狀況描述文檔＞建議提供系統(tǒng)工程相關(guān)文檔，包括：設(shè)計(jì)，實(shí)施，驗(yàn)收，維護(hù)等文檔＞建議提供相應(yīng)的管理規(guī)章制度文檔＞建議提供評(píng)估目標(biāo)網(wǎng)絡(luò)以往的業(yè)務(wù)事故案例和網(wǎng)絡(luò)安全事件人員準(zhǔn)備項(xiàng)目總體負(fù)責(zé)人：雙方均應(yīng)安排專門的固定項(xiàng)目總體負(fù)責(zé)人，總體負(fù)責(zé)風(fēng)險(xiǎn)評(píng)估工作。項(xiàng)目協(xié)調(diào)人員：雙方可針對(duì)風(fēng)險(xiǎn)評(píng)估工作進(jìn)展的不同階段，安排人員進(jìn)行項(xiàng)目的中間協(xié)調(diào)。系統(tǒng)管理員：評(píng)估承擔(dān)方開(kāi)展系統(tǒng)安全調(diào)查和控制臺(tái)安全審計(jì)工作時(shí)，需安排各系統(tǒng)的管理員配合工作。網(wǎng)絡(luò)管理員：評(píng)估承擔(dān)方開(kāi)展網(wǎng)絡(luò)設(shè)備的調(diào)查和控制臺(tái)安全審計(jì)工作時(shí)，需安排網(wǎng)絡(luò)管理員配合工作。業(yè)務(wù)人員：評(píng)估承擔(dān)方開(kāi)展應(yīng)用系統(tǒng)調(diào)查和交流工作時(shí)，需安排相應(yīng)的業(yè)務(wù)人員配合調(diào)查或參與交流。安全人員：評(píng)估承擔(dān)方開(kāi)展的所有評(píng)估工作，均應(yīng)盡量安排安全人員參與。授權(quán)XXXX風(fēng)險(xiǎn)評(píng)估將涉及到多方面的授權(quán)，客戶方需要向xxx提供有效的授權(quán)，授權(quán)內(nèi)容包括：進(jìn)入與本次評(píng)估相關(guān)的環(huán)境，查閱與本次評(píng)估相關(guān)的資料，了解并分析客戶的信息網(wǎng)絡(luò)、對(duì)本次評(píng)估所屬范圍進(jìn)行漏洞掃描及其他必要的授權(quán)：如滲透性入侵測(cè)試等。7.1.3?4.權(quán)限XXXX風(fēng)險(xiǎn)評(píng)估會(huì)涉及到各方面的權(quán)限，客戶方需要提供必需的直接或間接權(quán)限，包括：各種相關(guān)設(shè)備的管理權(quán)限，各種技術(shù)、管理文檔的查看權(quán)限，進(jìn)入本次評(píng)估涉及環(huán)境的權(quán)限，對(duì)相關(guān)網(wǎng)絡(luò)和設(shè)備進(jìn)行掃描、分析的權(quán)限。權(quán)限提供的方式可以是直接提供臨時(shí)權(quán)限或提供具備相關(guān)權(quán)限的人員進(jìn)行全程配合。.保密要求本次評(píng)估嚴(yán)格遵循保密性要求，xxx公司將對(duì)所有涉及項(xiàng)目人員進(jìn)行嚴(yán)格的保密管理，包括制定嚴(yán)格的保密制度，簽訂與項(xiàng)目直接相關(guān)的保密協(xié)議等。此外，客戶方參與本次項(xiàng)目的相關(guān)人員也應(yīng)該遵循一定的保密制度，對(duì)于XXXX用戶的涉密信息進(jìn)行嚴(yán)格保密，同時(shí)，對(duì)于本次評(píng)估中xxx提供的各種技術(shù)資料、文檔、流程、規(guī)范，也要執(zhí)行相應(yīng)的保密措施，不得以各種方式提供給xxx公司的直接競(jìng)爭(zhēng)對(duì)手。7.2.階段二現(xiàn)場(chǎng)評(píng)估和調(diào)查7.2.1.資產(chǎn)調(diào)查資產(chǎn)調(diào)查目的是了解和業(yè)務(wù)相關(guān)的資產(chǎn)，明確其價(jià)值和重要性，明確資產(chǎn)的保護(hù)措施。XXXX系統(tǒng)需要確定自己的資產(chǎn)、有多大價(jià)值及資產(chǎn)的重要性。通過(guò)這些信息便可以按資產(chǎn)的價(jià)值及重要性提供那樣的保護(hù)措施。工作方式：?jiǎn)柧碚{(diào)查。相關(guān)表單：見(jiàn)附件一：《01-資產(chǎn)調(diào)查表》問(wèn)卷調(diào)查數(shù)據(jù)收集通過(guò)對(duì)涉及網(wǎng)絡(luò)安全的各個(gè)因素的詳細(xì)調(diào)查與分析，為評(píng)估提供基礎(chǔ)和依據(jù)。物理安全調(diào)查從基本環(huán)境描述、訪問(wèn)控制、事故響應(yīng)與處理能力等方面調(diào)查物理安全現(xiàn)狀；人員和管理調(diào)查從策略、組織、人員和教育培訓(xùn)等方面調(diào)查，得出管理方面的現(xiàn)狀；技術(shù)安全保障調(diào)查從基本安全配置與操作、專門安全保障措施等方面調(diào)查得出其現(xiàn)有的安全情況。業(yè)務(wù)風(fēng)險(xiǎn)調(diào)查從業(yè)務(wù)風(fēng)險(xiǎn)分析、災(zāi)難恢復(fù)能力等方面調(diào)查業(yè)務(wù)可能存在的風(fēng)險(xiǎn)點(diǎn)；相關(guān)表單： 附件二《02-物理安全調(diào)查表》附件三《03-人員和管理調(diào)查表》附件四《04-技術(shù)安全保障狀況調(diào)查表》附件五《05-業(yè)務(wù)風(fēng)險(xiǎn)調(diào)查表》工具協(xié)助和專家控制臺(tái)分析網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分析一一以此確認(rèn)網(wǎng)絡(luò)環(huán)境和網(wǎng)絡(luò)風(fēng)險(xiǎn)點(diǎn)從網(wǎng)絡(luò)管理性評(píng)測(cè)的角度，進(jìn)行網(wǎng)絡(luò)體系結(jié)構(gòu)分析，分析出網(wǎng)絡(luò)的關(guān)鍵應(yīng)用網(wǎng)絡(luò)、關(guān)鍵業(yè)務(wù)網(wǎng)絡(luò)、關(guān)鍵管理網(wǎng)絡(luò)、關(guān)鍵辦公網(wǎng)絡(luò)等體系結(jié)構(gòu)，尋找具體的網(wǎng)絡(luò)風(fēng)險(xiǎn)點(diǎn)。對(duì)于主流操作系統(tǒng)進(jìn)行授權(quán)控制臺(tái)審計(jì)和評(píng)測(cè)對(duì)于主流的重要的業(yè)務(wù)操作系統(tǒng)，將進(jìn)行本地控制臺(tái)的掃描和評(píng)測(cè)，從以下幾個(gè)方面評(píng)估該系統(tǒng)的安全狀況:?該系統(tǒng)是否進(jìn)行了必要的安全配置；?該系統(tǒng)是否已經(jīng)安裝了系統(tǒng)提供商的最新補(bǔ)丁程序；?該系統(tǒng)是否存在被黑客入侵過(guò)的跡象，入侵者是否在系統(tǒng)上安裝了后門程序或者其他程序；?該系統(tǒng)可能存在的安全隱患；?該系統(tǒng)的直接技術(shù)管理人員對(duì)系統(tǒng)的技術(shù)管理流程和非技術(shù)管理流程。3） 關(guān)鍵業(yè)務(wù)數(shù)據(jù)庫(kù)系統(tǒng)和數(shù)據(jù)的安全評(píng)測(cè)針對(duì)關(guān)鍵業(yè)務(wù)數(shù)據(jù)庫(kù)操作系統(tǒng)的評(píng)估，從以下幾個(gè)方面進(jìn)行技術(shù)評(píng)測(cè)：?該關(guān)鍵業(yè)務(wù)數(shù)據(jù)庫(kù)操作系統(tǒng)除了數(shù)據(jù)庫(kù)應(yīng)用以外還承擔(dān)的其他業(yè)務(wù)應(yīng)用；?該關(guān)鍵業(yè)務(wù)數(shù)據(jù)庫(kù)操作系統(tǒng)的本地控制臺(tái)審計(jì)；?該關(guān)鍵業(yè)務(wù)數(shù)據(jù)庫(kù)操作系統(tǒng)的直接管理員交流和咨詢問(wèn)答；在已經(jīng)進(jìn)行了操作系統(tǒng)級(jí)別的安全評(píng)測(cè)之后，對(duì)于關(guān)鍵業(yè)務(wù)數(shù)據(jù)庫(kù)系統(tǒng)的安全評(píng)測(cè)，主要是從咨詢和調(diào)查的角度來(lái)進(jìn)行數(shù)據(jù)庫(kù)自身的安全評(píng)測(cè)4） 邊界基礎(chǔ)設(shè)施評(píng)測(cè)網(wǎng)絡(luò)基礎(chǔ)設(shè)備正常提供網(wǎng)絡(luò)服務(wù)的前提下，從以下幾個(gè)方面進(jìn)行本地安全配置狀況分析：（1） 路由器本地評(píng)測(cè)：主要涉及到路由器訪問(wèn)控制規(guī)則的建立情況ACL、對(duì)拒絕服務(wù)攻擊類型的配置型防御措施、常規(guī)安全選項(xiàng)配置等。（2） 交換機(jī)本地評(píng)測(cè)：主要涉及到各交換機(jī)的訪問(wèn)控制特性和具體應(yīng)用情況、常規(guī)安全選項(xiàng)配置等。（3） 防火墻本地評(píng)測(cè)：主要涉及到各防火墻設(shè)備的針對(duì)特定環(huán)境的防火墻規(guī)則配置情況、防火墻本身系統(tǒng)的安全性配置情況。采用統(tǒng)計(jì)分析工具，給出體現(xiàn)系統(tǒng)安全漏洞分布情況、漏洞級(jí)別、影響系統(tǒng)的圖形化結(jié)果示圖。包括漏洞類型分布圖、漏洞級(jí)別分布圖、分系統(tǒng)的漏洞分布圖。威脅評(píng)估就是對(duì)系統(tǒng)存在的漏洞可能導(dǎo)致的后果進(jìn)行分析。由存在的漏洞，找出相應(yīng)威脅的來(lái)源、方式、及后果。按危害程度分級(jí)，給出威脅的具體描述。在漏洞評(píng)估的基礎(chǔ)上，給出威脅評(píng)估報(bào)告。同樣給出相關(guān)的威脅的級(jí)別、類型的分布圖，包括總分布圖和相應(yīng)的分系統(tǒng)的分布圖。7.2.4.網(wǎng)絡(luò)掃描主要采用了安全漏洞工具掃描和專家分析相結(jié)合的方式，找到攻擊者遠(yuǎn)程突破網(wǎng)絡(luò)和控制網(wǎng)絡(luò)設(shè)備的可能性，相對(duì)應(yīng)的找到所有來(lái)自外界入侵對(duì)特定網(wǎng)絡(luò)和網(wǎng)絡(luò)設(shè)備造成的威脅。本次安全評(píng)估所需的掃描工具特點(diǎn)：（1） 涵蓋XXXX主機(jī)系統(tǒng)的漏洞；（2） 高效性，擁有穩(wěn)定高速的多線程IP段掃描方式；（3） 高度準(zhǔn)確性判斷；（4） 保證目標(biāo)系統(tǒng)的安全；（5） 對(duì)目標(biāo)主機(jī)、網(wǎng)絡(luò)設(shè)備正常工作的影響降至最小。我們擬采用以下工具：＞xxx安全產(chǎn)品——天鏡網(wǎng)絡(luò)漏洞掃描系統(tǒng)＞針對(duì)客戶操作系統(tǒng)安全風(fēng)險(xiǎn)特點(diǎn)選擇或開(kāi)發(fā)的操作系統(tǒng)掃描工具包＞針對(duì)客戶應(yīng)用和業(yè)務(wù)的安全風(fēng)險(xiǎn)特點(diǎn)選擇或開(kāi)發(fā)的專門漏洞掃描工具包.配合需求在進(jìn)行網(wǎng)絡(luò)漏洞掃描之前，需要XXXX的網(wǎng)絡(luò)管理員提供以下信息，并協(xié)助在網(wǎng)絡(luò)中設(shè)置漏洞掃描的控制臺(tái)位置，分配相應(yīng)的網(wǎng)絡(luò)地址。＞網(wǎng)絡(luò)的IP地址分布＞網(wǎng)絡(luò)內(nèi)各類操作系統(tǒng)和網(wǎng)絡(luò)設(shè)備的數(shù)量和地址分布＞網(wǎng)絡(luò)協(xié)議狀況＞核心服務(wù)器系統(tǒng)和網(wǎng)絡(luò)設(shè)備的IP地址、系統(tǒng)類型、應(yīng)用狀況＞網(wǎng)絡(luò)訪問(wèn)控制狀況（如VLAN的劃分等）7?2?4?2.掃描步驟?根據(jù)XXXX所提供和指定的IP分段，判斷目標(biāo)網(wǎng)絡(luò)主機(jī)的操作系統(tǒng)類，按照系統(tǒng)進(jìn)行針對(duì)性IP列表劃分；?進(jìn)行目標(biāo)系統(tǒng)對(duì)外開(kāi)放端口統(tǒng)計(jì)，從黑客安裝木馬程序的角度描述開(kāi)放端口；掃描WindowsNT/2000IIS4/5的重要漏洞，包括著名的unicode,codered等7種典型高風(fēng)險(xiǎn)漏洞，根據(jù)漏洞的相關(guān)性和可重復(fù)性，選擇了其中典型的漏洞進(jìn)行遠(yuǎn)程掃描；?針對(duì)不同系統(tǒng)的典型CGI漏洞掃描；?針對(duì)不同網(wǎng)絡(luò)設(shè)備的各項(xiàng)支持多次口令登錄的應(yīng)用服務(wù)的弱口令掃描，如FTP,IPC,TELNET等,也可以使用復(fù)雜字典進(jìn)行窮舉解密，另外獲得該服務(wù)的詳細(xì)信息；?掃描路由器和交換機(jī)節(jié)點(diǎn)的各種重要漏洞，以及掃描對(duì)應(yīng)設(shè)備的遠(yuǎn)程可訪問(wèn)方式和設(shè)備缺省登錄口令情況；?針對(duì)基于網(wǎng)絡(luò)的開(kāi)放數(shù)據(jù)庫(kù)漏洞進(jìn)行掃描.；針對(duì)linux遠(yuǎn)程溢出以及其他遠(yuǎn)程漏洞進(jìn)行掃描；?針對(duì)snmp漏洞進(jìn)行掃描，可以掃描特定網(wǎng)絡(luò)的邏輯拓?fù)湟约案鞣N與snmp相關(guān)的隱患問(wèn)題，遠(yuǎn)程服務(wù)器、網(wǎng)絡(luò)設(shè)備的版本信息。?評(píng)測(cè)細(xì)節(jié)說(shuō)明：（1） 探測(cè)XXXX的主流操作系統(tǒng)并對(duì)漏洞分類：主流的操作系統(tǒng)類型：＞linux;＞W(wǎng)indows（/9x/NT/2000）;＞其他主流網(wǎng)絡(luò)設(shè)備類型：＞Cisco＞其他（2） 探測(cè)XXXX主要應(yīng)用系統(tǒng)及相關(guān)服務(wù)存在的漏洞，并按應(yīng)用服務(wù)程序分類漏洞威脅性，對(duì)于主流的重要的業(yè)務(wù)操作系統(tǒng)，將進(jìn)行詳細(xì)掃描和評(píng)測(cè)，從以下幾個(gè)方面評(píng)估該系統(tǒng)的安全狀況：＞系統(tǒng)是否存在明顯的能導(dǎo)致入侵者直接控制系統(tǒng)的安全漏洞；＞該系統(tǒng)是否存在導(dǎo)致系統(tǒng)癱瘓和停止服務(wù)的漏洞；＞該系統(tǒng)是否存在系統(tǒng)文件泄露可能；＞該系統(tǒng)是否存在應(yīng)用數(shù)據(jù)和服務(wù)數(shù)據(jù)泄露可能；＞該系統(tǒng)是否曾被入侵，留下可遠(yuǎn)程連接的后門；＞該系統(tǒng)安全性較高，但是是否存在所處網(wǎng)段不安全，降低系統(tǒng)安全性的可能。7?2?4?3.定性測(cè)量事件后果級(jí)別級(jí)別描述符舉例詳細(xì)描述1無(wú)關(guān)緊要沒(méi)有傷害，經(jīng)濟(jì)損失小2較小首先幫助處理，本地立刻解決，較小經(jīng)濟(jì)損失。3中等的需要處理，本地處理（包括外地援助），中等經(jīng)濟(jì)損失。4嚴(yán)重的大范圍傷害，損失生產(chǎn)能力，本地沒(méi)有有害的影響，嚴(yán)重經(jīng)濟(jì)損失。5災(zāi)難性的致命后果，巨大有害影響，巨大經(jīng)濟(jì)損失。7?2?4?4.周期本次評(píng)估項(xiàng)目涉及到兩次掃描過(guò)程，除了第一次常規(guī)掃描外，針對(duì)初步的分析結(jié)果，還需要進(jìn)行補(bǔ)充掃描，補(bǔ)充掃描的范圍和內(nèi)容針對(duì)性更強(qiáng)，范圍會(huì)縮小。7.2.5.網(wǎng)絡(luò)IDS嗅探網(wǎng)絡(luò)IDS嗅探采用xxx公司的安全產(chǎn)品一天闐入侵檢測(cè)系統(tǒng)，針對(duì)特定網(wǎng)段進(jìn)行嗅探。以發(fā)現(xiàn)系統(tǒng)是否存在安全事件，如非法對(duì)系統(tǒng)的掃描，網(wǎng)絡(luò)病毒對(duì)系統(tǒng)的攻擊，黑客攻擊等。需要XXXX的管理員提供如下信息，并協(xié)助在網(wǎng)絡(luò)中設(shè)置網(wǎng)絡(luò)IDS的控制臺(tái)位置，分配相應(yīng)的網(wǎng)絡(luò)地址。＞需嗅探網(wǎng)段的交換機(jī)鏡像端口配置或hub接入方式;探測(cè)引擎及控制臺(tái)IP地址。IDS引擎的抓包接口不會(huì)影響網(wǎng)絡(luò)性能，對(duì)于網(wǎng)絡(luò)流量較大的網(wǎng)絡(luò)，可以將控制臺(tái)與引擎直接相連，保障控制臺(tái)不會(huì)影響網(wǎng)絡(luò)流量。由于IDS分析需要長(zhǎng)時(shí)間地采集信息，故在評(píng)估工作的初始階段就需要進(jìn)行部署。7.2.6.滲透測(cè)試（可選）.目的和原因滲透測(cè)試是風(fēng)險(xiǎn)評(píng)估的一個(gè)重要的輔助手段，它是通過(guò)具有黑客技術(shù)的人員直接對(duì)系統(tǒng)進(jìn)行安全測(cè)試，利用這種手段可以對(duì)系統(tǒng)中的一些核心信息設(shè)備，并處在公共信息交換的環(huán)境，如在互聯(lián)網(wǎng)提供網(wǎng)上銀行的應(yīng)用系統(tǒng)進(jìn)行測(cè)試。通過(guò)這種方式的可以更深入的了解系統(tǒng)的安全狀況，同時(shí)還可以檢驗(yàn)系統(tǒng)中的安全設(shè)備是否起到了必要的作用，系統(tǒng)的各種安全配置是否正確，這種測(cè)試一般屬于黑盒測(cè)試，對(duì)系統(tǒng)要求極少。但由于滲透本身具有一定的危險(xiǎn)性，必須在事前做好充分的應(yīng)急準(zhǔn)備，或搭建模擬環(huán)境。7?2?6?2.內(nèi)容和人員配合滲透測(cè)試需要和XXXX進(jìn)行協(xié)商以確認(rèn)系統(tǒng)是否需要這種測(cè)試，在人員配合上主要是要求被測(cè)目標(biāo)系統(tǒng)需要有專人進(jìn)行監(jiān)視，記錄測(cè)試過(guò)程，并在系統(tǒng)可能出現(xiàn)問(wèn)題時(shí)，及時(shí)進(jìn)行處理。7.3.階段三風(fēng)險(xiǎn)評(píng)估在信息安全學(xué)中，風(fēng)險(xiǎn)指的是：一個(gè)威脅因素能成功地攻擊系統(tǒng)的弱點(diǎn)的概率或可能性。安全風(fēng)險(xiǎn)評(píng)估主要包括了風(fēng)險(xiǎn)的估計(jì)及對(duì)風(fēng)險(xiǎn)的評(píng)價(jià)。利用收集的資產(chǎn)、漏洞、威脅等數(shù)據(jù)，對(duì)全網(wǎng)安全風(fēng)險(xiǎn)進(jìn)行計(jì)算評(píng)估。7.3.1.風(fēng)險(xiǎn)估計(jì)分析風(fēng)險(xiǎn)發(fā)生的可能性，并估計(jì)風(fēng)險(xiǎn)的后果大小。安全事件的概率首先確定風(fēng)險(xiǎn)事件的發(fā)生概率。以XXXX上的安全事件逐一統(tǒng)計(jì)，進(jìn)行曲線擬合，確定其樣本概率分布。也就是各種類型和級(jí)別的威脅發(fā)生并導(dǎo)致安全事件的概率。風(fēng)險(xiǎn)分類用序數(shù)標(biāo)度將所存在的各個(gè)安全風(fēng)險(xiǎn)與安全基準(zhǔn)的差距排出先后順序，分類為已知風(fēng)險(xiǎn)、可預(yù)測(cè)風(fēng)險(xiǎn)和不可預(yù)測(cè)風(fēng)險(xiǎn)。風(fēng)險(xiǎn)后果估計(jì)使用比率標(biāo)度即風(fēng)險(xiǎn)發(fā)生的可能性大小，對(duì)于可量化的安全風(fēng)險(xiǎn)進(jìn)行定量計(jì)算，確定各種安全事件后果的數(shù)值大小，同時(shí)還要給出這些數(shù)值的變化范圍和限定條件。年損失值=威脅的年發(fā)生概率X受威脅的資產(chǎn)估值確定網(wǎng)絡(luò)系統(tǒng)中關(guān)鍵資產(chǎn)所面臨的不同級(jí)別的安全威脅的概率可能性。在對(duì)安全風(fēng)險(xiǎn)估計(jì)時(shí)，根據(jù)XXXX的具體安全狀況，即掃描、分析出的安全漏洞及威脅的統(tǒng)計(jì)情況，針對(duì)其不同的概率特征采用最大可能原則、最大數(shù)學(xué)期望原則、最大效用數(shù)學(xué)期望原則及貝葉斯后驗(yàn)概率法，對(duì)安全風(fēng)險(xiǎn)進(jìn)行最可能準(zhǔn)確的估計(jì)。7.3.2.風(fēng)險(xiǎn)評(píng)價(jià)對(duì)存在的各類安全風(fēng)險(xiǎn)進(jìn)行比較和評(píng)價(jià)。確定某一類關(guān)鍵資產(chǎn)的安全風(fēng)險(xiǎn)水平，再確定整體的風(fēng)險(xiǎn)水平。與一個(gè)指定的評(píng)價(jià)基準(zhǔn)進(jìn)行比較，確定當(dāng)前的風(fēng)險(xiǎn)水平的可接受程度。采用層次分析法將各個(gè)安全風(fēng)險(xiǎn)按照大小排出順序，以明確表示其重要與危害程度。針對(duì)存在的安全風(fēng)險(xiǎn)，在給分析層次結(jié)構(gòu)模型后，根據(jù)安全專家的知識(shí)、經(jīng)驗(yàn)和判斷，逐步確定各層諸威脅因素之間兩兩比較的重要性權(quán)數(shù)，得出各威脅因素重要性比較的判斷矩陣，通過(guò)計(jì)算判斷矩陣的特征向量，確定各個(gè)安全威脅因素的重要程度。再由各個(gè)特征向量出一個(gè)綜合矩陣，用以確定各個(gè)安全風(fēng)險(xiǎn)的差異所在。通過(guò)對(duì)判斷矩陣的一致性指標(biāo)的檢驗(yàn)，可以及時(shí)修正判斷矩陣中的標(biāo)度的合理性，確保分析結(jié)果的準(zhǔn)確性。采用主觀評(píng)分法，對(duì)每一個(gè)威脅因素及安全事件賦權(quán)值，求得總體的安全風(fēng)險(xiǎn)值，通過(guò)與最大風(fēng)險(xiǎn)權(quán)值的比較，確定當(dāng)前安全的風(fēng)險(xiǎn)水平。7.3.3.評(píng)估報(bào)告在完成全部數(shù)據(jù)的搜集后，在初步整理分析的基礎(chǔ)上，形成全面的評(píng)估報(bào)告：＞資產(chǎn)評(píng)估統(tǒng)計(jì)現(xiàn)有資產(chǎn)的管理、維護(hù)和保護(hù)情況，將相關(guān)資產(chǎn)按重要性級(jí)別進(jìn)行劃分，確定需重點(diǎn)保護(hù)的關(guān)鍵資產(chǎn)和保護(hù)的層次；＞漏洞評(píng)估對(duì)抽樣網(wǎng)段漏洞掃描結(jié)果和調(diào)查表結(jié)果進(jìn)行總結(jié)分析，給出相應(yīng)的級(jí)別以及被利用的可能性，對(duì)其分布情況給出統(tǒng)計(jì)結(jié)果；對(duì)于關(guān)鍵資產(chǎn)，對(duì)其存在的漏洞進(jìn)行單獨(dú)統(tǒng)計(jì)分析；＞威脅評(píng)估對(duì)于全系統(tǒng)進(jìn)行全面的威脅分析，從威脅源、威脅動(dòng)機(jī)、威脅的方式、利用的漏洞、發(fā)生的可能性等方面進(jìn)行分析；對(duì)于關(guān)鍵資產(chǎn)給出詳細(xì)的威脅列表；＞風(fēng)險(xiǎn)評(píng)估對(duì)于全系統(tǒng)進(jìn)行全面的風(fēng)險(xiǎn)分析，分析其發(fā)生的概率和可能造成的后果，將風(fēng)險(xiǎn)進(jìn)行分類，按級(jí)別進(jìn)行排序，并對(duì)系統(tǒng)的綜合情況進(jìn)行分析。所有原始依據(jù)（調(diào)查表、漏洞掃描結(jié)果、控制臺(tái)審計(jì)結(jié)果、IDS嗅探結(jié)果）的整理結(jié)果作為附件，形成全面的報(bào)告。在此基礎(chǔ)上，提出客戶化的網(wǎng)絡(luò)安全策略建議和解決方案建議。該建議包含結(jié)合客戶的實(shí)際需求和投資需求，給出分階段的網(wǎng)絡(luò)安全建設(shè)建議。7.4.階段四項(xiàng)目驗(yàn)收對(duì)評(píng)估結(jié)果和報(bào)告的驗(yàn)收擬采用專家評(píng)審的方式進(jìn)行，由方評(píng)估人員講解評(píng)估結(jié)果和評(píng)估報(bào)告，并對(duì)專家的提問(wèn)進(jìn)行回答，最終由專家確定項(xiàng)目完成。專家的構(gòu)成可以由我方選擇，或由承擔(dān)評(píng)估服務(wù)的公司進(jìn)行推薦。在進(jìn)行驗(yàn)收時(shí)，包括安全漏洞報(bào)告，安全威脅報(bào)告，風(fēng)險(xiǎn)評(píng)估報(bào)告，安全需求報(bào)告，安全策略建議和安全解決方案。7.5.階段五售后支持在項(xiàng)目驗(yàn)收后，安全評(píng)估項(xiàng)目將轉(zhuǎn)入售后支持階段，安全評(píng)估項(xiàng)目的售后支持主要是顧問(wèn)支持。安全評(píng)估承擔(dān)廠商應(yīng)當(dāng)繼續(xù)承擔(dān)XXXX的安全顧問(wèn)工作，對(duì)風(fēng)險(xiǎn)評(píng)估報(bào)告的具體內(nèi)容進(jìn)行咨詢，解釋報(bào)告內(nèi)容與解決方案，協(xié)助XXXX進(jìn)行后續(xù)項(xiàng)目的規(guī)劃和建設(shè)。結(jié)果文檔過(guò)程文檔?信息調(diào)查表?資產(chǎn)調(diào)查表?漏洞掃描結(jié)果報(bào)告?漏洞列表?威脅初步分析報(bào)告?控制臺(tái)審計(jì)結(jié)果報(bào)告評(píng)估報(bào)告資產(chǎn)評(píng)估報(bào)告漏洞評(píng)估報(bào)告威脅評(píng)估報(bào)告風(fēng)險(xiǎn)評(píng)估報(bào)告安全策略和解決方案建議項(xiàng)目風(fēng)險(xiǎn)控制9.1.原則要求?標(biāo)準(zhǔn)性原則：評(píng)估方案的設(shè)計(jì)和具體實(shí)施都依據(jù)國(guó)內(nèi)和國(guó)外的相關(guān)標(biāo)準(zhǔn)進(jìn)行。?保密性原則：人員安排：掃描和滲透測(cè)試由安全服務(wù)方公司人員獨(dú)立完成；在掃描和滲透測(cè)試中對(duì)結(jié)果數(shù)據(jù)嚴(yán)格保密；測(cè)試結(jié)束后數(shù)據(jù)和資料除必備用以維護(hù)的以外，均交還甲方，且根據(jù)整體方案的保密原則，簽定保密協(xié)議。在測(cè)試結(jié)束以后不利用測(cè)試中的任何數(shù)據(jù)進(jìn)行有損XXXX利益的用途。?可控性原則：參與項(xiàng)目的服務(wù)人員具有可控性，評(píng)估中所使用的工具具有可控性?？煽匦灾饕憩F(xiàn)在這次評(píng)估項(xiàng)目中對(duì)參與人員的安全管理要求，所采用的工具必須具有完全的自主版權(quán)，并經(jīng)過(guò)XXXX審核。?安全性原則：1） 不可避免的影響：目標(biāo)網(wǎng)絡(luò)的安全控制設(shè)備，如防火墻、IDS等系統(tǒng)會(huì)在掃描過(guò)程中發(fā)現(xiàn)并報(bào)告部分非法掃描。2） 可避免的影響：破壞目標(biāo)系統(tǒng)的數(shù)據(jù)；破壞目標(biāo)系統(tǒng)的服務(wù)；影響目標(biāo)系統(tǒng)的網(wǎng)絡(luò)使用；降低目標(biāo)系統(tǒng)和網(wǎng)絡(luò)的性能；目標(biāo)系統(tǒng)數(shù)據(jù)泄露；目標(biāo)應(yīng)用數(shù)據(jù)泄露；安全評(píng)估過(guò)程與同時(shí)間網(wǎng)絡(luò)入侵行為的重疊。?整體性原則：分單個(gè)IP安全性和IP所在段安全威脅分析列出報(bào)表；確保涉及到主機(jī)和網(wǎng)絡(luò)設(shè)備的各個(gè)層面；由單機(jī)和網(wǎng)絡(luò)相結(jié)合分析得出風(fēng)險(xiǎn)值；避免由于遺漏造成未來(lái)安全隱患。9.2.風(fēng)險(xiǎn)控制由于信息安全項(xiàng)目的特殊性，如果控制失當(dāng)，項(xiàng)目本身也會(huì)給證券交易系統(tǒng)的信息安全帶來(lái)不可測(cè)的風(fēng)險(xiǎn)，因此必須通過(guò)項(xiàng)目風(fēng)險(xiǎn)控制的方法對(duì)項(xiàng)目本身的風(fēng)險(xiǎn)進(jìn)行規(guī)避，本項(xiàng)目擬采用法律保障、人力資源控制和密級(jí)控制的方法進(jìn)行風(fēng)險(xiǎn)控制。法律保障信息安全項(xiàng)目的風(fēng)險(xiǎn)控制方法首選是法律保障，通過(guò)簽訂保密協(xié)議的方式，可以將信息安全項(xiàng)目參與者的保密責(zé)任與義務(wù)進(jìn)行詳盡的規(guī)定，并借助法律的威懾有效防范非授權(quán)泄密；在項(xiàng)目正式啟動(dòng)前，所有參與人員（包括甲乙雙方及其它參與的法人和自然人）都應(yīng)針對(duì)該項(xiàng)目簽署保密協(xié)議，并在整個(gè)項(xiàng)目過(guò)程中嚴(yán)格遵守保密協(xié)議。人力資源控制信息安全的風(fēng)險(xiǎn)有很大的一部分來(lái)自于人，對(duì)于信息安全項(xiàng)目的風(fēng)險(xiǎn)控制也是如此，對(duì)項(xiàng)目參與人員的人力資源控制是確保項(xiàng)目風(fēng)險(xiǎn)可控的重要因素，在項(xiàng)目正式啟動(dòng)前，項(xiàng)目參與人員的簡(jiǎn)歷需要經(jīng)過(guò)項(xiàng)目領(lǐng)導(dǎo)小組的審核；在項(xiàng)目進(jìn)行過(guò)程中人力資源的投入或撤出都應(yīng)該經(jīng)過(guò)嚴(yán)格的審核與控制；項(xiàng)目的關(guān)鍵參與人員不應(yīng)該同時(shí)參加中行主要競(jìng)爭(zhēng)對(duì)手的安全項(xiàng)目，避免故意或無(wú)意識(shí)泄密。密級(jí)控制在信息安全體系建設(shè)中將不可避免地涉及到XXXX的核心業(yè)務(wù)或其他敏感信息，由于證券交易業(yè)務(wù)的特殊性，為確保項(xiàng)目的風(fēng)險(xiǎn)可控，需要對(duì)項(xiàng)目涉及的范圍進(jìn)行嚴(yán)格劃分，并針對(duì)不同的安全等級(jí)確立不同的項(xiàng)目實(shí)施方法。

其中，一般區(qū)域的操作可以由安全服務(wù)提供商進(jìn)行，而涉及核心業(yè)務(wù)或重要敏感信息的操作應(yīng)由XXXX的項(xiàng)目人員進(jìn)行，項(xiàng)目顧問(wèn)/安全服務(wù)提供方僅提供工具、方法和支持。項(xiàng)目工作界面10.1.項(xiàng)目組織結(jié)構(gòu)工程項(xiàng)目的組織結(jié)構(gòu)圖詳見(jiàn)下圖：項(xiàng)日領(lǐng)導(dǎo)小蛆客尸方負(fù)責(zé)人項(xiàng)目總負(fù)責(zé)人項(xiàng)日技術(shù)顧耐組客尸方負(fù)責(zé)人項(xiàng)目總負(fù)責(zé)人項(xiàng)日技術(shù)顧耐組現(xiàn)場(chǎng)評(píng)估小組解決方案小組現(xiàn)場(chǎng)評(píng)估小組解決方案小組項(xiàng)目領(lǐng)導(dǎo)小組項(xiàng)目領(lǐng)導(dǎo)小組，是由安全服務(wù)方和客戶的有關(guān)領(lǐng)導(dǎo)組成，主要是對(duì)項(xiàng)目實(shí)施的整個(gè)過(guò)程中的重大問(wèn)題進(jìn)行決策?？蛻舴綄?shí)施負(fù)責(zé)人客戶方實(shí)施負(fù)責(zé)人，從合同簽訂之日起，客戶指定客戶方面的項(xiàng)目負(fù)責(zé)人員，主要是對(duì)安全服務(wù)方的項(xiàng)目總負(fù)責(zé)人進(jìn)行接口，協(xié)調(diào)客戶的資源，解決項(xiàng)目中需要配合的問(wèn)題，推進(jìn)項(xiàng)目的進(jìn)度。項(xiàng)目總負(fù)責(zé)人本項(xiàng)目的項(xiàng)目總負(fù)責(zé)人，從工程項(xiàng)目實(shí)施隊(duì)伍組建之日起，就承擔(dān)了將合同范圍內(nèi)的各項(xiàng)工程任務(wù)全面完成的重要職責(zé)。項(xiàng)目總負(fù)責(zé)人須做好日常資源管理工作，并直接控制項(xiàng)目管理計(jì)劃(PMP)的各個(gè)要素，具體說(shuō)來(lái)主要包括以下幾個(gè)方面：項(xiàng)目執(zhí)行一一對(duì)以下幾方面工作提供指導(dǎo)：總體方案設(shè)計(jì)、工程及應(yīng)用系統(tǒng)設(shè)計(jì)；設(shè)備配置確認(rèn)；工程質(zhì)量和進(jìn)度保證；設(shè)備安裝、調(diào)試、集成及測(cè)試；系統(tǒng)驗(yàn)收，培訓(xùn)等。項(xiàng)目檢查一一通過(guò)其下屬實(shí)施小組提供的工程進(jìn)展匯報(bào)，將項(xiàng)目進(jìn)展?fàn)顟B(tài)與項(xiàng)目計(jì)劃進(jìn)度進(jìn)行比較，發(fā)現(xiàn)過(guò)程誤差，提出調(diào)整措施。項(xiàng)目控制一一審核項(xiàng)目進(jìn)展?fàn)顟B(tài)，必要時(shí)調(diào)集各種備用資源，確保項(xiàng)目按計(jì)劃進(jìn)度實(shí)施。項(xiàng)目協(xié)調(diào)一一與各級(jí)單位進(jìn)行協(xié)調(diào)，解決工程組織接口及技術(shù)接口問(wèn)題；定期主持整個(gè)系統(tǒng)專題協(xié)調(diào)會(huì)，及時(shí)解決各系統(tǒng)間出現(xiàn)的相關(guān)問(wèn)題。項(xiàng)目技術(shù)顧問(wèn)組項(xiàng)目技術(shù)顧問(wèn)組，由安全服務(wù)方的安全方面的專家組成，主要職責(zé)是會(huì)同項(xiàng)目組完成以下各項(xiàng)工程任務(wù)：-系統(tǒng)總體設(shè)計(jì)-對(duì)系統(tǒng)深化設(shè)計(jì)進(jìn)行審核并提出優(yōu)化建議-對(duì)系統(tǒng)進(jìn)行技術(shù)協(xié)調(diào)-對(duì)系統(tǒng)的設(shè)備配置予以確認(rèn)-對(duì)現(xiàn)場(chǎng)設(shè)備安裝、調(diào)試提供必要的技術(shù)支持服務(wù)-工程文檔的審核-協(xié)助項(xiàng)目總負(fù)責(zé)人制訂本項(xiàng)目的質(zhì)量工作計(jì)劃，并貫徹實(shí)施-貫徹公司的質(zhì)量方針、目標(biāo)和質(zhì)量體系文件的有關(guān)規(guī)定和要求-負(fù)責(zé)對(duì)工程任務(wù)全