风险评估标准

风险评估标准 1.0目的 建立风险评估标准的目的在于为IT安全解决方案提供依据和参考。 2.0适用范围 适用于公司所有IT安全的风险分析和评估。 3.0参考 1. Ination technology - Security techniques 一 uation criteria IT security IS0/IEC15408-3 2. 计算机信息系统安全保护等级划分准则GB17859-1999 4.0定义 保密性confidentiality使信息不泄露给非授权的个人、实体或进程， 不为其所用 完整性integrity信息系统中的数据与在原文档中的相同，未遭受偶 然或恶意修改/破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏 或修改的性质 可用性Availability被授权实体所需的资源可被访问与使用，即攻击 者不能占用相关资源而阻碍授权者的工作 抗抵赖性repudiation防止在通信中涉及到的那些实体不承认参 加了该通信 可审查性有依据、有手段地对出现的信息安全问题提供跟踪和调查 5.0内容 5.1安全风险评估的基本步骤 确定需保护的资源，找出该资源的安全弱点和可能有的安全威胁，得出安 全风险等级。然后列举可采取的降低风险的对策，直至风险减小至安全需求允许 的范围。 下图显示了风险评估中的各要素和工作步骤的关系 风险评估过程图 5.1.1明确需安全保护资源 5.1.2评估脆弱性，包括 1. 场所安全 2. 安全流程 3. 系统安全 4. 网络安全 5. 应用安全 5. 1. 3评估威胁 5. 1.4列举安全对策 5. 1. 5损失评估 5. 1. 6确定风险等级 5.2细则 5. 2. 1明确需安全保护资源 1. 网络设备交换机、路由器、HUB、网络布线等 2. 计算机设备个人计算机、便携机、网络服务器、文件服务器、工作站等 3. 存储介质；软盘、硬盘、磁带、光盘、M0等 4. 软件操作系统、数据库、工具软件、办公平台软件、开发用软件等 5. 网上应用系统EMail系统、Internet Proxy服务、Notes系统、MRP 11 SAP、 HR、 WWW、 FTP等 6. 网络服务DNS、DHCP、WINS、网络路由服务等 7. 数据资料电子文档、数据库等 5. 2. 2评估脆弱性 使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系 统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。 1. 场所安全评估 1）对公司场所安全评估，信息安全监控须包含硬件监控。 2）对公司信息安全部安全措施及相关文件评估，包括场所安全、存 储介质安全、硬件安全、紧急事故处理和信息保护等。 3）分析公司安全标准并与业界最佳实践标准进行比较。 4）总结安全措施优缺点及措施实用性。 2. 安全流程评估 1）评估公司的安全管理流程的效率及效用，评估查安全信息保障系统 是否真正保护了至关重要的业务信息，评估管理流程和安全技术是否同时在各方 面发挥作用。 2）针对已有的信息安全标准或规则，通过相关安全接口人员了解情 况，审查各监控环节以确认该环节能够履行监控职责。 3）对各环节中所使用的IT安全监控系统评估安全决策，组织结构， 硬件监控，资产评估及控制，系统安全监控，网络和计算机管理，业务连续性， 应用程序发展和维护，以及服从性。 4）与业界相比对，对所收集到的信息进行分析。 5）总结系统优势及弱势，推荐改进方法，以完善安全系统，降低风险。 3. 系统安全评估 1）评估公司一系列全面办公解决方案、数据库服务器、文件和打印服 务器、应用程序服务器，找出系统弱点。 2）找出公司主要系统平台（如UNIX.Windows/NT）和一些捆绑销售 的组件（如Microsoft Exchange, Lotus Notes, COBRA, Tivoli）的弱点所在。 3）从技术和管理两方面进行评估 a. 技术审查对每一个组件的机制进行真实性、可靠性、可审查 性、保密性、适用性检验，并根据公司书面文件对其进行核查及预警。 b. 管理审查包括听取管理员意见，对该组件相关的书面文件、 标准和措施进行审查。这将保证公司能够发现来自于公司内部或外部的能越过安 全监控的潜在威胁。 5）对系统软件和组件的配置文件是否能让授权用户正常登录进行审 查，同时阻止和发现非授权用户的登录企图。 6）对安全管理监控作以下方面的综合审查计划、组织、人事、资产 分类和监控、硬件监控、资产监控、网络及计算机管理、业务连续性、系统发展 和维护、适用性等。 4. 网络安全评估 1）对公司网络平台的安全设计情况（路由器、防火墙、网络服务器、 应用程序服务器等）进行审查，以确定是否有些功能会存在安全问题。将不受信 任的、外部的网络与内部的、受信任的网络和系统隔离开来。 2）（根据情况需要）模拟入侵者的攻击，必须以可控制的安全的方式 进行。模拟三个方面非法进入内部网络低水平的单个黑客，有一定能力的黑客 小分队，有高度动机的专家黑客队伍。 3）检查系统的配置和管理以及可能在将来引起新的安全问题的因素。 评估内容可以根据需要裁剪，包括系统平台、网络连接、软件和数据库。 4）在技术和管理层面综合性地检查网络方案。技术检查包括多方面的 入侵测试和配置分析，全面了解网络解决方案的长处和不足。管理检查包括访问 管理者和检查安全文件。 5. 应用安全评估 1）全面评估应用程序的体系结构、设计及功能；开发和维护过程； 运行过程及包括运行平台在内的技术组件；使用的网络服务及数据库或使用的运 行平台服务。 2）对应用所采用的过程和技术进行审核，以保证主应用程序的安全性 和保密性要求。对应用程序新的安全代码和支持基础结构的服务进行审核，检查 影响生产环境完整性的一般错误。 3）复查应用程序安全和保密的要求、体系结构规范、功能规范和测试 计划。 4）分析所选择应用程序代码，找出有关代码中的脆弱性。 5）分析操作系统平台、数据库、网络、以及该应用程序可能调用的安 全和保密服务。 6）对现有基础结构中的部件和过程的安全和保密性进行确认。 7）复查客户与安全和保密政策以及相关标准的程序和过程。 5. 2. 3评估威胁 当需要保护的资源被确定后，进一步则需确定所需保护资源存在的威胁。 1. 查非授权访问如没有预先经过同意就使用网络或计算机资源被看作是非 授权访问。如有意避开系统访问控制机制，擅自扩大权限，越权访问信息。 2. 查信息泄漏是否敏感数据在有意或无意中被泄漏出去或丢失。如信息 在传输中或在存储介质中丢失或泄漏，通过隐蔽通道窃取机密信息等。 3. 查数据完整性如非法窃得数据使用权，修改或重发某些重要信息，恶意 添加、修改数据，干扰用户的正常使用。 4. 查拒绝服务攻击查潜在的对网络服务进行干扰的活动，该活动可能造成 系统响应减慢甚至瘫痪，影