风险评估标准
风险评估标准 1.0目的 建立风险评估标准的目的在于为IT安全解决方案提供依据和参考。 2.0适用范围 适用于公司所有IT安全的风险分析和评估。 3.0参考 1. 《Ination technology - Security techniques 一 uation criteria IT security 》IS0/IEC15408-3 2. 《计算机信息系统安全保护等级划分准则》GB17859-1999 4.0定义 保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程, 不为其所用 完整性(integrity):信息系统中的数据与在原文档中的相同,未遭受偶 然或恶意修改/破坏时所具有的性质;或者信息系统中的系统不能被非授权破坏 或修改的性质 可用性(Availability):被授权实体所需的资源可被访问与使用,即攻击 者不能占用相关资源而阻碍授权者的工作 抗抵赖性(repudiation):防止在通信中涉及到的那些实体不承认参 加了该通信 可审查性:有依据、有手段地对出现的信息安全问题提供跟踪和调查 5.0内容 5.1安全风险评估的基本步骤 确定需保护的资源,找出该资源的安全弱点和可能有的安全威胁,得出安 全风险等级。然后列举可采取的降低风险的对策,直至风险减小至安全需求允许 的范围。 下图显示了风险评估中的各要素和工作步骤的关系: 风险评估过程图 5.1.1明确需安全保护资源 5.1.2评估脆弱性,包括: 1. 场所安全 2. 安全流程 3. 系统安全 4. 网络安全 5. 应用安全 5. 1. 3评估威胁 5. 1.4列举安全对策 5. 1. 5损失评估 5. 1. 6确定风险等级 5.2细则 5. 2. 1明确需安全保护资源 1. 网络设备:交换机、路由器、HUB、网络布线等 2. 计算机设备:个人计算机、便携机、网络服务器、文件服务器、工作站等 3. 存储介质;软盘、硬盘、磁带、光盘、M0等 4. 软件:操作系统、数据库、工具软件、办公平台软件、开发用软件等 5. 网上应用系统:EMail系统、Internet Proxy服务、Notes系统、MRP 11 > SAP、 HR、 WWW、 FTP等 6. 网络服务:DNS、DHCP、WINS、网络路由服务等 7. 数据资料:电子文档、数据库等 5. 2. 2评估脆弱性 使用最好的测试工具和技术、使用不同的工作方法,对公司的整体资源系 统的安全进行评估和审查(从技术和管理两方面),找出存在的安全隐患。 1. 场所安全评估 1)对公司场所安全评估,信息安全监控须包含硬件监控。 2)对公司信息安全部安全措施及相关文件评估,包括:场所安全、存 储介质安全、硬件安全、紧急事故处理和信息保护等。 3)分析公司安全标准并与业界最佳实践标准进行比较。 4)总结安全措施优缺点及措施实用性。 2. 安全流程评估 1)评估公司的安全管理流程的效率及效用,评估查安全信息保障系统 是否真正保护了至关重要的业务信息,评估管理流程和安全技术是否同时在各方 面发挥作用。 2)针对已有的信息安全标准或规则,通过相关安全接口人员了解情 况,审查各监控环节以确认该环节能够履行监控职责。 3)对各环节中所使用的IT安全监控系统评估:安全决策,组织结构, 硬件监控,资产评估及控制,系统安全监控,网络和计算机管理,业务连续性, 应用程序发展和维护,以及服从性。 4)与业界相比对,对所收集到的信息进行分析。 5)总结系统优势及弱势,推荐改进方法,以完善安全系统,降低风险。 3. 系统安全评估 1)评估公司一系列全面办公解决方案、数据库服务器、文件和打印服 务器、应用程序服务器,找出系统弱点。 2)找出公司主要系统平台(如:UNIX.Windows/NT)和一些捆绑销售 的组件(如:Microsoft Exchange, Lotus Notes, COBRA, Tivoli)的弱点所在。 3)从技术和管理两方面进行评估: a. 技术审查对每一个组件的机制进行真实性、可靠性、可审查 性、保密性、适用性检验,并根据公司书面文件对其进行核查及预警。 b. 管理审查包括听取管理员意见,对该组件相关的书面文件、 标准和措施进行审查。这将保证公司能够发现来自于公司内部或外部的能越过安 全监控的潜在威胁。 5)对系统软件和组件的配置文件是否能让授权用户正常登录进行审 查,同时阻止和发现非授权用户的登录企图。 6)对安全管理监控作以下方面的综合审查:计划、组织、人事、资产 分类和监控、硬件监控、资产监控、网络及计算机管理、业务连续性、系统发展 和维护、适用性等。 4. 网络安全评估 1)对公司网络平台的安全设计情况(路由器、防火墙、网络服务器、 应用程序服务器等)进行审查,以确定是否有些功能会存在安全问题。将不受信 任的、外部的网络与内部的、受信任的网络和系统隔离开来。 2)(根据情况需要)模拟入侵者的攻击,必须以可控制的安全的方式 进行。模拟三个方面非法进入内部网络:低水平的单个黑客,有一定能力的黑客 小分队,有高度动机的专家黑客队伍。 3)检查系统的配置和管理以及可能在将来引起新的安全问题的因素。 评估内容可以根据需要裁剪,包括系统平台、网络连接、软件和数据库。 4)在技术和管理层面综合性地检查网络方案。技术检查包括多方面的 入侵测试和配置分析,全面了解网络解决方案的长处和不足。管理检查包括访问 管理者和检查安全文件。 5. 应用安全评估 1)全面评估应用程序的:体系结构、设计及功能;开发和维护过程; 运行过程及包括运行平台在内的技术组件;使用的网络服务及数据库或使用的运 行平台服务。 2)对应用所采用的过程和技术进行审核,以保证主应用程序的安全性 和保密性要求。对应用程序新的安全代码和支持基础结构的服务进行审核,检查 影响生产环境完整性的一般错误。 3)复查应用程序安全和保密的要求、体系结构规范、功能规范和测试 计划。 4)分析所选择应用程序代码,找出有关代码中的脆弱性。 5)分析操作系统平台、数据库、网络、以及该应用程序可能调用的安 全和保密服务。 6)对现有基础结构中的部件和过程的安全和保密性进行确认。 7)复查客户与安全和保密政策以及相关标准的程序和过程。 5. 2. 3评估威胁 当需要保护的资源被确定后,进一步则需确定所需保护资源存在的威胁。 1. 查非授权访问:如没有预先经过同意就使用网络或计算机资源被看作是非 授权访问。如:有意避开系统访问控制机制,擅自扩大权限,越权访问信息。 2. 查信息泄漏:是否敏感数据在有意或无意中被泄漏出去或丢失。如:信息 在传输中或在存储介质中丢失或泄漏,通过隐蔽通道窃取机密信息等。 3. 查数据完整性:如非法窃得数据使用权,修改或重发某些重要信息,恶意 添加、修改数据,干扰用户的正常使用。 4. 查拒绝服务攻击:查潜在的对网络服务进行干扰的活动,该活动可能造成 系统响应减慢甚至瘫痪,影