业务系统信息安全风险评估方案
第3章业务系统信息安全风险评估方案
3.1 风险评估概述
3.1.1 背景
该业务系统风险评估的目标是评估业务系统的风险状况，提出风险控制建议，同时为下一步要制定的业务系统安全管理规范以及今后业务系统的安全建设和风险管理提供依据和建议。
需要指出的是，本评估报告中所指的安全风险针对的是现阶段该业务系统的风险状况，反映的是系统当前的安全状态。
3.1.2 范围
该业务系统风险评估范围包括业务系统网络、管理制度、使用或管理业务系统的相关人员以及由业务系统使用时所产生的文档、数据。
3.1.3 评估方式
信息系统具有一定的生命周期，在其生命中期内完成相应的使命。采取必要的安全保护方式使系统在其生命周期内稳定、可靠地运行是系统各种技术、管理应用的基本原则。
本项目的评估主要根据国际标准、国家标准和地方标准，从识别信息系统的资产入手，确定重要资产，针对重要资产分析其面临的安全威胁并识别其存在的脆弱性，最后综合评估系统的安全风险。
资产划分是风险评估的基础，在所有识别的系统资产中，依据资产在机密性、完整性和可用性安全属性的价值不同，综合判定资产重要性程度并将其划分为核心、关键、中等、次要和很低5个等级。
对于列为重要及以上等级的资产，分析其面临的安全威胁。
脆弱性识别主要从技术和管理两个层面，采取人工访谈。现场核查。扫描检测。渗透性测试等方式，找出系统所存在的脆弱性和安全隐患。
对重要资产已识别的威胁、脆弱性，根据其可能性和严重性，综合评估其安全风险。
3.2 该业务系统概况
3.2.1 该业务系统背景
近年来，由于数据量迅速增加，业务量也迅速增长，原先的硬件系统、应用系统和模式已渐渐不适应业务的需求，提升IT管理系统已经成为刻不容缓的事情。
经过仔细论证之后，信息决策部门在IT管理系统升级上达成如下共识：更换新的硬件设备，使用更先进和更强大的主机；在模式上为统一的集中式系统；在系统上用运行和维护效率较高的单库结构替换原有多库系统；在技术上准备使用基于B/S架构的J2EE中间件技术，并且实施999.999%的高可靠性运行方式；在业务上用新型工作流作为驱动新一代业务系统的引擎，真正达到通过以客户为中心来提升利润及通过高效智能的工作流来提高每个行员的劳动生产率，从而降低成本、提高核心竞争力以应对外部的竞争。
3.2.2 网络结构与拓扑图
该系统的网络包含应用服务器组、数据库服务器组、业务管理端、网络连接设备和安全防护设备。业务系统网络通过一台高性能路由器连接分部网络，通过一台千兆以太网交换机连接到其他业务系统。其中业务系统网络内部骨干网络采用千兆位以太网，两台千兆以太网交换机位骨干交换机。网络配备百兆桌面交换机来连接网络管理维护客户机。
具体的网络拓扑图如图3-1所示。
3.2.3 业务系统边界
具体的系统边界图如图3-2所示。
3.2.4 应用系统和业务流程分析
业务系统组织结构划分为总部和分部两个层次，业务系统所涉及的绝大多数业务流程都需要经过多级业务管理部门进行处理，业务流程复杂且流程跨度比较大。
其次，业务系统处理流程十分繁杂。在对客户申请审批处理过程中，必然会出现反复的提交、上报、退回等操作，并且可以将任务退回到指定的岗位上，然后再次上报提交。在同一个审批过程中，根据客户的不同级别，可能需要提交到上级授信管理部门，也可能提交到上级的风险管理部门。
3.3 资产识别
3.3.1 资产清单
资产识别通过分析信息系统的业务流程和功能，从业务数据的完整性、可用性和机密性的保护要求出发，识别出对CIA三性有一定影响的信息流及其承载体或周边设备。
在本次业务系统评估中进行的资产分类，主要分为网络设备、主机系统、服务器系统、数据和文档资产5个方面。
（1）网络设备资产网络设备重要资产如表3-1所示。
表3-1 网络设备重要资产表
资产编号资产名称型号资产描述
ASSET_01 3com交换机-01 3com 2345 二级交换机
ASSET_02 Cisco交换机-01 Cisco 6509 骨干交换机
ASSET_03 Cisco交换机-02 Cisco 7507 骨干交换机
ASSET_04 Cisco交换机-03 Cisco 7034 骨干交换机
ASSET_05 Cisco路由器-01 Cisco 6500 骨干路由器
ASSET_06 Net Screen防火墙-01 FW-0080 防火墙
（2）主机系统资产主机系统重要资产如表3-2所示。
表3-2 主机重要资产表
资产编号资产名称型号资产描述
ASSET_07 PC_01 Windows XP 业务处理客户端
ASSET_08 PC_02 Windows XP 业务处理客户端
（3）服务器资产服务器重要资产如表3-3所示。
表3-3 服务器重要资产表
资产编号资产名称型号资产描述
ASSET_09 APP 服务器Windows 2000 Server 业务处理客户端
ASSET_10 DB 服务器Windows 2000 Server 业务处理客户端
（4）数据和文档资产数据和文档重要资产如表3-4所示。
表3-4数据和文档资产重要资产表
资产编号资产名称资产描述
ASSET_11 客户基本信息DB服务器中的客户基本信息
ASSET_12 客户基本信息DB服务器中的客户存款信息
ASSET_13 财务报告财务报告
ASSET_14 审计日志审计日志
ASSET_15 管理制度管理制度
3.3.2 资产赋值
资产赋值对识别的信息资产，按照资产的不同安全属性，即机密性、完整性和可用性的重要性和保护要求，分别对资产的CIA三性予以赋值。
三性赋值分为5个等级，分别对应了改项信息资产的机密性、完整性和可用性的不同程度的影响，下面是赋值依据。
1.机密性（Confidentiality）赋值依据
根据资产机密性属性的不同，将它分为5个不同的等级，分别对应资产在机密性方面的价值或者在机密性方面受到损失时对整个评估的影响。机密性赋值依据如表2-6所示。2. 完整性（Integrity）赋值依据
根据资产完整性属性的不同，将它分为5个不同的等级，分别对应资产在完整性方面的价值或者在完整性方面受到损失时对整个评估的影响。完整性赋值依据如表2-7所示。3.可用性（Availability）赋值依据
根据资产可用性属性的不同，将它分为5个不同的等级，分别对应资产在可用性方面的价值或者在可用性方面受到损失时对整个评估的影响。可用性赋值依据如表2-8所示。
根据资产的不同安全属性，即机密性、完整性和可用性的等级划分原则，采用专家指定的方法对所有资产的CIA三性予以赋值。赋值后的资产清单如表3-5所示。
表3-5 资产CIA三性等级表
资产编号资产名称机密性完整性可用性
ASSET_01 3com交换机-01 3 3 3
ASSET_02 Cisco交换机-01 4 4 4
ASSET_03 Cisco交换机-02 4 4 4
ASSET_04 Cisco交换机-03 4 4 4
ASSET_05 Cisco路由器-01 5 4 4
ASSET_06 Net Screen防火墙-01 4 4 4
ASSET_07 PC_01 3 3 4
ASSET_08 PC_02 3 4 3
ASSET_09 APP 服务器 5 4 5
ASSET_10 DB 服务器 5 4 5
ASSET_11 客户基本信息 5 4 4
ASSET_12 客户基本信息 5 5 5
ASSET_13 财务报告 4 3 3
ASSET_14 审计日志 3 3 3
ASSET_15 管理制度 3 3 3
3.3.3 资产分级
资产价值应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出。根据本系统的业务特点，采取相乘法决定资产的价值。计算公式如下：
=
?
(
v?
,
,
=)
y
z
x
z
x
y
f
其中：v表示资产价值，x表示机密性，y表示完整性，z表示可用性。
资产的CIA三性如表3-9所示，根据式（3.1）可以计算出资产的价值。例如取资产ASSET_01三性值代入式（3.1），得
=
=f
v
?
)3,3,3(?
3
3
3
得资产ASSET_01的资产价值=3。依次类推得到本系统资产的价值清单如表3-6所示。
表3-6 资产价值表
资产编号资产名称机密性完整性可用性资产价值ASSET_01 3com交换机-01 3 3 3 3
ASSET_02 Cisco交换机-01 4 4 4 4
ASSET_03 Cisco交换机-02 4 4 4 4
ASSET_04 Cisco交换机-03 4 4 4 4
ASSET_05 Cisco路由器-01 5 4 4 4.3
ASSET_06 Net Screen防火墙-01 4 4 4 4
ASSET_07 PC_01 3 3 4 3.3
ASSET_08 PC_02 3 4 3 3.3
ASSET_09 APP 服务器 5 4 5 4.7
ASSET_10 DB 服务器 5 4 5 4.7
ASSET_11 客户基本信息 5 4 4 4.3
ASSET_12 客户基本信息 5 5 5 5
ASSET_13 财务报告 4 3 3 3.3
ASSET_14 审计日志 3 3 3 3
ASSET_15 管理制度 3 3 3 3
为与上述安全属性的赋值相对应，根据最终赋值将资产划分为5级，级别越高表示资产越重要。不同等级的资产重要性程度判断准则如表2-11所示。
表2-11 资产重要性程度判断准则
资产价值资产等级资产等级值定义
4.2﹤x≤5 很高 5 价值非常关键，损害或破坏会影响全局，造成重大的或无法
接受的损失，对业务冲击重大，并可能造成严重的业务中断，
损失难以弥补
3.4﹤x≤
4.2 高 4 价值非常重要，损害或破坏会对该部门造成重大影响，对业
务冲击严重，损失比较难以弥补
2.6﹤x≤
3.4 中 3 价值中等，损害或破坏会对该部门造成影响，对业务冲击明
显，但损失可以弥补
1.8﹤x≤
2.6 低 2 价值较低，损害或破坏会对该部门造成轻微影响，可以忍受，
对业务冲击轻微，损失容易弥补
1x≤1.8 很低 1 价值非常低，属于普通资产，损害或破坏会对该部门造成的
影响可以忽略，对业务冲击可以忽略
根据资产重要性程度判断准则，可以得到资产的等级。本系统的资产等级如表3-7所示。
表3-7 资产价值表
资产编号资产名称资产价值资产等级资产等级值
ASSET_01 3com交换机-01 3 中 3
ASSET_02 Cisco交换机-01 4 高 4
ASSET_03 Cisco交换机-02 4 高 4
ASSET_04 Cisco交换机-03 4 高 4
ASSET_05 Cisco路由器-01 4.3 高 4
ASSET_06 Net Screen防火墙-01 4 高 4
ASSET_07 PC_01 3.3 中 3
ASSET_08 PC_02 3.3 中 3
ASSET_09 APP 服务器 4.7 很高 5
ASSET_10 DB 服务器 4.7 很高 5
ASSET_11 客户基本信息 4.3 很高 5
ASSET_12 客户基本信息 5 很高 5
ASSET_13 财务报告 3.3 中 3
ASSET_14 审计日志 3 中 3
ASSET_15 管理制度 3 中 3
3.4 威胁识别
3.4.1 威胁概述
安全威胁是一种对系统及其资产构成潜在破坏的可能性因素或者事件。无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。
产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素又可区分为有意和无意两种，环境因素包括自然界的不可抗的因素和其他物理因素。威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性和可用性等方面造成损害，也可能是偶发的或蓄意的事件。一般来说，威胁总是要利用网络、系统、应用或数据的弱点可能成功地对造成造成伤害。安全事件及其后果是分析威胁的重要依据。
根据威胁出现频率的不同，将它分为5个不同的等级。以此属性来衡量威胁，具体的判断准则如表2-13所示。
表2-13 威胁出现频率判断准则
等级出现频率描述
5 很高威胁利用弱点发生危害的可能性很高，在大多数情况下几乎不可避免或者可
以证实发生过的频率较高
4 高威胁利用弱点发生危害的可能性较高，在大多数情况下很有可能会发生或者
可以证实曾发生过
3 中威胁利用弱点发生危害的可能性中等，在某种情况下可能会发生但未被证实
发生过
2 低威胁利用弱点发生危害的可能性较小，一般不太可能发生，也没有被证实发
生过
1 很低威胁利用弱点发生危害几乎不可能发生，仅可能在非常罕见和例外的情况下
发生
3.4.2 业务系统威胁识别
对业务系统的威胁分析首先对于重要资产进行威胁识别，分析其威胁来源和种类。在本次评估中，主要采用了问卷法和技术检测来获得威胁的信息。问卷法主要收集一些管理方面的威胁，技术检测主要通过分析IDS的日志信息来获取系统面临的威胁。表3-8为本次评估分析得到的威胁来源、威胁种类以及威胁发生的频率。
表3-8 国际业务系统潜在的安全威胁来源列表
威胁来源威胁来源描述
恶意内部人员因某种原因，系统内部人员对信息系统进行恶意破坏；采用自主的或内外勾结的方式盗窃机密信息或进行篡改，获取利益
无恶意内部人员系统内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵循规章制度和操作流程而导致故障或被攻击；内部人员由于缺乏培训，专业技能不足，不具备岗位技能要求而导致信息系统故障或被攻击
外部人员攻击非业务系统的外部人员利用信息系统的脆弱性，对网络和系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力
第三方主要指来自合作伙伴、服务提供商、外包服务提供商、渠道和其他与本组织的信息系统有联系的第三方的威胁
设备故障由于意外事故或软件、硬件，数据、通信线路方面的故障所造成的威胁
环境因素、意外事故由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境条件和自然灾害所造成的威胁
依据威胁出现判断准则，得到的威胁出现频率如表3-9所示。
表3-9 业务系统面临的安全威胁种类
威胁编号威胁类别出现频率威胁描述
THREAT-01 硬件故障中由于设备硬件故障、通信链路中断导致对业务高效稳定运行的影响
THREAT-02 软件故障中系统本身或软件缺陷导致对业务高效稳定运行的影响
THREAT-03 恶意代码和病毒很高具有自我复制、自我传播能力，对信息系统构成破坏的程序代码
THREAT-04 维护错误或操作失误中由于应该执行而没有执行相应的操作，或非故障地执行了错误的操作，对系统造成影响
THREAT-05 物理环境威胁中环境问题和自然灾害
THREAT-06 未授权访问高因系统或网络访问控制不当引起的非授权访问
THREAT-07 权限滥用高滥用自己的职权，做出泄露或破坏信息系统及数据的行为
THREAT-08 探测窃密高通过窃听、恶意攻击的手段获取系统秘密信息
THREAT-09 数据篡改高通过恶意攻击非授权修改信息，破坏信息的完整性
THREAT-10 控制和破坏中通过恶意攻击非授权控制系统并破坏整个系统或数据
THREAT-11 漏洞利用很高利用系统漏洞进行攻击
THREAT-12 电源中断低电源因某种原因中断
THREAT-13 抵赖低不承认收到的信息和所作的操作
3.5 脆弱性识别
脆弱性识别主要从技术和刚来两个方面进行评估，详细的评估结果如下所述。采用工具扫描、配置核查、策略文档分析、安全审计、网络架构分析业务、业务流程分析、应用软件分析等方法。
根据脆弱性严重程度的不同，将它分为5个不同的等级。具体的判断准则如表2-16所示。
表2-16 脆弱性严重程度分为级表
威胁编号威胁类别出现频率威胁描述
5 很高该脆弱性若被威胁利用，可以造成资产全部损失或业务不可用
4 高该脆弱性若被利用，可以造成资产重大损失，业务中断等严重影响
3 中等该脆弱性若被利用，可以造成资产损失，业务受到损害等影响
2 低该脆弱性若被利用。可以造成资产较少损失，但能在较短的时间可以
受到控制
1 很低该脆弱性可能造成资产损失可以忽略，对业务无损害，轻微或可忽略
等影响
3.5.1 技术脆弱性评估
技术脆弱性识别主要从现有安全技术措施的合理性和有效性来划分。评估的详细结果如表3-10所示。
表3-10 技术脆弱性评估结果
资产ID与名称脆弱性ID 脆弱性名称严重程
度
脆弱性描述
ASSET_01:3 Com交换机
-01 VULN_01
一些IOS中的默认配置并
不需要，但不关闭
高
一些IOS中的默认配置并不需
要，但不关闭
VULN_02 Finger服务未关闭高Finger服务未关闭
ASSET_02:Ci sco交换机-01 VULN_03 没有日志记录中没有日志记录
VULN_04 CSCdz39284 中
当发送畸形的数据包时，可能导
致远程的IOS瘫痪
ASSET_03:Ci sco交换机-02 VULN_05 CSCdw33027 中
发送畸形的SSH数据包时，可能
导致远程IOS瘫痪
VULN_06 CSCds04747 高
Cisco公司的IOS软件有一个漏
洞，该漏洞允许获得tcp的初始
序列号
ASSET_04:Ci sco交换机-03 VULN_07
没有配备Service
Password-Encryption服务
高
没有配备Service
Password-Encryption服务VULN_08
没有修改SNMP的默认字
符串
中
没有修改SNMP的默认字符串
ASSET_05:Ci sco路由器-01 VULN_09
Cisco IOS界面被Ipv4数据
包阻塞
中
通过发送不规则Ipv4数据包可以
阻塞远程路由器，攻击者可以利
用该漏洞使路由器无法工作
VULN_10 Cisco路由器未设置密码中Cisco路由器未设置密码，这就允许攻击者获得关于无聊的更多信息，而且如果未设置enable口令，攻击者将会关闭设备
ASSET_06:N et Screen防火
墙-01 VULN_11 防火墙开放端口增加很高防火墙开放端口增加VULN_12 防火墙关键模块失效高
防火墙关键模块失效
ASSET_07:P
C-01 VULN_13
使用NetBIOS探测
Windows主机信息
很高
使用NetBIOS探测Windows主
机信息
VULN_14 恶意代码高PC易遭受恶意代码攻击
VULN_15 病毒高PC易遭受病毒攻击
ASSET_08:P
C-02 VULN_16 Blackmoon FTP明文口令很高
在blackmoon.mdb文件中，用明
文存储FTP服务器的用户名和密
码，该主机上任何有账号的用户
都可以读取该文件
VULN_17 MUP overlong request 高
Microsoft Windows操作系统
MUP中的缓冲溢出允许本地用
户引起拒绝服务，或者通过UNC
请求获得系统权限
VULN_18 木马和后门高PC易遭受木马和后门攻击
ASSET_09:D B服务器VULN_19
ADMIN_RESTR ICTIONS
旗标没有设置
很高
监听器口令没有正确设置，攻击
者可以修改监听器参数
VULN_20 监听器口没有设置很高
如果监听器口令没有设置，攻击
者可以利用监听服务在操作系统
上写文件，从而可能获得Oracle
数据库的账号
ListenerPasswordSet=OFF
ASSET_10:A PP服务器VULN_21 SMB登录中SMB登录
VULN_22 Telnet漏洞高Telnet漏洞
VULN_23 可以通过SMB连接注册表很高可以通过SMB连接注册表
3.5.2 管理脆弱性评估
本部分主要描述该业务系统目前的信息安全管理上存在的安全弱点现状以及风险现状，并标识其严重程度。评估的详细结果如表3-11所示。
表3-11 管理脆弱性评估结果
资产ID与名称脆弱性ID 脆弱性名称严重程度脆弱性描述ASSET_11:客户
基本信息
VULN_24 没有访问控制措施高没有访问控制措施ASSET_12:客户
存款信息
VULN_25 没有修改控制措施高没有修改控制措施ASSET_13:财务
报告
VULN_25 没有修改控制措施高没有修改控制措施ASSET_14:审计VULN_26 没有修改控制措施高没有修改控制措施
日志
ASSET_15:管理
制度
VULN_27 供电系统情况脆弱性 底 没有配置UPS ，没有专用
的供电线路 VULN_28
机房安全制度脆弱性
底
没有严格的执行机房安全
管理制度
3.6 风险分析
3.6.1 风险计算方法
在完成了资产识别、威胁识别、脆弱性识别，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件的可能性。综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险。以下面的范式形式化加以说明：
))V ,F(I V),R(L(T,V)T,R(A,a a ==风险值
其中：R 表示安全风险计算函数，A 表示资产，T 表示威胁出现频率，V 表示脆弱性，I a 表示安全事件所作用的资产价值，V a 表示脆弱性严重程度，L 表示威胁利用资产的脆弱性导致安全事件发生的可能性，F 表示安全事件发生后产生的损失。
风险计算的过程中有三个关键计算环节：
1．计算安全发生的可能性
根据威胁出现频率及脆弱性的状况，计算威胁利用脆弱性导致安全事件发生的可能性，即：
安全事件发生的可能性=L （威胁出现频率，脆弱性）=L （T ，V ）
在计算安全事件发生的可能性时，本系统采用矩阵进行计算。二维矩阵见表2-19。
表2-19 安全事件可能性计算二维矩阵表
脆弱性
威胁出现频率
1
2
3
4
5
1 2 4 7 9 12 2 3 6 10 14 17 3 5 9 12 16 20 4 7 11 14 20 22 5
8
12
17
22
25
如资产ASSET_01的漏洞利用威胁发生频率为5，资产ASSET_01一些IOS 中的默认配置未关闭脆弱性严重等级为4，根据威胁出现频率值和脆弱性严重程度值在矩阵中进行对照则：
安全事件发生的可能性=L （威胁出现频率，脆弱性）
=L （5,4）=22
根据计算得到安全事件发生可能性值的不同，将它分为5个不同的等级，分别对应安全事件发生可能性的程度。划分的原则见表2-20。
表2-20 安全事件发生可能等级判断准则
安全事件发生可能性值 1～5 6～10 11～15 16～20 21～25 发生可能性等级
2
2
3
4
5
根据安全事件发生可能程度判断准则，则发生可能性等级为5。
2．计算安全事件发生后的损失
根据资产价值及脆弱性严重程度，计算安全事件一旦发生后的损失，即：
安全事件的损失=F（资产价值，脆弱性严重程度）
=F（I a，V a）
在计算安全事件的损失时，本系统采用矩阵法进行计算。该二维矩阵见表2-21。
表2-21 安全事件损失计算二维矩阵表
1 2 3 4 5
脆弱性严重程度
资产价值
1 2 4 7 10 13
2 3 6 9 12 16
3 4 7 11 15 20
4 5 8 14 19 22
5 6 12 16 21 25
如资产ASSET_01的资产价值等级为3，资产ASSET_01一些IOS 中的默认配置未关闭脆弱性严重等级为4，根据资产价值等级和脆弱性严重程度值在矩阵中进行对照，则：
安全事件的损失=F（资产价值，脆弱性严重程度）
=F（3,4）=15
根据计算得到安全事件的损失的不同，将它分为5个不同的等级，分别对应安全事件的损失程度。划分的原则见表2-22。
表2-22 安全事件等级判断准则
安全事件损失值1～5 6～10 11～15 15～20 21～25
安全事件损失等级 1 2 3 4 5 根据安全事件损失程度判断准则判断，则安全事件损失等级为3。
3．计算风险值
根据计算出的安全事件发生的可能性以及安全事件的损失，计算风险值，即：
风险值=R（安全事件发生的可能性，安全事件的损失）
=R（L（T，V），F（I a，V a））
在计算风险值时，本系统采用矩阵法进行计算。该二维矩阵见表2-23。
表2-23 风险计算二维矩阵表
1 2 3 4 5
安全事件发生的可能性
安全事件的损失
1 3 6 9 1
2 16
2 5 8 11 15 18
3 6 9 13 18 21
4 7 11 16 21 23
5 9 14 20 23 25
如资产ASSET_01的安全事件发生的可能性程度为5，安全事件的损失等级为3，根据资产价值等级和脆弱性严重程度值在矩阵中进行对照，则：
风险值=R（L（T，V），F（I a，V a））=R（5,3）=21 根据计算得到风险值的不同，将它分为5个不同的等级。划分的原则见表2-24。
表2-24 风险等级判断准则
风险值1～6 7～12 13～18 19～23 24～25 风险等级很低低中高很高
3.6.2 风险分析
1．硬件资产风险分析
利用得到的资产识别、威胁识别和脆弱性识别结果，根据风险分析原理，评估得到本系统的硬件资产风险如表3-12所示。
表3-12 硬件资产风险分析表
资产ID与名称资产
等级
威胁ID
威胁
名称
可能
性等
级
脆弱性ID 脆弱性名称
严重
程度
等级
ASSET_01:3
Com交换机
-01 3
THREAT-11
漏洞
利用
5 VULN_01
一些IOS中的默认配置并
不需要，但不关闭
4 THREAT-11
漏洞
利用
5 VULN_02 Finger服务未关闭 4
ASSET_02:Ci sco交换机-01 4
THREAT-11
漏洞
利用
5 VULN_03 没有日志记录 3
THREAT-11
漏洞
利用
5 VULN_04 CSCdz39284 3
ASSET_03:Ci sco交换机-02 4
THREAT-11
漏洞
利用
5 VULN_05 CSCdw33027 3
THREAT-11
漏洞
利用
5 VULN_0
6 CSCds0474
7 4
ASSET_04:Ci sco交换机-03 4
THREAT-11
漏洞
利用
5 VULN_07
没有配备Service
Password-Encryption服
务
4 THREAT-11
漏洞
利用
5 VULN_08
没有修改SNMP的默认
字符串
3
ASSET_05:Ci sco路由器-01 4
THREAT-06
未授
权访
问
4 VULN_09
Cisco IOS界面被Ipv4数
据包阻塞
3 THREAT-11
漏洞
利用
5 VULN_10 Cisco路由器未设置密码 3
ASSET_06:N
et Screen防火
墙-01 4
THREAT-06
未授
权访
问
4 VULN_11 防火墙开放端口增加 5
THREAT-06
未授
权访
4 VULN_12 防火墙关键模块失效 4
问
ASSET_07:P
C-01 3
THREAT-09
数据
篡改
4 VULN_13
使用NetBIOS探测
Windows主机信息
5 THREAT-03
恶意
代码
和病
毒
4 VULN_14 恶意代码 4
THREAT-03
恶意
代码
和病
毒
4 VULN_1
5 病毒 4
ASSET_08:P
C-02 3
THREAT-08
探测
窃密
4 VULN_16
Blackmoon FTP明文口
令
5 THREAT-09
数据
篡改
3 VULN_17 MUP overlong request 4
THREAT-03
恶意
代码
和病
毒
4 VULN_18 木马和后门 4
ASSET_09:D B服务器5
THREAT-06
未授
权访
问
4 VULN_19
ADMIN_RESTR
ICTIONS旗标没有设置
5 THREAT-11
漏洞
利用
5 VULN_20 监听器口没有设置 5
ASSET_10:A PP服务器5
THREAT-06
未授
权访
问
4 VULN_21 SMB登录 3
THREAT-11
漏洞
利用
5 VULN_22 Telnet漏洞 4
THREAT-11
漏洞
利用
5 VULN_23
可以通过SMB连接注册
表
5
下面以资产ASSET_01为例计算该资产的风险值和风险等级。
（1）计算安全事件发生的可能性。
根据威胁出现频率及脆弱性的状况，在计算安全事件发生的可能性时，本系统采用矩阵法进行计算。该二维矩阵见表2-26。
表2-26 安全事件可能性计算二维矩阵表
脆弱性严重程度
资产价值
1 2 3 4 5
1 2 4 7 9 12
2 3 6 10 14 17
3 5 9 12 16 20
4 7 11 14 20 22
5 8 12 17 22 25
资产ASSET_01的漏洞利用威胁发生频率=5，资产ASSET_01一些IOS中的默认配置未关闭脆弱性=4，根据安全事件肯下计算矩阵，则：
安全事件发生的可能性=22
安全事件发生可能等级判断准则见表2-27。
表2-27安全事件发生可能等级判断准则
安全事件可能性值1～5 6～10 11～5 16～20 21～25
发生可能性等级 1 2 3 4 5
根据安全事件发生可能程度判断准则判断，则：
安全事件发生可能性等级=5
（2）计算安全事件发生后的损失。
根据资产价值及脆弱性严重程度，在计算安全事件的损失时，本系统采用矩阵法进行计算。该二维矩阵见表2-28。
表2-28 安全事件损失计算二维矩阵表
1 2 3 4 5
脆弱性严重程度
资产价值
1 2 4 7 10 13
2 3 6 9 12 16
3 4 7 11 15 20
4 5 18 14 19 22
5 6 112 16 21 25
资产ASSET_01的资产价值等级=3，一些IOS中的默认配置未关闭脆弱性严重等级=4。根据资产价值等级和脆弱性严重程度值在矩阵中进行对照，则：
安全事件的损失=F（资产价值，脆弱性严重程度）
=F（3,4）
=15
安全事件损失等级判断准则见表2-29。
表2-29 安全事件损失等级判断准则
安全事件损失值1～5 6～10 11～15 16～20 21～25
安全事件损失等级 1 2 3 4 5
根据安全事件损失程度判断准则判断，则：
安全事件损失等级=3
（3）计算风险值
根据计算出的安全事件发生的可能性以及安全事件的损失，在计算风险值时，本系统采用矩阵法进行计算。该二维矩阵见表2-30。
根据计算出的安全事件发生的可能性以及安全事件的损失，在计算风险值时，本系统采用矩阵法进行计算。
表2-30 该二维矩阵如所示。
安全事件发生的可
能性
1 2 3 4 5
安全事件的
损失1 3 6 9 12 16
2 5 8 11 15 18
3 6 9 13 18 21
4 7 11 16 21 23
5 9 14 20 23 25
资产ASSET_01的安全事件发生的可能性程度=5，安全事件的损失等级=3。根据资产价值等级和脆弱性严重程度值在矩阵中进行对照，则：
风险值=12
根据风险等级判断准则判断，则：
风险等级=高
其他硬件资产的风险值和风险等级计算过程类同，通过风险计算，得到本系统的硬件资产的风险状况如表3-13所示。
表3-13 硬件资产风险分析结果表
资产ID与名称资产
等级
威胁ID
威胁
名称
可能
性等
级
脆弱性ID 脆弱性名称
严重
程度
等级
风险
值
风险
等级
ASSET_01:3
Com交换机
-01 3
THREAT-11
漏洞
利用
5 VULN_01
一些IOS中的默认配置并
不需要，但不关闭
4 21 高
THREAT-11
漏洞
利用
5 VULN_02 Finger服务未关闭 4 21 高
ASSET_02:Ci sco交换机-01 4
THREAT-11
漏洞
利用
5 VULN_03 没有日志记录 3 17 中
THREAT-11
漏洞
利用
5 VULN_04 CSCdz39284 3 17 中
ASSET_03:Ci sco交换机-02 4
THREAT-11
漏洞
利用
5 VULN_05 CSCdw33027 3 17 中
THREAT-11
漏洞
利用
5 VULN_0
6 CSCds0474
7 4 23 高
ASSET_04:Ci sco交换机-03 4
THREAT-11
漏洞
利用
5 VULN_07
没有配备Service
Password-Encryption服
务
4 23 高
THREAT-11
漏洞
利用
5 VULN_08
没有修改SNMP的默认
字符串
3 17 中
ASSET_05:Ci sco路由器-01 4
THREAT-06
未授
权访
问
4 VULN_09
Cisco IOS界面被Ipv4数
据包阻塞
3 16 中
THREAT-11
漏洞
利用
5 VULN_10 Cisco路由器未设置密码 3 20 高
ASSET_06:N
et Screen防火
墙-01 4
THREAT-06
未授
权访
问
4 VULN_11 防火墙开放端口增加
5 23 高
THREAT-06
未授
权访
问
4 VULN_12 防火墙关键模块失效 4 20 高
ASSET_07:P
C-01 3
THREAT-09
数据
篡改
4 VULN_13
使用NetBIOS探测
Windows主机信息
5 23 高
THREAT-03
恶意
代码
和病
毒
4 VULN_14 恶意代码 4 17 中
THREAT-03
恶意
代码
和病
毒
4 VULN_1
5 病毒 4 17 中
ASSET_08:P
C-02 3
THREAT-08
探测
窃密
4 VULN_16
Blackmoon FTP明文口
令
5 23 高
THREAT-09
数据
篡改
3 VULN_17 MUP overlong request
4 17 中
THREAT-03
恶意
代码
和病
毒
4 VULN_18 木马和后门 4 17 中
ASSET_09:D B服务器5
THREAT-06
未授
权访
问
4 VULN_19
ADMIN_RESTR
ICTIONS旗标没有设置
5 25 很高
THREAT-11
漏洞
利用
5 VULN_20 监听器口没有设置 5 25 很高
ASSET_10:A PP服务器5
THREAT-06
未授
权访
问
4 VULN_21 SMB登录 3 16 中
THREAT-11
漏洞
利用
5 VULN_22 Telnet漏洞 4 25 很高
THREAT-11
漏洞
利用
5 VULN_23
可以通过SMB连接注册
表
5 25 很高
2．其他资产风险
利用得到的资产识别、威胁识别和脆弱性识别结果，根据风险分析原理，评估得到本系统的其他资产风险如表3-14所示。
表3-14 其他资产风险分析表
资产ID与名称资产
等级
威胁ID
威胁名
称
可能性
等级
脆弱性ID
脆弱
性名
称
严重
程度
ASSET_11:客户基本信息5
THREAT-07
滥用权
限
4 VULN_24
没有
访问
控制
措施
4 THREAT-09
数据篡
改
3 VULN_25
没有
修改
控制
措施
4 THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4
ASSET_12:客户存款信息5
THREAT-09
数据篡
改
3 VULN_25
没有
修改
控制
措施
4 THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4
ASSET_13:财
务报告3 THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4
ASSET_14:审
计日志3 THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4
其他资产的风险值和风险等级计算过程与硬件资产的计算过程类同，通过风险计算，得到本系统的其他资产风险状况如表3-15所示。
表3-15 其他资产风险分析结果表
资产ID与名
称资产等
级
威胁ID
威胁
名称
可能性
等级
脆弱性ID
脆弱
性名
称
严重
程度
等级
风险
值
风险
等级
ASSET_11:客户基本信息5
THREAT-07
滥用
权限
4 VULN_24
没有
访问
控制
措施
4 12 底
THREAT-09
数据
篡改
3 VULN_25
没有
修改
控制
措施
4 12 底
THREAT-13 抵赖 2 VULN_25
没有
修改
4 8 底
控制措施
ASSET_12:客户存款信息5
THREAT-09
数据
篡改
3 VULN_25
没有
修改
控制
措施
4 12 底
THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4 8 底
ASSET_13:财务报告3 THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4 6 很低
ASSET_14:审计日志3 THREAT-13 抵赖 2 VULN_25
没有
修改
控制
措施
4 6 很低
3.6.3 风险统计
综合风险分析的结果，得到本系统风险的统计表如表3-16所示。
表3-16 资产风险汇总表
风险项很高高中底很低硬件 4 9 10 0 0
其他0 0 0 5 2
共计 4 9 10 5 2
风险评估实施方案
风险评估实施方案
一、风险评估概述 1、风险服务的重要性 对于构建一套良好的信息安全系统，需要对整个系统的安全风险有一个清晰的认识。只有清晰的了解了自身的弱点和风险的来源，才能够真正的解决和削弱它，并以此来构建有着对性的、合理有效的安全策略，而风险评估既是安全策略规划的第一步，同时也是实施其它安全策略的必要前提。 近几年随着几次计算机蠕虫病毒的大规模肆虐攻击，很对用户的网络都遭受了不同程度的攻击，仔细分析就会发现，几乎所有的用户都部署了防病毒软件和类似的安全防护系统，越来越多的用户发现淡村的安全产品已经不能满足现在的安全防护体系的需求了。 安全是整体的体系建设过程，根据安全的木桶原理，组织网络的整个安全最大强度取决于最短最脆弱的那根木头，因此说在安全建设的过程中，如果不仔细的找到最短的那根木头，而盲目的在外面加钉子，并不能改进整体强度。 信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制，只有经过全面的风险评估，才能让客户对自身信息安全的状况做出准确的判断。 2、风险评估服务的目的及其意义 信息安全风险是指人为或自然的威胁利用信息系统及其团里
体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。她要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组造成的影响。 信息安全风险评估是信息系统安全保障机制建立过程中的一种评价方法，其结果为信息安全更显管理提供依据。 3、风险评估服务机制 在信息系统生命周期里，有许多种情况必须对信息系统所涉及的人员、技术环境、物理环境进行风险评估： ●在设计规划或升级新的信息系统时； ●给当前的信息系统增加新应用时； ●在与其它组织（部门）进行网络互联时； ●在技术平台进行大规模更新（例如，从Linux系统移植到 Sliaris系统）时； ●在发生计算机安全事件之后，或怀疑可能会发生安全事件 时； ●关心组织现有的信息安全措施是否充分或食后具有相应的安 全效力时；
信息安全风险评估报告
1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期
报告编写人: 日期： 批准人：日期： 版本号：第一版本日期 第二版本日期 终板
目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)
5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)
信息安全风险评估方法
从最开始接触风险评估理论到现在，已经有将近5个年头了，从最开始的膜拜捧为必杀技，然后是有一阵子怀疑甚至预弃之不用，到现在重拾之，尊之为做好安全的必备法宝，这么一段起起伏伏的心理历程。对风险的方法在一步步的加深，本文从风险评估工作最突出的问题：如何得到一致的、可比较的、可重复的风险评估结果，来加以分析讨论。 1. 风险评估的现状 风险理论也逐渐被广大信息安全专业人士所熟知，以风险驱动的方法去管理信息安全已经被大部分人所共知和接受，这几年国内等级保护的如火如荼的开展，风险评估工作是水涨船高，加之国内信息安全咨询和服务厂商和机构不遗余力的推动，风险评估实践也在不断的深入。当前的风险评估的方法主要参照两个标准，一个是国际标准《ISO13335信息安全风险管理指南》和国内标准《GB/T 20984-2007信息安全风险评估规范》，其本质上就是以信息资产为对象的定性的风险评估。基本方法是识别并评价组织/企业内部所要关注的信息系统、数据、人员、服务等保护对象，在参照当前流行的国际国内标准如ISO2700 2,COBIT，信息系统等级保护，识别出这些保护对象面临的威胁以及自身所存在的能被威胁利用的弱点，最后从可能性和影响程度这两个方面来评价信息资产的风险，综合后得到企业所面临的信息安全风险。这是大多数组织在做风险评估时使用的方法。当然也有少数的组织/企业开始在资产风险评估的基础上，在实践中摸索和开发出类似与流程风险评估等方法，补充完善了资产风险评估。 2. 风险评估的突出问题 信息安全领域的风险评估甚至风险管理的方法是借鉴了银行业成熟的风险管理方法，银行业业务风险管理的方法已经发展到相当成熟的地步，并且银行业也有非常丰富的基础数据支撑着风险分析方法的运用。但是，风险评估作为信息安全领域的新生事物，或者说舶来之物，尽管信息安全本身在国内开展也不过是10来年，风险评估作为先进思想也存在着类似“马列主义要与中国的实际国情结合走中国特色社会主义道路”的问题。风险评估的定量评估方法缺少必要的土壤，没有基础的、统计数据做支撑，定量风险评估寸步难移;而定性的风险评估其方法的本质是定性，所谓定性，则意味着估计、大概，不准确，其本质的缺陷给实践带来无穷的问题，重要问题之一就是投资回报问题，由于不能从财务的角度去评价一个/组风险所带来的可能损失，因此，也就没有办法得到投资回报率，尽管这是个问题，但是实践当中，一般大的企业都会有个基本的年度预算，IT/安全占企业年度预算的百分之多少，然后就是反正就这么些钱，按照风险从高到低或者再结合其他比如企业现有管理和技术水平，项目实施的难易度等情况综合考虑得到风险处理优先级，从高到低依次排序，钱到哪花完，风险处理今年就处理到哪。这方法到也比较具有实际价值，操作起来也容易，预算多的企业也不怕钱花不完，预算少的企业也有其对付办法，你领导就给这么些钱，哪些不能处理的风险反正我已经告诉你啦，要是万一出了事情你也怪不得我，没有出事情，等明年有钱了再接着处理。
信息安全系统风险评估服务
1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。 1.2风险评估相关 资产，任何对组织有价值的事物。 威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。
风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段（60-70年代）以计算机为对象的信息阶段 1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。 特点： 仅重点针对了计算机系统的性问题提出要求，对安全的评估只限于性，且重点在于安全评估，对风险问题考虑不多。 第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品，很少延拓至系统，婴儿在严格意义上扔不是全面的风险评估。 第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段 随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路。
信息安全风险评估方案教程文件
信息安全风险评估方 案
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部
信息安全系统风险管理系统程序
1目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。 2范围 本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。 3职责 3.1研发中心 负责牵头成立信息安全管理委员会。 3.2信息安全管理委员会 负责编制《信息安全风险评估计划》，确认评估结果，形成《风险评估报告》及《风险处理计划》。 3.3各部门 负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。 4相关文件 《信息安全管理手册》 《GB-T20984-2007信息安全风险评估规范》 《信息技术安全技术信息技术安全管理指南第3部分：IT安全管理技术》 5程序 5.1风险评估前准备 ①研发中心牵头成立信息安全管理委员会，委员会成员应包含信息安全重要责任部门的成员。 ②信息安全管理委员会制定《信息安全风险评估计划》，下发各部门。 ③风险评估方法-定性综合风险评估方法 本项目采用的是定性的风险评估方法。定性风险评估并不强求对构成风险的各个要素（特别是资产）进行精确的量化评价，它有赖于评估者的经验判断、业界惯例以及组织自身定义的标准，来对风险要素进行相对的等级分化，最终得出的风险大小，只需要通过等级差别来分出风险处理的优先顺序即可。 综合评估是先识别资产并对资产进行赋值评估，得出重要资产，然后对重要资产进行详细的风险评估。
5.2资产赋值 ①各部门信息安全管理委员会成员对本部门资产进行识别，并进行资产赋值。 资产价值计算方法：资产价值= 保密性赋值＋完整性赋值＋可用性赋值 ②资产赋值的过程是对资产在信息分类、机密性、完整性、可用性进行分析评估，并在此基础上 得出综合结果的过程。 ③确定信息类别 信息分类按“5.9 资产识别参考（资产类别）”进行，信息分类不适用时，可不填写。 ④机密性(C)赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上的应达成的不同程度或者机密性缺失时对整个组织的影响。 ⑤完整性(I)赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。 ⑥可用性(A)赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
信息安全风险评估报告
胜达集团 信息安全评估报告 (管理信息系统) 胜达集团 二零一六年一月
1目标 胜达集团信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等， 管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。 资产清单见附表1。 4安全事件 对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述 本局已成立了信息安全领导机构，但尚未成立信息安全工作机构。 5.1.1.3 评估结论
信息安全风险评估方案
信息安全风险评估方案 第一章网络安全现状与问题 1、1 目前安全解决方案的盲目性现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1、2 网络安全规划上的滞后网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、 DNS、 WWW、 MAIL 及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。
信息安全风险评估报告
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
信息安全风险评估方案
第一章网络安全现状与问题 目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
信息安全管理制度附件：信息安全风险评估管理程序
本程序，作为《WX-WI-IT-001 信息安全管理流程A0版》的附件，随制度发行，并同步生效。 信息安全风险评估管理程序 1.0目的 在ISMS 覆盖范围内对信息安全现行状况进行系统风险评估，形成评估报告，描述风险等级，识别和评价供处理风险的可选措施，选择控制目标和控制措施处理风险。 2.0适用范围 在ISMS 覆盖范围内主要信息资产 3.0定义（无） 4.0职责 4.1各部门负责部门内部资产的识别，确定资产价值。 4.2IT部负责风险评估和制订控制措施。 4.3财务中心副部负责信息系统运行的批准。 5.0流程图 同信息安全管理程序的流程 6.0内容 6.1资产的识别 6.1.1各部门每年按照管理者代表的要求负责部门内部资产的识别，确定资产价值。 6.1.2资产分类 根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员 等类。 6.1.3资产（A）赋值 资产赋值就是对资产在机密性、完整性和可用性上的达成程度进行分析，选 择对资产机密性、完整性和可用性最为重要（分值最高）的一个属性的赋值 等级作为资产的最终赋值结果。资产等级划分为五级，分别代表资产重要性
的高低。等级数值越大，资产价值越高。 1）机密性赋值 根据资产在机密性上的不同要求，将其分为五个不同的等级，分别对应资产 2）完整性赋值 根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产 3）可用性赋值 根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。
3分以上为重要资产，重要信息资产由IT 部确立清单 6.2威胁识别 6.2.1威胁分类 对重要资产应由ISMS 小组识别其面临的威胁。针对威胁来源，根据其表现形式将威胁分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、黑客攻击技术、物理攻击、泄密、篡改和抵赖等。 6.2.2威胁(T)赋值 评估者应根据经验和（或）有关的统计数据来判断威胁出现的频率。 威胁频率等级划分为五级，分别代表威胁出现的频率的高低。等级数值越大，威胁出现
信息安全风险评估需求方案完整版
信息安全风险评估需求 方案 HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】
信息安全风险评估需求方案 一、项目背景 多年来，天津市财政局（地方税务局）在加快信息化建设和信息系统开发应用的同时，高度重视信息安全工作，采取了很多防范措施，取得了较好的工作效果，但同新形势、新任务的要求相比，还存在有许多不相适应的地方。2009年，国家税务总局和市政府分别对我局信息系统安全情况进行了抽查，在充分肯定成绩的同时，也指出了我局在信息安全方面存在的问题。通过抽查所暴露的这些问题，给我们敲响了警钟，也对我局信息安全工作提出了新的更高的要求。 因此，天津市财政局（地方税务局）在对现有信息安全资源进行整合、整改的同时，按照国家税务总局信息安全管理规定，结合本单位实际情况确定实施信息安全评估、安全加固、应急响应、安全咨询、安全事件通告、安全巡检、安全值守、安全培训、应急演练服务等工作内容（以下简称“安全风险评估”），形成安全规划、实施、检查、处置四位一体的长效机制。 二、项目目标 通过开展信息“安全风险评估”, 完善安全管理机制；通过安全服务的引入，进一步建立健全财税系统安全管理策略，实现安全风险的可知、可控和可管理；通过建立财税系统信息安全风险评估机制，实现财税系统信息安全风险的动态跟踪分析，为财税系统信息安全整体规划提供科学的决策依据，进一步加强财税内部网络的
整体安全防护能力，全面提升我局信息系统整体安全防范能力，极大提高财税系统网络与信息安全管理水平；通过深入挖掘网络与信息系统存在的脆弱点，并以业务系统为关键要素，对现有的信息安全管理制度和技术措施的有效性进行评估，不断增强系统的网络和信息系统抵御风险安全风险能力，促进我局安全管理水平的提高，增强信息安全风险管理意识，培养信息安全专业人才，为财税系统各项业务提供安全可靠的支撑平台。 三、项目需求 （一）服务要求 1基本要求 “安全风险评估服务”全过程要求有据可依，并在产品使用有据可查，并保持项目之后的持续改进。针对用户单位网络中的IT 设备及应用软件，需要有软件产品识别所有设备及其安全配置，或以其他方式收集、保存设备明细及安全配置，进行资产收集作为建立信息安全体系的基础。安全评估的过程及结果要求通过软件或其他形式进行展示。对于风险的处理包括：协助用户制定安全加固方案、在工程建设及日常运维中提供安全值守、咨询及支持服务，通过安全产品解决已知的安全风险。在日常安全管理方面提供安全支持服务，并根据国家及行业标准制定信息安全管理体系，针对安全管理员提供安全培训，遇有可能的安全事件发生时，提供应急的安全分析、紧急响应服务。
信息安全风险评估报告
XXXXX公司 信息安全风险评估报告 历史版本编制、审核、批准、发布实施、分发信息记录表
一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持欢迎下载 2
3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单； 5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 欢迎下载 3
欢迎下载 4 如下： 1. 2017-9-10 ~ 2017-9-10，风险评估培训； 2. 2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3. 2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4. 2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS 工作组内审核； 5. 2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS 工作组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风 险115个，不可接受风险42个.
信息安全风险评估项目流程
信息安全风险评估项目流程 一、售前方案阶段 1.1、工作说明 技术部配合项目销售经理（以下简称销售）根据客户需求制定项目解决方案，客户认可后，销售与客户签订合同协议，同时向技术部派发项目工单（项目实施使用） 1.2、输出文档 《XXX项目XXX解决方案》 输出文档（电子版、纸质版）交付销售助理保管，电子版抄送技术部助理。 1.3、注意事项 ?销售需派发内部工单（售前技术支持） ?输出文档均一式三份（下同） 二、派发项目工单 2.1、工作说明 销售谈下项目后向技术部派发项目工单，技术部成立项目小
组，指定项目实施经理和实施人员。 三、项目启动会议 3.1、工作说明 ?销售和项目经理与甲方召开项目启动会议，确定各自接口负 责人。 ?要求甲方按合同范围提供《资产表》，确定扫描评估范围、 人工评估范围和渗透测试范围。 ?请甲方给所有资产赋值（双方确认资产赋值） ?请甲方指定安全评估调查（访谈）人员 3.2、输出文档 《XXX项目启动会议记要》 客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用 3.3、注意事项 ?资产数量正负不超过15%；给资产编排序号，以方便事后 检查。 ?给人工评估资产做标记，以方便事后检查。 ?资产值是评估报告的重要数据。
?销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以 便项目小组分析制定项目计划使用。 四、项目前期准备 4.1、工作说明 ?准备项目实施PPT，人工评估原始文档（对象评估文档）， 扫描工具、渗透测试工具、保密协议和授权书 ?项目小组与销售根据项目内容和范围制定项目实施计划。 4.2、输出文档 《XXX项目实施PPT》 《XXX项目人工访谈原始文档》 《XXX项目保密协议》 《XXX项目XXX授权书》 4.3、注意事项 ?如无资产表和拓扑图需到现场调查后再制定项目实施计划和 工作进度安排。 ?项目实施小组与客户约定进场时间。 ?保密协议和授权书均需双方负责人签字并加盖公章。 ?保密协议需项目双方参与人员签字
术公司信息安全风险评估管理办法
**信息安全风险评估管理办法 目录 总则 为确保**网络及信息系统安全、高效、可控的运行，提高业务系统安全运行能力，全面降低信息安全风险，特制定本管理办法。 组织与责任 信息安全管理组负责信息安全风险评估的具体实施。 技术支撑部门协助信息安全管理执行组的信息安全风险评估工作，并且实施信息安全管理执行组通过风险评估后提供的解决方案与建议。 其他部门协助信息安全管理执行组开展信息安全风险评估工作。 信息安全风险评估规定
弱点分析 概述 弱点评估是安全风险评估中最主要的内容。弱点是信息资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的弱点。 弱点检查 信息安全管理组应定期对集团IT系统进行全面的信息安全弱点检查，了解各IT系统的信息安全现状。 IT系统安全检查的范围包括：主机系统、网络设备、安全设备、数据库系统、应用系统、邮件系统以及其它在用系统。 IT系统安全检查的工具与方法如下： 1. 工具检查：针对IT设备建议采用专用的脆弱性评估工具进行检查，如Nessus、 BurpSuite等工具，针对应用系统及代码安全检查，建议采用商业专用软件进行检查， 如IBM AppScan。 2. 手工检查：由信息安全专员或技术支撑部门相关人员参照相关的指导文档上机进行手 工检查。 信息安全检查工作开展前，信息安全管理组需制定安全检查计划，对于部分可用性要求高的业务系统或设备，计划中要明确执行的时间，并且该计划要通知相关部门与系统维护人员，明确相关人员的及部门的职责与注意事项。 信息安全管理组与外服公司针对信息安全检查须制定《安全检查方案》，方案中，针对工具扫描部分需明确扫描策略，同时方案必须提供规避操作风险的措施与方法。并且该方案必须获得技术支撑部领导批准。 信息安全管理组应对IT系统安全检查的结果进行汇总，并进行详细分析，提供具体的安全解决建议，如安全加固、安全技术引进等。 当发生重大的信息安全事件，信息安全管理组应在事后进行一次全面的安全检查，并通过安全检查结果对重要的安全问题进行及时解决。 常见的弱点种类分为： 1. 技术性弱点：系统，程序，设备中存在的漏洞或缺陷，比如结构设计问题或编程 漏洞；
业务系统信息安全风险评估方案
第3章业务系统信息安全风险评估方案 3.1 风险评估概述 3.1.1 背景 该业务系统风险评估的目标是评估业务系统的风险状况，提出风险控制建议，同时为下一步要制定的业务系统安全管理规范以及今后业务系统的安全建设和风险管理提供依据和建议。 需要指出的是，本评估报告中所指的安全风险针对的是现阶段该业务系统的风险状况，反映的是系统当前的安全状态。 3.1.2 范围 该业务系统风险评估范围包括业务系统网络、管理制度、使用或管理业务系统的相关人员以及由业务系统使用时所产生的文档、数据。 3.1.3 评估方式 信息系统具有一定的生命周期，在其生命中期内完成相应的使命。采取必要的安全保护方式使系统在其生命周期内稳定、可靠地运行是系统各种技术、管理应用的基本原则。 本项目的评估主要根据国际标准、国家标准和地方标准，从识别信息系统的资产入手，确定重要资产，针对重要资产分析其面临的安全威胁并识别其存在的脆弱性，最后综合评估系统的安全风险。 资产划分是风险评估的基础，在所有识别的系统资产中，依据资产在机密性、完整性和可用性安全属性的价值不同，综合判定资产重要性程度并将其划分为核心、关键、中等、次要和很低5个等级。 对于列为重要及以上等级的资产，分析其面临的安全威胁。 脆弱性识别主要从技术和管理两个层面，采取人工访谈。现场核查。扫描检测。渗透性测试等方式，找出系统所存在的脆弱性和安全隐患。 对重要资产已识别的威胁、脆弱性，根据其可能性和严重性，综合评估其安全风险。 3.2 该业务系统概况 3.2.1 该业务系统背景 近年来，由于数据量迅速增加，业务量也迅速增长，原先的硬件系统、应用系统和模式已渐渐不适应业务的需求，提升IT管理系统已经成为刻不容缓的事情。 经过仔细论证之后，信息决策部门在IT管理系统升级上达成如下共识：更换新的硬件设备，使用更先进和更强大的主机；在模式上为统一的集中式系统；在系统上用运行和维护效率较高的单库结构替换原有多库系统；在技术上准备使用基于B/S架构的J2EE中间件技术，并且实施999.999%的高可靠性运行方式；在业务上用新型工作流作为驱动新一代业务系统的引擎，真正达到通过以客户为中心来提升利润及通过高效智能的工作流来提高每个行员的劳动生产率，从而降低成本、提高核心竞争力以应对外部的竞争。 3.2.2 网络结构与拓扑图 该系统的网络包含应用服务器组、数据库服务器组、业务管理端、网络连接设备和安全防护设备。业务系统网络通过一台高性能路由器连接分部网络，通过一台千兆以太网交换机连接到其他业务系统。其中业务系统网络内部骨干网络采用千兆位以太网，两台千兆以太网交换机位骨干交换机。网络配备百兆桌面交换机来连接网络管理维护客户机。
企业信息安全风险评估方案
企业信息安全风险评估方案
知识域：信息安全风险评估 ?:?知识子域：风险评估流程和方法 ■掌握国家对开展风险评估工作的政策要求 ■理解风险评估、检查评估和等级保护测评之间的关系 掌握风险评估的实施流程：风险评估准备、资产识别、威胁评 估、脆弱性评估、已有安全措施确认、风险分析、风险评估文档 记录 -理解走量风险分析和定性风险分析的区别及优缺点理解自评估和检查评估的区别及优缺点 ■掌握典型风险计算方法：年度损失值(ALE)、矩阵法、相乘法掌握风险评估工具：风险评估与管理工具、系统基础平台风险评 估工具、风险评估辅助工具
1、《国家信息化领导小组关于加强信息安全保障工作的意见》仲办发[2003]27号）中明确提出 :”要重视信息安全风险评估工作”对网络与信息系统安全的潜在威胁.薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性.涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理〃
国家对开展风险评估工作的政 2、《国家网络与信息安全协调小组〈关于开展信息安全风险评估工作的意见〉》（国信办［2006 】5号文）中明确规定了风险评估工作的相关要求： 风险评估的基本内容和原则开展风险评估工作的有 关安排 风险评估工作的基本要求 K信息安全风险评估工作应当贯穿信息系统全生命周 期。在信息系统规划设计阶段，通过信息安全风险评 估工作，可以明确信息系统的安全需求及其安全目标，有针对性地制定和部署安全措施”从而避免产生欠保 护或过保护的情况。
2、在信息系统建设完成验收时，通过风险评估工作可以检验信息系统是否实现了所设计的安全功能, 是否满足了信息系统的安全需求并达到预期的安全目标。 3. 由于信息技术的发展.信息系统业务以及所处安全环境的变化，会不断出现新的信息安全风险，因此，在信息系统的运行阶段，应当定期逬行信息安全风险评估，以检验安全措施的有效性以及对安全环境的适应性。当安全形势发生重大变化或信息系统使命有重大变更时，应及时逬行信息安全风险评估。 4. 信息安全风险评估也是落实等级保护制度的重要 手段，应通过信息安全风险评估为信息系统确定安全
信息安全风险评估方案学习资料
第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性，自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处，会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取什麽措施，这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时，往往是头痛医头、脚痛医脚，面对层出不穷的安全问题，疲于奔命，再加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其原因是由于没有一套完整的安全体系，不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下，安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略基础上，需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面，涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题，应该使之客户化、可定义、可管理。无论静态或动态（可管理）安全产品，简单的叠加并不是有效的防御措施，应该要求安全产品构件之间能够相互联动，以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点，因此即使是多层面的安全防御体系，如果是静态的，也无法抵御来自外部和内部的攻击，只有将众多的攻击手法进行搜集、归类、分析、消化、综合，将其体系化，才有可能使防御系统与之相匹配、相耦合，以自动适应攻击的变化，从而
信息安全风险评估项目流程-
信息安全风险评估项目流程 一、项目启动会议 1.1、工作说明 ?项目经理与甲方召开项目启动会议，确定各自接口负责人。 ?要求甲方按合同范围提供《资产表》，确定扫描评估范围、人 工评估范围和渗透测试范围。 ?请甲方给所有资产赋值（双方确认资产赋值） ?请甲方指定安全评估调查（访谈）人员 1.2、输出文档 《项目启动会议记要》 客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用 1.3、注意事项 ?资产数量正负不超过15%；给资产编排序号，以方便事后检 查。 ?给人工评估资产做标记，以方便事后检查。 ?资产值是评估报告的重要数据。 ?销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以
便项目小组分析制定项目计划使用。 二、项目前期准备 2.1、工作说明 ?准备人工评估原始文档（调查表），扫描工具、渗透测试工具、 保密协议和授权书 ?项目小组根据项目内容和范围制定项目实施计划。 2.2、输出文档 《信息安全风险评估调查表》 《项目保密协议》 《漏洞扫描、渗透测试授权书》 2.3、注意事项 ?如无资产表和拓扑图需到现场调查后再制定项目实施计划和 工作进度安排。 ?项目实施小组与客户约定进场时间。 ?保密协议和授权书均需双方负责人签字并加盖公章。 ?保密协议需项目双方参与人员签字
三、驻场实施会议 3.1、工作说明 项目小组进场与甲方召开项目实施会议，确定评估对象和范围（主机、设备、应用、管理等）、实施周期（工作进度安排），双方各自提出自身要求，项目小组要求甲方提供办公场地、打印机、接入网络等项目必备环境。与甲方签订评估保密协议、授权书（漏洞扫描、人工评估、渗透测试等）。实施过程中需甲方人员陪同。 3.2、输出文档 无 3.3、注意事项 如前期未准备资产表与拓扑图，在此阶段项目小组进行调查（视情况是否另收费）。 四、现场实施阶段 4.1、工作说明 ?按照工作计划和被评估对象安排实施进度。 ?主要工作内容 漏洞扫描（主机、应用、数据库等）
信息系统安全管理与风险评估
信息系统安全管理与风险评估 陈泽民：3080604041 信息时代既带给我们无限商机与方便，也充斥着隐患与危险。越来越多的黑客通过网络肆意侵入企业的计算机，盗取重要资料，或者破坏企业网络，使其陷入瘫痪，造成巨大损失。因此，网络安全越来越重要。企业网络安全的核心是企业信息的安全。具体来说，也就涉及到企业信息系统的安全问题。一套科学、合理、完整、有效的网络信息安全保障体系，就成为网络信息系统设计和建设者们追求的主要目标。信息安全是整个网络系统安全设计的最终目标，信息系统安全的建立必须以一系列网络安全技术为摹础。但信息系统是一个综合的、动态的、多层次之间相结合的复杂系统，只从网络安全技术的角度保证整个信息系统的安全是很网难的，网络信息系统对安全的整体是任何一种单元安全技术都无法解决的。冈此对信息系统的安全方案的设计必须以科学的安全体系结构模型为依据，才能保障整个安全体系的完备性、合理性。 制定安全目标和安全策略对于建造一个安全的计算机系统是举足轻重的。网络上可采用安全技术例如防火墙等实现网络安全，软件开发上可选择不同的安全粒度，如记录级，文件级信息级等。在系统的各个层次中展开安全控制是非常有利的。在应用软件层上设置安全访问控制是整个应用系统安全性的重要步骤。此外安全教育与管理也是系统安全的重要方面。信息系统的安全管理就是以行政手段对系统的安全活动进行综合管理，并与技术策略和措施相结合，从而使信息系统达到整体上的安全水平。其实，在系统的安全保护措施中，技术性安全措施所占的比例很小，而更多则是非技术性安全措施。两者之间是互相补充，彼此促进，相辅相成的关系。信息系统的安全性并不仅仅是技术问