企业公司风险评估办法

《企业公司风险评估办法》由会员分享，可在线阅读，更多相关《企业公司风险评估办法（16页珍藏版）》请在装配图网上搜索。

1、【经典资料，WORD文档，可编辑修改】【经典考试资料，答案附后，看后必过，WORD文档，可修改】1. 总体概述1.1 项目概述为了更好的了解信息安全状况，根据信息安全风险评估指南和 GB/T 20984-2007信 息安全技 术信息安全风险评估规范要求，总体评估公司信息化建设风险。2. 风险评估方案2.1 风险评估现场实施流程风险评估的实施流程见下图所示2.2 风险评估使用工具测评过程中所使用的工具见下表所示:序号名称功能描述版本用途1数据库安全扫 描系统可扫描 Qracle、Sql Server、SybaseATX数据库漏洞扫描2ISS网络扫描器可扫描各类操作系统和 应用系统7.0sp2网络

2、、主机漏洞扫描3天镜脆弱性扫 描系统可扫描各类操作系统和 应用系统6.0网络、主机漏洞扫描4极光远程安全 评估系统可扫描各类操作系统和 应用系统AURORA -200网络、主机漏洞扫描5网络综合协议 分析仪OptiView网络透视与协议分析， 网络性能测评INA网络流量监控6网络系统管 理,HPOpe nView自动发现网络拓扑图、 网络性能与故障管理NNM 6.0绘制网络拓扑图23风险评估万法231资产识别资产分类首先需要将信息系统及相关的资产进行恰当的分类，以此为基础进行下一步的风险评估C据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类型。种基于表现形式的资产分类方法根

3、分类示例数据保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、扌报 告、用户手册等软件系统软件：操作系统、语句包、工具软件、各种库等应用软件：外部购买的应用软件，外包开发的应用软件等源程序：各种共享源代码、自行或合作开发的各种代码等硬件网络设备：路由器、网关、交换机等计算机设备：大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等传输线路：光纤、双绞线等保障设备：动力保障设备（UPS变电设备等）、空调、保险柜、文件柜、门禁、消防设施等安全保障设备：防火墙、入侵检测系统、身份验证等其他：打印机、复印机

4、、扫描仪、传真机等服务办公服务：为提高效率而开发的管理信息系统（MIS），包括各种内部配置管理、文件流转管理等服务网络服务：各种网络设备、设施提供的网络连接服务信息服务：对外依赖该系统开展的各类服务文档纸质的各种文件，如传真、电报、财务报告、发展计划等人员掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理等其它企业形象，客户关系等资产赋值保密性赋值根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在机密性上应达 成的不同 程度或者机密性缺失时对整个组织的影响。资产机密性赋值表赋值标识定义5很高包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着

5、决定性的影响，如果泄露会造成灾难性的损害4高包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害3中等组织的一般性秘密，其泄露会使组织的安全和利益受到损害2低仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的 利益造 成轻微损害1很低可对社会公开的信息，公用的信息处理设备和系统资源等完整性赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上缺失 时对整个 组织的影响。资产完整性赋值表赋值标识定义5很高完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受 的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补。4高完整性价值

6、较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重， 较难弥补。3中等完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补。2低完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微， 容易弥补。1很低完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击 可以忽略。.3 可用性赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上应达 成的不同 程度。资产可用性赋值表赋值标识定义5很高可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断。4高可用性价

7、值较高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小于10分钟。3中等可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30分钟。2低可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于60分钟。1很低可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25%4资资产价值应依据资产在保密性、完整性和可用性上的赋值等级，经过综合评定得出。根据最终赋值将 资产划分为五级，级别越高表示资产越重要，确定重要资产的范围，并主要围绕重要资产进行下一步的风险

8、 评估。资产等级及含义描述等级标识描述5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失。4高重要，其安全属性破坏后可能对组织造成比较严重的损失。3中比较重要，其安全属性破坏后可能对组织造成中等程度的损失。2低不太重要，其安全属性破坏后可能对组织造成较低的损失。11很低不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计。232 威胁识别2.321 威胁分类对威胁进行分类的方式有多种，针对上表的威胁来源，可以根据其表现形式将威胁分为以下几类一种基于表现形式的威胁分类表种类描述威胁子类软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件缺陷造成对业务实施、系统稳定运行的影响

9、。设备硬件故障、传输设备故障、存 储媒体故障、系统软件故障、应用 软件故障、数据库软件故障、开发 环境故障。物理环境影响断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境冋题或自然灾害。无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误 的操作，对系统造成的影响。维护错误、操作失误管理不到位安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行。恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程序 代码。恶意代码、木马后门、网络病毒、 间谍软件、窃听软件越权或滥用通过采用一些措施，超越自己的权限访问了本来无

10、权 访问的 资源，或者滥用自己的职权，做出破坏信息系 统的行为。未授权访问网络资源、未授权访 问 系统资源、滥用权限非正常修改系 统配置或数据、滥用权限泄露秘密 信息网络攻击匚利用工具和技术，如侦察、密码破译、安装后门、嗅 探、伪 造和欺骗、拒绝服务等手段，对信息系统进行攻击和入侵。网络探测和信息采集、漏洞探测、 嗅探（账户、令、权限等）、用 户身份伪造和欺骗、用户或业务数 据的窃取和破坏、系统运行的控制 和破坏物理攻击通过物理的接触造成对软件、硬件、数据的破坏。物理接触、物理破坏、盗窃泄密信息泄露给不应了解的他人。内部信息泄露、外部信息泄露篡改非法修改信息，破坏信息的完整性使系统的安全性降低

11、或信 息不可用。篡改网络配置信息、篡改系统配置 信息、篡改安全配置信息、篡 改用 户身份信息或业务数据信息抵赖不承认收到的信息和所作的操作和交易。原发抵赖、接收抵赖、第二方抵赖2.322威胁赋值判断威胁出现的频率是威胁赋值的重要内容， 根据有关的统计数据来进行判断。 对威胁出现 的频率进 行等级化处理，不同等级分别代表威胁出现的频率的高低。 等级数值越大，威胁出现的 频率越咼。威胁赋值表等级标识定义5很高出现的频率很高（或1次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过。4高出现的频率较高（或1次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过。3中出现的频率中等（或

12、1次/半年）；或在某种情况下可能会发生；或被证实曾经发生过。2低出现的频率较小；或般不太可能发生；或没有被证实发生过。1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生。233 脆弱性识别 2.331 脆弱性识别内容脆弱性识别是风险评估中最重要的一个环节。 脆弱性识别可以以资产为核心，针对每一项需 要保护的 资产， 识别可能被威胁利用的弱点，并对脆弱性的严重程度进行评估；从物理、网络、 系统、应用等层次进 行识别，然后与资产、威胁对应起来。脆弱性识别所采用的方法主要有：问 卷调查、工具检测、人工核查、 文档查阅、渗透性测试等。脆弱性识别内容表类型识别对象识别内容从机房场地、机房防火、

13、机房供配电、机房防静电、机房接地与防雷、物理环境电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行技术脆弱性识别。网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别。系统软件（含操作系从补丁安装、物理保护、用户账号、令策略、资源共享、事件审计、统及系统服务）访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理 等方面进 行识别。数据库软件从补丁安装、鉴别机制、令机制、访问控制、网络和服务设置、备份 恢复机制、审计机制等方面进行识别。应用中间件从协议安全、父易完整性、数据完整性等方面进行识别。应用系统从审计机制、审计存储、访

14、问控制策略、数据完整性、通信、鉴别机制、密码保 护等方面进行识别。管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业 务连续性 等方面进行识别。组织管理从安全策略、组织安全、资产分类与控制、人员安全、符合性等方面进行识别。2.332 脆弱性赋值可以根据对资产的损害程度、技术实现的难易程度、弱点的流行程度，采用等级方式对已识 别的脆弱性的严重程度进行赋值。脆弱性严重程度可以进行等级化处理， 不同的等级分别代表资产脆弱性严重程度的高低。 等 级数值越 大，脆弱性严重程度越高。脆弱性严重程度赋值表等级标识定义5很高如果被威胁利用，将对资产造成完全损害。4高如果被威胁利用

15、，将对资产造成重大损害。3中如果被威胁利用，将对资产造成一般损害。2低如果被威胁利用，将对资产造成较小损害。1很低如果被威胁利用，将对资产造成的损害可以忽略。2.3.4 已有安全措施确认在识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进行确认。安全措施的确认应评估其 有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。对有效的安全措施继续保持，以避免不必要的工 作和费用，防止安全措施的重复实施。对确认为不适当的安全措施应核实是否应被取消或对其进行修正，或 用更合适的安全措施替代。235 风险分析为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理。可以将风险划分为五级，等级越

16、咼，风险越咼。根据所采用的风险计算方法，计算每种资产面临的风险值，根据风险值的分布状况，为每个等级设定风 险值范围，并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。风险等级划分表等级标识描述5很高旦发生将产生非常严重的经济或社会影响，如组织信誉严重破坏、严重影响组织的正常经 营，经济损失重大、社会影响恶劣。 4高旦发生将产生较大的经济或社会影响，在一定范围内给组织的经营和组织信誉造成损害。3中旦发生会造成一定的经济、社会或生产经营影响，但影响面和影响程度不大。2低旦发生造成的影响程度较低，一般仅限于组织内部，通过一定手段很快能解决。1很低旦发生造成的影响几乎不存在，通过简单的措施就能弥补。