当前位置:文档之家› 信息安全风险评估 第三章

信息安全风险评估 第三章

信息安全风险评估 第三章
信息安全风险评估 第三章

第3章业务系统信息安全风险评估方案

3.1 风险评估概述

3.1.1 背景

该业务系统风险评估的目标是评估业务系统的风险状况,提出风险控制建议,同时为下一步要制定的业务系统安全管理规范以及今后业务系统的安全建设和风险管理提供依据和建议。

需要指出的是,本评估报告中所指的安全风险针对的是现阶段该业务系统的风险状况,反映的是系统当前的安全状态。

3.1.2 范围

该业务系统风险评估范围包括业务系统网络、管理制度、使用或管理业务系统的相关人员以及由业务系统使用时所产生的文档、数据。

3.1.3 评估方式

信息系统具有一定的生命周期,在其生命中期内完成相应的使命。采取必要的安全保护方式使系统在其生命周期内稳定、可靠地运行是系统各种技术、管理应用的基本原则。

本项目的评估主要根据国际标准、国家标准和地方标准,从识别信息系统的资产入手,确定重要资产,针对重要资产分析其面临的安全威胁并识别其存在的脆弱性,最后综合评估系统的安全风险。

资产划分是风险评估的基础,在所有识别的系统资产中,依据资产在机密性、完整性和可用性安全属性的价值不同,综合判定资产重要性程度并将其划分为核心、关键、中等、次要和很低5个等级。

对于列为重要及以上等级的资产,分析其面临的安全威胁。

脆弱性识别主要从技术和管理两个层面,采取人工访谈。现场核查。扫描检测。渗透性测试等方式,找出系统所存在的脆弱性和安全隐患。

对重要资产已识别的威胁、脆弱性,根据其可能性和严重性,综合评估其安全风险。

3.2 该业务系统概况

3.2.1 该业务系统背景

近年来,由于数据量迅速增加,业务量也迅速增长,原先的硬件系统、应用系统和模式已渐渐不适应业务的需求,提升IT管理系统已经成为刻不容缓的事情。

经过仔细论证之后,信息决策部门在IT管理系统升级上达成如下共识:更换新的硬件设备,使用更先进和更强大的主机;在模式上为统一的集中式系统;在系统上用运行和维护效率较高的单库结构替换原有多库系统;在技术上准备使用基于B/S架构的J2EE中间件技术,并且实施999.999%的高可靠性运行方式;在业务上用新型工作流作为驱动新一代业务系统的引擎,真正达到通过以客户为中心来提升利润及通过高效智能的工作流来提高每个行员的劳动生产率,从而降低成本、提高核心竞争力以应对外部的竞争。

3.2.2 网络结构与拓扑图

该系统的网络包含应用服务器组、数据库服务器组、业务管理端、网络连接设备和安全防护设备。业务系统网络通过一台高性能路由器连接分部网络,通过一台千兆以太网交换机连接到其他业务系统。其中业务系统网络内部骨干网络采用千兆位以太网,两台千兆以太网交换机位骨干交换机。网络配备百兆桌面交换机来连接网络管理维护客户机。

具体的网络拓扑图如图3-1所示。

3.2.3 业务系统边界

具体的系统边界图如图3-2所示。

3.2.4 应用系统和业务流程分析

业务系统组织结构划分为总部和分部两个层次,业务系统所涉及的绝大多数业务流程都需要经过多级业务管理部门进行处理,业务流程复杂且流程跨度比较大。

其次,业务系统处理流程十分繁杂。在对客户申请审批处理过程中,必然会出现反复的提交、上报、退回等操作,并且可以将任务退回到指定的岗位上,然后再次上报提交。在同一个审批过程中,根据客户的不同级别,可能需要提交到上级授信管理部门,也可能提交到上级的风险管理部门。

3.3 资产识别

3.3.1 资产清单

资产识别通过分析信息系统的业务流程和功能,从业务数据的完整性、可用性和机密性的保护要求出发,识

别出对CIA三性有一定影响的信息流及其承载体或周边设备。

在本次业务系统评估中进行的资产分类,主要分为网络设备、主机系统、服务器系统、数据和文档资产5个方面。

(1)网络设备资产网络设备重要资产如表3-1所示。

表3-1 网络设备重要资产表

资产编号资产名称型号资产描述

ASSET_01 3com交换机-01 3com 2345 二级交换机

ASSET_02 Cisco交换机-01 Cisco 6509 骨干交换机

ASSET_03 Cisco交换机-02 Cisco 7507 骨干交换机

ASSET_04 Cisco交换机-03 Cisco 7034 骨干交换机

ASSET_05 Cisco路由器-01 Cisco 6500 骨干路由器

ASSET_06 Net Screen防火墙-01 FW-0080 防火墙

(2)主机系统资产主机系统重要资产如表3-2所示。

表3-2 主机重要资产表

资产编号资产名称型号资产描述

ASSET_07 PC_01 Windows XP 业务处理客户端

ASSET_08 PC_02 Windows XP 业务处理客户端

(3)服务器资产服务器重要资产如表3-3所示。

表3-3 服务器重要资产表

资产编号资产名称型号资产描述

ASSET_09 APP 服务器Windows 2000 Server 业务处理客户端

ASSET_10 DB 服务器Windows 2000 Server 业务处理客户端

(4)数据和文档资产数据和文档重要资产如表3-4所示。

表3-4数据和文档资产重要资产表

资产编号资产名称资产描述

ASSET_11 客户基本信息DB服务器中的客户基本信息

ASSET_12 客户基本信息DB服务器中的客户存款信息

ASSET_13 财务报告财务报告

ASSET_14 审计日志审计日志

ASSET_15 管理制度管理制度

3.3.2 资产赋值

资产赋值对识别的信息资产,按照资产的不同安全属性,即机密性、完整性和可用性的重要性和保护要求,分别对资产的CIA三性予以赋值。

三性赋值分为5个等级,分别对应了改项信息资产的机密性、完整性和可用性的不同程度的影响,下面是赋值依据。

1.机密性(Confidentiality)赋值依据

根据资产机密性属性的不同,将它分为5个不同的等级,分别对应资产在机密性方面的价值或者在机密性方面受到损失时对整个评估的影响。机密性赋值依据如表2-6所示。

2. 完整性(Integrity)赋值依据

根据资产完整性属性的不同,将它分为5个不同的等级,分别对应资产在完整性方面的价值或者在完整性方面受到损失时对整个评估的影响。完整性赋值依据如表2-7所示。

3.可用性(Availability)赋值依据

根据资产可用性属性的不同,将它分为5个不同的等级,分别对应资产在可用性方面的价值或者在可用性方面受到损失时对整个评估的影响。可用性赋值依据如表2-8所示。

根据资产的不同安全属性,即机密性、完整性和可用性的等级划分原则,采用专家指定的方法对所有资产的CIA三性予以赋值。赋值后的资产清单如表3-5所示。

表3-5 资产CIA三性等级表

资产编号资产名称机密性完整性可用性

ASSET_01 3com交换机-01 3 3 3

ASSET_02 Cisco交换机-01 4 4 4

ASSET_03 Cisco交换机-02 4 4 4

ASSET_04 Cisco交换机-03 4 4 4

ASSET_05 Cisco路由器-01 5 4 4

ASSET_06 Net Screen防火墙-01 4 4 4

ASSET_07 PC_01 3 3 4

ASSET_08 PC_02 3 4 3

ASSET_09 APP 服务器 5 4 5

ASSET_10 DB 服务器 5 4 5

ASSET_11 客户基本信息 5 4 4

ASSET_12 客户基本信息 5 5 5

ASSET_13 财务报告 4 3 3

ASSET_14 审计日志 3 3 3

ASSET_15 管理制度 3 3 3

3.3.3 资产分级

资产价值应依据资产在机密性、完整性和可用性上的赋值等级,经过综合评定得出。根据本系统的业务特点,采取相乘法决定资产的价值。计算公式如下:

其中:v表示资产价值,x表示机密性,y表示完整性,z表示可用性。

资产的CIA三性如表3-9所示,根据式(3.1)可以计算出资产的价值。例如取资产ASSET_01三性值代入式(3.1),得

得资产ASSET_01的资产价值=3。依次类推得到本系统资产的价值清单如表3-6所示。

表3-6 资产价值表

资产编号资产名称机密性完整性可用性资产价值

ASSET_01 3com交换机-01 3 3 3 3

ASSET_02 Cisco交换机-01 4 4 4 4

ASSET_03 Cisco交换机-02 4 4 4 4

ASSET_04 Cisco交换机-03 4 4 4 4

ASSET_05 Cisco路由器-01 5 4 4 4.3

ASSET_06 Net Screen防火墙-01 4 4 4 4

ASSET_07 PC_01 3 3 4 3.3

ASSET_08 PC_02 3 4 3 3.3

ASSET_09 APP 服务器 5 4 5 4.7

ASSET_10 DB 服务器 5 4 5 4.7

ASSET_11 客户基本信息 5 4 4 4.3

ASSET_12 客户基本信息 5 5 5 5

ASSET_13 财务报告 4 3 3 3.3

ASSET_14 审计日志 3 3 3 3

ASSET_15 管理制度 3 3 3 3

为与上述安全属性的赋值相对应,根据最终赋值将资产划分为5级,级别越高表示资产越重要。不同等级的资产重要性程度判断准则如表2-11所示。

根据资产重要性程度判断准则,可以得到资产的等级。本系统的资产等级如表3-7所示。

表3-7 资产价值表

资产编号资产名称资产价值资产等级资产等级值

ASSET_01 3com交换机-01 3 中 3

ASSET_02 Cisco交换机-01 4 高 4

ASSET_03 Cisco交换机-02 4 高 4

ASSET_04 Cisco交换机-03 4 高 4

ASSET_05 Cisco路由器-01 4.3 高 4

ASSET_06 Net Screen防火墙-01 4 高 4

ASSET_07 PC_01 3.3 中 3

ASSET_08 PC_02 3.3 中 3

ASSET_09 APP 服务器 4.7 很高 5

ASSET_10 DB 服务器 4.7 很高 5

ASSET_11 客户基本信息 4.3 很高 5

ASSET_12 客户基本信息 5 很高 5

ASSET_13 财务报告 3.3 中 3

ASSET_14 审计日志 3 中 3

ASSET_15 管理制度 3 中 3

3.4 威胁识别

3.4.1 威胁概述

安全威胁是一种对系统及其资产构成潜在破坏的可能性因素或者事件。无论对于多么安全的信息系统,安全威胁是一个客观存在的事物,它是风险评估的重要因素之一。

产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素又可区分为有意和无意两种,环境因素包括自然界的不可抗的因素和其他物理因素。威胁作用形式可以是对信息系统直接或间接的攻击,例如非授权的泄露、篡改、删除等,在机密性、完整性和可用性等方面造成损害,也可能是偶发的或蓄意的事件。一般来说,威胁总是要利用网络、系统、应用或数据的弱点可能成功地对造成造成伤害。安全事件及其后果是分析威胁的重要依据。

根据威胁出现频率的不同,将它分为5个不同的等级。以此属性来衡量威胁,具体的判断准则如表2-13所示。

3.4.2 业务系统威胁识别

对业务系统的威胁分析首先对于重要资产进行威胁识别,分析其威胁来源和种类。在本次评估中,主要采用了问卷法和技术检测来获得威胁的信息。问卷法主要收集一些管理方面的威胁,技术检测主要通过分析IDS的日志信息来获取系统面临的威胁。表3-8为本次评估分析得到的威胁来源、威胁种类以及威胁发生的频率。

表3-8 国际业务系统潜在的安全威胁来源列表

威胁来源威胁来源描述

恶意内部人员因某种原因,系统内部人员对信息系统进行恶意破坏;采用自主的或内外勾结的方式盗窃机密信息或进行篡改,获取利益

无恶意内部人员系统内部人员由于缺乏责任心,或者由于不关心和不专注,或者没有遵循规章制度和操作流程而导致故障或被攻击;内部人员由于缺乏培训,专业技能不足,不具备岗位技能要求而导致信息系统故障或被攻击

外部人员攻击非业务系统的外部人员利用信息系统的脆弱性,对网络和系统的机密性、完整性和可用性进行破坏,以获取利益或炫耀能力

第三方主要指来自合作伙伴、服务提供商、外包服务提供商、渠道和其他与本组织的信息系统有联系的第三方的威胁

设备故障由于意外事故或软件、硬件,数据、通信线路方面的故障所造成的威胁

环境因素、意外事故由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境条件和自然灾害所造成的威胁

依据威胁出现判断准则,得到的威胁出现频率如表3-9所示。

表3-9 业务系统面临的安全威胁种类

威胁编号威胁类别出现频率威胁描述

THREAT-01 硬件故障中由于设备硬件故障、通信链路中断导致对业务高效稳定运行的影响

THREAT-02 软件故障中系统本身或软件缺陷导致对业务高效稳定运行的影响

THREAT-03 恶意代码和病毒很高具有自我复制、自我传播能力,对信息系统构成破坏的程序代码

THREAT-04 维护错误或操作失误中由于应该执行而没有执行相应的操作,或非故障地执行了错误的操作,对系统造成影响

THREAT-05 物理环境威胁中环境问题和自然灾害

THREAT-06 未授权访问高因系统或网络访问控制不当引起的非授权访问

THREAT-07 权限滥用高滥用自己的职权,做出泄露或破坏信息系统及数据的行为

THREAT-08 探测窃密高通过窃听、恶意攻击的手段获取系统秘密信息

THREAT-09 数据篡改高通过恶意攻击非授权修改信息,破坏信息的完整性

THREAT-10 控制和破坏中通过恶意攻击非授权控制系统并破坏整个系统或数据

THREAT-11 漏洞利用很高利用系统漏洞进行攻击

THREAT-12 电源中断低电源因某种原因中断

THREAT-13 抵赖低不承认收到的信息和所作的操作

3.5 脆弱性识别

脆弱性识别主要从技术和刚来两个方面进行评估,详细的评估结果如下所述。采用工具扫描、配置核查、策略文档分析、安全审计、网络架构分析业务、业务流程分析、应用软件分析等方法。

根据脆弱性严重程度的不同,将它分为5个不同的等级。具体的判断准则如表2-16所示。

3.5.1 技术脆弱性评估

技术脆弱性识别主要从现有安全技术措施的合理性和有效性来划分。评估的详细结果如表3-10所示。

表3-10 技术脆弱性评估结果

资产ID与名称脆弱性ID 脆弱性名称严重程

脆弱性描述

ASSET_01:3 Com交换机

-01 VULN_01

一些IOS中的默认配置并

不需要,但不关闭

一些IOS中的默认配置并不需

要,但不关闭

VULN_02 Finger服务未关闭高Finger服务未关闭

ASSET_02:Ci sco交换机-01 VULN_03 没有日志记录中没有日志记录

VULN_04 CSCdz39284 中

当发送畸形的数据包时,可能导

致远程的IOS瘫痪

ASSET_03:Ci sco交换机-02 VULN_05 CSCdw33027 中

发送畸形的SSH数据包时,可能

导致远程IOS瘫痪

VULN_06 CSCds04747 高

Cisco公司的IOS软件有一个漏

洞,该漏洞允许获得tcp的初始

序列号

ASSET_04:Ci sco交换机-03 VULN_07

没有配备Service

Password-Encryption服务

没有配备Service

Password-Encryption服务VULN_08

没有修改SNMP的默认字

符串

没有修改SNMP的默认字符串

ASSET_05:Ci sco路由器-01 VULN_09

Cisco IOS界面被Ipv4数据

包阻塞

通过发送不规则Ipv4数据包可以

阻塞远程路由器,攻击者可以利

用该漏洞使路由器无法工作VULN_10 Cisco路由器未设置密码中

Cisco路由器未设置密码,这就允

许攻击者获得关于无聊的更多信

息,而且如果未设置enable口令,攻击者将会关闭设备

ASSET_06:N et Screen防火

墙-01 VULN_11 防火墙开放端口增加很高防火墙开放端口增加VULN_12 防火墙关键模块失效高

防火墙关键模块失效

ASSET_07:P

C-01 VULN_13

使用NetBIOS探测

Windows主机信息

很高

使用NetBIOS探测Windows主

机信息

VULN_14 恶意代码高PC易遭受恶意代码攻击

VULN_15 病毒高PC易遭受病毒攻击

ASSET_08:P

C-02 VULN_16 Blackmoon FTP明文口令很高

在blackmoon.mdb文件中,用明

文存储FTP服务器的用户名和密

码,该主机上任何有账号的用户

都可以读取该文件

VULN_17 MUP overlong request 高

Microsoft Windows操作系统

MUP中的缓冲溢出允许本地用

户引起拒绝服务,或者通过UNC

请求获得系统权限

VULN_18 木马和后门高PC易遭受木马和后门攻击

ASSET_09:D B服务器VULN_19

ADMIN_RESTR ICTIONS

旗标没有设置

很高

监听器口令没有正确设置,攻击

者可以修改监听器参数

VULN_20 监听器口没有设置很高

如果监听器口令没有设置,攻击

者可以利用监听服务在操作系统

上写文件,从而可能获得Oracle

数据库的账号

ListenerPasswordSet=OFF

ASSET_10:A PP服务器VULN_21 SMB登录中SMB登录

VULN_22 Telnet漏洞高Telnet漏洞

VULN_23 可以通过SMB连接注册表很高可以通过SMB连接注册表

3.5.2 管理脆弱性评估

本部分主要描述该业务系统目前的信息安全管理上存在的安全弱点现状以及风险现状,并标识其严重程度。评估的详细结果如表3-11所示。

表3-11 管理脆弱性评估结果

资产ID与名称脆弱性ID 脆弱性名称严重程度脆弱性描述

ASSET_11:客户

基本信息

VULN_24 没有访问控制措施高没有访问控制措施

ASSET_12:客户

存款信息

VULN_25 没有修改控制措施高没有修改控制措施

ASSET_13:财务

报告

VULN_25 没有修改控制措施高没有修改控制措施

ASSET_14:审计

日志

VULN_26 没有修改控制措施高没有修改控制措施

ASSET_15:管理

制度VULN_27 供电系统情况脆弱性底

没有配置UPS,没有专用

的供电线路VULN_28 机房安全制度脆弱性底

没有严格的执行机房安全

管理制度

3.6 风险分析

3.6.1 风险计算方法

在完成了资产识别、威胁识别、脆弱性识别,将采用适当的方法与工具确定威胁利用脆弱性导致安全事件的可能性。综合安全事件所作用的资产价值及脆弱性的严重程度,判断安全事件造成的损失对组织的影响,即安全风险。以下面的范式形式化加以说明:

其中:R表示安全风险计算函数,A表示资产,T表示威胁出现频率,V表示脆弱性,I a表示安全事件所作用的资产价值,V a表示脆弱性严重程度,L表示威胁利用资产的脆弱性导致安全事件发生的可能性,F表示安全事件发生后产生的损失。

风险计算的过程中有三个关键计算环节:

1.计算安全发生的可能性

根据威胁出现频率及脆弱性的状况,计算威胁利用脆弱性导致安全事件发生的可能性,即:

安全事件发生的可能性=L(威胁出现频率,脆弱性)=L(T,V)在计算安全事件发生的可能性时,本系统采用矩阵进行计算。二维矩阵见表2-19。

如资产ASSET_01的漏洞利用威胁发生频率为5,资产ASSET_01一些IOS中的默认配置未关闭脆弱性严重等级为4,根据威胁出现频率值和脆弱性严重程度值在矩阵中进行对照则:

安全事件发生的可能性=L(威胁出现频率,脆弱性)

=L(5,4)=22

根据计算得到安全事件发生可能性值的不同,将它分为5个不同的等级,分别对应安全事件发生可能性的程度。划分的原则见表2-20。

根据安全事件发生可能程度判断准则,则发生可能性等级为5。

2.计算安全事件发生后的损失

根据资产价值及脆弱性严重程度,计算安全事件一旦发生后的损失,即:

安全事件的损失=F(资产价值,脆弱性严重程度)

=F(I a,V a)

在计算安全事件的损失时,本系统采用矩阵法进行计算。该二维矩阵见表2-21。

如资产ASSET_01的资产价值等级为3,资产ASSET_01一些IOS 中的默认配置未关闭脆弱性严重等级为4,根据资产价值等级和脆弱性严重程度值在矩阵中进行对照,则:

安全事件的损失=F(资产价值,脆弱性严重程度)

=F(3,4)=15

根据计算得到安全事件的损失的不同,将它分为5个不同的等级,分别对应安全事件的损失程度。划分的原则见表2-22。

根据安全事件损失程度判断准则判断,则安全事件损失等级为3。

3.计算风险值

根据计算出的安全事件发生的可能性以及安全事件的损失,计算风险值,即:

风险值=R(安全事件发生的可能性,安全事件的损失)

=R(L(T,V),F(I a,V a))

在计算风险值时,本系统采用矩阵法进行计算。该二维矩阵见表2-23。

如资产ASSET_01的安全事件发生的可能性程度为5,安全事件的损失等级为3,根据资产价值等级和脆弱性严重程度值在矩阵中进行对照,则:

风险值=R(L(T,V),F(I a,V a))=R(5,3)=21

根据计算得到风险值的不同,将它分为5个不同的等级。划分的原则见表2-24。

3.6.2 风险分析

1.硬件资产风险分析

利用得到的资产识别、威胁识别和脆弱性识别结果,根据风险分析原理,评估得到本系统的硬件资产风险如表3-12所示。

表3-12 硬件资产风险分析表

资产ID与名称资产

等级

威胁ID

威胁

名称

可能

性等

脆弱性ID 脆弱性名称

严重

程度

等级

ASSET_01:3 3 THREAT-11 漏洞 5 VULN_01 一些IOS中的默认配置并 4

Com交换机

-01

利用不需要,但不关闭THREAT-11

漏洞

利用

5 VULN_02 Finger服务未关闭 4

ASSET_02:Ci sco交换机-01 4

THREAT-11

漏洞

利用

5 VULN_03 没有日志记录 3

THREAT-11

漏洞

利用

5 VULN_04 CSCdz39284 3

ASSET_03:Ci sco交换机-02 4

THREAT-11

漏洞

利用

5 VULN_05 CSCdw33027 3

THREAT-11

漏洞

利用

5 VULN_0

6 CSCds0474

7 4

ASSET_04:Ci sco交换机-03 4

THREAT-11

漏洞

利用

5 VULN_07

没有配备Service

Password-Encryption服

4 THREAT-11

漏洞

利用

5 VULN_08

没有修改SNMP的默认

字符串

3

ASSET_05:Ci sco路由器-01 4

THREAT-06

未授

权访

4 VULN_09

Cisco IOS界面被Ipv4数

据包阻塞

3 THREAT-11

漏洞

利用

5 VULN_10 Cisco路由器未设置密码 3

ASSET_06:N

et Screen防火

墙-01 4

THREAT-06

未授

权访

4 VULN_11 防火墙开放端口增加 5

THREAT-06

未授

权访

4 VULN_12 防火墙关键模块失效 4

ASSET_07:P

C-01 3

THREAT-09

数据

篡改

4 VULN_13

使用NetBIOS探测

Windows主机信息

5 THREAT-03

恶意

代码

和病

4 VULN_14 恶意代码 4

THREAT-03

恶意

代码

和病

4 VULN_1

5 病毒 4

ASSET_08:P

C-02 3

THREAT-08

探测

窃密

4 VULN_16

Blackmoon FTP明文口

5 THREAT-09

数据

篡改

3 VULN_17 MUP overlong request 4

THREAT-03

恶意

代码

和病

4 VULN_18 木马和后门 4

ASSET_09:D B服务器5 THREAT-06

未授

权访

4 VULN_19

ADMIN_RESTR

ICTIONS旗标没有设置

5

THREAT-11 漏洞

利用

5 VULN_20 监听器口没有设置 5

ASSET_10:A PP服务器5

THREAT-06

未授

权访

4 VULN_21 SMB登录 3

THREAT-11

漏洞

利用

5 VULN_22 Telnet漏洞 4

THREAT-11

漏洞

利用

5 VULN_23

可以通过SMB连接注册

5

下面以资产ASSET_01为例计算该资产的风险值和风险等级。

(1)计算安全事件发生的可能性。

根据威胁出现频率及脆弱性的状况,在计算安全事件发生的可能性时,本系统采用矩阵法进行计算。该二维矩阵见表2-26。

资产ASSET_01的漏洞利用威胁发生频率=5,资产ASSET_01一些IOS中的默认配置未关闭脆弱性=4,根据安全事件肯下计算矩阵,则:

安全事件发生的可能性=22

安全事件发生可能等级判断准则见表2-27。

根据安全事件发生可能程度判断准则判断,则:

安全事件发生可能性等级=5

(2)计算安全事件发生后的损失。

根据资产价值及脆弱性严重程度,在计算安全事件的损失时,本系统采用矩阵法进行计算。该二维矩阵见表2-28。

资产ASSET_01的资产价值等级=3,一些IOS中的默认配置未关闭脆弱性严重等级=4。根据资产价值等级和脆弱性严重程度值在矩阵中进行对照,则:

安全事件的损失=F(资产价值,脆弱性严重程度)

=F(3,4)

=15

安全事件损失等级判断准则见表2-29。

根据安全事件损失程度判断准则判断,则:

安全事件损失等级=3

(3)计算风险值

根据计算出的安全事件发生的可能性以及安全事件的损失,在计算风险值时,本系统采用矩阵法进行计算。该二维矩阵见表2-30。

资产ASSET_01的安全事件发生的可能性程度=5,安全事件的损失等级=3。根据资产价值等级和脆弱性严重程度值在矩阵中进行对照,则:

风险值=12

根据风险等级判断准则判断,则:

风险等级=高

其他硬件资产的风险值和风险等级计算过程类同,通过风险计算,得到本系统的硬件资产的风险状况如表3-13所示。

表3-13 硬件资产风险分析结果表

资产ID与名称资产

等级

威胁ID

威胁

名称

可能

性等

脆弱性ID 脆弱性名称

严重

程度

等级

风险

风险

等级

ASSET_01:3

Com交换机

-01 3

THREAT-11

漏洞

利用

5 VULN_01

一些IOS中的默认配置并

不需要,但不关闭

4 21 高

THREAT-11 漏洞 5 VULN_02 Finger服务未关闭 4 21 高

ASSET_02:Ci sco交换机-01 4

THREAT-11

漏洞

利用

5 VULN_03 没有日志记录 3 17 中

THREAT-11

漏洞

利用

5 VULN_04 CSCdz39284 3 17 中

ASSET_03:Ci sco交换机-02 4

THREAT-11

漏洞

利用

5 VULN_05 CSCdw33027 3 17 中

THREAT-11

漏洞

利用

5 VULN_0

6 CSCds0474

7 4 23 高

ASSET_04:Ci sco交换机-03 4

THREAT-11

漏洞

利用

5 VULN_07

没有配备Service

Password-Encryption服

4 23 高

THREAT-11

漏洞

利用

5 VULN_08

没有修改SNMP的默认

字符串

3 17 中

ASSET_05:Ci sco路由器-01 4

THREAT-06

未授

权访

4 VULN_09

Cisco IOS界面被Ipv4数

据包阻塞

3 16 中

THREAT-11

漏洞

利用

5 VULN_10 Cisco路由器未设置密码 3 20 高

ASSET_06:N

et Screen防火

墙-01 4

THREAT-06

未授

权访

4 VULN_11 防火墙开放端口增加

5 23 高

THREAT-06

未授

权访

4 VULN_12 防火墙关键模块失效 4 20 高

ASSET_07:P

C-01 3

THREAT-09

数据

篡改

4 VULN_13

使用NetBIOS探测

Windows主机信息

5 23 高

THREAT-03

恶意

代码

和病

4 VULN_14 恶意代码 4 17 中

THREAT-03

恶意

代码

和病

4 VULN_1

5 病毒 4 17 中

ASSET_08:P

C-02 3

THREAT-08

探测

窃密

4 VULN_16

Blackmoon FTP明文口

5 23 高

THREAT-09

数据

篡改

3 VULN_17 MUP overlong request

4 17 中

THREAT-03

恶意

代码

和病

4 VULN_18 木马和后门 4 17 中

ASSET_09:D B服务器5

THREAT-06

未授

权访

4 VULN_19

ADMIN_RESTR

ICTIONS旗标没有设置

5 25 很高

THREAT-11 漏洞 5 VULN_20 监听器口没有设置 5 25 很高

ASSET_10:A PP服务器5

THREAT-06

未授

权访

4 VULN_21 SMB登录 3 16 中

THREAT-11

漏洞

利用

5 VULN_22 Telnet漏洞 4 25 很高

THREAT-11

漏洞

利用

5 VULN_23

可以通过SMB连接注册

5 25 很高

2.其他资产风险

利用得到的资产识别、威胁识别和脆弱性识别结果,根据风险分析原理,评估得到本系统的其他资产风险如表3-14所示。

表3-14 其他资产风险分析表

资产ID与名称资产

等级

威胁ID

威胁名

可能性

等级

脆弱性ID

脆弱

性名

严重

程度

ASSET_11:客户基本信息5

THREAT-07

滥用权

4 VULN_24

没有

访问

控制

措施

4 THREAT-09

数据篡

3 VULN_25

没有

修改

控制

措施

4 THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4

ASSET_12:客户存款信息5

THREAT-09

数据篡

3 VULN_25

没有

修改

控制

措施

4 THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4

ASSET_13:财

务报告3 THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4

ASSET_14:审

计日志3 THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4

其他资产的风险值和风险等级计算过程与硬件资产的计算过程类同,通过风险计算,得到本系统的其他资产风险状况如表3-15所示。

表3-15 其他资产风险分析结果表

资产ID与名

称资产等

威胁ID

威胁

名称

可能性

等级

脆弱性ID

脆弱

性名

严重

程度

风险

风险

等级

称等级

ASSET_11:客户基本信息5

THREAT-07

滥用

权限

4 VULN_24

没有

访问

控制

措施

4 12 底

THREAT-09

数据

篡改

3 VULN_25

没有

修改

控制

措施

4 12 底

THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4 8 底

ASSET_12:客户存款信息5

THREAT-09

数据

篡改

3 VULN_25

没有

修改

控制

措施

4 12 底

THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4 8 底

ASSET_13:财务报告3 THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4 6 很低

ASSET_14:审计日志3 THREAT-13 抵赖 2 VULN_25

没有

修改

控制

措施

4 6 很低

3.6.3 风险统计

综合风险分析的结果,得到本系统风险的统计表如表3-16所示。

表3-16 资产风险汇总表

风险项很高高中底很低硬件 4 9 10 0 0

其他0 0 0 5 2

共计 4 9 10 5 2

信息安全风险评估报告

1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期

报告编写人: 日期: 批准人:日期: 版本号:第一版本日期 第二版本日期 终板

目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)

5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A:脆弱性编号规则.. (17)

信息安全风险评估方法

从最开始接触风险评估理论到现在,已经有将近5个年头了,从最开始的膜拜捧为必杀技,然后是有一阵子怀疑甚至预弃之不用,到现在重拾之,尊之为做好安全的必备法宝,这么一段起起伏伏的心理历程。对风险的方法在一步步的加深,本文从风险评估工作最突出的问题:如何得到一致的、可比较的、可重复的风险评估结果,来加以分析讨论。 1. 风险评估的现状 风险理论也逐渐被广大信息安全专业人士所熟知,以风险驱动的方法去管理信息安全已经被大部分人所共知和接受,这几年国内等级保护的如火如荼的开展,风险评估工作是水涨船高,加之国内信息安全咨询和服务厂商和机构不遗余力的推动,风险评估实践也在不断的深入。当前的风险评估的方法主要参照两个标准,一个是国际标准《ISO13335信息安全风险管理指南》和国内标准《GB/T 20984-2007信息安全风险评估规范》,其本质上就是以信息资产为对象的定性的风险评估。基本方法是识别并评价组织/企业内部所要关注的信息系统、数据、人员、服务等保护对象,在参照当前流行的国际国内标准如ISO2700 2,COBIT,信息系统等级保护,识别出这些保护对象面临的威胁以及自身所存在的能被威胁利用的弱点,最后从可能性和影响程度这两个方面来评价信息资产的风险,综合后得到企业所面临的信息安全风险。这是大多数组织在做风险评估时使用的方法。当然也有少数的组织/企业开始在资产风险评估的基础上,在实践中摸索和开发出类似与流程风险评估等方法,补充完善了资产风险评估。 2. 风险评估的突出问题 信息安全领域的风险评估甚至风险管理的方法是借鉴了银行业成熟的风险管理方法,银行业业务风险管理的方法已经发展到相当成熟的地步,并且银行业也有非常丰富的基础数据支撑着风险分析方法的运用。但是,风险评估作为信息安全领域的新生事物,或者说舶来之物,尽管信息安全本身在国内开展也不过是10来年,风险评估作为先进思想也存在着类似“马列主义要与中国的实际国情结合走中国特色社会主义道路”的问题。风险评估的定量评估方法缺少必要的土壤,没有基础的、统计数据做支撑,定量风险评估寸步难移;而定性的风险评估其方法的本质是定性,所谓定性,则意味着估计、大概,不准确,其本质的缺陷给实践带来无穷的问题,重要问题之一就是投资回报问题,由于不能从财务的角度去评价一个/组风险所带来的可能损失,因此,也就没有办法得到投资回报率,尽管这是个问题,但是实践当中,一般大的企业都会有个基本的年度预算,IT/安全占企业年度预算的百分之多少,然后就是反正就这么些钱,按照风险从高到低或者再结合其他比如企业现有管理和技术水平,项目实施的难易度等情况综合考虑得到风险处理优先级,从高到低依次排序,钱到哪花完,风险处理今年就处理到哪。这方法到也比较具有实际价值,操作起来也容易,预算多的企业也不怕钱花不完,预算少的企业也有其对付办法,你领导就给这么些钱,哪些不能处理的风险反正我已经告诉你啦,要是万一出了事情你也怪不得我,没有出事情,等明年有钱了再接着处理。

信息安全风险评估方案教程文件

信息安全风险评估方 案

第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案,包括加密、身份认证、防病毒、防黑客等各个方面,每种解决方案都强调所论述方面面临威胁的严重性,自己在此方面的卓越性,但对于用户来说这些方面是否真正是自己的薄弱之处,会造成多大的损失,如何评估,投入多大可以满足要求,对应这些问题应该采取什麽措施,这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时,往往是头痛医头、脚痛医脚,面对层出不穷的安全问题,疲于奔命,再加上各种各样的安全产品与安全服务,使用户摸不着头脑,没有清晰的思路,其原因是由于没有一套完整的安全体系,不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下,安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象,它们过分强调了某个方面的重要性,而忽略了安全构件(产品)之间的关系。因此在客户化的、可操作的安全策略基础上,需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面,涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题,应该使之客户化、可定义、可管理。无论静态或动态(可管理)安全产品,简单的叠加并不是有效的防御措施,应该要求安全产品构件之间能够相互联动,以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点,因此即使是多层面的安全防御体系,如果是静态的,也无法抵御来自外部

信息安全风险评估方案

第一章网络安全现状与问题 目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案,包括加密、身份认证、防病毒、防黑客等各个方面,每种解决方案都强调所论述方面面临威胁的严重性,自己在此方面的卓越性,但对于用户来说这些方面是否真正是自己的薄弱之处,会造成多大的损失,如何评估,投入多大可以满足要求,对应这些问题应该采取什麽措施,这些用户真正关心的问题却很少有人提及。 网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时,往往是头痛医头、脚痛医脚,面对层出不穷的安全问题,疲于奔命,再加上各种各样的安全产品与安全服务,使用户摸不着头脑,没有清晰的思路,其原因是由于没有一套完整的安全体系,不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下,安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象,它们过分强调了某个方面的重要性,而忽略了安全构件(产品)之间的关系。因此在客户化的、可操作的安全策略基础上,需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面,涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题,应该使之客户化、可定义、可管理。无论静态或动态(可管理)安全产品,简单的叠加并不是有效的防御措施,应该要求安全产品构件之间能够相互联动,以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点,因此即使是多层面的安全防御体系,如果是静态的,也无法抵御来自外部和内部的攻击,只有将众多的攻击手法进行搜集、归类、分析、消化、综合,将其体系化,才有可能使防御系统与之相匹配、相耦合,以自动适应攻击的变化,从而

信息安全风险评估管理规定

信息安全风险评估管理规 定 This manuscript was revised on November 28, 2020

信息安全风险评估管理办法 第一章总则 第一条为规范信息安全风险评估(以下简称“风险评估”)及其管理活动,保障信息系统安全,依据国家有关规定,结合本省实际,制定本办法。 第二条本省行政区域内信息系统风险评估及其管理活动,适用本办法。 第三条本办法所称信息系统,是指由计算机、信息网络及其配套的设施、设备构成的,按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。 本办法所称重要信息系统,是指履行经济调节、市场监管、社会管理和公共服务职能的信息系统。 本办法所称风险评估,是指依据有关信息安全技术与管理标准,对信息网络和信息系统及由其存储、传输、处理的信息的保密性、完整性和可用性等安全属性进行评价的活动。 第四条县以上信息化主管部门负责本行政区域内风险评估的组织、指导和监督、检查。 跨省或者全国统一联网运行的重要信息系统的风险评估,可以由其行业管理部门统一组织实施。 涉密信息系统的风险评估,由国家保密部门按照有关法律、法规规定实施。

第五条风险评估分为自评估和检查评估两种形式。 自评估由信息系统的建设、运营或者使用单位自主开展。检查评估由县以上信息化主管部门在本行政区域内依法开展,也可以由信息系统建设、运营或者使用单位的上级主管部门依据有关标准和规范组织进行,双方实行互备案制度。 第二章组织与实施 第六条信息化主管部门应当定期发布本行政区域内重要信息系统目录,制定检查评估年度实施计划,并对重要信息系统管理技术人员开展相关培训。 第七条江苏省信息安全测评中心为本省从事信息安全测评的专门机构,受省信息化主管部门委托,具体负责对从事风险评估服务的社会机构进行条件审核、业务管理和人员培训,组织开展全省重要信息系统的外部安全测试。 第八条信息系统的建设、运营或者使用单位可以依托本单位技术力量,或者委托符合条件的风险评估服务机构进行自评估。 第九条重要信息系统新建、扩建或者改建的,在设计、验收、运行维护阶段,均应当进行自评估。重要信息系统废弃、发生重大变更或者安全状况发生重大变化的,应当及时进行自评估。

信息安全风险评估报告DOC

XXXXX公司 信息安全风险评估报告 历史版本编制、审核、批准、发布实施、分发信息记录表

一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况:XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服

务的企业。 3.ISMS方针:预防为主,共筑信息安全;完善管理,赢得顾客信赖。 4.ISMS范围:计算机应用软件开发,网络安全产品设计/开发,系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式,将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期: 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组; 2、通过咨询公司对风险评估小组进行相关培训; 3、根据我们的信息安全方针、范围制定信息安全风险管理程序,以这个程序作为我们风险评估的依据和方 法; 4、各部门识别所有的业务流程,并根据这些业务流程进行资产识别,对识别的资产进行打分形成重要资产 清单; 5、对每个重要资产进行威胁、脆弱性识别并打分,并以此得到资产的风险等级; 6、根据风险接受准则得出不可接受风险,并根据标准ISO27001:2013的附录A制定相关的风险控制措施; 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果,修订了信息安全风险管理程序,根据新修订程序文件,再次进行了风险评估工作

从2017年9月10日开始进入风险评估阶段,到2017年9月15日止基本工作告一段落。主要工作过程如下: 1.2017-9-10 ~ 2017-9-10,风险评估培训; 2.2017-9-11 ~ 2017-9-11,公司评估小组制定《信息安全风险管理程序》,制定系统化的风险评估方法; 3.2017-9-12 ~ 2017-9-12,本公司各部门识别本部门信息资产,并对信息资产进行等级评定,其中资产分为 物理资产、软件资产、数据资产、文档资产、无形资产,服务资产等共六大类; 4.2017-9-13 ~ 2017-9-13,本公司各部门编写风险评估表,识别信息资产的脆弱性和面临的威胁,评估潜在 风险,并在ISMS工作组内审核; 5.2017-9-14 ~ 2017-9-14,本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表; 6. 2017-9-15 ~ 2017-9-15,各部门修订风险评估表,识别重大风险,制定控制措施;ISMS工作 组组织审核,并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”,其中共识别出资产190个,重要资产115个,信息安全风险115个,不可接受风险42个. 表1 资产面临的威胁和脆弱性汇总表

信息安全风险评估报告

附件: 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称: 项目建设单位: 风险评估单位: 年月日

目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

企业网络与信息安全风险评估规范

企业网络与信息安全风险评估规范

目录 第一章总则 (3) 第二章风险评估原则 (5) 第三章风险评估模型 (5) 第四章风险评估策略 (9) 第五章风险评估过程框架 (11) 第六章风险评估手段 (15) 第七章文档要求 (16) 第八章项目管理 (17)

第一章总则 第一条网络与信息安全风险评估是网络与信息安全管理的基础性工作,是实现网络与信息系统安全水平持续改进的重要手段。为了指导、规范和促进各单位开展网络与信息安全风险评估工作,加强网络与信息安全的全过程动态管理,进一步提高网络与信息安全保障水平,特制定本规范。 第二条网络与信息安全风险评估是对企业现有的网络、信息系统、业务流程、安全策略等进行风险分析,并根据风险分析结论提出安全建议的过程。 第三条通过对网络与信息系统(以下简称信息系统)进行安全评估,至少应该达到以下目标: (一)掌握信息系统的安全现状和面临的安全风险; (二)明确信息系统面对的主要风险以及这些风险产生的原因; (三)为信息系统的建设、运行、维护、使用和改进提供安全性建议。 (四)改进与完善企业现有安全策略,实施有效的信息系统风险管理,加强重要信息系统的安全保障。 第四条本规范适用于国家电网公司系统各单位,用于指导各单位信息安全评估项目的开展和实施。 第五条名词解释

使命:一个组织通过信息化实现的工作任务。 信息资产:在信息化建设过程中积累起来的信息系统、信息数据、生产或服务能力、人员能力和应得的信誉。 价值:指信息资产对信息系统的重要程度,以及对信息系统为完成组织使命的重要程度。 威胁:信息资产可能受到的来自内部和来自外部的安全侵害。 脆弱性:信息资产及其防护措施在安全方面的不足,通常也称为漏洞。 风险:是指人为或自然的威胁利用信息系统存在的脆弱性,从而导致信息安全事件发生的可能性及其影响。 残余风险:采取了安全防护措施,提高了防护能力后,仍然可能存在的风险。 安全措施:为对付威胁,减少脆弱点,保护资产,限制意外事件的影响,检测和响应意外事件,促进灾难恢复和打击信息犯罪而采取的各种实践、规程和机制统称为安全措施。 安全防护需求:指为保证信息系统能够正常使用,在信息安全防护措施方面的要求。

企业信息安全风险评估方案

企业信息安全风险评估方案

知识域:信息安全风险评估 ?:?知识子域:风险评估流程和方法 ■掌握国家对开展风险评估工作的政策要求 ■理解风险评估、检查评估和等级保护测评之间的关系 掌握风险评估的实施流程:风险评估准备、资产识别、威胁评 估、脆弱性评估、已有安全措施确认、风险分析、风险评估文档 记录 -理解走量风险分析和定性风险分析的区别及优缺点理解自评估和检查评估的区别及优缺点 ■掌握典型风险计算方法:年度损失值(ALE)、矩阵法、相乘法掌握风险评估工具:风险评估与管理工具、系统基础平台风险评 估工具、风险评估辅助工具

1、《国家信息化领导小组关于加强信息安全保障工作的意见》仲办发[2003]27号)中明确提出 :”要重视信息安全风险评估工作”对网络与信息系统安全的潜在威胁.薄弱环节、防护措施等进行分析评估,综合考虑网络与信息系统的重要性.涉密程度和面临的信息安全风险等因素,进行相应等级的安全建设和管理〃

国家对开展风险评估工作的政 2、《国家网络与信息安全协调小组〈关于开展信息安全风险评估工作的意见〉》(国信办[2006 】5号文)中明确规定了风险评估工作的相关要求: 风险评估的基本内容和原则开展风险评估工作的有 关安排 风险评估工作的基本要求 K信息安全风险评估工作应当贯穿信息系统全生命周 期。在信息系统规划设计阶段,通过信息安全风险评 估工作,可以明确信息系统的安全需求及其安全目标,有针对性地制定和部署安全措施”从而避免产生欠保 护或过保护的情况。

2、在信息系统建设完成验收时,通过风险评估工作可以检验信息系统是否实现了所设计的安全功能, 是否满足了信息系统的安全需求并达到预期的安全目标。 3. 由于信息技术的发展.信息系统业务以及所处安全环境的变化,会不断出现新的信息安全风险,因此,在信息系统的运行阶段,应当定期逬行信息安全风险评估,以检验安全措施的有效性以及对安全环境的适应性。当安全形势发生重大变化或信息系统使命有重大变更时,应及时逬行信息安全风险评估。 4. 信息安全风险评估也是落实等级保护制度的重要 手段,应通过信息安全风险评估为信息系统确定安全

术公司信息安全风险评估管理办法

**信息安全风险评估管理办法 目录 总则 为确保**网络及信息系统安全、高效、可控的运行,提高业务系统安全运行能力,全面降低信息安全风险,特制定本管理办法。 组织与责任 信息安全管理组负责信息安全风险评估的具体实施。 技术支撑部门协助信息安全管理执行组的信息安全风险评估工作,并且实施信息安全管理执行组通过风险评估后提供的解决方案与建议。 其他部门协助信息安全管理执行组开展信息安全风险评估工作。 信息安全风险评估规定

弱点分析 概述 弱点评估是安全风险评估中最主要的内容。弱点是信息资产本身存在的,它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的弱点。 弱点检查 信息安全管理组应定期对集团IT系统进行全面的信息安全弱点检查,了解各IT系统的信息安全现状。 IT系统安全检查的范围包括:主机系统、网络设备、安全设备、数据库系统、应用系统、邮件系统以及其它在用系统。 IT系统安全检查的工具与方法如下: 1. 工具检查:针对IT设备建议采用专用的脆弱性评估工具进行检查,如Nessus、 BurpSuite等工具,针对应用系统及代码安全检查,建议采用商业专用软件进行检查, 如IBM AppScan。 2. 手工检查:由信息安全专员或技术支撑部门相关人员参照相关的指导文档上机进行手 工检查。 信息安全检查工作开展前,信息安全管理组需制定安全检查计划,对于部分可用性要求高的业务系统或设备,计划中要明确执行的时间,并且该计划要通知相关部门与系统维护人员,明确相关人员的及部门的职责与注意事项。 信息安全管理组与外服公司针对信息安全检查须制定《安全检查方案》,方案中,针对工具扫描部分需明确扫描策略,同时方案必须提供规避操作风险的措施与方法。并且该方案必须获得技术支撑部领导批准。 信息安全管理组应对IT系统安全检查的结果进行汇总,并进行详细分析,提供具体的安全解决建议,如安全加固、安全技术引进等。 当发生重大的信息安全事件,信息安全管理组应在事后进行一次全面的安全检查,并通过安全检查结果对重要的安全问题进行及时解决。 常见的弱点种类分为: 1. 技术性弱点:系统,程序,设备中存在的漏洞或缺陷,比如结构设计问题或编程 漏洞;

信息安全风险评估服务

1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规,对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析,判断安全事件发生的概率以及可能造成的损失,提出风险管理措施的过程。当风险评估应用于IT领域时,就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作,逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、标准《信息系统安全等级评测准则》等法,充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等面存在的脆弱性为诱因的信息安全风险评估综合法及操作模型。 1.2风险评估相关 资产,任对组织有价值的事物。 威胁,指可能对资产或组织造成损害的事故的潜在原因。例如,组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点,是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思,使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险,特定的威胁利用资产的一种或一组薄弱点,导致资产的丢失或损害饿潜在可能性,即特定威胁事件发生的可能性与后果的结合。风险评估,对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。

风险评估也称为风险分析,就是确认安全风险及其大小的过程,即利用适当的风险评估工具,包括定性和定量的法,去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段(60-70年代)以计算机为对象的信息保密阶段1067年11月到1970年2月,美国国防科学委员会委托兰德公司、迈特公司(MITIE)及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究,分析。作为第一次比较大规模的风险评估。 特点: 仅重点针对了计算机系统的保密性问题提出要求,对安全的评估只限于保密性,且重点在于安全评估,对风险问题考虑不多。 第二阶段(80-90年代)以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品,很少延拓至系统,婴儿在格意义上扔不是全面的风险评估。 第三阶段(90年代末,21世纪初)以信息系统为对象的信息保障阶段 随着信息保障的研究的深入,保障对象明确为信息和信息系统;保障能力明确来源于技术、管理和人员三个面;逐步形成了风险评估、自评估、认证认可的工作思路。

信息安全风险评估方案.doc

第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案,包括加密、身份认证、防病毒、防黑客等各个方面,每种解决方案都强调所论述方面面临威胁的严重性,自己在此方面的卓越性,但对于用户来说这些方面是否真正是自己的薄弱之处,会造成多大的损失,如何评估,投入多大可以满足要求,对应这些问题应该采取什麽措施,这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时,往往是头痛医头、脚痛医脚,面对层出不穷的安全问题,疲于奔命,再加上各种各样的安全产品与安全服务,使用户摸不着头脑,没有清晰的思路,其原因是由于没有一套完整的安全体系,不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下,安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象,它们过分强调了某个方面的重要性,而忽略了安全构件(产品)之间的关系。因此在客户化的、可操作的安全策略基础上,需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面,涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题,应该使之客户化、可定义、可管理。无论静态或动态(可管理)安全产品,简单的叠加并不是有效的防御措施,应该要求安全产品构件之间能够相互联动,以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点,因此即使是多层面的安全防御体系,如果是静态的,也无法抵御来自外部和内部的攻击,只有将众多的攻击手法进行搜集、归类、分析、消化、综合,将其体系化,才有可能使防御系统与之相匹配、相耦合,以自动适应攻击的变化,从而

企业信息安全风险评估资料

【最新资料,WORD文档,可编辑修改】 目录 一、信息安全风险评估简介 .............................................................. 二、信息安全风险评估流程 .............................................................. 1.风险评估准备 ................................................................................... 2.资产识别............................................................................................ 3.威胁识别............................................................................................ 4.脆弱性识别........................................................................................ 5.风险分析............................................................................................ 三、信息安全风险评估策略方法 ...................................................... 1)定量分析方法 ................................................................................ 2)定性分析方法 ................................................................................ 3)综合分析方法 ................................................................................ 四、信息安全风险评估的注意事项 .................................................. 1、各级领导对评估工作的重视 ........................................................ 2、加强评估工作的组织和管理 ........................................................ 3、注意评估过程中的风险控制。 .................................................... 4、做好各方的协调配合工作。 ........................................................ 5、提供评估所必须的保障条件。 .................................................... 信息安全风险评估 一、信息安全风险评估简介 信息安全风险评估的概念涉及资产、威胁、脆弱性和风险4个主要因素。信息安全风险评估就是从管理的角度,运用科学的方法和手段,系统分析网络与信息系统所

信息安全风险评估报告

胜达集团 信息安全评估报告 (管理信息系统) 胜达集团 二零一六年一月

1目标 胜达集团信息安全检查工作的主要目标是通过自评估工作,发现本局信息系统当前面临的主要安全问题,边检查边整改,确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》(信安通[2006]15号)、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》(办信息[2006]48号)以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等, 管理信息系统中业务种类相对较多、网络和业务结构较为复杂,在检查工作中强调对基础信息系统和重点业务系统进行安全性评估,具体包括:基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别,将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总,形成重要资产清单。 资产清单见附表1。 4安全事件 对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录,形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述 本局已成立了信息安全领导机构,但尚未成立信息安全工作机构。 5.1.1.3 评估结论

信息安全风险评估方法研究

信息安全风险评估方法研究 毛捍东1陈锋张维明黄金才 (国防科技大学管理科学与工程系长沙410073) handmao@https://www.doczj.com/doc/959823306.html, 摘要 在信息安全领域,对信息系统进行风险评估十分重要,其最终目的就是要指导决策者在“投资成本”和“安全级别”这两者之间找到平衡,从而为等级化的资产风险制定保护策略和缓和计划。信息安全风险评估方法经历了从手动评估到半自动化评估的阶段,现在正在由技术评估向整体评估发展,由定性评估向定性和定量评估相结合的方法发展,由基于知识的评估向基于模型的评估方法发展。该文阐述了信息安全风险评估所要解决的问题,介绍了目前在信息安全风险评估领域的主要方法以及今后的发展方向。 关键词:信息系统;风险评估;资产;威胁;脆弱性 A Survey of Information Security Risk Assessment Methods Mao Handong, Chen Feng, Zhang Weiming, Huang Jincai ( Department of Management Science and Engineering, National University of Defense Technology Changsha 410073 ) handmao@https://www.doczj.com/doc/959823306.html, Abstract: Information systems risk assessment has experienced the stage of manual-to-automatic. It’s now expanding from technology assessment to holistic, from qualitative to synthetic method of qualitative and quantitative analysis, from knowledge-based to model-based. To make the assessment comprehensive and accurate, the target of assessment must be considered as a whole system with technological, organizational and personnel factors. Specifying an information system is often a complicated task that demands a method that can provide both the details and the overview of the system. Modeling techniques give us the possibility to specify all aspects of the system while keeping a good overview at the same time. Key words: Information System; risk assessment; asset; threat; vulnerability. 一、引言 信息系统已经成为人们生活中重要组成部分,人们总是希望信息系统能够带来更多的便利。但是信息系统自身以及与信息系统相连的网络环境的特点与局限性决定了信息系统的发展和应用将遭受木马、病毒、恶意代码、物理故障、人为破坏等各方面的威胁。由于这个原因,人们在不断的探索和研究防止信息系统威胁的手段和方法,并且迅速在杀毒软件、防火墙和入侵检测技术等方面取得了迅猛的发展。然而,这没有从根本上解决信息系统的安全问题,来自计算机网络的威胁更加多样化和隐蔽化,黑客、病毒等攻击事件也越来越多。据CERT/CC的统计,2003年报告的安全事件(security incident)的数量达到137529件,远远高于2001年的52658件和2002年的82094件①。 1作者简介:毛捍东(1979—),博士研究生,研究方向为网络安全、安全风险评估。陈锋,硕士研究生。张维明,博士教授。黄金才,副教授。 ①https://www.doczj.com/doc/959823306.html,/stats/cert_stats.html

ISO27001信息安全风险评估控制手册

ISO27001信息安全风险评估控制手册 1 目的 本程序规定了DXC所采用的信息安全风险评估方法。通过识别信息资产、风险等级评估认知DXC的信息安全风险,在考虑控制成本与风险平衡的前提下选择合适控制目标和控制方式将信息安全风险控制在可接受的水平,保持DXC持续性发展,以满足DXC信息安全管理方针的要求。 2 范围 本程序适用于信息安全管理体系(ISMS)范围内信息安全风险评估活动。 3 相关文件 无 4 职责 4.1 管理者代表负责组织成立风险评估小组。 4.2 风险评估小组负责编制信息安全风险评估计划,确认评估结果,形成《信息安全风险评估报告》。 5 程序 5.1 风险评估前准备 5.1.1 管理者代表牵头成立风险评估小组,小组成员至少应该包含:负责信息安全管理体系的成员。 5.1.2 风险评估小组制定信息安全风险评估计划,下发各内审员。 5.1.3 必要时应对各内审员进行风险评估相关知识和表格填写的培训。

5.2信息资产的识别 5.2.1风险评估小组通过电子邮件向各内审员发放《信息资产分类参考目录》、《重要信息资产判断准则》、《信息资产识别表》,同时提出信息资产识别的要求。 5.2.2 各内审员参考《信息资产分类参考目录》识别DXC信息资产,并填写《信息资产识别表》,根据《重要信息资产判断准则》判断其是否是重要信息资产,经该区域负责人审核确认后,在风险评估计划规定的时间内提交风险评估小组审核汇总。 5.2.3 风险评估小组对各内审员填写的《信息资产识别表》进行审核,确保没有遗漏重要的信息资产,形成DXC的《重要信息资产清单》,并交由文档管理员处存档。 5.3 重要信息资产风险等级评估 5.3.1 应对《重要信息资产清单》中的所有资产进行风险评估, 评估应考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度两方面因素。 5.3.2 风险评估小组向各内审员分发《重要信息资产风险评估表》、《信息安全威胁参考表》、《信息安全薄弱点参考表》、《事件发生可能性等级对照表》、《事件可能影响程度等级对照表》。 5.3.3 各内审员根据资产本身所处的环境条件,参考《信息安全威胁参考表》识别每个信息资产所面临的威胁,针对每个威胁,识别目前已有的控制;并参考《信息安全薄弱点参考表》识别可能被该威胁所利用的薄弱点;在考虑现有的控制前提下,参考《事件发生可能性等级对照表》判断每项重要信息资产所面临威胁发生的可能性;参考《事件可能影响程度等级对照表》,判断威胁利用薄弱点可能使信息资产保密性、完整性或可用性丢失所产生的影响程度等级。将结果填写在《重要信息资产风险评估表》上,提交风险评估小组审核汇总。 5.3.4 风险评估小组考虑DXC整体的信息安全要求,对各内审员填写的《重要信息资产风险评估表》进行审核,确保风险评估水平的一致性,确保没有遗漏重要信息安全风险。如果对评估结果进行修改,应该和负责该资产的内审员进行沟通并获得该区域副总经理的确认。5.3.5 风险评估小组根据《信息安全风险矩阵计算表》计算风险等级,完成各内审员识别的《重要信息资产风险评估表》,并递交给文档管理员进行存档。

信息安全风险评估需求方案

信息安全风险评估需求方案 一、项目背景 多年来,天津市财政局(地方税务局)在加快信息化建设和信息系统开发应用的同时,高度重视信息安全工作,采取了很多防范措施,取得了较好的工作效果,但同新形势、新任务的要求相比,还存在有许多不相适应的地方。2009年,国家税务总局和市政府分别对我局信息系统安全情况进行了抽查,在充分肯定成绩的同时,也指出了我局在信息安全方面存在的问题。通过抽查所暴露的这些问题,给我们敲响了警钟,也对我局信息安全工作提出了新的更高的要求。 因此,天津市财政局(地方税务局)在对现有信息安全资源进行整合、整改的同时,按照国家税务总局信息安全管理规定,结合本单位实际情况确定实施信息安全评估、安全加固、应急响应、安全咨询、安全事件通告、安全巡检、安全值守、安全培训、应急演练服务等工作内容(以下简称“安全风险评估”),形成安全规划、实施、检查、处置四位一体的长效机制。 二、项目目标 通过开展信息“安全风险评估”, 完善安全管理机制;通过安全服务的引入,进一步建立健全财税系统安全管理策略,实现安全风险的可知、可控和可管理;通过建立财税系统信息安全风

险评估机制,实现财税系统信息安全风险的动态跟踪分析,为财税系统信息安全整体规划提供科学的决策依据,进一步加强财税内部网络的整体安全防护能力,全面提升我局信息系统整体安全防范能力,极大提高财税系统网络与信息安全管理水平;通过深入挖掘网络与信息系统存在的脆弱点,并以业务系统为关键要素,对现有的信息安全管理制度和技术措施的有效性进行评估,不断增强系统的网络和信息系统抵御风险安全风险能力,促进我局安全管理水平的提高,增强信息安全风险管理意识,培养信息安全专业人才,为财税系统各项业务提供安全可靠的支撑平台。 三、项目需求 (一)服务要求 1基本要求 “安全风险评估服务”全过程要求有据可依,并在产品使用有据可查,并保持项目之后的持续改进。针对用户单位网络中的IT设备及应用软件,需要有软件产品识别所有设备及其安全配置,或以其他方式收集、保存设备明细及安全配置,进行资产收集作为建立信息安全体系的基础。安全评估的过程及结果要求通过软件或其他形式进行展示。对于风险的处理包括:协助用户制定安全加固方案、在工程建设及日常运维中提供安全值守、咨询及支持服务,通过安全产品解决已知的安全风险。在日常安全管理方面提供安全支持服务,并根据国家及行业标准制定信息安全管理体系,针对安全管理员提供安全培训,遇有可能的安全事件

信息安全风险评估技术

信息安全风险评估技术手段综述 王英梅1 (北京科技大学信息工程学院北京 100101) 摘要:信息安全成为国家安全的重要组成部分,因此为保证信息安全,建立信息安全管理体系已成为目前安全建设的首要任务。风险评估作为信息安全管理体系建设的基础,在体系建设的各个阶段发挥着重要的作用。风险评估的进行离不开风险评估工具,本文在对风险评估工具进行分类的基础上,探讨了目前主要的风险评估工具的研究现状及发展方向。 关键词:风险评估综合风险评估信息基础设施工具 引言 当今时代,信息是一个国家最重要的资源之一,信息与网络的运用亦是二十一世纪国力的象征,以网络为载体、信息资源为核心的新经济改变了传统的资产运营模式,没有各种信息的支持,企业的生存和发展空间就会受到限制。信息的重要性使得他不但面临着来自各方面的层出不穷的挑战,因此,需要对信息资产加以妥善保护。正如中国工程院院长徐匡迪所说:“没有安全的工程就是豆腐渣工程”。信息同样需要安全工程。而人们在实践中逐渐认识到科学的管理是解决信息安全问题的关键。信息安全的内涵也在不断的延伸,从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性,进而又发展为“攻(攻击)、防(防范)、测(检测)、控(控制)、管(管理)、评(评估)”等多方面的基础理论和实施技术。 如何保证组织一直保持一个比较安全的状态,保证企业的信息安全管理手段和安全技术发挥最大的作用,是企业最关心的问题。同时企业高层开始意识到信息安全策略的重要性。突然间,IT专业人员发现自己面临着挑战:设计信息安全政策该从何处着手?如何拟订具有约束力的安全政策?如何让公司员工真正接受安全策略并在日常工作中执行?借助于信息安全风险评估和风险评估工具,能够回答以上的问题。 一.信息安全风险评估与评估工具 风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险及其大小的过程,即利用定性或定量的方法,借助于风险评估工具,确定信息资产的风险等级和优先风险控制。 风险评估是风险管理的最根本依据,是对现有网络的安全性进行分析的第一手资料,也 1作者介绍:王英梅(1974-),博士研究生,研究方向为信息安全、风险评估。国家信息中心《信息安全风险评估指南》编写小组成员。

相关主题
文本预览
相关文档 最新文档