信息安全评估的流程

(表格)CJJ 28-2014 城镇供热管网工程施工及验收

b1

信息安全评估报告

(管理信息系统)

二零一六年一月 (表格)CJJ 28-2014 城镇供热管网工程施工及验收

b2 1 目标

××单位信息安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。

2 评估依据、范围和方法

2.1 评估依据

根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。

2.2 评估范围

本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。

2.3 评估方法

采用自评估方法。

(表格)CJJ 28-2014 城镇供热管网工程施工及验收

b3 3 重要资产识别

对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，形成重要资产清单。资产清单见附表1。

4 安全事件

对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。安全事件列表见附表2。

5 安全检查项目评估

5.1 规章制度与组织管理评估

5.1.1 组织机构

5.1.1.1 评估标准

信息安全组织机构包括领导机构、工作机构。

5.1.1.2 现状描述

信息系统安全风险评估流程图

输出文件详细实施流程

风险准备阶段1.评估对象相关信息2.调研报告

风险识别阶段1.调研报告2.重要资产清单3.资产赋值表4.脆弱性列表5.脆弱性赋值表

风险分析阶段1.调研报告2.风险评估规范3.威胁利用脆弱性可能性列表4.脆弱性发生对组织造成影响列表5.风险列表1.重要资产清单2.资产赋值表3.脆弱性列表4.脆弱性赋值表5.威胁分类清单6.威胁识别请购单7.威胁利用脆弱性可能性列表8.脆弱性发生对组织造成影响列表9.已有安全措施列表10.安全措施有效性列表

1.风险分析模型2.风险计算方法3风险列表4.风险评估报告阶段工作职责

合同签订后，风险评估小组对评估对象进行充分的系统调研

对资产进行分类，识别重要信息资产，分析重要资产的保密性、完整性、可用性和业务相关性，并对其进行赋值。

识别已有安全措施并进行有效性分析需求调研

资产识别制定方案

已安全措施的确认

风险分析模型建立

风险计算输入文件

风险评价、风险评估报告

风险处置建议根据调研情况，编制风险评估实施方案，组建风险评估团队并进行安全教育与技术培训，确定风险评估拟使用的工具，并对工具进行检查和测试。

对已识别资产的脆弱性进行识别，包括管理脆弱性和技术脆弱性，并 对脆弱性进行赋值。对威胁进行分类，识别资产面临的威胁，分析威胁利用脆弱的可能性，分析威胁利用脆弱性对组织可能造成的影响。

根据调研报告，结合风险评估规范，建立合适的风险分析模型

根据风险识别情况，结合风险分析模型，制定合适的风险计算方法

根据风险计算方法，结合风险评估准则、通过威胁利用脆弱性可能性 列表、脆弱性发生对组织造成影响列表对系统风险进行评价，编制风险评估报告

确定风险处置原则和风险处置措施，提出风险处置建议。脆弱性识别威胁识别1.调研报告2.风险评估实施方案、3.培训记录表、4.工具测试记录表

1.风险列表风险处置阶段1.风险处置建议

1. 总则

为了完善制度化建设、优化流程管理，抓好风险评估流程建设，达到对所承担的风险评估项目进行有效控制和管理的目的，结合公司实际，特制定本流程。 2. 准备阶段

第 1 页 共 2 页 科技风险外部审计项目

防火墙审计检查表

防火墙 安全审核

被审核部门 审核人员 审核日期 陪同人员

序号 审核项目 审核步骤/方法 审核结果 补充说明 备注

1 防火墙安全策略审核 检查防火墙安全策略的设置是否合理：

1. 检查防火墙是否只开放了必须要开放的端口；

2. 检查防火墙是否禁止了所有不必要开放的端口；

3. 检查防火墙是否设置了防DOS攻击安全策略；

4. 检查防火墙是否设置了抗扫描安全措施。

2 防火墙应用模式安全审核 防火墙采用何种应用模式（透明、NAT、路由），是否采用了必要的NAT、PAT措施隐藏服务器及内部网络结构

3 防火墙软件检查 检查防火墙操作系统是否为最新版本、是否安装相应的安全补丁。

4 防火墙管理检查 1. 检查防火墙的通过什么方式进行管理，是否为安全的管理方式

2. 检查防火墙是否根据权限不同进行分级管理

3. 检查防火墙的口令设置情况，口令设置是否满足安全要求

5 防火墙日志检查 1. 检查防火墙的日志设置是否合理，是否有所有拒绝数据包的记录日志。

2. 检查防火墙的日志保存情况，所记录的日志是否

第 2 页 共 2 页 防火墙 安全审核

被审核部门 审核人员 审核日期 陪同人员

序号 审核项目 审核步骤/方法 审核结果 补充说明 备注

有连续性；

3. 检查防火墙日志的查看情况，网络安全管理员是否按照防火墙管理制度对防火墙进行日常维护

信息安全风险评估项目流程

一、售前方案阶段

1.1、工作说明

技术部配合项目销售经理（以下简称销售）根据客户需求制定项目解决方案，客户认可后，销售与客户签订合同协议，同时向技术部派发项目工单（项目实施使用）

1.2、输出文档

《XXX项目XXX解决方案》

输出文档（电子版、纸质版）交付销售助理保管，电子版抄送技术部助理。

1.3、注意事项

 销售需派发内部工单（售前技术支持）

 输出文档均一式三份（下同）

二、派发项目工单

2.1、工作说明

销售谈下项目后向技术部派发项目工单，技术部成立项目小组，指定项目实施经理和实施人员。

三、项目启动会议

3.1、工作说明

 销售和项目经理与甲方召开项目启动会议，确定各自接口负责人。

 要求甲方按合同范围提供《资产表》，确定扫描评估范围、人工评估范围和渗透测试范围。

 请甲方给所有资产赋值（双方确认资产赋值）

 请甲方指定安全评估调查（访谈）人员

3.2、输出文档

《XXX项目启动会议记要》

客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用

3.3、注意事项

 资产数量正负不超过15%；给资产编排序号，以方便事后检查。

 给人工评估资产做标记，以方便事后检查。

 资产值是评估报告的重要数据。  销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以便项目小组分析制定项目计划使用。

四、项目前期准备

4.1、工作说明

 准备项目实施PPT，人工评估原始文档（对象评估文档），扫描工具、渗透测试工具、保密协议和授权书

 项目小组与销售根据项目内容和范围制定项目实施计划。

4.2、输出文档

《XXX项目实施PPT》

《XXX项目人工访谈原始文档》

《XXX项目保密协议》

《XXX项目XXX授权书》

4.3、注意事项

 如无资产表和拓扑图需到现场调查后再制定项目实施计划和工作进度安排。

 项目实施小组与客户约定进场时间。