【风险管理】税务系统网络与信息安全风险评估指南

1、税务系统网络与信息安全风险评估指南随心编辑，值得下载拥有!YOUR COMPANY NAME IS HERE 专业I专注I精心I卓越【风险管理】税务系统网络 与信息安全风险评估指南税务系统网络与信息安全风险评估指南编制说明税务系统网络与信息安全风险评估指南就是为了对全国税务系 统的信息安全风险评估工作提供实施的指导， 从而统一全国税务系统 风险评估工作的实施办法和工作流程， 产生相同格式的工作成果， 确 保各地税务系统网络与信息安全风险评估工作结果的可比性。税务系统网络与信息安全风险评估指南对税务系统网络与信息 安全风险评估的过程、 关键点以及工作成果等方面提出了具体的实施 方法和产生的文档类

2、别和内容。税务系统网络与信息安全风险评估的内容包括： 资产分析，漏洞、 脆弱性及弱点评估， 威胁评估，影响与可能性分析和系统分析等方面。 风险评估过程分为三个阶段： 确定资产的威胁概况， 确定基础设施风 险和制定安全策略及计划。本风险评估指南规定了风险评估项目组织、 跟进工作等。 限定了 风险评估的前提和分工。本风险评估指南共提供了六个附录，附录 A 为术语表，对本指 南内的专业术语进行解释， 附录 B 为调查问卷， 对税务系统网络与信 息安全风险评估的调查问卷种类和内容进行规定， 附录 C 为交付文档 范例，确定了税务系统网络与信息安全风险评估工作需完成的工作文 档，附录 D 资产分类清单，

3、 对税务系统内的资产进行了分类， 附录 E 资产脆弱性清单列举了各类资产可能存在的脆弱性， 附录 F 为资产威 胁清单，列举了资产所面临的威胁。税务系统网络与信息安全风险评估指南（试行稿）国家税务总局信息中心二00四年十月目录1 前言 11.1 关于本文档 11.2 目标读者 11.3 文档结构 11.3.1 相关标准 21.3.2 参考文献 21.4 关于术语与缩略语的约定 22 风险评估概述 42.1 基本概念 42.2 意义与作用 42.3 过程概述 52.4 工具 52.4.1 调查问卷 52.4.2 远程漏洞扫描工具 52.4.3 人工审计检查列表 52.4.4 安全风险评估信息库

4、62.5 成功的关键因素 62.6 收益 62.7 面临的挑战 63 风险评估内容 83.1 资产分析 83.1.1 资产定义 83.1.2 资产类别 83.1.3 资产评估 83.1.4 资产评估的目的 93.1.5 资产的重要性 93.1.6 资产级别 93.1.7 评估实例 1.03.2 漏洞/脆弱性 /弱点评估 弱点评估的目的 弱点评估的内容 弱点评估手段 1.13.3 威胁评估 威胁定义 威胁分类 威胁属性 威胁的获取方法 威胁评估手段 1.

5、53.3.6 威胁评估实例 1.53.4 影响与可能性分析 1.53.5 系统分析 系统结构及边界 信息的敏感度评估 1.63.6 调查问卷的结构 调查系统控制 系统确认 目的和评估者信息 信息的决定性 1.83.7 利用问卷调查结果 调查问卷分析 行动计划 1.83.8 综合风险分析 风险分析矩阵 风险评估层面 风险评估实例 ISO 17799 十个域 2.03.9 可交付的文档

6、 2.03.9.1 信息网络 2.03.9.2 文档一览 2.14 风险评估过程 2.24.1 评估过程 阶段 1 ：提取基于资产的威胁概况 2. 24.1.2 阶段 2 ：确定基础设施漏洞 阶段 3 ：制订安全策略和计划 2.34.2 各阶段的一般过程 调查与分析 数据/ 信息收集与处理 撰写评估报告 2.34.3 风险控制 风险控制的方式 风险控制措施举例： 2.44.4 风险评估项目 计划 监控与执行 2.55 风险评估人员组织

7、 2.75.1 评估方人员组织 2.75.2 被评估方人员组织 2.86 风险评估的跟进工作 3.06.1 跟进的重要性 3.06.2 有效的，合格的建议 3.06.3 委托事项 3.06.3.1 安全评估人员 3.06.3.2 工作人员 3.06.3.3 管理层 3.06.4 监督与跟进 .1 建立监督与跟进机制 标识推荐并制定跟进计划 执行主动监督与报告 3.17 风险评估的前提与分工 3.37.1 假设与限制 客户责任 3.37.3 服务资质 3.37.4 安全评估人员的职责 3.3附录 A 术语表 3.4附录 B 调查问

8、卷 3.6调查问卷类别 3.6调查问卷内容 3.6问题的方式 3.7.附录 C 交付文档范例 3.8资产评估部分目录 3.8漏洞评估部分目录 3.8威胁评估部分目录 4.0风险评估部分目录 4.1安全策略建议部分目录 4.2安全解决方案部分目录 4.3附录 D 资产分类清单 4.5附录 E 资产脆弱性清单 4.7附录 F 资产威胁清单 4.91 前言1.1 关于本文档信息安全风险评估是信息安全管理的主要内容之一。本文档不覆盖信息安全管理的全部方面。 它介绍了一个关于信息安全风险评 估的一般过程。在了解这个过程后， 管理人员、信息中心主管、系统管理员以及其他技术与 运行人员能更好地理解安全风险评

9、估。 他们应该能够知道需要准备什么、 在哪些 方面应该加以注意、 会得到什么样的结果。 本文档的目标并不是集中在如何进行 风险评估，它更侧重于提供一个参考过程来帮助核对由独立的安全评估单位所提 供服务的覆盖面、方法论、交付的文档。1.2 目标读者 本指南为那些在其信息系统中支持或实施风险评估的人员提供关于风险评 估基础，无论他们是否有经验，是不是技术人员。这些人包括：? 高级管理人员，业务的拥有者，信息安全预算的决策者。? 信息部门主管，确保为税务系统部署风险管理并为税务系统提供安全的 人员。? 负责最终决策是否允许税务系统运行的人员。? 信息安全规划主管，部署安全规划的人员。? 信息系统安全

10、管理员，负责信息安全的人员。? 管理信息系统安全的技术支持人员（如，网络，系统，应用以及数据库 管理员，计算机专业人员，数据安全分析人员）。? 开发并维护可能影响系统和数据完整性代码的应用程序员。? 测试并确保信息系统和数据完整性的信息技术人员。? 审计信息系统的信息系统审计员。? 在风险管理中支持客户的安全顾问。1.3 文档结构本文档展示了关于信息安全风险评估的一个通用框架。它包括下面的内容：? 风险评估概述? 风险评估内容? 风险评估过程? 风险评估人员组织? 风险评估的跟进工作? 资质要求与职责划分1.3.1 相关标准 以下列出一些国际、国内关于信息安全风险评估的相关标准和规范。如： 国

11、际标准? ISO 17799? ISO 15408/CC 2.1? ISO 13335? SSE-CMM? RFC 2196国家标准GB/T 18336-2001行业通用标准BS7799-2AS/NZS 4360CVE 或 CN-CVE1.3.2 参考文献1 . C. J Alberts ， S. G. Behrens ， R. D. Pethia ， and W. R. Wilson. Operationally critical threat， asset ， and vulnerability evaluation(octave) framework ， version 1.0. Tec

12、hnical report ， Carnegie Mellon University ， Software Engineering Institute， Pittsburgh ，PA， June 1999.2 . Australian/New Zealand Standard AS/NZS 4360:1999: Risk Management. Strath_eld: Standards Australia.3 . CORAS IST-2000-25031 Web Site. /. 24 February 2003.4 . ISO/IEC 13335:

13、 Information Technology - Guidelines for the management of IT Security. http:/www.iso.ch.5 . ISO/IEC 17799: 2000 Information technology - Code of practise for information security management.1.4 关于术语与缩略语的约定风险评估在本文中，风险评估特指“信息系统安全风险评估”。资产在本文中，资产特指“信息系统本身作为固定资产的价值与它所承载的无形 资产（数据、业务连续性等）的价值”。2 风险评估概述在本节中

14、，介绍了风险评估的相关概念、一般过程、相关工具、成功的关键 因素、收益以及面临的挑战。2.1 基本概念风险风险是一种潜在可能性， 是指某个威胁利用弱点引起某项资产或一组资产的 损害，从而直接地或间接地引起对税务系统的损害。因此，风险和具体的资产、其价值、威胁等级以及相关的弱点直接相关。威胁INFOSEC-99 将威胁定义为“能够通过未授权访问、毁坏、揭露、 数据修改 和/ 或拒绝服务对系统造成潜在危害的任何环境或事件” 。脆弱性系统资产在相关环境中体现出来的， 可以被威胁利用从而引发资产或商业目 标损害的弱点和漏洞。风险的属性 风险有两个属性：后果( Consequence )和可能性( Likelihood )。评价风 险对税务系统的影响， 也就是对风险的评估赋值是对上述两个属性权衡作用的结 果。后果( Consequence )是指风险带来的损失，可以用损失占该资产价值的 百分比来度量。可能性( Likelihood )是指风险发生的概率，以百分比来表示。风险评估 风险评估是对信息系统