风险评估标准

1、.：.；风险评价规范1.0 目的 建立风险评价规范的目的在于为IT平安处理方案提供根据和参考。2.0 适用范围 适用于公司一切IT平安的风险分析和评价。3.0 参考 1.ISO/IEC15408-3 2.GB17859-19994.0 定义 严密性(confidentiality):使信息不泄露给非授权的个人、实体或进程, 不为其所用 完好性(integrity):信息系统中的数据与在原文档中的一样，未蒙受偶尔或恶意修正/破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏或修正的性质 可用性( Availability):被授权实体所需的资源可被访问与运用，即攻击者不能占用相关资源而妨碍

2、授权者的任务 抗抵赖 性(repudiation): 防止在通讯中涉及到的那些实体不成认参与了该通讯 可审查性：有根据、有手段地对出现的信息平安问题提供跟踪和调查5.0 内容5.1 平安风险评价的根本步骤 确定需维护的资源，找出该资源的平安弱点和能够有的平安要挟，得出平安风险等级。然后列举可采取的降低风险的对策，直至风险减小至平安需求允许的范围。以下图显示了风险评价中的各要素和任务步骤的关系： 5.1.1 明确需平安维护资源5.1.2 评价脆弱性，包括： 1. 场所平安 2. 平安流程 3. 系统平安 4. 网络平安5. 运用平安 5.1.3 评价要挟 5.1.4 列举平安对策 5.1.5 损

3、失评价 5.1.6 确定风险等级5.2 细那么 5.2.1 明确需平安维护资源 1.网络设备：交换机、路由器、HUB、网络布线等 2.计算机设备：个人计算机、便携机、网络效力器、文件效力器、任务站等 3.存储介质；软盘、硬盘、磁带、光盘、MO等 4.软件： 操作系统、数据库、工具软件、办公平台软件、开发用软件等 5.网上运用系统： EMail系统、Internet Proxy效力、Notes系统、MRPII、SAP、HR、WWW、FTP等 6. 网络效力： DNS、DHCP、WINS、网络路由效力等 7. 数据资料： 电子文档、数据库等 5.2.2 评价脆弱性 运用最好的测试工具和技术、运用不

4、同的任务方法，对公司的整体资源系统的平安进展评价和审查从技术和管理两方面，找出存在的平安隐患。1. 场所平安评价 1)对公司场所平安评价，信息平安监控须包含硬件监控。 2)对公司信息平安部平安措施及相关文件评价，包括：场所平安、存储介质平安、硬件平安、紧急事故处置和信息维护等。 3)分析公司平安规范并与业界最正确实际规范进展比较。 4)总结平安措施优缺陷及措施适用性。2. 平安流程评价 1)评价公司的平安管理流程的效率及成效，评价查平安信息保证系统能否真正维护了至关重要的业务信息，评价管理流程和平安技术能否同时在各方面发扬作用。 2)针对已有的信息平安规范或规那么，经过相关平安接口人员了解情况

5、，审查各监控环节以确认该环节可以履行监控职责。 3)对各环节中所运用的IT平安监控系统评价：平安决策，组织构造，硬件监控，资产评价及控制，系统平安监控，网络和计算机管理，业务延续性，运用程序开展和维护，以及服从性。 4)与业界相比对，对所搜集到的信息进展分析。 5)总结系统优势及弱势，引荐改良方法，以完善平安系统，降低风险。 3. 系统平安评价 1)评价公司一系列全面办公处理方案、数据库效力器、文件和打印效力器、运用程序效力器，找出系统弱点。 2)找出公司主要系统平台如：UNIX,Windows/NT和一些捆绑销售的组件如：Microsoft Exchange, Lotus Notes, CO

6、BRA,Tivoli的弱点所在。 3)从技术和管理两方面进展评价： a.技术审查对每一个组件的机制进展真实性、可靠性、可审查性、严密性、适用性检验，并根据公司书面文件对其进展核对及预警。 b.管理审查包括听取管理员意见，对该组件相关的书面文件、规范和措施进展审查。这将保证公司可以发现于公司内部或外部的能越过平安监控的潜在要挟。 5)对系统软件和组件的配置文件能否能让授权用户正常登录进展审查，同时阻止和发现非授权用户的登录企图。 6)对平安管理监控作以下方面的综合审查：方案、组织、人事、资产分类和监控、硬件监控、资产监控、网络及计算机管理、业务延续性、系统开展和维护、适用性等。 4. 网络平安评

7、价 1)对公司网络平台的平安设计情况路由器、防火墙、网络效力器、运用程序效力器等进展审查，以确定能否有些功能会存在平安问题。将不受信任的、外部的网络与内部的、受信任的网络和系统隔分开来。 2)(根据情况需求模拟入侵者的攻击，必需以可控制的平安的方式进展。模拟三个方面非法进入内部网络：低程度的单个黑客，有一定才干的黑客小分队，有高度动机的专家黑客队伍。 3)检查系统的配置和管理以及能够在未来引起新的平安问题的要素。评价内容可以根据需求裁剪，包括系统平台、网络衔接、软件和数据库。 4)在技术和管理层面综合性地检查网络方案。技术检查包括多方面的入侵测试和配置分析，全面了解网络处理方案的优点和缺乏。管

8、理检查包括访问管理者和检查平安文件。 5. 运用平安评价 1)全面评价运用程序的：体系构造、设计及功能；开发和维护过程；运转过程及包括运转平台在内的技术组件；运用的网络效力及数据库或运用的运转平台效力。 2)对运用所采用的过程和技术进展审核，以保证主运用程序的平安性和严密性要求。对运用程序新的平安代码和支持根底构造的效力进展审核，检查影响消费环境完好性的普通错误。 3)复查运用程序平安和严密的要求、体系构造规范、功能规范和测试方案。 4)分析所选择运用程序代码，找出有关代码中的脆弱性。 5)分析操作系统平台、数据库、网络、以及该运用程序能够调用的平安和严密效力。 6)对现有根底构造中的部件和过

9、程的平安和严密性进展确认。 7)复查客户与平安和严密政策以及相关规范的程序和过程。 5.2.3 评价要挟 当需求维护的资源被确定后，进一步那么需确定所需维护资源存在的要挟。 1. 查非授权访问：如没有预先经过赞同就运用网络或计算机资源被看作是非授权访问。如：有意避开系统访问控制机制，擅自扩展权限，越权访问信息。 2. 查信息走漏：能否敏感数据在有意或无意中被走漏出去或丧失。如：信息在传输中或在存储介质中丧失或走漏，经过隐蔽通道窃取信息等。 3. 查数据完好性：如非法窃得数据运用权，修正或重发某些重要信息，恶意添加、修正数据，干扰用户的正常运用。 4. 查回绝效力攻击：查潜在的对网络效力进展干扰

10、的活动，该活动能够呵斥系统呼应减慢甚至瘫痪，影响正常用户进入网络系统或不能得到相应的效力。 5.2.4 列举降低风险的对策 为维护公司网络资源，采取怎样的控制措施，应根据损失的风险概率、控制的费用、控制后的变化率以及公司在平安防护上所能投入的财力确定。 降低风险的对策主要从三个方面思索：严厉的平安管理、运用先进的平安技术、一套威严的管理制度和规范。风险对策举例： 采用一些复合平安技术，如防火墙，单点登录方案，中央平安管理方案以及公共秘钥等。 每周进展战略顺应性测试-检查与方针相符的网络效力能否可用，寻觅普通的网络破绽并检查提供互连网衔接的域名系统DNS的内容。 每月进展脆弱性测试-用一切方法搜

11、索一切知的破绽和未被授权的效力，运用各种专门的平安工具来模拟黑客的攻击方法。 在进展每周和每月测试的同时，选购一些强有力的补充监控效力，以显著减少处置互连网不速之客侵入的呼应时间。对恶意活动进展24x7x365的监视。 1)在网络和主效力器中配置、布置监视测试仪。运用工业上领先的入侵侦查软件，扩展平安战略，防止平安进犯。 2)培训专业的平安管理人员，当有疑心的活动发生时，进展调查和警告，有效的事故处置，及时的平安预警和协调。 3)在关键业务效力器上建立入侵侦查软件，分析运转记录和系统文件，侦查平安进犯或滥用。 4)与平安事故反响机构建立联络，以便尽快得到良好的平安效力。 5)建立回绝效力告警系统，对回绝效力攻击、潜在的入侵和类似问题作出快速反响，同时，检查配置和系统管理，防止能够导致的信息泄露和回绝效力。 5.2.5 损失评价 在经过分析资源存在的要挟和隐患并确定出其平安等级后，根据公司对平安要求的偏重点，列出相应的损失及代价。在采取控制措施之前，预估能够发生的损失及能够发生损失的概率，预估经过采取