业务系统信息安全风险评估方案

1、业务系统信息安全风险评估案第3章业务系统信息安全风险评估案风险评估概述背景该业务系统风险评估的标是评估业务系统的风险状况，提出风险控制建议，同时为下步要制定的业务系统安全管理规范以 及今后业务系统的安全建设和风险管理提供依据和建议。需要指出的是，本评估报告中所指的安全风险针对的是现阶段该业务系统的风险状况，反映的是系统当前的安全状态。范围该业务系统风险评估范围包括业务系统络、管理制度、使或管理业务系统的相关员以及由业务系统使时所产的 档、数据。评估式信息系统具有定的命周期，在其命中期内完成相应的使命。采取必要的安全保护式使系统在其命周期内稳定、可靠 地运是系统各种技术、管理应的基本原则。本项的

2、评估主要根据国际标准、国家标准和地标准，从识别信息系统的资产，确定重要资产，针对重要资产分析其 临的安全威胁并识别其存在的脆弱性，最后综合评估系统的安全风险。资产划分是风险评估的基础，在所有识别的系统资产中，依据资产在机密性、完整性和可性安全属性的价值不同，综合判定 资产重要性程度并将其划分为核、关键、中等、次要和很低5个等级。对于列为重要及以上等级的资产，分析其临的安全威胁。脆弱性识别主要从技术和管理两个层，采取访谈。现场核查。扫描检测。渗透性测试等式，找出系统所存在的脆弱性 和安全隐患。对重要资产已识别的威胁、脆弱性，根据其可能性和严重性，综合评估其安全风险。该业务系统概况该业务系统背景近

3、年来，由于数据量迅速增加，业务量也迅速增长，原先的硬件系统、应系统和模式已渐渐不适应业务的需求，提升管理系 统已经成为刻不容缓的事情。经过仔细论证之后，信息决策部门在管理系统升级上达成如下共识：更换新的硬件设备，使更先进和更强的主机；在模式 上为统的集中式系统；在系统上运和维护效率较的单库结构替换原有多库系统；在技术上准备使基于架构的J2中 间件技术，并且实施999.999%的可靠性运式；在业务上新型作流作为驱动新代业务系统的引擎，真正达到通过以客户为中来提升利润及通过效智能的作流来提每个员的劳动产率，从降低成本、提核竞争以应对外部 的竞争。络结构与拓扑图该系统的络包含应服务器组、数据库服务器

4、组、业务管理端、络连接设备和安全防护设备。业务系统络通过台性 能路由器连接分部络，通过台千兆以太交换机连接到其他业务系统。其中业务系统络内部络采千兆位以太，两台千兆以太交换机位交换机。络配备百兆桌交换机来连接络管理维护客户机。具体的络拓扑图如图3-1所。业务系统边界具体的系统边界图如图3-2所。应系统和业务流程分析业务系统组织结构划分为总部和分部两个层次，业务系统所涉及的绝多数业务流程都需要经过多级业务管理部门进处理， 业务流程复杂且流程跨度较。其次，业务系统处理流程分繁杂。在对客户申请审批处理过程中，必然会出现反复的提交、上报、退回等操作，并且可以将任务退回到指定的岗位上，然后再次上报提交。

5、在同个审批过程中，根据客户的不同级别，可能需要提交到上级授信管理部 门，也可能提交到上级的风险管理部门。资产识别资产清单资产识别通过分析信息系统的业务流程和功能，从业务数据的完整性、可性和机密性的保护要求出发，识别出对三性有定 影响的信息流及其承载体或周边设备。在本次业务系统评估中进的资产分类，主要分为络设备、主机系统、服务器系统、数据和档资产5个。络设备资产络设备重要资产如表3-1所。 表3-1 络设备重要资产表主机系统资产主机系统重要资产如表3-2所。 表3-2 主机重要资产表服务器资产服务器重要资产如表3-3所。表3-3 服务器重要资产表数据和档资产数据和档重要资产如表3-4所。 表3-

6、4数据和档资产重要资产表资产赋值资产赋值对识别的信息资产，按照资产的不同安全属性，即机密性、完整性和可性的重要性和保护要求，分别对资产的三性 予以赋值。三性赋值分为5个等级，分别对应了改项信息资产的机密性、完整性和可性的不同程度的影响，下是赋值依据。1.机密性（）赋值依据根据资产机密性属性的不同，将它分为5个不同的等级，分别对应资产在机密性的价值或者在机密性受到损失时对整 个评估的影响。机密性赋值依据如表2-6所。2. 完整性（）赋值依据根据资产完整性属性的不同，将它分为5个不同的等级，分别对应资产在完整性的价值或者在完整性受到损失时对整 个评估的影响。完整性赋值依据如表2-7所。3.可性（）

7、赋值依据根据资产可性属性的不同，将它分为5个不同的等级，分别对应资产在可性的价值或者在可性受到损失时对整 个评估的影响。可性赋值依据如表2-8所。根据资产的不同安全属性，即机密性、完整性和可性的等级划分原则，采专家指定的法对所有资产的三性予以赋值。赋 值后的资产清单如表3-5所。表3-5 资产三性等级表资产分级资产价值应依据资产在机密性、完整性和可性上的赋值等级，经过综合评定得出。根据本系统的业务特点，采取相乘法决定 资产的价值。计算公式如下：=),v?,(y f x z x y z其中：v表资产价值，x表机密性，y表完整性，z表可性。资产的三性如表3-9所，根据式（3.1）可以计算出资产的价

8、值。例如取资产01三性值代式（3.1），得=f v 333)3,3,3(?得资产01的资产价值=3。依次类推得到本系统资产的价值清单如表3-6所。 表3-6 资产价值表为与上述安全属性的赋值相对应，根据最终赋值将资产划分为5级，级别越表资产越重要。不同等级的资产重要性程度判 断准则如表2-11所。表2-11 资产重要性程度判断准则根据资产重要性程度判断准则，可以得到资产的等级。本系统的资产等级如表3-7所。 表3-7 资产价值表威胁识别威胁概述安全威胁是种对系统及其资产构成潜在破坏的可能性因素或者事件。论对于多么安全的信息系统，安全威胁是个客观存 在的事物，它是风险评估的重要因素之。产安全威胁

9、的主要因素可以分为为因素和环境因素。为因素可区分为有意和意两种，环境因素包括然界的不可抗 的因素和其他物理因素。威胁作形式可以是对信息系统直接或间接的攻击，例如授权的泄露、篡改、删除等，在机密性、 完整性和可性等造成损害，也可能是偶发的或蓄意的事件。般来说，威胁总是要利络、系统、应或数据的弱点 可能成功地对造成造成伤害。安全事件及其后果是分析威胁的重要依据。根据威胁出现频率的不同，将它分为5个不同的等级。以此属性来衡量威胁，具体的判断准则如表2-13所。 表2-13 威胁出现频率判断准则业务系统威胁识别对业务系统的威胁分析先对于重要资产进威胁识别，分析其威胁来源和种类。在本次评估中，主要采了问

10、卷法和技术检 测来获得威胁的信息。问卷法主要收集些管理的威胁，技术检测主要通过分析的志信息来获取系统临的威胁。表3- 8为本次评估分析得到的威胁来源、威胁种类以及威胁发的频率。表3-8 国际业务系统潜在的安全威胁来源列表表3-9 业务系统临的安全威胁种类脆弱性识别脆弱性识别主要从技术和刚来两个进评估，详细的评估结果如下所述。采具扫描、配置核查、策略档分析、安全 审计、络架构分析业务、业务流程分析、应软件分析等法。根据脆弱性严重程度的不同，将它分为5个不同的等级。具体的判断准则如表2-16所。 表2-16 脆弱性严重程度分为级表技术脆弱性评估技术脆弱性识别主要从现有安全技术措施的合理性和有效性来

11、划分。评估的详细结果如表3-10所。 表3-10 技术脆弱性评估结果管理脆弱性评估本部分主要描述该业务系统前的信息安全管理上存在的安全弱点现状以及风险现状，并标识其严重程度。评估的详细结果如 表3-11所。表3-11 管理脆弱性评估结果风险分析风险计算法在完成了资产识别、威胁识别、脆弱性识别，将采适当的法与具确定威胁利脆弱性导致安全事件的可能性。综合安全事件所作的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险。以下的范式形式化加以 说明：)V ,F(I V ),R(L(T,V )T,R(A,a a =风险值其中：R 表安全风险计算函数，A 表资产，T 表威胁出现频率

12、，V 表脆弱性，表安全事件所作的资产价值，表脆弱性严重程度，L 表威胁利资产的脆弱性导致安全事件发的可能性，F 表安全事件发后产的损失。风险计算的过程中有三个关键计算环节：计算安全发的可能性根据威胁出现频率及脆弱性的状况，计算威胁利脆弱性导致安全事件发的可能性，即： 安全事件发的可能性（威胁出现频率，脆弱性）（T ，V ）在计算安全事件发的可能性时，本系统采矩阵进计算。维矩阵见表2-19。 表2-19 安全事件可能性计算维矩阵表如资产01的漏洞利威胁发频率为5，资产01些中的默认配置未关闭脆弱性严重等级为4，根据威胁出现频率值和脆弱性 严重程度值在矩阵中进对照则：安全事件发的可能性（威胁出现频

13、率，脆弱性）（5,4）=22根据计算得到安全事件发可能性值的不同，将它分为5个不同的等级，分别对应安全事件发可能性的程度。划分的原则见 表2-20。表2-20 安全事件发可能等级判断准则根据安全事件发可能程度判断准则，则发可能性等级为5。计算安全事件发后的损失根据资产价值及脆弱性严重程度，计算安全事件旦发后的损失，即： 安全事件的损失（资产价值，脆弱性严重程度）（，）在计算安全事件的损失时，本系统采矩阵法进计算。该维矩阵见表2-21。 表2-21 安全事件损失计算维矩阵表如资产01的资产价值等级为3，资产01些中的默认配置未关闭脆弱性严重等级为4，根据资产价值等级和脆弱性严重程度值 在矩阵中进对照，则：安全事件的损失（资产价值，脆弱性严重程度）（3,4）=15根据计算得到安全事件的损失的不同，将它分为5个不同的等级，分别对应安全事件的损失程度。划分的原则见表2-22。 表2-22 安全事件等级判断准则根据安全事件损失程度判断准则判断，则安全事件损失等级为3。计算风险值根据计算出的安全事件发的可能性以及安全事件的损失，计算风险值，即： 风险值（安全事件发的可能性，安全事件的损失）（L（T，V），F（，）在计算风险值时，本系统采矩阵法进计