网络安全等保保护风险评估方案

XXXX

风险评估建议书TOC\o"1-5"\h\z\o"CurrentDocument"项目背景 4\o"CurrentDocument"风险评估概念 4\o"CurrentDocument"风险评估的必要性 4\o"CurrentDocument"全面了解信息安全现状 4\o"CurrentDocument"提供安全项目建设依据 5\o"CurrentDocument"有效规避项目风险 6避免盲目投资 6防止项目失控 6\o"CurrentDocument"评估范围和内容 7范围 7\o"CurrentDocument"涉及领域 7涉及资产 9\o"CurrentDocument"风险评估的方式 10\o"CurrentDocument"风险评估理论模型 10\o"CurrentDocument"风险管理流程模型 10\o"CurrentDocument"风险关系模型 13\o"CurrentDocument"风险计算模型 15输入要素描述 15输出要素描述 15\o"CurrentDocument"评估过程 15\o"CurrentDocument"阶段一前期准备 15\o"CurrentDocument"制定计划 16\o"CurrentDocument"培训沟通 16建立评估环境 17阶段二现场评估和调查 18资产调查 18问卷调查数据收集 19工具协助和专家控制台分析 19网络扫描 21网络IDS嗅探 23\o"CurrentDocument"渗透测试（可选） 24\o"CurrentDocument"阶段三风险评估 24\o"CurrentDocument"风险估计 25\o"CurrentDocument"风险评价 25\o"CurrentDocument"评估报告 26\o"CurrentDocument"阶段四项目验收 26\o"CurrentDocument"阶段五售后支持 27\o"CurrentDocument"结果文档 27过程文档 27评估报告 27\o"CurrentDocument"项目风险控制 28\o"CurrentDocument"原则要求 28\o"CurrentDocument"风险控制 29\o"CurrentDocument"法律保障 29人力资源控制 29\o"CurrentDocument"密级控制 29\o"CurrentDocument"项目工作界面 30\o"CurrentDocument"项目组织结构 30\o"CurrentDocument"项目协调会 32\o"CurrentDocument"实施计划 33\o"CurrentDocument"任务分配 33\o"CurrentDocument"项目进度 36项目背景随着网络技术应用的推广普及，应用层次的不断深入，网络应用领域也正从传统的、小型业务系统向大型、关键业务系统扩展。网络所具有的开放性、国际性和自由性在增加应用自由度的同时，也为网络安全增加了更多的风险，网络安全正日益成为影响网络效能的重要因素。在全球范围内看，中国的证券电子化工作属于世界领先水平。XXXX从创立之初就把交易无纸化作为发展目标并很快得到实现。随着信息技术的发展，涉及信息网络的安全问题日益突出，XXXX对网络安全的需求也越来越迫切。XXXX近几年对网络安全的防护工作展开过多次调研，并且得出了“XXXX需要全面加强网络安全框架建设”的初步结论。参考国外的成熟标准和成功经验，我们逐渐达成了一个共识，即：XXXX要把信息安全建设好，必须首先进行一次针对网络安全的风险评估，并以该次风险评估的结果指导后续的信息安全建设工作。风险评估概念风险评估，是对企业信息资产面临的威胁进行评估、对采取的安全措施的有效性进行评估、以及对系统漏洞被利用的可能性进行评估后的综合结果。作为信息安全建设中的重要一环，它是XXXX信息安全策略和解决方案的基础，评估结果也是下一步XXXX系统安全建设的指导。风险评估的必要性全面了解信息安全现状XXXX目前已经拥有一个庞大的网络系统，每天运行在该系统上的信息资产的价值同样是巨大的和难以估算的，但是我们对于目前整个网络系统存在哪些威胁还缺乏一个全面的认识和了解，对于我们的信息安全管理方面存在哪些安全漏洞和隐患也缺乏一个清晰的认识。而风险评估恰恰是帮助我们了解这些信息的一个必要而有效的手段。通过风险评估项目的实施，我们可以清楚的了解目前网络以及信息安全管理的现状。提供安全项目建设依据目前几乎所有的企业都意识到了安全的重要性，也都在积极推动信息安全建设。一种常见的安全建设方式如下：出现问题-->进行安全项目投资-->寻找产品-->产品实施但这种头痛医头、脚痛医脚的方式很快便暴露其弊端：随着业务系统的发展和多样性安全需求的提出，老的问题安全解决了，但新的安全隐患又源源不断地被发现，系统的整体安全状况也没有得到明显改善。之所以这种情况，问题在于在进行信息安全建设中没有对企业的安全现状进行必要的风险评估，只是简单的认为网络中存在的安全问题通过简单的安全产品配置即可解决，所以最后造成信息安全项目投资失败也就在所难免了。目前虽然XXXX从上至下、从最高领导到基层员工都知道应该抓安全，但对安全防护的范围和成效并无把握。例如：最大的安全问题是什么？应该保护到哪一级？投入多少经费才合适？采用的安全措施是否是有用的？安全项目实施以后，安全问题是否就解决了？是否会在项目建设完以后仍然遗留重大隐患？这些问题，实际上已经严重影响到了信息安全建设的决策。只有经过对网络系统进行整体的风险评估，然后以《风险评估报告》作为信息安全建设的依据和基准点，才能够为信息安全建设决策提供强有力的决策支持，并最大程度的保证信息安全建设的成功。3.3.有效规避项目风险避免盲目投资为信息安全建设投入相应的资金，同样面临着两种风险：投资过度与投资不足。投资过度是指人为夸大了风险的程度，使得用于安全建设的资金远远超过所保护资产的原有价值，例如用一万元的代价去保护价值一千元的信息。投资不足则是低估了安全威胁可能造成的损失，使得安全建设投入不足，以致于系统中的重大威胁没有得到消除，在系统遭到破坏的时候才发现原有的防护措施不够。实际上，评估安全建设所需资金与评估安全威胁带来的损失同样重要。在现代网络环境中，安全措施是必不可少的，但只有经过风险评估确定需要何种层次的保护水平，然后使用这些分析后的数据信息制定出安全防护的策略，才能有效地作出信息安全建设预算。国内某券商就曾有过投资失败的教训，他们在没有进行充分的风险评估的情况下，就盲目地购买了一些防病毒、防火墙等安全产品，认为这样系统就安全了。结果，今年二月，网络中大面积爆发蠕虫病毒，造成网络拥塞，业务中断。当客户已经进行了投诉，系统管理员查找问题原因的时候，才发现系统中根本就没有建立相应的监控机制，无法知道问题出自于何方，导致了故障迟迟不得解决。事后反思，该安全投资因为低估了系统风险而导致失败。所以，在进行信息安全建设投资的第一步进行风险评估是非常必要的。一个风险评估项目的成功实施是做好信息安全建设的良好开端。防止项目失控一个信息安全建设项目，如果没有经过充分的信息采集、调研和评估而匆忙上马，很有可能陷入以下三种尴尬的境地，导致项目失控：信息安全建设目标不当。目标错误的后果是解决了部份安全问题，但必须要解决的风险被遗漏，安全项目仍然不能保证系统的安全运行。信息安全建设的目标虽然正确，但不具备可操作性，难以实现其目标。最常见的情况就是，为了达到某一个防护目标，必须要对网络系统、业务系统做重大的变动，以至于严重影响原有业务的连续运行。象这样不可实现的安全防护，实际上也反应出目标的制订存在主观性，缺乏建立在评估过程之上的安全管理和控制。信息安全建设未达到预定目标。如果没有风险评估的过程，即使目标正确，策略配置的不当也会影响安全控制措施的性能发挥，使到预定目标难以达到。风险评估的过程除了揭示风险之外，另有一个重要的功能就是指导风险管理的进行，即对每一项风险提供针对性的策略，采取适合的控制措施。在安全项目建设之前进行风险评估，能够有效预防以上三种问题的发生，避免信息安全项目失控。评估范围和内容4.1.范围评估范围的确定是评估过程中的关键因素，不同的评估范围决定了不同的评估对象、评估方式、评估内容。评估范围可以依据业务关系来确定（例如交易搓合系统），或者依据地域关系（例如某一幢大楼），或者某个子网（例如财务子网）。根据证券交易所的特性与需求，我们建议先以办公网为本次评估的范围，根据评估的效果，以后可以逐步扩展到业务领域。（重要提示：在本次项目启动之前，双方需要明确界定本次评估的范围，以利于确定详细的实施内容和计划。）4.2.涉及领域本次评估涉及信息安全管理的十大领域:

安全政策组织机构安今—资产分类和控制管理系统开发维护访问系统开发维护访问控制通讯运行安全物理环境安全A员安全业务连续性

遵从性4・3.涉及资产本次评估涉及的资产有七种23个组：•信息资产业务信息、配置信息、财务信息、个人信息•软件资产定制软件、通用软件、自行开发软件•物理资产加密设备、移动设备、网络设备、办公设备、服务器/工作站、硬件管理设备•人员资产内部员工、外聘人员•媒体资产纸质文档、计算机媒体•服务资产第三方应用•操作系统微软平台操作系统、非微软平台操作系统风险评估的方式由于安全项目的专业性，更重要的是为了保证风险评估的客观公正性，本次评估项目必须由第三方的具备相应资质和经验的安全咨询顾问进行。风险评估的一般方式均是由专业的安全服务队伍在XXXX的相关人员的指导与配合下进行。风险评估理论模型本方案中提供的安全风险模型主要依据ASNZS4360:1999标准、国际风险评估标准BS7799/ISO17799，ISO/IEC13335，建立安全风险管理流程模型、安全风险关系模型和安全风险计算模型共同组成安全风险模型。分别从风险管理的流程，所依赖的国际标准，描述风险评估、风险管理的标准规范流程；从安全风险的所有要素：资产、影响、威胁、漏洞、安全控制、安全需求、安全风险等方面形象地描述的他们各自之间的关系和影响；在安全风险计算模型中详细具体地提供了风险计算的方法，通过两个因素：威胁级别、威胁发生的概率，通过风险评估矩阵得出安全风险。风险管理流程模型风险管理流程模型见下图所示。＞安全风险分析按照相关国际标准(ASNZS4360：1999；BS7799/ISO17799;ISO/IEC13335等)采用定性与定量相结合的方法，通过对网络层存在的网络安全漏洞进行扫描分析，进行评估，获知网络层风险。以下为评估的对象简要描述：物理环境；网络结构；网络服务；主机系统；数据库系统；应用系统；安全系统；安全相关人员；处理流程；安全管理制度；安全策略等。＞风险评估报告提交风险评估报告，获知XXXX网络安全风险状况是本次对风险评估的主要目标。通过上述描述的重要过程，主要提交风险评估报告。＞风险控制根据网络安全风险评估报告，结合实际的网络特点，针对系统面对的安全风险，分析将面对的安全影响，提供相应的安全控制。但是实际上，由于控制的不完整性，总会有一些遗漏的漏洞可以仍然被人利用。所以风险评估过程不仅是控制风险，并且要定义可能残留的风险。通过风险控制减少风险到用户可以接受的程度。实现减少风险需求和控制价值的代价平衡。＞监控复审在整个风险评估过程中的每一个步骤，都需要进行监控和复审程序，保证整个评估过程的规范，安全，可信。＞沟通、咨询对于整个风险评估过程的沟通、咨询是保证本次风险评估项目成功实施很关键的因素。在整个风险管理、评估过程中，针对每一个步骤应该交流风险管理经验，同时形成相关文档，保留资料。随着时间的推移，风险评估的方法和结果可能发生变化，所以，具体的文档和材料非常重要，可能使下一次的风险评估变的更容易些。建立评估环境AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等usnocdnaetacinum资产调查AS/NZS4360:1999；usnocdnaetacinum资产调查AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性与定量相结合的方法安全风险分析AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性与定量相结合的方法漏洞分析威胁分析风险分析安全风险报告AS/NZS4360:1999；BS7799/ISO17799；ISO/IEC13335等定性与定量相结合的方法漏洞统计报告风险评估报告监控与复审monitorandreview风险控制安全控制安全影响残留风险定义安全控制安全影响残留风险定义有效安全需求整体安全策略整体安全解决万案整体安全策略整体安全解决万案安全实施、培训◄ ►A4有效安全需求有效安全需求是根据风险评估报告和XXXX的安全控制能力，决定XXXX的有效安全需求。获知XXXX需要立即解决的安全问题，获知XXXX面临的巨大安全威胁，获知XXXX将有可能面临的巨大经济损失，和潜在的重要安全影响等。同时在考虑XXXX在安全建设投资的合理性、针对性、适当性、有效性°XXXX进行安全评估之后，需要进行的将是更为关键和意义深远的事情。＞安全策略本部分属于XXXX安全风险管理的内容，是在完成XXXX安全风险评估之后，根据XXXX有效安全需求，结合XXXX网络安全现状，制定相应的安全策略。包括人员组织策略、安全管理策略、访问控制策略、网络管理策略、数据安全策略、紧急响应策略等，动态的、整体的考虑XXXX的安全策略。＞安全解决方案制定XXXX整体动态的安全策略之后，构建XXXX安全体系结构，结合XXXX本地网络架构、业务结构，依据策略制定XXXX系统完整动态的安全解决方案。包括管理、边界层、支撑应用平台和业务应用等。并且注重高可用性、动态性、整体性。6.2.风险关系模型为了更加清晰的描述XXXX面临的安全风险，以及造成风险的各个要素之间的关系，我们根据相关国际标准(ASNZS4360:1999;BS7799/ISO17799;ISO/IEC13335等)建立XXXX安全风险关系模型。主要以风险为中心形象描述了XXXX本地网络所面临的风险、漏洞、威胁及其相应的复杂关系。XXXX安全风险关系模型各个要素之间关系说明：该关系模型动态的表现了XXXX网络所面临的安全风险与其它各个要素之间的内在关系。下面从评估的角度进行描述，帮助更好的理解该模型的内涵。从评估的角度来说，XXXX网络面临很多威胁（外部威胁、内部威胁），攻击者利用网络存在的漏洞（物理环境、网络结构、网络服务、网管系统、主机系统、数据、应用系统、安全系统、安全相关人员、处理流程、安全管理制度、安全策略等等），攻击网络，增加了XXXX网络所面临的威胁，同时，攻击事件的成功导致资产的暴露（信息资产、物质资产、软件资产、服务、设备、人员等）造成安全风险；同时资产的暴露（如XXXX高级管理人员由于不小心而导致重要机密信息的泄露），随着资产价值的大小而导致相应安全风险。对XXXX网络安全风险的分析，迫切的提出了XXXX网络的安全需求。根据安全需求的级别制定XXXX的整体安全策略，安全解决方案，进行安全控制措施的实施，降低安全风险，防范威胁。6.3.风险计算模型输入要素描述威胁级别：表示威胁对系统造成影响的后果级别。威胁可能性：表示该威胁发生的可能性。采取的控制措施：针对该威胁是否已采取相应的控制措施。输出要素描述风险级别：根据风险矩阵得出的风险等级。评估过程7.1.阶段一前期准备与专业的安全评估公司共同确定评估目标和评估范围（详见4.1节），双方成立相应的评估小组。准备相应的场地、设备、资料，保障配合人员能够良好的配合评估工作；安全评估公司根据达成的目标和范围，选择评估人员，准备交流资料、评估工具和设备，制定详细的实施计划。双方就实施计划达成初步共识，准备实施。制定计划风险评估项目实施的第一步是对评估方案计划的评审。主要由评估方人员对评估方案作详细介绍，XXXX做出审核，审核内容主要包括评估的范围、阶段流程、工作方式、人员需求等，并通过双方沟通做出进一步调整，务必使双方参与人员达成一致意见。培训沟通为了统一意识，确保整个项目的良好运行，在前期需要进行充分的培训沟通，培训沟通的对象为：风险评估项目组成员以及各相关部门负责人。培训沟通的内容包括：•评估公司和评估人员的介绍•信息网络安全风险评估的相关概念进行风险评估的目的和目标•信息网络安全风险评估的具体方法•信息网络安全风险评估的具体内容信息网络安全风险评估的工程实施流程同时，由于风险评估只是整个风险管理过程的一个部分，所以在风险评估项目实施介绍的内容中可以依据客户的认识程度适当穿插以下方面的内容：•信息网络安全风险管理的相关概念和理念•信息网络安全风险管理的相关理论模型•信息网络安全风险控制的相关理念建立评估环境为了能够保证评估的效率和保密性，评估项目必须在证券交易所进行。因此，XXXX将会提供独立的评估环境、场地、设备。此外，XXXX还需做好以下准备：资料准备为了确保评估的顺利进行，XXXX需要向评估承担方＞建议提供评估目标网络的详细网络拓扑结构＞建议提供评估目标网络的业务功能、流程和运行状况描述文档＞建议提供系统工程相关文档，包括：设计，实施，验收，维护等文档＞建议提供相应的管理规章制度文档＞建议提供评估目标网络以往的业务事故案例和网络安全事件人员准备项目总体负责人：双方均应安排专门的固定项目总体负责人，总体负责风险评估工作。项目协调人员：双方可针对风险评估工作进展的不同阶段，安排人员进行项目的中间协调。系统管理员：评估承担方开展系统安全调查和控制台安全审计工作时，需安排各系统的管理员配合工作。网络管理员：评估承担方开展网络设备的调查和控制台安全审计工作时，需安排网络管理员配合工作。业务人员：评估承担方开展应用系统调查和交流工作时，需安排相应的业务人员配合调查或参与交流。安全人员：评估承担方开展的所有评估工作，均应尽量安排安全人员参与。授权XXXX风险评估将涉及到多方面的授权，客户方需要向xxx提供有效的授权，授权内容包括：进入与本次评估相关的环境，查阅与本次评估相关的资料，了解并分析客户的信息网络、对本次评估所属范围进行漏洞扫描及其他必要的授权：如渗透性入侵测试等。7.1.3・4.权限XXXX风险评估会涉及到各方面的权限，客户方需要提供必需的直接或间接权限，包括：各种相关设备的管理权限，各种技术、管理文档的查看权限，进入本次评估涉及环境的权限，对相关网络和设备进行扫描、分析的权限。权限提供的方式可以是直接提供临时权限或提供具备相关权限的人员进行全程配合。.保密要求本次评估严格遵循保密性要求，xxx公司将对所有涉及项目人员进行严格的保密管理，包括制定严格的保密制度，签订与项目直接相关的保密协议等。此外，客户方参与本次项目的相关人员也应该遵循一定的保密制度，对于XXXX用户的涉密信息进行严格保密，同时，对于本次评估中xxx提供的各种技术资料、文档、流程、规范，也要执行相应的保密措施，不得以各种方式提供给xxx公司的直接竞争对手。7.2.阶段二现场评估和调查7.2.1.资产调查资产调查目的是了解和业务相关的资产，明确其价值和重要性，明确资产的保护措施。XXXX系统需要确定自己的资产、有多大价值及资产的重要性。通过这些信息便可以按资产的价值及重要性提供那样的保护措施。工作方式：问卷调查。相关表单：见附件一：《01-资产调查表》问卷调查数据收集通过对涉及网络安全的各个因素的详细调查与分析，为评估提供基础和依据。物理安全调查从基本环境描述、访问控制、事故响应与处理能力等方面调查物理安全现状；人员和管理调查从策略、组织、人员和教育培训等方面调查，得出管理方面的现状；技术安全保障调查从基本安全配置与操作、专门安全保障措施等方面调查得出其现有的安全情况。业务风险调查从业务风险分析、灾难恢复能力等方面调查业务可能存在的风险点；相关表单： 附件二《02-物理安全调查表》附件三《03-人员和管理调查表》附件四《04-技术安全保障状况调查表》附件五《05-业务风险调查表》工具协助和专家控制台分析网络拓扑结构分析一一以此确认网络环境和网络风险点从网络管理性评测的角度，进行网络体系结构分析，分析出网络的关键应用网络、关键业务网络、关键管理网络、关键办公网络等体系结构，寻找具体的网络风险点。对于主流操作系统进行授权控制台审计和评测对于主流的重要的业务操作系统，将进行本地控制台的扫描和评测，从以下几个方面评估该系统的安全状况:♦该系统是否进行了必要的安全配置；♦该系统是否已经安装了系统提供商的最新补丁程序；♦该系统是否存在被黑客入侵过的迹象，入侵者是否在系统上安装了后门程序或者其他程序；♦该系统可能存在的安全隐患；♦该系统的直接技术管理人员对系统的技术管理流程和非技术管理流程。3） 关键业务数据库系统和数据的安全评测针对关键业务数据库操作系统的评估，从以下几个方面进行技术评测：♦该关键业务数据库操作系统除了数据库应用以外还承担的其他业务应用；♦该关键业务数据库操作系统的本地控制台审计；♦该关键业务数据库操作系统的直接管理员交流和咨询问答；在已经进行了操作系统级别的安全评测之后，对于关键业务数据库系统的安全评测，主要是从咨询和调查的角度来进行数据库自身的安全评测4） 边界基础设施评测网络基础设备正常提供网络服务的前提下，从以下几个方面进行本地安全配置状况分析：（1） 路由器本地评测：主要涉及到路由器访问控制规则的建立情况ACL、对拒绝服务攻击类型的配置型防御措施、常规安全选项配置等。（2） 交换机本地评测：主要涉及到各交换机的访问控制特性和具体应用情况、常规安全选项配置等。（3） 防火墙本地评测：主要涉及到各防火墙设备的针对特定环境的防火墙规则配置情况、防火墙本身系统的安全性配置情况。采用统计分析工具，给出体现系统安全漏洞分布情况、漏洞级别、影响系统的图形化结果示图。包括漏洞类型分布图、漏洞级别分布图、分系统的漏洞分布图。威胁评估就是对系统存在的漏洞可能导致的后果进行分析。由存在的漏洞，找出相应威胁的来源、方式、及后果。按危害程度分级，给出威胁的具体描述。在漏洞评估的基础上，给出威胁评估报告。同样给出相关的威胁的级别、类型的分布图，包括总分布图和相应的分系统的分布图。7.2.4.网络扫描主要采用了安全漏洞工具扫描和专家分析相结合的方式，找到攻击者远程突破网络和控制网络设备的可能性，相对应的找到所有来自外界入侵对特定网络和网络设备造成的威胁。本次安全评估所需的扫描工具特点：（1） 涵盖XXXX主机系统的漏洞；（2） 高效性，拥有稳定高速的多线程IP段扫描方式；（3） 高度准确性判断；（4） 保证目标系统的安全；（5） 对目标主机、网络设备正常工作的影响降至最小。我们拟采用以下工具：＞xxx安全产品——天镜网络漏洞扫描系统＞针对客户操作系统安全风险特点选择或开发的操作系统扫描工具包＞针对客户应用和业务的安全风险特点选择或开发的专门漏洞扫描工具包.配合需求在进行网络漏洞扫描之前，需要XXXX的网络管理员提供以下信息，并协助在网络中设置漏洞扫描的控制台位置，分配相应的网络地址。＞网络的IP地址分布＞网络内各类操作系统和网络设备的数量和地址分布＞网络协议状况＞核心服务器系统和网络设备的IP地址、系统类型、应用状况＞网络访问控制状况（如VLAN的划分等）7・2・4・2.扫描步骤•根据XXXX所提供和指定的IP分段，判断目标网络主机的操作系统类，按照系统进行针对性IP列表划分；•进行目标系统对外开放端口统计，从黑客安装木马程序的角度描述开放端口；扫描WindowsNT/2000IIS4/5的重要漏洞，包括著名的unicode,codered等7种典型高风险漏洞，根据漏洞的相关性和可重复性，选择了其中典型的漏洞进行远程扫描；•针对不同系统的典型CGI漏洞扫描；•针对不同网络设备的各项支持多次口令登录的应用服务的弱口令扫描，如FTP,IPC,TELNET等,也可以使用复杂字典进行穷举解密，另外获得该服务的详细信息；•扫描路由器和交换机节点的各种重要漏洞，以及扫描对应设备的远程可访问方式和设备缺省登录口令情况；•针对基于网络的开放数据库漏洞进行扫描.；针对linux远程溢出以及其他远程漏洞进行扫描；•针对snmp漏洞进行扫描，可以扫描特定网络的逻辑拓扑以及各种与snmp相关的隐患问题，远程服务器、网络设备的版本信息。•评测细节说明：（1） 探测XXXX的主流操作系统并对漏洞分类：主流的操作系统类型：＞linux;＞Windows（/9x/NT/2000）;＞其他主流网络设备类型：＞Cisco＞其他（2） 探测XXXX主要应用系统及相关服务存在的漏洞，并按应用服务程序分类漏洞威胁性，对于主流的重要的业务操作系统，将进行详细扫描和评测，从以下几个方面评估该系统的安全状况：＞系统是否存在明显的能导致入侵者直接控制系统的安全漏洞；＞该系统是否存在导致系统瘫痪和停止服务的漏洞；＞该系统是否存在系统文件泄露可能；＞该系统是否存在应用数据和服务数据泄露可能；＞该系统是否曾被入侵，留下可远程连接的后门；＞该系统安全性较高，但是是否存在所处网段不安全，降低系统安全性的可能。7・2・4・3.定性测量事件后果级别级别描述符举例详细描述1无关紧要没有伤害，经济损失小2较小首先帮助处理，本地立刻解决，较小经济损失。3中等的需要处理，本地处理（包括外地援助），中等经济损失。4严重的大范围伤害，损失生产能力，本地没有有害的影响，严重经济损失。5灾难性的致命后果，巨大有害影响，巨大经济损失。7・2・4・4.周期本次评估项目涉及到两次扫描过程，除了第一次常规扫描外，针对初步的分析结果，还需要进行补充扫描，补充扫描的范围和内容针对性更强，范围会缩小。7.2.5.网络IDS嗅探网络IDS嗅探采用xxx公司的安全产品一天阗入侵检测系统，针对特定网段进行嗅探。以发现系统是否存在安全事件，如非法对系统的扫描，网络病毒对系统的攻击，黑客攻击等。需要XXXX的管理员提供如下信息，并协助在网络中设置网络IDS的控制台位置，分配相应的网络地址。＞需嗅探网段的交换机镜像端口配置或hub接入方式;探测引擎及控制台IP地址。IDS引擎的抓包接口不会影响网络性能，对于网络流量较大的网络，可以将控制台与引擎直接相连，保障控制台不会影响网络流量。由于IDS分析需要长时间地采集信息，故在评估工作的初始阶段就需要进行部署。7.2.6.渗透测试（可选）.目的和原因渗透测试是风险评估的一个重要的辅助手段，它是通过具有黑客技术的人员直接对系统进行安全测试，利用这种手段可以对系统中的一些核心信息设备，并处在公共信息交换的环境，如在互联网提供网上银行的应用系统进行测试。通过这种方式的可以更深入的了解系统的安全状况，同时还可以检验系统中的安全设备是否起到了必要的作用，系统的各种安全配置是否正确，这种测试一般属于黑盒测试，对系统要求极少。但由于渗透本身具有一定的危险性，必须在事前做好充分的应急准备，或搭建模拟环境。7・2・6・2.内容和人员配合渗透测试需要和XXXX进行协商以确认系统是否需要这种测试，在人员配合上主要是要求被测目标系统需要有专人进行监视，记录测试过程，并在系统可能出现问题时，及时进行处理。7.3.阶段三风险评估在信息安全学中，风险指的是：一个威胁因素能成功地攻击系统的弱点的概率或可能性。安全风险评估主要包括了风险的估计及对风险的评价。利用收集的资产、漏洞、威胁等数据，对全网安全风险进行计算评估。7.3.1.风险估计分析风险发生的可能性，并估计风险的后果大小。安全事件的概率首先确定风险事件的发生概率。以XXXX上的安全事件逐一统计，进行曲线拟合，确定其样本概率分布。也就是各种类型和级别的威胁发生并导致安全事件的概率。风险分类用序数标度将所存在的各个安全风险与安全基准的差距排出先后顺序，分类为已知风险、可预测风险和不可预测风险。风险后果估计使用比率标度即风险发生的可能性大小，对于可量化的安全风险进行定量计算，确定各种安全事件后果的数值大小，同时还要给出这些数值的变化范围和限定条件。年损失值=威胁的年发生概率X受威胁的资产估值确定网络系统中关键资产所面临的不同级别的安全威胁的概率可能性。在对安全风险估计时，根据XXXX的具体安全状况，即扫描、分析出的安全漏洞及威胁的统计情况，针对其不同的概率特征采用最大可能原则、最大数学期望原则、最大效用数学期望原则及贝叶斯后验概率法，对安全风险进行最可能准确的估计。7.3.2.风险评价对存在的各类安全风险进行比较和评价。确定某一类关键资产的安全风险水平，再确定整体的风险水平。与一个指定的评价基准进行比较，确定当前的风险水平的可接受程度。采用层次分析法将各个安全风险按照大小排出顺序，以明确表示其重要与危害程度。针对存在的安全风险，在给分析层次结构模型后，根据安全专家的知识、经验和判断，逐步确定各层诸威胁因素之间两两比较的重要性权数，得出各威胁因素重要性比较的判断矩阵，通过计算判断矩阵的特征向量，确定各个安全威胁因素的重要程度。再由各个特征向量出一个综合矩阵，用以确定各个安全风险的差异所在。通过对判断矩阵的一致性指标的检验，可以及时修正判断矩阵中的标度的合理性，确保分析结果的准确性。采用主观评分法，对每一个威胁因素及安全事件赋权值，求得总体的安全风险值，通过与最大风险权值的比较，确定当前安全的风险水平。7.3.3.评估报告在完成全部数据的搜集后，在初步整理分析的基础上，形成全面的评估报告：＞资产评估统计现有资产的管理、维护和保护情况，将相关资产按重要性级别进行划分，确定需重点保护的关键资产和保护的层次；＞漏洞评估对抽样网段漏洞扫描结果和调查表结果进行总结分析，给出相应的级别以及被利用的可能性，对其分布情况给出统计结果；对于关键资产，对其存在的漏洞进行单独统计分析；＞威胁评估对于全系统进行全面的威胁分析，从威胁源、威胁动机、威胁的方式、利用的漏洞、发生的可能性等方面进行分析；对于关键资产给出详细的威胁列表；＞风险评估对于全系统进行全面的风险分析，分析其发生的概率和可能造成的后果，将风险进行分类，按级别进行排序，并对系统的综合情况进行分析。所有原始依据（调查表、漏洞扫描结果、控制台审计结果、IDS嗅探结果）的整理结果作为附件，形成全面的报告。在此基础上，提出客户化的网络安全策略建议和解决方案建议。该建议包含结合客户的实际需求和投资需求，给出分阶段的网络安全建设建议。7.4.阶段四项目验收对评估结果和报告的验收拟采用专家评审的方式进行，由方评估人员讲解评估结果和评估报告，并对专家的提问进行回答，最终由专家确定项目完成。专家的构成可以由我方选择，或由承担评估服务的公司进行推荐。在进行验收时，包括安全漏洞报告，安全威胁报告，风险评估报告，安全需求报告，安全策略建议和安全解决方案。7.5.阶段五售后支持在项目验收后，安全评估项目将转入售后支持阶段，安全评估项目的售后支持主要是顾问支持。安全评估承担厂商应当继续承担XXXX的安全顾问工作，对风险评估报告的具体内容进行咨询，解释报告内容与解决方案，协助XXXX进行后续项目的规划和建设。结果文档过程文档♦信息调查表♦资产调查表♦漏洞扫描结果报告♦漏洞列表♦威胁初步分析报告♦控制台审计结果报告评估报告资产评估报告漏洞评估报告威胁评估报告风险评估报告安全策略和解决方案建议项目风险控制9.1.原则要求•标准性原则：评估方案的设计和具体实施都依据国内和国外的相关标准进行。•保密性原则：人员安排：扫描和渗透测试由安全服务方公司人员独立完成；在扫描和渗透测试中对结果数据严格保密；测试结束后数据和资料除必备用以维护的以外，均交还甲方，且根据整体方案的保密原则，签定保密协议。在测试结束以后不利用测试中的任何数据进行有损XXXX利益的用途。•可控性原则：参与项目的服务人员具有可控性，评估中所使用的工具具有可控性。可控性主要表现在这次评估项目中对参与人员的安全管理要求，所采用的工具必须具有完全的自主版权，并经过XXXX审核。•安全性原则：1） 不可避免的影响：目标网络的安全控制设备，如防火墙、IDS等系统会在扫描过程中发现并报告部分非法扫描。2） 可避免的影响：破坏目标系统的数据；破坏目标系统的服务；影响目标系统的网络使用；降低目标系统和网络的性能；目标系统数据泄露；目标应用数据泄露；安全评估过程与同时间网络入侵行为的重叠。•整体性原则：分单个IP安全性和IP所在段安全威胁分析列出报表；确保涉及到主机和网络设备的各个层面；由单机和网络相结合分析得出风险值；避免由于遗漏造成未来安全隐患。9.2.风险控制由于信息安全项目的特殊性，如果控制失当，项目本身也会给证券交易系统的信息安全带来不可测的风险，因此必须通过项目风险控制的方法对项目本身的风险进行规避，本项目拟采用法律保障、人力资源控制和密级控制的方法进行风险控制。法律保障信息安全项目的风险控制方法首选是法律保障，通过签订保密协议的方式，可以将信息安全项目参与者的保密责任与义务进行详尽的规定，并借助法律的威慑有效防范非授权泄密；在项目正式启动前，所有参与人员（包括甲乙双方及其它参与的法人和自然人）都应针对该项目签署保密协议，并在整个项目过程中严格遵守保密协议。人力资源控制信息安全的风险有很大的一部分来自于人，对于信息安全项目的风险控制也是如此，对项目参与人员的人力资源控制是确保项目风险可控的重要因素，在项目正式启动前，项目参与人员的简历需要经过项目领导小组的审核；在项目进行过程中人力资源的投入或撤出都应该经过严格的审核与控制；项目的关键参与人员不应该同时参加中行主要竞争对手的安全项目，避免故意或无意识泄密。密级控制在信息安全体系建设中将不可避免地涉及到XXXX的核心业务或其他敏感信息，由于证券交易业务的特殊性，为确保项目的风险可控，需要对项目涉及的范围进行严格划分，并针对不同的安全等级确立不同的项目实施方法。

其中，一般区域的操作可以由安全服务提供商进行，而涉及核心业务或重要敏感信息的操作应由XXXX的项目人员进行，项目顾问/安全服务提供方仅提供工具、方法和支持。项目工作界面10.1.项目组织结构工程项目的组织结构图详见下图：项日领导小蛆客尸方负责人项目总负责人项日技术顾耐组客尸方负责人项目总负责人项日技术顾耐组现场评估小组解决方案小组现场评估小组解决方案小组项目领导小组项目领导小组，是由安全服务方和客户的有关领导组成，主要是对项目实施的整个过程中的重大问题进行决策。客户方实施负责人客户方实施负责人，从合同签订之日起，客户指定客户方面的项目负责人员，主要是对安全服务方的项目总负责人进行接口，协调客户的资源，解决项目中需要配合的问题，推进项目的进度。项目总负责人本项目的项目总负责人，从工程项目实施队伍组建之日起，就承担了将合同范围内的各项工程任务全面完成的重要职责。项目总负责人须做好日常资源管理工作，并直接控制项目管理计划(PMP)的各个要素，具体说来主要包括以下几个方面：项目执行一一对以下几方面工作提供指导：总体方案设计、工程及应用系统设计；设备配置确认；工程质量和进度保证；设备安装、调试、集成及测试；系统验收，培训等。项目检查一一通过其下属实施小组提供的工程进展汇报，将项目进展状态与项目计划进度进行比较，发现过程误差，提出调整措施。项目控制一一审核项目进展状态，必要时调集各种备用资源，确保项目按计划进度实施。项目协调一一与各级单位进行协调，解决工程组织接口及技术接口问题；定期主持整个系统专题协调会，及时解决各系统间出现的相关问题。项目技术顾问组项目技术顾问组，由安全服务方的安全方面的专家组成，主要职责是会同项目组完成以下各项工程任务：-系统总体设计-对系统深化设计进行审核并提出优化建议-对系统进行技术协调-对系统的设备配置予以确认-对现场设备安装、调试提供必要的技术支持服务-工程文档的审核-协助项目总负责人制订本项目的质量工作计划，并贯彻实施-贯彻公司的质量方针、目标和质量体系文件的有关规定和要求-负责对工程任务全