风险评估标准.docx

风险评估标准.docx风险评估标准

建立风险评估标准的H的在于为IT安全解决方案提供依据和参考。

适用范围
适用于公司所有IT安全的风险分析和评估。

《Information technology - Security techniques -- Evaluation criteria TT security》TS0/TEC15408-3
《计算机信息系统安全保护等级划分准则》GB17859-1999

保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程， 不为其所用
完整性(integrity):信息系统屮的数据与在原文档屮的相同，未遭受偶 然或恶意修改/破坏吋所具有的性质；或者信息系统屮的系统不能被非授权破坏 或修改的性质
可用性(Availability):被授权实体所需的资源可被访问与使用，即攻击 者不能占用相关资源而阻碍授权者的工作
抗抵赖(repudiation): 防止在通信屮涉及到的那些实体不承认参
加了该通信
可审查性：有依据、有手段地对出现的信息安全问题提供跟踪和调查


确定需保护的资源，找出该资源的安全弱点和nJ•能有的安全威胁，得岀安 全风险等级。然后列举可采取的降低风险的对策，直至风险减小至安全需求允许 的范围。
下图显示了风险评估小的各耍素和工作步骤的关系：
凤险评估过程

，包括：
1•场所安全
安全流程
系统安全
网络安全
应用安全
5.
5.
5. 1. 5损失评估
5.

5. 2. 1明确需安全保护资源
网络设备：交换机、路由器、HUB、网络布线等
2•计算机设备：个人计算机、便携机、网络服务器、文件服务器、工作站等
存储介质；软盘、硬盘、磁带、光盘、M0等
4•软件：操作系统、数据库、工具软件、办公平台软件、开发用软件等
:EMa订系统、Internet Proxy服务、Notes系统、MRPII、
SAP、 HR、 WWW、 FTP等
6•网络服务：DNS、DHCP、WINS、网络路由服务等
：电子文档、数据库等
5. 2. 2评估脆弱性
使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系 统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。
场所安全评估
1） 对公司场所安全评估，信息安全监控须包含破件监控。
2） 对公司信息安全部安全措施及相关文件评估，包括：场所安全、存 储介质安全、硬件安全、紧急事故处理和信息保护等。
3） 分析公司安全标准并与业界最佳实践标准进行比较。
4） 总结安全措施优缺点及措施实用性。
安全流程评估
1） 评估公司的安全管理流程的效率及效用，评估查安全信息保障系统 是否真正保护了至关重要的业务信息，评估管理流程和安全技术是否同时在各方 面发挥作用。
2） 针对已有的信息安全标准或规则，通过相关安全接口人员了解情 况，审查各监控环节以确认该环节能够履行监控职责。
3） 对各环节屮所使用的IT安全监控系统