风险评估标准.docx

内部编号：（YUUT-TBBY-MMUT-URRUY-UOOY-DBUYI-0128）
风险评估标准
风险评估标准
目的
建立风险评估标准的目的在于为IT安全解决方案提供依据和参考。
适用范围
适用于公司所有IT安全的风险分析和评估。
参考
1.《Information technology - Security techniques -- Evaluation criteria IT security 》ISO/IEC15408-3
2.《计算机信息系统安全保护等级划分准则》GB17859-1999
定义
保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程, 不为其所用
完整性(integrity):信息系统中的数据与在原文档中的相同，未遭受偶然或恶意修改/破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏或修改的性质
可用性( Availability):被授权实体所需的资源可被访问与使用，即攻击者不能占用相关资源而阻碍授权者的工作
抗抵赖 性(repudiation): 防止在通信中涉及到的那些实体不承认参加了该通信
可审查性：有依据、有手段地对出现的信息安全问题提供跟踪和调查
内容
安全风险评估的基本步骤
确定需保护的资源，找出该资源的安全弱点和可能有的安全威胁，得出安全风险等级。然后列举可采取的降低风险的对策，直至风险减小至安全需求允许的范围。
下图显示了风险评估中的各要素和工作步骤的关系：
明确需安全保护资源
评估脆弱性，包括：
1. 场所安全
2. 安全流程
3. 系统安全
4. 网络安全
5. 应用安全
评估威胁
列举安全对策
损失评估
确定风险等级
细则
明确需安全保护资源
：交换机、路由器、HUB、网络布线等
：个人计算机、便携机、网络服务器、文件服务器、工作站等
；软盘、硬盘、磁带、光盘、MO等
： 操作系统、数据库、工具软件、办公平台软件、开发用软件等
： EMail系统、Internet Proxy服务、Notes系统、MRPII、SAP、HR、WWW、FTP等
6. 网络服务： DNS、DHCP、WINS、网络路由服务等
7. 数据资料： 电子文档、数据库等
评估脆弱性
使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。
1. 场所安全评估
1)对公司场所安全评估，信息安全监控须包含硬件监控。
2)对公司信息安全部安全措施及相关文件评估，包括：场所安全、存储介质安全、硬件安全、紧急事故处理和信息保护等。
3)分析公司安全标准并与业界最佳实践标准进行比较。
4)总结安全措施优缺点及措施实用性。
2. 安全流程评估
1)评估公司的安全管理流程的效率及效用，评估查安全信息保障系统是否真正保护了至关重要的业务信息，评估管理流程和安全技术是否同时在各方面发挥作用。
2)针对已有的信息安全标准或规则，通过相关安全接口人员了解情况，审查各监控环节以确认该环节能够履行监控职责。
3)对各环节中所使用的IT安全监控系统评估：安全决策，组织结构，硬件监控，资产评估及控制，系统安全监控，网络和计算机管理，业务连续性，应用程序发展和维护，以及服从性。
4)与业界相比对，对所收集到的信息进行分析。
5)总结系统优势及弱势，推荐改进方法，以完善安全系统，降低风险。
3. 系统安全评估
1)评估公司一系列全面办公解决方案、数据库服务器、文件和打印服务器、应用程序服务器，找出系统弱点。
2)找出公司主要系统平台（如：UNIX,Windows/NT）和一些捆绑销售的组件（如：Microsoft Exchange, Lotus Notes, COBRA,Tivoli）的弱点所在。
3)从技术和管理两方面进行评估：
、可靠性、可审查性、保密性、适用