《风险评估实施方案》由会员分享，可在线阅读，更多相关《风险评估实施方案（14页珍藏版）》请在金锄头文库上搜索。
1、一、风险评估概述1、风险服务的重要性对于构建一套良好的信息安全系统，需要对整个系统的安全风险有一个清晰 的认识。只有清晰的了解了自身的弱点和风险的来源，才能够真正的解决和削弱 它，并以此来构建有着对性的、合理有效的安全策略，而风险评估既是安全策略 规划的第一步，同时也是实施其他安全策略的必要前提。近几年随着几次计算机蠕虫病毒的大规模肆虐攻击，很对用户的网络都遭受 了不同程度的攻击，仔细分析就会发现，几乎所有的用户都部署了防病毒软件和 类似的安全防护系统，越来越多的用户发现淡村的安全产品已经不能满足现在的 安全防护体系的需求了。安全是整体的体系建设过程，根据安全的木桶原理，组织网络的整个安全最
2、大强度取决于最短最脆弱的那根木头，所以说在安全建设的过程中，如果不仔细 的找到最短的那根木头，而盲目的在外面加钉子，并不能改善整体强度。信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决 策机制，只有通过全面的风险评估，才能让客户对自身信息安全的状况做出准确 的判断。2、风险评估服务的目的及其意义信息安全风险是指人为或自然的威胁利用信息系统及其团里体系中存在的 脆弱性导致安全事件的发生及其对组织造成的影响。信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由 其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过 程。他要评估资产面临的威胁以及威胁利
3、用脆弱性导致安全事件的可能性，并结 合安全事件所涉及的资产价值来判断安全事件一旦发生对组造成的影响。信息安全风险评估是信息系统安全保障机制建立过程中的一种评价方法，其 结果为信息安全更显管理提供依据。3、风险评估服务机制在信息系统生命周期里，有许多种情况必须对信息系统所涉及的人员、技术环境、物理环境进行风险评估：在设计规划或升级新的信息系统时；给目前的信息系统增加新应用时； 在与其他组织（部门）进行网络互联时； 在技术平台进行大规模更新（例如，从 Linux 系统移植到 Sliaris 系统）时； 在发生计算机安全事件之后，或怀疑可能会发生安全事件时； 关心组织现有的信息安全措施是否充分或食后
4、具有相应的安全效力时； 在组织具有结构变动（例如：组织合并）时： 在需要对信息系统的安全状况进行定期或不定期的聘雇、已查看是否满 足组织持续运营需要时等。4、风险评估服务的收益 风险评估可以帮助客户： 准确了解租住的信息安全现状； 明晰组织的信息安全需求； 制定组织信息系统的安全策略和风险解决方案； 指导组织未来的信息安全建设和投入； 建立组织自身的信息安全管理框架。二、风险评估服务介绍本公司遵循公认的 ISO 27001、GB/T 20984-2007 信息安全风险评估规范以及 国际信息安全等级保护指南等安全标准知道风险评估的工作，针对资产重要程度 分别提供不同的频率和方式的风险评估，帮助客
5、户了解客观真实的自身网络系统 安全现状，规划适合自己网络系统环境的安全策略，并根据科学合理的安全策略 来实施后续的安全服务、选型与部署安全产品以及建立有效的安全管理规章制 度，从而全面完整的解决可能存在的各种风险隐患。1、风险评估服务遵循标准在整个评估过程中，本公司遵循和参照最新、最权威的信息安全标准，作为 评估实施的依据。这些安全标准包括：安全技术标准： GB 17859：计算机信息系统安全保护等级划分准则 GB 18336 （ISO 15408）:信息技术-安全技术-信息技术风险评估准则（等 同于 Common Criteria for Information Technology Sec
6、urity Evaluation V1.2， 简称 CC V1.2） CVE： Comm on Vul nerabilities & Exposures，通用脆弱性标准。CVE 是个 行业标准，为每个漏洞和弱点确定了惟一的名称和标准化的描述，可以 称为评价响应入侵检测和漏洞扫描等工具产品和数据库的基准安全管理标准： ISO/IEC 27001: 2005 Information Technology-Securitytechniques-lnformation security management systems-Requirements, 信息 技术-安全技术-信息安全管理体系要求 ISO
7、/IEC 27005:2008 Information Technology- Securityech niq ues-l nf orma tion security risk man ageme nt，信息技术-安全技术-信 息安全风险管理 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 信息安全等级保护 信息系统安全管理要求（送审稿） ISO 13335,信息技术-安全技术-IT安全管理指南 GB/Z 24364 2009 信息安全技术 信息安全风险管理指南 风险评估实施方法： GB/T 20984-2007：信息安全风险评估规范（最新国家标准） NIST SP
8、 800-30： RiSk Management Guide for Information TechnologySystems,信息技术系统风险管理指南（美国国家标准和技术学会发布） NSA IAM : INFOSED Assessment Methodology，信息风险评估方法（美国 国家安全局发布） OCTAVW： The Operationally Critical Threat, Asset, and VulnerabilityEvaluatio n,可操作的关机那威胁、资产和脆弱性评价 信息技术 安全技术 信息系统安全保障等级评估准则 SSE-CMM： The Systems S
9、ecurity Engineering Capability Maturity Model,安全系统工程能力成熟度模型2、风险评估服务实施原则（1）保密性原则 本公司对安全服务的实施过程和结果将严格保密，在未经客户授权的情况下 不会泄漏给任何单位和个人，不会利用此数据并进行热呢侵害客户权益的行为。（2）标准性原则 服务设计和实施的全过程均依据国内或国际的相关标准进行。（3）规范性原则 本公司在各项安全服务工作中的过程和文档，都具有很好的规范性，可以便 与项目的跟踪和控制。（4）可控性原则 服务所使用的工具、方法和过程都会在本公司与客户双方认可的范围之内， 服务进度遵守进度表的安排，保证双方对服
10、务工作的可控性。（5）整体性原则 服务的范围和内桶整体全面，设计的 IT 运行的各个层面，避免由于遗漏造 成未来的安全隐患。（6）最小影响原则 服务工作尽可能小的影响信息系统的正常运行，不会对现有业务造成显著影 响。3、风险评估对象及内容 本公司风险评估服务主要包括以下内容：（1）物理环境安全性评估（2）网络架构安全性评估（3）主机系统设备安全性评估服务器系统 桌面主机 网络设备（路由器、交换机）（4）应用系统安全性评估 通用应用服务（WEB、FTP、Mail、DNS等） 专用业务系统(B/S、C/S)数据库5) 机密数据安全控制保障评估(机密信息的生成、传递、存储等过程)6) 信息安全管理组
11、织架构和理性评估7) 信息安全管理制度及安全性评估8) 人员安全管理状况评估9) 安全产品和技术应用状况有效性及合理性评10) 对应重大紧急安全事件的处理能力评估11) 4、风险评估方法 为了确切、真实地反映信息系统现状，本公司在风险评估过程中使用到的方 法有顾问访谈、工具扫描、专家经验分析、实地勘察、渗透测试、策略审查六种， 如下图所示：顾问谊 谈策醴审 查工耳扫描实地勘靈溝透测 试专家绪 验分析图 风险评估方法5、成果输出 风险评估安全现状综合分析报告 风险评估安全解决方案四、风险评估服务框架及流程1、风险要素关系 信息是一种资产，资产所有者应对信息资产进行保护，通过分析信息资产的 脆弱性
12、来确定威胁可能利用那些弱点来破坏其安全性。风险评估要识别资产相关 要素的关系，从而判断资产面临的风险大小。风险评估中各个要素的关系如下图所示：脆弱祐求垢加述抵撷;苗业破満足安全可陲険监-X#:资产珂险）1-未竝制-*业务战略图 风险要素关系示意图图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素 相关的属性。风险评估围绕其基本要素展开，在对这些要素的评价过程中需要充 分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素 相关的各类属性。图中的风险要素及属性之间存在着以下关系：业务战略依赖资产趋去实现；析产是有价值的，组织的业务战略对资产的依赖度越高，资产价值就
13、越大； 资产价值越大则其面临的风险越大；风险是由威胁引发的，资产面临的威胁越多测风险越大，并可能演变成安全事件； 弱点越多，威胁利用脆弱性导致安全事件的可能性越大； 脆弱性时未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险； 风险的存在及对风险的认识导出安全需求； 安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本； 安全措施可抵御威胁，降低安全事件的发生的可能性，并减少影响； 风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的 风险，有些残余风险来自于安全措施可能不当或无效，在以后需要继续 控制，而有些参与风险则是在综合考虑了安全成本与效益后为控制的风
14、险，是可以被接受的； 参与风险应受到密切监视，他可能会在将来有发心的安全事件。2、风险分析风险分析示意图如下图所示：图风险评估分析中主要涉及资产、威胁、脆弱性等基本要素。每个要素有各自 的属性，资产的属性是资产价值；威胁的属性是威胁出现的频率；脆弱性的属性是资产弱点的严重程度。风险分析主要内容为：对资产进行识别，并对资产的重要性进行赋值；对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值对资产的脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值； 根据威胁和脆弱性的识别结果判断安全事件； 根据脆弱性的严重程度及安全事件所作用资产的重要性计算安全事件的损 失；根据安全事件发生的可能性以及安全
15、事件的损失，计算安全事件一旦发生对 组的影响，即风险值。3、风险评估实施流程本公司在进行风险评估服务过程中，将严格参照 GB/T 20984-2007信息安全风 险评估规范国家标准所定义的服务流程规范来实施，整个实施流程如下图所示：训别阶段 资产识别戚胁识别哋理性识别业务识别已有圭全措蔚的熾认附段性成黑轴11百凤阻IT怙唧目啖姑I：作川明 书L一 述程灵金.勺恭贸产谄单吏 产对虑的咸耕涓中“思弱持稍单凤脸计鴛I页齐拆-1:斂 A选择适斗的用制措帝菲驱社:n貉妄仝理弑分枷，全面的安仝现 狀讷研亞分折.风险评估报吿3 :哲菇爾理 环境ITf占、两妳系轨评佔主 和系域ITf占、虫用爭软评档， 苒烯安轩驱恢箕评佔 圭 土空理评估難內畧.粉以上 IT怙闻容貝朋井析夷产评怙、 施閒ITf限崩场強评佔的鏑 果，彌肯班有安立删描走 和凤险时.业务的飛喑悻廿析” 戢栄确定供左耒皴的
