《济南市信息安全风险评估工作指南》由会员分享，可在线阅读，更多相关《济南市信息安全风险评估工作指南（74页珍藏版）》请在金锄头文库上搜索。
1、 欢迎阅读本文档，希望本文档能对您有所帮助!济南市信息安全风险评估工作指南济南市信息化领导小组办公室济南市信息产业局2007年6月前 言随着我市国民经济和社会信息化进程的加快，网络与信息系统的基础性、全局性作用日益增强，国民经济和社会发展对网络和信息系统的依赖性也越来越大。网络和信息系统自身存在的缺陷、脆弱性以及面临的威胁，使信息系统的运行客观上存在着潜在风险。信息安全已经成为影响信息化发展的重大问题，引起了国家政府和社会的广泛关注和重视。国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号文件）提出“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护
2、措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。” 中央领导同志也多次就信息安全风险评估工作做出重要指示。信息系统信息安全风险评估是为了了解系统究竟面临什么风险、有多大风险，以及应该采取什么样的措施去减少、化解或规避风险，是为了解决这样一些问题：什么地方、什么时间可能出问题？会出什么问题？出问题的可能性有多大？这些问题可能产生的后果是什么？应该采取什么样的措施加以避免和弥补？它是认识和评价信息系统信息安全状况的基本方法和手段，是信息安全的基础性工作。市信息化办公室、市信息产业局结合济南市信息安全风险评估试点工作过程中的实践经
3、验，总结形成了一套信息安全风险评估流程，以此为基础编写了济南市信息安全风险评估工作指南（以下简称“工作指南”）。本工作指南对信息安全风险评估的基本概念、评估方法、实施过程、项目管理和质量管理等方面作了全面的阐述。在风险评估实际工作中可以根据具体情况，对风险评估的方法、过程和工具进行适当的选择和发展，完成好信息安全风险评估工作。 本工作指南是我市开展信息系统信息安全风险评估工作的指导文件，它的编制旨在使信息安全风险评估作为一项科学的方法为我市各单位所接受、理解和运用，对各单位的信息安全风险评估工作起到指导作用。目 录第一章 适用范围5第二章 参考依据6第三章 信息安全风险评估概述73.1基本概念
4、73.2名词术语73.3风险评估基本原理103.3.1风险评估要素关系模型103.3.2风险计算模型11第四章 风险评估原则124.1可控性原则124.2完整性原则124.3最小影响原则124.4保密性原则134.5可恢复性原则13第五章 风险评估和信息系统生命周期145.1信息系统生命周期145.2信息系统生命周期各阶段中的风险评估145.2.1规划阶段155.2.2设计阶段155.2.3实施阶段175.2.4运维阶段185.2.5废弃阶段19第六章 风险评估的形式及工作程序226.1基本形式226.1.1自评估226.1.2检查评估226.2角色与职责246.3工作程序26第七章 风险评估
5、质量控制317.1风险评估项目组织317.2加强项目评审317.3风险评估过程中的风险控制327.4风险评估文档的要求327.5交流与沟通33第八章 风险评估实施过程348.1风险评估的准备358.1.1工作任务358.1.2工作流程358.1.3阶段成果378.2资产识别388.2.1资产分类388.2.2资产赋值398.2.3资产重要性等级418.3威胁识别438.3.1威胁分类438.3.2威胁赋值448.4脆弱性识别468.4.1脆弱性识别内容468.4.2脆弱性识别方法498.4.3脆弱性赋值518.5已有安全措施的确认528.6风险分析538.6.1风险计算原理538.6.2风险结
6、果的判定548.6.3控制措施的选择558.6.4残余风险的评价55附录1 风险评估工作表格571.系统调研572.资产识别清单573.资产重要性程度判断准则594.威胁列表615.脆弱性列表626.风险处理计划63附录2 风险值计算方法641.使用矩阵法计算风险641.1计算原理641.2适用条件651.3计算过程651.4小结682.使用相乘法计算风险692.1计算安全事件发生的可能性692.2计算安全事件发生后的损失692.3风险值计算70第一章 适用范围本工作指南依据信息安全风险评估指南（征求意见稿）（国信办综20069号）文件中规定的评估步骤和评估流程，对信息安全风险评估过程中具体内
7、容和方法给予进一步的说明，为我市的各机构或单位在开展信息安全风险评估相关工作时提供参考。第二章 参考依据本指南在编制过程中依据了国家政策法规、技术标准、规范与管理要求、行业标准，主要包括以下内容：1. 政策法规：国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见（国信办20065号）2. 国际标准：ISO/IEC 17799：2005信息安全管理实施指南ISO/IEC 27001：2005信息安全管理体系要求ISO/IEC TR 13335信息技术安全管理指南SSE-CMM系统安全工程能力成熟模型3. 国内标准：
8、信息安全风险评估指南（国信办综20069号）GB 178591999计算机信息系统安全保护等级划分准则GB/T 18336 1-3：2001信息技术安全性评估准则GB/T 5271.8-2001 信息技术 词汇 第8部分： 安全GB/T 19715.12005 信息技术安全管理指南 第1部分：信息技术安全概念和模型GB/T 197162005 信息安全管理实用规则4. 其它北京市信息系统风险评估实施指南天津市电子政务风险评估实施指南上海市信息安全风险评估管理软件信息安全风险评估方法与应用第三章 信息安全风险评估概述3.1基本概念信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然的威胁导致
9、安全事件发生所造成的影响。信息安全风险评估，则是指依据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行科学评价的过程，它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。信息安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从而为最大限度地
10、保障网络和信息安全提供科学依据。信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制。没有准确及时的风险评估，将使得各个机构无法对其信息安全的状况做出准确的判断。因为任何信息系统都会有安全风险，信息安全建设的宗旨之一，就是在综合考虑成本的前提下，通过安全措施来控制风险，使残余风险降到可接受的范围内。本工作指南中所指的“风险评估”，其含义均为“信息安全风险评估”。3.2名词术语在信息安全风险评估中经常要涉及以下术语。1. 资产对组织具有价值的信息或资源，是安全策略保护的对象。2. 资产价值资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主要内容。3. 可
11、用性数据或资源的特征，被授权实体按要求能访问和使用数据或资源。4. 业务战略组织为实现其发展目标而制定的一组规划或需求。5. 机密性数据所具有的特征，即表示数据所达到的未提供或未泄露给未授权的个人、过程或其他实体的程度。6. 信息安全风险人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。7. 信息安全风险评估依据有关信息安全技术和管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。信息安全风险评估的主要内容是评估信息系统中资产面临的威胁以及威胁利用脆弱性导致安全事件发生的可能性，并结合安全事件所涉及的资产
12、价值来判断安全事件一旦发生所造成的影响。8. 信息系统由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规划实现对信息进行采集、加工、存储、检索等功能的系统。典型的信息系统由三部分组成：硬件系统（计算机硬件系统和网络硬件系统）；系统软件（计算机系统软件和网络系统软件）；应用软件（包括由其处理、存储的信息）。9. 检查评估由被评估信息系统的上级主管机关或业务主管机关发起的，依据国家有关法规或标准，对信息系统及其管理进行的具有强制性的检查活动，是通过行政手段加强信息安全的重要措施。10. 完整性保证信息及信息系统不会被非授权更改或破坏的特征。包括数据完整性和系统完整性。11
13、. 数据完整性数据所具有的特征，即无论数据形式作何变化，数据的准确性和一致性均保持不变。12. 系统完整性在防止非授权用户修改或使用资源和防止授权用户不正确地修改或使用资源的情况下，信息系统能履行其操作目的的品质。13. 组织由作用不同的个体为实施共同业务目标而建立的结构。组织的特征在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。14. 残余风险采取了安全措施后，仍然可能存在的风险。15. 自评估由组织自身发起，参照国家有关法规与标准，对信息系统及其管理进行的风险评估活动。16. 安全事件指系统、服务或网络的一种可识别状态的发生，它可能是对信息安全策略的违反或防护
14、措施的失效，或未预知的不安全状况。17. 安全措施保护资产、抵御威胁、减少脆弱性、降低安全事件的影响，以及打击信息犯罪而实施的各种实践、规程和机制的总称。18. 安全需求为保证组织业务战略的正常运作而在安全措施方面提出的要求。19. 威胁可能导致对系统或组织危害的不希望事故的潜在起因。威胁通过威胁的主体、能力、资源、动机、途径、可能性和后果等多种属性表现。20. 脆弱性可能被威胁所利用的资产或若干资产的弱点。21. 风险管理确定、控制、消除或缩减影响系统资源的不定事件的总过程，它包括风险分析，费效分析、选择、实现与测试、安全防护评估及所有的安全检查等。22. 风险分析确定安全风险，划分风险等级、建立防护范围的过程。风险分析是风险管理的一部分。3.3风险评估基本原理3.3.1风险评估要素关系模型风险评估的出发点是对与风险有关的各因素的确认和分析。下图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性，也是风险评估要素的一部分。风险评估的工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类因素。如下模型表示了各因素的关系：图3.1风险评估要素关系模型图中这些要素之间存在着以下关系：业务战略依赖于资产去完成；资产拥有价值，
