信息系统安全等级评估方案

1、信息系统安全等级评估信息系统安全等级评估方方案案北京网络行业协会信息系统等级保护评估中心北京网络行业协会信息系统等级保护评估中心输入年 年 月 月 日 日北京网络行业协会信息系统等级保护测评中心 第 2 页 共 19 页目目 录录1 1等级评估背景等级评估背景 .4 41.1评估单位信息 .41.2被评估单位信息 .42 2等级评估目的等级评估目的 .4 43 3等级评估原则等级评估原则 .4 44 4等级评估范围等级评估范围 .5 55 5评估环境介绍评估环境介绍 .6 65.1物理层描述 .65.2网络层描述 .65.3系统层描述 .65.4应用层描述 .65.5数据层描述 .65.6管理

2、层描述 .66 6等级评估内容等级评估内容 .6 66.1评估指标选择和组合 .66.1.1形成评估指标.66.1.2制定评估方案.66.2等级指标对比评估 .76.3额外/特殊风险评估 .77 7等级指标对比评估等级指标对比评估 .8 87.1安全技术评估 .87.2安全管理评估 .87.2.1人员访谈.97.2.2文档检查.98 8额外额外/ /特殊风险评估特殊风险评估 .9 98.1资料收集 .9信息系统安全等级评估方案-13第 3 页 共 19 页8.1.1问卷调查.98.1.2人员访谈.108.1.3小组讨论.108.1.4文档查看.108.1.5现场勘查.108.2资产识别与赋值

3、.108.2.1资产类别.118.2.2资产价值.128.3脆弱性分析 .128.3.1脆弱性来源.128.3.2脆弱性分析手段.128.4威胁分析 .148.4.1威胁源识别.148.4.2威胁分析手段.158.5已有控制措施分析 .159 9综合评估分析综合评估分析 .15159.1风险识别 .169.1.1控制建议.161010等级评估风险规避等级评估风险规避.17171111需要被评估单位配合事项需要被评估单位配合事项.1818信息系统安全等级评估方案-13第 4 页 共 19 页1 等级评估背景等级评估背景1.1评估单位信息评估单位信息1.2被评估单位信息被评估单位信息2 等级评估目

4、的等级评估目的对信息系统进行安全等级评估是国家推行等级保护制度的一个重要环节，也是对信息系统进行安全建设和管理的重要组成部分。通过等级评估可以发现信息系统的安全现状与需要达到的安全等级或目标的差异，使信息系统的管理和使用单位可以在技术和管理方面进行有针对性的加强和完善，使单位的信息系统安全工作有的放矢。了解信息系统的管理、网络和系统安全现状；确定可能对资产造成危害的威胁；确定威胁实施的可能性；对可能受到威胁影响的资产确定其价值、敏感性和严重性，以及相应的级别，确定哪些资产是最重要的；对最重要的、最敏感的资产，确定一旦威胁发生其潜在的损失或破坏；明确信息系统的已有安全措施的有效性；明晰信息系统的

5、安全管理需求。3 等级评估原则等级评估原则为确保安全等级评估工作高效顺利的完成，并尽量减少安全评估对被评估系统的影响，保护评估双方的权益，安全等级评估应遵循如下原则：a)a) 标准性原则标准性原则评估工作以信息系统安全等级保护实施指南为基础，并参考其它等级保护相关标准和指南；b)b) 规范性原则规范性原则信息系统安全等级评估方案-13第 5 页 共 19 页安全等级评估过程及使用的文档，需要具有很好的规范性，便于评估工作的质量跟踪和进度控制；c)c) 可控性原则可控性原则安全评估所使用的工具、方法和过程要在双方认可的范围之内，安全评估的进度要符合进度表的安排，保证评估双方对评估工作的可控性；d

6、)d) 整体性原则整体性原则等级评估的范围和内容应当整体全面，覆盖信息系统安全所涉及的各个层面，并考虑各个层面的相互关系。e)e) 最小影响原则最小影响原则评估工作应尽可能小的影响网络和系统的正常运行，不能对系统的业务产生显著影响。例如：避免造成被评估系统的性能明显下降、网络拥塞、服务中断等。f)f) 保密原则保密原则对在安全评估过程中所接触到的被评估单位的所有敏感信息，评估机构应遵循相关的保密承诺，不利用它们进行任何侵害被评估单位安全利益的行为。被评估单位也应当为评估机构的测评方法、流程和相关文档承担相应的保密义务。4 等级评估范围等级评估范围界定被评估单位的评估范围的描述，包括系统、主机、

7、设备等的详细数量信息。xxx 系统的总体网络结构如下图所示：信息系统安全等级评估方案-13第 6 页 共 19 页5 5评估环境介绍评估环境介绍5.1物理层描述物理层描述5.2网络层描述网络层描述5.3系统层描述系统层描述5.4应用层描述应用层描述5.5数据层描述数据层描述5.6管理层描述管理层描述6 等级评估内容等级评估内容6.1评估指标选择和组合评估指标选择和组合根据被评估信息系统的安全等级，从等级保护基本要求的指标中选择和组合评估用的安全指标，形成一套信息系统的评估指标，作为评估的依据；将具体评估对象和评估指标进行结合，形成评估使用的评估方案。6.1.1 形成评估指标形成评估指标根据各个

8、信息系统的安全等级从基本要求中选择相应等级的通用指标，然后根据系统信息资产安全性等级选择信息资产安全性指标，根据系统连续性等级选择业务连续性指标，之后进行三类指标的组合，形成评估指标。6.1.2 制定评估方案制定评估方案根据评估指标，结合确定的具体评估对象制定可以操作的评估方案，评估方案可以包括但不局限于以下内容：信息系统安全等级评估方案-13第 7 页 共 19 页1) 管理状况评估表格；2) 网络状况评估表格；3) 网络设备（含安全设备）评估表格；4) 主机设备评估表格；5) 主要设备安全测试方案；6) 重要操作的作业指导书。6.2等级指标对比等级指标对比评估评估根据所确定的安全评估指标和

9、安全评估方案，通过询问、检查和测试等多种手段，将系统现状与安全评估指标进行逐一对比，记录当前的现状情况，找到与评估指标之间的差距。a) 判断安全管理方面与评估指标的符合程度通过观察现场、询问人员、查询资料、检查记录等方式进行安全管理方面的评估，准确记录评估结果，判断安全管理的各个方面与评估指标的符合程度，给出判断结论。评估工作原始记录表应由相关人员确认签字。b) 判断安全技术方面与评估指标的符合程度通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术方面的评估，准确记录评估结果，判断安全技术的各个方面与评估指标的符合程度，给出判断结论。评估工作原始记录表应

10、由相关人员确认签字。6.3额外额外/特殊特殊风险评估风险评估通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护要求的部分或具有独特安全保护要求的部分，采用风险评估的方法，确定可能的安全风险，判断超出等级保护要求部分安全措施的必要性。 在安全现状和评估指标对比后确定基本安全需求的基础上，通过风险评估的手段可以确定额外或特殊的安全需求。确定额外安全需求可以采用目前成熟或流行的风险评估方法，也可以采用但不局限于下面介绍的活动：a) 重要资产的分析明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。b) 重要资产安全脆弱性评估检查或判断上述重要部件

11、可能存在的脆弱性，包括技术上和管理上的；分析信息系统安全等级评估方案-13第 8 页 共 19 页安全脆弱性被利用的可能性。c) 重要资产面临威胁评估分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，威胁发生的可能性或概率。d) 综合风险分析分析威胁利用脆弱性可能产生的安全事件，安全事件发生的可能性或概率，安全事件造成的损害或产生的影响大小，防止此种风险的必要性。按照重要资产的排序和风险的排序确定安全保护的要求。7 等级指标对比评估等级指标对比评估等级保护评估主要是针对信息系统安全等级保护实施指南中的相关内容和要求进行评估，并参考其它等级保护相关标准。评估主要包括技术和管理两个

12、方面的内容。7.1安全技术评估安全技术评估主要通过从物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上评估信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况。包括但不局限于以下技术方法：人工配制检查渗透测试漏洞扫描技术访谈调查问卷7.2安全管理评估安全管理评估通过查阅文档、抽样调查等方法，针对被测单位在信息安全方面制定规章制度的合理性、适用性等进行评估，主要包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等内容。信息系统安全等级评估方案-13第 9 页 共 19 页7.2.1 人员访谈人员访谈 内容：针对组织内的安全管理人员、安全员、安全主管、工

13、作人员、关键活动批准人、管理人员、机房值守人员、人事负责人、人事工作人员、审计员、网络管理员、文档管理员、物理安全负责人、系统管理员、系统建设负责人、系统运维负责人、资产管理员等不同类型岗位的人员访谈 方法：访谈相关人员7.2.2 文档检查文档检查 内容：安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面的文档检查 方法 : 查看相关文件8 额外额外/特殊风险评估特殊风险评估8.1资料收集资料收集根据项目范围，收集相关资料的方法包括：问卷调查与各级人员进行访谈小组讨论文档查看现场勘查8.1.1 问卷调查问卷调查问卷调查和清单是有效的简单工具，用来判断是否需要更详尽风险评

14、估。调查问卷（Questionnaire）由一组相关的封闭式或开放式问题组成，用于在评估过程中获取信息系统在各个层面的安全状况，包括安全策略、组织制度、执行情况等。信息系统安全等级评估方案-13第 10 页 共 19 页8.1.2 人员访谈人员访谈评估小组与被评估组织内有关的管理、技术和一般员工进行逐个沟通。根据对评估人员所提问题的回答，评估人员为评估获得相应信息，并可验证之前收集到的资料，从而提高其准确度和完整性。通过访谈管理和技术人员，评估人员可以收集到业务系统相关的物理、环境、安全组织结构、操作习惯等大量有用的信息，也可以了解到被访谈者的安全意识和安全技能等自身素质。由于访谈的互动性，不

15、同于调查表，评估人员可以广泛提问，从多个角度获得多方面的信息。8.1.3 小组讨论小组讨论评估小组与被评估组织的若干人员进行交流，从而获得相关信息或就某些问题达成共识。8.1.4 文档查看文档查看为了分析业务系统现有的或计划采取的安全控制措施，需要查看策略文档（例如政策法规、指导性文档） 、系统文档（例如用户手册、管理员手册、系统设计和需求文档）和安全相关文档（例如以前的审计报告、风险评估报告、测试报告、安全策略、应急预案）等。8.1.5 现场勘查现场勘查评估人员也可对办公环境和机房内设备作现场检查，或观察人员的行为或环境状况、系统命令或工具的输出，寻找是否有违反安全策略的现象，比如敏感文件随

16、意放置、人离开电脑不锁屏幕、设备的网络连接情况等。根据现场勘查的结果，获得相应评估信息。8.2资产识别与赋值资产识别与赋值资产是构成整个系统的各种元素的组合，它直接地表现了这个系统的业务或信息系统安全等级评估方案-13第 11 页 共 19 页任务的重要性，这种重要性进而转化为资产应具有的保护价值。评估小组采集资产信息，确定系统划分原则和等级评估原则，并与组织共同确认系统和 CIA 等级划分。资产识别和赋值的目的就是要对组织的各类资产做潜在价值分析，了解其资产利用、维护和管理现状；明确各类资产具备的保护价值和需要的保护层次，从而使组织能够更合理地利用现有资产，更有效地进行资产管理，更有针对性地

17、进行资产保护，最具策略性地进行新的资产投入。风险评估范围内的所有资产必须予以确认，包括数据、服务、声誉、硬件和软件、通讯、程序界面、物理资产、支持设施、人员和访问控制措施等有形和无形资产。考虑到应用系统是组织业务信息化的体现，因此将应用系统定义为组织的关键资产。与应用系统有关的信息或服务、组件（包括与组件相关的软硬件） 、人员、物理环境等都是组织关键资产应用系统的子资产，从而使得子资产与应用系统之间更加具有关联性。8.2.1 资产类别资产类别各项资产可归入不同的类别，归类的目的是反映这些资产对评估对象系统或领域的重要性。依据资产的属性，主要分为以下几个类别：信息资产信息资产信息资产主要包括各种

18、设备以及数据库系统中存储的各类信息、设备和系统的配置信息、用户存储的各类电子文档以及各种日志等等，信息资产也包括各种管理制度，而且各种打印的以及部分其他成文的文档也属于信息资产的范畴。软件资产软件资产软件资产包括各种专门购进的系统与应用软件（比如操作系统、业务系统、办公软件、防火墙系统软件等） 、随设备赠送的各种配套软件、以及自行开发的各种业务软件等。物理资产物理资产物理资产主要包括各种主机设备（比如各类 PC 机、工作站、服务器等） 、各种网络设备（比如交换、路由、拨号设备等） 、各种安全设备（比如防火墙设备、入侵检测设备等） 、数据存储设备以及各类基础物理设施（比如办公楼、机房以及辅助的温

19、度控制、湿度控制、防火防盗报警设备等） 。人员资产人员资产人员资产是各类资产中很难有效衡量甚至根本无法衡量的一部分，它主要包信息系统安全等级评估方案-13第 12 页 共 19 页括组织内部各类具备不同综合素质的人员，包括各层管理人员、技术人员以及其他的保障与维护人员等。8.2.2 资产价值资产价值资产分析是与风险评估相关联的重要任务之一，资产分析通过分析评估对象资产的各种属性，进而对资产进行确认、价值分析和统计报告。简单地说资产分析是一种为资产业务提供价值尺度的行为。资产价值可以下列方式表达：有形价值，例如重置成本无形价值，例如商誉信息价值，例如保密性、完整性及可用性8.3脆弱性分析脆弱性分

20、析脆弱性是指于管理、操作、技术和其它安全控制措施和程序中使威胁可能有机可乘，以致资产因而受损的薄弱环节，例如第三方拦截传输中的数据，未授权访问数据等。脆弱性分析的目的是给出有可能被潜在威胁源利用的系统缺陷或脆弱性列表。所谓威胁源是指能够通过系统缺陷和脆弱性对系统安全策略造成危害的主体。脆弱性分析强调系统化地衡量这些脆弱性。8.3.1 脆弱性脆弱性来源来源脆弱性可能存在于硬件设备、软件程序、数据中，也可能存在于管理制度、安全策略等方面。因此，脆弱性包括两类：技术脆弱性和非技术脆弱性。技术脆弱性主要是指操作系统和业务应用系统等存在的设计和实现缺陷。技术脆弱性广泛地存在于操作系统、数据库、网络设备、

21、通讯协议等设备和系统中。非技术性脆弱性主要是指系统的安全策略、物理和环境安全、人事安全、访问控制、组织安全、运行安全、系统开发和维护、业务连续性管理、遵循性等方面存在的不足或者缺陷。8.3.2 脆弱性分析手段脆弱性分析手段信息系统安全等级评估方案-13第 13 页 共 19 页脆弱性分析针对技术脆弱性和非技术脆弱性进行。非技术脆弱性分析非技术脆弱性分析非技术脆弱性分析主要采取调查表、人员访谈、现场勘查、文档查看等手段进行。首先要明确组织高层管理人员对组织重要资产的认识，对资产如何受到威胁的了解，以及资产的安全需求，现在已经采取得保护措施以及和保护该资产相关的问题。通过运作管理人员、组织职员进一

22、步了解组织存在的这些脆弱性。技术脆弱性分析技术脆弱性分析技术脆弱性分析可以采取多种手段，可选择以下手段收集和获取信息：网络扫描主机审计渗透测试系统分析其中，需要注意渗透测试的风险较其它几种手段要大得多，在实际评估中需要斟酌使用。网络扫描网络扫描网络扫描用于本地或远程检测系统可能存在的脆弱性。脆弱性扫描工具（Scanner）是一个或一组自动化工具，使用脆弱性扫描工具能够高效率地收集业务系统的信息。例如，一个网络端口扫描工具可以快速识别大量主机开放的服务，获得业务系统所涉及的每个 IT 设备的运行状态。网络扫描遵循扫描时间段选择、单点试扫、主备分开等原则。扫描结束后，提交经过分析的扫描报告，以及扫

23、描原始报告。主机审计主机审计主机审计针对网络设备、主机、数据库进行，实施时采用脚本工具或人工参照审计手册进行。审计手册通常以检查列表（Checklist）的形式存在，用于人工检查系统存在的各种安全脆弱性，它针对不同的系统列出待检查的条目，以保证人工审计结果数据的完备性。需要时，也可利用入侵检测系统等工具进行网络审计，分析网络的安全运行状况，发觉配置和运行中的隐患。渗透测试渗透测试渗透测试利用人工模拟黑客攻击方式发现网络、系统的脆弱性。需要注意，渗透测试的风险较其它几种手段要大得多，在实际评估中需要斟酌使用。信息系统安全等级评估方案-13第 14 页 共 19 页系统系统分析分析系统分析主要指网

24、络结构和边界分析，它是风险评估中对业务系统安全性进行全面了解的基础。一个业务系统的网络结构是整个业务系统的承载基础，及时发现网络结构存在的安全性、网络负载问题，网络设备存在的安全性，抗攻击的问题是整个业务系统评估的重要环节。对评估对象的物理网络结构，逻辑网络结构及网络的关键设备进行评估(基本信息包括网络带宽、协议、硬件、Internet 接入、地理分布方式和网络管理)，发现存在的安全性，合理性，使用效率等方面的问题。结合业务体系、系统体系等结构的检查逻辑网络，由什么物理网络组成以及网络的关键设备的位置所在对于保持网络的安全是非常重要的。另外，鉴定关键网络拓扑，对于成功地实施基于网络的风险管理方

25、案是很关键的。8.4威胁分析威胁分析威胁是指对系统或资产的保密性、完整性及可用性构成潜在损害，以致影响系统或资产正常使用及操作的任何事件或行动。威胁分析主要指在明确组织关键资产、描述关键资产的安全需求的情况下，标识关键资产面临的威胁，并界定发生威胁的可能性及破坏系统或资产的潜力。评估小组通过鉴别与各业务系统有关的网络，分析各业务系统可能遭受的内部人员和/或外部人员的无意和/或故意威胁；通过鉴别与各业务系统有关的网络以及可能的威胁源，详细分析各业务系统可能通过网络途径可能遭受的威胁。8.4.1 威胁威胁源识别源识别威胁会对资产造成危害，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶

26、意攻击。信息系统根据自身应用的特点和地理位置可能会面对不同的威胁源。常见的威胁源如表 1 所示。ID威胁源威胁源描述描述1不可抗力由于自然（洪水、地震、飓风、泥石流、雪崩、电风暴及其它类似事件） 、环境（长时间电力故障，污染，化学，液体泄露等） 、政治等因素造成的威胁2组织弱点由于组织机构、行政制度等因素造成的安全威胁3人为失误由于人员的技能、培训、无意识行为（疏忽的数据条目）信息系统安全等级评估方案-13第 15 页 共 19 页ID威胁源威胁源描述描述等方面原因造成的安全威胁。4技术缺陷由于信息技术、产品的设计、实现、配置、使用等造成的安全威胁5恶意行为故意行为（基于网络的攻击、恶意软件上

27、传、对保密信息未经授权的访问等） 、人为造成的安全威胁表 1.威胁源分类8.4.2 威胁分析手段威胁分析手段威胁获取的方法有：安全策略文档查看、业务流程分析、网络拓扑分析、人员访谈、入侵检测系统收集的信息和人工分析等。业务流程分析和网络拓扑分析以与组织交流为主进行，结合业务流程图和网络拓扑图，同时收集历史安全事件。评估人员可以根据具体的评估对象、评估目的选择具体的安全威胁获取方式。8.5已有控制措施分析已有控制措施分析要产生一个总体可能性评价来说明一个潜在弱点在相关威胁环境下被攻击的可能性，就必须要考虑到当前已经实现或计划实现的安全控制。比如，如果威胁源的兴趣或能力级别很低、或如果有有效的安全

28、控制可以消除或减轻危害后果，那么一个弱点（比如业务系统或流程中的薄弱环节）被攻击的可能性就低。9 综合评估分析综合评估分析评估人员根据等级指标对比评估、额外/特殊风险评估中间结果记录，结合被评估单位提供的各种资料，进行全面的综合分析，编制评估报告。评估报告一般需要包括安全现状和安全建议两个方面的内容。安全现状主要描述通过评估所了解到的系统的各个层面的基本安全状况，以及与等级要求的符合情况。安全建议主要描述针对系统存在的安全隐患和缺陷以及如何进行改造，以符合相应等级的安全需求。由于被评估信息系统可能包括多个安全等级不同的子系统，原则上需要分别对它们进行评估和拟定报告。信息系统安全等级评估方案-1

29、3第 16 页 共 19 页9.1风险识别风险识别从风险的定义可以看出，风险评估的策略是首先选定某项业务系统（或者资产） 、评估业务系统的资产价值、挖掘并评估业务系统/资产面临的威胁、挖掘并评估业务系统/资产存在的弱点、进而评估该业务系统/资产的风险，得出整个评估目标的风险。撰写评估报告需要在这种分析的基础上找出风险的属性之间的关系，陈述综合分析结果。确定风险程度后，便能够为已确认的各项业务系统/资产考虑技术、操作和管理上的解决方案清单。由于不可能完全杜绝风险，有关清单可成为接受、降低、避免或转移风险决策的依据。下表是可采取的风险处理措施。评估结果可选方案描述后果轻微可能性低可用性或其它因素比

30、安全因素重要接受风险承担责任 不可承受的高风险降低风险 减轻后果或减低可能性，或一起减低 风险过高，或费用过高，因而无法减低，也无法管理避免风险采用其它方法，或不再进行可能引发风险的工作 另一方愿意承受风险另一方控制风险的能力更强转移风险将部分或全部风险责任转移给另一方表 2.风险处理方案表9.1.1 控制建议控制建议采取可行的安全保障措施，可以将已找出的威胁和弱点的可能性及其影响减至可接受的水平。评估小组根据不可接受风险级别的定义，鉴别组织存在的不可接受风险，分析可以控制不可接受风险的相应安全措施，最终组织参与人员根据评估小组所提的建议，结合组织的实际情况，确定适用于组织的安全措施，制定保护

31、策略，最终形成控制建议。形成控制建议的目的是为组织制定保护策略，降低关键资产风险的方案，以及制定短期内的措施清单。评估小组可以对组织目前的技术安全状况需要进行分析，并通过与组织相关IT 人员的沟通，优先确认需要立即采取措施以修复的技术弱点，制定所存在的技术弱点及相应的安全建议。信息系统安全等级评估方案-13第 17 页 共 19 页可以从体系化的角度采取控制措施，例如依据风险评估结果建立纵深防御体系。常见的控制措施类型包括：安全加固建议这是一种有针对性的资产点对点风险减免。主要是通过各种技术手段来补救单个资产的弱点。安全体系结构建议这是从系统的角度来重要设计更安全的系统。主要通过更合理的网络结

32、构与系统逻辑关系设计来补救整个系统的弱点。安全管理建议这是从管理的角度来保护资产不受威胁。主要通过把具有弱点而且难以补救的资产保护起来，不受威胁的影响，也就起到了降低风险的作用。10等级评估风险等级评估风险规避规避为了顺利的完成测评工作，需要采取相应的措施来对评估工作本身可能带来的风险和问题进行规避，这主要包括以下几个方面。a)a) 委托协议委托协议在开始评估工作之前，评估机构和被评估单位需要以委托协议的方式明确评估工作的目标、范围、人员组成、计划安排、执行步骤和要求、以及双方的责任和义务等。使得评估双方对评估过程中的基本问题达成共识，后续的工作以此为基础，避免以后的工作出现大的分歧。b)b) 保密协议保密协议由于评估工作需要了解被评估单位的很多敏感信息，为保障被评估单位的权益，评估双方应签署完善的、合乎法律规范的保密协议，以约束评估双方现在及将来的行为。保密协议规定了评估双方保密方面的权利与义务。评估工作的成果属被评估单位所有，评估机构对其的引用与公开应得到被评估单位的授权，否则被评估单位将按照保密协议的要求追究评估机构的法律责任。另外，被评估单位也要选取可信度高的评估机构来进行信息系统安全等级测评，避免由于安全评估工