公司风险评估标准概述

1、风险评估标准1.02.03.0目的建立风险评估标准的U的在于为IT安全解决方案提供依据和参考。适用范围适用于公司所有IT安全的风险分析和评估。参考1. Information technology - Security techniques Evaluation criteria IT security ISO/IEC15408-32. 计算机信息系统安全保护等级划分准则GB17859-19994.0定义保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程， 不为其所用完整性(integrity):信息系统中的数据与在原文档中的相同，未遭受偶 然或恶总修改/破坏时所

2、具有的性质；或者信息系统中的系统不能被非授权破坏 或修改的性质可用性(Availability):被授权实体所需的资源可被访问与使用，即攻击 者不能占用相关资源而阻碍授权者的工作抗抵赖 性(repudiation):防止在通信中涉及到的那些实体不承认参加了该通信可审查性：有依据、有手段地对出现的信息安全问题提供跟踪和调查5.0内容 5.1安全风险评估的基本步骤确定需保护的资源，找出该资源的安全弱点和可能有的安全威胁，得出安 全风险等级。然后列举可采取的降低风险的对策，直至风险减小至安全需求允许 的范下图显示了风险评估中的各要素和工作步骤的关系：5.1.1明确需安全保护资源5.1.2评估脆弱性，

3、包括：1. 场所安全2. 安全流程系统安全3.4网络安全5.应用安全5. 1. 3评估威胁5. 1.4列举安全对策5. 1. 5损失评估5. 1. 6确定风险等级5.2细则5. 2.1明确需安全保护资源1. 网络设备：交换机、路曲器、HUB、网络布线等2计算机设备：个人计算机、便携机、网络服务器、文件服务器、工作站等3. 存储介质：软盘、硬盘、磁带、光盘、M0等4软件：操作系统、数据库、工具软件、办公平台软件、开发用软件等5网上应用系统：EMail系统、Internet Proxy服务、Notes系统、MRPII、 SAP、 HR、 WWW、 FTP 等6.7.网络服务：DNS、DHCP、WI

4、NS、网络路山服务等5. 2.2数据资料：电子文档、数据库等评估脆弱性使用最好的测试工具和技术、使用不同的丄作方法，对公司的整体资源系 统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。1. 场所安全评估1）对公司场所安全评估，信息安全监控须包含硬件监控。2）对公司信息安全部安全措施及相关文件评估，包括：场所安全、存 储介质安全、硬件安全、紧急事故处理和信息保护等。.3）分析公司安全标准并与业界最佳实践标准进行比较。4）总结安全措施优缺点及措施实用性。2. 安全流程评估1）评佔公司的安全管理流程的效率及效用，评估查安全信息保障系统 是否真正保护了至关重要的业务信息，评佔管理流程

5、和安全技术是否同时在各方 面发挥作用。2）针对己有的信息安全标准或规则，通过相关安全接口人员了解1W况, 审查各监控环节以确认该环节能够履行监控职责。3）对各环节中所使用的IT安全监控系统评估：安全决策，组织结构，硬件监控，资产评估及控制，系统安全监控，网络和计算机管理，业务连续性, 应用程序发展和维护，以及服从性。4）与业界相比对，对所收集到的信息进行分析。5）总结系统优势及弱势，推荐改进方法，以完善安全系统，降低风险。3.系统安全评估1）评估公司一系列全面办公解决方案、数据库服务器、文件和打印服 务器、应用程序服务器，找出系统弱点。2）找出公司主要系统平台（如：UNIX.Windows/N

6、T）和一些捆绑销售 的组件（如：Microsoft Exchange，Lotus Notes, COBRA, Tivoli）的弱点所在。a.3）从技术和管理两方面进行评估：技术审査对每一个组件的机制进行真实性、可靠性、可审査 性、保密性、适用性检验，并根据公司书面文件对其进行核査及预警。b管理审查包括听取管理员意见，对该组件相关的书面文件、 标准和措施进行审查。这将保证公司能够发现来自于公司内部或外部的能越过安 全监控的潜在威胁。5）对系统软件和组件的配置文件是否能让授权用户正常登录进行审 査，同时阻止和发现非授权用户的登录企图。对安全管理监控作以下方面的综合审查：计划、组织、人事.资产6）

7、分类和监控、硬件监控、资产监控、网络及讣算机管理、业务连续性、系统发展 和维护、适用性等。4. 网络安全评估1）对公司网络平台的安全设il悄况（路山器、防火墙、网络服务器、 应用程序服务器等）进行审査，以确定是否有些功能会存在安全问题。将不受信 任的、外部的网络与内部的、受信任的网络和系统隔离开来。2）（根据情况需要）模拟入侵者的攻击，必须以可控制的安全的方式 进行。模拟三个方面非法进入内部网络：低水平的单个黑客，有一定能力的黑客 小分队，有高度动机的专家黑客队伍。3）检查系统的配置和管理以及可能在将来引起新的安全问题的因素。 评佔内容可以根据需要裁剪，包括系统平台、网络连接、软件和数据库。4

8、）在技术和管理层面综合性地检査网络方案。技术检査包括多方面的 入侵测试和配置分析，全面了解网络解决方案的长处和不足。管理检査包括访问 管理者和检查安全文件。5. 应用安全评估1）全面评估应用程序的：体系结构、设计及功能；开发和维护过程; 运行过程及包括运行平台在内的技术组件：使用的网络服务及数据库或使用的运 行平台服务。2）对应用所采用的过程和技术进行审核，以保证主应用程序的安全性 和保密性要求。对应用程序新的安全代码和支持基础结构的服务进行审核，检査 影响生产环境完整性的一般错误。3）复查应用程序安全和保密的要求、体系结构规范、功能规范和测试 计划。4）分析所选择应用程序代码，找出有关代码中

9、的脆弱性。5）分析操作系统平台、数据库、网络、以及该应用程序可能调用的安 全和保密月艮务。6）对现有基础结构中的部件和过程的安全和保密性进行确认。复査客户与安全和保密政策以及相关标准的程序和过程。7） 5. 2. 3评估威胁当需要保护的资源被确定后，进一步则需确定所需保护资源存在的威胁。 1査非授权访问：如没有预先经过同意就使用网络或计算机资源被看作是非 授权访问。如：有意避开系统访问控制机制，擅自扩大权限，越权访问信息。2. 查信息泄漏：是否敏感数据在有意或无意中被泄漏出去或丢失。如：信息 在传输中或在存储介质中丢失或泄漏，通过隐蔽通道窃取机密信息等。3. 查数据完整性如非法窃得数据使用权，

10、修改或重发某些重要信息，恶意 添加、修改数据，干扰用户的正常使用。4. 查拒绝服务攻击：査潜在的对网络服务进行干扰的活动，该活动可能造成 系统响应减慢其至瘫痪，影响正常用户进入网络系统或不能得到相应的服务。5. 2.4列举降低风险的对策为保护公司网络资源，采取怎样的控制措施，应根据损失的风险概率、控 制的费用、控制后的变化率以及公司在安全防护上所能投入的财力确定。降低风险的对策主要从三个方面考虑：严格的安全管理、运用先进的安全 技术、一套威严的管理制度和标准。1.风险对策举例：采用一些复合安全技术，如防火墙，单点登录方案，中央安全管理方案以 及公共秘钥等。每周进行策略顺应性测试一-检査与方针相

11、符的网络服务是否可用，寻找 一般的网络漏洞并检查提供互连网连接的域名系统（DNS）的内容。侮月进行脆弱性测试一用一切方法搜寻所有已知的漏洞和未被授权的 服务，使用各种专门的安全工具来模仿黑客的攻击方法。在进行每周和每月测试的同时，选购一些强有力的补充监控服务，以显著 减少处理互连网不速之客侵入的响应时间。对恶意活动进行24x7x365的监视。2).1）在网络和主服务器中配置、布置监视测试仪。使用工业上领先的入 侵侦察软件，扩大安全策略，防止安全侵犯。进行调查和警当有怀疑的活动发生时，培训专业的安全管理人员， 告，有效的事故处理，及时的安全预警和协调。3）在关键业务服务器上建立入侵侦察软件，分析运行记录和系统文件, 侦察安全侵犯或滥用。4）与安全事故反应机构建立联系，以便尽快得到&好的安全服务。5）建立拒绝服务告警系统，对拒绝服务攻击、潜在的入侵和类似问题 作出快速反响，同时，检査配置和系统管理，防止可能导致的信息泄露和拒绝服 务。5. 2. 5损失评估在通过分析资源存在的威胁和隐患并确定出其安全等级后，根据公司对安 全要求的侧虫点，列出相应的损失及代价。在釆取控制描施之询，预估可能发生 的损失及可能发生损失的概率，