集团化企业信息化风险评估方案

1、. 集团平安评价效力工程方案：.； *公司集团风险评价效力工程方案&科技2021年12月25日目 录 TOC o 1-8 h z u HYPERLINK l _Toc375730959 第1章.工程需求分析 PAGEREF _Toc375730959 h 5 HYPERLINK l _Toc375730960 1.1.行业信息化背景 PAGEREF _Toc375730960 h 5 HYPERLINK l _Toc375730961 1.2.工程背景 PAGEREF _Toc375730961 h 5 HYPERLINK l _Toc375730962 1.3.平安风险与需求分析 PAGER

2、EF _Toc375730962 h 6 HYPERLINK l _Toc375730963 第2章.整体方案设计 PAGEREF _Toc375730963 h 7 HYPERLINK l _Toc375730964 2.1.设计目的 PAGEREF _Toc375730964 h 7 HYPERLINK l _Toc375730965 2.2.设计原那么 PAGEREF _Toc375730965 h 7 HYPERLINK l _Toc375730966 2.3.工程范围 PAGEREF _Toc375730966 h 8 HYPERLINK l _Toc375730967 2.4.参考

3、规范及资料 PAGEREF _Toc375730967 h 10 HYPERLINK l _Toc375730968 2.4.1.国家信息平安规范、指南 PAGEREF _Toc375730968 h 10 HYPERLINK l _Toc375730969 2.4.2.国际信息平安规范 PAGEREF _Toc375730969 h 11 HYPERLINK l _Toc375730970 第3章.详细方案设计 PAGEREF _Toc375730970 h 11 HYPERLINK l _Toc375730971 3.1.平安建立目的 PAGEREF _Toc375730971 h 11

4、HYPERLINK l _Toc375730972 3.2.平安规划方法 PAGEREF _Toc375730972 h 12 HYPERLINK l _Toc375730973 3.3.信息平安现状评价分析 PAGEREF _Toc375730973 h 14 HYPERLINK l _Toc375730974 3.4.制定*公司信息平安战略和总体战略 PAGEREF _Toc375730974 h 15 HYPERLINK l _Toc375730975 3.5.设计*公司信息平安总体架构 PAGEREF _Toc375730975 h 15 HYPERLINK l _Toc3757309

5、76 设计*公司信息平安管理体系架构 PAGEREF _Toc375730976 h 15 HYPERLINK l _Toc375730977 设计*公司信息平安技术体系架构 PAGEREF _Toc375730977 h 16 HYPERLINK l _Toc375730978 制定*公司信息平安建立实施方案 PAGEREF _Toc375730978 h 16 HYPERLINK l _Toc375730979 3.6.平安效力体系框架 PAGEREF _Toc375730979 h 17 HYPERLINK l _Toc375730980 3.7.风险评价效力设计 PAGEREF _To

6、c375730980 h 19 HYPERLINK l _Toc375730981 3.7.1.风险评价效力原那么 PAGEREF _Toc375730981 h 19 HYPERLINK l _Toc375730982 3.7.2.评价范围及内容 PAGEREF _Toc375730982 h 20 HYPERLINK l _Toc375730983 .信息系统的平安性评价 PAGEREF _Toc375730983 h 20 HYPERLINK l _Toc375730984 .信息系统的业务运用平安评价项 PAGEREF _Toc375730984 h 21

7、HYPERLINK l _Toc375730985 .平安管理制度及战略评价项 PAGEREF _Toc375730985 h 22 HYPERLINK l _Toc375730986 3.7.3.评价方式 PAGEREF _Toc375730986 h 22 HYPERLINK l _Toc375730987 3.7.4.评价技术手段 PAGEREF _Toc375730987 h 23 HYPERLINK l _Toc375730988 .专家分析 PAGEREF _Toc375730988 h 23 HYPERLINK l _Toc375730989 3.7.

8、4.2.工具扫描 PAGEREF _Toc375730989 h 23 HYPERLINK l _Toc375730990 .人工评价 PAGEREF _Toc375730990 h 24 HYPERLINK l _Toc375730991 .浸透测试 PAGEREF _Toc375730991 h 25 HYPERLINK l _Toc375730992 3.7.5.风险评价实施 PAGEREF _Toc375730992 h 26 HYPERLINK l _Toc375730993 .效力实施流程 PAGEREF _Toc375730993 h 2

9、6 HYPERLINK l _Toc375730994 .阶段一：预备阶段 PAGEREF _Toc375730994 h 26 HYPERLINK l _Toc375730995 .1.工程组织 PAGEREF _Toc375730995 h 26 HYPERLINK l _Toc375730996 .2.工程预备 PAGEREF _Toc375730996 h 28 HYPERLINK l _Toc375730997 .3.工程启动 PAGEREF _Toc375730997 h 30 HYPERLINK l _Toc37573099

10、8 .阶段二：识别阶段 PAGEREF _Toc375730998 h 30 HYPERLINK l _Toc375730999 .1.资产识别与梳理 PAGEREF _Toc375730999 h 30 HYPERLINK l _Toc375731000 .2.要挟识别 PAGEREF _Toc375731000 h 33 HYPERLINK l _Toc375731001 .3.脆弱性识别 PAGEREF _Toc375731001 h 36 HYPERLINK l _Toc375731002 .4.技术脆弱性识别 PA

11、GEREF _Toc375731002 h 37 HYPERLINK l _Toc375731003 .5.平安管理脆弱性识别 PAGEREF _Toc375731003 h 41 HYPERLINK l _Toc375731004 系统建立管理 PAGEREF _Toc375731004 h 43 HYPERLINK l _Toc375731005 .6.平安措施识别 PAGEREF _Toc375731005 h 46 HYPERLINK l _Toc375731006 .阶段三：分析阶段 PAGEREF _Toc375731006 h 48 HY

12、PERLINK l _Toc375731007 .1.资产分析 PAGEREF _Toc375731007 h 48 HYPERLINK l _Toc375731008 .2.要挟分析 PAGEREF _Toc375731008 h 50 HYPERLINK l _Toc375731009 .3.脆弱性分析 PAGEREF _Toc375731009 h 52 HYPERLINK l _Toc375731010 .4.综合风险分析 PAGEREF _Toc375731010 h 54 HYPERLINK l _Toc375731011 3

13、..阶段四：风险处置阶段 PAGEREF _Toc375731011 h 56 HYPERLINK l _Toc375731012 3.7.6.最终交付物 PAGEREF _Toc375731012 h 58 HYPERLINK l _Toc375731016 第4章.工程管理及人员组织 PAGEREF _Toc375731016 h 58 HYPERLINK l _Toc375731017 4.1.工程效力承诺 PAGEREF _Toc375731017 h 58 HYPERLINK l _Toc375731018 4.2.工程管理方法论 PAGEREF _Toc3757310

14、18 h 59 HYPERLINK l _Toc375731019 4.3.实施人员组织 PAGEREF _Toc375731019 h 61 HYPERLINK l _Toc375731020 4.3.1.工程组织架构 PAGEREF _Toc375731020 h 61 HYPERLINK l _Toc375731021 4.3.2.组织架构阐明 PAGEREF _Toc375731021 h 61 HYPERLINK l _Toc375731022 .工程经理 PAGEREF _Toc375731022 h 61 HYPERLINK l _Toc375731023 4.3.

15、2.2.质量监视组 PAGEREF _Toc375731023 h 62 HYPERLINK l _Toc375731024 .客户经理/客户配合人员 PAGEREF _Toc375731024 h 62 HYPERLINK l _Toc375731025 .工程实施组 PAGEREF _Toc375731025 h 63 HYPERLINK l _Toc375731026 4.4.人员配置 PAGEREF _Toc375731026 h 64 HYPERLINK l _Toc375731027 4.4.1.工程经理 PAGEREF _Toc375731027 h

16、64 HYPERLINK l _Toc375731028 4.4.2.风险评价效力组 PAGEREF _Toc375731028 h 64 HYPERLINK l _Toc375731029 4.5.人员简历 PAGEREF _Toc375731029 h 64 HYPERLINK l _Toc375731030 4.6.人员资质 PAGEREF _Toc375731030 h 68 HYPERLINK l _Toc375731031 4.6.1.CISP证书人员(3人) PAGEREF _Toc375731031 h 68 HYPERLINK l _Toc375731032 4.6.2.CI

17、SP人员社保证明 PAGEREF _Toc375731032 h 69 HYPERLINK l _Toc375731033 4.7.人员稳定性和平安性承诺 PAGEREF _Toc375731033 h 71 HYPERLINK l _Toc375731034 4.8.效力运用设备/工具清单 PAGEREF _Toc375731034 h 72 HYPERLINK l _Toc375731035 第5章.工程验收方案 PAGEREF _Toc375731035 h 72 HYPERLINK l _Toc375731036 5.1.工程验收 PAGEREF _Toc375731036 h 72

18、HYPERLINK l _Toc375731037 5.1.1.验收方式 PAGEREF _Toc375731037 h 72 HYPERLINK l _Toc375731038 .验收方法确认 PAGEREF _Toc375731038 h 73 HYPERLINK l _Toc375731039 .验收方法确实认程序 PAGEREF _Toc375731039 h 73 HYPERLINK l _Toc375731040 .审视普通性原那么 PAGEREF _Toc375731040 h 74 HYPERLINK l _Toc375731041 5

19、.2.风险躲避措施 PAGEREF _Toc375731041 h 75 HYPERLINK l _Toc375731042 5.2.1.工程严密任务 PAGEREF _Toc375731042 h 75 HYPERLINK l _Toc375731043 5.2.2.平安评价风险躲避措施 PAGEREF _Toc375731043 h 75 HYPERLINK l _Toc375731044 .系统备份与恢复措施 PAGEREF _Toc375731044 h 75 HYPERLINK l _Toc375731045 .风险应对措施 PAGEREF _Toc375

20、731045 h 76 HYPERLINK l _Toc375731046 5.2.3.浸透测试风险躲避措施 PAGEREF _Toc375731046 h 76 HYPERLINK l _Toc375731047 第6章.公司引见及效力资质 PAGEREF _Toc375731047 h 76 HYPERLINK l _Toc375731048 单位简介 PAGEREF _Toc375731048 h 76 HYPERLINK l _Toc375731049 信息平安风险评价效力资质 PAGEREF _Toc375731049 h 84 HYPERLINK l _Toc375731050 国

21、家信息平安测评信息平安效力资质证书平安工程类二级 PAGEREF _Toc375731050 h 85 HYPERLINK l _Toc375731051 国家信息平安测评信息平安效力资质证书平安开发类一级 PAGEREF _Toc375731051 h 86 HYPERLINK l _Toc375731052 网络平安应急效力支撑单位证书国家级 PAGEREF _Toc375731052 h 87 HYPERLINK l _Toc375731053 信息平安应急处置效力资质证书 PAGEREF _Toc375731053 h 88 HYPERLINK l _Toc375731054 国家信息

22、平安测评授权培训机构资质证书 PAGEREF _Toc375731054 h 89 HYPERLINK l _Toc375731055 &市信息平安效力才干等级证书 PAGEREF _Toc375731055 h 90 HYPERLINK l _Toc375731056 信息平安管理体系ISO27001证书 PAGEREF _Toc375731056 h 91 HYPERLINK l _Toc375731057 质量管理体系ISO9000认证证书 PAGEREF _Toc375731057 h 92 HYPERLINK l _Toc375731058 CMMI2证书 PAGEREF _Toc3

23、75731058 h 93 HYPERLINK l _Toc375731059 涉及国家的计算机信息系统集成资质证书 PAGEREF _Toc375731059 h 94 HYPERLINK l _Toc375731060 计算机信息系统集成资质证书 PAGEREF _Toc375731060 h 96 HYPERLINK l _Toc375731061 6.1.纳税信誉等级证书 PAGEREF _Toc375731061 h 97 HYPERLINK l _Toc375731062 6.2.银行信誉等级证书 PAGEREF _Toc375731062 h 98 HYPERLINK l _To

24、c375731063 第7章.工程实施方案 PAGEREF _Toc375731063 h 98 HYPERLINK l _Toc375731064 第8章.工程报价 PAGEREF _Toc375731064 h 100工程需求分析行业信息化背景近年来，我国卫生信息化建立步伐加快，按照卫生部制定的规范和规范，以医药企业管理为重点的医药信息化建立获得重要进展；以提高公共卫生效力才干和卫生应急管理程度为主要目的的信息化建立获得长足提高。但长期以来，卫生信息化建立缺乏顶层设计与规划，规范和规范运用滞后，导致信息不能互联互通，信息资源共享程度较低；医药企业数据资源库建立滞后，难以顺该当前深化医药卫生

25、体制改革的需求，不能有效满足人民群众的安康保证需求。同时，卫生信息化管理和专业人才缺乏，卫生信息化对卫惹事业改革开展的技术支撑作用难以得到充分发扬。要求把卫生信息化建立作为保证医药卫生体系有效规范运转的八项措施之一，建立适用共享的医药卫生信息系统，大力推进医药卫生信息化建立，以推进公共卫生、医疗、医保、药品、财务监管信息化建立为着力点，整合资源，加强信息规范化和公共效力信息平台建立，逐渐实现一致高效、互联互通。加快推进卫生信息化建立，对于有效落实医改措施，提高医疗卫生效力质量和效率，降低医药费用，促进人人享有根本医疗卫生效力目的的实现具有重要的战略意义。工程背景*公司集团公司将信息化建立作为企

26、业战略的重要组成部分，围绕信息集成、资源共享和组织衔接式的集成化供应链管理方式的创新，以“信息化工程群为载体，全面落实供应链资源一体化整合的战略目的。重点实施了“药质量量平安追踪溯源管理系统、 以集成化供应链为特征的药事效力综合管理系统及运用示范工程、安康家园方式下的智能医护综合集成关键技术与平台工程等“两化交融工程等。经过信息化建立和技术创新，培育了企业的自主创新才干，构成自有知识产权，提升了公司的人力资源要素、设备要素、信息要素和组织要素等内生化知识存量，继续改善企业的价值发明功能，并不断提高和优化*公司和关联方之间在供应链体系上的运作效率。平安风险与需求分析对于*公司的运用系统，平安风险

27、主要表如今以下几个方面：主机系统平安风险：信息系统采用的系统与网络存在的一些平安隐患，如操作系统破绽、数据库系统不合理配置、病毒发作、网络平安控制措施缺陷、系统可用性缺陷等，这些系统与网络的风险能够极大地影响信息系统业务运转的稳定性，致使各项网站业务难以正常开展。网络架构平安风险：*公司方案将城区的信息中心和子公司的信息机房迁移到位于小行的新信息中心进展集中，小行信息中心机房的网络强壮性和平安性将影响到整个集团信息系统的平稳有效运转。总部与外部节点之前WMS系统的访问也需求思索各类平安风险，防止外部节点成为整个信息中心的平安薄弱点。信息系统运用风险：指设计与开发信息系统业务运用时，存在的运用缺

28、陷，而导致业务出现中断或者非正常业务运用操作呵斥的损失，这类风险包括：运用逻辑错误、输入输出控制缺失、验证失效、运用平安功能缺陷等。内部管理控制风险：指信息系统平安管理的根本框架、管理机制、战略方法和任务流程还不完善，一些制度战略得不到仔细执行，导致内部人员违规操作，给信息系统平安运转呵斥的风险。运维管理体系建立：运维管理体系建立涉及到整个集团的信息化平安运转、平安管理。如何建立起有效的运维管理体系不仅涉及到信息化部门，还涉及到各个和信息化相关的部门，同时也涉及到总部与分子公司的平安管理；不权包括技术方面的平安建立，也包括平安管理战略、制度文档的建立，构成一套一致的平安管理措施。整体方案设计设

29、计目的本工程的设计目的为：经过构建一套全面的风险评价体系，覆盖各类保证对象，管理和协调各类保证组织和队伍，实现平安保证任务的规范化、规范化，确保平安保证任务正常、有序、高效、协调地进展，提升*公司集团平安保证团队的信息化平安保证才干，保证*公司信息系统安康、高效运转。平安保证效力体系由评价、浸透、加固、检查、监控、呼应、保证效力以及保证对象几个部分组成，涉及制度、人、技术、对象四类要素。在本工程中，将主要针对*公司集团指定的信息系统进展评价，并着重针对公司管理制度、管理职能方面等平安管理方面的内容进展评价。管理制度是规范平安保证任务的根本保证，也是效力流程建立的根底。平安保证效力组织中的相关人

30、员遵照制度要求和规范化的效力流程，采用先进的平安保证管理手段对各类平安保证对象进展规范化的管理和监控。设计原那么&公司在效力整体方案和详细方案设计时，遵照以下一些原那么：规范性原那么评价方案的设计和详细实施都根据国内和国外的相关规范进展及实际模型。规范性原那么&信息平安效力及相关平安产品遵守严厉的质量控制，经过ISO9001-2000的质量体系认证，同时还获得了国家、行业的多个信息平安资质，可以为用户提供规范的效力。任务中的过程和文档，具有很好的规范性，可以便于工程的跟踪和控制。可控性原那么评价过程和所运用的工具具有可控性。&有着丰富的评价工程实际，承当过多项国内大规模的平安效力工程，对于工程

31、管理有丰富的阅历。工程所采用的工具都经过多次平安效力工程考验，或者是根据详细要求和组织的详细网络特点定制的，具有很好的可控性。整体性原那么平安效力从组织的实践需求出发，从业务角度进展评价，而不是局限于网络、主机等单个的平安层面，涉及到平安管理和业务运营，保证整体性和全面性。最小影响原那么平安效力任务做到充分的方案性，不对现网的运转和业务的正常提供产生显著影响，尽能够小地影响系统和网络的正常运转。严密性原那么从公司、人员、过程三个方面进展严密控制：公司双方签署严密协议，不得利用平安效力中的任何数据进展其他有损甲方利益的用途；人员严密，公司内部签署严密协议；在平安效力过程中对相关数据严厉严密；工程

32、范围本工程建立范围主要包含但不限于以下：1、运用系统平安评价：总部7个运用系统硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等；2、管理评价：总部管理职能与制度评价。详细效力范围如下表所示：序号效力称号效力范围1OA系统风险评价OA运用系统相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。2邮件系统风险评价邮件系统相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。3新、老用友运用系统评价新、老用友运用相关的硬件架构、操作系统、数据库、用户衔接方式、账号管

33、理、数据平安、中间件等平安性评价，并提出针对性平安建议。4财务系统风险评价财务系统相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。5药事ERP运用风险评价药事ERP运用系统相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。药业虚拟机ERP运用风险评价ERP运用系统相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。国药ERP奥博克风险评价远程ERP运用的平安性普通较弱，对于国药ERP系统那么需求对各个远程接入点或访问

34、点进展用户衔接方式、衔接技术、平安账号、数据严密等方面的平安评价。根底数据、数据仓库运用风险评价根底数据、数据仓库运用相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。人力资源系统风险评价人力资源系统系统相关的硬件架构、操作系统、数据库、用户衔接方式、账号管理、数据平安、中间件等平安性评价，并提出针对性平安建议。公司信息化部门管理职能和管理制度评价公司已有的平安管理战略、管理制度、角色分工、岗位职责、日常任务流程等内容的合规合理性，并提出有针对性的改良意见。 参考规范及资料本方案在编制过程中，根据和参考了国内外信息平安方面的相关规范、

35、法规、指南以及行业的相关规范规范，主要包括：国家信息平安规范、指南 HYPERLINK /stdlinfo/servlet/com.sac.sacQuery.GjbzcxDetailServlet?std_code=GB/T%2020984-2007 GB/T 209842007信息平安技术 信息平安风险评价规范GB/T 202742006 信息系统平安保证评价框架GB/T 19715.12005 信息技术信息技术平安管理指南第1部分：信息技术平安概念和模型GB/T 19715.22005 信息技术信息技术平安管理指南第2部分：管理和规划信息技术平安GB/T 1971620

36、05 信息技术信息平安管理适用规那么GB/T 183362001 信息技术平安技术信息技术平安性评价准那么电子政务信息平安等级维护实施指南(试行)国信办200525号 HYPERLINK /stdlinfo/servlet/com.sac.sacQuery.GjbzcxDetailServlet?std_code=GB/T%2020988-2007 GB/T 209882007信息系统灾难恢复规范 HYPERLINK /stdlinfo/servlet/com.sac.sacQuery.GjbzcxDetailServlet?std_code=GB/Z%

37、2020986-2007 GB/Z 209862007信息平安事件分类分级指南GB/T 22240-2021GB/T 22239-2021GB 17859-1999GB/T 20271-2006GB/T 20270-2006GB/T 20272-2006GB/T 20273-2006、GA/T 671-2006报批稿报批稿【关于印发国家规范报批稿的通知】信安字200710号国际信息平安规范ISO/IEC 27001:2005信息平安技术信息系统平安管理要求ISO/IEC 133351: 2004 信息技术 信息技术平安管理指南 第1部分：信息技术平安概念和模型ISO/IEC TR 154431

38、: 2005 信息技术平安保证框架 第一部分 概述和框架ISO/IEC TR 154432: 2005信息技术平安保证框架 第二部分 保证方法ISO/IEC WD 154433 信息技术平安保证框架 第三部分 保证方法分析ISO/IEC PDTR 19791: 2004 信息技术 平安技术 运转系统平安评价详细方案设计平安建立目的制定信息系统平安3年建立规划根据公司5年规划和IT规划，行业、公司业务开展特点编写3年信息平安建立规划。根据信息平安现状评价阶段的结果，科学地制定平安措施，有效地控制信息平安风险，保证消费运营环境的平安可靠。信息平安体系规划将选择平安技术和管理措施，来处理发现的平安问

39、题并分阶段地设计实施步骤。平安措施的选择除将符合*公司短期内信息平安管理需求之外，还要兼顾中长期业务开展的要求，注重扩展性和运用平台的延展性。结合等保要求建立信息系统平安维护体系*公司信息系统等保建立的根本思绪是：以维护信息系统为中心，严厉参考等级维护的思绪和规范，从多个层面进展建立，满足*公司信息系统在物理层面、网络层面、系统层面、运用层面和管理层面的平安需求，建成后的保证体系可以符合国家规范，可以为*公司业务的开展提供有力保证。信息平安管理体系建立应符合“突出运用、突出创新、突出处理实践问题的总体要求，有效提升企业信息平安根底管理程度，满足行业相关制度要求。同时制度体系建立可以结合国内、外

40、先进管理阅历，以等保、ISO27000、ITIL系列规范以及国际、国内最正确实际为指点，对*公司内部信息平安战略管理、信息平安体系建立、系统平安建立与管理、系统运转和信息维护等进展信息平安管理咨询，进一步理清和规范相关任务职责、目的和内容，明确开展相关任务的关键规范、管理方法以及技术手段，从而理顺信息平安各要素之间的内在关系，实现*公司信息平安管理程度的整体提升。建立日常信息平安维护和事件应急效力体系日常信息平安维护体系包括：信息系统平安风险评价和平安加固，只需经过有效的风险评价，才干开掘真正的平安需求，降低平安风险。确定信息平安基线，满足主机、网络、数据库、中间件、软件开发等方面对平安的需求

41、，对新的运用系统进展上线前的平安验收和代码审计，确保新系统不仅仅在可用性上，在平安性上也要到达平安需求，定期进展平安巡检和平安审计，进展平安分析，对信息系统进展开展应急呼应和应急演练，确保信息系统在紧急情况下可靠有效运转。平安规划方法&根据多年来为各行各业客户进展平安需求分析和信息平安建立规划的阅历，总结出一套企业使命驱动的EAEnterprise Architecture，即“企业架构或“业务体系架构分析规划方法。如以下图示，是&企业使命驱动的EA分析、规划框架图。&企业使命驱动的EA分析、规划框架&企业使命驱动的EA分析规划方法，以企业使命为驱动，分析完成企业使命所对应的IT战略、架构等，

42、从业务架构、信息架构、运用架构和技术架构四个方面，从上往下，深化分析企业的业务战略、组织构造、角色定义和重要的业务流程等，深化分析支撑企业业务的数据和信息以及对应的运用系统，深化分析支撑业务、数据、运用效力部署的根底设备包括中间件、网络、通讯等软硬件，全面透彻地分析企业IT架构在不同层面的脆弱性和所面临的各种要挟与风险，在此根底上，根据不同层面的平安防护需求和特点，为企业进展切合其实践要求的信息平安建立方案设计和规划。如下两图示，分别是&基于EA的分析方法表示图和&基于EA的分析、规划过程表示图。&基于EA的分析方法&基于EA的分析、规划过程信息平安现状评价分析平安评价的目的是全面地分析和了解

43、目前*公司在信息平安方面的现状和问题，协助 *公司相关人员，特别是企业的指点层了解和了解目前业务所面临的风险，以及未来企业开展对平安任务的需求，为*公司制定平安体系总体开展规划打下根底。以国家等级维护建立要求和国际平安规范为根据，结合*公司本身在信息平安效力方面的阅历，根据平安评价发现的问题，为*公司提供改良建议，以提升整体信息平安程度。制定*公司信息平安战略和总体战略此项任务义务是确定*公司信息平安的远景目的、信息平安建立的原那么和总体信息平安战略。总结之前所作研讨，根据风险评价和需求分析的构造，结合行业信息平安最正确实际，制定*公司信息平安规划的远景目的。制定未来35 年*公司信息平安建立

44、的开展战略。归纳总结*公司信息平安建立总体方案的设计原那么。制定总体信息平安政策，明确信息平安原那么，目的和建立思绪。与*公司信息平安管理人员和主要业务人员举行研讨会，以便就信息平安建立任务的主要原那么达成共识。设计*公司信息平安总体架构根据信息平安建立的远景目的和设计原那么，制定*公司整体信息平安体系架构，使其可以满足*公司业务开展的战略，可以有效地躲避信息平安风险。设计*公司信息平安管理体系架构信息平安管理体系架构的设计和规划将根据国家信息平安等级维护关于管理制度的内容要求和ISO27001 规范，从11 个方面规划*公司的信息平安组织，管理规范制度和日常运转机制，协助*公司平安管理制度的

45、落地和执行，确保建立完善的信息平安管理运转机制。信息平安管理体系规划将关注以下几个领域：平安组织体系框架平安战略、规范和流程体系框架日常的平安运营机制风险管理平安监控平安审计平安呼应平安认识教育用户管理设计*公司信息平安技术体系架构有效的信息平安体系架构离不开先进的平安工具和产品的支持，将根据信息平安防御，检测和呼应的需求，进展*公司信息系统的平安技术体系规划。目前*公司的平安防护技术主要依赖防火墙，缺乏纵深防御，对运用层平安缺乏检测技术、检测手段、防御措施，在信息系统中，随着攻击技术的开展和网络根底设备的日益完善，攻击理念从“技术夸耀到谋取利益，针对网络层的攻击相对减少，针对运用层的攻击越来

46、越多，从盗取用户帐号信息用户资料到窃取用户资金，获取经济利益，攻击的目的性和技术手段越来越明显。信息平安技术涉及面非常广，根据&的企业平安架构设计方法论以及&在同类企业的阅历，平安技术措施的选择和规划将会包括以下几个方面：平安区域划分边境平安防火墙、VPN、无线网关、网络设备等身份认证用户身份管理访问控制入侵检测防病毒和恶意代码加密解密平安事件搜集与分析平安审计制定*公司信息平安建立实施方案分析*公司信息平安建立现状与远景目的的差距，科学合理的制定*公司未来35 年信息平安建立工程并制定总体实施方案和投资方案。根据*公司信息平安建立的远景目的，分析与信息平安现状之间存在的详细差距。在维护*公司

47、已有投资的前提下，综合思索本钱、风险、实施对组织的影响确定分阶段实施内容。提出未来35 年*公司信息平安建立工程的详细清单。针对信息平安建立工程清单上的工程，制定*公司总体的工程实施方案。针对信息平安建立工程清单上的工程，分析工程的总体经济投入和报答前景。针对信息平安建立工程清单上的工程，分析工程的总体组织和人力资源投入需求。平安效力体系框架&平安效力体系框架图&平安效力体系框架覆盖了平安事件事前、事中、事后的整个过程，构成一个完好、循环的平安效力体系，不断地完善信息系统的平安性，并不断地提升其平安保证才干。各项平安效力覆盖了平安事件事前、事中、事后的整个过程，他们之间的关联关系如下：事前阶段

48、：事前阶段是一个防微杜渐的阶段，这个阶段效力的目的是寻觅技术和管理方面的脆弱性，检查平安制度和战略的执行情况，并根据检查、评价结果进展相应整改，减少平安事件发生的能够性，减轻平安事件发生呵斥的损失，同时也减少了事后阶段应急呼应效力的频率。事前阶段涉及的平安效力有：平安检查效力、风险评价效力、平安加固效力。这三项效力的产出物，能为事中、事后阶段效力提供根底的平安脆弱性现状、平安加固情况，便于事中、事后阶段效力任务的开展。同时，这三项效力内在也有联络，相关产出物能相互利用：平安检查效力涉及的破绽扫描、平安基线核对、浸透测试、平安战略检测、平安制度核对是风险评价效力的重要方法，是风险评价效力的重要输

49、入内容；而平安检查效力、风险评价效力，是平安加固效力的根据，没有经过平安检查、风险评价，平安加固不能够做到针对性和有效性。2事中阶段：事中阶段的中心是“监控，也就是说可以第一时间发现平安事件的发生、开展，做到动态监控，并协助事后阶段的平安效力进展要挟定位和相关分析。再严密的事前防护措施都能够有弱点，所以，事中阶段的效力非常必要，它和事前阶段效力严密联络，是构成整体效力防御体系的重要组成部分。事中阶段涉及的平安效力有：现场职守监控效力和外网网站远程监控效力。这两者的产出物是事后阶段应急呼应效力的重要根据，可以协助应急呼应效力进展要挟的定位、事件分析和事后的动态监控等。事中阶段的这两个效力，可以互

50、为补充，一个偏重现场、一个偏重远程，一方面为事件监控进展了双重保证，保证平安事件监控无差漏，另一方面现场和远程严密配合，可以起到深度监控的效果，起到更好的效果。3事后阶段：事后阶段平安效力的目的是对曾经发生、并被事中阶段监控到的平安事件进展紧急处置，抑制事件的进一步开展，并尽快处理，随后给出相应的分析及补救措施建议。事后阶段涉及的平安效力有：应急呼应效力。应急呼应的产出物会详细分析平安事件的前因后果，它是事前阶段平安效力体系完善的重要根据，对事前阶段脆弱性的查漏补缺，起到重要的作用。这样，事前、事中、事后构成一个完好、循环的平安效力体系，不断地完善信息系统的平安性，并不断地提升其平安保证才干。

51、风险评价效力设计在多年的风险评价效力中，&参照，根据本人的工程实际，建立了本人的风险评价模型，描画如下：&风险评价效力框架图在&的风险评价模型中，主要包含信息资产，弱点/脆弱性、要挟和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点被要挟利用后对资产带来的影响的严重程度，要挟的属性是要挟发生的能够性，风险的属性是风险发生的途径。风险评价效力原那么风险评价完全根据定义的流程、检查项、检查方法、计算方法和目的设计，并设置目的调整功能，支持用户按照实践行业和业务情况针对检查项、目的、阈值等进展自定义，提供单位内部的风险分析功能。风险评价方法还将服从*公司系统风险评价任务

52、的相关要求，评价方案、评价方法经用户方赞同后，方才执行。评价范围及内容信息系统的平安性评价系统平安性评价项主要评价信息系统的根底IT系统的平安性，突出对数据通讯平安、操作系统和运用系统平安的评价，包括能否采用了适宜的加密技术、合理设计和配置了效力器和防火墙，内部运作系统和数据库能否平安等，以及能否制定了控制和管理修正信息系统的制度和控制程序，并能保证各种修正得到及时测试和审核。详细评价内容如下表所示：评价项评价内容物理平安对信息系统相关的机房、环境等进展评价，重点评价物理环境的平安维护、业务延续性保证设备与设备、物理访问的管理制度以及相关执行情况。主机操作系统平安对信息系统的主机操作系统的平安

53、性进展评价，重点评价系统的冗余备份、用户与权限管理、补丁安装、效力与平安配置情况，对重要效力器与相关的网络设备实施平安检查两周一次；在检查效力过程中提供平安检测效力，加强的内容为：破绽扫描、平安战略定制、系统加固。密钥管理对信息系统的密码技术进展评价，重点评价加密算法体制的平安性、对密钥的生成、存储、维护、备份、恢复、分配、装入、运用、改换、销毁、删除、归档和终止等过程的平安管理信息认证与严密对信息系统的认证与严密进展评价，重点评价认证技术与手段、防钓鱼措施、数字签名与验证抗抵赖、实体身份鉴别技术、数据完好性验证，防止篡改和伪造数据等入侵监测机制和报告反响机制对信息系统在入侵监测机制和报告反响

54、机制进展评价，重点评价入侵监测措施、入侵监测战略制定与管理规范的有效性、入侵监测日志分析与报告、对可疑事件或恶意事件的反响机制等信息系统平安评价项及评价内容信息系统的业务运用平安评价项运用平安性评价项主要评价信息系统的业务运用的平安性，评价设计与开发信息系统业务运用的平安管理控制，运用的编码平安性、根本业务逻辑控制以及运用的平安功能、平安配置等。详细评价内容如下表所示：评价项评价内容运用平安规范信息系统的设计与开发、测试与验收、运转与维护的运用生命周期管理过程中的运用平安规范战略以及执行情况运用编码平安性对信息系统的运用开发编码的平安性进展评价，包括输入输出控制、跨站脚本破绽、注入缺陷、错误处

55、置等。根本信息流逻辑的平安控制对信息系统的根本信息流逻辑的平安控制进展评价，包括各端与信息系统访问过程中的用户身份认证、会话管理业务系统之间的查询、帐号管理等业务逻辑过程的关键平安控制措施运用的平安功能对信息系统运用的平安功能进展评价，包括用户标识与鉴别、错误冻结、各端口信息平安存储、防刷新、多重会话限制、密码平安控件、抗抵赖、剩余信息维护、时间戳、敏感信息加密、平安审计等平安功能运用的平安配置对信息系统的WEB、数据库、中间件等运用的平安配置进展评价检查平安管理制度及战略评价项平安管理战略评价项主要评价有关信息系统的平安战略、规章制度和程序能否存在，这些制度能否得到贯彻执行，能否及时更新，能

56、否能全面覆盖信息系统，详细评价内容如下表所示：评价项评价内容平安战略信息系统在设计与开发、测试与验收、运转与维护、备份与应急、信息平安等方面战略的制定与执行情况。内控制度建立平安和风险管理体系职责、平安监控制度、内部审计制度等的建立与运转情况风险管理情况信息系统平安风险管理政策、职责、规章制度，管理人员配备与培训，风险管理的规章制度与操作规定、程序等的执行情况，业务外包管理制度建立与管理情况，信息系统的主要风险及管理情况系统运转延续性方案保证系统延续运营的设备和系统才干，以及保证系统延续运营的制度安排和执行情况系统运转应急方案信息系统应急制度建立与执行情况，信息系统应急设备设备配备情况，定期、

57、继续性检测与演练情况，以及应对不测事故或外部攻击的才干评价方式&将安排平安工程师到*公司公司现场开展信息平安风险评价效力。由于*公司公司的被评价系统能够未一致集中在一处，所以&将酌情分配人员到现场进展评价。评价技术手段专家分析对于已有的平安管理制度和战略，由阅历丰富的平安专家进展管理方面的风险分析，结合*公司信息系统平安建立现状，指出当前平安规划和平安管理制度存在的缺乏，并给出平安建议。为了更加深化地了解系统的平安情况，需求从整体和业务上，采用&根据多年从事平安顾问的阅历总结的平安评价检测方法，针对*公司信息系统的体系架构和流程进展多角度、客观、全面和准确的分析，得到系统现有平安情况和能够存在

58、的平安风险。工具扫描采用成熟的扫描工具，对于网络中的效力器、数据库系统，WEB运用系统等进展扫描评价；为了充分了解本工程中各业务系统当前的网络平安现状及其平安要挟，因此需求利用基于各种评价侧面的评价工具对评价对象进展扫描评价，对象包括各类主机系统、网络设备等，扫描评价的结果将作为整个评价内容的一个重要参考根据。工具检测评价的原理：扫描评价主要是根据已有的平安破绽知识库，模拟黑客的攻击方法，检测网络协议、网络效力、网络设备、运用系统等各种信息资产所存在的平安隐患和破绽。网络扫描主要依托带有平安破绽知识库的网络平安扫描工具对信息资产进展基于网络层面平安扫描，其特点是能对被评价目的进展覆盖面广泛的平

59、安破绽查找，并且评价环境与被评价对象在线运转的环境完全一致，能较真实地反映主机系统、网络设备、运用系统所存在的网络平安问题和面临的网络平安要挟。扫描评价的必要性：利用平安扫描评价工具扫描网络中的中心效力器及重要的网络设备，包括效力器、交换机、防火墙等，以对网络设备进展平安破绽检测和分析，对识别出的能被入侵者利用来非法进入网络或者非法获取信息资产的破绽，提示平安管理员，及时完善平安战略，降低平安风险。现代操作系统，运用系统，网络设备代码数量宏大，由成百上千工程师的共同设计编制，很难防止产生平安破绽。随着及计算机技术的开展，这些系统的功能越来越强大，但配置越来越复杂。面对横跨多种平台、不同版本、不

60、同种类的操作系统和运用系统，系统管理员显得力不从心，经常会呵斥配置上失误，产生平安问题。系统平安破绽涉及口令设置、文件权限、账户管理、组管理、系统配置等。基于主机和网络的风险评价技术，主要检查系统本身固有的平安破绽和系统文件的不平安配置，数据的授权，认证和完好性，并指示用户如何修补破绽以使系统平安风险降到最小，也就添加了整个网络系统的平安性。制定确切的检测评价方案保证：为将扫描评价对信息系统的影响减低到最小，并获得较好的评价效果，在检测之前制定符合实践需求的检测评价方案显得非常重要，方案将从工具选择、评价对象选择、评价时间、评价人员、报告数据方式、系统备份和风险躲避和应对等方面来保证扫描评价的