公司风险评估标准概

风险评估标准1.0目的建立风险评估标准的目的在于为IT平安解决方案提供依据和参考。2.0适用范围适用于公司所有IT平安的风险分析和评估。3.0参考1.?Informationtechnology-Securitytechniques--EvaluationcriteriaITsecurity?ISO/IEC15408-32.?计算机信息系统平安保护等级划分准那么?GB17859-19994.0定义保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程,不为其所用完整性(integrity):信息系统中的数据与在原文档中的相同，未遭受偶然或恶意修改/破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏或修改的性质可用性(Availability):被授权实体所需的资源可被访问与使用，即攻击者不能占用相关资源而阻碍授权者的工作抗抵赖性(repudiation):防止在通信中涉及到的那些实体不成认参加了该通信可审查性：有依据、有手段地对出现的信息平安问题提供跟踪和调查5.0内容5.1平安风险评估的根本步骤确定需保护的资源，找出该资源的平安弱点和可能有的平安威胁，得出平安风险等级。然后列举可采取的降低风险的对策，直至风险减小至平安需求允许的范围。以下图显示了风险评估中的各要素和工作步骤的关系：5.1.1明确需平安保护资源5.1.2评估脆弱性，包括：1.场所平安2.平安流程3.系统平安4.网络平安5.应用平安5.1.3评估威胁5.1.4列举平安对策5.1.5损失评估5.1.6确定风险等级5.2细那么5.2.1明确需平安保护资源1.网络设备：交换机、路由器、HUB、网络布线等2.计算机设备：个人计算机、便携机、网络效劳器、文件效劳器、工作站等3.存储介质；软盘、硬盘、磁带、光盘、MO等4.软件：操作系统、数据库、工具软件、办公平台软件、开发用软件等5.网上应用系统：EMail系统、InternetProxy效劳、Notes系统、MRPII、SAP、HR、WWW、FTP等6.网络效劳：DNS、DHCP、WINS、网络路由效劳等7.数据资料：电子文档、数据库等5.2.2评估脆弱性使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系统的平安进行评估和审查〔从技术和管理两方面〕，找出存在的平安隐患。1.场所平安评估1)对公司场所平安评估，信息平安监控须包含硬件监控。2)对公司信息平安部平安措施及相关文件评估，包括：场所平安、存储介质平安、硬件平安、紧急事故处理和信息保护等。3)分析公司平安标准并与业界最正确实践标准进行比较。4)总结平安措施优缺点及措施实用性。2.平安流程评估1)评估公司的平安管理流程的效率及效用，评估查平安信息保障系统是否真正保护了至关重要的业务信息，评估管理流程和平安技术是否同时在各方面发挥作用。2)针对已有的信息平安标准或规那么，通过相关平安接口人员了解情况，审查各监控环节以确认该环节能够履行监控职责。3)对各环节中所使用的IT平安监控系统评估：平安决策，组织结构，硬件监控，资产评估及控制，系统平安监控，网络和计算机管理，业务连续性，应用程序开展和维护，以及服从性。4)与业界相比对，对所收集到的信息进行分析。5)总结系统优势及弱势，推荐改进方法，以完善平安系统，降低风险。3.系统平安评估1)评估公司一系列全面办公解决方案、数据库效劳器、文件和打印效劳器、应用程序效劳器，找出系统弱点。2)找出公司主要系统平台〔如：UNIX,Windows/NT〕和一些捆绑销售的组件〔如：MicrosoftExchange,LotusNotes,COBRA,Tivoli〕的弱点所在。3)从技术和管理两方面进行评估：a.技术审查对每一个组件的机制进行真实性、可靠性、可审查性、保密性、适用性检验，并根据公司书面文件对其进行核查及预警。b.管理审查包括听取管理员意见，对该组件相关的书面文件、标准和措施进行审查。这将保证公司能够发现来自于公司内部或外部的能越过平安监控的潜在威胁。5)对系统软件和组件的配置文件是否能让授权用户正常登录进行审查，同时阻止和发现非授权用户的登录企图。6)对平安管理监控作以下方面的综合审查：方案、组织、人事、资产分类和监控、硬件监控、资产监控、网络及计算机管理、业务连续性、系统开展和维护、适用性等。4.网络平安评估1)对公司网络平台的平安设计情况〔路由器、防火墙、网络效劳器、应用程序效劳器等〕进行审查，以确定是否有些功能会存在平安问题。将不受信任的、外部的网络与内部的、受信任的网络和系统隔离开来。2)(根据情况需要〕模拟入侵者的攻击，必须以可控制的平安的方式进行。模拟三个方面非法进入内部网络：低水平的单个黑客，有一定能力的黑客小分队，有高度动机的专家黑客队伍。3)检查系统的配置和管理以及可能在将来引起新的平安问题的因素。评估内容可以根据需要裁剪，包括系统平台、网络连接、软件和数据库。4)在技术和管理层面综合性地检查网络方案。技术检查包括多方面的入侵测试和配置分析，全面了解网络解决方案的长处和缺乏。管理检查包括访问管理者和检查平安文件。5.应用平安评估1)全面评估应用程序的：体系结构、设计及功能；开发和维护过程；运行过程及包括运行平台在内的技术组件；使用的网络效劳及数据库或使用的运行平台效劳。2)对应用所采用的过程和技术进行审核，以保证主应用程序的平安性和保密性要求。对应用程序新的平安代码和支持根底结构的效劳进行审核，检查影响生产环境完整性的一般错误。3)复查应用程序平安和保密的要求、体系结构标准、功能标准和测试方案。4)分析所选择应用程序代码，找出有关代码中的脆弱性。5)分析操作系统平台、数据库、网络、以及该应用程序可能调用的平安和保密效劳。6)对现有根底结构中的部件和过程的平安和保密性进行确认。7)复查客户与平安和保密政策以及相关标准的程序和过程。5.2.3评估威胁当需要保护的资源被确定后，进一步那么需确定所需保护资源存在的威胁。1.查非授权访问：如没有预先经过同意就使用网络或计算机资源被看作是非授权访问。如：有意避开系统访问控制机制，擅自扩大权限，越权访问信息。2.查信息泄漏：是否敏感数据在有意或无意中被泄漏出去或丧失。如：信息在传输中或在存储介质中丧失或泄漏，通过隐蔽通道窃取机密信息等。3.查数据完整性：如非法窃得数据使用权，修改或重发某些重要信息，恶意添加、修改数据，干扰用户的正常使用。4.查拒绝效劳攻击：查潜在的对网络效劳进行干扰的活动，该活动可能造成系统响应减慢甚至瘫痪，影响正常用户进入网络系统或不能得到相应的效劳。5.2.4列举降低风险的对策为保护公司网络资源，采取怎样的控制措施，应根据损失的风险概率、控制的费用、控制后的变化率以及公司在平安防护上所能投入的财力确定。降低风险的对策主要从三个方面考虑：严格的平安管理、运用先进的平安技术、一套威严的管理制度和标准。风险对策举例：采用一些复合平安技术，如防火墙，单点登录方案，中央平安管理方案以及公共秘钥等。每周进行策略顺应性测试----检查与方针相符的网络效劳是否可用，寻找一般的网络漏洞并检查提供互连网连接的域名系统〔DNS〕的内容。每月进行脆弱性测试----用一切方法搜寻所有的漏洞和未被授权的效劳，使用各种专门的平安工具来模仿黑客的攻击方法。在进行每周和每月测试的同时，选购一些强有力的补充监控效劳，以显著减少处理互连网不速之客侵入的响应时间。对恶意活动进行24x7x365的监视。1)在网络和主效劳器中配置、布置监视测试仪。使用工业上领先的入侵侦察软件，扩大平安策略，防止平安侵犯。2)培训专业的平安管理人员，当有疑心的活动发生时，进行调查和警告，有效的事故处理，及时的平安预警和协调。3)在关键业务效劳器上建立入侵侦察软件，分析运行记录和系统文件，侦察平安侵犯或滥用。4)与平安事故反响机构建立联系，以便尽快得到良好的平安效劳。5)建立拒绝效劳告警系统，对拒绝效劳攻击、潜在的入侵和类似问题作出快速反响，同时，检查配置和系统管理，防止可能导致的信息泄露和拒绝效劳。5.2.5损失评估在通过分析资源存在的威胁和隐患并确定出其平安等级后，根据公司对平安要求的侧重点，列出相应的损失及代价。在采取控制措施之前，预估可能发生的损失及可能发生损失的概率，预估通过采取控制措施和投入本钱后的收益。要确定资源的可能损失，需运用定期总结、抽样统计等方法，也可根据一些经验值和问卷调查的结果来定。5.