网络科技有限公司智行系统信息安全风险评估项目评估方案

网络科技有限公司智行系统

信息安全风险评估项目评估方案

目录

一、项目概述........................................................4

1.1项目背景......................................................4

1.2项目目标......................................................4

1.3术语..........................................................4

1.4项目实施参考标准..............................................5

二、项目评估总体目标、要求和原则....................................6

2.1项目评估总体目标..............................................6

2.2项目评估总体要求..............................................6

2.3项目评估原则..................................................6

2.3.1^U♦••••••••••••••••••••••••••••••••••••••••••••••0

2.3.2最小影响原则...............................................7

2.3.3规范性原则................................................7

2.3.4标准化原则.................................................7

2.3.5完整性原则.................................................7

2•3•6.贝U♦••••••••••••••••••••••••••••••••••••••••••••••7

2.3.7结合实际，注重实效.........................................8

三、项目管理........................................................9

3.1项目管理目标..................................................9

3.2项目风险管理..................................................9

3.3项目沟通管理.................................................10

3.4项目变更管理.................................................12

3.4.1目的说明..................................................12

3.4.2变更控制的方法............................................12

3.4.3变更控制涉及的表格........................................13

3.5项目质量管理..................................................13

3.5.1评审和验证................................................13

3.5.2工程实施...................................................13

3.5.3文件管理..................................................14

3.6项目进度管理..................................................14

3.7参与人员与角色职责...........................................15

四、信息系统风险评估...............................................16

4.1.项目评估准备工作............................................16

4.L1项目评估准备工作实施和确认................................16

4.1.2项目评估前提条件..........................................16

4.2.资产识别与分析..............................................17

4.2.1业务应用识别与分析........................................17

4.2.2资产识别..................................................18

4.3.脆弱性识别与分析............................................20

4.3.1脆弱性扫描介绍............................................20

4.3.2脆弱性扫描流程............................................20

4.3.3脆弱性扫描与检测..........................................21

4.4.威胁识别与分析...............................................23

4.5.已有安全措施确认............................................24

4.5.1安全功能评估..............................................24

4.5.2安全保证评估..............................................25

4.5.3物理安全评估..............................................27

4.6.关键区域的渗透性测试........................................28

4.6.1渗透测试介绍...............................................28

4.6.2渗透测试实施保障..........................................28

4.6.3渗透测试实施...............................................29

4.7.安全风险分析.................................................30

4.8.安全整改加固方案和残余风险评估..............................31

五、评估方法与工具.................................................33

5.1采用的检测方法..............................................33

1项目概述

1.1项目背景

随着信息技术的不断发展，信息技术己经作为二十一世纪的重要科技技术被

越来越多的领域和行业广泛利用，在大力发展信息产业的同时，信息安全已成为

信息系统面临的巨大威胁和隐患，在信息系统的生命周期中，信息安全都将作为

一项重要指标进行重点关注。随着网约车（以下简称“网约车”）信息产业的发

展，生产经营管理对信息系统的依赖性越来越强，信息安全事件的影响范围随之

扩大，为了使重要信息系统具备相应级别的安全防护水平，下一步需要依据《GBT

20984-2007信息安全技术信息安全风险评估规范》等国家标准，在全面了解网

约车行业信息化现况的基础上，开展信息安全审计与风险评估工作，同时完善信

息系统安全管理制度，提升信息系统安全管理水平。

1.2项目目标

根据《GBT20984-2007信息安全技术信息安全风险评估规范》等标准的要

求，通过在出行（）网络科技有限公司智行系统开展信息安全审计与风险评估工

作，对信息系统进行技术和管理体系的分析、规划，出具有针对性的安全加固整

改方案，在保障出行O网络科技有限公司智行系统的业务连续性的基础上，有

针对性的进行整改加固，并完成风险评估工作。

1.3术语

用户和评估方

为行文简便，本文称出行o网络科技有限公司为用户，其智行系统为待评

估系统。

为出行()网络科技有限公司智行系统提供信息安全审计与风险评估的单位

称为评估方。

1.4项目实施参考标准

＞《GB/T20984-2007信息安全技术信息安全风险评估规范》

其它参考标准：

＞《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发

[2003]27号）

＞《计算机信息系统安全保护等级划分准则》(GB17859-1999)

＞《信息安全技术信息系统通用安全技术要求》(GB/T20271-2006)

＞《信息安全技术网络基础安全技术要求》(GB/T20270-2006)

＞《信息安全技术操作系统安全技术要求》(GB/T20272-2006)

＞《信息安全技术数据库管理系统安全技术要求》(GB/T20273-2006)

＞《信息安全技术服务器技术要求》(GB/T21028-2007)

＞《信息安全技术终端计算机系统安全等级技术要求》(GA/T671-2D06)

＞《信息安全技术信息系统安全管理要求》(GB/T20269-2006)

《信息安全技术信息系统安全工程管理要求》(GB/T20282-2006)

GB/T18336-2001信息技术安全技术信息技术安全性评估准则

2项目评估总体目标、要求和原则

2.1项目评估总体目标

根据国家相关和行业标准对出行（）网络科技有限公司智行系统进行信息安

全审计与风险评估工作；对系统的安全风险进行全面的分析与评估，提出有针对

性的整改与加固方案，指导并协助出行（）网络科技有限公司智行系统完成安全

整改与加固工作；为出行（）网络科技有限公司智行系统建立起规范、可靠、高

效的网络与信息安全防护体系，提高出行（）网络科技有限公司智行系统网络与

信息系统的整体安全水平、管理水平与运维水平。

2.2项目评估总体要求

评估方将严格遵守国家规定和行业的法律法规，按照服务原则要求（保密性

原则、最小影响原则、规范性原则、标准化原则、完整性原则、互动性原则、

把握重点、分清主次原则、结合实际、注重实效原则）进行有序的风险评估工作。

评估方在实施方案的制定及项目的实施过程中，要把握项目的总体目标，遵

循项目的总体原则。合理分配资源，科学安排进度，充分调动参与各方的积极性,

使评估项目开展的有序高效。

2.3项目评估原则

2.3.1保密性原则

评估单位与用户签订保密协议，风险评估工作人员要与用户签订个人保密协

议，在进行信息安全风险评估的过程中，严格遵循保密原则，评估过程中要采取

严格的管理措施，确保所涉及到的任何用户保密信息，不会泄露给第三方单位或

个人，不得利用这些信息损害用户利益。

2.3.2最小影响原则

评估项目要求从项目管理和技术应用的层面，在风险评估工作实施过程对我

局现有信息系统和网络的正常运行所可能的影响降到最低程度；要求制定风险评

估过程中的风险规避方案及应急措施。

2.3.3规范性原则

要求评估单位在充分总结多年开展信息系统安全风险评估实践经验的基础

上，确定规范的方案；在此次信息安全风险评估任务执行过程中，通过规范的项

目管理，在人员、项目实施环节、质量保障和时间进度等方面进行严格管控。

2.3.4标准化原则

风险评估工作要求严格遵守国家和行业的相关法规、标准，并参考国际的标

准来实施。

2.3.5完整性原则

完整性原则包含以下两个层次的内容：

评估内容的完整性一一要求在风险评估工作中，综合考虑所评估信息系统的

技术措施、人员、业务及运行维护等方面，涵盖信息安全风险评估合同要求。

评估流程的完整性一一要求信息安全评估过程应遵循科学性、规范性、而谨

性原则。

2.3.6互动性原则

在进行信息安全风险评估过程中，要求必须有用户单位人员参与，双方共同

组成项目实施工作组，进行项目实施，从而保证项目执行的效果，并促进XXXX

整体安全技能和安全意识的提高。

2.3.7结合实际，注重实效

在项目实施过程中必须坚持结合实际，注重实效的原则。在方案的编制、评

估的实施、安全整改与加固等各个环节，都应立足出行（）网络科技有限公司智

行系统信息化工作现状，调查、研究、分析出行（）网络科技有限公司智行系统

网络与信息系统的建设、管理、运行中面临的实际威胁，存在的实际问题，在此

基础上提出有针对性的整改与加固方案，指导并协助出行（）网络科技有限公司

智行系统对整改与加同方案进行实施，力求通过此次评估活动，切实提高出行（）

网络科技有限公司智行系统网络与信息系统的健壮性与安全性，切实提高出行（）

网络科技有限公司智行系统网络与信息系统的整体安全水平、管理水平与运维水

平。

3项目管理

3.1项目管理目标

通过新潮多年的项目管理经验，结合出行（）网络科技有限公司智行系统的

特点，使用先进的项目管理方法，保证项目在规定进度计划内高质量的完成项目

的管理和实施。

3.2项目风险管理

风险管理计划是成功交付项目的基础。风险管理计划确保项目内每个己识别

的风险都被记录下来（预发生概率的大小排列）,方尽可能地减小不利事实发生的

可能性。从项目的目的来看•，风险可被定义为任何可能影响项目成功的不利事实。

通过以下五个关键过程，我们将风险管理引到项目中来：

风险检充表评估标准应对策略控制面板风险数据库

风险评估风险数据库风险数据库风险数据库

风险数据庠

图：风险控制图

3.3项目沟通管理

项目沟通管理包括为了确保项目信息及时适当的产生、收集、传播、保存和

最终配置所必须的过程。项目沟通管理把成功所必须的因素：人、想法和信息之

间提供了一个关键连接。涉及项目的任何人都应准备以项目“语言”发送和接收

信息并且必须理解他们以个人身份参与的沟通怎样影响整个项目。

沟通计划决定项目涉及人的信息和沟通需求：谁需要什么信息，什么时候需

要，怎样获得。

信息传播使需要的信息及时发送给项目涉及人。

执行报告收集和传播执行信息，包括状况报告、进步衡量和预测

行政总结产生、收集和传播信息以形成一个阶段或项目完成。

这些过程之间以及与其他领域的过程之间相互作用。如果项目需要，每个流

程可以由个人、多人或团体来完成。在每个项目阶段每个过程至少发生一次。虽

然在这里列举的流程是分立的阶段并具有明确定义的分界面，事实上他们互相交

织、互相作用在一起。

沟通的通用管理技术技巧跟项目沟通管理有关，但并不等同。沟通是一个更

宽广的课题，包括一些重要的知识体系，它特别适用于项目的唯一知识体系。并

不局限适用于项目的重要知识体系C

为保证项目实施过程中的信息沟通，我们主要采取以下的手段进行管理：

定期项目协调会：每周开项目协调会，主要对项目的进度、项目的质量、人

员安排等进行讨论，并对技术难点进行分析解决；同时有用户参加，解决项目中

涉及的各方面问题，包括管理、商务、用户配合等问题。

每天的项目进度例会：组织简短的项目进度例会，可以采用吃饭的时间，或

者路上，或者其他的休息时间，也可以是指定的时间（例如下班前30分钟），

项目组成员总结每天的工作，并提出计划J,分析当天遇到的技术难点，讨论解决;

讨论项目中遇到的管理问题，人员安排问题，商务问题等，由项目经理统一协调

解决。

项目进度报告：有工程师定期提交给项目经理进度和工作日志，汇报工作情

况，以及难点。项目进行中，形成定期的报告制度，内容包含如下:项目计划书、

每周联络会议纪要、项目更改纪要、项目验收报告，各个报告的具体要求如下:

沟通内容描述细节

持续时间：整个实施阶段

频度：每周

项目当前的进度情况以

反馈时间：3天

及重要的实施结果报告

项目进度报告方式：电子邮件、传真

给用户以及我们的管理

听众：客户负责人，、项目组管理人员、

人员。

建立负责人

负责人；项目经理

持续时间：项目全程

与我们项目经理讨论项

频度：每周

目当前状态，检查问题解

反馈时间：1周

项目组讨论会决情况，评估项目变更对

方式：会议室，电话会议

项目进度的影响、讨论近

听众：项目组

期项目事件。

所有者：项目经理

持续时间：项目全程

与项目组成员一起讨论

频度：根据需要

当前状态、讨论问题、评

项目组成员讨反馈时间：3天

估改变项对项目进度的

论会议方式：会议室，电话会议

影响、讨论近期项目事

听众：项目组

件。

所有者：项目经理

持续时间：项目全程

频度：不定期

项目领导委员向项目领导委员会汇报

反馈时间：1周

会会议项目当前状态。

方法：会议室

听众：项目总体协调组

沟通内容描述细节

所有者：项目经理

3.4项目变更管理

3.4.1目的说明

信息系统项目计划的变更管理也就是信息系统项目的控制过程。在项目执行

过程中，经常出现到项目的某一里程碑或报告期时，项目的进度早于或晚于计划

进度、已经发生的实际成本低于或高于计划成本，这时都需要对计划进行相应的

调整。

如果发现项目的进度计划或预算计划需要调整，则调整的重点应放在以下的

三个方面：

对近期即将发生的工作加强控制，积极挽回时间和成本；

工期估计最长或预算估计最大的工作应进一步审核预估依据，并做好压缩

该工作时间和费用的准备工作，因为估计值越大的工作越有压缩的可能；

将某些可以再分的工作进一步细分，研究细分后工作之间并行及知识复用

的可行性。

3.4.2变更控制的方法

变更控制的目的并不是控制变更的发生，而是对变更进行管理，确保变更有

序进行。

项目中引起变更的因素有两个：一是来自外部的变更要求，如要求修改工作

范围和需求等；二是实施过程内部的变更要求。比较而言，最难处理的是来自外

部的需求变更，因为口项目需求变更的概率大，引发的工作量也大（特别是到

项目的后期）。

变更控制不能仅在过程中靠流程控制，有效的方法是在事前明确定义。事前

控制的一种方法是在项目开始前明确定义，否则“变化”也无从谈起。另一种方

法是评审，特别是对需求进行评审，这往往是项目成败的关键。需求评审的目的

不仅是“确认”，更重要的是找出不正确的地方并进行修改，使其尽量接近“真

实”需求。另外，需求通过正式评审后应作为重要基线，从此之后即开始对需求

变更进行控制。

要在项目开始就市项目组和客户进行宣传和培训I,让所有成员都理解变更控

制的重要意义；在项目过程中要对变更控制的执行情况进行审计，发现违反规定

的事件要严肃处理，否则过程很快就会失效。

综上所述，变更控制的目的是管理变化。变更控制对项目成败有重要影响，

事前要明确定义，事中要严格执行。实施变更之前有四个重要控制点：授权、审

核、评估和确认；在实施过程要进行跟踪和验证，确保变更被正确执行。

3.4.3变更控制涉及的表格

《项目变更申请单》

《项目变更协议》

3.5项目质量管理

在项目执行中，我们将设置专门的质量工程师负责项目质量监督，严格按

1S09U01质量体系标准对工作质量进行把关，以保障项目实施的质量。

3.5.1评审和验证

在项目过程中，我们将对设计的内容进行评审和脸证，并形成正规化文件，

保证设计结果严格符合用户的实际需求。

3.5.2工程实施

严格按设计方案和有关规范指导实施并进行验收，施工人员必须详细阅读并

熟悉评估方案和有关资料•，遇到特殊情况需要变更评估方式，必须经XXXX同意,

并办理签字证明手续，不得擅自更改。评估前应进行质量技术交底。

3.5.3文件管理

我们将会对所有的项目文件进行有效的控制和管理，以保持质量体系运行的

正规化和规范化。这些文件包括公司部门程序文件、项目质量计划、文档、操作

规程以及工程实施当中的记录：评审记录、点检记录、调试记录、运行日志等，

还有一些国际及国家标准文件等。

3.6项目进度管理

项目的进度管理是确保项目准时完成所必需的方法。其中涉及的主要过程包

括：

活动定义，涉及确定项目团队成员和项目干系人为完成项目可交付成果而

必须完成的具体活动。一项活动和任务代表了实施过程中的一部分具体，

作，它有一个预期历时、成本和资源要求，根据以往的经验确定。

活动排序，涉及确定项目活动之间的关系，并形成响应的文档。根据不同

的项目特点以及实施的具体要求进行安排。

活动历史计算，涉及估计完成具体活动所需要的工作时段数。

制定进度计划，涉及分析活动顺序、活动历时估算和资源要求，并根据要

求制定项目进度计划。

进度计划控制，涉及控制和管理项目进度计划的变更。

项目运行包括各个阶段，在不同阶段，需要各个部门配合完成不同的工作。

任何一个环节出现问题，都会影响到后续工作的进行。所以，明确各个阶段的任

务和双方职责，会促进项目的顺利执行。根据以往经验，将此次项目的实施划分

为7个主要的阶段，项目启动阶段、准备和订货阶段、到货验收阶段、现场实施

阶段、初验阶段、试运行阶段和终验阶段。

为了更好的对xxxx信息安全风险评估服务项目实施工作，根据本项目的生

命周期和项目管理的相关方法，我们制定了详细的项目施工计划和方案用于保证

项目实施的顺利进行。

3.7参与人员与角色职责

序号姓名项目角色

1项目经理

2项目质量管理

3物理、应用安全评估实施

4主机、网络、数据安全评估实施

5安全管理评估实施

4信息系统风险评估

本次风险评估流程将主要参考《信息安全风险评估规范》（GB/T

20984-2007）,通过现场调查、现场测试、交流访谈、分析研究等方式找出出行

O网络科技有限公司智行系统信息系统存在的脆弱性、面临的威胁，以及威胁

发生的可能性、造成的影响，最终确定出行（）网络科技有限公司智行系统信息

系统面临的风险，并给出安全加固建议。

4.1.项目评估准备工作

4.1.1项目评估准备工作实施和确认

在评估实施阶段的工作开始之前，双方应细致检查准备阶段所有的工作内容

和工作结果，包括；

D确定风险评估的目标；

2）确定风险评估的范围；

3）组建适当的评估管理与实施团队；

4）进行系统调研：

5）确定评估依据和方法；

6）制定风险评估方案；

7）获得最高管理者对风险评估工作的支持。

注意核实结果的签名确认，以确保所收集和整理的信息、材料的客观性和准

确性。

4.1.2项目评估前提条件

对于因客观条件所限，无法满足的评估条件，双方应根据受测系统的实际情

况做出合理的假设，以确保安全评估工作的展开。

由安全评估专家根据评估条件核实和部件安全性分析的结果，查找无法修正

或无法从其他机构处获得相应信息的问题，随即确定需要假设的问题。

由安全评估工程师分别与网络管理员、安全管理员和应用系统分析员逐一确

认需要假设的问题，并做出合适的假设。

由安全评估专家和协调人员确认假设的合理性，并形成假设说明文档。

若有不符合的情况，需进行项目变更，包括：项目目标，项目范围的变更。

4.2.资产识别与分析

4.2.1业务应用识别与分析

业务应用调查的目标如下：

利用应用流程将安全部件贯穿起来，估算安全性对用户的价值影响；

确定信息系统中正常、合理的数据流和访问行为；

确定权限和安全需求。

了解软件结构的目标在于确定该业务应用的软件分布于哪些信息系统设备、服务器

或主机上，为最终安全判断提供证据。因为软件分布带来的安全问题包括：

权限和安全控制

软件安全漏洞和补丁

软件对环境的适应性

软件安装和运行对其他软件安装和运行的影响

工作任务和实施要求

评估方参与人员：安全评估专家和安全评估工程师。

用户参与人员：安全管理员、应用系统分析员。

评估工具：问卷调查表。

主要任务:

由安全评估工程师制定《业务应用分析实施方案》;

安全评估工程师根据《业务应用分析实施方案》的要求调查、整理用户在评估范围

内的应用系统及其应用流程，安全管理员和应用系统分析员应协助安全评估工程师完

成该项任务；

安全评估工程师利用所获取的应用流程将受测系统中的安全设备、网络设备、服

务器或主机系统等贯穿起来。以应用流程为主线，由安全评估工程师标识业务应用所

连贯的部件资产，注意业务应用与服务器或主机系统的对应关系。本步骤需要了解业

务应用的内容包括：业务使命、安全目标、业务流程（用户+信息+操作）、软件结构

和功能、访问路径等；

由安全评估专家与应用系统分析员合作，根据应用系统及其应用流程所创造的价

值大小来为部件资产赋值，并确定受测系统的重要程滨；

安全评估专家将业务应用分析结果形成《业务应用分析说明书》。

成果

双方协作，提交如下文档：

《业务应用分析实施方案》

《业务应用分析说明书》

4.2.2资产识别

根据与出行（）网络科技有限公司配合人员商定，信息系统主要设备大致情

况如卜.：

设备大类设备小类数量（台）

主机服务器11台

设备大类设备小类数量（台）

应用系统智行系统1套

注：客户系统部署于阿里云，仅租用虚拟服务器网络设备与安全设备归屈阿里云负责运维管理

工作目标

根据所获得的系统资产信息，根据安全评估的要求，做出合适的部件资产分

析，包括：

部件资产分类

部件资产赋值

资产关键设备

工作任务和实施要求

评估方参与人员：安全评估工程师。

用户参与人员：网络管理员、安全管理员、应用系统分析员以及协调人员。

评估工具：座谈和问卷调查表。

主要任务

双方协商资产分类依据和赋值方法：

资产类型属性分析计算

设备型号，IP地址，系统软件及版本，部署

网络设备

位置等

资产权重,C/I/A

属性赋值，计算资

设备类型、IP地址、软硬件情况、部署位置

安全设备

等产赋值

主机和服务设备型号，IP地址，软硬件情况，承载的业

资产类型属性分析计算

器务等

安全评估工程师在网络管理员的协助卜，利用生成受测系统网络拓扑图。

由安全评估工程师根据计算环境、区域边界、网络及其基础设施以及支撑基

础设施的信息系统区域划分方法，为部件资产分类。

由安全评估工程借助问卷调查表询问协调人员，为部件资产划分级别，并赋

予相应的级别值。协调人员应回答的内容包括资产的商业价值以及保密性、

完整性和可用性等的相对程度。若受测系统已经具备资产的安全级别划分方

法和结果，则应遵循用户的部件资产安全级别划分结果。在最终的安全评估

报告中，评估方宜对用户具备的资产级别划分方法和结果给出合适的建议。

安全评估工程师根据调查分析的结果形成资产分析说明书。

成果

双方协作，提交如下文档：《资产识别赋值结果记录》

4.3.脆弱性识别与分析

4.3.1脆弱性扫描介绍

脆弱性扫描主要是根据已有的安全漏洞知识库，模拟黑客的攻击方法，检测

网络协议、网络服务、网络设备等各种信息资产所存在的安全隐患和漏洞。扫描

的方式可以采用工具进行远程或本地的网络扫描。

利用安全扫描评估工具扫描网络中的核心服务器及重要的网络设备，包括服

务器、交换机、防火墙、数据库等，以对网络设备、服务器和数据库等进行安全

漏洞检测和分析，对识别出的能被入侵者用来非法进入网络或者非法获取信息资

产的漏洞，提醒安全管理员，及时完善安全策略，降低安全风险。

4.3.2脆弱性扫描流程

脆弱性扫描流程如下图所示。

4.3.3脆弱性扫描与检测

工作目标

对部件安全性分析部分所列出的主要部件进夕亍安全漏洞检测，确认其上所存

在的CVE漏洞及补丁情况以及安全配置情况。

参与人员和工具

评估方参与人员：项目经理和安全评估专家。

用户参与人员：安全管理员和网络管理员。

评估工具：安全漏洞扫描系统（绿盟）等，最好使用用户已有的检查工具。

主要任务：

根据预分析结果，由安全评估工程师制定《安全漏洞检测实施方案》；

在安全管理员和网络管理员的协助下，按照网络区域的划分情况与实施方案

的要求，逐次利用“安全漏洞扫描系统、入侵检测”对受测系统实施安全漏洞检

测。安全管理员和网络管理员需要提供检查工具需要的IP地址、访问设备的用

户标识和口令、演示环境，并事先做好对检测对象的备份工作，其详细的任务要

求参见《安全漏洞检测实施方案》。

测试完毕之后，由安全评估JL程师测试结果录入信息库中。录入的信息包拈

漏洞的名称、漏洞所依附的平台以及可能的安全影响等。这些录入的信息构成《安

全漏洞检测整理记录》。

评估对象

1）出行O网络科技有限公司智行系统

主机系统（操作系统与数据库）脆弱性识别与分析

网络系统（网络设备与安全设备）脆弱性识别与分析

虚拟化环境脆弱性识别与分析

IT应用（应用系统与中间件）脆弱性识别与分析

运行维护脆弱性识别与分析

开发管理脆弱性识别与分析

实施要求

脆弱性扫描过程中可能会发生对应用、系统和网络等不利的情形出现，为了

保证扫描的效果和用户网络信息系统的安全。在进行扫描实施前要完成如下工

作：

1）客户的书面授权委吒书

这体现了脆弱性扫描的合法性，表明用户同意评估方的实施方案，并旦允许

评估方按照实施方案去测试。实施方案内容应该包括实施目的、实施方法、实施

时间、实施人员、实施工具、实施步躲、实施风险和风险规避措施、用户方配合

方式和要求等信息。通过实施方案要让客户知道脆弱性扫描所有细节和风险，所

有过程都在客户的控制之下。

2）风险规避措施

为了规避对网络、系统等的风险给用户可能带来的损害，脆弱性扫描应该有相应的

规避措施：

时间选择：脆弱性扫描应该选在非业务繁忙期或是晚上，以避免给网络和系统过多

负担；

扫描策略选择：为防止网络和系统业务中断，脆弱性扫描过程中中不使用含有拒绝

服务的扫描策略

保守策略选择：对不接受任何风险的系统扫描时，可以通过checklist和安全审计的

方式杳找脆弱性；

系统监测；在渗透测试时，允许用户对整个测试流程进行全程监控，及时解

决测试过程中出现的问题。

成果

双方协作，提交如下文档：

安全漏洞检测原始结果（自动扫描工具的结果）

《安全漏洞检测整理记录》

《主机系统（操作系统与数据库）脆弱性整理记录》

《网络系统（网络设备与安全设备）脆弱性整理记录》

《虚拟化环境脆弱性脆弱性整理记录》

《1T应用（应用系统与中间件）脆弱性整理记录》

《运行维护脆弱性整理记录》

《开发管理脆弱性整理记录》

《终端安全脆弱性整理记录》

4.4.威胁识别与分析

工作目标

评估方调查、分析、总结受测系统面临的威胁状况，包括面临的主要威胁、

威胁发生的频率以及造成的影响等。

工作任务和实施要求

评估方参与人员：安全评估专家和安全评估工程师。

用户参与人员：安全管理员。

评估工具：问卷调查表。

主要任务：

双方确认威胁途径和威胁类型的属性，包括：

外部环境威胁；

内部环境威胁；

外部系统威胁；

内部系统威胁：

外部人为蓄意威胁；

内部人为蓄意威胁；

内部人为无意威胁；

其他主要威胁；

由安全评估工程师制定《安全威胁分析实施方案》；

由安全评估工程借助威胁调查表询问安全管理员，用户曾经发生的安全事件

中所面临的安全威胁，并根据威胁的描述结陶形成相应的记录；

安全评估工程师根据受测系统的网络拓扑情况，分析受测可能面临的安全威

肋，，形成相应的记录；

安全评估工程师根据所形成的记录这些《安全威胁说明书》，并提交安全评

估专家和安全管理员审核。

成果

双方协作，提交如下文档：《安全威胁分析农告》

4.5.已有安全措施确认

4.5.1安全功能评估

工作任务和实施要求

评估方参与人员：安全评估工程师。

用户参与人员：安全管理员、业务系统分析员、网络管理员。

主要任务：

由安全评估工程师制定《安全功能评估实施方案》。

安全评估专家在应用分析员的协助下，梳理和确认作为评估主线的业务应

用：

安全评估工程师在网络管理员和安全管理员的协助下，沿着业务应用方向，

完成对网络安全部件安全功能的评估，包括；

身份鉴别和访问控制

网络访问控制（如防火墙等的安全控制）

审计

安全监控（对CPU和内存等的监控等）

病毒防护情况

应急响应等

安全评估工程师在安全管理员和系统管理员的协助下，完成对操作系统、数

据库管理系统、应用软件平台安全保护功能的评估。

安全评估工程师在安全管理员和应用系统分析员的协助下，完成对应用安全

保护功能的评估。

安全评估工程师借助分析工具，生成安全功能评估的中间结果。

成果

双方协作，提交如下文档：

《各层面的安全功能评估实施方案》

《各层面的安全功能评估中间结果报告》

4.5.2安全保证评估

工作目标

本任务的主要目标是通过考察业务应用生命周期过程，以确定业务应用软件

开发的规范程度，生命周期过程包括需求确定、开发、测试、脆弱性分析、配置

管理等过程，

所需评估的安全保证要素包括：

生命周期支持

开发

测试

分发与操作

指导性文档

脆弱性分析

配置管理

工作任务和实施要求

评估方参与人员：安全评估专家和安全评估工程师。

用户参与人员：安全管理员。

主要任务：

由安全评估工程师制定《安全保证评估实施方案》。

以典型应用为例，由安全评估工程借助问卷调查表询问安全管理员，完成对

安全保证评估指标的应答，并提供相应的解释信息，形成评估记录。

由安全评估专家评估结果和评估记录，形成《安全保证评估报告》（草案）。

成果

双方协作，提交如下文档：

安全保证评估结果整理记录

《安全保证评估报告》（草案）

4.5.3物理安全评估

工作目标

对机房环境、设备、介质等进行安全评估。

工作任务和实施要求

评估方参与人员：安全评估专家和安全评估工程师。

用户参与人员：安全管理员。

评估工具：问卷调查表。

主要任务：

由安全评估工程师制定《物理安全评估实施方案》。

由安全评估工程借助问卷调查表询问安全管理员，完成对物理安全评估指标

的应答，并提供相应的解释信息，形成评估记录。对于某些技术方面的要求，需

要安全评估工程师进行现场勘察。

由安全评估专家综合评估结果和评估记录，形成《物理安全评估报告》（草

案）。

物理安全方面的管理制度（出入、清洁等）则纳入到安全管理评估的范围，

这里的评估以物理安全的技术要求为主，如防静电、防雷击等，主要关注技术的

落实情况。但需要用特定的设备测试的内容不在本评估之列，如使用工具测试静

电、电磁等的状况。

评估对象

物理环境

成果

双方协作，提交如下文档：

物理安全评估结果整理记录

《物理安全评估报告》（草案）

4.6.关键区域的渗透性测试

4.6.1渗透测试介绍

渗透测试利用网络安全扫描器、专用安全测试工和富有经验的安仝工程师

的人工经验对网络中的核心服务器及重要的网络设备、应用系统等，进行非破坏

性质的模拟黑客攻击，目的是侵入系统并获取机密信息并将入侵的过程和细节产

生报告给用户。

通过渗透测试用户可以获得如下益处:

1）协助用户发现组织中的安全最短板，协助用户有效地了解目前降低风险

的初始任务；

2）一份文档齐全有效的渗透测试报告有助于组织IT管理者以案例说明目前

安全状况，从而增强信息安全的认知程度，甚至提高组织在安全方面的预算；

3）信息安全是一个整体工程，渗透测试有助与组织中的所有成员意识到自

己的岗位同样可能提高或降低风险，有助于内部安全的提升。

4.6.2渗透测试实施保障

渗透测试过程中可能会发生对应用、系统和网络等不利的情形出现，为了保

证测试的效果和用户网络信息系统的安全。在进行测试前要做两项非常重要的工

作：

1）客户的书面授双委托书

这体现了渗透测试的合法性，表明用户同意评估方的实施方案，并且允许评

估方按照实施方案去测试。实施方案内容应该包括实施目的、实施方法、实施时

间、实施人员、实施工具、实施步骤、实施风险和风险规避措施、用户方配合方

式和要求等信息。通过实施方案要让客户知道渗透测试所有细节和风险，所有过

程都在客户的控制之下。

2）风险规避措施

为了规避对网络、系统等的风险给用户可能带来的损害，渗透测试应该有相应的规

避措施：

时间选择：渗透测试应该选在非业务繁忙期或是晚上；

攻击策略选择：为防止网络和系统业务中断，渗透测试中不使用含有拒绝服务的测

试策略

保守策略选择：对不接受任何风险的系统测试时，可以复制目标环境或是对目标副

本做渗透测试;

系统备份和恢复：为防止测试带来不可逆转或恢复的风险，在测试前时系统做备份,

以便出问题时能够及时恢复系统。

系统监测：在渗透测试时，允许用户对整个测试流程进行全程监控，及时解

决测试过程中出现的问题。

4.6.3渗透测试实施

工作目标

渗透测试是模拟攻击者对系统进行渗透，通过测试检测系统抵抗攻击的能力

和发现系统最脆弱的环节。

工作参与人员

评估方参与人员：安全渗透测试工程师

用户参与人员：安全管理员和业务系统管理员

工作任务

渗透测试工作任务包括：

按渗透目标类型：外网服务器区与内网服务器区；

按渗透攻击路径：分为外网渗透测试、内网络渗透测试；

按渗透层次：分为网络层渗透测试、系统层渗透测试和应用层渗透测试；

针对XXXX网络信息系统，渗透测试工作将覆盖上述内容，从不同角度对XXXX

信息系统的各个应用服务进行全方位的渗透测试。

实施流程

实施方案确定，客户书面授权

信息收集分析（扫描，工具软件）

实施测试项（口令猜测，脚本测试）

取得权限、提升权限

远程溢出、本地溢出

成果

根据渗透测试结果为用户出具相关的渗透测试报告

4.7.安全风险分析

工作目标

本部分的工作目标如下：

汇总资产分析、CVE检测、威胁分析、安全功能和安全管理评估的结果，形

成风险分析的依据；

根据资产、脆弱性、威胁间的关系，遵循《信息安全风险评估实施指南》中

的要求，估算部件资产的安全风险。

参与人员

评估方参与人员：安全评估专家和安全评估工程师。

用户参与人员：安全管理员。

工作任务

主要任务:

安全评估工程师在完成CVE漏洞检测和安全功能评估之后，进行威胁分析，

计算每个部件资产面临的威胁情况，包括：

部件上的脆弱性情况；

可能面临的威胁种类、威胁目的；

部件资产威胁发生的可能性和严重程度。

安全评估工程师根据部件资产赋值结果，结合威胁分析结果，完成部件资产

的风险计算，包括：

部件风险值范围；

部件风险结果统计等。

安全评估专家审核部件风险计算结果，最终形成《安全风险情况说明》；

安全评估工程师将以上内容形成评估结果确认说明文档，经安全评估专家审

核后，提交给安全管理员，由双方正式签字确认。

成果

双方