风险评估规范

欢迎共阅
风险评估标准
1.0目的
建立风险评估标准的目的在于为IT安全解决方案提供依据和参考。

2.0适用范围
适用于公司所有IT安全的风险分析和评估。

3.0参考
1.《
ISO/IEC15408-3
2.《计算机信息系统安全保护等级划分准则》
4.0
保密性
完整性/破坏时所具可用性
抗抵赖性
5.0内容
5.1安全风险评估的基本步骤
确定需保护的资源，找出该资源的安全弱点和可能有的安全威胁，得出安全风险等级。

然后列举可采取的降低风险的对策，直至风险减小至安全需求允许的范围。

下图显示了风险评估中的各要素和工作步骤的关系：
5.1. 1明确需安全保护资源
5.1.2评估脆弱性，包括：
1.场所安全
2.安全流程
3.系统安全
4.网络安全
5.应用安全
5.1.3评估威胁
5.1.4列举安全对策
5.1.5损失评估
5.1.6确定风险等级
5.2细则
5.2.1明确需安全保护资源
1.网络设备：交换机、路由器、HUB、网络布线等
2.计算机设备：个人计算机、便携机、网络服务器、文件服务器、工作站等
3.存储介质；软盘、硬盘、磁带、光盘、MO等
4.软件：操作系统、数据库、工具软件、办公平台软件、开发用软件等
5.网上应用系统：EMail系统、InternetProxy服务、Notes系统、MRPII、SAP、HR、WWW、FTP等
6.网络服务：DNS、DHCP、WINS、网络路由服务等
7.数据资料：电子文档、数据库等
5.2.2评估脆弱性
使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。

1.场所安全评估
1)
2)
事故处理和信息保护等。

3)
4)总结安全措施优缺点及措施实用性。

2.安全流程评估
1)评估公司的安全管理流程的效率及效用，
2)
3)
4)
5)
3.
1)找出系统弱点。

2)找出公司主要系统平台（如：UNIX,Windows/NT）和一些捆绑销售的组件（如：MicrosoftExchange,LotusNotes,COBRA,Tivoli）的弱点所在。

3)从技术和管理两方面进行评估：
a.技术审查对每一个组件的机制进行真实性、可靠性、可审查性、保密性、适用性检验，并根据公司书面文件对其进行核查及预警。

b.管理审查包括听取管理员意见，对该组件相关的书面文件、标准和措施进行审查。

这将保证公司
能够发现来自于公司内部或外部的能越过安全监控的潜在威胁。

5)对系统软件和组件的配置文件是否能让授权用户正常登录进行审查，同时阻止和发现非授权用户的登录企图。

6)对安全管理监控作以下方面的综合审查：计划、组织、人事、资产分类和监控、硬件监控、资产监控、网络及计算机管理、业务连续性、系统发展和维护、适用性等。

4.网络安全评估
1)对公司网络平台的安全设计情况（路由器、防火墙、网络服务器、应用程序服务器等）进行审查，以确定是否有些功能会存在安全问题。

隔离开来。

2)(
3)
包括系统平台、网络连接、软件和数据库。

4)在技术和管理层面综合性地检查网络方案。

全面了
5.
1)
2)对应用程序新3)
5)
6)
7)复查客户与安全和保密政策以及相关标准的程序和过程。

5.2.3评估威胁
当需要保护的资源被确定后，进一步则需确定所需保护资源存在的威胁。

1.查非授权访问：如没有预先经过同意就使用网络或计算机资源被看作是非授权访问。

如：有意避开系统访问控制机制，擅自扩大权限，越权访问信息。

2.查信息泄漏：是否敏感数据在有意或无意中被泄漏出去或丢失。

如：信息在传输中或在存储介质中丢失或泄漏，通过隐蔽通道窃取机密信息等。

3.查数据完整性：如非法窃得数据使用权，修改或重发某些重要信息，恶意添加、修改数据，干扰用户的正常使用。

4.查拒绝服务攻击：查潜在的对网络服务进行干扰的活动，该活动可能造成系统响应减慢甚至瘫痪，影响正常用户进入网络系统或不能得到相应的服务。

5.2.4列举降低风险的对策
为保护公司网络资源，采取怎样的控制措施，应根据损失的风险概率、控制的费用、控制后的变化率以及公司在安全防护上所能投入的财力确定。

降低风险的对策主要从三个方面考虑：
度和标准。

1.风险对策举例：
每周进行策略顺应性测试----
供互连网连接的域名系统（DNS）的内容。

每月进行脆弱性测试----
工具来模仿黑客的攻击方法。

1)
2)及时的
3)
4)
5)检查配置和系统管理，防止可能导致的信息泄露和拒绝服务。

5.2.5损失评估
在通过分析资源存在的威胁和隐患并确定出其安全等级后，根据公司对安全要求的侧重点，列出相应的损失及代价。

在采取控制措施之前，预估可能发生的损失及可能发生损失的概率，预估通过采取控制措施和投入成本后的收益。

要确定资源的可能损失，需运用定期总结、抽样统计等办法，也可根据一些经验值和问卷调查的结果来定。

5.2.6评估风险等级威胁x脆弱性
风险=——————x影响保护措施
确定资源的风险等级，为采取控制措施提供参考。

风险分析概念公式如下：
该关系式是量化实际系统风险值的基础。

可以利用适当的变量和比例因素提供不同的风险参数，控制特定系统的风险。