重要资产信息安全脆弱性汇总表
26、27.脆弱性识别表
现用户的权限分离 未启用安全审计功能，无 法对重要的用户行为和重
要安全事件进行审计 审计记录未包括事件的日 期和时间、用户、事件类 型、事件是否成功及其他
与审计相关的信息 未对审计记录进行保护，
定期备份 设备未关闭TELNET、HTTP
等高危协议 未限制设备网络管理地址
4
3
3 3.6 中
抗DDOS系统 ASSET-10 4
4
3
3 3.6 中
赣服通自安
ASSET-11 4
4
3
3 3.6 中
全交换机
红谷滩赣服
ASSET-12 4
4
4
4
4
高
通业务系统
Apache ASSET-13 3
3
3
3 3.0 中
红谷滩赣服
通业务系统 ASSET-14 4
4
4
4 4.0 高
数据库
账号密码数
要安全事件进行审计 审计记录未包括事件的日 期和时间、用户、事件类 型、事件是否成功及其他
与审计相关的信息 未对审计记录进行保护，
定期备份 设备未关闭TELNET、HTTP
等高危协议 未限制设备网络管理地址
或范围 设备身份标识不唯一，身 份鉴别信息未设置复杂度
要求并定期更换 未设置登录失败处理功能 ，未配置并启用结束会话 、限制非法登录次数和当 登录连接超时自动退出等 未采用两相种关或策两略种以上组
信息员安全领
导小组-信
息安全领导
ASSET-27 4
4
3
3 3.6 中
小组办公室
-信息系统
负责人
信息安全领
导小组-信
ISO27001-2013信息资产风险评估表
员工能力有限
工作中断
离职或突发事件
部门：市场部
部门：市场部
现有控制措施
1、员工有保密协议； 2、责任分割； 对数据进行备份 服务采购加强 访问加密、备份 定期保养维护 系统定期升级 专人专管 防病毒
保密培训、签员工保密协议 实行员工年度培训计划 责任分离、招聘新人
措施评价
控制措施有 效
控制措施有 控制措施有 控制措施有 控制措施有 控制措施有 控制措施有 控制措施有
信息资产风险评估表
资产类别 资产名称 重要等级
威胁列表
脆弱性列表
数据
客户信息 销售合同
硬件ቤተ መጻሕፍቲ ባይዱ办公电脑
人员 市场人员
员工泄密
员工保密意识差
4 人员误操作或有意篡改 文件易修改
云服务出现问题
云服务商问题
遗失或失窃
意外事件
硬件故障
老化
3
系统故障 偷盗丢失
系统漏洞 易携带
病毒攻击
网络
员工泄密
员工意志薄弱
3
工作瓶颈
措施有效 措施有效 措施有效
威胁发生 的频率
脆弱性严 重程度
风险度值
风险级别
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
3
1
9
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
GBT22080：2016信息资产风险评估表-综合部
库存现金盘点表、银行对账单及余额 调节表 10
4
金蝶财务软件中的账务数据
4
16
银行系统
4
28
专用电脑
4
容易损毁 容易丢失 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 防护措施不力 防护措施不力 管理环节不强 访问控制不严 格 防护措施不力 防护措施不力 管理环节不强 访问控制不严 格 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更 非法访问 非法访问 信息不准确 容易变更 容易变更 容易变更
组织管理 人员管理 人员管理
4 副总、出纳
险评估表
编制日期：2018.04.10 脆弱性等级 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 风险数值表 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 7 风险级别 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 3 风险认可 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 可接受风险 处置计划
信息安全风险评估记录表
信息安全风险评估记录表XXX信息安全风险评估记录表部门：XX部资产名称：1.台式计算机2.服务器3.笔记本4.网线5.INTEL网络服务6.路由器7.U盘8.WINDOWS XP9.源代码10.软件11.概要设计说明书12.产品数据库数据13.产品用户手册14.BUG报告15.用户培训记录重要度面临威胁脆弱性措施有效可能性风险1.台式计算机 6 10 3 3 5 302.服务器 10 10 5 3 7 703.笔记本 8 8 4 4 8 644.网线 8 8 4 4 8 645.INTEL网络服务 6 6 3 3 5 306.路由器 4 4 4 4 7 287.U盘 4 4 4 4 7 288.WINDOWS XP 10 1 1 1 4 49.源代码 10 5 5 5 9 4510.软件 6 4 4 4 8 3211.概要设计说明书 4 4 4 5 6 2412.产品数据库数据 4 4 4 4 8 3213.产品用户手册 4 4 4 4 7 2814.BUG报告 1 5 5 5 9 4515.用户培训记录 10 3 2 5 8 40存在的问题：1.台式计算机：无杀毒软件，无备份策略，无口令策略，配置被修改，无法使用。
2.服务器：无杀毒软件，服务器损坏无法使用。
3.笔记本：无法使用。
4.网线：无防护措施，数据泄密。
5.XXX网络服务：无管理制度。
6.路由器：操作系统存在漏洞，无访问控制，无安全备份。
7.U盘：无备份安全策略。
8.WINDOWS XP：暴露。
9.源代码：人为破环，盗窃。
10.软件：数据丢失/损坏/篡改，存储介质故障。
11.概要设计说明书：无拷贝控制，存储介质故障。
12.产品数据库数据：无备份安全策略，存储介质故障。
13.产品用户手册：无备份安全策略，存储介质故障。
14.BUG报告：存储介质故障。
15.用户培训记录：无访问控制。
措施：1.台式计算机：安装杀毒软件，制定备份策略，设置口令策略，修复配置，恢复使用。
信息安全风险评估脆弱性识别操作系统脆弱性表格《T》
d 对操作系统中处理的数据,应按回退的要求设计相应的 SSOOS 安全功能模块,进行异常情况
的操作序列回退,以确保用户数据的完整性;系统应保证在处理过程中不降低数据完整性的级别;
用户数据保密性
a应确保动态分配与管理的资源,在保持信息安全的情况下被再利用,主要包括：
——自动检查文件与磁盘表面是否完好；
——将磁盘表面的问题自动记录下来；
——随时检查、诊断和修复磁盘上的错误；
——修复扇区交错和扇区流失；
——将数据移到好的扇区；
——可增加硬盘数据备份和修复程序,将硬盘中的数据压缩、备份,并在必要时恢复；
c 在操作系统内部传输的用户数据,如进程间的通信,应提供保证用户数据完整性的功能;完
开发者应针对发现的漏洞及时发布补丁;操作系统的管理者应及时获取、统一管理并及时运
用补丁对操作系统的漏洞进行修补;
SSF数据安全保护
a 实现对输出 SSF 数据可用性、保密性、和完整性保护；
b 实现 SSOOS 内 SSF 数据传输的基本保护、数据分离传输、数据完整性保护；
c 实现 SSF 间的 SSF 数据的一致性和 SSOOS 内 SSF 数据复制的一致性保护;
d 提供设置和升级配置参数的安装机制;在初始化和对与安全有关的数据结构进行保护之前,
应对用户和管理员的安全策略属性应进行定义；
e 应区分普通操作模式和系统维护模式；
f 应防止一个普通用户从未经允许的系统进入维护模式,并应防止一个普通用户与系统内维护
模式交互;从而保证在普通用户访问系统之前,系统能以一个安全的方式进行安装和配置；
改或替换系统提供的实用程序；
信息安全系统风险评估-脆弱性识别-操作系统脆弱性表格-《GBT20272-2007》
d)对操作系统中处理的数据，应按回退的要求设计相应的SSOOS安全功能模块，进行异常情况
的操作序列回退，以确保用户数据的完整性。系统应保证在处理过程中不降低数据完整性的级别。
用户数据保密性
a)应确保动态分配与管理的资源，在保持信息安全的情况下被再利用，主要包括：
——鉴别信息应是不可见的，在存储和传输时应按GB/T 20271-2006中6.3.3.8的要求，用加密方法进行安全保护；
——过对不成功的鉴别尝试的值（包括尝试次数和时间的阈值）进行预先定义，并明确规定达到该值时应采取的措施来实现鉴别失败的处理。
c)对注册到操作系统的用户，应按以下要求设计和实现用户-主体绑定功能：
实现对SSF出现失败时的处理。系统因故障或其它原因中断后，应有一种机制去恢复系统。
系统应提供在管理维护状态中运行的能力，管理维护状态只能被系统管理员使用，各种安全
功能全部失效；
n)操作系统环境应控制和审计系统控制台的使用情况；
o)补丁的发布、管理和使用：补丁是对操作系统安全漏洞进行修补的程序的总称。操作系统的
服务器脆弱性识别表格
依据《GB/T20272-2007操作系统安全技术要求》中第三级---安全标记保护级所列举内容编制。
项目
子项
内容
是否符合
备注
安全功能
身份鉴别
a)按GB/T 20271-2006中6.3.3.1.1和以下要求设计和实现用户标识功能：
——凡需进入操作系统的用户，应先进行标识（建立账号）；
理员进程的操作等。当审计激活时应确保审计跟踪事件的完整性；应提供一个机制来显示当前选择的审计事件，这个机制的使用者应是有限的授权用户；
信息安全的信息资产、威胁与脆弱性分类
利用工具和技术通过网络对信息系统进行攻击和入侵
网络探测和信息采集、漏洞探测、嗅探（账号、口令、权限等）、用户身份伪造和欺骗、用户或业务数据的窃取和破坏、系统运行的控制和破坏、拒绝服务攻击、僵尸网络、隐蔽式下载、名誉劫持、网络黑客的入侵等
物理攻击
通过物理的接触造成对软件、硬件、数据的破坏
物理接触、物理破坏、盗窃、勒索、罢工、内部员工蓄意破坏等
数据库
补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制、审计机制等
应用系统
审计机制、审计存储、访问控制策略、数据完整性、通讯、鉴别机制、密码保护等
应用中间件
协议安全、交易完整性、数据完整性等
管理脆弱性
技术管理
物理和环境安全、通讯和操作管理、访问控制、系统开发与维护、业务连续性等
组织管理
断电、静电、灰尘、潮湿、温度、洪灾、火灾、地震、暴风雨、潮汐、污染、空调设备故障、鼠蚁虫害、电磁干扰等
操作失误
应该执行而没有执行相应的操作，或无意执行了错误的操作
维护错误、操作失误、提供错误的指南或操作信息等
管理不到位
安全管理无法落实或不到位，从而破坏信息系统正常有序运行
管理制度和策略不完善、管理规程缺失、职责不明确、监督控管机制不健全等
其他
企业形象、客户关系等
A.2
威胁分类见表。
表E.2威胁分类
种类
描述
威胁子类
软硬件故障
对业务实施或系统运行产生影响的设备硬件故障、通讯链路中断、系统本身或软件缺陷等问题
设备硬件故障、传输设备故障、存储媒体故障、 系统软件故障、应用软件故障、数据库软件故障、开发环境故障等
物理环境影响
对信息系统正常运行造成影响的物理环境问题和自然灾害
信息安全风险评估-脆弱性识别-操作系统脆弱性表格
e） 当系统资源的服务水平降低到预先规定的最小值时，应能检测和发出报告；
f） 系统应提供维护状态中运行的能力，在维护状态下各种安全性能全部失效，系统只允许由系统管理员使用；
——确保非授权用户不能查找使用后返还系统的记录介质中的信息容；
——确保非授权用户不能查找系统现已分配给他的记录介质中以前的信息容；
b) 在单用户系统中，存储器保护应防止用户进程影响系统的运行；
c) 在多用户系统中，存储器保护应保证系统各个用户之间互不干扰；
d) 存储器保护应包括:
——对存储单元的地址的保护，使非法用户不能访问那些受到保护的存储单元；
g) 对备份或不影响 SSOOS 的常规的系统维护，不要求所有的系统维护都在维护模式中执行；
h) 当操作系统安装完成后，在普通用户访问之前，系统应配置好初始用户和管理员职责、根目
录、审计参数、系统审计跟踪设置以及对文件和目录的合适的访问控制；
i) 执行系统所提供的实用程序，应（默认地）限定于对系统的有效使用，只允许系统管理员修
g) 应提供一个受保护的打开和关闭审计的机制。该机制能选择和改变审计事件，并在系统工作时处于默认状态；该机制的使用应受到系统管理员的授权限制，系统管理员应能够选择一个或多个基于身份鉴别或客体属性的用户的审计活动；审计工具应能够授权个人监察和浏览审计数据，同时数据应得到授权的使用、修改和删除；应提供对审计跟踪管理功能的保护，使之可以完成审计跟踪的创建、破坏、腾空和存档；系统管理员应能够定义超过审计跟踪极限的阈值；当存储空间被耗尽时，应能按管理员的指定决定采取的措施，包括：报警并丢弃未记录的审计信息、暂停审计、覆盖以前的审计记录等。
理员进程的操作等。当审计激活时应确保审计跟踪事件的完整性；应提供一个机制来显示当前选择的审计事件，这个机制的使用者应是有限的授权用户；
脆弱性-威胁对应表
定期对设备进行维护；重要设备提供UPS电源保护 。 没有权限的情况下，访问、使用了设备。 有权限的情况下，访问、使用不当(如带电操作、 操作不符合规程)。 加强设备的管理。
未受控 资产管理不当（遗漏设备清点、管理不 水灾、火灾、闪电、电磁辐射乏对外部环境的防护 缺
软件资产
生产系统、系统软件、应用软件
人员资产 处室经理、关键岗位人员、一般岗位人员
中断 中断 中断 重大经济损失 泄密 泄密 泄密 诈骗、法律纠纷 操作失误 身份假冒 人员冗余不足，缺少AB角色互备 人员安全职责不清 人员业务水平不足 人员业务水平不足 人员业务水平不足 人员安全意识不足 合同保护条款不足 人员审查措施不足 缺乏信息安全方针，人员操作无法可依, 导致不能合格履行职责 缺乏有效地转岗和离职控制 制定信息安全方针，对员工的行为进行整体的指导 。 因内部调动和离职缺乏缺乏控制，导致权限变更和 撤销滞后，易造成账号误用或被冒用，使重要信息 物理安全：财务等部门位置设置不恰当，应有相对 独立的区域。 安全区域标识不清楚、非请勿入（财务、仓库）。 如保安、门禁、外来人员等。 第三方人员利用社交工程进行身份假冒，访问敏感 信息。 电源线、网线、水管、电话线。 业务中断。 由于对业务不精通，可能使合同出现问题，导致重 大的经济损失。 虽然有较强的安全意识，当由于自身技术不足等原 因导致信息泄密。 由于安全意识不足，可能导致信息的泄密（口令、 帐号、客户信息、工资信息、产品信息）。 如没有签署保密协议，可能导致信息的泄密。
无形资产 企业文化、公司形象、客户关系等
服务资产 包含第三方服务和人员
非授权访问 非授权访问 非授权访问 非授权访问 安全区设置不恰当 安全区保障措施不足 安全区出入控制措施不足 第三方访问控制措施不足
信息资产威胁和脆弱性对应表
信息资产威胁和脆弱性对应表编号威胁脆弱性1地震位于地震带，建筑物抗震结构差 位于地震带，建筑物抗震结构一般 无备份文件和系统2火灾位于活在易发地区，资产易燃 位于活在易发地区，资产不易燃 位于火灾不易发生地区，资产易燃 无备份文件和系统 位于林区时周围无隔离带3水灾位于水灾易发地区，资产易受潮 位于水灾易发地区，资产不易受潮 位于水灾不易发地区，资产易受潮 无备份文件和系统4暴风雨位于暴风雨易发地区，资产易受水害 位于暴风雨易发地区，资产不易受潮 位于暴风雨不易发地区，资产易受潮 无备份文件和系统5潮汐位于潮汐易发地区，资产易遭水害 位于潮汐易发地区，资产不易遭水害 位于潮汐不易发地区，资产易遭水害 无备份文件和系统6污染位于污染严重地区，设备易受污染 位于污染严重地区，设备不易受污染 位于污染不严重地区，设备易受污染 位于污染不严重地区，设备不易受污染7电子干扰位于强电子干扰地区，设备易受电子干扰 位于强电子干扰地区，设备不易受电子干扰 位于若电子干扰地区，设备易受电子干扰8电磁辐射位于电子辐射严重的环境，设备易受电子辐射影响 位于电子辐射严重的环境，设备不易受电子辐射影响 位于电子辐射的环境，设备易受电子辐射的影响9温度过度位于温度易于过度的区域，资产易受温度影响 位于温度易于过度的区域，资产不易受温度影响 位于温度不易过度的区域，资产易受温度影响 环境监控不当10湿度过度位于湿度易于过度的区域，资产易受潮 位于湿度易于过度的区域，资产不易受潮 位于湿度不易过度的区域，资产易受潮 环境监控不当11电力供应故障环境易断电，断电后造成轻微损失 环境易断电，断电后造成严重损失 环境不易断电，断电后造成轻微损失 环境不易断电，断电后造成严重损失12空调设备故障位于温度易于过度的区域，资产易受温度影响 位于温度易于过度的区域，资产不易受温度影响 位于温度不易过度的区域，资产易受温度影响13电力波动易受电压波动影响，已造成严重损失 轻微受电压波动影响，易造成严重损失 易受电压波动影响，不易造成严重损失14静电位于易产生静电环境，资产易受静电破坏 位于易产生静电环境，资产不易受静电破坏 位于不易产生静电环境，资产易受静电破坏 工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 无防静电设备 环境监控不当15偷盗建筑或房屋无访问控制 建筑或房屋弱访问控制 缺乏物理安全措施16诈骗工作人员无信息保护意识 工作人员无法律意识 工作人员法律意识弱 不易辨认身份的真伪 信息不易辨认真伪17勒索工作人员注重个人利益18恐怖分子袭击缺乏物理安全措施19抵赖不易辨认身份的真伪 信息不易辨认真伪 未标识发送者和接收者 无消息发送和接受证据20罢工无业务连续性规划和流程 无劳工协议21窃听设备本身缺乏信息保护功能 采用共享式以太技术导致信息在本地广播 通讯未加密22窃取信息工作人员无信息保护意识 工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 工作人员无防病毒意识 工作人员防病毒意识弱23破坏性攻击操作系统存在漏洞 应用软件存在漏洞 未使用防火墙 防火墙策略不当 不恰当的网络管理24拒绝服务攻击操作系统存在漏洞 应用软件存在漏洞 未使用防火墙 防火墙策略不当 不恰当的网络管理25恶意代码系统易受病毒感染 系统不易受病毒感染 未使用杀毒软件 未及时更新病毒防杀软件 缺乏入侵检测软件 对从Internet上下载和安装软件控制不当 缺乏打开邮件的附件的策略 缺乏对不扫描病毒使用软盘行为的控制策略26通讯渗透设备本身缺乏信息保护功能 不易辨认身份的真伪 采用共享式以太技术导致信息在本地广播 缺乏物理安全措施 未标识发送者和接收者 无消息发送和接受证据 缺乏入侵检测软件27流量分析设备本身缺乏信息保护功能 不易辨认身份的真伪 采用共享式以太技术导致信息在本地广播 缺乏物理安全措施 未标识发送者和接收者 无消息发送和接受证据 缺乏入侵检测软件28系统入侵工作人员无信息保护意识 弱密码管理 软件无身份验证机制 软件采用弱身份验证机制 系统易受病毒感染 系统不易受病毒感染 不易辨认身份的真伪 信息不易辨认真伪 无逻辑访问控制29系统渗透工作人员无信息保护意识 弱密码管理 软件无身份验证机制 软件采用弱身份验证机制 系统易受病毒感染 系统不易受病毒感染 不易辨认身份的真伪 信息不易辨认真伪 无逻辑访问控制30系统篡改弱密码管理 软件无身份验证机制 软件采用弱身份验证机制 操作系统存在漏洞 应用软件存在漏洞 无备份系统设置信息 缺乏物理安全措施31资源滥用数据未加密 软件无复制限制 软件无安装次数限制 无软件使用控制 无数据访问控制32对软件的非法更改无劳工协议 无软件更新控制 无软件使用控制33软件的非法输入输出工作人员操作不熟练 软件无合法数据验证机制 无软件使用控制34未授权的数据访问采用共享式以太技术导致信息在本地广播 缺乏物理安全措施 通讯未加密35未授权的拨号访问拨号进入网络不受限 拨号进入网络弱管理 缺乏物理安全措施36未授权使用存储介质无数据访问控制 无硬件访问控制 缺乏物理安全措施37web站点入侵操作系统存在漏洞 应用软件存在漏洞 未使用防火墙 防火墙策略不当 缺乏入侵检测软件38内部员工蓄意破坏资产易遭破坏 建筑或房屋无访问控制 建筑或房屋弱访问控制 工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 缺乏物理安全措施39未授权人员引用或带出数据建筑或房屋无访问控制 建筑或房屋弱访问控制 工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 无数据访问控制 无硬件访问控制40内部人员身份假冒工作人员无法律意识 工作人员弱法律意识 弱密码管理 不易辨认身份的真伪41内部人员出卖个人信息工作人员注重个人利益 工作人员无法律意识 工作人员法律意识弱 数据中心无物理安全措施 数据中心弱物理安全措施 无劳工协议，竞业禁止等保密要求42外包操作失败无业务一致性计划和流程 无文件和系统备份 外包协议中责任不清43关键人员缺席无候选关键人44软件运行错误工作人员操作不熟练 操作系统存在漏洞 应用软件存在漏洞45软件的操作失误工作人员操作不熟练 无软件使用控制46软件设计错误软件开发标准不当 没有良好的员工沟通47错误信息输入工作人员操作不熟练 软件无合法数据验证机制48提供给操作人员错误的指南信息文件匮乏 文档管理混乱49软件维护失误工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 无软件更新控制50硬件的操作失误工作人员操作不熟练 设备易损坏 无硬件访问控制 缺乏物理安全措施51存储介质的故障建筑或房屋无访问控制 建筑或房屋弱访问控制 设备易损坏 缺乏物理安全措施52网络部件的技术故障工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 缺乏物理安全措施53通讯服务故障无备份设施和流程 不恰当的网络管理 不恰当的事件处理54流量过载无备份设施和流程 不恰当的网络管理 不恰当的事件处理55硬件维护失误工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识 缺乏物理安全措施51内部人员信息丢失工作人员无信息保护意识人事管理制度、保密协议不完善52管理运营职工失误企业无安全问题解决能力 企业安全问题解决能力弱53人员匮乏人力资源部门和信息技术部门间缺乏沟通54用户失误用户操作不熟练55供应故障操作系统存在漏洞 应用软件存在漏洞56保养不当工作人员无资产维护意识，没有维护常识 工作人员有资产维护意识，没有维护常识 工作人员无资产维护意识，有维护常识。
信息安全的信息资产、威胁与脆弱性分类讲解学习
源程序：各种共享源代码、自行或合作开发的各种代码等
硬件
网络设备：路由器、网关、交换机等
计算机设备：大型机、小型机、服务器、工作站、台式计算机、便携计算机等
存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等
传输线路：光纤、双绞线等
保障设备：UPS、变电设备、空调、保险柜、文件柜、门禁、消防设施等
补丁安装、物理保护、用户帐号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统软件安全漏洞、软件安全功能管理等
数据库
补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制、审计机制等
应用系统
审计机制、审计存储、访问控制策略、数据完整性、通讯、鉴别机制、密码保护等
其他
企业形象、客户关系等
A.2
威胁分类见表E.2。
表E.2威胁分类
种类
描述
威胁子类
软硬件故障
对业务实施或系统运行产生影响的设备硬件故障、通讯链路中断、系统本身或软件缺陷等问题
设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环境故障等
物理环境影响
对信息系统正常运行造成影响的物理环境问题和自然灾害
恶意代码
故意在计算机系统上执行恶意任务的程序代码
病毒、特洛伊木马、蠕虫、陷门、间谍软件、窃听软件、携带恶意软件的垃圾邮件、流氓安全软件、即时消息垃圾邮件等
越权或滥用
通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的权限，做出破坏信息系统的行为
非授权访问网络资源、非授权访问系统资源、滥用权限非正常修改系统配置或数据、滥用权限泄露秘密信息、非授权使用存储介质等
信息安全风险评估表汇总
表1：基本信息调查1.单位基本情况2.硬件资产情况网络设备：路由器、网关、交换机等。
安全设备：防火墙、入侵检测系统、身份鉴别等。
服务器设备：大型机、小型机、服务器、工作站、台式计算机、便携计算机等。
终端设备：办公计算机、移动存储设备。
重要程度：依据被检查机构数据所有者认为资产对业务影响的重要性填写非常重要、重要、一般。
3.软件资产情况填写说明系统软件：操作系统、系统服务、中间件、数据库管理系统、开发系统等。
应用软件：项目管理软件、网管软件、办公软件等。
4.服务资产情况服务类型包括：1.网络服务；2.安全工程；3.灾难恢复；4.安全运维服务；5.安全应急响应；6.安全培训；7.安全咨询；8.安全风险评估；9.安全审计；10.安全研发。
5.人员资产情况岗位名称：1、数据录入员；2、软件开发员；3、桌面管理员；4、系统管理员；5、安全管理员；6、数据库管理员；7、网络管理员；8、质量管理员。
6.文档资产情况填写说明信息系统文档类别：信息系统组织机构及管理制度、信息系统安全设计、实施、运维文档；系统开发程序文件、资料等。
7.信息系统情况1、用户分布范围栏填写全国、全省、本地区、本单位2、业务处理信息类别一栏填写：a) 国家秘密信息；b) 非密敏感信息(机构或公民的专有信息) ；c) 可公开信息3、重要程度栏填写非常重要、重要、一般4、如通过测评，请填写时间和测评机构名称。
1、网络区域主要包括：服务器域、数据存储域、网管域、数据中心域、核心交换域、涉密终端域、办公域、接入域和外联域等；2、重要程度填写非常重要、重要、一般。
注：安全事件的类别和级别定义请参照GB/Z20986-2007《信息安全事件分类分级指南》表2：安全状况调查1. 安全管理机构安全组织体系是否健全，管理职责是否明确，安全管理机构岗位设置、人员配备是否充分合理。
安全策略及管理规章制度的完善性、可行性和科学性的有关规章制度的制定、发布、修订及执行情况。
信息资产威胁和脆弱性对应表
9
温度过度
位于温度易于过度的区域，资产易受温度影响
位于温度易于过度的区域，资产不易受温度影响
位于温度不易过度的区域，资产易受温度影响
环境监控不当
10
湿度过度
位于湿度易于过度的区域，资产易受潮
位于湿度易于过度的区域，资产不易受潮
位于湿度不易过度的区域，资产易受潮
无软件使用控制
33
软件的非法输入输出
工作人员操作不熟练
软件无合法数据验证机制
无软件使用控制
34
未授权的数据访问
采用共享式以太技术导致信息在本地广播
缺乏物理安全措施
通讯未加密
35
未授权的拨号访问
拨号进入网络不受限
拨号进入网络弱管理
缺乏物理安全措施
36
未授权使用存储介质
无数据访问控制
无硬件访问控制
缺乏物理安全措施
26
通讯渗透
设备本身缺乏信息保护功能
不易辨认身份的真伪
采用共享式以太技术导致信息在本地广播
缺乏物理安全措施
未标识发送者和接收者
无消息发送和接受证据
缺乏入侵检测软件
27
流量分析
设备本身缺乏信息保护功能
不易辨认身份的真伪
采用共享式以太技术导致信息在本地广播
缺乏物理安全措施
未标识发送者和接收者
无消息发送和接受证据
位于污染严重地区，设备不易受污染
位于污染不严重地区，设备易受污染
位于污染不严重地区，设备不易受污染
7
电子干扰
位于强电子干扰地区，设备易受电子干扰
位于强电子干扰地区，设备不易受电子干扰
位于若电子干扰地区，设备易受电子干扰
网络信息安全管理之资产、脆弱性、威胁、风险
⽹络信息安全管理之资产、脆弱性、威胁、风险⽹络信息安全管理是指对⽹络资产采取合适的安全措施，以确保⽹络资产的可⽤性、完整性、可控制性和抗抵赖性，不致因⽹络设备、⽹络通信协议、⽹络服务、⽹络管理受到⼈为和⾃然因素的危害，⽽导致⽹络中断、信息泄露或破坏。
⽹络信息管理对象主要包括⽹络设备、⽹络通信协议、⽹络操作系统、⽹络服务、安全⽹络管理等在内的所有⽀持⽹络系统运⾏的软、硬件总和。
⽹络信息安全管理的⽬标就是通过适当的安全防范措施，保障⽹络的运⾏安全和信息安全，满⾜⽹上业务开展的安全要求。
⽹络信息安全管理要素由⽹络管理对象、⽹络威胁、⽹络脆弱性、⽹络风险、⽹络保护措施组成。
由于⽹络管理对象⾃⾝的脆弱性，使得威胁的发⽣成为可能，从⽽造成了不同的影响，形成了风险。
⽹络安全管理实际上就是风险控制，其基本过程是通过⽹络管理对象的威胁和脆弱性进⾏分析，确定⽹络管理对象的价值、⽹络管理对象威胁发⽣的可能性、⽹络管理对象的脆弱程度，从⽽确定⽹络管理对象的风险等级，然后据此选取合适的安全保护措施，降低⽹络管理对象的风险。
安全风险管理的三要素分别是资产、威胁和脆弱性，脆弱性的存在将会导致风险，⽽威胁主体利⽤脆弱性产⽣风险。
⽹络攻击主要利⽤了系统的脆弱性。
由于⽹络管理对象⾃⾝的脆弱性，使得威胁的发⽣成为可能，从⽽造成了不同的影响，形成了风险。
⽹络信息安全管理对象是企业、机构直接赋予了价值⽽需要保护的资产。
它的存在形式包括有形的和⽆形的，如⽹络设备硬件、软件⽂档是有形的，⽽服务质量、⽹络带宽是⽆形的。
常见的⽹络信息安全管理对象信息安全资产分类如下：分类⽰例数据保存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统⽂档、运⾏管理规程、计划报告、⽤户⼿册、各类纸质的⽂档等软件系统软件：操作系统、数据库管理系统、语句包、开发系统等应⽤软件：办公软件、数据库软件、各类⼯具软件等源程序：各种共享源代码、⾃⾏或合作开发的各种代码等硬件⽹络设备：路由器、⽹关、交换机等计算机设备：⼤型机、⼩型机、服务器、⼯作站、台式计算机、便携计算机等存储设备：磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等传输线路：光纤、双绞线等保障设备：UPS、变电设备、空调、保险柜、⽂件柜、门禁、消防设施等安全设备：防⽕墙、⼊侵检测系统、⾝份鉴别等其他：打印机、复印机、扫描仪、传真机等服务信息服务：对外依赖该系统开展的各类服务⽹络服务：各种⽹络设备、设施提供的⽹络连接服务办公服务：为提⾼效率⽽开发的管理信息系统，包括各种内部配置管理、⽂件流转管理等服务⼈员掌握重要信息和核⼼业务的⼈员，如主机维护主管、⽹络维护主管及应⽤项⽬经理等其他企业形象、客户关系等脆弱性：脆弱性也可称为弱点或漏洞，是资产或资产组中存在的可能被威胁利⽤造成损害的薄弱环节。
信息安全风险评估表汇总
表1：基本信息调查1- 2 -网络设备：路由器、网关、交换机等。
安全设备：防火墙、入侵检测系统、身份鉴别等。
服务器设备：大型机、小型机、服务器、工作站、台式计算机、便携计算机等。
终端设备：办公计算机、移动存储设备。
重要程度：依据被检查机构数据所有者认为资产对业务影响的重要性填写非常重要、重要、一般。
- 3 -填写说明系统软件：操作系统、系统服务、中间件、数据库管理系统、开发系统等。
应用软件：项目管理软件、网管软件、办公软件等。
- 4 -服务类型包括：1.网络服务；2.安全工程；3.灾难恢复；4.安全运维服务；5.安全应急响应；6.安全培训；7.安全咨询；8.安全风险评估；9.安全审计；10.安全研发。
岗位名称：1、数据录入员；2、软件开发员；3、桌面管理员；4、系统管理员；5、安全管理员；6、数据库管理员；7、网络管理员；8、质量管理员。
- 5 -填写说明信息系统文档类别：信息系统组织机构及管理制度、信息系统安全设计、实施、运维文档；系统开发程序文件、资料等。
- 6 -- 7 -1、用户分布范围栏填写全国、全省、本地区、本单位2、业务处理信息类别一栏填写：a) 国家秘密信息；b) 非密敏感信息(机构或公民的专有信息) ；c) 可公开信息3、重要程度栏填写非常重要、重要、一般4、如通过测评，请填写时间和测评机构名称。
1、网络区域主要包括：服务器域、数据存储域、网管域、数据中心域、核心交换域、涉密终端域、办公域、接入域和外联域等；2、重要程度填写非常重要、重要、一般。
- 8 -注：安全事件的类别和级别定义请参照GB/Z20986-2007《信息安全事件分类分级指南》- 9 -- 10 -表2：安全状况调查1. 安全管理机构安全组织体系是否健全，管理职责是否明确，安全管理机构岗位安全策略及管理规章制度的完善性、可行性和科学性的有关规章人员的安全和保密意识教育、安全技能培训情况，重点、敏感岗4. 系统建设管理关键资产采购时是否进行了安全性测评，对服务机构和人员的保密约束情况如何，在服务提供过程中是否采取了管控措施。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
缺少电磁防护
物理访问控制欠缺
设备性能不足
2
机架式服务器（Mail服务器）
安装与维护缺乏管理
操作系统补丁未及时安装
操作系统存在弱口令
操作系统的口令策略没有启用
操作系统的帐户锁定策略没有启用
操作系统开放多余服务
缺少电磁防护
物理访问控制欠缺
3
笔记本电脑
笔记本电脑
操作系统补丁未安装
操作系统开放多余服务
重要信息、数据无加密措施，以明文传输
6
Iptables防火墙系统
安全保障设备的其它配置不当
安装与维护缺乏管理
缺少操作规程和职责管理
未启用日志功能
7
DVB-J项目开发资料
没有访问控制策略或未实施
信息资产没有清晰的分类标志
8
DVB-J项目开发文件
没有访问控制策略或未实施
信息资产没有清晰的分类标志
9
总务相关资料
操作系统存在弱口令
操作系统的口令策略没有启用
病毒码无法自动更新
操作系统的帐户锁定策略没有启用
4
台式机
操作系统补丁未安装
病毒码无法自动更新
操作系统开放多余服务
5
SVN业务系统
未设置用户登录失败门限与超过门限后的处理措施
无法保证用户使用的口令达到一定的质量要求
无法检测存储的重要信息、数据是否出现完整性错误
设备性能不足
重新分配台式机的服务器功能; 优化系统配置
操作系统补丁未及时安装
实施定期升级补丁
物理访问控制欠缺
机械锁
安装机房门禁系统
笔记本电脑(XXX)
笔记本电脑(XXX)
台式机(XXX)
病毒码无法自动更新
升级系统防毒软件
该计划已经信息安全领导办公室审核批准。
风险处理计划
序号
资产名称
风险
风险处理选项
风险处理措施
责任人
计划完成时间
1
台式机
（网关/SVN服务器）
台式机
（Bugzilla/FTP/Web服务器）
机架式服务器（Mail服务器）
操作系统补丁未及时安装
降低
实施定期升级补丁
物理访问控制欠缺
安装机房门禁系统
2
台式机（Trac服务器）
没有访问控制策略或未实施
信息资产没有清晰的分类标志
10
机房管理员
没有适当的奖惩规则
没有正式的保密协议
11
服务器管理员
没有适当的奖惩规则
没有正式的保密协议
12
总务经理
没有适当的奖惩规则
没有正式的保密协议
附件：风险处理计划
根据本次风险评估结果，对不可接受的风险进行处理。在选取控制措施和方法时，结合公司的财力、物力和资产的重要度等各种因素，制定如下风险处理计划。
重要资产面临的信息安全脆弱性汇总表
表2-1重要资产脆弱性汇总表
序号
资产名称
脆弱性名称
1
台式机（Bugzilla/FTP/Web服务器）
台式机（网关/SVN服务器）
台式机（Trac服务器）
安装与维护缺乏管理
操作系统补丁未及时安装
操作系统存在弱口令
操作系统的口令策略没有启用
操作系统的帐户锁定策略没有启用