公司风险评估标准概述

风险评估标准

1.0 目的

建立风险评估标准的目的在于为IT安全解决方案提供依据和参考。2.0 适用围

适用于公司所有IT安全的风险分析和评估。

3.0 参考

1.《Information technology - Security techniques -- Evaluation criteria IT security 》ISO/IEC15408-3

2.《计算机信息系统安全保护等级划分准则》GB17859-1999

4.0 定义

性(confidentiality):使信息不泄露给非授权的个人、实体或进程, 不为其所用

完整性(integrity):信息系统中的数据与在原文档中的相同，未遭受偶然或恶意修改/破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏或

修改的性质

可用性( Availability):被授权实体所需的资源可被访问与使用，即攻击者不能占用相关资源而阻碍授权者的工作

抗抵赖性(repudiation): 防止在通信中涉及到的那些实体不承认参加了该通信

可审查性：有依据、有手段地对出现的信息安全问题提供跟踪和调查5.0 容

5.1 安全风险评估的基本步骤

确定需保护的资源，找出该资源的安全弱点和可能有的安全威胁，得出安全风险等级。然后列举可采取的降低风险的对策，直至风险减小至安全需求允许的围。

下图显示了风险评估中的各要素和工作步骤的关系：

5.1.1 明确需安全保护资源5.1.2 评估脆弱性，包括：

1. 场所安全

2. 安全流程

3. 系统安全

4. 网络安全

5. 应用安全

5.1.3 评估威胁

5.1.4 列举安全对策

5.1.5 损失评估

5.1.6 确定风险等级

5.2 细则

5.2.1 明确需安全保护资源

1.网络设备：交换机、路由器、HUB、网络布线等

2.计算机设备：个人计算机、便携机、网络服务器、文件服务器、工作站等

3.存储介质；软盘、硬盘、磁带、光盘、MO等

4.软件：操作系统、数据库、工具软件、办公平台软件、开发用软件等

5.网上应用系统：EMail系统、Internet Proxy服务、Notes系统、MRPII、SAP、HR、WWW、FTP等

6. 网络服务：DNS、DHCP、WINS、网络路由服务等

7. 数据资料：电子文档、数据库等

5.2.2 评估脆弱性

使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。

1. 场所安全评估

1)对公司场所安全评估，信息安全监控须包含硬件监控。

2)对公司信息安全部安全措施及相关文件评估，包括：场所安全、存储介质安全、硬件安全、紧急事故处理和信息保护等。

3)分析公司安全标准并与业界最佳实践标准进行比较。

4)总结安全措施优缺点及措施实用性。

2. 安全流程评估

1)评估公司的安全管理流程的效率及效用，评估查安全信息保障系统是否真正保护了至关重要的业务信息，评估管理流程和安全技术是否同时在各方面发挥作用。

2)针对已有的信息安全标准或规则，通过相关安全接口人员了解情况，审查各监控环节以确认该环节能够履行监控职责。

3)对各环节中所使用的IT安全监控系统评估：安全决策，组织结构，硬件监控，资产评估及控制，系统安全监控，网络和计算机管理，业务连续性，应用程序发展和维护，以及服从性。

4)与业界相比对，对所收集到的信息进行分析。

5)总结系统优势及弱势，推荐改进方法，以完善安全系统，降低风险。

3. 系统安全评估

1)评估公司一系列全面办公解决方案、数据库服务器、文件和打印服务器、应用程序服务器，找出系统弱点。

2)找出公司主要系统平台（如：UNIX,Windows/NT）和一些捆绑销售的组件（如：Microsoft Exchange, Lotus Notes, COBRA,Tivoli）的弱点所在。

3)从技术和管理两方面进行评估：

a.技术审查对每一个组件的机制进行真实性、可靠性、可审查性、性、适用性检验，并根据公司书面文件对其进行核查及预警。

b.管理审查包括听取管理员意见，对该组件相关的书面文件、标准和措施进行审查。这将保证公司能够发现来自于公司部或外部的能越过安全监控的潜在威胁。

5)对系统软件和组件的配置文件是否能让授权用户正常登录进行审查，同时阻止和发现非授权用户的登录企图。

6)对安全管理监控作以下方面的综合审查：计划、组织、人事、资产分类和监控、硬件监控、资产监控、网络及计算机管理、业务连续性、系统发展和维护、适用性等。

4. 网络安全评估

1)对公司网络平台的安全设计情况（路由器、防火墙、网络服务器、应用程序服务器等）进行审查，以确定是否有些功能会存在安全问题。将不受信任的、外部的网络与部的、受信任的网络和系统隔离开来。

2)(根据情况需要）模拟入侵者的攻击，必须以可控制的安全的方式进行。模拟三个方面非法进入部网络：低水平的单个黑客，有一定能力的黑客小分队，有高度动机的专家黑客队伍。

3)检查系统的配置和管理以及可能在将来引起新的安全问题的因素。评估容可以根据需要裁剪，包括系统平台、网络连接、软件和数据库。

4)在技术和管理层面综合性地检查网络方案。技术检查包括多方面的入侵测试和配置分析，全面了解网络解决方案的长处和不足。管理检查包括访问

管理者和检查安全文件。

5. 应用安全评估

1)全面评估应用程序的：体系结构、设计及功能；开发和维护过程；运行过程及包括运行平台在的技术组件；使用的网络服务及数据库或使用的运行平台服务。

2)对应用所采用的过程和技术进行审核，以保证主应用程序的安全性和性要求。对应用程序新的安全代码和支持基础结构的服务进行审核，检查影响生产环境完整性的一般错误。

3)复查应用程序安全和的要求、体系结构规、功能规和测试计划。

4)分析所选择应用程序代码，找出有关代码中的脆弱性。

5)分析操作系统平台、数据库、网络、以及该应用程序可能调用的安全和服务。

6)对现有基础结构中的部件和过程的安全和性进行确认。

7)复查客户与安全和政策以及相关标准的程序和过程。

5.2.3 评估威胁

当需要保护的资源被确定后，进一步则需确定所需保护资源存在的威胁。

1. 查非授权访问：如没有预先经过同意就使用网络或计算机资源被看作是非授权访问。如：有意避开系统访问控制机制，擅自扩大权限，越权访问信息。

2. 查信息泄漏：是否敏感数据在有意或无意中被泄漏出去或丢失。如：信息在传输中或在存储介质中丢失或泄漏，通过隐蔽通道窃取信息等。

3. 查数据完整性：如非法窃得数据使用权，修改或重发某些重要信息，恶意