搜索

[13894] 2019-03-21_小师妹聊安全标准

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-03-21_小师妹聊安全标准 小 师 妹 聊 安 全 标 准 x x x 幸 x x x   F r e e B u f   2 0 1 9 - 0 3 - 2 1 作 为 公 司 信 息 安 全 咨 询 岗 上 的 小 师 妹 儿 ， 我 对 自 己 以 后 的 安 全 路 非 常 焦 灼 ， 到 底 该 往 哪 个 方 向 去 发 展 ？ 作 为 公 司 信 息 安 全 咨 询 岗 上 的 小 师 妹 儿 ， 我 对 自 己 以 后 的 安 全 路 非 常 焦 灼 ， 到 底 该 往 哪 个 方 向 去 发 展 ？ 上 了 快 半 年 的 班 ， 每 天 都 会 浏 览 相 关 的 专 业 文 档 ， 还 要 学 习 N I S T 的 出 版 物 ， 对 等 保 、 I S O   2 7 0 0 1 这 些 标 准 都 要 了 解 ， 这 不 ， 最 近 有 空 就 在 研 究 信 安 标 委 出 的 国 家 网 络 安 全 相 关 标 准 了 。 看 了 一 下 这 些 标 准 清 单 ， 现 在 正 式 发 布 的 国 家 网 络 安 全 标 准 粗 略 看 了 一 下 ， 共 有 2 6 8 项 ， 再 搜 索 出 一 些 自 己 感 兴 趣 的 标 准 来 看 ， 突 然 发 现 ， 信 息 安 全 标 准 化 这 条 路 貌 似 还 不 错 ， 为 了 鞭 励 自 己 ， 决 定 有 时 间 就 把 自 己 看 过 的 安 全 标 准 提 炼 出 来 分 享 给 大 家 。 并 希 望 各 位 能 够 指 点 一 二 。 今 天 想 和 大 家 交 流 的 是 《 G B / T   3 1 5 0 9   信 息 安 全 技 术   信 息 安 全 风 险 评 估 实 施 指 南 》 。 该 标 准 主 要 用 来 指 导 风 险 评 估 项 目 的 组 织 、 实 施 、 验 收 等 工 作 。 并 且 规 定 了 信 息 安 全 风 险 评 估 实 施 的 过 程 和 方 法 。 一 、 该 标 准 的 框 架 结 构 如 下 一 、 该 标 准 的 框 架 结 构 如 下 二 、 风 险 评 估 的 基 本 原 则 二 、 风 险 评 估 的 基 本 原 则 （ 一 ） 、 标 准 性 原 则 意 思 是 要 按 照 本 标 准 中 规 定 的 评 估 流 程 来 实 施 风 险 评 估 。 （ 二 ） 、 关 键 业 务 原 则 意 思 是 要 把 被 评 估 方 的 关 键 业 务 作 为 评 估 核 心 ， 围 绕 这 个 核 心 的 相 关 网 络 与 系 统 作 为 评 估 重 点 。 （ 三 ） 、 可 控 性 原 则 a ） 服 务 可 控 性 （ 就 是 要 提 前 和 客 户 沟 通 好 评 估 服 务 的 流 程 ） b ） 人 员 与 信 息 可 控 性 （ 就 是 说 参 与 风 险 评 估 项 目 的 所 有 人 都 要 签 个 保 密 协 议 ）
c ） 过 程 可 控 性 （ 这 点 呢 就 是 要 求 要 成 立 一 个 实 施 团 队 ， 项 目 组 长 负 责 制 ） d ） 工 具 可 控 性 （ 把 实 施 过 程 中 要 使 用 的 评 估 工 具 告 诉 客 户 ， 提 前 通 气 儿 ） （ 四 ） 、 最 小 影 响 原 则 在 实 施 风 险 评 估 时 一 定 要 最 大 限 度 的 减 小 评 估 工 作 带 来 的 影 响 。 三 、 风 险 评 估 的 流 程 三 、 风 险 评 估 的 流 程 1 .   评 估 准 备 阶 段 ： 对 评 估 实 施 有 效 性 的 保 证 ， 是 评 估 工 作 的 开 始 。 2 .   风 险 要 素 识 别 阶 段 ： 对 评 估 活 动 中 的 各 类 关 键 要 素 资 产 、 威 胁 、 脆 弱 性 、 安 全 措 施 进 行 识 别 与 赋 值 。 3 .   风 险 分 析 阶 段 ： 对 识 别 阶 段 中 获 得 的 各 类 信 息 进 行 关 联 分 析 ， 并 计 算 风 险 值 。 4 .   风 险 处 置 建 议 ： 针 对 评 估 出 的 风 险 ， 提 出 相 应 的 处 置 建 议 ， 以 及 按 照 处 置 建 议 实 施 安 全 加 固 后 进 行 残 余 风 险 处 置 等 内 容 。 四 、 风 险 评 估 的 工 作 形 式 四 、 风 险 评 估 的 工 作 形 式 两 种 形 式 ： 自 评 估 与 检 查 评 估 。 自 评 估 就 是 组 织 自 身 对 信 息 系 统 进 行 的 风 险 评 估 ， 也 可 以 委 托 第 三 方 服 务 机 构 来 实 施 ； 检 查 评 估 是 信 息 系 统 上 级 管 理 部 门 或 国 家 有 关 职 能 部 门 依 法 开 展 的 风 险 评 估 ， 一 般 来 说 ， 这 种 形 式 的 评 估 采 用 的 是 抽 样 评 估 ， 同 样 也 可 以 委 托 第 三 方 服 务 机 构 来 实 施 （ 在 选 择 第 三 方 单 位 时 ， 应 审 查 评 估 单 位 、 评 估 人 员 的 资 质 和 资 格 ） 。 五 、 信 息 系 统 生 命 周 期 内 的 风 险 评 估 五 、 信 息 系 统 生 命 周 期 内 的 风 险 评 估 信 息 系 统 生 命 周 期 一 般 包 括 以 下 五 个 阶 段 ：
根 据 各 个 阶 段 的 评 估 对 象 以 及 安 全 需 求 的 不 同 ， 风 险 评 估 的 目 的 也 各 不 相 同 。 1 .   规 划 阶 段 ： 识 别 系 统 的 业 务 战 略 ， 支 撑 系 统 安 全 需 求 及 安 全 战 略 。 2 .   设 计 阶 段 ： 评 估 安 全 设 计 方 案 是 否 满 足 信 息 系 统 安 全 功 能 的 需 求 。 3 .   实 施 阶 段 ： 对 系 统 开 发 、 实 施 过 程 进 行 风 险 识 别 ， 对 建 成 后 的 系 统 安 全 功 能 进 行 验 证 。 4 .   运 维 阶 段 ： 了 解 和 控 制 系 统 运 行 过 程 中 的 安 全 风 险 。 5 .   废 弃 阶 段 ： 分 析 废 弃 资 产 对 组 织 的 影 响 。 六 、 风 险 评 估 的 实 施 六 、 风 险 评 估 的 实 施 在 第 三 节 我 们 已 经 讲 过 了 风 险 评 估 的 基 本 流 程 ， 这 里 主 要 是 风 险 评 估 的 具 体 实 施 。 （ 一 ） 准 备 阶 段 1 . 工 作 内 容 这 是 评 估 工 作 的 开 始 ， 分 八 步 来 完 成 准 备 工 作 这 几 步 都 很 好 理 解 ， 其 中 需 要 注 意 的 有 以 下 几 点 第 一 、 确 定 评 估 范 围 时 ， 需 合 理 定 义 评 估 对 象 和 评 估 范 围 边 界 ， 一 般 划 分 原 则 为 ： a )       业 务 系 统 的 业 务 逻 辑 边 界 ； b )       网 络 及 设 备 载 体 边 界 ； c )       物 理 环 境 边 界 ； d )       组 织 管 理 权 限 边 界 ； 第 二 、 风 险 评 估 团 队 由 被 评 估 单 位 、 评 估 机 构 共 同 组 建 风 险 评 估 小 组 ， 由 被 评 估 单 位 领 导 、 相 关 部 门 负 责 人 ， 以 及 评 估 机 构 相 关 人 员 成 立 风 险 评 估 领 导 小 组 ； 聘 请 相 关 专 业 的 技 术 专 家 和 技 术 骨 干 组 成 专 家 组 。 风 险 评 估 小 组 应 完 成 评 估 前 的 表 格 、 文 档 、 检 测 工 具 等 各 项 准 备 工 作 ； 进 行 风 险 评 估 技 术 培 训 和 保 密 教 育 ； 制 定 风 险 评 估 过 程 管 理 相 关 规 定 ； 编 制 应 急 预 案 等 ， 同 时 双 方 应 签 署 保 密 协 议 ， 适 情 签 署 个 人 保 密 协 议 。
第 三 、 信 息 系 统 调 研 的 内 容 包 括 ： a )   信 息 系 统 安 全 保 护 等 级 ； b )   主 要 的 业 务 功 能 和 要 求 ； c )   网 络 结 构 与 网 络 环 境 ， 包 括 内 部 连 接 和 外 部 连 接 ； d )   系 统 边 界 ， 包 括 业 务 逻 辑 边 界 、 网 络 及 设 备 载 体 边 界 、 物 理 环 境 边 界 、 组 织 管 理 权 限 边 界 等 ； e )   主 要 的 硬 件 、 软 件 ； f )     数 据 和 信 息 ； g )   系 统 和 数 据 的 敏 感 性 ； h )   支 持 和 使 用 系 统 的 人 员 ； i )     信 息 安 全 管 理 组 织 建 设 和 人 员 配 备 情 况 ； j )   信 息 安 全 管 理 制 度 ； k )   法 律 法 规 及 服 务 合 同 ； 第 四 、 评 估 依 据 包 括 ： a )   适 用 的 法 律 、 法 规 ； b )   现 有 国 际 标 准 、 国 家 标 准 、 行 业 标 准 ； c )   行 业 主 管 机 关 的 业 务 系 统 的 要 求 和 制 度 ； d )   与 信 息 系 统 安 全 保 护 等 级 相 应 的 基 本 要 求 ； e )   被 评 估 组 织 的 安 全 要 求 ；
f )     系 统 自 身 的 实 时 性 或 性 能 要 求 等 。 第 五 、 合 理 选 择 相 应 的 评 估 工 具 ， 遵 循 如 下 原 则 ： a )   对 于 系 统 脆 弱 性 评 估 工 具 ， 应 具 备 全 面 的 已 知 系 统 脆 弱 性 核 查 与 检 测 能 力 ； b )   评 估 工 具 的 检 测 规 则 库 应 具 备 更 新 功 能 ， 能 够 及 时 更 新 ； c )   评 估 工 具 使 用 的 检 测 策 略 和 检 测 方 式 不 应 对 信 息 系 统 造 成 不 正 常 影 响 ； d )   可 采 用 多 种 评 估 工 具 对 同 一 测 试 对 象 进 行 检 测 ， 如 果 出 现 检 测 结 果 不 一 致 的 情 况 ， 应 进 一 步 采 用 必 要 的 人 工 检 测 和 关 联 分 析 ， 并 给 出 与 实 际 情 况 最 为 相 符 的 结 果 判 定 ； 第 六 、 风 险 评 估 方 案 的 内 容 应 包 括 ： a )   风 险 评 估 工 作 框 架 ： 包 括 评 估 目 标 、 评 估 范 围 、 评 估 依 据 等 ； b )   评 估 团 队 组 织 ： 包 括 评 估 小 组 成 员 、 组 织 结 构 、 角 色 、 责 任 ； 如 有 必 要 还 应 包 括 风 险 评 估 领 导 小 组 和 专 家 组 组 建 介 绍 等 ； c )   评 估 工 作 计 划 ： 包 括 各 阶 段 工 作 内 容 、 工 作 形 式 、 工 作 成 果 等 ； d )   风 险 规 避 ： 包 括 保 密 协 议 、 评 估 工 作 环 境 要 求 、 评 估 方 法 、 工 具 选 择 、 应 急 预 案 等 ； e )   时 间 进 度 安 排 ： 评 估 工 作 实 施 的 时 间 进 度 安 排 ； 2 . 工 作 保 障 （ 二 ） 识 别 阶 段 这 个 阶 段 差 不 多 是 整 个 风 险 评 估 工 作 中 很 重 要 的 一 个 阶 段 了 ， 首 先 还 是 先 画 一 个 结 构 图 来 了 解 一 下 。
1 . 资 产 识 别 风 险 的 重 要 因 素 是 以 资 产 为 中 心 ， 威 胁 、 脆 弱 性 以 及 风 险 都 是 针 对 资 产 而 客 观 存 在 的 。 一 般 识 别 流 程 如 下 ： （ 1 ） 资 产 分 类 ： 一 般 来 说 ， 我 们 把 资 产 分 为 硬 件 、 软 件 、 数 据 、 服 务 、 人 员 以 及 其 他 6 大 类 。 （ 2 ） 资 产 调 查 ： 识 别 组 织 和 信 息 系 统 中 资 产 （ 包 括 资 产 属 性 ） 的 重 要 途 径 。 一 般 情 况 下 ， 可 通 过 查 阅 信 息 系 统 需 求 说 明 书 、 可 行 性 研 究 报 告 、 设 计 方 案 、 实 施 方 案 、 安 装 手 册 、 用 户 使 用 手 册 、 测 试 报 告 、 运 行 报 告 、 安 全 策 略 文 件 、 安 全 管 理 制 度 文 件 、 操 作 流 程 文 件 、 制 度 落 实 的 记 录 文 件 、 资 产 清 单 、 网 络 拓 扑 图 以 及 访 谈 相 关 人 员 等 ， 识 别 组 织 和 信 息 系 统 的 资 产 。 （ 3 ） 资 产 赋 值 ： 依 据 资 产 保 密 性 、 完 整 性 和 可 用 性 等 安 全 属 性 为 资 产 赋 值 。 一 般 来 说 ， 根 据 以 下 几 个 因 素 综 合 来 为 资 产 资 产 赋 值 : a )   资 产 所 承 载 信 息 系 统 的 重 要 性 ； b )   资 产 所 承 载 信 息 系 统 的 安 全 等 级 ； c )   资 产 对 所 承 载 信 息 安 全 正 常 运 行 的 重 要 程 度 ； d )   资 产 保 密 性 、 完 整 性 、 可 用 性 等 安 全 属 性 对 信 息 系 统 ， 以 及 相 关 业 务 的 重 要 程 度 。 （ 4 ） 资 产 赋 值 报 告 ： 根 据 资 产 赋 值 情 况 ， 形 成 资 产 列 表 和 资 产 赋 值 报 告 。 2 . 威 胁 识 别
威 胁 是 指 可 能 导 致 危 害 系 统 或 组 织 的 不 希 望 事 故 的 潜 在 起 因 。 在 信 息 安 全 领 域 ， 不 存 在 绝 对 的 安 全 。 威 胁 的 一 般 识 别 流 程 如 下 ： （ 1 ） 威 胁 分 类 ： 威 胁 分 为 软 硬 件 故 障 、 物 理 环 境 影 响 、 无 作 为 或 操 作 失 误 、 管 理 不 到 位 、 恶 意 代 码 、 越 权 或 滥 用 、 网 络 攻 击 、 物 理 攻 击 、 泄 密 、 篡 改 、 抵 赖 1 1 类 。 如 果 根 据 威 胁 产 生 的 起 因 、 表 现 和 后 果 不 同 ， 威 胁 又 可 分 为 有 害 程 序 、 网 络 攻 击 、 信 息 破 坏 、 信 息 内 容 攻 击 、 设 备 设 施 故 障 、 灾 害 性 破 坏 、 其 他 威 胁 7 类 。 （ 2 ） 威 胁 调 查 ： 调 查 工 作 包 括 威 胁 源 动 机 及 其 能 力 、 威 胁 途 径 、 威 胁 可 能 性 及 其 影 响 ； 威 胁 调 查 的 方 法 是 多 样 化 的 ， 根 据 组 织 和 信 息 系 统 自 身 的 特 点 ， 发 生 的 历 史 安 全 事 件 记 录 （ 数 据 ） ， 面 临 威 胁 分 析 等 方 法 进 行 调 查 。 （ 3 ） 威 胁 分 析 ： 基 于 前 面 的 威 胁 调 查 作 出 分 析 。 同 样 也 可 对 威 胁 的 可 能 性 进 行 赋 值 ， 威 胁 赋 值 分 为 很 高 、 高 、 中 等 、 低 、 很 低 5 个 级 别 ， 级 别 越 高 表 示 威 胁 发 生 的 可 能 性 越 高 。 （ 4 ） 威 胁 分 析 报 告 ： 报 告 内 容 包 括 威 胁 名 称 、 威 胁 类 型 、 威 胁 源 攻 击 能 力 、 攻 击 动 机 、 威 胁 发 生 概 率 、 影 响 程 度 、 威 胁 发 生 的 可 能 性 、 威 胁 赋 值 以 及 严 重 威 胁 说 明 等 。 3 . 脆 弱 性 识 别 脆 弱 性 可 从 技 术 和 管 理 两 个 方 面 进 行 识 别 。 技 术 方 面 ， 可 从 物 理 环 境 、 网 络 、 主 机 系 统 、 应 用 系 统 、 数 据 等 方 面 识 别 资 产 的 脆 弱 性 ； 管 理 方 面 ， 可 从 技 术 管 理 脆 弱 性 和 组 织 管 理 脆 弱 性 两 方 面 识 别 资 产 的 脆 弱 性 ， 技 术 管 理 脆 弱 性 与 具 体 技 术 活 动 相 关 ， 组 织 管 理 脆 弱 性 与 管 理 环 境 相 关 。 脆 弱 性 识 别 所 采 用 的 方 法 主 要 有 ： 文 档 查 阅 、 问 卷 调 查 、 人 工 核 查 、 工 具 检 测 、 渗 透 性 测 试 等 。 （ 1 ） 安 全 技 术 脆 弱 性 核 查 物 理 物 理 环 境 环 境 安 全 安 全 （ （ 1 ） 安 全 措 施 ： 机 房 选 址 、 建 筑 物 的 物 理 访 问 控 制 、 防 盗 窃 和 防 破 坏 、 防 雷 击 、 防 火 、 防 水 和 防 潮 、 防 静 电 、 温 湿 度 控 制 、 ） 安 全 措 施 ： 机 房 选 址 、 建 筑 物 的 物 理 访 问 控 制 、 防 盗 窃 和 防 破 坏 、 防 雷 击 、 防 火 、 防 水 和 防 潮 、 防 静 电 、 温 湿 度 控 制 、 电 力 供 应 、 电 磁 防 护 等 。 电 力 供 应 、 电 磁 防 护 等 。   （ （ 2 ） 核 查 方 法 ： 现 场 查 看 、 询 问 物 理 环 境 现 状 ， 验 证 安 全 措 施 的 有 效 性 。 ） 核 查 方 法 ： 现 场 查 看 、 询 问 物 理 环 境 现 状 ， 验 证 安 全 措 施 的 有 效 性 。 网 络 网 络 安 全 安 全 （ （ 1 ） 安 全 措 施 ： 网 络 拓 扑 图 ， ） 安 全 措 施 ： 网 络 拓 扑 图 ， v l a n 划 分 ， 网 络 访 问 控 制 ， 网 络 设 备 防 护 ， 安 全 审 计 ， 边 界 完 整 性 检 查 ， 入 侵 防 范 ， 恶 意 代 码 防 范 等 。 （ （ 2 ） 核 查 方 法 ： 查 看 网 络 拓 扑 图 、 网 络 安 全 设 备 的 安 全 策 略 、 配 置 等 相 关 文 档 ， 询 问 相 关 人 员 ， 查 看 网 络 设 备 的 硬 件 配 置 情 况 ， 手 工 或 自 动 查 看 或 检 测 网 络 设 备 的 软 件 安 装 和 配 置 情 况 ， 查 看 和 验 证 身 份 鉴 别 、 访 问 控 制 、 安 全 审 计 等 安 全 功 能 ， 检 查 分 析 网 络 和 安 全 设 备 日 志 记 录 ， 利 用 工 具 探 测 网 络 拓 扑 结 构 ， 扫 描 网 络 安 全 设 备 存 在 的 漏 洞 ， 探 测 网 络 非 法 接 入 或 外 联 情 况 ， 测 试 网 络 流 量 、 网 络 设 备 负 荷 承 载 能 力 以 及 网 络 带 宽 ， 手 工 或 自 动 查 看 和 检 测 安 全 措 施 的 使 用
情 况 并 验 证 其 有 效 性 等 。   |   主 机 系 统 安 全   |   （ 1 ） 安 全 措 施 ： 身 份 鉴 别 、 访 问 控 制 、 安 全 审 计 、 剩 余 信 息 保 护 、 入 侵 防 范 、 恶 意 代 码 防 范 、 资 源 控 制 等 。 （ 2 ） 核 查 方 法 ： 手 工 或 自 动 查 看 或 检 测 主 机 硬 件 设 备 的 配 置 情 况 以 及 软 件 系 统 的 安 装 配 置 情 况 ， 查 看 软 件 系 统 的 自 启 动 和 运 行 情 况 ， 查 看 和 验 证 身 份 鉴 别 、 访 问 控 制 、 安 全 审 计 等 安 全 功 能 ， 查 看 并 分 析 主 机 系 统 运 行 产 生 的 历 史 数 据 （ 如 鉴 别 信 息 、 上 网 痕 迹 ） ， 检 查 并 分 析 软 件 系 统 日 志 记 录 ， 利 用 工 具 扫 描 主 机 系 统 存 在 的 漏 洞 ， 测 试 主 机 系 统 的 性 能 ， 手 工 或 自 动 查 看 或 检 测 安 全 措 施 的 使 用 情 况 并 验 证 其 有 效 性 等 。   |   应 用 系 统 安 全   | （ 1 ） 安 全 措 施 ： 身 份 鉴 别 、 访 问 控 制 、 安 全 审 计 、 剩 余 信 息 保 护 、 通 信 完 整 性 、 通 信 保 密 性 、 抗 抵 赖 、 软 件 容 错 、 资 源 控 制 等 。 （ 2 ） 核 查 方 法 ： 查 阅 应 用 系 统 的 需 求 、 设 计 、 测 试 、 运 行 报 告 等 相 关 文 档 ， 检 查 应 用 系 统 在 架 构 设 计 方 面 的 安 全 性 （ 包 括 应 用 系 统 各 功 能 模 块 的 容 错 保 障 、 各 功 能 模 块 在 交 互 过 程 中 的 安 全 机 制 、 以 及 多 个 应 用 系 统 之 间 数 据 交 互 接 口 的 安 全 机 制 等 ） ， 审 查 应 用 系 统 源 代 码 ， 手 工 或 自 动 查 看 或 检 测 应 用 系 统 的 安 装 配 置 情 况 ， 查 看 和 验 证 身 份 鉴 别 、 访 问 控 制 、 安 全 审 计 等 安 全 功 能 ， 查 看 并 分 析 主 机 系 统 运 行 产 生 的 历 史 数 据 （ 如 用 户 登 录 、 操 作 记 录 ） ， 检 查 并 分 析 应 该 系 统 日 志 记 录 ， 利 用 扫 描 工 具 检 测 应 用 系 统 存 在 的 漏 洞 ， 测 试 应 用 系 统 的 性 能 ， 手 工 或 自 动 查 看 或 检 测 安 全 措 施 的 使 用 情 况 并 验 证 其 有 效 性 等 。   |   数 据 安 全   |   （ 1 ） 安 全 措 施 ： 数 据 完 整 性 保 护 措 施 、 数 据 保 密 性 保 护 措 施 、 备 份 和 恢 复 等 。 （ 2 ） 核 查 方 法 ： 通 信 协 议 分 析 、 数 据 破 解 、 数 据 完 整 性 校 验 等 。   （ 2 ） 安 全 管 理 脆 弱 性 核 查 安 全 管 理 核 查 主 要 通 过 查 阅 文 档 、 抽 样 调 查 和 询 问 等 方 法 ， 并 核 查 信 息 安 全 规 章 制 度 的 合 理 性 、 完 整 性 、 适 用 性 等 。 安 全 管 安 全 管 理 组 织 理 组 织 核 查 方 法 ： 查 看 安 全 管 理 机 构 设 置 、 职 能 部 门 设 置 、 岗 位 设 置 、 人 员 配 置 等 相 关 文 件 ， 以 及 安 全 管 理 组 织 相 关 活 动 记 录 等 核 查 方 法 ： 查 看 安 全 管 理 机 构 设 置 、 职 能 部 门 设 置 、 岗 位 设 置 、 人 员 配 置 等 相 关 文 件 ， 以 及 安 全 管 理 组 织 相 关 活 动 记 录 等 文 件 。 文 件 。 安 全 管 安 全 管 理 策 略 理 策 略 核 查 方 法 ： 查 看 是 否 存 在 明 确 的 安 全 管 理 策 略 文 件 ， 并 就 安 全 策 略 有 关 内 容 询 问 相 关 人 员 ， 分 析 策 略 的 有 效 性 ， 识 别 安 全 核 查 方 法 ： 查 看 是 否 存 在 明 确 的 安 全 管 理 策 略 文 件 ， 并 就 安 全 策 略 有 关 内 容 询 问 相 关 人 员 ， 分 析 策 略 的 有 效 性 ， 识 别 安 全 管 理 策 略 存 在 的 脆 弱 性 。 管 理 策 略 存 在 的 脆 弱 性 。 安 全 管 安 全 管 理 制 度 理 制 度 核 查 方 法 ： 审 查 相 关 制 度 文 件 完 备 情 况 ， 查 看 制 度 落 实 的 记 录 ， 就 制 度 有 关 内 容 询 问 相 关 人 员 ， 了 解 制 度 的 执 行 情 况 ， 综 核 查 方 法 ： 审 查 相 关 制 度 文 件 完 备 情 况 ， 查 看 制 度 落 实 的 记 录 ， 就 制 度 有 关 内 容 询 问 相 关 人 员 ， 了 解 制 度 的 执 行 情 况 ， 综 合 识 别 安 全 管 理 制 度 存 在 的 脆 弱 性 。 合 识 别 安 全 管 理 制 度 存 在 的 脆 弱 性 。 人 员 安 人 员 安 全 管 理 全 管 理 核 查 方 法 ： 查 阅 相 关 制 度 文 件 以 及 相 关 记 录 ， 或 要 求 相 关 人 员 现 场 执 行 某 些 任 务 ， 或 以 外 来 人 员 身 份 访 问 等 方 式 进 行 人 员 核 查 方 法 ： 查 阅 相 关 制 度 文 件 以 及 相 关 记 录 ， 或 要 求 相 关 人 员 现 场 执 行 某 些 任 务 ， 或 以 外 来 人 员 身 份 访 问 等 方 式 进 行 人 员 安 全 管 理 脆 弱 性 的 识 别 。 安 全 管 理 脆 弱 性 的 识 别 。 系 统 运 系 统 运 维 管 理 维 管 理 核 查 方 法 ： 审 阅 系 统 运 维 的 相 关 制 度 文 件 、 操 作 手 册 、 运 维 记 录 等 ， 现 场 查 看 运 维 情 况 ， 访 谈 运 维 人 员 ， 让 运 维 人 员 演 示 核 查 方 法 ： 审 阅 系 统 运 维 的 相 关 制 度 文 件 、 操 作 手 册 、 运 维 记 录 等 ， 现 场 查 看 运 维 情 况 ， 访 谈 运 维 人 员 ， 让 运 维 人 员 演 示 相 关 操 作 等 方 式 进 行 系 统 运 维 管 理 脆 弱 性 的 识 别 。 相 关 操 作 等 方 式 进 行 系 统 运 维 管 理 脆 弱 性 的 识 别 。 4 . 工 作 保 障
（ 三 ） 风 险 分 析 阶 段 1 . 信 息 安 全 风 险 分 析 原 理 ： 2 . 风 险 值 的 计 算 方 法 风 险 计 算 方 法 一 般 分 为 定 性 计 算 方 法 和 定 量 计 算 方 法 两 大 类 。 （ 1 ） 定 性 计 算 方 法 ： 将 风 险 的 各 要 素 资 产 、 威 胁 、 脆 弱 性 等 的 相 关 属 性 进 行 量 化 （ 或 等 级 化 ） 赋 值 ， 然 后 选 用 具 体 的 计 算 方 法 （ 如 相 乘 法 或 矩 阵 法 ） 进 行 风 险 计 算 ； （ 2 ） 定 量 计 算 方 法 ： 通 过 将 资 产 价 值 和 风 险 等 量 化 为 财 务 价 值 的 方 式 来 进 行 计 算 的 一 种 方 法 。 由 于 定 量 计 算 法 需 要 等 量 化 财 务 价 值 ， 在 实 际 操 作 中 往 往 难 以 实 现 ， 所 以 一 般 不 采 用 该 计 算 方 法 。 3 . 风 险 分 析 与 评 价 通 过 对 风 险 的 等 级 划 分 ， 来 确 定 总 体 的 风 险 状 况 。 4 . 风 险 评 估 报 告 报 告 内 容 包 括 ： 风 险 对 组 织 、 业 务 及 系 统 的 影 响 范 围 、 影 响 程 度 ； 依 据 的 法 规 和 证 据 ； 风 险 评 价 结 论 。 5 . 工 作 保 障
（ 四 ） 风 险 处 置 建 议 这 个 阶 段 是 围 绕 风 险 评 估 报 告 来 进 行 的 风 险 处 置 ， 还 是 有 5 点 内 容 。 1 . 处 置 原 则 将 风 险 控 制 在 可 接 受 范 围 内 ， 具 体 处 置 时 ， 可 依 据 等 级 保 护 相 关 要 求 实 施 的 安 全 风 险 加 固 工 作 ， 应 满 足 等 级 保 护 相 应 等 级 的 安 全 技 术 和 管 理 要 求 ； 对 于 因 不 能 够 满 足 该 等 级 安 全 要 求 产 生 的 风 险 则 不 能 够 适 用 适 度 接 受 风 险 的 原 则 。 2 . 安 全 整 改 建 议 风 险 处 置 方 式 一 般 包 括 接 受 、 消 减 、 转 移 、 规 避 等 ， 安 全 整 改 属 于 风 险 消 减 方 法 。 整 改 建 议 根 据 安 全 等 级 有 所 不 同 ： a ） 对 于 非 常 严 重 、 需 立 即 降 低 且 加 固 措 施 易 于 实 施 的 安 全 风 险 ， 建 议 被 评 估 组 织 立 即 采 取 安 全 整 改 措 施 。 b ） 对 于 非 常 严 重 、 需 立 即 降 低 ， 但 加 固 措 施 不 便 于 实 施 的 安 全 风 险 ， 建 议 被 评 估 组 织 立 即 制 定 安 全 整 改 实 施 方 案 ， 尽 快 实 施 安 全 整 改 ； 整 改 前 应 对 相 关 安 全 隐 患 进 行 严 密 监 控 ， 并 作 好 应 急 预 案 。 c ） 对 于 比 较 严 重 、 需 降 低 且 加 固 措 施 不 易 于 实 施 的 安 全 风 险 ， 建 议 被 评 估 组 织 制 定 限 期 实 施 的 整 改 方 案 ； 整 改 前 应 对 相 关 安 全 隐 患 进 行 监 控 。 3 . 组 织 评 审 会 评 估 项 目 结 束 时 召 开 评 审 会 ， 参 与 人 员 一 般 包 括 ： 被 评 估 组 织 、 评 估 机 构 及 专 家 等 。 评 估 项 目 验 收 文 档 如 下 ： 工 作 阶 段 工 作 阶 段 输 出 文 档 输 出 文 档 文 档 内 容 文 档 内 容 准 备 阶 段 《 系 统 调 研 报 告 》 对 被 评 估 系 统 的 调 查 了 解 情 况 ， 涉 及 网 络 结 构 、 系 统 情 况 、 业 务 应 用 等 内 容 。 《 风 险 评 估 方 案 》 根 据 调 研 情 况 及 评 估 目 的 ， 确 定 评 估 的 目 标 、 范 围 、 对 象 、 工 作 计 划 、 主 要 技 术 路 线 、 应 急 预 案 等 。 识 别 阶 段 《 资 产 价 值 分 析 报 告 》 资 产 调 查 情 况 ， 分 析 资 产 价 值 ， 以 及 重 要 资 产 说 明 。 《 威 胁 分 析 报 告 》 威 胁 调 查 情 况 ， 明 确 存 在 的 威 胁 及 其 发 生 的 可 能 性 ， 以 及 严 重 威 胁 说 明 。 《 安 全 技 术 脆 弱 性 分 析 报 告 》 物 力 、 网 络 、 主 机 、 应 用 、 数 据 等 方 面 的 脆 弱 性 说 明 。 《 安 全 管 理 脆 弱 性 分 析 报 告 》 安 全 组 织 、 安 全 策 略 、 安 全 制 度 、 人 员 安 全 、 系 统 运 维 等 方 面 的 脆 弱 性 说 明 。 《 已 有 安 全 措 施 分 析 报 告 》 分 析 组 织 或 信 息 系 统 已 部 署 安 全 措 施 的 有 效 性 ， 包 括 技 术 和 管 理 两 方 面 的 安 全 管 控 说 明
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理