搜索

[14981] 2020-02-06_如何规范有效的进行风险评估？

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-02-06_如何规范有效的进行风险评估？ 如 何 规 范 有 效 的 进 行 风 险 评 估 ？ 原 创   j a r y 1 2 3   F r e e B u f   2 0 2 0 - 0 2 - 0 6 前 言 前 言 信 息 安 全 是 网 络 发 展 和 信 息 化 进 程 的 产 物 ， 近 几 年 ， 无 论 是 国 家 层 面 ， 还 是 企 业 本 身 ， 都 对 信 息 安 全 愈 发 的 重 信 息 安 全 是 网 络 发 展 和 信 息 化 进 程 的 产 物 ， 近 几 年 ， 无 论 是 国 家 层 面 ， 还 是 企 业 本 身 ， 都 对 信 息 安 全 愈 发 的 重 视 。 风 险 管 理 的 理 念 也 逐 步 被 引 入 到 信 息 安 全 领 域 ， 并 迅 速 得 到 较 为 广 泛 的 认 可 。 风 险 评 估 逐 步 成 为 信 息 安 全 视 。 风 险 管 理 的 理 念 也 逐 步 被 引 入 到 信 息 安 全 领 域 ， 并 迅 速 得 到 较 为 广 泛 的 认 可 。 风 险 评 估 逐 步 成 为 信 息 安 全 管 理 的 最 为 重 要 的 手 段 之 一 。 那 如 何 规 范 的 实 施 风 险 评 估 ， 保 证 信 息 系 统 的 安 全 ， 成 为 很 多 企 业 安 全 负 责 人 认 管 理 的 最 为 重 要 的 手 段 之 一 。 那 如 何 规 范 的 实 施 风 险 评 估 ， 保 证 信 息 系 统 的 安 全 ， 成 为 很 多 企 业 安 全 负 责 人 认 真 考 虑 的 问 题 。 真 考 虑 的 问 题 。 一 、 参 考 标 准 一 、 参 考 标 准 1 . 1 国 外 标 准 国 外 标 准 N I S T   S P 8 0 0 - 2 6   《 S e c u r i t y   S e l f - A s s e s s m e n t   G u i d e   f o r I n f o r m a t i o n   T e c h n o l o g y   S y s t e m s 》 N I S T   S p e c i a l   P u b l i c a t i o n   8 0 0 - 3 0   《 R i s k   M a n a g e m e n t G u i d e   f o r   I n f o r m a t i o n   T e c h n o l o g y   S y s t e m s 》 O C T A V E ： O p e r a t i o n a l l y   C r i t i c a l   T h r e a t ,   A s s e t ,   a n d V u l n e r a b i l i t y   E v a l u a t i o n   F r a m e w o r k I S O / I E C   1 7 7 9 9 : 2 0 0 0   《 信 息 技 术 — — 信 息 安 全 管 理 实 施 细 则 》 I S O / I E C   2 7 0 0 1 : 2 0 0 5   《 信 息 技 术 — — 信 息 安 全 管 理 实 施 规 范 》 A S / N Z S   4 3 6 0 : 1 9 9 9   《 风 险 管 理 》 I S O / I E C   T R   1 3 3 3 5   《 信 息 技 术 安 全 管 理 指 南 》 1 . 2 国 内 标 准 国 内 标 准 G B / T   2 0 9 8 4 - 2 0 0 7 《 信 息 安 全 技 术   信 息 安 全 风 险 评 估 规 范 》 G B / T   3 1 5 0 9 - 2 0 1 5 《 信 息 安 全 技 术   信 息 安 全 风 险 评 估 实 施 指 南 》 G B / T   2 2 2 3 9 - 2 0 1 9 《 信 息 安 全 技 术   网 络 安 全 等 级 保 护 基 本 要 求 》 G B / T   1 8 3 3 6 - 2 0 0 1 《 信 息 技 术   安 全 技 术   信 息 技 术 安 全 性 评 估 准 则 》 二 、 前 期 准 备 二 、 前 期 准 备 2 . 1   确 定 评 估 目 标 确 定 评 估 目 标 因 风 险 评 估 主 要 目 标 是 信 息 系 统 ， 故 开 展 风 险 评 估 开 展 之 前 ， 首 先 需 要 了 解 的 就 是 此 次 风 评 的 目 标 ， 可 以 是 整 个 单 位 的 所 有 信 息 系 统 ， 或 者 单 个 系 统 ， 单 个 系 统 的 我 们 一 般 都 是 叫 做 专 项 风 险 评 估 。 2 . 2   确 定 评 估 范 围 确 定 评 估 范 围 确 定 好 风 险 评 估 的 目 标 后 ， 就 需 要 对 此 目 标 的 边 界 进 行 定 义 ， 可 以 从 以 下 几 个 方 面 考 虑 ： 1 ） 待 评 估 系 统 的 业 务 逻 辑 边 界 （ 如 独 立 的 系 统 可 以 不 需 考 虑 ） ， 例 如 跟 哪 些 系 统 有 数 据 交 互 ， 避 免 关 联 系 统 被 渗 透 ， 从 而 导 致 此 系 统 也 被 渗 透 ， 可 以 例 举 出 ；
2 ） 网 络 及 设 备 载 体 边 界 ， 这 里 最 好 有 网 络 拓 扑 图 ， 那 样 会 比 较 清 晰 的 看 到 支 撑 此 系 统 的 硬 件 设 备 情 况 ， 是 否 有 冗 余 配 置 ， 例 如 服 务 器 、 交 换 机 、 路 由 器 、 安 全 设 备 等 ； 3 ） 物 理 环 境 边 界 ， 主 要 讲 的 是 机 房 的 环 境 ， 有 没 有 监 控 设 备 、 防 水 、 防 雷 、 防 潮 、 异 常 告 警 ， 其 实 等 保 测 评 时 会 考 虑 这 方 面 ， 如 机 房 太 远 或 不 方 便 查 看 ， 可 以 看 看 系 统 对 应 的 最 新 测 评 报 告 ； 4 ） 组 织 管 理 权 限 边 界 ， 主 要 是 需 要 明 确 目 标 系 统 是 谁 负 责 开 发 、 维 护 、 管 理 等 。 2 . 3   组 建 评 估 团 队 组 建 评 估 团 队 可 能 有 同 学 会 问 ， 为 什 么 需 要 组 建 团 队 去 做 这 个 事 情 呢 ？ 经 历 过 风 险 评 估 同 学 都 知 道 ， 这 工 作 是 极 其 复 杂 的 ， 会 涉 及 非 常 多 的 方 面 ， 当 然 如 果 是 传 说 中 的 “ 一 个 人 的 安 全 部 ” ， 预 算 又 吃 紧 的 单 位 ， 那 就 只 能 仰 天 长 叹 ， 默 默 搬 砖 吧 ， 希 望 下 面 的 内 容 对 你 有 帮 助 。 下 图 是 标 准 理 想 状 态 的 团 队 组 成 ， 大 厂 或 者 预 算 充 足 的 Z F 单 位 才 有 这 样 的 高 配 ， 单 位 可 以 根 据 公 司 内 部 的 情 况 组 建 团 队 ， 也 可 以 委 托 第 三 方 有 风 险 评 估 资 质 的 公 司 负 责 。 2 . 4 工 作 计 划 工 作 计 划 风 险 评 估 是 一 个 复 杂 繁 琐 的 工 作 ， 常 需 要 阶 段 性 汇 报 ， 中 间 会 有 许 多 过 程 文 档 产 生 ， 这 也 有 利 于 项 目 主 管 了 解 项 目 进 度 ， 因 此 详 细 的 实 施 计 划 肯 定 是 不 可 缺 少 的 。 可 以 参 考 如 下 内 容 ：
实 施 流 程 ： 实 施 流 程 ： 实 施 日 程 表 ： 实 施 日 程 表 ：
2 . 5 评 估 方 案 评 估 方 案 前 面 都 说 到 了 风 险 评 估 非 常 复 杂 繁 琐 ， 评 估 方 案 肯 定 是 必 须 要 有 的 ， 方 案 中 应 包 括 一 下 内 容 ： 1 ） 风 险 评 估 工 作 框 架 ： 风 险 评 估 目 标 、 评 估 范 围 、 评 估 依 据 等 ； 2 ） 评 估 团 队 组 织 ： 包 括 评 估 小 组 成 员 、 组 织 结 构 、 角 色 、 责 任 ； 领 导 小 组 和 专 家 组 （ 可 无 ） 3 ） 评 估 工 作 计 划 ： 包 含 各 阶 段 工 作 内 容 、 工 作 形 式 、 工 作 成 果 、 工 作 实 施 时 间 安 排 等 4 ） 风 险 规 避 ： 保 密 协 议 、 评 估 方 法 、 评 估 工 具 、 应 急 预 案 等 5 ） 项 目 验 收 方 式 ： 包 括 验 收 方 式 、 验 收 依 据 、 验 收 结 论 等 （ 适 用 于 委 托 第 三 方 的 单 位 ） 可 参 考 如 下 内 容 ： 三 、 实 施 过 程 及 阶 段 三 、 实 施 过 程 及 阶 段 3 . 1 实 施 流 程 实 施 流 程
风 险 评 估 模 型 ： 风 险 评 估 模 型 ：   3 . 2 系 统 调 研 系 统 调 研 系 统 调 研 是 确 定 被 评 估 对 象 的 过 程 ， 自 评 估 工 作 小 组 应 进 行 充 分 的 系 统 调 研 ， 为 风 险 评 估 依 据 和 方 法 的 选 择 、 评 估 内 容 的 实 施 奠 定 基 础 。 调 研 内 容 至 少 应 包 括 ： a ) 系 统 等 保 测 评 等 级 b ) 主 要 的 业 务 功 能 和 要 求 c ) 网 络 结 构 与 网 络 环 境 ， 包 括 内 部 连 接 和 外 部 连 接 d ) 系 统 边 界 ， 包 括 业 务 逻 辑 边 界 、 网 络 及 设 备 载 体 边 界 、 物 理 环 境 边 界 、 组 织 管 理 权 限 边 界 等 e ) 主 要 的 硬 件 、 软 件
f ) 数 据 和 信 息 g ) 系 统 和 数 据 的 敏 感 性 h ) 支 持 和 使 用 系 统 的 人 员 i ) 信 息 安 全 管 理 组 织 建 设 和 人 员 配 备 情 况 j ) 信 息 安 全 管 理 制 度 k ) 法 律 法 规 及 服 务 合 同 系 统 调 研 可 以 采 取 问 卷 调 查 、 现 场 面 谈 相 结 合 的 方 式 进 行 。 我 们 一 般 都 先 要 求 填 写 问 卷 调 查 ， 对 问 卷 调 查 有 疑 问 的 地 方 采 取 现 场 访 谈 的 方 式 进 行 了 解 ， 这 样 更 容 易 理 解 3 . 3 资 产 识 别 资 产 识 别 资 产 识 别 工 作 主 要 是 参 考 G B / T   2 0 9 8 4 — 2 0 0 7 中 的 分 类 列 明 评 估 范 围 内 的 各 项 资 产 ， 包 括 硬 件 、 软 件 、 数 据 、 服 务 、 人 员 和 其 他 等 六 类 资 产 ， 但 是 我 们 一 般 都 会 有 根 据 标 准 要 求 将 资 产 分 类 为 硬 件 、 软 件 、 文 档 和 数 据 、 人 员 、 业 务 应 用 、 物 理 环 境 、 组 织 管 理 等 七 类 资 产 。 详 细 见 《 资 产 识 别 分 类 参 考 表 》 ， 有 感 兴 趣 或 需 要 的 同 学 可 以 私 信 我 获 取 。 资 产 识 别 小 组 需 要 对 评 估 范 围 内 的 资 产 进 行 了 逐 项 分 析 ， 比 对 资 产 清 单 ， 结 合 系 统 运 行 现 状 ， 识 别 出 评 估 范 围 内 的 信 息 资 产 ， 形 成 了 《 资 产 识 别 表 》 ； 参 考 《 资 产 重 要 性 程 度 判 断 准 则 》 为 每 个 资 产 进 行 了 重 要 性 程 度 赋 值 。 资 产 识 别 和 赋 值 结 果 记 录 在 《 资 产 识 别 表 》 中 。 可 以 参 考 如 下 表 格 制 定 《 资 产 识 别 表 》 ： 3 . 3 . 1   资 产 重 要 性 确 定 资 产 识 别 小 组 依 据 资 产 对 主 要 业 务 、 运 作 及 声 誉 影 响 程 度 确 定 重 要 资 产 的 基 准 线 （ 阀 值 ） ， 在 基 准 线 以 上 资 产 确 定 为 重 要 资 产 ， 填 入 《 重 要 资 产 赋 值 表 》 ； 例 如 资 产 重 要 性 程 度 大 于 等 于 3 0 的 资 产 被 判 定 为 重 要 资 产 。 3 . 3 . 2 C I A 三 性 赋 值 所 谓 C I A 三 性 指 的 是 保 密 性 、 完 整 性 、 可 用 性 ， 资 产 识 别 小 组 依 据 《 信 息 安 全 风 险 评 估 规 范 （ G B / T 2 0 9 8 4 - 2 0 0 7 ） 》 对 于 保 密 性 、 可 用 性 、 完 整 性 的 定 义 ， 分 别 在 《 重 要 资 产 赋 值 表 》 中 填 资 产 的 保 密 性 等 级 值 、 完 整 性 等 级 值 和 可 用 性 等 级 值 。 等 级 值 划 分 为 很 高 （ 5 ） 、 高 （ 4 ） 、 中 等 （ 3 ） 、 低 （ 2 ） 、 很 低 （ 1 ） 五 个 等 级 。 可 以 参 考 如 下 表 格 制 定 《 重 要 资 产 赋 值 表 》 ： 3 . 4 威 胁 识 别 威 胁 识 别
威 胁 识 别 小 组 通 过 查 阅 安 全 设 备 、 日 志 和 以 往 的 安 全 事 件 记 录 ， 分 析 信 息 资 产 在 物 理 环 境 、 网 络 、 人 员 、 设 备 故 障 、 恶 意 代 码 及 病 毒 等 方 面 可 能 出 现 的 情 况 ， 依 据 《 资 产 面 临 的 威 胁 列 表 》 ， 分 析 系 统 资 产 潜 在 的 威 胁 ， 最 终 确 认 形 成 了 《 威 胁 识 别 表 》 。 依 据 经 验 ， 建 议 威 胁 识 别 放 在 脆 弱 性 识 别 之 后 ， 因 为 威 胁 都 是 通 过 利 用 资 产 的 脆 弱 性 才 有 可 能 造 成 危 害 。 可 以 参 考 如 下 表 格 制 定 《 威 胁 识 别 表 》 ： 3 . 5 脆 弱 性 识 别 脆 弱 性 识 别 脆 弱 性 识 别 小 组 针 对 不 同 类 型 的 重 要 资 产 分 组 进 行 脆 弱 性 分 析 ， 可 以 从 技 术 和 管 理 两 个 方 面 进 行 ， 技 术 方 面 ： 运 用 工 具 扫 描 、 基 线 核 查 、 渗 透 测 试 等 方 式 ， 从 物 理 环 境 、 网 络 、 主 机 系 统 、 应 用 系 统 、 数 据 和 文 档 等 方 面 查 找 资 产 的 脆 弱 性 ； 管 理 方 面 : 通 过 文 档 查 阅 、 问 卷 调 查 、 当 面 访 谈 的 方 式 ， 从 人 员 、 组 织 管 理 等 两 方 面 进 行 脆 弱 性 识 别 ； 最 终 形 成 《 脆 弱 性 识 别 表 》 。 每 种 资 产 的 详 细 识 别 内 容 ， 因 篇 幅 有 限 ， 这 里 就 不 赘 述 了 。 可 以 参 考 如 下 表 格 制 定 《 脆 弱 性 识 别 表 》 ： 3 . 5 . 1 基 线 核 查 基 线 核 查 可 以 从 物 理 环 境 、 网 络 、 安 全 设 备 、 主 机 系 统 、 应 用 系 统 、 数 据 库 等 方 面 进 行 核 查 确 认 ， 每 个 方 面 都 可 以 参 考 《 G B T   3 1 5 0 9 - 2 0 1 5   信 息 安 全 技 术   信 息 安 全 风 险 评 估 实 施 指 南 》 中 附 录 B 安 全 技 术 脆 弱 性 核 查 表 ， 单 位 也 可 根 据 自 身 情 况 确 定 核 查 项 ， 不 过 主 机 系 统 的 基 线 核 查 建 议 采 用 脚 本 的 方 式 执 行 截 图 保 存 ， 那 样 能 提 高 效 率 ， 节 省 时 间 。 主 机 系 统 基 线 核 查 脚 本 ： 3 . 5 . 2   主 机 层 扫 描 主 机 层 的 检 测 主 要 是 采 用 主 机 层 扫 描 设 备 或 软 件 进 行 ， 各 大 厂 商 都 有 主 机 层 的 扫 描 工 具 ， 不 过 建 议 采 用 绿 盟 的 极 光 进 行 扫 描 。 注 意 以 下 几 点 ： 1 ） 按 照 重 要 资 产 识 别 中 的 各 类 资 产 I P 进 行 扫 描 ；
2 ） 在 W A F 或 者 防 火 墙 上 添 加 扫 描 设 备 I P 至 白 名 单 ， 不 然 容 易 引 发 告 警 ； 3 ） 应 在 非 业 务 时 间 段 进 行 ， 以 防 扫 描 影 响 业 务 ； 3 . 5 . 3 应 用 层 检 测 对 评 估 目 标 使 用 工 具 进 行 应 用 层 扫 描 ， 例 如 A W V S 、 A P P S C A N 等 ， 对 扫 描 的 结 果 进 行 验 证 、 确 认 ， 加 入 到 脆 弱 性 资 产 识 别 表 中 ， 预 算 可 以 的 单 位 建 议 做 渗 透 测 试 或 者 内 部 团 队 安 全 检 测 ， 这 样 能 尽 可 能 多 的 发 现 风 险 点 ， 不 过 进 行 应 用 层 扫 描 或 者 渗 透 测 试 时 ， 应 注 意 以 下 几 点 ： 1 ） 只 对 应 用 系 统 中 的 重 要 资 产 进 行 渗 透 测 试 或 扫 描 ； 2 ） 在 W A F 上 添 加 渗 透 白 名 单 ； 3 ） 不 在 业 务 时 间 段 渗 透 或 者 扫 描 ； 4 ） 规 定 不 允 许 获 取 敏 感 数 据 ， 不 能 备 份 数 据 ； 5 ） 上 传 的 w e b s h e l l 测 试 完 成 后 ， 必 须 删 除 ； 6 ） 所 有 渗 透 测 试 结 果 必 须 有 截 图 ； 3 . 6 已 有 安 全 措 施 确 认 已 有 安 全 措 施 确 认 在 识 别 脆 弱 性 的 同 时 ， 脆 弱 性 识 别 小 组 应 对 已 采 取 的 安 全 措 施 的 有 效 性 进 行 确 认 ， 结 果 做 为 不 可 接 受 风 险 处 理 计 划 的 依 据 。 对 有 效 的 安 全 措 施 继 续 保 持 ， 以 避 免 不 必 要 的 工 作 和 费 用 ， 防 止 安 全 措 施 的 重 复 实 施 。 对 确 认 为 不 适 当 的 安 全 措 施 应 核 实 是 否 应 被 取 消 或 对 其 进 行 修 正 ， 或 用 更 合 适 的 安 全 措 施 替 代 。 可 以 通 过 访 谈 、 现 场 调 查 的 方 式 进 行 处 理 记 录 ； 但 设 计 到 技 术 方 面 的 措 施 ， 建 议 实 际 操 作 验 证 会 更 合 适 。 安 全 措 施 有 效 性 确 认 不 需 要 具 体 到 每 个 资 产 ， 可 以 覆 盖 多 个 资 产 。 有 效 的 安 全 措 施 可 以 降 低 多 个 资 产 的 脆 弱 性 。 已 有 安 全 措 施 确 认 表 可 参 考 如 下 ： 可 以 参 考 以 下 步 骤 实 施 ： 1 、 记 录 并 确 认 已 有 的 安 全 措 施 ； 2 、 现 场 测 试 安 全 措 施 是 否 有 效 ； 3 、 记 录 查 验 结 果 ， 形 成 《 已 有 安 全 措 施 确 认 表 》 3 . 7 风 险 分 析 方 法 风 险 分 析 方 法 风 险 分 析 小 组 采 用 矩 阵 法 计 算 出 风 险 系 数 ， 然 后 按 照 《 深 圳 市 信 息 安 全 风 险 评 估 实 施 指 南 》 中 “ 资 产 风 险 值 ＝ 资 产 重 要 性 程 度 值 × 威 胁 风 险 系 数 ” 的 公 式 ， 计 算 资 产 风 险 值 ， 经 项 目 负 责 人 批 准 确 认 形 成 《 资 产 风 险 值 表 》 。 威 胁 风 险 系 数 计 算 矩 阵 ： 威 胁 风 险 系 数 计 算 矩 阵 ：
注 ： 1 . 本 矩 阵 用 来 确 定 威 胁 的 风 险 系 数 。 2 . 矩 阵 横 轴 为 威 胁 的 影 响 程 度 ， 纵 轴 为 威 胁 发 生 的 可 能 性 ， 横 纵 交 点 为 威 胁 风 险 系 数 。 针 对 威 胁 风 险 系 数 判 断 准 则 ： 针 对 威 胁 风 险 系 数 判 断 准 则 ： 3 . 8 资 产 风 险 值 等 级 划 分 资 产 风 险 值 等 级 划 分 风 险 值 等 级 的 划 分 是 可 以 根 据 单 位 大 情 况 调 整 的 ， 如 评 估 的 是 内 部 系 统 ， 例 如 O A ， 内 部 办 公 的 系 统 ， 可 以 将 风 险 对 应 的 值 设 置 的 更 高 些 ， 例 如 ， 对 外 访 问 的 系 统 风 险 等 级 为 “ 中 ” 的 风 险 值 设 置 为 1 0 0 - 1 5 0 ， 但 是 内 部 系 统 风 险 等 级 为 “ 中 ” 的 风 险 值 可 以 为 1 5 0 - 2 0 0 。 可 以 根 据 具 体 的 情 况 设 置 。 风 险 等 级 划 分 可 以 参 考 如 下 表 格 ： 风 险 等 级 划 分 可 以 参 考 如 下 表 格 ： 3 . 9 不 可 接 受 风 险 划 分 不 可 接 受 风 险 划 分 不 可 接 受 的 风 险 划 分 经 风 险 分 析 小 组 确 定 并 经 项 目 负 责 人 批 准 ， 我 们 应 该 可 以 设 定 风 险 值 = 阈 值 作 为 不 可 接 受 风 险 值 ， 这 需 要 根 据 单 位 的 实 际 情 况 跟 领 导 的 要 求 来 确 定 ， 有 的 单 位 对 安 全 要 求 很 高 ， 风 险 等 级 为 “ 低 ” 以 上 都 需 要 处 理 ， 参 考 上 面 的 表 格 ， 那 就 是 风 险 值 为 8 0 以 上 的 风 险 项 都 需 要 处 理 ， 有 的 单 位 对 安 全 要 求 不 是 特 别 高 ， 只 需 风 险 等 级 为 “ 中 ” 以 上 处 理 即 可 ， 参 考 上 面 的 表 格 ， 那 阈 值 为 1 7 5 ， 所 有 风 险 值 > = 1 7 5 的 风 险 项 都 需 处 理 。 3 . 1 0 风 险 分 析 结 果 风 险 分 析 结 果 风 险 分 析 小 组 根 据 前 期 的 工 作 ， 进 行 风 险 分 析 ， 形 成 《 资 产 风 险 值 表 》 ：
3 . 1 1 风 险 统 计 风 险 统 计 资 产 风 险 情 况 ： 资 产 风 险 情 况 ： 风 险 接 受 情 况 ： 风 险 接 受 情 况 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理