等级化保护与风险评估重点.ppt

目 录 问题 风险评估流程 项目过程 案例介绍 风险评估的流程 评估准备 资产识别 威胁分析 脆弱性分析 已有安全措施 风险计算 风险控制措施建议 风险评估-评估准备 资产识别与赋值准则 脆弱性识别与赋值准则 威胁识别与赋值准则 已有措施识别和有效性判断准则 风险计算准则 风险评估-资产识别 我们都有哪些信息资产？（清单） 他们都在什么地方？（物理逻辑位置） 都是谁在管理？（责任人） 他们整体状况如何？（关联性） 风险评估-脆弱性评估 技术脆弱性 网络扫描 手工检查 管理脆弱性 顾问访谈 记录审查 风险评估-威胁评估 种类 描述 软硬件故障 　 由于设备硬件故障、通讯链路中断、系统本身或软件Bug导致对业务高效稳定运行的影响 物理环境威胁 　 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害 无作为或操作失误 　 由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成影响 管理不到位 　 安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行 恶意代码和病毒 　 具有自我复制、自我传播能力，对信息系统构成破坏的程序代码 越权或滥用 　 通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者滥用自己的职权，做出破坏信息系统的行为 黑客攻击技术 　 利用黑客工具和技术，例如侦察、密码猜测攻击、缓冲区溢出攻击、安装后门、嗅探、伪造和欺骗、拒绝服务攻击等手段对信息系统进行攻击和入侵 物理攻击 　　物理接触、物理破坏、盗窃 泄密 　　机密泄漏，机密信息泄漏给他人 篡改 　　非法修改信息，破坏信息的完整性 抵赖 　　不承认收到的信息和所作的操作和交易 风险评估-威胁评估方法 IDS记录分析 行业统计报告 顾问访谈 目 录 问题 风险评估流程 项目过程 案例介绍 项目实施 威胁和风险评估 风险评估报告 30 Days 10 Days 前期准备阶段 技术脆弱性评估 资产调查 第一阶段 第二阶段 第三阶段 第四阶段 20 Days 管理脆弱性评估 30 Days 项目提交成果 提交的交付成果： 中间文档+最终交付件 中间文档： 安全评估访谈记录 安全评估扫描记录 安全评估人工评估记录 渗透测试过程记录 安全评估CHECKLIST 安全评估申请单和方案 渗透测试申请单和方案 培训电子版教材 项目启动会会议纪要 项目周例会会议纪要 项目研讨会会议纪要 项目阶段会会议纪要 项目总结会会议纪要 项目周报 质量控制文档： 服务成果评审记录单 服务过程评审记录单 最终交付件： 《信息资产估价报告》 《主机扫描报告》 《主机人工评估记录单和报告》 《网络设备和架构评估报告》 《业务系统评估报告》 《渗透测试报告》 《威胁评估报告》 《风险综合评估报告》 《风险控制建议》 目 录 问题 风险评估流程 项目过程 案例介绍 项目成果 输出共174个报告和过程文档 项目实施过程 具体内容 1-基础调研阶段 资料收集，信息资产基础情况了解，绘制系统运行图。 2-资产调查和分析阶段 资产调查；信息系统访谈，建立资产列表清单及资产报告，进行信息系统等级分析。 3-脆弱性评估 物理层、网络层、系统层、应用层、安全管理 4-渗透测试 通过外部、所内部、信息公司、结算公司、券商等几个环境进行测试 5-威胁分析 基于各业务系统的威胁分析、12份威胁报告和威胁访谈列表 6-风险综合分析 各业务系统风险分析、综合风险分析及应对措施 7-项目总结 行业经验总结、风险评估总结报告、项目工作指南 8-培训 风险评估、等级保护、渗透测试 9-过程控制 周报、会议记录、启动会议、中期汇报、总结会议 项目成果---资产评估阶段 交易系统 交易网络 监察系统 开发测试系统 行情系统 中心数据库 网上业务平台 外部网站 安全基础架构 办公系统 办公网络 业务管理系统 根据业务功能不同，将XX的信息系统分为12个： 交易系统 交易主机1 交易主机2 本地备份交易主机 远程备份交易主机 交易主机管理终端 应用服务 网络基础架构 操作系统 数据库系统 12个系统分类 依据 | 业务 业务系统细分：构成主机 主机进一步细分为具体进行评估实施的对象 项目成果---系统运行图 梳理系统间的访问，明确系统间的访问关系，特制定系统运行图 每幅图重点体现系统边界、访问端口和服务器IP信息 为了后期网络隔离打下基础 系统运行图主要体现网络、协议、应用各层面的关系，描述XXX内部各系统的关系 系统运行图 信息公司 CA IIS Web 服务器集群 x . x . x . x 内部邮件 公司管理部系统 x . x . x . x ~ x ( any ) 发审监管部系统 x . x . x . x ~ x ( any )