账户远程核准影像理系统风险评估报告.doc

人民币银行结算账户核准影像管理系统 风险评估报告 项 目 名 称： 风险评估单位： 2008年 月日 目 录 、风险评估项目概述 1 1.1 工程项目概况 1 1.1.1 建设项目基本信息 1 1.1.2 建设单位基本信息 1 1.1.3承建单位基本信息 2 1.2 风险评估实施单位基本情况 2 、风险评估活动概述 2.1 风险评估工作组织管理 2.2 风险评估工作过程 2.3 依据的技术标准及相关法规文件 2.4 保障与限制条件 3、评估对象 3.1 评估对象构成与定级 3.1.1 网络结构 3.1.2 业务应用 3.2 评估对象等级保护措施 4、资产识别与分析 4.1 资产类型与赋值 4.2 关键资产说明 5、威胁识别与分析 6、脆弱性识别与分析 7、风险分析 6 7.1 关键资产的风险计算结果 6 7.2 关键资产的风险等级 7.2.1 风险等级列表 7.2.2 风险等级统计 7 7.2.3 基于脆弱性的风险排名 7 7.2.4 风险结果分析 8、综合分析与评价 9、整改意见 附件1：管理措施表 附件2：技术措施表 附件3：资产类型与赋值表 附件4：赋值表 1、风险评估项目概述 1.1 工程项目概况 1.1.1 建设项目基本信息 工程项目名称 工程项目批复的建设内容 非涉密信息系统部分的建设内容 相应的信息安全保护系统建设内容 项目完成时间 项目试运行时间 1.1.2 建设单位基本信息 工程建设牵头部门 部门名称 工程责任人 通信地址 联系电话 电子邮件 工程建设参与部门 部门名称 工程责任人 通信地址 联系电话 电子邮件 工程建设参与部门部门名称 工程责任人 通信地址 联系电话 电子邮件 1.1.3承建单位基本信息 名称 性质 法人代表 通信地址 联系电话 电子邮件 1.2 风险评估实施单位基本情况 评估单位名称 法人代表 通信地址 联系电话 电子邮件 二、风险评估活动概述 2.1 风险评估工作组织管理 2.2 风险评估工作过程 2.3 依据的技术标准及相关法规文件 2.4 保障与限制条件 、评估对象 3.1 评估对象构成与定级3.1.1 网络结构 11.84.17.2）访问系统，商业银行用户通过系统对外映射IP（9.168.45.17）访问系统，同时，通过配置相应的访问规则及限定访问端口以进一步保障系统的访问及使用安全。 网络连接拓扑图如下所示： 3.1.2 业务应用 3.2系统等级保护措施 2、安全技术措施：我们采取了下列安全保护技术措施： （一）服务器选用惠普388G7，主频为2.13GHz的双CPU，内存为8GB，双电源，采用RAID0+1磁盘阵列技术；采用总行统一下发的诺顿计算机病毒防治系统； （二）安装补丁、扫描病毒，关闭不必要的服务和端口，删除来历不明的程序。删除非法用户，检查并恢复系统正常的权限设置。修改系统配置，提高安全防御能力，系统运行和用户使用日志记录保存一年以上。 （三）网络系统采用双线路、双机热备份处理、故障自动切换模式。电信2M线路与联通线路互备，Huawei Quidway2840与Huawei Quidway4640路由器互为备份， 2台Cisco Catalyst4506互为交换机备份，应用系统服务器部署在省级数据中心的DMZ区。见下图： 人民币银行结算账户核准影像管理系统的等级保护管理措施情况见附表一。 的等级保护技术措施情况见附表二。 4、资产识别与分析 4.1 资产类型与赋值见附件3《资产类型与赋值表》。 4.2 关键资产说明 在分析被评估系统的资产基础上，列出对评估单位十分重要的资产，作为风险评估的重点对象，并以清单形式列出如下： 关键资产列表 资产编号 资产名称 资产权重 ZZhhzyx_8 账户影像系统1.0 本系统的程序指令 3 Zhhzyx_9 系统操作及维护手册 是本系统安装、运行、维护和操作的指南 2 Zhhzyx_10 账户影像数据 是本系统运行的最终结果 4 Zhhzyx_12 系统运行维护制度 是本系统安全稳定运行的保证。 4 5、威胁识别与分析 影响资产 影响值 软硬件故障 主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据 4 物理环境 主机、网络设备、安全设备、通讯线路、保障设备 4 无作为或操作失误 主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员 3 管理不到位 主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料、人员 4 恶意代码和病毒 主机、网络设备、安全设备、通讯线路、应用系统、数据 3 越权或滥用 主机、网络设备、安全设备、通讯线路、保障设备、应用系统、数据、文档资料 3 网络攻击 主机、网络设备、安全