税务系统信息安全风险评估规范[精品].doc

密 级： 内部 文档编号：2007002-004 项目编号：2007002 税务系统 信息安全风险评估规范 目 录 前 言 3 1 范围 4 2 规范性引用文件 4 3 术语和定义 5 4 风险评估框架及流程 8 4.1 风险要素关系 8 4.2 风险分析原理 9 4.3 实施过程 10 5 风险评估实施 12 5.1 评估工具 12 5.1.1 调查问卷 12 5.1.2 漏洞扫描工具 12 5.1.3 人工评估检查列表 12 5.1.4 安全风险评估信息库 12 5.2 评估内容 13 5.2.1 资产评估 13 5.2.2 威胁评估 20 5.2.3 脆弱评估 25 5.2.4 已有安全措施确认 30 5.2.5 风险处理计划 31 5.2.6 影响与可能性分析 32 5.2.7 风险分析 32 5.2.8 风险处理计划 37 5.3 评估组织 39 5.3.1 评估方人员组织 39 5.3.2 被评估方人员组织 41 5.4 评估过程 42 5.4.1 阶段1风险评估准备阶段 42 5.4.2 阶段2风险评估实施阶段 43 5.4.3 阶段3风险评估资料分析及报告生成阶段 44  前 言 为指导和规范针对税务信息系统的信息安全风险评估工作，特制定本规范。 本规范定义了风险评估的基本概念、原理及实施流程；对资产、威胁和脆弱性识别进行了详细描述；提出了风险评估在信息系统生命周期不同阶段的实施要点以及风险评估的工作形式。 本规范由XX省信息安全测评中心提出。  范围 本标准提出了风险评估的要素、实施流程、评估内容、评估方法及在信息系统生命周期不同阶段的实施要点，适用于组织地税系统开展风险评估工作。 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。 法规政策 ?（中办发[2003]27号）国家信息化领导小组关于加强信息安全保障工作意见 ?（公通字[2004]66号）关于信息安全等级保护工作的实施意见 国内标准 GB-T 19715-2005 信息GB-T 19716-2005 信息安全管理实用规则-2000 计算机场地安全要求 GB 17859-1999 计算机信息系统安全保护等级划分准则　 GB/T 18336-2001 信息技术 安全技术 信息技术安全性评估准则（idtISO/IEC 15408：1999） GB/T 19716-2005 信息技术 信息安全管理实用规则 GB-T AAAAA 信息安全风险评估规范 GB-T XXXXX 信息安全风险管理规范 术语和定义 3.1 资产 asset 对组织具有价值的信息或资源，是安全策略保护的对象。 3.2 资产价值 asset value 资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主要内容。 3.3 可用性 availability 数据或资源的特性，被授权实体按要求能访问和使用数据或资源。 3.4 业务战略　business strategy 组织为实现其发展目标而制定的一组规则或要求。 3.5 保密性 confidentiality 数据所具有的特性，即表示数据所达到的未提供或未泄露给非授权的个人、过程或其他实体的程度。 3.6 信息安全风险 information security risk 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 3.7 信息安全风险评估 information security risk assessment 依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。 3.8 信息系统 information system 由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。 典型的信息系统由三部分组成：硬件系统（计算机硬件系统和网络硬件系统）；系统软件（计算机系统软件和网络系统软件）；应用软件（包括由其处理、存储的信息）。 3.9 检查评估 inspection assessment 由被评估组织的上级主管机关或业务主管机关发起的，依据国家有关法规与标准，对信息系统及其管理进行的具有强制性的检查活动。 3.10 完整性 integrity 保证信息及信息系统不会被非授权更改或破坏的特性。包括数据完整性和系统完整性。 3.11 组织 orga