风险评估技术与方法--案例介绍.pdfVIP

XX公司信息系统 风险评估项目案例介绍 江苏省信息安全测评中心 介绍内容 项目相关信息 项目实施 评估结论及安全建议 2 一、项目相关信息 3 项目背景 随着XX公司信息化建设的迅速发展，特 别是面向全国、面向社会公众服务的业务系 统陆续投入使用，对该公司的网络和信息系 统安全防护都提出了新的要求。 为满足上述安全需求，需对该公司的网 络和信息系统的安全进行一次系统全面的评 估，以便更加有效保护该公司各项业务应用 的安全。 4 项目目标  第一，通过对XX公司的网络和信息系统进行较全面 的信息安全风险评估，找出系统目前存在的安全风 险，提供风险评估报告。并依据该报告，实现对信 息系统进行新的安全建设规划，构建安全的信息化 应用平台，提高企业的信息安全技术保障能力。  第二，通过本次风险评估，找出公司内信息安全管 理制度的缺陷，并需协助该公司建立完善的信息安 全管理制度、安全事件处置流程、应急服务机制等， 提高核心系统的信息安全管理保障能力。 5 项目评估范围 总部数据中心、分公司、灾备中心 7大业务系统：核心业务系统、财务系统、销 售管理统计系统、内部信息门户、外部信息门户、 邮件系统、辅助办公系统等  灾备中心：应急响应体系、应急演练核查 6 评估对象  网络系统：１７个设备,抽样率40% （路由器、交换机、 防火墙共计43台）  主机系统： ９台,抽样率50% （Aix 、 Windows共计18台） 数据库系统： ４个业务数据库,抽样率100% （Oracle 、 SQL Server共计4个） 应用系统： ３个（核心业务、财务、内部信息门户） 安全管理： １１个安全管理目标 7 二、评估项目实施 8 评估实施流程 9 项目实施团队 组 长 成 员 职 责 领导、组织评估项目工作； 沟通协调参与各方的相关事宜； 项目经理 张XX 监督、控制项目进度及质量； 组织项目验收工作。 评估技术方案的准备； 各相关识别阶段的实施工作； 张XX 各相关基础数据信息采集工作； 实施小组 张XX 李YY 孙 Z 确定风险计算模型、分析和讨论工作；