公司风险评估标准概述(doc8页)完美版.pdfVIP

风险评估标准 1.0 目的 建立风险评估标准的目的在于为 IT 安全解决方案提供依据和参考。 2.0 适用范围 适用于公司所有 IT 安全的风险分析和评估。 3.0 参考 1. 《Information technology - Security techniques -- Evaluation criteria IT security 》ISO/IEC15408-3 2. 《计算机信息系统安全保护等级划分准则》 GB17859-1999 4.0 定义 保密性 (confidentiality): 使信息不泄露给非授权的个人、实体或进程 , 不为其所用 完整性 (integrity): 信息系统中的数据与在原文档中的相同，未遭受偶 然或恶意修改 / 破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏 或修改的性质 可用性 ( Availability): 被授权实体所需的资源可被访问与使用， 即攻击 者不能占用相关资源而阻碍授权者的工作 抗抵赖 性(repudiation): 防止在通信中涉及到的那些实体不承认参 加了该通信 可审查性：有依据、有手段地对出现的信息安全问题提供跟踪和调查 5.0 内容 5.1 安全风险评估的基本步骤 确定需保护的资源， 找出该资源的安全弱点和可能有的安全威胁， 得出安 全风险等级。 然后列举可采取的降低风险的对策， 直至风险减小至安全需求允许 的范围。 下图显示了风险评估中的各要素和工作步骤的关系： 5.1.1 明确需安全保护资源 5.1.2 评估脆弱性，包括： 1. 场所安全 2. 安全流程 3. 系统安全 4. 网络安全 5. 应用安全 5.1.3 评估威胁 5.1.4 列举安全对策 5.1.5 损失评估 5.1.6 确定风险等级 5.2 细则 5.2.1 明确需安全保护资源 1. 网络设备：交换机、路由器、 HUB、网络布线等 2. 计算机设备：个人计算机、便携机、网络服务器、文件服务器、工作站等 3. 存储介质；软盘、硬盘、磁带、光盘、 MO等 4. 软件： 操作系统、数据库、工具软件、办公平台软件、开发用软件等 5. 网上应用系统： EMail 系统、 Internet Proxy 服务、 Notes 系统、 MRPII、 SAP、HR、WWW、FTP等 6. 网络服务： DNS、DHCP、WINS、网络路由服务等 7. 数据资料： 电子文档、数据库等 5.2.2 评估脆弱性 使用最好的测试工具和技术、 使用不同的工作方法， 对公司的整体资源系 统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。 1. 场所安全评估 1) 对公司场所安全评估，信息安全监控须包含硬件监控。 2) 对公司信息安全部安全措施及相关文件评估， 包括：场所安全、 存 储介质安全、硬件安全、紧急事故处理和信息保护等。 3) 分析公司安全标准并与业界最佳实践标准进行比较。 4) 总结安全措施优缺点及措施实用性。 2. 安全流程评估 1) 评估公司的安全管理流程的效率及效用， 评估查安全信息保障系统 是否真正保护了至关重要的业务信息， 评估管理流程和安全技术是否同时在各方 面发挥作用。 2) 针对已有的信息安全标准或规则，通过相关安全接口人员了解情 况，审查各监控环节以确认该环节能够履行监控职责。