集團風險評估項目技術建議書(編輯修改稿)

　

【文章內容簡介】 發生的可能性以及安全事件出現后的損失，計算安全事件一旦發生對組織的影響，即風險值。. 工具方法. 風險評估采用方法風險評估常用方法如下：? 調查訪談物理安全訪談表、人員安全訪談表、網絡安全訪談表、系統安全訪談表等等；? 工具掃描網絡安全掃描、應用安全掃描、系統安全掃描等等；? 人工檢查操作系統 checklist、數據庫 checklist、網絡設備 checklist 等等；? 滲透測試由專業滲透測試工程師模擬黑客攻擊方式對網絡與信息系統進行非破壞性漏泀驗證性測試；? 文檔查閱管理制度查閱、管理策略查閱、安全指導方針查閱等等。. 風險評估使用工具風險評估常用工具主要有以下幾大類：? 資產發現類工具? 端口服務檢測類? 漏洞掃描檢測類? 網絡嗅探分析類7 / 51? 安全審計分析類? 系統驗證測試類? 合規遵循檢查類? 各種定制腳本類 ? 各種專項檢測類第 2 章 項目實施流程我們將整個項目的實施內容分為 7 個階段。從項目啟動階段到項目驗收整個項目實施過程，我們用 WBS 圖中完整地描述了整個項目實施過程的重要工作任務。階 段 1 ： 服 務 啟 動 階 段 2 ： 資 產 評 估 階 段 3 ： 威 脅 評 估 階 段 4 ： 脆 弱 性 評 估 階 段 5 ： 風 險 分 析 階 段 6 ： 處 置 計 劃 階 段 7 ： 服 務 驗 收項 目 實 施 風 險 及 規 避 措 施服 務 管 理 （ 服 務 組 織 結 構 、 實 施 計 劃 、 質 量 管 理 、 保 密 控 制 ）資 產 識 別資 產 分 類資 產 清 單資 產 分 析資 產 賦 值威 脅 識 別威 脅 分 類范 圍 確 定系 統 調 研制 定 計 劃報 告 提 交成 果 匯 報服 務 驗 收威 脅 分 析威 脅 賦 值獲 得 支 持技 術 脆 弱 識 別管 理 脆 弱 識 別控 制 措 施 識 別脆 弱 性 分 析脆 弱 性 賦 值《 資 產 評 估 報 告 》《 服 務 實 施 計 劃 》 《 威 脅 評 估 報 告 》 《 脆 弱 性 評 估 報 告 》 《 風 險 評 估 報 告 》 《 風 險 處 置 計 劃 》 《 服 務 驗 收 報 告 》風 險 綜 合 識 別風 險 模 型 計 算風 險 接 收 準 則風 險 綜 合 評 價安 全 目 標 確 定安 全 措 施 選 擇實 施 內 容 安 排制 定 處 置 計 劃圖 3 項目實施流程圖. 階段 1：項目啟動階段此階段是項目的啟動和計劃階段，是項目實施階段的開始，對項目整個過程的實施工作與項目管理工作都非常重要。8 / 51. 階段目標在此階段的主要工作目標是召開評估項目啟動會議，并就項目組的工作方式、日常流程、工作計劃、交付件藍圖進行溝通和確認。. 階段步驟評估項目啟動階段，是整個項目過程中，對項目的有效性的一種保證。實施風險評估是一種戰略性的考慮，其結果將受到組織的業務戰略、業務流程、安全需求、系統規模和結構等方面的影響。步驟一：項目組織，確定雙項目組織結構及人員分工。步驟二：召開項目啟動會，包括項目中需要落實內容：a) 獲得支持和配合；b) 確定項目的目標；c) 確定項目的內容；d) 組建項目服務團隊；e) 對項目的對象、范圍進行調研并確認；f) 宣貫風險評估方法和評估思想；g) 建立項目組的工作場所和環境；h) 確定項目組的工作流程，包括文檔交付流程、項目更改流程等；i) 確定項目組的工作方式，包括指定接口人，保密方式，資料保管和備份方式等。步驟三：確定各個細節后，項目啟動完成，進入項目實施階段。. 階段輸出本階段完成后輸出如下文件：? 《項目實施計劃》? 《項目啟動會議紀要》? 《項目藍圖》? 《保密協議書》9 / 51? 《項目組織結構和人員職責》? 《項目范圍確認書》? 《培訓計劃》 （針對風險評估知識宣貫實施方法）. 階段 2：資產評估階段保護資產免受安全威脅是本項目實施的根本目標。要做好這項工作，首先需要詳細了解資產分類與管理的詳細情況。. 階段目標資產識別的目的就是要系統的相關資產做潛在價值分析，了解其資產利用、維護和管理現狀。明確各類資產具備的保護價值和需要的保護層次，從而使企業能夠更合理的利用現有資產，更有效地進行資產管理，更有針對性的進行資產保護，最具策略性的進行新的資產投入。. 階段步驟階段一：根據項目范圍進行資產分類與識別，包括主機設備、網絡設備、數據庫系統、應用系統、文檔資產、人員資產等等。階段二：進行資產識別，分類并賦值。. 階段方法表格 3 資產評估方法項目名稱 資產分類調查簡要描述 采集資產信息，進行資產分類，劃分資產重要級別及賦值；達成目標采集資產信息，進行資產分類，劃分資產重要級別及賦值；進一步明確評估的范圍和重點。主要內容? 采集資產信息，獲取資產清單；? 進行資產分類劃分；10 / 51? 確定資產的重要級別，對資產進行賦值。實現方式? 調查。? 填表式調查。? 《資產調查表》 ，包含計算機設備、通訊設備、存儲及保障設備、信息、軟件等。? 交流。? 審閱已有的針對資產的安全管理規章、制度。? 與高級主管、業務人員、網絡管理員（系統管理員）等進行交流。工作條件 23 人工作環境，2 臺筆記本，電源和網絡環境，客戶人員和資料配合。工作結果 資產類別、資產重要級別。參加人員依據現場狀況，啟明星辰全體評估人員在客戶業務系統相關技術和管理人員的配合下進行資產分類調查。. 階段輸出本階段完成后輸出文檔如下：? 《資產詳細清單》? 《資產賦值列表》. 階段 3：威脅評估威脅是指可能對資產或組織造成損害事故的潛在原因。作為風險評估的重要因素，威脅是一個客觀存在的事物，無論對于多么安全的信息系統，它都存在。為全面、準確地了解系統所面臨的各種威脅，需采用威脅分析方法。 . 階段目標通過威脅分析，找出系統目前存在的潛在風險因素，并進行統計，賦值，以便于列出風險。11 / 51. 階段步驟威脅識別采用人工審計、安全策略文檔審閱、人員面談、入侵檢測系統收集的信息和人工分析。步驟一：把已經發現的威脅進行分類；步驟二：把發現的威脅事件進行分析。. 階段方法表格 4 威脅調查評估項目名稱 威脅調查評估簡要描述 使用技術手段分析信息系統可能面臨的所有安全威脅和風險。達成目標全面了解掌握信息系統可能面臨的所有安全威脅和風險。對威脅進行賦值并確定威脅等級。主要內容? 被動攻擊威脅與風險：網絡通信數據被監聽、口令等敏感信息被截獲等。? 主動攻擊威脅與風險：掃描目標主機、拒絕服務攻擊、利用協議、軟件、系統故障、漏洞插入或執行惡意代碼（如：特洛依木馬、病毒、后門等） 、越權訪問、篡改數據、偽裝、重放所截獲的數據等。? 鄰近攻擊威脅與風險：毀壞設備和線路、竊取存儲介質、偷窺口令等。? 分發攻擊威脅與風險：在設備制造、安裝、維護過程中，在設備上設置隱藏的后門或攻擊途徑、? 內部攻擊威脅與風險：惡意修改數據和安全機制配置參數、惡意建立未授權連接、惡意的物理損壞和破壞、無意的數據損壞和破壞。實現方式? 調查交流? 工具檢測? 人工檢測工作條件 23 人工作環境，2 臺筆記本，電源和網絡環境，客戶人員和資料配合工作結果 根據分析結果列出系統所面臨的威脅，對威脅賦值并確定威脅級別12 / 51參加人員 啟明星辰評估小組，網絡管理人員、系統管理人員. 階段輸出本階段完成主要輸出文檔如下：? 《威脅調查表》? 《威脅賦值列表》. 階段 4：脆弱性評估脆弱性是對一個或多個資產弱點的總稱，脆弱性評估是對技術脆弱性和管理脆性進行識別和賦值的過程。. 階段目標技術脆弱性主要是采用工具掃描、人工檢查（checklist） 、滲透測試、訪談等方式對物理環境、網絡結構、系統軟件、應用軟件、業務流程等進行脆弱性識別并賦值。管理脆弱性主要是通過管理訪談、文檔查閱等方式對安全管理制度、安全管理機構、人員安全管理、安全建設管理、安全運維管理等進行脆弱性識別并賦值。. 實施步驟脆弱性識別步驟主要是通過技術脆弱性和管理脆弱性來進行識別。. 技術脆弱性物理環境物理安全是一切系統安全的基礎。對物理安全的評估將從機房選址、建設；員工、外來訪問者進入機房的權限控制；機房的報警、電子監控以及防火、防13 / 51水、防靜電、防雷擊、防鼠害、防輻射、防盜竊、火災報警及消防措施、內部裝修、供配電系統等方面進行。表格 5 物理安全評估項目名稱 物理安全評估簡要描述 分析物理安全是否滿足相關的安全標準。達成目標 準確把握物理安全中的安全隱患，提出安全建議。主要內容? 評估環境安全：機房選址、建設、防火、防水、防靜電、防雷擊、防鼠害、防輻射、防盜竊、火災報警及消防措施、內部裝修、供配電系統是否滿足相關國家標準；內部及外來人員對機房的訪問權限控制；安全審查及管理制度。? 評估設備安全：門控系統、網絡專用設備（路由器，交換機等）和主機設備（終端計算機，打印機、服務器等） 。設備安全主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護、維修、報廢等；設備冗余備份。? 評估介質安全：軟盤、硬盤、光盤、磁帶等媒體的管理，信息媒體的維修將保證所存儲的信息不被泄漏，不再需要的媒體，將按規定及時安全地予以銷毀。實現方式? 問詢? 現場檢查? 資料收集工作條件 客戶人員和資料配合工作結果 依據相關的物理安全標準，結合客戶的實際需求，協助客戶改進安全措施參加人員 客戶機房、設備管理員、維護人員，啟明星辰評估小組網絡結構從網絡結構設計、邊界保護、外部訪問控制策略、內部訪問控制策略、網絡設備安全配置等方面進行識別。網絡結構分析是風險評估中對業務系統安全性進行全面了解的基礎，一個14 / 51業務系統的網絡結構是整個業務系統的承載基礎，及時發現網絡結構存在的安全性、網絡負載問題，網絡設備存在的安全性，抗攻擊的問題是整個業務系統評估的重要環節。對評估對象的物理網絡結構，邏輯網絡結構及網絡的關鍵設備進行評估(基本信息包括網絡帶寬、協議、硬件、Inter 接入、地理分布方式和網絡管理。)，發現存在的安全性，合理性，使用效率等方面的問題。結合業務體系、系統體系等結構的檢查邏輯網絡，由什么物理網絡組成以及網絡的關鍵設備的位置所在對于保持網絡的安全是非常重要的。另外，鑒定關鍵網絡拓撲，對于成功地一個實施基于網絡的風險管理方案是很關鍵的。網絡結構分析能夠做到：? 改善網絡性能和利用率,使之滿足業務系統需要? 提供有關擴充網絡、增加 IT 投資和提高網絡穩定性的信息? 幫助用戶降低風險,改善網絡運行效率,提高網絡的穩定性? 確保網絡系統的安全運行? 對網絡環境、性能、故障和配置進行檢查在本項目安全工程中，網絡體系既起著支撐正常業務的作用，本身也作為提供給用戶使用的信息基礎設施的一部分。在評估過程中，主要針對網絡拓撲、訪問控制策略與措施、網絡設備配置、安全設備配置、網絡性能與業務負載幾個方面進行調查與分析。系統軟件系統軟件指對操作系統、數據庫系統等采用訪談、checklist、漏洞掃描工具等方式對用戶帳號、口令策略、資源共享、訪問控制、新系統配置（初始化） 、網絡安全等脆弱性方面進行識別，并賦值。應用軟件應用軟件是指應用系統本身或者中間平臺，進行脆弱性分析主要包括身份簽別、訪問控制策略、通信、鑒別機制、密碼保護等方面進行。15 / 51業務流程依據業務過程的數據流程評估客戶的業務流程，從信息產生到信息消亡整個過程所涉及的業務系統。目的是了解客戶業務流程的安全隱患，協助客戶進行業務流程的安全防護。表格 6 業務流程評估項目名稱 業務流程評估（數據流程）簡要描述 依據業務過程的數據流程評估客戶的業務流程達成目標了解客戶業務流程的安全隱患，協助河北移動管理信息系統進行業務流程的優化主要內容? 業務數據流向，輸入、傳輸、存儲、輸出? 策略：業務要求、使用范圍、安全等級? 業務實現方式? 業務安全要求? 各時段業務負載量? 業務流程優化建議? 授權和認證、審計、加密、完整性、不可否認性等實現方式? 調查? 檢查工作結果 數據流圖、業務關系圖、報告參加人員 啟明星辰評估人員，客戶相關主管和業務人員. 管理脆弱性安全管理制度項目中的安全管理制度要從安全管理制度的安全要求、安全管理制度的制定和發布、安全管理制度的評審和修訂三部分根據等級保護的具體內容來進行管理部分的脆弱性識別。16 / 51安全管理機構安全管理機構的脆弱性識別要從崗位設置、人員配備、授權和審批、溝通和合作、審核和檢查五個方面，根據等級保護的安全要求的具體內容來進行安全管理機構的脆弱性發現。人員安全管理人員安全管理的脆弱性識別是按照人員錄用、人員離崗、人員考核、人員的安全意識教育和培訓、外部人員的管理這五個部分內容，根據等級保護級別和各個類別的安全要求來進行脆弱性發現。安全建設管理安全建設管理主要是從安全邊界和定級、安全方案設計、安全產品采購和使用、自主研發環境安全、外包軟件研發環境安全、工程實施安全、測試驗收、交付、安全服務商的選擇、安全網絡定級備案安全 10 個方面來進行安全建設的