风险评估实施方案Word文档下载推荐.doc
《风险评估实施方案Word文档下载推荐.doc》由会员分享，可在线阅读，更多相关《风险评估实施方案Word文档下载推荐.doc（12页珍藏版）》请在冰豆网上搜索。
l给目前的信息系统增加新应用时；
l在与其他组织（部门）进行网络互联时；
l在技术平台进行大规模更新（例如，从Linux系统移植到Sliaris系统）时；
l在发生计算机安全事件之后，或怀疑可能会发生安全事件时；
l关心组织现有的信息安全措施是否充分或食后具有相应的安全效力时；
l在组织具有结构变动（例如：
组织合并）时：
l在需要对信息系统的安全状况进行定期或不定期的聘雇、已查看是否满足组织持续运营需要时等。
4、风险评估服务的收益
l风险评估可以帮助客户：
l准确了解租住的信息安全现状；
l明晰组织的信息安全需求；
l制定组织信息系统的安全策略和风险解决方案；
l指导组织未来的信息安全建设和投入；
l建立组织自身的信息安全管理框架。
二、风险评估服务介绍
本公司遵循公认的ISO27001、GB/T20984-2007信息安全风险评估规范以及国际信息安全等级保护指南等安全标准知道风险评估的工作，针对资产重要程度分别提供不同的频率和方式的风险评估，帮助客户了解客观真实的自身网络系统安全现状，规划适合自己网络系统环境的安全策略，并根据科学合理的安全策略来实施后续的安全服务、选型与部署安全产品以及建立有效的安全管理规章制度，从而全面完整的解决可能存在的各种风险隐患。
1、风险评估服务遵循标准
在整个评估过程中，本公司遵循和参照最新、最权威的信息安全标准，作为评估实施的依据。
这些安全标准包括：
安全技术标准：
lGB17859：
计算机信息系统安全保护等级划分准则
lGB18336（ISO15408）：
信息技术-安全技术-信息技术风险评估准则（等同于CommonCriteriaforInformationTechnologySecurityEvaluationV1.2，简称CCV1.2）
lCVE：
CommonVulnerabilities＆Exposures，通用脆弱性标准。
CVE是个行业标准，为每个漏洞和弱点确定了惟一的名称和标准化的描述，可以称为评价响应入侵检测和漏洞扫描等工具产品和数据库的基准
安全管理标准：
lISO/IEC27001:
2005InformationTechnology-Securitytechniques-Informationsecuritymanagementsystems-Requirements，信息技术-安全技术-信息安全管理体系要求
lISO/IEC27005:
2008InformationTechnology-Securityechniques-Informationsecurityriskmanagement，信息技术-安全技术-信息安全风险管理
lGB/T22239-2008信息安全技术信息系统安全等级保护基本要求
l信息安全等级保护信息系统安全管理要求（送审稿）
lISO13335，信息技术-安全技术-IT安全管理指南
lGB/Z243642009信息安全技术信息安全风险管理指南
风险评估实施方法：
lGB/T20984-2007：
信息安全风险评估规范（最新国家标准）
lNISTSP800-30：
RiSkManagementGuideforInformationTechnologySystems，信息技术系统风险管理指南（美国国家标准和技术学会发布）
lNSAIAM：
INFOSEDAssessmentMethodology，信息风险评估方法（美国国家安全局发布）
lOCTAVW：
TheOperationallyCriticalThreat，Asset，andVulnerabilityEvaluation，可操作的关机那威胁、资产和脆弱性评价
l信息技术安全技术信息系统安全保障等级评估准则
lSSE-CMM：
TheSystemsSecurityEngineeringCapabilityMaturityModel，安全系统工程能力成熟度模型
2、风险评估服务实施原则
（1）保密性原则
本公司对安全服务的实施过程和结果将严格保密，在未经客户授权的情况下不会泄漏给任何单位和个人，不会利用此数据并进行热呢侵害客户权益的行为。
（2）标准性原则
服务设计和实施的全过程均依据国内或国际的相关标准进行。
（3）规范性原则
本公司在各项安全服务工作中的过程和文档，都具有很好的规范性，可以便与项目的跟踪和控制。
（4）可控性原则
服务所使用的工具、方法和过程都会在本公司与客户双方认可的范围之内，服务进度遵守进度表的安排，保证双方对服务工作的可控性。
（5）整体性原则
服务的范围和内桶整体全面，设计的IT运行的各个层面，避免由于遗漏造成未来的安全隐患。
（6）最小影响原则
服务工作尽可能小的影响信息系统的正常运行，不会对现有业务造成显著影响。
3、风险评估对象及内容
本公司风险评估服务主要包括以下内容：
（1）物理环境安全性评估
（2）网络架构安全性评估
（3）主机系统设备安全性评估
l服务器系统
l桌面主机
l网络设备（路由器、交换机）
（4）应用系统安全性评估
l通用应用服务（WEB、FTP、Mail、DNS等）
l专用业务系统（B/S、C/S）
l数据库
（5）机密数据安全控制保障评估（机密信息的生成、传递、存储等过程）
（6）信息安全管理组织架构和理性评估
（7）信息安全管理制度及安全性评估
（8）人员安全管理状况评估
（9）安全产品和技术应用状况有效性及合理性评
（10）对应重大紧急安全事件的处理能力评估
（11）……
4、风险评估方法
为了确切、真实地反映信息系统现状，本公司在风险评估过程中使用到的方法有顾问访谈、工具扫描、专家经验分析、实地勘察、渗透测试、策略审查六种，如下图所示：
图风险评估方法
5、成果输出
l《风险评估安全现状综合分析报告》
l《风险评估安全解决方案》
四、风险评估服务框架及流程
1、风险要素关系
信息是一种资产，资产所有者应对信息资产进行保护，通过分析信息资产的脆弱性来确定威胁可能利用那些弱点来破坏其安全性。
风险评估要识别资产相关要素的关系，从而判断资产面临的风险大小。
风险评估中各个要素的关系如下图所示：
图风险要素关系示意图
图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性。
风险评估围绕其基本要素展开，在对这些要素的评价过程中需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。
图中的风险要素及属性之间存在着以下关系：
l业务战略依赖资产趋去实现；
l析产是有价值的，组织的业务战略对资产的依赖度越高，资产价值就越大；
l资产价值越大则其面临的风险越大；
l风险是由威胁引发的，资产面临的威胁越多测风险越大，并可能演变成安全事件；
l弱点越多，威胁利用脆弱性导致安全事件的可能性越大；
l脆弱性时未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险；
l风险的存在及对风险的认识导出安全需求；
l安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；
l安全措施可抵御威胁，降低安全事件的发生的可能性，并减少影响；
l风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险，有些残余风险来自于安全措施可能不当或无效，在以后需要继续控制，而有些参与风险则是在综合考虑了安全成本与效益后为控制的风险，是可以被接受的；
l参与风险应受到密切监视，他可能会在将来有发心的安全事件。
2、风险分析
风险分析示意图如下图所示：
图
风险评估分析中主要涉及资产、威胁、脆弱性等基本要素。
每个要素有各自的属性，资产的属性是资产价值；
威胁的属性是威胁出现的频率；
脆弱性的属性是资产弱点的严重程度。
风险分析主要内容为：
对资产进行识别，并对资产的重要性进行赋值；
对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；
对资产的脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；
根据威胁和脆弱性的识别结果判断安全事件；
根据脆弱性的严重程度及安全事件所作用资产的重要性计算安全事件的损失；
根据安全事件发生的可能性以及安全事件的损失，计算安全事件一旦发生对组的影响，即风险值。
3、风险评估实施流程
本公司在进行风险评估服务过程中，将严格参照GB/T20984-2007《信息安全风险评估规范》国家标准所定义的服务流程规范来实施，整个实施流程如下图所示：
信息安全风险评估实施流程
（1）准备阶段
风险评估的准备过程是进行风险评估的基础，是整个风险评估过程有效性的保证。
风险评估作为一种战略型的考虑，其结果将受到组织的业务需求及战略目标、文化、业务流程、安全要求/规模和结构的影响。
不同组织对于风险评估的实施过程可能存在不同的要求，因此在风险评估实施前，需要做好以下准备工作：
a）确定风险评估的范围；
b）确定风险评估的目标；
c）建立适当的组织结构；
d）建立系统性的风险评估方法；
e）获得高层管理者对风险评估策划的批准。
（2）风险识别阶段
a）信息资产识别
资产是组织直接赋予了价值因而需要保护的东西。
他可能是以多种形式存在，有无形的、有有型的，有硬件、有软件，有文档、代码，也有服务、组织形象等。
他们分别具有不同的价值属性和存在特点，存在的弱点、面临的威胁、需要进行的保护和安全控制都各不相同。
组织的信息资产是组织资产中与信息开发、存储、转移、分发等过程直接、密切相关的部分。
不同的信息资产具有不同的安全属性，机密性、完整性和可用性分别反映了资产在三个不同方面的特性。
安全属性的不同通常也意味着安全控制、保护功能需求的不同。
此阶段的工作就
升级会员 