等级保护评估服务建议书v.doc

等级保护评估服务建议书v.doc

《等级保护评估服务建议书v.doc》由会员分享，可在线阅读，更多相关《等级保护评估服务建议书v.doc（42页珍藏版）》请在冰豆网上搜索。

xxxx网络安全等级保护

评估服务技术建议书

2010-09-10

目录

第一部份综述 4

第二部份总体方案建议 5

1. 项目目标 5

2. 等级保护评估范围 5

3. 等级保护评估原则 9

4. 等级保护评估理论及标准 10

4.1 标准与规范 10

4.1.1 等级保护评估标准 10

4.1.2 标准体现 12

4.2 等级保护模型 12

4.2.1 等级保护 12

4.2.2 等级划分 13

4.2.3 等级保护能力 14

4.2.4 安全要求评估与检查 16

4.2.5 券商网安全等级 17

4.3 券商网安全等级计算方法 19

4.3.1 对数法 19

4.3.2 矩阵法 19

4.4 评估理论模型 20

4.4.1 安全风险过程模型 20

4.4.2 安全风险关系模型 20

4.4.3 安全风险计算模型 21

4.5 安全风险分析策略 24

4.5.1 风险计算原理 24

4.5.2 风险结果判定 25

4.6 券商网安全防护体系 26

5. 等级保护评估方案 27

5.1 第一次检查和评估 28

5.1.1 等级保护评估目标 28

5.1.2 等级保护评估方法 28

5.1.3 等级保护评估步骤 28

5.1.4 等级保护评估内容 29

5.2 第二次检查和评估 33

5.2.1 等级保护评估目标 33

5.2.2 等级保护评估方法 33

5.2.3 等级保护评估内容 34

5.2.4 远程评估 37

5.2.5 本地风险评估 43

5.3 评估过程风险控制 48

第一部份综述

随着近年来我国网络建设和信息化建设的加快，企业、政府机关等组织的业务和信息化的结合越来越紧密，在给组织带来巨大经济和社会效益的同时，也给组织的信息安全和管理带来了严峻的挑战。

一方面，信息安全由于其专业性，目前组织信息安全管理人员在数量和技能的缺乏等给全网的安全管理带来了很大的难度；另一方面现在的网络攻击技术新、变化快，往往会在短时间内造成巨大的破坏，同时由于互联网的传播使黑客技术具有更大的普及性和破坏性，会给组织造成很大的威胁，必需加强信息安全集中监管的能力和水平，从而减少组织的运营风险。

通过对xxxx的重要信息系统等级保护安全技术检查和风险评估，可以了解目前xxxx等级保护的定级是否准确、是否按照国家要求进行定级，同时能够识别网络中存在的各种安全风险，并以此为依据有目的性地调整网络的保护等级并提供解决方案，针对网络保护中存在的各种安全风险进行相应的网络安全技术和网络安全产品的选用和部署，对全网的安全进行统一的规划和建设，并根据等级保护检查和风险评估的结果指导xxxx下一步等级保护工作的开展,确实有效保障网络安全稳定运行。

正是在这样的背景下，yyyy结合自身多年在安全行业和等级保护的积累，为xxxx的网络安全等级保护提出了具有国内领先水平的等级保护评估方案。

本方案主要包括以下组成部分：

一．综述

二．总体方案建议

第二部份总体方案建议

1.项目目标

本次对xxxx重要信息系统等级保护安全技术检查和风险评估的目标是：

l对重要信息系统的安全等级进行检查和评估，判断其定级是否准确，定级是否符合国家有关部门的要求。

l通过等级保护安全技术检查和评估，对等级保护定级不准确或者不符合要求的信息系统给出建议。

2.等级保护评估范围

本次评估，yyyy充分理解公安部的《信息系统安全等级保护实施指南》、《信息系统安全等级保护定级指南》等标准设计等级保护安全评估方案，对xxxx公司的重要信息系统的等级和安全现状进行评估。

本项目所评估的网络系统包含：

……等等。

具体评估系统如下：

3级以下信息系统如下：

（共……个信息系统）

3.等级保护评估原则

yyyy等级保护评估服务将遵循以下原则：

l保密原则：

yyyy将与xxxx签订保密协议，同时公司与每个参与本项目的员工签订信息保密协议，保证项目过程中和项目结束后不会向第三方泄漏机密信息，保证公司和个人不会利用评估结果对xxxx造成侵害。

在项目过程中获知的任何用户的信息，经过双方确认，并对相关文档属用户秘密信息，严格遵守保密协议中规定的要求，确保在实施，维护，合同有效期内的信息安全。

l标准性原则：

yyyy对xxxx等级保护评估方案的设计与实施应依据相关的等级保护安全标准以及国家有关部门制定信息安全和风险管理领域的国家标准进行，确保等级保护风险评估过程的规范、合理，并为等级保护评估成果提供了质量保证。

l规范性原则：

yyyy在等级保护评估项目中提供规范的工作过程和文档，具有很好的规范性，可用于项目的跟踪和控制。

评估项目的实施由专业的项目管理人员和安全服务人员依照规范的操作流程进行，在评估之前制定计划和必要的工作申请，并提前告知对系统可能的影响，并提出风险规避措施并做出必要的应急准备，在操作过程中对操作的过程和结果要提供规范的记录，并形成完整的评估过程报告。

l可控性原则：

yyyy的等级保护评估的方法、过程以及评估工具在项目开始之前经过xxxx严格测试并认可，评估服务的实际进度与进度表安排一致，对于由于客观因素需要的项目计划变更，将由双方项目经理进行确认，保证客户对于评估工作的可控性。

l整体性原则：

yyyy在xxxx网络安全等级保护评估项目中的范围和内容整体全面，涉及……，明确xxxx计算机网络中的各个定级对象，评估其安全等级，同时评估其安全风险以及其产生的原因。

l最小影响原则：

yyyy的等级保护风险评估工作的原则是做到对于用户系统和网络运行的影响最小化，不能对正在运行的系统和业务的正常提供产生显著不利影响。

在评估项目实施过程中，首先，远程风险评估和本地安全审计在业务不繁忙时段进行；其次，有主次互备的主机系统和设备，首先在备份机上进行安全评估，确信对业务系统不会有不利影响后方在主机上实施相应的安全评估；对于特别重要的系统和设备，若不满足直接对本机进行风险评估的条件，则应考虑采取其他更为稳妥的安全措施（如：

考虑在其边界部署安全防护措施）。

4.等级保护评估理论及标准

1

2

3

4

4.1标准与规范

4.1.1等级保护评估标准

yyyy为xxxx提供的网络安全等级保护风险评估服务，将主要依据《信息系统安全等级保护定级指南》、《信息系统安全等级保护实施指南》和《信息系统安全等级保护基本要求》进行评估，同时为保证本次评估的全面性，还将参考相关的国际标准、国内标准和电信行业的相关规范，并有选择性地采纳了优秀的风险评估理论。

国际标准包括BS7799，AS/NZS4360:

1999,ISO15408等；国家标准包括GAO/AIMD-00-33《信息安全风险评估》，GB17859，GB18336等。

这些标准和操作指南目前已经被我公司在以往的评估项目中进行了实践，并得到了用户的认可和好评。

除对标准的遵循外，yyyy的风险评估过程还紧密结合xxxx的各种业务特征，依据xxxx各业务的业务特点，系统地制定了xxxx网络安全等级保护风险评估方案。

4.1.2标准体现

评估过程

参照标准

全过程

¨《信息安全等级保护管理办法》

调查表和问题的设计

¨《信息系统安全等级保护定级指南》

¨加拿大《威胁和风险评估工作指南》

¨美国国防部彩虹系列NCSC-TG-019

¨ISO17799/BS7799

定级对象评估

¨《信息系统安全等级保护定级指南》

¨ISO17799/BS7799

¨加拿大《威胁和风险评估工作指南》

风险分析方法

¨ISO13335

风险分析模型

¨《AS/NZS4360:

1999风险管理标准》

风险计算模型

¨《AS/NZS4360:

1999风险管理标准》

¨GAO/AIMD-00-33《信息安全风险评估》

4.2等级保护模型

4.2.1等级保护

信息系统是颇受诱惑力的被攻击目标。

它们抵抗着来自各方面威胁实体的攻击。

对信息系统实行安全保护的目的就是要对抗系统面临的各种威胁，从而尽量降低由于威胁给系统带来的损失。

能够应对威胁的能力构成了系统的安全保护能力之一——对抗能力。

但在某些情况下，信息系统无法阻挡威胁对自身的破坏时，如果系统具有很好的恢复能力，那么即使遭到破坏，也能在很短的时间内恢复系统原有的状态。

能够在一定时间内恢复系统原有状态的能力构成了系统的另一种安全保护能力——恢复能力。

对抗能力和恢复能力共同形成了信息系统的安全保护能力。

不同级别的信息系统应具备相应等级的安全保护能力，即应该具备不同的对抗能力和恢复能力，以对抗不同的威胁和能够在不同的时间内恢复系统原有的状态。

针对各等级系统应当对抗的安全威胁和应具有的恢复能力，《基本要求》提出各等级的基本安全要求。

基本安全要求包括了基本技术要求和基本管理要求，基本技术要求主要用于对抗威胁和实现技术能力，基本管理要求主要为安全技术实现提供组织、人员、程序等方面的保障。

各等级的基本安全要求，由包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面的基本安全技术措施和包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的基本安全管理措施来实现和保证。

下图表明了《基本要求》的描述模型。

每一等级信息系统

安全保护能力

技术措施

管理措施

包含

具备

基本安全要求

满足

包含

满足

实现

图1-2《基本要求》的描述模型

4.2.2等级划分

作为保护对象，《管理办法》中将信息系统分为五级，分别为：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

4.2.3等级保护能力

1）定义

a）对抗能力

能够应对威胁的能力构成了系统的安全保护能力之一—对抗能力。

不同等级系统所应对抗的威胁主要从威胁源（自然、环境、系统、人为）动机（不可抗外力、无意、有意）范围（局部、全局）能力（工具、技术、资源等）四个要素来考虑。

在对威胁进行级别划分前，我们首先解释以上几个要素：

l威胁源——是指任何能够导致非预期的不利事件发生的因素，通常分为自然（如自然灾害）环境（如电力故障）IT系统（如系统故障）和人员（如心怀不满的员工）四类。

l动机——与威胁源和目标有着密切的联系，不同的威胁源对应不同的目标有着不同的动机，通常可分为不可抗外力（如自然灾害）无意的（如员工的疏忽大意）和故意的（如情报机构的信息收集活动）。

l范围——是指威胁潜在的危害范畴，分为局部和整体两种情况；如病毒威胁，有些计算机病毒的传染性较弱，危害范围是有限的；但是蠕虫类病毒则相反，它们可以在网络中以惊人的速度迅速扩散并导致整个网络瘫痪。

l能力——主要是针对威胁源为人的情况，它是衡量攻击成功可能性的主要因素。

能力主要体现在威胁源占有的计算资源的多少、工具的先进程度、人力资源（包括经验）等方面。

通过对威胁主要因素的分析，我们可以组合得到不同等级的威胁：

第一级：

本等级的威胁是1）危害范围为局部的环境或者设备故障、2）无意的员工失误以及3）低能力的渗透攻击等威胁情景。

典型情况如灰尘超标（环境）单个非重要工作站（设备）崩溃等。

第二级：

本等级的威胁主要是1）危害局部的较严重的自然