单位安全评估报告.docx

单位安全评估报告.docx

《单位安全评估报告.docx》由会员分享，可在线阅读，更多相关《单位安全评估报告.docx（24页珍藏版）》请在冰豆网上搜索。

单位安全评估报告

××单位安全评估报告

××单位信息安全检查

安全评估报告

1.概述

1.1.背景

根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）、集团公司以及省公司公司相关文件的要求，开展××单位范围内的信息安全检查工作。

本报告为××单位信息系统安全现状自评估结论性报告，描述了对我局信息系统目前面临的各种安全威胁，并从物理安全、网络安全、系统安全、应用安全和管理安全五个层面对我局信息系统安全脆弱性现状进行了详细的分析，最终从客观上对信息系统的安全状况进行了总体评价。

1.2.目的

××单位信息安全检查工作的主要目标是通过自评估工作，发现公司信息系统当前面临的主要安全问题，边检查边整改，确保公司信息网络和重要信息系统的安全。

本次安全检查工作将完成以下任务：

1.完成××单位的信息安全风险评估工作。

通过检查掌握当前我局信息系统面临的主要安全问题，并在对检查结果进行分析判断的基础上提出整改措施；

2.进行××单位信息安全大检查，对我局的基础网络和重要信息系统进行安全性自查，并将相关数据进行汇总分析，统计重大和典型信息安全事件，及时发现和查找基础网络和重要信息系统存在的安全隐患，边检查边整改，确保我局基础网络和重要信息系统安全、可靠运行。

1.3.评估依据

本次自评估我局将采用国际信息安全管理标准BS7799的PDCA思想作为贯穿整个项目过程的主要指导规范。

在风险等关键因素的评估及安全体系、安全规划、安全策略、安全方案的建设等方面，我们还参考了SSE-CMM、ISO15408和ISO13335标准。

1.BS7799（ISO/IEC17799）

BS7799是国内外现在比较流行的信息安全管理标准，其安全模型主要是建立在风险管理的基础上，通过风险分析的方法，使信息风险的发生概率和后果降低到可接受水平，并采取相应措施保证业务不会因安全事件的发生而中断。

这个标准中安全管理体系框架构建的过程也就是宏观上指导整个项目实施的过程。

这个标准中给出了11类需要进行控制的部分：

安全策略、安全组织、资产分类与控制、个人信息安全、物理和环境安全、通信和操作安全、访问控制、系统的开发和维护、商业持续规划、合法性要求等方面的安全风险评估和控制，以及133项控制细则。

2.《信息安全风险评估指南》&《信息安全风险管理指南》

《信息安全风险评估指南》和《信息安全风险管理指南》是国内风险评估的主要规范，它在参考了国际风险评估理论的基础上建立了适用于中国国情的风险评估方法论，无论是风险评估的流程还是风险计算模型都将为本次风险评估的具体实施提供指导。

3.SSE-CMM

SSE-CMM是“系统安全工程能力成熟模型”的缩写。

系统安全工程旨在了解用户单位存在的安全风险，建立符合实际的安全需求，将安全需求转换为贯穿安全系统工程的实施指南。

系统安全工程需要对安全机制的正确性和有效性做出验证，证明系统安全的信任度能够达到用户要求，以及未在安全基线内仍存在的安全问题连带的风险在用户可容许、或可控范围内。

4.ISO/IEC15408（GB/T18336）

信息技术安全性评估通用准则ISO15408已被颁布为国家标准GB/T18336，简称通用准则（CC），它是评估信息技术产品和系统安全性的基础准则。

该标准针对在安全性评估过程中信息技术产品和系统的安全功能及相应的保证措施提出一组通用要求，使各种相对独立的安全性评估结果具有可比性。

5.ISO/IEC13335

ISO13335是信息安全管理方面的规范，这个标准的主要目的就是要给出如何有效地实施IT安全管理的建议和指南。

6.等级保护相关标准

为了落实《信息安全等级保护管理办法（试行）》，协助XX公司对信息系统进行安全等级保护的建设，将严格遵循公安部颁布的《计算机信息系统安全等级保护划分准则》（GB17859）、《信息系统安全保护等级定级指南》（试用稿）、《信息系统安全等级保护基本要求》（试用稿）、《信息系统安全等级保护实施指南》（送审稿）、《信息系统安全等级保护测评准则》（送审稿）、《电子政务信息安全等级保护实施指南（试行）》（国信办25号文）等相关规范。

7.其他相关标准

在具体的安全风险评估操作及安全体系建设方面，还将参考一些国际和国内的技术标准，如《AS/NZS4360:

1999风险管理标准》、GAO/AIMD-00-33《信息安全风险评估》、加拿大《威胁和风险评估工作指南》、美国信息安全保障框架IATF等，以此更加规范安全评估及体系建设的具体技术细节。

2.安全评估方案

2.1.安全评估内容

本次为了全面的分析××局信息系统当前的安全现状，发现当前系统存在的高风险安全隐患和问题，分析当前现状和《省公司公司信息安全检查工作方案》、ISO17799等国家及行业安全目标之间的差距，我局将对信息网的物理层、网络层、系统层、应用层和管理层进行全面安全评估。

2.1.1.物理层自评估

物理层自评估主要是通过××局信息网机房内部安全防护、机房供电以及环境防护的安全性进行评估。

2.1.2.网络层自评估

网络层自评估主要是对××局信息网进行网络架构分析和人工安全检查等评估方法对我局的网络结构、路由器、交换机以及防火墙等网络设备的安全性进行评估。

2.1.3.系统层自评估

系统层自评估主要是通过手动检查、安全技术审计等方式对××局信息网中的小型机以及WindowsPC服务器等应用服务器的操作系统进行安全性自评估工作。

2.1.4.应用层自评估

应用层自评估主要是通过人工安全检查、安全技术审计等方式对OAK系统、营销系统以及数据库系统等业务应用系统的安全性进行评估。

2.1.5.管理层自评估

管理层自评估主要是通过管理体系审核、管理问卷调查等方式对业务系统信息安全管理的建设和执行情况进行评估，并分析当前现状和《省公司公司信息安全检查工作方案》、ISO17799等国家及行业安全目标之间的差距。

2.2.安全评估流程

安全风险评估方案是安全风险模型的体现，本次自评估工作过程可以分为以下几个阶段：

第一阶段确定评估范围阶段，调查并了解我局信息系统业务的流程和运行环境，确定评估范围的边界以及范围内的所有网络系统；

第二阶段是资产的识别和评估阶段，对评估范围内的所有资产进行识别；

第三阶段是安全威胁评估阶段，即评估资产所面临的主要威胁发生可能性；

第四阶段是脆弱性评估阶段，包括从技术、管理、策略方面进行的脆弱程度检查，特别是技术方面，以安全审计和手动抽查的评估；

第五阶段是风险的分析阶段，即通过分析上面所评估的数据，进行风险识别、区分和确认高风险因素；

第六阶段是风险的管理阶段，这一阶段主要是总结整个风险评估过程，制定相关风险控制策略，建立风险评估报告和检查报告，实施某些紧急风险控制措施。

2.3.安全评估方式

2.3.1.管理体系审计

通过对××局现有的安全管理体系进行审核，了解现有管理体系与ISO27001《**省**集团有限公司计算机信息系统安全策略规划书》、《省公司公司信息安全检查工作方案》等相关国家和行业标准的符合情况。

安全管理体系的审计包括现有的安全管理管理规范、策略文档、制度文档、流程文档。

检查内容主要包括：

●分析当前颁布的所有的管理体系文档的内容是否全面；

●检查当前颁布的安全体系是否符合标准；

●检查当前颁布的各类体系文档的格式是否合理；

●检查当前颁布的安全体系是否在持续改进。

●检查当前颁布的安全体系内容是否符合《省公司公司信息安全检查工作方案》的要求

2.3.2.安全策略评估

安全策略是对整个网络在安全控制、安全管理、安全使用等最全面、最详细的策略性描述，它是整个网络安全的依据。

不同的网络需要不同的策略，它必须能回答整个网络中与安全相关的所有问题，例如，如何实现防病毒管理？

如何控制远程用户访问的安全性等等。

对这些问题做出详细回答，并确定相应的防护手段和实施办法，就是针对整个网络的一份完整的安全策略。

策略一旦制订，应当作为整个网络安全行为的准则。

这一步工作，就是从整体网络安全的角度对现有的网络安全策略进行全局性的评估，它也包含了技术和管理方面的内容，具体包括：

◆安全策略是否全面覆盖了整体网络在各方各面的安全性描述；

◆在安全策略中描述的安全控制、管理和使用措施是否正确和有效；

◆安全策略中的每一项内容是否都得到确认和具体落实。

◆安全策略是否符合《省公司公司信息安全检查工作方案》的要求

2.3.3.网络架构分析

网络架构分析是通过对××局管理信息网内信息系统的网络拓扑及网络层面细节架构的评估，主要从以下几个方面进行分析：

Ø网络建设的规范性：

网络安全规划、设备命名规范性、网络架构安全性；

Ø网络的可靠性：

网络设备和链路冗余、设备选型及可扩展性；

Ø网络边界安全：

网络设备的ACL、防火墙、隔离网闸、物理隔离、VLAN（二层ACL）等；

Ø网络协议分析：

路由、交换、组播、IGMP、CGMP等协议；

Ø网络通信安全：

通信监控、通信加密、VPN分析等；

Ø设备自身安全：

SNMP、口令、设备版本、系统漏洞、服务、端口等；

Ø网络安全管理：

网管系统、客户端远程登陆协议、日志审计、设备身份验证等。

2.3.4.手动检查

手动检查是自评估工作最重要的手段之一，通过自我内部评估来查找网络结构、网络设备、操作系统、核心应用等安全对象目标存在的脆弱性和威胁性，以及由此归并分析得出相应的安全风险。

在本次手动检查主要以下面的物理、网络、系统以及应用四个层次进行自评估工作。

1．物理层安全：

该层的安全问题主要指物理环境的安全性，包括物理安全区域划分、物理安全边界、机房安全、设备安全等

2．网络层安全：

该层的安全问题主要指网络信息的安全性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性、远程接入、域名系统、路由系统的安全，入侵检测的手段等。

3．系统层安全：

该层的安全问题来自网络运行的操作系统：

UNIX系列、Windows系列以及专用操作系统等。

安全性问题表现在两方面：

一是操作系统本身的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是操作系统的安全配置存在问题。

4．应用层安全：

该层的安全考虑网络对用户提供服务所采用的应用软件和数据的安全性，包括：

数据库软件、OAK系统、营销系统、交换与路由系统、防火墙、业务应用软件以及其它网络服务系统等。

2.3.5.安全技术审计

通过对××局现有的安全技术体系进行审核，了解现有的技术体系与ISO17799、《**省**集团有限公司计算机信息系统安全策略规划书》、《省公司公司信息安全检查工作方案》等相关国家和行业标准的符合情况。

安全技术体系的审计包括现有的物理安全、网络安全、系统安全以及应用安全等。

3.信息资产识别

3.1.概述

资产是风险评估的最终评估对象。

在一个全面的风险评估中，风险的所有重要因素都紧紧围绕着资产为中心，威胁、脆弱性以及风险都是针对资产而客观存在的。

威胁利用资产自身的脆弱性使得安全事件的发生成为可能，从而形成了风险。

这些安全事件一旦发生，将对资产甚至是整个系统都将造成一定的影响。

因此资产的评估是风险评估的一个重要的步骤，它被确定和估价的准确性将影响着后面所有因素的评估。

3.2.网络结构

图1××单位网络拓扑结构图

××单位目前是各地分支机构的用户通过100M的ATM网络与核心交换机相连，通信中心用户、物流中心用户、配电用户、输变电用户以及公司楼层用户则通过局域网交换机与核心交换机相连，服务器群被分配在同一个VLAN中。

3.3.应用系统

¯OA办公自动化系统