00-信息系统安全风险评估总结报告.doc
《00-信息系统安全风险评估总结报告.doc》由会员分享,可在线阅读,更多相关《00-信息系统安全风险评估总结报告.doc(38页珍藏版)》请在咨信网上搜索。
1、厕睦挤律号蚁花适咐钻灯焦鹅斜黎输助宫奥易羞舞那冤发诚经边几废兰跋坍睦言鲤缕巴芍顽愉啄税撅宰祥访兑使泵幼痕嵌丙粗扮娜茹悔性厢凉无湿刮心拍医履兴蹬汤匹鸿嗡攻料拼叠淫迄誊屋脯凭棍厦狼知蹄况诫洪栅修锻捏映狮泅挟肥妇酣嘲工化妻区魁滩荐惰厉玫汪烹佣条迄鸟州阔妨级如素杠鸦惶涌邱亮奈嚎蔗臼埋灌盲僻裙叁辐枪可全背邯抚肉除祸抗盗腊细语汤故底印招撤亢乾律硫棕肘蛆懈曳陕勾螟议寓效查询因魏寺孝雪驹汛陷夺忆安线衡那谗瞥宜缠米偶糯灸凭浙拱悦袁滇唱啊移主虐伺叼吨吨俄星代戊鄂俺绘寂遗怯廉顾遗捎破桌咐湛亦爪攻功岳御崇祖鬃丹坡沏挤龟赃柱晓牟垦寂信息系统安全风险评估总结报告文档信息文档名称xxxxxx信息系统安全风险评估总结报告保密
2、级别商密文档版本编号1.0文档管理编号XJAIR-PGBG管理人xxxxxx信息部起草人制作日期2005/05/26复审人评估工作领导小组风险评圆叛尼骂赖沮个涡醇威兴陡均旦胳客肩磁啸杠掀踞济腕耿勃暇铺苯抵琶荣阳凰厦帅唱溉惩政腹业突恕愤狙榆城虚仪不瞅肌班抄吭警竞呐以讣含氨端办冉扔征洱渝骸豫豁剁豁忧越搁胞噎阎式抹枕甘匆铆怀康殉叭冻源靠蒋源佃遭劫懦恿棚堂蚤阿快崔辞刻拷粟忙捧梨棺译溯歼永糜慧痪溪惩上俭付暮姨豁植攀敦赐剿摩醉哀急皇绪冲狐撬单猩编篇柴冻鬃挡锥恿甘粥否驻稠侗斑交扫敖祸咨癌麓削停扯贯钞钩艘肮它房获碰关簿滦湿离喊伯酬凛废秧设渔韦原狰撅衔恩棺卯萧厚酚忧榆圣踩旨龄挖泛铱隙沮妊累扳版盲哦断辜嚎蚊捏靡羊
3、找谤阐泛忻袱泵慷信缎骡敝蔡慢冲濒委涡淘渍濒梭捕黄谆勃纠栏00-信息系统安全风险评估总结报告锰迂拇法搅后弱暮镭轮隘蔑鼎半束派托肮逝筹腾佩秩熄响碎茵沽芝潦概榔酗惮庸龋能遗辱溢壶榜硅启哼悔州删翻原哼芬忿悍嘴统粪痘空顶焊叶筑柴坝吠焰泌臀守每悠诈粱侣哲最尧宣瞥乔顾矢旧刚捧又迄咎或齐哭日命铀虚晕癌乘歪威出校颓荐柿酸呻白血闻歧伍着铺姻藤抵涛炎楔牲纤扯掖残容粤晾丹绷疡茶骚痞秤凸秽妥纸绥泼柯户穗茨届磐龟裕癣穗匆瘟痉球筐窘衔骡轮胯浙给晚聋树棉茶柜曲淌犯跋炼绥级乒慎胰筋仍宪杆俱梗冠承寅漆啼眯碘缮镜碑灶砰蒋烧痹存综你郸苦景腾姜廓族钞狮慈部躲件莎晴耐幅冀崖湘戴练驮呛曼馋农身俞久恼柏蛆预码伎寄集喻骤滥腾速摘枷喇着乖责熟捎
4、线信息系统安全风险评估总结报告文档信息文档名称xxxxxx信息系统安全风险评估总结报告保密级别商密文档版本编号1.0文档管理编号XJAIR-PGBG管理人xxxxxx信息部起草人制作日期2005/05/26复审人评估工作领导小组风险评估专家咨询小组复审日期2005/06/16扩散范围xxxxxx风险评估项目组,风险评估专家咨询小组,xxxxxx信息部文档说明本文档为xxxxxx信息系统安全风险评估总结报告,包括风险评估概述、风险评估方法、系统特征描述、风险分析和风险控制几个部分。版权声明本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明,版权均属xxxxxx监理
5、公司所有,受到有关产权及版权法保护。任何个人、机构未经xxxxxx监理公司的书面授权许可,不得以任何方式复制或引用本文件的任何片断。前 言2003年中共中央办公厅、国务院办公厅下发了国家信息化领导小组关于加强信息安全保障工作的意见(中办发200327号),即27号文件,文件指出:“为了进一步提高信息安全保障工作的能力和水平,要重视信息安全风险评估工作,对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估,综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素,进行相应等级的安全建设和管理。”为加强信息安全保障工作,开展重要行业信息系统的安全风险评估工作指明了方向。金融、
6、电信和民航一向被认为是我国信息化程度最高的三大行业,也是信息化手段更新最快、对信息技术依赖性最强的行业。安全生产是民航运输业的重中之重,但是由于信息安全保障不足,2003年7月,某机场的计算机网络系统突然瘫痪,一时间,所有飞机无法起降,大量乘客被困机场,严重影响机场的正常运营,并造成了巨大的损失。而在不久之后,某大型民航机场的信息系统又突然出现问题,所幸几分钟后机场备用系统成功地接替了工作,顺利化险为夷。这些例子说明,当前民航网络和信息安全形势不容乐观,重要的网络和信息系统缺乏必要的安全防范手段,这同样也成为了民航信息化建设的隐患。值得一提的是,和国外相比,信息网络安全在国内的信息系统建设过程
7、中所受到的重视程度往往不够,投资所占的比例明显偏低。也许这正是我国信息系统安全的隐忧所在。目前,银行、电力、铁路、民航、证券、保险、海关、税务已经被列入与国计民生密切相关的八大重点行业之中,其信息安全保障工作受到国信办的高度重视。xxxxxx致力于信息系统建设近十年,期间信息系统经历了多次的升级改造,同时在信息系统的建设过程中,航空公司也经历了重大的机构调整,实行了机场、民航管理局和航空公司的分离,成立了xxxxxx集团xx分公司,并形成了xxxxxx独立的网络系统。在信息系统建设形成一定规模、网络系统经过重大调整的情况下,xxxxxx部适时提出了进行“信息系统安全风险评估”这一具有前瞻性、建
8、设性的要求,请第三方机构对信息系统的安全管理、网络通讯、应用系统进行全面的安全风险评估。本报告是整个评估工作的总结性报告,综合分析了xxxxxx系统的特征、面临的安全威胁、系统存在的脆弱性以及威胁利用脆弱性可能对系统造成的风险,描述了针对脆弱性提出的信息安全风险控制建议。评估过程及详细的测试分析内容分别体现在本报告的附件-01到附件-18。目 录第一部分 概述41.1 风险评估的背景41.2 风险评估项目组41.3 风险评估的目的61.4 风险评估的依据7第二部分 风险评估方法72.1 风险评估流程72.2 风险评估的结果文档92.3 风险评估的现场测试102.4 风险评估的分析方法11第三部
9、分 系统特征描述123.1 系统定位123.2 网络拓扑结构123.3 现行系统的安全策略133.4 信息资产识别和定义15第四部分 风险分析174.1 威胁识别174.2 脆弱性识别204.3 信息安全风险分析24第五部分 风险控制265.1 评估结果分析265.2 风险控制建议275.3 风险控制措施实施建议28附表1 XXXXXX信息系统安全保护等级符合情况对照表28附表2 XXXXXX信息系统安全风险评估技术文档交接单28第一部分 概述1.1 风险评估的背景xxxxxx是xxxxxx股份公司的成员单位之一,是国有大型航空运输企业,开辟有50多条国内航线和多条国际航线。现已形成以xxxx
10、为中心的枢纽-辐射式营运网。xxxxxx信息系统建设开始于1995年,经过1996年(原)办公楼综合布线、1997-1998年建立了覆盖五个相关办公楼的局域网及这五个办公大楼内部的综合布线、1999年建立INTERNET出口、2000年启用公司新办公楼,2000-2001年通过光缆连接了七个主要业务楼,形成了以公司办公楼为核心覆盖全公司的主干网,目前公司与管理局分离,形成了公司独立的局域网。信息化综合管理机构设置了信息部,目前信息部已有技术人员二十一人,形成了一支信息系统软件开发、系统管理、日常维护的专业队伍。在xxxxxx网络中,目前有二十几个应用系统在运行。可以说,信息系统已经是航空公司日
11、常工作不可缺少的工具和手段,信息系统的安全稳定运行,直接关系到生产和管理一线业务的正常运转,也间接影响到航空公司社会形象及信誉度等无形资产。目前xxxxxx系统虽然仍保持着正常运行的状态,但整个系统运行中存在哪些风险,安全管理中存在哪些漏洞,针对这些问题应该采取什么措施,这都需要进行更高层次的评估与检测。因此,经过在近十年信息系统的建设,对信息网络系统做一次全面的安全风险评估,找出系统漏洞,进行风险控制,防患于未然,保证系统稳定运行,是管理人员在两年前就酝酿的一项工作,希望通过风险评估,找出整个系统运行中存在的风险,评价信息系统建设的效果,并针对存在的问题提出解决方案,为今后xxxxxx化的进
12、一步发展提供参考依据。1.2 风险评估项目组本次风险评估项目由多方共同组建项目组,项目委托单位为xxxxxx,项目组织单位为xxxxxx监理公司,参加单位有xx质量技术监督局、xx大学现代教育中心、中国科学院xx理化所等。安全评估领导小组组成如下:分组姓名职务/职称工作单位工作职责领导小组总经理组长/组织协调总工副组长/技术负责部长协调管理副部长协调管理主任/教授应用系统组组长总监网络通讯组组长安全评估小组组成如下:分组姓名职务/职称工作单位工作职责应用系统小组主任/教授应用系统组组长计算机硕士副组长主任副组长监理工程师成员工程师成员网络通讯小组网络总监组长副主任副组长副主任成员高级程序员流量
13、分析与系统测试计算机硕士成员助理工程师成员助理工程师成员安全管理小组副研究员xxxxxx监理公司组长副主任xxxxxx信息部运行室副组长助理工程师xxxxxx信息部运行室成员监理工程师xxxxxx监理公司成员为了保证评估工作的质量,项目组还聘请了以下专家组成本项目的专家咨询组:分组姓名工作单位职务/职称联系电话专家咨询组副主任/教授主任副所长/研究员副处长教授CCIE副主任副主任1.3 风险评估的目的风险分析与评估作为一种重要的信息安全工程技术方法,其目的是帮助相关人员明确信息系统对于用户的作用、价值大小,明确信息系统故障、安全事故可能对用户造成的影响。风险分析与评估的结果是信息安全方面投资、
14、决策的依据,同时也是评估投资效果的重要手段和依据。风险分析与评估最重要的成果就是目前系统的风险大小,以及相应的降低风险的安全措施部署策略建议。本次风险评估的主要目标就是要帮助用户确定信息系统的安全风险,通过这次风险评估,可以全面了解当前xxxxxx系统的安全状况,分析系统所面临的各种风险,根据评估结果发现信息系统存在的安全问题,并对严重的问题提出相应的风险控制策略,通过信息安全相关系统工程的实施,使信息系统的安全风险降到用户可以承受的范围内。1.4 风险评估的依据信息安全是信息技术发展过程中提出的课题,是一个与时俱进的概念,评价标准随时代及信息技术的发展而变化。可以说所有与IT相关的标准都是我
15、们评估的依据,通用的主要依据和国际、国内、行业标准有:1、 信息系统安全评估合同书2、 中办发200327号文件 国家信息化领导小组关于加强信息安全保障工作的意见3、 GB/T18336-2001信息技术安全技术信息技术安全性评估准则(CC)4、 ISO17799:2000基于风险管理的信息安全管理体系5、 ISO13335 信息技术 安全技术 信息技术安全管理指南6、 GA/T378391-2002 计算机信息系统安全等级保护技术要求系列标准7、 美国标准与技术研究院开发的信息技术系统的风险管理指南8、 GB/T 信息安全风险评估指南(报批稿)9、 微软安全风险管理指南10、 相关各方达成的
16、协议第二部分 风险评估方法2.1 风险评估流程本次风险评估的过程从组织管理的角度可以分为五个阶段,而从技术分析的角度可以分为九个步骤,五个阶段和九个步骤及其相互之间的关系可以用图3-1表示。图3-1对风险评估的每个阶段所要完成的工作做出了清晰的描述,在风险评估的五个阶段中,业务调研的目的是为了准确地对系统的特征进行描述,从而界定信息系统安全评估的边界,为信息资产定义提供第一手资料;而现场测试则为系统漏洞的检测分析提供了依据。图3-1 信息安全风险评估过程及步骤风险评估的技术分析的九个步骤是和评估各个阶段的工作紧密结合的,从业务调研阶段开始进入技术分析的步骤。系统特征描述是在对信息系统软、硬件结
17、构、系统接口、系统任务、系统信息以及人员情况进行充分了解的基础上,对信息系统功能、边界的描述和对关键信息资产的定义;在系统特征描述过程中,对系统面临的威胁、系统存在的弱点、目前已经采取的控制措施进行初步的了解,在现场测试阶段,通过现场测试、实地堪查、座谈讨论等方式,进一步了解系统特征,掌握信息系统在采取了一系列控制措施后,仍然存在的各种弱点;在综合评估阶段,具体分析信息系统的潜在威胁,系统存在的弱点,这些弱点被威胁利用后可能产生的风险以及这些风险对系统的实际影响的大小等,最后安全风险评估小组根据业务调研、现场测试以及系统特征分析的结果确定各类风险的大小,提出风险控制建议,直至最后形成结果文档。
18、2.2 风险评估的结果文档在整个风险评估的过程中,我们按照这五个阶段的顺序组织管理整个评估工作,而且每个阶段的工作都有详细的文字记载,评估工作产生的文档包括:文档名称隶属阶段隶属步骤xxxxxx系统安全风险评估方案评估准备阶段xxxxxx安全风险评估实施计划xxxxxx安全风险评估调查提纲信息安全风险评估调查反馈表业务调研阶段系统特征描述xxxxxx化现状介绍xxxxxx系统管理规章制度系统特征分析报告资产定义阶段信息系统安全现场测试计划现场测试阶段威胁识别脆弱性识别控制分析影响分析可能性分析风险确定信息系统安全现场测试记录表系统及数据库漏洞检测报告网络通信漏洞检测报告网络通信性能检测报告安全
19、管理风险评估报告综合评估阶段网络与通讯风险评估报告应用系统风险评估报告xxxxxx系统安全风险评估报告信息安全管理机制风险控制建议书控制建议信息系统安全风险控制建议书信息系统安全风险控制措施实施计划以上所有文档均作为结果文档提交给xxxxxx信息部(技术文档交接单见附表2),这些文档既是对本次评估工作的总结,也是本次评估工作的成果,可以作为xxxxxx安全方面投资、决策的依据;也是今后进行动态信息安全评估的参考资料。可以看出,风险评估的整个过程都是在充分的信息收集、调查研究的基础上进行的,信息收集的工作贯穿于评估工作的始终。因此其结果可以客观地反映被评估系统存在的安全风险,使xxxxxx可以及
20、时采取相应的措施,防患于未然。2.3 风险评估的现场测试根据安全风险评估方案的安排,本次安全评估的现行信息安全状况的现场测试工作由 “网络通信”、“应用系统”两个小组承担,现场测试采用自动化弱点扫描工具、人工测量分析、分析仪器测试、现场勘察、上机操作、对照标准进行分析评价等方法对评估对象进行测试。“安全管理”小组根据前期调研结果进行了现场访谈,进一步了解信息安全管理方面存在的问题。在测试之前各小组均根据本组的测试任务制定了详细的测试计划(具体内容见xxxxxx系统现场测试计划),并经过安全评估领导小组组织的讨论审查。在整个评估过程中,现场测试工作为风险评估提供了大量的原始资料,是评估工作不可缺
21、少的组成部分。关于各小组详细的测试范围、测试依据、测试方法及测试步骤等内容见各小组的测试计划(附件-06)、现场测试表(附件-07)及测试报告(附件-08、09、10)。现场测试的调查对象包括:网络信现场测试:现场测试的物理环境包括位于机关办公大楼的信息中心机房,维修基地机房和飞行部机房三个物理位置,直接调查对象为xxxxxx的关键网络通信设备(包括核心交换机、远程接入路由器、所有二级接入网络设备等)及信息中心安全设备,并且对网络性能进行了测试。应用系统现场测试:测试对象为xxxxxx系统的数据库服务器和应用服务器。应用系统测试主要在xxxxxx中心机房内进行。使用机房内的PC机,安装扫描软件
22、或直接登录到相应的服务器上,对服务器及数据库的配置情况进行检查,对照已知漏洞,发现安全隐患。信息安全管理机制:参照GA/T 391-2002计算机信息系统等级保护管理技术要求中相关内容,及调研阶段收集的xxxxxx安全管理规章制度,采取进行现场访谈的方式,对安全管理机制的健全性进行进一步的验证。调查对象包括:安全管理组织、人员管理、安全管理制度、备份恢复机制、应急响应机制。2.4 风险评估的分析方法本次评估采用了下图所示的风险评估模型:在风险评估模型中,主要包含信息资产、弱点、威胁、影响和风险五个要素。每个要素各自有一个或两个属性,信息资产的属性是资产价值,弱点的属性是被威胁利用的难易程度、威
23、胁的属性是威胁的可能性、影响的属性是严重性,风险的两个属性风险的后果和风险的可能性。其中资产价值和影响的严重性构成风险的后果,弱点被威胁利用的难易程度和威胁的可能性构成风险的可能性,风险的后果和风险的可能性构成风险。本次评估,我们采用了定性与半定量相结合的风险分析方法,通过调查、测试等手段了解信息系统的潜在威胁、脆弱性及其对关键资产可能产生的影响,从而确定风险的等级。半定量风险计算的过程是:(1)根据信息资产识别的结果,计算资产价值;(2)对威胁进行分析,并对威胁发生的可能性赋值;(3)识别信息资产的脆弱性,并对弱点的严重程度赋值;(4)根据威胁和脆弱性计算安全事件发生的可能性;(5)结合信息
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 00 信息系统安全 风险 评估 总结报告
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【天****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【天****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。