中海信托信息安全風(fēng)險(xiǎn)評估及整改項(xiàng)目技術(shù)設(shè)計(jì)方案

1、.wd.wd.wd.目 錄 TOC o 1-2 h z u HYPERLINK l _Toc2365431871概述 PAGEREF _Toc236543187 h 35HYPERLINK l _Toc2365431881.1工程背景 PAGEREF _Toc236543188 h 35HYPERLINK l _Toc2365431891.2工程目標(biāo) PAGEREF _Toc236543189 h 35HYPERLINK l _Toc2365431901.3工程內(nèi)容 PAGEREF _Toc236543190 h 36HYPERLINK l _Toc2365431911.4工程設(shè)計(jì)原那么 PA

2、GEREF _Toc236543191 h 37HYPERLINK l _Toc2365431921.5工程范圍 PAGEREF _Toc236543192 h 38HYPERLINK l _Toc2365431931.6文件和法律法規(guī) PAGEREF _Toc236543193 h 38HYPERLINK l _Toc2365431942天融信對本工程的理解 PAGEREF _Toc236543194 h 39HYPERLINK l _Toc2365431952.1對工程目標(biāo)的理解 PAGEREF _Toc236543195 h 39HYPERLINK l _Toc2365431962.2對

3、工程特點(diǎn)的理解 PAGEREF _Toc236543196 h 39HYPERLINK l _Toc2365431973工程總體方法與流程 PAGEREF _Toc236543197 h 41HYPERLINK l _Toc2365431983.1概述 PAGEREF _Toc236543198 h 41HYPERLINK l _Toc2365431993.2天融信風(fēng)險(xiǎn)評估方法 PAGEREF _Toc236543199 h 44HYPERLINK l _Toc2365432003.3本工程采用的安全風(fēng)險(xiǎn)評估方法 PAGEREF _Toc236543200 h 45HYPERLINK l _T

4、oc2365432013.4技術(shù)難點(diǎn)和關(guān)鍵突破 PAGEREF _Toc236543201 h 48HYPERLINK l _Toc2365432024信息資產(chǎn)調(diào)查和賦值 PAGEREF _Toc236543202 h 50HYPERLINK l _Toc2365432034.1信息資產(chǎn)概述 PAGEREF _Toc236543203 h 50HYPERLINK l _Toc2365432044.2信息資產(chǎn)分類 PAGEREF _Toc236543204 h 50HYPERLINK l _Toc2365432054.3保護(hù)對象框架 PAGEREF _Toc236543205 h 56HYPER

5、LINK l _Toc2365432064.4資產(chǎn)識別過程 PAGEREF _Toc236543206 h 58HYPERLINK l _Toc2365432074.5信息資產(chǎn)賦值 PAGEREF _Toc236543207 h 59HYPERLINK l _Toc2365432084.6賦值工作操作方法指南 PAGEREF _Toc236543208 h 64HYPERLINK l _Toc2365432095IT設(shè)備評估 PAGEREF _Toc236543209 h 66HYPERLINK l _Toc2365432105.1評估的過程 PAGEREF _Toc236543210 h 6

6、6HYPERLINK l _Toc2365432115.2評估的方法 PAGEREF _Toc236543211 h 68HYPERLINK l _Toc2365432125.3評估的內(nèi)容 PAGEREF _Toc236543212 h 70HYPERLINK l _Toc2365432135.4評估的風(fēng)險(xiǎn)和應(yīng)對 PAGEREF _Toc236543213 h 72HYPERLINK l _Toc2365432146網(wǎng)絡(luò)設(shè)備安全風(fēng)險(xiǎn)評估 PAGEREF _Toc236543214 h 73HYPERLINK l _Toc2365432156.1評估過程描述 PAGEREF _Toc236543

7、215 h 74HYPERLINK l _Toc2365432166.2評估的方法 PAGEREF _Toc236543216 h 77HYPERLINK l _Toc2365432176.3評估的內(nèi)容 PAGEREF _Toc236543217 h 78HYPERLINK l _Toc2365432186.4評估的風(fēng)險(xiǎn)和應(yīng)對 PAGEREF _Toc236543218 h 81HYPERLINK l _Toc2365432197應(yīng)用系統(tǒng)和管理安全風(fēng)險(xiǎn)評估 PAGEREF _Toc236543219 h 81HYPERLINK l _Toc2365432207.1評估過程描述 PAGEREF

8、_Toc236543220 h 84HYPERLINK l _Toc2365432217.2評估方法 PAGEREF _Toc236543221 h 46HYPERLINK l _Toc2365432227.3評估內(nèi)容 PAGEREF _Toc236543222 h 47HYPERLINK l _Toc2365432237.4風(fēng)險(xiǎn)及應(yīng)對措施 PAGEREF _Toc236543223 h 60HYPERLINK l _Toc2365432248安全增強(qiáng)與加固 PAGEREF _Toc236543224 h 61HYPERLINK l _Toc2365432258.1安全加固內(nèi)容 PAGEREF

9、 _Toc236543225 h 62HYPERLINK l _Toc2365432268.2安全加固流程 PAGEREF _Toc236543226 h 64HYPERLINK l _Toc2365432279應(yīng)急響應(yīng)服務(wù) PAGEREF _Toc236543227 h 65HYPERLINK l _Toc2365432289.1服務(wù)目標(biāo)： PAGEREF _Toc236543228 h 65HYPERLINK l _Toc2365432299.2服務(wù)特點(diǎn)： PAGEREF _Toc236543229 h 66HYPERLINK l _Toc2365432309.3一般實(shí)施流程： PAGER

10、EF _Toc236543230 h 66HYPERLINK l _Toc2365432319.4流程說明： PAGEREF _Toc236543231 h 66HYPERLINK l _Toc23654323210安全解決方案 PAGEREF _Toc236543232 h 68HYPERLINK l _Toc23654323310.1解決方案設(shè)計(jì)概述 PAGEREF _Toc236543233 h 68HYPERLINK l _Toc23654323410.2安全需求分析 PAGEREF _Toc236543234 h 68HYPERLINK l _Toc23654323510.3安全解決

11、方案設(shè)計(jì) PAGEREF _Toc236543235 h 69HYPERLINK l _Toc23654323611工程組織構(gòu)造 PAGEREF _Toc236543236 h 71HYPERLINK l _Toc23654323711.1現(xiàn)場實(shí)施階段，工程組織構(gòu)造 PAGEREF _Toc236543237 h 71HYPERLINK l _Toc23654323811.2工程角色和責(zé)任 PAGEREF _Toc236543238 h 71HYPERLINK l _Toc23654323912工程進(jìn)度方案 PAGEREF _Toc236543239 h 74HYPERLINK l _Toc2

12、3654324012.1工程主要過程時(shí)間安排 PAGEREF _Toc236543240 h 74HYPERLINK l _Toc23654324113工程啟動(dòng)和準(zhǔn)備階段 PAGEREF _Toc236543241 h 75HYPERLINK l _Toc23654324213.1概述 PAGEREF _Toc236543242 h 75HYPERLINK l _Toc23654324313.2參加人員 PAGEREF _Toc236543243 h 75HYPERLINK l _Toc23654324413.3過程描述 PAGEREF _Toc236543244 h 75HYPERLINK

13、l _Toc23654324513.4需要中海信托配合的工作 PAGEREF _Toc236543245 h 75HYPERLINK l _Toc23654324613.5輸出 PAGEREF _Toc236543246 h 76HYPERLINK l _Toc23654324714現(xiàn)場實(shí)施階段 PAGEREF _Toc236543247 h 76HYPERLINK l _Toc23654324814.1資產(chǎn)調(diào)查 PAGEREF _Toc236543248 h 76HYPERLINK l _Toc23654324914.2安全評估包括漏洞掃描、人工檢查等 PAGEREF _Toc2365432

14、49 h 77HYPERLINK l _Toc23654325014.3滲透測試 PAGEREF _Toc236543250 h 79HYPERLINK l _Toc23654325114.4安全加固 PAGEREF _Toc236543251 h 80HYPERLINK l _Toc23654325214.5應(yīng)急響應(yīng)服務(wù) PAGEREF _Toc236543252 h 81HYPERLINK l _Toc23654325315數(shù)據(jù)分析及報(bào)告階段 PAGEREF _Toc236543253 h 83HYPERLINK l _Toc23654325415.1概述 PAGEREF _Toc2365

15、43254 h 83HYPERLINK l _Toc23654325515.2過程描述 PAGEREF _Toc236543255 h 83HYPERLINK l _Toc23654325615.3需要中海信托配合的工作 PAGEREF _Toc236543256 h 84HYPERLINK l _Toc23654325715.4輸出 PAGEREF _Toc236543257 h 84HYPERLINK l _Toc23654325816工程收尾階段 PAGEREF _Toc236543258 h 84HYPERLINK l _Toc23654325916.1概述 PAGEREF _Toc2

16、36543259 h 84HYPERLINK l _Toc23654326016.2過程描述 PAGEREF _Toc236543260 h 85HYPERLINK l _Toc23654326116.3需要中海信托配合的工作 PAGEREF _Toc236543261 h 85HYPERLINK l _Toc23654326216.4輸出 PAGEREF _Toc236543262 h 85HYPERLINK l _Toc23654326317售后服務(wù) PAGEREF _Toc236543263 h 85HYPERLINK l _Toc23654326417.1安全服務(wù)技術(shù)支持服務(wù) PAGE

17、REF _Toc236543264 h 85HYPERLINK l _Toc23654326517.2安全服務(wù)跟蹤服務(wù) PAGEREF _Toc236543265 h 85HYPERLINK l _Toc23654326617.3天融信安全服務(wù)業(yè)務(wù)關(guān)鍵能力 PAGEREF _Toc236543266 h 86HYPERLINK l _Toc23654326718工程管理及溝通方法 PAGEREF _Toc236543267 h 87HYPERLINK l _Toc23654326818.1天融信工程工程管理方法 PAGEREF _Toc236543268 h 87HYPERLINK l _To

18、c23654326918.2天融信工程管理遵循的標(biāo)準(zhǔn) PAGEREF _Toc236543269 h 88HYPERLINK l _Toc23654327018.3工程溝通方法 PAGEREF _Toc236543270 h 88HYPERLINK l _Toc23654327119工程風(fēng)險(xiǎn)管理及保密控制 PAGEREF _Toc236543271 h 92HYPERLINK l _Toc23654327219.1工程風(fēng)險(xiǎn)分析及躲避措施 PAGEREF _Toc236543272 h 92HYPERLINK l _Toc23654327319.2工程的保密控制 PAGEREF _Toc2365

19、43273 h 94HYPERLINK l _Toc23654327420天融信信息安全服務(wù)業(yè)務(wù)介紹 PAGEREF _Toc236543274 h 95HYPERLINK l _Toc23654327520.1安全服務(wù)組織構(gòu)造圖 PAGEREF _Toc236543275 h 95HYPERLINK l _Toc23654327620.2安全服務(wù)業(yè)務(wù)范圍 PAGEREF _Toc236543276 h 96HYPERLINK l _Toc23654327721工程實(shí)施質(zhì)量保證 PAGEREF _Toc236543277 h 98HYPERLINK l _Toc23654327821.1工程執(zhí)

20、行人員的質(zhì)量職責(zé) PAGEREF _Toc236543278 h 98HYPERLINK l _Toc23654327921.2天融信安全服務(wù)質(zhì)量保證體系嚴(yán)格貫徹以下過程 PAGEREF _Toc236543279 h 98HYPERLINK l _Toc23654328022工程驗(yàn)收方式 PAGEREF _Toc236543280 h 101HYPERLINK l _Toc23654328122.1驗(yàn)收方法確認(rèn) PAGEREF _Toc236543281 h 102HYPERLINK l _Toc23654328222.2驗(yàn)收程序 PAGEREF _Toc236543282 h 103HYP

21、ERLINK l _Toc23654328322.3版本控制 PAGEREF _Toc236543283 h 105HYPERLINK l _Toc23654328422.4交付件歸檔方法 PAGEREF _Toc236543284 h 106HYPERLINK l _Toc23654328523工程分項(xiàng)報(bào)價(jià)表 PAGEREF _Toc236543285 h 107概述工程背景近年來，隨著信息化技術(shù)越來越深入和廣泛的應(yīng)用，信息安全的風(fēng)險(xiǎn)日益加大，國家和各行業(yè)主管機(jī)構(gòu)都對防范信息安全風(fēng)險(xiǎn)非常重視。國家信息化領(lǐng)導(dǎo)小組頒發(fā)的?信息安全等級化保障體系?系列標(biāo)準(zhǔn)文件對我國信息安全保障工作做出原那么性戰(zhàn)略

22、性的規(guī)定，要求堅(jiān)持積極防御、綜合防范的方針，全面提高信息安全防護(hù)能力，重點(diǎn)保障根基信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全，經(jīng)過五年左右的努力， 基本形成國家信息安全保障體系。2006年起，銀監(jiān)會(huì)發(fā)布了?商業(yè)銀行內(nèi)部控制指引?，并進(jìn)一步發(fā)出了關(guān)于信托投資公司加強(qiáng)內(nèi)部控制和風(fēng)險(xiǎn)控制的要求。2008年7月，國家財(cái)政部和證監(jiān)會(huì)、銀監(jiān)會(huì)、保監(jiān)會(huì)等聯(lián)合發(fā)布了?企業(yè)內(nèi)部控制 基本標(biāo)準(zhǔn)?，對企業(yè)的內(nèi)部控制提出了較為具體的要求。為進(jìn)一步保障銀聯(lián)網(wǎng)絡(luò)的邊界安全，降低信息安全風(fēng)險(xiǎn)，中海信托投資擬于2009年在業(yè)界知名互聯(lián)網(wǎng)安全服務(wù)公司的協(xié)助下，對中海信托信息系統(tǒng)實(shí)施安全風(fēng)險(xiǎn)管理服務(wù)包括安全技術(shù)和管理評估、互聯(lián)網(wǎng)應(yīng)用滲透測試、安

23、全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù) ，為中海信托的核心業(yè)務(wù)系統(tǒng)穩(wěn)定運(yùn)行提供安全保障。工程目標(biāo)通過實(shí)施整體信息安全風(fēng)險(xiǎn)評估服務(wù)包括安全技術(shù)和管理評估、互聯(lián)網(wǎng)應(yīng)用滲透測試、安全體系建設(shè)咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)提高中海信托信息系統(tǒng)的安全性和可靠性，并在緊急情況下對提供緊急安全事件響應(yīng)支持，控制并降低來自于互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)。通過本次對中海信托網(wǎng)絡(luò)安全服務(wù)工程，可以到達(dá)以下主要目標(biāo)：通過安全風(fēng)險(xiǎn)評估，得到中海信托的整體安全現(xiàn)狀；通過滲透測試和安全技術(shù)評估，分析中海信托信息系統(tǒng)存在的各類技術(shù)性安全缺陷，并進(jìn)展整改；通過管理體系評估，發(fā)現(xiàn)中海信托在風(fēng)險(xiǎn)管理、安全策略和內(nèi)部

24、控制等方面存在的問題并加以改進(jìn)；通過安全加固和策略體系改進(jìn)，全方位的提升中海信托的信息安全管理水平。工程內(nèi)容本次整體信息安全風(fēng)險(xiǎn)評估工程的內(nèi)容可以分為幾個(gè)局部：信息安全風(fēng)險(xiǎn)評估信息資產(chǎn)調(diào)查調(diào)查和統(tǒng)計(jì)中海信托信息系統(tǒng)所包含的信息資產(chǎn)包含物理環(huán)境、終端、網(wǎng)絡(luò)設(shè)備、主機(jī)、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)、人員、標(biāo)準(zhǔn)流程等，明確其現(xiàn)有狀況、配置情況和管理情況。如主機(jī)系統(tǒng)，需要明確其平臺、版本、補(bǔ)丁等 基本情況外，還需明確開放端口、服務(wù)和進(jìn)程等配置管理信息。并對所有信息資產(chǎn)按照一定標(biāo)準(zhǔn)進(jìn)展資產(chǎn)賦值。現(xiàn)有安全系統(tǒng)調(diào)查工作包括明確現(xiàn)有安全設(shè)備(包括防火墻、防病毒系統(tǒng)、入侵檢測系統(tǒng)、安全掃描系統(tǒng)、帳號口令集中管理系統(tǒng)

25、、域控制服務(wù)器等)的部署情況和使用情況；同時(shí)了解在建網(wǎng)絡(luò)與信息安全建設(shè)工程，使之服從統(tǒng)一部署原那么。安全風(fēng)險(xiǎn)評估根據(jù)中海信托現(xiàn)有的安全標(biāo)準(zhǔn)標(biāo)準(zhǔn)和業(yè)務(wù)對安全的要求，分析主機(jī)、網(wǎng)絡(luò)及安全設(shè)備面臨的威脅，評估現(xiàn)有系統(tǒng)的存在的弱點(diǎn)，明確所有信息系統(tǒng)面臨的安全風(fēng)險(xiǎn)和隱患。應(yīng)用系統(tǒng)滲透測試通過黑客或白客方式對指定的Internet業(yè)務(wù)系統(tǒng)進(jìn)展?jié)B透攻擊，發(fā)現(xiàn)該系統(tǒng)存在的安全隱患，并提出解決措施。信息系統(tǒng)安全加固安全加固和優(yōu)化服務(wù)是實(shí)現(xiàn)客戶信息系統(tǒng)安全的關(guān)鍵環(huán)節(jié)。通過使用該項(xiàng)服務(wù)，將在中海信托信息系統(tǒng)的網(wǎng)絡(luò)層、主機(jī)層和應(yīng)用層等層次建設(shè)符合中海信托安全需求的安全狀態(tài)，并以此作為保證中海信托信息系統(tǒng)安全的起點(diǎn)。安

26、全策略體系整改通過對現(xiàn)有安全體系策略制度的審閱、解讀和差距性分析，對現(xiàn)有安全管理制度和內(nèi)控制度進(jìn)展改善，使之能夠完全符合當(dāng)前國內(nèi)相關(guān)控制標(biāo)準(zhǔn)的要求，并向相關(guān)的國際化標(biāo)準(zhǔn)看齊。工程設(shè)計(jì)原那么符合性原那么：符合國家等級化保護(hù)體系指出的積極防御、綜合防范的方針和等級保護(hù)的原那么。標(biāo)準(zhǔn)性原那么：服務(wù)方案的設(shè)計(jì)與實(shí)施應(yīng)依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準(zhǔn)進(jìn)展；標(biāo)準(zhǔn)性原那么：服務(wù)工作中的過程和文檔，具有很好的標(biāo)準(zhǔn)性，可以便于工程的跟蹤和控制；可控性原那么：方法和過程在雙方認(rèn)可的范圍之內(nèi)，安全服務(wù)的進(jìn)度要按照進(jìn)度表進(jìn)度的安排，保證甲方對于服務(wù)工作的可控性；整體性原那么：安全服務(wù)的范圍和內(nèi)容整體全面，包括安全涉及的各個(gè)層

27、面應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、管理制度、人員等，防止由于遺漏造成未來的安全隱患；最小影響原那么：安全服務(wù)中的工作盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行，不能對現(xiàn)網(wǎng)的運(yùn)行和業(yè)務(wù)的正常提供產(chǎn)生顯著影響；保密性原那么：對過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不得利用此數(shù)據(jù)進(jìn)展任何侵害甲方的行為，否那么甲方有權(quán)追究乙方的責(zé)任。甲方有權(quán)要求乙方在服務(wù)完畢之后銷毀所有和本工程有關(guān)的數(shù)據(jù)和文檔。工程范圍本工程選擇中海信托的核心業(yè)務(wù)系統(tǒng)作為服務(wù)對象。文件和法律法規(guī)國內(nèi)政策與標(biāo)準(zhǔn)：?國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見?中辦發(fā)200327號；?關(guān)于開展信息安全風(fēng)險(xiǎn)評估工作的意見?2006年

28、1月國家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組；?關(guān)于印發(fā)?信息安全風(fēng)險(xiǎn)評估指南?的通知?2006年2月國信辦國信辦綜20069號；?商業(yè)銀行內(nèi)部控制指引? 2006年12月 銀監(jiān)會(huì)?企業(yè)內(nèi)部控制 基本標(biāo)準(zhǔn)? 2008年7月 財(cái)政部、證監(jiān)會(huì)、審計(jì)署、銀監(jiān)會(huì)、保監(jiān)會(huì)國際政策與標(biāo)準(zhǔn)：ISO/IEC 27001信息安全管理體系標(biāo)準(zhǔn)COSO/COBIT 內(nèi)控和信息技術(shù)控制框架ISO/IEC TR 13335 Series, Guidelines for the management of IT Security (CMITS)，1996-2001NIST SP800 Series, Computer Security

29、 Special Publications，1991-2005天融信對本工程的理解對工程目標(biāo)的理解安全風(fēng)險(xiǎn)評估工作是中海信托信息安全體系運(yùn)作體系中風(fēng)險(xiǎn)管理的重要組成局部，通過周期性的安全風(fēng)險(xiǎn)評估工作發(fā)現(xiàn)公司的安全現(xiàn)狀，為公司安全建設(shè)和安全加固提供數(shù)據(jù)根基。綜上所述，本期工程的目標(biāo)是：通過安全評估的技術(shù)手段，盡可能發(fā)現(xiàn)和定位中海信托各信息系統(tǒng)存在的安全風(fēng)險(xiǎn)，為安全加固、系統(tǒng)整改及應(yīng)急響應(yīng)提供依據(jù)和技術(shù)指導(dǎo)，降低中海信托整體的安全風(fēng)險(xiǎn)。對工程特點(diǎn)的理解通過上面對本工程目標(biāo)的分析，本期深度安全風(fēng)險(xiǎn)評估工作存在如下特點(diǎn)：要求高：由于中海信托業(yè)務(wù)的快速增長，對信息安全的要求越來越高，所以要比以前采用更加

30、標(biāo)準(zhǔn)的工程管理要求；本次評估的技術(shù)深度和廣度，都要強(qiáng)于以前的工程及同行業(yè)的要求多個(gè)系統(tǒng)的應(yīng)用分析；采用的技術(shù)標(biāo)準(zhǔn)，是當(dāng)前最新、最及時(shí)的，相比歷史評估工作和同行業(yè)類似工作的技術(shù)要求是最高的；技術(shù)與管理并重：由于面臨的外部威脅的壓力和影響力比以往要大很多，所以本次工程更加側(cè)重于通過外部滲透測試的方法，發(fā)現(xiàn)從外部的威脅和影響尤其是從外部Internet進(jìn)展?jié)B透測試；本次工程滲透測試涉及的系統(tǒng)范圍更廣，而且更深地分析通過“信任關(guān)系發(fā)生的滲透，從而發(fā)現(xiàn)“木桶原理中的“最短那塊板；更加側(cè)重于應(yīng)用系統(tǒng)自身特點(diǎn)的安全評估：綜合分析業(yè)務(wù)和管理層數(shù)據(jù)流，角色權(quán)限；應(yīng)用層數(shù)據(jù)庫，中間件；系統(tǒng)層主機(jī)操作系統(tǒng)；網(wǎng)絡(luò)層網(wǎng)

31、絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備，提出的安全風(fēng)險(xiǎn)更加有針對性；中海信托各應(yīng)用系統(tǒng)有不同的特點(diǎn)，在本次工程中要結(jié)合不同部門、不同系統(tǒng)特點(diǎn)進(jìn)展相應(yīng)的應(yīng)用系統(tǒng)安全評估；更加考慮安全加固和應(yīng)急響應(yīng)體系建設(shè)的可行性：本次工程在實(shí)施過程中安排了時(shí)間，對發(fā)現(xiàn)的問題進(jìn)展及時(shí)地講解和答疑；對發(fā)現(xiàn)的問題提出的解決方案，和系統(tǒng)管理員及時(shí)溝通，并協(xié)助進(jìn)展講解和培訓(xùn)，對不能直接解決的，提出綜合解決、降低風(fēng)險(xiǎn)的方案。工程總體方法與流程概述風(fēng)險(xiǎn)管理Risk Management旨在對潛在時(shí)機(jī)和不利影響進(jìn)展有效管理的文化、程序和構(gòu)造。風(fēng)險(xiǎn)管理是良好管理的一個(gè)組成局部，它用一種將損失減小到最低程度而使商業(yè)時(shí)機(jī)到達(dá)最大限度的方式，對與機(jī)構(gòu)的任何

32、活動(dòng)、功能和過程相關(guān)的風(fēng)險(xiǎn)進(jìn)展環(huán)境建設(shè)、鑒定、分析、評價(jià)、處理、監(jiān)控和信息交流。風(fēng)險(xiǎn)管理過程Risk Management Process是指系統(tǒng)地將管理方針、程序和構(gòu)造應(yīng)用于風(fēng)險(xiǎn)的環(huán)境建設(shè)、鑒定、分析、評價(jià)、處理、監(jiān)控和信息交流等過程任務(wù)。在信息安全領(lǐng)域，同樣適用于風(fēng)險(xiǎn)管理的理念和方法論。在當(dāng)前信息技術(shù)得到普遍應(yīng)用，并且很多成為關(guān)鍵業(yè)務(wù)系統(tǒng)的環(huán)境下，企業(yè)或組織的信息安全風(fēng)險(xiǎn)很大，而且普遍缺乏有效的控制和管理，但過度的風(fēng)險(xiǎn)管理，無疑會(huì)導(dǎo)致大量的金錢和人力的花費(fèi)、以及工作效率的嚴(yán)重降低。所以，如何適度和有效地進(jìn)展信息安全的風(fēng)險(xiǎn)的管理和控制，成為了一項(xiàng)迫切和重要的任務(wù)。下面的描述即是說明風(fēng)險(xiǎn)評估過

33、程的理念和方法論，以作為天融信安全服務(wù)的標(biāo)準(zhǔn)方法論和理論根基，指導(dǎo)和標(biāo)準(zhǔn)天融信的安全風(fēng)險(xiǎn)安全服務(wù)工作。安全模型參考在澳大利亞和新西蘭國家標(biāo)準(zhǔn)?風(fēng)險(xiǎn)管理Risk Management?AS/NZS 4360:1999中描述了風(fēng)險(xiǎn)管理過程，如以以下圖所示：在國際標(biāo)準(zhǔn)ISO13335中，安全模型如以以下圖所示，特點(diǎn)是以風(fēng)險(xiǎn)為核心。在國際標(biāo)準(zhǔn)中，安全模型如以以下圖所示，其特點(diǎn)是強(qiáng)調(diào)了模型的對抗性和動(dòng)態(tài)性。可以看出，安全模型中的核心要素都是資產(chǎn)、弱點(diǎn)、威脅、風(fēng)險(xiǎn)、安全措施等，各要素之間的關(guān)系也 基本類似，只是描述和關(guān)注的角度不同。風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)風(fēng)險(xiǎn)評估過程中主要選擇的標(biāo)準(zhǔn)和標(biāo)準(zhǔn)包括：中海信托技術(shù)標(biāo)準(zhǔn)和標(biāo)準(zhǔn)

34、：國內(nèi)政策與標(biāo)準(zhǔn)：?國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見?中辦發(fā)200327號；?關(guān)于開展信息安全風(fēng)險(xiǎn)評估工作的意見?2006年1月國家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組；?關(guān)于印發(fā)?信息安全風(fēng)險(xiǎn)評估指南?的通知?2006年2月國信辦國信辦綜20069號；國際政策與標(biāo)準(zhǔn)：ISO/IEC 27001ISO/IEC TR 13335 Series, Guidelines for the management of IT Security (CMITS)，1996-2001NIST SP800 Series, Computer Security Special Publications，1991-2

35、005ISO/IEC 15408-1999“信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準(zhǔn)那么簡稱CC天融信風(fēng)險(xiǎn)評估方法風(fēng)險(xiǎn)評估模型在安全評估服務(wù)中，天融信參照上述兩個(gè)安全模型，根據(jù)自己的工程實(shí)踐，建設(shè)了自己的風(fēng)險(xiǎn)評估模型，描述如下：在天融信的風(fēng)險(xiǎn)評估模型中，主要包含信息資產(chǎn)，弱點(diǎn)/脆弱性、威脅和風(fēng)險(xiǎn)四個(gè)要素。每個(gè)要素有各自的屬性，信息資產(chǎn)的屬性是資產(chǎn)價(jià)值，弱點(diǎn)的屬性是弱點(diǎn)被威脅利用后對資產(chǎn)帶來的影響的嚴(yán)重程度，威脅的屬性是威脅發(fā)生的可能性，風(fēng)險(xiǎn)的屬性是風(fēng)險(xiǎn)發(fā)生的路徑。因此，天融信風(fēng)險(xiǎn)評估的過程是：對信息資產(chǎn)進(jìn)展識別，并對資產(chǎn)賦值；識別信息資產(chǎn)的脆弱性弱點(diǎn)/漏洞，并對弱點(diǎn)的嚴(yán)重程度賦值；對威脅進(jìn)展分

36、析，并對威脅發(fā)生的可能性賦值；綜合分析資產(chǎn)價(jià)值、資產(chǎn)的脆弱性和威脅發(fā)生的可能性，得到信息資產(chǎn)的風(fēng)險(xiǎn)發(fā)生的路徑和級別，并對風(fēng)險(xiǎn)進(jìn)展處置，選擇適宜的控制措施?？傮w工作流程圖根據(jù)安全風(fēng)險(xiǎn)評估模型，天融信安全風(fēng)險(xiǎn)評估的總體工作流程如以以下圖：在評估過程中首先要進(jìn)展全網(wǎng)的資產(chǎn)調(diào)查，識別的內(nèi)容包括：“信息設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)環(huán)境、組織構(gòu)造及物理環(huán)境；然后進(jìn)展應(yīng)用系統(tǒng)安全目標(biāo)的識別和分析；以及通過安全評估的“業(yè)務(wù)系統(tǒng)評估、“滲透測試、“網(wǎng)絡(luò)架構(gòu)評估、“IT設(shè)備弱點(diǎn)評估、“應(yīng)用安全評估、“安全管理評估、“物理安全評估各項(xiàng)內(nèi)容獲取“安全現(xiàn)狀(包括：安全威脅)、“安全弱點(diǎn) 。最后通過各系統(tǒng)、子系統(tǒng)的安全目標(biāo)和其“

37、安全現(xiàn)狀、“安全弱點(diǎn)的比照分析，得到安全現(xiàn)狀和解決方案。本工程采用的安全風(fēng)險(xiǎn)評估方法本次工程由于側(cè)重點(diǎn)于技術(shù)問題的發(fā)現(xiàn)，并指導(dǎo)今后的安全加固和系統(tǒng)技術(shù)整改等技術(shù)工作；根據(jù)本次工程的特點(diǎn)，準(zhǔn)備采用如下三種安全風(fēng)險(xiǎn)評估的方法，主要針對非重點(diǎn)系統(tǒng)、重點(diǎn)系統(tǒng)網(wǎng)絡(luò)類、重點(diǎn)系統(tǒng)計(jì)算類；非重點(diǎn)系統(tǒng)的IT設(shè)備弱點(diǎn)評估如以以下圖所示：本評估主要目標(biāo)是為IT設(shè)備的弱點(diǎn)提供安全加固的指導(dǎo)和依據(jù)，主要涉及“主機(jī)系統(tǒng)弱點(diǎn)評估；“網(wǎng)絡(luò)設(shè)備弱點(diǎn)評估；“安全設(shè)備弱點(diǎn)評估 。主機(jī)系統(tǒng)弱點(diǎn)評估采用人工現(xiàn)場檢查和工具掃描兩種方式；網(wǎng)絡(luò)設(shè)備弱點(diǎn)評估和安全設(shè)備弱點(diǎn)評估，對能夠?qū)С雠渲眯畔ⅰ⒉⑴渲眯畔⒖勺R別分析的，采用后臺人工分析方式；

38、對不能導(dǎo)出配置信息、或配置信息不可識別分析的，采用人工現(xiàn)場檢查方式。評估的結(jié)果，是表達(dá)各單點(diǎn)資產(chǎn)的弱點(diǎn)狀況，以及綜合的統(tǒng)計(jì)分析報(bào)告，主要為指導(dǎo)單點(diǎn)設(shè)備的安全加固工作。網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)的安全評估如以以下圖所示：網(wǎng)絡(luò)類重點(diǎn)系統(tǒng)是公司主要承載各業(yè)務(wù)的根基平臺，其評估的目標(biāo)不僅是發(fā)現(xiàn)現(xiàn)存系統(tǒng)的問題，指導(dǎo)安全加固和系統(tǒng)整改的工作和依據(jù)；而且還要根據(jù)業(yè)務(wù)開展需要，為網(wǎng)絡(luò)建設(shè)提供安全保障的規(guī)劃依據(jù)。本安全評估包含：“IT設(shè)備弱點(diǎn)評估；網(wǎng)絡(luò)架構(gòu)安全評估和滲透測試 ，其中IT設(shè)備弱點(diǎn)評估和前面的一致。網(wǎng)絡(luò)架構(gòu)安全評估包括：網(wǎng)絡(luò)現(xiàn)狀安全合理性分析以及隨業(yè)務(wù)開展需要的網(wǎng)絡(luò)安全需求分析，主要采用的方法是：后臺分析對網(wǎng)絡(luò)

39、拓?fù)?、相關(guān)技術(shù)文檔、訪問控制等配置信息分析、現(xiàn)場設(shè)備檢查對網(wǎng)絡(luò)設(shè)備或網(wǎng)管系統(tǒng)的安全狀況查看、系統(tǒng)管理員的參謀訪談網(wǎng)絡(luò)現(xiàn)狀存在的問題、網(wǎng)絡(luò)安全事件、業(yè)務(wù)開展對網(wǎng)絡(luò)的影響及假設(shè)、主管領(lǐng)導(dǎo)的參謀訪談業(yè)務(wù)開展對網(wǎng)絡(luò)安全的要求；滲透測試，主要采用嗅探及入侵的手法，分析從外部越權(quán)進(jìn)入本系統(tǒng)的路徑和可能性，以及可越權(quán)訪問接入本網(wǎng)絡(luò)系統(tǒng)的系統(tǒng)范圍和影響。注：如無特殊需要，不采用DOS等惡意攻擊手段。本評估的結(jié)果，除表達(dá)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；還可為系統(tǒng)整改，劃分安全域以及未來網(wǎng)絡(luò)規(guī)劃提供參考；同時(shí)由于公司涉及網(wǎng)絡(luò)類系統(tǒng)之間是有強(qiáng)的關(guān)聯(lián)，最后要綜合分析各網(wǎng)絡(luò)類系統(tǒng)和應(yīng)用系統(tǒng)的關(guān)聯(lián)性，設(shè)計(jì)全網(wǎng)的網(wǎng)絡(luò)安

40、全解決方案建議。應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)的安全評估如以以下圖所示：應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)是公司各獨(dú)立的業(yè)務(wù)單元，包括完整的主機(jī)、網(wǎng)絡(luò)、應(yīng)用各項(xiàng)內(nèi)容；其評估的目標(biāo)是從深度上業(yè)務(wù)管理層；應(yīng)用層；到廣度上系統(tǒng)層主機(jī)操作系統(tǒng)；網(wǎng)絡(luò)層網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備，提出全面的安全風(fēng)險(xiǎn)分析報(bào)告。本安全評估包含：“IT設(shè)備弱點(diǎn)評估；網(wǎng)絡(luò)架構(gòu)安全評估；應(yīng)用系統(tǒng)安全評估和滲透測試 ，其中IT設(shè)備弱點(diǎn)評估和前面一致。網(wǎng)絡(luò)架構(gòu)安全評估主要從網(wǎng)絡(luò)構(gòu)造上分析其應(yīng)用系統(tǒng)安全域劃分的合理性及訪問控制策略的符合性，具體方法和前面一致。應(yīng)用系統(tǒng)安全評估，主要包括：對業(yè)務(wù)邏輯和數(shù)據(jù)流的安全分析；對應(yīng)用平臺的安全分析。主要方法是：后臺分析對業(yè)務(wù)系統(tǒng)設(shè)計(jì)

41、、運(yùn)行相關(guān)技術(shù)文檔、現(xiàn)場設(shè)備檢查對應(yīng)用平臺和數(shù)據(jù)庫進(jìn)展安全狀況查看、源代碼評估對局部關(guān)鍵流程的代碼進(jìn)展分析、系統(tǒng)管理員的參謀訪談現(xiàn)狀存在的問題、安全事件、業(yè)務(wù)開展的影響及假設(shè)。滲透測試，主要采用入侵和角色提升的手法，分析從外部越權(quán)侵入本系統(tǒng)的路徑和可能性；以及模擬不同用戶角色提升權(quán)限，進(jìn)展數(shù)據(jù)篡改或越權(quán)訪問的可能性分析。本評估的結(jié)果，除表達(dá)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；重點(diǎn)為系統(tǒng)整改，安全域劃分以及系統(tǒng)開發(fā)提供參考。技術(shù)難點(diǎn)和關(guān)鍵突破在對中海信托進(jìn)展安全風(fēng)險(xiǎn)評估的過程中，由于其規(guī)模龐大，信息系統(tǒng)復(fù)雜，業(yè)務(wù)系統(tǒng)的特性和安全屬性存在巨大差異，因此對于評估標(biāo)準(zhǔn)的選擇，以及評估成果的適用性都提出

42、了巨大的挑戰(zhàn)。評估指標(biāo)的定制面臨困難：安全沒有定制化的適用的安全指標(biāo)，造成評估結(jié)果不可信一般在安全評估時(shí)，評估服務(wù)提供者因?yàn)樵谠u估前并不熟悉和理解被評估方的業(yè)務(wù)特性和安全特性，所以不能定制非常適用的評估標(biāo)準(zhǔn)指標(biāo)，也就是說沒有非常適用，反映被評估對象特性的評估標(biāo)準(zhǔn)，一般都采用國際或國家標(biāo)準(zhǔn)。雖然國際或國家標(biāo)準(zhǔn)適用于所有信息系統(tǒng)，但其適用廣泛性原因，評估標(biāo)準(zhǔn)比較籠統(tǒng)，不反映行業(yè)特性和企業(yè)特性。這樣，因?yàn)槿狈m用的評估標(biāo)準(zhǔn)，造成的評估結(jié)果可用性差，也缺乏針對性，不能反映業(yè)務(wù)特性和行業(yè)特性。尤其是如果服務(wù)提供者對客戶首次評估，存在評估質(zhì)量較低的風(fēng)險(xiǎn)，這是評估服務(wù)業(yè)務(wù)一個(gè)多年存在的難題，很難解決。通常情

43、況下，評估質(zhì)量取決于評估服務(wù)提供者和評估參謀的經(jīng)歷是否豐富，是否非常熟悉被評估者的業(yè)務(wù)特性和行業(yè)特性。解決方法：在評估前設(shè)計(jì)行業(yè)安全評估指標(biāo)，并在評估開場階段盡可能的定制能否準(zhǔn)確定制行業(yè)安全評估指標(biāo)，即行業(yè)評估標(biāo)準(zhǔn)是評估工程能否成功的關(guān)鍵環(huán)節(jié)之一，它對評估結(jié)果的適用性和真實(shí)性起著關(guān)鍵作用。在作評估前，我們根據(jù)多年對不同行業(yè)的豐富評估經(jīng)歷和深刻理解，根據(jù)不同的行業(yè)業(yè)務(wù)特性和安全要求特性的理解，總結(jié)出反映行業(yè)特性的安全要求，設(shè)計(jì)出針對不同行業(yè)的安全對策指標(biāo)體系，再細(xì)化成不同行業(yè)的安全評估指標(biāo)。強(qiáng)調(diào)評估成果的適用性面臨困難：評估成果和建議難以實(shí)施，技術(shù)和管理難以有效融合，缺乏抗打擊能力和可控性信息安

44、全問題包含管理方面問題、技術(shù)方面問題以及兩者的穿插，它從來都不是靜態(tài)的，隨著組織的策略、組織架構(gòu)、業(yè)務(wù)流程和操作流程的改變而改變。中海信托現(xiàn)有的安全防護(hù)措施大多屬于靜態(tài)的單點(diǎn)技術(shù)防護(hù)，單純部署安全產(chǎn)品是一種靜態(tài)的解決方法，單純防范黑客入侵和病毒感染更是是片面的。一旦單點(diǎn)防護(hù)措施被突破、繞過或失效，整個(gè)安全保障將會(huì)失效，威脅將影響到整個(gè)信息系統(tǒng)。評估成果中解決方案在設(shè)計(jì)過程中需要系統(tǒng)化的全面考慮，防止單點(diǎn)考慮，形成系統(tǒng)化措施。解決方案：強(qiáng)調(diào)多重深度保障和抗打擊能力，強(qiáng)調(diào)評估成果的可用性27號文件提出 “堅(jiān)持積極防御、綜合防范的方針，?美國國家安全戰(zhàn)略?中指出，國家的關(guān)鍵根基設(shè)施的“這些關(guān)鍵功能遭

45、到的任何破壞或操縱必須控制在歷時(shí)短、頻率小、可控、地域上可隔離以及對利益損害最小這樣一個(gè)規(guī)模上。兩者都強(qiáng)調(diào)了抗打擊能力和可控性，這就要求采用多層保護(hù)的深度防御策略，實(shí)現(xiàn)安全管理和安全技術(shù)的嚴(yán)密結(jié)合，防止單點(diǎn)突破。天融信在輸出評估結(jié)果時(shí)，會(huì)將管理手段和安全技術(shù)嚴(yán)密結(jié)合，充分吸收業(yè)務(wù)特性，建設(shè)一個(gè)適用性強(qiáng)、可行性強(qiáng)并具有多重深度保障手段的防護(hù)網(wǎng)絡(luò)。信息資產(chǎn)調(diào)查和賦值信息資產(chǎn)概述資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價(jià)值因而需要保護(hù)的東西。它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。它們分別具有不同的價(jià)值屬性和存在特點(diǎn)，存在的弱點(diǎn)、面臨的威脅、需要進(jìn)展的保護(hù)和

46、安全控制都各不一樣。為此，有必要對企業(yè)、機(jī)構(gòu)中的信息資產(chǎn)進(jìn)展科學(xué)識別，以便于進(jìn)展后期的信息資產(chǎn)抽樣、制定風(fēng)險(xiǎn)評估策略、分析安全功能需求等活動(dòng)。雖然信息資產(chǎn)具有非常廣泛的含義，但這里將信息資產(chǎn)定義如下：信息資產(chǎn)是指組織的信息系統(tǒng)、其提供的服務(wù)以及處理的數(shù)據(jù)。信息資產(chǎn)分類參照ISO 27001對信息資產(chǎn)的描述和定義，結(jié)合安全評估的經(jīng)歷，將信息資產(chǎn)按照下面的方法進(jìn)展分類：類別解釋/例如網(wǎng)絡(luò)設(shè)備一臺或一組互備的網(wǎng)絡(luò)設(shè)備，包括網(wǎng)絡(luò)設(shè)備中的硬件，IOS，配置文件數(shù)據(jù)及其提供的網(wǎng)絡(luò)服務(wù)。包括路由器、交換機(jī)、RAS等，防火墻、IDS等安全設(shè)備除外。服務(wù)器一臺或一組服務(wù)器，包括服務(wù)器硬件、運(yùn)行于其上的OS、通用

47、應(yīng)用、服務(wù)，數(shù)據(jù)庫、磁盤陣列等。工作站客戶端用機(jī)、個(gè)人用機(jī)等。安全設(shè)備作為安全用途的硬件和軟件,如:防火墻、IDS、AV等。存儲(chǔ)設(shè)備提供存儲(chǔ)用途的硬件和軟件，如：磁盤陣列等。業(yè)務(wù)系統(tǒng)指組織為其應(yīng)用而開發(fā)或購置的各類應(yīng)用軟件及其提供的業(yè)務(wù)服務(wù)。應(yīng)用平臺軟件主要是指提供通用服務(wù)的各種平臺系統(tǒng)，包括：數(shù)據(jù)庫WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等； 數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括數(shù)據(jù)庫數(shù)據(jù)、存放于硬盤上的文件、代碼；財(cái)務(wù)數(shù)據(jù)及書面報(bào)告等。組織和人員指和安全相關(guān)的組織和人員，包括各級安全組織，安全人員、各級管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人

48、員等物理環(huán)境指支持IT系統(tǒng)運(yùn)行的根基物理設(shè)施，如：機(jī)房、空調(diào)、UPS、監(jiān)控器等。網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備是指構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的設(shè)備，軟件和介質(zhì)。包括路由器、交換機(jī)、通信終端和網(wǎng)關(guān)以及網(wǎng)絡(luò)設(shè)備控制臺等硬件設(shè)施和軟件系統(tǒng)，為了更清晰地區(qū)別資產(chǎn)的安全屬性，網(wǎng)絡(luò)設(shè)備類資產(chǎn)不包括防火墻、VPN、網(wǎng)絡(luò)入侵檢測等網(wǎng)絡(luò)安全產(chǎn)品。服務(wù)器服務(wù)器是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)和軟件的計(jì)算環(huán)境。包括大型機(jī)、小型機(jī)、Unix服務(wù)器、Windows服務(wù)器、移動(dòng)計(jì)算設(shè)備、應(yīng)用加密機(jī)和磁盤陣列等計(jì)算設(shè)備硬件及其操作系統(tǒng)、數(shù)據(jù)庫。除此之外，行業(yè)特殊的設(shè)備，例如銀行的ATM等，也屬于主機(jī)系統(tǒng)。同一臺主機(jī)系統(tǒng)，安裝兩種或以上操作系統(tǒng)主

49、要針對工作站、移動(dòng)計(jì)算設(shè)備，并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項(xiàng)主機(jī)系統(tǒng)信息資產(chǎn)。工作站工作站是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)軟件客戶端軟件的計(jì)算環(huán)境和OA系統(tǒng)中個(gè)人用機(jī)。同一臺主機(jī)系統(tǒng)，安裝兩種或以上操作系統(tǒng)主要針對工作站、移動(dòng)計(jì)算設(shè)備，并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項(xiàng)主機(jī)系統(tǒng)信息資產(chǎn)。安全設(shè)備安全設(shè)備主要指在信息系統(tǒng)中用作網(wǎng)絡(luò)安全保護(hù)用途的硬件設(shè)施和軟件系統(tǒng)，包括：防火墻、VPN、網(wǎng)絡(luò)入侵檢測、網(wǎng)閘、防病毒系統(tǒng)以及相關(guān)系統(tǒng)的控制臺軟硬件設(shè)施。存儲(chǔ)設(shè)備存儲(chǔ)設(shè)備主要指在信息系統(tǒng)中用作數(shù)據(jù)存儲(chǔ)用途的硬件設(shè)施和軟件系統(tǒng)，并均能接入到網(wǎng)絡(luò)中的信息資產(chǎn)。包括：DAS、NAS、SAN等軟硬件設(shè)施。業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng)

50、主要指為業(yè)務(wù)生產(chǎn)、管理支撐及辦公等業(yè)務(wù)需求提供服務(wù)的軟件系統(tǒng)，此類資產(chǎn)在信息資產(chǎn)中占有非常重要的地位。本工程所指的業(yè)務(wù)系統(tǒng)是指獨(dú)立應(yīng)用、運(yùn)作的系統(tǒng)，例如短消息業(yè)務(wù)系統(tǒng)、MISC系統(tǒng)、辦公自動(dòng)化系統(tǒng)、管理信息系統(tǒng)等，網(wǎng)管系統(tǒng)等。業(yè)務(wù)系統(tǒng)屬于需要重點(diǎn)評估、保護(hù)的對象。業(yè)務(wù)系統(tǒng)作為獨(dú)立的資產(chǎn)存在的同時(shí)，對于其他資產(chǎn)又存在如下關(guān)系：作為“網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備資產(chǎn)的屬性之一列出。在其資產(chǎn)賦值時(shí)，作為考慮的因素。應(yīng)用平臺軟件主要是指提供通用服務(wù)的各種平臺系統(tǒng)，包括：數(shù)據(jù)庫WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；通常將其所代表的安全屬性落實(shí)到如下局部來表達(dá)：應(yīng)用平臺

51、軟件作為“服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備資產(chǎn)的屬性之一列出，在進(jìn)展資產(chǎn)賦值和弱點(diǎn)的時(shí)候，作為考慮的因素。數(shù)據(jù)及文檔數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、客戶數(shù)據(jù)、各種數(shù)據(jù)資料、系統(tǒng)文檔、運(yùn)行管理規(guī)程、方案、報(bào)告、用戶手冊等。數(shù)據(jù)及文檔資產(chǎn)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識產(chǎn)權(quán)、競爭優(yōu)勢、商業(yè)秘密的載體。屬于需要重點(diǎn)評估、保護(hù)的對象。通常，數(shù)據(jù)及文檔類資產(chǎn)需要保護(hù)的安全屬性是機(jī)密性。例如，公司的財(cái)務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機(jī)密性的數(shù)據(jù)。但是，完整性的重要性會(huì)隨著機(jī)密性的提高而提高。企業(yè)內(nèi)部對于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的

52、敏感性Sensitivity來進(jìn)展，與機(jī)密性非常類似。例如，下表是常用的一種數(shù)據(jù)分類方法：簡稱解釋/舉例公開Public不需要任何保密機(jī)制和措施，可以公開使用例如產(chǎn)品發(fā)表新聞等。內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用例如合同等秘密Private由和工程相關(guān)公司和客戶公司成員使用機(jī)密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時(shí)間內(nèi)受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按要求銷毀但是，由于數(shù)據(jù)及文檔數(shù)量巨大，且對其分類存在巨大的偏差和困難，通常將其所代表的安全屬性落實(shí)到如下局部來

53、表達(dá)：作為“服務(wù)器、工作站、存儲(chǔ)設(shè)備資產(chǎn)的屬性之一列出。在進(jìn)展資產(chǎn)賦值和弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。作為“組織和人員資產(chǎn)的屬性之一列出。在進(jìn)展弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。組織和人員主要指企業(yè)與信息相關(guān)的人員和組織，包括各級安全組織，安全人員、各級管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方人員等與被評估信息系統(tǒng)相關(guān)人員和組織。組織和人員作為獨(dú)立的資產(chǎn)存在進(jìn)展識別，但不對其進(jìn)展資產(chǎn)賦值，對其安全性因素的考慮如下：作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備資產(chǎn)的屬性之一列出。物理環(huán)境主要指支持信息系統(tǒng)運(yùn)行的環(huán)境的非IT類的設(shè)備，主要包括機(jī)房、UPS、空調(diào)

54、、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等。此處一般屬于物理安全的問題，主要的設(shè)備一般集中在機(jī)房內(nèi)，所以評估時(shí)應(yīng)重點(diǎn)考慮機(jī)房提供的環(huán)境安全。物理環(huán)境與其他資產(chǎn)存在如下關(guān)系：物理位置作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備資產(chǎn)的屬性之一列出。在其弱點(diǎn)及威脅評估時(shí)，作為考慮的因素。信息資產(chǎn)分類整體圖網(wǎng)絡(luò)設(shè)備服務(wù)器工作站安全設(shè)備存儲(chǔ)設(shè)備組織和人員業(yè)務(wù)系統(tǒng)信息資產(chǎn)調(diào)查表屬性描述資產(chǎn)名稱在一個(gè)業(yè)務(wù)系統(tǒng)中不能重名資產(chǎn)編號全局唯一資產(chǎn)類型資產(chǎn)的類別屬性包括服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等資產(chǎn)子類型子類型是對類型的進(jìn)一步說明，例如網(wǎng)絡(luò)設(shè)備中的路由器、交換機(jī)等操作系統(tǒng)類型設(shè)備所承載的系統(tǒng)的類型，

55、例如包括windows2000,windows2003,hp-unix,aix,solaris等操作系統(tǒng)版本號各類操作系統(tǒng)的版本，例如solaris2.8，8.0等操作系統(tǒng)補(bǔ)丁各類操作系統(tǒng)的安全補(bǔ)丁信息應(yīng)用軟件平臺應(yīng)用系統(tǒng)所需的應(yīng)用軟件，例如WEB、J2EE等應(yīng)用平臺軟件版本應(yīng)用軟件所對應(yīng)的相應(yīng)版本。應(yīng)用平臺軟件補(bǔ)丁應(yīng)用軟件廠商發(fā)布的安全補(bǔ)丁。設(shè)備型號網(wǎng)絡(luò)、服務(wù)器、工作站等的硬件設(shè)備型號設(shè)備工作方式硬件、系統(tǒng)之間的工作方式，例如熱備、冷備、負(fù)載均衡等用途信息資產(chǎn)的主要功能。資產(chǎn)所在地理位置信息資產(chǎn)所處的地域、機(jī)房和機(jī)柜等資產(chǎn)所在業(yè)務(wù)系統(tǒng)和部門信息資產(chǎn)所屬的業(yè)務(wù)系統(tǒng)名稱和業(yè)務(wù)系統(tǒng)所屬的部門名稱資

56、產(chǎn)責(zé)任人信息資產(chǎn)在登記過程中的責(zé)任人。資產(chǎn)維護(hù)人維護(hù)信息資產(chǎn)的人員名稱資產(chǎn)安全三性安全屬性，機(jī)密性、完整性和可用性資產(chǎn)創(chuàng)立時(shí)間信息資產(chǎn)入網(wǎng)的時(shí)間資產(chǎn)最后修改時(shí)間信息資產(chǎn)功能修改、人員變換等信息更換的最后時(shí)間資產(chǎn)最后修改人信息資產(chǎn)功能修改、人員變換等信息更換的修改人員名稱保護(hù)對象框架一般來說，信息系統(tǒng)的資產(chǎn)數(shù)量十分龐大，為了更好的研究其計(jì)算機(jī)安全問題，還需要從龐大的信息資產(chǎn)中提煉出保護(hù)對象。保護(hù)對象框架是指以構(gòu)造化的方法表達(dá)信息系統(tǒng)的框架模型。所謂構(gòu)造化是指通過特定的構(gòu)造將問題拆分成子問題的迭代方法。例如“魚刺圖或“問題樹。構(gòu)造化方法包括以下幾條 基本原那么：充分覆蓋所有子問題的總和必須覆蓋原問

57、題。如果不能充分覆蓋，那么解決問題的方法就可能出現(xiàn)遺漏，嚴(yán)重影響本方法的可行性?；ゲ恢丿B所有子問題都不允許出現(xiàn)重復(fù)，類似以下的情況不應(yīng)出現(xiàn)在一個(gè)框架中：兩個(gè)不同的子問題其實(shí)是同一個(gè)子問題的兩種表述；某一個(gè)子問題其實(shí)是另外兩個(gè)問題或多個(gè)問題的合并；不可再細(xì)分所有子問題都必須細(xì)分到不能再被細(xì)分。當(dāng)一個(gè)問題經(jīng)過框架分析后，所有不可再細(xì)分的子問題構(gòu)成了一個(gè)“框架。保護(hù)對象的主要作用為：有助于信息資產(chǎn)識別的全面性。在列舉信息資產(chǎn)時(shí)，保護(hù)對象框架有助于識別者系統(tǒng)的進(jìn)展思考；從資產(chǎn)安全估價(jià)到區(qū)域的安全性賦值，有助于降低風(fēng)險(xiǎn)分析的難度，同時(shí)確保風(fēng)險(xiǎn)分析的有效性。保護(hù)對象框架內(nèi)容保護(hù)對象框架主要包括計(jì)算區(qū)域、網(wǎng)

58、絡(luò)及根基設(shè)施、邊界、支撐性根基設(shè)施四局部；計(jì)算區(qū)域還可作為下一級保護(hù)對象，向下細(xì)分為下一級計(jì)算區(qū)域、網(wǎng)絡(luò)及根基設(shè)施、邊界、支撐性根基設(shè)施。1計(jì)算區(qū)域 計(jì)算區(qū)域是指由一樣功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來源的一組信息系統(tǒng)組成。同一計(jì)算區(qū)域內(nèi)的信息資產(chǎn)在安全性上具有較強(qiáng)的同質(zhì)性。計(jì)算區(qū)域還可以按照安全性能進(jìn)一步細(xì)分，直至到安全性完全同質(zhì)。2網(wǎng)絡(luò)及根基設(shè)施 網(wǎng)絡(luò)及根基設(shè)施是指一樣功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來源的一組網(wǎng)絡(luò)系統(tǒng)組成。通常包括路由器，交換機(jī)和防火墻等提供網(wǎng)路服務(wù)的局域網(wǎng)和廣域網(wǎng)。3邊界 邊界是指兩個(gè)區(qū)域或兩組區(qū)域之間的隔離功能集。邊界是一組功能集合，包括訪

59、問控制，身份認(rèn)證等。4支撐性根基設(shè)施支撐性根基設(shè)施是指在區(qū)域內(nèi)提供安全保障功能的功能集。支撐性根基設(shè)施是一組功能集合，包括入侵檢測、審計(jì)及計(jì)算機(jī)病毒防護(hù)等。保護(hù)對象和信息資產(chǎn)保護(hù)對象框架就是信息系統(tǒng)的真實(shí)模型，計(jì)算區(qū)域、網(wǎng)絡(luò)與根基設(shè)施作為保護(hù)對象框架的兩類 基本元素，分別對應(yīng)了不同信息資產(chǎn)的集合。計(jì)算區(qū)域：對應(yīng)信息資產(chǎn)，通常包括：工作站、存儲(chǔ)設(shè)備，服務(wù)器，安全設(shè)備不具有訪問控制及邊界隔離功能；當(dāng)計(jì)算區(qū)域作為一級保護(hù)對象框架時(shí)，應(yīng)按照保護(hù)對象框架的思路向下繼續(xù)分解。網(wǎng)絡(luò)與根基設(shè)施：對應(yīng)信息資產(chǎn)，通常包括：網(wǎng)絡(luò)設(shè)備，安全設(shè)備具有訪問控制及邊界隔離功能。邊界：對應(yīng)信息資產(chǎn)，通常包括:網(wǎng)絡(luò)設(shè)備(具有訪

60、問控制及邊界隔離的功能模塊)，安全設(shè)備具有訪問控制及邊界隔離功能。支撐性根基設(shè)施：對應(yīng)信息資產(chǎn)，通常包括：安全設(shè)備不具有訪問控制及邊界隔離功能如上信息資產(chǎn)和保護(hù)對象框架的關(guān)系，都為各類信息資產(chǎn)的一個(gè)或多個(gè)屬性。對于業(yè)務(wù)系統(tǒng)資產(chǎn)來說，在確立保護(hù)對象框架時(shí)，可以將其作為一個(gè)獨(dú)立的保護(hù)對象來對待。對于組織和人員資產(chǎn)，通過業(yè)務(wù)系統(tǒng)的屬性和相應(yīng)的保護(hù)對象框架相關(guān)聯(lián)。資產(chǎn)識別過程繪制拓?fù)鋱D資產(chǎn)識別的首要步驟是繪制拓?fù)鋱D。在拓?fù)鋱D中盡可能真實(shí)地描繪拓?fù)鋱D。一般來說，拓?fù)鋱D越詳細(xì)，資產(chǎn)識別的精度也就越高。如果系統(tǒng)非常復(fù)雜，一張拓?fù)鋱D很難描述清楚，那么應(yīng)采用多張拓?fù)鋱D。在安全咨詢工程中，參謀應(yīng)要求用戶首先提供用