網(wǎng)絡(luò)科技有限公司智行系統(tǒng)信息安全風(fēng)險評估項目評估方案

網(wǎng)絡(luò)科技有限公司智行系統(tǒng)

信息安全風(fēng)險評估項目評估方案

目錄

一、項目概述........................................................4

1.1項目背景......................................................4

1.2項目目標(biāo)......................................................4

1.3術(shù)語..........................................................4

1.4項目實施參考標(biāo)準(zhǔn)..............................................5

二、項目評估總體目標(biāo)、要求和原則....................................6

2.1項目評估總體目標(biāo)..............................................6

2.2項目評估總體要求..............................................6

2.3項目評估原則..................................................6

2.3.1^U???????????????????????????????????????????????0

2.3.2最小影響原則...............................................7

2.3.3規(guī)范性原則................................................7

2.3.4標(biāo)準(zhǔn)化原則.................................................7

2.3.5完整性原則.................................................7

2?3?6.貝U???????????????????????????????????????????????7

2.3.7結(jié)合實際，注重實效.........................................8

三、項目管理........................................................9

3.1項目管理目標(biāo)..................................................9

3.2項目風(fēng)險管理..................................................9

3.3項目溝通管理.................................................10

3.4項目變更管理.................................................12

3.4.1目的說明..................................................12

3.4.2變更控制的方法............................................12

3.4.3變更控制涉及的表格........................................13

3.5項目質(zhì)量管理..................................................13

3.5.1評審和驗證................................................13

3.5.2工程實施...................................................13

3.5.3文件管理..................................................14

3.6項目進(jìn)度管理..................................................14

3.7參與人員與角色職責(zé)...........................................15

四、信息系統(tǒng)風(fēng)險評估...............................................16

4.1.項目評估準(zhǔn)備工作............................................16

4.L1項目評估準(zhǔn)備工作實施和確認(rèn)................................16

4.1.2項目評估前提條件..........................................16

4.2.資產(chǎn)識別與分析..............................................17

4.2.1業(yè)務(wù)應(yīng)用識別與分析........................................17

4.2.2資產(chǎn)識別..................................................18

4.3.脆弱性識別與分析............................................20

4.3.1脆弱性掃描介紹............................................20

4.3.2脆弱性掃描流程............................................20

4.3.3脆弱性掃描與檢測..........................................21

4.4.威脅識別與分析...............................................23

4.5.已有安全措施確認(rèn)............................................24

4.5.1安全功能評估..............................................24

4.5.2安全保證評估..............................................25

4.5.3物理安全評估..............................................27

4.6.關(guān)鍵區(qū)域的滲透性測試........................................28

4.6.1滲透測試介紹...............................................28

4.6.2滲透測試實施保障..........................................28

4.6.3滲透測試實施...............................................29

4.7.安全風(fēng)險分析.................................................30

4.8.安全整改加固方案和殘余風(fēng)險評估..............................31

五、評估方法與工具.................................................33

5.1采用的檢測方法..............................................33

1項目概述

1.1項目背景

隨著信息技術(shù)的不斷發(fā)展，信息技術(shù)己經(jīng)作為二十一世紀(jì)的重要科技技術(shù)被

越來越多的領(lǐng)域和行業(yè)廣泛利用，在大力發(fā)展信息產(chǎn)業(yè)的同時，信息安全已成為

信息系統(tǒng)面臨的巨大威脅和隱患，在信息系統(tǒng)的生命周期中，信息安全都將作為

一項重要指標(biāo)進(jìn)行重點關(guān)注。隨著網(wǎng)約車（以下簡稱“網(wǎng)約車”）信息產(chǎn)業(yè)的發(fā)

展，生產(chǎn)經(jīng)營管理對信息系統(tǒng)的依賴性越來越強(qiáng)，信息安全事件的影響范圍隨之

擴(kuò)大，為了使重要信息系統(tǒng)具備相應(yīng)級別的安全防護(hù)水平，下一步需要依據(jù)《GBT

20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》等國家標(biāo)準(zhǔn)，在全面了解網(wǎng)

約車行業(yè)信息化現(xiàn)況的基礎(chǔ)上，開展信息安全審計與風(fēng)險評估工作，同時完善信

息系統(tǒng)安全管理制度，提升信息系統(tǒng)安全管理水平。

1.2項目目標(biāo)

根據(jù)《GBT20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》等標(biāo)準(zhǔn)的要

求，通過在出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)開展信息安全審計與風(fēng)險評估工

作，對信息系統(tǒng)進(jìn)行技術(shù)和管理體系的分析、規(guī)劃，出具有針對性的安全加固整

改方案，在保障出行O網(wǎng)絡(luò)科技有限公司智行系統(tǒng)的業(yè)務(wù)連續(xù)性的基礎(chǔ)上，有

針對性的進(jìn)行整改加固，并完成風(fēng)險評估工作。

1.3術(shù)語

用戶和評估方

為行文簡便，本文稱出行o網(wǎng)絡(luò)科技有限公司為用戶，其智行系統(tǒng)為待評

估系統(tǒng)。

為出行()網(wǎng)絡(luò)科技有限公司智行系統(tǒng)提供信息安全審計與風(fēng)險評估的單位

稱為評估方。

1.4項目實施參考標(biāo)準(zhǔn)

＞《GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》

其它參考標(biāo)準(zhǔn)：

＞《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》(中辦發(fā)

[2003]27號）

＞《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》(GB17859-1999)

＞《信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求》(GB/T20271-2006)

＞《信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》(GB/T20270-2006)

＞《信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求》(GB/T20272-2006)

＞《信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求》(GB/T20273-2006)

＞《信息安全技術(shù)服務(wù)器技術(shù)要求》(GB/T21028-2007)

＞《信息安全技術(shù)終端計算機(jī)系統(tǒng)安全等級技術(shù)要求》(GA/T671-2D06)

＞《信息安全技術(shù)信息系統(tǒng)安全管理要求》(GB/T20269-2006)

《信息安全技術(shù)信息系統(tǒng)安全工程管理要求》(GB/T20282-2006)

GB/T18336-2001信息技術(shù)安全技術(shù)信息技術(shù)安全性評估準(zhǔn)則

2項目評估總體目標(biāo)、要求和原則

2.1項目評估總體目標(biāo)

根據(jù)國家相關(guān)和行業(yè)標(biāo)準(zhǔn)對出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)進(jìn)行信息安

全審計與風(fēng)險評估工作；對系統(tǒng)的安全風(fēng)險進(jìn)行全面的分析與評估，提出有針對

性的整改與加固方案，指導(dǎo)并協(xié)助出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)完成安全

整改與加固工作；為出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)建立起規(guī)范、可靠、高

效的網(wǎng)絡(luò)與信息安全防護(hù)體系，提高出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)網(wǎng)絡(luò)與

信息系統(tǒng)的整體安全水平、管理水平與運(yùn)維水平。

2.2項目評估總體要求

評估方將嚴(yán)格遵守國家規(guī)定和行業(yè)的法律法規(guī)，按照服務(wù)原則要求（保密性

原則、最小影響原則、規(guī)范性原則、標(biāo)準(zhǔn)化原則、完整性原則、互動性原則、

把握重點、分清主次原則、結(jié)合實際、注重實效原則）進(jìn)行有序的風(fēng)險評估工作。

評估方在實施方案的制定及項目的實施過程中，要把握項目的總體目標(biāo)，遵

循項目的總體原則。合理分配資源，科學(xué)安排進(jìn)度，充分調(diào)動參與各方的積極性,

使評估項目開展的有序高效。

2.3項目評估原則

2.3.1保密性原則

評估單位與用戶簽訂保密協(xié)議，風(fēng)險評估工作人員要與用戶簽訂個人保密協(xié)

議，在進(jìn)行信息安全風(fēng)險評估的過程中，嚴(yán)格遵循保密原則，評估過程中要采取

嚴(yán)格的管理措施，確保所涉及到的任何用戶保密信息，不會泄露給第三方單位或

個人，不得利用這些信息損害用戶利益。

2.3.2最小影響原則

評估項目要求從項目管理和技術(shù)應(yīng)用的層面，在風(fēng)險評估工作實施過程對我

局現(xiàn)有信息系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行所可能的影響降到最低程度；要求制定風(fēng)險評

估過程中的風(fēng)險規(guī)避方案及應(yīng)急措施。

2.3.3規(guī)范性原則

要求評估單位在充分總結(jié)多年開展信息系統(tǒng)安全風(fēng)險評估實踐經(jīng)驗的基礎(chǔ)

上，確定規(guī)范的方案；在此次信息安全風(fēng)險評估任務(wù)執(zhí)行過程中，通過規(guī)范的項

目管理，在人員、項目實施環(huán)節(jié)、質(zhì)量保障和時間進(jìn)度等方面進(jìn)行嚴(yán)格管控。

2.3.4標(biāo)準(zhǔn)化原則

風(fēng)險評估工作要求嚴(yán)格遵守國家和行業(yè)的相關(guān)法規(guī)、標(biāo)準(zhǔn)，并參考國際的標(biāo)

準(zhǔn)來實施。

2.3.5完整性原則

完整性原則包含以下兩個層次的內(nèi)容：

評估內(nèi)容的完整性一一要求在風(fēng)險評估工作中，綜合考慮所評估信息系統(tǒng)的

技術(shù)措施、人員、業(yè)務(wù)及運(yùn)行維護(hù)等方面，涵蓋信息安全風(fēng)險評估合同要求。

評估流程的完整性一一要求信息安全評估過程應(yīng)遵循科學(xué)性、規(guī)范性、而謹(jǐn)

性原則。

2.3.6互動性原則

在進(jìn)行信息安全風(fēng)險評估過程中，要求必須有用戶單位人員參與，雙方共同

組成項目實施工作組，進(jìn)行項目實施，從而保證項目執(zhí)行的效果，并促進(jìn)XXXX

整體安全技能和安全意識的提高。

2.3.7結(jié)合實際，注重實效

在項目實施過程中必須堅持結(jié)合實際，注重實效的原則。在方案的編制、評

估的實施、安全整改與加固等各個環(huán)節(jié)，都應(yīng)立足出行（）網(wǎng)絡(luò)科技有限公司智

行系統(tǒng)信息化工作現(xiàn)狀，調(diào)查、研究、分析出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)

網(wǎng)絡(luò)與信息系統(tǒng)的建設(shè)、管理、運(yùn)行中面臨的實際威脅，存在的實際問題，在此

基礎(chǔ)上提出有針對性的整改與加固方案，指導(dǎo)并協(xié)助出行（）網(wǎng)絡(luò)科技有限公司

智行系統(tǒng)對整改與加同方案進(jìn)行實施，力求通過此次評估活動，切實提高出行（）

網(wǎng)絡(luò)科技有限公司智行系統(tǒng)網(wǎng)絡(luò)與信息系統(tǒng)的健壯性與安全性，切實提高出行（）

網(wǎng)絡(luò)科技有限公司智行系統(tǒng)網(wǎng)絡(luò)與信息系統(tǒng)的整體安全水平、管理水平與運(yùn)維水

平。

3項目管理

3.1項目管理目標(biāo)

通過新潮多年的項目管理經(jīng)驗，結(jié)合出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)的

特點，使用先進(jìn)的項目管理方法，保證項目在規(guī)定進(jìn)度計劃內(nèi)高質(zhì)量的完成項目

的管理和實施。

3.2項目風(fēng)險管理

風(fēng)險管理計劃是成功交付項目的基礎(chǔ)。風(fēng)險管理計劃確保項目內(nèi)每個己識別

的風(fēng)險都被記錄下來（預(yù)發(fā)生概率的大小排列）,方盡可能地減小不利事實發(fā)生的

可能性。從項目的目的來看?，風(fēng)險可被定義為任何可能影響項目成功的不利事實。

通過以下五個關(guān)鍵過程，我們將風(fēng)險管理引到項目中來：

風(fēng)險檢充表評估標(biāo)準(zhǔn)應(yīng)對策略控制面板風(fēng)險數(shù)據(jù)庫

風(fēng)險評估風(fēng)險數(shù)據(jù)庫風(fēng)險數(shù)據(jù)庫風(fēng)險數(shù)據(jù)庫

風(fēng)險數(shù)據(jù)庠

圖：風(fēng)險控制圖

3.3項目溝通管理

項目溝通管理包括為了確保項目信息及時適當(dāng)?shù)漠a(chǎn)生、收集、傳播、保存和

最終配置所必須的過程。項目溝通管理把成功所必須的因素：人、想法和信息之

間提供了一個關(guān)鍵連接。涉及項目的任何人都應(yīng)準(zhǔn)備以項目“語言”發(fā)送和接收

信息并且必須理解他們以個人身份參與的溝通怎樣影響整個項目。

溝通計劃決定項目涉及人的信息和溝通需求：誰需要什么信息，什么時候需

要，怎樣獲得。

信息傳播使需要的信息及時發(fā)送給項目涉及人。

執(zhí)行報告收集和傳播執(zhí)行信息，包括狀況報告、進(jìn)步衡量和預(yù)測

行政總結(jié)產(chǎn)生、收集和傳播信息以形成一個階段或項目完成。

這些過程之間以及與其他領(lǐng)域的過程之間相互作用。如果項目需要，每個流

程可以由個人、多人或團(tuán)體來完成。在每個項目階段每個過程至少發(fā)生一次。雖

然在這里列舉的流程是分立的階段并具有明確定義的分界面，事實上他們互相交

織、互相作用在一起。

溝通的通用管理技術(shù)技巧跟項目溝通管理有關(guān)，但并不等同。溝通是一個更

寬廣的課題，包括一些重要的知識體系，它特別適用于項目的唯一知識體系。并

不局限適用于項目的重要知識體系C

為保證項目實施過程中的信息溝通，我們主要采取以下的手段進(jìn)行管理：

定期項目協(xié)調(diào)會：每周開項目協(xié)調(diào)會，主要對項目的進(jìn)度、項目的質(zhì)量、人

員安排等進(jìn)行討論，并對技術(shù)難點進(jìn)行分析解決；同時有用戶參加，解決項目中

涉及的各方面問題，包括管理、商務(wù)、用戶配合等問題。

每天的項目進(jìn)度例會：組織簡短的項目進(jìn)度例會，可以采用吃飯的時間，或

者路上，或者其他的休息時間，也可以是指定的時間（例如下班前30分鐘），

項目組成員總結(jié)每天的工作，并提出計劃J,分析當(dāng)天遇到的技術(shù)難點，討論解決;

討論項目中遇到的管理問題，人員安排問題，商務(wù)問題等，由項目經(jīng)理統(tǒng)一協(xié)調(diào)

解決。

項目進(jìn)度報告：有工程師定期提交給項目經(jīng)理進(jìn)度和工作日志，匯報工作情

況，以及難點。項目進(jìn)行中，形成定期的報告制度，內(nèi)容包含如下:項目計劃書、

每周聯(lián)絡(luò)會議紀(jì)要、項目更改紀(jì)要、項目驗收報告，各個報告的具體要求如下:

溝通內(nèi)容描述細(xì)節(jié)

持續(xù)時間：整個實施階段

頻度：每周

項目當(dāng)前的進(jìn)度情況以

反饋時間：3天

及重要的實施結(jié)果報告

項目進(jìn)度報告方式：電子郵件、傳真

給用戶以及我們的管理

聽眾：客戶負(fù)責(zé)人，、項目組管理人員、

人員。

建立負(fù)責(zé)人

負(fù)責(zé)人；項目經(jīng)理

持續(xù)時間：項目全程

與我們項目經(jīng)理討論項

頻度：每周

目當(dāng)前狀態(tài)，檢查問題解

反饋時間：1周

項目組討論會決情況，評估項目變更對

方式：會議室，電話會議

項目進(jìn)度的影響、討論近

聽眾：項目組

期項目事件。

所有者：項目經(jīng)理

持續(xù)時間：項目全程

與項目組成員一起討論

頻度：根據(jù)需要

當(dāng)前狀態(tài)、討論問題、評

項目組成員討反饋時間：3天

估改變項對項目進(jìn)度的

論會議方式：會議室，電話會議

影響、討論近期項目事

聽眾：項目組

件。

所有者：項目經(jīng)理

持續(xù)時間：項目全程

頻度：不定期

項目領(lǐng)導(dǎo)委員向項目領(lǐng)導(dǎo)委員會匯報

反饋時間：1周

會會議項目當(dāng)前狀態(tài)。

方法：會議室

聽眾：項目總體協(xié)調(diào)組

溝通內(nèi)容描述細(xì)節(jié)

所有者：項目經(jīng)理

3.4項目變更管理

3.4.1目的說明

信息系統(tǒng)項目計劃的變更管理也就是信息系統(tǒng)項目的控制過程。在項目執(zhí)行

過程中，經(jīng)常出現(xiàn)到項目的某一里程碑或報告期時，項目的進(jìn)度早于或晚于計劃

進(jìn)度、已經(jīng)發(fā)生的實際成本低于或高于計劃成本，這時都需要對計劃進(jìn)行相應(yīng)的

調(diào)整。

如果發(fā)現(xiàn)項目的進(jìn)度計劃或預(yù)算計劃需要調(diào)整，則調(diào)整的重點應(yīng)放在以下的

三個方面：

對近期即將發(fā)生的工作加強(qiáng)控制，積極挽回時間和成本；

工期估計最長或預(yù)算估計最大的工作應(yīng)進(jìn)一步審核預(yù)估依據(jù)，并做好壓縮

該工作時間和費(fèi)用的準(zhǔn)備工作，因為估計值越大的工作越有壓縮的可能；

將某些可以再分的工作進(jìn)一步細(xì)分，研究細(xì)分后工作之間并行及知識復(fù)用

的可行性。

3.4.2變更控制的方法

變更控制的目的并不是控制變更的發(fā)生，而是對變更進(jìn)行管理，確保變更有

序進(jìn)行。

項目中引起變更的因素有兩個：一是來自外部的變更要求，如要求修改工作

范圍和需求等；二是實施過程內(nèi)部的變更要求。比較而言，最難處理的是來自外

部的需求變更，因為口項目需求變更的概率大，引發(fā)的工作量也大（特別是到

項目的后期）。

變更控制不能僅在過程中靠流程控制，有效的方法是在事前明確定義。事前

控制的一種方法是在項目開始前明確定義，否則“變化”也無從談起。另一種方

法是評審，特別是對需求進(jìn)行評審，這往往是項目成敗的關(guān)鍵。需求評審的目的

不僅是“確認(rèn)”，更重要的是找出不正確的地方并進(jìn)行修改，使其盡量接近“真

實”需求。另外，需求通過正式評審后應(yīng)作為重要基線，從此之后即開始對需求

變更進(jìn)行控制。

要在項目開始就市項目組和客戶進(jìn)行宣傳和培訓(xùn)I,讓所有成員都理解變更控

制的重要意義；在項目過程中要對變更控制的執(zhí)行情況進(jìn)行審計，發(fā)現(xiàn)違反規(guī)定

的事件要嚴(yán)肅處理，否則過程很快就會失效。

綜上所述，變更控制的目的是管理變化。變更控制對項目成敗有重要影響，

事前要明確定義，事中要嚴(yán)格執(zhí)行。實施變更之前有四個重要控制點：授權(quán)、審

核、評估和確認(rèn)；在實施過程要進(jìn)行跟蹤和驗證，確保變更被正確執(zhí)行。

3.4.3變更控制涉及的表格

《項目變更申請單》

《項目變更協(xié)議》

3.5項目質(zhì)量管理

在項目執(zhí)行中，我們將設(shè)置專門的質(zhì)量工程師負(fù)責(zé)項目質(zhì)量監(jiān)督，嚴(yán)格按

1S09U01質(zhì)量體系標(biāo)準(zhǔn)對工作質(zhì)量進(jìn)行把關(guān)，以保障項目實施的質(zhì)量。

3.5.1評審和驗證

在項目過程中，我們將對設(shè)計的內(nèi)容進(jìn)行評審和臉證，并形成正規(guī)化文件，

保證設(shè)計結(jié)果嚴(yán)格符合用戶的實際需求。

3.5.2工程實施

嚴(yán)格按設(shè)計方案和有關(guān)規(guī)范指導(dǎo)實施并進(jìn)行驗收，施工人員必須詳細(xì)閱讀并

熟悉評估方案和有關(guān)資料?，遇到特殊情況需要變更評估方式，必須經(jīng)XXXX同意,

并辦理簽字證明手續(xù)，不得擅自更改。評估前應(yīng)進(jìn)行質(zhì)量技術(shù)交底。

3.5.3文件管理

我們將會對所有的項目文件進(jìn)行有效的控制和管理，以保持質(zhì)量體系運(yùn)行的

正規(guī)化和規(guī)范化。這些文件包括公司部門程序文件、項目質(zhì)量計劃、文檔、操作

規(guī)程以及工程實施當(dāng)中的記錄：評審記錄、點檢記錄、調(diào)試記錄、運(yùn)行日志等，

還有一些國際及國家標(biāo)準(zhǔn)文件等。

3.6項目進(jìn)度管理

項目的進(jìn)度管理是確保項目準(zhǔn)時完成所必需的方法。其中涉及的主要過程包

括：

活動定義，涉及確定項目團(tuán)隊成員和項目干系人為完成項目可交付成果而

必須完成的具體活動。一項活動和任務(wù)代表了實施過程中的一部分具體，

作，它有一個預(yù)期歷時、成本和資源要求，根據(jù)以往的經(jīng)驗確定。

活動排序，涉及確定項目活動之間的關(guān)系，并形成響應(yīng)的文檔。根據(jù)不同

的項目特點以及實施的具體要求進(jìn)行安排。

活動歷史計算，涉及估計完成具體活動所需要的工作時段數(shù)。

制定進(jìn)度計劃，涉及分析活動順序、活動歷時估算和資源要求，并根據(jù)要

求制定項目進(jìn)度計劃。

進(jìn)度計劃控制，涉及控制和管理項目進(jìn)度計劃的變更。

項目運(yùn)行包括各個階段，在不同階段，需要各個部門配合完成不同的工作。

任何一個環(huán)節(jié)出現(xiàn)問題，都會影響到后續(xù)工作的進(jìn)行。所以，明確各個階段的任

務(wù)和雙方職責(zé)，會促進(jìn)項目的順利執(zhí)行。根據(jù)以往經(jīng)驗，將此次項目的實施劃分

為7個主要的階段，項目啟動階段、準(zhǔn)備和訂貨階段、到貨驗收階段、現(xiàn)場實施

階段、初驗階段、試運(yùn)行階段和終驗階段。

為了更好的對xxxx信息安全風(fēng)險評估服務(wù)項目實施工作，根據(jù)本項目的生

命周期和項目管理的相關(guān)方法，我們制定了詳細(xì)的項目施工計劃和方案用于保證

項目實施的順利進(jìn)行。

3.7參與人員與角色職責(zé)

序號姓名項目角色

1項目經(jīng)理

2項目質(zhì)量管理

3物理、應(yīng)用安全評估實施

4主機(jī)、網(wǎng)絡(luò)、數(shù)據(jù)安全評估實施

5安全管理評估實施

4信息系統(tǒng)風(fēng)險評估

本次風(fēng)險評估流程將主要參考《信息安全風(fēng)險評估規(guī)范》（GB/T

20984-2007）,通過現(xiàn)場調(diào)查、現(xiàn)場測試、交流訪談、分析研究等方式找出出行

O網(wǎng)絡(luò)科技有限公司智行系統(tǒng)信息系統(tǒng)存在的脆弱性、面臨的威脅，以及威脅

發(fā)生的可能性、造成的影響，最終確定出行（）網(wǎng)絡(luò)科技有限公司智行系統(tǒng)信息

系統(tǒng)面臨的風(fēng)險，并給出安全加固建議。

4.1.項目評估準(zhǔn)備工作

4.1.1項目評估準(zhǔn)備工作實施和確認(rèn)

在評估實施階段的工作開始之前，雙方應(yīng)細(xì)致檢查準(zhǔn)備階段所有的工作內(nèi)容

和工作結(jié)果，包括；

D確定風(fēng)險評估的目標(biāo)；

2）確定風(fēng)險評估的范圍；

3）組建適當(dāng)?shù)脑u估管理與實施團(tuán)隊；

4）進(jìn)行系統(tǒng)調(diào)研：

5）確定評估依據(jù)和方法；

6）制定風(fēng)險評估方案；

7）獲得最高管理者對風(fēng)險評估工作的支持。

注意核實結(jié)果的簽名確認(rèn)，以確保所收集和整理的信息、材料的客觀性和準(zhǔn)

確性。

4.1.2項目評估前提條件

對于因客觀條件所限，無法滿足的評估條件，雙方應(yīng)根據(jù)受測系統(tǒng)的實際情

況做出合理的假設(shè)，以確保安全評估工作的展開。

由安全評估專家根據(jù)評估條件核實和部件安全性分析的結(jié)果，查找無法修正

或無法從其他機(jī)構(gòu)處獲得相應(yīng)信息的問題，隨即確定需要假設(shè)的問題。

由安全評估工程師分別與網(wǎng)絡(luò)管理員、安全管理員和應(yīng)用系統(tǒng)分析員逐一確

認(rèn)需要假設(shè)的問題，并做出合適的假設(shè)。

由安全評估專家和協(xié)調(diào)人員確認(rèn)假設(shè)的合理性，并形成假設(shè)說明文檔。

若有不符合的情況，需進(jìn)行項目變更，包括：項目目標(biāo)，項目范圍的變更。

4.2.資產(chǎn)識別與分析

4.2.1業(yè)務(wù)應(yīng)用識別與分析

業(yè)務(wù)應(yīng)用調(diào)查的目標(biāo)如下：

利用應(yīng)用流程將安全部件貫穿起來，估算安全性對用戶的價值影響；

確定信息系統(tǒng)中正常、合理的數(shù)據(jù)流和訪問行為；

確定權(quán)限和安全需求。

了解軟件結(jié)構(gòu)的目標(biāo)在于確定該業(yè)務(wù)應(yīng)用的軟件分布于哪些信息系統(tǒng)設(shè)備、服務(wù)器

或主機(jī)上，為最終安全判斷提供證據(jù)。因為軟件分布帶來的安全問題包括：

權(quán)限和安全控制

軟件安全漏洞和補(bǔ)丁

軟件對環(huán)境的適應(yīng)性

軟件安裝和運(yùn)行對其他軟件安裝和運(yùn)行的影響

工作任務(wù)和實施要求

評估方參與人員：安全評估專家和安全評估工程師。

用戶參與人員：安全管理員、應(yīng)用系統(tǒng)分析員。

評估工具：問卷調(diào)查表。

主要任務(wù):

由安全評估工程師制定《業(yè)務(wù)應(yīng)用分析實施方案》;

安全評估工程師根據(jù)《業(yè)務(wù)應(yīng)用分析實施方案》的要求調(diào)查、整理用戶在評估范圍

內(nèi)的應(yīng)用系統(tǒng)及其應(yīng)用流程，安全管理員和應(yīng)用系統(tǒng)分析員應(yīng)協(xié)助安全評估工程師完

成該項任務(wù)；

安全評估工程師利用所獲取的應(yīng)用流程將受測系統(tǒng)中的安全設(shè)備、網(wǎng)絡(luò)設(shè)備、服

務(wù)器或主機(jī)系統(tǒng)等貫穿起來。以應(yīng)用流程為主線，由安全評估工程師標(biāo)識業(yè)務(wù)應(yīng)用所

連貫的部件資產(chǎn)，注意業(yè)務(wù)應(yīng)用與服務(wù)器或主機(jī)系統(tǒng)的對應(yīng)關(guān)系。本步驟需要了解業(yè)

務(wù)應(yīng)用的內(nèi)容包括：業(yè)務(wù)使命、安全目標(biāo)、業(yè)務(wù)流程（用戶+信息+操作）、軟件結(jié)構(gòu)

和功能、訪問路徑等；

由安全評估專家與應(yīng)用系統(tǒng)分析員合作，根據(jù)應(yīng)用系統(tǒng)及其應(yīng)用流程所創(chuàng)造的價

值大小來為部件資產(chǎn)賦值，并確定受測系統(tǒng)的重要程濱；

安全評估專家將業(yè)務(wù)應(yīng)用分析結(jié)果形成《業(yè)務(wù)應(yīng)用分析說明書》。

成果

雙方協(xié)作，提交如下文檔：

《業(yè)務(wù)應(yīng)用分析實施方案》

《業(yè)務(wù)應(yīng)用分析說明書》

4.2.2資產(chǎn)識別

根據(jù)與出行（）網(wǎng)絡(luò)科技有限公司配合人員商定，信息系統(tǒng)主要設(shè)備大致情

況如卜.：

設(shè)備大類設(shè)備小類數(shù)量（臺）

主機(jī)服務(wù)器11臺

設(shè)備大類設(shè)備小類數(shù)量（臺）

應(yīng)用系統(tǒng)智行系統(tǒng)1套

注：客戶系統(tǒng)部署于阿里云，僅租用虛擬服務(wù)器網(wǎng)絡(luò)設(shè)備與安全設(shè)備歸屈阿里云負(fù)責(zé)運(yùn)維管理

工作目標(biāo)

根據(jù)所獲得的系統(tǒng)資產(chǎn)信息，根據(jù)安全評估的要求，做出合適的部件資產(chǎn)分

析，包括：

部件資產(chǎn)分類

部件資產(chǎn)賦值

資產(chǎn)關(guān)鍵設(shè)備

工作任務(wù)和實施要求

評估方參與人員：安全評估工程師。

用戶參與人員：網(wǎng)絡(luò)管理員、安全管理員、應(yīng)用系統(tǒng)分析員以及協(xié)調(diào)人員。

評估工具：座談和問卷調(diào)查表。

主要任務(wù)

雙方協(xié)商資產(chǎn)分類依據(jù)和賦值方法：

資產(chǎn)類型屬性分析計算

設(shè)備型號，IP地址，系統(tǒng)軟件及版本，部署

網(wǎng)絡(luò)設(shè)備

位置等

資產(chǎn)權(quán)重,C/I/A

屬性賦值，計算資

設(shè)備類型、IP地址、軟硬件情況、部署位置

安全設(shè)備

等產(chǎn)賦值

主機(jī)和服務(wù)設(shè)備型號，IP地址，軟硬件情況，承載的業(yè)

資產(chǎn)類型屬性分析計算

器務(wù)等

安全評估工程師在網(wǎng)絡(luò)管理員的協(xié)助卜，利用生成受測系統(tǒng)網(wǎng)絡(luò)拓?fù)鋱D。

由安全評估工程師根據(jù)計算環(huán)境、區(qū)域邊界、網(wǎng)絡(luò)及其基礎(chǔ)設(shè)施以及支撐基

礎(chǔ)設(shè)施的信息系統(tǒng)區(qū)域劃分方法，為部件資產(chǎn)分類。

由安全評估工程借助問卷調(diào)查表詢問協(xié)調(diào)人員，為部件資產(chǎn)劃分級別，并賦

予相應(yīng)的級別值。協(xié)調(diào)人員應(yīng)回答的內(nèi)容包括資產(chǎn)的商業(yè)價值以及保密性、

完整性和可用性等的相對程度。若受測系統(tǒng)已經(jīng)具備資產(chǎn)的安全級別劃分方

法和結(jié)果，則應(yīng)遵循用戶的部件資產(chǎn)安全級別劃分結(jié)果。在最終的安全評估

報告中，評估方宜對用戶具備的資產(chǎn)級別劃分方法和結(jié)果給出合適的建議。

安全評估工程師根據(jù)調(diào)查分析的結(jié)果形成資產(chǎn)分析說明書。

成果

雙方協(xié)作，提交如下文檔：《資產(chǎn)識別賦值結(jié)果記錄》

4.3.脆弱性識別與分析

4.3.1脆弱性掃描介紹

脆弱性掃描主要是根據(jù)已有的安全漏洞知識庫，模擬黑客的攻擊方法，檢測

網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)設(shè)備等各種信息資產(chǎn)所存在的安全隱患和漏洞。掃描

的方式可以采用工具進(jìn)行遠(yuǎn)程或本地的網(wǎng)絡(luò)掃描。

利用安全掃描評估工具掃描網(wǎng)絡(luò)中的核心服務(wù)器及重要的網(wǎng)絡(luò)設(shè)備，包括服

務(wù)器、交換機(jī)、防火墻、數(shù)據(jù)庫等，以對網(wǎng)絡(luò)設(shè)備、服務(wù)器和數(shù)據(jù)庫等進(jìn)行安全

漏洞檢測和分析，對識別出的能被入侵者用來非法進(jìn)入網(wǎng)絡(luò)或者非法獲取信息資

產(chǎn)的漏洞，提醒安全管理員，及時完善安全策略，降低安全風(fēng)險。

4.3.2脆弱性掃描流程

脆弱性掃描流程如下圖所示。

4.3.3脆弱性掃描與檢測

工作目標(biāo)

對部件安全性分析部分所列出的主要部件進(jìn)夕亍安全漏洞檢測，確認(rèn)其上所存

在的CVE漏洞及補(bǔ)丁情況以及安全配置情況。

參與人員和工具

評估方參與人員：項目經(jīng)理和安全評估專家。

用戶參與人員：安全管理員和網(wǎng)絡(luò)管理員。

評估工具：安全漏洞掃描系統(tǒng)（綠盟）等，最好使用用戶已有的檢查工具。

主要任務(wù)：

根據(jù)預(yù)分析結(jié)果，由安全評估工程師制定《安全漏洞檢測實施方案》；

在安全管理員和網(wǎng)絡(luò)管理員的協(xié)助下，按照網(wǎng)絡(luò)區(qū)域的劃分情況與實施方案

的要求，逐次利用“安全漏洞掃描系統(tǒng)、入侵檢測”對受測系統(tǒng)實施安全漏洞檢

測。安全管理員和網(wǎng)絡(luò)管理員需要提供檢查工具需要的IP地址、訪問設(shè)備的用

戶標(biāo)識和口令、演示環(huán)境，并事先做好對檢測對象的備份工作，其詳細(xì)的任務(wù)要

求參見《安全漏洞檢測實施方案》。

測試完畢之后，由安全評估JL程師測試結(jié)果錄入信息庫中。錄入的信息包拈

漏洞的名稱、漏洞所依附的平臺以及可能的安全影響等。這些錄入的信息構(gòu)成《安

全漏洞檢測整理記錄》。

評估對象

1）出行O網(wǎng)絡(luò)科技有限公司智行系統(tǒng)

主機(jī)系統(tǒng)（操作系統(tǒng)與數(shù)據(jù)庫）脆弱性識別與分析

網(wǎng)絡(luò)系統(tǒng)（網(wǎng)絡(luò)設(shè)備與安全設(shè)備）脆弱性識別與分析

虛擬化環(huán)境脆弱性識別與分析

IT應(yīng)用（應(yīng)用系統(tǒng)與中間件）脆弱性識別與分析

運(yùn)行維護(hù)脆弱性識別與分析

開發(fā)管理脆弱性識別與分析

實施要求

脆弱性掃描過程中可能會發(fā)生對應(yīng)用、系統(tǒng)和網(wǎng)絡(luò)等不利的情形出現(xiàn)，為了

保證掃描的效果和用戶網(wǎng)絡(luò)信息系統(tǒng)的安全。在進(jìn)行掃描實施前要完成如下工

作：

1）客戶的書面授權(quán)委吒書

這體現(xiàn)了脆弱性掃描的合法性，表明用戶同意評估方的實施方案，并旦允許

評估方按照實施方案去測試。實施方案內(nèi)容應(yīng)該包括實施目的、實施方法、實施

時間、實施人員、實施工具、實施步躲、實施風(fēng)險和風(fēng)險規(guī)避措施、用戶方配合

方式和要求等信息。通過實施方案要讓客戶知道脆弱性掃描所有細(xì)節(jié)和風(fēng)險，所

有過程都在客戶的控制之下。

2）風(fēng)險規(guī)避措施

為了規(guī)避對網(wǎng)絡(luò)、系統(tǒng)等的風(fēng)險給用戶可能帶來的損害，脆弱性掃描應(yīng)該有相應(yīng)的

規(guī)避措施：

時間選擇：脆弱性掃描應(yīng)該選在非業(yè)務(wù)繁忙期或是晚上，以避免給網(wǎng)絡(luò)和系統(tǒng)過多

負(fù)擔(dān)；

掃描策略選擇：為防止網(wǎng)絡(luò)和系統(tǒng)業(yè)務(wù)中斷，脆弱性掃描過程中中不使用含有拒絕

服務(wù)的掃描策略

保守策略選擇：對不接受任何風(fēng)險的系統(tǒng)掃描時，可以通過checklist和安全審計的

方式杳找脆弱性；

系統(tǒng)監(jiān)測；在滲透測試時，允許用戶對整個測試流程進(jìn)行全程監(jiān)控，及時解

決測試過程中出現(xiàn)的問題。

成果

雙方協(xié)作，提交如下文檔：

安全漏洞檢測原始結(jié)果（自動掃描工具的結(jié)果）

《安全漏洞檢測整理記錄》

《主機(jī)系統(tǒng)（操作系統(tǒng)與數(shù)據(jù)庫）脆弱性整理記錄》

《網(wǎng)絡(luò)系統(tǒng)（網(wǎng)絡(luò)設(shè)備與安全設(shè)備）脆弱性整理記錄》

《虛擬化環(huán)境脆弱性脆弱性整理記錄》

《1T應(yīng)用（應(yīng)用系統(tǒng)與中間件）脆弱性整理記錄》

《運(yùn)行維護(hù)脆弱性整理記錄》

《開發(fā)管理脆弱性整理記錄》

《終端安全脆弱性整理記錄》

4.4.威脅識別與分析

工作目標(biāo)

評估方調(diào)查、分析、總結(jié)受測系統(tǒng)面臨的威脅狀況，包括面臨的主要威脅、

威脅發(fā)生的頻率以及造成的影響等。

工作任務(wù)和實施要求

評估方參與人員：安全評估專家和安全評估工程師。

用戶參與人員：安全管理員。

評估工具：問卷調(diào)查表。

主要任務(wù)：

雙方確認(rèn)威脅途徑和威脅類型的屬性，包括：

外部環(huán)境威脅；

內(nèi)部環(huán)境威脅；

外部系統(tǒng)威脅；

內(nèi)部系統(tǒng)威脅：

外部人為蓄意威脅；

內(nèi)部人為蓄意威脅；

內(nèi)部人為無意威脅；

其他主要威脅；

由安全評估工程師制定《安全威脅分析實施方案》；

由安全評估工程借助威脅調(diào)查表詢問安全管理員，用戶曾經(jīng)發(fā)生的安全事件

中所面臨的安全威脅，并根據(jù)威脅的描述結(jié)陶形成相應(yīng)的記錄；

安全評估工程師根據(jù)受測系統(tǒng)的網(wǎng)絡(luò)拓?fù)淝闆r，分析受測可能面臨的安全威

肋，，形成相應(yīng)的記錄；

安全評估工程師根據(jù)所形成的記錄這些《安全威脅說明書》，并提交安全評

估專家和安全管理員審核。

成果

雙方協(xié)作，提交如下文檔：《安全威脅分析農(nóng)告》

4.5.已有安全措施確認(rèn)

4.5.1安全功能評估

工作任務(wù)和實施要求

評估方參與人員：安全評估工程師。

用戶參與人員：安全管理員、業(yè)務(wù)系統(tǒng)分析員、網(wǎng)絡(luò)管理員。

主要任務(wù)：

由安全評估工程師制定《安全功能評估實施方案》。

安全評估專家在應(yīng)用分析員的協(xié)助下，梳理和確認(rèn)作為評估主線的業(yè)務(wù)應(yīng)

用：

安全評估工程師在網(wǎng)絡(luò)管理員和安全管理員的協(xié)助下，沿著業(yè)務(wù)應(yīng)用方向，

完成對網(wǎng)絡(luò)安全部件安全功能的評估，包括；

身份鑒別和訪問控制

網(wǎng)絡(luò)訪問控制（如防火墻等的安全控制）

審計

安全監(jiān)控（對CPU和內(nèi)存等的監(jiān)控等）

病毒防護(hù)情況

應(yīng)急響應(yīng)等

安全評估工程師在安全管理員和系統(tǒng)管理員的協(xié)助下，完成對操作系統(tǒng)、數(shù)

據(jù)庫管理系統(tǒng)、應(yīng)用軟件平臺安全保護(hù)功能的評估。

安全評估工程師在安全管理員和應(yīng)用系統(tǒng)分析員的協(xié)助下，完成對應(yīng)用安全

保護(hù)功能的評估。

安全評估工程師借助分析工具，生成安全功能評估的中間結(jié)果。

成果

雙方協(xié)作，提交如下文檔：

《各層面的安全功能評估實施方案》

《各層面的安全功能評估中間結(jié)果報告》

4.5.2安全保證評估

工作目標(biāo)

本任務(wù)的主要目標(biāo)是通過考察業(yè)務(wù)應(yīng)用生命周期過程，以確定業(yè)務(wù)應(yīng)用軟件

開發(fā)的規(guī)范程度，生命周期過程包括需求確定、開發(fā)、測試、脆弱性分析、配置

管理等過程，

所需評估的安全保證要素包括：

生命周期支持

開發(fā)

測試

分發(fā)與操作

指導(dǎo)性文檔

脆弱性分析

配置管理

工作任務(wù)和實施要求

評估方參與人員：安全評估專家和安全評估工程師。

用戶參與人員：安全管理員。

主要任務(wù)：

由安全評估工程師制定《安全保證評估實施方案》。

以典型應(yīng)用為例，由安全評估工程借助問卷調(diào)查表詢問安全管理員，完成對

安全保證評估指標(biāo)的應(yīng)答，并提供相應(yīng)的解釋信息，形成評估記錄。

由安全評估專家評估結(jié)果和評估記錄，形成《安全保證評估報告》（草案）。

成果

雙方協(xié)作，提交如下文檔：

安全保證評估結(jié)果整理記錄

《安全保證評估報告》（草案）

4.5.3物理安全評估

工作目標(biāo)

對機(jī)房環(huán)境、設(shè)備、介質(zhì)等進(jìn)行安全評估。

工作任務(wù)和實施要求

評估方參與人員：安全評估專家和安全評估工程師。

用戶參與人員：安全管理員。

評估工具：問卷調(diào)查表。

主要任務(wù)：

由安全評估工程師制定《物理安全評估實施方案》。

由安全評估工程借助問卷調(diào)查表詢問安全管理員，完成對物理安全評估指標(biāo)

的應(yīng)答，并提供相應(yīng)的解釋信息，形成評估記錄。對于某些技術(shù)方面的要求，需

要安全評估工程師進(jìn)行現(xiàn)場勘察。

由安全評估專家綜合評估結(jié)果和評估記錄，形成《物理安全評估報告》（草

案）。

物理安全方面的管理制度（出入、清潔等）則納入到安全管理評估的范圍，

這里的評估以物理安全的技術(shù)要求為主，如防靜電、防雷擊等，主要關(guān)注技術(shù)的

落實情況。但需要用特定的設(shè)備測試的內(nèi)容不在本評估之列，如使用工具測試靜

電、電磁等的狀況。

評估對象

物理環(huán)境

成果

雙方協(xié)作，提交如下文檔：

物理安全評估結(jié)果整理記錄

《物理安全評估報告》（草案）

4.6.關(guān)鍵區(qū)域的滲透性測試

4.6.1滲透測試介紹

滲透測試?yán)镁W(wǎng)絡(luò)安全掃描器、專用安全測試工和富有經(jīng)驗的安仝工程師

的人工經(jīng)驗對網(wǎng)絡(luò)中的核心服務(wù)器及重要的網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)等，進(jìn)行非破壞

性質(zhì)的模擬黑客攻擊，目的是侵入系統(tǒng)并獲取機(jī)密信息并將入侵的過程和細(xì)節(jié)產(chǎn)

生報告給用戶。

通過滲透測試用戶可以獲得如下益處:

1）協(xié)助用戶發(fā)現(xiàn)組織中的安全最短板，協(xié)助用戶有效地了解目前降低風(fēng)險

的初始任務(wù)；

2）一份文檔齊全有效的滲透測試報告有助于組織IT管理者以案例說明目前

安全狀況，從而增強(qiáng)信息安全的認(rèn)知程度，甚至提高組織在安全方面的預(yù)算；

3）信息安全是一個整體工程，滲透測試有助與組織中的所有成員意識到自

己的崗位同樣可能提高或降低風(fēng)險，有助于內(nèi)部安全的提升。

4.6.2滲透測試實施保障

滲透測試過程中可能會發(fā)生對應(yīng)用、系統(tǒng)和網(wǎng)絡(luò)等不利的情形出現(xiàn)，為了保

證測試的效果和用戶網(wǎng)絡(luò)信息系統(tǒng)的安全。在進(jìn)行測試前要做兩項非常重要的工

作：

1）客戶的書面授雙委托書

這體現(xiàn)了滲透測試的合法性，表明用戶同意評估方的實施方案，并且允許評

估方按照實施方案去測試。實施方案內(nèi)容應(yīng)該包括實施目的、實施方法、實施時

間、實施人員、實施工具、實施步驟、實施風(fēng)險和風(fēng)險規(guī)避措施、用戶方配合方

式和要求等信息。通過實施方案要讓客戶知道滲透測試所有細(xì)節(jié)和風(fēng)險，所有過

程都在客戶的控制之下。

2）風(fēng)險規(guī)避措施

為了規(guī)避對網(wǎng)絡(luò)、系統(tǒng)等的風(fēng)險給用戶可能帶來的損害，滲透測試應(yīng)該有相應(yīng)的規(guī)

避措施：

時間選擇：滲透測試應(yīng)該選在非業(yè)務(wù)繁忙期或是晚上；

攻擊策略選擇：為防止網(wǎng)絡(luò)和系統(tǒng)業(yè)務(wù)中斷，滲透測試中不使用含有拒絕服務(wù)的測

試策略

保守策略選擇：對不接受任何風(fēng)險的系統(tǒng)測試時，可以復(fù)制目標(biāo)環(huán)境或是對目標(biāo)副

本做滲透測試;

系統(tǒng)備份和恢復(fù)：為防止測試帶來不可逆轉(zhuǎn)或恢復(fù)的風(fēng)險，在測試前時系統(tǒng)做備份,

以便出問題時能夠及時恢復(fù)系統(tǒng)。

系統(tǒng)監(jiān)測：在滲透測試時，允許用戶對整個測試流程進(jìn)行全程監(jiān)控，及時解

決測試過程中出現(xiàn)的問題。

4.6.3滲透測試實施

工作目標(biāo)

滲透測試是模擬攻擊者對系統(tǒng)進(jìn)行滲透，通過測試檢測系統(tǒng)抵抗攻擊的能力

和發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)。

工作參與人員

評估方參與人員：安全滲透測試工程師

用戶參與人員：安全管理員和業(yè)務(wù)系統(tǒng)管理員

工作任務(wù)

滲透測試工作任務(wù)包括：

按滲透目標(biāo)類型：外網(wǎng)服務(wù)器區(qū)與內(nèi)網(wǎng)服務(wù)器區(qū)；

按滲透攻擊路徑：分為外網(wǎng)滲透測試、內(nèi)網(wǎng)絡(luò)滲透測試；

按滲透層次：分為網(wǎng)絡(luò)層滲透測試、系統(tǒng)層滲透測試和應(yīng)用層滲透測試；

針對XXXX網(wǎng)絡(luò)信息系統(tǒng)，滲透測試工作將覆蓋上述內(nèi)容，從不同角度對XXXX

信息系統(tǒng)的各個應(yīng)用服務(wù)進(jìn)行全方位的滲透測試。

實施流程

實施方案確定，客戶書面授權(quán)

信息收集分析（掃描，工具軟件）

實施測試項（口令猜測，腳本測試）

取得權(quán)限、提升權(quán)限

遠(yuǎn)程溢出、本地溢出

成果

根據(jù)滲透測試結(jié)果為用戶出具相關(guān)的滲透測試報告

4.7.安全風(fēng)險分析

工作目標(biāo)

本部分的工作目標(biāo)如下：

匯總資產(chǎn)分析、CVE檢測、威脅分析、安全功能和安全管理評估的結(jié)果，形

成風(fēng)險分析的依據(jù)；

根據(jù)資產(chǎn)、脆弱性、威脅間的關(guān)系，遵循《信息安全風(fēng)險評估實施指南》中

的要求，估算部件資產(chǎn)的安全風(fēng)險。

參與人員

評估方參與人員：安全評估專家和安全評估工程師。

用戶參與人員：安全管理員。

工作任務(wù)

主要任務(wù):

安全評估工程師在完成CVE漏洞檢測和安全功能評估之后，進(jìn)行威脅分析，

計算每個部件資產(chǎn)面臨的威脅情況，包括：

部件上的脆弱性情況；

可能面臨的威脅種類、威脅目的；

部件資產(chǎn)威脅發(fā)生的可能性和嚴(yán)重程度。

安全評估工程師根據(jù)部件資產(chǎn)賦值結(jié)果，結(jié)合威脅分析結(jié)果，完成部件資產(chǎn)

的風(fēng)險計算，包括：

部件風(fēng)險值范圍；

部件風(fēng)險結(jié)果統(tǒng)計等。

安全評估專家審核部件風(fēng)險計算結(jié)果，最終形成《安全風(fēng)險情況說明》；

安全評估工程師將以上內(nèi)容形成評估結(jié)果確認(rèn)說明文檔，經(jīng)安全評估專家審

核后，提交給安全管理員，由雙方正式簽字確認(rèn)。

成果

雙方