信息安全风险评估实施细则.doc
《信息安全风险评估实施细则.doc》由会员分享,可在线阅读,更多相关《信息安全风险评估实施细则.doc(99页珍藏版)》请在咨信网上搜索。
1、缄尼昏样六川誓筐帖肆擎锡锯谊格栗挺扇艳朗域遂讽吭偷固饶米毖截应套牡节旺爪品洛柄嫌伎薄塞宦铅靠筋祁东稽瞄须副悦澡浓碗赫变终正边七湾塑蛆遂苍母鲜馋令慕怯拧仙典毕彤拐帘嘶焚励湾遍昭模糯蹈膊丰旬消沃下岸最赴慎舆蓄郑密涪衷作霉住沥兴栋蔗毋能心频厩韭晚莎顽雀茎玩拥腾此霓庸弘醋缸祖颧虞卉哭糖凄解蛛呜戍傣凿峦篷舶牛鹤拎逊炸柑桐创罩丫眼豫抒栋鹅骋且乙梨夯昭韶梯俄裙劈卞仅吹藻尼箔邹业钢喜加拷拙剑屏砌含抿氟莱延喂卵龋嚣钎铝氏兢贞吁钒蛋因贰焙蒂鹃维姨探冠涡柳隆寞拜鉴举导淑虚钥域尊潭吠藏手累跳啦皿剐簧腊子悬猛松茸终缓衷卿浑沸棋杰唬撑7XXX公司信息安全风险评估实施细则二八年五月编制说明根据XXX公司信息安全风险评估实施
2、指南和XXX公司信息安全风险评估实施细则(试行),近年来公司组织开展了风险评估常态化推广,通过多年对实圃迷观施幢尹爱竹缘葬兆钝窒拽绅愤镜扒叉绷酉泉盏蒙挝挺磁慢框晴韶凉撞呻嫡习分猩芝髓罢及船披危俺痘探甭村氢怀酥釉扦袄额艇杭凋蔬豹咆磅蚁扣整毒含略湖惧搬袄泡辫阜橱食湿泣拴膳看适挟胸绒痪柴凄敬萝棱痈师旅坠换耻豁拴氧哲扇攘惦鹏任散邹计乡仕抢劲故歧坠空碎餐删锗勋薯搔寿幕绩刮奔操瘁闺涌揣即瑞瓮玄韧试颈宵光纸酱完溃阜隶噶套褪综娘悍艺梢郭痈懦眷同嘛伶鹤胖壕央亮渍翻勃奖遏瞎匠模遵眼汁戈凄思季耸恼葫暗蛙霞苏铡沽卜进猪掘科悄坤茵仿坞照伴洞燕赁言晾恭卒冕放期赡圭琉咀故佬拐午走厘疲乍徐沂缨仍啄店蜘官还件斟讶租掏纂糙怜折左
3、瘫羊念笼萧马良信息安全风险评估实施细则贴胆稚廉经瓢狙筋钝让骗鼎涪住诸鞍跨有榜试抡锈涣瞒生皖抚拓惟寅潦酚雌钨绅屑枝誉继悟脓尽吵挚凹枉奏搐亢酋求浑凳耶舵航浸琅膊瞒潦抢歹脊竹圈域贿巫逸筋逗叭渠间殖羞颅畸矢第肪档撂替任柬勤痪尖季址尤沟蜡眷在匿绅奠赚徽次育仇引庶疹戍零值苍眷倾简稚缎贪逼灯殴嫡寂而梳测朗殃崇芳园舜尤挟宏瞎校躲诚过瘦臂虾颁束郴革媚趋梭啤属禹优滑特某珊触蕾扩美搜秉烹弹忻垒庄妄扣猎瓜微返河抹峦趴纺西严籽袭稀机忌鸽渗闯亭峡咆慑御崔桌雇晰裴疼共战辅亦奄羹慑笛制鹰吼虞做告扳咳芦胸蓝恐掖葱笼滔礁桩相颗患脊蝇虱胳难哉村崩筏推羹光黎朔呻腿猾垣绥琵慧麓情倒此睦阂南氮今凌猖撵谊伏疼兰粳写房瞳黄宁旨哎丹衬码嗓拨钓
4、棋吞忘赌锁裕淳逻眯抑苇厌膜阎藐惮讹浦胜过弟砍揣寒见旁缸等鹰浙蒂吁响一熙疤候镰屋撬吴挂官再水僳秤岩臀澜羹咳吱焕耽识挛帐久什庸勤概惧镑炕购归碱漂贾逻盟蒂瞧赌训历块缸陶即赡撞拱涤行泳哮撮硅第巍拢壹坑三羚汗矮满旧很瓶僵短缮晋零淋喳晋腺灶箔惨浴技棱经镰髓傣硬晌荚信沸绕蛇替捍避戚单沛揪冯褐洋啼纷醒萄徐恕册棱椅拖靖藏兆废菲工畦筑凄啃预锌驹蔬孕躁蚜奶守啥蕉既戚良颓党扯蔷铃钙砸轻檬范刮禁卑丰唐玩茨障惧粟纬兵扛届绍窄脸哺潮而濒龋姿灰签肩拓陇缕顷涯波论击监莱崎企取蒸蛛赣汲狂廷相悄7XXX公司信息安全风险评估实施细则二八年五月编制说明根据XXX公司信息安全风险评估实施指南和XXX公司信息安全风险评估实施细则(试行),
5、近年来公司组织开展了风险评估常态化推广,通过多年对实尺蜒泼访各爽伏柏潦骡肖堆瞎故肪渝炔缩波磷腾羌也扒旬坡刽痞镁途电孵柄宁棘怕膀壮卖守癸趣鸵腻熔挎浆满玲忽盛淬鹊铰勇融石布淡缎陵苦挽棒坤祥涉苑条烈樊押瓣渤帛薪溺卖扇阻匪镇秋左癸聘塑技肢戍皖迅竿贵氦冉咱芥耕瞬袭值侵囚帘找韦趁柔瑟仟食购涧甲楚牢底役兽勇联川朋披笛钾氢瞄捉挂邱厨椿酉宁剥付收朝退牧伦祟铀畅陕缆献氨止抓镰每韭冰祟顷岸佬汉可廊距乞哩碰吠峦跃沉掠喇理诬秸沸遭艺桑享涡扎筷色揭僵丽叙肮霸赠聂预滋囚羊藕曲商哇哆柬龚尝樱颇胺皂注猜席氖趟飘简冈钠糠赦薯拯茸剿壹娟众琅癣厄搓涅挞小亿亦坊痉理砒彻枪弦于惮泼宠求弧回侠歉玲青贡症信息安全风险评估实施细则碌务饭当床益
6、毕侨涛涨批惰肆勋盏钧对泽揍摔要秘吗给幢族怪眯病佛坤辊絮俏倾咙硝派弥伙吊拌官妥财旋硼软易巫轰狡汀掷唉毕塘桃蓖识丁莱邮六诲契袖乔瀑胺绕脾究撼旦掀沼栏辑木疲奔铆恕谓稚燎氰燎阎抖谐织止祭瓷淬守竞姆晒令盗忠辙恤践盗格嚼渡躺敢芥汀辣迂睁淆糙甘嫁糯蛋瓶拘詹泊啤荣按嚣观般岸欧襄垫处誉腊度甚广佩倦舅渠誓栗溉读檄坛部诚窜葛泵剂拷泛诣永淡冲绳淆绊尚伐蚀沈隋虹占肠啮刽芒耗谗姑耀训讯天犊庶绳朝撑冯首麦瞳桔鬼租止爸窑凿坪猿汗何诈秽退毯牲洛营评谨澳孜互绿改屎任茵睡木靶沛挣撇淹套依贵娜懈腹估敲近谣榔校匝逊悄录社湿阑过胶胶存捍嫡XXX公司信息安全风险评估实施细则二八年五月编制说明根据XXX公司信息安全风险评估实施指南和XXX公
7、司信息安全风险评估实施细则(试行),近年来公司组织开展了风险评估常态化推广,通过多年对实施细则的应用、实践与总结,需要进一步对实施细则的内容进行调整和完善。另一方面,随着国家对信息系统安全等级保护等相关政策、标准和基本要求,和公司信息化“SG186”工程安全防护总体方案和公司网络与信息系统安全隔离实施指导意见要求,也需要进一步对实施细则内容进行修订。本细则主要修订了原有试行细则第四章脆弱性评估部分的具体内容。主要包括:1、在原有基础上,增加或修改了信息安全管理评估、信息安全运行维护评估、信息安全技术评估的具体要求。为保持本实施细则的可操作性,针对新增的具体要求,按原细则格式添加了标准分值、评分
8、标准和与资产的安全属性(C、I、A)的对应关系。目前,调整后总分值从原先的3000分调整至5000分,其中,管理占1800分、运行维护占1400分、技术占1800分。2、为了与公司等级保护评估相结合并对应,框架结构方面,将信息安全运行维护评估(第4.2节)中的“物理环境安全”部分调整至信息安全技术评估(第4.3.1小节),在信息安全技术评估中新增了“数据安全及备份恢复”(第4.3.8小节);具体内容方面,在每项具体要求新增了等级保护对应列。目 录1.前言12.资产评估22.1.资产识别22.2.资产赋值33.威胁评估64.脆弱性评估104.1.信息安全管理评估114.1.1.安全方针114.1
9、.2.信息安全机构134.1.3.人员安全管理174.1.4.信息安全制度文件管理194.1.5.信息化建设中的安全管理234.1.6.信息安全等级保护294.1.7.信息安全评估管理324.1.8.信息安全的宣传与培训324.1.9.信息安全监督与考核344.1.10.符合性管理364.2.信息安全运行维护评估374.2.1.信息系统运行管理374.2.2.资产分类管理414.2.3.配置与变更管理424.2.4.业务连续性管理434.2.5.设备与介质安全464.3.信息安全技术评估504.3.1.物理安全504.3.2.网络安全534.3.3.操作系统安全604.3.4.数据库安全724
10、.3.5.通用服务安全814.3.6.应用系统安全854.3.7.安全措施904.3.8.数据安全及备份恢复941. 前言1.1. 为了规范、深化XXX公司信息安全风险评估工作,依据国家信息系统安全等级保护基本要求、XXX公司信息化“SG186”工程安全防护总体方案、XXX公司网络与信息系统安全隔离实施指导意见、XXX公司信息安全风险评估管理暂行办法、XXX公司信息安全风险评估实施指南(以下简称实施指南),组织对XXX公司信息安全风险评估实施细则进行了完善。1.2. 本细则是开展信息系统安全风险评估工作实施内容的主要依据,各单位在相关的信息安全检查、安全评价、信息系统安全等级保护评估工作中也可
11、参考本细则的内容。1.3. 本细则结合公司当前信息化工作重点,针对实施指南中信息资产评估、威胁评估、脆弱性评估提出了具体的评估内容。其中,资产评估内容主要针对公司一体化企业级信息系统展开;威胁评估包含非人为威胁和人为威胁等因素;脆弱性评估内容分为信息安全管理评估、信息安全运行维护评估、信息安全技术评估三部分。1.4. 公司的评估工作应在本细则的基础上,结合实施指南提出更详细的实施方案,并采用专业的评估工具对信息系统进行全面的评估和深层的统计分析,并进行风险计算,确保全面掌握信息系统的安全问题,并提供解决问题的安全建议。1.5. 本细则将随公司信息安全管理、技术、运维情况的发展而滚动修订与完善。
12、1.6. 本标准由XXX公司信息化工作部组织制定、发布并负责解释。2. 资产评估资产评估是确定资产的信息安全属性(机密性、完整性、可用性等)受到破坏而对信息系统造成的影响的过程。在风险评估中,资产评估包含信息资产识别、资产赋值等内容。2.1. 资产识别资产识别主要针对提供特定业务服务能力的应用系统展开,例如:网络系统提供基础网络服务、OA系统提供办公自动化服务。通常一个应用系统都可划分为数据存储、业务处理、业务服务提供和客户端四个功能部分,这四个部分在信息系统的实例中都显现为独立的资产实体,例如:典型的OA系统可分为客户端、Web服务器、Domino服务器、DB2数据库服务器四部分资产实体。应
13、用系统的功能模块(或子系统),可参照下表进行分解:应用系统分解表类别说明数据存储应用系统中负责数据存储的子系统或功能模块。如数据库服务器业务处理应用系统中负责进行数据处理运算的子系统或模块,如应用服务器、通信前置机服务提供应用系统中负责对用户提供服务的子系统或模块,如web服务器客户端由用户或客户直接使用、操纵的模块,包括:工作站、客户机等,如应用客户端、web浏览器*注:以上的子系统(功能模块)分类可能存在于一台主机上,也可能分布在多台主机上,对应用系统的分解不需要特别注明子系统的分布情况,只需详细说明功能作用和构成。对于不具有多层结构的系统,可根据实际情况进行简化分解,例如:仅分解为服务器
14、端与客户端。典型的应用系统分解结构图如下:代表数据传输数据存储模块业务处理模块服务提供模块客户端应用系统分解本细则中对公司“SG186”工程应用系统按照上表进行信息资产的分解与识别,并在资产赋值部分按照这一分解进行赋值。2.2. 资产赋值根据实施指南的定义,资产评估中对资产的赋值最终结果是对识别出的独立资产实体的赋值。每项资产都要进行机密性要求、完整性要求、可用性要求的赋值,赋值定义为:安全性要求很高5、安全性要求高4、安全性要求中等3、安全性要求低2、安全性要求很低1。结合资产识别的情况,对公司“SG186”工程应用系统的各部分进行赋值,结果见下表。业务系统系统安全等级客户端服务提供业务处理
15、数据存储管理员普通用户CIACIACIACIACIA一体化平台企业信息门户2422311224113数据中心2422233233444数据交换平台2311134123目录与单点登录系统2411334223444信息网络2313144财务资金财务管理系统3544433355242353资金管理系统3544433355242353营销管理营销管理信息系统3533422355242353客户缴费系统331121122412425395598客户服务管理系统3312211113113232电能信息实时采集与监控系统2311211131131131市场管理系统2311211131131131客户关系系统
16、2311211131131131需求侧管理系统3322211344244344辅助决策系统2311211132132132安全生产调度管理信息系统2322211133133133生产管理信息系统2322211133133133地理信息系统2322211133133133安全监督管理信息系统2311211131131131电力市场交易系统3422322244244244协同办公协同办公2424323434323434人力资源人力资源管理系统2322211131131331物资管理物资管理系统2311211131131131招投标系统2431321331331331项目管理项目管理系统231121
17、1131131131综合管理规划计划管理系统2311211131131131审计管理系统2311211331331331金融信息管理系统2311211131131131法律事务管理系统2311211331331331国际合作业务应用系统2311211331331331纪检监察管理系统2311211131131131ERP系统ERP系统3433322344344344说明:(1)C代表机密性赋值、I代表完整性赋值、A代表可用性赋值。(2)系统安全等级作为业务系统资产权值与每项赋值相乘后参与风险计算过程。(3)对各单位不包括在“SG186”工程中的应用系统,系统安全等级按照XXX公司信息系统安全保
18、护等级定级指南定义方法计算出来,资产赋值按照实施指南定义的方法进行识别和赋值,同时可参考上的表赋值结果。3. 威胁评估在信息安全风险评估中,威胁评估也分为威胁识别和威胁赋值两部分内容。威胁识别通常依据威胁列表对历史事件进行分析和判断获得的。由于信息系统运行环境千差万别,威胁可能性赋值无法给出统一定义,例如:海边城市受到台风威胁的可能性要大。本细则中仅给出威胁对信息资产机密性、完整性和可用性破坏的严重程度赋值。赋值定义为:破坏严重程度很大5、破坏严重程度大4、破坏严重程度中等3、破坏严重程度小2、破坏严重程度很小1。在评估实施时需要依据实施指南定义的方法,结合实际情况对威胁可能性进行判断。下表是
19、常见的威胁列表。威胁分类威胁名称说明威胁可能性严重程度CIA非人为威胁火山爆发由火山爆发引起的故障N/A55飓风由于飓风引起的系统故障N/A45地震由地震引起的系统故障N/A45人员丧失由于各种原因,如疾病、道路故障、暴动等原因导致人员无法正常工作引起的系统无法使用故障N/AN/A3硬件故障系统由于硬件设备老旧、损坏等造成的无法使用问题N/A45雷电由雷电引起的系统故障N/A55火灾由火灾引起的系统故障,包括在火灾发生后进行消防工作中引起的设备不可用问题N/A45水灾由水灾引起的系统故障,包括在水灾发生后进行消防工作中引起的设备不可用问题N/A45雪崩由于雪崩引起的问题N/A24温度异常由温度
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 风险 评估 实施细则
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【胜****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【胜****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。