中海信托信息安全

風(fēng)險評估及整改項

目技術(shù)方案

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

目錄

1概述.......................................錯誤味定義書簽。

1.1項目背景................................錯誤!未定義書簽。

1.2項目目標................................錯誤!未定義書簽。

1.3項目內(nèi)容................................錯誤!未定義書簽。

1.4項目設(shè)計原則............................錯誤!未定義書簽。

1.5項目范圍................................錯誤!未定義書簽。

1.6文件和法律法規(guī)..........................錯誤!未定義書簽。

2天融信對本項目的理解......................錯誤味定義書簽。

2.1對項目目標的理解........................錯誤!未定義書簽。

2.2對項目特點的理解........................錯誤!未定義書簽。

3項目總體方法與流程........................錯誤!未定義書簽。

3.1概述.....................................錯誤!未定義書簽。

3.2天融信風(fēng)險評估方法......................錯誤!未定義書簽。

3.3本項目采用的安全風(fēng)險評估方法...........錯誤!未定義書簽。

3.4技術(shù)難點和關(guān)鍵突破......................錯誤侏定義書簽。

4信息資產(chǎn)調(diào)查和賦值........................錯誤!未定義書簽。

4.1信息資產(chǎn)概述............................錯誤!未定義書簽。

4.2信息資產(chǎn)分類............................錯誤!未定義書簽。

4.3保護對象木匡架............................錯誤!未定義書簽。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

4.4資產(chǎn)識別過程............................錯誤!未定義書簽。

4.5信息資產(chǎn)賦值............................錯誤!未定義書簽。

4.6賦值工作操作方法指南....................錯誤!未定義書簽。

5IT設(shè)備評估................................錯誤!未定義書簽。

5.1評估的過程..............................錯誤!未定義書簽。

5.2評估的方法..............................錯誤!未定義書簽。

5.3評估的內(nèi)容..............................錯誤!未定義書簽。

5.4評估的風(fēng)險和應(yīng)對........................錯誤!未定義書簽。

6網(wǎng)絡(luò)設(shè)備安全風(fēng)險評估......................錯誤味定義書簽。

6.1評估過程描述............................錯誤!未定義書簽。

6.2評估的方法..............................錯誤!未定義書簽。

6.3評估的內(nèi)容..............................錯誤!未定義書簽。

6.4評估的風(fēng)險和應(yīng)對........................錯誤!未定義書簽。

7應(yīng)用系統(tǒng)和管理安全風(fēng)險評估................錯誤!未定義書簽。

7.1評估過程描述............................錯誤!未定義書簽。

7.2評估方法................................錯誤!未定義書簽。

7.3評估內(nèi)容................................錯誤!未定義書簽。

7.4風(fēng)險及應(yīng)對措施..........................錯誤!未定義書簽。

8安全增強與加固............................錯誤!未定義書簽。

8.1安全力口固內(nèi)容............................錯誤!未定義書簽。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

8.2安全力口固流程............................錯誤!未定義書簽。

9應(yīng)急響應(yīng)服務(wù)...............................錯誤!未定義書簽。

9.1服務(wù)目標：..............................錯誤!未定義書簽。

9.2服務(wù)特點：..............................錯誤!未定義書簽。

9.3一般實施流程：..........................錯誤!未定義書簽。

9.4流程說明：..............................錯誤!未定義書簽。

10安全解決方案...............................錯誤!未定義書簽。

10.1解決方案設(shè)計概述........................錯誤!未定義書簽。

10.2安全需求分析............................錯誤侏定義書簽。

10.3安全解決方案設(shè)計........................錯誤!未定義書簽。

n項目組織結(jié)構(gòu).............................錯誤味定義書簽。

11.1現(xiàn)場實施階段，項目組織結(jié)構(gòu).............錯誤!未定義書簽。

11.2項目角色和責(zé)任..........................錯誤!未定義書簽。

12項目進度計劃.............................錯誤!未定義書簽。

12.1項目主要過程時間安排....................錯誤!未定義書簽。

13項目啟動和準備階段.......................錯誤味定義書簽。

13.1概述....................................錯誤!未定義書簽。

13.2參加人員................................錯誤!未定義書簽。

13.3過程描述................................錯誤!未定義書簽。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

13.4需要中海信托配合的工作.................錯誤!未定義書簽。

13.5輸出....................................錯誤!未定義書簽。

14現(xiàn)場實施階段.............................錯誤!未定義書簽。

14.1資產(chǎn)調(diào)查................................錯誤!未定義書簽。

14.2安全評估（包括漏洞掃描、人工檢查等）...錯誤!未定義書簽。

14.3滲透測試................................錯誤!未定義書簽。

14.4安全力口固................................錯誤!未定義書簽。

14.5應(yīng)急響應(yīng)服務(wù)............................錯誤!未定義書簽。

15數(shù)據(jù)分析及報告階段.......................錯誤味定義書簽。

15.1概述....................................錯誤!未定義書簽。

15.2過程描述................................錯誤!未定義書簽。

15.3需要中海信托配合的工作..................錯誤!未定義書簽。

15.4輸出....................................錯誤!未定義書簽。

16項目收尾階段.............................錯誤!未定義書簽。

16.1概述....................................錯誤!未定義書簽。

16.2過程描述................................錯誤!未定義書簽。

16.3需要中海信托配合的工作..................錯誤!未定義書簽。

16.4輸出....................................錯誤!未定義書簽。

17售后服務(wù).................................錯誤!未定義書簽。

17.1安全服務(wù)技術(shù)支持服務(wù)....................錯誤!未定義書簽。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

17.2安全服務(wù)跟蹤服務(wù)........................錯誤!未定義書簽。

17.3天融信安全服務(wù)業(yè)務(wù)關(guān)鍵能力.............錯誤!未定義書簽。

18項目管理及溝通辦法.......................錯誤!未定義書簽。

18.1天融信工程項目管理方法..................錯誤!未定義書簽。

18.2天融信項目管理遵循的標準...............錯誤!未定義書簽。

18.3項目溝通辦法............................錯誤!未定義書簽。

19項目風(fēng)險管理及保密控制...................錯誤味定義書簽。

19.1項目風(fēng)險分析及規(guī)避措施..................錯誤!未定義書簽。

19.2項目的保密控制..........................錯誤侏定義書簽。

20天融信信息安全服務(wù)業(yè)務(wù)介紹...............錯誤!未定義書簽。

20.1安全服務(wù)組織結(jié)構(gòu)圖......................錯誤!未定義書簽。

20.2安全服務(wù)業(yè)務(wù)范圍........................錯誤!未定義書簽。

21項目實施質(zhì)量保證.........................錯誤!未定義書簽。

21.1項目執(zhí)行人員的質(zhì)量職責(zé)..................錯誤!未定義書簽。

21.2天融信安全服務(wù)質(zhì)量保證體系嚴格貫徹以下過程錯誤!未定義書

簽。

22項目驗收方式.............................錯誤味定義書簽。

22.1驗4攵方法確認............................錯誤!未定義書簽。

22.2驗收:程序................................錯誤!未定義書簽。

22.3版本控制................................錯誤!未定義書簽。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

22.4交付件歸檔辦法....................................錯誤!未定義書簽。

23項目分項報價表...........................錯誤味定義書簽。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

1概述

1.1項目背景

近年來，隨著信息化技術(shù)越來越深入和廣泛的應(yīng)用，信息

安全的風(fēng)險日益加大，國家和各行業(yè)主管機構(gòu)都對防范信息安

全風(fēng)險非常重視。國家信息化領(lǐng)導(dǎo)小組頒發(fā)的《信息安全等級

化保障體系》系列標準文件對中國信息安全保障工作做出原則

性戰(zhàn)略性的規(guī)定，要求堅持積極防御、綜合防范的方針，全面

提高信息安全防護能力，重點保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系

統(tǒng)安全，經(jīng)過五年左右的努力，基本形成國家信息安全保障體

系。起，銀監(jiān)會發(fā)布了《商業(yè)銀行內(nèi)部控制指引》，并進一

步發(fā)出了關(guān)于信托投資公司加強內(nèi)部控制和風(fēng)險控制的要求。

7月，國家財政部和證監(jiān)會、銀監(jiān)會、保監(jiān)會等聯(lián)合發(fā)布了

《企業(yè)內(nèi)部控制基本規(guī)范》，對企業(yè)的內(nèi)部控制提出了較為具

體的要求。

為進一步保障銀聯(lián)網(wǎng)絡(luò)的邊界安全，降低信息安全風(fēng)險，

中海信托投資有限公司擬于在業(yè)界知名互聯(lián)網(wǎng)安全服務(wù)公司

的協(xié)助下，對中海信托信息系統(tǒng)實施安全風(fēng)險管理服務(wù)（包

括安全技術(shù)和管理評估、互聯(lián)網(wǎng)應(yīng)用滲透測試、安全體系建設(shè)

咨詢、安全加固服務(wù)、緊急安全事件響應(yīng)等服務(wù)），為中海

信托的核心業(yè)務(wù)系統(tǒng)穩(wěn)定運行提供安全保障。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

1.2項目目標

經(jīng)過實施整體信息安全風(fēng)險評估服務(wù)（包括安全技術(shù)和管

理評估、互聯(lián)網(wǎng)應(yīng)用滲透測試、安全體系建設(shè)咨詢、安全加固

服務(wù)、緊急安全事件響應(yīng)等服務(wù)）提高中海信托信息系統(tǒng)的安

全性和可靠性，并在緊急情況下對提供緊急安全事件響應(yīng)支

持，控制并降低來自于互聯(lián)網(wǎng)的安全風(fēng)險。

經(jīng)過本次對中海信托網(wǎng)絡(luò)安全服務(wù)項目，能夠達到以下主

要目標：

■經(jīng)過安全風(fēng)險評估，得到中海信托的整體安全現(xiàn)狀；

■經(jīng)過滲透測試和安全技術(shù)評估，分析中海信托信息系統(tǒng)

存在的各類技術(shù)性安全缺陷，并進行整改；

■經(jīng)過管理體系評估，發(fā)現(xiàn)中海信托在風(fēng)險管理、安全策

略和內(nèi)部控制等方面存在的問題并加以改進；

■經(jīng)過安全加固和策略體系改進，全方位的提升中海信托

的信息安全管理水平。

1.3項目內(nèi)容

本次整體信息安全風(fēng)險評估項目的內(nèi)容能夠分為幾個部

分:

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

1.3.1信息安全風(fēng)險評估

1.信息資產(chǎn)調(diào)查

調(diào)查和統(tǒng)計中海信托信息系統(tǒng)所包含的信息資產(chǎn)（包含物

理環(huán)境、終端、網(wǎng)絡(luò)設(shè)備、主機、應(yīng)用軟件、業(yè)務(wù)系統(tǒng)、數(shù)

據(jù)、人員、標準流程等），明確其現(xiàn)有狀況、配置情況和管理

情況。如主機系統(tǒng)，需要明確其平臺、版本、補丁等基本情況

外，還需明確開放端口、服務(wù)和進程等配置管理信息。并對所

有信息資產(chǎn)按照一定標準進行資產(chǎn)賦值。

現(xiàn)有安全系統(tǒng)調(diào)查工作包括明確現(xiàn)有安全設(shè)備（包括防火

墻、防病毒系統(tǒng)、入侵檢測系統(tǒng)、安全掃描系統(tǒng)、帳號口令集

中管理系統(tǒng)、域控制服務(wù)器等）的部署情況和使用情況；同時

了解在建網(wǎng)絡(luò)與信息安全建設(shè)項目，使之服從統(tǒng)一部署原則。

2.安全風(fēng)險評估

根據(jù)中海信托現(xiàn)有的安全標準規(guī)范和業(yè)務(wù)對安全的要求，

分析主機、網(wǎng)絡(luò)及安全設(shè)備面臨的威脅，評估現(xiàn)有系統(tǒng)的存在

的弱點，明確所有信息系統(tǒng)面臨的安全風(fēng)險和隱患。

1.3.2應(yīng)用系統(tǒng)滲透測試

經(jīng)過黑客或白客方式對指定的Internet業(yè)務(wù)系統(tǒng)進行滲透

攻擊，發(fā)現(xiàn)該系統(tǒng)存在的安全隱患，并提出解決措施。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

1.3.3信息系統(tǒng)安全加固

安全加固和優(yōu)化服務(wù)是實現(xiàn)客戶信息系統(tǒng)安全的關(guān)鍵環(huán)

節(jié)。經(jīng)過使用該項服務(wù)，將在中海信托信息系統(tǒng)的網(wǎng)絡(luò)層、主

機層和應(yīng)用層等層次建立符合中海信托安全需求的安全狀態(tài)，

并以此作為保證中海信托信息系統(tǒng)安全的起點。

1.3.4安全策略體系整改

經(jīng)過對現(xiàn)有安全體系策略制度的審閱、解讀和差距性分

析，對現(xiàn)有安全管理制度和內(nèi)控制度進行改進，使之能夠完全

符合當(dāng)前國內(nèi)相關(guān)控制標準的要求，并向相關(guān)的國際化標準看

齊。

1.4項目設(shè)計原則

■符合性原則：符合國家等級化保護體系指出的積極防

御、綜合防范的方針和等級保護的原則。

■標準性原則：服務(wù)方案的設(shè)計與實施應(yīng)依據(jù)國內(nèi)或國際

的相關(guān)標準進行；

■規(guī)范性原則：服務(wù)工作中的過程和文檔，具有很好的規(guī)

范性，能夠便于項目的跟蹤和控制；

■可控性原則：方法和過程在雙方認可的范圍之內(nèi)，安全

服務(wù)的進度要按照進度表進度的安排，保證甲方對于服

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

務(wù)工作的可控性；

■整體性原則：安全服務(wù)的范圍和內(nèi)容整體全面，包括安

全涉及的各個層面（應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、管理制度、人

員等），避免由于遺漏造成未來的安全隱患；

■最小影響原則：安全服務(wù)中的工作盡可能小的影響系統(tǒng)

和網(wǎng)絡(luò)的正常運行，不能對現(xiàn)網(wǎng)的運行和業(yè)務(wù)的正常提

供產(chǎn)生顯著影響；

■保密性原則：對過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴格保密，未經(jīng)授

權(quán)不得泄露給任何單位和個人，不得利用此數(shù)據(jù)進行任

何侵害甲方的行為，否則甲方有權(quán)追究乙方的責(zé)任。甲

方有權(quán)要求乙方在服務(wù)結(jié)束之后銷毀所有和本項目有關(guān)

的數(shù)據(jù)和文檔。

1.5項目范圍

本項目選擇中海信托的核心業(yè)務(wù)系統(tǒng)作為服務(wù)對象。

1.6文件和法律法規(guī)

國內(nèi)政策與標準：

■《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意

見》（中辦發(fā)口27號）；

■《關(guān)于開展信息安全風(fēng)險評估工作的意見》1月國家網(wǎng)

絡(luò)與信息安全協(xié)調(diào)小組；

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

■《關(guān)于印發(fā)《信息安全風(fēng)險評估指南》的通知》2月國

信辦(國信辦綜口9號)；

■《商業(yè)銀行內(nèi)部控制指引》12月銀監(jiān)會

■《企業(yè)內(nèi)部控制基本規(guī)范》7月財政部、證監(jiān)會、審

計署、銀監(jiān)會、保監(jiān)會

國際政策與標準：

■ISO/IEC27001信息安全管理體系標準

■COSO/COBIT內(nèi)控和信息技術(shù)控制框架

■ISO/IECTR13335Series,Guidelinesforthemanagement

ofITSecurity(CMITS),1996-

■NISTSP800Series,ComputerSecuritySpecial

Publications,1991-

2天融信對本項目的理解

2.1對項目目標的理解

安全風(fēng)險評估工作是中海信托信息安全體系運作體系中風(fēng)

險管理的重要組成部分，經(jīng)過周期性的安全風(fēng)險評估工作發(fā)現(xiàn)

公司的安全現(xiàn)狀，為公司安全建設(shè)和安全加固提供數(shù)據(jù)基礎(chǔ)。

綜上所述，本期項目的目標是：

經(jīng)過安全評估的技術(shù)手段，盡可能發(fā)現(xiàn)和定位中海信托各

信息系統(tǒng)存在的安全風(fēng)險，為安全加固、系統(tǒng)整改及應(yīng)急響應(yīng)

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

提供依據(jù)和技術(shù)指導(dǎo)，降低中海信托整體的安全風(fēng)險。

2.2對項目特點的理解

經(jīng)過上面對本項目目標的分析，本期深度安全風(fēng)險評估工

作存在如下特點：

■要求高：

?由于中海信托業(yè)務(wù)的快速增長，對信息安全的要求

越來越高，因此要比以前采用更加規(guī)范的項目管理

要求；

?本次評估的技術(shù)深度和廣度，都要強于以前的項目

及同行業(yè)的要求（多個系統(tǒng)的應(yīng)用分析）；

?采用的技術(shù)標準，是當(dāng)前最新、最及時的，相比歷

史評估工作和同行業(yè)類似工作的技術(shù)要求是最高

的；

■技術(shù)與管理并重：

?由于面臨的外部威脅的壓力和影響力比以往要大很

多，因此本次項目更加側(cè)重于經(jīng)過外部滲透測試的

方法，發(fā)現(xiàn)從外部的威脅和影響（特別是從外部

Internet進行滲透測試）；

?本次項目滲透測試涉及的系統(tǒng)范圍更廣，而且更深

地分析經(jīng)過“信任關(guān)系”發(fā)生的滲透，從而發(fā)現(xiàn)

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

“木桶原理”中的“最短那塊板”；

■更加側(cè)重于應(yīng)用系統(tǒng)自身特點的安全評估：

?綜合分析業(yè)務(wù)和管理層（數(shù)據(jù)流，角色權(quán)限…）；

應(yīng)用層（數(shù)據(jù)庫，中間件）；系統(tǒng)層（主機操作系

統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出的安

全風(fēng)險更加有針對性；

?中海信托各應(yīng)用系統(tǒng)有不同的特點，在本次項目中

要結(jié)合不同部門、不同系統(tǒng)特點進行相應(yīng)的應(yīng)用系

統(tǒng)安全評估；

■更加考慮安全加固和應(yīng)急響應(yīng)體系建設(shè)的可行性：

?本次項目在實施過程中安排了時間，對發(fā)現(xiàn)的問題

進行及時地講解和答疑；

?對發(fā)現(xiàn)的問題提出的解決方案，和系統(tǒng)管理員及時

溝通，并協(xié)助進行講解和培訓(xùn)，對不能直接解決

的，提出綜合解決、降低風(fēng)險的方案。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

3項目總體方法與流程

3.1概述

風(fēng)險管理(RiskManagement)旨在對潛在機會和不利影響

進行有效管理的文化、程序和結(jié)構(gòu)。風(fēng)險管理是良好管理的一個

組成部分，它用一種將損失減小到最低程度而使商業(yè)機會達到最

大限度的方式，對與機構(gòu)的任何活動、功能和過程相關(guān)的風(fēng)險進

行環(huán)境建立、鑒定、分析、評價、處理、監(jiān)控和信息交流。風(fēng)險

管理過程(RiskManagementProcess)是指系統(tǒng)地將管理方針、

程序和結(jié)構(gòu)應(yīng)用于風(fēng)險的環(huán)境建立、鑒定、分析、評價、處理、

監(jiān)控和信息交流等過程任務(wù)。

在信息安全領(lǐng)域，同樣適用于風(fēng)險管理的理念和方法論。

在當(dāng)前信息技術(shù)得到普遍應(yīng)用，而且很多成為關(guān)鍵業(yè)務(wù)系統(tǒng)的環(huán)

境下，企業(yè)或組織的信息安全風(fēng)險很大，而且普遍缺乏有效的控

制和管理，但過度的風(fēng)險管理，無疑會導(dǎo)致大量的金錢和人力的

花費、以及工作效率的嚴重降低。因此，如何適度和有效地進行

信息安全的風(fēng)險的管理和控制，成為了一項迫切和重要的任務(wù)。

下面的描述即是闡明風(fēng)險評估過程的理念和方法論，以作

為天融信安全服務(wù)的標準方法論和理論基礎(chǔ)，指導(dǎo)和規(guī)范天融信

的安全風(fēng)險安全服務(wù)工作。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

3.1.1安全模型參考

在澳大利亞和新西蘭國家標準《風(fēng)險管理Risk

Management》(AS/NZS4360:1999)中描述了風(fēng)險管理過程，

如下圖所示：

在國際標準ISO13335中，安全模型如下圖所示，特點是以

風(fēng)險為核心。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

在國際標準中，安全模型如下圖所示，其特點是強調(diào)了模

型的對抗性和動態(tài)性。

能夠看出，安全模型中的核心要素都是資產(chǎn)、弱點、威

脅、風(fēng)險、安全措施等，各要素之間的關(guān)系也基本類似，只是描

述和關(guān)注的角度不同。

3.1.2風(fēng)險評估標準

風(fēng)險評估過程中主要選擇的規(guī)范和標準包括：

中海信托技術(shù)規(guī)范和標準：

國內(nèi)政策與標準：

■《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意

見》（中辦發(fā)口27號）；

■《關(guān)于開展信息安全風(fēng)險評估工作的意見》1月國家網(wǎng)

絡(luò)與信息安全協(xié)調(diào)小組；

■《關(guān)于印發(fā)《信息安全風(fēng)險評估指南》的通知》2月國

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

信辦（國信辦綜口9號）；

國際政策與標準：

■ISO/IEC27001

■ISO/IECTR13335Series,Guidelinesforthemanagement

ofITSecurity（CMITS）,1996-

■NISTSP800Series,ComputerSecuritySpecial

Publications,1991-

■ISO/IEC15408-1999”信息技術(shù)安全技術(shù)信息技術(shù)安全

性評估準則”（簡稱CC）

3.2天融信風(fēng)險評估方法

3.2.1風(fēng)險評估模型

在安全評估服務(wù)中，天融信參照上述兩個安全模型，根據(jù)

自己的工程實踐，建立了自己的風(fēng)險評估模型，描述如下:

在天融信的風(fēng)險評估模型中，主要包含信息資產(chǎn)，弱點/脆

弱性、威脅和風(fēng)險四個要素。每個要素有各自的屬性，信息資產(chǎn)

的屬性是資產(chǎn)價值，弱點的屬性是弱點被威脅利用后對資產(chǎn)帶來

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

的影響的嚴重程度，威脅的屬性是威脅發(fā)生的可能性，風(fēng)險的屬

性是風(fēng)險發(fā)生的路徑。因此，天融信風(fēng)險評估的過程是：

a）對信息資產(chǎn)進行識別，并對資產(chǎn)賦值；

b）識別信息資產(chǎn)的脆弱性（弱點/漏洞），并對弱點的嚴重程

度賦值；

c）對威脅進行分析，并對威脅發(fā)生的可能性賦值；

d）綜合分析資產(chǎn)價值、資產(chǎn)的脆弱性和威脅發(fā)生的可能性，

得到信息資產(chǎn)的風(fēng)險發(fā)生的路徑和級別，并對風(fēng)險進行處

理，選擇合適的控制措施。

3.2.2總體工作流程圖

根據(jù)安全風(fēng)險評估模型，天融信安全風(fēng)險評估的總體工作

流程如下圖：

安全風(fēng)除病缶實施方法檢

￡I：<w?v1

會

￡

一

一

制

百--G2

///、、、

>

匕

；

在評估過程中首先要進行全網(wǎng)的資產(chǎn)調(diào)查，識別的內(nèi)容包

括：”信息設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)環(huán)境、組織結(jié)構(gòu)及物理環(huán)

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

境；然后進行應(yīng)用系統(tǒng)安全目標的識別和分析；以及經(jīng)過安全

評估的“業(yè)務(wù)系統(tǒng)評估”、“滲透測試”、“網(wǎng)絡(luò)架構(gòu)評

估”、“IT設(shè)備弱點評估”、“應(yīng)用安全評估”、“安全管理

評估”、“物理安全評估”各項內(nèi)容獲取“安全現(xiàn)狀”（包

括：安全威脅）、“安全弱點”。

最后經(jīng)過各系統(tǒng)、子系統(tǒng)的安全目標和其“安全現(xiàn)狀”、

“安全弱點”的對比分析，得到安全現(xiàn)狀和解決方案。

3.3本項目采用的安全風(fēng)險評估方法

本次項目由于側(cè)重點于技術(shù)問題的發(fā)現(xiàn)，并指導(dǎo)今后的安

全加固和系統(tǒng)技術(shù)整改等技術(shù)工作；根據(jù)本次項目的特點，準備

采用如下三種安全風(fēng)險評估的方法，主要針對非重點系統(tǒng)、重點

系統(tǒng)網(wǎng)絡(luò)類、重點系統(tǒng)計算類；

3.3.1非重點系統(tǒng)的IT設(shè)備弱點評估

如下圖所示:

主機系統(tǒng)

弱點諦估

rr設(shè)備網(wǎng)絡(luò)設(shè)備各系統(tǒng)單點設(shè)備

弱點評估弱點評估安全反險分析報告

安全設(shè)備

弱點評估

計算類

本評估主要目標是為IT設(shè)備的弱點提供安全加固的指導(dǎo)和

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

依據(jù)，主要涉及“主機系統(tǒng)弱點評估”；“網(wǎng)絡(luò)設(shè)備弱點評

估”；“安全設(shè)備弱點評估”。

主機系統(tǒng)弱點評估采用人工現(xiàn)場檢查和工具掃描兩種方

式；網(wǎng)絡(luò)設(shè)備弱點評估和安全設(shè)備弱點評估，對能夠?qū)С雠渲眯?/p>

息、并配置信息可識別分析的，采用后臺人工分析方式；對不能

導(dǎo)出配置信息、或配置信息不可識別分析的，采用人工現(xiàn)場檢查

方式。

評估的結(jié)果，是體現(xiàn)各單點資產(chǎn)的弱點狀況，以及綜合的

統(tǒng)計分析報告，主要為指導(dǎo)單點設(shè)備的安全加固工作。

3.3.2網(wǎng)絡(luò)類重點系統(tǒng)的安全評估

如下圖所示:

網(wǎng)絡(luò)類重點系統(tǒng)是公司主要承載各業(yè)務(wù)的基礎(chǔ)平臺，其評

估的目標不但是發(fā)現(xiàn)現(xiàn)存系統(tǒng)的問題，指導(dǎo)安全加固和系統(tǒng)整改

的工作和依據(jù)；而且還要根據(jù)業(yè)務(wù)發(fā)展需要，為網(wǎng)絡(luò)建設(shè)提供安

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

全保障的規(guī)劃依據(jù)。

本安全評估包含：“IT設(shè)備弱點評估；網(wǎng)絡(luò)架構(gòu)安全評估

和滲透測試”，其中IT設(shè)備弱點評估和前面的一致。

網(wǎng)絡(luò)架構(gòu)安全評估包括：網(wǎng)絡(luò)現(xiàn)狀安全合理性分析以及隨

業(yè)務(wù)發(fā)展需要的網(wǎng)絡(luò)安全需求分析，主要采用的方法是：后臺分

析（對網(wǎng)絡(luò)拓撲、相關(guān)技術(shù)文檔、訪問控制等配置信息分析）、

現(xiàn)場設(shè)備檢查（對網(wǎng)絡(luò)設(shè)備或網(wǎng)管系統(tǒng)的安全狀況查看）、系統(tǒng)

管理員的顧問訪談（網(wǎng)絡(luò)現(xiàn)狀存在的問題、網(wǎng)絡(luò)安全事件、業(yè)務(wù)

發(fā)展對網(wǎng)絡(luò)的影響及假設(shè)）、主管領(lǐng)導(dǎo)的顧問訪談（業(yè)務(wù)發(fā)展對

網(wǎng)絡(luò)安全的要求）；

滲透測試，主要采用嗅探及入侵的手法，分析從外部越權(quán)

進入本系統(tǒng)的路徑和可能性，以及可越權(quán)訪問接入本網(wǎng)絡(luò)系統(tǒng)的

系統(tǒng)范圍和影響。注：如無特殊需要，不采用DOS等惡意攻擊

手段。

本評估的結(jié)果，除體現(xiàn)單個資產(chǎn)的弱點狀況，指導(dǎo)安全加

固外；還可為系統(tǒng)整改，劃分安全域以及未來網(wǎng)絡(luò)規(guī)劃提供參

考；同時由于公司涉及網(wǎng)絡(luò)類系統(tǒng)之間是有強的關(guān)聯(lián)，最后要綜

合分析各網(wǎng)絡(luò)類系統(tǒng)和應(yīng)用系統(tǒng)的關(guān)聯(lián)性，設(shè)計全網(wǎng)的網(wǎng)絡(luò)安全

解決方案建議。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

3.3.3應(yīng)用計算類重點系統(tǒng)的安全評估

如下圖所示:

應(yīng)用計算類重點系統(tǒng)是公司各獨立的業(yè)務(wù)單元，包括完整

的主機、網(wǎng)絡(luò)、應(yīng)用各項內(nèi)容；其評估的目標是從深度上（業(yè)務(wù)

管理層〈數(shù)據(jù)流，用戶角色權(quán)限…〉；應(yīng)用層〈數(shù)據(jù)庫，中間

件〉）；到廣度上系統(tǒng)層（主機操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架

構(gòu)，網(wǎng)絡(luò)設(shè)備），提出全面的安全風(fēng)險分析報告。

本安全評估包含：“IT設(shè)備弱點評估；網(wǎng)絡(luò)架構(gòu)安全評

估；應(yīng)用系統(tǒng)安全評估和滲透測試”，其中IT設(shè)備弱點評估和

前面一致。

網(wǎng)絡(luò)架構(gòu)安全評估主要從網(wǎng)絡(luò)結(jié)構(gòu)上分析其應(yīng)用系統(tǒng)安全

域劃分的合理性及訪問控制策略的符合性，具體方法和前面一

致。

應(yīng)用系統(tǒng)安全評估，主要包括：對業(yè)務(wù)邏輯和數(shù)據(jù)流的安

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

全分析；對應(yīng)用平臺的安全分析。主要方法是：后臺分析（對業(yè)

務(wù)系統(tǒng)設(shè)計、運行相關(guān)技術(shù)文檔）、現(xiàn)場設(shè)備檢查（對應(yīng)用平臺

和數(shù)據(jù)庫進行安全狀況查看）、源代碼評估（對部分關(guān)鍵流程的

代碼進行分析）、系統(tǒng)管理員的顧問訪談（現(xiàn)狀存在的問題、安

全事件、業(yè)務(wù)發(fā)展的影響及假設(shè)）。

滲透測試，主要采用入侵和角色提升的手法，分析從外部

越權(quán)侵入本系統(tǒng)的路徑和可能性；以及模擬不同用戶角色提升權(quán)

限，進行數(shù)據(jù)篡改或越權(quán)訪問的可能性分析。

本評估的結(jié)果，除體現(xiàn)單個資產(chǎn)的弱點狀況，指導(dǎo)安全加

固外；重點為系統(tǒng)整改，安全域劃分以及系統(tǒng)開發(fā)提供參考。

3.4技術(shù)難點和關(guān)鍵突破

在對中海信托進行安全風(fēng)險評估的過程中，由于其規(guī)模龐

大，信息系統(tǒng)復(fù)雜，業(yè)務(wù)系統(tǒng)的特性和安全屬性存在巨大差

異，因此對于評估標準的選擇，以及評估成果的適用性都提出

了巨大的挑戰(zhàn)。

3.4.1評估指標的定制

面臨困難：安全沒有定制化的適用的安全指標，造成評估

結(jié)果不可信

一般在安全評估時，評估服務(wù)提供者因為在評估前并不熟

悉和理解被評估方的業(yè)務(wù)特性和安全特性，因此不能定制非常

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

適用的評估標準指標，也就是說沒有非常適用，反映被評估對

象特性的評估標準，一般都采用國際或國家標準。

雖然國際或國家標準適用于所有信息系統(tǒng)，但其適用廣泛

性原因，評估標準比較籠統(tǒng)，不反映行業(yè)特性和企業(yè)特性。這

樣，因為缺乏適用的評估標準，造成的評估結(jié)果可用性差，也

缺乏針對性，不能反映業(yè)務(wù)特性和行業(yè)特性。特別是如果服務(wù)

提供者對客戶首次評估，存在評估質(zhì)量較低的風(fēng)險，這是評估

服務(wù)業(yè)務(wù)一個多年存在的難題，很難解決。一般情況下，評估

質(zhì)量取決于評估服務(wù)提供者和評估顧問的經(jīng)驗是否豐富，是否

非常熟悉被評估者的業(yè)務(wù)特性和行業(yè)特性。

解決方法：在評估前設(shè)計行業(yè)安全評估指標，并在評估開

始階段盡可能的定制

能否準確定制行業(yè)安全評估指標，即行業(yè)評估標準是評估

項目能否成功的關(guān)鍵環(huán)節(jié)之一，它對評估結(jié)果的適用性和真實

性起著關(guān)鍵作用。

在作評估前，我們根據(jù)多年對不同行業(yè)的豐富評估經(jīng)驗和

深刻理解，根據(jù)不同的行業(yè)業(yè)務(wù)特性和安全要求特性的理解，

總結(jié)出反映行業(yè)特性的安全要求，設(shè)計出針對不同行業(yè)的安全

對策指標體系，再細化成不同行業(yè)的安全評估指標。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

3.4.2強調(diào)評估成果的適用性

面臨困難：評估成果和建議難以實施，技術(shù)和管理難以有

效融合，缺乏抗打擊能力和可控性

信息安全問題包含管理方面問題、技術(shù)方面問題以及兩者

的交叉，它從來都不是靜態(tài)的，隨著組織的策略、組織架構(gòu)、

業(yè)務(wù)流程和操作流程的改變而改變。中海信托現(xiàn)有的安全防護

措施大多屬于靜態(tài)的單點技術(shù)防護，單純部署安全產(chǎn)品是一種

靜態(tài)的解決辦法，單純防范黑客入侵和病毒感染更是是片面

的。一旦單點防護措施被突破、繞過或失效，整個安全保障將

會失效，威脅將影響到整個信息系統(tǒng)。評估成果中解決方案在

設(shè)計過程中需要系統(tǒng)化的全面考慮，避免單點考慮，形成系統(tǒng)

化措施。

解決方案：強調(diào)多重深度保障和抗打擊能力，強調(diào)評估成

果的可用性

27號文件提出“堅持積極防御、綜合防范的方針”，

《美國國家安全戰(zhàn)略》中指出，國家的關(guān)鍵基礎(chǔ)設(shè)施的“這些

關(guān)鍵功能遭到的任何破壞或操縱必須控制在歷時短、頻率小、

可控、地域上可隔離以及對利益損害最小這樣一個規(guī)模上”。

兩者都強調(diào)了抗打擊能力和可控性，這就要求采用多層保護的

深度防御策略，實現(xiàn)安全管理和安全技術(shù)的緊密結(jié)合，防止單

點突破。天融信在輸出評估結(jié)果時，會將管理手段和安全技術(shù)

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

緊密結(jié)合，充分吸收業(yè)務(wù)特性，建立一個適用性強、可行性強

并具有多重深度保障手段的防護網(wǎng)絡(luò)。

4信息資產(chǎn)調(diào)查和賦值

4.1信息資產(chǎn)概述

資產(chǎn)是企業(yè)、機構(gòu)直接賦予了價值因而需要保護的東西。

它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟

件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。它們分別具有不同

的價值屬性和存在特點，存在的弱點、面臨的威脅、需要進行的

保護和安全控制都各不相同。為此，有必要對企業(yè)、機構(gòu)中的信

息資產(chǎn)進行科學(xué)識別，以便于進行后期的信息資產(chǎn)抽樣、制定風(fēng)

險評估策略、分析安全功能需求等活動。

雖然信息資產(chǎn)具有非常廣泛的含義，但這里將信息資產(chǎn)定

義如下：

信息資產(chǎn)是指組織的信息系統(tǒng)、其提供的服務(wù)以及處理的

數(shù)據(jù)。

4.2信息資產(chǎn)分類

參照ISO27001對信息資產(chǎn)的描述和定義，結(jié)合安全評估

的經(jīng)驗，將信息資產(chǎn)按照下面的方法進行分類:

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

解釋/示例

網(wǎng)絡(luò)設(shè)備一臺或一組互備的網(wǎng)絡(luò)設(shè)備，包括網(wǎng)絡(luò)設(shè)備中的硬件，IOS,

配置文件數(shù)據(jù)及其提供的網(wǎng)絡(luò)服務(wù)。包括路由器、交換機、

RAS等，防火墻、IDS等安全設(shè)備除外。

服務(wù)器一臺或一組服務(wù)器，包括服務(wù)器硬件、運行于其上的OS、通用

應(yīng)用、服務(wù)，數(shù)據(jù)庫、磁盤陣列等。

工作站客戶端用機、個人用機等。

安全設(shè)備作為安全用途的硬件和軟件，如：防火墻、IDS、AV等。

存儲設(shè)備提供存儲用途的硬件和軟件，如：磁盤陣列等。

業(yè)務(wù)系統(tǒng)指組織為其應(yīng)用而開發(fā)或購買的各類應(yīng)用軟件及其提供的業(yè)務(wù)

服務(wù)。

應(yīng)用平臺軟件主要是指提供通用服務(wù)的各種平臺系統(tǒng)，包括：數(shù)據(jù)庫WWW、

Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；

數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括數(shù)據(jù)庫

數(shù)據(jù)、存放于硬盤上的文件、代碼；財務(wù)數(shù)據(jù)及書面報告等。

組織和人員指和安全相關(guān)的組織和人員，包括各級安全組織，安全人員、

各級管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作人員，第三方

人員等

物理環(huán)境指支持IT系統(tǒng)運行的基礎(chǔ)物理設(shè)施，如：機房、空調(diào)、UPS,

監(jiān)控器等。

4.2.1網(wǎng)絡(luò)設(shè)備

網(wǎng)絡(luò)設(shè)備是指構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的設(shè)備，軟件和

介質(zhì)。包括路由器、交換機、通信終端和網(wǎng)關(guān)以及網(wǎng)絡(luò)設(shè)備控制

臺等硬件設(shè)施和軟件系統(tǒng)，為了更清晰地區(qū)別資產(chǎn)的安全屬性，

網(wǎng)絡(luò)設(shè)備類資產(chǎn)不包括防火墻、VPN、網(wǎng)絡(luò)入侵檢測等網(wǎng)絡(luò)安全

產(chǎn)品。

4.2.2服務(wù)器

服務(wù)器是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)和軟件的計算環(huán)境。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

包括大型機、小型機、Unix服務(wù)器、Windows服務(wù)器、移動計

算設(shè)備、應(yīng)用加密機和磁盤陣列等計算設(shè)備硬件及其操作系統(tǒng)、

數(shù)據(jù)庫。除此之外，行業(yè)特殊的設(shè)備，例如銀行的ATM等，也

屬于主機系統(tǒng)。

同一臺主機系統(tǒng)，安裝兩種或以上操作系統(tǒng)（主要針對工

作站、移動計算設(shè)備），并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項主

機系統(tǒng)信息資產(chǎn)。

4.2.3工作站

工作站是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)軟件客戶端軟件的計

算環(huán)境和OA系統(tǒng)中個人用機。

同一臺主機系統(tǒng)，安裝兩種或以上操作系統(tǒng)（主要針對工

作站、移動計算設(shè)備），并均能接入到網(wǎng)絡(luò)中的，應(yīng)視為多項主

機系統(tǒng)信息資產(chǎn)。

4.2.4安全設(shè)備

安全設(shè)備主要指在信息系統(tǒng)中用作網(wǎng)絡(luò)安全保護用途的硬

件設(shè)施和軟件系統(tǒng)，包括：防火墻、VPN、網(wǎng)絡(luò)入侵檢測、網(wǎng)

閘、防病毒系統(tǒng)以及相關(guān)系統(tǒng)的控制臺軟硬件設(shè)施。

4.2.5存儲設(shè)備

存儲設(shè)備主要指在信息系統(tǒng)中用作數(shù)據(jù)存儲用途的硬件設(shè)

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

施和軟件系統(tǒng)，并均能接入到網(wǎng)絡(luò)中的信息資產(chǎn)。包括：DAS、

NAS、SAN等軟硬件設(shè)施。

4.2.6業(yè)務(wù)系統(tǒng)

業(yè)務(wù)系統(tǒng)主要指為業(yè)務(wù)生產(chǎn)、管理支撐及辦公等業(yè)務(wù)需求

提供服務(wù)的軟件系統(tǒng)，此類資產(chǎn)在信息資產(chǎn)中占有非常重要的地

位。本項目所指的業(yè)務(wù)系統(tǒng)是指獨立應(yīng)用、運作的系統(tǒng)，例如短

消息業(yè)務(wù)系統(tǒng)、MISC系統(tǒng)、辦公自動化系統(tǒng)、管理信息系統(tǒng)

等，網(wǎng)管系統(tǒng)等。業(yè)務(wù)系統(tǒng)屬于需要重點評估、保護的對象。

業(yè)務(wù)系統(tǒng)作為獨立的資產(chǎn)存在的同時，對于其它資產(chǎn)又存

在如下關(guān)系：

■作為“網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲設(shè)備”

資產(chǎn)的屬性之一列出。在其資產(chǎn)賦值時，作為考慮的因素。

4.2.7應(yīng)用平臺軟件

主要是指提供通用服務(wù)的各種平臺系統(tǒng)，包括：數(shù)據(jù)庫

WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；一般將

其所代表的安全屬性落實到如下部分來體現(xiàn)：

■應(yīng)用平臺軟件作為“服務(wù)器、工作站、安全設(shè)備、存儲設(shè)

備”資產(chǎn)的屬性之一列出，在進行資產(chǎn)賦值和弱點的時候,

作為考慮的因素。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

4.2.8數(shù)據(jù)及文檔

數(shù)據(jù)及文檔主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資

料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、客戶數(shù)據(jù)、各種數(shù)據(jù)

資料、系統(tǒng)文檔、運行管理規(guī)程、計劃、報告、用戶手冊等。數(shù)

據(jù)及文檔資產(chǎn)在信息資產(chǎn)中占有非常重要的地位，一般作為企業(yè)

知識產(chǎn)權(quán)、競爭優(yōu)勢、商業(yè)秘密的載體。屬于需要重點評估、保

護的對象。

一般，數(shù)據(jù)及文檔類資產(chǎn)需要保護的安全屬性是機密性。

例如，公司的財務(wù)信息和薪酬數(shù)據(jù)就是屬于高度機密性的數(shù)據(jù)。

可是，完整性的重要性會隨著機密性的提高而提高。

企業(yè)內(nèi)部對于數(shù)據(jù)類資產(chǎn)的分類方法一般根據(jù)數(shù)據(jù)的敏感

性（Sensitivity）來進行，與機密性非常類似。例如，下表是常

見的一種數(shù)據(jù)分類方法：

簡稱解釋/舉例

公開Public不需要任何保密機制和措施，能夠公開使用（例如產(chǎn)

品發(fā)表新聞等）。

內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公

司使用（例如合同等）

秘密Private由和項目相關(guān)公司和客戶公司成員使用

機密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)

定的時間內(nèi)受到控制

絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其它指定

人員在使用文檔后迅速的按要求銷毀

可是，由于數(shù)據(jù)及文檔數(shù)量巨大，且對其分類存在巨大的

偏差和困難，一般將其所代表的安全屬性落實到如下部分來體

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

現(xiàn):

■作為“服務(wù)器、工作站、存儲設(shè)備”資產(chǎn)的屬性之一列出。

在進行資產(chǎn)賦值和弱點及威脅分析的時候，作為考慮的因

素。

■作為“組織和人員”資產(chǎn)的屬性之一列出。在進行弱點及威

脅分析的時候，作為考慮的因素。

4.2.9組織和人員

主要指企業(yè)與信息相關(guān)的人員和組織，包括各級安全組

織，安全人員、各級管理人員，網(wǎng)管員，系統(tǒng)管理員，業(yè)務(wù)操作

人員，第三方人員等與被評估信息系統(tǒng)相關(guān)人員和組織。

組織和人員作為獨立的資產(chǎn)存在進行識別，但不對其進行

資產(chǎn)賦值，對其安全性因素的考慮如下：

■作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、

存儲設(shè)備”資產(chǎn)的屬性之一列出。

4.2.10物理環(huán)境

主要指支持信息系統(tǒng)運行的環(huán)境的非IT類的設(shè)備，主要包

括機房、UPS、空調(diào)、保險柜、文件柜、門禁、消防設(shè)施等。

此處一般屬于物理安全的問題，主要的設(shè)備一般集中在機

房內(nèi)，因此評估時應(yīng)重點考慮機房提供的環(huán)境安全。

物理環(huán)境與其它資產(chǎn)存在如下關(guān)系：

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

■物理位置作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安

全設(shè)備、存儲設(shè)備”資產(chǎn)的屬性之一列出。在其弱點及威脅

評估時，作為考慮的因素。

4.2.11信息資產(chǎn)分類整體圖

4.2.12信息資產(chǎn)調(diào)查表

屬性描述

資產(chǎn)名稱在一個業(yè)務(wù)系統(tǒng)中不能重名

資產(chǎn)編號全局唯一

資產(chǎn)類型資產(chǎn)的類別屬性包括服務(wù)器、工作站、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等

資產(chǎn)子類型子類型是對類型的進一步說明，例如網(wǎng)絡(luò)設(shè)備中的路由器、交換

機等

操作系統(tǒng)類型設(shè)備所承載的系統(tǒng)的類型，例如包括windows,windows,hp-

unix,aix,solans等

操作系統(tǒng)版本號各類操作系統(tǒng)的版本，例如solaris2.8,80等

操作系統(tǒng)補丁各類操作系統(tǒng)的安全補丁信息

應(yīng)用軟件平臺應(yīng)用系統(tǒng)所需的應(yīng)用軟件，例如WEB、J2EE

等

應(yīng)用平臺軟件版本應(yīng)用軟件所對應(yīng)的相應(yīng)版本。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

應(yīng)用平臺軟件補丁應(yīng)用軟件廠商發(fā)布的安全補丁。

設(shè)備型號網(wǎng)絡(luò)、服務(wù)器、工作站等的硬件設(shè)備型號

設(shè)備工作方式硬件、系統(tǒng)之間的工作方式，例如熱備、冷備、負載均衡等

用途信息資產(chǎn)的主要功能。

資產(chǎn)所在地理位置信息資產(chǎn)所處的地域、機房和機柜等

資產(chǎn)所在業(yè)務(wù)系統(tǒng)和信息資產(chǎn)所屬的業(yè)務(wù)系統(tǒng)名稱和業(yè)務(wù)系統(tǒng)所屬的部門名稱

部門

資產(chǎn)責(zé)任人信息資產(chǎn)在登記過程中的責(zé)任人。

資產(chǎn)維護人維護信息資產(chǎn)的人員名稱

資產(chǎn)安全三性安全屬性，機密性、完整性和可用性

資產(chǎn)創(chuàng)立時間信息資產(chǎn)入網(wǎng)的時間

資產(chǎn)最后修改時間信息資產(chǎn)功能修改、人員變換等信息更換的最后時間

資產(chǎn)最后修改人信息資產(chǎn)功能修改、人員變換等信息更換的修改人員名稱

4.3保護對象框架

一般來說，信息系統(tǒng)的資產(chǎn)數(shù)量十分龐大，為了更好的研

究其計算機安全問題，還需要從龐大的信息資產(chǎn)中提煉出保護對

象。

保護對象框架是指以結(jié)構(gòu)化的方法表示信息系統(tǒng)的框架模

型。所謂結(jié)構(gòu)化是指經(jīng)過特定的結(jié)構(gòu)將問題拆分成子問題的迭代

方法。例如“魚刺圖”或“問題樹”。結(jié)構(gòu)化方法包括以下幾條

基本原則：

?充分覆蓋

所有子問題的總和必須覆蓋原問題。如果不能充分覆蓋，

那么解決問題的方法就可能出現(xiàn)遺漏，嚴重影響本方法的可行

性。

?互不重疊

所有子問題都不允許出現(xiàn)重復(fù)，類似以下的情況不應(yīng)出現(xiàn)

在一個框架中:

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

■兩個不同的子問題其實是同一個子問題的兩種表述；

■某一個子問題其實是另外兩個問題或多個問題的合并；

?不可再細分

所有子問題都必須細分到不能再被細分。

當(dāng)一個問題經(jīng)過框架分析后，所有不可再細分的子問題構(gòu)

成了一個“框架”。

保護對象的主要作用為：

1.有助于信息資產(chǎn)識別的全面性。在列舉信息資產(chǎn)時，保護對

象框架有助于識別者系統(tǒng)的進行思考；

2.從資產(chǎn)安全估價到區(qū)域的安全性賦值，有助于降低風(fēng)險分析

的難度，同時確保風(fēng)險分析的有效性。

4.3.1保護對象框架內(nèi)容

保護對象框架主要包括計算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊

界、支撐性基礎(chǔ)設(shè)施四部分；計算區(qū)域還可作為下一級保護對

象，向下細分為下一級計算區(qū)域、網(wǎng)絡(luò)及基礎(chǔ)設(shè)施、邊界、支撐

性基礎(chǔ)設(shè)施。

1）計算區(qū)域

■計算區(qū)域是指由相同功能集合在一起，安全價值相近，且面

臨相似的威脅來源的一組信息系統(tǒng)組成。

■同一計算區(qū)域內(nèi)的信息資產(chǎn)在安全性上具有較強的同質(zhì)性。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

計算區(qū)域還能夠按照安全性能進一步細分，直至到安全性完

全同質(zhì)。

2）網(wǎng)絡(luò)及基礎(chǔ)設(shè)施

■網(wǎng)絡(luò)及基礎(chǔ)設(shè)施是指相同功能集合在一起，安全價值相近，

且面臨相似的威脅來源的一組網(wǎng)絡(luò)系統(tǒng)組成。一般包括路由

器，交換機和防火墻等提供網(wǎng)路服務(wù)的局域網(wǎng)和廣域網(wǎng)。

3）邊界

■邊界是指兩個區(qū)域或兩組區(qū)域之間的隔離功能集。邊界是一

組功能集合，包括訪問控制，身份認證等。

4）支撐性基礎(chǔ)設(shè)施

■支撐性基礎(chǔ)設(shè)施是指在區(qū)域內(nèi)提供安全保障功能的功能集。

支撐性基礎(chǔ)設(shè)施是一組功能集合，包括入侵檢測、審計及計

算機病毒防護等。

4.3.2保護對象和信息資產(chǎn)

保護對象框架就是信息系統(tǒng)的真實模型，計算區(qū)域、網(wǎng)絡(luò)

與基礎(chǔ)設(shè)施作為保護對象框架的兩類基本元素，分別對應(yīng)了不同

信息資產(chǎn)的集合。

■計算區(qū)域：對應(yīng)信息資產(chǎn)，一般包括：工作站、存儲設(shè)備，

服務(wù)器，安全設(shè)備（不具有訪問控制及邊界隔離功能）；當(dāng)

計算區(qū)域作為一級保護對象框架時，應(yīng)按照保護對象框架的

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

思路向下繼續(xù)分解。

■網(wǎng)絡(luò)與基礎(chǔ)設(shè)施：對應(yīng)信息資產(chǎn)，一般包括：網(wǎng)絡(luò)設(shè)備，安

全設(shè)備（具有訪問控制及邊界隔離功能）。

■邊界：對應(yīng)信息資產(chǎn)，一般包括：網(wǎng)絡(luò)設(shè)備（具有訪問控制及

邊界隔離的功能模塊），安全設(shè)備（具有訪問控制及邊界隔離

功能）。

■支撐性基礎(chǔ)設(shè)施：對應(yīng)信息資產(chǎn)，一般包括：安全設(shè)備（不

具有訪問控制及邊界隔離功能）

如上信息資產(chǎn)和保護對象框架的關(guān)系，都為各類信息資產(chǎn)

的一個或多個屬性。

對于業(yè)務(wù)系統(tǒng)資產(chǎn)來說，在確立保護對象框架時，能夠?qū)?/p>

其作為一個獨立的保護對象來看待。對于組織和人員資產(chǎn)，經(jīng)過

業(yè)務(wù)系統(tǒng)的屬性和相應(yīng)的保護對象框架相關(guān)聯(lián)。

4.4資產(chǎn)識別過程

4.4.1繪制拓撲圖

資產(chǎn)識別的首要步驟是繪制拓撲圖。在拓撲圖中盡可能真

實地描繪拓撲圖。一般來說，拓撲圖越詳細，資產(chǎn)識別的精度也

就越高。如果系統(tǒng)非常復(fù)雜，一張拓撲圖很難描述清楚，則應(yīng)采

用多張拓撲圖。

在安全咨詢項目中，顧問應(yīng)要求用戶首先提供用戶事先拓

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

撲圖。并以此為基礎(chǔ)改成標準化的拓撲圖。

4.4.2確定業(yè)務(wù)系統(tǒng)

繪制拓撲圖以后，經(jīng)過訪談等方式，確定業(yè)務(wù)系統(tǒng)，且識

別業(yè)務(wù)系統(tǒng)的功能類型。

4.4.3確定第一層保護對象框架

根據(jù)業(yè)務(wù)系統(tǒng)的各服務(wù)功能，對劃分出第一層保護對象框

架，劃分的原則：

■根據(jù)業(yè)務(wù)的類型：比如是生產(chǎn)業(yè)務(wù)，管理支撐業(yè)務(wù)，還是辦

公業(yè)務(wù)等。

■根據(jù)業(yè)務(wù)的重要性：比如核心區(qū)域，非核心區(qū)域等。

■劃分出存在哪些外部區(qū)域

4.4.4確定第二層保護對象框架

第二層保護對象框架在第一層的區(qū)域內(nèi)劃分，劃分原則：

■一般依據(jù)業(yè)務(wù)系統(tǒng)及其提供的功能特性

4.4.5順序識別資產(chǎn)

識別出系統(tǒng)級保護對象框架后，才真正開始進行資產(chǎn)識

別。在這一階段，根據(jù)信息資產(chǎn)的種類來進行識別。并將其歸屬

入相應(yīng)的保護對象框架，或在過程中創(chuàng)立下一級保護對象框架。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

4.5信息資產(chǎn)賦值

信息資產(chǎn)識別完成后，形成了一個信息資產(chǎn)的清單，但對

于大型組織來說，信息資產(chǎn)數(shù)目十分龐大，因此需要確認資產(chǎn)的

價值和重要性，重點保護關(guān)鍵的、重要的資產(chǎn)，并便于進一步考

察資產(chǎn)相關(guān)的弱點、威脅和風(fēng)險屬性，并進行量化，因此需要對

資產(chǎn)進行估價。

安全風(fēng)險評估中所指的信息資產(chǎn)價值有別于資產(chǎn)的帳面價

值和重置價值，而是指資產(chǎn)在安全方面的相對價值。本文中所指

的信息資產(chǎn)價值全部都表示相對價值。在本文中，信息資產(chǎn)的安

全價值主要是指其機密性、完整性和可用性。

資產(chǎn)的安全價值具有很強的時間特性，因此應(yīng)該根據(jù)時間

變化的頻度制定資產(chǎn)相關(guān)的評估和安全策略的頻度。例如，某公

司重要的市場活動策劃方案（數(shù)據(jù)資產(chǎn)），在活動開始之前，為

達成市場目標，需要對該數(shù)據(jù)資產(chǎn)進行機密性、完整性和可用性

方面的保護。可是在該活動之后，策劃已經(jīng)基本上都傳達給了大

眾，因此資產(chǎn)價值已經(jīng)大部分消失，相關(guān)的安全屬性也失去保護

意義。

4.5.1信息資產(chǎn)估價方法

信息資產(chǎn)估價的方法有定性、半定量、定量三種，鑒于定

量估價的巨大工作量和技術(shù)難度，因此采用定性估價的方法。

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

信息資產(chǎn)分別具有不同的安全屬性，機密性、完整性和可

用性分別反映了資產(chǎn)在三個不同方面的特性。安全屬性的不同一

般也意味著安全控制、保護功能需求的不同。經(jīng)過考察三種不同

安全屬性，能夠得出一個能夠基本反映資產(chǎn)價值的定性的數(shù)值。

在信息資產(chǎn)估價時，主要對資產(chǎn)的這三個安全屬性分別賦予價

值，以此反映出信息資產(chǎn)的價值。

機密性、完整性和可用性的定義如下：

?保密性：確保只有經(jīng)過授權(quán)的人才能訪問信息；

?完整性：保護信息和信息的處理方法準確而完整；

?可用性：確保經(jīng)過授權(quán)的用戶在需要時能夠訪問信息并使用

相關(guān)信息資產(chǎn)。

對安全屬性賦值時主要考慮的是對整個評估體影響和損

害，然后按照下面的賦值標準來衡量。這里整個評估體是指本次

評估的主體，包含本次評估范圍內(nèi)的所有信息資產(chǎn)。

下面描述信息資產(chǎn)賦值時采用的標準。要求顧問在評估工

作中，嚴格依照賦值標準進行賦值，而且所有顧問對賦值標準的

理解應(yīng)該達成一致，以避免賦值的隨意性和不一致性，從而避免

降低評估工作的質(zhì)量。

4.5.2半定量化的資產(chǎn)賦值

在分析資產(chǎn)的安全性價值時，分析其真實數(shù)值非常困難，

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

因此在本項目中我們采用半定量化的方式，即資產(chǎn)價值等級劃

分。

在本項目中，我們對于所有資產(chǎn)的機密性、完整性和可用

性價值，均劃分為5級。其中5代表資產(chǎn)安全性價值最高，1代

表資產(chǎn)性價值最低。

采用這種方法，使得資產(chǎn)賦值簡便易行，同時也體現(xiàn)了不

同資產(chǎn)之間安全價值的差距。其缺點是由于缺乏統(tǒng)一準則，對于

每項資產(chǎn)，其機密性、完整性和可用性三者之間價值是不可比

的。也就是說，如果一項資產(chǎn)的機密性和可用性賦值都是4,并

不意味該資產(chǎn)的機密性和可用性價值相同。

4.5.3資產(chǎn)賦值方法

采用5級標準，較好地反映了資產(chǎn)價值的差異，但對于用

戶和顧問來說，在為某一項資產(chǎn)的機密性、完整性或可用性價值

賦值時，依然很難在相鄰的兩個數(shù)值之間作出選擇。為此，本項

目中提出了一套方法，經(jīng)過將機密性、完整性和可用性的每個值

分解為兩個相乘的指標，而每個指標均分為三級。從而得出五級

安全價值。

V={Vc,Vi,Va)

資產(chǎn)的安全價值由機密性價值、完整性價值和可用性

價值三者組成。

Vc=Xc*Yc

文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。

Vi=Xi*Yi

Va=Xa*Ya

將三個安全性價值分別分解為兩個相乘的指標。

VX=3X=2X=1

Y=3543

Y=2432

Y=1321

分別為兩個指標（三級）賦值，然后查上