第2章 某OA系统信息安全风险评估方案
【风险控制管理】公司信息安全风险评估报告样例（☆☆☆）
XX公司信息安全风险评估报告一、信息安全与信息安全风险评估概述（一）信息安全风险信息安全风险指信息资产的可用性、保密性、完整性受到破坏的可能及其对XX公司（下称“XXXX”）造成的负面影响。
基于安全风险，信息安全管理的核心在于通过识别风险、选择对策、实施对策以减缓风险，最终保证信息资产的保密性、安全性和可用性能够满足XXXX 要求。
对于XXXX而言，获得信息和信息系统的稳定支持，是将信息安全风险降到最低，从而实现投资商业目标的重要保障。
（二）信息安全风险评估信息安全风险评估是参照XXXX规章制度和风险评估标准，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。
本次信息安全风险评估参考文件有：《XXXX有限责任公司风险管理办法》、《XXXX有限责任公司风险管理指引》、《XXXX有限责任公司风险政策指引》、《XXXX有限责任公司固定资产管理办法》、国家标准《信息系统安全等级评测准则》等。
（三）风险评估相关概念风险评估涉及如下概念：1、资产：任何对XXXX有价值的事物，包括计算机硬件、通信设施、数据库、软件、信息服务和人员等。
2、威胁：指可能对资产造成损害的事故的潜在原因。
例如，XXXX 的网络系统可能受到来自计算机病毒和黑客攻击的威胁。
3、脆弱点：是指资产或资产组中能被威胁利用的弱点。
如员工缺乏信息安全意识，OA系统本身有安全漏洞等。
4、安全需求：为保证XXXX业务战略的正常运作而在安全措施方面提出的要求。
5、风险：特定威胁利用资产的脆弱点给资产或资产组带来损害的潜在可能性。
6、残留风险：在实施安全措施之后仍然存在的风险。
7、风险评估：对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。
二、信息安全风险评估工作设计（一）信息安全风险评估目的此次风险评估的目的是全面、准确地了解XXXX的信息管理安全现状，发现系统的安全问题及其可能的危害，为保证系统的最终安全提供建议。
信息安全风险评估实例.pptx
8.4 识别并评估脆弱性
从技术和管理两方面对本项目的脆弱性进行评估。技术脆 弱性主要是通过使用极光远程安全评估系统进行系统扫描。 按照脆弱性工具使用计划，使用扫描工具对主机等设备进 行扫描，查找主机的系统漏洞、数据库漏洞、共享资源以 及帐户使用等安全问题。在进行工具扫描之后，结合威胁 分析的内容，根据得出的原始记录，进行整体分析。按照 各种管理调查表的安全管理要求对现有的安全管理制度及 其执行情况进行检查，发现其中的管理脆弱性。
依据GB/T 20984—2007《信息安全技术 信息安全风险评 估规范》和第7章信息安全风险评估的基本过程，对资产进行 分类并按照资产的保密性、完整性和可用性进行赋值。
8.2.1 识别资产 根据对××信息系统的调查分析，并结合业务特点和系统的 安全要求，确定了系统需要保护的资产，见表8-2。
表8-2 信息系统资产列表
资产名称
路由器-1 路由器-2 -2 防火墙-3 防病毒服务器 数据服务器 应用服务器
PC-1 PC-2 UPS 空调
表8-4 资产价值表
安全属性赋值
保密性
1 1 1 1 2 1 1 1 1 2 2 1 1 1 1
完整性
1 3 3 3 4 3 2 2 3 4 4 4 4 4 2
专网
路由器-2 华为NE40
防火墙1 SuperV-5318
交换机1 CATALYST4000
交换机2 CISCO3745
防火墙2 UTM-418D
路由器-1 CISCO3640
防火墙3 Secgate 3600-F3
PC
PC
网络管理
空
内部网络
交换机3
调
CISCO2950
Internet
信息安全体系风险评估讲义(PPT 67页)
内容简介
基本概念 重要意义 工作方式 几个关键问题
国家对信息安全风险评估工作的要求
《国家信息化领导小组关于加强信息安全保障工作 的意见》的通知（中办发[2003]27号）在“实行信 息安全等级保护”任务中提出：“要重视信息安全 风险评估工作，对网络与信息安全的潜在威胁、薄 弱环节、防护措施等进行分析评估，综合考虑网络 与信息系统的重要性、涉密程度和面临的信息安全 风险等因素，进行相应等级的安全建设和管理。”
信息安全风险评估的重要意义（续）
加强风险评估工作是当前信息安全工作的客观需 要和紧迫需求
由于信息技术的飞速发展，关系国计民生的关键信息基础 设施的规模越来越大，同时也极大地增加了系统的复杂程 度。发达国家越来越重视风险评估工作，提倡风险评估制 度化。他们提出，没有有效的风险评估，便会导致信息安 全需求与安全解决方案的严重脱离。在我国目前的国情下 ，为加强宏观信息安全管理，促进信息安全保障体系建设 ，就必须加强风险评估工作，并逐步使风险评估工作朝着 制度化的方向发展。
资产
脆
弱
性
脆弱性
安全措施
残余风险
威胁
对各要素相互作用的解释
通过安全措施来对资产加以保护，对脆弱性加以 弥补，从而可降低风险；
实施了安全措施后，威胁只能形成残余风险。 某些情况下，也可能会有多个脆弱性被同时利用
。 脆弱性与威胁是独立的，威胁要利用脆弱性才能
造成安全事件。 某些脆弱性可以没有对应的威胁，这可能是由于
示 例 ： 常 见 人 为 威 胁
对基本概念的解释（续）
信息安全风险评估指南
信息安全风险评估指南引言：随着信息技术的快速发展，信息安全风险日益突出。
为了保障组织的信息安全，进行信息安全风险评估是必不可少的一步。
本文将介绍信息安全风险评估的基本概念，方法和步骤，以及常见的风险评估工具和技术。
一、信息安全风险评估的基本概念1.信息安全风险：指潜在的威胁和漏洞，可能导致组织的信息系统受到损害、丢失或中断的概率和后果。
2.信息安全风险评估：指对组织信息系统和数据进行分析和评估，确定安全风险并提供风险管理建议的过程。
二、信息安全风险评估的方法和步骤1.收集信息：收集组织的相关信息，包括资产清单、网络拓扑图、安全策略和安全漏洞等。
2.风险识别：基于信息收集，识别可能存在的威胁、漏洞和风险。
3.风险分析：对已识别的风险进行分析，确定其潜在的损失概率和影响程度。
5.风险管理建议：提供相应的风险管理建议，包括控制措施和风险处理策略。
6.风险监控和评估：持续监控风险的变化和实施风险管理措施的效果，进行风险再评估。
三、常见的信息安全风险评估工具和技术1. 脆弱性扫描工具（Vulnerability Scanners）：用于扫描网络和系统中的脆弱性，发现潜在的安全漏洞。
2. 渗透测试工具（Penetration Testing Tools）：模拟黑客攻击，检测系统和应用程序的弱点和漏洞。
3. 安全评估框架（Security Assessment Frameworks）：提供一套标准的风险评估方法和工具，帮助组织进行系统的评估和改进。
4. 数据分类和加密技术（Data Classification and Encryption）：对数据进行分类和加密，保护敏感信息的安全性。
5. 安全信息和事件管理系统（Security Information and Event Management System）：集中收集、分析和管理安全事件和日志，提供实时的安全监控和响应。
结论：信息安全风险评估是保障组织信息安全的重要步骤。
信息安全风险评估方案报告.doc
信息安全风险评估方案报告1 附件：国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日目录一、风险评估项目概述(1)1.1工程项目概况(1)1.1.1 建设项目基本信息(1)1.1.2 建设单位基本信息(1)1.1.3承建单位基本信息(2)1.2风险评估实施单位基本情况(2)二、风险评估活动概述(2)2.1风险评估工作组织管理(2)2.2风险评估工作过程(3)2.3依据的技术标准及相关法规文件(3)2.4保障与限制条件(3)三、评估对象(3)3.1评估对象构成与定级(3)3.1.1 网络结构(3)3.1.2 业务应用(3)3.1.3 子系统构成及定级(4)3.2评估对象等级保护措施(4)3.2.1XX子系统的等级保护措施(4)3.2.2子系统N的等级保护措施(4)四、资产识别与分析(5)4.1资产类型与赋值(5)4.1.1资产类型(5)4.1.2资产赋值(5)4.2关键资产说明(5)五、威胁识别与分析(6)5.2威胁描述与分析(6)5.2.1 威胁源分析(6)5.2.2 威胁行为分析(6)5.2.3 威胁能量分析(6)5.3威胁赋值(6)六、脆弱性识别与分析(7)6.1常规脆弱性描述(7)6.1.1 管理脆弱性(7)6.1.2 网络脆弱性(7)6.1.3系统脆弱性(7)6.1.4应用脆弱性(7)6.1.5数据处理和存储脆弱性(8) 6.1.6运行维护脆弱性(8)6.1.7灾备与应急响应脆弱性(8) 6.1.8物理脆弱性(8)6.2脆弱性专项检测(8)6.2.1木马病毒专项检查(8)6.2.2渗透与攻击性专项测试(8)6.2.3关键设备安全性专项测试(8)6.2.4设备采购和维保服务专项检测(8) 6.2.5其他专项检测(8)6.2.6安全保护效果综合验证(8)6.3脆弱性综合列表(8)七、风险分析(9)7.1关键资产的风险计算结果(9)7.2关键资产的风险等级(9)7.2.1 风险等级列表(9)7.2.3 基于脆弱性的风险排名(10)7.2.4 风险结果分析(10)八、综合分析与评价(10)九、整改意见(10)附件1：管理措施表(11)附件2：技术措施表(12)附件3：资产类型与赋值表(15)附件4：威胁赋值表(15)附件5：脆弱性分析赋值表(16)。
信息安全风险评估方案报告
附件：国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式项目名称：项目建设单位：风险评估单位：年月日目录一、风险评估项目概述 (1)1.1工程项目概况 (1)1.1.1 建设项目基本信息 (1)1.1.2 建设单位基本信息 (1)1.1.3承建单位基本信息 (2)1.2风险评估实施单位基本情况 (2)二、风险评估活动概述 (2)2.1风险评估工作组织管理 (2)2.2风险评估工作过程 (3)2.3依据的技术标准及相关法规文件 (3)2.4保障与限制条件 (3)三、评估对象 (3)3.1评估对象构成与定级 (3)3.1.1 网络结构 (3)3.1.2 业务应用 (3)3.1.3 子系统构成及定级 (4)3.2评估对象等级保护措施 (4)3.2.1XX子系统的等级保护措施 (4)3.2.2子系统N的等级保护措施 (4)四、资产识别与分析 (5)4.1资产类型与赋值 (5)4.1.1资产类型 (5)4.1.2资产赋值 (5)4.2关键资产说明 (5)五、威胁识别与分析 (6)5.2威胁描述与分析 (6)5.2.1 威胁源分析 (6)5.2.2 威胁行为分析 (6)5.2.3 威胁能量分析 (6)5.3威胁赋值 (6)六、脆弱性识别与分析 (7)6.1常规脆弱性描述 (7)6.1.1 管理脆弱性 (7)6.1.2 网络脆弱性 (7)6.1.3系统脆弱性 (7)6.1.4应用脆弱性 (7)6.1.5数据处理和存储脆弱性 (8)6.1.6运行维护脆弱性 (8)6.1.7灾备与应急响应脆弱性 (8)6.1.8物理脆弱性 (8)6.2脆弱性专项检测 (8)6.2.1木马病毒专项检查 (8)6.2.2渗透与攻击性专项测试 (8)6.2.3关键设备安全性专项测试 (8)6.2.4设备采购和维保服务专项检测 (8)6.2.5其他专项检测 (8)6.2.6安全保护效果综合验证 (8)6.3脆弱性综合列表 (8)七、风险分析 (9)7.1关键资产的风险计算结果 (9)7.2关键资产的风险等级 (9)7.2.1 风险等级列表 (9)7.2.3 基于脆弱性的风险排名 (10)7.2.4 风险结果分析 (10)八、综合分析与评价 (10)九、整改意见 (10)附件1：管理措施表 (11)附件2：技术措施表 (12)附件3：资产类型与赋值表 (15)附件4：威胁赋值表 (15)附件5：脆弱性分析赋值表 (16)一、风险评估项目概述1.1 工程项目概况1.1.1 建设项目基本信息1.1.2 建设单位基本信息1.1.3承建单位基本信息如有多个承建单位，分别填写下表。
信息安全风险评估实施细则
WORD格式XXX公司信息安全风险评估实施细则二〇〇八年五月编制说明根据《XXX公司信息安全风险评估实施指南》和《XXX公司信息安全风险评估实施细则》（试行），近年来公司组织开展了风险评估常态化推广，通过多年对实施细则的应用、实践与总结，需要进一步对实施细则的内容进行调整和完善。
另一方面，随着国家对信息系统安全等级保护等相关政策、标准和基本要求，和公司信息化“SG186”工程安全防护总体方案和公司网络与信息系统安全隔离实施指导意见要求，也需要进一步对实施细则内容进行修订。
本细则主要修订了原有试行细则第四章脆弱性评估部分的具体内容。
主要包括：1、在原有基础上，增加或修改了信息安全管理评估、信息安全运行维护评估、信息安全技术评估的具体要求。
为保持本实施细则的可操作性，针对新增的具体要求，按原细则格式添加了标准分值、评分标准和与资产的安全属性（C、I、A）的对应关系。
目前，调整后总分值从原先的3000分调整至5000分，其中，管理占1800分、运行维护占1400分、技术占1800分。
2、为了与公司等级保护评估相结合并对应，框架结构方面，将信息安全运行维护评估（第4.2节）中的“物理环境安全”部分调整至信息安全技术评估（第4.3.1小节），在信息安全技术评估中新增了“数据安全及备份恢复”（第4.3.8小节）；具体内容方面，在每项具体要求新增了等级保护对应列。
目录1.前言.................................................................................................. .. (1)2.资产评估.................................................................................................. (2)2.1.资产识别.............................................................................................. (2)2.2.资产赋值.............................................................................................. (3)3.威胁评估.................................................................................................. (6)4.脆弱性评估.................................................................................................. (10)4.1.信息安全管理评估.............................................................................................. (11)4.1.1.安全方针.......................................................................................... (11)4.1.2.信息安全机构.......................................................................................... (13)4.1.3.人员安全管理.......................................................................................... (17)4.1.4.信息安全制度文件管理 (19)4.1.5.信息化建设中的安全管理 (23)4.1.6.信息安全等级保护 (2)94.1.7.信息安全评估管理 (3)24.1.8.信息安全的宣传与培训 (32)4.1.9.信息安全监督与考核 (34)4.1.10.符合性管理.......................................................................................... (36)4.2.信息安全运行维护评估 (37)4.2.1.信息系统运行管理 (3)74.2.2.资产分类管理.......................................................................................... (41)4.2.3.配置与变更管理.......................................................................................... (42)4.2.4.业务连续性管理.......................................................................................... (43)4.2.5.设备与介质安全.......................................................................................... (46)4.3.信息安全技术评估.............................................................................................. (50)4.3.1.物理安全.......................................................................................... (50)4.3.2.网络安全.......................................................................................... (53)4.3.3.操作系统安全.......................................................................................... (60)4.3.4.数据库安全.......................................................................................... (72)4.3.5.通用服务安全.......................................................................................... (81)4.3.6.应用系统安全.......................................................................................... (85)4.3.7.安全措施.......................................................................................... (90)4.3.8.数据安全及备份恢复 (94)WORD格式5.前言2.3.为了规范、深化XXX公司信息安全风险评估工作，依据国家《信息系统安全等级保护基本要求》、《XXX公司信息化“SG186”工程安全防护总体方案》、《XXX公司网络与信息系统安全隔离实施指导意见》、《XXX公司信息安全风险评估管理暂行办法》、《XXX公司信息安全风险评估实施指南》（以下简称《实施指南》），组织对《XXX公司信息安全风险评估实施细则》进行了完善。
业务系统信息安全风险评估方案
业务系统信息安全风险评估方案一、背景介绍业务系统信息安全风险评估方案是为了保障企业业务系统的信息安全而制定的一项计划。
随着信息技术的快速发展，企业业务系统承载了大量的重要数据和敏感信息，因此对其安全性进行评估和风险控制显得尤其重要。
本方案旨在通过系统化的评估方法，全面识别和分析业务系统的安全风险，并提出相应的风险控制措施，以确保业务系统的信息安全。
二、评估目标1. 识别业务系统中存在的信息安全风险，包括但不限于数据泄露、系统漏洞、网络攻击等。
2. 评估业务系统的安全性能，包括系统可用性、完整性、保密性和可追溯性等方面。
3. 提供针对性的风险控制建议和措施，匡助企业提升业务系统的信息安全水平。
4. 为业务系统的安全管理提供科学依据，为决策者提供决策支持。
三、评估内容1. 信息资产识别：对业务系统中的信息资产进行全面识别和分类，包括数据、应用程序、网络设备等。
2. 安全威胁分析：对业务系统中的安全威胁进行分析和评估，包括内部威胁和外部威胁。
3. 漏洞评估：对业务系统中的漏洞进行评估，包括系统软件漏洞、网络设备漏洞等。
4. 风险评估：根据信息资产、安全威胁和漏洞评估的结果，综合评估业务系统的安全风险。
5. 风险控制建议：根据风险评估的结果，提出相应的风险控制建议和措施，包括技术控制和管理控制等。
6. 安全意识培训：针对业务系统的用户和管理员，进行相关的安全意识培训，提高其信息安全意识和技能。
四、评估方法1. 文献研究：对相关的信息安全标准、法规和技术文献进行研究，了解最新的安全威胁和漏洞。
2. 现场调研：通过实地走访、访谈等方式，了解业务系统的具体情况，获取相关的数据和信息。
3. 技术测试：采用网络扫描、漏洞扫描等技术手段，对业务系统进行安全测试，发现潜在的安全风险。
4. 风险评估：根据采集到的数据和信息，采用定量和定性相结合的方法，对业务系统的安全风险进行评估。
5. 建议与报告：根据评估结果，编写评估报告，提出风险控制建议和措施，并向企业决策者进行汇报。
一种信息安全评估方法在OA系统中的应用
一种信息安全评估方法在OA系统中的应用摘要:针对信息系统安全风险的特征,把模糊理论和灰色理论结合起来建立信息系统安全风险的灰色模糊综合评估模型,应用灰色模糊综合评估模型评估某局的OA系统安全风险,并和OA系统应用模糊综合评判法的结果做了对比,验证了灰色模糊综合评估方法的可行性。
关键词:信息系统安全风险评估指标体系模糊综合评判灰色模糊综合评判法21世纪是信息时代,信息已成为社会发展的重要战略资源,信息技术改变着人们的生活和工作方式,信息的获取、处理和信息安全保障能力成为综合国力和经济竞争力的重要组成部分,信息安全已成为影响国家安全、社会稳定和经济发展的决定性因素。
互联网的盛行与企业信息管理系统的发展正在逐渐成为新的商业发展方向,伴随而来的信息系统安全风险的问题,也同时成了高度重视的方面。
有效的信息安全风险评估方法能准确评估出信息系统风险,使组织采取相应的有效措施对风险进行控制,使机构风险被降低到一个可被接受的水平。
由于信息系统风险评估中存在许多模糊不确定性因素,信息系统安全风险评估需要专家参与评判,因评判者的能力和偏好不同,使得风险评价信息带有灰色性,以往的信息安全风险评估方法未同时考虑到系统风险的模糊性和灰色性,因此评估结果不够准确。
本文将灰色系统理论中的灰色统计评估法、模糊综合评判法、层次分析法,通过建立反映风险本质的信息系统安全风险评估体系,构建信息系统安全风险的多级灰色模糊综合评判模型,定性与定量结合评估信息系统安全风险,使评估结果更准确。
最后,利用所建立的灰色模糊综合评估模型对某办公自动化系统进行了评估验证,评估结果基本符合该办公自动化系统的实际状况,证明所建立的模型优于原有模型。
1 信息系统安全风险的灰色模糊综合评估模型信息系统安全风险的灰色模糊综合评估框架,如下所示:“信息安全风险因素识别与分析→分别构建安全事件发生可能性和安全事件发生后影响的评估指标体系→建立评估指标集→确定评价指标权重→划分信息系统风险评价等级→评价样本矩阵及评价灰类的确定→计算灰色评价系数→计算灰色评价权值及模糊权矩阵→计算模糊综合评价结果”。
信息安全风险评估指南
广州海颐软件有限公司信息安全风险评估指南变更记录信息安全风险评估指南1、本指南在编制过程中主要依据了国家政策法规、技术标准、规范与管理要求、行业标准并得到了无锡新世纪信息科技有限公司的大力支持。
1.1政策法规：✧《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）✧《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》（国信办[2006]5号）1.2国际标准：✧ISO/IEC 17799：2005《信息安全管理实施指南》✧ISO/IEC 27001：2005《信息安全管理体系要求》✧ISO/IEC TR 13335《信息技术安全管理指南》1.3国内标准：✧《信息安全风险评估指南》（国信办综[2006]9号）✧《重要信息系统灾难恢复指南》（国务院信息化工作办公室2005年4月）✧GB 17859—1999《计算机信息系统安全保护等级划分准则》✧GB/T 18336 1-3：2001《信息技术安全性评估准则》✧GB/T 5271.8--2001 《信息技术词汇第8部分：安全》✧GB/T 19715.1—2005 《信息技术安全管理指南第1部分：信息技术安全概念和模型》✧GB/T 19716—2005 《信息安全管理实用规则》1.4其它✧《信息安全风险评估方法与应用》（国家863高技术研究发展计划资助项目(2004AA147070)）2、风险评估2.1、风险评估要素关系模型风险评估的出发点是对与风险有关的各因素的确认和分析。
下图中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性，也是风险评估要素的一部分。
风险评估的工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类因素。
如下模型表示了各因素的关系：风险评估要素关系模型图中这些要素之间存在着以下关系：业务战略依赖于资产去完成；资产拥有价值，单位的业务战略越重要，对资产的依赖度越高，资产的价值则就越大；资产的价值越大则风险越大；风险是由威胁发起的，威胁越大则风险越大，并可能演变成安全事件；威胁都要利用脆弱性，脆弱性越大则风险越大；脆弱性使资产暴露，是未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险；资产的重要性和对风险的意识会导出安全需求;安全需求要通过安全措施来得以满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱安全事件的影响；风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险，—部分残余风险来自于安全措施可能不当或无效，在以后需要继续控制这部分风险，另一部分残余风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分风险是可以被接受的；残余风险应受到密切监视，因为它可能会在将来诱发新的安全事件。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
资产名称 安全管理制度 备份制度
责任人 于己 于己
资产描述 机房安全管理制度等 系统备份制度
第2章
人员资产清单见表2-5
表2-5 人员资产清单 资产编号 ASSET_13 ASSET_14 ASSET_15 ASSET_16 ASSET_17 ASSET_18 资产名称 王责 李珊 李存 张晨 陈乙 于己 责任人 王责 李珊 李存 张晨 陈乙 于己 资产描述 系统管理员 安全管理员 网络管理员 普通用户 普通用户 档案和数据管理员，制度实施者
第2章
例如公文流转业务中，一般工作人员起草的公文通过电 子邮件系统发送到领导的电子信箱中，领导通过查看电子信 箱得到文件的初稿。在审批通过后，转发到公文下发人员。 公文下发人员再通过电子邮件系统下发到各个部门各个工作 人员的电子信箱中。
第2章
2.3 资产识别 2.3.1 资产清单 该OA系统资产识别通过分析OA系统的业务流程和功能， 从信息数据的完整性，可用性和机密性（简称CIA）的安全 需求出发，识别CIA三性有影响的信息数据及其承载体和周 边环境。 在本次OA系统风险评估中进行的资产识别，主要分为 硬件资产、文档和数据、人员、管理制度等，其中着重针对 硬件资产进行风险评估，人员主要分析其安全职责，IT网络 服务和软件结合其涉及的硬件资产进行综合评估。下面列出 具体的资产清单。硬件资产见表2-2
4
高
3
中
2 1
低 很低
第2章
根据资产的不同安全属性，及机密性，完整性和可用性 的等级划分原则，采用专家指定的方法对所有资产CIA三性 予以赋值。赋值后的资产清单见表 表2-9 资产CIA三性等级表
第2章
资产编号 ASSET_01 ASSET_02 ASSET_03 ASSET_04 ASSET_05 ASSET_06 ASSET_07 ASSET_08 ASSET_09 ASSET_10 ASSET_11 ASSET_12 ASSET_13 ASSET_13 ASSET_14 ASSET_15 ASSET_16 ASSET_17 ASSET_18 资产名称 OA Server DB Server NetScreen FW_01 Cisco Router_01 Cisco Switch_01 Cisco Switch_02 3Com Switch_01 PC_01 PC_02 人员档案 电子文件数据 安全管理制度 备份制度 王责 李珊 李存 张晨 陈乙 于己 机密性 5 5 5 3 3 3 2 2 2 5 5 1 1 5 5 5 1 1 5 完整性 5 5 5 4 4 4 4 2 2 5 5 4 4 3 3 3 3 3 3 可用性 5 5 5 5 5 5 4 2 2 2 3 4 4 2 2 2 2 2 2
第2章 第2章 某OA系统信息安全风险评估方案 章
2.1 风险评估概述 2.2 OA系统概况 2.3 资产识别 2.4 威胁识别 2.5 脆弱性识别 2.6 风险分析
第2章
2.1.1 背景
某OA系统风险评估的目的是评估办公自动化（OA）系 统的风险状况，提出风险控制建议，同时为下一步要制定的 OA系统安全管理规范以及今后OA系统的安全建设和风险管 理提供依据和建议。 需要指出的是，本评估报告中所指的安全风险是针对现 阶段OA系统的风险状况，反映的是系统当前的安全状态。
第2章
2.1.2 范围 某OA系统风险评估范围包括某OA网络、管理制度、使 用或管理OA系统的相关人员以及由其办公所产生的文档、 数据。 2.1.3 评估方式 信息系统具有一定的生命周期，在其生命周期内完成相 应的使命。采取必要的安全保护方式使系统在其生命周期内 稳定、可靠的运行，是系统各种技术、管理应用的基本原则。
第2章
文档和数据资产见表2-3。
表2-3 文档和数据资产清单 资产编号 ASSET_10 ASSET_11 资产名称 人员档案 电子文件数据 责任人 于己 于己 资产描述 机构人员档案数据 OA系统的电子文件
第2章
制度资产清单见表2-4。
表2-4 制度资产清单
资产编号 ASSET_12 ASSET_13
4 3 2 1
高 中 低 很低
第2章
2. 完整性（Integrity）赋值依据 根据资产完整性属性的不同，将它分为5个不同的等级， 分别对应资产在完整性方面的价值或者在完整性方面受到损 失时对整个评估的影响，如表2-7所示。
第2章
表2-7 完整性赋值依据表 赋值
5
含义
很高
解
释
完整性价值非常关键，未经过授权的修改或破坏会对评估体造成重大的 或特别难以接受的影响，对业务冲击重大，并可能造成严重的业务中断， 损失难以弥补 完整性价值较高，未经过授权的修改或破坏会对评估体造成重大影响， 对业务冲击严重，损失比较难以弥补 完整性价值中等，未经过授权的修改或破坏会对评估体造成影响，对业 务冲击明显，但损失可以弥补 完整性价值较低，未经过授权的修改或破坏会对评估体造成轻微影响， 可以忍受，对业务冲击轻微，损失容易弥补 完整性价值非常低，未经过授权的修改或破坏会对评估体造成影响，可 以忽略，对业务冲击可以忽略
第2章
对重要资产已识别的威胁、脆弱性，判断威胁发生的可 能性和严重性，综合评估重要信息资产的安全风险。 根据重要信息资产威胁风险值的大小，划分安全风险等 级，判断不可接受安全风险的范围、确定风险优先处理等级。 根据不可接受安全风险的范围、重要信息资产安全风险 值和风险优先处理等级，给出风险控制措施。
4 3 2 1
高 中 低 很低
第2章
3. 可用性赋值依据 根据资产可用性属性的不同，将它分为5个不同的等级 （见表2-8），分别对应资产在可用性方面的价值或者在可 用性方面受到损失时的影响。 表2-8 是可用性赋值依据表
第2章
表2-8 可用性赋值依据表 赋值
5
含义
很高
解
释
可用性价值非常关键，合法使用者对信息系统及资源的可用度达到年度 99%以上，一般不容许出现服务中断的情况，否则将对生产经营造成重 大的影响或损失 可用性价值较高，合法使用者对信息系统及资源的可用度达到工作时间 95%以上，一般不容许出现服务中断，否则对生产经营造成一定的影响 或损失 可用性价值中等，合法使用者对信息系统及资源的可用度在工作时间 75%以上，容忍出现偶尔和较短时间的服务中断，且对企业造成的影响 不大 可用性价值较低，合法使用者对信息系统及资源的可用度在正常上班时 间达到35%～75% 可用性价值或潜在影响可以忽略，完整性价值较低，合法使用者对资源 的可用度在正常上班时间低于35%
第2章
2.3.3 资产分级 资产价值应依据资产在机密性、完整性和可用性上的赋值等级，经 过综合评定得出。根据系统业务特点，采取相乘法决定资产的价值。计 算公式如下： V=f(x,y,z) = 其中：V表示资产价值，x表示机密性，y表示完整性，z表示可用性。 根据该计算公式可以计算出资产的价值。例如取资产ASSET_01三性 值代入公式如下： V=f(5,5,5)= 得资产ASS ET_01的资产价值=5。依此类推得到本系统资产的价值 清单如表2-10所示。
表2-10 资产价值表
第2章
资产编号 ASSET_01 ASSET_02 ASSET_03 ASSET_04 ASSET_05 ASSET_06 ASSET_07 ASSET_08 ASSET_09 ASSET_10 ASSET_11 ASSET_12 ASSET_13 ASSET_13 ASSET_14 ASSET_15 ASSET_16 ASSET_17 ASSET_18 资产名称 OA Server DB Server NetScreen FW_01 Cisco Router_01 Cisco Switch_01 Cisco Switch_02 3Com Switch_01 PC_01 PC_02 人员档案 电子文件数据 安全管理制度 备份制度 王责 李珊 李存 张晨 陈乙 于己 机密性 5 5 5 3 3 3 2 2 2 5 5 1 1 5 5 5 1 1 5 完整性 5 5 5 4 4 4 4 2 2 5 5 4 4 3 3 3 3 3 3 可用性 5 5 5 5 5 5 4 2 2 2 3 4 4 2 2 2 2 2 2 资产价值 5 5 5 4.2 4.2 4.2 3.4 2 2 3.2 3.9 2.8 2.8 2.8 2.8 2.8 2.47 2.4 2.8
第2章
表2-1列举了主要边界情况。
表2-1 OA系统网络边界表 网络连接 与下级部门办公 网络连接 与上级部门办公 网络连接 连接方式 千兆以太网 （内部） 专用光纤 主要连接用户 下级部门 上级部门 主要用途 与下级部门 公文流转等 与上级部门 公文流转等
第2章
2.2.4 应用系统和业务流程分析 该OA系统使用电子邮件系统作为信息传递与共享的工 具和手段，满足办公自动化系统最基本的通信需求。电子邮 件系统作为本系统的通信基础设施，为各种业务提供通用的 通信平台。 该OA系统采用以电子邮件作为统一入口的设计思想。 电子邮件信箱作为发文、收文、信息服务、档案管理、会议 管理等业务的统一“门户”。每一个工作人员通过关注自己 的电子邮件信箱就可以了解到需要处理的工作。各个业务系 统通过电子邮件信箱来实现信息的交互和流转。
第2章
2.2.2 网络结构图与拓扑图 该OA系统网络是一个专用网络，与Internet物理隔离。 该网络包含OA服务器组、数据库服务器组、办公人员客户 端、网络连接设备和安全防护设备等。OA系统网络通过一 台高性能路由器连接上级部门网络，通过一台千兆以太网交 换机连接到下级部门网络。其中内部骨干网络采用千兆位以 太网，两台千兆以太网交换机为骨干交换机，网络配备百兆 桌面交换机用来连接用户终端。
第2章
2.3.2 资产赋值 资产赋值对识别的信息资产，按照资产的不同安全属性， 即机密性，完整性和可用性的重要性和保护要求，分别对资 产的CIA三性予以赋值。 三性赋值分为5个等级，分别对应了该项信息资产的机 密性，完整性和可用性的不同程度的影响，赋值依据如下： 1. 机密性（Confidentiality）赋值依据 根据资产机密性属性的不同，将它分为5个不同的等级， 分别对应资产在机密性方面的价值或者机密性方面受到损失 时的影响，如表2-6所示。