業(yè)務(wù)系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估方案

1、業(yè)務(wù)系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估案第3章業(yè)務(wù)系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估案風(fēng)險(xiǎn)評(píng)估概述背景該業(yè)務(wù)系統(tǒng)風(fēng)險(xiǎn)評(píng)估的標(biāo)是評(píng)估業(yè)務(wù)系統(tǒng)的風(fēng)險(xiǎn)狀況，提出風(fēng)險(xiǎn)控制建議，同時(shí)為下步要制定的業(yè)務(wù)系統(tǒng)安全管理規(guī)范以 及今后業(yè)務(wù)系統(tǒng)的安全建設(shè)和風(fēng)險(xiǎn)管理提供依據(jù)和建議。需要指出的是，本評(píng)估報(bào)告中所指的安全風(fēng)險(xiǎn)針對(duì)的是現(xiàn)階段該業(yè)務(wù)系統(tǒng)的風(fēng)險(xiǎn)狀況，反映的是系統(tǒng)當(dāng)前的安全狀態(tài)。范圍該業(yè)務(wù)系統(tǒng)風(fēng)險(xiǎn)評(píng)估范圍包括業(yè)務(wù)系統(tǒng)絡(luò)、管理制度、使或管理業(yè)務(wù)系統(tǒng)的相關(guān)員以及由業(yè)務(wù)系統(tǒng)使時(shí)所產(chǎn)的 檔、數(shù)據(jù)。評(píng)估式信息系統(tǒng)具有定的命周期，在其命中期內(nèi)完成相應(yīng)的使命。采取必要的安全保護(hù)式使系統(tǒng)在其命周期內(nèi)穩(wěn)定、可靠 地運(yùn)是系統(tǒng)各種技術(shù)、管理應(yīng)的基本原則。本項(xiàng)的

2、評(píng)估主要根據(jù)國(guó)際標(biāo)準(zhǔn)、國(guó)家標(biāo)準(zhǔn)和地標(biāo)準(zhǔn)，從識(shí)別信息系統(tǒng)的資產(chǎn)，確定重要資產(chǎn)，針對(duì)重要資產(chǎn)分析其 臨的安全威脅并識(shí)別其存在的脆弱性，最后綜合評(píng)估系統(tǒng)的安全風(fēng)險(xiǎn)。資產(chǎn)劃分是風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)，在所有識(shí)別的系統(tǒng)資產(chǎn)中，依據(jù)資產(chǎn)在機(jī)密性、完整性和可性安全屬性的價(jià)值不同，綜合判定 資產(chǎn)重要性程度并將其劃分為核、關(guān)鍵、中等、次要和很低5個(gè)等級(jí)。對(duì)于列為重要及以上等級(jí)的資產(chǎn)，分析其臨的安全威脅。脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)層，采取訪談?，F(xiàn)場(chǎng)核查。掃描檢測(cè)。滲透性測(cè)試等式，找出系統(tǒng)所存在的脆弱性 和安全隱患。對(duì)重要資產(chǎn)已識(shí)別的威脅、脆弱性，根據(jù)其可能性和嚴(yán)重性，綜合評(píng)估其安全風(fēng)險(xiǎn)。該業(yè)務(wù)系統(tǒng)概況該業(yè)務(wù)系統(tǒng)背景近

3、年來(lái)，由于數(shù)據(jù)量迅速增加，業(yè)務(wù)量也迅速增長(zhǎng)，原先的硬件系統(tǒng)、應(yīng)系統(tǒng)和模式已漸漸不適應(yīng)業(yè)務(wù)的需求，提升管理系 統(tǒng)已經(jīng)成為刻不容緩的事情。經(jīng)過(guò)仔細(xì)論證之后，信息決策部門在管理系統(tǒng)升級(jí)上達(dá)成如下共識(shí)：更換新的硬件設(shè)備，使更先進(jìn)和更強(qiáng)的主機(jī)；在模式 上為統(tǒng)的集中式系統(tǒng)；在系統(tǒng)上運(yùn)和維護(hù)效率較的單庫(kù)結(jié)構(gòu)替換原有多庫(kù)系統(tǒng)；在技術(shù)上準(zhǔn)備使基于架構(gòu)的J2中 間件技術(shù)，并且實(shí)施999.999%的可靠性運(yùn)式；在業(yè)務(wù)上新型作流作為驅(qū)動(dòng)新代業(yè)務(wù)系統(tǒng)的引擎，真正達(dá)到通過(guò)以客戶為中來(lái)提升利潤(rùn)及通過(guò)效智能的作流來(lái)提每個(gè)員的勞動(dòng)產(chǎn)率，從降低成本、提核競(jìng)爭(zhēng)以應(yīng)對(duì)外部 的競(jìng)爭(zhēng)。絡(luò)結(jié)構(gòu)與拓?fù)鋱D該系統(tǒng)的絡(luò)包含應(yīng)服務(wù)器組、數(shù)據(jù)庫(kù)服務(wù)器

4、組、業(yè)務(wù)管理端、絡(luò)連接設(shè)備和安全防護(hù)設(shè)備。業(yè)務(wù)系統(tǒng)絡(luò)通過(guò)臺(tái)性 能路由器連接分部絡(luò)，通過(guò)臺(tái)千兆以太交換機(jī)連接到其他業(yè)務(wù)系統(tǒng)。其中業(yè)務(wù)系統(tǒng)絡(luò)內(nèi)部絡(luò)采千兆位以太，兩臺(tái)千兆以太交換機(jī)位交換機(jī)。絡(luò)配備百兆桌交換機(jī)來(lái)連接絡(luò)管理維護(hù)客戶機(jī)。具體的絡(luò)拓?fù)鋱D如圖3-1所。業(yè)務(wù)系統(tǒng)邊界具體的系統(tǒng)邊界圖如圖3-2所。應(yīng)系統(tǒng)和業(yè)務(wù)流程分析業(yè)務(wù)系統(tǒng)組織結(jié)構(gòu)劃分為總部和分部?jī)蓚€(gè)層次，業(yè)務(wù)系統(tǒng)所涉及的絕多數(shù)業(yè)務(wù)流程都需要經(jīng)過(guò)多級(jí)業(yè)務(wù)管理部門進(jìn)處理， 業(yè)務(wù)流程復(fù)雜且流程跨度較。其次，業(yè)務(wù)系統(tǒng)處理流程分繁雜。在對(duì)客戶申請(qǐng)審批處理過(guò)程中，必然會(huì)出現(xiàn)反復(fù)的提交、上報(bào)、退回等操作，并且可以將任務(wù)退回到指定的崗位上，然后再次上報(bào)提交。

5、在同個(gè)審批過(guò)程中，根據(jù)客戶的不同級(jí)別，可能需要提交到上級(jí)授信管理部 門，也可能提交到上級(jí)的風(fēng)險(xiǎn)管理部門。資產(chǎn)識(shí)別資產(chǎn)清單資產(chǎn)識(shí)別通過(guò)分析信息系統(tǒng)的業(yè)務(wù)流程和功能，從業(yè)務(wù)數(shù)據(jù)的完整性、可性和機(jī)密性的保護(hù)要求出發(fā)，識(shí)別出對(duì)三性有定 影響的信息流及其承載體或周邊設(shè)備。在本次業(yè)務(wù)系統(tǒng)評(píng)估中進(jìn)的資產(chǎn)分類，主要分為絡(luò)設(shè)備、主機(jī)系統(tǒng)、服務(wù)器系統(tǒng)、數(shù)據(jù)和檔資產(chǎn)5個(gè)。絡(luò)設(shè)備資產(chǎn)絡(luò)設(shè)備重要資產(chǎn)如表3-1所。 表3-1 絡(luò)設(shè)備重要資產(chǎn)表主機(jī)系統(tǒng)資產(chǎn)主機(jī)系統(tǒng)重要資產(chǎn)如表3-2所。 表3-2 主機(jī)重要資產(chǎn)表服務(wù)器資產(chǎn)服務(wù)器重要資產(chǎn)如表3-3所。表3-3 服務(wù)器重要資產(chǎn)表數(shù)據(jù)和檔資產(chǎn)數(shù)據(jù)和檔重要資產(chǎn)如表3-4所。 表3-

6、4數(shù)據(jù)和檔資產(chǎn)重要資產(chǎn)表資產(chǎn)賦值資產(chǎn)賦值對(duì)識(shí)別的信息資產(chǎn)，按照資產(chǎn)的不同安全屬性，即機(jī)密性、完整性和可性的重要性和保護(hù)要求，分別對(duì)資產(chǎn)的三性 予以賦值。三性賦值分為5個(gè)等級(jí)，分別對(duì)應(yīng)了改項(xiàng)信息資產(chǎn)的機(jī)密性、完整性和可性的不同程度的影響，下是賦值依據(jù)。1.機(jī)密性（）賦值依據(jù)根據(jù)資產(chǎn)機(jī)密性屬性的不同，將它分為5個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在機(jī)密性的價(jià)值或者在機(jī)密性受到損失時(shí)對(duì)整 個(gè)評(píng)估的影響。機(jī)密性賦值依據(jù)如表2-6所。2. 完整性（）賦值依據(jù)根據(jù)資產(chǎn)完整性屬性的不同，將它分為5個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在完整性的價(jià)值或者在完整性受到損失時(shí)對(duì)整 個(gè)評(píng)估的影響。完整性賦值依據(jù)如表2-7所。3.可性（）

7、賦值依據(jù)根據(jù)資產(chǎn)可性屬性的不同，將它分為5個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在可性的價(jià)值或者在可性受到損失時(shí)對(duì)整 個(gè)評(píng)估的影響?？尚再x值依據(jù)如表2-8所。根據(jù)資產(chǎn)的不同安全屬性，即機(jī)密性、完整性和可性的等級(jí)劃分原則，采專家指定的法對(duì)所有資產(chǎn)的三性予以賦值。賦 值后的資產(chǎn)清單如表3-5所。表3-5 資產(chǎn)三性等級(jí)表資產(chǎn)分級(jí)資產(chǎn)價(jià)值應(yīng)依據(jù)資產(chǎn)在機(jī)密性、完整性和可性上的賦值等級(jí)，經(jīng)過(guò)綜合評(píng)定得出。根據(jù)本系統(tǒng)的業(yè)務(wù)特點(diǎn)，采取相乘法決定 資產(chǎn)的價(jià)值。計(jì)算公式如下：=),v?,(y f x z x y z其中：v表資產(chǎn)價(jià)值，x表機(jī)密性，y表完整性，z表可性。資產(chǎn)的三性如表3-9所，根據(jù)式（3.1）可以計(jì)算出資產(chǎn)的價(jià)

8、值。例如取資產(chǎn)01三性值代式（3.1），得=f v 333)3,3,3(?得資產(chǎn)01的資產(chǎn)價(jià)值=3。依次類推得到本系統(tǒng)資產(chǎn)的價(jià)值清單如表3-6所。 表3-6 資產(chǎn)價(jià)值表為與上述安全屬性的賦值相對(duì)應(yīng)，根據(jù)最終賦值將資產(chǎn)劃分為5級(jí)，級(jí)別越表資產(chǎn)越重要。不同等級(jí)的資產(chǎn)重要性程度判 斷準(zhǔn)則如表2-11所。表2-11 資產(chǎn)重要性程度判斷準(zhǔn)則根據(jù)資產(chǎn)重要性程度判斷準(zhǔn)則，可以得到資產(chǎn)的等級(jí)。本系統(tǒng)的資產(chǎn)等級(jí)如表3-7所。 表3-7 資產(chǎn)價(jià)值表威脅識(shí)別威脅概述安全威脅是種對(duì)系統(tǒng)及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者事件。論對(duì)于多么安全的信息系統(tǒng)，安全威脅是個(gè)客觀存 在的事物，它是風(fēng)險(xiǎn)評(píng)估的重要因素之。產(chǎn)安全威脅

9、的主要因素可以分為為因素和環(huán)境因素。為因素可區(qū)分為有意和意兩種，環(huán)境因素包括然界的不可抗 的因素和其他物理因素。威脅作形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，例如授權(quán)的泄露、篡改、刪除等，在機(jī)密性、 完整性和可性等造成損害，也可能是偶發(fā)的或蓄意的事件。般來(lái)說(shuō)，威脅總是要利絡(luò)、系統(tǒng)、應(yīng)或數(shù)據(jù)的弱點(diǎn) 可能成功地對(duì)造成造成傷害。安全事件及其后果是分析威脅的重要依據(jù)。根據(jù)威脅出現(xiàn)頻率的不同，將它分為5個(gè)不同的等級(jí)。以此屬性來(lái)衡量威脅，具體的判斷準(zhǔn)則如表2-13所。 表2-13 威脅出現(xiàn)頻率判斷準(zhǔn)則業(yè)務(wù)系統(tǒng)威脅識(shí)別對(duì)業(yè)務(wù)系統(tǒng)的威脅分析先對(duì)于重要資產(chǎn)進(jìn)威脅識(shí)別，分析其威脅來(lái)源和種類。在本次評(píng)估中，主要采了問(wèn)

10、卷法和技術(shù)檢 測(cè)來(lái)獲得威脅的信息。問(wèn)卷法主要收集些管理的威脅，技術(shù)檢測(cè)主要通過(guò)分析的志信息來(lái)獲取系統(tǒng)臨的威脅。表3- 8為本次評(píng)估分析得到的威脅來(lái)源、威脅種類以及威脅發(fā)的頻率。表3-8 國(guó)際業(yè)務(wù)系統(tǒng)潛在的安全威脅來(lái)源列表表3-9 業(yè)務(wù)系統(tǒng)臨的安全威脅種類脆弱性識(shí)別脆弱性識(shí)別主要從技術(shù)和剛來(lái)兩個(gè)進(jìn)評(píng)估，詳細(xì)的評(píng)估結(jié)果如下所述。采具掃描、配置核查、策略檔分析、安全 審計(jì)、絡(luò)架構(gòu)分析業(yè)務(wù)、業(yè)務(wù)流程分析、應(yīng)軟件分析等法。根據(jù)脆弱性嚴(yán)重程度的不同，將它分為5個(gè)不同的等級(jí)。具體的判斷準(zhǔn)則如表2-16所。 表2-16 脆弱性嚴(yán)重程度分為級(jí)表技術(shù)脆弱性評(píng)估技術(shù)脆弱性識(shí)別主要從現(xiàn)有安全技術(shù)措施的合理性和有效性來(lái)

11、劃分。評(píng)估的詳細(xì)結(jié)果如表3-10所。 表3-10 技術(shù)脆弱性評(píng)估結(jié)果管理脆弱性評(píng)估本部分主要描述該業(yè)務(wù)系統(tǒng)前的信息安全管理上存在的安全弱點(diǎn)現(xiàn)狀以及風(fēng)險(xiǎn)現(xiàn)狀，并標(biāo)識(shí)其嚴(yán)重程度。評(píng)估的詳細(xì)結(jié)果如 表3-11所。表3-11 管理脆弱性評(píng)估結(jié)果風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)計(jì)算法在完成了資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別，將采適當(dāng)?shù)姆ㄅc具確定威脅利脆弱性導(dǎo)致安全事件的可能性。綜合安全事件所作的資產(chǎn)價(jià)值及脆弱性的嚴(yán)重程度，判斷安全事件造成的損失對(duì)組織的影響，即安全風(fēng)險(xiǎn)。以下的范式形式化加以 說(shuō)明：)V ,F(I V ),R(L(T,V )T,R(A,a a =風(fēng)險(xiǎn)值其中：R 表安全風(fēng)險(xiǎn)計(jì)算函數(shù)，A 表資產(chǎn)，T 表威脅出現(xiàn)頻率

12、，V 表脆弱性，表安全事件所作的資產(chǎn)價(jià)值，表脆弱性嚴(yán)重程度，L 表威脅利資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)的可能性，F(xiàn) 表安全事件發(fā)后產(chǎn)的損失。風(fēng)險(xiǎn)計(jì)算的過(guò)程中有三個(gè)關(guān)鍵計(jì)算環(huán)節(jié)：計(jì)算安全發(fā)的可能性根據(jù)威脅出現(xiàn)頻率及脆弱性的狀況，計(jì)算威脅利脆弱性導(dǎo)致安全事件發(fā)的可能性，即： 安全事件發(fā)的可能性（威脅出現(xiàn)頻率，脆弱性）（T ，V ）在計(jì)算安全事件發(fā)的可能性時(shí)，本系統(tǒng)采矩陣進(jìn)計(jì)算。維矩陣見(jiàn)表2-19。 表2-19 安全事件可能性計(jì)算維矩陣表如資產(chǎn)01的漏洞利威脅發(fā)頻率為5，資產(chǎn)01些中的默認(rèn)配置未關(guān)閉脆弱性嚴(yán)重等級(jí)為4，根據(jù)威脅出現(xiàn)頻率值和脆弱性 嚴(yán)重程度值在矩陣中進(jìn)對(duì)照則：安全事件發(fā)的可能性（威脅出現(xiàn)頻

13、率，脆弱性）（5,4）=22根據(jù)計(jì)算得到安全事件發(fā)可能性值的不同，將它分為5個(gè)不同的等級(jí)，分別對(duì)應(yīng)安全事件發(fā)可能性的程度。劃分的原則見(jiàn) 表2-20。表2-20 安全事件發(fā)可能等級(jí)判斷準(zhǔn)則根據(jù)安全事件發(fā)可能程度判斷準(zhǔn)則，則發(fā)可能性等級(jí)為5。計(jì)算安全事件發(fā)后的損失根據(jù)資產(chǎn)價(jià)值及脆弱性嚴(yán)重程度，計(jì)算安全事件旦發(fā)后的損失，即： 安全事件的損失（資產(chǎn)價(jià)值，脆弱性嚴(yán)重程度）（，）在計(jì)算安全事件的損失時(shí)，本系統(tǒng)采矩陣法進(jìn)計(jì)算。該維矩陣見(jiàn)表2-21。 表2-21 安全事件損失計(jì)算維矩陣表如資產(chǎn)01的資產(chǎn)價(jià)值等級(jí)為3，資產(chǎn)01些中的默認(rèn)配置未關(guān)閉脆弱性嚴(yán)重等級(jí)為4，根據(jù)資產(chǎn)價(jià)值等級(jí)和脆弱性嚴(yán)重程度值 在矩陣中進(jìn)對(duì)照，則：安全事件的損失（資產(chǎn)價(jià)值，脆弱性嚴(yán)重程度）（3,4）=15根據(jù)計(jì)算得到安全事件的損失的不同，將它分為5個(gè)不同的等級(jí)，分別對(duì)應(yīng)安全事件的損失程度。劃分的原則見(jiàn)表2-22。 表2-22 安全事件等級(jí)判斷準(zhǔn)則根據(jù)安全事件損失程度判斷準(zhǔn)則判斷，則安全事件損失等級(jí)為3。計(jì)算風(fēng)險(xiǎn)值根據(jù)計(jì)算出的安全事件發(fā)的可能性以及安全事件的損失，計(jì)算風(fēng)險(xiǎn)值，即： 風(fēng)險(xiǎn)值（安全事件發(fā)的可能性，安全事件的損失）（L（T，V），F(xiàn)（，）在計(jì)算風(fēng)險(xiǎn)值時(shí)，本系統(tǒng)采矩陣法進(jìn)計(jì)