【正文】 ． 甲方評估小組組長及主要成員2．乙方項目組組長及主要成員1實施期：現(xiàn)場評估完成時對現(xiàn)場評估進行總結(jié)，及時發(fā)現(xiàn)問題，確定解決方式。(2) 項目檢查——通過其下屬實施小組提供的工程進展匯報，將項目進展?fàn)顟B(tài)與項目計劃進度進行比較，發(fā)現(xiàn)過程誤差，提出調(diào)整措施。216。在本節(jié)中對需要支持和參與風(fēng)險評估過程的關(guān)鍵人員角色進行了描述。216。 信息安全實施人員信息安全實施人員（如網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、和數(shù)據(jù)庫管理員，計算機專業(yè)人員，安全分析員，安全顧問等）負責(zé)其信息系統(tǒng)中安全要求得到正確地實現(xiàn)。因此，跟進評估是保證持續(xù)安全的必要措施。 應(yīng)該為自己推薦的方案提供足夠的證據(jù)，后面可以附上期望的改善；216。他們216。 建立監(jiān)督與跟進機制管理層應(yīng)該建立監(jiān)督與跟進機制以便跟進建議方案。行動的進度與狀態(tài)行動有幾種不同的進度和狀態(tài)：216。 時間與資源有限216。包括216。 清楚每種工作的影響并估計它們對客戶業(yè)務(wù)的影響216。一般維護系統(tǒng)，這是在相同的直接管理控制下的一種相互聯(lián)絡(luò)的信息資源，它們彼此共享一般功能，它一般包括硬件，軟件，信息，數(shù)據(jù)，應(yīng)用程序，通信，設(shè)備和人。主程序可以是一個主要的軟件應(yīng)用程序或在系統(tǒng)唯一的目標(biāo)是維護一個特定任務(wù)功能時指的是軟，硬件的結(jié)合。它明確地分配了安全指責(zé)并設(shè)置了可靠地衡量處理和執(zhí)行情況所必須的基金。敏感信息，是指那些信息的丟失，誤用，未經(jīng)允許的登陸或其不利影響能引起全國關(guān)注的改動或聯(lián)合程序的引導(dǎo)或任何人都有權(quán)保留的秘密。附錄B 調(diào)查問卷調(diào)查問卷類別216。 封閉式的問題附錄C 交付文檔范例《資產(chǎn)評估部分》目錄1. 定義、范圍和標(biāo)準. 資產(chǎn)的定義及分類. 資產(chǎn)的定義. 資產(chǎn)的分類. 資產(chǎn)評估的定義及目的. 資產(chǎn)評估的定義. 資產(chǎn)評估的目的. 資產(chǎn)評估的內(nèi)容. 資產(chǎn)評估的方式和數(shù)據(jù)來源. 資產(chǎn)的等級劃分. 資產(chǎn)評估參照的標(biāo)準和依據(jù)2. 資產(chǎn)歸類及價值分析. 超核心資產(chǎn)列表與價值分析. 核心資產(chǎn)列表與價值分析. 高級資產(chǎn)列表與價值分析. 中級資產(chǎn)列表與價值分析. 一般資產(chǎn)列表與價值分析3. 資產(chǎn)的管理4. 資產(chǎn)的使用和維護. 資產(chǎn)的實際利用情況. 資產(chǎn)的維護5. 資產(chǎn)的保護6. 資產(chǎn)評估總結(jié). 資產(chǎn)保護的層次. 需要保護的重點資產(chǎn)《漏洞評估部分》目錄1. 定義、范圍和標(biāo)準. 定義. 漏洞的定義. 漏洞評估的定義. 漏洞級別的劃分. 漏洞評估的目的. 漏洞評估的內(nèi)容. 技術(shù)漏洞的評估. 非技術(shù)漏洞的評估. 漏洞評估的方式. 調(diào)查與問卷評估. 系統(tǒng)評估. 參考標(biāo)準2. 基于資產(chǎn)的技術(shù)性漏洞列表. 超核心資產(chǎn)存在的漏洞. 核心資產(chǎn)存在的漏洞. 高級資產(chǎn)存在的漏洞. 中級資產(chǎn)存在的漏洞. 一般資產(chǎn)存在的漏洞3. 技術(shù)性漏洞抽樣統(tǒng)計4. 非技術(shù)性漏洞統(tǒng)計分析. 安全策略. 概念和范圍. 存在的不足. 物理和環(huán)境安全. 概念和范圍. 存在的不足. 人事安全. 概念. 內(nèi)部人員威脅概述. 存在的不足. 訪問控制. 概念和范圍. 存在的不足. 組織安全. 概念和范圍. 存在的不足. 運行安全. 概念和范圍. 存在的不足. 開發(fā)與維護. 概念和范圍. 存在的不足. 業(yè)務(wù)連續(xù)性管理. 概念和范圍. 存在的不足. 遵循性. 概念和范圍. 存在的不足5. 綜合分析. 已知漏洞的跟蹤能力. 未知漏洞的防御能力《威脅評估部分》目錄1. 定義、范圍和標(biāo)準. 威脅的定義及屬性. 威脅的定義. 威脅的屬性. 威脅評估的定義及目的. 威脅評估的定義. 威脅評估的目的. 威脅評估的內(nèi)容. 自然威脅. 人為威脅. 威脅后果的分析方法. 從可用性角度分析. 從完整性角度分析. 從保密性角度分析. 從可審計性角度分析. 從保障性角度分析. 威脅評估的方式. 參考標(biāo)準2. 基于資產(chǎn)的威脅分析3. 威脅綜合統(tǒng)計. 威脅列表. 威脅分布. 威脅分析：. 遭受遠程拒絕服務(wù)攻擊威脅. 遭受遠程滲透入侵攻擊的威脅. 遭受蠕蟲攻擊的威脅. 遭受自然不可抗力的威脅. 數(shù)據(jù)安全威脅《風(fēng)險評估部分》目錄1. 定義、范圍和標(biāo)準. 定義. 風(fēng)險的定義. 風(fēng)險評估的定義. 風(fēng)險評估的目的. 風(fēng)險評估的內(nèi)容. 風(fēng)險的分級說明. 風(fēng)險計算方法. 風(fēng)險計算模型. 輸入要素描述. 輸出要素描述. 參考標(biāo)準2. 抽樣風(fēng)險評估3. 節(jié)點風(fēng)險評估. 遭受遠程拒絕服務(wù)攻擊的風(fēng)險. 遭受遠程滲透入侵攻擊的風(fēng)險. 遭受蠕蟲攻擊的風(fēng)險. 遭受自然不可抗力的風(fēng)險. 數(shù)據(jù)風(fēng)險4. 業(yè)務(wù)風(fēng)險分析. 專線接入服務(wù). 虛擬主機. 撥號接入服務(wù). 認證服務(wù). 其他應(yīng)用5. 總結(jié)《安全策略建議部分》目錄1. 定義、范圍和標(biāo)準. 定義. 目的. 內(nèi)容. 標(biāo)準. 依據(jù)2. 整體策略. 與人相關(guān)的安全策略. 與“技術(shù)”相關(guān)的安全策略. 與“行動”相關(guān)的策略3. 防護策略. 管理對策. 技術(shù)對策. 物理安全策略. 訪問控制策略. 路由交換設(shè)備安全策略. 業(yè)務(wù)系統(tǒng)安全策略. 網(wǎng)管系統(tǒng)安全策略. 應(yīng)用系統(tǒng)安全策略. 操作系統(tǒng)安全策略. 數(shù)據(jù)庫系統(tǒng)安全策略. 數(shù)據(jù)存儲與傳輸安全策略. 安全設(shè)備策略4. 監(jiān)控策略. 目的. 現(xiàn)狀. 建議5. 響應(yīng)策略. 目的. 現(xiàn)狀. 建議《安全解決方案部分》目錄1 前言 背景 目的 內(nèi)容 標(biāo)準 依據(jù)2 安全管理 培訓(xùn) 意識培養(yǎng) 組織 制度流程3 邊界保護 路由交換設(shè)備安全配置 目的 現(xiàn)狀和原因 配置建議 防火墻系統(tǒng)安全配置 目的 現(xiàn)狀和原因 配置建議4 平臺保護 操作系統(tǒng) 目的和內(nèi)容 Windows 2000系統(tǒng)安全配置 Windows NT SOLARIS系統(tǒng)安全配置 Linux系統(tǒng)安全配置 IRIX系統(tǒng)安全配置 數(shù)據(jù)庫系統(tǒng)安全加固 MS SQL Server數(shù)據(jù)庫系統(tǒng)的安全加固 Oracle數(shù)據(jù)庫系統(tǒng)的安全加固5 基礎(chǔ)設(shè)施 檢測與監(jiān)控 措施 效果 響應(yīng)與恢復(fù) 措施 效果6 附錄附錄D 資產(chǎn)分類清單1 物理資產(chǎn) 臺式電腦 筆記本電腦 服務(wù)器 路由器 交換機 集線器 線纜 存儲設(shè)備 移動存儲介質(zhì) 防火墻 入侵檢測設(shè)備 打印機等外設(shè) 加密設(shè)備 調(diào)制解調(diào)器 網(wǎng)橋 無線通訊設(shè)備2 電子信息資產(chǎn) XXXX數(shù)據(jù)文件 XXXX數(shù)據(jù)文件 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)開發(fā)文檔 XXXX系統(tǒng)開發(fā)文檔 電子郵件 重要辦公文檔（DOC/PPT/XLS等） 網(wǎng)頁3 軟件資產(chǎn) CTAIS系統(tǒng)軟件 XXX系統(tǒng)軟件 操作系統(tǒng) 中間件及支撐系統(tǒng) 數(shù)據(jù)庫 軟件開發(fā)工具 辦公軟件 防病毒軟件 入侵檢測軟件 隱患掃描軟件 其他應(yīng)用軟件4 人員 用戶 系統(tǒng)管理員 程序員 技術(shù)支持 安全管理人員5 服務(wù) 供電 網(wǎng)絡(luò)服務(wù) 消防 空調(diào) 防塵 防盜附錄E 資產(chǎn)脆弱性清單1 物理資產(chǎn) 易發(fā)生故障 易受環(huán)境影響 易被誤操作 缺乏維修、維護 缺少備件或備機 易被未授權(quán)訪問 電磁信息泄漏 無責(zé)任人 無操作指南或操作程序 易攜帶 易損壞2 電子信息資產(chǎn) 易瀏覽 易復(fù)制 易刪除 易變更 易存儲 易交換 易感染病毒3 軟件資產(chǎn) 軟件漏洞 易感染病毒 易被未授權(quán)訪問 易刪除 易修改 易盜用4 人員 缺乏信息安全專業(yè)人員 缺乏崗位安全意識 缺乏信息安全相關(guān)培訓(xùn) 易疏忽大意 易受情緒影響5 服務(wù) 供電系統(tǒng)易發(fā)生故障 防火系統(tǒng)易發(fā)生故障 通信服務(wù)系統(tǒng)易發(fā)生故障 防盜設(shè)施缺乏 空調(diào)系統(tǒng)易發(fā)生故障附錄F 資產(chǎn)威脅清單1 自然災(zāi)害及戰(zhàn)爭等 火災(zāi) 水災(zāi) 地震 臺風(fēng) 雷擊 戰(zhàn)爭 恐怖襲擊2 供電、空調(diào)、消防、通信、防盜等服務(wù)中斷或失效 電力故障導(dǎo)致意外停電 電壓不穩(wěn)燒毀設(shè)備 機房空調(diào)故障導(dǎo)致溫度過高 機房空調(diào)故障導(dǎo)致濕度過高 防塵處理不足 消防設(shè)備不足或故障導(dǎo)致火災(zāi)隱患 通信服務(wù)中斷（電信運營商責(zé)任） 偷竊 丟失 靜電3 設(shè)施和設(shè)備的硬件故障、老化和軟件故障 硬件故障 缺乏維修、維護 缺少備件或備機 意外宕機、死機 軟件故障 過載 線纜老化4 惡意的入侵和攻擊 黑客 內(nèi)部人員破壞 線路監(jiān)聽 線纜被破壞5 信息安全專業(yè)人員不足及人員誤操作 信息安全專業(yè)人員缺乏 崗位安全意識缺乏 沒有文件化的操作程序 人員誤操作 防火墻規(guī)則配置失當(dāng) 路由器配置失當(dāng) 交換機配置失當(dāng) 服務(wù)器配置失當(dāng) 軟件配置失當(dāng) 缺乏系統(tǒng)審計 信息處理設(shè)備的不安全報廢 信息存儲介質(zhì)的不安全報廢 缺乏信息安全相關(guān)培訓(xùn)6 未授權(quán)訪問 未授權(quán)瀏覽破壞保密性 未授權(quán)修改破壞完整性或可用性 未授權(quán)刪除 未授權(quán)復(fù)制 電磁信息監(jiān)聽 假冒合法用戶 越權(quán)訪問 離開時桌面和屏幕沒有清空7 病毒和惡意程序 計算機病毒 特洛伊木馬 網(wǎng)絡(luò)監(jiān)聽程序8 違反國家安全法律法規(guī)方面的威脅 使用非法加密設(shè)備 使用非法密碼算法 內(nèi)網(wǎng)設(shè)備撥號或用其他方式聯(lián)入公網(wǎng) 沒有采取物理隔離 違反涉密信息系統(tǒng)集成資質(zhì)規(guī)定 違反信息安全產(chǎn)品銷售許可證制度 盜版軟件使用9 其他威脅。威脅，是一種事件或行為，它會有意或無意的給信息系統(tǒng)或運行帶來潛在的損害。該規(guī)則清楚地描繪了經(jīng)系統(tǒng)允許登錄的所有個人的責(zé)任和被允許的行為。網(wǎng)絡(luò)實例包括局域網(wǎng)和廣域網(wǎng)，也包括公共互聯(lián)網(wǎng)，例如，國際互聯(lián)網(wǎng)。主程序，主程序是一個要求特別維護的應(yīng)用程序，這是由于存在丟失，誤用或未經(jīng)允許的登陸或應(yīng)用程序的改動引起的冒險和損失。資源，資源是一種主程序，一般維護系統(tǒng)，高沖擊程序，物理設(shè)備，應(yīng)急任務(wù)系統(tǒng)或一組邏輯上相聯(lián)系的系統(tǒng)。 安全評估人員的職責(zé)在實施安全評估或?qū)徲嫊r，安全評估人員應(yīng)該：216。 積極合作，思想開放216。[6]. 評價正確的行動的效果[7]. 向管理層報告完成情況、狀態(tài)與進度[8]. 一有機會就加強管理，尤其是關(guān)鍵建議的實施不夠或延期時。 所有的建議方案應(yīng)該根據(jù)計劃來跟進。 應(yīng)該提高人員的安全意識并加強培訓(xùn)。 應(yīng)該給他們足夠的時間和資源來執(zhí)行增強措施216。安全評估人員，工作人員與管理層對建議有不同的期望、側(cè)重點與優(yōu)先級。 跟進的重要性安全是一個循環(huán)迭代的過程。因此，他們會主導(dǎo)引入一個適當(dāng)?shù)?、結(jié)構(gòu)化的方法來幫助對稅務(wù)系統(tǒng)所面臨的風(fēng)險進行識別、評價、并將它們最小化。 信息中心主管領(lǐng)導(dǎo)信息中心主管領(lǐng)導(dǎo)負責(zé)稅務(wù)系統(tǒng)的IT計劃、預(yù)算以及性能，其中也包括信息安全部分。 安全培訓(xùn)小組負責(zé)對被評估方進行實施前后的相關(guān)知識與配合要求培訓(xùn)。216。 風(fēng)險評估項目經(jīng)理風(fēng)險評估項目實施隊伍自組建之日起，承擔(dān)雙方以合同或其它形式明確的各項任務(wù)。次數(shù)所處階段主要內(nèi)容參加人員1準備期1． 項目組成立2． 確定雙方項目組成員3． 確定整體實施計劃4． 確定下一階段的詳細實施計劃1． 甲方評估小組全體人員2． 乙方項目組全體成員3． 雙方的有關(guān)領(lǐng)導(dǎo)1準備期對準備期所做的工作進行溝通，及時發(fā)現(xiàn)問題，確定解決方式。 驗收（日期與方式） 監(jiān)控與執(zhí)行項目管理方法在項目的實施過程中，根據(jù)項目的具體要求，整個項目的管理參考美國項目管理協(xié)會PMI提出的項目管理方法學(xué)，以及一些安全專業(yè)領(lǐng)域的專家、顧問對項目的實施進行規(guī)范管理實施。在執(zhí)行過程中，為了確保風(fēng)險評估的有效性，還需要監(jiān)控計劃的執(zhí)行情況。例如，如果以相對較低的花費可以大大減小風(fēng)險的程度，則應(yīng)選擇實施這樣的控制方式。[4]. 回避風(fēng)險：在某些情況下，可以決定不繼續(xù)進行可能產(chǎn)生風(fēng)險的活動來回避風(fēng)險。撰寫評估報告需要在這種定量分析的基礎(chǔ)上找出風(fēng)險的屬性之間的關(guān)系，陳述綜合分析結(jié)果。人員：風(fēng)險評估小組以及稅務(wù)系統(tǒng)信息中心和業(yè)務(wù)部門技術(shù)人員。 評估過程評估過程分為3個階段共8個過程。 文檔一覽216。2）漏洞評估，至少包括以下方面的漏洞分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管系統(tǒng)、主機系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。 物理與環(huán)境的安全216。 業(yè)務(wù)風(fēng)險評估216。風(fēng)險模型如下： 風(fēng)險分析矩陣可以根據(jù)風(fēng)險信息和數(shù)據(jù)，對風(fēng)險分析予以不同程度的改進。 綜合風(fēng)險分析從風(fēng)險的定義可以看出，風(fēng)險評估的策略是首先選定某項資產(chǎn)、評估資產(chǎn)價值、挖掘并評估資產(chǎn)面臨的威脅、挖掘并評估資產(chǎn)存在的弱點、評估該資產(chǎn)的風(fēng)險、進而得出整個評估目標(biāo)的風(fēng)險。文件敏感性程度的建立前提是支持高風(fēng)險操作系統(tǒng)要比支持低風(fēng)險操作系統(tǒng)有更多的嚴格控制。名字，題目和從事評估的機構(gòu)也要被列出來，機構(gòu)應(yīng)該重新制定相應(yīng)的替代頁。為每一個系統(tǒng)安排唯一的標(biāo)志符確立與系統(tǒng)相適應(yīng)的安全需要，還有助于分配的資源能夠被充分的利用。 不同敏感程度的數(shù)據(jù)是否