【文章內(nèi)容簡(jiǎn)介】 風(fēng) 險(xiǎn) 評(píng) 估 文 件 記 錄風(fēng)險(xiǎn)評(píng)估實(shí)施流程圖 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)； 2）確定風(fēng)險(xiǎn)評(píng)估的范圍； 3）組建適當(dāng)?shù)脑u(píng)估管理與實(shí)施團(tuán)隊(duì)； 4）進(jìn)行系統(tǒng)調(diào)研； 5）確定評(píng)估依據(jù)和方法 ； 6）獲得最高管理者對(duì)風(fēng)險(xiǎn)評(píng)估工作的支持。 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備階段的工作任務(wù) 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）資產(chǎn)分類(lèi) 2）資產(chǎn)賦值 3）資產(chǎn)等級(jí) 資產(chǎn)識(shí)別階段的工作任務(wù) 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 分類(lèi) 示例 數(shù)據(jù) 存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫(kù)數(shù)據(jù)、系統(tǒng)文檔、運(yùn)行管 理規(guī)程、計(jì)劃、報(bào)告、用戶(hù)手冊(cè)等 軟件 系統(tǒng)軟件： 操作系統(tǒng)、語(yǔ)句包、工具軟件、各種庫(kù)等 應(yīng)用軟件： 外部購(gòu)買(mǎi)的應(yīng)用軟件，外包開(kāi)發(fā)的應(yīng)用軟件等 源程序： 各種共享源代碼、可執(zhí)行程序、自行或合作開(kāi)發(fā)的各種程序等 硬件 網(wǎng)絡(luò)設(shè)備： 路由器、網(wǎng)關(guān)、交換機(jī)等 計(jì)算機(jī)設(shè)備： 大型機(jī)、小型機(jī)、服務(wù)器、工作站、臺(tái)式計(jì)算機(jī)、移動(dòng)計(jì)算機(jī)等 存儲(chǔ)設(shè)備： 磁帶機(jī)、磁盤(pán)陣列等 移動(dòng)存儲(chǔ)設(shè)備：磁帶、光盤(pán)、軟盤(pán)、 U盤(pán)、移動(dòng)硬盤(pán)等 傳輸線路： 光纖、雙絞線等 保障設(shè)備： 動(dòng)力保障設(shè)備（ UPS、變電設(shè)備等）、空調(diào)、 保險(xiǎn)柜、文件柜、 門(mén)禁、消防設(shè)施等 安全設(shè)備：防火墻、入侵檢測(cè)系統(tǒng)、身份驗(yàn)證等 其他電子設(shè)備：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等 服務(wù) 辦公服務(wù)： 為提高效率而開(kāi)發(fā)的管理信息系統(tǒng)（ MIS）， 它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù) 網(wǎng)絡(luò)服務(wù)： 各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù) 信息服務(wù)： 對(duì)外依賴(lài)該系統(tǒng)開(kāi)展服務(wù)而取得業(yè)務(wù)收入的服務(wù) 文檔 紙質(zhì)的各種文件、傳真、電報(bào)、財(cái)務(wù)報(bào)告、發(fā)展計(jì)劃等 人員 掌握重要信息和核心業(yè)務(wù)的人員，如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)用項(xiàng)目經(jīng) 理及網(wǎng)絡(luò)研發(fā)人員等 其它 企業(yè)形象，客戶(hù)關(guān)系等 資產(chǎn)分類(lèi)示例 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 資產(chǎn)賦值主要考慮資產(chǎn)的安全狀況對(duì)于系統(tǒng)或組織的重要性，對(duì)資產(chǎn)在機(jī)密性、完整性和可用性上的達(dá)成程度進(jìn)行綜合評(píng)定得出。綜合評(píng)定方法可以根據(jù)業(yè)務(wù)特點(diǎn)，選擇對(duì)資產(chǎn)三性最為重要的一個(gè)屬性的賦值等級(jí)作為資產(chǎn)的最終賦值結(jié)果，也可以進(jìn)行加權(quán)計(jì)算而得到資產(chǎn)的最終賦值。 如何進(jìn)行資產(chǎn)賦值 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 如何進(jìn)行資產(chǎn)等級(jí) 等級(jí) 標(biāo)識(shí) 定義 5 很高 非常重要，其安全屬性被破壞后可能對(duì)組織造成非常嚴(yán)重的損失 4 高 重要，其安全屬性被破壞后可能對(duì)組織造成比較嚴(yán)重的損失 3 中等 比較重要，其安全屬性被破壞后可能對(duì)組織造成中等程度的損失 2 低 不太重要，其安全屬性被破壞后可能對(duì)組織造成較低的損失 1 很低 不重要，其安全屬性被破壞后對(duì)組織造成非常低的損失，甚至忽略不計(jì) 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）威脅來(lái)源 2）威脅分類(lèi) 3）威脅賦值 4）威脅等級(jí) 威脅識(shí)別階段的工作任務(wù) 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 來(lái)源 描述 環(huán)境因素 由于斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲(chóng)害、電磁干擾、洪災(zāi)、火災(zāi)、地震等環(huán)境條件和自然災(zāi)害；意外事故或由于軟件、硬件、數(shù)據(jù)、通訊線路方面的故障 人為因素 惡意人員 不滿(mǎn)的或有預(yù)謀的內(nèi)部人員對(duì)信息系統(tǒng)進(jìn)行惡意破壞；采用自主的或內(nèi)外勾結(jié)的方式盜竊機(jī)密信息或進(jìn)行篡改，獲取利益 外部人員利用信息系統(tǒng)的脆弱性，對(duì)網(wǎng)絡(luò)和系統(tǒng)的機(jī)密性、完整性和可用性進(jìn)行破壞，以獲取利益或炫耀能力 無(wú)惡意人員 內(nèi)部人員由于缺乏責(zé)任心，或者由于不關(guān)心和不專(zhuān)注，或者沒(méi)有遵循規(guī)章制度和操作流程而導(dǎo)致故障或被攻擊；內(nèi)部人員由于缺乏培訓(xùn)，專(zhuān)業(yè)技能不足 ,不具備崗位技能要求而導(dǎo)致信息系統(tǒng)故障或被攻擊 威脅來(lái)源 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 種類(lèi) 描述 軟硬件故障 由于設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件 Bug導(dǎo)致對(duì)業(yè)務(wù)高效穩(wěn)定運(yùn)行的影響 物理環(huán)境威脅 斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲(chóng)害、電磁干擾、洪災(zāi)、火災(zāi)、地震等環(huán)境問(wèn)題和 自然災(zāi)害 無(wú)作為或操作失誤 由于應(yīng)該執(zhí)行而沒(méi)有執(zhí)行相應(yīng)的操作，或無(wú)意地執(zhí)行了錯(cuò)誤的操作，對(duì)系統(tǒng)造成影響 管理不到位 安全管理無(wú)法落實(shí)，不到位，造成安全管理不規(guī)范，或者管理混亂，從而破壞信息系統(tǒng)正 常有序運(yùn)行 惡意代碼和病毒 具有自我復(fù)制、自我傳播能力，對(duì)信息系統(tǒng)構(gòu)成破壞的程序代碼 越權(quán)或?yàn)E用 通過(guò)采用一些措施，超越自己的權(quán)限訪問(wèn)了本來(lái)無(wú)權(quán)訪問(wèn)的資源；或者濫用自己的職權(quán)， 做出破壞信息系統(tǒng)的行為 黑客攻擊技術(shù) 利用黑客工具和技術(shù)，例如偵察、密碼猜測(cè)攻擊、緩沖區(qū)溢出攻擊、安裝后門(mén)、嗅探、偽 造和欺騙、拒絕服務(wù)攻擊等手段對(duì)信息系統(tǒng)進(jìn)行攻擊和入侵 物理攻擊 物理接觸、物理破壞、盜竊 泄密 機(jī)密泄漏，機(jī)密信息泄漏給他人 篡改 非法修改信息，破壞信息的完整性 抵賴(lài) 不承認(rèn)收到的信息和所作的操作和交易 威脅分類(lèi)（示例） 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 判斷威脅出現(xiàn)的頻率是威脅賦值的重要內(nèi)容，評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來(lái)進(jìn)行判斷。 威脅賦值 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 威脅發(fā)生可能性 等級(jí) 標(biāo)識(shí) 定義 5 很高 威脅出現(xiàn)的頻率很高，在大多數(shù)情況下幾乎不可避免或者可以證實(shí)經(jīng)常發(fā)生過(guò) 4 高 威脅出現(xiàn)的頻率較高，在大多數(shù)情況下很有可能會(huì)發(fā)生或者可以證實(shí)多次發(fā)生過(guò) 3 中等 威脅出現(xiàn)的頻率中等，在某種情況下可能會(huì)發(fā)生或被證實(shí)曾經(jīng)發(fā)生過(guò) 2 低 威脅出現(xiàn)的頻率較低，一般不太可能發(fā)生，也沒(méi)有被證實(shí)發(fā)生過(guò) 1 很低 威脅幾乎不可能發(fā)生，僅可能在非常罕見(jiàn)和例外的情況下發(fā)生 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）脆弱性識(shí)別內(nèi)容 2）脆弱性分類(lèi) 3）脆弱性賦值 4）脆弱性等級(jí) 脆弱性識(shí)別階段的主要任務(wù) 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的安全問(wèn)題。管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。 脆弱性主要識(shí)別內(nèi)容 中國(guó)移動(dòng)技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 類(lèi)型 識(shí)別對(duì)象 識(shí)別內(nèi)容 技術(shù)脆弱性 物理環(huán)境 從機(jī)房場(chǎng)地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防