【導(dǎo)讀】風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目。XX地稅局征管系統(tǒng)

　　

【正文】 統(tǒng)具備對(duì)信息和系統(tǒng)進(jìn)行基于安全策略強(qiáng)制的安全保護(hù)能力。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 21 頁 共 93 頁在技術(shù)方面，第四級(jí)要求按照確定的安全策略，整體的實(shí)施強(qiáng)制性的安全保護(hù)。采用結(jié)構(gòu)化設(shè)計(jì)方法，按照完整的安全策略模型，實(shí)現(xiàn)各層面相結(jié)合的強(qiáng)制性安全保護(hù)，使數(shù)據(jù)信息免遭非授權(quán)的泄漏和破壞，保證高安全的系統(tǒng)服務(wù)。第四級(jí)的技術(shù)要求，采用以結(jié)構(gòu)化設(shè)計(jì)為代表的一系列措施來保證其安全性達(dá)到所要求的目標(biāo)。實(shí)現(xiàn)這些安全功能和提供安全保證的安全技術(shù)主要包括：? 對(duì)計(jì)算機(jī)、網(wǎng)絡(luò)的設(shè)備、環(huán)境和介質(zhì)采用嚴(yán)格的防護(hù)措施，確保其為信息系統(tǒng)的安全運(yùn)行提供支持，防止由于物理原因造成信息的泄漏和破壞；? 通過局域計(jì)算環(huán)境內(nèi)各組成部分采用網(wǎng)絡(luò)安全監(jiān)控、安全審計(jì)、全方位的備份與故障恢復(fù)、集中統(tǒng)一的病毒監(jiān)控體系、基于密碼技術(shù)或生物特征的強(qiáng)身份鑒別和多充鑒別、強(qiáng)訪問控制、高強(qiáng)度密碼支持的存儲(chǔ)和傳輸數(shù)據(jù)的加密保護(hù)、嚴(yán)格的客體重用等安全機(jī)制，實(shí)現(xiàn)對(duì)局域計(jì)算環(huán)境內(nèi)信息的安全保護(hù)和系統(tǒng)安全運(yùn)行的支持；? 采用分區(qū)域保護(hù)和邊界防護(hù)（如烏力格力、高等級(jí)的防火墻、信息過濾、邊界完整檢查和其他隔離部件） ，實(shí)現(xiàn)不同安全等級(jí)區(qū)域之間安全互操作的嚴(yán)格控制；? 按照結(jié)構(gòu)化的方法設(shè)計(jì)和實(shí)現(xiàn)安全子系統(tǒng)，使在不同層面實(shí)現(xiàn)的訪問控制、身份鑒別、審計(jì)、加密等安全機(jī)制的交互作用最小化，從而使復(fù)雜性降低，充分實(shí)現(xiàn)系統(tǒng)安全設(shè)計(jì)要求。在安全管理方面，強(qiáng)制性保護(hù)級(jí)要求“建立持續(xù)改進(jìn)的信息系統(tǒng)安全管理體系，在對(duì)安全管理過程進(jìn)行規(guī)范化定義，并對(duì)過程執(zhí)行實(shí)施監(jiān)督和檢查的基礎(chǔ)上，具有對(duì)缺陷自我發(fā)現(xiàn)、糾正和改正的能力。根據(jù)實(shí)際安全需求，采取安全隔離措施，限定信息系統(tǒng)規(guī)模和應(yīng)用范圍。建立安全管理機(jī)構(gòu)，配備專職安全管理人員，落實(shí)各級(jí)領(lǐng)導(dǎo)及相關(guān)人員的責(zé)任。 ”“持續(xù)改進(jìn)的信息系統(tǒng)安全管理體系”是指：? 在維護(hù)完整的信息系統(tǒng)安全管理體系的基礎(chǔ)上，建立系統(tǒng)XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 22 頁 共 93 頁的自我完善機(jī)制，具備對(duì)不斷變化的系統(tǒng)狀態(tài)自我發(fā)現(xiàn)和解決問題能力：? 通過采用安全隔離措施，限定信息系統(tǒng)的規(guī)模和應(yīng)用范圍，增強(qiáng)信息系統(tǒng)的安全性，以達(dá)到所要求的安全目標(biāo)。 專控性保護(hù)級(jí)由信息系統(tǒng)的主管部門和使用單位根據(jù)安全需求，對(duì)信息系統(tǒng)進(jìn)行專門控制和保護(hù)，政府職能部門予以協(xié)助。主要適用于國家最重要核心部門的專用信息系統(tǒng)。第五級(jí)安全的信息系統(tǒng)提供對(duì)信息和系統(tǒng)進(jìn)行基于可驗(yàn)證安全策略強(qiáng)制的安全保護(hù)能力。在技術(shù)方面，第五級(jí)要求按照的安全策略，在整體的實(shí)施強(qiáng)制性的安全保護(hù)的基礎(chǔ)上，通過可驗(yàn)證設(shè)計(jì)增強(qiáng)系統(tǒng)的安全性，使其具有抗?jié)B透能力，使數(shù)據(jù)信息免遭非授權(quán)的泄露和破壞，保證最高安全的系統(tǒng)服務(wù)。在結(jié)構(gòu)化設(shè)計(jì)的基礎(chǔ)上，采用核心可驗(yàn)證設(shè)計(jì)是本級(jí)的重要特征。實(shí)現(xiàn)這些安全功能和提供安全保證的安全技術(shù)主要包括：? 對(duì)計(jì)算機(jī)、網(wǎng)絡(luò)的設(shè)備、環(huán)境和本質(zhì)采用最嚴(yán)格的防護(hù)措施，確實(shí)其為信息系統(tǒng)的安全運(yùn)行提供硬件支持，防止由于硬件原因造成信息的泄露和破壞；? 通過局域計(jì)算環(huán)境內(nèi)各組成部分采用網(wǎng)絡(luò)安全監(jiān)控、安全審計(jì)、全方位的備份與故障恢復(fù)、集中統(tǒng)一的病毒監(jiān)控體系、基于密碼技術(shù)或生物特征的強(qiáng)身份鑒別、細(xì)力度的自主訪問控制、全面的強(qiáng)制訪問控制、最高強(qiáng)度密碼支持的全程數(shù)據(jù)和加密保護(hù)、嚴(yán)格的客體重用等安全機(jī)制，實(shí)現(xiàn)對(duì)局域計(jì)算環(huán)境內(nèi)信息的安全保護(hù)和系統(tǒng)安全運(yùn)行的支持；? 采用物理隔離措施，實(shí)現(xiàn)最嚴(yán)格控制的邊界保護(hù)；? 用結(jié)構(gòu)化的方法設(shè)計(jì)和實(shí)現(xiàn)安全子系統(tǒng)，使作為安全子系統(tǒng)核心的“訪問監(jiān)督器”和“前端過濾器”足夠小，達(dá)到可驗(yàn)證，并具有抗?jié)B透能力，確保安全子系統(tǒng)的安全功能具有所要求的安全性。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 23 頁 共 93 頁在安全管理方面，?？匦员Ｗo(hù)級(jí)要求“由信息系統(tǒng)的主管部門和使用單位根據(jù)安全需求，建立核心部門的專用信息系統(tǒng)安全管理體系，對(duì)安全管理過程進(jìn)行規(guī)范化的定義，并對(duì)過程執(zhí)行實(shí)施監(jiān)督和檢查，具有對(duì)缺陷自我發(fā)現(xiàn)、糾正和改進(jìn)的能力。采取安全隔離措施，限定信息系統(tǒng)規(guī)模和應(yīng)用范圍。建立安全管理機(jī)構(gòu)，配備專職安全管理人員，落實(shí)各級(jí)領(lǐng)導(dǎo)及相關(guān)人員的責(zé)任?！敖⑼晟频男畔⑾到y(tǒng)安全管理制度，從工程管理和系統(tǒng)管理方面，對(duì)執(zhí)行過程進(jìn)行規(guī)范化的定義和管理，并嚴(yán)格執(zhí)行：根據(jù)實(shí)際安全需求，采取安全隔離措施，限定信息系統(tǒng)規(guī)模和應(yīng)用范圍，建立安全管理機(jī)構(gòu)，配備專職安全管理人員，落實(shí)各級(jí)領(lǐng)導(dǎo)及相關(guān)人員的責(zé)任。確保安全功能達(dá)到預(yù)期目標(biāo)。 ”“核心部門的專用信息系統(tǒng)安全管理體系”是指：? 針對(duì)核心部分專門的安全需求，在嚴(yán)格限定的信息系統(tǒng)規(guī)模和應(yīng)用范圍內(nèi)，制定相應(yīng)的安全策略和安全管理體系；? 管理體系中各項(xiàng)管理制度管理目標(biāo)、人員職責(zé)、關(guān)鍵控制點(diǎn)和管理手段定義明確，具有良好的可操作性和可檢查性；管理體系具有自我完善機(jī)制，對(duì)不斷變化的系統(tǒng)狀態(tài)具有自我發(fā)現(xiàn)和解決問題能力。5 風(fēng)險(xiǎn)評(píng)估方法 引用相關(guān)標(biāo)準(zhǔn)?GBT AAAAA 信息安全風(fēng)險(xiǎn)評(píng)估指南?GBT XXXXX 信息安全風(fēng)險(xiǎn)管理指南?GBT 197152020 信息技術(shù)安全管理指南?GBT 197162020 信息安全管理實(shí)用規(guī)則?GBT 202692020 信息系統(tǒng)安全管理要求?GBT 202822020 信息系統(tǒng)安全工程管理要求?GBT 18336 信息技術(shù)安全性評(píng)估準(zhǔn)則?GB/T 93612020　計(jì)算機(jī)場地安全要求?GB 178591999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則　?GB/T 183362020 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 24 頁 共 93 頁（idtISO/IEC 15408：1999）?GB/T 197162020 信息技術(shù) 信息安全管理實(shí)用規(guī)則（ISO/IEC 17799：2020 ，IDT ） 管理類安全標(biāo)準(zhǔn)安全管理類型的標(biāo)準(zhǔn)主要是通過制訂制度和規(guī)章來降低安全風(fēng)險(xiǎn)，GBT 197162020 是典型的安全管理類標(biāo)準(zhǔn)。GBT 197162020 完全從管理角度制定，并不涉及具體的安全技術(shù)，實(shí)施不復(fù)雜，主要是告訴管理者一些安全管理的注意事項(xiàng)和安全制度，例如磁盤文件交換和處理的安全規(guī)定、設(shè)備的安全配置管理、工作區(qū)進(jìn)出的控制等一些很容易理解的問題。這些管理規(guī)定一般的單位都可以制定，但要想達(dá)到 GBT 197162020 的全面性則需要一番努力。GBT 197162020 涵蓋了安全管理所應(yīng)涉及的方方面面，全面而不失可操作性，提供了一個(gè)可持續(xù)提高的信息安全管理環(huán)境。推廣信息安全管理標(biāo)準(zhǔn)的關(guān)鍵在重視程度和制度落實(shí)方面。應(yīng)該說該標(biāo)準(zhǔn)中也還存在一些問題。它認(rèn)為未經(jīng)批準(zhǔn)查看敏感信息是種威脅，而且是對(duì)保密性的違反。但是明確闡述保密性的文件中唯一指明的控制中卻沒有這種認(rèn)識(shí)。用戶應(yīng)該簽署保密（不泄密）協(xié)定，但卻沒有說阻止非法用戶截?。ú炜矗┬畔ⅰ?biāo)準(zhǔn)中的另一個(gè)問題是有關(guān)網(wǎng)絡(luò)存取控制的部分沒有提到密碼技術(shù)。標(biāo)準(zhǔn)中簡單討論了密碼技術(shù)，但只在有關(guān)開發(fā)和維護(hù)系統(tǒng)應(yīng)用部分，作為維護(hù)高度敏感的數(shù)據(jù)的一部分。另外，它混淆了知道信息和占有信息的概念?？偠灾珿BT 197162020 在某些方面可能不全面，但是它仍是目前可以用來達(dá)到一定預(yù)防標(biāo)準(zhǔn)的最好的指導(dǎo)標(biāo)準(zhǔn)。 模型類安全標(biāo)準(zhǔn)安全模型類標(biāo)準(zhǔn)著重建立信息安全技術(shù)體系模型，GBT 18336 是此類標(biāo)準(zhǔn)的代表。GBT 18336 信息技術(shù)安全性評(píng)估準(zhǔn)則” （簡稱 CC） ，是國際標(biāo)準(zhǔn)化組織統(tǒng)一現(xiàn)有多種評(píng)估準(zhǔn)則的努力結(jié)果，是在美國和歐洲等國分別自行推出并實(shí)踐測評(píng)準(zhǔn)則及標(biāo)準(zhǔn)的基礎(chǔ)上，通過相互間的總結(jié)和互補(bǔ)發(fā)展起來的。CC 源于XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 25 頁 共 93 頁TCSEC，但已經(jīng)完全改進(jìn)了 TCSEC。TCSEC 主要是針對(duì)操作系統(tǒng)的評(píng)估，提出的是安全功能要求，目前仍然可以用于對(duì)操作系統(tǒng)的評(píng)估。隨著信息技術(shù)的發(fā)展，CC 全面地考慮了與信息技術(shù)安全性有關(guān)的所有因素，以“安全功能要求”和“安全保證要求”的形式提出了這些因素，這些要求也可以用來構(gòu)建TCSEC 的各級(jí)要求。CC 定義了作為評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)安全性的基礎(chǔ)準(zhǔn)則，提出了目前國際上公認(rèn)的表述信息技術(shù)安全性的結(jié)構(gòu)，即把安全要求分為規(guī)范產(chǎn)品和系統(tǒng)安全行為的功能要求以及解決如何正確有效的實(shí)施這些功能的保證要求。功能和保證要求又以“類——子類——組件”的結(jié)構(gòu)表述，組件作為安全要求的最小構(gòu)件塊，可以用于“保護(hù)輪廓” 、 “安全目標(biāo)”和“包”的構(gòu)建，例如由保證組件構(gòu)成典型的包——“評(píng)估保證級(jí)” 。另外，功能組件還是連接 CC 與傳統(tǒng)安全機(jī)制和服務(wù)的橋梁，以及解決 CC 同已有準(zhǔn)則如 TCSEC、ITSEC 的協(xié)調(diào)關(guān)系，如功能組件構(gòu)成 TCSEC 的各級(jí)要求。 術(shù)語和定義資產(chǎn) asset對(duì)組織具有價(jià)值的信息或資源，是安全策略保護(hù)的對(duì)象。資產(chǎn)價(jià)值 asset value資產(chǎn)的重要程度或敏感程度的表征。資產(chǎn)價(jià)值是資產(chǎn)的屬性，也是進(jìn)行資產(chǎn)識(shí)別的主要內(nèi)容?？捎眯? availability數(shù)據(jù)或資源的特性，被授權(quán)實(shí)體按要求能訪問和使用數(shù)據(jù)或資源。業(yè)務(wù)戰(zhàn)略　business strategy組織為實(shí)現(xiàn)其發(fā)展目標(biāo)而制定的一組規(guī)則或要求。保密性 confidentiality數(shù)據(jù)所具有的特性，即表示數(shù)據(jù)所達(dá)到的未提供或未泄露給非授權(quán)的個(gè)人、過程或其他實(shí)體的程度。信息安全風(fēng)險(xiǎn) information security risk人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組織造成的影響。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 26 頁 共 93 頁（信息安全）風(fēng)險(xiǎn)評(píng)估 （information security） risk assessment依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。信息系統(tǒng) information system由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施(含網(wǎng)絡(luò))構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)。典型的信息系統(tǒng)由三部分組成：硬件系統(tǒng)（計(jì)算機(jī)硬件系統(tǒng)和網(wǎng)絡(luò)硬件系統(tǒng)） ；系統(tǒng)軟件（計(jì)算機(jī)系統(tǒng)軟件和網(wǎng)絡(luò)系統(tǒng)軟件） ；應(yīng)用軟件（包括由其處理、存儲(chǔ)的信息） 。檢查評(píng)估 inspection assessment由被評(píng)估組織的上級(jí)主管機(jī)關(guān)或業(yè)務(wù)主管機(jī)關(guān)發(fā)起的，依據(jù)國家有關(guān)法規(guī)與標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及其管理進(jìn)行的具有強(qiáng)制性的檢查活動(dòng)。完整性 integrity保證信息及信息系統(tǒng)不會(huì)被非授權(quán)更改或破壞的特性。包括數(shù)據(jù)完整性和系統(tǒng)完整性。組織 anization由作用不同的個(gè)體為實(shí)施共同的業(yè)務(wù)目標(biāo)而建立的結(jié)構(gòu)。一個(gè)單位是一個(gè)組織，某個(gè)業(yè)務(wù)部門也可以是一個(gè)組織。殘余風(fēng)險(xiǎn) residual risk采取了安全措施后，信息系統(tǒng)仍然可能存在的風(fēng)險(xiǎn)。自評(píng)估 selfassessment由組織自身發(fā)起，依據(jù)國家有關(guān)法規(guī)與標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及其管理進(jìn)行的風(fēng)險(xiǎn)評(píng)估活動(dòng)。安全事件 security incident系統(tǒng)、服務(wù)或網(wǎng)絡(luò)的一種可識(shí)別狀態(tài)的發(fā)生，它可能是對(duì)信息安全策略的違反或防護(hù)措施的失效，或未預(yù)知的不安全狀況。安全措施 security measureXX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 27 頁 共 93 頁保護(hù)資產(chǎn)、抵御威脅、減少脆弱性、降低安全事件的影響，以及打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制。安全需求 security requirement為保證組織業(yè)務(wù)戰(zhàn)略的正常運(yùn)作而在安全措施方面提出的要求。威脅 threat可能導(dǎo)致對(duì)系統(tǒng)或組織危害的不希望事故潛在起因。脆弱性 vulnerability可能被威脅所利用的資產(chǎn)或若干資產(chǎn)的薄弱環(huán)節(jié)。 風(fēng)險(xiǎn)評(píng)估框架及流程 風(fēng)險(xiǎn)要素關(guān)系　風(fēng)險(xiǎn)評(píng)估中各要素的關(guān)系如圖所示：脆弱性 資產(chǎn)價(jià)值威脅資產(chǎn)風(fēng)險(xiǎn) 安全需求業(yè)務(wù)戰(zhàn)略安全事件 殘余風(fēng)險(xiǎn) 安全措施利用暴露 具有成本被滿足未控制可能誘發(fā)演變?cè)黾?導(dǎo)出依賴增加降低抵御未被滿足　風(fēng)險(xiǎn)評(píng)估要素關(guān)系圖圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。風(fēng)險(xiǎn)評(píng)估圍繞著資產(chǎn)、威脅、脆弱性和安全措施這些基本要素展開，在對(duì)基本要素的評(píng)估過程中，需要充分考慮業(yè)務(wù)戰(zhàn)略、資產(chǎn)價(jià)值、安全需求、安全事件、殘余風(fēng)險(xiǎn)等與這些基本要素相關(guān)的各類屬性。XX 市地