【正文】 源配置216。 安全工程過程能力216。 業(yè)績和質量保證等多個方面。 安全審計師的職責在實施安全評估或審計時，安全審計師應該：216。 具備必要的技能與專業(yè)知識216。 清楚每種工作的影響并估計它們對客戶業(yè)務的影響216。 獲得合適的授權。216。 記錄每次測試，不管成功與否216。 確保報告反映客戶的策略與需求附錄A 術語表可接受的風險，由于費用和執(zhí)行控制的數(shù)量，所以可接受的風險是一種對責任管理來說是可接受的利害關系。確認，確認與授權處理術語是同義詞，確認是授予一個主程序或一般維護系統(tǒng)在一個操作環(huán)境中作處理的應允和同意，它是建立在由指派的技術人員作出保證的基礎之上的，該技術人員要符合系統(tǒng)達到充分安全的明確的技術要求。資源，資源是一種主程序，一般維護系統(tǒng)，高沖擊程序，物理設備，應急任務系統(tǒng)或一組邏輯上相聯(lián)系的系統(tǒng)。授權過程，授權過程發(fā)生在管理允許在評估操作和技術控制基礎上寫系統(tǒng)的時候，通過一個系統(tǒng)里的授權過程，管理官員可接受與之相關的冒險。有效保護，有效保護要求對系統(tǒng)信息，偶爾附帶的設備，故障恢復設備和冗余作備份，需要有效保護的系統(tǒng)和信息樣本有時分系統(tǒng)，應急任務系統(tǒng)，時間與維護，金融系統(tǒng)，收獲或人壽鑒定系統(tǒng)。認識，訓練與教育，包括1 ）認識程序對通過改變組織對安全及其失敗的不利結果的重要性的實現(xiàn)態(tài)度來進行的訓練劃分了階段。2 ）訓練的目的是教人們能更有效的工作的技能。3 ）教育比訓練更深入，主要針對于專業(yè)人員和那些工作上需要信息技術安全方面專門技術的人。證明，證明與確認過程是同義的，證明是在授權前的一個主要考慮，但不僅僅是考慮，證明是一種技術評估，它建立了計算機系統(tǒng)，應用程序或網(wǎng)絡設計和執(zhí)行符合這之前制定的安全要求的程序。一般維護系統(tǒng)，這是在相同的直接管理控制下的一種相互聯(lián)絡的信息資源，它們彼此共享一般功能，它一般包括硬件，軟件，信息，數(shù)據(jù)，應用程序，通信，設備和人。并給各種各樣的用戶或申請者提供維護。單個應用程序維護與相關聯(lián)的任務功能不同，用戶可能來自于相同或不同的組織。個人責任，個人責任要求單個用戶在已被告知使用系統(tǒng)的行為規(guī)則及違反那些規(guī)則的處罰后要對他們的行為負責。信息所有者有責任建立正確使用數(shù)據(jù)或信息和保護數(shù)據(jù)或信息的規(guī)則。甚至再和其他組織共享數(shù)據(jù)或信息時信息所有者仍保留這個職責。主程序，主程序是一個要求特別維護的應用程序，這是由于存在丟失，誤用或未經(jīng)允許的登陸或應用程序的改動引起的冒險和損失。對主程序的一個破壞可以包含很多單個應用程序和硬件，軟件以及電子通信的各個部分。主程序可以是一個主要的軟件應用程序或在系統(tǒng)唯一的目標是維護一個特定任務功能時指的是軟，硬件的結合。物質的不足或重大的不足，這是用來鑒定控制的不足，控制不足會產(chǎn)生一個重大的冒險或對一個審計實體的操作或資源產(chǎn)生重大的威脅。物質不足是一個非常具體的術語，一方面用來定義金融審計，另一方面用來定義在1982年的聯(lián)邦管理人員金融綜合行為準則中指出的不足。這種不足可由審計員或管理員來確定。網(wǎng)絡，網(wǎng)絡包括允許一個用戶或系統(tǒng)與另一用戶或系統(tǒng)連接的通信能力。它可以是一個系統(tǒng)或一個分立系統(tǒng)的一部分。網(wǎng)絡實例包括局域網(wǎng)和廣域網(wǎng)，也包括公共互聯(lián)網(wǎng)，例如，國際互聯(lián)網(wǎng)。操作控制，操作控制提出了致力于主要由人（相對于系統(tǒng)）來執(zhí)行的機制的安全方法。方針，方針是描繪安全管理框架的一種文件。它明確地分配了安全指責并設置了可靠地衡量處理和執(zhí)行情況所必須的基金。步驟，步驟包含于一個致力于安全控制范圍和管理位置的文件中。風險，風險是指在一個自動信息系統(tǒng)里或活動里，任何一個軟件，信息，硬件，管理上的，物理上的，通信或人員資源等的損失。風險管理，風險管理是對自動信息資源和信息的一個評估過程。它是作為用來確定一個系統(tǒng)的充分安全性的方法的一部分，這種確定方法是通過分析威脅和不足，選擇達到一個可接受的風險水平并保持這一水平的合適的且劃算的控制而進行的。行為規(guī)則，行為規(guī)則是已建立的并被執(zhí)行的關于系統(tǒng)的使用，系統(tǒng)安全和可接受的風險的規(guī)則。該規(guī)則清楚地描繪了經(jīng)系統(tǒng)允許登錄的所有個人的責任和被允許的行為。這些規(guī)則應包括諸如在家辦公，撥號上網(wǎng)，連接互聯(lián)網(wǎng)，版權著作的使用，聯(lián)邦設備的非官方使用，系統(tǒng)特權的分配和限制，個人責任等方面。敏感信息，是指那些信息的丟失，誤用，未經(jīng)允許的登陸或其不利影響能引起全國關注的改動或聯(lián)合程序的引導或任何人都有權保留的秘密。敏感性，一個信息技術環(huán)境由系統(tǒng)，數(shù)據(jù)，和必須逐一的或整個的被檢查的應用程序組成。所有系統(tǒng)和應用程序都因為期機密性，綜合性和有效性，要求有一定水平的保護，其有效性是由對被處理的程序的敏感性，系統(tǒng)與組織任務的關系以及系統(tǒng)各部分的經(jīng)濟價值的一個評估來決定的。系統(tǒng)，系統(tǒng)是用來概括一個主程序或一個一般維護系統(tǒng)的通用術語。系統(tǒng)操作狀態(tài)，是指1）操作系統(tǒng)正在進行操作，2）正在開發(fā)的系統(tǒng)正處在設計，開發(fā)或執(zhí)行中，3）一個主修改程序正在經(jīng)歷一個主要的變換或過渡。技術控制，技術控制由用于對系統(tǒng)或應用程序提供自動保護的硬件和軟件控制組成。技術控制是在技術系統(tǒng)和應用程序中進行操作。威脅，是一種事件或行為，它會有意或無意的給信息系統(tǒng)或運行帶來潛在的損害。弱點，弱點是一種可能會給信息系統(tǒng)或運行帶來損害的缺陷或不足。附錄B 調查問卷調查問卷類別216。 填表式調查問卷《資產(chǎn)調查表》包含計算機設備、通訊設備、存儲及保障設備、信息、軟件等。216。 問詢式調查問卷《人員和安全管理調查表》《物理環(huán)境調查表》《安全技術保障措施調查表》《業(yè)務狀況調查表》216。 面對面交流審閱已有的安全管理規(guī)章、制度與高級主管、業(yè)務人員、網(wǎng)絡管理員（系統(tǒng)管理員）等進行交流調查問卷內容對涉及安全的各個因素的詳細調查與分析. [1]. 安全事件事件的要素有：時間，地點，起因，描述，主體，客體，處理，備注[2]. 安全素質內部人員、外部網(wǎng)絡用戶；基本知識考核、專業(yè)技術、安全技術、應急處理能力、管理、安全意識、培訓狀況、人員管理情況（不滿、開除、離職）[3]. 安全措施分類為網(wǎng)絡的、應用的、管理的；安全投資、目前實施安全措施后的效果[4]. 安全需求系統(tǒng)管理員們的想法[5]. 物理環(huán)境[6]. 網(wǎng)絡結構物理、邏輯拓撲圖、協(xié)議[7]. 與外單位及用戶互聯(lián)的網(wǎng)絡服務（撥號接入、專線接入）接入服務器、路由器、交換機等的安全配置[8]. 網(wǎng)管系統(tǒng)軟件版本、配置、口令、管理范圍[9]. 主機系統(tǒng)[10]. 應用系統(tǒng)[11]. 數(shù)據(jù)[12]. 安全系統(tǒng)：防火墻、防病毒（見資產(chǎn)調查）[13]. 安全相關人員[14]. 處理流程[15]. 制度[16]. 策略問題的方式調查問卷的問題設計可以結合以下兩種方式：216。 開放式的問題216。 封閉式的問題附錄C 交付文檔范例《資產(chǎn)評估部分》目錄1. 定義、范圍和標準. 資產(chǎn)的定義及分類. 資產(chǎn)的定義. 資產(chǎn)的分類. 資產(chǎn)評估的定義及目的. 資產(chǎn)評估的定義. 資產(chǎn)評估的目的. 資產(chǎn)評估的內容. 資產(chǎn)評估的方式和數(shù)據(jù)來源. 資產(chǎn)的等級劃分. 資產(chǎn)評估參照的標準和依據(jù)2. 資產(chǎn)歸類及價值分析. 超核心資產(chǎn)列表與價值分析. 核心資產(chǎn)列表與價值分析. 高級資產(chǎn)列表與價值分析. 中級資產(chǎn)列表與價值分析. 一般資產(chǎn)列表與價值分析3. 資產(chǎn)的管理4. 資產(chǎn)的使用和維護. 資產(chǎn)的實際利用情況. 資產(chǎn)的維護5. 資產(chǎn)的保護6. 資產(chǎn)評估總結. 資產(chǎn)保護的層次. 需要保護的重點資產(chǎn)《漏洞評估部分》目錄1. 定義、范圍和標準. 定義. 漏洞的定義. 漏洞評估的定義. 漏洞級別的劃分. 漏洞評估的目的. 漏洞評估的內容. 技術漏洞的評估. 非技術漏洞的評估. 漏洞評估的方式. 調查與問卷評估. 系統(tǒng)評估. 參考標準2. 基于資產(chǎn)的技術性漏洞列表. 超核心資產(chǎn)存在的漏洞. 核心資產(chǎn)存在的漏洞. 高級資產(chǎn)存在的漏洞. 中級資產(chǎn)存在的漏洞. 一般資產(chǎn)存在的漏洞3. 技術性漏洞抽樣統(tǒng)計4. 非技術性漏洞統(tǒng)計分析. 安全策略. 概念和范圍. 存在的不足. 物理和環(huán)境安全. 概念和范圍. 存在的不足. 人事安全. 概念. 內部人員威脅概述. 存在的不足. 訪問控制. 概念和范圍. 存在的不足. 組織安全. 概念和范圍. 存在的不足. 運行安全. 概念和范圍. 存在的不足. 開發(fā)與維護. 概念和范圍. 存在的不足. 業(yè)務連續(xù)性管理. 概念和范圍. 存在的不足. 遵循性. 概念和范圍. 存在的不足5. 綜合分析. 已知漏洞的跟蹤能力. 未知漏洞的防御能力《威脅評估部分》目錄1. 定義、范圍和標準. 威脅的定義及屬性. 威脅的定義. 威脅的屬性. 威脅評估的定義及目的. 威脅評估的定義. 威脅評估的目的. 威脅評估的內容. 自然威脅. 人為威脅. 威脅后果的分析方法. 從可用性角度分析. 從完整性角度分析. 從保密性角度分析. 從可審計性角度分析. 從保障性角度分析. 威脅評估的方式. 參考標準2. 基于資產(chǎn)的威脅分析3. 威脅綜合統(tǒng)計. 威脅列表. 威脅分布. 威脅分析：. 遭受遠程拒絕服務攻擊威脅. 遭受遠程滲透入侵攻擊的威脅. 遭受蠕蟲攻擊的威脅. 遭受自然不可抗力的威脅. 數(shù)據(jù)安全威脅《風險評估部分》目錄1. 定義、范圍和標準. 定義. 風險的定義. 風險評估的定義. 風險評估的目的. 風險評估的內容. 風險的分級說明. 風險計算方法. 風險計算模型. 輸入要素描述. 輸出要素描述. 參考標準2. 抽樣風險評估3. 節(jié)點風險評估. 遭受遠程拒絕服務攻擊的風險. 遭受遠程滲透入侵攻擊的風險. 遭受蠕蟲攻擊的風險. 遭受自然不可抗力的風險. 數(shù)據(jù)風險4. 業(yè)務風險分析. 專線接入服務. 虛擬主機. 撥號接入服務. 認證服務. 其他應用5. 總結《安全策略建議部分》目錄1. 定義、范圍和標準. 定義. 目的. 內容. 標準. 依據(jù)2. 整體策略. 與人相關的安全策略. 與“技術”相關的安全策略. 與“行動”相關的策略3. 防護策略. 管理對策. 技術對策. 物理安全策略. 訪問控制策略. 路由交換設備安全策略. 業(yè)務系統(tǒng)安全策略. 網(wǎng)管系統(tǒng)安全策略. 應用系統(tǒng)安全策略. 操作系統(tǒng)安全策略. 數(shù)據(jù)庫系統(tǒng)安全策略. 數(shù)據(jù)存儲與傳輸安全策略. 安全設備策略4. 監(jiān)控策略. 目的. 現(xiàn)狀. 建議5. 響應策略. 目的. 現(xiàn)狀. 建議《安全解決方案部分》目錄1 前言 背景 目的 內容 標準 依據(jù)2 安全管理 培訓 意識培養(yǎng) 組織 制度流程3 邊界保護 路由交換設備安全配置 目的 現(xiàn)狀和原因 配置建議 防火墻系統(tǒng)安全配置 目的 現(xiàn)狀和原因 配置建議4 平臺保護 操作系統(tǒng) 目的和內容 Windows 2000系統(tǒng)安全配置 Windows NT SOLARIS系統(tǒng)安全配置 Linux系統(tǒng)安全配置 IRIX系統(tǒng)安全配置 數(shù)據(jù)庫系統(tǒng)安全加固 MS SQL Server數(shù)據(jù)庫系統(tǒng)的安全加固 Oracle數(shù)據(jù)庫系統(tǒng)的安全加固5 基礎設施 檢測與監(jiān)控 措施 效果 響應與恢復 措施 效果6 附錄附錄D 資產(chǎn)分類清單1 物理資產(chǎn) 臺式電腦 筆記本電腦 服務器 路由器 交換機 集線器 線纜 存儲設備 移動存儲介質 防火墻 入侵檢測設備 打印機等外設 加密設備 調制解調器 網(wǎng)橋 無線通訊設備2 電子信息資產(chǎn) XXXX數(shù)據(jù)文件 XXXX數(shù)據(jù)文件 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)開發(fā)文檔 XXXX系統(tǒng)開發(fā)文檔 電子郵件 重要辦公文檔（DOC/PPT/XLS等） 網(wǎng)頁3 軟件資產(chǎn) CTAIS系統(tǒng)軟件 XXX系統(tǒng)軟件 操作系統(tǒng) 中間件及支撐系統(tǒng) 數(shù)據(jù)庫 軟件開發(fā)工具 辦公軟件 防病毒軟件 入侵檢測軟件 隱患掃描軟件 其他應用軟件4 人員 用戶 系統(tǒng)管理員 程序員 技術支持 安全管理人員5 服務 供電 網(wǎng)絡服務 消防 空調 防塵 防盜附錄E 資產(chǎn)脆弱性清單1 物理資產(chǎn) 易發(fā)生故障 易受環(huán)境影響 易被誤操作 缺乏維修、維護 缺少備件或備機 易被未授權訪問 電磁信息泄漏 無責任人 無操作指南或操作程序 易攜帶 易損壞2 電子信息資產(chǎn) 易瀏覽 易復制 易刪除 易變更 易存儲 易交換 易感染病毒3 軟件資產(chǎn) 軟件漏洞 易感染病毒 易被未授權訪問 易刪除 易修改 易盜用4 人員 缺乏信息安全專業(yè)人員 缺乏崗位安全意識 缺乏信息安全相關培訓 易疏忽大意 易受情緒影響5 服務 供電系統(tǒng)易發(fā)生故障 防火系統(tǒng)易發(fā)生故障 通信服務系統(tǒng)易發(fā)生故障 防盜設施缺乏 空調系統(tǒng)易發(fā)生故障附錄F 資產(chǎn)威脅清單1 自然災害及戰(zhàn)爭等 火災 水災 地震 臺風 雷擊 戰(zhàn)爭 恐怖襲擊2 供電、空調、消防、通信、防盜等服務中斷或失效 電力故障導致意外停電 電壓不穩(wěn)燒毀設備