【正文】 出保證的基礎(chǔ)之上的，該技術(shù)人員要符合系統(tǒng)達(dá)到充分安全的明確的技術(shù)要求。資源，資源是一種主程序，一般維護(hù)系統(tǒng)，高沖擊程序，物理設(shè)備，應(yīng)急任務(wù)系統(tǒng)或一組邏輯上相聯(lián)系的系統(tǒng)。證明，證明與確認(rèn)過程是同義的，證明是在授權(quán)前的一個(gè)主要考慮，但不僅僅是考慮，證明是一種技術(shù)評估，它建立了計(jì)算機(jī)系統(tǒng)，應(yīng)用程序或網(wǎng)絡(luò)設(shè)計(jì)和執(zhí)行符合這之前制定的安全要求的程序。一般維護(hù)系統(tǒng)，這是在相同的直接管理控制下的一種相互聯(lián)絡(luò)的信息資源，它們彼此共享一般功能，它一般包括硬件，軟件，信息，數(shù)據(jù)，應(yīng)用程序，通信，設(shè)備和人。并給各種各樣的用戶或申請者提供維護(hù)。單個(gè)應(yīng)用程序維護(hù)與相關(guān)聯(lián)的任務(wù)功能不同，用戶可能來自于相同或不同的組織。個(gè)人責(zé)任，個(gè)人責(zé)任要求單個(gè)用戶在已被告知使用系統(tǒng)的行為規(guī)則及違反那些規(guī)則的處罰后要對他們的行為負(fù)責(zé)。信息所有者有責(zé)任建立正確使用數(shù)據(jù)或信息和保護(hù)數(shù)據(jù)或信息的規(guī)則。甚至再和其他組織共享數(shù)據(jù)或信息時(shí)信息所有者仍保留這個(gè)職責(zé)。主程序，主程序是一個(gè)要求特別維護(hù)的應(yīng)用程序，這是由于存在丟失，誤用或未經(jīng)允許的登陸或應(yīng)用程序的改動(dòng)引起的冒險(xiǎn)和損失。對主程序的一個(gè)破壞可以包含很多單個(gè)應(yīng)用程序和硬件，軟件以及電子通信的各個(gè)部分。主程序可以是一個(gè)主要的軟件應(yīng)用程序或在系統(tǒng)唯一的目標(biāo)是維護(hù)一個(gè)特定任務(wù)功能時(shí)指的是軟，硬件的結(jié)合。物質(zhì)的不足或重大的不足，這是用來鑒定控制的不足，控制不足會產(chǎn)生一個(gè)重大的冒險(xiǎn)或?qū)σ粋€(gè)審計(jì)實(shí)體的操作或資源產(chǎn)生重大的威脅。物質(zhì)不足是一個(gè)非常具體的術(shù)語，一方面用來定義金融審計(jì)，另一方面用來定義在1982年的聯(lián)邦管理人員金融綜合行為準(zhǔn)則中指出的不足。這種不足可由審計(jì)員或管理員來確定。網(wǎng)絡(luò)，網(wǎng)絡(luò)包括允許一個(gè)用戶或系統(tǒng)與另一用戶或系統(tǒng)連接的通信能力。它可以是一個(gè)系統(tǒng)或一個(gè)分立系統(tǒng)的一部分。網(wǎng)絡(luò)實(shí)例包括局域網(wǎng)和廣域網(wǎng)，也包括公共互聯(lián)網(wǎng)，例如，國際互聯(lián)網(wǎng)。方針，方針是描繪安全管理框架的一種文件。它明確地分配了安全指責(zé)并設(shè)置了可靠地衡量處理和執(zhí)行情況所必須的基金。步驟，步驟包含于一個(gè)致力于安全控制范圍和管理位置的文件中。風(fēng)險(xiǎn)，風(fēng)險(xiǎn)是指在一個(gè)自動(dòng)信息系統(tǒng)里或活動(dòng)里，任何一個(gè)軟件，信息，硬件，管理上的，物理上的，通信或人員資源等的損失。風(fēng)險(xiǎn)管理，風(fēng)險(xiǎn)管理是對自動(dòng)信息資源和信息的一個(gè)評估過程。它是作為用來確定一個(gè)系統(tǒng)的充分安全性的方法的一部分，這種確定方法是通過分析威脅和不足，選擇達(dá)到一個(gè)可接受的風(fēng)險(xiǎn)水平并保持這一水平的合適的且劃算的控制而進(jìn)行的。行為規(guī)則，行為規(guī)則是已建立的并被執(zhí)行的關(guān)于系統(tǒng)的使用，系統(tǒng)安全和可接受的風(fēng)險(xiǎn)的規(guī)則。該規(guī)則清楚地描繪了經(jīng)系統(tǒng)允許登錄的所有個(gè)人的責(zé)任和被允許的行為。這些規(guī)則應(yīng)包括諸如在家辦公，撥號上網(wǎng)，連接互聯(lián)網(wǎng)，版權(quán)著作的使用，聯(lián)邦設(shè)備的非官方使用，系統(tǒng)特權(quán)的分配和限制，個(gè)人責(zé)任等方面。敏感信息，是指那些信息的丟失，誤用，未經(jīng)允許的登陸或其不利影響能引起全國關(guān)注的改動(dòng)或聯(lián)合程序的引導(dǎo)或任何人都有權(quán)保留的秘密。敏感性，一個(gè)信息技術(shù)環(huán)境由系統(tǒng)，數(shù)據(jù)，和必須逐一的或整個(gè)的被檢查的應(yīng)用程序組成。所有系統(tǒng)和應(yīng)用程序都因?yàn)槠跈C(jī)密性，綜合性和有效性，要求有一定水平的保護(hù)，其有效性是由對被處理的程序的敏感性，系統(tǒng)與組織任務(wù)的關(guān)系以及系統(tǒng)各部分的經(jīng)濟(jì)價(jià)值的一個(gè)評估來決定的。系統(tǒng)，系統(tǒng)是用來概括一個(gè)主程序或一個(gè)一般維護(hù)系統(tǒng)的通用術(shù)語。技術(shù)控制，技術(shù)控制由用于對系統(tǒng)或應(yīng)用程序提供自動(dòng)保護(hù)的硬件和軟件控制組成。技術(shù)控制是在技術(shù)系統(tǒng)和應(yīng)用程序中進(jìn)行操作。威脅，是一種事件或行為，它會有意或無意的給信息系統(tǒng)或運(yùn)行帶來潛在的損害。弱點(diǎn)，弱點(diǎn)是一種可能會給信息系統(tǒng)或運(yùn)行帶來損害的缺陷或不足。附錄B 調(diào)查問卷調(diào)查問卷類別216。 填表式調(diào)查問卷《資產(chǎn)調(diào)查表》包含計(jì)算機(jī)設(shè)備、通訊設(shè)備、存儲及保障設(shè)備、信息、軟件等。216。 問詢式調(diào)查問卷《人員和安全管理調(diào)查表》《物理環(huán)境調(diào)查表》《安全技術(shù)保障措施調(diào)查表》《業(yè)務(wù)狀況調(diào)查表》216。 面對面交流（人工訪談）審閱已有的安全管理規(guī)章、制度與高級主管、業(yè)務(wù)人員、網(wǎng)絡(luò)管理員（系統(tǒng)管理員）等進(jìn)行交流調(diào)查問卷內(nèi)容對涉及安全的各個(gè)因素的詳細(xì)調(diào)查與分析[1]. 安全事件事件的要素有：時(shí)間，地點(diǎn)，起因，描述，主體，客體，處理，備注[2]. 安全素質(zhì)內(nèi)部人員、外部網(wǎng)絡(luò)用戶；基本知識考核、專業(yè)技術(shù)、安全技術(shù)、應(yīng)急處理能力、管理、安全意識、培訓(xùn)狀況、人員管理情況（不滿、開除、離職）[3]. 安全措施分類為網(wǎng)絡(luò)的、應(yīng)用的、管理的；安全投資、實(shí)施安全措施后的效果[4]. 安全需求系統(tǒng)管理員的想法[5]. 物理環(huán)境[6]. 網(wǎng)絡(luò)結(jié)構(gòu)物理、邏輯拓?fù)鋱D、協(xié)議[7]. 與外單位及用戶互聯(lián)的網(wǎng)絡(luò)服務(wù)（撥號接入、專線接入）接入服務(wù)器、路由器、交換機(jī)等的安全配置[8]. 網(wǎng)管系統(tǒng)軟件版本、配置、口令、管理范圍[9]. 主機(jī)系統(tǒng)[10]. 應(yīng)用系統(tǒng)[11]. 數(shù)據(jù)[12]. 安全系統(tǒng)：防火墻、防病毒（見資產(chǎn)調(diào)查）[13]. 安全相關(guān)人員[14]. 處理流程[15]. 制度[16]. 策略問題的方式調(diào)查問卷的問題設(shè)計(jì)可以結(jié)合以下兩種方式：216。 開放式的問題216。 封閉式的問題附錄C 交付文檔范例《資產(chǎn)評估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 資產(chǎn)的定義及分類. 資產(chǎn)的定義. 資產(chǎn)的分類. 資產(chǎn)評估的定義及目的. 資產(chǎn)評估的定義. 資產(chǎn)評估的目的. 資產(chǎn)評估的內(nèi)容. 資產(chǎn)評估的方式和數(shù)據(jù)來源. 資產(chǎn)的等級劃分. 資產(chǎn)評估參照的標(biāo)準(zhǔn)和依據(jù)2. 資產(chǎn)歸類及價(jià)值分析. 超核心資產(chǎn)列表與價(jià)值分析. 核心資產(chǎn)列表與價(jià)值分析. 高級資產(chǎn)列表與價(jià)值分析. 中級資產(chǎn)列表與價(jià)值分析. 一般資產(chǎn)列表與價(jià)值分析3. 資產(chǎn)的管理4. 資產(chǎn)的使用和維護(hù). 資產(chǎn)的實(shí)際利用情況. 資產(chǎn)的維護(hù)5. 資產(chǎn)的保護(hù)6. 資產(chǎn)評估總結(jié). 資產(chǎn)保護(hù)的層次. 需要保護(hù)的重點(diǎn)資產(chǎn)《漏洞評估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 定義. 漏洞的定義. 漏洞評估的定義. 漏洞級別的劃分. 漏洞評估的目的. 漏洞評估的內(nèi)容. 技術(shù)漏洞的評估. 非技術(shù)漏洞的評估. 漏洞評估的方式. 調(diào)查與問卷評估. 系統(tǒng)評估. 參考標(biāo)準(zhǔn)2. 基于資產(chǎn)的技術(shù)性漏洞列表. 超核心資產(chǎn)存在的漏洞. 核心資產(chǎn)存在的漏洞. 高級資產(chǎn)存在的漏洞. 中級資產(chǎn)存在的漏洞. 一般資產(chǎn)存在的漏洞3. 技術(shù)性漏洞抽樣統(tǒng)計(jì)4. 非技術(shù)性漏洞統(tǒng)計(jì)分析. 安全策略. 概念和范圍. 存在的不足. 物理和環(huán)境安全. 概念和范圍. 存在的不足. 人事安全. 概念. 內(nèi)部人員威脅概述. 存在的不足. 訪問控制. 概念和范圍. 存在的不足. 組織安全. 概念和范圍. 存在的不足. 運(yùn)行安全. 概念和范圍. 存在的不足. 開發(fā)與維護(hù). 概念和范圍. 存在的不足. 業(yè)務(wù)連續(xù)性管理. 概念和范圍. 存在的不足. 遵循性. 概念和范圍. 存在的不足5. 綜合分析. 已知漏洞的跟蹤能力. 未知漏洞的防御能力《威脅評估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 威脅的定義及屬性. 威脅的定義. 威脅的屬性. 威脅評估的定義及目的. 威脅評估的定義. 威脅評估的目的. 威脅評估的內(nèi)容. 自然威脅. 人為威脅. 威脅后果的分析方法. 從可用性角度分析. 從完整性角度分析. 從保密性角度分析. 從可審計(jì)性角度分析. 從保障性角度分析. 威脅評估的方式. 參考標(biāo)準(zhǔn)2. 基于資產(chǎn)的威脅分析3. 威脅綜合統(tǒng)計(jì). 威脅列表. 威脅分布. 威脅分析：. 遭受遠(yuǎn)程拒絕服務(wù)攻擊威脅. 遭受遠(yuǎn)程滲透入侵攻擊的威脅. 遭受蠕蟲攻擊的威脅. 遭受自然不可抗力的威脅. 數(shù)據(jù)安全威脅《風(fēng)險(xiǎn)評估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 定義. 風(fēng)險(xiǎn)的定義. 風(fēng)險(xiǎn)評估的定義. 風(fēng)險(xiǎn)評估的目的. 風(fēng)險(xiǎn)評估的內(nèi)容. 風(fēng)險(xiǎn)的分級說明. 風(fēng)險(xiǎn)計(jì)算方法. 風(fēng)險(xiǎn)計(jì)算模型. 輸入要素描述. 輸出要素描述. 參考標(biāo)準(zhǔn)2. 抽樣風(fēng)險(xiǎn)評估3. 節(jié)點(diǎn)風(fēng)險(xiǎn)評估. 遭受遠(yuǎn)程拒絕服務(wù)攻擊的風(fēng)險(xiǎn). 遭受遠(yuǎn)程滲透入侵攻擊的風(fēng)險(xiǎn). 遭受蠕蟲攻擊的風(fēng)險(xiǎn). 遭受自然不可抗力的風(fēng)險(xiǎn). 數(shù)據(jù)風(fēng)險(xiǎn)4. 業(yè)務(wù)風(fēng)險(xiǎn)分析. 專線接入服務(wù). 虛擬主機(jī). 撥號接入服務(wù). 認(rèn)證服務(wù). 其他應(yīng)用5. 總結(jié)《安全策略建議部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 定義. 目的. 內(nèi)容. 標(biāo)準(zhǔn). 依據(jù)2. 整體策略. 與人相關(guān)的安全策略. 與“技術(shù)”相關(guān)的安全策略. 與“行動(dòng)”相關(guān)的策略3. 防護(hù)策略. 管理對策. 技術(shù)對策. 物理安全策略. 訪問控制策略. 路由交換設(shè)備安全策略. 業(yè)務(wù)系統(tǒng)安全策略. 網(wǎng)管系統(tǒng)安全策略. 應(yīng)用系統(tǒng)安全策略. 操作系統(tǒng)安全策略. 數(shù)據(jù)庫系統(tǒng)安全策略. 數(shù)據(jù)存儲與傳輸安全策略. 安全設(shè)備策略4. 監(jiān)控策略. 目的. 現(xiàn)狀. 建議5. 響應(yīng)策略. 目的. 現(xiàn)狀. 建議《安全解決方案部分》目錄1 前言 背景 目的 內(nèi)容 標(biāo)準(zhǔn) 依據(jù)2 安全管理 培訓(xùn) 意識培養(yǎng) 組織 制度流程3 邊界保護(hù) 路由交換設(shè)備安全配置 目的 現(xiàn)狀和原因 配置建議 防火墻系統(tǒng)安全配置 目的 現(xiàn)狀和原因 配置建議4 平臺保護(hù) 操作系統(tǒng) 目的和內(nèi)容 Windows 2000系統(tǒng)安全配置 Windows NT SOLARIS系統(tǒng)安全配置 Linux系統(tǒng)安全配置 IRIX系統(tǒng)安全配置 數(shù)據(jù)庫系統(tǒng)安全加固 MS SQL Server數(shù)據(jù)庫系統(tǒng)的安全加固 Oracle數(shù)據(jù)庫系統(tǒng)的安全加固5 基礎(chǔ)設(shè)施 檢測與監(jiān)控 措施 效果 響應(yīng)與恢復(fù) 措施 效果6 附錄附錄D 資產(chǎn)分類清單1 物理資產(chǎn) 臺式電腦 筆記本電腦 服務(wù)器 路由器 交換機(jī) 集線器 線纜 存儲設(shè)備 移動(dòng)存儲介質(zhì) 防火墻 入侵檢測設(shè)備 打印機(jī)等外設(shè) 加密設(shè)備 調(diào)制解調(diào)器 網(wǎng)橋 無線通訊設(shè)備2 電子信息資產(chǎn) XXXX數(shù)據(jù)文件 XXXX數(shù)據(jù)文件 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)開發(fā)文檔 XXXX系統(tǒng)開發(fā)文檔 電子郵件 重要辦公文檔（DOC/PPT/XLS等） 網(wǎng)頁3 軟件資產(chǎn) CTAIS系統(tǒng)軟件 XXX系統(tǒng)軟件 操作系統(tǒng) 中間件及支撐系統(tǒng) 數(shù)據(jù)庫 軟件開發(fā)工具 辦公軟件 防病毒軟件 入侵檢測軟件 隱患掃描軟件 其他應(yīng)用軟件4 人員 用戶 系統(tǒng)管理員 程序員 技術(shù)支持 安全管理人員5 服務(wù) 供電 網(wǎng)絡(luò)服務(wù) 消防 空調(diào) 防塵 防盜附錄E 資產(chǎn)脆弱性清單1 物理資產(chǎn) 易發(fā)生故障 易受環(huán)境影響 易被誤操作 缺乏維修、維護(hù) 缺少備件或備機(jī) 易被未授權(quán)訪問 電磁信息泄漏 無責(zé)任人 無操作指南或操作程序 易攜帶 易損壞2 電子信息資產(chǎn) 易瀏覽 易復(fù)制 易刪除 易變更 易存儲 易交換 易感染病毒3 軟件資產(chǎn) 軟件漏洞 易感染病毒 易被未授權(quán)訪問 易刪除 易修改 易盜用4 人員 缺乏信息安全專業(yè)人員 缺乏崗位安全意識 缺乏信息安全相關(guān)培訓(xùn) 易疏忽大意 易受情緒影響5 服務(wù) 供電系統(tǒng)易發(fā)生故障 防火系統(tǒng)易發(fā)生故障 通信服務(wù)系統(tǒng)易發(fā)生故障 防盜設(shè)施缺乏 空調(diào)系統(tǒng)易發(fā)生故障附錄F 資產(chǎn)威脅清單1 自然災(zāi)害及戰(zhàn)爭等 火災(zāi) 水災(zāi) 地震 臺風(fēng) 雷擊 戰(zhàn)爭 恐怖襲擊2 供電、空調(diào)、消防、通信、防盜等服務(wù)中斷或失效 電力故障導(dǎo)致意外停電 電壓不穩(wěn)燒毀設(shè)備 機(jī)房空調(diào)故障導(dǎo)致溫度過高 機(jī)房空調(diào)故障導(dǎo)致濕度過高 防塵處理不足 消防設(shè)備不足或故障導(dǎo)致火災(zāi)隱患 通信服務(wù)中斷（電信運(yùn)營商責(zé)任） 偷竊 丟失 靜電3 設(shè)施和設(shè)備的硬件故障、老化和軟件故障 硬件故障 缺乏維修、維護(hù) 缺少備件或備機(jī) 意外宕機(jī)、死機(jī) 軟件故障 過載 線纜老化4 惡意的入侵和攻擊 黑客 內(nèi)部人員破壞 線路監(jiān)聽 線纜被破壞5 信息安全專業(yè)人員不足及人員誤操作 信息安全專業(yè)人員缺乏 崗位安全意識缺乏 沒有文件化的操作程序 人員誤操作 防火墻規(guī)則配置失當(dāng) 路由器配置失當(dāng) 交換機(jī)配置失當(dāng) 服務(wù)器配置失當(dāng) 軟件配置失當(dāng) 缺乏系統(tǒng)審計(jì) 信息處理設(shè)備的不安全報(bào)廢 信息存儲介質(zhì)的不安全報(bào)廢 缺乏信息安全相關(guān)培訓(xùn)6 未授權(quán)訪問 未授權(quán)瀏覽破壞保密性 未授權(quán)修改破壞完整性或可用性 未授權(quán)刪除 未授權(quán)復(fù)制 電磁信息監(jiān)聽 假冒合法用戶 越權(quán)訪問 離開時(shí)桌面和屏幕沒有清空7 病毒和惡意程序 計(jì)算機(jī)病毒 特洛伊木馬 網(wǎng)絡(luò)監(jiān)聽程序8 違反國家安全法律法規(guī)方面的威脅 使用非法加密設(shè)備 使用非法密碼算法 內(nèi)網(wǎng)設(shè)備撥號或用其他方式聯(lián)入公網(wǎng) 沒有采取物理隔離 違反涉密信息系統(tǒng)集成資質(zhì)規(guī)定 違反信息安全產(chǎn)品銷售許可證制度 盜版軟件使用9 其他威脅