某信息安全技術(shù)公司風(fēng)險(xiǎn)評(píng)估概述-資料下載頁(yè)
2025-01-25 17:07本頁(yè)面
【正文】 52 ? 檢查列表編寫(xiě)的依據(jù)，是評(píng)估準(zhǔn)則，也就是信息安全管理標(biāo)準(zhǔn)、組織信息安全方針手冊(cè)等文件的要求 ? 針對(duì)受評(píng)估部門(mén)的特點(diǎn)，重點(diǎn)選擇某些應(yīng)該格外關(guān)注的信息安全問(wèn)題 ? 信息的收集和驗(yàn)證的方法應(yīng)該多種多樣，包括面談、觀察、文件和記錄的收集和匯總分析、從其他信息源（客戶(hù)反饋、外部報(bào)告等）收集信息等 ? 檢查列表應(yīng)該具有可操作性 ? 檢查列表內(nèi)容應(yīng)該能夠覆蓋體系所涉及的全部范圍和安全要求 ? 如果采用了技術(shù)性評(píng)估，可在檢查列表中列出具體方法和工具 ? 檢查列表的形式和詳略程度可采取靈活方式 ? 檢查列表要經(jīng)過(guò)信息安全主管人員審查無(wú)誤后才能使用 檢查列表編寫(xiě)注意事項(xiàng) 53 風(fēng)險(xiǎn)評(píng)估技術(shù)工具清單 ? 技術(shù)漏洞掃描工具 ? 綠盟漏洞掃描器 ? 安信通數(shù)據(jù)庫(kù)掃描器 ? Nessus 掃描器 ? Ratioanl Appscan 54 風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過(guò)程 計(jì)劃 準(zhǔn)備 實(shí)施 報(bào)告 跟蹤 55 召開(kāi)首次會(huì)議 ? 在完成全部評(píng)估準(zhǔn)備工作之后，評(píng)估小組就可以按照預(yù)先的計(jì)劃實(shí)施現(xiàn)場(chǎng)評(píng)估了，現(xiàn)場(chǎng)評(píng)估開(kāi)始于首次會(huì)議，評(píng)估小組全體成員和受評(píng)估方領(lǐng)導(dǎo)及相關(guān)人員共同參加。 ? 首次會(huì)議由評(píng)估組長(zhǎng)主持，評(píng)估小組要向組織的相關(guān)人員介紹評(píng)估計(jì)劃、具體內(nèi)容、評(píng)估方法，并協(xié)調(diào)、澄清有關(guān)問(wèn)題。 ? 召開(kāi)首次會(huì)議時(shí)，與會(huì)者應(yīng)該做好正式記錄。 56 首次會(huì)議議程及內(nèi)容 57 風(fēng)險(xiǎn)評(píng)估原則 ? 在風(fēng)險(xiǎn)評(píng)估前，需要對(duì)技術(shù)評(píng)估的風(fēng)險(xiǎn)進(jìn)行重審。 ? 被評(píng)估方應(yīng)在接受技術(shù)評(píng)估前對(duì)業(yè)務(wù)系統(tǒng)備份。 ? 在技術(shù)掃描過(guò)程中，需要系統(tǒng)管理員全程陪同。 ? 參考最近一年的風(fēng)險(xiǎn)評(píng)估記錄 . ? 在遇到異常情況時(shí)，及時(shí)通知管理員，并且停止評(píng)估。 ? 技術(shù)評(píng)估安排在對(duì)系統(tǒng)影響較小的時(shí)間進(jìn)行 58 實(shí)施現(xiàn)場(chǎng)評(píng)估 ? 首次會(huì)議之后，即可進(jìn)入現(xiàn)場(chǎng)評(píng)估?，F(xiàn)場(chǎng)評(píng)估按計(jì)劃進(jìn)行，評(píng)估內(nèi)容參照事先準(zhǔn)備好的檢查列表。 ? 評(píng)估期間，評(píng)估員應(yīng)該做好筆記和記錄，這些記錄是評(píng)估員提出報(bào)告的真憑實(shí)據(jù)。記錄的格式可以是“筆記式”，也可以是“記錄表式”，一般來(lái)說(shuō)，內(nèi)審活動(dòng)都應(yīng)該有統(tǒng)一的“現(xiàn)場(chǎng)評(píng)估記錄表”，便于規(guī)范化管理。 ? 評(píng)估進(jìn)行到適當(dāng)階段，評(píng)估組長(zhǎng)應(yīng)該主持召開(kāi)評(píng)估小組會(huì)議，借此了解各個(gè)評(píng)估員的工作進(jìn)展，提出下一步工作要求，協(xié)調(diào)有關(guān)活動(dòng)，并對(duì)已獲得的評(píng)估證據(jù)和評(píng)估發(fā)現(xiàn)展開(kāi)分析和討論。 59 對(duì)不符合項(xiàng)進(jìn)行描述 ? 無(wú)論是嚴(yán)重不符合項(xiàng)還是輕微不符合項(xiàng)，評(píng)估員都應(yīng)該將其記錄到不符合項(xiàng)報(bào)告中。不符合項(xiàng)報(bào)告是對(duì)現(xiàn)場(chǎng)評(píng)估得到的評(píng)估發(fā)現(xiàn)進(jìn)行評(píng)審并 經(jīng)過(guò)受評(píng)估方確認(rèn) 的對(duì)不符合項(xiàng)的陳述，是最終的評(píng)估報(bào)告的一部分，是評(píng)估小組提交給委托方或受評(píng)估方的正式文件。 ? 不符合項(xiàng)描述應(yīng)該明確以下內(nèi)容： ? 在哪里發(fā)現(xiàn)的？描述相關(guān)區(qū)域、文件、記錄、設(shè)備 ? 發(fā)現(xiàn)了什么？客觀描述發(fā)現(xiàn)的事實(shí) ? 有誰(shuí)在場(chǎng)？或者和誰(shuí)有關(guān)？描述相關(guān)人員、職位 ? 為什么不合格？描述不符合原因，所違背的標(biāo)準(zhǔn)或文件條款 ? 在對(duì)不符合項(xiàng)進(jìn)行描述時(shí)，應(yīng)該注意： ? 不符合項(xiàng)描述務(wù)必清楚明白，便于追溯 ? 描述語(yǔ)句務(wù)必正規(guī)，采用標(biāo)準(zhǔn)術(shù)語(yǔ) 60 現(xiàn)場(chǎng)工作時(shí)間安排（一） 現(xiàn)場(chǎng)工作時(shí)間安排（二） 62 召開(kāi)評(píng)估小組會(huì)議 ? 現(xiàn)場(chǎng)評(píng)估結(jié)束后，末次會(huì)議召開(kāi)之前，評(píng)估小組應(yīng)該召開(kāi)內(nèi)部碰頭會(huì)。或者是在整個(gè)評(píng)估過(guò)程中，定期（每天結(jié)束時(shí)）召開(kāi)評(píng)估小組碰頭會(huì) ? 同一評(píng)估小組的成員參加 ? 會(huì)議期間討論當(dāng)前的評(píng)估結(jié)果 ? 溝通評(píng)估信息、線(xiàn)索 ? 協(xié)調(diào)評(píng)估方向，控制評(píng)估實(shí)施按計(jì)劃進(jìn)行 ? 評(píng)估組長(zhǎng)作評(píng)估總結(jié)準(zhǔn)備。在末次會(huì)議之前的評(píng)估組會(huì)議中，評(píng)估組長(zhǎng)要對(duì)評(píng)估的觀察結(jié)果作一次匯總分析： ? 從發(fā)現(xiàn)的風(fēng)險(xiǎn)進(jìn)行分析（發(fā)生的部門(mén)、要素、性質(zhì)、類(lèi)型） ? 從技術(shù)漏洞的趨勢(shì)分析（不同業(yè)務(wù)系統(tǒng)的比較） ? 從體系運(yùn)行狀況對(duì)影響情況進(jìn)行分析 ? 總結(jié)各項(xiàng)安全措施落實(shí)的優(yōu)缺點(diǎn) 63 召開(kāi)末次會(huì)議 ? 現(xiàn)場(chǎng)評(píng)估之后，評(píng)估組長(zhǎng)應(yīng)該主持召開(kāi)末次會(huì)議，有評(píng)估小組、受評(píng)估方領(lǐng)導(dǎo)和各相關(guān)部門(mén)負(fù)責(zé)人共同參加。 ? 末次會(huì)議的任務(wù)在于：向受評(píng)估方介紹評(píng)估的情況；報(bào)告評(píng)估發(fā)現(xiàn)（重大風(fēng)險(xiǎn)點(diǎn)）和評(píng)估結(jié)論；提出后續(xù)工作的建議（糾正措施等）；結(jié)束現(xiàn)場(chǎng)評(píng)估。 64 末次會(huì)議議程及內(nèi)容 電力行業(yè)典型系統(tǒng)構(gòu)架 資產(chǎn)識(shí)別模型 網(wǎng)絡(luò)層 機(jī)房、通信鏈路 網(wǎng)絡(luò)設(shè)備 1 操作系統(tǒng)、主機(jī)設(shè)備 軟件 OA 人員、文檔、制度 業(yè)務(wù)層 物理層 主機(jī)層 應(yīng)用層 管理層 EAI/EIP 工程管理 物資管理 生產(chǎn)管理 營(yíng)銷(xiāo)系統(tǒng) 人力資源 綜合管理 操作系統(tǒng)、主機(jī)設(shè)備 網(wǎng)絡(luò)設(shè)備 2 數(shù)據(jù) 軟件 軟件 軟件 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù)層 謝 謝！ 演講完畢，謝謝觀看！
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1