【正文】 風(fēng)險(xiǎn)評(píng)估框架及流程 風(fēng)險(xiǎn)要素關(guān)系　風(fēng)險(xiǎn)評(píng)估中各要素的關(guān)系如圖所示：脆弱性 資產(chǎn)價(jià)值威脅資產(chǎn)風(fēng)險(xiǎn) 安全需求業(yè)務(wù)戰(zhàn)略安全事件 殘余風(fēng)險(xiǎn) 安全措施利用暴露 具有成本被滿(mǎn)足未控制可能誘發(fā)演變?cè)黾?導(dǎo)出依賴(lài)增加降低抵御未被滿(mǎn)足　風(fēng)險(xiǎn)評(píng)估要素關(guān)系圖圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。安全措施 security measureXX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 27 頁(yè) 共 93 頁(yè)保護(hù)資產(chǎn)、抵御威脅、減少脆弱性、降低安全事件的影響，以及打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制。一個(gè)單位是一個(gè)組織，某個(gè)業(yè)務(wù)部門(mén)也可以是一個(gè)組織。檢查評(píng)估 inspection assessment由被評(píng)估組織的上級(jí)主管機(jī)關(guān)或業(yè)務(wù)主管機(jī)關(guān)發(fā)起的，依據(jù)國(guó)家有關(guān)法規(guī)與標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及其管理進(jìn)行的具有強(qiáng)制性的檢查活動(dòng)。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 26 頁(yè) 共 93 頁(yè)（信息安全）風(fēng)險(xiǎn)評(píng)估 （information security） risk assessment依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過(guò)程?？捎眯? availability數(shù)據(jù)或資源的特性，被授權(quán)實(shí)體按要求能訪問(wèn)和使用數(shù)據(jù)或資源。另外，功能組件還是連接 CC 與傳統(tǒng)安全機(jī)制和服務(wù)的橋梁，以及解決 CC 同已有準(zhǔn)則如 TCSEC、ITSEC 的協(xié)調(diào)關(guān)系，如功能組件構(gòu)成 TCSEC 的各級(jí)要求。TCSEC 主要是針對(duì)操作系統(tǒng)的評(píng)估，提出的是安全功能要求，目前仍然可以用于對(duì)操作系統(tǒng)的評(píng)估。總而言之，GBT 197162020 在某些方面可能不全面，但是它仍是目前可以用來(lái)達(dá)到一定預(yù)防標(biāo)準(zhǔn)的最好的指導(dǎo)標(biāo)準(zhǔn)。用戶(hù)應(yīng)該簽署保密（不泄密）協(xié)定，但卻沒(méi)有說(shuō)阻止非法用戶(hù)截?。ú炜矗┬畔ⅰＭ茝V信息安全管理標(biāo)準(zhǔn)的關(guān)鍵在重視程度和制度落實(shí)方面。5 風(fēng)險(xiǎn)評(píng)估方法 引用相關(guān)標(biāo)準(zhǔn)?GBT AAAAA 信息安全風(fēng)險(xiǎn)評(píng)估指南?GBT XXXXX 信息安全風(fēng)險(xiǎn)管理指南?GBT 197152020 信息技術(shù)安全管理指南?GBT 197162020 信息安全管理實(shí)用規(guī)則?GBT 202692020 信息系統(tǒng)安全管理要求?GBT 202822020 信息系統(tǒng)安全工程管理要求?GBT 18336 信息技術(shù)安全性評(píng)估準(zhǔn)則?GB/T 93612020　計(jì)算機(jī)場(chǎng)地安全要求?GB 178591999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則　?GB/T 183362020 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 24 頁(yè) 共 93 頁(yè)（idtISO/IEC 15408：1999）?GB/T 197162020 信息技術(shù) 信息安全管理實(shí)用規(guī)則（ISO/IEC 17799：2020 ，IDT ） 管理類(lèi)安全標(biāo)準(zhǔn)安全管理類(lèi)型的標(biāo)準(zhǔn)主要是通過(guò)制訂制度和規(guī)章來(lái)降低安全風(fēng)險(xiǎn)，GBT 197162020 是典型的安全管理類(lèi)標(biāo)準(zhǔn)。建立安全管理機(jī)構(gòu)，配備專(zhuān)職安全管理人員，落實(shí)各級(jí)領(lǐng)導(dǎo)及相關(guān)人員的責(zé)任。在結(jié)構(gòu)化設(shè)計(jì)的基礎(chǔ)上，采用核心可驗(yàn)證設(shè)計(jì)是本級(jí)的重要特征。 專(zhuān)控性保護(hù)級(jí)由信息系統(tǒng)的主管部門(mén)和使用單位根據(jù)安全需求，對(duì)信息系統(tǒng)進(jìn)行專(zhuān)門(mén)控制和保護(hù)，政府職能部門(mén)予以協(xié)助。在安全管理方面，強(qiáng)制性保護(hù)級(jí)要求“建立持續(xù)改進(jìn)的信息系統(tǒng)安全管理體系，在對(duì)安全管理過(guò)程進(jìn)行規(guī)范化定義，并對(duì)過(guò)程執(zhí)行實(shí)施監(jiān)督和檢查的基礎(chǔ)上，具有對(duì)缺陷自我發(fā)現(xiàn)、糾正和改正的能力。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 21 頁(yè) 共 93 頁(yè)在技術(shù)方面，第四級(jí)要求按照確定的安全策略，整體的實(shí)施強(qiáng)制性的安全保護(hù)。根據(jù)實(shí)際安全需求，建立安全管理機(jī)構(gòu)，配備專(zhuān)職安全管理人員，落實(shí)各級(jí)領(lǐng)導(dǎo)及相關(guān)人員的責(zé)任。在技術(shù)方面，第三級(jí)要求按照確定的安全策略，實(shí)施強(qiáng)制性的安全保護(hù)，使數(shù)據(jù)信息免遭非授權(quán)的泄漏和破壞，保證較高安全的系統(tǒng)服務(wù)。根據(jù)實(shí)際安全需求，明確機(jī)構(gòu)和人員的相應(yīng)責(zé)任。第二級(jí)安全的信息系統(tǒng)具備對(duì)信息和系統(tǒng)進(jìn)行比較完整的系統(tǒng)化的安全保護(hù)能力。在安全管理方面，自主性保護(hù)級(jí)要求“根據(jù)機(jī)構(gòu)自身安全需求，為信息系統(tǒng)正常運(yùn)行提供基本的安全管理保障” 。主要適用于一般信息系統(tǒng)。 國(guó)際國(guó)內(nèi)安全標(biāo)準(zhǔn)中的等級(jí)劃分可參照的國(guó)際和國(guó)內(nèi)標(biāo)準(zhǔn)中等級(jí)劃分如下：GB 178591999《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》此標(biāo)準(zhǔn)主要適用于計(jì)算機(jī)操作系統(tǒng)，它規(guī)定了計(jì)算機(jī)系統(tǒng)安全保護(hù)能力的五個(gè)等級(jí)，即：? 第一級(jí)：用戶(hù)自主保護(hù)級(jí)? 第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)? 第三級(jí)：安全標(biāo)記保護(hù)級(jí)? 第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)? 第五級(jí)：訪問(wèn)驗(yàn)證保護(hù)級(jí)GB18336/ISO15408此標(biāo)準(zhǔn)主要適用于安全產(chǎn)品，不適用于復(fù)雜計(jì)算機(jī)系統(tǒng)，它規(guī)定了過(guò)程控制的安全保障級(jí)別，共分 7 級(jí)：? EAL1：功能測(cè)試? EAL2：結(jié)構(gòu)測(cè)試? EAL3：系統(tǒng)測(cè)試和檢查? EAL4：系統(tǒng)設(shè)計(jì)、測(cè)試和復(fù)查，商業(yè)級(jí)別? EAL5：半形式化設(shè)計(jì)和測(cè)試? EAL6：半形式化驗(yàn)證的設(shè)計(jì)和測(cè)試? EAL7：形式化驗(yàn)證的設(shè)計(jì)和測(cè)試NAS 美國(guó)國(guó)防部信息保障技術(shù)框架本指導(dǎo)文檔規(guī)定了強(qiáng)健程度等級(jí)（SML） ，但只規(guī)定了技術(shù)體系指標(biāo)，沒(méi)有設(shè)計(jì)管理體系指標(biāo)。 《意見(jiàn)》中明確指出，信息化發(fā)展的不同階段和不同的信息系統(tǒng)，有著不同的安全需求，必須從實(shí)際出發(fā)，綜合平衡安全成本和風(fēng)險(xiǎn)，優(yōu)化信息安全資源的配置，確保重點(diǎn)。 等級(jí)化設(shè)計(jì)方法面對(duì)嚴(yán)峻的形勢(shì)和嚴(yán)重的問(wèn)題，如何解決我國(guó)信息安全問(wèn)題，是擺在我國(guó)政府、企業(yè)、公民面前的重大關(guān)鍵問(wèn)題。? 綜合安全對(duì)策框架成為安全體系在設(shè)計(jì)和選擇安全控制時(shí)，所有安全控制都應(yīng)包含為策略、組織、技術(shù)和運(yùn)作四個(gè)要素，即每條安全控制，都可以描述為“根據(jù)某某策略，由某某組織（或人員） ，利用某某技術(shù)，進(jìn)行某某操作” 。? 對(duì)安全問(wèn)題進(jìn)行結(jié)構(gòu)化分析當(dāng)信息安全問(wèn)題的范圍已經(jīng)被明確后，它必須按照結(jié)構(gòu)化原理被不斷地細(xì)分。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 13 頁(yè) 共 93 頁(yè)“安全框架”是依據(jù)框架概念，解決組織信息安全問(wèn)題的思想方法。如果不能充分覆蓋，那么解決問(wèn)題的方法就可能出現(xiàn)遺漏，嚴(yán)重影響方法的可行性。所謂“框架”概念是指用結(jié)構(gòu)化原理解決問(wèn)題的理論武器。信息安全的這個(gè)屬性表明安全應(yīng)急計(jì)劃、安全檢測(cè)、應(yīng)急響應(yīng)和災(zāi)難恢復(fù)等都應(yīng)該是安全保障體系中的重要環(huán)節(jié)。其次，為了使計(jì)算機(jī)安全體系更有針對(duì)性，在構(gòu)建時(shí)還必須考慮信息安全本身的特點(diǎn)：動(dòng)態(tài)性、相對(duì)性和整體性。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 11 頁(yè) 共 93 頁(yè) 安全體系概述一個(gè)完整的信息安全體系應(yīng)該是安全管理和安全技術(shù)實(shí)施的結(jié)合，兩者缺一不可。這兩種模型都存在著一定的缺陷，模型化思路的主要難點(diǎn)在于難以完整和準(zhǔn)確地表達(dá)一個(gè)信息系統(tǒng)，因?yàn)樾畔踩且粋€(gè)極為復(fù)雜的系統(tǒng)工程，和組織\企業(yè)的業(yè)務(wù)目標(biāo)和業(yè)務(wù)特性緊密相關(guān)，又必須符合企業(yè)的管理模式和文化，在不同的企業(yè)中表現(xiàn)出極大的差異性。下面分別描述這三種設(shè)計(jì)方法?？v深防御，全面防護(hù)。標(biāo)準(zhǔn)規(guī)范，完整適用。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 9 頁(yè) 共 93 頁(yè)4 總體設(shè)計(jì)方法安全保障體系設(shè)計(jì)原則如下：綜合防范，重點(diǎn)防御?？蛻?hù)端軟件一般采用 WindowsXP，在客戶(hù)端需要安裝 Smart Client。數(shù)據(jù)庫(kù)服務(wù)器：采用兩臺(tái) 6M1 小型機(jī)，一臺(tái)為主數(shù)據(jù)庫(kù)服務(wù)器，另一臺(tái)做熱備。數(shù)據(jù)層是支撐邏輯事務(wù)層的底層結(jié)構(gòu)，為應(yīng)用邏輯層提供數(shù)據(jù)庫(kù)數(shù)據(jù)存取的服務(wù)。負(fù)載均衡主要是在多臺(tái) WEB 服務(wù)器間進(jìn)行客戶(hù)端請(qǐng)求的分配調(diào)整，充分利用服務(wù)器資源，提高響應(yīng)速度。表示層的主要功能是發(fā)送用戶(hù)的請(qǐng)求信息給后端的應(yīng)用邏輯，并接收應(yīng)用邏輯層返回的數(shù)據(jù)，最終展現(xiàn)在客戶(hù)端設(shè)備的界面上。? 最小影響原則：評(píng)估工作應(yīng)盡可能小地影響系統(tǒng)和網(wǎng)絡(luò)的正常運(yùn)行，不能XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 6 頁(yè) 共 93 頁(yè)對(duì)現(xiàn)有網(wǎng)絡(luò)的運(yùn)行和業(yè)務(wù)的正常提供產(chǎn)生顯著影響(包括系統(tǒng)性能明顯下降、網(wǎng)絡(luò)擁塞、服務(wù)中斷，如無(wú)法避免出現(xiàn)這些情況應(yīng)在應(yīng)答書(shū)上詳細(xì)描述)。? 標(biāo)準(zhǔn)性原則：服務(wù)方案的設(shè)計(jì)與實(shí)施應(yīng)依據(jù)國(guó)內(nèi)或國(guó)際的相關(guān)標(biāo)準(zhǔn)進(jìn)行。為貫徹落實(shí)意見(jiàn) 精神，XX 省人民政府信息化工作辦公室制定了貫徹的實(shí)施意見(jiàn)，文中提出從抓試點(diǎn)開(kāi)始，在三年內(nèi)普遍推行信息安全風(fēng)險(xiǎn)評(píng)估工作，為了探索和積累信息安全風(fēng)險(xiǎn)評(píng)估工作實(shí)施的方法和經(jīng)驗(yàn)，為全面推行信息安全風(fēng)險(xiǎn)評(píng)估奠定基礎(chǔ)，XX 省人民政府信息化工作辦公室決定組織開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估試點(diǎn)工作，制定了開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估試點(diǎn)實(shí)施方案，并成立了試點(diǎn)工作領(lǐng)導(dǎo)小組。委托我中心為本次試點(diǎn)的技術(shù)支撐機(jī)構(gòu)。? 規(guī)范性原則：服務(wù)提供商工作中的過(guò)程和文檔，具有很好的規(guī)范性，可以便于項(xiàng)目的跟蹤和控制。? 保密原則：對(duì)評(píng)估的過(guò)程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不得利用此數(shù)據(jù)進(jìn)行任何侵害甲方網(wǎng)絡(luò)的行為，否則甲方有權(quán)追究乙方的責(zé)任。 Framework 構(gòu)建的智能客戶(hù)端（smart client） 。目前采用了一臺(tái) F5 的負(fù)載均衡器實(shí)現(xiàn)。在數(shù)據(jù)層中保存了征管系統(tǒng)的所有數(shù)據(jù)。當(dāng)一臺(tái)機(jī)器出故障時(shí)，另外一臺(tái)會(huì)自動(dòng)接管，保證應(yīng)用系統(tǒng)的連續(xù)性。應(yīng)用服務(wù)器采用 Windows2020 Advanced Server 操作系統(tǒng)。按照我國(guó)信息安全保障工作“積極防御，綜合防范”的基本方針，涉密系統(tǒng)建設(shè)應(yīng)首先符合國(guó)家保密局制定的相關(guān)文件的要求；堅(jiān)持管理與技術(shù)并重，加強(qiáng)以密碼技術(shù)為基礎(chǔ)的信息保護(hù)和網(wǎng)絡(luò)信人體系建設(shè)，建立和完善信息安全監(jiān)控系統(tǒng)，建立健全信息安全應(yīng)急處理協(xié)調(diào)機(jī)制。安全體系的建設(shè)必須充分利用成熟的信息安全理論成果，參照國(guó)際和國(guó)內(nèi)的安全標(biāo)準(zhǔn)和規(guī)范組織實(shí)施，具有較高的整體性、適用性和可擴(kuò)展性。安全體系設(shè)計(jì)不只依靠單一的安全機(jī)制和多種安全服務(wù)的堆砌，要通過(guò)多層機(jī)制互相提供必要的冗余和備份，建立完備體系，一旦系統(tǒng)運(yùn)行出現(xiàn)差錯(cuò)或發(fā)生故障時(shí)必須拒絕侵襲者的訪問(wèn)。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 10 頁(yè) 共 93 頁(yè) 體系化設(shè)計(jì)方法近年來(lái)，隨著計(jì)算機(jī)技術(shù)的迅猛發(fā)展，安全的重要性越來(lái)越突出。而最佳實(shí)施的主要缺陷是安全控制的不可枚舉性，尤其是隨著安全技術(shù)日益發(fā)展，安全控制的更新也是非?？斓?。為了實(shí)現(xiàn)對(duì)信息系統(tǒng)的多層保護(hù)，真正達(dá)到信息安全保障的目標(biāo)，國(guó)外安全保障理論也在不斷的發(fā)展之中，美國(guó)國(guó)家安全局從 1998 年以來(lái)開(kāi)展了信息安全保障技術(shù)框架（IATF）的研究工作，并在 2020 年 10 月發(fā)布了 IATF 版本，在 IATF 中提出信息安全保障的深度防御戰(zhàn)略模型，將防御體系分為策略、組織、技術(shù)和操作四個(gè)要素，強(qiáng)調(diào)在安全體系中進(jìn)行多層保護(hù)。信息安全的動(dòng)態(tài)性指的是信息系統(tǒng)中存在的各種安全風(fēng)險(xiǎn)處于不斷的變化之中，從內(nèi)因看，信息系統(tǒng)本身就在變化和發(fā)展之中，信息系統(tǒng)中設(shè)備的更新、操作系統(tǒng)或者應(yīng)用系統(tǒng)的升級(jí)、系統(tǒng)設(shè)置的變化、業(yè)務(wù)的變化等要素都可能導(dǎo)致新的安全風(fēng)險(xiǎn)的出現(xiàn)。XX 市地稅局風(fēng)險(xiǎn)評(píng)估試點(diǎn)項(xiàng)目項(xiàng)目實(shí)施方案 第 12 頁(yè) 共 93 頁(yè)信息安全的整體性指的是信息安全是一個(gè)整體的目標(biāo)，正如木桶的裝水容量取決于最短的木塊一樣，一個(gè)信息系統(tǒng)的安全水平也取決于防御最薄弱的環(huán)節(jié)。它早已被廣泛地應(yīng)用在管理咨詢(xún)和戰(zhàn)略咨詢(xún)等方面。? 互不重疊所有子問(wèn)題都不允許出現(xiàn)重復(fù)，類(lèi)似以下的情況不應(yīng)出現(xiàn)在一個(gè)框架中：? 兩個(gè)不同的子問(wèn)題其實(shí)是同一個(gè)子問(wèn)題的兩種表述；? 某一個(gè)子問(wèn)題其實(shí)是另外兩個(gè)問(wèn)題或多個(gè)問(wèn)題的合并。它包括以下幾方面的含義：? 界定安全問(wèn)題的范圍正如前面所提，信息安全問(wèn)題涉及的范圍很廣，有時(shí)甚至和傳統(tǒng)安全問(wèn)題牽扯在一起。這時(shí)整個(gè)安全問(wèn)題已經(jīng)被結(jié)構(gòu)化為“保護(hù)對(duì)象框架” 。將安全控制的四要素分別綜合起來(lái)，成為策略體系、組織體系、技術(shù)體系和運(yùn)作體系。美國(guó)及西方發(fā)達(dá)國(guó)家為了抵御信息網(wǎng)絡(luò)的脆弱性和安全威脅，制定了一系列強(qiáng)化信息網(wǎng)絡(luò)安全建設(shè)的政策和標(biāo)準(zhǔn)，其中一個(gè)很重要思想就是按照安全保護(hù)強(qiáng)度劃分不同的安全等級(jí)，以指導(dǎo)不同領(lǐng)域的信息安全工作。 實(shí)施信息安全等級(jí)保護(hù)，可以有效地提高我國(guó)信息系統(tǒng)安全建設(shè)的整體水平，有利于在信息化建設(shè)過(guò)程中同步建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相協(xié)調(diào)；有利于加強(qiáng)對(duì)涉及國(guó)家安全、經(jīng)濟(jì)秩序