【正文】 封閉式的問(wèn)題附錄C 交付文檔范例《資產(chǎn)評(píng)估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 資產(chǎn)的定義及分類. 資產(chǎn)的定義. 資產(chǎn)的分類. 資產(chǎn)評(píng)估的定義及目的. 資產(chǎn)評(píng)估的定義. 資產(chǎn)評(píng)估的目的. 資產(chǎn)評(píng)估的內(nèi)容. 資產(chǎn)評(píng)估的方式和數(shù)據(jù)來(lái)源. 資產(chǎn)的等級(jí)劃分. 資產(chǎn)評(píng)估參照的標(biāo)準(zhǔn)和依據(jù)2. 資產(chǎn)歸類及價(jià)值分析. 超核心資產(chǎn)列表與價(jià)值分析. 核心資產(chǎn)列表與價(jià)值分析. 高級(jí)資產(chǎn)列表與價(jià)值分析. 中級(jí)資產(chǎn)列表與價(jià)值分析. 一般資產(chǎn)列表與價(jià)值分析3. 資產(chǎn)的管理4. 資產(chǎn)的使用和維護(hù). 資產(chǎn)的實(shí)際利用情況. 資產(chǎn)的維護(hù)5. 資產(chǎn)的保護(hù)6. 資產(chǎn)評(píng)估總結(jié). 資產(chǎn)保護(hù)的層次. 需要保護(hù)的重點(diǎn)資產(chǎn)《漏洞評(píng)估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 定義. 漏洞的定義. 漏洞評(píng)估的定義. 漏洞級(jí)別的劃分. 漏洞評(píng)估的目的. 漏洞評(píng)估的內(nèi)容. 技術(shù)漏洞的評(píng)估. 非技術(shù)漏洞的評(píng)估. 漏洞評(píng)估的方式. 調(diào)查與問(wèn)卷評(píng)估. 系統(tǒng)評(píng)估. 參考標(biāo)準(zhǔn)2. 基于資產(chǎn)的技術(shù)性漏洞列表. 超核心資產(chǎn)存在的漏洞. 核心資產(chǎn)存在的漏洞. 高級(jí)資產(chǎn)存在的漏洞. 中級(jí)資產(chǎn)存在的漏洞. 一般資產(chǎn)存在的漏洞3. 技術(shù)性漏洞抽樣統(tǒng)計(jì)4. 非技術(shù)性漏洞統(tǒng)計(jì)分析. 安全策略. 概念和范圍. 存在的不足. 物理和環(huán)境安全. 概念和范圍. 存在的不足. 人事安全. 概念. 內(nèi)部人員威脅概述. 存在的不足. 訪問(wèn)控制. 概念和范圍. 存在的不足. 組織安全. 概念和范圍. 存在的不足. 運(yùn)行安全. 概念和范圍. 存在的不足. 開發(fā)與維護(hù). 概念和范圍. 存在的不足. 業(yè)務(wù)連續(xù)性管理. 概念和范圍. 存在的不足. 遵循性. 概念和范圍. 存在的不足5. 綜合分析. 已知漏洞的跟蹤能力. 未知漏洞的防御能力《威脅評(píng)估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 威脅的定義及屬性. 威脅的定義. 威脅的屬性. 威脅評(píng)估的定義及目的. 威脅評(píng)估的定義. 威脅評(píng)估的目的. 威脅評(píng)估的內(nèi)容. 自然威脅. 人為威脅. 威脅后果的分析方法. 從可用性角度分析. 從完整性角度分析. 從保密性角度分析. 從可審計(jì)性角度分析. 從保障性角度分析. 威脅評(píng)估的方式. 參考標(biāo)準(zhǔn)2. 基于資產(chǎn)的威脅分析3. 威脅綜合統(tǒng)計(jì). 威脅列表. 威脅分布. 威脅分析：. 遭受遠(yuǎn)程拒絕服務(wù)攻擊威脅. 遭受遠(yuǎn)程滲透入侵攻擊的威脅. 遭受蠕蟲攻擊的威脅. 遭受自然不可抗力的威脅. 數(shù)據(jù)安全威脅《風(fēng)險(xiǎn)評(píng)估部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 定義. 風(fēng)險(xiǎn)的定義. 風(fēng)險(xiǎn)評(píng)估的定義. 風(fēng)險(xiǎn)評(píng)估的目的. 風(fēng)險(xiǎn)評(píng)估的內(nèi)容. 風(fēng)險(xiǎn)的分級(jí)說(shuō)明. 風(fēng)險(xiǎn)計(jì)算方法. 風(fēng)險(xiǎn)計(jì)算模型. 輸入要素描述. 輸出要素描述. 參考標(biāo)準(zhǔn)2. 抽樣風(fēng)險(xiǎn)評(píng)估3. 節(jié)點(diǎn)風(fēng)險(xiǎn)評(píng)估. 遭受遠(yuǎn)程拒絕服務(wù)攻擊的風(fēng)險(xiǎn). 遭受遠(yuǎn)程滲透入侵攻擊的風(fēng)險(xiǎn). 遭受蠕蟲攻擊的風(fēng)險(xiǎn). 遭受自然不可抗力的風(fēng)險(xiǎn). 數(shù)據(jù)風(fēng)險(xiǎn)4. 業(yè)務(wù)風(fēng)險(xiǎn)分析. 專線接入服務(wù). 虛擬主機(jī). 撥號(hào)接入服務(wù). 認(rèn)證服務(wù). 其他應(yīng)用5. 總結(jié)《安全策略建議部分》目錄1. 定義、范圍和標(biāo)準(zhǔn). 定義. 目的. 內(nèi)容. 標(biāo)準(zhǔn). 依據(jù)2. 整體策略. 與人相關(guān)的安全策略. 與“技術(shù)”相關(guān)的安全策略. 與“行動(dòng)”相關(guān)的策略3. 防護(hù)策略. 管理對(duì)策. 技術(shù)對(duì)策. 物理安全策略. 訪問(wèn)控制策略. 路由交換設(shè)備安全策略. 業(yè)務(wù)系統(tǒng)安全策略. 網(wǎng)管系統(tǒng)安全策略. 應(yīng)用系統(tǒng)安全策略. 操作系統(tǒng)安全策略. 數(shù)據(jù)庫(kù)系統(tǒng)安全策略. 數(shù)據(jù)存儲(chǔ)與傳輸安全策略. 安全設(shè)備策略4. 監(jiān)控策略. 目的. 現(xiàn)狀. 建議5. 響應(yīng)策略. 目的. 現(xiàn)狀. 建議《安全解決方案部分》目錄1 前言 背景 目的 內(nèi)容 標(biāo)準(zhǔn) 依據(jù)2 安全管理 培訓(xùn) 意識(shí)培養(yǎng) 組織 制度流程3 邊界保護(hù) 路由交換設(shè)備安全配置 目的 現(xiàn)狀和原因 配置建議 防火墻系統(tǒng)安全配置 目的 現(xiàn)狀和原因 配置建議4 平臺(tái)保護(hù) 操作系統(tǒng) 目的和內(nèi)容 Windows 2000系統(tǒng)安全配置 Windows NT SOLARIS系統(tǒng)安全配置 Linux系統(tǒng)安全配置 IRIX系統(tǒng)安全配置 數(shù)據(jù)庫(kù)系統(tǒng)安全加固 MS SQL Server數(shù)據(jù)庫(kù)系統(tǒng)的安全加固 Oracle數(shù)據(jù)庫(kù)系統(tǒng)的安全加固5 基礎(chǔ)設(shè)施 檢測(cè)與監(jiān)控 措施 效果 響應(yīng)與恢復(fù) 措施 效果6 附錄附錄D 資產(chǎn)分類清單1 物理資產(chǎn) 臺(tái)式電腦 筆記本電腦 服務(wù)器 路由器 交換機(jī) 集線器 線纜 存儲(chǔ)設(shè)備 移動(dòng)存儲(chǔ)介質(zhì) 防火墻 入侵檢測(cè)設(shè)備 打印機(jī)等外設(shè) 加密設(shè)備 調(diào)制解調(diào)器 網(wǎng)橋 無(wú)線通訊設(shè)備2 電子信息資產(chǎn) XXXX數(shù)據(jù)文件 XXXX數(shù)據(jù)文件 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)源代碼 XXXX系統(tǒng)開發(fā)文檔 XXXX系統(tǒng)開發(fā)文檔 電子郵件 重要辦公文檔（DOC/PPT/XLS等） 網(wǎng)頁(yè)3 軟件資產(chǎn) CTAIS系統(tǒng)軟件 XXX系統(tǒng)軟件 操作系統(tǒng) 中間件及支撐系統(tǒng) 數(shù)據(jù)庫(kù) 軟件開發(fā)工具 辦公軟件 防病毒軟件 入侵檢測(cè)軟件 隱患掃描軟件 其他應(yīng)用軟件4 人員 用戶 系統(tǒng)管理員 程序員 技術(shù)支持 安全管理人員5 服務(wù) 供電 網(wǎng)絡(luò)服務(wù) 消防 空調(diào) 防塵 防盜附錄E 資產(chǎn)脆弱性清單1 物理資產(chǎn) 易發(fā)生故障 易受環(huán)境影響 易被誤操作 缺乏維修、維護(hù) 缺少備件或備機(jī) 易被未授權(quán)訪問(wèn) 電磁信息泄漏 無(wú)責(zé)任人 無(wú)操作指南或操作程序 易攜帶 易損壞2 電子信息資產(chǎn) 易瀏覽 易復(fù)制 易刪除 易變更 易存儲(chǔ) 易交換 易感染病毒3 軟件資產(chǎn) 軟件漏洞 易感染病毒 易被未授權(quán)訪問(wèn) 易刪除 易修改 易盜用4 人員 缺乏信息安全專業(yè)人員 缺乏崗位安全意識(shí) 缺乏信息安全相關(guān)培訓(xùn) 易疏忽大意 易受情緒影響5 服務(wù) 供電系統(tǒng)易發(fā)生故障 防火系統(tǒng)易發(fā)生故障 通信服務(wù)系統(tǒng)易發(fā)生故障 防盜設(shè)施缺乏 空調(diào)系統(tǒng)易發(fā)生故障附錄F 資產(chǎn)威脅清單1 自然災(zāi)害及戰(zhàn)爭(zhēng)等 火災(zāi) 水災(zāi) 地震 臺(tái)風(fēng) 雷擊 戰(zhàn)爭(zhēng) 恐怖襲擊2 供電、空調(diào)、消防、通信、防盜等服務(wù)中斷或失效 電力故障導(dǎo)致意外停電 電壓不穩(wěn)燒毀設(shè)備 機(jī)房空調(diào)故障導(dǎo)致溫度過(guò)高 機(jī)房空調(diào)故障導(dǎo)致濕度過(guò)高 防塵處理不足 消防設(shè)備不足或故障導(dǎo)致火災(zāi)隱患 通信服務(wù)中斷（電信運(yùn)營(yíng)商責(zé)任） 偷竊 丟失 靜電3 設(shè)施和設(shè)備的硬件故障、老化和軟件故障 硬件故障 缺乏維修、維護(hù) 缺少備件或備機(jī) 意外宕機(jī)、死機(jī) 軟件故障 過(guò)載 線纜老化4 惡意的入侵和攻擊 黑客 內(nèi)部人員破壞 線路監(jiān)聽 線纜被破壞5 信息安全專業(yè)人員不足及人員誤操作 信息安全專業(yè)人員缺乏 崗位安全意識(shí)缺乏 沒(méi)有文件化的操作程序 人員誤操作 防火墻規(guī)則配置失當(dāng) 路由器配置失當(dāng) 交換機(jī)配置失當(dāng) 服務(wù)器配置失當(dāng) 軟件配置失當(dāng) 缺乏系統(tǒng)審計(jì) 信息處理設(shè)備的不安全報(bào)廢 信息存儲(chǔ)介質(zhì)的不安全報(bào)廢 缺乏信息安全相關(guān)培訓(xùn)6 未授權(quán)訪問(wèn) 未授權(quán)瀏覽破壞保密性 未授權(quán)修改破壞完整性或可用性 未授權(quán)刪除 未授權(quán)復(fù)制 電磁信息監(jiān)聽 假冒合法用戶 越權(quán)訪問(wèn) 離開時(shí)桌面和屏幕沒(méi)有清空7 病毒和惡意程序 計(jì)算機(jī)病毒 特洛伊木馬 網(wǎng)絡(luò)監(jiān)聽程序8 違反國(guó)家安全法律法規(guī)方面的威脅 使用非法加密設(shè)備 使用非法密碼算法 內(nèi)網(wǎng)設(shè)備撥號(hào)或用其他方式聯(lián)入公網(wǎng) 沒(méi)有采取物理隔離 違反涉密信息系統(tǒng)集成資質(zhì)規(guī)定 違反信息安全產(chǎn)品銷售許可證制度 盜版軟件使用9 其他威脅。 面對(duì)面交流（人工訪談）審閱已有的安全管理規(guī)章、制度與高級(jí)主管、業(yè)務(wù)人員、網(wǎng)絡(luò)管理員（系統(tǒng)管理員）等進(jìn)行交流調(diào)查問(wèn)卷內(nèi)容對(duì)涉及安全的各個(gè)因素的詳細(xì)調(diào)查與分析[1]. 安全事件事件的要素有：時(shí)間，地點(diǎn)，起因，描述，主體，客體，處理，備注[2]. 安全素質(zhì)內(nèi)部人員、外部網(wǎng)絡(luò)用戶；基本知識(shí)考核、專業(yè)技術(shù)、安全技術(shù)、應(yīng)急處理能力、管理、安全意識(shí)、培訓(xùn)狀況、人員管理情況（不滿、開除、離職）[3]. 安全措施分類為網(wǎng)絡(luò)的、應(yīng)用的、管理的；安全投資、實(shí)施安全措施后的效果[4]. 安全需求系統(tǒng)管理員的想法[5]. 物理環(huán)境[6]. 網(wǎng)絡(luò)結(jié)構(gòu)物理、邏輯拓?fù)鋱D、協(xié)議[7]. 與外單位及用戶互聯(lián)的網(wǎng)絡(luò)服務(wù)（撥號(hào)接入、專線接入）接入服務(wù)器、路由器、交換機(jī)等的安全配置[8]. 網(wǎng)管系統(tǒng)軟件版本、配置、口令、管理范圍[9]. 主機(jī)系統(tǒng)[10]. 應(yīng)用系統(tǒng)[11]. 數(shù)據(jù)[12]. 安全系統(tǒng)：防火墻、防病毒（見資產(chǎn)調(diào)查）[13]. 安全相關(guān)人員[14]. 處理流程[15]. 制度[16]. 策略問(wèn)題的方式調(diào)查問(wèn)卷的問(wèn)題設(shè)計(jì)可以結(jié)合以下兩種方式：216。216。附錄B 調(diào)查問(wèn)卷調(diào)查問(wèn)卷類別216。威脅，是一種事件或行為，它會(huì)有意或無(wú)意的給信息系統(tǒng)或運(yùn)行帶來(lái)潛在的損害。技術(shù)控制，技術(shù)控制由用于對(duì)系統(tǒng)或應(yīng)用程序提供自動(dòng)保護(hù)的硬件和軟件控制組成。所有系統(tǒng)和應(yīng)用程序都因?yàn)槠跈C(jī)密性，綜合性和有效性，要求有一定水平的保護(hù)，其有效性是由對(duì)被處理的程序的敏感性，系統(tǒng)與組織任務(wù)的關(guān)系以及系統(tǒng)各部分的經(jīng)濟(jì)價(jià)值的一個(gè)評(píng)估來(lái)決定的。敏感信息，是指那些信息的丟失，誤用，未經(jīng)允許的登陸或其不利影響能引起全國(guó)關(guān)注的改動(dòng)或聯(lián)合程序的引導(dǎo)或任何人都有權(quán)保留的秘密。該規(guī)則清楚地描繪了經(jīng)系統(tǒng)允許登錄的所有個(gè)人的責(zé)任和被允許的行為。它是作為用來(lái)確定一個(gè)系統(tǒng)的充分安全性的方法的一部分，這種確定方法是通過(guò)分析威脅和不足，選擇達(dá)到一個(gè)可接受的風(fēng)險(xiǎn)水平并保持這一水平的合適的且劃算的控制而進(jìn)行的。風(fēng)險(xiǎn)，風(fēng)險(xiǎn)是指在一個(gè)自動(dòng)信息系統(tǒng)里或活動(dòng)里，任何一個(gè)軟件，信息，硬件，管理上的，物理上的，通信或人員資源等的損失。它明確地分配了安全指責(zé)并設(shè)置了可靠地衡量處理和執(zhí)行情況所必須的基金。網(wǎng)絡(luò)實(shí)例包括局域網(wǎng)和廣域網(wǎng)，也包括公共互聯(lián)網(wǎng)，例如，國(guó)際互聯(lián)網(wǎng)。網(wǎng)絡(luò)，網(wǎng)絡(luò)包括允許一個(gè)用戶或系統(tǒng)與另一用戶或系統(tǒng)連接的通信能力。物質(zhì)不足是一個(gè)非常具體的術(shù)語(yǔ)，一方面用來(lái)定義金融審計(jì)，另一方面用來(lái)定義在1982年的聯(lián)邦管理人員金融綜合行為準(zhǔn)則中指出的不足。主程序可以是一個(gè)主要的軟件應(yīng)用程序或在系統(tǒng)唯一的目標(biāo)是維護(hù)一個(gè)特定任務(wù)功能時(shí)指的是軟，硬件的結(jié)合。主程序，主程序是一個(gè)要求特別維護(hù)的應(yīng)用程序，這是由于存在丟失，誤用或未經(jīng)允許的登陸或應(yīng)用程序的改動(dòng)引起的冒險(xiǎn)和損失。信息所有者有責(zé)任建立正確使用數(shù)據(jù)或信息和保護(hù)數(shù)據(jù)或信息的規(guī)則。單個(gè)應(yīng)用程序維護(hù)與相關(guān)聯(lián)的任務(wù)功能不同，用戶可能來(lái)自于相同或不同的組織。一般維護(hù)系統(tǒng)，這是在相同的直接管理控制下的一種相互聯(lián)絡(luò)的信息資源，它們彼此共享一般功能，它一般包括硬件，軟件，信息，數(shù)據(jù)，應(yīng)用程序，通信，設(shè)備和人。資源，資源是一種主程序，一般維護(hù)系統(tǒng)，高沖擊程序，物理設(shè)備，應(yīng)急任務(wù)系統(tǒng)或一組邏輯上相聯(lián)系的系統(tǒng)。 確保報(bào)告反映客戶的策略與需求附錄A 術(shù)語(yǔ)表可接受的風(fēng)險(xiǎn)，由于費(fèi)用和執(zhí)行控制的數(shù)量，所以可接受的風(fēng)險(xiǎn)是一種對(duì)責(zé)任管理來(lái)說(shuō)是可接受的利害關(guān)系。216。 清楚每種工作的影響并估計(jì)它們對(duì)客戶業(yè)務(wù)的影響216。 安全評(píng)估人員的職責(zé)在實(shí)施安全評(píng)估或?qū)徲?jì)時(shí)，安全評(píng)估人員應(yīng)該：216。 安全工程過(guò)程能力216。 組織結(jié)構(gòu)與管理216。包括216。 積極合作，思想開放216。 準(zhǔn)備技術(shù)承諾協(xié)議書與保密協(xié)議216。 執(zhí)行安全控制的用戶理解越深刻，效果就越好 客戶責(zé)任由獨(dú)立的第三方執(zhí)行安全風(fēng)險(xiǎn)評(píng)估與審計(jì)時(shí)，稅務(wù)單位應(yīng)負(fù)責(zé)下列行動(dòng)：216。 時(shí)間與資源有限216。[6]. 評(píng)價(jià)正確的行動(dòng)的效果[7]. 向管理層報(bào)告完成情況、狀態(tài)與進(jìn)度[8]. 一有機(jī)會(huì)就加強(qiáng)管理，尤其是關(guān)鍵建議的實(shí)施不夠或延期時(shí)。 行動(dòng)未開展，有原因216。 已完成216。行動(dòng)的進(jìn)度與狀態(tài)行動(dòng)有幾種不同的進(jìn)度和狀態(tài)：216。 所有的建議方案應(yīng)該根據(jù)計(jì)劃來(lái)跟進(jìn)。 為所有建議方案制定跟進(jìn)計(jì)劃；這可能包括實(shí)施計(jì)劃、預(yù)計(jì)實(shí)施時(shí)間、事項(xiàng)清單、驗(yàn)收方法與過(guò)程；216。 標(biāo)識(shí)推薦并制定跟進(jìn)計(jì)劃要執(zhí)行有效的、即時(shí)的安全性增強(qiáng)方案，必須完成下列工作：216。 建立監(jiān)督與跟進(jìn)機(jī)制管理層應(yīng)該建立監(jiān)督與跟進(jìn)機(jī)制以便跟進(jìn)建議方案。 應(yīng)該提高人員的安全意識(shí)并加強(qiáng)培訓(xùn)。 應(yīng)該理解跟進(jìn)是非常有價(jià)值的意義重大的責(zé)任；216。 應(yīng)該在整個(gè)風(fēng)險(xiǎn)評(píng)估與審計(jì)過(guò)程中給予足夠的支持；216。他們216。 應(yīng)該給他們足夠的時(shí)間和資源來(lái)執(zhí)行增強(qiáng)措施216。216。 應(yīng)該以一種合適的、有效的渠道來(lái)進(jìn)行溝通并給出建議方案 工作人員這里，工作人員指直接或者間接受建議方案影響的人員。 應(yīng)該為自己推薦的方案提供足