【正文】 通過考察三種不同安全屬性，可以得出一個(gè)能夠基本反映資產(chǎn)價(jià)值的定性的數(shù)值。信息資產(chǎn)分別具有不同的安全屬性，機(jī)密性、完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性。但是在該活動(dòng)之后，策劃已經(jīng)基本上都傳達(dá)給了大眾，所以資產(chǎn)價(jià)值已經(jīng)大部分消失，相關(guān)的安全屬性也失去保護(hù)意義。資產(chǎn)的安全價(jià)值具有很強(qiáng)的時(shí)間特性，所以應(yīng)該根據(jù)時(shí)間變化的頻度制定資產(chǎn)相關(guān)的評(píng)估和安全策略的頻度。本文中所指的信息資產(chǎn)價(jià)值全部都表示相對(duì)價(jià)值。 信息資產(chǎn)賦值信息資產(chǎn)識(shí)別完成后，形成了一個(gè)信息資產(chǎn)的清單，但對(duì)于大型組織來說，信息資產(chǎn)數(shù)目十分龐大，所以需要確認(rèn)資產(chǎn)的價(jià)值和重要性，重點(diǎn)保護(hù)關(guān)鍵的、重要的資產(chǎn)，并便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點(diǎn)、威脅和風(fēng)險(xiǎn)屬性，并進(jìn)行量化，因此需要對(duì)資產(chǎn)進(jìn)行估價(jià)。在這一階段，根據(jù)信息資產(chǎn)的種類來進(jìn)行識(shí)別。? 根據(jù)業(yè)務(wù)的重要性：比如核心區(qū)域，非核心區(qū)域等。 確定業(yè)務(wù)系統(tǒng)繪制拓?fù)鋱D以后，通過訪談等方式，確定業(yè)務(wù)系統(tǒng)，且識(shí)別業(yè)務(wù)系統(tǒng)的功能類型。在安全咨詢項(xiàng)目中，顧問應(yīng)要求用戶首先提供用戶事先拓?fù)鋱D。一般來說，拓?fù)鋱D越詳細(xì)，資產(chǎn)識(shí)別的精度也就越高。 資產(chǎn)識(shí)別過程 繪制拓?fù)鋱D資產(chǎn)識(shí)別的首要步驟是繪制拓?fù)鋱D。對(duì)于業(yè)務(wù)系統(tǒng)資產(chǎn)來說，在確立保護(hù)對(duì)象框架時(shí)，可以將其作為一個(gè)獨(dú)立的保護(hù)對(duì)象來看待。? 邊界：對(duì)應(yīng)信息資產(chǎn)，通常包括: 網(wǎng)絡(luò)設(shè)備(具有訪問控制及邊界隔離的功能模塊)，安全設(shè)備（具有訪問控制及邊界隔離功能） 。? 計(jì)算區(qū)域：對(duì)應(yīng)信息資產(chǎn)，通常包括：工作站、存儲(chǔ)設(shè)備，服務(wù)器，安全設(shè)備（不具有訪問控制及邊界隔離功能） ；當(dāng)計(jì)算區(qū)域作為一級(jí)保護(hù)對(duì)象框架時(shí)，應(yīng)按照保護(hù)對(duì)象框架的思路向下繼續(xù)分解。支撐性基礎(chǔ)設(shè)施是一組功能集合，包括入侵檢測(cè)、審計(jì)及計(jì)算機(jī)病毒防護(hù)等。邊界是一組功能集合，包括訪問控制，身份認(rèn)證等。通常包括路由器，交換機(jī)和防火墻等提供網(wǎng)路服務(wù)的局域網(wǎng)和廣域網(wǎng)。計(jì)算區(qū)域還可以按照安全性能進(jìn)一步細(xì)分，直至到安全性完全同質(zhì)。1）計(jì)算區(qū)域 ? 計(jì)算區(qū)域是指由相同功能集合在一起，安全價(jià)值相近，且面臨相似的威脅來源的一組信息系統(tǒng)組成。在列舉信息資產(chǎn)時(shí)，保護(hù)對(duì)象框架有助于識(shí)別者系統(tǒng)的進(jìn)行思考；2. 從資產(chǎn)安全估價(jià)到區(qū)域的安全性賦值，有助于降低風(fēng)險(xiǎn)分析的難度，同時(shí)確保風(fēng)險(xiǎn)分析的有效性。當(dāng)一個(gè)問題經(jīng)過框架分析后，所有不可再細(xì)分的子問題構(gòu)成了一個(gè)“框架” 。如果不能充分覆蓋，那么解決問題的方法就可能出現(xiàn)遺漏，嚴(yán)重影響本方法的可行性。例如“魚刺圖”或“問題樹” 。保護(hù)對(duì)象框架是指以結(jié)構(gòu)化的方法表達(dá)信息系統(tǒng)的框架模型。資產(chǎn)所在地理位置 信息資產(chǎn)所處的地域、機(jī)房和機(jī)柜等資產(chǎn)所在業(yè)務(wù)系統(tǒng)和部門信息資產(chǎn)所屬的業(yè)務(wù)系統(tǒng)名稱和業(yè)務(wù)系統(tǒng)所屬的部門名稱網(wǎng)絡(luò)設(shè)備 服務(wù)器工作站安全設(shè)備存儲(chǔ)設(shè)備組織和人員業(yè)務(wù)系統(tǒng)北京天融信公司 第 56 頁資產(chǎn)責(zé)任人 信息資產(chǎn)在登記過程中的責(zé)任人。應(yīng)用平臺(tái)軟件補(bǔ)丁 應(yīng)用軟件廠商發(fā)布的安全補(bǔ)丁。在其弱點(diǎn)及威脅評(píng)估時(shí)，作為考慮的因素。此處一般屬于物理安全的問題，主要的設(shè)備一般集中在機(jī)房?jī)?nèi)，所以評(píng)估時(shí)應(yīng)重點(diǎn)考慮機(jī)房提供的環(huán)境安全。組織和人員作為獨(dú)立的資產(chǎn)存在進(jìn)行識(shí)別，但不對(duì)其進(jìn)行資產(chǎn)賦值，對(duì)其安全性因素的考慮如下：? 作為“業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。在進(jìn)行弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。在進(jìn)行資產(chǎn)賦值和弱點(diǎn)及威脅分析的時(shí)候，作為考慮的因素。例如，下表是常用的一種數(shù)據(jù)分類方法：簡(jiǎn)稱 解釋/舉例公開 Public 不需要任何保密機(jī)制和措施，可以公開使用（例如產(chǎn)品發(fā)表新聞等） 。但是，完整性的重要性會(huì)隨著機(jī)密性的提高而提高。通常，數(shù)據(jù)及文檔類資產(chǎn)需要保護(hù)的安全屬性是機(jī)密性。數(shù)據(jù)及文檔資產(chǎn)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識(shí)產(chǎn)權(quán)、競(jìng)爭(zhēng)優(yōu)勢(shì)、商業(yè)秘密的載體。北京天融信公司 第 53 頁 應(yīng)用平臺(tái)軟件主要是指提供通用服務(wù)的各種平臺(tái)系統(tǒng)，包括：數(shù)據(jù)庫WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等；通常將其所代表的安全屬性落實(shí)到如下部分來體現(xiàn)：? 應(yīng)用平臺(tái)軟件作為“服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出，在進(jìn)行資產(chǎn)賦值和弱點(diǎn)的時(shí)候，作為考慮的因素。業(yè)務(wù)系統(tǒng)作為獨(dú)立的資產(chǎn)存在的同時(shí)，對(duì)于其他資產(chǎn)又存在如下關(guān)系：? 作為“網(wǎng)絡(luò)設(shè)備、服務(wù)器、工作站、安全設(shè)備、存儲(chǔ)設(shè)備”資產(chǎn)的屬性之一列出。本項(xiàng)目所指的業(yè)務(wù)系統(tǒng)是指獨(dú)立應(yīng)用、運(yùn)作的系統(tǒng)，例如短消息業(yè)務(wù)系統(tǒng)、MISC 系統(tǒng)、辦公自動(dòng)化系統(tǒng)、管理信息系統(tǒng)等，網(wǎng)管系統(tǒng)等。包括：DAS、NAS、SAN 等軟硬件設(shè)施。 安全設(shè)備安全設(shè)備主要指在信息系統(tǒng)中用作網(wǎng)絡(luò)安全保護(hù)用途的硬件設(shè)施和軟件系統(tǒng)，包括：防火墻、VPN、網(wǎng)絡(luò)入侵檢測(cè)、網(wǎng)閘、防病毒系統(tǒng)以及相關(guān)系統(tǒng)的控制臺(tái)軟硬件設(shè)施。 工作站工作站是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)軟件客戶端軟件的計(jì)算環(huán)境和 OA 系統(tǒng)中個(gè)人用機(jī)。除此之外，行業(yè)特殊的設(shè)備，例如銀行的 ATM 等，也屬于主機(jī)系統(tǒng)。 服務(wù)器服務(wù)器是指信息系統(tǒng)中承載業(yè)務(wù)系統(tǒng)和軟件的計(jì)算環(huán)境。 網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備是指構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的設(shè)備，軟件和介質(zhì)。應(yīng)用平臺(tái)軟件 主要是指提供通用服務(wù)的各種平臺(tái)系統(tǒng)，包括：數(shù)據(jù)庫WWW、Mail、FTP、DNS、以及專有的中間件產(chǎn)品等； 數(shù)據(jù)及文檔 主要指存在于電子媒介或紙制的各種數(shù)據(jù)和資料，包括數(shù)據(jù)庫數(shù)據(jù)、存放于硬盤上的文件、代碼；財(cái)務(wù)數(shù)據(jù)及書面報(bào)告等。存儲(chǔ)設(shè)備 提供存儲(chǔ)用途的硬件和軟件，如：磁盤陣列等。工作站 客戶端用機(jī)、個(gè)人用機(jī)等。包括路由器、交換機(jī)、北京天融信公司 第 51 頁RAS 等，防火墻、IDS 等安全設(shè)備除外。雖然信息資產(chǎn)具有非常廣泛的含義，但這里將信息資產(chǎn)定義如下：信息資產(chǎn)是指組織的信息系統(tǒng)、其提供的服務(wù)以及處理的數(shù)據(jù)。它們分別具有不同的價(jià)值屬性和存在特點(diǎn)，存在的弱點(diǎn)、面臨的威脅、需要進(jìn)行的保護(hù)和安全控制都各不相同。4 信息資產(chǎn)調(diào)查和賦值 信息資產(chǎn)概述資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價(jià)值因而需要保護(hù)的東西。兩者都強(qiáng)調(diào)了抗打擊能力和可控性，這就要求采用多層保護(hù)的深度防御策略，實(shí)現(xiàn)安全管理和安全技術(shù)的緊密結(jié)合，防止單點(diǎn)突破。評(píng)估成果中解決方案在設(shè)計(jì)過程中需要系統(tǒng)化的全面考慮，避免單點(diǎn)考慮，形成系統(tǒng)化措施。中海信托現(xiàn)有的安全防護(hù)措施大多屬于靜態(tài)的單點(diǎn)技術(shù)防護(hù)，單純部署安全產(chǎn)品是一種靜態(tài)的解決辦法，單純防范黑客入侵和病毒感染更是是片面的。在作評(píng)估前，我們根據(jù)多年對(duì)不同行業(yè)的豐富評(píng)估經(jīng)驗(yàn)和深刻理解，根據(jù)不同的行業(yè)業(yè)務(wù)特性和安全要求特性的理解，總結(jié)出反映行業(yè)特性的安全要求，設(shè)計(jì)出針對(duì)不同行業(yè)的安全對(duì)策指標(biāo)體系，再細(xì)化成不同行業(yè)的安全評(píng)估指標(biāo)。通常情況下，評(píng)估質(zhì)量取決于評(píng)估服務(wù)提供者和評(píng)估顧問的經(jīng)驗(yàn)是否豐富，是否非常熟悉被評(píng)估者的業(yè)務(wù)特性和行業(yè)特性。這樣，因?yàn)槿狈m用的評(píng)估標(biāo)準(zhǔn)，造成的評(píng)估結(jié)果可用性差，也缺乏針對(duì)性，不能反映業(yè)務(wù)特性和行業(yè)特性。 評(píng)估指標(biāo)的定制面臨困難：安全沒有定制化的適用的安全指標(biāo)，造成評(píng)估結(jié)果不可信一般在安全評(píng)估時(shí)，評(píng)估服務(wù)提供者因?yàn)樵谠u(píng)估前并不熟悉和理解被評(píng)估方的業(yè)務(wù)特性和安全特性，所以不能定制非常適用的評(píng)估標(biāo)準(zhǔn)指標(biāo)，也就北京天融信公司 第 49 頁是說沒有非常適用，反映被評(píng)估對(duì)象特性的評(píng)估標(biāo)準(zhǔn)，一般都采用國(guó)際或國(guó)家標(biāo)準(zhǔn)。本評(píng)估的結(jié)果，除體現(xiàn)單個(gè)資產(chǎn)的弱點(diǎn)狀況，指導(dǎo)安全加固外；重點(diǎn)為系統(tǒng)整改，安全域劃分以及系統(tǒng)開發(fā)提供參考。主要方法是：后臺(tái)分析（對(duì)業(yè)務(wù)系統(tǒng)設(shè)計(jì)、運(yùn)行相關(guān)技術(shù)文檔） 、現(xiàn)場(chǎng)設(shè)備檢查（對(duì)應(yīng)用平臺(tái)和數(shù)據(jù)庫進(jìn)行安全狀況查看） 、源代碼評(píng)估（對(duì)部分關(guān)鍵流程的代碼進(jìn)行分析） 、系統(tǒng)管理員的顧問訪談（現(xiàn)狀存在的問題、安全事件、業(yè)務(wù)發(fā)展的影響及假設(shè)） 。網(wǎng)絡(luò)架構(gòu)安全評(píng)估主要從網(wǎng)絡(luò)結(jié)構(gòu)上分析其應(yīng)用系統(tǒng)安全域劃分的合理性及訪問控制策略的符合性，具體方法和前面一致。 應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)的安全評(píng)估如下圖所示：北京天融信公司 第 48 頁應(yīng)用計(jì)算類重點(diǎn)系統(tǒng)是公司各獨(dú)立的業(yè)務(wù)單元，包括完整的主機(jī)、網(wǎng)絡(luò)、應(yīng)用各項(xiàng)內(nèi)容；其評(píng)估的目標(biāo)是從深度上（業(yè)務(wù)管理層數(shù)據(jù)流，用戶角色權(quán)限…；應(yīng)用層數(shù)據(jù)庫，中間件）；到廣度上系統(tǒng)層（主機(jī)操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出全面的安全風(fēng)險(xiǎn)分析報(bào)告。注：如無特殊需要，不采用 DOS 等惡意攻擊手段。本安全評(píng)估包含：“IT 設(shè)備弱點(diǎn)評(píng)估；網(wǎng)絡(luò)架構(gòu)安全評(píng)估和滲透測(cè)試” ，其中 IT 設(shè)備弱點(diǎn)評(píng)估和前面的一致。評(píng)估的結(jié)果，是體現(xiàn)各單點(diǎn)資產(chǎn)的弱點(diǎn)狀況，以及綜合的統(tǒng)計(jì)分析報(bào)告，主要為指導(dǎo)單點(diǎn)設(shè)備的安全加固工作。 本項(xiàng)目采用的安全風(fēng)險(xiǎn)評(píng)估方法本次項(xiàng)目由于側(cè)重點(diǎn)于技術(shù)問題的發(fā)現(xiàn)，并指導(dǎo)今后的安全加固和系統(tǒng)技術(shù)整改等技術(shù)工作；根據(jù)本次項(xiàng)目的特點(diǎn)，準(zhǔn)備采用如下三種安全風(fēng)險(xiǎn)評(píng)估的方法，主要針對(duì)非重點(diǎn)系統(tǒng)、重點(diǎn)系統(tǒng)網(wǎng)絡(luò)類、重點(diǎn)系統(tǒng)計(jì)算類； 非重點(diǎn)系統(tǒng)的 IT 設(shè)備弱點(diǎn)評(píng)估如下圖所示：北京天融信公司 第 46 頁本評(píng)估主要目標(biāo)是為 IT 設(shè)備的弱點(diǎn)提供安全加固的指導(dǎo)和依據(jù)，主要涉及“主機(jī)系統(tǒng)弱點(diǎn)評(píng)估” ；“網(wǎng)絡(luò)設(shè)備弱點(diǎn)評(píng)估” ；“安全設(shè)備弱點(diǎn)評(píng)估” 。北京天融信公司 第 45 頁 總體工作流程圖根據(jù)安全風(fēng)險(xiǎn)評(píng)估模型，天融信安全風(fēng)險(xiǎn)評(píng)估的總體工作流程如下圖：在評(píng)估過程中首先要進(jìn)行全網(wǎng)的資產(chǎn)調(diào)查，識(shí)別的內(nèi)容包括：“信息設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)環(huán)境、組織結(jié)構(gòu)及物理環(huán)境；然后進(jìn)行應(yīng)用系統(tǒng)安全目標(biāo)的識(shí)別和分析；以及通過安全評(píng)估的“業(yè)務(wù)系統(tǒng)評(píng)估” 、 “滲透測(cè)試” 、 “網(wǎng)絡(luò)架構(gòu)評(píng)估” 、 “IT 設(shè)備弱點(diǎn)評(píng)估 ”、 “應(yīng)用安全評(píng)估 ”、 “安全管理評(píng)估” 、“物理安全評(píng)估”各項(xiàng)內(nèi)容獲取“安全現(xiàn)狀”(包括：安全威脅)、 “安全弱點(diǎn)” 。每個(gè)要素有各自的屬性，信息資產(chǎn)的屬性是資產(chǎn)價(jià)值，弱點(diǎn)的屬性是弱點(diǎn)被威脅利用后對(duì)資產(chǎn)帶來的影響的嚴(yán)重程度，威脅的屬性是威脅發(fā)生的可能性，風(fēng)險(xiǎn)的屬性是風(fēng)險(xiǎn)發(fā)生的路徑。北京天融信公司 第 43 頁可以看出，安全模型中的核心要素都是資產(chǎn)、弱點(diǎn)、威脅、風(fēng)險(xiǎn)、安全措施等，各要素之間的關(guān)系也基本類似，只是描述和關(guān)注的角度不同。 安全模型參考在澳大利亞和新西蘭國(guó)家標(biāo)準(zhǔn)《風(fēng)險(xiǎn)管理 Risk Management》（AS/NZS 4360:1999）中描述了風(fēng)險(xiǎn)管理過程，如下圖所示：北京天融信公司 第 42 頁在國(guó)際標(biāo)準(zhǔn) ISO13335 中，安全模型如下圖所示，特點(diǎn)是以風(fēng)險(xiǎn)為核心。所以，如何適度和有效地進(jìn)行信息安全的風(fēng)險(xiǎn)的管理和控制，成為了一項(xiàng)迫切和重要的任務(wù)。在信息安全領(lǐng)域，同樣適用于風(fēng)險(xiǎn)管理的理念和方法論。風(fēng)險(xiǎn)管理是良好管理的一個(gè)組成部分，它用一種將損失減小到最低程度而使商業(yè)機(jī)會(huì)達(dá)到最大限度的方式，對(duì)與機(jī)構(gòu)的任何活動(dòng)、功能和過程相關(guān)的風(fēng)險(xiǎn)進(jìn)行環(huán)境建立、鑒定、分析、評(píng)價(jià)、處理、監(jiān)控和信息交流。 對(duì)項(xiàng)目特點(diǎn)的理解通過上面對(duì)本項(xiàng)目目標(biāo)的分析，本期深度安全風(fēng)險(xiǎn)評(píng)估工作存在如下特點(diǎn)：? 要求高：? 由于中海信托業(yè)務(wù)的快速增長(zhǎng)，對(duì)信息安全的要求越來越高，所以要比以前采用更加規(guī)范的項(xiàng)目管理要求；? 本次評(píng)估的技術(shù)深度和廣度，都要強(qiáng)于以前的項(xiàng)目及同行業(yè)的要求（多個(gè)系統(tǒng)的應(yīng)用分析）；? 采用的技術(shù)標(biāo)準(zhǔn)，是當(dāng)前最新、最及時(shí)的，相比歷史評(píng)估工作和同行業(yè)類似工作的技術(shù)要求是最高的；? 技術(shù)與管理并重：? 由于面臨的外部威脅的壓力和影響力比以往要大很多，所以本次項(xiàng)目更加側(cè)重于通過外部滲透測(cè)試的方法，發(fā)現(xiàn)從外部的威脅和影響（尤其是從外部 Inter 進(jìn)行滲透測(cè)試）；北京天融信公司 第 40 頁? 本次項(xiàng)目滲透測(cè)試涉及的系統(tǒng)范圍更廣，而且更深地分析通過“信任關(guān)系”發(fā)生的滲透，從而發(fā)現(xiàn)“木桶原理”中的“最短那塊板”；? 更加側(cè)重于應(yīng)用系統(tǒng)自身特點(diǎn)的安全評(píng)估：? 綜合分析業(yè)務(wù)和管理層（數(shù)據(jù)流，角色權(quán)限…）；應(yīng)用層（數(shù)據(jù)庫，中間件）；系統(tǒng)層（主機(jī)操作系統(tǒng)）；網(wǎng)絡(luò)層（網(wǎng)絡(luò)架構(gòu)，網(wǎng)絡(luò)設(shè)備），提出的安全風(fēng)險(xiǎn)更加有針對(duì)性；? 中海信托各應(yīng)用系統(tǒng)有不同的特點(diǎn)，在本次項(xiàng)目中要結(jié)合不同部門、不同系統(tǒng)特點(diǎn)進(jìn)行相應(yīng)的應(yīng)用系統(tǒng)安全評(píng)估；? 更加考慮安全加固和應(yīng)急響應(yīng)體系建設(shè)的可行性：