【正文】 夠的證據，后面可以附上期望的改善；216。安全評估人員，工作人員與管理層對建議有不同的期望、側重點與優(yōu)先級。 意義重大216。 具體、清楚、可理解、可標識216。因此，跟進評估是保證持續(xù)安全的必要措施。 跟進的重要性安全是一個循環(huán)迭代的過程。6 風險評估的跟進工作風險評估之后的跟進工作是對評估以及相應的安全建議方案的跟進。216。 信息安全實施人員信息安全實施人員（如網絡、系統(tǒng)、應用、和數據庫管理員，計算機專業(yè)人員，安全分析員，安全顧問等）負責其信息系統(tǒng)中安全要求得到正確地實現(xiàn)。因此，他們會主導引入一個適當的、結構化的方法來幫助對稅務系統(tǒng)所面臨的風險進行識別、評價、并將它們最小化。216。這些主管有權做出重要的決定，并對其負責。216。 信息中心主管領導信息中心主管領導負責稅務系統(tǒng)的IT計劃、預算以及性能，其中也包括信息安全部分。一個有效的風險管理程序（用來對信息技術相關的使命風險進行評估并減緩這類風險）離不開高級管理人員的參與和支持。 高級管理人員在應該關心并對完成使命負最終責任的標準下，高級管理人員必須保證那些必要的資源被有效地運用在完成使命所需能力的開發(fā)方面。在本節(jié)中對需要支持和參與風險評估過程的關鍵人員角色進行了描述。 安全培訓小組負責對被評估方進行實施前后的相關知識與配合要求培訓。其中，緊急安全事件的范圍應以書面形式進行明確。216。216。216。 項目技術顧問組由評估方的安全專家組成，主要職責是會同項目組完成以下各項工程任務：(1) 系統(tǒng)總體設計(2) 對系統(tǒng)深化設計進行審核并提出優(yōu)化建議(3) 對系統(tǒng)進行技術協(xié)調(4) 對系統(tǒng)的設備配置予以確認(5) 工程文檔的審核(6) 協(xié)助項目總負責人制訂本項目的質量工作計劃，并貫徹實施(7) 貫徹稅務系統(tǒng)的質量方針、目標和質量體系文件的有關規(guī)定和要求(8) 負責對工程任務全過程的質量活動進行監(jiān)督檢查，參與設計評審216。(4) 項目協(xié)調——與各級單位進行協(xié)調，解決工程組織接口及技術接口問題；定期主持整個系統(tǒng)專題協(xié)調會，及時解決各系統(tǒng)間出現(xiàn)的相關問題。(2) 項目檢查——通過其下屬實施小組提供的工程進展匯報，將項目進展狀態(tài)與項目計劃進度進行比較，發(fā)現(xiàn)過程誤差，提出調整措施。 風險評估項目經理風險評估項目實施隊伍自組建之日起，承擔雙方以合同或其它形式明確的各項任務。 項目領導小組由評估方和被評估方的相關負責人組成，主要是對項目實施的整個過程中的重大問題進行決策。雙方項目組全體成員不定在整個項目的實施過程中，根據情況安排對影響項目進程的問題進行溝通，確定解決方式雙方項目組組長及相關人員評估過程控制為了保證在評估項目實施過程中評估方能有效地開展工作，并保證整個項目的可控，需要雙方共同組成項目協(xié)調小組并在項目正式實施前召開會議，討論相關事項并形成正式的書面材料，確定雙方在項目中的責任和義務。1． 甲方評估小組組長及主要成員2．乙方項目組組長及主要成員1實施期：現(xiàn)場評估完成時對現(xiàn)場評估進行總結，及時發(fā)現(xiàn)問題，確定解決方式。次數所處階段主要內容參加人員1準備期1． 項目組成立2． 確定雙方項目組成員3． 確定整體實施計劃4． 確定下一階段的詳細實施計劃1． 甲方評估小組全體人員2． 乙方項目組全體成員3． 雙方的有關領導1準備期對準備期所做的工作進行溝通，及時發(fā)現(xiàn)問題，確定解決方式。項目協(xié)調會項目總負責人定期組織項目協(xié)調會，就上次例會所確立的事項進行監(jiān)督檢查，并對存在的項目實施問題予以協(xié)調，確定解決方案和進度安排；遇有緊急情況，項目總協(xié)調人可隨時召集項目協(xié)調會議。項目溝通管理采用正規(guī)的項目溝通程序，保證參與項目的各方能夠保持對項目的了解和支持。變更控制管理不受控制的項目變更，包括目標變更，范圍變更，人員變更，環(huán)境變化，文檔修改等等是對整個項目質量的重大威脅。 驗收（日期與方式） 監(jiān)控與執(zhí)行項目管理方法在項目的實施過程中，根據項目的具體要求，整個項目的管理參考美國項目管理協(xié)會PMI提出的項目管理方法學，以及一些安全專業(yè)領域的專家、顧問對項目的實施進行規(guī)范管理實施。 人員與時間要求216。 進度安排216。 項目描述216。在執(zhí)行過程中，為了確保風險評估的有效性，還需要監(jiān)控計劃的執(zhí)行情況。主要通過把具有弱點而且難以補救的資產保護起來，不受威脅的影響，也就起到了減免風險的作用。主要通過更合理的網絡結構與系統(tǒng)邏輯關系設計來補救整個系統(tǒng)的弱點。主要是通過各種技術手段來補救單個資產的弱點。例如，如果以相對較低的花費可以大大減小風險的程度，則應選擇實施這樣的控制方式。在適當的情況下，決策者可以選擇接受/承受風險。[6]. 接受風險：無論采取什么措施，通常資產面臨的風險總是在一定程度上存在。[5]. 轉移風險：這涉及承擔或分擔部分風險的另一方。[4]. 回避風險：在某些情況下，可以決定不繼續(xù)進行可能產生風險的活動來回避風險。[3]. 減小風險的后果或影響：在某些情況下，可以決定通過制定實施應變計劃、合同、災難恢復計劃、資產重新布置等手段來減小資產價值本身或風險的后果/影響。這主要適用于一些技術性弱點而引起的風險。風險控制可能需要付出一定代價或者增加成本。撰寫評估報告需要在這種定量分析的基礎上找出風險的屬性之間的關系，陳述綜合分析結果。安全信息庫是進行數據/信息收集與處理的一種非常有效的工具。調查與分析需要花費大量的時間用于確認相關信息，因此，合理利用調查問卷可以事半功倍。人員：風險評估小組制訂保護策略（P8）目的：為稅務系統(tǒng)制定保護策略，降低關鍵資產風險的方案，以及短期內的措施清單。人員：風險評估小組以及稅務系統(tǒng)信息中心和業(yè)務部門技術人員。人員：風險評估小組以及稅務系統(tǒng)信息中心和業(yè)務部門技術人員。人員：風險評估小組以抽選的稅務系統(tǒng)人員代表建立威脅輪廓（P4）目的：根據階段1－3明確稅務系統(tǒng)的關鍵資產，描述關鍵資產的安全需求，標識關鍵資產面臨的威脅。人員：風險評估小組以及稅務系統(tǒng)高層管理人員確定運作管理層的認識（P2）目的：明確稅務系統(tǒng)運作管理人員對稅務系統(tǒng)重要資產的認識，對資產如何受到威脅的了解，以及資產的安全需求，現(xiàn)在已經采取得保護措施以及和保護該資產相關的問題。 評估過程評估過程分為3個階段共8個過程。 《安全解決方案部分》4 風險評估過程風險評估的過程是圍繞三個方面來展開，經歷調查與分析、數據/信息收集與處理、撰寫評估報告三個階段。 《風險評估部分》216。 《漏洞評估部分》216。 文檔一覽216。要求對所建議的方案進行投資估算，并說明所提供方案對現(xiàn)有網絡的改動情況，對服務和性能的影響程度。并說明策略制訂、修改的依據，供稅務系統(tǒng)參考。4）風險評估，說明風險計算方法，至少包括以下方面的風險分析：物理環(huán)境、網絡結構、網絡服務、網管實現(xiàn)方式、主機系統(tǒng)、數據、應用系統(tǒng)、安全系統(tǒng)、安全相關人員、處理流程、安全管理制度、安全策略。2）漏洞評估，至少包括以下方面的漏洞分析：物理環(huán)境、網絡結構、網絡服務、網管系統(tǒng)、主機系統(tǒng)、數據、應用系統(tǒng)、安全系統(tǒng)、安全相關人員、處理流程、安全管理制度、安全策略。2）給出詳細的漏洞信息描述，包含所有已知漏洞的名稱、描述、風險級別、演變過程、受影響系統(tǒng)、危害、詳細的解決辦法和操作步驟等。 業(yè)務連續(xù)性管理216。 訪問控制216。 物理與環(huán)境的安全216。 資產分類和控制216。 安全策略216。建議立即采取措施，進行“避免/轉移/減小”等風險處置。 業(yè)務風險評估216。 資產風險評估216。采用下面的賦值矩陣來獲得最終的風險表11 風險程度和措施數值符號含義建議處置、措施備注128256E極度風險要求立即采取措施：避免？轉移？減??？需要具體資產信息64127H高風險需要高級管理部門的注意：避免？轉移？減?。啃枰唧w資產信息463M中等風險必須規(guī)定管理責任：避免？接受？轉移？減?。啃枰唧w資產信息03L低風險用日常程序處理：避免？接受？轉移？減??？需要具體資產信息 風險評估層面216。如果按遞升次序將這些分析的復雜性和成本加以排列的話，將會是：定性分析、半定量、定量分析。風險模型如下： 風險分析矩陣可以根據風險信息和數據，對風險分析予以不同程度的改進。 威脅所造成的（直接）損失；216。 威脅方；216。 需要保護的資源；216。 綜合風險分析從風險的定義可以看出，風險評估的策略是首先選定某項資產、評估資產價值、挖掘并評估資產面臨的威脅、挖掘并評估資產存在的弱點、評估該資產的風險、進而得出整個評估目標的風險。行動計劃必須包括計劃數據、資源分配和補充的復查以保證修改后的行動能起作用。分析結果將寫在行動計劃中，而且為了反映每一個控制對象和手法的決策，也應該創(chuàng)建或是更新系統(tǒng)安全計劃。和系統(tǒng)很類似，支持文件、評估結果和評估者下一步要做的也是一個總結了調查結果的分析。文件敏感性程度的建立前提是支持高風險操作系統(tǒng)要比支持低風險操作系統(tǒng)有更多的嚴格控制。 信息的決定性由程序員和系統(tǒng)所有者決定的信息敏感級別應該在調查表單中的表格形成文件。例如，一個系統(tǒng)進行了廣泛的測試，認證，和證據資源的自我評估，在以后的評估中就可以很容易把他作為主線使用和服務。完成評估所需要的時間是可變的。名字，題目和從事評估的機構也要被列出來，機構應該重新制定相應的替代頁。 目的和評估者信息評估的目的和對象應該是確定的。邊界控制是評估的一部分，如果邊界控制不合適，對于相互關聯(lián)系統(tǒng)的評估也會不合適?；ハ嚓P聯(lián)的系統(tǒng)都應該被列出來。為每一個系統(tǒng)安排唯一的標志符確立與系統(tǒng)相適應的安全需要，還有助于分配的資源能夠被充分的利用。 系統(tǒng)確認調查問卷的封面是由被評估系統(tǒng)的名稱和主題開始的。 調查系統(tǒng)控制所有完成的調查問卷都應該根據機構政策決定的敏感性程度來評論，處理和控制。 調查問卷的結構調查問卷包括三部分：封面目錄，問題和注釋。 不同敏感程度的數據是否得到了適當的保護；216。 調查是否對數據根據其敏感程度進行了必要的分級；216。對于信息資產的保護首先需要進行分級處理，即按信息的敏感度來劃分。 對網絡環(huán)境、性能、故障和配置進行檢查。 幫助用戶降低風險,改善網絡運行效率,提高網絡的穩(wěn)定性；216。 改善網絡性能和利用率,使之滿足業(yè)務系統(tǒng)需要；216。另外，確定關鍵網絡拓撲，對于成功地實施基于網絡的風險管理方案是很關鍵的。對評估對象的物理網絡結構，邏輯網絡結構及網絡的關鍵設備進行評估（基本信息包括網絡帶寬、協(xié)議、硬件、因特網接入、地理分布方式和網絡管理），發(fā)現(xiàn)存在的安全性、合理性、使用效率等方面的問題。目前采用的算式如下：風險值 = 資產價值威脅影響威脅可能性資產弱點等級從資產面臨的若干個子風險中，評估者從自己的經驗出發(fā)得出該資產面臨的整體風險。而隨著威脅可以利用的、資產存在的弱點數量的增加會增加風險的可能性，隨著弱點類別的提高會增加該資產面臨風險的后果。最終風險對稅務系統(tǒng)的影響，也就是對風險的評估賦值是對上述兩個屬性權衡作用的結果。整體上，資產處于高度威脅之中。 系統(tǒng)威脅評估216。 歷史事件審計216。評審員（專家）可以根據具體的評估對象、評估目的選擇具體的安全威脅獲取方式。在威脅評估中，評估者的專家經驗非常重要。而影響也依賴于具體資產的價值、分類屬性。參照下表。根據威脅的性質劃分參照ISO15408 / GB/T18336中的定義對安全威脅的性質和類型進行劃分，可以分為以下幾個方面：表5 威脅分類（按性質）威脅分類威脅描述Backdoor各種后門和遠程控制軟件，例如BO、Netbus等Brute Force通過各種途徑對密碼進行暴力破解Daemons服務器中各種監(jiān)守程序產生弱點，例如amd, nntp等Firewalls各種防火墻及其代理產生的安全弱點，例如Gauntlet Firewall CyberPatrol內容檢查弱點Information Gathering各種由于協(xié)議或配置不當造成信息泄露弱點，例如finger或rstat的輸出NT Related微軟公司NT操作系統(tǒng)相關安全弱點Protocol Spoofing協(xié)議中存在的安全弱點，例如TCP序列號猜測弱點Management與管理相關的安全弱點根據威脅產生的來源和原因劃分參照BS7799 / ISO17799中的定義對安全威脅的產生來源和原因進行劃分，可以分為以下幾個方面：表6 威脅分類（按產生來源和原因）ID威脅來源威脅描述1非授權故意行為人的有預謀的非授權行為2人為錯誤人為的錯誤3軟件、設備、線路故障軟件、設備、線路造成的故障4不可抗力不可抗力 威脅屬性威脅具有兩個屬性：可能性（Likelihood）、影響（Impact）。 威脅分類對安全威脅進行分類的方式有多種多樣，最常見的分類方法主要有根據安全威脅的性質進行劃分以及根據安全威脅產生的來源和原因進行劃分。一般來說，威脅總是要利用稅務系統(tǒng)網絡中的系統(tǒng)、應用或服務的弱點才可能成功地對資產造成傷害。威脅可能源于對稅務系統(tǒng)信息直接或間接的攻擊，例如非授權的泄露、篡改、刪除等，在機密性、完整性或可用性等方面造成損害。 滲透測試其中，需要注意滲透測試的風險較其它幾種手段要大得多，在實際評估中需要斟酌使用。 主機審計216。即：216。非技術漏洞的評估非技術性漏洞主要是指系統(tǒng)的安全策略、物理和環(huán)境安全、人事安全、訪問控制、組織安全、運行安全、系統(tǒng)開發(fā)和維護、業(yè)務連續(xù)性管理、遵循性等方面存在的不足或者缺陷。 弱點評估的內容技術漏洞的評