风险评估标准1.0 目的 建立风险评估标准的目的在于为 IT 安全解决方案提供依据和参考。2.0 适用范围 适用于公司所有 IT 安全的风险分析和评估。3.0 参考 1.《Information technology - Security techniques -- Evaluation criteria IT security 》ISO/IEC15408-3 2.《计算机信息系统安全保护等级划分准则》GB17859-19994.0 定义 保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程, 不为其所用 完整性(integrity):信息系统中的数据与在原文档中的相同，未遭受偶然或恶意修改/破坏时所具有的性质；或者信息系统中的系统不能被非授权破坏或修改的性质 可用性( Availability):被授权实体所需的资源可被访问与使用，即攻击者不能占用相关资源而阻碍授权者的工作 抗抵赖 性(repudiation): 防止在通信中涉及到的那些实体不承认参加了该通信 可审查性：有依据、有手段地对出现的信息安全问题提供跟踪和调查5.0 内容5.1 安全风险评估的基本步骤 确定需保护的资源，找出该资源的安全弱点和可能有的安全威胁，得出安全风险等级。然后列举可实行的降低风险的对策，直至风险减小至安全需求允许的范围。下图显示了风险评估中的各要素和工作步骤的关系： 5.1.1 明确需安全保护资源5.1.2 评估脆弱性，包括： 1. 场所安全 2. 安全流程 3. 系统安全 4. 网络安全5. 应用安全 5.1.3 评估威胁 5.1.4 列举安全对策 5.1.5 损失评估 5.1.6 确定风险等级5.2 细则 5.2.1 明确需安全保护资源 1.网络设备：交换机、路由器、HUB、网络布线等 2.计算机设备：个人计算机、便携机、网络服务器、文件服务器、工作站等 3.存储介质；软盘、硬盘、磁带、光盘、MO 等 4.软件： 操作系统、数据库、工具软件、办公平台软件、开发用软件等 5.网上应用系统： EMail 系统、Internet Proxy 服务、Notes 系统、MRPII、SAP、HR、WWW、FTP 等 6. 网络服务： DNS、DHCP、WINS、网络路由服务等 7. 数据资料： 电子文档、数据库等 5.2.2 评估脆弱性 使用最好的测试工具和技术、使用不同的工作方法，对公司的整体资源系统的安全进行评估和审查（从技术和管理两方面），找出存在的安全隐患。1. 场所安全评估 1)对公司场所安全评估，信息安全监控须包含硬件监控。 2)对公司信息安全部安全措施及相关文件评估，包括：场所安全、存储介质安全、硬件安全、紧急事故处理和信息保护等。 3)分析公司安全标...
