信息安全风险评估第三章 VIP免费

第3章营业零碎信息平安危险评价计划3.1危险评价概述3.1.1配景该营业零碎危险评价的目标是评价营业零碎的危险情况，提出危险操纵倡议，同时为下一步要制订的营业零碎平安治理规范以及以后营业零碎的平安树破跟危险治理供给依照跟倡议。需要指出的是，本评价讲演中所指的平安危险针对的是现阶段该营业零碎的危险情况，反应的是零碎以后的平安外形。3.1.2范畴该营业零碎危险评价范畴包含营业零碎搜集、员以及由营业零碎运用时所发作的文档、数据。治理轨制、运用或治理营业零碎的相干人3.1.3评价方法信息零碎存在确信的生命周期，在其生掷中期内实现照应的义务。采纳需要的平安保护方法使零碎在其生命周期内坚定、牢靠地运转是零碎种种技艺、治理运用的根来源根底那么。本工程的评价要紧依照国际规范、国度规范跟地点规范，从识不信息零碎的资产动手，断定要紧资产，针对要紧资产剖析其面对的平安劫持并识不其存在的软弱性，零碎的平安危险。最初综合评价资产分不是危险评价的根底，在一切识不的零碎资产中，依照资产在秘密性、完整性跟可用性平安属性的代价差别，综合断定资产要紧性水平并将其分不为核心、要跟特不低5个品级。要害、中等、次对于列为要紧及以上品级的资产，剖析其面对的平安劫持。软弱性识没关联从技艺跟治理两个层面，采纳人工访谈。现场核对。检测。浸透性测试等方法，寻出零碎所存在的软弱性跟平安隐患。对要紧资产已识不的劫持、软弱性，依照其能够性跟严厉性，综合评价其平安危险。3.2该营业零碎概略3.2.1该营业零碎配景频年来，因为数据量敏捷添加，营业量也敏捷添加，本来的硬件零碎、运用零碎跟方法已慢慢不习惯营业的需要，晋升IT治理零碎曾经成为迫不及待的情况。通过细心论证之后，信息决议局部在IT治理零碎晋级上告竣如下共鸣：改换新的硬件装备，运用更进步跟更巨大年夜的主机；在方法上为不合的集合式零碎；在零碎上用运转跟保护效力较高的单库构造交流原有多库零碎；在技艺上预备运用基于B/S架构的J2EE两头件技术，同时施行999.999%的高牢靠性运转方法；在营业上用新型义务流作为驱动新一代营业零碎的引擎，真正到达经过以客户为核心来晋升利润及经过高效智能的义务流来进步每个行员的休息破费率，从而落低本钞票、进步核心竞争力以应答外部的竞争。3.2.2搜集构造与拓扑图该零碎的搜集包含运用效力器组、数据库效力器组、营业治理端、搜集衔接装备跟平安防护装备。营业零碎搜集经过一台高功用路由器衔接分部搜集，经过一台千兆以太网交流机衔接到其余营业零碎。此中营业零碎搜集外部主干搜集采纳千兆位以太网，交流机位主干交流机。搜集装备百兆桌面交流机来衔接搜集治理保护客户机。具体的搜集拓扑图如图3-1所示。两台千兆以太网3.2.3营业零碎界限具体的零碎界限图如图3-2所示。3.2.4运用零碎跟营业流程剖析营业零碎构造构造分不为总部跟分部两个档次，营业零碎所触及的绝大年夜少数营业流程都需要经过多级营业治理局部进展处置，营业流程庞杂且流程跨度比拟大年夜。其次，营业零碎处置流程特不冗杂。在对客户恳求审批处置进程中，确信会呈现重复的提交、上报、退回等操纵，同时能够将义务退回到指定的岗亭上，而后再次上报提交。在同一个审批进程中，依照客户的差别级不，能够需要提交到下级授信治理局部，下级的危险治理局部。也能够提交到3.3资产识不3.3.1资产清单资产识不经过火析信息零碎的营业流程跟功用，从营业数据的完整性、可用性跟秘密性的保护恳求动身，识不出对CIA三性有确信障碍的信息流及其承载体或周边装备。在本次营业零碎评价中进展的资产分类，要紧分为搜集装备、主机零碎、效力器零碎、数据跟文档资产5个方面。〔1〕搜集装备资产搜集装备要紧资产如表3-1所示。表3-1搜集装备要紧资产表资产编号资产称号型号资产描绘ASSET_01ASSET_023com交流机-01Cisco交流机-013com2345Cisco6509Cisco7507Cisco7034Cisco6500FW-0080二级交流机主干交流机主干交流机主干交流机主干路由器防火墙ASSET_03Cisco交流机-02ASSET_04Cisco交流机-03ASSET_05Cisco路由器-01ASSET_06NetScreen防火墙-01主机零碎要紧资产如表〔2〕主机零碎资产3-2所示。表3...