第 1 页 共 129 页 iiu 第三章 安全保密风险分析 3.1 脆弱性分析 脆弱性是指资产或资产组中能被威胁所利用的弱点，它包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面。脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害，而且如果系统足够强健，严重的威胁也不会导致安全事件发生，并造成损失。威胁总是要利用资产的脆弱性才可能造成危害。 资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件和环境下才能显现，这是脆弱性识别中最为困难的部分。不正确的、起不到任何作用的或没有正确实施的安全措施本身就可能是一个弱点，脆弱性是风险产生的内在原因，各种安全薄弱环节、安全弱点自身并不会造成什么危害，它们只有在被各种安全威胁利用后才可能造成相应的危害。 针对 XXX 机关涉密信息系统，我们主要从技术和管理两个方面分析其存在的安全脆弱性。 3.1.1 技术脆弱性 1. 物理安全脆弱性： 环境安全：物理环境的安全是整个基地涉密信息系统安全得以保障的前提。如果物理安全得不到保障，那么网络设备、设施、介质和信息就容易受到自然灾害、环境事故以及人为物理操作失误或错误等各种物理手段的破坏，造成有价值信息的丢失。目前各级XXX 企业的中心机房大部分采用独立的工作空间，并且能够达到国家标准GB50174．1993《电子计算机机房设计规范》、GB2887．1989《计算机场地技术条件》、GB9361．1998《计算站场地安全要求》和 BMBl7—2006《涉及国家秘密的信息系统分级保护技术要求》等要求。 设备安全：涉密信息系统的中心机房均按照保密标准要求采取了安全防范措施，防止非授权人员进入，避免设备发生被盗、被毁的安全事故。 介质安全：目前各级XXX 企业的软磁盘、硬盘、光盘、磁带等涉密媒体按所存储 第 2 页 共129 页 信息的最高密级标明密级，并按相应的密级管理。 2. 运行安全脆弱性分析 备份与恢复：备份与恢复是保证涉密信息系统运行安全的一个不可忽视问题，当遇到(如火灾、水灾等)不可抗因素，不会造成关键业务数据无法恢复的惨痛局面。同时将备份关键业务数据的存储介质放置在其他建筑屋内，防止在异常事故发生时被同时破坏。 网络防病毒：各级XXX 企业涉密网络中的操作系统主要是windows 系列操作系统。虽有安全措施，却在不同程度上存在安全漏洞。同时，病毒也是对涉密网络安全的主要威胁，有些病毒可感染扩展名为 corn、e...
