13-信息系统安全等级评估方案

本文由用户“无聊玩玩1986”分享发布更新时间：2021-02-22 15:17:24 举报文档

以下为《13-信息系统安全等级评估方案》的无排版文字预览，完整格式请下载

下载前请仔细阅读文字预览以及下方图片预览。图片预览是什么样的，下载的文档就是什么样的。

文档编号-13

信息系统安全等级评估方案

**_*信息系统等级保护评估中心

[输入年] 年 [月] 月 [日] 日

1 等级评估背景 4

1.1 评估单位信息 4

1.2 被评估单位信息 4

2 等级评估目的 4

3 等级评估原则 4

4 等级评估范围 5

5 评估环境介绍 6

5.1 物理层描述 6

5.2 网络层描述 6

5.3 系统层描述 6

5.4 应用层描述 6

5.5 数据层描述 6

5.6 管理层描述 6

6 等级评估内容 6

6.1 评估指标选择和组合 6

6.1.1 形成评估指标 6

6.1.2 制定评估方案 6

6.2 等级指标对比评估 7

6.3 额外/特殊风险评估 7

7 等级指标对比评估 8

7.1 安全技术评估 8

7.2 安全管理评估 8

7.2.1 人员访谈 9

7.2.2 文档检查 9

8 额外/特殊风险评估 9

8.1 资料收集 9

8.1.1 问卷调查 9

8.1.2 人员访谈 10

8.1.3 小组讨论 10

8.1.4 文档查看 10

8.1.5 现场勘查 10

8.2 资产识别与赋值 10

8.2.1 资产类别 11

8.2.2 资产价值 12

8.3 脆弱性分析 12

8.3.1 脆弱性来源 12

8.3.2 脆弱性分析手段 12

8.4 威胁分析 14

8.4.1 威胁源识别 14

8.4.2 威胁分析手段 15

8.5 已有控制措施分析 15

9 综合评估分析 15

9.1 风险识别 16

9.1.1 控制建议 16

10 等级评估风险规避 17

11 需要被评估单位配合事项 18

等级评估背景

评估单位信息

被评估单位信息

等级评估目的

对信息系统进行安全等级评估是国家推行等级保护制度的一个重要环节，也是对信息系统进行安全建设和管理的重要组成部分。通过等级评估可以发现信息系统的安全现状与需要达到的安全等级或目标的差异，使信息系统的管理和使用单位可以在技术和管理方面进行有针对性的加强和完善，使单位的信息系统安全工作有的放矢。

了解信息系统的管理、网络和系统安全现状；

确定可能对资产造成危害的威胁；

确定威胁实施的可能性；

对可能受到威胁影响的资产确定其价值、敏感性和严重性，以及相应的级别，确定哪些资产是最重要的；

对最重要的、最敏感的资产，确定一旦威胁发生其潜在的损失或破坏；

明确信息系统的已有安全措施的有效性；

明晰信息系统的安全管理需求。

等级评估原则

为确保安全等级评估工作高效顺利的完成，并尽量减少安全评估对被评估系统的影响，保护评估双方的权益，安全等级评估应遵循如下原则：

标准性原则

评估工作以《信息系统安全等级保护实施指南》为基础，并参考其它等级保护相关标准和指南；

规范性原则

安全等级评估过程及使用的文档，需要具有很好的规范性，便于评估工作的质量跟踪和进度控制；

可控性原则

安全评估所使用的工具、方法和过程要在双方认可的范围之内，安全评估的进度要符合进度表的安排，保证评估双方对评估工作的可控性；

整体性原则

等级评估的范围和内容应当整体全面，覆盖信息系统安全所涉及的各个层面，并考虑各个层面的相互关系。

最小影响原则

评估工作应尽可能小的影响网络和系统的正常运行，不能对系统的业务产生显著影响。例如：避免造成被评估系统的性能明显下降、网络拥塞、服务中断等。

保密原则

对在安全评估过程中所接触到的被评估单位的所有敏感信息，评估机构应遵循相关的保密承诺，不利用它们进行任何侵害被评估单位安全利益的行为。被评估单位也应当为评估机构的测评方法、流程和相关文档承担相应的保密义务。

等级评估范围

界定被评估单位的评估范围的描述，包括系统、主机、设备等的详细数量信息。xxx系统的总体网络结构如下图所示：

评估环境介绍

物理层描述

网络层描述

系统层描述

应用层描述

数据层描述

管理层描述

等级评估内容

评估指标选择和组合

根据被评估信息系统的安全等级，从等级保护基本要求的指标中选择和组合评估用的安全指标，形成一套信息系统的评估指标，作为评估的依据；将具体评估对象和评估指标进行结合，形成评估使用的评估方案。

形成评估指标

根据各个信息系统的安全等级从基本要求中选择相应等级的通用指标，然后根据系统信息资产安全性等级选择信息资产安全性指标，根据系统连续性等级选择业务连续性指标，之后进行三类指标的组合，形成评估指标。

制定评估方案

根据评估指标，结合确定的具体评估对象制定可以操作的评估方案，评估方案可以包括但不局限于以下内容：

管理状况评估表格；

网络状况评估表格；

网络设备（含安全设备）评估表格；

主机设备评估表格；

主要设备安全测试方案；

重要操作的作业指导书。

等级指标对比评估

根据所确定的安全评估指标和安全评估方案，通过询问、检查和测试等多种手段，将系统现状与安全评估指标进行逐一对比，记录当前的现状情况，找到与评估指标之间的差距。

判断安全管理方面与评估指标的符合程度

通过观察现场、询问人员、查询资料、检查记录等方式进行安全管理方面的评估，准确记录评估结果，判断安全管理的各个方面与评估指标的符合程度，给出判断结论。评估工作原始记录表应由相关人员确认签字。

判断安全技术方面与评估指标的符合程度

通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术方面的评估，准确记录评估结果，判断安全技术的各个方面与评估指标的符合程度，给出判断结论。评估工作原始记录表应由相关人员确认签字。

额外/特殊风险评估

通过对信息系统重要资产特殊保护要求的分析，确定超出相应等级保护要求的部分或具有独特安全保护要求的部分，采用风险评估的方法，确定可能的安全风险，判断超出等级保护要求部分安全措施的必要性。

在安全现状和评估指标对比后确定基本安全需求的基础上，通过风险评估的手段可以确定额外或特殊的安全需求。确定额外安全需求可以采用目前成熟或流行的风险评估方法，也可以采用但不局限于下面介绍的活动：

重要资产的分析

明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等。

重要资产安全脆弱性评估

检查或判断上述重要部件可能存在的脆弱性，包括技术上和管理上的；分析安全脆弱性被利用的可能性。

重要资产面临威胁评估

分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，威胁发生的可能性或概率。

综合风险分析

分析威胁利用脆弱性可能产生的安全事件，安全事件发生的可能性或概率，安全事件造成的损害或产生的影响大小，防止此种风险的必要性。按照重要资产的排序和风险的排序确安.定全保护的要求。

等级指标对比评估

等级保护评估主要是针对《信息系统安全等级保护实施指南》中的相关内容和要求进行评估，并参考其它等级保护相关标准。评估主要包括技术和管理两个方面的内容。

安全技术评估

主要通过从物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上评估信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况。

包括但不局限于以下技术方法：

人工配制检查

渗透测试

漏洞扫描

技术访谈

调查问卷

安全管理评估

通过查阅文档、抽样调查等方法，针对被测单位在信息安全方面制定规章制度的合理性、适用性等进行评估，主要包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等内容。

人员访谈

内容：针对组织内的安全管理人员、安全员、安全主管、工作人员、关键活动批准人、管理人员、机房值守人员、人事负责人、人事工作人员、审计员、网络管理员、文档管理员、物理安全负责人、系统管理员、系统建设负责人、系统运维负责人、资产管理员等不同类型岗位的人员访谈

方法：访谈相关人员

文档检查

内容：安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面的文档检查

方法 : 查看相关文件

额外/特殊风险评估

资料收集

根据项目范围，收集相关资料的方法包括：

问卷调查

与各级人员进行访谈

小组讨论

文档查看

现场勘查

问卷调查

问卷调查和清单是有效的简单工具，用来判断是否需要更详尽风险评估。调查问卷（Questionnaire）由一组相关的封闭式或开放式问题组成，用于在评估过程中获取信息系统在各个层面的安全状况，包括安全策略、组织制度、执行情况等。

人员访谈

评估小组与被评估组织内有关的管理、技术和一般员工进行逐个沟通。根据对评估人员所提问题的回答，评估人员为评估获得相应信息，并可验证之前收集到的资料，从而提高其准确度和完整性。

通过访谈管理和技术人员，评估人员可以收集到业务系统相关的物理、环境、安全组织结构、操作习惯等大量有用的信息，也可以了解到被访谈者的安全意识和安全技能等自身素质。由于访谈的互动性，不同于调查表，评估人员可以广泛提问，从多个角度获得多方面的信息。

小组讨论

评估小组与被评估组织的若干人员进行交流，从而获得相关信息或就某些问题达成共识。

文档查看

为了分析业务系统现有的或计划采取的安全控制措施，需要查看策略文档（例如政策法规、指导性文档）、系统文档（例如用户手册、管理员手册、系统设计和需求文档）和安全相关文档（例如以前的审计报告、风险评估报告、测试报告、安全策略、应急预案）等。

现场勘查

评估人员也可对办公环境和机房内设备作现场检查，或观察人员的行为或环境状况、系统命令或工具的输出，寻找是否有违反安全策略的现象，比如敏感文件随意放置、人离开电脑不锁屏幕、设备的网络连接情况等。根据现场勘查的结果，获得相应评估信息。

资产识别与赋值

资产是构成整个系统的各种元素的组合，它直接地表现了这个系统的业务或任务的重要性，这种重要性进而转化为资产应具有的保护价值。评估小组采集资产信息，确定系统划分原则和等级评估原则，并与组织共同确认系统和CIA等级划分。

资产识别和赋值的目的就是要对组织的各类资产做潜在价值分析，了解其资产利用、维护和管理现状；明确各类资产具备的保护价值和需要的保护层次，从而使组织能够更合理地利用现有资产，更有效地进行资产管理，更有针对性地进行资产保护，最具策略性地进行新的资产投入。

风险评估范围内的所有资产必须予以确认，包括数据、服务、声誉、硬件和软件、通讯、程序界面、物理资产、支持设施、人员和访问控制措施等有形和无形资产。考虑到应用系统是组织业务信息化的体现，因此将应用系统定义为组织的关键资产。与应用系统有关的信息或服务、组件（包括与组件相关的软硬件）、人员、物理环境等都是组织关键资产——应用系统的子资产，从而使得子资产与应用系统之间更加具有关联性。

资产类别

各项资产可归入不同的类别，归类的目的是反映这些资产对评估对象系统或领域的重要性。依据资产的属性，主要分为以下几个类别：

信息资产

信息资产主要包括各种设备以及数据库系统中存储的各类信息、设备和系统的配置信息、用户存储的各类电子文档以及各种日志等等，信息资产也包括各种管理制度，而且各种打印的以及部分其他成文的文档也属于信息资产的范畴。

软件资产

软件资产包括各种专门购进的系统与应用软件（比如操作系统、业务系统、办公软件、防火墙系统软件等）、随设备赠送的各种配套软件、以及自行开发的各种业务软件等。

物理资产

物理资产主要包括各种主机设备（比如各类PC机、工作站、服务器等）、各种网络设备（比如交换、路由、拨号设备等）、各种安全设备（比如防火墙设备、入侵检测设备等）、数据存储设备以及各类基础物理设施（比如办公楼、机房以及辅助的温度控制、湿度控制、防火防盗报警设备等）。

人员资产

人员资产是各类资产中很难有效衡量甚至根本无法衡量的一部分，它主要包括组织内部各类具备不同综合素质的人员，包括各层管理人员、技术人员以及其他的保障与维护人员等。

资产价值

资产分析是与风险评估相关联的重要任务之一，资产分析通过分析评估对象——资产的各种属性，进而对资产进行确认、价值分析和统计报告。简单地说资产分析是一种为资产业务提供价值尺度的行为。资产价值可以下列方式表达：

有形价值，例如重置成本

无形价值，例如商誉

信息价值，例如保密性、完整性及可用性

脆弱性分析

脆弱性是指于管理、操作、技术和其它安全控制措施和程序中使威胁可能有机可乘，以致资产因而受损的薄弱环节，例如第三方拦截传输中的数据，未授权访问数据等。

脆弱性分析的目的是给出有可能被潜在威胁源利用的系统缺陷或脆弱性列表。所谓威胁源是指能够通过系统缺陷和脆弱性对系统安全策略造成危害的主体。脆弱性分析强调系统化地衡量这些脆弱性。

脆弱性来源

脆弱性可能存在于硬件设备、软件程序、数据中，也可能存在于管理制度、安全策略等方面。因此，脆弱性包括两类：技术脆弱性和非技术脆弱性。

技术脆弱性主要是指操作系统和业务应用系统等存在的设计和实现缺陷。技术脆弱性广泛地存在于操作系统、数据库、网络设备、通讯协议等设备和系统中。

非技术性脆弱性主要是指系统的安全策略、物理和环境安全、人事安全、访问控制、组织安全、运行安全、系统开发和维护、业务连续性管理、遵循性等方面存在的不足或者缺陷。

脆弱性分析手段

脆弱性分析针对技术脆弱性和非技术脆弱性进行。

非技术脆弱性分析

非技术脆弱性分析主要采取调查表、人员访谈、现场勘查、文档查看等手段进行。首先要明确组织高层管理人员对组织重要资产的认识，对资产如何受到威胁的了解，以及资产的安全需求，现在已经采取得保护措施以及和保护该资产相关的问题。通过运作管理人员、组织职员进一步了解组织存在的这些脆弱性。

技术脆弱性分析

技术脆弱性分析可以采取多种手段，可选择以下手段收集和获取信息：

网络扫描

主机审计

渗透测试

系统分析

其中，需要注意渗透测试的风险较其它几种手段要大得多，在实际评估中需要斟酌使用。

网络扫描

网络扫描用于本地或远程检测系统可能存在的脆弱性。脆弱性扫描工具（Scanner）是一个或一组自动化工具，使用脆弱性扫描工具能够高效率地收集业务系统的信息。例如，一个网络端口扫描工具可以快速识别大量主机开放的服务，获得业务系统所涉及的每个IT设备的运行状态。网络扫描遵循扫描时间段选择、单点试扫、主备分开等原则。扫描结束后，提交经过分析的扫描报告，以及扫描原始报告。

主机审计

主机审计针对网络设备、主机、数据库进行，实施时采用脚本工具或人工参照审计手册进行。审计手册通常以检查列表（Checklist）的形式存在，用于人工检查系统存在的各种安全脆弱性，它针对不同的系统列出待检查的条目，以保证人工审计结果数据的完备性。需要时，也可利用入侵检测系统等工具进行网络审计，分析网络的安全运行状况，发觉配置和运行中的隐患。

渗透测试

渗透测试利用人工模拟黑客攻击方式发现网络、系统的脆弱性。需要注意，渗透测试的风险较其它几种手段要大得多，在实际评估中需要斟酌使用。

系统分析

系统分析主要指网络结构和边界分析，它是风险评估中对业务系统安全性进行全面了解的基础。一个业务系统的网络结构是整个业务系统的承载基础，及时发现网络结构存在的安全性、网络负载问题，网络设备存在的安全性，抗攻击的问题是整个业务系统评估的重要环节。

对评估对象的物理网络结构，逻辑网络结构及网络的关键设备进行评估(基本信息包括网络带宽、协议、硬件、Internet接入、地理分布方式和网络管理)，发现存在的安全性，合理性，使用效率等方面的问题。结合业务体系、系统体系等结构的检查逻辑网络，由什么物理网络组成以及网络的关键设备的位置所在对于保持网络的安全是非常重要的。另外，鉴定关键网络拓扑，对于成功地实施基于网络的风险管理方案是很关键的。

威胁分析

威胁是指对系统或资产的保密性、完整性及可用性构成潜在损害，以致影响系统或资产正常使用及操作的任何事件或行动。威胁分析主要指在明确组织关键资产、描述关键资产的安全需求的情况下，标识关键资产面临的威胁，并界定发生威胁的可能性及破坏系统或资产的潜力。评估小组通过鉴别与各业务系统有关的网络，分析各业务系统可能遭受的内部人员和/或外部人员的无意和/或故意威胁；通过鉴别与各业务系统有关的网络以及可能的威胁源，详细分析各业务系统可能通过网络途径可能遭受的威胁。

威胁源识别

威胁会对资产造成危害，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。信息系统根据自身应用的特点和地理位置可能会面对不同的威胁源。常见的威胁源如表1所示。

威胁源

描述

不可抗力

由于自然（洪水、地震、飓风、泥石流、雪崩、电风暴及其它类似事件）、环境（长时间电力故障，污染，化学，液体泄露等）、政治等因素造成的威胁

组织弱点

由于组织机构、行政制度等因素造成的安全威胁

人为失误

由于人员的技能、培训、无意识行为（疏忽的数据条目）等方面原因造成的安全威胁。

技术缺陷

由于信息技术、产品的设计、实现、配置、使用等造成的安全威胁

恶意行为

故意行为（基于网络的攻击、恶意软件上传、对保密信息未经授权的访问等）、人为造成的安全威胁

威胁源分类

威胁分析手段

威胁获取的方法有：安全策略文档查看、业务流程分析、网络拓扑分析、人员访谈、入侵检测系统收集的信息和人工分析等。业务流程分析和网络拓扑分析以与组织交流为主进行，结合业务流程图和网络拓扑图，同时收集历史安全事件。评估人员可以根据具体的评估对象、评估目的选择具体的安全威胁获取方式。

已有控制措施分析

要产生一个总体可能性评价来说明一个潜在弱点在相关威胁环境下被攻击的可能性，就必须要考虑到当前已经实现或计划实现的安全控制。比如，如果威胁源的兴趣或能力级别很低、或如果有有效的安全控制可以消除或减轻危害后果，那么一个弱点（比如业务系统或流程中的薄弱环节）被攻击的可能性就低。

综合评估分析

评估人员根据等级指标对比评估、额外/特殊风险评估中间结果记录，结合被评估单位提供的各种资料，进行全面的综合分析，编制评估报告。评估报告一般需要包括安全现状和安全建议两个方面的内容。安全现状主要描述通过评估所了解到的系统的各个层面的基本安全状况，以及与等级要求的符合情况。安全建议主要描述针对系统存在的安全隐患和缺陷以及如何进行改造，以符合相应等级的安全需求。由于被评估信息系统可能包括多个安全等级不同的子系统，原则上需要分别对它们进行评估和拟定报告。

风险识别

从风险的定义可以看出，风险评估的策略是首先选定某项业务系统（或者资产）、评估业务系统的资产价值、挖掘并评估业务系统/资产面临的威胁、挖掘并评估业务系统/资产存在的弱点、进而评估该业务系统/资产的风险，得出整个评估目标的风险。撰写评估报告需要在这种分析的基础上找出风险的属性之间的关系，陈述综合分析结果。

确定风险程度后，便能够为已确认的各项业务系统/资产考虑技术、操作和管理上的解决方案清单。由于不可能完全杜绝风险，有关清单可成为接受、降低、避免或转移风险决策的依据。下表是可采取的风险处理措施。

评估结果

可选方案

描述

后果轻微／可能性低

可用性或其它因素比安全因素重要

接受风险

承担责任

不可承受的高风险

降低风险

减轻后果或减低可能性，或一起减低

风险过高，或费用过高，因而无法减低，也无法管理

避免风险

采用其它方法，或不再进行可能引发风险的工作

另一方愿意内容过长，仅展示头部和尾部部分文字预览，全文请查看图片预览。产生的相关文档。使评估有章可循，按照清晰的执行要求逐步完安.成全评估任务，并给出相应的评估结果报告。

沟通与交流

为避免评估工作中可能出现的歧义，在评估开始前与评估过程中，双方需要进行积极有效的沟通和交流，及时解决评估中出现的问题，这对保证评估的过程质量和结果质量有重要的作用。

需要被评估单位配合事项

在本次系统评估项目中需要XXX配合的工作如下：

提供组织结构及人员职责分配表

提供系统网络管理员名单

提供各业务系统相应管理员名单

填写《信息系统安全需求调查表》和《信息系统基本信息调查表》

提供自评审计报告

提供系统各种业务应用网络拓扑和说明

提供安全管理制度、操作规程等相关文档，并配合管理评估的访谈、检查

提供被评估系统的设备、软件清单

协调系统相关人员填写调查表

对各业务系统的流程进行介绍

提供本地和远程评估系统的访问权限

提供适当的网络环境和权限供工具扫描评估

需要目标网络管理员对系统整体评估的配合

现场检查测试后在《系统运行情况验证记录》表上签字确认

相关人员协助评估，回答有关调查问卷和问题，参加确认协调会，对每一阶段评估结果书面确认

提供合适的会议室及办公环境供交流使用

[文章尾部最后500字内容到此结束,中间部分内容请查看底下的图片预览]请点击下方选择您需要的文档下载。

以上为《13-信息系统安全等级评估方案》的无排版文字预览，完整格式请下载

下载前请仔细阅读上面文字预览以及下方图片预览。图片预览是什么样的，下载的文档就是什么样的。

13-信息系统安全等级评估方案

图片预览

热门关注

相关下载