还剩8页未读,继续阅读
本资源只提供10页预览,全部文档请下载后查看!喜欢就下载吧,查找使用更方便
文本内容:
信息安全风险评估报告2021级MBA6班刘登松2320213603本文以虚拟的企业风险管理信息系统进行信息安全风险评估,评估过程如下.评估准备评估目标了解和控制公司风险管理信息系统在运行过程中的安全风险评估对象公司风险管理信息系统评估范围和边界风险管理信息系统的资产、面临威胁、自身脆弱性以及已有安全措施等各方面,以系统的业务逻辑边界为边界.风险识别.1业务公司风险管理的关键流程包括风险识别、风险评估、风险预警、风险应对、监督改进五步各流程的主要工作内容如下风险识别查找各单位部门、各项重要经营活动及其重要业务流程中有无风险,有哪些风险,通过广泛、持续不断地收集本单位部门风险和风险相关的内外部初始信息,包括历史数据和未来预测,对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合等风险评估对识别研判出的风险进行分析,描述风险动因、风险影响层面、风险发生可能性的高低、风险发生的条件以及风险涉及的流程等,根据对风险发生可能性的高低和对目标的影响程度的评估结果,绘制风险分布图谱,确定风险值和风险等级风险预警根据自身条件和外部环境,围绕企业发展战略,确定风险偏好、风险承受度、风险管理有效性标准,选择风险承担风险规避、风险转移、风险转换、风险对冲、风险补偿、险控制等适合的风险管理工具的总体策略,制定包括风险解决的具体目标,所需的组织领导,所涉及的管理及业务流程,所需的条件、手段等资源,风险事件发生前、中、后所采取的具体应对措施以及风险管理工具等的解决方案对重大风险进行持续不断的监测,及时发布预警信息,制定应急预案,并根据情况变化调整控制措施风险应对建立分级处理流程机制对于重大风险,一般应召开风险管理委员会会议,成立专项工作组,启动解决方案,督办推进事件处理,并将工作情况向集团公司领导小组和相关部门汇报,对于一般风险,由总部条线部门统筹相关单位部门启动解决方案,督办推进事件处理,并将工作情况报备风险管理协调小组;对于低风险,由风险涉事单位认真调查核实,在规定时限内完成处置工作,并向风险管理职能部门报备,建立应急联动机制,加强各条线和区域间的协同处置力度,共同化解风险风险监督各单位部门定期对风险管理工作进行自查和检验,及时发现缺陷并改进,其检查、检验报告应及时报送风险管理职能部门,风险管理职能部门应定期对各单位部门风险管理工作实施情况和有效性进行检查和检验,审计部门至少每年一次对包括风险管理职能部门在内的各单位部门能否按照有关规定开展风险管理工作及其工作效果进行监督评价,审计报告直接报送风险管理委员会
2.2资产识别
2.
2.1类别识别硬件:机房,服务器、交换机、路由器软件门户网站、操作系统、数据库、防火墙、风险管理应用系统数据公司全面风险管理目录、风险评估标准、风险等级判断标准、各部门的风险对接人名单、各部门上报的风险信息、各部门对本部门风险的评分表、各部门提出的应对举措、监测指标、年度风险管理报告等文档、信息资料人员风险团队、各部门风险对接人、系统运维人员
2.
2.2资产赋值根据资产的3个安全属性保密性、完整性、可用性通过赋值的方式对资产的三个安全属性及业务承载性设定相应的值,采用加权等方式对资产价值做出定量/定性的综合评价保密性赋值标准如下:完整性赋值标准如下:可用性赋值标准如下:业务承载性赋值标准如下:最终对信息资产赋值情况如下:
2.3脆弱性识别
2.
3.1技术脆弱性物理环境机房灭火器老旧,缺乏防洪设施,门禁系统为物理锁,没有电子锁网络安全非专线,带宽低,延迟高;加密技术落后,泄密和非法访问风险高;路由器等通信终端安全设置级别低系统安全访问控制逻辑缺陷,用户组权限不对应,离职人员无法自动识别和删除,未设置异地登录等监控手段数据安全没有数据验证功能,无法对数据有效性、准确性、格式进行验证,数据检索手段不足、可用性差,数据完整性和保密性欠缺,可随意复制修改
2.
3.2安全管理脆弱性组织未设置安全管理机构、人员负责风险系统的安全制度安全管理制度落后,不适用人员人员变动频繁运维缺乏备份、应急预案
2.
3.3脆弱性分析采用等级方式对已识别的脆弱性的可利用性和严重程度进行赋值,标准如下:对上述脆弱性赋值如下:
2.4威胁识别安全威胁主要来自系统环境、意外和人为,识别及赋值情况如下:
2.5安全措施识别
2.
5.1安全措施.
5.2与脆弱性的关联.风险分析资产重威胁的可能要性性Al4LtT092A105LtT083LtT103Sl-Lvl2V12Sl0003S3-Lv8V8S321333S3-Lvl0V10S
30005.风险评价经评估,该风险信息系统的硬件资产风险很低,软件和数据资产风险中等,系统整体的风险等级较低赋值标识定义5很高资产一旦泄露对组织造成重大或者无法接受的影响4高资产一旦泄露对组织造成较大影响3中等资产一旦泄露对组织造成影响2低资产一旦泄露对组织造成轻微影响1很低资产一旦泄露对组织造成的影响可忽略赋值标识定义5很高资产未经授权的修改或破坏对组织造成重大或者无法接受的影响4高资产未经授权的修改或破坏对组织造成较大影响3中等资产未经授权的修改或破坏对组织造成影响2低资产未经授权的修改或破坏对组织造成轻微影响1很低资产未经授权的修改或破坏对组织造成的影响可忽略赋值标识定义5很高合法使用者对资产的可用度达到年度
99.9%以上,或系统不允许中断4高合法使用者对资产的可用度达到每天90%以上,或系统允许中断时间小于10分钟3中等合法使用者对资产的可用度在正常工作时间达到70%以上,或系统允许中断时间小于30分钟2低合法使用者对资产的可用度在正常工作时间达到25%以上,或系统允许中断时间小于60分钟1很低合法使用者对资产的可用度在正常工作时间低于25%赋值标识定义5很高资产安全属性破坏后可能对业务造成非常严重的损失4高资产安全属性破坏后可能对业务造成比较严重的损失3中等资产安全属性破坏后可能对业务造成中等程度的损失2低资产安全属性破坏后可能对业务造成较低的损失1很低资产安全属性破坏后可能对业务造成很小的损失资产编号资产资产完整性资产保密性资产可用性业载性资产重要隹等级1525512服务器524443路由器413431^^奂机313325门户网站523436操作系统414337风险管理应用系统535558数据库441549防火墙3243310风据5445511人员31332等级标识定义5很高如果脆弱性被威胁利用,将对业务和资产造成特别重大损害4高如果脆弱性被威胁利用,将对业务和资产造成重大损害3中等如果脆弱性被威胁利用,将对业务和资产造成一般损害2低如果脆弱性被威胁利用,将对业务和资产造成较小损害1很低如果脆弱性被威胁利用,将对业务和资产造成的损害可以忽略资产脆弱性编号脆弱性描述赋值机房VI灭火器老旧2机房V2缺乏防洪设施2机房V3未配置电子|、口禁系统3网络设备V4非专线带宽低,延迟高2传输设备V5加密技术落后4网络设备V6路由器安全设置级别低3风险管理应用系统V7访问控制逻辑缺陷,未设置异地登录等监控手段4风险管理应用系统V8用户组权限不对应,离职人员无法自动识别和删除,5数据库V9没有数据验证功能,无法对数据有效性、准确性、格式进行验证,5数据库V10数据可随意复制修改5人员VII未设置安全管理机构、人员负责风险系统的安全3人员V12安全管理制度落后,不适用3人员V13人员变动频繁3服务V14缺之备份、应急预案4标识威胁来源威胁列表威胁赋值T01无意识破坏内部人员操作失误1T02无意识破坏内部人员滥用授权3T03无合作的外部人员漏洞利用4T04合作的第二方人员拒绝服务2T05合作的第三方人员社会工程1T06合作的第三方人员社会工程1T07信息载体故障通信中断2T08信息载体故障数据受损3T09无意识破坏内部人员营埋不当2T10内部人员信息篡改3T11信息环境系统不兼容4T12信息环境访问受限3序号名称类别内容S1网络安全闭环检查制度管理和操作控制对网络安全的常规检查进行了规定S2网络安全事件应急预案管理和操作控制明确了安全事件的应急预案S3操作人员名单及权限管理和操作控制明确风险系统准入权限和操作权限及审批流程S47*24小时监测管理和操作控制对系统运行和对接情况进行全天候监测S5机房物理安全措施技术控制措施机房温湿度调节、UPS、灭火器配备齐全S6访问控制技术控制措施对已离职人员进行访问限制S7系统兼容性技术控制措施解决欧洲
1、美洲分部系统登录问题S8数据安全措施技术控制措施增加数据验证、数据分类分级、数据存储、传输等安全举措脆弱性编号脆弱性描述赋值关联安全措施VI灭火器老旧2S2V2缺乏防洪设施2\V3未配置电子门禁系统3\V4非专线,带宽低,延迟高2\V5加密技术落后4\V6路由器安全设置级别低3\V7访问控制逻辑缺陷,未设置异地登录等监控手段4S
3、S6V8用户组权限不对应,离职人员无法自动识别和删除,5S3V9没有数据验证功能,无法对数据有效性、准确性、格式进行验证,5S8V10数据可随意复制修改5S
3、S8VII未设置安全管理机构、人员负责风险系统的安全3S1V12安全管理制度落后,不适用3S1V13人员变动频繁3\V14缺乏备份、应急预案4S2脆弱性严安全脆弱性被安全措风险风险重施修正被利用可能性值等级Ivl⑵S2-2LvlVlS2141Iv2⑸S2-0Lv2V2S25113■3⑸S3-Lv3V3S35113。