00-信息系统安全风险评估总结报告

安全评估领导小组组成如下：

分组 姓名 领导小组 职务/职称 总经理 总工 部长 副部长 主任/教授 总监 工作单位 工作职责 组长/组织协调 副组长/技术负责 协调管理 协调管理 应用系统组组长 网络通讯组组长 安全评估小组组成如下：

分组 姓名

职务/职称 主任/教授 计算机硕士 主任 监理工程师 工程师 网络总监 副主任 副主任 高级程序员 计算机硕士 助理工程师 助理工程师 工作单位 工作职责 应用系统组组长 副组长 副组长 成员 成员 组长 副组长 成员 流量分析与系统测试 成员 成员 成员 应用系统小组 网络通讯小组 安全管理小组 副研究员 副主任 助理工程师 监理工程师 xxxxxx监理公司 xxxxxx信息部运行室 xxxxxx信息部运行室 xxxxxx监理公司 组长 副组长 成员 成员 为了保证评估工作的质量，项目组还聘请了以下专家组成本项目的专家咨询组：

分组 姓名 专家咨询组 教授 CCIE 副主任 副主任 工作单位 职务/职称 副主任/教授 主任 副所长/研究员 副处长 联系电话 1.3 风险评估的目的

风险分析与评估作为一种重要的信息安全工程技术方法，其目的是帮助相关人员明确信息系统对于用户的作用、价值大小，明确信息系统故障、安全事故可能对用户造成的影响。风险分析与评估的结果是信息安全方面投资、决策的依据，同时也是评估投资效果的重要手段和依据。风险分析与评估最重要的成果就是目前系统的风险大小，以及相应的降低风险的安全措施部署策略建议。

本次风险评估的主要目标就是要帮助用户确定信息系统的安全风险，通过这次风险评估，可以全面了解当前xxxxxx系统的安全状况，分析系统所面临的各种风险，根据评估结果发现信息系统存在的安全问题，并对严重的问题提出相应的风险控制策略，通

过信息安全相关系统工程的实施，使信息系统的安全风险降到用户可以承受的范围内。

1.4 风险评估的依据

信息安全是信息技术发展过程中提出的课题，是一个与时俱进的概念，评价标准随时代及信息技术的发展而变化。可以说所有与IT相关的标准都是我们评估的依据，通用的主要依据和国际、国内、行业标准有：

1、 2、

信息系统安全评估合同书

中办发[2003]27号文件 《国家信息化领导小组关于加强信息安全保障

工作的意见》 3、 4、 5、 6、 7、 8、 9、

GB/T18336-2001《信息技术安全技术信息技术安全性评估准则》（CC） ISO17799:2000《基于风险管理的信息安全管理体系》 ISO13335 信息技术 安全技术 信息技术安全管理指南

GA/T378~391-2002 计算机信息系统安全等级保护技术要求系列标准 美国标准与技术研究院开发的《信息技术系统的风险管理指南》 GB/T ×××× 信息安全风险评估指南（报批稿） 微软安全风险管理指南

10、 相关各方达成的协议

第二部分 风险评估方法

2.1 风险评估流程

本次风险评估的过程从组织管理的角度可以分为五个阶段，而从技术分析的角度可以分为九个步骤，五个阶段和九个步骤及其相互之间的关系可以用图3-1表示。

图3-1对风险评估的每个阶段所要完成的工作做出了清晰的描述，在风险评估的五个阶段中，业务调研的目的是为了准确地对系统的特征进行描述，从而界定信息系统安全评估的边界，为信息资产定义提供第一手资料；而现场测试则为系统漏洞的检测分析提供了依据。

组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组组 组组组组组组组 组组组组组组组 组组组组组组组 组组组组组组组 组组组组组组组组 组组组组组组组 组组组组组组组 组组组组组组组 组组组组组组组组组组组组组组组组组组组组组 图3-1 信息安全风险评估过程及步骤

风险评估的技术分析的九个步骤是和评估各个阶段的工作紧密结合的，从业务调研阶段开始进入技术分析的步骤。系统特征描述是在对信息系统软、硬件结构、系统接口、系统任务、系统信息以及人员情况进行充分了解的基础上，对信息系统功能、边界的描述和对关键信息资产的定义；在系统特征描述过程中，对系统面临的威胁、系统存在的弱点、目前已经采取的控制措施进行初步的了解，在现场测试阶段，通过现场测试、实地堪查、座谈讨论等方式，进一步了解系统特征，掌握信息系统在采取了一系列控制措施后，仍然存在的各种弱点；在综合评估阶段，具体分析信息系统的潜在威胁，系统存在的弱点，这些弱点被威胁利用后可能产生的风险以及这些风险对系统的实际影响的大小等，最后安全风险评估小组根据业务调研、现场测试以及系统特征分析的结果确定各类风险的大小，提出风险控制建议，直至最后形成结果文档。