风险评估在等保中的应用.ppt

2013年2月风险评估评估依据的标准和规范风险评估要素关系图风险评估流程确定评估范围
资产的识别和估价
脆弱性评估
威胁评估
风险分析
风险管理风险评估实施流程风险评估内容-技术部分风险评估内容-管理部分风险计算模型XX省国税广域网主要由省局局域网、11个下属市局局域网及各市辖属的区、县、农村分局局域网络共同组成，它与国税总局网络形成了总局、省局、市局、县（区）局、农村分局的分级结构的专线网络。该广域网承载了全省范围内的所有国税业务系统。省局拓扑结构图通过风险评估大致确定有操作错误、滥用授权、行为抵赖、身份假冒、利用漏洞、拒绝服务、物理破坏等15种风险之多。

物理层面：进入机房无登记、机房机柜为了方便未上锁、缺乏对于重要业务数据的主机输入输出媒介（软驱、光驱、ＵＳＢ口等）的严格控制措施。
网络层面：整体网络中关键地方出现单点故障、互联网出口没有做冗余备份
网络通信安全-无DDOS防御设备、IDS监控范围不够、检测策略未设置；
网络边界安全-不信任网络间无ACL，VLAN划分粒度粗，IPMAC未绑定；
网络设备安全-无超时重登陆、Telnet未关闭、针对SNMP、CDP无ACL配置；
网络管理-设备日志（攻击日志、登陆日志）没有有效地审计、分析；
系统层面：系统安全漏洞、系统配置安全
应用层面：数据库存在严重漏洞，部分重要终端没有做到身份认证、访问控制、口令存储加密。
管理层面：11个方面（ISO27001）对整个体系风险进行了分析总结。风险应对《XX系统风险评估报告》
《XX系统现状分析报告-技术部分》
《XX系统现状分析报告-管理部分》风险评估4个系统的定级备案

安全管理体系的设计

安全技术方案的设计

整改阶段的实施工作

辅助通过第三方测评

1.明确需求较多被入侵的痕迹和后门
网络
总体网络结构杂乱，缺乏系统接入规范和组网规范
没有划分安全域，边界不清晰
太多出口，没有统一的公网接入管理
目前两网合一后办公网和网管等系统之间的边界控制不严格
缺乏网络安全监控措施
对第三方的网络接入缺乏相应的规范和管理手段
目前很多业务系统没有和现状完全相符的拓扑图
主机安全状况较差
很多系统难以及时打上安全补丁
大部分系统没有经过安全配置
主机之间采用强信任方式
安全建设缺乏总体规划
各部门缺乏协调、安全建设五花八门
安全管理权力分散，缺乏统一管理
缺乏落地的安全组织；各部门的管理自成体系，部门之间缺乏协作
各部门安全管理状况参差不齐，安全管理水平普遍较低。
普遍缺乏公司、部门和系统层面的安全制度、标准和流程
人员安全意识和技能不足
运行维护有较大安全隐患
目前很多系统网络、主机、应用、数据库的管理权限集中到一个管理员
不同管理员使用同一个维护账号，同时缺乏内审机制
很多系统的日常维护没有具体、有效的流程指导
现有安全设备没有充分发挥作用
技术现状报告对比等保对应技术部分等级要求
管理现状报告对比等保对应管理部分等级要求
针对不同的分项输出符合、部分符合、不符合，并提出差异点
输出《XX系统差距分析报告-技术部分》
输出《XX系统差距分析报告-管理部分》
差距分析样例1.明确需求依据国标《定级指南》
依据行标、主管部门意见

专家评审会
评审意见

定级备案单位
定级备案材料1.明确需求物理安全单位级安全指标（总体三级）系统级安全指标（三级）技术规划总体原则技术与产品举例：边界访问控制解决方案解决方案名称

信息安全管理体系建设

组织体系安全组织体系安全管理体系安全运行体系安全管理目标、策略1.明确需求1.明确需求测评流程