某集团风险评估项目技术建议书.docx

《某集团风险评估项目技术建议书.docx》由会员分享，可在线阅读，更多相关《某集团风险评估项目技术建议书.docx（50页珍藏版）》请在第一文库网上搜索。

1、某集团风险评估项目技术建议书XXXX集团风险评估项目技术建议书二。一四年八月第1章项目方案设计11.1. 设计目标11.2. 设计原则11.3. 设计根据21.3.1. 政策根据.21.3.2. 标准根据.31.4. 方法模型31.4.1. 风险关系模型.31.4.2. 风险分析方法模型.51.5. 工具方法61.5.1. 风险评估使用方法.61.5.2. 风险评估使用工具6第2章项目实施流程72.1. 阶段1：项目启动阶段72.1.1. 阶段目标.72.1.2. 阶段步骤.82.1.3. 阶段输出.82.1. 阶段2：资产评估阶段92.1.1. 阶段目标.92.1.2. 阶段步骤.92.1.

2、3. 阶段方法.92.1.4. 阶段输出.102.2. 阶段3：威胁评估102.2.1. 阶段目标.102.2.2. 阶段步骤.102.3. 阶段4：脆弱性评估122.3.1. 阶段目标.122.3.2. 实施步骤.122.3.3. 己有安全措施识别.162.3.4. 阶段输出.162.4. 阶段5：风险综合分析172.4. 1阶段目标.282.4.1. 阶段步骤.282.4.2. 阶段输出302.5. 阶段6：风险处置计划312.6. 阶段7：项目交付312.6.1. 成果交付.312.6.2. 项目验收.32第3章项目管理323.1. 组织管理333.2. 范围管理343.2.1. 范围定

3、义343.2.2. 范围变更操纵343.3. 进度管理353.4. 风险管理363.5. 质量管理363.5. 1项目实施负责人质量操纵363.5.2. 项目经理质量操纵363.5.3. 质量管理质量操纵363.6. 沟通管理373.6.2. 协调沟通机制基本准则.373.6.3. 沟通计划.373.9.保密管理39第4章人员安排39第5章项目计划错误!未定义书签。5.1.总体计划错误!未定义书签。第6章客户收益42第7章成果交付一览表44第8章成功案例错误!未定义书签。8.1. 重点案例列表.8.2. 重点案例简介.8.2.1. 金融案例.8.2.2. 电信案例.8.2.3. 能源案例.8.

4、2.4. 政府案例.错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。错误!未定义书签。第9章公司优势9.1. 公司简介9.2. 公司资质错误!未定义书签。错误!未定义书签C错误!未定义书签C第1章项目方案设计设计目标本次风险评估的安全服务项目要紧目标是：令通过风险评估，得到XXXX集团的整体安全现状；令通过资产评估，得到XXXX集团的网络信息安全资产状况，并录入资产库，进行资产梳理；令通过威胁评估，得到XXXX集团存在的安全威胁情况；令通过脆弱性评估，得到XXXX集团当前业务系统存在的脆弱性；令对各个业务系统进行综合风险分析，得到风险情况，提出分系统的

5、安全解决方案；令提出各个系统的风险处置解决方案。设计原则1 .标准性原则遵循国家、行业与组织有关标准开展风险评估工作。2 .可控性原则在项目建设与实施过程中，应保证参与实施的人员、使用的技术与工具、过程都是可控的。3 .完整性原则项目方案要充分考虑项目所有环节，做到统筹兼顾，细节清晰。4 .最小影响原则项目的所有阶段，保证项目实施过程工作对系统正常运行的可能影响降低到最低限度，不可能对客户目前的业务系统运行造成明显的影响。5 .保密原则项目的所有阶段，将严格遵循保密原则，服务过程中涉及到的任何用户信息均属保密信息，不得泄露给第三方单位或者个人，不得利用这些信息损害用户利益。并与XXXX集团签订

6、保密协议，承诺未经同意不向其他任何第三方泄露有关信息系统的信息。设计根据本方案设计要紧参照下列政策与标准进行设计。1.1.1. 政策根据表格1有关策略时间有关政策文件2003年/国家信息化领导小组关于加强信息安全保障工作的意见（中办发27号文），提出“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估”。2004年/为贯彻落实27号文件精神，原国信办组织有关单位与专家编写了信息安全风险评估指南。2005年/国务院信息化工作办公室关于印发信息安全风险评估试点工作方案的通知（国信办【2005】5号），组织在北京、上海、黑龙江、云南等地方与银行、税务、电力等

7、重要行业开展信息安全风险评估试点工作。2006年/由国家网络与信息安全协调小组讨论通过的关于开展信息安全风险评估工作的意见（国信办20065号），文件要求三年内在国家基础信息网络与重要行业信息系统中普遍推行信息安全风险评估工作。/中共中央办公厅国务院办公厅关于印发2006-2023年国家信息化进展战略的通知（中办200611号文）提出加强信息安全风险评估工作。2007年/为保隙十七大，在国家基础信息网络与重要信息系统范围内，全面展开了自评估工作。（中国移动、电力、税务、证券）2008年/关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技（2008）2071号），明确“加强与规

8、范国家电子政务工程建设项目信息安全风险评估工作”。表格2有关标准标准类型参考标准国际标准 IS015408信息技术安全评估准则 ISO/IECTR13335信息与通信技术安全管理ISO/TR13569银行与有关金融服务信息安全指南ISO/IEC27000信息安全管理体系系列标准AS/NZS4360风险管理NISTSP800-30IT系统风险管理指南国内标准GB17859计算机信息系统安全保护等级划分准则GBT20984信息安全风险评估规范GBT22239信息安全技术信息系统安全等级保护基本要求GBZ20985信息技术安全技术信息安全事件管理指南GBZ20986信息安全技术信息安全事件分类分级指

9、南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/T22240-2008信息安全技术信息系统安全保护等级定级指南各组织或者行业内有关要求方法模型本方案中提供的风险评估与管理模型参考了多个国际风险评估标准，建立安全风险关系模型与安全风险分析方法模型。1.1.3. 风险关系模型风险关系模型从安全风险的所有要素：资产、影响、威胁、弱点、安全操纵、安全需求、安全风险等方面形象地描述的他们各自之间的关系与影响，风险关系模型如下图所示。威胁弱点Si一上低T麻血弓M防护需求价值图1风险关系模型图在上述关系图中：资产指组织要保护的资产，是构成整个系统的各类元素的组合，它直接的表现了这

10、个系统的业务或者任务的重要性，这种重要性继而转化为资产应具有的保护价值。它包含计算机硬件、通信设备、物理线路、数据、软件、服务能力、人员及知识等等。弱点是物理布局、组织、规程、人员、管理、硬件、软件或者信息中存在的缺陷与不足，它们不直接对资产造成危害，但弱点可能被环境中的威胁所利用从而危害资产的安全。弱点也称之“脆弱性”或者“漏洞”。威胁是引起不期望事件从而对资产造成损害的潜在可能性。威胁可能源于对组织信息直接或者间接的攻击，比如非授权的泄露、篡改、删除等，在机密性、完整性或者可用性等方面造成损害；威胁也可能源于偶发的、或者蓄意的事件。通常来说，威胁总是要利用组织网络中的系统、应用或者服务的弱

11、点才可能成功地对资产造成伤害。从宏观上讲，威胁按照产生的来源能够分为非授权蓄意行为、不可抗力、人为错误、与设施/设备错误等。安全风险是环境中的威胁利用弱点造成资产毁坏或者缺失的潜在可能性。风险的大小要紧表现在两个方面：事故发生的可能性及事故造成影响的大小。资产、威胁、弱点及保护的任何变化都可能带来较大的风险，因此，为了降低安全风险,应对环境或者系统的变化进行检测以便及时采取有效措施加以操纵或者防范。安防措施是阻止威胁、降低风险、操纵事故影响、检测事故及实施恢复的一系列实践、程序或者机制。安全措施要紧表达在检测、阻止、防护、限制、修正、恢复与监视等多方面。完整的安全保护体系应协调建立于物理环境、

12、技术环境、人员与管理等四个领域。通常安防措施只是降低了安全风险而并未完全杜绝风险，而且风险降低得越多，所需的成本就越高。因此，在系统中就总是有残余风险（RR）的存在，这样，系统安全需求的确定实际上也是对余留风险及其同意程度的确定。1.1.4. 风险分析方法模型在安全风险分析方法模型中提供了风险计算的方法，通过两个因素：威胁级别、威胁发生的概率，通过风险评估矩阵得出安全风险。图2风险分析原理图风险分析中要涉及资产、威胁，、脆弱性三个基本要素。每个要素有各自的属性，资产的属性是资产价值；威胁的属性能够是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度。风险分析的要紧内容为：a

13、）对资产进行识别，并对资产的价值进行赋值；b）对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；c）对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；d）根据威胁及威胁利用脆弱性的难易程度推断安全事件发生的可能性；e）根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的缺失；f）根据安全事件发生的可能性与安全事件出现后的缺失，计算安全事件一旦发生对组织的影响，即风险值。1.2.工具方法1.2.1. 风险评估使用方法风险评估常用方法如下：令调查访谈物理安全访谈表、人员安全访谈表、网络安全访谈表、系统安全访谈表等等；工具扫描网络安全扫描、应用安全扫描、系统安全扫描等等；令人

14、工检查操作系统CheCk1ist、数据库CheCidist、网络设备CheCk1iSt等等；令渗透测试由专业渗透测试工程师模拟黑客攻击方式对网络与信息系统进行非破坏性漏涧验证性测试；令文档查阅管理制度查阅、管理策略查阅、安全指导方针查阅等等。1.2.2. 风险评估使用工具风险评估常用工具要紧有下列几大类：令资产发现类工具令端口服务检测类令漏洞扫描检测类令网络嗅探分析类安全审计分析类令系统验证测试类令合规遵循检查类令各类定制脚本类令各类专项检测类第2章项目实施流程我们将整个项目的实施内容分为7个阶段。从项目启动阶段到项目验收整个项目实施过程，我们用WBS图中完整地描述了整个项目实施过程的重要工作任阶段1项目启动阶段此阶段是项目的启动与计划阶段，是项目实施阶段的开始，对项目整个过程的实施工作与项目管理工作都非常重要。2.1.1. 阶段目标在此阶段的要紧工作目标是召开评估项目启动会议，并就项目组的工作方式、日常流程、工作计划、交付件蓝图进行沟通与确认。2.1.2. 阶段步骤评估项目启动阶段，是整个项目过程中，对项目的有效性的一种保证。实施风险评估是一种战略性的考虑，其结果将受到组织的业务战略、业务流程、安全需求、系统规模与结构等方面的影响。步骤一：项目组织，确定双项目组织结构及人员分工。步骤二：召开项目启动会，包含项目中需要落实内容：