单位安全评估报告文档格式.docx
- 文档编号:21038668
- 上传时间:2023-01-27
- 格式:DOCX
- 页数:26
- 大小:63.56KB
单位安全评估报告文档格式.docx
《单位安全评估报告文档格式.docx》由会员分享,可在线阅读,更多相关《单位安全评估报告文档格式.docx(26页珍藏版)》请在冰豆网上搜索。
5.6.1.网络服务23
5.6.2.备份与存储24
5.6.3.安全应急管理25
5.7.安全控制措施26
6.安全现状总结28
6.1.管理层面28
6.2.技术层面29
1.概述
1.1.背景
根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》(信安通[2006]15号)、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》(办信息[2006]48号)、集团公司以及省公司公司相关文件的要求,开展×
单位范围内的信息安全检查工作。
本报告为×
单位信息系统安全现状自评估结论性报告,描述了对我局信息系统目前面临的各种安全威胁,并从物理安全、网络安全、系统安全、应用安全和管理安全五个层面对我局信息系统安全脆弱性现状进行了详细的分析,最终从客观上对信息系统的安全状况进行了总体评价。
1.2.目的
单位信息安全检查工作的主要目标是通过自评估工作,发现公司信息系统当前面临的主要安全问题,边检查边整改,确保公司信息网络和重要信息系统的安全。
本次安全检查工作将完成以下任务:
1.完成×
单位的信息安全风险评估工作。
通过检查掌握当前我局信息系统面临的主要安全问题,并在对检查结果进行分析判断的基础上提出整改措施;
2.进行×
单位信息安全大检查,对我局的基础网络和重要信息系统进行安全性自查,并将相关数据进行汇总分析,统计重大和典型信息安全事件,及时发现和查找基础网络和重要信息系统存在的安全隐患,边检查边整改,确保我局基础网络和重要信息系统安全、可靠运行。
1.3.评估依据
本次自评估我局将采用国际信息安全管理标准BS7799的PDCA思想作为贯穿整个项目过程的主要指导规范。
在风险等关键因素的评估及安全体系、安全规划、安全策略、安全方案的建设等方面,我们还参考了SSE-CMM、ISO15408和ISO13335标准。
1.BS7799(ISO/IEC17799)
BS7799是国内外现在比较流行的信息安全管理标准,其安全模型主要是建立在风险管理的基础上,通过风险分析的方法,使信息风险的发生概率和后果降低到可接受水平,并采取相应措施保证业务不会因安全事件的发生而中断。
这个标准中安全管理体系框架构建的过程也就是宏观上指导整个项目实施的过程。
这个标准中给出了11类需要进行控制的部分:
安全策略、安全组织、资产分类与控制、个人信息安全、物理和环境安全、通信和操作安全、访问控制、系统的开发和维护、商业持续规划、合法性要求等方面的安全风险评估和控制,以及133项控制细则。
2.《信息安全风险评估指南》&
《信息安全风险管理指南》
《信息安全风险评估指南》和《信息安全风险管理指南》是国内风险评估的主要规范,它在参考了国际风险评估理论的基础上建立了适用于中国国情的风险评估方法论,无论是风险评估的流程还是风险计算模型都将为本次风险评估的具体实施提供指导。
3.SSE-CMM
SSE-CMM是“系统安全工程能力成熟模型”的缩写。
系统安全工程旨在了解用户单位存在的安全风险,建立符合实际的安全需求,将安全需求转换为贯穿安全系统工程的实施指南。
系统安全工程需要对安全机制的正确性和有效性做出验证,证明系统安全的信任度能够达到用户要求,以及未在安全基线内仍存在的安全问题连带的风险在用户可容许、或可控范围内。
4.ISO/IEC15408(GB/T18336)
信息技术安全性评估通用准则ISO15408已被颁布为国家标准GB/T18336,简称通用准则(CC),它是评估信息技术产品和系统安全性的基础准则。
该标准针对在安全性评估过程中信息技术产品和系统的安全功能及相应的保证措施提出一组通用要求,使各种相对独立的安全性评估结果具有可比性。
5.ISO/IEC13335
ISO13335是信息安全管理方面的规范,这个标准的主要目的就是要给出如何有效地实施IT安全管理的建议和指南。
6.等级保护相关标准
为了落实《信息安全等级保护管理办法(试行)》,协助XX公司对信息系统进行安全等级保护的建设,将严格遵循公安部颁布的《计算机信息系统安全等级保护划分准则》(GB17859)、《信息系统安全保护等级定级指南》(试用稿)、《信息系统安全等级保护基本要求》(试用稿)、《信息系统安全等级保护实施指南》(送审稿)、《信息系统安全等级保护测评准则》(送审稿)、《电子政务信息安全等级保护实施指南(试行)》(国信办25号文)等相关规范。
7.其他相关标准
在具体的安全风险评估操作及安全体系建设方面,还将参考一些国际和国内的技术标准,如《AS/NZS4360:
1999风险管理标准》、GAO/AIMD-00-33《信息安全风险评估》、加拿大《威胁和风险评估工作指南》、美国信息安全保障框架IATF等,以此更加规范安全评估及体系建设的具体技术细节。
2.安全评估方案
2.1.安全评估内容
本次为了全面的分析×
局信息系统当前的安全现状,发现当前系统存在的高风险安全隐患和问题,分析当前现状和《省公司公司信息安全检查工作方案》、ISO17799等国家及行业安全目标之间的差距,我局将对信息网的物理层、网络层、系统层、应用层和管理层进行全面安全评估。
2.1.1.物理层自评估
物理层自评估主要是通过×
局信息网机房内部安全防护、机房供电以及环境防护的安全性进行评估。
2.1.2.网络层自评估
网络层自评估主要是对×
局信息网进行网络架构分析和人工安全检查等评估方法对我局的网络结构、路由器、交换机以及防火墙等网络设备的安全性进行评估。
2.1.3.系统层自评估
系统层自评估主要是通过手动检查、安全技术审计等方式对×
局信息网中的小型机以及WindowsPC服务器等应用服务器的操作系统进行安全性自评估工作。
2.1.4.应用层自评估
应用层自评估主要是通过人工安全检查、安全技术审计等方式对OAK系统、营销系统以及数据库系统等业务应用系统的安全性进行评估。
2.1.5.管理层自评估
管理层自评估主要是通过管理体系审核、管理问卷调查等方式对业务系统信息安全管理的建设和执行情况进行评估,并分析当前现状和《省公司公司信息安全检查工作方案》、ISO17799等国家及行业安全目标之间的差距。
2.2.安全评估流程
安全风险评估方案是安全风险模型的体现,本次自评估工作过程可以分为以下几个阶段:
第一阶段确定评估范围阶段,调查并了解我局信息系统业务的流程和运行环境,确定评估范围的边界以及范围内的所有网络系统;
第二阶段是资产的识别和评估阶段,对评估范围内的所有资产进行识别;
第三阶段是安全威胁评估阶段,即评估资产所面临的主要威胁发生可能性;
第四阶段是脆弱性评估阶段,包括从技术、管理、策略方面进行的脆弱程度检查,特别是技术方面,以安全审计和手动抽查的评估;
第五阶段是风险的分析阶段,即通过分析上面所评估的数据,进行风险识别、区分和确认高风险因素;
第六阶段是风险的管理阶段,这一阶段主要是总结整个风险评估过程,制定相关风险控制策略,建立风险评估报告和检查报告,实施某些紧急风险控制措施。
2.3.安全评估方式
2.3.1.管理体系审计
通过对×
局现有的安全管理体系进行审核,了解现有管理体系与ISO27001《**省**集团有限公司计算机信息系统安全策略规划书》、《省公司公司信息安全检查工作方案》等相关国家和行业标准的符合情况。
安全管理体系的审计包括现有的安全管理管理规范、策略文档、制度文档、流程文档。
检查内容主要包括:
●分析当前颁布的所有的管理体系文档的内容是否全面;
●检查当前颁布的安全体系是否符合标准;
●检查当前颁布的各类体系文档的格式是否合理;
●检查当前颁布的安全体系是否在持续改进。
●检查当前颁布的安全体系内容是否符合《省公司公司信息安全检查工作方案》的要求
2.3.2.安全策略评估
安全策略是对整个网络在安全控制、安全管理、安全使用等最全面、最详细的策略性描述,它是整个网络安全的依据。
不同的网络需要不同的策略,它必须能回答整个网络中与安全相关的所有问题,例如,如何实现防病毒管理?
如何控制远程用户访问的安全性等等。
对这些问题做出详细回答,并确定相应的防护手段和实施办法,就是针对整个网络的一份完整的安全策略。
策略一旦制订,应当作为整个网络安全行为的准则。
这一步工作,就是从整体网络安全的角度对现有的网络安全策略进行全局性的评估,它也包含了技术和管理方面的内容,具体包括:
◆安全策略是否全面覆盖了整体网络在各方各面的安全性描述;
◆在安全策略中描述的安全控制、管理和使用措施是否正确和有效;
◆安全策略中的每一项内容是否都得到确认和具体落实。
◆安全策略是否符合《省公司公司信息安全检查工作方案》的要求
2.3.3.网络架构分析
网络架构分析是通过对×
局管理信息网内信息系统的网络拓扑及网络层面细节架构的评估,主要从以下几个方面进行分析:
Ø
网络建设的规范性:
网络安全规划、设备命名规范性、网络架构安全性;
网络的可靠性:
网络设备和链路冗余、设备选型及可扩展性;
网络边界安全:
网络设备的ACL、防火墙、隔离网闸、物理隔离、VLAN(二层ACL)等;
网络协议分析:
路由、交换、组播、IGMP、CGMP等协议;
网络通信安全:
通信监控、通信加密、VPN分析等;
设备自身安全:
SNMP、口令、设备版本、系统漏洞、服务、端口等;
网络安全管理:
网管系统、客户端远程登陆协议、日志审计、设备身份验证等。
2.3.4.手动检查
手动检查是自评估工作最重要的手段之一,通过自我内部评估来查找网络结构、网络设备、操作系统、核心应用等安全对象目标存在的脆弱性和威胁性,以及由此归并分析得出相应的安全风险。
在本次手动检查主要以下面的物理、网络、系统以及应用四个层次进行自评估工作。
1.物理层安全:
该层的安全问题主要指物理环境的安全性,包括物理安全区域划分、物理安全边界、机房安全、设备安全等
2.网络层安全:
该层的安全问题主要指网络信息的安全性,包括网络层身份认证,网络资源的访问控制,数据传输的保密与完整性、远程接入、域名系统、路由系统的安全,入侵检测的手段等。
3.系统层安全:
该层的安全问题来自网络运行的操作系统:
UNIX系列、Windows系列以及专用操作系统等。
安全性问题表现在两方面:
一是操作系统本身的不安全因素,主要包括身份认证、访问控制、系统漏洞等;
二是操作系统的安全配置存在问题。
4.应用层安全:
该层的安全考虑网络对用户提供服务所采用的应用软件和数据的安全性,包括:
数据库软件、OAK系统、营销系统、交换与路由系统、防火墙、业务应用软件以及其它网络服务系统等。
2.3.5.安全技术审计
局现有的安全技术体系进行审核,了解现有的技术体系与ISO17799、《**省**集团有限公司计算机信息系统安全策略规划书》、《省公司公司信息安全检查工作方案》等相关国家和行业标准的符合情况。
安全技术体系的审计包括现有的物理安全、网络安全、系统安全以及应用安全等。
3.信息资产识别
3.1.概述
资产是风险评估的最终评估对象。
在一个全面的风险评估中,风险的所有重要因素都紧紧围绕着资产为中心,威胁、脆弱性以及风险都是针对资产而客观存在的。
威胁利用资产自身的脆弱性使得安全事件的发生成为可能,从而形成了风险。
这些安全事件一旦发生,将对资产甚至是整个系统都将造成一定的影响。
因此资产的评估是风险评估的一个重要的步骤,它被确定和估价的准确性将影响着后面所有因素的评估。
3.2.网络结构
图1×
单位网络拓扑结构图
单位目前是各地分支机构的用户通过100M的ATM网络与核心交换机相连,通信中心用户、物流中心用户、配电用户、输变电用户以及公司楼层用户则通过局域网交换机与核心交换机相连,服务器群被分配在同一个VLAN中。
3.3.应用系统
OA办公自动化系统
OAK具有公文管理、档案管理、个人事务等功能。
目前该系统已经覆盖了本部及单位。
营销管理系统
提供业扩报装、电能计量、电量电费、WEB查询等,使用部门包括配电营业部、客服中心等;
生产管理系统
提供设备台帐、高压试验、设备检修、缺陷管理、电网GIS等功能,全公司生产部门都在使用该系统。
配网GIS系统
配网GIS系统,主要实现图数建模、设备台帐、运行管理、电网分析等。
该系统目前主要使用部门为配电营业部、市场及客户服务部、调度中心、鼎湖农电公司。
3.4.资产清单
4.安全威胁现状与分析
4.1.概述
威胁是指可能对资产或组织造成损害事故的潜在原因。
作为风险评估的重要因素,威胁是一个客观存在的事物,无论对于多么安全的信息系统而言,它总是一定存在。
威胁可能源于对系统直接或间接的攻击,例如:
信息泄露、篡改、删除等,破坏了信息的机密性、完整性或可用性。
威胁可能源于意外的,或有预谋的事件。
一般来说,威胁总是要利用系统、应用或服务的弱点才可能成功地对资产造成伤害。
从宏观上讲,威胁按照安全事件的性质可以分为人为错误、非授权蓄意行为、不可抗力、以及设施/设备错误等;
按照威胁的主体可以分为系统合法用户、系统非法用户、系统组件和物理环境四种类型。
4.2.安全威胁分析
根据×
局的具体系统情况,结合历年来在信息安全方面发生过的事件记录及对系统管理员关于威胁发生可能性和发展趋势的交流,×
局信息网主要面临着如下15种安全威胁。
按照威胁的主体划分包括:
系统合法用户的威胁、系统非法用户的威胁、系统组件的威胁和物理环境的威胁。
下面分别对这些威胁及其可能发生的各种情形进行简单描述:
威胁主体
威胁简称
威胁描述
系统合法用户
(包括系统管理员和其他授权用户)
操作错误
合法用户工作失误或疏忽的可能性
滥用授权
合法用户利用自己的权限故意或非故意破坏系统的可能性
行为抵赖
合法用户对自己操作行为否认的可能性
系统非法用户
(包括权限较低用户和外部攻击者)
身份假冒
非法用户冒充合法用户进行操作的可能性
密码分析
非法用户对系统密码分析的可能性
利用漏洞
非法用户利用系统漏洞侵入系统的可能性
拒绝服务
非法用户利用拒绝服务手段攻击系统的可能性
恶意代码
病毒、特洛伊木马、蠕虫、逻辑炸弹等感染的可能性
窃听数据
非法用户通过窃听等手段盗取重要数据的可能性
物理破坏
非法用户利用各种手段对资产物理破坏的可能性
社会工程
非法用户利用社交等手段获取重要信息的可能性
系统组件
意外故障
系统的硬件、软件发生意外故障的可能性
通信中断
数据通信传输过程中发生意外中断的可能性
物理环境
电源中断
电源发生中断的可能性
灾难
火灾、水灾、鼠害、地震等发生的可能性
4.3.安全事件列表
下面的表格是×
局近半年内发生的较大的、或者发生次数较多的信息安全事件形成的安全事件列表:
编号
安全事件
事件情况简单说明()
发生日期
后果
处理措施
1
网络故障
电信光缆中断,并时断时续。
2006.4.25
租用电信通道的营销系统客户端连接不上服务器,不能进行业务处理。
通过协调电信公司得以修复。
2
信息系统故障
营销系统的数据增长迅猛,在业务繁忙期,出现4个集群节点会随机自动宕机现象,当日发生5号服务器宕机。
2006.3.20
用电营销客户端要转登陆到4号服务器处理业务,不影响正常工作。
在ORACLE维护商的配合下分析了故障的现象和原因,确定申请停运营销系统,安装oracle数据库9.2.0.7的补丁,并且重新安装RMAN备份数据库。
处理后系统恢复正常使用。
5.系统脆弱性现状与分析
5.1.概述
脆弱性是指资产或资产组中能被威胁所利用的弱点,它包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面,这些都可能被各种安全威胁利用来侵害一个组织机构内的有关资产及这些资产所支持的业务系统。
这些表现出来的各种安全薄弱环节自身并不会造成什么危害,它们只有在被各种安全威胁利用后才可能造成相应的危害。
那些没有安全威胁的弱点可以不需要实施安全保护措施,但它们必须记录下来以确保当环境、条件有所变化时能随之加以改变。
需要注意的是不正确的、起不到应有作用的或没有正确实施的安全保护措施本身就可能是一个安全薄弱环节。
在本次自评估中,系统脆弱性调查是通过对我局信息系统进行安全管理审计、手动检查以及安全技术审计等管理和技术评估手段对信息系统安全性的总结。
系统的脆弱性状况是×
单位整体信息系统基本安全状况的直接反应,也是安全现状分析的重要数据来源。
5.2.管理安全
信息安全管理是我局信息系统当前安全状况的主要保障,也是公司尤为重视的基本管理的重要组成部分。
目前×
局初步建立并推行以ISO27001以及ISO17799为基础的信息安全管理体系,以实现对信息系统安全工作组织结构和岗位职责的划分,确定安全管理制度的分类和内容形式,形成以策略为指导、以安全制度为形式、按照对各种角色进行安全管理的安全体系架构。
根据国际信息安全管理标准ISO17799,安全管理不只局限于对人员的安全管理制度上的实现,还应该包括安全组织建设、资产安全管理、人员安全管理、通信于操作管理、访问控制管理、系统开发与维护、业务连续性管理等方面。
根据集团和省公司的要求,在本次自评估工作中我们严格根据《省公司公司信息安全检查工作方案》要求的进行管理安全的自评估。
评估的内容和结果详见下表:
检查项目
检查内容
检查说明及存在问题
1组织机构
是否成立了信息安全领导机构、工作机构?
成立了信息化工作领导小组(×
供电信[2002]4号《关于成立**集团×
供电分公司信息化工作领导小组的通知》),而在《×
单位信息安全管理规范》中明确定义了信息安全组织的架构和职能,但由于人员编制问题,目前还没有完全按照该规范执行
2岗位职责
是否有专职网络管理人员
配备了1名专职网络管理员。
是否有专职应用系统管理人员
由于信息部岗位配置不足,存在兼职的应用系统管理人员。
是否有专职系统管理人员
配备了1名专职系统管理员。
各专责的工作职责与工作范围是否有制度明确进行界定。
《×
单位信息部岗位职责》有明确界定。
是否实行主、副岗备用制度
由于信息部岗位配置不足,没有实行主、副岗备用制度。
3病毒管理
是否制定了计算机病毒防治管理制度
已制定《×
单位计算机病毒防范管理制度》。
是否制定了定期升级的安全策略
在《×
单位计算机病毒防范管理制度》中有具体的规定。
而且在病毒管理平台上已经配置了定期升级的安全策略。
是否制定了病毒预警和报告机制
病毒报告机制在《×
单位安全事件应急处理预案》中体现。
病毒扫描策略是否规定了1周内至少进行一次扫描?
在防病毒管理平台上已经配置了每周的病毒扫描策略。
4运行管理
是否建立了信息系统运行管理规程?
按照省公司颁布的《管理信息系统建设与运行维护管理导则》,每一个信息系统都制定了运行管理规程。
重要操作是否实行工作票制度?
供电信〔2006〕21号《关于修定相关信息系统管理制度的通知》之《省公司×
单位信息网络入网工作票》文件规定了重要操作实行工作票制度。
机房出入管理制度是否上墙?
近3个月的机房进出情况是否有记录?
供电信〔2006〕21号《关于修定相关信息系统管理制度的通知》》之《省公司×
单位计算机专业机房工作需知》文件规定机房管理制度必须上墙。
有近3个月的机房进出情况记录。
运行值班制度是否规定了普通情况下5*8小时、关键时期的7*24小时的现场值班内容
《机房运行值班制度》有规定。
是否建立了缺陷管理制度
有对网络设备、业务系统、服务器进行定期巡检,发现缺陷并进行整改,有3个月内的记录。
但未制定相关的缺陷管理制度。
是否建立了统计汇报制度
每月底统计汇总全地区信息系统运行月报,上报给局生产例会。
是否建立了运维流程,并按照流程进行操作
建立了运维流程,有3个月内的运维情况记录。
是否对值班人员进行了安排?
近3个月值班
针对日常、节假日、突发情况等类型,都对值班人员进行了安排。
有近3个月详实值班记录内容。
平时没有值班人员,关键时候或节假日有值班人员。
5账号与口令管理
是否制定了账号、口令管理制度?
单位帐号口令管理制度》。
普通用户账户密码、口令长度要求是否大于6字符?
管理员账户密码、口令长度是否大于8字符?
单位帐号口令管理制度》中作了严格规定。
半年内账户密码、口令是否进行过变更?
(查看变更相关记录、通知、文件)
除系统管理帐户外,大部分普通账户密码、口令半年内未进行过变更。
半年内系统用户身份发生变化后是否及时对其账户进行了变更或注销?
(查看相关记录)
系统用户身份发生变化后有及时对其账户进行变更或注销,但没有做记录。
5.3.物理安全
本次自评估主要对机房环境以及设备维护方面的安全性进行调查。
由于×
单位网络系统管理人员人员职责明确,平时进出机房仅限于管理员,因此机房物理安全的某些人员控制方面还比较不错,现有的一些管理措施包括机房有严格进出控制、重大变更配置均有记录、机房有UPS电源、有效的防火、防水、防雷、降温等措施。
而在介质管理方面严格遵循《关于印发《省公司公司×
单位办公用便携式计算机及存储介质安全管理规定(试行)》的通知》,但对于U盘和移动硬盘管理方面缺乏详细的领用记录和责任人记录。
根据集团和省公司的要求,在本次自评估工作中我们严格根据《省公司公司信息安全检查工作方案》要求的进行物理安全的自评估。
检查说明及存在问题
1机房内部安全防护
主机房是否安装了门禁、监控与报警系统?
有门禁、监控与报警系统;
2机房供、配电
是否有详细的机房配线图?
有详细的机房配线图;
机房供电系统是否将动力、照明用电与计算机系统供电线路分开?
有将动力、照明与计算机系统供电线路分开;
机房是否配备应急照明装置?
配备;
是否定期对UPS的运行状况进行检测?
(查看半年内检测记录)
有定期维护记录;
3机房环境防护
是否采用了气体防火措施?
采用;
空调系统是否定期进行检查?
机房温度是否控制在摄
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 单位 安全 评估 报告
![提示](https://static.bdocx.com/images/bang_tan.gif)