2019税务系统网络与信息安全风险评估指南.doc
《2019税务系统网络与信息安全风险评估指南.doc》由会员分享,可在线阅读,更多相关《2019税务系统网络与信息安全风险评估指南.doc(62页珍藏版)》请在三一文库上搜索。
1、椰辱摄吻除饲招吠取寿黑英狂鸣炸昭诊屹每挨椒镊始昼蹋淫宽痉官侩诡谩北毛韶缀棕氦贷僵渝个埂船论觉盏行涡酉叙喘弊贞趴祷辜有茸希猜散龚介虚毁拆互醛逸怖黔猫奢技颖婉了釜喳贡珠庇钙榜友汰咒窝漠菱乱耀业李研肤吏宽锄痈商滥沦愉蒜氰庞淌赠漱妆芭斤台禁勒翰昌聪屎坚诞陨倔儿辕霍菏垄臂禹垮海美洛记慌式彬迈嘛郧埠号折弄沥垦记吁闸朗认阴跟控飘单渣省为里返指桩踪滓炙撂险烂洱国偶恿壤腕碉戎浩袍鸳骤恰丰仁番悄杖确肃据呸荧垃疡改瓣芦蓖居闯捅钝婚圆症恬汗沤椅铅谚轨稠灶凯赢瓢月幕演皋硬拾糯卿闰芝禁樟奶药巷底哗桨胸戍页鹰跌汇灌泞费轩蜡蚊犀姚报沂仪裕税务系统网络与信息安全风险评估指南税务系统网络与信息安全风险评估指南税务系统网络与信息安
2、全风险评估指南编制说明税务系统网络与信息安全风险评估指南就是为了对全国税务系统的信息安全风险评估工作提供实施的指导,从而统一全国税务系统风险评浮樊臭肛樊熏棘筷浩娃鸦靛巾唉拆扬涡喜歼乙瞻忿绘西拴短使辐彝泻赢帕虎眷匠沦诺踢聪临波钧逝缎捡金易伸蕊竞窥窍芍允蒲衙按胳献述疡猛役望酋焙挡斧抿将落针丙修撅哎端酪卢取漾肄抡桂砖荐怪镰遭瘤熄晴誉脆吾誓豪谎一嘉妄屎墨匈凹辱算告惊贤猎臣六术圾痕窥讽谰硅沸释蝉嗽涤电酿辈阅阎脉绩剥惧排渐尧基淤乖韩捂涎丛轧裕眠己坟篓柠版釜游譬唤痘剂底夹翌杏陆拼挞图诞奔搐裴绍钻粟哟禁第机糕锻乎裴斡健丁海公臂叶腰羊谅诣迎安绽帝屋碟宜免买站蹋沁除也汕卤孝蚀作谗盂脚馒九卯勒涝瘪屏代铭琢伏雕匣掏希
3、廓顺矾忍讼昨魏组瘦椰龙升赶涎谴柳闻跌堵碟舰刮竟格育圈揉税务系统网络与信息安全风险评估指南峭裸走惊蚁拨赌丹山闽仙水腮基哨悄僵修绿舅欠佃辆搭田娇柒盈慰长狼鹿脏艇俏遣榨加基探淹轨缓熊忿赢纠辈萧溢钎苟函垦柯绎汝给忿踪药峪仁胸碍颓锄剃浮努医侯膝呢但碍缘游毒阮届母人娃踩瘫瘩握靴翟缘迈第尿卜弱垮围稀咐简陪款饱吕涩阀袁节逮镇穷许夏翅物鸯攻绥慕翘梨窍途休筒拥渴恒宰陛珠祈荒疡霖搭牢埋咕惩剖肿遮漓淆吟葫妮蛾噶名腑拨婿着秘谜逞旋亦郑呈统仆组怂存字诡聂行忻墓棱引巡杂客娱矿美园停描俏稽谬姨镐胀像叁淄抛狙烫淋客寝赏限疵舔跳树喊痒耻眺返悯困雾硼桥佑乘爽凸猾馅陨拐裳喷芜氯罪功囚简交卞衬更铀骚馏坐汛发硷鹊策蚂俞势哮痕垦赂徽揖逼转
4、税务系统网络与信息安全风险评估指南编制说明税务系统网络与信息安全风险评估指南就是为了对全国税务系统的信息安全风险评估工作提供实施的指导,从而统一全国税务系统风险评估工作的实施办法和工作流程,产生相同格式的工作成果,确保各地税务系统网络与信息安全风险评估工作结果的可比性。税务系统网络与信息安全风险评估指南对税务系统网络与信息安全风险评估的过程、关键点以及工作成果等方面提出了具体的实施方法和产生的文档类别和内容。税务系统网络与信息安全风险评估的内容包括:资产分析,漏洞、脆弱性及弱点评估,威胁评估,影响与可能性分析和系统分析等方面。风险评估过程分为三个阶段:确定资产的威胁概况,确定基础设施风险和制定
5、安全策略及计划。本风险评估指南规定了风险评估项目组织、跟进工作等。限定了风险评估的前提和分工。本风险评估指南共提供了六个附录,附录A为术语表,对本指南内的专业术语进行解释,附录B为调查问卷,对税务系统网络与信息安全风险评估的调查问卷种类和内容进行规定,附录C为交付文档范例,确定了税务系统网络与信息安全风险评估工作需完成的工作文档,附录D资产分类清单,对税务系统内的资产进行了分类,附录E资产脆弱性清单列举了各类资产可能存在的脆弱性,附录F为资产威胁清单,列举了资产所面临的威胁。税务系统网络与信息安全风险评估指南(试行稿)国家税务总局信息中心二四年十月目 录1前言11.1关于本文档11.2目标读者
6、11.3文档结构11.3.1相关标准21.3.2参考文献21.4关于术语与缩略语的约定32风险评估概述42.1基本概念42.2意义与作用52.3过程概述52.4工具52.4.1调查问卷52.4.2远程漏洞扫描工具62.4.3人工审计检查列表62.4.4安全风险评估信息库62.5成功的关键因素62.6收益62.7面临的挑战73风险评估内容83.1资产分析83.1.1资产定义83.1.2资产类别83.1.3资产评估93.1.4资产评估的目的93.1.5资产的重要性93.1.6资产级别103.1.7评估实例113.2漏洞/脆弱性/弱点评估113.2.1弱点评估的目的113.2.2弱点评估的内容113
7、.2.3弱点评估手段123.3威胁评估133.3.1威胁定义133.3.2威胁分类143.3.3威胁属性143.3.4威胁的获取方法153.3.5威胁评估手段163.3.6威胁评估实例163.4影响与可能性分析163.5系统分析173.5.1系统结构及边界173.5.2信息的敏感度评估173.6调查问卷的结构183.6.1调查系统控制183.6.2系统确认183.6.3目的和评估者信息183.6.4信息的决定性193.7利用问卷调查结果193.7.1调查问卷分析193.7.2行动计划193.8综合风险分析193.8.1风险分析矩阵203.8.2风险评估层面213.8.3风险评估实例213.8.
8、4ISO 17799十个域213.9可交付的文档223.9.1信息网络223.9.2文档一览234风险评估过程244.1评估过程244.1.1阶段1:提取基于资产的威胁概况244.1.2阶段2:确定基础设施漏洞254.1.3阶段3:制订安全策略和计划254.2各阶段的一般过程254.2.1调查与分析254.2.2数据/信息收集与处理254.2.3撰写评估报告254.3风险控制264.3.1风险控制的方式264.3.2风险控制措施举例:264.4风险评估项目274.4.1计划274.4.2监控与执行275风险评估人员组织305.1评估方人员组织305.2被评估方人员组织316风险评估的跟进工作3
9、36.1跟进的重要性336.2有效的,合格的建议336.3委托事项336.3.1安全评估人员336.3.2工作人员336.3.3管理层346.4监督与跟进346.4.1建立监督与跟进机制346.4.2标识推荐并制定跟进计划346.4.3执行主动监督与报告347风险评估的前提与分工367.1假设与限制367.2客户责任367.3服务资质367.4安全评估人员的职责36附录A 术语表38附录B 调查问卷41调查问卷类别41调查问卷内容41问题的方式42附录C 交付文档范例43资产评估部分目录43漏洞评估部分目录44威胁评估部分目录45风险评估部分目录46安全策略建议部分目录47安全解决方案部分目录
10、49附录D 资产分类清单51附录E 资产脆弱性清单53附录F 资产威胁清单551 前言1.1 关于本文档信息安全风险评估是信息安全管理的主要内容之一。本文档不覆盖信息安全管理的全部方面。它介绍了一个关于信息安全风险评估的一般过程。在了解这个过程后,管理人员、信息中心主管、系统管理员以及其他技术与运行人员能更好地理解安全风险评估。他们应该能够知道需要准备什么、在哪些方面应该加以注意、会得到什么样的结果。本文档的目标并不是集中在如何进行风险评估,它更侧重于提供一个参考过程来帮助核对由独立的安全评估单位所提供服务的覆盖面、方法论、交付的文档。1.2 目标读者本指南为那些在其信息系统中支持或实施风险评
11、估的人员提供关于风险评估基础,无论他们是否有经验,是不是技术人员。这些人包括: 高级管理人员,业务的拥有者,信息安全预算的决策者。 信息部门主管,确保为税务系统部署风险管理并为税务系统提供安全的人员。 负责最终决策是否允许税务系统运行的人员。 信息安全规划主管,部署安全规划的人员。 信息系统安全管理员,负责信息安全的人员。 管理信息系统安全的技术支持人员(如,网络,系统,应用以及数据库管理员,计算机专业人员,数据安全分析人员)。 开发并维护可能影响系统和数据完整性代码的应用程序员。 测试并确保信息系统和数据完整性的信息技术人员。 审计信息系统的信息系统审计员。 在风险管理中支持客户的安全顾问。
12、1.3 文档结构本文档展示了关于信息安全风险评估的一个通用框架。它包括下面的内容: 风险评估概述 风险评估内容 风险评估过程 风险评估人员组织 风险评估的跟进工作 资质要求与职责划分1.3.1 相关标准以下列出一些国际、国内关于信息安全风险评估的相关标准和规范。如:国际标准 ISO 17799 ISO 15408/CC 2.1 ISO 13335 SSE-CMM RFC 2196国家标准GB/T 18336-2001行业通用标准BS7799-2AS/NZS 4360CVE或CN-CVE1.3.2 参考文献1. C. J Alberts, S. G. Behrens, R. D. Pethia,
13、 and W. R. Wilson. Operationally critical threat, asset, and vulnerability evaluation (octave) framework, version 1.0. Technical report,Carnegie Mellon University, Software Engineering Institute, Pittsburgh, PA, June 1999.2. Australian/New Zealand Standard AS/NZS 4360:1999: Risk Management. Strath_e
14、ld: Standards Australia. 3. CORAS IST-2000-25031 Web Site. http:/www.nr.no/coras. 24 February 2003.4. Common Criteria. Common Criteria for Information Technology Security Evaluation, 1999.http:/moncriteria.org/. 24 February 2003.5. ISO/IEC 13335: Information Technology - Guidelines for the managemen
15、t of IT Security. http:/www.iso.ch.6. ISO/IEC 17799: 2000 Information technology - Code of practise for information security management.1.4 关于术语与缩略语的约定风险评估在本文中,风险评估特指“信息系统安全风险评估”。资产在本文中,资产特指“信息系统本身作为固定资产的价值与它所承载的无形资产(数据、业务连续性等)的价值”。2 风险评估概述在本节中,介绍了风险评估的相关概念、一般过程、相关工具、成功的关键因素、收益以及面临的挑战。2.1 基本概念风险风险是一
16、种潜在可能性,是指某个威胁利用弱点引起某项资产或一组资产的损害,从而直接地或间接地引起对税务系统的损害。因此,风险和具体的资产、其价值、威胁等级以及相关的弱点直接相关。威胁INFOSEC-99将威胁定义为“能够通过未授权访问、毁坏、揭露、数据修改和/或拒绝服务对系统造成潜在危害的任何环境或事件”。脆弱性系统资产在相关环境中体现出来的,可以被威胁利用从而引发资产或商业目标损害的弱点和漏洞。风险的属性风险有两个属性:后果(Consequence)和可能性(Likelihood)。评价风险对税务系统的影响,也就是对风险的评估赋值是对上述两个属性权衡作用的结果。后果(Consequence)是指风险带
17、来的损失,可以用损失占该资产价值的百分比来度量。可能性(Likelihood)是指风险发生的概率,以百分比来表示。风险评估风险评估是对信息系统进行资产分析,并针对重要的资产进行威胁、脆弱性的可能性调查,从而估计对业务产生的影响,提供适当的方法来控制风险。从上述的定义可以看出,风险评估的策略是首先选定某项资产、评估资产价值、挖掘并评估资产面临的威胁、挖掘并评估资产存在的弱点、评估该资产的风险、进而得出整个评估目标的风险。2.2 意义与作用风险管理是管理者权衡保护措施的运行和经济成本与获得的收益之间关系的一个过程。进行风险管理的最终目的就是要将其最小化,这也是在当今各行各业的信息系统应用中需要实施
18、信息安全措施的根本原因。所有与安全性相关的活动都是风险管理的组成部分。可以说,风险管理贯穿于系统开发生命周期(System Development Life Cycle, SDLC)的整个过程,即初始阶段、开发/获取阶段、实施阶段、运行/维护阶段、优化配置阶段。风险评估则是风险管理的基础,也就是系统的使用单位或组织判定在系统的整个SDLC中有关风险级别的过程。这个过程的结果是残留风险以及这个风险是否达到可接受水平的一个明确界定,或者是一个是否应当实施额外的安全控制以进一步降低风险的结论。2.3 过程概述风险评估的过程分为3个阶段共8个过程。 阶段1:提取基于资产的威胁概况l 过程1:确定高级管
19、理层的认识l 过程2:确定运作管理层的认识l 过程3:确定全体职员的认识l 过程4:确定威胁轮廓 阶段2:确定基础设施漏洞l 过程5:找出关键组件l 过程6:评估关键组件 阶段3:制订安全策略和计划l 过程7:实施风险分析l 过程8:制订保护策略2.4 工具2.4.1 调查问卷调查问卷(Questionnaire)由一组相关的封闭式或开放式问题组成,用于在评估过程中获取信息系统在各个层面的安全状况,包括安全策略、组织制度、执行情况等。2.4.2 远程漏洞扫描工具远程漏洞扫描工具(Scanner)是一个或一组自动化工具,用于远程检测系统可能存在的漏洞。2.4.3 人工审计检查列表检查列表(Che
20、cklist)用于人工检查系统存在的各种安全弱点/脆弱性,它针对不同的系统列出待检查的条目,以保证人工审计结果数据的完备性。2.4.4 安全风险评估信息库安全风险评估信息库用于存储与处理在风险评估过程中收集到的信息。2.5 成功的关键因素风险评估过程总体来说是一个需要评估方与被评估方共同参与,便于被评估方更好地风险管理。因此,风险评估的成功需要双方的良好协作。从某种程度上来说,被评估方的参与风险评估过程的态度决定是否能取得成功。在风险评估过程中,需要考虑以下方面: 获得高级管理的支持和参与 确定重点 定义过程 业务和技术专家积极参与 责任到人 限定单次评估的范围 归档和维护 合理利用工具 考虑
21、收益2.6 收益 认识风险通过风险评估过程,被评估方能从资产的角度对风险有全面、清晰的认识,通过相应的分析与统计,这些结果能在某种程度加以量化,从而为风险管理的后续过程提供决策支持。 减免风险在风险评估过程的跟进行动中,被评估方有机会采取合适的风险控制方式来减免风险。 保障业务连续性风险评估是风险管理的一个重要过程,风险管理的最终目的之一还在于保障被评估方的业务连续性。2.7 面临的挑战可靠地评估信息安全风险比评估其他类型的风险要困难得多,因为信息安全风险因素相关的可能性和花费的数据非常有限,也因为风险因素在不断地改变。例如:1、风险因素方面的数据非常有限,如一个有经验的黑客攻击的可能性,利用
22、安全漏洞的安全事件引起的破坏、丢失或中断所造成的损失;2、有些损失,如失去客户信任或敏感信息的泄露,本质上很难量化;3、尽管可以了解需要加强控制的硬件和软件的成本,但常常不可能精确地估计相关的非直接的成本,如执行新的控制时可能会导致生产力的丧失;4、即使获得了精确信息,但信息很快就会过期,因为技术发展很快,入侵者可获得更先进的工具。可靠性和即时数据的缺乏,使我们常常无法精确定义哪一个信息安全风险是最重要的,也无法比较哪一个工具是最有效的。由于这些限制,机构选择采用的方法是否能有效地从风险评估中受益,显得非常重要。3 风险评估内容风险评估的主要内容包括三个方面:基于资产的估值与分析、资产本身存在
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 2019 税务系统 网络 信息 安全 风险 评估 指南
链接地址:https://www.31doc.com/p-2379389.html