信息安全風險評估

第一部分基本知識
第1章引論
1.1信息與信息安全
1.1.1信息
1.1.2信息安全
1.2信息安全技術與信息安全管理
1.2.1信息安全事件
1.2.2信息安全技術
1.2.3信息安全管理
1.3信息安全風險評估
1.3.1基本定義
1.3.2相關概念
1.3.3基本要素關系
1.3.4風險分析原理
1.4開展信息安全風險評估工作的
意義
1.4.1信息安全工作的客觀
需要和緊迫需求
1.4.2體現(xiàn)黨中央國務院的
文件精神
1.4.3落實信息安全等級
保護的重要手段
1.5我國信息安全風險評估推進
過程
1.5.1調(diào)查研究階段
1.5.2標準編制階段
1.5.3全國試點階段
1.5.4下一步推進工作
第2章主要內(nèi)容
2.1信息安全風險評估的內(nèi)涵
2.1.1信息安全風險評估是信息
安全建設和管理的科學
方法
2.1.2信息安全風險評估是分析
確定風險的過程
2.1.3信息安全風險評估是信息
安全建設的起點和基礎
2.1.4信息安全風險評估是在
倡導一種適度安全
2.2信息安全風險評估的兩種方式
2.2.1自評估
2.2.2檢查評估
2.3信息安全風險評估的五個環(huán)節(jié)
2.3.1信息系統(tǒng)生命周期
2.3.2規(guī)劃階段的風險評估
2.3.3設計階段的風險評估
2.3.4實施階段的風險評估
2.3.5運行維護階段的風險
評估
2.3.6廢棄階段的風險評估
2.4信息安全風險評估的組織管理
工作第二部分技術與方法
第3章評估工作概述
3.1工作原則
3.1.1關于評估工作流程
3.1.2關于風險分析方法
3.1.3關于結果展現(xiàn)
3.2參考流程
3.3質量管理
3.3.1實施方案
3.3.2中間結果
3.3.3項目驗收
3.4質量控制規(guī)范要求
3.4.1實施組織規(guī)范要求
3.4.2前期環(huán)境準備規(guī)范要求
3.4.3評估流程規(guī)范要求
3.4.4溝通與控制規(guī)范要求
3.4.5驗收規(guī)范要求
第4章評估準備
4.1評估目的
4.2評估范圍及描述
4.3建立評估團隊
4.3.1組織結構
4.3.2人員角色
4.4前期系統(tǒng)調(diào)研
4.5確定評估標準
4.5.1國內(nèi)標準
4.5.2國際標準
4.5.3行業(yè)標準和規(guī)范
4.5.4組織本身的策略
4.6條件準備
4.7項目啟動及培訓
4.7.1項目啟動
4.7.2評估活動的培訓
第5章資產(chǎn)識別
5.1工作內(nèi)容
5.1.1回顧評估范圍之內(nèi)的
業(yè)務
5.1.2識別信息資產(chǎn)，進行
合理分類
5.1.3確定每類信息資產(chǎn)的
安全需求
5.1.4為每類信息資產(chǎn)的
重要性賦值
5.2參與人員
5.2.1回顧評估范圍之內(nèi)的
業(yè)務和系統(tǒng)
5.2.2識別信息資產(chǎn)進行合理
分類
5.2.3確定每類信息資產(chǎn)的
安全需求
5.2.4為每類信息資產(chǎn)的
重要性賦值
5.3工作方式
5.3.1評估范圍之內(nèi)的業(yè)務
識別
5.3.2資產(chǎn)的識別與分類
5.3.3安全需求分析
5.3.4資產(chǎn)賦值
5.4工具及資料
5.4.1自動化工具
5.4.2手工記錄表格
5.4.3輔助資料
5.5輸出結果
第6章威脅識別
6.1工作內(nèi)容
6.1.1威脅識別
6.1.2威脅分類
6.1.3威脅賦值
6.1.4構建威脅場景
6.2參與人員
6.2.1訪談
6.2.2工具檢測
6.3工作方式
6.3.1威脅識別
6.3.2威脅分類
6.3.3構建威脅場景
6.3.4威脅賦值
6.4工具及資料
6.4.1IDS采樣分析
6.4.2日志分析
6.4.3人員訪談記錄表格
6.5輸出結果
第7章脆弱性識別
7.1工作內(nèi)容
7.1.1脆弱性識別
7.1.2識別結果整理與展示
7.1.3脆弱性賦值
7.2參與人員
7.3工作方式
7.3.1脆弱性識別
7.3.2脆弱性整理和展現(xiàn)
7.3.3脆弱性分析和CVSS
計算方法
7.4工具及資料
7.4.1漏洞掃描工具
7.4.2各類檢查列表
7.4.3滲透測試
7.5輸出結果
第8章安全措施識別與確認
8.1工作內(nèi)容
8.1.1技術控制措施的識別
與確認
8.1.2管理和操作控制措施的
識別與確認
8.2參與人員
8.3工作方式
8.3.1技術控制措施的識別
與確認
8.3.2管理和操作控制措施的
識別與確認
8.3.3分析與統(tǒng)計
8.4工具及資料
8.4.1《技術控制措施調(diào)查表》
8.4.2《管理和操作控制措施
調(diào)查表》
8.4.3涉密信息系統(tǒng)評測表格
（可選，針對涉密信息系
統(tǒng)的評估）
8.4.4符合性檢查工具
8.5輸出結果
第9章風險分析階段
9.1風險分析模型
9.2風險分析
9.2.1業(yè)務與資產(chǎn)映射
9.2.2資產(chǎn)/脆弱性/威脅/已有
控制措施映射
9.2.3風險計算
9.3工具及資料
9.4輸出結果
第10章有關技術標準
10.1BS 7799/ISO 17799
10.1.1BS 7799、ISO/IEC
17799、ISO/IEC
27000系列
10.1.2ISO/IEC 17799：
2005
10.1.3BS 77992：2002
10.2ISO /IEC TR 13335
10.2.1信息安全管理和計劃
的概念和模型
10.2.2信息安全管理和
計劃
10.2.3信息安全管理
技術
10.2.4安全措施的選擇
10.2.5網(wǎng)絡安全管理
指南
10.3OCTAVE 2.0
10.3.1簡介
10.3.2面向大型組織的
OCTAVE方法
10.3.3面向小型組織的
OCTAVES方法
10.3.4兩種方法的選擇
10.4ISO 15408/GB 18336/CC
10.4.1適用范圍
10.4.2內(nèi)容簡介
10.4.3局限性
10.5等級保護
10.5.1GB 178591999《計算機
信息系統(tǒng)安全保護等級
劃分準則》
10.5.2其他正在制定過程
中的相關配套系列
標準
10.6涉秘信息系統(tǒng)分級保護技術
要求
10.6.1涉密信息系統(tǒng)的
等級劃分
10.6.2涉密信息系統(tǒng)基本
保護要求
10.6.3涉密信息系統(tǒng)的
安全風險評估第三部分產(chǎn)品與工具
第11章風險評估管理工具
11.1天融信信息安全管理系統(tǒng)
11.1.1TSM概述
11.1.2TopAnalyzer工具在
信息安全風險評估
中的應用
11.1.3TopAnalyzer工具的
構成
11.1.4Top Analvzer工具的
功能
11.1.5工具的特點
11.1.6工具的應用環(huán)境
11.1.7案例說明
11.2啟明星辰風險評估管理
系統(tǒng)
11.2.1系統(tǒng)概述
11.2.2產(chǎn)品的構成
11.2.3產(chǎn)品的使用及
功能
11.2.4應用案例
11.2.5總結
11.3聯(lián)想網(wǎng)御風險評估輔助
工具
11.3.1系統(tǒng)構成與功能
11.3.2應用環(huán)境
11.3.3使用方法
11.3.4應用案例
第12章漏洞掃描分析工具
12.1極光遠程安全評估系統(tǒng)
12.1.1概述
12.1.2系統(tǒng)總體構成
12.1.3系統(tǒng)功能說明
12.1.4系統(tǒng)應用環(huán)境
12.1.5系統(tǒng)應用說明
12.1.6系統(tǒng)應用案例
12.1.7總結
12.2天鏡脆弱性掃描與管理
系統(tǒng)
12.2.1系統(tǒng)概述
12.2.2系統(tǒng)的構成
12.2.3系統(tǒng)的使用及
功能
12.2.4系統(tǒng)的收益和
特點
12.3ISS安全漏洞掃描系統(tǒng)
12.3.1產(chǎn)品簡介
12.3.2產(chǎn)品功能
12.3.3產(chǎn)品的應用
12.3.4產(chǎn)品輸出報表
第13章入侵檢測工具
13.1概述
13.1.1為什么需要網(wǎng)絡入侵
檢測系統(tǒng)
13.1.2常見的入侵檢測
技術
13.1.3新一代入侵檢測
技術
13.2冰之眼網(wǎng)絡入侵檢測系統(tǒng)
13.2.1產(chǎn)品架構
13.2.2產(chǎn)品功能
13.2.3產(chǎn)品部署
13.2.4應用案例
13.3天闐入侵檢測系統(tǒng)
13.3.1系統(tǒng)概述
13.3.2產(chǎn)品構成
13.3.3產(chǎn)品功能
13.3.4產(chǎn)品應用第四部分案例
第14章案例一：某國稅安全評估
項目
14.1項目概述
14.1.1項目啟動與立項
14.1.2目標
14.1.3內(nèi)容
14.1.4范圍
14.2項目階段
14.2.1項目規(guī)劃
14.2.2評估實施
14.2.3評估報告和解決
方案
14.2.4支持和維護
14.3交付的文檔及報告
14.3.1中間評估文檔
14.3.2最終報告
14.4項目時間表
14.5安全評估具體實施內(nèi)容
14.5.1主機安全現(xiàn)狀
評估
14.5.2網(wǎng)絡架構安全
狀況評估
14.5.3應用系統(tǒng)安全
狀況評估
14.5.4安全管理狀況
評估
14.6附錄
14.6.1附件1： 某國稅安全
風險評估工作聲明
目錄
14.6.2附件2： 某國稅安全
評估技術方案建議書
目錄
14.6.3附件3： 某國稅網(wǎng)絡
架構評估報告
目錄
14.6.4附件4： 某國稅應用
系統(tǒng)安全評估報告
目錄
14.6.5附件5： 某國稅安全
管理審計報告
目錄
14.6.6附件6： 某國家稅務
局安全現(xiàn)狀報告
目錄
14.6.7附件7： 某國稅信息
系統(tǒng)安全解決方案
建議書目錄
14.6.8附件8： 安全檢查
列表實例
14.6.9附件9： 主機安全評估
評估結果實例
第15章案例二：某電信公司信息
安全風險評估項目
15.1項目概述
15.1.1基本情況
15.1.2項目目標與范圍
15.1.3項目組織和進度
安排
15.1.4實施簡述
15.2風險評估方案實施
15.2.1風險評估的依據(jù)
15.2.2評估階段定義
15.2.3本次風險評估的
具體內(nèi)容
15.3安全信息庫的建設
15.3.1建設實施
15.3.2功能
15.3.3數(shù)據(jù)接口
15.4項目驗收
15.4.1省網(wǎng)層面風險
評估
15.4.2分公司節(jié)點風險
評估
15.4.3風險評估總結
15.4.4安全信息庫
15.4.5培訓
15.5評估工具
第16章案例三：某公司網(wǎng)絡風險
評估項目
16.1項目概述
16.1.1項目簡介
16.1.2項目目標
16.1.3項目范圍
16.2項目指導策略
16.2.1評估遵循的原則
16.2.2風險評估策略
16.2.3風險評估模型
16.3風險評估方法
16.3.1風險評估流程
16.3.2風險評估方法
16.4項目實施
16.4.1項目組織結構
16.4.2項目實施計劃
16.4.3項目實施過程
16.4.4項目實施過程中
的風險控制措施
16.4.5項目文檔提交
16.4.6項目工作配合