GBT 20984-2007信息安全技术 信息安全风险评估规范.PDF
《GBT 20984-2007信息安全技术 信息安全风险评估规范.PDF》由会员分享,可在线阅读,更多相关《GBT 20984-2007信息安全技术 信息安全风险评估规范.PDF(30页珍藏版)》请在文库网上搜索。
1、I C S 3 5 . 0 4 01 8 0督黔中 华 人 民 共 和 国 国 家 标 准G B / T 2 0 9 8 4 一 2 0 0 7 信息安全技术信息安全风险评估规范 I n for m a t i o ns e c u r i t yt c c h n o l o g y 一R i s ka s s c s s me n t s P e c i f i c a t i o nfOr i n for ma t i o ns e c u r i t y2 0 0 7 一 0 6 一 1 4发 布2 0 0 7 一 1 1 一 0 1实施中华人民共和国国家质量监督检验检疫总局中 国 国
2、 家 标 准 化 管 理 委 员 会发 布GB / T 2 0 9 8 4 一2 0 0 7目次别 舀 , , 1引言 , , n1 范围 12 规范性引用文件 , . . . . . . . . . . . . . . , . . . . . . . . . . . . . . ,13 术语和定义 , . . . . . . . . . . . . . . . . . . . . . . . . 14 风险评估框架及流程 . . . . . . . . . . . . . . , . . . . . . . . . . . . . , 34 . 1 风险要素关系 , , , . . . .
3、. . . . . . . . . . . . . . . . . . . . , . , 34 . 2 风险分析原理 , , . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 . 3 实施流程 4 . . . . . . . . , , . . . 45 风险评估实施 . . . . . . . . . . . . . , . . . . . . . . . . , . , , , . . . . . . 551 风险评估准备 , , . . . . . . . , . , . . . . . . .
4、 . . . . . . . . . . . . . 55 . 2 资产识别 , , , . . . . . . . . . . . . 65 . 3 威胁识别 , , . . 85 . 4 脆弱性识别 . . . . . . . . . . . . . . , 105 . 5 已有安全措施确认 . . . . . . . . . . . . . , . . . . . . . . . . . . . . , , . . . , . , . . . . . . . . . . H5 . 6 风险分析 , 125 . 7 风险评估文档记录 , , , , . . . . . . . . . .
5、. . . . . . . . . . . . , . . . . . . . . . . . . . . 136 信息系统生命周期各阶段的风险评估 , , , . . . . . . . . . . . . . . . . . . . . . . . . 146 . 1 信 息 系 统 生 命 周 期 概 述 从 1 46 . 2 规划阶段的风险评估 , 146 . 3 设计阶段的风险评估 , . , . . . . . . . . . . . . . , , 1 56 . 4 实施阶段的风险评估 , , , . . . . . . . . . . . , , . . . . . . . .
6、 . . . . . . . . . . . . . . . . 156 . 5 运行维护阶段的风险评估 , 166 . 6 废弃阶 段的风险评估 , . . . . . . . . . . . . . , , . . . . . . . . . . . . . . . . . 1 67 风险评估的工作形式 , , . . . . . . . . . . . . , . . . . . . . . . . . . . . . . . . . . . . . . . . . 177 . 1 概 述 . . . , . . . . . . . . , . . . 177 . 2 自 评估 177
7、. 3 检查评估 , , . . . . . . . . . . . . . . . . . . . . . . . 17附录A( 资料性附录) 风险的计算方法 . . . . . . . . . , . 18A . 1 使用矩阵法计算风险 二18A . 2 使用相乘法计算风险 21附录B ( 资料性附录) 风险评估的工具 , 2 4B . 1 风险评估与管理工具 . , , . . . . . . . . . . . . . . . . . . . . . . 24B . 2 系统基础平台风险评估工具 , . . . . . . . . . . . . . . . . . . . . . .
8、 . . . . . . . . . . . . . . . . . . 25B . 3 风险评估辅助工具 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . , . . . . . . . . . . 25参考文献 2 GB / T 2 0 9 8 4 一2 0 0 7月 明舌 本标准的附录 A和附录 B是资料性附录。 本标准由国务院信息化工作办公室提出。 本标准由全国信息安全标准化技术委员会归口。 本标准主要起草单位: 国家信息中心、 公安部第三研究所、 国家保密技术研究所、 中国信息安全产品测评认证中
9、心、 中国科学院信息安全国家重点实验室、 解放军信息技术安全研究中心、 中国航天二院七0六所、 北京信息安全测评中心、 上海市信息安全测评认证中心。 本标准主要起草人: 范红、 吴亚非、 李京春、 马朝斌、 李篙、 应力、 王宁、 江常青、 张鉴、 赵敬宇。GB / T2 0 9 8 4 一2 0 0 7引言 随着政府部门、 企事业单位以及各行各业对信息系统依赖程度的日益增强 , 信息安全问题受到普遍关注。运用风险评估去识别安全风险, 解决信息安全问题得到了广泛的认识和应用。 信息安全风险评估就是从风险管理角度, 运用科学的方法和手段, 系统地分析信息系统所面临的威胁及其存在的 脆弱 性, 评
10、估安全事件 一旦发生可能造成的 危害程度, 提出有针对性的 抵御威胁的防护对策和整改措施, 为防范和化解信息安全风险, 将风险控制在可接受的水平, 最大限度地保障信息安全提供科学依据。 信息安全风险评估作为信息安全保障工作的基础性工作和重要环节, 要贯穿于信息系统的规划、 设计、 实施、 运行维护以及废弃各个阶段, 是信息安全等级保护制度建设的重要科学方法之一。 本标准条款中所指的“ 风险评估” , 其含义均为“ 信息安全风险评估” 。GB / T 2 0 9 8 4 一2 0 0 7 信息安全技术信 息 安全 风 险评 估规 范范围 本标准提出了风险评估的基本概念、 要素关系、 分析原理、
11、实施流程和评估方法, 以及风险评估在信息系统生命周期不同阶段的实施要点和工作形式。 本标准适用于规范组织开展的风险评估工作2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注 日期的引用文件, 其随后所有的修改单( 不包括勘误的内容) 或修订版均不适用于本标准, 然而, 鼓励根据本部分达成协议的各方研究是否可 使用这 些文件的最新版本。 凡是不注日 期的引 用文件, 其最新版本适用于本标准。 G B / T9 3 61计算站场地安全要求 GB1 7 8 5 9 一1 9 9 9 计算机信息系统安全保护等级划分准则 GB / T1 8 3 3 6 一2 0 0 1 信息
12、技术安全技术信息技术安全性评估准则( 记t 1 S O / I E C1 5 4 o s : 1 9 9 9 ) G B / T1 9 7 1 6 一2 0 0 5 信息技术信息安全管理实用规则( 1 5 0 / I E C1 7 7 9 9 : 2 0 0 0 , MOD )3 术语和定义 下列术语和定义适用于本标准。3 . 1 资产a sse t 对组织具有价值的信息或资源, 是安全策略保护的对象3 . 2 资产价值a sse tv a l u e 资产的重要程度或敏感程度的表征。资产价值是资产的属性, 也是进行资产识别的主要内容3 . 3 可用性 a v a il a b 川 t y 数
13、据或资源的特性, 被授权实体按要求能访问和使用数据或资源。3 . 4 业务战略b u s i n e s s s t r a t e g y 组织为实现其发展目标而制定的一组规则或要求。3 . 5 保密性 c o n f i d e n t i a l it y 数据所具有的特性, 即表示数据所达到的未提供或未泄露给非授权的个人、 过程或其他实体的程度3 . 6 信息安全风险i n for m a t i o ns e c u r i t yr i s k 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 GB/ T 2 0 9 8 4 一2 0
14、0 7 ( 信息安全) 风险 评估( i n fo r m a t i o n s e c u r i t y ) r is k as s es s m e n t 依据有关信息安全技术与管理标准, 对信息系统及由其处理、 传输和存储的信息的保密性、 完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性, 并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。3 . 8 信息系统 i n fo r m a t i o n s y s t e m 由计算机及其相关的和配套的设备、 设施( 含网络) 构成的, 按照一定的应用目标和规则
15、对信息进行采集、 加工、 存储、 传输、 检索等处理的人机系统。 典型的信息系统由三部分组成: 硬件系统( 计算机硬件系统和网络硬件系统) ; 系统软件( 计算机系统软件和网络系统软件) ; 应用软件( 包括由其处理、 存储的信息) 。3 . 9 检查评估 i n s p e c t io n a s se s s m e n t 由被评估组织的上级主管机关或业务主管机关发起的, 依据国家有关法规与标准, 对信息系统及其管理进行的具有强制性的检查活动。3 . 1 0 完整性i n t e g r i t y 保证信息及信息系统不会被非授权更改或破坏的特性。包括数据完整性和系统完整性。3 1 1
16、 组织。 嗯a n iz a t i o n 由作用不同的个体为实施共同的业务目标而建立的结构。一个单位是一个组织, 某个业务部门也可 以是一个组织 。3 . 1 2 残余风 险r e s i d u a lr i s k 采取了安全措施后, 信息系统仍然可能存在的风险3 . 1 3 自评估s e l f-a s s e s s me n t 由组织 自身发起, 依据国家有关法规与标准, 对信息系统及其管理进行的风险评估活动3 . 1 4 安全事件 s e c u r i t y in c i d e n t 系统、 服务或网络的一种可识别状态的发生, 它可能是对信息安全策略的违反或防护措施的
17、失效,或未预 知的不 安全状况3 . 1 5 安全 措施 s e c u r i t y m e a s u re 保护资产、 抵御威胁、 减少脆弱性、 降低安全事件的影响, 以及打击信息犯罪而实施的各种实践、 规程和机制 。3 . 1 6 安全需求 s ec u r i t y re q u i re m e n t 为保证组织业务战略的正常运作而在安全措施方面提出的要求。3 . 1 7 威 胁t h r e a t 可能导致对系统或组织危害 的不希望事 故潜在起因 。GB / T 2 0 9 8 4 一2 0 0 73 1 8脆弱性v u l n e r a b i l i t y可能被威
18、胁所利用的资产或若干资产的薄弱环节。4风 险评估框 架及流 程风险要素关系风险评估中各要素的关系如图1 所示:妙依 赖演 变抵 御降 低被 满 足办 可份 图 1 风险评估要素关系图 图 1 中方框部分的内容为风险评估的基本要素, 椭圆部分的内容是与这些要素相关的属性。风险评估围绕着资产、 威胁、 脆弱性和安全措施这些基本要素展开, 在对基本要素的评估过程中, 需要充分考虑业务战略、 资产价值、 安全需求、 安全事件、 残余风险等与这些基本要素相关的各类属性。 图 1 中的风险要素及属性之间存在着以下关系: a)业务战略的实现对资产具有依赖性, 依赖程度越高, 要求其风险越小; 1)资产是有价
19、值的, 组织的业务战略对资产的依赖程度越高, 资产价值就越大; 。 ) 风险是由威胁引发的, 资产面临的威胁越多则风险越大, 并可能演变成为安全事件; d)资产的脆弱性可能暴露资产的价值, 资产具有的脆弱性越多则风险越大; e)脆弱性是未被满足的安全需求, 威胁利用脆弱性危害资产; 幻 风险的存在及对风险的认识导出安全需求; 9 ) 安全需求可通过安全措施得以满足, 需要结合资产价值考虑实施成本; 11)安全措施可抵御威胁, 降低风险; 1) 残余风险有些是安全措施不当或无效, 需要加强才可控制的风险; 而有些则是在综合考虑了安 全成本与效益后不去控制的风险; ) 残余风险应受到密切监视, 它
20、可能会在将来诱发新的安全事件4 2风险分析原理 风险分析原理如图2所示: 风险分析中要涉及资产、 威胁、 脆弱性三个基本要素。每个要素有各自的属性, 资产的属性是资产价值; 威胁的属性可以是威胁主体、 影响对象、 出现频率、 动机等; 脆弱性的属性是资产弱点的严重程度GB/ T 2 0 9 8 4 一2 0 0 7风险分析的主要内容为: a)对资产进行识别, 并对资产的价值进行赋值; b)对威胁进行识别, 描述威胁的属性, 并对威胁出现的频率赋值; c)对脆弱性进行识别, 并对具体资产的脆弱性的严重程度赋值; d)根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性; e)根据脆弱性的严
21、重程度及安全事件所作用的资产的价值计算安全事件造成的损失; f)根据安全事件发生的可能性以及安全事件出现后的损失, 计算安全事件一旦发生对组织的影 响, 即风险值。图 2风险分析原理 图4 . 3 实施流程 风险评估的实施流程如图3所示:图 3风险评估 实施流程图GB / T 2 0 9 8 4 一2 0 0 7风险评估实施流程的详细说明见第 5章。5 风 险评估实施5 . 1 风险评估准备5 .1 .1 概 述 风险评估准备是整个风险评估过程有效性的保证。组织实施风险评估是一种战略性的考虑, 其结果将受到组织的业务战略、 业务流程、 安全需求、 系统规模和结构等方面的影响。因此, 在风险评估
22、实施前 , 应 : a)确定风险评估的目标; b)确定风险评估的范围; c)组建适当的评估管理与实施团队; d)进行系统调研; e)确定评估依据和方法; f)制定风险评估方案; 9 ) 获得最高管理者对风险评估工作的支持。5 . 1 . 2 确定目标 根据满足组织业务持续发展在安全方面的需要、 法律法规的规定等内容, 识别现有信息系统及管理上的不足, 以及可能造成的风险大小。5 . 飞 . 3 确定范围 风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、 管理机构, 也可能是某个独立的信息系统、 关键业务流程、 与客户知识产权相关的系统或部门等5 . 1 . 4 组建 团队 风险评估
23、实施团队, 由管理层、 相关业务骨干、 信息技术等人员组成风险评估小组。必要时, 可组建由评估方、 被评估方领导和相关部门负责人参加的风险评估领导小组, 聘请相关专业的技术专家和技术骨干组成专家小组。 评估实施团队应做好评估前的表格、 文档、 检测工具等各项准备工作, 进行风险评估技术培训和保密教育, 制定风险评估过程管理相关规定。可根据被评估方要求, 双方签署保密合同, 必要时签署个人保 密协议。5 . 1 . 5 系统调研 系统调研是确定被评估对象的过程, 风险评估小组应进行充分的系统调研, 为风险评估依据和方法的选择、 评估内容的实施奠定基础。调研内容至少应包括: a)业务战略及管理制度
24、; b)主要的业务功能和要求; c ) 网络结构与网络环境, 包括内部连接和外部连接; d ) 系统边界; e)主要的硬件、 软件; f)数据和信息; 9)系统和数据的敏感性; h)支持和使用系统的人员; 1)其他 系统调研可 以采取 问卷 调查、 现场面谈相结合 的方式进行 。调查问卷 是提供一 套关 于管理或操 作GB / T2 0 9 8 4 一2 0 0 7控制的问题表格, 供系统技术或管理人员填写; 现场面谈则是由评估人员到现场观察并收集系统在物理、 环境和操作方面的信息。5 . 1 . 6 确定依据 根据系统调研结果, 确定评估依据和评估方法。评估依据包括( 但不仅限于) : a)
25、现行国际标准、 国家标准、 行业标准; b)行业主管机关的业务系统的要求和制度; c ) 系统安全保护等级要求; d)系统互联单位的安全要求; e)系统本身的实时性或性能要求等 根据评估依据, 应考虑评估的目的、 范围、 时间、 效果、 人员素质等因素来选择具体的风险计算方法,并依据业务实施对系统安全运行的需求, 确定相关的判断依据, 使之能够与组织环境和安全要求相适 应。51 . 7 制定方案 风险评估方案的目的是为后面的风险评估实施活动提供一个总体计划, 用于指导实施方开展后续工作。风险评估方案的内容一般包括( 但不仅限于) : a)团队组织: 包括评估团队成员、 组织结构、 角色、 责任
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- GBT 20984-2007信息安全技术 信息安全风险评估规范 20984 2007 信息 安全技术 安全 风险 评估 规范