某單位資訊保安風險評估投標書
技術部分
北京啟明星辰資訊保安技術****
中國石油天然氣股份****管道分公司（簡稱某單位）隸屬於中國石油天然氣股份****，主要負責長輸油氣管道的運營管理、建設和科研。公司下轄大慶、長春等26個輸油（氣）單位以及管道工程專案經理部、管道科技中心等單位，所屬單位和人員分布在全國17個省（自治區、直轄市）。
公司擁有集油氣管道輸送技術研發、服務、培訓、檢測和監測為一體的專業科研機構，科研力量雄厚，科研設施完備，擁有管道核心技術研發能力。在油氣儲運工藝、管道完整性管理、管道化學新增劑、管道規劃、資訊與經濟等研究領域整體處於國內領先水平。
隨著 「十二五」計畫的開局與發展，某單位將加快戰略轉型，深入使用資訊化科技手段提高生產效率。當企業經營資料、生產過程控制及資訊交換完成資訊化的大集中後，資訊系統的安全一旦受到破壞將產生嚴重的、不可估量的後果。
因此，某單位急需展開資訊保安風險評估專項工作，加強資訊保安建設和管理，本次專案根據某單位工作要求，結合國家相關政策要求，依據資訊保安建設相關國際和國內標準，對石油管道公司重要資訊系統進行完整的資訊系統評估，為公司資訊系統的安全執行提供有力的保障。
安全評估的目的通常包括以下幾個方面：
確定可能對資訊系統造成危害的威脅
通過歷史資料和專家的經驗確定威脅實施的可能性
對可能受到威脅影響的資訊資產確定其價值、敏感性和嚴重性
對各類資訊資產，確定一旦威脅發生其潛在的損失或破壞
針對本次的安全評估，主要包括以下目的：
準確了解企業的網路和系統安全現狀
明晰企業的安全需求
制定企業網路和系統的安全策略
制定企業網路和系統的安全解決方案
指導企業未來的安全建設和投入
指導企業建立資訊保安框架
此次資訊保安評估服務範圍涵蓋由專案組雙方溝通確認，推薦主管資訊化部門、系統建設和運維部門、業務部門都參與本次專案。
涉及的資訊系統如下表所示：
本次安全評估的內容包括：
通過技術性檢測評估，獲得網路層存在的網路安全漏洞報告；
通過問卷調查和交流溝通，了解非技術層面的安全漏洞；
通過對上述技術和非技術漏洞的分析，得出安全狀況報告；
提出網路安全策略和網路安全解決方案，指導下一步的網路安全建設；
根據某單位的要求，可以進行授權滲透測試，模擬黑客入侵的過程；
風險評估的範圍應全面，涉及到網路資訊系統的各個方面，包括物理環境、網路結構、應用系統、資料庫、伺服器及網路安全裝置的安全性、安全產品和技術的應用狀況以及管理體系是否完善等等；同時對管理風險、綜合安全風險以及應用系統安全性進行評估。
風險評估採用專業工具掃瞄、人工評估、滲透測試三種相結合的方式，對各種作業系統進行評估，包括：帳戶與口令安全、網路服務安全、核心引數安全、檔案系統安全、日誌安全等；從應用系統相關硬體、軟體和資料等方面來審核應用所處環境下存在哪些威脅，根據應用系統所存在的威脅，來確定需要達到哪些系統安全目標才能保證應用系統能夠抵擋預期的安全威脅。
本次風險評估的安全服務專案主要目標是：
通過風險評估，得到某單位的整體安全現狀；
通過資產評估，得到某單位的網路資訊保安資產狀況，並錄入資產庫，進行資產梳理；
通過威脅評估，得到某單位存在的安全威脅情況；
通過脆弱性評估，得到某單位當前業務系統存在的脆弱性；
對各個業務系統進行綜合風險分析，得到風險情況，提出分系統的安全解決方案；
提出各個系統的風險處置解決方案。
1. 標準性原則
遵循國家、行業和組織相關標準開展風險評估工作。
2. 可控性原則
在專案建設與實施過程中，應保證參與實施的人員、使用的技術和工具、過程都是可控的。
3. 完整性原則
專案方案要充分考慮專案所有環節，做到統籌兼顧，細節清楚。
4. 最小影響原則
專案的所有階段，保證專案實施過程工作對系統正常執行的可能影響降低到最低限度，不會對某單位目前的業務系統執行造成明顯的影響。
5. 保密原則
專案的所有階段，將嚴格遵循保密原則，服務過程中涉及到的任何使用者資訊均屬保密資訊，不得洩露給第三方單位或個人，不得利用這些資訊損害使用者利益。並與某單位簽訂保密協議，承諾未經允許不向其他任何第三方洩露有關資訊系統的資訊。
本方案設計主要參照以下政策和標準進行設計。
** 1 相關策略
** 2 相關標準
本方案中提供的風險評估與管理模型參考了多個國際風險評估標準，建立安全風險關係模型和安全風險分析方法模型。
風險關係模型從安全風險的所有要素：資產、影響、威脅、弱點、安全控制、安全需求、安全風險等方面形象地描述的他們各自之間的關係和影響，風險關係模型如下圖所示。
圖 1風險關係模型圖
在上述關係圖中：
資產指組織要保護的資產，是構成整個系統的各種元素的組合，它直接的表現了這個系統的業務或任務的重要性，這種重要性進而轉化為資產應具有的保護價值。它包括計算機硬體、通訊裝置、物理線路、資料、軟體、服務能力、人員及知識等等。
弱點是物理布局、組織、規程、人員、管理、硬體、軟體或資訊中存在的缺陷與不足，它們不直接對資產造成危害，但弱點可能被環境中的威脅所利用從而危害資產的安全。弱點也稱為「脆弱性」或「漏洞」。
威脅是引起不期望事件從而對資產造成損害的潛在可能性。威脅可能源於對組織資訊直接或間接的攻擊，例如非授權的洩露、篡改、刪除等，在機密性、完整性或可用性等方面造成損害；威脅也可能源於偶發的、或蓄意的事件。一般來說，威脅總是要利用組織網路中的系統、應用或服務的弱點才可能成功地對資產造成傷害。
從巨集觀上講，威脅按照產生的**可以分為非授權蓄意行為、不可抗力、人為錯誤、以及設施/裝置錯誤等。
安全風險是環境中的威脅利用弱點造成資產毀壞或損失的潛在可能性。風險的大小主要表現在兩個方面：事故發生的可能性及事故造成影響的大小。
資產、威脅、弱點及保護的任何變化都可能帶來較大的風險，因此，為了降低安全風險，應對環境或系統的變化進行檢測以便及時採取有效措施加以控制或防範。
安防措施是阻止威脅、降低風險、控制事故影響、檢測事故及實施恢復的一系列實踐、程式或機制。安全措施主要體現在檢測、阻止、防護、限制、修正、恢復和監視等多方面。完整的安全保護體系應協調建立於物理環境、技術環境、人員和管理等四個領域。
資訊保安風險評估報告
系統名稱 xx 送檢單位 xx合同編號 評估時間 2011年10月10日 2011年10月25日威脅是一種客觀存在的，對組織及其資產構成潛在破壞的可能性因素，通過對 xx資訊系統 關鍵資產進行調查，對威脅 內部 外部 主觀 不可抗力等 威脅方式 發生的可能性等進行分析，如下表所示 資訊系統配置異常流...
資訊保安風險評估流程
1 概述 風險管理是辨別出本公司潛在的風險，對其進行評估，並採取措施將其降低到可以接受的水平的過程，而風險評估是其中最重要的環節。2 目的 本規定旨在為本公司資訊保安人員執行週期性的資訊保安風險評估提供標準，幫助其正確判斷出漏洞區域，並採取適當的補救措施。3 範圍 本規定適用於本公司資訊保安人員對本...
資訊保安風險評估報告格式
附件 國家電子政務工程建設專案非涉密資訊系統 專案名稱 專案建設單位 風險評估單位 年月日目錄 一 風險評估專案概述 1 1.1 工程專案概況 1 1.1.1 建設專案基本資訊 1 1.1.2 建設單位基本資訊 1 1.1.3承建單位基本資訊 2 1.2 風險評估實施單位基本情況 2 二 風險評估活...