《风险处置计划模板.docx》由会员分享，可在线阅读，更多相关《风险处置计划模板.docx（11页珍藏版）》请在课桌文档上搜索。
1、上海观安信息技术股份有限公司风险处置计划TSC-RA-4-12本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属上海观安信息技术股份有限公司和客户公司所有，受到有关产权及版权法保护。任何个人、机构未经上海观安信息技术股份有限公司和客户公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。修订历史记录版木号拟制人/修改人拟制/修改日期审批人更改原因主要更改内容（写要点即可）VI.O陈芳2019-10-26李俊定稿目录文档信息错误!未定义书签。适用范围错误!未定义书签。版权信息错误!未定义书签。目录31.前言42,风险处置方式43.风险处置计划错误
2、!未定义书签。4.1. 安全技术处置计划64.1.1. 物理基础环境整改建议64.1.2. 网络基础环境整改建议64.1.3. 防病毒策略整改建议74.1.4. 系统安全加固建议74.2. 安全管理处置计划84.2.1. 安全管理制度整改建议84.2.2. 安全管理机构整改建议84.2.3. 安全人员管理整改建议94.2.4. 系统运维管理整改建议94.参考依据111 .前言xxx（客户名称）随着多年来信息化程度的不断提高，对信息系统的依赖程度也不断增加，网上信息的价值也逐渐增大，随之而来的信息安全问题也日渐凸现，为保障信息化建设的健康发展，创建安全健康的网络环境，保护组织和公众利益，促进信息
3、化建设的深入发展，XXX（客户名称）领导对当前信息化安全的建设给予了高度重视，为充分了解当前安全现状，掌握信息系统的安全风险状况，组织了本次风险评估项目，并委托XXXX对信息系统进行风险评估。通过本次风险评估发现了如下风险:序号风险标识1.机房物理环境存在缺陷低2.网络结构配置存在安全隐患低3.关键网络设备安全配置不足中4.关键业务服务器操作系统补丁更新不及时中5.关键业务服务器防病毒功能存在安全隐患高6.关键业务服务器安全配置不足高7.关键业务服务器存在高风险安全漏洞高8.关键数据库系统未安装最近的补丁程序高9.关键数据库系统安全配置不足中10.关键应用中间件系统存在安全隐患中11.安全管理
4、制度建设存在不足低12.安全管理机构建设存在不足低13.人员安全管理存在缺陷低14.系统运维管理存在不足低15.XXXX在风险评估基础上，针对XXXX（客户名称）信息系统所存在的风险状况，结合相关标准及XXXX（客户名称）自身需求特征，制定本风险处置计划，为防范威胁，减少自身脆弱性，将风险降低到可接受范围内作参考。2 .风险处置方式在考虑风险处置前，组织应决定确定一个风险是否能被接受的准则。如果，例如评估显示，风险较低或处理成本对于组织来说不划算，则风险可被接受。这些决定应加以记录。对于风险评估所识别的每一个风险，必须作出风险处置决定消除所有风险往往是不切实际的，也是不可能的，必须在权衡成本的
5、前提下实现最合适的安全措施，将风险处置在可接受的级别，使得可能的负面影响最小化。风险处置是一种系统化方法，可通过多种方式实现： 风险接受：接受潜在的风险并继续运行信息系统，不对风险进行处理。 风险降低：通过实现安全措施来降低风险，从而将脆弱性被威胁源利用后可能带来的不利影响最小化（如使用防火墙、漏洞扫描系统等安全产品）。 风险规避：不介入风险，通过消除风险的原因和/或后果（如放弃系统某项功能或关闭系统）来规避风险。 风险转移：通过使用其它措施来补偿损失，从而转移风险，如购买保险。在选择风险处置方式时应该考虑单位的目标和使命。不可能解决所有的风险，应对那些可能给使命带来严重危害的威胁/脆弱性对进
6、行优先级排序。同时，在保护单位的使命及其信息系统时，由于各单位有其特定的环境和目标，因此用来处理风险的方式和实现安全措施的方法也各有不同。经评估，XXXX（客户名称）信息系统安全控制方式如下:风险优先级控制方式可行控制措施机房物理环境存在缺陷较高降低对物理基础环境整改，详见4.1.1网络结构配置存在安全隐患较高降低对网络基础环境整改，详见4.1.2关键网络设备安全配置不足较高降低对关键网络设备进行安全加固以消除安全漏洞。详见4.1.4关键业务服务器操作系统补丁更新不及时高降低对现有业务服务器进行安全加固以消除安全漏洞。详见4.1.4关键业务服务器防病毒功能存在安全隐患高降低布置统一的网络版防病
7、毒软件，实现全网防病毒监控、引擎升级、病毒代码更新、策略配置、告警报告、任务调度等的集中管理。详见4.1.3关键业务服务器安全配置不足高降低对现有业务服务器进行安全加固以消除安全漏洞。详见4.1.4关键业务服务器存在高风险安全漏洞高降低对现有业务服务器进行安全加固以消除安全漏洞。详见4.1.4关键数据库系统未安装最近的补丁程序高降低对关键数据库系统进行安全加固以消除安全漏洞。详见4.1.4关键数据库系统安全配置不足高降低对关键数据库系统进行安全加固以消除安全漏洞。详见4.1.4关键应用中间件系统存在安全隐患高降低对关键应用中间件系统进行安全加固以消除安全漏洞。详见4.1.4安全管理制度建设存在
8、不足中降低建设安全管理体系，消除安全管理风险安全管理机构建设存在不足中降低建设安全管理体系，消除安全管理风险人员安全管理存在缺陷中降低建设安全管理体系，消除安全管理风险系统运维管理存在不足中降低建设安全管理体系，消除安全管理风险.3 .风险处置计划3.1 .安全技术处置计划4 .L1.物理基础环境整改建议1、配置有产品安全资质的电子门禁系统，以控制、鉴别和记录进入的人员。同时检查电子门禁系统是否正常工作（不考虑断电后的工作情况）；定时查看电子门禁系统运行、维护记录,检查系统是否运行正常；定时查看监控进入机房的电子门禁系统记录，检查是否能够鉴别和记录进入的人员身份。2、将通信线缆铺设在隐蔽处，可
9、铺设在地下或管道中。5 .1.2.网络基础环境整改建议目前XXXX（客户名称）外网业务域只部署了一台防火墙进行访问控制，存在单点故障的可能，当这台防火墙出现故障无法正常工作时，就会导致访问中断，这对组织来说是不可接受的，因此，需要在外网业务域增加一台防火墙，最好与原有防火墙形成双机热备的方式，以提高系统冗余能力，降低单点故隙导致访问中断的风险。4.L3.防病毒策略整改建议在此次评估中发现，XXX服务器、XXX服务器病毒库很长时间没有更新，不能防范新出现的病毒，存在很大安全隐患。网络系统面临的最普通、最常见的严峻挑战是当前日益猖獗的计算机病毒，XXXX（客户名称）信息系统虽然已部署了防病毒系统，
10、但使用不统一，有些服务器使用网络版防病毒系统，有些服务器使用单机版防病毒系统，存在不能统一管理、统一监控的缺陷，导致有些防病毒软件病毒库更新不及时，需要完善目前的防病毒体系，通过部署统一的网络版防病毒系统，实施“层层设防、集中控制、以防为主、防杀结合”的策略，通过全方位、多层次的防病毒系统配置，构建严密的网络防病毒体系，监控和防范病毒在网络中的传播与扩散，使网络没有薄弱环节成为病毒入侵的缺口。同时，实现防病毒集中监控管理、引擎自动升级、病毒代码自动更新等。41.4.系统安全加固建议由于功能复杂，代码庞大，操作系统、数据库系统在设计上存在一些安全漏洞和一些未知的“后门”，一般情况下很难发现，同时
11、由于系统的配置不当也会带来安全隐患，是黑客攻击得手的关键因素。根据评估结果，XXXX（客户名称）信息系统服务器存在关键网络设备安全配置不足、关键业务服务器操作系统补丁更新不及时、关键业务服务器防病毒功能存在安全隐患、关键业务服务器安全配置不足、关键业务服务器存在高风险安全漏洞、关键数据库系统未安装最近的补丁程序、关键数据库系统安全配置不足的安全风险，主要原因是现有业务服务器操作系统和数据库系统都是默认安装，未做基线的安全设置，存在开放服务过多、开放默认共享、审核策略不完善等脆弱点,因此，对XXXX（客户名称）的主要服务器、数据库系统和网络设备进行安全加固是非常重要的。安全加固是配置主机系统、数
12、据库系统和网络设备操作系统的过程,涉及系统补丁、系统服务、帐号的安全、访问控制策略、日志审核等方面，及时解决操作系统、数据库和网络设备系统存在的各种安全隐患，降低相关安全风险。系统加固并非一次性的，随着业务系统的增加和新的安全漏洞的出现，需要不断调整安全策略，定期或不定期对系统进行系统加固。同时，由于信息系统安全的复杂性、专业性，建议XXXX（客户名称）今后采取外包安全服务方式，由专业的安全服务公司定期进行安全加固。4.2.安全管理处置计划42L安全管理制度整改建议a）制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等；b）对安全管理活动中
13、的各类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式；c）对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误；d）形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系；e）由安全管理职能部门定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。4.2.2.安全管理机构整改建议a）设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人，定义各负责人的职责；b）设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责；c）成立指导和管理信息安全工作的委员会或领导小组，其
14、最高领导应由单位主管领导委任或授权；d）制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求；4.23.安全人员管理整改建议a）定期对各类人员进行安全意识教育；b）告知人员相关的安全责任和惩戒措施；c）制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训；d）针对不同岗位制定不同培训计划；e）对安全教育和培训的情况和结果进行记录并归档保存。；424.系统运维管理整改建议1、资产管理a）建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；b）编制并保存与信息系统相关的资产、资产所属关系、安全级别和所处位置等信息的资产清单；c）根据资产
15、的重要程度对资产进行定性赋值和标识管理，根据资产的价值选择相应的管理措施；d）规定信息分类与标识的原则和方法，并对信息的使用、存储和传输作出规定。2、系统安全管理a）指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户；b）制定系统安全管理制度，对系统安全配置、系统帐户以及审计日志等方面作出规定；c）对能够使用系统工具的人员及数量进行限制和控制；d）定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份；e）根据业务需求和系统安全分析确定系统的访问控制策略，系统访问控制策略用于控制分配信息系统、文件及服务的访问权限；D对系统
16、账户进行分类管理，权限设定应当遵循最小授权要求；g）对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求；h）规定系统审计日志的保存时间以便为可能的安全事件调查提供支持；i）进行系统漏洞扫描，对发现的系统安全漏洞进行及时的修补；j）明确各类用户的责任、义务和风险，对系统账户的登记造册、用户名分配、初始口令分配、用户权限及其审批程序、系统资源分配、注销等作出规定；k）对于账户安全管理的执行情况进行检查和监督，定期审计和分析用户账户的使用情况，对发现的问题和异常情况进行相关处理。3、备份与恢复管理a）识别需要定期备份的重
17、要业务信息、系统数据及软件系统等；b）规定备份信息的备份方式（如增量备份或全备份等）、备份频度（如每日或每周等）、存储介质、保存期等；c）根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略,备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法；d）指定相应的负责人定期维护和检查备份及冗余设备的状况，确保需要接入系统时能够正常运行；e）根据设备备份方式，规定备份及冗余设备的安装、配置和启动的流程；D建立控制数据备份和恢复过程的程序，备份过程应记录，所有文件和记录应妥善保存；g）根据系统级备份所采用的方式和产品，建立备份设备的安装、配置、启动、操作及
18、维护过程控制的程序，记录设备运行过程状况，所有文件和记录应妥善保存；h）定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。4、安全事件管理a）所有用户均有责任报告自己发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点；b）制定安全事件报告和处置管理制度，规定安全事件的现场处理、事件报告和后期恢复的管理职责;C）分析信息系统的类型、网络连接特点和信息系统用户特点，了解本系统和同类系统已发生的安全事件，识别本系统需要防止发生的安全事件，事件可能来自攻击、错误、故障、事故或灾难；d）根据国家相关管理部门对计算机安全事件等级划分方法，根据安全事件在本
19、系统产生的影响，将本系统计算机安全事件进行等级划分；e）制定安全事件报告和响应处理程序,确定事件的报告流程，响应和处置的范围、程度，以及处理方法等；0在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训，制定防止再次发生的补救措施，过程形成的所有文件和记录均应妥善保存；g）对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序。4.参考依据 GBT17859计算机信息系统安全保护等级划分准则 GBT20984信息安全风险评估规范 GBT22239信息安全技术信息系统安全等级保护基本要求 GBZ20985信息技术安全技术信息安全事件管理指南 GBZ20986信息安全技术信息安全事件分类分级指南电子计算机场地通用规范（GB28872000） 国家标准GB9361-1988计算站场地安全要求 国家标准GB2887-2000电子计算机场地通用规范 国家标准GB50174-1993电子计算机机房设计规范 国家标准GB9254-1998信息技术设备的无线电骚扰限值和测量方法 中华人民共和国公安部令第51号计算机病毒防治管理办法
