信息系统安全风险评估总结报告

《信息系统安全风险评估总结报告》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、专业技术资料分享信息系统安全风险评估总结报告文档信息文档名称xxxxxx信息系统安全风险评估总结报告保密级别商密文档版本编号1.0文档管理编号XJAIR-PGBG管理人xxxxxx信息部起草人制作日期2005/05/26复审人评估工作领导小组风险评估专家咨询小组复审日期2005/06/16扩散范围xxxxxx风险评估项目组，风险评估专家咨询小组，xxxxxx信息部文档说明本文档为xxxxxx信息系统安全风险评估总结报告，包括风险评估概述、风险评估方法、系统特征描述、风险分析和风险控制几个部分。版权声明

2、本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属xxxxxx监理公司所有，受到有关产权及版权法保护。任何个人、机构未经xxxxxx监理公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。WORD文档下载可编辑专业技术资料分享前言2003年中共中央办公厅、国务院办公厅下发了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)，即27号文件，文件指出：“为了进一步提高信息安全保障工作的能力和水平，……要重视信息安全风险评估工

3、作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。”为加强信息安全保障工作，开展重要行业信息系统的安全风险评估工作指明了方向。金融、电信和民航一向被认为是我国信息化程度最高的三大行业，也是信息化手段更新最快、对信息技术依赖性最强的行业。安全生产是民航运输业的重中之重，但是由于信息安全保障不足，2003年7月，某机场的计算机网络系统突然瘫痪，一时间，所有飞机无法起降，大量乘客被困机场，严

4、重影响机场的正常运营，并造成了巨大的损失。而在不久之后，某大型民航机场的信息系统又突然出现问题，所幸几分钟后机场备用系统成功地接替了工作，顺利化险为夷。这些例子说明，当前民航网络和信息安全形势不容乐观，重要的网络和信息系统缺乏必要的安全防范手段，这同样也成为了民航信息化建设的隐患。值得一提的是，和国外相比，信息网络安全在国内的信息系统建设过程中所受到的重视程度往往不够，投资所占的比例明显偏低。也许这正是我国信息系统安全的隐忧所在。目前，银行、电力、铁路、民航、证券、保险、海关、税务已经被列入与国计民生

5、密切相关的八大重点行业之中，其信息安全保障工作受到国信办的高度重视。xxxxxx致力于信息系统建设近十年，期间信息系统经历了多次的升级改造，同时在信息系统的建设过程中，航空公司也经历了重大的机构调整，实行了机场、民航管理局和航空公司的分离，成立了xxxxxx集团xx分公司，并形成了xxxxxx独立的网络系统。在信息系统建设形成一定规模、网络系统经过重大调整的情况下，xxxxxx部适时提出了进行“信息系统安全风险评估”这一具有前瞻性、建设性的要求，请第三方机构对信息系统的安全管理、网络通讯、应用系统进行

6、全面的安全风险评估。本报告是整个评估工作的总结性报告，综合分析了xxxxxxWORD文档下载可编辑专业技术资料分享系统的特征、面临的安全威胁、系统存在的脆弱性以及威胁利用脆弱性可能对系统造成的风险，描述了针对脆弱性提出的信息安全风险控制建议。评估过程及详细的测试分析内容分别体现在本报告的附件-01到附件-18。目录第一部分概述41.1风险评估的背景41.2风险评估项目组41.3风险评估的目的61.4风险评估的依据7第二部分风险评估方法72.1风险评估流程72.2风险评估的结果文档92.3风险评估的现场

7、测试102.4风险评估的分析方法11第三部分系统特征描述123.1系统定位123.2网络拓扑结构123.3现行系统的安全策略133.4信息资产识别和定义15第四部分风险分析174.1威胁识别174.2脆弱性识别204.3信息安全风险分析24第五部分风险控制265.1评估结果分析265.2风险控制建议275.3风险控制措施实施建议28附表1XXXXXX信息系统安全保护等级符合情况对照表28附表2XXXXXX信息系统安全风险评估技术文档交接单28WORD文档下载可编辑专业技术资料分享第一部分概述1.1风险

8、评估的背景xxxxxx是xxxxxx股份公司的成员单位之一，是国有大型航空运输企业，开辟有50多条国内航线和多条国际航线。现已形成以xxxx为中心的枢纽-辐射式营运网。xxxxxx信息系统建设开始于1995年，经过1996年（原）办公楼综合布线、1997-1998年建立了覆盖五个相关办公楼的局域网及这五个办公大楼内部的综合布线、1999年建立INTERNET出口、2000年启用公司新办公楼，2000-2001年通过光缆连接了七个主要业务楼，形成了以公司办