文档介绍：风险评估标准目的建立风险评估标准的目的在于为IT安全解决方案提供依据和参考。适用范围适用于公司所有IT安全的风险分析和评估。参考1.《Informationtechnology-Securitytechniques--EvaluationcriteriaITsecurity》ISO/IEC15408-32.《计算机信息系统安全保护等级划分准则》GB17859-1999定义保密性(confidentiality):使信息不泄露给非授权的个人、实体或进程,不为其所用完整性(integrity):信息系统中的数据与在原文档中的相同,未遭受偶然或恶意修改/破坏时所具有的性质;或者信息系统中的系统不能被非授权破坏或修改的性质可用性(Availability):被授权实体所需的资源可被访问与使用,即攻击者不能占用相关资源而阻碍授权者的工作抗抵赖性(repudiation):防止在通信中涉及到的那些实体不承认参加了该通信可审查性:有依据、有手段地对出现的信息安全问题提供跟踪和调查内容安全风险评估的基本步骤确定需保护的资源,找出该资源的安全弱点和可能有的安全威胁,得出安全风险等级。然后列举可采取的降低风险的对策,直至风险减小至安全需求允许的范围。下图显示了风险评估中的各要素和工作步骤的关系:明确需安全保护资源评估脆弱性,包括::交换机、路由器、HUB、网络布线等:个人计算机、便携机、网络服务器、文件服务器、工作站等;软盘、硬盘、磁带、光盘、MO等:操作系统、数据库、工具软件、办公平台软件、开发用软件等:EMail系统、Proxy服务、Notes系统、MRPII、SAP、HR、务:DNS、DHCP、WINS、:电子文档、数据库等评估脆弱性使用最好的测试工具和技术、使用不同的工作方法,对公司的整体资源系统的安全进行评估和审查(从技术和管理两方面),找出存在的安全隐患。)对公司场所安全评估,信息安全监控须包含硬件监控。2)对公司信息安全部安全措施及相关文件评估,包括:场所安全、存储介质安全、硬件安全、紧急事故处理和信息保护等。3)分析公司安全标准并与业界最佳实践标准进行比较。4)总结安全措施优缺点及措施实用性。)评估公司的安全管理流程的效率及效用,评估查安全信息保障系统是否真正保护了至关重要的业务信息,评估管理流程和安全技术是否同时在各方面发挥作用。2)针对已有的信息安全标准或规则,通过相关安全接口人员了解情况,审查各监控环节以确认该环节能够履行监控职责。3)对各环节中所使用的IT安全监控系统评估:安全决策,组织结构,硬件监控,资产评估及控制,系统安全监控,网络和计算机管理,业务连续性,应用程序发展和维护,以及服从性。4)与业界相比对,对所收集到的信息进行分析。5)总结系统优势及弱势,推荐改进方法,以完善安全系统,降低风险。)评估公司一系列全面办公解决方案、数据库服务器、文件和打印服务器、应用程序服务器,找出系统弱点。2)找出公司主要系统平台(如:UNIX,Windows/NT)和一些捆绑销售的组件(如:MicrosoftExchange,LotusNotes,COBRA,