信息安全风险评估服务手册.doc

《信息安全风险评估服务手册.doc》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、启明星辰风险评估服务技术宣传手册____________________________信息安全启明星辰风险评估服务宣传手册____________________________北京启明星辰信息安全技术有限公司-50-北京启明星辰信息安全技术有限公司50启明星辰风险评估服务技术宣传手册v文档记录信息文档名称启明星辰风险评估服务技术白皮书制作部门前线技术中心-服务产品化管理部版本修正历史日期作者联系方式v文档核准信息版本核准日期核准人所属部门备注-50-北京启明星辰信息安全技术有限公司50启明星辰风险评估服务技术宣传手册v版权声明北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及

2、本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。v免责条款本文档依据现有信息制作，其内容如有更改，恕不另行通知。北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。v信息反

3、馈如果任何宝贵意见，请反馈：信箱：北京市海淀区东北旺西路8号中关村软件园21号搂启明大厦邮编：100193电话：010-82779088您可以访问启明星辰网站：http：//www.venustech.com.cn，获得最新的技术和服务信息。-50-北京启明星辰信息安全技术有限公司50启明星辰风险评估服务技术宣传手册目录第1章风险评估的重要性51.1.风险评估背景51.2.风险评估目的61.3.风险评估方式7第2章启明星辰信息安全服务产品介绍72.1.服务产品概述72.2.服务产品功能92.2.1.资产评估92.2.2.威胁评估102.2.3.脆弱性评估102.2.4.风险综合分析102

4、.2.5.风险处置计划112.3.服务产品交付122.3.1.风险评估综合报告122.3.2.资产赋值列表122.3.3.威胁赋值列表122.3.4.脆弱性赋值列表122.3.5.风险处置计划132.4.服务产品收益132.4.1.资产识别132.4.2.平衡安全风险与成本132.4.3.风险识别132.4.4.建设指导142.4.5.业务保障15第3章启明星辰信息安全服务产品规格153.1.服务评估模型153.1.1.评估模型153.1.2.评估标准163.2.服务评估方法173.2.1.访谈调研173.2.2.人工审计173.2.3.工具扫描183.2.4.渗透测试183.3.服务评

5、估范围193.3.1.技术评估193.3.2.管理评估20第4章启明星辰信息安全服务产品流程21-50-北京启明星辰信息安全技术有限公司50启明星辰风险评估服务技术宣传手册4.1.服务流程蓝图224.2.服务流程阶段224.2.1.服务启动224.2.2.资产评估234.2.3.威胁评估244.2.4.脆弱评估264.2.5.风险分析274.2.6.风险处置294.2.7.服务验收304.3.服务流程管理304.3.1.管理概述304.3.2.管理组成31第5章启明星辰信息安全服务产品优势335.1.公司整体优势335.2.服务发展优势345.3.服务资质优势355.4.团队保障优势36

6、第6章启明星辰信息安全服务成功案例376.1.重点案例列表386.2.重点案例简介396.2.1.金融案例396.2.2.电信案例396.2.3.能源案例406.2.4.政府案例40第7章附录术语定义41-50-北京启明星辰信息安全技术有限公司50启明星辰风险评估服务技术宣传手册第1章风险评估的重要性1.1.风险评估背景随着政府部门、企事业单位以及各行各业对信息系统依赖程度的日益增强，信息安全问题受到普遍关注。运用风险评估方法去识别安全风险，解决信息安全问题得到了广泛的认识和应用。信息安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评

7、估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施；为防范和化解信息安全风险，将风险控制在可接受的水平，从而最大限度地保障信息安全提供科学依据。信息安全风险评估作为信息安全保障工作的基础性工作和重要环节，贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段，是信息安全等级保护制度建设的重要科学方法之一。国内风险评估推进工作情况如下：时间具体推进事件历程2003年v《关于加强信息安全保障工作的意见》