《税务系统络与信息安全风险评估指南》

《《税务系统络与信息安全风险评估指南》》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、税务系统网络与信息安全风险评估指南《税务系统网络与信息安全风险评估指南》编制说明税务系统网络与信息安全风险评估指南就是为了对全国税务系统的信息安全风险评估工作提供实施的指导，从而统一全国税务系统风险评估工作的实施办法和工作流程，产生相同格式的工作成果，确保各地税务系统网络与信息安全风险评估工作结果的可比性。税务系统网络与信息安全风险评估指南对税务系统网络与信息安全风险评估的过程、关键点以及工作成果等方面提出了具体的实施方法和产生的文档类别和内容。税务系统网络与信息安全风险评估的内容包括：资产分析，漏洞、脆弱性及弱点评估，威胁评估，影响与可能性分析和系统分析等方面。风险评估过

2、程分为三个阶段：确定资产的威胁概况，确定基础设施风险和制定安全策略及计划。本风险评估指南规定了风险评估项目组织、跟进工作等。限定了风险评估的前提和分工。本风险评估指南共提供了六个附录，附录A为术语表，对本指南内的专业术语进行解释，附录B为调查问卷，对税务系统网络与信息安全风险评估的调查问卷种类和内容进行规定，附录C为交付文档范例，确定了税务系统网络与信息安全风险评估工作需完成的工作文档，附录D资产分类清单，对税务系统内的资产进行了分类，附录E资产脆弱性清单列举了各类资产可能存在的脆弱性，附录F为资产威胁清单，列举了资产所面临的威胁。税务系统网络与信息安全风险评估指南税务系统

3、网络与信息安全风险评估指南（试行稿）国家税务总局信息中心二〇〇四年十月税务系统网络与信息安全风险评估指南目录1前言11.1关于本文档11.2目标读者11.3文档结构11.3.1相关标准21.3.2参考文献21.4关于术语与缩略语的约定32风险评估概述42.1基本概念42.2意义与作用52.3过程概述52.4工具52.4.1调查问卷52.4.2远程漏洞扫描工具62.4.3人工审计检查列表62.4.4安全风险评估信息库62.5成功的关键因素62.6收益62.7面临的挑战73风险评估内容83.1资产分析83.1.1资产定义83.1.2资产类别83.1.3资产评估93.1.4资产评

4、估的目的93.1.5资产的重要性93.1.6资产级别103.1.7评估实例113.2漏洞/脆弱性/弱点评估113.2.1弱点评估的目的113.2.2弱点评估的内容113.2.3弱点评估手段123.3威胁评估133.3.1威胁定义133.3.2威胁分类143.3.3威胁属性143.3.4威胁的获取方法153.3.5威胁评估手段163.3.6威胁评估实例163.4影响与可能性分析163.5系统分析173.5.1系统结构及边界17税务系统网络与信息安全风险评估指南3.5.2信息的敏感度评估173.6调查问卷的结构183.6.1调查系统控制183.6.2系统确认183.6.3目的和

5、评估者信息183.6.4信息的决定性193.7利用问卷调查结果193.7.1调查问卷分析193.7.2行动计划193.8综合风险分析193.8.1风险分析矩阵203.8.2风险评估层面213.8.3风险评估实例213.8.4ISO17799十个域213.9可交付的文档223.9.1信息网络223.9.2文档一览234风险评估过程244.1评估过程244.1.1阶段1：提取基于资产的威胁概况244.1.2阶段2：确定基础设施漏洞254.1.3阶段3：制订安全策略和计划254.2各阶段的一般过程254.2.1调查与分析254.2.2数据/信息收集与处理254.2.3撰写评估报告

6、254.3风险控制264.3.1风险控制的方式264.3.2风险控制措施举例：264.4风险评估项目274.4.1计划274.4.2监控与执行275风险评估人员组织305.1评估方人员组织305.2被评估方人员组织316风险评估的跟进工作336.1跟进的重要性336.2有效的，合格的建议336.3委托事项336.3.1安全评估人员336.3.2工作人员336.3.3管理层346.4监督与跟进346.4.1建立监督与跟进机制34税务系统网络与信息安全风险评估指南6.4.2标识推荐并制定跟进计划346.4.3执行主动监督与报告347风险评估的前提与分工367.1假设与限制367

7、.2客户责任367.3服务资质367.4安全评估人员的职责36附录A术语表38附录B调查问卷41调查问卷类别41调查问卷内容41问题的方式42附录C交付文档范例43《资产评估部分》目录43《漏洞评估部分》目录44《威胁评估部分》目录45《风险评估部分》目录46《安全策略建议部分》目录47《安全解决方案部分》目录49附录D资产分类清单51附录E资产脆弱性清单53附录F资产威胁清单55税务系统网络与信息安全风险评估指南1前言1.1关于本文档信息安全风险评估是信息安全管理的主要内容之一。本文档不覆盖信息安全管理的全部方面