企业中安全风险评估实施路径

1. 总体概述

1.1 项目背景

当今企业面临着日益复杂和多样化的安全威胁，这些威胁可能导致严重的财务损失、声誉损害以及数据泄露。网络攻击者利用先进的技术和策略，不断寻找企业网络的弱点，从而渗透进入并窃取机密信息、破坏业务流程或者勒索企业。社会工程学、勒索软件、供应链攻击等新型威胁层出不穷，给企业的信息系统和数据安全带来了极大挑战。加之远程办公的兴起，企业内部网络的边界变得更加模糊，进一步加剧了安全风险。因此，企业需要采取全面的安全措施，包括加强网络防御、加密敏感数据、定期进行安全审计和培训员工等，以确保其信息资产得到最大程度的保护。

1.2 项目目标

1.2.1 管理制度目标

依据IS0 27001/ISO 27002【2022】等国际安全信息管理制度为模板，结合企业自身安全现状和特殊，设计适合企业自身发展的安全管理制度，包括：组织控制（安全组织管理、信息安全控制、资产管理、访问控制）、人员控制（人力资源安全、通信安全）、物理控制（物理和环境安全）、技术控制（密码学、操作安全、【系统获取、开发和维护】、信息安全事件管理）

1.2.2 技术能力目标

结合合规要求，构建企业自身安全技术体系，以实战化的角度评估业务系统安全性，包括漏洞扫描、基线检查、人工渗透测试、网络架构分析、安全防护验证等服务内容

1.3 项目范围

业务系统：主机层安全、网络层安全、应用层安全、物理环境层安全、数据安全层等的安全评估

1.4 参考标准

1.4.1 ISO27002&ISO27001

ISO27002是一项广泛采用的信息安全管理标准，其核心理念是建立在风险管理的基础上。通过风险分析的方法，该标准致力于降低信息风险的发生概率和后果，确保它们在可接受的范围内。在ISO27002中，安全管理体系框架的构建过程被视为宏观指导整个项目实施的关键步骤。这一过程包括识别关键资产、评估威胁和弱点、制定安全策略和控制措施等，从而确保业务不会因安全事件的发生而中断。这个标准中给出了4类 93项控制细则。

1.4.2 信息安全风险评估指南

借鉴了国际风险评估理论，我们构建了适用于国情的风险评估方法论。这一方法论不仅在风险评估的流程上提供了指导，还设计了针对中国特定情境的风险计算模型。通过这样的方法，我们能够更准确地评估风险，并为实施本次风险评估提供了可靠的指导。

1.4.3 ISO/IEC 13335

ISO 13335是国际标准化组织（ISO）发布的信息技术领域的标准，其主要聚焦于信息安全管理方面。该标准的目的是为组织提供指导，帮助其有效地实施信息技术（IT）安全管理。通过ISO 13335，组织可以获得关于IT安全管理的建议、指南和最佳实践，以确保其信息系统和数据得到充分保护，并且能够应对日益复杂和多样化的安全威胁。ISO 13335的内容涵盖了信息安全管理的各个方面，包括制定安全策略、建立安全控制、实施安全措施、监测和评估安全状况等。这一标准的实施有助于组织建立起健壮的安全管理体系，提高其抵御安全威胁的能力，保障业务的持续安全运行。

2. 安全现状

采取调研、访谈和测试等方式对业务系统的安全现状进行全面分析，此处最好结合同行业、同系统的标杆建设进行对比，可以较好拿捏客户心智，并且结合业务系统的特点进行编写，可以更为有效地适应客户的安全需求，同时也可以与其他安全解决方案拉开差距。

3. 评估模型

3.1 安全关系模型

在评估XXX业务系统安全风险时，我们可以从安全风险管理、安全风险技术的角度来分析其面临的挑战和应对策略。在运营过程中，需要不断地识别和评估潜在的风险因素，这些风险因素可能来源于系统的漏洞、外部威胁或是内部操作不当等。 同时，系统内的重要资产，如用户数据、商业机密等，具有极高的价值，需要通过严格的安全措施来保护。系统需要不断地评估安全措施的有效性，以及它们对业务运行的影响。通过这种动态循环的风险管理过程，XXX业务系统能够更好地保障资产安全，满足安全需求，从而确保业务的稳定和可持续发展。

分析业务系统安全关系目的是为了了解业务系统的特性，以业务系统的数据流转和访问路径为切入点，进行安全关系模型分析。

3.2 风险计算模型

在对XXX业务系统的安全性进行评估时，采用数学方法是一种系统化和理性的途径。为了全面地分析系统可能面临的风险，我们结合了相关规范的的定性分析和定量分析技术，以此来构建一个综合的风险评估模型。

在定性分析方面，我们采用了故障模式、影响及严重性分析（FMECA）的方法。FMECA是一种系统性的分析技术，它通过识别系统中潜在的故障模式，并评估这些故障对系统的影响程度，来确定风险的严重性。通过计算故障发生的可能性与影响的严重性之间的乘积，我们能够创建一个风险优先级矩阵，从而识别出那些需要优先处理的风险点。

在定量分析方面，我们运用了历史数据分析方法。这种方法基于过去的事件数据，通过统计分析来预测未来事件发生的概率。在对XXX业务系统进行安全风险评估时，我们通过分析安全专家提供的历史攻击事件数据库，来计算各种典型攻击事件在未来可能发生的概率。

值得注意的是，虽然定性分析依赖于分析者的经验和直觉，而定量分析依赖于数学模型和统计数据，但这两者并不是完全独立的。现代的定性分析同样需要数学工具的支持，而定量分析也需要定性分析提供的基础预测。因此，将这两种分析方法结合起来，可以更全面、更准确地评估系统的风险状况，从而为制定有效的风险管理策略提供坚实的基础。

3.3 数据分类分级模型

基础分类分级规则

3.4 分类分级模型

以数据分类分级基础规则为基础，遵循数据分类分级原则（科学实用原则、边界清晰原则、就高从严原则、点面结合原则、动态更新原则 ）

3.5 安全架构模型

安全架构模型是组织安全战略的重要组成部分，其核心目标是确保组织的IT系统能够稳定、高效地运行，并与组织的业务发展紧密结合。安全体系的构建旨在支持并实现安全战略的各项目标。

安全体系主要由三个部分组成：安全运营体系、安全管理体系和安全技术体系。

3.5.1. 安全运营体系
在安全运营体系中，建立一个清晰的组织架构，明确各层级的职责和权限。这通常包括领导层、管理层和执行层，每个层级都需要明确的责任分配和授权机制。此外，提高员工的安全意识和技能也是至关重要的，这包括在员工的聘用期间就重视安全教育，并将其与绩效考核相结合。以此为基础遵循IPDRR运营模型来实现安全运营。

3.5.2. 安全管理体系
安全管理体系以安全策略为核心，构建四级安全管理制度，通过实施安全制度和流程来确保信息安全。将管理过程动态化和持续化，以最佳实践为基础，确保安全管理体系与企业的安全建设和保障过程紧密相连。

通过这三个体系的协同工作，组织能够构建一个全面的信息安全体系，有效支持组织的安全战略，并确保业务的顺利进行。这种体系的建立和维护需要组织在人员、技术和流程上持续投入和改进，以应对不断变化的安全威胁和挑战。

3.5.3.安全技术体系

面对不断出现的新兴威胁，将融合多种安全能力，包含信息安全、数据安全和网络安全。

信息安全是指保护信息资产免受未经授权的访问、使用、披露、破坏、修改或破坏的措施。信息安全的目标是确保信息的机密性、完整性和可用性。

数据安全专注于保护数据免受未经授权的访问和威胁。它包括数据全生命周期安全。

网络安全是确保网络及其组件免受攻击、破坏或未经授权的访问的实践。

信息安全、数据安全和网络安全各有侧重，但它们共同构成了一个全面的安全体系，旨在保护组织和个人的数字资产免受各种威胁。

4. 评估内容

第一阶段：对业务流程进行彻底的调查和理解，包括系统的日常运作和数据流。同时，需要对网络系统的运行环境进行全面的考察，以便明确评估的界限和包含在内的所有网络系统。

第二阶段：识别评估范围内的所有关键资产，并评估这些资产若遭受破坏可能造成的影响程度。根据影响的严重性，对资产进行相应的价值评估和分类。

第三阶段：识别和评估资产可能面临的各种威胁，以及这些威胁发生的可能性。这有助于了解系统可能遭受的安全风险。

第四阶段：从组织、管理和技术三个维度对系统的安全性进行检查。技术层面，需要通过远程和现场的方式，结合系统扫描和人工检查来评估系统的脆弱点。管理层面，需要通过以ISO27001等标准制度为基础，构建企业安全管理制度。

第五阶段：安全防护验证是识别并评估现有的安全技术措施，如防火墙、入侵检测系统（IDS）、防病毒软件等。同时，也需要对管理流程中的安全控制措施进行评估，以确保它们的有效性。

第六阶段：进行风险值的计算和分析，以识别和区分高风险因素。这有助于优先处理最严重的风险问题。

第七阶段：对整个风险评估过程的总结，输出管理制度和风险评估报告。在此阶段，需要制定相应的风险控制策略，编制风险评估报告，并根据需要实施紧急的风险控制措施，以确保网络系统的信息安全。

通过这七个阶段的有序进行，可以确保对XXX业务网络系统进行全面而深入的安全风险评估，并为制定有效的风险管理策略提供坚实的基础。

5. 组织架构

管理委员会：XXX业务网安全负责人

项目负责人：实施组

实施组：技术体系、管理体系、运营体系

质量专家组：质量控制

培训组：意识培训、技术培训

支撑组：基础网络支持

6. 交付材料

6.1 技术文件

6.2 管理文件