发布时间 : 星期三 文章00-信息系统安全风险评估总结报告更新完毕开始阅读8e0d12a3168884868762d6ea
信息系统安全风险评估总结报告
文档信息
文档名称 保密级别 xxxxxx信息系统安全风险评估总结报告 商密 文档版本编号 1.0 管理人 制作日期 xxxxxx信息部 2005/05/26 文档管理编号 XJAIR-PGBG 起草人 复审人 扩散范围
评估工作领导小组 复审日期 2005/06/16 风险评估专家咨询小组 xxxxxx风险评估项目组，风险评估专家咨询小组， xxxxxx信息部 文档说明
本文档为xxxxxx信息系统安全风险评估总结报告，包括风险评估概述、风险评估方法、系统特征描述、风险分析和风险控制几个部分。
版权声明
本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属xxxxxx监理公司所有，受到有关产权及版权法保护。任何个人、机构未经xxxxxx监理公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。
前 言
2003年中共中央办公厅、国务院办公厅下发了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)，即27号文件，文件指出：“为了进一步提高信息安全保障工作的能力和水平，……要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。”为加强信息安全保障工作，开展重要行业信息系统的安全风险评估工作指明了方向。
金融、电信和民航一向被认为是我国信息化程度最高的三大行业，也是信息化手段更新最快、对信息技术依赖性最强的行业。安全生产是民航运输业的重中之重，但是由于信息安全保障不足，2003年7月，某机场的计算机网络系统突然瘫痪，一时间，所有飞机无法起降，大量乘客被困机场，严重影响机场的正常运营，并造成了巨大的损失。而在不久之后，某大型民航机场的信息系统又突然出现问题，所幸几分钟后机场备用系统成功地接替了工作，顺利化险为夷。这些例子说明，当前民航网络和信息安全形势不容乐观，重要的网络和信息系统缺乏必要的安全防范手段，这同样也成为了民航信息化建设的隐患。值得一提的是，和国外相比，信息网络安全在国内的信息系统建设过程中所受到的重视程度往往不够，投资所占的比例明显偏低。也许这正是我国信息系统安全的隐忧所在。目前，银行、电力、铁路、民航、证券、保险、海关、税务已经被列入与国计民生密切相关的八大重点行业之中，其信息安全保障工作受到国信办的高度重视。
xxxxxx致力于信息系统建设近十年，期间信息系统经历了多次的升级改造，同时在信息系统的建设过程中，航空公司也经历了重大的机构调整，实行了机场、民航管理局和航空公司的分离，成立了xxxxxx集团xx分公司，并形成了xxxxxx独立的网络系统。在信息系统建设形成一定规模、网络系统经过重大调整的情况下，xxxxxx部适时提出了进行“信息系统安全风险评估”这一具有前瞻性、建设性的要求，请第三方机构对信息系统的安全管理、网络通讯、应用系统进行全面的安全风险评估。
本报告是整个评估工作的总结性报告，综合分析了xxxxxx系统的特征、面临的安全威胁、系统存在的脆弱性以及威胁利用脆弱性可能对系统造成的风险，描述了针对脆
弱性提出的信息安全风险控制建议。评估过程及详细的测试分析内容分别体现在本报告的附件-01到附件-18。
目 录
第一部分 概述 ..................................................................................................................................................... 4 1.1 风险评估的背景 ........................................................................................................................................ 4 1.2 风险评估项目组 ........................................................................................................................................ 4 1.3 风险评估的目的 ........................................................................................................................................ 6 1.4 风险评估的依据 ........................................................................................................................................ 7 第二部分 风险评估方法 ..................................................................................................................................... 7 2.1 风险评估流程 ............................................................................................................................................ 7 2.2 风险评估的结果文档 ................................................................................................................................ 9 2.3 风险评估的现场测试 .............................................................................................................................. 10 2.4 风险评估的分析方法 ............................................................................................................................... 11 第三部分 系统特征描述 ................................................................................................................................... 12 3.1 系统定位 .................................................................................................................................................. 12 3.2 网络拓扑结构 .......................................................................................................................................... 12 3.3 现行系统的安全策略 .............................................................................................................................. 13 3.4 信息资产识别和定义 .............................................................................................................................. 15 第四部分 风险分析 ........................................................................................................................................... 17 4.1 威胁识别 .................................................................................................................................................. 17 4.2 脆弱性识别 .............................................................................................................................................. 20 4.3 信息安全风险分析 .................................................................................................................................. 24 第五部分 风险控制 ......................................................................................................................................... 26 5.1 评估结果分析 .......................................................................................................................................... 26 5.2 风险控制建议 .......................................................................................................................................... 27 5.3 风险控制措施实施建议 .......................................................................................................................... 28 附表1 XXXXXX信息系统安全保护等级符合情况对照表 ........................................................................... 30 附表2 XXXXXX信息系统安全风险评估技术文档交接单 ........................................................................... 34
第一部分 概述
1.1 风险评估的背景
xxxxxx是xxxxxx股份公司的成员单位之一，是国有大型航空运输企业，开辟有50多条国内航线和多条国际航线。现已形成以xxxx为中心的枢纽-辐射式营运网。xxxxxx信息系统建设开始于1995年，经过1996年（原）办公楼综合布线、1997-1998年建立了覆盖五个相关办公楼的局域网及这五个办公大楼内部的综合布线、1999年建立INTERNET出口、2000年启用公司新办公楼，2000-2001年通过光缆连接了七个主要业务楼，形成了以公司办公楼为核心覆盖全公司的主干网，目前公司与管理局分离，形成了公司独立的局域网。信息化综合管理机构设置了信息部，目前信息部已有技术人员二十一人，形成了一支信息系统软件开发、系统管理、日常维护的专业队伍。
在xxxxxx网络中，目前有二十几个应用系统在运行。可以说，信息系统已经是航空公司日常工作不可缺少的工具和手段，信息系统的安全稳定运行，直接关系到生产和管理一线业务的正常运转，也间接影响到航空公司社会形象及信誉度等无形资产。
目前xxxxxx系统虽然仍保持着正常运行的状态，但整个系统运行中存在哪些风险，安全管理中存在哪些漏洞，针对这些问题应该采取什么措施，这都需要进行更高层次的评估与检测。因此，经过在近十年信息系统的建设，对信息网络系统做一次全面的安全风险评估，找出系统漏洞，进行风险控制，防患于未然，保证系统稳定运行，是管理人员在两年前就酝酿的一项工作，希望通过风险评估，找出整个系统运行中存在的风险，评价信息系统建设的效果，并针对存在的问题提出解决方案，为今后xxxxxx化的进一步发展提供参考依据。
1.2 风险评估项目组
本次风险评估项目由多方共同组建项目组，项目委托单位为xxxxxx，项目组织单位为xxxxxx监理公司，参加单位有xx质量技术监督局、xx大学现代教育中心、中国科学院xx理化所等。