1、XXX地稅風(fēng)險評估試點項目方案介紹1主題項目目標(biāo)項目實施原則項目范圍總體工作介紹信息資產(chǎn)調(diào)查安全風(fēng)險評估和分析系統(tǒng)安全等級劃分等級化體系設(shè)計概述項目實施流程交付件項目驗收項目實施組織結(jié)構(gòu)項目進(jìn)度和資源分配2項目目標(biāo)國信辦在2006年下發(fā)了“關(guān)于信息安全風(fēng)險評估工作的意見”（國信辦20065號），要求在電子政務(wù)和信息系統(tǒng)的安全保障方面實施信息安全風(fēng)險評估工作。為貫徹落實意見精神，探索和積累信息安全風(fēng)險評估工作實施的方法和經(jīng)驗，為全面推行信息安全風(fēng)險評估奠定基礎(chǔ)，xx省信息化領(lǐng)導(dǎo)工作辦公室決定組織開展信息安全風(fēng)險評估試點工作。 3通過評估了解試點信息系統(tǒng)存在的安全弱點和面臨的安全威脅，掌握系統(tǒng)的安

2、全狀況通過試點建立適合xx省電子政務(wù)特點的風(fēng)險評估方法培養(yǎng)本地風(fēng)險評估隊伍，積累風(fēng)險評估工作經(jīng)驗為在全省范圍內(nèi)全面推廣風(fēng)險評估工作積累實施方法、流程和經(jīng)驗4電子政務(wù)系統(tǒng)的普遍安全現(xiàn)狀分析客觀事實：電子政務(wù)系統(tǒng)安全建設(shè)的差異性決定了互連互通會引入安全風(fēng)險安全要求不具體：電子政務(wù)缺乏安全建設(shè)和安全保障的規(guī)范和指導(dǎo)方法不同電子系統(tǒng)之間的保障措施難以相互信任安全主管部門缺乏指導(dǎo)和監(jiān)管標(biāo)準(zhǔn)保護(hù)對象不清晰各地電子政務(wù)發(fā)展差別較大；政府各部門電子政務(wù)系統(tǒng)業(yè)務(wù)特點各不相同系統(tǒng)建設(shè)發(fā)展水平不一致安全保障程度也千差萬別 5電子政務(wù)系統(tǒng)的普遍安全現(xiàn)狀分析安全重點不明確信息系統(tǒng)差異性決定了安全需求的差異性，需要區(qū)別對

3、待資源的缺乏限制了安全不能脫離經(jīng)濟(jì)現(xiàn)實，需要區(qū)別對待安全效果難保證解決方案缺乏系統(tǒng)性管理、技術(shù)解決方案缺乏與風(fēng)險評估結(jié)合，缺乏靈活性結(jié)合現(xiàn)有網(wǎng)絡(luò)特點和安全措施沒有體現(xiàn)出對安全等級和安全要求的反饋作用6電子政務(wù)系統(tǒng)的普遍安全現(xiàn)狀分析明晰保護(hù)對象系統(tǒng)調(diào)查與識別區(qū)分保護(hù)重點系統(tǒng)定級細(xì)化安全要求建立等級化的安全指標(biāo)體系風(fēng)險評估，了解安全現(xiàn)狀，調(diào)整優(yōu)化安全措施解決方案具有系統(tǒng)性，不僅包括建設(shè)，還應(yīng)具有持續(xù)更新的措施7項目實施原則七個原則符合性原則：符合國家27號文件指出的積極防御、綜合防范的方針和等級保護(hù)的原則。標(biāo)準(zhǔn)性原則：服務(wù)方案的設(shè)計與實施應(yīng)依據(jù)國內(nèi)或國際的相關(guān)標(biāo)準(zhǔn)進(jìn)行。規(guī)范性原則：服務(wù)提供商工作中

4、的過程和文檔，具有很好的規(guī)范性，可以便于項目的跟蹤和控制?？煽匦栽瓌t：評估的工具、方法和過程要在雙方認(rèn)可的范圍之內(nèi)，安全服務(wù)的進(jìn)度要與進(jìn)度表的安排相一致，保證甲方對于服務(wù)工作的可控性。8整體性原則：評估和安全體系設(shè)計的范圍和內(nèi)容應(yīng)當(dāng)整體全面，包括安全涉及的各個層面，避免由于遺漏造成未來的安全隱患。最小影響原則：評估工作應(yīng)盡可能小地影響系統(tǒng)和網(wǎng)絡(luò)的正常運行，不能對現(xiàn)有網(wǎng)絡(luò)的運行和業(yè)務(wù)的正常提供產(chǎn)生顯著影響(包括系統(tǒng)性能明顯下降、網(wǎng)絡(luò)擁塞、服務(wù)中斷，如無法避免出現(xiàn)這些情況應(yīng)在應(yīng)答書上詳細(xì)描述)。保密原則：對評估的過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴(yán)格保密，未經(jīng)授權(quán)不得泄露給任何單位和個人，不得利用此數(shù)據(jù)進(jìn)行任何侵

5、害甲方網(wǎng)絡(luò)的行為，否則甲方有權(quán)追究乙方的責(zé)任。9項目范圍內(nèi)容信息系統(tǒng)的識別和系統(tǒng)定級信息系統(tǒng)的風(fēng)險評估（網(wǎng)絡(luò)、主機(jī)、管理）征管系統(tǒng)定級細(xì)則和安全措施指標(biāo)體系征管系統(tǒng)安全體系建設(shè)建議和規(guī)劃方案10項目范圍XXX地稅局征管信息系統(tǒng)，評估的信息資產(chǎn)范圍如下：11總體設(shè)計方法體系化設(shè)計方法等級化設(shè)計方法標(biāo)準(zhǔn)化設(shè)計方法12總體工作介紹12341-信息資產(chǎn)調(diào)查2-安全風(fēng)險評估和分析3-系統(tǒng)安全等級劃分4-等級化體系設(shè)計13信息資產(chǎn)調(diào)查資產(chǎn)是企業(yè)、機(jī)構(gòu)直接賦予了價值因而需要保護(hù)的東西。它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟件，有文檔、代碼，也有服務(wù)、企業(yè)形象等。它們分別具有不同的價值屬性和

6、存在特點，存在的弱點、面臨的威脅、需要進(jìn)行的保護(hù)和安全控制都各不相同。為此，有必要對企業(yè)、機(jī)構(gòu)中的信息資產(chǎn)進(jìn)行科學(xué)識別，以便于進(jìn)行后期的信息資產(chǎn)抽樣、制定風(fēng)險評估策略、分析安全功能需求等活動。資產(chǎn)還具有很強(qiáng)的時間特性，它的價值和安全屬性都會隨著時間的推移發(fā)生變化，所以應(yīng)該根據(jù)時間變化的頻度制定資產(chǎn)相關(guān)的評估和安全策略的頻度。例如，某公司重要的市場活動策劃方案（數(shù)據(jù)資產(chǎn)），在活動開始之前，為達(dá)成市場目標(biāo)，需要對該數(shù)據(jù)資產(chǎn)進(jìn)行機(jī)密性、完整性和可用性方面的保護(hù)。但是在該活動之后，策劃已經(jīng)基本上都傳達(dá)給了大眾，所以資產(chǎn)價值已經(jīng)大部分消失，相關(guān)的安全屬性也失去保護(hù)意義。14信息資產(chǎn)調(diào)查信息資產(chǎn)分類15信

7、息資產(chǎn)調(diào)查實際采用的信息資產(chǎn)識別16信息資產(chǎn)調(diào)查機(jī)密性賦值標(biāo)準(zhǔn)17信息資產(chǎn)調(diào)查可用性賦值標(biāo)準(zhǔn)18安全風(fēng)險評估和分析在國際標(biāo)準(zhǔn)ISO13335中，安全模型如下圖所示，特點是以風(fēng)險為核心。 19安全風(fēng)險評估和分析在國際標(biāo)準(zhǔn)ISO15408中，安全模型如下圖所示，其特點是強(qiáng)調(diào)了模型的對抗性和動態(tài)性。 20安全風(fēng)險評估和分析威脅來源分析 21安全風(fēng)險評估和分析威脅種類分析22安全風(fēng)險評估和分析威脅賦值根據(jù)上述對安全威脅來源和安全威脅種類的分類，可用下表列舉所有安全威脅。其中灰色部分為可能不存在的威脅（根據(jù)實際環(huán)境而確定）。 23安全風(fēng)險評估和分析威脅的可能性賦值標(biāo)準(zhǔn)參照下表24安全風(fēng)險評估和分析將資產(chǎn)

8、的弱點嚴(yán)重性分為5個等級，分別是很高（VH）、高（H）、中等（M）、低（L）、可忽略（N），并且從高到低分別賦值 25安全風(fēng)險評估和分析風(fēng)險處置方法26安全風(fēng)險評估和分析安全風(fēng)險評估流程27系統(tǒng)安全等級劃分信息系統(tǒng)所屬類型賦值表28系統(tǒng)安全等級劃分稅務(wù)信息系統(tǒng)所屬類型賦值表29系統(tǒng)安全等級劃分業(yè)務(wù)信息類型賦值表30系統(tǒng)安全等級劃分市地稅業(yè)務(wù)信息類型賦值表31系統(tǒng)安全等級劃分信息系統(tǒng)服務(wù)范圍賦值表32系統(tǒng)安全等級劃分市地稅信息系統(tǒng)服務(wù)范圍賦值表33系統(tǒng)安全等級劃分業(yè)務(wù)依賴程度賦值表34系統(tǒng)安全等級劃分市地稅業(yè)務(wù)依賴程度賦值表35系統(tǒng)安全等級劃分定級步驟36等級化體系設(shè)計安全體系的基本概念如下圖所

9、示 37等級化體系設(shè)計安全體系設(shè)計示意圖如下38等級化體系設(shè)計設(shè)計過程如下圖所示39等級化體系設(shè)計安全框架的層次結(jié)構(gòu)如下圖所示 40等級化體系設(shè)計地稅征管系統(tǒng)安全框架體系包括安全策略文檔、安全組織、安全運作和安全技術(shù)四個安全框架，分別包括一系列對策類，如下表所示 41等級化體系設(shè)計安全對策的等級劃分，大體參考了GB 17859、GB/T 18336、TCSEC、SP800-53等國內(nèi)外信息安全標(biāo)準(zhǔn)。不同框架的對策，參照的標(biāo)準(zhǔn)有所不同。如下表所示 42等級化體系設(shè)計安全保障體系模型43等級化體系設(shè)計安全保障體系設(shè)計形式和等級劃分44項目實施流程（1）項目前期準(zhǔn)備方案與計劃計劃討論項目啟動會前期互

10、相培訓(xùn)調(diào)查評估準(zhǔn)備45項目實施流程（2）系統(tǒng)調(diào)查評估與描述階段資產(chǎn)調(diào)查主機(jī)評估網(wǎng)絡(luò)掃描人工評估網(wǎng)絡(luò)架構(gòu)評估滲透測試應(yīng)用系統(tǒng)評估安全管理評估46項目實施流程（3）安全體系設(shè)計規(guī)劃與解決方案系統(tǒng)定級綜合分析與建議解決方案與建議47項目實施流程（4）項目后續(xù)工作項目評審和最終驗收48等級保護(hù)通用實施過程系統(tǒng)識別資產(chǎn)識別業(yè)務(wù)識別威脅識別風(fēng)險識別系統(tǒng)定級定制規(guī)則定級方案規(guī)劃指標(biāo)系統(tǒng)安全規(guī)劃管理方案技術(shù)方案方案實施培訓(xùn)推廣網(wǎng)絡(luò)調(diào)整子方案實施安全審核安全審核績效考核風(fēng)險評估49本項目過程和內(nèi)容前期準(zhǔn)備階段應(yīng)用系統(tǒng)信息資產(chǎn)識別（應(yīng)用影響評估）主機(jī)系統(tǒng)評估網(wǎng)絡(luò)架構(gòu)評估安全體系評估人員訪談安全技術(shù)需求和功能分析研

11、制定級細(xì)則，系統(tǒng)定級安全規(guī)劃階段50任務(wù)0：前期準(zhǔn)備階段項目前期方案評審項目啟動培訓(xùn)準(zhǔn)備項目組工作環(huán)境兩個可以上網(wǎng)的工位及一部可以對外聯(lián)絡(luò)的電話搭建文檔服務(wù)器建立文檔服務(wù)器的目錄索引地稅項目組成員清單及相關(guān)角色相關(guān)資料收集 51任務(wù)1：應(yīng)用系統(tǒng)信息資產(chǎn)的識別和整理信息資產(chǎn)的識別可以確定評估的對象，是整個安全服務(wù)工作的基礎(chǔ)。并且，本階段可以幫助地稅政務(wù)系統(tǒng)實現(xiàn)信息資產(chǎn)識別和整理，完成一份完整和最新的信息資產(chǎn)清單，對地稅征管的信息資產(chǎn)管理工作會有所幫助。 包括網(wǎng)絡(luò)設(shè)備和主機(jī)的資產(chǎn)識別和整理52任務(wù)2：主機(jī)系統(tǒng)安全管理調(diào)查安全技術(shù)專家憑借安全檢查列表和自己開發(fā)的審計軟件，對主機(jī)進(jìn)行安全檢查，并整理其

12、弱點列表，為后續(xù)的安全加固工作提供依據(jù)。53任務(wù)3：應(yīng)用系統(tǒng)網(wǎng)絡(luò)架構(gòu)分析對網(wǎng)絡(luò)結(jié)構(gòu)，邏輯網(wǎng)絡(luò)結(jié)構(gòu)及網(wǎng)絡(luò)的關(guān)鍵設(shè)備進(jìn)行評估，發(fā)現(xiàn)存在的安全性等方面的問題。結(jié)合業(yè)務(wù)體系、系統(tǒng)體系等的結(jié)構(gòu)檢查邏輯網(wǎng)絡(luò)，由什么物理網(wǎng)絡(luò)組成以及網(wǎng)絡(luò)的關(guān)鍵設(shè)備的位置所在對于保持網(wǎng)絡(luò)的安全是非常重要的。鑒定關(guān)鍵網(wǎng)絡(luò)拓?fù)洌拘畔ňW(wǎng)絡(luò)帶寬，協(xié)議，硬件（例如：交換機(jī)，路由器等）Internet接入，地理分布方式和網(wǎng)絡(luò)管理。對核心網(wǎng)絡(luò)設(shè)備配置檢查54任務(wù)4：人員訪談主要依據(jù)安全標(biāo)準(zhǔn)的要求，向地稅征管系統(tǒng)相關(guān)技術(shù)人員提交了詳細(xì)的問題清單。主機(jī)系統(tǒng)安全調(diào)查網(wǎng)絡(luò)拓?fù)浒踩哉{(diào)查安全組織、安全管理現(xiàn)狀調(diào)查通過這些問答、安全審計和訪談的

13、形式，大范圍地了解地稅電子政務(wù)在信息安全管理方面的各項工作情況和安全現(xiàn)狀。55任務(wù)5：安全技術(shù)需求和功能分析對前期所做的各項工作，包括情況了解、針對問答和現(xiàn)場評估進(jìn)行小結(jié)，整理需求分析，并對下一階段的設(shè)計和咨詢結(jié)果確定方向和目標(biāo)：量化各個系統(tǒng)的安全措施，技術(shù)需求和所實現(xiàn)的功能；列出項目成果所需要的詳細(xì)文檔清單，對文檔成果的細(xì)化，明確各文檔的名稱，作用，針對對象，效果及目標(biāo)。56任務(wù)6：策略制定和開發(fā)階段本階段主要是根據(jù)前面各個階段的需求調(diào)研和分析，為地稅電子政務(wù)提供項目咨詢的文檔成果。這些文檔切實反映了地稅電子政務(wù)的具體需求，具有較強(qiáng)的可實施性，并在技術(shù)上有一定的前瞻性。所提的成果性文檔包括：

14、XXX征管系統(tǒng)定級報告XXX征管系統(tǒng)安全管理評估報告需求中涉及的其它文檔。57任務(wù)7：安全規(guī)劃階段描述：地稅電子政務(wù)將結(jié)合安全風(fēng)險評估和安全功能需求分析的結(jié)果，和共同協(xié)商制定中期的安全遠(yuǎn)景目標(biāo)。58交付件（1）項目管理類交付件包括：Kickoff（啟動）會議紀(jì)要詳細(xì)項目計劃項目總結(jié)報告項目周報項目會議記錄項目初驗報告項目終驗報告59交付件（2）資產(chǎn)調(diào)查和風(fēng)險評估類交付件包括：資產(chǎn)調(diào)查報告： XXX地稅局征管信息系統(tǒng)資產(chǎn)調(diào)查報告風(fēng)險評估中間報告（每個被評估點各一套）：XXX地稅局征管信息系統(tǒng)主機(jī)網(wǎng)絡(luò)掃描評估報告XXX地稅局征管信息系統(tǒng)主機(jī)人工評估報告XXX地稅局網(wǎng)絡(luò)架構(gòu)安全評估報告XXX地稅局征

15、管系統(tǒng)滲透測試評估報告XXX地稅局征管應(yīng)用系統(tǒng)安全評估報告XXX地稅局安全管理報告定級報告：XXX地稅局征管系統(tǒng)定級報告最終報告：XXX地稅局征管應(yīng)用系統(tǒng)安全現(xiàn)狀與分析綜合分析報告XXX地稅局征管系統(tǒng)安全解決方案建議60項目驗收61項目實施組織結(jié)構(gòu)62項目組織人員項目角色姓名項目工作項目經(jīng)理邊巨源項目管理、管理體系評估與體系設(shè)計、定級細(xì)則設(shè)計高級顧問杜鵬飛網(wǎng)絡(luò)、主機(jī)、應(yīng)用系統(tǒng)評估與整體技術(shù)方案設(shè)計網(wǎng)絡(luò)專家張也網(wǎng)絡(luò)系統(tǒng)評估和網(wǎng)絡(luò)方案設(shè)計主機(jī)專家王少華應(yīng)用系統(tǒng)、主機(jī)系統(tǒng)評估與解決方案設(shè)計63項目組主要職責(zé)主要承擔(dān)項目實施、項目管理、培訓(xùn)工作提供項目計劃，按項目進(jìn)度開展工作提供項目成果（交付件）指定

16、文檔64XXX地稅項目組主要職責(zé)參與項目計劃的制定及項目實施的控制；組織協(xié)調(diào)有關(guān)人員提供全面的系統(tǒng)資料組織相關(guān)單位人員進(jìn)行人員信息采集、接受人工訪談組織有關(guān)人員參加培訓(xùn) ；提供項目實施辦公環(huán)境：進(jìn)行項目變更管理對項目的報告和交付物及時反饋和確認(rèn)向網(wǎng)御公司項目組提供必要的信息，以保證項目所有交付件和建議能夠符合地稅征管系統(tǒng)總體的業(yè)務(wù)策略和規(guī)則65項目保障和管理優(yōu)秀的項目團(tuán)隊和豐富的IT項目管理經(jīng)驗。我們把客戶的成功作為項目的最終目標(biāo)，在項目的執(zhí)行過程中始終把幫助客戶實現(xiàn)項目的價值作為對自己的要求，并努力把項目做到最好。工程項目管理的基礎(chǔ)是PMI的項目管理體系和系統(tǒng)安全工程成熟度模型SSECMM。

17、信息安全將采用大客戶項目經(jīng)理負(fù)責(zé)制根據(jù)實際網(wǎng)絡(luò)和應(yīng)用現(xiàn)狀提供專業(yè)安全服務(wù)。非常重視質(zhì)量保證工作，在的各方面工作中，要堅決貫徹ISO-9000系列質(zhì)量管理標(biāo)準(zhǔn)。在本項目的質(zhì)量方針是“質(zhì)量第一，用戶至上，服務(wù)一流”。 66項目進(jìn)度計劃項目階段完成時間項目準(zhǔn)備階段2010年6月18日2010年6月19日系統(tǒng)調(diào)查評估與描述階段2010年6月20日2010年7月6日安全體系設(shè)計規(guī)劃與解決方案階段2010年7月9日2010年7月17日項目收尾2010年7月18日2010年7月20日67項目進(jìn)度和資源分配項目總體可分為四個階段：前期準(zhǔn)備階段、系統(tǒng)調(diào)查階段、安全體系設(shè)計規(guī)劃期和項目驗收階段，項目總工期二十一個

18、工作日。項目準(zhǔn)備期：3工作日。系統(tǒng)調(diào)查期：7個工作日。體系規(guī)劃期：10工作日。項目驗收期：1個工作日。68溝通機(jī)制1（報告制度）周報（項目狀態(tài)報告）月報（上月完成情況及下月工作計劃）階段性總結(jié)報告69溝通機(jī)制2（會議制度）定期會議 周例會，雙方項目組參加階段性總結(jié)會議不定期會議 項目成果確認(rèn)項目變更（需求變更、計劃變更等）突發(fā)事件70變更包括：項目范圍、重大需求和技術(shù)指標(biāo)變更等，發(fā)生變更需由雙方方項目組會議討論認(rèn)可 。需求變更流程：需求變更提出 變更審核 變更遞交 影響分析可操作性分析及方案確定變更確認(rèn)。 最后變更結(jié)果應(yīng)以雙方項目組項目經(jīng)理簽字為準(zhǔn)變更管理71評審和確認(rèn)制度在實施過程中的其他資料，包括各種文檔，在流轉(zhuǎn)中，各方人員應(yīng)該及時進(jìn)行確認(rèn)，如果有異議的，應(yīng)及時提出修改方案，并通知其他方，以保證資料的及時回復(fù)。72文檔管理軟件標(biāo)準(zhǔn)：Microsoft Office 2003套件文件命名規(guī)范:文件名-時間-