信息安全风险管理从基础到实践

第1部分 信息安全风险管理的基础

第1章信息安全风险产生003

1.1 信息安全风险含义 / 003

1.2 信息安全风险构成 / 005

1.2.1 基本要素 / 005

1.2.2 要素关系 / 006

1.3 信息安全风险决定因素 / 007

1.3.1 外部安全威胁 / 007

1.3.2 内部的脆弱性 / 009



第2章信息安全风险管理的内容013

2.1 信息安全风险管理定义 / 013

2.2 信息安全风险管理流程 / 014

2.3 信息安全风险管理对象 / 015

2.3.1 物理和环境 / 015

2.3.2 网络和通信 / 016

2.3.3 设备和计算 / 016

2.3.4 应用和数据 / 016

2.3.5 人员和管理 / 017

2.4 信息安全风险处置 / 018

2.4.1 风险处置总体描述 / 018

2.4.2 风险处置准备 / 021

2.4.3 风险处置方案制定 / 022

2.4.4 风险处置方案实施 / 024

2.4.5 风险处置效果评价 / 024



第3章信息安全风险的识别与分析027

3.1 信息安全检查 / 027

3.1.1 工作流程 / 027

3.1.2 工作内容 / 027

3.1.3 工作组织 / 029

3.1.4 检查对象选取 / 029

3.1.5 检查工作实施 / 030

3.2 信息安全风险评估 / 033

3.2.1 工作流程及框架 / 034

3.2.2 工作内容 / 037

3.2.3 确定评估对象 / 037

3.2.4 评估工作实施 / 039

3.2.5 风险分析及风险处置 / 045

3.3 信息系统安全等级保护测评 / 047

3.3.1 工作流程 / 047

3.3.2 定级要素及流程 / 047

3.3.3 测评原则及内容 / 048

3.3.4 测评对象 / 049

3.3.5 测评实施 / 050

3.3.6 结果判定 / 052



第4章信息安全风险的控制053

4.1 信息安全风险控制的概念 / 053

4.2 信息安全风险处置流程与方法 / 055

4.3 信息安全风险评估有效性检验 / 057



第5章信息安全风险管理的合规性要求061

5.1 信息安全风险管理标准规范 / 061

5.1.1 信息安全风险管理国际标准 / 061

5.1.2 信息安全风险管理国内标准 / 068

5.1.3 国内外风险管理标准关系 / 069

5.2 信息系统生命周期的风险管理 / 070

5.2.1 信息系统生命周期的风险评估 / 070

5.2.2 信息系统生命周期的风险管理 / 074



第2部分 信息安全风险管理的发展变化

第6章新形势下信息安全风险的变化081

6.1 网络安全形势变化 / 081

6.2 信息安全要素变化 / 084

6.3 外部威胁变化 / 084

6.4 内在脆弱性变化 / 086

6.5 安全风险的变化 / 087



第7章新技术应用环境产生的信息安全风险089

7.1 虚拟化技术平台安全风险 / 089

7.1.1 大数据平台的安全风险 / 089

7.1.2 云计算平台的安全风险 / 092

7.2 移动互联网安全风险 / 102

7.2.1 移动互联网安全威胁 / 102

7.2.2 移动互联网脆弱性 / 105

7.3 工业控制系统安全风险 / 108

7.3.1 工业控制系统安全威胁 / 108

7.3.2 工业控制系统脆弱性 / 110

7.4 信息安全保障能力的不足 / 112



第8章新形势下信息安全风险识别与分析方法的优化115

8.1 现行方法存在的局限性 / 115

8.2 现行方法融合的必要性 / 117

8.3 现行方法融合的基本思路 / 119

8.4 现行方法融合的主要内容 / 121

8.4.1 检测目标统一定义 / 121

8.4.2 信息资产统一定义 / 122

8.4.3 外部威胁统一定义 / 122

8.4.4 内在脆弱性统一定义 / 123

8.4.5 风险分析统一定义 / 125

8.5 新型风险识别与分析方法的提出 / 128

8.6 新型风险识别与分析方法的优化 / 128

8.6.1 工作原理的优化 / 128

8.6.2 工作流程的优化 / 129

8.6.3 工作内容的优化 / 132



第9章新形势下信息安全风险控制的方法优化135

9.1 关键信息基础设施安全保护 / 135

9.1.1 明确关键信息基础设施保护对象 / 135

9.1.2 我国关键信息基础设施面临的威胁 / 136

9.1.3 制定关键信息基础设施安全保护标准规范 / 137

9.1.4 网络安全等级保护与关键信息基础设施保护 / 138

9.2 网络安全态势感知 / 138

9.2.1 网络安全态势感知概念 / 138

9.2.2 网络安全态势感知的内容 / 139

9.2.3 网络安全态势感知的方式优化 / 140

9.3 虚拟化应用安全保护 / 141

9.4 威胁情报分析 / 141

9.5 构建纵深网络安全防御体系 / 144

9.6 新技术应用环境下的信息安全风险控制 / 146

9.6.1 虚拟化平台风险控制 / 146

9.6.2 物联网风险控制 / 147

9.6.3 移动互联网风险控制 / 148

9.6.4 工业控制系统风险控制 / 149



第10章新形势下信息安全风险管理合规性要求的发展151

10.1 新形势下信息安全风险管理标准体系 / 151

10.2 网络安全法 / 153

10.2.1 网络安全法立法的背景 / 153

10.2.2 网络安全法的基本内容 / 154

10.2.3 网络安全法的作用及意义 / 155

10.3 关键信息基础设施安全保护条例 / 155

10.3.1 安全保护条例主要内容 / 155

10.3.2 安全保护条例的局限性 / 157

10.3.3 安全保护条例与网络安全等级保护关系 / 158

10.4 网络安全等级保护相关标准 / 158

10.4.1 现有等级保护政策和标准体系 / 158

10.4.2 网络安全等级保护制度2.0 / 159

10.5 网络产品和服务安全审查办法 / 162

10.5.1 安全审查办法主要内容 / 162

10.5.2 安全审查办法出台后的影响 / 163

10.5.3 安全审查办法意义及作用 / 163



第3部分 信息安全风险管理的实践

第11章风险识别与分析方法融合——信息安全风险测评167

11.1 基本原理 / 167

11.2 流程方法 / 168

11.2.1 工作流程 / 168

11.2.2 工作方法 / 177

11.3 实施组织 / 178

11.4 对象确定 / 179

11.5 准备阶段工作 / 183

11.6 实施阶段工作 / 184

11.6.1 现场培训 / 184

11.6.2 资产识别 / 185

11.6.3 威胁识别 / 186

11.6.4 技术安全检测 / 188

11.6.5 管理安全检测 / 191

11.6.6 渗透测试 / 193

11.6.7 已有安全措施分析 / 196

11.6.8 脆弱性分析与赋值 / 196

11.6.9 现场工作小结 / 196

11.7 总结阶段工作 / 197

11.7.1 数据整理 / 197

11.7.2 综合分析 / 199

11.7.3 报告编制 / 200



第12章信息安全风险控制方法——安全基线配置203

12.1 明确安全基线配置作业需求 / 203

12.2 建立安全基线配置管理规范 / 204

12.3 制定安全基线配置模板 / 205

12.4 现场基线配置检查确认 / 208

12.4.1 技术基线检查 / 209

12.4.2 管理基线审核 / 212

12.5 基于安全基线要求的整改加固 / 213

12.6 安全基线配置模板的修订 / 215



第13章信息安全风险控制方法——服务器信息安全加固217

13.1 信息安全加固的目的及意义 / 217

13.1.1 精准实施信息安全风险控制 / 217

13.1.2 紧密结合等级保护整改建设 / 218

13.1.3 严格依据等级保护测评结果 / 218

13.1.4 有效提高等级保护测评符合率 / 218

13.2 信息安全加固的重点及难点 / 220

13.2.1 安全加固可行性分析 / 220

13.2.2 安全加固工作重点 / 221

13.2.3 安全加固工作难点 / 222

13.3 信息安全加固原则及范围 / 223

13.3.1 安全加固的原则 / 223

13.3.2 安全加固的范围 / 223

13.4 信息安全加固流程及组织 / 224

13.4.1 安全加固流程与方法 / 224

13.4.2 安全加固的组织 / 226

13.5 信息安全加固实施内容 / 229

13.5.1 准备阶段内容 / 229

13.5.2 实施阶段内容 / 231

13.5.3 分析总结阶段内容 / 238

13.5.4 操作实例 / 239



第14章信息安全风险管理的良好实践241

14.1 税务系统信息安全风险测评实践工作 / 241

14.2 税务系统信息安全基线配置实践工作 / 243

14.2.1 计划准备环节 / 243

14.2.2 现场实施环节 / 243

14.2.3 成果输出环节 / 244

14.3 税务系统服务器信息安全加固实践工作 / 244



第15章风险识别与分析方法在新技术环境中的应用247

15.1 移动互联网环境的风险测评 / 247

15.1.1 移动智能终端安全风险测评 / 247

15.1.2 移动传输网络安全风险测评 / 248

15.1.3 移动应用安全风险测评 / 249

15.2 虚拟化环境的风险测评 / 250

15.2.1 虚拟化环境安全风险分析 / 250

15.2.2 虚拟化环境安全风险测评 / 251

15.3 工业控制系统的风险测评 / 252

15.3.1 工业控制系统测评原则 / 252

15.3.2 工业控制系统测评流程 / 253

15.3.3 工业控制系统测评工具 / 254



附录257

附录1 信息安全风险测评表单 / 257

附录2 网络与信息系统安全基线配置表单 / 267

附录3 服务器信息安全加固表单 / 274



参考文献 / 280