第一篇：信息安全_风险评估_检查流程_操作系统安全评估检查表_HP-UNIX
HP-UX Security CheckList
HP-UX Security CheckList
HP-UX Security CheckList HP-UX Security CheckList
目录
HP-UX SECURITY CHECKLIST................................................................................................1 1 初级检查评估内容...................................................................................................................5 1.1 系统信息...........................................................................................................................5
系统基本信息...........................................................................................................5 系统网络设置...........................................................................................................5 系统当前路由...........................................................................................................5 检查目前系统开放的端口.......................................................................................6 检查当前系统网络连接情况...................................................................................6 系统运行进程...........................................................................................................7 1.1.1 1.1.2 1.1.3 1.1.4 1.1.5 1.1.6 1.2 物理安全检查...................................................................................................................7
检查系统单用户运行模式中的访问控制...............................................................7 1.2.1 1.3 帐号和口令.......................................................................................................................7
检查系统中Uid相同用户情况...............................................................................8 检查用户登录情况...................................................................................................8 检查账户登录尝试失效策略...................................................................................8 检查账户登录失败时延策略...................................................................................8 检查所有的系统默认帐户的登录权限...................................................................9 空口令用户检查.......................................................................................................9 口令策略设置参数检查...........................................................................................9 检查root是否允许从远程登录............................................................................10 验证已经存在的Passwd强度...............................................................................10 用户启动文件检查.................................................................................................10 用户路径环境变量检查.........................................................................................11 1.3.1 1.3.2 1.3.3 1.3.4 1.3.5 1.3.6 1.3.7 1.3.8 1.3.9 1.3.10 1.3.11 1.4 网络与服务.....................................................................................................................11 系统启动脚本检查.................................................................................................11 TCP/UDP小服务...................................................................................................11 login(rlogin)，shell(rsh)，exec(rexec)...................................................................12
1.4.1 1.4.2 1.4.3 HP-UX Security CheckList HP-UX Security CheckList
1.4.4 1.4.5 comsat talk uucp lp kerbd.......................................................................................12 Sadmind Rquotad Ruser Rpc.sprayd Rpc.walld Rstatd Rexd Ttdb Cmsd Fs Cachefs Dtspcd Gssd............................................................................................................................12 1.4.6 1.4.7 1.4.8 1.4.9 1.4.10 1.4.11 1.4.12 1.4.13 1.4.14 1.4.15 1.5 远程打印服务.........................................................................................................13 检查是否开放NFS服务.......................................................................................13 检查是否Enables NFS port monitoring.................................................................14 检查是否存在和使用 NIS ,NIS+..........................................................................14 检查sendmail服务................................................................................................14 Expn, vrfy(若存在sendmail进程)........................................................................15 SMTP banner...........................................................................................................15 检查是否限制ftp用户权限..................................................................................16 TCP_Wrapper..........................................................................................................16 信任关系.................................................................................................................16 文件系统.........................................................................................................................17 suid文件.................................................................................................................17 sgid文件.................................................................................................................17 /etc 目录下可写的文件.........................................................................................18 检测重要文件目录下文件权限属性以及/dev下非设备文件系统.....................18 检查/tmp目录存取属性........................................................................................18 检查UMASK.........................................................................................................19 检查.rhosts文件.....................................................................................................19 1.5.1 1.5.2 1.5.3 1.5.4 1.5.5 1.5.6 1.5.7 1.6 日志审核.........................................................................................................................22 Cron logged.............................................................................................................22 /var/adm/cron/.........................................................................................................22 Log all inetd services..............................................................................................23 Syslog.conf..............................................................................................................23 1.6.1 1.6.2 1.6.3 1.6.4 1.7 1.8 2 UUCP服务.....................................................................................................................23 XWINDOWS检查.............................................................................................................23 中级检查评估内容.................................................................................................................25
HP-UX Security CheckList HP-UX Security CheckList
2.1 安全增强性.....................................................................................................................25 TCP IP参数检查....................................................................................................25 Inetd启动参数检查................................................................................................26 Syslogd启动参数检查...........................................................................................27 系统日志文件内容检查.........................................................................................27 系统用户口令强度检查.........................................................................................27 系统补丁安装情况检查.........................................................................................27 系统审计检查.........................................................................................................27 2.1.1 2.1.2 2.1.3 2.1.4 2.1.5 2.1.6 2.1.7 3 高级检查评估内容.................................................................................................................28 3.1 3.2 3.3 3.4 后门与日志检查.............................................................................................................28 系统异常服务进程检查.................................................................................................28 内核情况检查.................................................................................................................28 HP-UX Security CheckList 初级检查评估内容
1.1 系统信息
1.1.1 系统基本信息
1.1.1.1 说明：
检查系统的版本和硬件类型等基本信息。1.1.1.2 检查方法：
uname –a uname –v PATH=“/usr/bin:/bin:/usr/local/bin/:/usr/sbin/:/sbin/” export PATH
1.1.2 系统网络设置
1.1.2.1 说明：
检查系统的网卡是否存在混杂模式。1.1.2.2 检查方法：
ifconfig lan0 1.1.3 系统当前路由
1.1.3.1 说明：
检查系统当前的路由设定配置，包括默认路由和永久路由，并检查其合法性。
HP-UX Security CheckList
1.6 日志审核
1.6.1 Cron logged 1.6.1.1 说明：
检查所有的cron活动是否被记录 1.6.1.2 检查方法： HP-UX默认开启。
1.6.2 /var/adm/cron/ 1.6.2.1 说明：
确保/var/adm/cron的正确属性为700 root用户和sys用户可读写
HP-UX Security CheckList HP-UX Security CheckList
1.6.2.2 检查方法： ls-la /var |grep cron 1.6.3 Log all inetd services 1.6.3.1 说明： 1.6.3.2 检查方法：
ps –elf|grep inetd 检查启动参数
1.6.4 Syslog.conf 1.6.4.1 说明：
查看本地日志输出目录功能 1.6.4.2 检查方法： cat /etc/syslog.conf |grep debug
1.7 UUCP服务
1.7.1.1 说明：
检查UUCP服务的使用情况 1.7.1.2 检查方法： cat /etc/inetd.conf | grep UUCP 1.8 Xwindows检查
1.8.1.1 说明：
检查Xwindows的配置情况
HP-UX Security CheckList HP-UX Security CheckList
1.8.1.2 检查方法： find /-name.Xauthority –print xhosts(什么意思啊？ 说的难道是 find /-name xhosts)
HP-UX Security CheckList HP-UX Security CheckList 中级检查评估内容
2.1 安全增强性
2.1.1 TCP IP参数检查
2.1.1.1 检查套接口序列是否防止SYN攻击 2.1.1.1.1 说明：
各种网络应用软件一般必须开放一个或者几个端口供外界使用，所以其必定可以会被恶意攻击者向这几个口发起拒绝服务攻击，其中一个很流行的攻击就是SYN FLOOD，在攻击发生时，客户端的来源IP地址是经过伪造的(spoofed)，现行的IP路由机制仅检查目的IP地址并进行转发，该IP包到达目的主机后返回路径无法通过路由达到的，于是目的主机无法通过TCP三次握手建立连接。在此期间因为TCP套接口缓存队列被迅速填满，而拒绝新的连接请求。为了防止这些攻击，部分UNIX变种采用分离入站的套接口连接请求队列，一队列针对半打开套接口(SYN 接收,SYN|ACK 发送), 另一队列针对全打开套借口等待一个accept()调用，增加这两队列可以很好的缓和这些SYN FLOOD攻击并使对服务器的影响减到最小程度。2.1.1.1.2 检查方法
/usr/sbin/ndd-get /dev/tcp tcp_syn_rcvd_max /usr/sbin/ndd-get /dev/tcp tcp_conn_request_max 2.1.1.2 检查Redirects参数 2.1.1.2.1 说明：
恶意用户可以使用IP重定向来修改远程主机中的路由表，在设计良好的网络中，末端的重定向设置是不需要的，发送和接受重定向信息包都要关闭。2.1.1.2.2 检查方法：
通过如下命令检查其值是否为0：
HP-UX Security CheckList
HP-UX Security CheckList
/usr/sbin/ndd-get /dev/ip ip_send_redirects 2.1.1.3 检查源路由的设置 2.1.1.3.1 说明：
通过源路由，攻击者可以尝试到达内部IP地址--包括RFC1918中的地址，所以不接受源路由信息包可以防止你的内部网络被探测。2.1.1.3.2 检查方法：
通过如下命令检查其值是否为0： ndd-get /dev/ip ip_forward_src_routed 2.1.1.4 检查广播ECHO响应 2.1.1.4.1 说明：
Smurf攻击就是一个伪造的地址通过发送ICMP 8 0(ECHO REQUEST)信息到一个广播地址，一些IP堆栈默认情况下会响应这些信息，所以必须关闭这个特征。如果这个主机作为防火墙使用(router)，关闭这个特征就不能处理处理广播。2.1.1.4.2 检查方法：
通过如下命令检查其值是否为0：
ndd-get /dev/ip ip_respond_to_echo_broadcast 2.1.1.5 检查TIME_WAIT setting 设置 2.1.1.5.1 说明：
在一些比较繁忙的网络服务器上，许多套接口可能就处于TIME_WAIT状态，这是由于一些不正规编码的客户端应用程序没有很正确的处理套接口所引起的，这就可能引起如DDOS的攻击。2.1.1.5.2 检查方法：
通过如下命令检查其值是否大于6000： ndd-get /dev/tcp tcp_time_wait_interval 2.1.2 Inetd启动参数检查
检查inetd是否严格使用了-t参数来记录所有对inetd守护进程所绑定网络服HP-UX Security CheckList
HP-UX Security CheckList
务的连接记录
2.1.3 Syslogd启动参数检查
检查Syslogd的启动参数
2.1.4 系统日志文件内容检查
检查/var/log和/var/admin目录下的日志文件。
2.1.5 系统用户口令强度检查
将口令文件/etc/passwd和/etc/shadow导出，通过运行john the ripper检查其强度。
2.1.6 系统补丁安装情况检查
执行swlist，检查补丁情况。
2.1.7 系统审计检查
执行tail etc/rc.config.d/auditing，检查其内容
HP-UX Security CheckList HP-UX Security CheckList 高级检查评估内容
3.1 后门与日志检查
检查系统日志文件是否完备，是否存在异常情况，如日期，大小，完整性。
3.2 系统异常服务进程检查
检查系统是否存在异常的服务进程，需要安装lsof等工具进行检查和确定系统运行进程和服务之间的关系。
3.3 内核情况检查
检查HP-UX内核与模块加载情况 执行kmtune –l 执行kmadmin –k 执行/usr/sbin/kmadmin –s
3.4
第二篇：医院信息系统安全风险评估初探总结
总结
1.医院信息系统安全风险评估的概念
医院信息系统安全风险评估是指依据有关信息安全技术标准，对医院信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评价的活动过程，它要评价医院信息系统的脆弱性、医院信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的来识别医院信息系统的安全风险。2．国内外信息系统安全风险评估的概况
美国政府就发布了《自动化数据处理风险评估指南》。其后颁布的关于信息安全的基本政策文件《联邦信息资源安全》" 3．我国医院信息系统安全风险评估工作现状及存在的问题 4.医院信息系统安全风险评估工作流程(1)确定医院信息资产列表及信息资产价值(2)识别脆弱性(3)识别脆弱性
它可能存在于网络安全体系理论中网络应用所划分的’个层次，即网络层、系统层、用户层、应用层、数据层，(4)识别威胁
威胁来源应主要考虑这几个方面，即非授权故意行为、人为错误、软件设计错误带来的威胁、设备损坏、线路故障、自然灾害医院信息系统的安全威胁可通过部署入侵检测系统(,-.)，采集入侵者的,/地址及目的,/地址、目的端口、攻击特征、当前用户和进程等攻击信息，通过统计分析，从概率上分析一段时间内攻击的类型、强度和频度来获取，分析现有的安全控管措施
（5）确定可能性
(6)确定风险
(7)建议安全防护措施。
(8)记录结果
5.医院信息系统安全风险评估结果的处置措施
(1)避免：采取措施，完全消除医院信息系统的安全风险
(2)降低：采取措施降代风险造成实际损害的可能性，降低其影响。（3）接受
（4）转嫁：通过责任外包、保险等方式%(’转嫁：通过责任外包、保险等方式（5）回避
（6）威慑：通过报复或者追究责任的方式
第三篇：信息安全风险评估项目流程
信息安全风险评估项目流程
一、售前方案阶段
1.1、工作说明
技术部配合项目销售经理（以下简称销售）根据客户需求制定项目解决方案，客户认可后，销售与客户签订合同协议，同时向技术部派发项目工单（项目实施使用）1.2、输出文档
《XXX项目XXX解决方案》
输出文档（电子版、纸质版）交付销售助理保管，电子版抄送技术部助理。1.3、注意事项
销售需派发内部工单（售前技术支持） 输出文档均一式三份（下同）
二、派发项目工单
2.1、工作说明
销售谈下项目后向技术部派发项目工单，技术部成立项目小组，指定项目实施经理和实施人员。
三、项目启动会议
3.1、工作说明
销售和项目经理与甲方召开项目启动会议，确定各自接口负责人。
要求甲方按合同范围提供《资产表》，确定扫描评估范围、人工评估范围和渗透测试范围。
请甲方给所有资产赋值（双方确认资产赋值） 请甲方指定安全评估调查（访谈）人员 3.2、输出文档
《XXX项目启动会议记要》
客户提交《信息资产表》、《网络拓扑图》，由项目小组暂时保管，以供项目实施使用 3.3、注意事项
资产数量正负不超过15%；给资产编排序号，以方便事后检查。
给人工评估资产做标记，以方便事后检查。 资产值是评估报告的重要数据。 销售跟客户沟通，为项目小组提供信息资产表及拓扑图，以便项目小组分析制定项目计划使用。
四、项目前期准备
4.1、工作说明
准备项目实施PPT，人工评估原始文档（对象评估文档），扫描工具、渗透测试工具、保密协议和授权书
项目小组与销售根据项目内容和范围制定项目实施计划。4.2、输出文档
《XXX项目实施PPT》 《XXX项目人工访谈原始文档》 《XXX项目保密协议》 《XXX项目XXX授权书》 4.3、注意事项
如无资产表和拓扑图需到现场调查后再制定项目实施计划和工作进度安排。
项目实施小组与客户约定进场时间。
保密协议和授权书均需双方负责人签字并加盖公章。 保密协议需项目双方参与人员签字
五、驻场实施会议
5.1、工作说明
项目小组进场与甲方召开项目实施会议（项目实施PPT），确定评估对象和范围（主机、设备、应用、管理等）、实施周期（工作进度安排），双方各自提出自身要求，项目小组要求甲方提供办公场地、打印机、接入网络等项目必备环境。与甲方签订评估保密协议、授权书（漏洞扫描、人工评估、渗透测试等）。实施过程中需甲方人员陪同。
5.2、输出文档
《XXX项目驻场实施会议记要》 5.3、注意事项
如前期未准备资产表与拓扑图，在此阶段项目小组进行调查（视情况是否另收费）。
六、现场实施阶段
6.1、工作说明
按照工作计划和被评估对象安排实施进度。 主要工作内容 漏洞扫描（主机、应用、数据库等） 人工评估（主机、应用、数据库、设备等） 渗透测试（主机、应用等）
项目实施经理做好会议记要和日报，项目实施成员保留所有原始文档并妥善存档。
现场实施部分完成后，双方召开阶段性总结会议（如甲方有需求可对项目实施过程中发现的问题进行简要总结，输出简要总结报告）
6.2、输出文档
《XXX项目XXX人工评估过程文档》 《XXX项目XXX漏洞扫描过程文档》 《XXX项目XXX渗透测试过程文档》 《XXX项目工作日报》 《XXX项目会议记要》 6.3、注意事项
若遇到协调问题，双方负责人协调解决
实施过程中如出现计划外问题，以会议形式商讨解决 日报需项目双方负责人签字确认
七、静态评估阶段
7.1、工作说明
与甲方商定评估报告输出周期和报告内容
项目小组依据评估结果分工进行报告输出、整理汇总，准备项目总结PPT和整改建议（如客户要求则输出整体加固解决方案），完成后提交公司项目质量评审小组审核，审核通过后提交客户。经客户认可后输出纸质文档。
7.2、输出文档
《XXX项目XXX人工评估报告》 《XXX项目XXX漏洞扫描报告》 《XXX项目XXX渗透测试报告》 《XXX项目安全评估综合报告》
《XXX项目整改建议书（整体加固解决方案）》 《XXX项目总结》（PPT）7.3、注意事项
依据公司文档标准化体系输出文档（电子版输出PDF格式） 统计数据要求完整、准确无误； 解决方案与销售讨论后输出文档。
项目实施人员对每份输出文档签字，预留甲方接口人员签字位。
八、评估阶段验收
8.1、工作说明
项目实施经理和销售与甲方召开项目验收会议，讲解项目实施中发现的风险、隐患和威胁，与客户讨论解决方法（视项目情况而定），双方验收项目成果（输出的报告），对输出报告签字确认，并签订项目验收成果书。客户如有需求，则对评估中发现的风险、隐患进行加固实施。8.2、输出文档
《XXX项目验收成果书》 《XXX项目会议记要》
九、安全加固实施
9.1、工作说明
安全加固参考安全加固项目流程 9.2、输出文档
《XXX项目整体安全加固方案》 《XXX项目XXX安全加固方案》 《会议记要》 《工作日报》 9.3、注意事项
项目实施双方对加固过程文档（纸质）签字确认
十、安全加固验收
10.1、工作说明
针对已加固对象进行再次风险评估，输出评估结果报告。10.2、输出文档
《XXX项目安全加固验收报告》 10.3、注意事项
项目双方对验收成果签字确认
十一、项目总结会议
对本次风险评估、安全加固过程中遇到的问题进行总结，并对遗留问题进行建议。
输出文档：《会议记要》
第四篇：信息安全风险评估管理办法
信息安全风险评估管理办法
第一章 总 则
第一条 为规范信息安全风险评估（以下简称“风险评估”）及其管理活动，保障信息系统安全，依据国家有关规定，结合本省实际，制定本办法。
第二条 本省行政区域内信息系统风险评估及其管理活动，适用本办法。
第三条 本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。
本办法所称重要信息系统，是指履行经济调节、市场监管、社会管理和公共服务职能的信息系统。
本办法所称风险评估，是指依据有关信息安全技术与管理标准，对信息网络和信息系统及由其存储、传输、处理的信息的保密性、完整性和可用性等安全属性进行评价的活动。第四条 县以上信息化主管部门负责本行政区域内风险评估的组织、指导和监督、检查。
跨省或者全国统一联网运行的重要信息系统的风险评估，可以由其行业管理部门统一组织实施。
涉密信息系统的风险评估，由国家保密部门按照有关法律、法规规定实施。第五条 风险评估分为自评估和检查评估两种形式。自评估由信息系统的建设、运营或者使用单位自主开展。检查评估由县以上信息化主管部门在本行政区域内依法开展，也可以由信息系统建设、运营或者使用单位的上级主管部门依据有关标准和规范组织进行，双方实行互备案制度。第二章 组织与实施
第六条 信息化主管部门应当定期发布本行政区域内重要信息系统目录，制定检查评估实施计划，并对重要信息系统管理技术人员开展相关培训。
第七条 江苏省信息安全测评中心为本省从事信息安全测评的专门机构，受省信息化主管部门委托，具体负责对从事风险评估服务的社会机构进行条件审核、业务管理和人员培训，组织开展全省重要信息系统的外部安全测试。第八条 信息系统的建设、运营或者使用单位可以依托本单位技术力量，或者委托符合条件的风险评估服务机构进行自评估。
第九条 重要信息系统新建、扩建或者改建的，在设计、验收、运行维护阶段，均应当进行自评估。重要信息系统废弃、发生重大变更或者安全状况发生重大变化的，应当及时进行自评估。
第十条 本省行政区域内信息系统应当定期开展风险评估，其中重要信息系统应当至少每三年进行一次自评估或检查评估。在规定期限内已进行检查评估的重要信息系统，可以不再进行自评估。
第十一条 县以上信息化主管部门委托符合条件的风险评估服务机构，对本行政区域内重要信息系统实施检查评估。第十二条信息系统的建设、运营或使用单位委托风险评估服务机构开展自评估,应当签订风险评估协议；信息化主管部门委托开展检查评估，受委托的风险评估服务机构应当与被评估单位签订风险评估协议。
对于评估活动可能影响信息系统正常运行的，风险评估服务机构应当事先告知被评估单位，并协助其采取相应的预防措施。
第十三条 风险评估应当出具评估报告。评估报告应当包括评估范围、内容、依据、结论和整改建议等。
风险评估服务机构出具的自评估报告，应当经被评估单位认可，并经双方部门负责人签署后生效。
风险评估服务机构出具的检查评估报告，应当报委托其开展评估的主管部门审定；主管部门应当自收到评估报告之日起10个工作日内，将审定结果和整改意见告知被评估单位。第十四条 自评估单位应当根据自评估报告进行整改，并自报告生效之日起30日内，将自评估情况和整改方案报本级信息化主管部门备案。
接受检查评估的单位应当自收到检查评估报告之日起30日内，根据整改建议提出整改方案、明确整改时限，报本级信息化主管部门备案。
受委托进行风险评估的服务机构应当指导被评估单位开展整改，并对整改措施的有效性进行验证。第十五条 信息化主管部门应当定期公布已开展自评估、检查评估单位备案名单，督促未备案单位开展自评估。
第十六条 未发生重大变更的重要信息系统再次进行风险评估的，可以参考前次评估结果，重点评估以下内容：
（一）前次风险评估发现的主要问题及整改情况；
（二）核心网络设备、服务器、安全防护设施、应用软件等系统关键部位发生局部变更后，可能出现的安全隐患；
（三）新的信息技术可能对信息系统安全造成的影响；
（四）其他需要重点评估的内容。第三章 风险评估机构
第十七条 在本省行政区域内从事自评估服务的社会机构，应当具备下列条件，并报经其所在地省辖市信息化主管部门备案：
（一）依法在中国境内注册成立并在本省设有机构，由中国公民、法人投资或者由其它组织投资；
（二）从事信息安全检测、评估相关业务两年以上，无违法记录；
（三）专业评估人员不少于10人且均为中国公民，接受并通过相关培训考核，无违法记录；其中主要评估人员2人以上，具有由国家权威机构认定的或由其它机构认定的相当水平的信息安全服务资格，具备独立实施风险评估的技术能力;
（四）评估使用的技术装备、设施符合国家信息安全产品要求；
（五）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等内部管理制度；
（六）法律法规规定的其它条件。
第十八条 在本省从事检查评估的社会机构，除具备第十七条规定条件外，还应当同时具备下列条件，并经其所在地省辖市信息化主管部门审核后，报省信息化主管部门备案：
（一）具有国家权威机构认定的信息安全服务资质；
（二）评估人员不少于20人，其中主要评估人员4人以上，具有国家权威机构认定的或由其它机构认定的相当水平的信息安全服务资格。
第十九条 省辖市以上信息化主管部门应当自收到备案申请报告之日起10个工作日内，告知备案结果，并定期向社会公布本行政区域内风险评估服务机构备案名单，对其服务进行管理、监督。
第二十条 从事风险评估服务的机构，应当履行下列义务：
（一）遵守国家有关法律法规和技术标准，提供科学、安全、客观、公正的评估服务，保证评估的质量和效果；
（二）保守在评估活动中知悉的国家秘密、商业秘密和个人隐私，防范安全风险，不得私自占有、使用或向第三方泄露相关技术数据、业务资料等信息和资源；
（三）对服务人员进行安全保密教育，签订服务人员安全保密责任书，并负责检查落实。第四章 监督管理
第二十一条 违反本办法，有以下行为之一的，由信息化主管部门责令其限期改正，逾期不改正的，予以通报；对直接责任人员，由所在单位或上级主管部门视情给予行政处分：
（一）违反第九条、第十条规定，信息系统的建设、运营或者使用单位未按照规定开展自评估；重要信息系统的建设、运营或者使用单位不接受、不配合开展检查评估的；
（二）违反第十四条规定，自评估单位未按照规定将自评估情况和整改方案、接受检查评估单位未按照规定将整改方案报本级信息化主管部门备案的；
（三）违反第八条规定，信息系统的建设、运营或者使用单位委托不符合条件的机构进行风险评估，并造成不良后果的。第二十二条 违反本办法第十二条规定，风险评估服务机构未事先告知被评估单位、协助其采取预防措施的，由信息化主管部门责令限期改正，并给予警告；造成不良后果的，可视情暂停其备案1年，直至取消其备案。
第二十三条 违反本办法第二十条规定，风险评估服务机构未经许可向第三方提供被评估单位相关信息的，或者从事影响评估客观、公正的活动的，由信息化主管部门视情暂停其备案一年，直至取消其备案。造成被评估单位经济损失的，应予合理赔偿；从中不当获利的，应予退还；构成犯罪的，应依法追究其刑事责任。
第二十四条 信息化主管部门或其他有关部门工作人员有下列行为之一的，由其监察部门或上级主管部门视情对相关责任人员给予行政处分；构成犯罪的，依法追究刑事责任：
（一）利用职权索取、收受贿赂，或者玩忽职守、滥用职权的；
（二）泄露信息系统的运营、使用单位或者个人的有关信息、资料及数据文件的。第五章 附 则
第二十五条 本办法自发布之日起施行，由省信息化主管部门负责解释。
第五篇：信息安全风险评估服务
1、风险评估概述
1.1风险评估概念
信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。
1.2风险评估相关
资产，任何对组织有价值的事物。
威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。
脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。
风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。
2、风险评估的发展现状
2.1信息安全风险评估在美国的发展
第一阶段（60-70年代）以计算机为对象的信息保密阶段
1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。特点：
仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段
评估对象多为产品，很少延拓至系统，婴儿在严格意义上扔不是全面的风险评估。
第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段
随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路。2.2我国风险评估发展
● 2002年在863计划中首次规划了《系统安全风险分析和评估方法研究》课题
● 2003年8月至2010年在国信办直接指导下，组成了风险评估课题组
● 2004● 2005年，国家信息中心《风险评估指南》，《风险管理指南》 年全国风险评估试点
● 在试点和调研基础上，由国信办会同公安部，安全部，等起草了《关于开展信息安全风险评估工作的意见》征求意见稿
● 2006年，所有的部委和所有省市选择1-2单位开展本地风险评估试点工作
● 2015年，国家能源局根据《电力监控系统安全防护规定》（国家发展和改革委员会令2014年第14号）制定了《电力监控系统安全防护总体方案》（国能安全[2015]36号）等安全防护方案和评估方案，其中相关规定明确风险评估在电力系统中的需要
● 2017年7月，《中华人民共和国网络安全法》颁布，其中第二章第十七条“国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务”。明确了需要社会广泛参与服务。
3、风险评估要素关系模型
4、风险评估流程
● 确定资产评估范围 ● 资产的识别和影响 ● 威胁识别 ● 脆弱性评估 ● 威胁分析 ● 风险分析 ● 风险管理
5、风险评估原则
● 符合性原则 ● 标准性原则 ● 规范性原则
● 可控性原则 ● 保密性原则
● 整体性原则 ● 重点突出原则 ● 最小影响原则
6、评估依据的标准和规范
GB/T 20984-2007 《信息安全技术 信息安全风险评估规范》 《电力监控系统安全防护规定》（发改委14号令）
《关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国能安全[2015]36号）
GB/T 18336-2001 《信息技术 安全技术 信息技术安全性评估准则》
ISO/IEC 27001:2005《信息安全管理体系标准》
GB/T 22239-2008 《信息安全技术 信息系统安全等级保护基本要求》
GB/T 22240-2008 《信息安全技术 信息系统安全等级保护定级指南》
GB/T 25058-2010 《信息安全技术 信息系统安全等级保护实施指南》
《电力行业信息安全等级保护基本要求》（电监信息[2012]62号） 《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息[2007]34号）
《电力行业信息系统等级保护定级工作指导意见》（电监信息[2007]44号）
7、风险评估的发展方向
8.1风险评估行业发展方向
从2003年7月至今，我国信息安全风险评估工作大致经历了三个阶段，即调查研究阶段、标准编制阶段和试点工作阶段。
历时两年、经过调查研究、标准编制和试点工作三个阶段，目前，我国信息安全风险评估工作已取得阶段性的成果，此间也是《关于开展信息安全风险评估工作的意见》政策文件，以及《信息安全风险评估指南》和《信息安全风险管理指南》两项标准历经酝酿、形成到不断完善的三个时期。
信息安全风险是人为或自然的威胁利用系统存在的脆弱性引发的安全事件，并由于受损信息资产的重要性而对机构造成的影响。而信息安全风险评估，则是指依据国家风险评估有关管理要求和技术标准，对信息系统及由其存储、处理和传输的信息的机密性、完整性和可用性等安全属性进行科学、公正的综合评价的过程。通过对信息及信息系统的重要性、面临的威胁、其自身的脆弱性以及已采取安全措施有效性的分析，判断脆弱性被威胁源利用后可能发生的安全事件以及其所造成的负面影响程度来识别信息安全的安全风险。
信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制。没有准确及时的风险评估，将使得各个机构无法对其信息安全的状况做出准确的判断。所以，所谓安全的信息系统，实际是指信息系统在实施了风险评估并做出风险控制后，仍然存在可被接受的残余风险的信息系统。因此，需要运用信息安全风险评估的思想和规范，对信息系统展开全面、完整的信息安全风险评估。
信息安全风险评估在信息安全保障体系建设中具有不可替代的地位和重要作用。风险评估既是实施信息系统安全等级保护的前提，又是信息系统安全建设和安全管理的基础工作。通过风险评估，能及早发现和解决问题，防患于未然。当前，尤其迫切需要对我国信息化发展过程中形成的基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统进行持续的风险评估，随时掌握我国重要信息系统和基础信息网络的安全状态，及时采取有针对性的应对措施，为建立全方位的国家信息安全保障体系提供服务。通过风险评估可以有助于认清信息安全环境和信息安全状况，明确信息化建设中各级的责任，采取或完善更加经济有效的安全保障措施，保证信息安全策略的一致性和持续性，并进而服务于国家信息化发展，促进信息安全保障体系的建设，全面提高信息安全保障能力。其意义具体体现在于：风险评估是信息安全建设和管理的关键环节，它是需求主导和突出重点原则的具体体现，是分析确定风险的过程，加强风险评估工作是信息安全工作的客观需要。
国家信息安全风险评估政策文件和标准的即将出台与颁布将为我国信息安全风险评估工作的开展提供科学的政策和技术依据。相信在未来，我国信息安全风险评估的政策思路、标准规范、实践经验将会有进一步提升。
8.2公司自身的发展方向
就当前公司而言，最紧要的是对于信息安全风险评估资质的申请，和人员技术的培训。依托现有的省公司调度自动化处的合作，促进与新型能源企事业合作，大力开展光伏电站入网前的安全防护检查与检测，同时拓展到风电、水电和火电的并网后的定期检查。在这个方面，我司现在的业务水平尚有欠缺，技术方面还有不足。因此现在在面临这行业蓬勃发展的前提下，我们要在资质和技术上双管齐下。另外，在正式介入这个行业后，我们不能只局限于和电厂的合作，更应该面向整个社会，提高社会参与度。据河南同样类型的企业，其在2017年一月至2017年七月营业额同比增长200%。在当前情况下信息安全风险评估无疑是巨大的一块蛋糕。越来越多的企业都在信息化、网络化，意味着这块蛋糕的体积还在不断地增加。所以我们应该把握时机。充分利用已有的资源，抢占市场，占据优势地位。
点击咨询 