移动公司安全评估

利用风险评估手段，确保网络信息安全中国移动通信有限公司研究院中国移动技术创新引擎内部资料注意保密引言信息安全工作目标演进：从安全支撑保障、体现价值逐步转向推进业务系统创造价值业务支撑从support向enabler转变，2007年3月沙跃家副总裁07业务支撑工作会议“狠抓网络安全，确保奥运盛会”，2008年3月李跃副总裁成都网络工作会议随着企业对IT技术的依赖性越来越强，信息安全风险在企业运营中的地位越来越重要因此，信息安全风险管理成为企业在运营过程中的最基本的工具；较全面的信息安全风险评估日益重要，一方面风险管理是运营过程中的必不可少的工具；另一方面风险评估能够主动了解风险状况，进行相应的改进，实现从supporter向enabler的转变中国移动技术创新引擎内部资料注意保密提纲什么是风险评估？为什么要进行风险评估？风险评估怎样确保安全生产？中国移动风险自评估将向何处发展？中国移动技术创新引擎内部资料注意保密什么是风险评估？风险评估（WHAT？）信息安全风险评估，是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从而最大限度地保障网络和信息安全提供科学依据（国信办[2006]5号文件）。中国移动技术创新引擎内部资料注意保密风险评估要素关系图脆弱性资产价值威胁资产风险安全需求业务战略安全事件残余风险安全措施利用暴露具有成本被满足未控制可能诱发演变增加导出依赖增加降低抵御未被满足图中方框部分的内容为风险评估的基本要素;椭圆部分的内容是与这些要素相关的属性。风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性。（1）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；（2）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；（3）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；（4）资产的脆弱性可以暴露资产的价值，资产具有的弱点越多则风险越大；（5）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；（6）风险的存在及对风险的认识导出安全需求；（7）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；（8）安全措施可抵御威胁，降低风险；（9）残余风险是未被安全措施控制的风险。有些是安全措施不当或无效,需要加强才可控制的风险；而有些则是在综合考虑了安全成本与效益后未去控制的风险；（10）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。中国移动技术创新引擎内部资料注意保密风险评估美国发展史第一个Architecture(GAA)阶段（60-70年代）以计算机为对象的信息保密阶段1967年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作了第一次比较大规模的风险评估。特点：仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。第二个阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段评估对象多为产品，很少延拓至系统，因而在严格意义上仍不是全面的风险评估。第三个阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路中国移动技术创新引擎内部资料注意保密风险评估在我国的进展2002年在863计划中首次规划了《系统安全风险分析和评估方法研究》课题2003年8月至今年在国信办直接指导下，组成了风险评估课题组2004年,国家信息中心《风险评估指南》,《风险管理指南》2005年,全国风险评估试点在试点和调研基础上，由国信办会同公安部，安全部，等起草了《关于开展信息安全风险评估工作的意见》征求意见稿2006年,所有的部委和所有省市选择部分单位开展本地风险评估试点工作中国移动技术创新引擎内部资料注意保密信产部电信网安全防护标准体系信息产业部电信研究院通信标准研究所等级保护、风险评估、灾难备份/恢复三层结构第一层：电信网和互联网安全防护管理指南第二层：三个实施指南第三层：针对电信网和互联网所涵盖的内容，编制全程全网的防护要求、检测要求安全防护管理指南灾难备份及恢复实施指南安全等级保护实施指南安全风险评估实施指南...核心网信令网同步网支撑网IP承载网传送网接入网网络终端固定网移动网互联网增值业务网安全防护要求消息网智能网......核心网信令网同步网支撑网IP承载网传送网接入网网络终端固定网移动网互联网增值业务网安全防护检测要求消息网智能网...电信网和互联网安全防护体系标准中国移动技术创新引擎内部资料注意保密为什么要进行风险评估？风险评估（WHY？）安全源于风险。在信息化建设中，建设与运营的网络与信息系统由于可能存在的系统设计缺陷、隐含于软硬件设备的缺陷、系统集成时带来的缺陷，以及可能存在的某些管理薄弱环节，尤其当网络与信息系统中拥有极为重要的信息资产时，都将使得面临复杂环境的网络与信息系统潜在着若干不同程度的安全风险。中国移动技术创新引擎内部资料注意保密风险评估可以不断深入地发现系统建设中的安全隐患，采取或完善更加经济有效的安全保障措施，来消除安全建设中的盲目乐观或盲目恐惧，提出有针对性的从实际出发的解决方法，提高系统安全的科学管理水平，进而全面提升网络与信息系统的安全保障能力。中国移动技术创新引擎内部资料注意保密信息安全的含义IntegrityAvailabilityConfidentiality正确性Correctness完备性Completeness有效性Validity真实性Authenticity不可否认Non-repudiation连续Continuity准时Punctuality排他ExclusivityManipulation被操纵Destruction被破坏Falsification被篡改、伪造Repudiation被拒绝、否定Divulgation泄露Interruption中断Delay延迟SECURITY=QUALITY中国移动技术创新引擎内部资料注意保密风险构成RISKRISKRISKRISKRISKRisk风险的构成风险的降低资产威胁脆弱性资产威胁脆弱性中国移动技术创新引擎内部资料注意保密残余风险图示：A（Asset）：资产V（Vulnerability）：脆弱性T（Threat）：威胁S（Safeguard）：保护措施R（ResidualRisk）：残余风险C（Constrains）：约束中国移动技术创新引擎内部资料注意保密风险控制的概念高低高对系统的影响低发生安全事件概率风险控制残余风险可接受风险不可接受风险可接受风险残余风险中国移动技术创新引擎内部资料注意保密从攻防双方博弈看安全工作本质是威胁源&系统设计脆弱性是能被利用吗？存在可发起攻击的脆弱性否否无风险无风险存在威胁否是否预期损失小于安全目标选取防御措施是残余风险选取防御措施防御成本小于风险预期是威胁源&系统设计脆弱性是能被利用吗？存在可发起攻击的脆弱性否否无风险无风险存在威胁攻击的成本小于获利否是否预期损失大于门限无风险无风险是不可接受的风险攻防的博弈，最终归结于双方的开销！中国移动技术创新引擎内部资料注意保密通过成本分析，实现风险控制运维成本资产威胁主体威胁脆弱性防御主体追溯引起利用攻击攻击成本—风险价值攻击盈利=—=防御盈利增加少量防御成本获得大量防御盈利提高大量攻击成本使得攻击盈利为负设备成本引入风险额外开销防御成本中国移动技术创新引擎内部资料注意保密通过风险评估确定安全规划风险评估安全对策组织技术运作安全管理体系设计风险与能力评估、需求分析制度规定流程细则安全需求组织技术运作ISO27001策略策略国际水平分析内网建设目标标准规范现状调研安全规划安全建设规划安全架构设计安全解决方案中国移动技术创新引擎内部资料注意保密如何选取安全手段（1）投入成本的计算总投入成本购置成本维护成本引入威胁风险成本网络开销成本yiiyiiyiiyiiyiiNCICOCPCDVCDVC00000iiiiQPQPC)(iiiRTOSOCRrYirIYirIYiEPICiiiLiBIOBNBNB)(中国移动技术创新引擎内部资料注意保密如何选取安全手段（2）安全框架建立残余风险筛选过程安全解决方案被选定的条件如下如果X集合的全部排序得到的解决方案中有多种解决方案，可以使得达到安全目标。则这些解决方案中，投入DVC最小的方案最优。如果安全方法库无论怎样排序形成的方案都无法达到安全目标。则选取的安全方法i必须满足DVCiERCi，且使得RRC最小。安全方法规模较小时可以进行完全的遍历，否则可以采用一些贪心方式中国移动技术创新引擎内部资料注意保密如何选取安全手段（3）RrrrEPRRC000中国移动技术创新引擎内部资料注意保密思考：安全的核心工作是什么？我们是否追求绝对的安全？回答是否定的！！无法追求无需追求风险是什么？回答是确定的！！风险是具有价值的，是可以定性分析，甚至可以通过一定规则量化的。安全的核心工作是什么？从风险管理的角度看，安全的核心工作是通过一种可靠的手段和合理的计算方法确定风险，并将其控制在可接受的范围之内的。从某种意义上讲，在这样的逻辑下，我们已经从支撑走向了为公司创造价值！中国移动技术创新引擎内部资料注意保密风险评估怎样确保安全生产？风险评估（HOW？）(1)风险评估的准备(2)资产识别(3)威胁识别(4)脆弱性识别(5)已有安全措施的确认(6)风险分析(7)风险评估文件记录中国移动技术创新引擎内部资料注意保密风险评估的准备风险评估准备保持已有的安全措施威胁识别已有安全措施的确认风险计算制定和实施风险处理计划并评估残余风险风险是否接受是否接受残余风险实施风险管理资产识别脆弱性识别评估过程文档评估过程文档评估过程文档..................否否是是风险分析风险评估文件记录风险评估实施流程图中国移动技术创新引擎内部资料注意保密1）确定风险评估的目标；2）确定风险评估的范围；3）组建适当的评估管理与实施团队；4）进行系统调研；5）确定评估依据和方法；6）获得最高管理者对风险评估工作的支持。风险评估的准备阶段的工作任务中国移动技术创新引擎内部资料注意保密1）资产分类2）资产赋值3）资产等级资产识别阶段的工作任务中国移动技术创新引擎内部资料注意保密分类示例数据存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等软件系统软件：操作系统、语句包、工具软件、各种库等应用软件：外部购买的应用软件，外包开发的应用软件等源程序：各种共享源代码、可执行程序、自行或合作开发的各种程序等硬件网络设备：路由器、网关、交换机等计算机设备：大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列等移动存储设备：磁带、光盘、软盘、U盘、移动硬盘等传输线路：光纤、双绞线等保障设备：动力保障设备（UPS、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等安全设备：防火墙、入侵检测系统、身份验证等其他电子设备：打印机、复印机、扫描仪、传真机等服务办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务网络服务：各种网络设备、设施提供的网络连接服务信息服务：对外依赖该系统开展服务而取得业务收入的服务文档纸质的各种文件、传真、电报、财务报告、发展计划等人员掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等其它企业形象，客户关系等资产分类示例中国移动技术创新引擎内部资料注意保密资产