为了落实和推进国务院信息办的工作要求，更好地开展培训工作，国家信息中心信息安全研究与服务中心组织了《信息安全风险评估》培训教材的编写工作。该培训教材从国家政策、技术标准、技术方法、产品工具以及实施案例几个方面，详细描述信息安全风险评估工作的主要内容。本书介绍了

以信息安全风险评估实践为基础，围绕评估工作中各阶段的实际操作，分基本知识、技术与方法、产品与工具、案例四个部分，详细介绍了信息安全风险评估的基本概念、国家政策及标准发展、评估实操方法、各种实际评估表格示例、评估分析模型和计算公式等内容。

信息安全风险评估理论研究日趋成熟，相关资料比较充分，但有关评估实际工作的参考资料很少。本书以信息安全风险评估实践为基础，围绕评估工作中各阶段的实际操作，分基本知识、技术与方法、产品与工具、案例四个部分，详细介绍了信息安全风险评估的基本概念、国家政策及标准发展、评估实操方法、各种实际评估表格示例、评估分析模型和计算公式、目前主要的评估工具，并从不同行业和不同评估目的出发，列举了多个评估案例，供读者参考。

本书主要面向国家和地方政府部门、大型企事业单位的信息安全管理人员，以及信息安全专业人员，可作为培训教材和参考书使用。本书对进行信息安全风险评估、风险管理、ISMS(ISO／IEC27001)认证等具有较高的实用参考价值。

第一部分 基本知识

第1章 引论

1．1 信息与信息安全

1．1．1 信息

1．1．2 信息安全

1．2 信息安全技术与信息安全管理

1．2．1 信息安全事件

1．2．2 信息安全技术

1．2．3 信息安全管理

1．3 信息安全风险评估

1．3．1 基本定义

1．3．2 相关概念

1．3．3 基本要素关系

1．3．4 风险分析原理

1．4 开展信息安全风险评估工作的意义

1．4．1 信息安全工作的客观需要和紧迫需求

1．4．2 体现党中央国务院的文件精神

1．4．3 落实信息安全等级保护的重要手段

1．5 我国信息安全风险评估推进过程

1．5．1 调查研究阶段

l．5．2 标准编制阶段

1．5．3 全国试点阶段

1．5．4 下一步推进工作

第2章 主要内容

2．1 信息安全风险评估的内涵

2．1．1 信息安全风险评估是信息安全建设和管理的科学方法

2．1．2 信息安全风险评估是分析确定风险的过程

2．1．3 信息安全风险评估是信息安全建设的起点和基础

2．1．4 信息安全风险评估是在倡导一种适度安全

2．2 信息安全风险评估的两种方式

2．2．1 白评估

2．2．2 检查评估

2．3 信息安全风险评估的五个环节

2．3．1 信息系统生命周期

2．3．2 规划阶段的风险评估

2．3．3 设计阶段的风险评估

2．3．4 实施阶段的风险评估

2．3．5 运行维护阶段的风险评估

2．3．6 废弃阶段的风险评估

2．4 信息安全风险评估的组织管理工作

第二部分 技术与方法

第3章 评估工作概述

3．1 工作原则

3．1．1 关于评估工作流程

3．1．2 关于风险分析方法

3．1．3 关于结果展现

3．2 参考流程

3．3 质量管理

3．3．1 实施方案

3．3．2 中间结果

3．3．3 项目验收

3．4 质量控制规范要求

3．4．1 实施组织规范要求

3．4．2 前期环境准备规范要求

3．4．3 评估流程规范要求

3．4．4 沟通与控制规范要求

3．4．5 验收规范要求

第4章 评估准备

4．1 评估目的

4．2 评估范围及描述

4．3 建立评估团队

4．3．1 组织结构

4．3．2 人员角色

4．4 前期系统调研

4．5 确定评估标准

4．5．1 国内标准

4．5．2 国际标准

4．5．3 行业标准和规范

4．5．4 组织本身的策略

4．6 条件准备

4．7 项目启动及培训

4．7．1 项目启动

4．7．2 评估活动的培训

第5章 资产识别

5．1 工作内容

5．1．1 回顾评估范围之内的业务

5．1．2 识别信息资产，进行合理分类

5．1．3 确定每类信息资产的安全需求

5．1．4 为每类信息资产的重要性赋值

5．2 参与人员

5．2．1 回顾评估范围之内的业务和系统

5．2．2 识别信息资产进行合理分类

5．2．3 确定每类信息资产的安全需求

5．2．4 为每类信息资产的重要性赋值

5．3 工作方式

5．3．1 评估范围之内的业务识别

5．3．2 资产的识别与分类

5．3．3 安全需求分析

5．3．4 资产赋值

5．4 工具及资料

5．4．1 自动化工具

5．4．2 手工记录表格

5．4．3 辅助资料

5．5 输出结果

第6章 威胁识别

6．1 工作内容

6．1．1 威胁识别

6．1．2 威胁分类

6．1．3 威胁赋值

6．1．4 构建威胁场景

6．2 参与人员

6．2．1 访谈

6．2．2 工具检测

6．3 工作方式

6．3．1 威胁识别

6．3．2 威胁分类

6．3．3 构建威胁场景

6．3．4 威胁赋值

6．4 工具及资料

6．4．1 IDS采样分析

6．4．2 日志分析

6．4．3 人员访谈记录表格

6．5 输出结果

第7章 脆弱性识别

7．1 工作内容

7．1．1 脆弱性识别

7．1．2 识别结果整理与展示

7．1．3 脆弱性赋值

7．2 参与人员

7．3 工作方式

7．3．1 脆弱性识别

7．3．2 脆弱性整理和展现

7．3．3 脆弱性分析和CVSS计算方法

7．4 工具及资料

7．4．1 漏洞扫描工具

7．4．2 各类检查列表

7．4．3 渗透测试

7．5 输出结果

第8章 安全措施识别与确认

8．1 工作内容

8．1．1 技术控制措施的识别与确认

8．1．2 管理和操作控制措施的识别与确认

8．2 参与人员

8．3 工作方式

8．3．1 技术控制措施的识别与确认

8．3．2 管理和操作控制措施的识别与确认

8．3．3 分析与统计

8．4 工具及资料

8．4．1 《技术控制措施调查表》

8．4．2 《管理和操作控制措施调查表》

8．4．3 涉密信息系统评测表格(可选，针对涉密信息系统的评估)

8．4．4 符合性检查工具

8．5 输出结果

第9章 风险分析阶段

9．1 风险分析模型

9．2 风险分析

9．2．1 业务与资产映射

9．2．2 资产／脆弱性／威胁／已有控制措施映射

9．2．3 风险计算

9．3 工具及资料

9．4 输出结果

第10章 有关技术标准

10．1 BS 7799／ISO17799

10．1．1 BS 7799、ISO／IEC 17799、ISO／IEC27000系列

lO．1．2 ISO／IEC 17799：2005 

10．1．3 BS 7799—2：2002 

10．2 ISO／IEC TR 13335

10．2．1 信息安全管理和计划的概念和模型

10．2．2 信息安全管理和计划 

10．2．3 信息安全管理技术 

10．2．4 安全措施的选择

10．2．5 网络安全管理指南

lO．3 OCTAVE 2．O 

10．3．1 简介

10．3．2 面向大型组织的OCTAVE方法

10．3．3 面向小型组织的OCTAVE—S方法

10．3．4 两种方法的选择

10．4 ISO15408／GB 18336／CC 

10．4．1 适用范围

10．4．2 内容简介

10．4．3 局限性

10．5 等级保护 

10．5．1 GB 17859 1999《计算机信息系统安全保护等级划分准则》

10．5．2 其他正在制定过程中的相关配套系列标准

10．6 涉秘信息系统分级保护技术要求

10．6．1 涉密信息系统的等级划分

10．6．2 涉密信息系统基本保护要求

10．6．3 涉密信息系统安全风险评估

第三部分 产品与工具

第11章 风险评估管理工具

11．1 天融信信息安全管理系统 

11．1．1 TSM概述

11．1．2 TopAnalyzer工具在信息安全风险评中的应用

11．1．3 TopAnalyzer工具的构成

11．1．4 TopAnalvzer工具的功能

11．1．5 工具的特点

11．1．6 工具的应用环境

11．1．7 案例说明

11．2 启明星辰风险评估管理系统

11．2．1 系统概述

11．2．2 产品的构成

11．2．3 产品的使用及功能

11．2．4 应用案例

11．2．5 总结

11．3 联想网御风险评估辅助工具

11．3．1 系统构成与功能

11．3．2 应用环境

11．3．3 使用方法

11．3．4 应用案例

第12章 漏洞扫描分析工具

12．1 极光远程安全评估系统

12．1．1 概述

12．1．2 系统总体构成

12．1．3 系统功能说明

12．1．4 系统应用环境

12．1．5 系统应用说明

12．1．6 系统应用案例

12．1．7 总结

12．2 天镜脆弱性扫描与管理系统

12．2．1 系统概述

12．2．2 系统的构成

12．2．3 系统的使用及功能

12．2．4 系统的收益和特点

12．3 ISS安全漏洞扫描系统

12．3．1 产品简介

12．3．2 产品功能

12．3．3 产品的应用

12．3．4 产品输出报表

第13章 入侵检测工具

13．1 概述

13．1．1 为什么需要网络入侵检测系统

13．1．2 常见的入侵检测技术

13．1．3 新一代入侵检测技术

13．2 冰之眼网络入侵检测系统

13．2．1 产品架构

13．2．2 产品功能

13．2．3 产品部署

13．2．4 应用案例

13．3 天阗入侵检测系统

13．3．1 系统概述

13．3．2 产品构成

13．3．3 产品功能

13．3．4 产品应用

第四部分 案例

第14章 案例一：某国税安全评估项目

14．1 项目概述

14．1．1 项目启动与立项

14．1．2 目标

14．1．3 内容

14．1．4 范围

14．2 项目阶段

14．2．1 项目规划

14．2．2 评估实施

14．2．3 评估报告和解决方案

14．2．4 支持和维护

14．3 交付的文档及报告

14．3．1 中间评估文档

14．3．2 最终报告

14．4 项目时间表

14．5 安全评估具体实施内容

14．5．1 主机安全现状评估

14．5．2 网络架构安状况评估

14．5．3 应用系统安全状况评估

14．5．4 安全管理状况评估 

14．6 附录

14．6．1 附件1：某国税安全风险评估工作声明目录

14．6．2 附件2：某国税安全评估技术方案建议书目录

14．6．3 附件3：某国税网络架构评估报告目录 

14．6．4 附件4：某国税应用系统安全评估报告目录

14．6．5 附件5：某国税安全管理审计报告目录

14．6．6 附件6：某国家税务局安全现状报告目录

14．6．7 附件7：某国税信息系统安全解决方案建议书目录

14．6．8 附件8：安全检查列表实例

14．6．9 附件9：主机安全评估评估结果实例

第15章 案例二：某电信公司信息安全风险评估项目

15．1 项目概述

15．1．1 基本情况 

15．1．2 项目目标与范围

15．1．3 项目组织和进度安排 

15．1．4 实施简述

15．2 风险评估方案实施

15．2．1 风险评估的依据

15．2．2 评估阶段定义

15．2．3 本次风险评估的具体内容

15．3 安全信息库的建设

15．3．1 建设实施

15．3．2 功能

15．3．3 数据接口

15．4 项目验收

15．4．1 省网层面风险评估

15．4．2 分公司节点风险评估

15．4．3 风险评估总结

15．4．4 安全信息库

15．4．5 培训

15．5 评估工具

第16章 案例三：某公司网络风险评估项目

16．1 项目概述

16．1．1 项目简介

16．1．2 项目目标

16．1．3 项目范围

16．2 项目指导策略

16．2．1 评估遵循的原则

16．2．2 风险评估策略

16．2．3 风险评估模型

16．3 风险评估方法

16．3．1 风险评估流程

16．3．2 风险评估方法

16．4 项目实施

16．4．1 项目组织结构

16．4．2 项目实施计划

16．4．3 项目实施过程

16．4．4 项目实施过程中的风险控制措施

16．4．5 项目文档提交

16．4．6 项目工作配合