YD 中华人民共和国通信行业标准 YD/T 1730-2008 电信网和互联网安全风险评估实施指南 Implementation Guide for Security Risk Assessment of Telecom Network and Internet 2008-01-14发布 2008-01-14实施 中华人民共和国信息产业部‧发布 YD/T1730-2008 目 次 前言… 1·范围· 2 规范性引用文件 3 术语和定义· 4 风险评估框架及流程.· 4.1 风险要素关系…· 4.2 实施流程…· 4.3 工作形式· 4.4 遵循的原则· 5 风险评估实施： 5.1 风险评估的准备 5.2° 资产识别 5.3 威胁识别 5.4 脆弱性识别 5.5 威胁利用脆弱性的关联关系· 5.6 已有安全措施的确认 5.7 风险分析· 13 5.8 风险评估文件 风险评估在电信网和互联网及相关系统生命周期中的不同要求 6.1 电信网和互联网及相关系统生命周期概述 6.2 启动阶段的风险评估 6.3 设计阶段的风险评估· 6.4 实施阶段的风险评估· 16 6.5运维阶段的风险评估 6.6 废弃阶段的风险评估· 18 附录A（规范性附录） 资产价值的计算方法 19 附录B（规范性附录） 风险值的计算方法 20 参考文献· YD/T 1730-2008 前言 本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准的结构及名称如下： 1.YD/T1728-2008电信网和互联网安全防护管理指南； 2. YD/T 1729-2008 电信网和互联网安全等级保护实施指南； 3.YD/T1730-2008 电信网和互联网安全风险评估实施指南； 4.YD/T1731-2008 电信网和互联网灾难备份及恢复实施指南； 5. YD/T 1732-2008E 固定通信网安全防护要求； 6. YD/T 1733-2008 固定通信网安全防护检测要求； 7. YD/T 1734-2008 移动通信网安全防护要求； 8. YD/T 1735-2008 移动通信网安全防护检测要求； 9. YD/T 1736-2008 互联网安全防护要求； 10: YD/T 1737-2008 互联网安全防护检测要求；： 11. YD/T 1738-2008 增值业务网——消息网安全防护要求； 12.YD/T1739-2008 增值业务网——消息网安全防护检测要求； 13. YD/T1740-2008 增值业务网—— -智能网安全防护要求； 14. YD/T1741-2008 增值业务网一 -智能网安全防护检测要求； 15.YD/T1742-2008 接入网安全防护要求； 16. YD/T1743-2008 接入网安全防护检测要求； 17.YD/T1744-2008. 传送网安全防护要求； 18. YD/T 1745-2008 传送网安全防护检测要求； 19.YD/T1746-2008 ：IP承载网安全防护要求； 20.YD/T 1747-2008 IP承载网安全防护检测要求； 21.YD/T1748-2008 信令网安全防护要求； 22. YD/T1749-2008 信令网安全防护检测要求； 23. YD/T1750-2008 同步网安全防护要求； 24: YD/T 1751-2008 同步网安全防护检测要求； 25. YD/T1752-2008 支撑网安全防护要求； 26. YD/T 1753-2008 支撑网安全防护检测要求； 27.YD/T1754-2008 电信网和互联网物理环境安全等级保护要求； 28.YD/T1755-2008 ：电信网和互联网物理环境安全等级保护检测要求； 29.YD/T1756-2008 3电信网和互联网管理安全等级保护要求； 30.YD/T1757-2008电信网和互联网管理安全等级保护检测要求； 31. YD/T1758-2008 非核心生产单元安全防护要求； 32.YD/T1759-2008非核心生产单元安全防护检测要求。 随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。 II YD/T1730-2008 本标准的附录A和附录B是规范性附录。 本标准由中国通信标准化协会提出并归口。 本标准起草单位：信息产业部电信研究院、中国电信集团公司、中国移动通信集团公司、中国网络 通信集团公司、中国联合通信有限公司、中国铁通集团有限公司 本标准主要起草人：魏 薇、赵 阳、周 智、殷琪、杜之亭、张云勇、冯 铭 III XD/T 1730-2008 电信网和互联网安全风险评估实施指南 1范围 本标准规定了对电信网和互联网安全进行风险评估的要素及要素之间的关系、实施流程、工作形式、 遵循的原则，在电信网和互联网生命周期不同阶段的不同要求和实施要点。 本标准适用于电信网和互联网的风险评估工作。 本标准可作为电信网和互联网安全风险评估的总体指导性文件，针对具体网络的安全风险评估可参 见具体网络的安全防护要求和安全防护检测要求。 2规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的 修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究 是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8-2001 信息技术词汇第8部分：安全 GB/T 9361-2000 计算机场地安全要求 GB/T19716-2005 信息技术信息安全管理实用规则 YD/T 754-95 通信机房静电防护通则 YD/T 5026-2005 电信机房铁架安装设计标准 YD 5002-94 邮电建筑防火设计标准 YD 5098-2005 通信局（站）防雷与接地工程设计规范 YDN126-2005 增值电信业务网络信息安全保障基本要求 YDN 127-2005 电信设备的安全准则 ISO/IEC13335.1-2004 信息技术一安全技术一IT安全管理指南第1部分:IT安全管理概念和模型 ISO/IEC 17799-2005 信息技术一安全技术一信息安全管理实施准则 3术语和定义 GB/T5271.8-2001确立的术语和定义以及下列术语和定义适用于本标准。 3.1 电信网TelecomNetwork 利用有线和/或无线的电磁、光电系统，进行文字、声音、数据、图像或其他任何媒体的信息传递的 网络，包括固定通信网、移动通信网等。 3.2 电信网和互联网安全防护体系SecurityProtectionArchitectureofTelecomNetworkandInternet 电信网和互联网的安全等级保护、安全风险评估、灾难备份及恢复三项工作互为依托、互为补充、 相互配合，共同构成了电信网和互联网安全防护体系。 3.3 电信网和互联网相关系统SystemofTelecomNetworkand Internet YD/T1730-2008 组成电信网和互联网的相关系统，包括接入网、传送网、IP承载网、信令网、同步网、支撑网等。 其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH、卫星等，而支撑网 包括业务支撑和网管系统。 3.4 资产Asset 电信网和互联网及相关系统中具有价值的资源，是安全防护体系保护的对象。电信网和互联网及相 关系统中的资产可能以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理 线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如IP承载网中的路由器、支撑 网中的用户数据、传送网的网络布局。 3.5 资产价值AssetValue 电信网和互联网及相关系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产 识别的主要内容。 3.6 威胁Threat 可能导致对电信网和互联网及相关系统产生危害的不希望事件的潜在起因，它可能是人为的，也可 能是非人为的，可能是无意失误，也可能是恶意攻击。常见的网络威胁有偷窃、冒名顶替、病毒、特洛 伊木马、错误路由、火灾、水灾等。 3.7 脆弱性 Vulnerability 脆弱性是电信网和互联网及相关系统资产中存在的弱点、缺陷与不足，不直接对资产造成危害，但 可能被威胁所利用从而危及资产的安全。 3.8 组织Organization 组织是由电信网和互联网及相关系统中不同作用的个体为实施共同的业务目标而建立的结构，组织 3.9 电信网和互联网安全风险SecurityRiskofTelecomNetworkandInternet 人为或自然的威胁可能利用电信网和互联网及相关系统存在的脆弱性导致安全事件的发生及其对组 织造成的影响。 3.10 电信网和互联网安全风险评估SecurityRiskAssessmentofTelecomNetworkand Internet 指运用科学的方法和手段，系统地分析电信网和互联网及相关系统所面临的威胁及其存在的脆弱性， 评估安全事件一旦发生可能造成的危害程度，并提出有针对性的抵御威胁的防护对策和安全措施，防范 和化解电信网和互联网及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障电信网和 互联网及相关系统的安全提供科学依据。 3.11 残余风险ResidualRisk 采取了安全措施后，电信网和互联网及相关系统中仍然可能存在的风险。 2 YD/T.1730-2008 3.12 可用性·Availability 电信网和互联网及相关系统可正常提供服务。 3.13 业务战略Bus