? 類型

??? 對(duì)象

??? 存在的脆弱性

?

?

?

?

??? 業(yè)務(wù)/應(yīng)用

?

?

?

系統(tǒng)本身設(shè)計(jì)缺陷或軟件Bug；

網(wǎng)絡(luò)和設(shè)備的處理能力不夠而導(dǎo)致在突發(fā)話務(wù)量高時(shí)業(yè)務(wù)提供不連續(xù)，業(yè)務(wù)數(shù)據(jù)的保密性不夠，重要數(shù)據(jù)未及時(shí)進(jìn)行本地和異地備份；

SSP處理能力不夠?qū)е轮悄芫W(wǎng)無(wú)法正常提供業(yè)務(wù)；

網(wǎng)管、操作維護(hù)存在漏洞；

業(yè)務(wù)軟件自身存在的安全漏洞；

?SCP單點(diǎn)設(shè)置

技術(shù)脆弱性

?

?

?

?

?

??? 網(wǎng)絡(luò)

?

?

網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)不合理，網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備、路由配置不合理，通信安全保護(hù)不充分，外部和內(nèi)部的訪問(wèn)缺少控制等

設(shè)備（含操作系

?

統(tǒng)和數(shù)據(jù)庫(kù)）

?

賬號(hào)和口令保護(hù)不夠，鑒權(quán)和訪問(wèn)控制機(jī)制不完善，重要部件未配置主備用保護(hù)，系統(tǒng)配置不合理。備份和恢復(fù)機(jī)制不健全，設(shè)備超過(guò)使用年限或核心郵件老化，設(shè)備發(fā)生故障后未及時(shí)告警，軟件版本管理不規(guī)范

?

? 物理環(huán)境

?

機(jī)房場(chǎng)地選擇不合理，防火、供配電、防靜電、接地與防冒、電磁防護(hù)、溫濕度控制不符合規(guī)范，通信線路、機(jī)房設(shè)備的保護(hù)不符合規(guī)范

?

?

?

?

?

??? 管理脆弱性

?

?

?

?

?

安全管理機(jī)構(gòu)方面：崗位設(shè)置不合理（如人員配置過(guò)少、職責(zé)不清）、授權(quán)和審批程序簡(jiǎn)化、溝通和合作未執(zhí)行、審核和檢查未執(zhí)行等；

安全管理制度方面：管理制度不完善、制度評(píng)審和修訂不及時(shí)等；

人員安全管理方面：人員錄用不符合程序、人員離崗未辦理安全手續(xù)、人員未進(jìn)行安全培訓(xùn)、對(duì)于第三方人員未進(jìn)行限制訪問(wèn)等；

建設(shè)管理方面：安全方案不完善、軟件開(kāi)發(fā)不符合程序、工程實(shí)施未進(jìn)行安全驗(yàn)收或驗(yàn)收不嚴(yán)格等；

運(yùn)維管理方面：物理環(huán)境管理措施簡(jiǎn)單，存儲(chǔ)介質(zhì)使用不受限、設(shè)備沒(méi)有定期維護(hù)、

廠家支持力度不夠、關(guān)鍵性能指標(biāo)沒(méi)有定期監(jiān)控、無(wú)惡意代碼防范措施、無(wú)數(shù)據(jù)備份和恢復(fù)策略、訪問(wèn)控制不嚴(yán)格、操作管理不規(guī)范等，應(yīng)急保障措施不到位

??? 來(lái)源

??? 威脅描述

?

??? 設(shè)備威脅

?

設(shè)備自身的軟件、硬件故障；

節(jié)假日或其他原因的高話務(wù)量沖擊；

濫用權(quán)限對(duì)操作維護(hù)數(shù)據(jù)的修改

?

??? 物理環(huán)境

斷電、靜電、灰塵、潮濕、溫度、強(qiáng)電磁干擾等，意外事故或通信線路方面的故障

? 環(huán)境威脅

?

?

??? 自然災(zāi)害

?

鼠蟻蟲害、洪災(zāi)、火災(zāi)、泥石流、山體滑坡、地震、臺(tái)風(fēng)、閃電

??? 來(lái)源

??? 威脅描述

?

?

?

??? 惡意人員

?

?

不滿的或有預(yù)謀的內(nèi)部人員濫用權(quán)限進(jìn)行惡意破壞；

采用自主外部人員或內(nèi)外勾結(jié)的方式盜竊或篡改機(jī)密信息；

外部人員利用惡意代碼和病毒對(duì)網(wǎng)絡(luò)或系統(tǒng)進(jìn)行攻擊；

外部人員進(jìn)行物理破壞，盜竊等

? 人為威脅

?

?

?

?

?

?

? 無(wú)惡意人員

?

?

內(nèi)部人員由于缺乏責(zé)任心或者無(wú)作為，應(yīng)該執(zhí)行而沒(méi)有執(zhí)行相應(yīng)的操作，或無(wú)意地執(zhí)行了錯(cuò)誤的操作導(dǎo)致安全事件；

內(nèi)部人員沒(méi)有遵循規(guī)章制度和操作流程而導(dǎo)致故障或信息損壞；

內(nèi)部人員由于缺乏培訓(xùn)、專業(yè)技能不足、不具備崗位技能要求而導(dǎo)致故尊或攻擊；

安全管理制度不完善、落實(shí)不到位造成安全管理不規(guī)范或者管理混亂導(dǎo)致安全事件