信息安全风险清单之2：信息安全典型脆弱性清单——脆弱性示例、涵义、事件类别、后果和安全控制措施（雷泽佳编制2024A0）.docxVIP

信息安全典型脆弱性清单——脆弱性示例、涵义、事件类别、后果和安全控制措施

PAGE1

PAGE1

信息安全风险清单之2：

信息安全典型脆弱性清单——脆弱性示例、涵义、事件类别、后果和安全控制措施

类别

序号

脆弱性示例

脆弱性涵义

安全事件类别判定

后果示例

安全控制措施示例

硬件

VH01

存储介质维护不足/安装错误

存储介质维护不足：存储设备（如硬盘、固态硬盘、U盘、磁带等）的维护措施不充分或不当包括缺乏定期维护、环境控制不足、未及时更新固件或驱动程序、数据备份策略不当、物理安全保护不足、使用寿命管理不善

数据丢失/损坏事件

影响业务连续性

制定和执行存储介质定期维护计划

提供适宜的存储环境，控制环境条件（如温度、湿度）

定期监控存储介质健康状态，预防性更换

性能下降事件

响应时间延长

硬件故障事件

存储介质寿命缩短，增加更换成本

存储介质安装错误：存储设备（如硬盘、U盘、SD卡等）的安装过程中出现的错误或不当操作包括物理安装不当、驱动程序或固件不匹配、配置错误、接口或电缆故障、静电放电（ESD）损坏

数据不可用事件

数据无法访问，业务中断

确保使用兼容的存储介质和正确的接口

提供详细的存储介质安装指南和培训

定期进行安全漏洞评估和修复，加强访问控制和数据加密

系统故障事件

影响业务操作

安全漏洞事件

系统面临未授权访问风险

VH02

设备定期更换方案不足

组织未能制定或执行有效的计划来定期更换老旧硬件设备，导致系统使用过时的、可能存在安全隐患的硬件

性能下降事件

影响系统响应时间和吞吐量

制定和执行设备定期更换和升级计划，确保设备性能符合业务需求

监控设备健康状况，提前发现并预防潜在故障

定期进行安全评估和漏洞扫描，及时修补已知漏洞

在设备更换计划中考虑新技术和新标准的兼容性，确保系统可持续发展

设备故障事件

增加维护成本和业务中断风险

安全漏洞事件

增加系统被攻击的风险

技术兼容性问题

限制业务发展和系统升级

VH03

对湿度、灰尘、污垢的敏感性

计算机硬件设备在运行和存储过程中，对环境中的湿度、灰尘和污垢等因素的高度敏感性计算机硬件设备需要在相对干净、干燥的环境中运行和存储，以避免因环境因素导致的设备故障、性能下降或数据损坏等风险

硬件故障

设备突然停机或重启

维持恒定的室内温度和湿度范围，以减少湿度变化对硬件的影响

定期对硬件进行清洁，特别是散热风扇和通风口，以防止灰尘和污垢的积累

部署尘埃过滤系统和防静电措施，以减少灰尘和静电对硬件的损害

定期检查和更换老化或故障的硬件组件，以维持设备的最佳性能

使用高质量的电源和电缆，以减少电气故障的风险

为关键硬件设备提供冗余和故障转移解决方案，以提高系统的可用性

建立设备维护计划，包括定期检查和预防性维护，以延长设备的使用寿命

培训员工正确使用和维护硬件设备，以减少人为因素导致的损坏

硬件组件损坏

数据丢失或损坏

性能下降

设备运行速度变慢

系统响应延迟

频繁的系统崩溃或错误

寿命缩短

设备提前老化，频繁更换

增加维修和更换成本

VH04

电磁辐射敏感性

计算机硬件设备对电磁辐射的敏感程度以及电磁辐射可能对设备产生的不利影响，包括电磁干扰、电磁泄漏

数据错误

数据传输过程中发生错误或丢失

对关键硬件设备进行电磁屏蔽，以减少外部电磁干扰的影响

在设备布局和设计中考虑电磁兼容性，避免设备之间的相互干扰

采用加密技术保护传输和存储的数据，防止电磁泄漏导致的信息泄露

部署电磁辐射监测和防护系统，检测和防止未经授权的电磁辐射接收

定期对硬件设备进行维护和检查，确保其电磁屏蔽和防护措施的有效性

提供稳定的电源和地线连接，以减少电气噪声和电磁干扰对设备的影响

系统运行不稳定，出现错误或崩溃

信息泄露

敏感数据被外部设备截获和分析

密钥或密码等机密信息被窃取

设备损坏

硬件组件损坏或性能下降

系统可靠性降低，频繁出现故障

VH05

配置更改控制不足

在硬件设备的配置、安装、维护和更新过程中，对配置更改的控制措施不够充分或缺乏有效性，导致配置错误、未授权更改或恶意篡改等安全风险

（配置错误导致）系统故障

系统性能下降或不稳定

建立严格的配置更改管理流程，包括申请、审批、测试和实施环节

对硬件设备进行定期的配置审查和验证，确保配置的正确性和一致性

建立配置更改日志和审计机制，记录所有配置更改的详细信息和历史记录

限制对硬件设备的物理和逻辑访问，确保只有授权人员能够进行配置更改

使用强密码、身份验证和访问控制机制来保护硬件配置界面和工具

定期对硬件设备进行安全漏洞评估和补丁更新，及时修复已知漏洞

在更新和维护之前进行充分的测试和验证，确保更新与现有系统的兼容性

建立可靠的备份和恢复机制，以防更新过程中出现问题时可以及时恢复

对更新和维护过程进行详细的文档记录，包括更改内容、时间和