風險評估實施步驟簡介-文庫吧
2025-06-09 12:03 本頁面
【正文】 才可能造成危害。資產(chǎn)的脆弱性具有隱蔽性，有些弱點只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱性識別中最為困難的部分。需要注意的是，不正確的、起不到應有作用的或沒有正確實施的安全措施本身就可能是一個弱點。脆弱性識別將針對每一項需要保護的資產(chǎn)，找出可能被威脅利用的弱點，并對脆弱性的嚴重程度進行評估。脆弱性識別時的數(shù)據(jù)應來自于資產(chǎn)的所有者、使用者，以及相關業(yè)務領域的專家和軟硬件方面的專業(yè)等人員。脆弱性識別所采用的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等。1. 脆弱性識別脆弱性識別主要從技術和管理兩個方面進行，技術脆弱性涉及物理層、網(wǎng)絡層、系統(tǒng)層、應用層等各個層面的安全問題。管理脆弱性又可分為技術管理和組織管理兩方面，前者與具體技術活動相關，后者與管理環(huán)境相關。2. 脆弱性賦值（五個等級：很低、低、中、高、很高）可以根據(jù)對資產(chǎn)損害程度、技術實現(xiàn)的難易程度、弱點流行程度，采用等級方式對已識別的脆弱性的嚴重程度進行賦值。脆弱性由于很多弱點反映的是同一方面的問題，應綜合考慮這些弱點，最終確定這一方面的脆弱性嚴重程度。對某個資產(chǎn)，其技術脆弱性的嚴重程度受到組織的管理脆弱性的影響。因此，資產(chǎn)的脆弱性賦值還應參考技術管理和組織管理脆弱性的嚴重程度。五 已有安全措施的確認組織應對已采取的安全措施的有效性進行確認，對有效的安全措施繼續(xù)保持，以避免不必要的工作和費用，防止安全措施的重復實施。對于確認為不適當?shù)陌踩胧藢嵤欠駪蝗∠?，或者用更合適的安全措施替代。六 風險分析1. 風險計算方法安全事件發(fā)生的可能性 = L(威脅出現(xiàn)頻率，脆弱性)安全事件的損失 = F(資產(chǎn)重要程度，脆弱性嚴重程度)風險值 = R(安全事件發(fā)生的可能性，安全事件的損失)評估者可根據(jù)自身情況選擇相應的風險計算方法計算風險值。如矩陣法或相乘法，通過構造經(jīng)驗函數(shù)，矩陣法可形成安全事件發(fā)生的可能性與安全事件的損失之間的二維關系；運用相乘法可以將安全事件發(fā)生的可能性與安全事件的損失相乘得到風險值。2. 風險結果判定（五個等級：很低、低、中、高、很高）組織應當綜合考慮風險控制成本與風險造成的影響，提出一個可接受風險閾值，七 風險評估文件記錄1. 風險評估文件記錄的要求記錄風險評估過程的相關文件，應該符合以下要求（但不僅限于此）：（1）確保文件發(fā)布前是得到批準的；（2）確保文件的更改和現(xiàn)行修訂狀態(tài)是可識別的；（3）確保在使用時可獲得有關版本的適用文件；（4）確保文件的分發(fā)得到適當?shù)目刂?；?）防止作廢文件的非預期使用，若因任何目的需保留作廢文件時，應對這些文件進行適當?shù)臉俗R。對于風險評估過程中形成的相關文件，還應規(guī)定其標識、儲存、保護、檢索、保存期限以及處置所需的控制。相關文件是否需要以及詳略程度由管理過程來決定。2. 風險評估文件風險評估文件包括在整個風險評估過程中產(chǎn)生的評估過程文檔和評估結果文檔，包括（但不僅限于此）：（1）風險評估計劃：闡述風險評估的目標、范圍、
環(huán)評公示相關推薦
鄂ICP備17016276號-1