風(fēng)險(xiǎn)評(píng)估實(shí)施步驟-文庫吧
2025-07-14 17:12 本頁面
【正文】 資產(chǎn)的脆弱性具有隱蔽性，有些弱點(diǎn)只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱性識(shí)別中最為困難的部分。需要注意的是，不正確的、起不到應(yīng)有作用的或沒有正確實(shí)施的安全措施本身就可能是一個(gè)弱點(diǎn)。脆弱性識(shí)別將針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn)，找出可能被威脅利用的弱點(diǎn)，并對(duì)脆弱性的嚴(yán)重程度進(jìn)行評(píng)估。脆弱性識(shí)別時(shí)的數(shù)據(jù)應(yīng)來自于資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)等人員。脆弱性識(shí)別所采用的方法主要有：問卷調(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。1. 脆弱性識(shí)別脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的安全問題。管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。2. 脆弱性賦值（五個(gè)等級(jí)：很低、低、中、高、很高）可以根據(jù)對(duì)資產(chǎn)損害程度、技術(shù)實(shí)現(xiàn)的難易程度、弱點(diǎn)流行程度，采用等級(jí)方式對(duì)已識(shí)別的脆弱性的嚴(yán)重程度進(jìn)行賦值。脆弱性由于很多弱點(diǎn)反映的是同一方面的問題，應(yīng)綜合考慮這些弱點(diǎn)，最終確定這一方面的脆弱性嚴(yán)重程度。對(duì)某個(gè)資產(chǎn)，其技術(shù)脆弱性的嚴(yán)重程度受到組織的管理脆弱性的影響。因此，資產(chǎn)的脆弱性賦值還應(yīng)參考技術(shù)管理和組織管理脆弱性的嚴(yán)重程度。五 已有安全措施的確認(rèn)組織應(yīng)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施。對(duì)于確認(rèn)為不適當(dāng)?shù)陌踩胧?yīng)核實(shí)是否應(yīng)被取消，或者用更合適的安全措施替代。六 風(fēng)險(xiǎn)分析1. 風(fēng)險(xiǎn)計(jì)算方法安全事件發(fā)生的可能性 = L(威脅出現(xiàn)頻率，脆弱性)安全事件的損失 = F(資產(chǎn)重要程度，脆弱性嚴(yán)重程度)風(fēng)險(xiǎn)值 = R(安全事件發(fā)生的可能性，安全事件的損失)評(píng)估者可根據(jù)自身情況選擇相應(yīng)的風(fēng)險(xiǎn)計(jì)算方法計(jì)算風(fēng)險(xiǎn)值。如矩陣法或相乘法，通過構(gòu)造經(jīng)驗(yàn)函數(shù)，矩陣法可形成安全事件發(fā)生的可能性與安全事件的損失之間的二維關(guān)系；運(yùn)用相乘法可以將安全事件發(fā)生的可能性與安全事件的損失相乘得到風(fēng)險(xiǎn)值。2. 風(fēng)險(xiǎn)結(jié)果判定（五個(gè)等級(jí)：很低、低、中、高、很高）組織應(yīng)當(dāng)綜合考慮風(fēng)險(xiǎn)控制成本與風(fēng)險(xiǎn)造成的影響，提出一個(gè)可接受風(fēng)險(xiǎn)閾值，七 風(fēng)險(xiǎn)評(píng)估文件記錄1. 風(fēng)險(xiǎn)評(píng)估文件記錄的要求記錄風(fēng)險(xiǎn)評(píng)估過程的相關(guān)文件，應(yīng)該符合以下要求（但不僅限于此）：（1）確保文件發(fā)布前是得到批準(zhǔn)的；（2）確保文件的更改和現(xiàn)行修訂狀態(tài)是可識(shí)別的；（3）確保在使用時(shí)可獲得有關(guān)版本的適用文件；（4）確保文件的分發(fā)得到適當(dāng)?shù)目刂疲唬?）防止作廢文件的非預(yù)期使用，若因任何目的需保留作廢文件時(shí)，應(yīng)對(duì)這些文件進(jìn)行適當(dāng)?shù)臉?biāo)識(shí)。對(duì)于風(fēng)險(xiǎn)評(píng)估過程中形成的相關(guān)文件，還應(yīng)規(guī)定其標(biāo)識(shí)、儲(chǔ)存、保護(hù)、檢索、保存期限以及處置所需的控制。相關(guān)文件是否需要以及詳略程度由管理過程來決定。2. 風(fēng)險(xiǎn)評(píng)估文件風(fēng)險(xiǎn)評(píng)估文件包括在整個(gè)風(fēng)險(xiǎn)評(píng)估過程中產(chǎn)生的評(píng)估過程文檔和評(píng)估結(jié)果文檔，包括（但不僅限于此）：（1）風(fēng)險(xiǎn)評(píng)估計(jì)劃：闡述風(fēng)險(xiǎn)評(píng)估的目標(biāo)、范圍、團(tuán)隊(duì)、評(píng)估方
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號(hào)-1