對信息安全風(fēng)險評估思考-文庫吧
2025-01-10 23:12 本頁面
【正文】 意義 上個世紀 70年代，美國政府就發(fā)布了 《 自動化數(shù)據(jù)外 理風(fēng)險評估指南 》 。其后頒布的關(guān)于信息安全基本政策 文件 《 聯(lián)邦信息資源安全 》 明確提出了信息安全風(fēng)險評 估的要求，要求聯(lián)邦政府部門依據(jù)信息和信息系統(tǒng)所面 臨的風(fēng)險，根據(jù)信息丟失、濫用、泄露、未授權(quán)訪問等 造成損失的大小，制訂、實施信息安全計劃，以保證信 息和信息系統(tǒng)應(yīng)有的安全。 4. 重視風(fēng)險評估是信息化比較發(fā)達國家的基本經(jīng)驗 信息安全風(fēng)險評估的意義 ? 英國標準化協(xié)會（ BSI） 1995年頒布了 《 信息安全 管理指南 》 （ BS 7799）， BS 7799分為兩個部分： BS 77991《 信息安全管理實施規(guī)則 》 和 BS 77992 《 信息安全管理體系規(guī)范 》 。 2023年又頒布了 《 信息安全管理系統(tǒng)規(guī)范說明 》 （ BS 77992:2023）。它將信息安全管理的有關(guān)問題劃分成了 10個控制要項、 36 個控制目標和 127 個控制措施。目前，在 BS77992中，提出了如何了建立信息安全管理體系的步驟。 ? 在信息安全管理體系的核心部位是風(fēng)險評估和風(fēng)險管理。目前，全球通過 BS7799認證的數(shù)量達 450家左右，其中絕大部分分布在歐洲和亞洲，整個中國地區(qū)（包括香港和臺灣在內(nèi)）通過 BS7799認證的數(shù)量近 20家。 ?為用戶提供具有針對性的安全產(chǎn)品和安全技術(shù) ?給用戶提供量化的信息資產(chǎn)價值列表和資產(chǎn)風(fēng)險列表 ?可全面和有條理地向管理層反映現(xiàn)有的信息科技安全風(fēng) 險和所需的安全保障措施 ?為決策和政策考慮提供不同的解決方案，使信息科技安全管理能夠從策略性的層面推行 ?為日后比較信息科技安全措施的變化提供依據(jù) 信息安全風(fēng)險評估的意義 總結(jié) 問題思考 信息安全風(fēng)險評估 How 問題思考 1. 信息安全風(fēng)險評估怎么實施？ 2. 信息安全風(fēng)險評估實施前需要準備什么？ 3. 信息資產(chǎn)的屬性怎么進行量化？ 4. 發(fā)現(xiàn)信息資產(chǎn)的弱點后怎么進行補救 ? 信息安全風(fēng)險評估方法 ?風(fēng)險評估的準備 ?資產(chǎn)識別 ?威脅識別 ?脆弱性識別 ?設(shè)計解決方案 ?項目規(guī)劃 風(fēng)險評估的準備 風(fēng)險評估的準備 ? 確定范圍 范圍可能是組織全部的信息和信息系統(tǒng)，可能是單獨的信息系統(tǒng)，可能是組織的關(guān)鍵業(yè)務(wù)流程，也可能是客戶的知識產(chǎn)權(quán)。 ? 確定目標 目標基本上來源于組織業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。 ? 確定組織結(jié)構(gòu) 組織結(jié)構(gòu)的建立應(yīng)考慮其結(jié)構(gòu)和復(fù)雜程度，以保證能夠滿足風(fēng)險評估的范圍、目標。 ? 確定方法 應(yīng)考慮評估的范圍、目的、時間、效果、組織文化、人員素質(zhì)以及具體開展的程度等因素來確定，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。 ? 獲得最高管理者批準 上述所有內(nèi)容應(yīng)得到組織的最高管理者的批準，并對管理層和員工進行傳達。 風(fēng)險評估的準備 (續(xù)） 信息安全風(fēng)險評估方法 ?風(fēng)險評估的準備 ?資產(chǎn)識別 ?威脅識別 ?脆弱性識別 ?設(shè)計解決方案 ?項目規(guī)劃 資產(chǎn)識別 類別 簡稱 解釋 / 示例數(shù)據(jù) D a t a 存 在 電 子 媒 介 的 各 種 數(shù) 據(jù) 資 料 ， 包 括 源 代 碼 、數(shù) 據(jù) 庫 數(shù) 據(jù) ， 各 種 數(shù) 據(jù) 資 料 、 系 統(tǒng) 文 檔 、 運 行管理規(guī)程、計劃、報告、用戶手冊等軟件 S o f t w
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1