第06講 octave風險評估方法-文庫吧
2025-02-23 11:57 本頁面
【正文】 AVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 為風險管理的良性循環(huán)打好基礎 要按照標準的步驟評估，依據(jù)評估結果而制定的戰(zhàn)略和計劃要能經(jīng)的起時間和環(huán)境變化的考驗。 務 的目錄 向前看 用發(fā)展的眼光看待問題，要考慮隨著時間和環(huán)境變化而引起的當前不確定的風險 中關注風險 集中精力在少數(shù)關鍵資產上 不可能面面俱到，什么都保護。要集中資源保護最重要的信息資產。 點集中在重要資產上 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 整體管理 制定安全戰(zhàn)略和計劃的時候，要放眼整個信息系統(tǒng)，在安全保護和系統(tǒng)業(yè)務能力上做權衡 IT的參與 開放交流 評估需要各部門協(xié)作；鼓勵在所有的管理層次都鼓勵交流有關風險的信息；要重視每個人的意見。 全局觀念 要廣泛征求每個人的意見，綜合考慮每個方面的因素，以確定什么信息資產對組織是重要的。 IT的參與 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 集體合作 評估領導小組應該由各個部門的人員組成；當評估小組的人員能力不夠分析某資產的時候，要隨時補充專業(yè)人士，以增進專業(yè)能力；所有參與的人要通力協(xié)作 估小組 力 IT的參與 OCTAVE 的原則、屬性和輸出 ? 什么是輸出（ Output）？ ?每一評估階段的階段性成果，它們決定了在每一個評估階段中，評估領導小組和其它參與評估的人員必須完成的一些任務（正式這些任務產生了輸出）。 ?評估活動的輸出結果被按階段分配在三個評估階段中。 OCTAVE 的原則、屬性和輸出 階段 輸出 階段一 階段二 階段三 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準則（ Criterion） ? OCTAVE方法（ Method） OCTAVE 方法（ Method） ? 什么是 OCTAVE方法？ ? OCTAVE方法是一種具體的風險評估方法，根據(jù)它你可以執(zhí)行一次實際的風險評估。 ? OCTAVE方法完全遵從前面介紹的 OCTAVE準則，即它遵守所有原則，具備所有屬性，并且提供規(guī)定的輸出。 ? 遵從 OCTAVE準則的方法不只一種。由卡內基梅隆提供的就有兩種： ? OCTAVE方法，適合大中型組織（一般要超過 300員工）的風險評估 ? OCTAVES方法，適合小型組織風險評估 OCTAVE 方法（ Method） ? OCTAVE方法中的過程（ Process） ? 8個過程，分布在前述三個階段中執(zhí)行 ? 過程 1：標識高層管理知識； ? 過程 2：標識業(yè)務區(qū)域知識； ? 過程 3：標識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； ? 過程 5：標識關鍵組件； ? 過程 6：評估所選組件； ? 過程 7：執(zhí)行風險分析； ? 過程 8：制定戰(zhàn)略。 ? 每個過程中有若干任務（ Activity）要執(zhí)行，執(zhí)行后會輸出一些信息。對于 OCTAVE方法來說，這些信息與OCTAVE準則中規(guī)定的輸出是一致的。 OCTAVE 方法（ Method） ? OCTAVE方法強調人員的交流和協(xié)作，依靠多次的研討會來獲取信息 ?前 3個過程，研討會參與者主要是評估組和組織各個管理層次的員工，目的是全面了解資產、威脅、脆弱性、現(xiàn)有安全措施等信息 ?后面過程中的研討會主要由評估組或專業(yè)人員參與，目的是討論、分析已有資料，并給出結論。 一個案例 ? 一個中等規(guī)模的醫(yī)院： MedSite醫(yī)院，包括幾類職能機構： ?一個常設的行政管理機構：院長辦公室； ?一些常設的和臨時的業(yè)務機構，如業(yè)務科室、實驗室和下轄診所等； ?一些常設和臨時的后勤機構； ?一個小規(guī)模（ 3人）的 IT部門，負責網(wǎng)絡和設備維護； 一個案例 ? MedSite的組織結構： ?院長為最高領導； ?幾個分管副院長，分別分管業(yè)務、后勤等職能機構；“高層領導”包括院長和副院長； ?每類職能機構中有若干科室，如業(yè)務科室（內科，外科，放射科等），后勤科室（保衛(wèi)科， IT部，后勤處等），也可以是異地的診所?？剖邑撠熑耸侵袑宇I導。 一個案例 ? MedSite的信息系統(tǒng)： ?患者信息系統(tǒng)（ PIDS），包括 PIDS服務器，局域網(wǎng)，終端 PC等。還鏈接若干小型數(shù)據(jù)庫，保存患者信息、診斷記錄、檢查結果、帳單等信息 ?一個獨立的提供商： ABC Systems，提供MedSite的大部分 IT設備，并對 MedSite的 IT人員給予培訓。 ? MedSite想使用 OCTAVE方法，評估本組織的風險 OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產的威脅文件 ? 階段 2：識別基礎設施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃
教學課件相關推薦
鄂ICP備17016276號-1