信息安全風險評估服務(已修改)
2025-04-21 11:24 本頁面
【正文】 風險評估概述信息安全風險評估是參照風險評估標準和管理規(guī)范，對信息系統(tǒng)的資產價值、潛在威脅、薄弱環(huán)節(jié)、已采取的防護措施等進行分析，判斷安全事件發(fā)生的概率以及可能造成的損失，提出風險管理措施的過程。當風險評估應用于IT領域時，就是對信息安全的風險評估。 風險評估從早期簡單的漏洞掃描、人工審計、滲透性測試這種類型的純技術操作，逐漸過渡到目前普遍采用國際標準的BS779ISO1779國家標準《信息系統(tǒng)安全等級評測準則》等方法，充分體現(xiàn)以資產為出發(fā)點、以威脅為觸發(fā)因素、以技術/管理/運行等方面存在的脆弱性為誘因的信息安全風險評估綜合方法及操作模型。資產，任何對組織有價值的事物。威脅，指可能對資產或組織造成損害的事故的潛在原因。例如，組織的網絡系統(tǒng)可能受到來自計算機病毒和黑客攻擊的威脅。脆弱點，是指資產或資產組中能背威脅利用的弱點。如員工缺乏信息安全意思，使用簡短易被猜測的口令、操作系統(tǒng)本身有安全漏洞等。風險，特定的威脅利用資產的一種或一組薄弱點，導致資產的丟失或損害餓潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結合。 風險評估，對信息和信息處理設施的威脅、影響和脆弱點及三者發(fā)生的可能性評估。風險評估也稱為風險分析，就是確認安全風險及其大小的過程，即利用適當?shù)娘L險評估工具，包括定性和定量的方法，去頂資產風險等級和優(yōu)先控制順序。 風險評估的發(fā)展現(xiàn)狀第一階段（6070年代）以計算機為對象的信息保密階段1067年11月到1970年2月，美國國防科學委員會委托蘭德公司、邁特公司（MITIE）及其它和國防工業(yè)有關的一些公司對當時的大型機、遠程終端進行了研究，分析。作為第一次比較
公司管理相關推薦
鄂ICP備17016276號-1