風(fēng)險(xiǎn)評(píng)估實(shí)施步驟簡(jiǎn)介(已修改)
2025-07-06 12:03 本頁(yè)面
【正文】 風(fēng)險(xiǎn)評(píng)估實(shí)施步驟一 風(fēng)評(píng)準(zhǔn)備1. 確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)2. 確定風(fēng)險(xiǎn)評(píng)估的范圍3. 組建適當(dāng)?shù)脑u(píng)估管理與實(shí)施團(tuán)隊(duì)4. 進(jìn)行系統(tǒng)調(diào)研，采取問(wèn)卷調(diào)查、現(xiàn)場(chǎng)詢問(wèn)等方式，至少包括以下內(nèi)容：? 業(yè)務(wù)戰(zhàn)略及管理制度? 主要的業(yè)務(wù)功能和要求? 網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部鏈接好外部鏈接? 系統(tǒng)邊界? 主要的硬件、軟件? 數(shù)據(jù)和信息? 系統(tǒng)和數(shù)據(jù)的敏感性? 支持和使用系統(tǒng)的人員5. 制定方案，為之后的風(fēng)評(píng)實(shí)施提供一個(gè)總體計(jì)劃，至少包括：? 確定實(shí)施評(píng)估團(tuán)隊(duì)成員? 工作計(jì)劃及時(shí)間進(jìn)度安排6. 獲得最高管理者對(duì)風(fēng)險(xiǎn)評(píng)估工作的支持二 資產(chǎn)識(shí)別資產(chǎn)的價(jià)值是按照資產(chǎn)在保密性、完整性和可用性上達(dá)到的程度或者其未達(dá)到時(shí)造成的影響程度來(lái)決定1. 資產(chǎn)分類根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類2. 資產(chǎn)的賦值（五個(gè)等級(jí)：可忽略、低、中等、高、極高）? 保密性賦值：根據(jù)資產(chǎn)在保密性上的不同要求，對(duì)應(yīng)資產(chǎn)在保密性上應(yīng)達(dá)成的不同程度或者密保性缺失時(shí)對(duì)整個(gè)組織的影響，劃分為五個(gè)不同的等級(jí)? 完整性賦值：根據(jù)資產(chǎn)在完整性上的不同要求，對(duì)應(yīng)資產(chǎn)在完整性上缺失時(shí)對(duì)整個(gè)組織的影響，劃分為五個(gè)不同的等級(jí)? 可用性賦值：根據(jù)資產(chǎn)在可用性上的不同要求，對(duì)應(yīng)資產(chǎn)在可用性上應(yīng)達(dá)成的不同程度，劃分為五個(gè)不同的等級(jí)?3. 資產(chǎn)重要性等級(jí)（五個(gè)等級(jí)：很低、低、中、高、很高）資產(chǎn)價(jià)值應(yīng)依據(jù)資產(chǎn)在機(jī)密性、完整性和可用性上的賦值等級(jí)，經(jīng)過(guò)綜合評(píng)定得出。綜合評(píng)定方法，可以根據(jù)組織自身的特點(diǎn)，選擇對(duì)資產(chǎn)機(jī)密性、完整性和可用性最為重要的一個(gè)屬性的賦值等級(jí)作為資產(chǎn)的最終賦值結(jié)果，也可以根據(jù)資產(chǎn)機(jī)密性、完整性和可用性的不同重要程度對(duì)其賦值進(jìn)行加權(quán)計(jì)算而得到資產(chǎn)的最終賦值。加權(quán)方法可根據(jù)組織的業(yè)務(wù)特點(diǎn)確定。三 威脅識(shí)別威脅是一種對(duì)組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素，是客觀存在的。1. 威脅的分類根據(jù)威脅的來(lái)源，威脅可分為軟硬件故障、物理環(huán)境威脅、無(wú)作為或操作失誤、管理不到位、惡意代碼和病毒、越權(quán)或?yàn)E用、黑客攻擊技術(shù)、物理攻擊、泄密、篡改、抵賴2. 威脅的賦值（五個(gè)等級(jí)：很低、低、中、高、很高）判斷威脅出現(xiàn)的頻率是威脅識(shí)別的重要工作，評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來(lái)進(jìn)行判斷。在風(fēng)險(xiǎn)評(píng)估過(guò)程中，還需要綜合考慮以下三個(gè)方面，以形成在某種評(píng)估環(huán)境中各種威脅出現(xiàn)的頻率：（1) 以往安全事件報(bào)告中出現(xiàn)過(guò)的威脅及其頻率的統(tǒng)計(jì)；（2) 實(shí)際環(huán)境中通過(guò)檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)；（3) 近一兩年來(lái)國(guó)際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。四 脆弱性識(shí)別脆弱性是對(duì)一個(gè)或多個(gè)資產(chǎn)弱點(diǎn)的總稱。脆弱性識(shí)別也稱為弱點(diǎn)識(shí)別，弱點(diǎn)是資產(chǎn)本身存在的，如果沒(méi)有相應(yīng)的威脅發(fā)生，單純的弱點(diǎn)本身不會(huì)對(duì)資產(chǎn)造成損害。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。即，威脅總是要利用資產(chǎn)的弱點(diǎn)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1