校園網站風險評估綜述(已修改)
2025-07-11 04:11 本頁面
【正文】 《信息安全工程》 校園網站風險評估課程設計 班級：0430801學號：08490108姓名：孔偉棟校園網站風險評估綜述對于校園網站而言，解決信息安全的關鍵就是明白網 站面臨的風險所在。利用風險評估來識別可能存在的風險 和威脅，對暴露出的問題進行有針對性的防護，這樣才能 保證校園網站穩(wěn)定高效地為師生服務。一. 信息風險評估的特點和意義信息系統(tǒng)的安全風險是指由于系統(tǒng)存在的脆弱性，人為或自然的威脅導致安全事件發(fā)生的可能性及其造成的影響。信息安全風險評估就是從風險管理角度，運用科學的分析方法和手段，系統(tǒng)地分析信息化業(yè)務和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，以防范和化解風險，或者將殘余風險控制在可接受的水平，從而最大限度地保障網絡與信息安全。風險評估的重要意義：1. 風險評估是分析確定風險的過程系統(tǒng)的安全性都可以通過風險的大小來衡量?？茖W分析系統(tǒng)的安全風險，綜合平衡風險和代價的過程就是風險評估。2. 信息安全風險評估是信息安全建設的起點和基礎安全風險評估是風險評估理論和方法在信息系統(tǒng)中的運用，是科學分析理解信息和信息系統(tǒng)在機密性、完整性、可用性等方面所面臨的風險，并在風險的預防、風險的控制、風險的轉移、風險的補償、風險的分散等之間作出決策的過程。 信息安全建設都應該是基于信息安全風險評估，只有在正確地、全面地理解風險后，才能在控制風險、減少風險、轉移風險之間作出正確的判斷，決定調動多少資源、以什么的代價、采取什么樣的應對措施去化解、控制風險。3. 信息安全風險評估是需求主導和突出重點原則的具體體現說信息安全建設必須從實際出發(fā)，堅持需求主導、突出重點，則風險評估（需求分析）就是這一原則在實際工作中的重要體現。從理論上講風險總是客觀存在的。安全是安全風險與安全建設管理代價的綜合平衡。4. 重視風險評估是信息化比較發(fā)達國家的基本經驗上個世紀70年代，美國政府就發(fā)布了《自動化數據外理風險評估指南》。其后頒布的關于信息安全基本政策文件《聯邦信息資源安全》明確提出了信息安全風險評估的要求，要求聯邦政府部門依據信息和信息系統(tǒng)所面臨的風險，根據信息丟失、濫用、泄露、未授權訪問等造成損失的大小，制訂、實施信息安全計劃，以保證信息和信息系統(tǒng)應有的安全。所以，總的來說，信息安全風險評估的意義在于為用戶提供具有針對性的安全產品和安全技術。給用戶提供量化的信息資產價值列表和資產風險列表?？扇婧陀袟l理地向管理層反映現有的信息科技安全風險和所需的安全保障措施。為決策和政策考慮提供不同的解決方案，使信息科技安全管理能夠從策略性的層面推行 。為日后比較信息科技安全措施的變化提供依據 。：（1）決策支持性 所有的安全風險評估都是旨在為安全管理提供支持和服務，無論它發(fā)生在系統(tǒng)生命周期的哪個階段，所不同的只在于其支持的管理決策階段和內容。（2）比較分析性對信息安全管理和運營的各種安全方案進行比較，對各種情況下的技術、經濟投入和結果進行分析、權衡。（3）前提假設性在風險評估中所使用的各種評估數據有兩種，一是系統(tǒng)既定事實的描述數據；而是根據系統(tǒng)各種假設前提條件確定的預測數據。不管發(fā)生在系統(tǒng)生命周期的哪個階段，在評估的時候，人們都必須對尚未確定的各種情況做出必要的假設，然后確定相應的預測數據，并據此作出系統(tǒng)的風險評估。沒有哪個風險評估不需要給定假設前提條件，隱詞信息安全風險評估具有前提假設性這一基本特征。（4）時效性必須及時使用信息安全風險評估的結果，過期則可能出現失效而無法使用，失去風險評估的作用和意義。（5）主觀與客觀繼集成性信息安全風險評估是主管假設和判斷與客觀情況和數據的結合（6）目的性信息安全風險評估的最終目的是為信息安全管理決策和控制措施的實施提供支持。計算機安全的模型包含 4 個主要部分： 策略安全、檢測、防護和響應。防護、檢測和響應組成了一個完整的、動態(tài)的 安全循環(huán)，在安全策略的整體指導下保證信息系統(tǒng)的安全。 風險評估主要屬于檢測范疇，用它找出系統(tǒng)的漏洞，做好防護并為制定安全策略提供指導性意見。校園網服務 對象是全體師生，而學生又是最為活躍的群體，因此在校園網中的信息安全更為突出。新的安全漏洞不斷出現，黑客的攻擊手法不斷翻新，而校園數據中心自身的情況也在不斷地發(fā)展變化，在完成網站安全防范體系的架設后，必須不斷對此網站進行風險評估，及時地維護和更新，才能保證網站的安全。 252。 確定范圍 范圍可能是組織全部的信息和信息系統(tǒng)，可能是單獨的信息系統(tǒng)，可能是組織的關鍵業(yè)務流程，也可能是客戶的知識產權。252。 確定目標 目標基本上來源于組織業(yè)務持續(xù)發(fā)展的需要、滿足相關方的要求、滿足法律法規(guī)的要求等方面。252。 確定組織結構 組織結構的建立應考慮其結構和復雜程度，以保證能夠滿足風險評估的范圍、目標。252。 確定方法 應考慮評估的范圍、目的、時間、效果
范文總結相關推薦
鄂ICP備17016276號-1