信息安全風(fēng)險(xiǎn)評(píng)估教材(已修改)
2025-01-08 22:39 本頁(yè)面
【正文】 第四章 信息安全風(fēng)險(xiǎn)評(píng)估 本章學(xué)習(xí)目標(biāo) ?了解風(fēng)險(xiǎn)評(píng)估的概念、特點(diǎn)和內(nèi)涵； ? 熟悉風(fēng)險(xiǎn)評(píng)估的過(guò)程及應(yīng)注意的問(wèn)題； ? 了解如何選擇恰當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估方法； ? 掌握典型的風(fēng)險(xiǎn)評(píng)估方法； ?了解風(fēng)險(xiǎn)評(píng)估實(shí)施準(zhǔn)備 ? GB/T 209842023《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 ? 相關(guān)概念 ? 資產(chǎn)（ Asset）：任何對(duì)組織有價(jià)值的事如，是安全策略保護(hù)的對(duì)象。 ? 威脅（ Threat） :指可能對(duì)資產(chǎn)或組織造成損害的事故的潛在原因。 ? 脆弱點(diǎn)（ Vulnerability）：是指資產(chǎn)或資產(chǎn)組中能被威脅利用的弱點(diǎn)。 ? 風(fēng)險(xiǎn)（ Risk）：特定的威脅利用資產(chǎn)的一種或一組薄弱點(diǎn)，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件的可能性與后果的結(jié)合。 ? 風(fēng)險(xiǎn)評(píng)估（ Risk Assessment）：對(duì)信息或信息處理設(shè)施的威脅、影響和脆弱點(diǎn)及三者發(fā)生的可能性的評(píng)估。 ? 殘余風(fēng)險(xiǎn)（ Residual Risk）：采取了安全措施后，信息系統(tǒng)仍然可能存在的風(fēng)險(xiǎn)。 風(fēng)險(xiǎn)要素關(guān)系 風(fēng)險(xiǎn)評(píng)估的兩種方式 ? 自評(píng)估和檢查評(píng)估 ? 1自評(píng)估 ? “ 誰(shuí)主管誰(shuí)負(fù)責(zé)，誰(shuí)運(yùn)營(yíng)誰(shuí)負(fù)責(zé) ” ? 信息系統(tǒng)擁有者依靠自身力量，依據(jù)國(guó)家風(fēng)險(xiǎn)評(píng)估的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對(duì)自有的信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估的活動(dòng)。 ? 優(yōu)點(diǎn) ? 有利于保密 ? 有利于發(fā)揮行業(yè)和部門內(nèi)人員的業(yè)務(wù)特長(zhǎng) ? 有利于降低風(fēng)險(xiǎn)評(píng)估的費(fèi)用 ? 有利于提高本單位的風(fēng)險(xiǎn)評(píng)估能力與信息安全知識(shí) 風(fēng)險(xiǎn)評(píng)估的兩種方式 ? 1自評(píng)估 ? 缺點(diǎn)： ? 如果沒(méi)有統(tǒng)一的規(guī)范要求，在缺乏信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估專業(yè)人才的情況下，自評(píng)估的結(jié)果可能不深入、不規(guī)范、不到位 ? 自評(píng)估中，可能會(huì)存在某些不利的干預(yù)，從而影響風(fēng)險(xiǎn)評(píng)估結(jié)果的客觀性，降低評(píng)估結(jié)果的置信度 ? 某些時(shí)候，即使自評(píng)估的結(jié)果比較樂(lè)觀，也必須與管理層進(jìn)行溝通 風(fēng)險(xiǎn)評(píng)估的兩種方式 ? 2 檢查評(píng)估 ? 檢查評(píng)估是由信息安全主管部門或業(yè)務(wù)部門發(fā)起的一種評(píng)估活動(dòng)，旨在依據(jù)已經(jīng)頒布的法規(guī)或標(biāo)準(zhǔn)，檢查被評(píng)估單位是否滿足了這些法規(guī)或標(biāo)準(zhǔn)。 ? 檢查評(píng)估通常都是定期的、抽樣進(jìn)行的評(píng)估模式 ? 檢查評(píng)估缺點(diǎn)： ? 間隔時(shí)間較長(zhǎng)，如一年一次，通常還是抽樣進(jìn)行 ? 不能貫穿一個(gè)部門信息系統(tǒng)生命周期的全過(guò)程，很難對(duì)信息系統(tǒng)的整體風(fēng)險(xiǎn)狀況作出完整的評(píng)價(jià) 風(fēng)險(xiǎn)評(píng)估的兩種方式 ? 2 檢查評(píng)估 ? 檢查評(píng)估應(yīng)覆蓋但不限于以下內(nèi)容： ? 自評(píng)估方法的檢查 ? 自評(píng)估過(guò)程記錄檢查 ? 自評(píng)估結(jié)果跟蹤檢查 ? 現(xiàn)有安全措施的檢查 ? 系統(tǒng)輸入輸出控制的檢查 ? 軟硬件維護(hù)制度及實(shí)施狀況的檢查 ? 突發(fā)事件應(yīng)對(duì)措施的檢查 ? 數(shù)據(jù)完整性保護(hù)措施的檢查 ? 審計(jì)追蹤的檢查 風(fēng)險(xiǎn)評(píng)估的兩種方式 ? 無(wú)論是自評(píng)估，還是檢查評(píng)估，都可以委托風(fēng)險(xiǎn)評(píng)估服務(wù)技術(shù)支持方實(shí)施，如國(guó)家測(cè)評(píng)認(rèn)證
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1