信息系統(tǒng)安全與保密-第3章(已修改)
2025-02-26 14:04 本頁面
【正文】 第三章 信息安全風險評估與管理 1風險管理的基本概念 2風險評估與管理的流程 3風險評估方法和技術(shù) 課程內(nèi)容 1 風險管理的基本概念 要素分析 風險管理 風險評估 任務(wù) ① 風險識別 任務(wù) ② 風險控制 風險管理 （ Risk Management） ：以可以接受的費用，識別、控制、 降低或消除可能影響信息系統(tǒng)的安全風險的過程及活動。 檢查和說明組織信息系統(tǒng)的安全態(tài)勢和面臨的風險 采取控制手段，減少組織信息系統(tǒng)和數(shù)據(jù)的風險 “知己” “知彼”；風險評估是說明風險識別的結(jié)果。 1 風險管理的基本概念 要素分析 風險管理 風險評估 風險評估 （ Risk Assessment） ：對各方面風險進行辨識和分析的過 程，即確認安全風險及其大小的過程。 風險評估是風險管理的基礎(chǔ)，是風險控制的前提！！ 風險評估：對信息和信息處理過程設(shè)施的威脅、影響和脆弱點以 及三者發(fā)生的可能性的評估，即確定 R = ?( A, T, V ) ISO/ IEC 27001:2023 風險評估的要素分析 風險 = 有害事件 發(fā)生的可能性危害的后果 威脅利用資產(chǎn)的脆弱性對組織的信息系統(tǒng)造成危害 通過安全措施的配置，風險可以被消除、降低和或轉(zhuǎn)移 殘留風險：信息系統(tǒng)業(yè)務(wù)可以容忍的風險 成本效益分析 (T) (V) (A) (R) R = ?( A, T, V ) 資產(chǎn)及 其價值 脆弱點 脆弱點 脆 弱 點 脆 弱 點 威脅 風險 殘余風險 威脅 安全控制 安全控制 殘余風險 威脅 安 全 控 制 威脅 殘 余 風 險 圖 1 風險要素及其相互關(guān)系 威 脅 脆 弱 點安 全 措 施 安 全 風 險保 護 需 求 影 響資 產(chǎn)增 加增 加增 加減 小提 出增 加資產(chǎn)價值越高，風險越大 威脅越大，風險越大 脆弱點越大，風險越大 安全事故影響越大，風險越大 適當?shù)陌踩刂瓶梢越档惋L險 安全風險指出組織的安全要求 確定評估范圍 資產(chǎn)識別與重要性評估 威脅識別與 發(fā)生可能性評估 脆弱點檢測與 被利用可能性評估 控制措施識別 與有效性評估 影 響 可能性 風 險 評 價 風險管理方案的 選擇與優(yōu)化 風 險 控 制 2 風險評估與管理的流程 (T) (V) (A) (R) (C) 確定評估范圍 基于風險評估目標確定風險評估的對象和范圍是 完成風險評估的前提。 邏輯邊界 定義了分析所需的廣度和深度； 物理邊界 定義了系統(tǒng)起于哪里止于哪里； 1）信息資產(chǎn)（如硬件、軟件、信息）； 2）人員（職員、其他外部人員）； 3）環(huán)境（建筑物、基礎(chǔ)設(shè)施）； 4）活動（信息處理相關(guān)操作、業(yè)務(wù)）。 資產(chǎn)識別與重要性評估 劃入風險評估范圍和邊界的每一項資產(chǎn)都應(yīng)該被 確認和評估（可依據(jù)業(yè)務(wù)流程進行識別）。 信息資產(chǎn)清單 對資產(chǎn)賦值 資產(chǎn)價值體現(xiàn)在對組織 /業(yè)務(wù)的重要性或敏感度 資產(chǎn)評價常采用定性的方法??！ 賦值 標識 定 義 1 可忽略 包含可對社會公開的信息，公用的信息處理設(shè)備和系統(tǒng)資源等 2 低 包含僅能在組織內(nèi)部或在組織某一部門內(nèi)部公開的信息，向外擴散有可能對組織的利益造成損害 3 中等 包含組織的一般性秘密，其泄露會使組織的安全和利益受到損害 4 高 包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴重損害 5 極高 包含組織最重要的秘密，關(guān)系未來發(fā)展的前途命運，對組織根本利益有著決定性影響，如果泄漏會造成災(zāi)難性的損害 表 1 根據(jù)資產(chǎn)的敏感度分級模式 資產(chǎn)類別 名稱 關(guān)鍵程度 硬件 多媒體電腦 高 4 投影儀 高
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1