信息安全風(fēng)險評估流程(已修改)
2025-03-08 17:14 本頁面
【正文】 信息安全風(fēng)險評估流程 培訓(xùn)講師： jindaly 培訓(xùn)日期： 一、風(fēng)險評估概述 二、風(fēng)險評估目的 三、風(fēng)險評估范圍 四、風(fēng)險評估流程 五、風(fēng)險評估工作要點(diǎn) 一、風(fēng)險評估概述 ?信息安全風(fēng)險評估的概念在業(yè)內(nèi)有多種說法，從國標(biāo) 《 評估指南 》 對信息安全風(fēng)險評估的表述中看出，評估涉及資產(chǎn)、威脅、脆弱性和風(fēng)險四個主要因素。 ?風(fēng)險管理是辨別信息系統(tǒng)潛在的風(fēng)險，對其進(jìn)行評估，并采取措施將其降低到可接受的水平的過程，而風(fēng)險評估是其中最重要的環(huán)節(jié)。 一、風(fēng)險評估概述 ?信息安全風(fēng)險評估 是依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評價的過程。 ?信息安全風(fēng)險評估從管理的角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及存在的脆弱性。評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性地抵御安全威脅的防護(hù)措施，為防范和化解信息安全風(fēng)險，或?qū)L(fēng)險控制在可以接受的水平，最大限度地保障網(wǎng)絡(luò)正常運(yùn)行和信息安全提供科學(xué)依據(jù)。 二、風(fēng)險評估目的 ?信息安全風(fēng)險評估是加強(qiáng)信息安全保障體系建設(shè)和管理的關(guān)鍵環(huán)節(jié)，通過開展信息安全風(fēng)險評估工作，可以發(fā)現(xiàn)信息系統(tǒng)存在的主要問題和矛盾，找到解決諸多關(guān)鍵問題的辦法。 ?信息安全風(fēng)險評估旨在認(rèn)清信息安全環(huán)境，信息安全狀況，有助于達(dá)成共識，明確責(zé)任，采取和完善安全保障措施，使其更加經(jīng)濟(jì)有效，并使信息安全策略保持一致性和持續(xù)性。并為信息系統(tǒng)的建設(shè)和改造提供依據(jù)，幫助信息安全建設(shè)者正確判斷系統(tǒng)存在風(fēng)險與漏洞，并采取適當(dāng)補(bǔ)救措施。 ?風(fēng)險評估可以科學(xué)地分析和理解信息系統(tǒng)在保密性、完整性、可用性等方面的工作，只有正確、全面地了解理解安全風(fēng)險后才能決定如何處理安全風(fēng)險，從而在信息安全的投資，信息安全措施的選擇，信息安全保障體系的建設(shè)做出合理的決策。 三、風(fēng)險評估范圍 信息安全風(fēng)險評估適用于在信息安全管理體系下的所有信息資產(chǎn)、網(wǎng)絡(luò)及任何管理和維護(hù)這些系統(tǒng)的流程所做的一切風(fēng)險評估。信息安全風(fēng)險評估包括信息資產(chǎn)的風(fēng)險識別、評估與管理，即信息系統(tǒng)網(wǎng)絡(luò)、管理制度、使用或管理信息系統(tǒng)的相關(guān)人員以及由信息系統(tǒng)使用時產(chǎn)生的文檔、數(shù)據(jù)等的風(fēng)險識別、評估與管理 。 四、風(fēng)險評估流程 信息安全風(fēng)險評估的典型過程主要分為風(fēng)險評估準(zhǔn)備、資產(chǎn)識別、威脅識別、脆弱性識別、已有安全措施確認(rèn)和風(fēng)險分析六個階段。 1. 風(fēng)險評估準(zhǔn)備 2. 資產(chǎn)識別 3. 威脅識別 4. 脆弱性識別 5. 已有安全措施確認(rèn) 6. 風(fēng)險分析 四、風(fēng)險評估流程 該階段的主要任務(wù)是制訂評估工作計劃，包括評估目標(biāo)、評估范圍、制訂信息安全風(fēng)險評估工作方案，并根據(jù)評估工作需要，組建評估團(tuán)隊，明確各方職責(zé)。 在風(fēng)險評估準(zhǔn)備階段，需要多次與被評估方磋商，了解被評估方關(guān)注的重點(diǎn)，明確風(fēng)險評估的目標(biāo)和范圍，為整個風(fēng)險評估工作
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1