信息安全風(fēng)險(xiǎn)評(píng)估流程(已修改)
2025-03-08 17:14 本頁面
【正文】 信息安全風(fēng)險(xiǎn)評(píng)估流程 培訓(xùn)講師： jindaly 培訓(xùn)日期： 一、風(fēng)險(xiǎn)評(píng)估概述 二、風(fēng)險(xiǎn)評(píng)估目的 三、風(fēng)險(xiǎn)評(píng)估范圍 四、風(fēng)險(xiǎn)評(píng)估流程 五、風(fēng)險(xiǎn)評(píng)估工作要點(diǎn) 一、風(fēng)險(xiǎn)評(píng)估概述 ?信息安全風(fēng)險(xiǎn)評(píng)估的概念在業(yè)內(nèi)有多種說法，從國標(biāo) 《 評(píng)估指南 》 對信息安全風(fēng)險(xiǎn)評(píng)估的表述中看出，評(píng)估涉及資產(chǎn)、威脅、脆弱性和風(fēng)險(xiǎn)四個(gè)主要因素。 ?風(fēng)險(xiǎn)管理是辨別信息系統(tǒng)潛在的風(fēng)險(xiǎn)，對其進(jìn)行評(píng)估，并采取措施將其降低到可接受的水平的過程，而風(fēng)險(xiǎn)評(píng)估是其中最重要的環(huán)節(jié)。 一、風(fēng)險(xiǎn)評(píng)估概述 ?信息安全風(fēng)險(xiǎn)評(píng)估 是依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。 ?信息安全風(fēng)險(xiǎn)評(píng)估從管理的角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及存在的脆弱性。評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性地抵御安全威脅的防護(hù)措施，為防范和化解信息安全風(fēng)險(xiǎn)，或?qū)L(fēng)險(xiǎn)控制在可以接受的水平，最大限度地保障網(wǎng)絡(luò)正常運(yùn)行和信息安全提供科學(xué)依據(jù)。 二、風(fēng)險(xiǎn)評(píng)估目的 ?信息安全風(fēng)險(xiǎn)評(píng)估是加強(qiáng)信息安全保障體系建設(shè)和管理的關(guān)鍵環(huán)節(jié)，通過開展信息安全風(fēng)險(xiǎn)評(píng)估工作，可以發(fā)現(xiàn)信息系統(tǒng)存在的主要問題和矛盾，找到解決諸多關(guān)鍵問題的辦法。 ?信息安全風(fēng)險(xiǎn)評(píng)估旨在認(rèn)清信息安全環(huán)境，信息安全狀況，有助于達(dá)成共識(shí)，明確責(zé)任，采取和完善安全保障措施，使其更加經(jīng)濟(jì)有效，并使信息安全策略保持一致性和持續(xù)性。并為信息系統(tǒng)的建設(shè)和改造提供依據(jù)，幫助信息安全建設(shè)者正確判斷系統(tǒng)存在風(fēng)險(xiǎn)與漏洞，并采取適當(dāng)補(bǔ)救措施。 ?風(fēng)險(xiǎn)評(píng)估可以科學(xué)地分析和理解信息系統(tǒng)在保密性、完整性、可用性等方面的工作，只有正確、全面地了解理解安全風(fēng)險(xiǎn)后才能決定如何處理安全風(fēng)險(xiǎn)，從而在信息安全的投資，信息安全措施的選擇，信息安全保障體系的建設(shè)做出合理的決策。 三、風(fēng)險(xiǎn)評(píng)估范圍 信息安全風(fēng)險(xiǎn)評(píng)估適用于在信息安全管理體系下的所有信息資產(chǎn)、網(wǎng)絡(luò)及任何管理和維護(hù)這些系統(tǒng)的流程所做的一切風(fēng)險(xiǎn)評(píng)估。信息安全風(fēng)險(xiǎn)評(píng)估包括信息資產(chǎn)的風(fēng)險(xiǎn)識(shí)別、評(píng)估與管理，即信息系統(tǒng)網(wǎng)絡(luò)、管理制度、使用或管理信息系統(tǒng)的相關(guān)人員以及由信息系統(tǒng)使用時(shí)產(chǎn)生的文檔、數(shù)據(jù)等的風(fēng)險(xiǎn)識(shí)別、評(píng)估與管理 。 四、風(fēng)險(xiǎn)評(píng)估流程 信息安全風(fēng)險(xiǎn)評(píng)估的典型過程主要分為風(fēng)險(xiǎn)評(píng)估準(zhǔn)備、資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別、已有安全措施確認(rèn)和風(fēng)險(xiǎn)分析六個(gè)階段。 1. 風(fēng)險(xiǎn)評(píng)估準(zhǔn)備 2. 資產(chǎn)識(shí)別 3. 威脅識(shí)別 4. 脆弱性識(shí)別 5. 已有安全措施確認(rèn) 6. 風(fēng)險(xiǎn)分析 四、風(fēng)險(xiǎn)評(píng)估流程 該階段的主要任務(wù)是制訂評(píng)估工作計(jì)劃，包括評(píng)估目標(biāo)、評(píng)估范圍、制訂信息安全風(fēng)險(xiǎn)評(píng)估工作方案，并根據(jù)評(píng)估工作需要，組建評(píng)估團(tuán)隊(duì)，明確各方職責(zé)。 在風(fēng)險(xiǎn)評(píng)估準(zhǔn)備階段，需要多次與被評(píng)估方磋商，了解被評(píng)估方關(guān)注的重點(diǎn)，明確風(fēng)險(xiǎn)評(píng)估的目標(biāo)和范圍，為整個(gè)風(fēng)險(xiǎn)評(píng)估工作
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1