第06講octave風險評估方法(已修改)
2025-03-13 11:57 本頁面
【正文】 信息安全工程學 六、 OCTAVE風險評估方法 需要大家知道的 ? 什么是 OCTAVE？ ?什么是 OCTAVE準則（ Criterion） ? ?什么是 OCTAVE方法（ Method）？ ?二者的關系？ ? OCTAVE的三個階段 主要資料來源 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準則（ Criterion） ? OCTAVE方法（ Method） 什么是 OCTAVE？ ? Operationally Critical Threat, Asset, and Vulnerability Evaluation ? 卡內基 梅隆大學，軟件工程學院（ SEI） ? 定義了一套唯一的準則，說明 OCTAVE風險評估的原則、屬性，和評估應該輸出的信息 ? 可以有多種符合 OCTAVE準則的評估方法，只要依照該方法進行的評估能夠輸出 OCTAVE準則要求的輸出信息。 什么是 OCTAVE？ ? OCTAVE是一種“自我導向（ SelfOriented）”的風險評估，即由組織內部的人員對組織自身進行評估 ? OCTAVE是一種組合評估途徑 ? 先對組織范圍內的信息資產(chǎn)進行基線評估，再對“關鍵資產(chǎn)（ Critical Assets）”進行詳細評估 ? OCTAVE強調了管理因素，即風險評估要同時從組織層面（較高抽象層次）和技術層面（較低抽象層次）來進行 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準則（ Criterion） ? OCTAVE方法（ Method） OCTAVE準則（ Criterion） ? 是 OCTAVE的核心內容 ? 規(guī)定了 OCTAVE風險評估的三個階段 ? 規(guī)定了 OCTAVE風險評估的： ?原則（ Principle） ?屬性（ Attribute） ?輸出（ Output） OCTAVE評估的 3個階段 ? 階段 1：建立基于資產(chǎn)的威脅文件（ Build AssetBased Threat Profiles） ? 階段 2：識別基礎設施脆弱性（ Identify Infrastructure Vulnerabilities） ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃（ Develop Security Strategy and Plans） OCTAVE評估的 3個階段 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 主要是在組織管理層面上識別風險； ? 確定哪些信息相關的資產(chǎn)對組織來說是重要的； ? 目前對這些重要資產(chǎn)做了哪些保護措施； ? 評估組挑選那些對組織來說最為重要的資產(chǎn)，并描述針對他們的安全需要； ? 最后確定這些重要資產(chǎn)所面臨的威脅，并確定組織的基于資產(chǎn)的威脅文件。 OCTAVE評估的 3個階段 ? 階段 2：識別基礎設施的脆弱性 ?這一階段，將從技術層面識別關鍵資產(chǎn)的脆弱性。實際上是對與該資產(chǎn)相對應的信息系統(tǒng)組件的脆弱性分析。 ?確定各個重要資產(chǎn)相關的信息技術組件； ?確定每一個這樣的組件的抗攻擊的能力 OCTAVE評估的 3個階段 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 ?確定出每個重要信息資產(chǎn)所面臨的風險； ?決定能夠對這些風險做些什么； ?制定出組織保護策略和風險消減計劃以降低組織重要信息資產(chǎn)的風險 OCTAVE 的原則、屬性和輸出 ? 什么是原則（ Principal）？ ?原則：驅動風險評估的一些基本概念和存在于風險評估過程背后的原理性內容。 ?原則決定了整個風險評估中要執(zhí)行的各種任務，并為評估過程提供了參考基準。 ?例如，“自評估”就是一條原則。自評估的概念意味著組織內部的人士是領導評估開展和制定決策的最佳人選。 ? 原則共有 10條，分成 3類 ?信息安全風險評估原則 ? 自評估、可適應措施、已定義的過程、 評估過程連續(xù)性 ?風險管理原則 ? 向前看、集中精力在少數(shù)關鍵資產(chǎn)上、整體管理 ?組織和文化原則 ? 開放交流、全局觀念、集體合作 OCTAVE 的原則、屬性和輸出 OCTAVE 的原則、屬性和輸出 ? 什么是屬性（ Attribute）？ ? 屬性：評估的一些顯著特點和特征 ? 是對評估的一些要求 。 這些要求確定了 OCTAVE風險評估的基本元素 ， 和確定哪些東西是保證 OCTAVE風險評估能夠成功完成的 。 ? 屬性是由 OCTAVE原則決定的 。 ? 例如 ， “ 從組織內部選擇一些跨部門的工作人員構成評估領導小組 ” 是 OCTAVE的一個屬性 ， 存在于這項屬性背后的原則就是 “ 自評估 ” 原則 。 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表 原則 原則解釋 屬性 自評估 風險評估由組織內部人來執(zhí)行 的評估小組 能力 可適應措施 風險評估需要得到諸如已有安全措施、威脅來源等的列表，這些列表的內容可以隨著環(huán)境變化和技術的進步而加以變更。 目錄 已定義過程 評估的過程和步驟必須是已經(jīng)定義好的和標準化的。其中要指定人員責任，確定要執(zhí)行的任務，定義要用到工具和表格，定義最終報告的格式等。 OCT
教學課件相關推薦
鄂ICP備17016276號-1