第06講octave風(fēng)險評估方法(已修改)
2025-03-13 11:57 本頁面
【正文】 信息安全工程學(xué) 六、 OCTAVE風(fēng)險評估方法 需要大家知道的 ? 什么是 OCTAVE？ ?什么是 OCTAVE準(zhǔn)則（ Criterion） ? ?什么是 OCTAVE方法（ Method）？ ?二者的關(guān)系？ ? OCTAVE的三個階段 主要資料來源 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準(zhǔn)則（ Criterion） ? OCTAVE方法（ Method） 什么是 OCTAVE？ ? Operationally Critical Threat, Asset, and Vulnerability Evaluation ? 卡內(nèi)基 梅隆大學(xué)，軟件工程學(xué)院（ SEI） ? 定義了一套唯一的準(zhǔn)則，說明 OCTAVE風(fēng)險評估的原則、屬性，和評估應(yīng)該輸出的信息 ? 可以有多種符合 OCTAVE準(zhǔn)則的評估方法，只要依照該方法進(jìn)行的評估能夠輸出 OCTAVE準(zhǔn)則要求的輸出信息。 什么是 OCTAVE？ ? OCTAVE是一種“自我導(dǎo)向（ SelfOriented）”的風(fēng)險評估，即由組織內(nèi)部的人員對組織自身進(jìn)行評估 ? OCTAVE是一種組合評估途徑 ? 先對組織范圍內(nèi)的信息資產(chǎn)進(jìn)行基線評估，再對“關(guān)鍵資產(chǎn)（ Critical Assets）”進(jìn)行詳細(xì)評估 ? OCTAVE強(qiáng)調(diào)了管理因素，即風(fēng)險評估要同時從組織層面（較高抽象層次）和技術(shù)層面（較低抽象層次）來進(jìn)行 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準(zhǔn)則（ Criterion） ? OCTAVE方法（ Method） OCTAVE準(zhǔn)則（ Criterion） ? 是 OCTAVE的核心內(nèi)容 ? 規(guī)定了 OCTAVE風(fēng)險評估的三個階段 ? 規(guī)定了 OCTAVE風(fēng)險評估的： ?原則（ Principle） ?屬性（ Attribute） ?輸出（ Output） OCTAVE評估的 3個階段 ? 階段 1：建立基于資產(chǎn)的威脅文件（ Build AssetBased Threat Profiles） ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性（ Identify Infrastructure Vulnerabilities） ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險控制）計劃（ Develop Security Strategy and Plans） OCTAVE評估的 3個階段 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 主要是在組織管理層面上識別風(fēng)險； ? 確定哪些信息相關(guān)的資產(chǎn)對組織來說是重要的； ? 目前對這些重要資產(chǎn)做了哪些保護(hù)措施； ? 評估組挑選那些對組織來說最為重要的資產(chǎn)，并描述針對他們的安全需要； ? 最后確定這些重要資產(chǎn)所面臨的威脅，并確定組織的基于資產(chǎn)的威脅文件。 OCTAVE評估的 3個階段 ? 階段 2：識別基礎(chǔ)設(shè)施的脆弱性 ?這一階段，將從技術(shù)層面識別關(guān)鍵資產(chǎn)的脆弱性。實際上是對與該資產(chǎn)相對應(yīng)的信息系統(tǒng)組件的脆弱性分析。 ?確定各個重要資產(chǎn)相關(guān)的信息技術(shù)組件； ?確定每一個這樣的組件的抗攻擊的能力 OCTAVE評估的 3個階段 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險控制）計劃 ?確定出每個重要信息資產(chǎn)所面臨的風(fēng)險； ?決定能夠?qū)@些風(fēng)險做些什么； ?制定出組織保護(hù)策略和風(fēng)險消減計劃以降低組織重要信息資產(chǎn)的風(fēng)險 OCTAVE 的原則、屬性和輸出 ? 什么是原則（ Principal）？ ?原則：驅(qū)動風(fēng)險評估的一些基本概念和存在于風(fēng)險評估過程背后的原理性內(nèi)容。 ?原則決定了整個風(fēng)險評估中要執(zhí)行的各種任務(wù)，并為評估過程提供了參考基準(zhǔn)。 ?例如，“自評估”就是一條原則。自評估的概念意味著組織內(nèi)部的人士是領(lǐng)導(dǎo)評估開展和制定決策的最佳人選。 ? 原則共有 10條，分成 3類 ?信息安全風(fēng)險評估原則 ? 自評估、可適應(yīng)措施、已定義的過程、 評估過程連續(xù)性 ?風(fēng)險管理原則 ? 向前看、集中精力在少數(shù)關(guān)鍵資產(chǎn)上、整體管理 ?組織和文化原則 ? 開放交流、全局觀念、集體合作 OCTAVE 的原則、屬性和輸出 OCTAVE 的原則、屬性和輸出 ? 什么是屬性（ Attribute）？ ? 屬性：評估的一些顯著特點和特征 ? 是對評估的一些要求 。 這些要求確定了 OCTAVE風(fēng)險評估的基本元素 ， 和確定哪些東西是保證 OCTAVE風(fēng)險評估能夠成功完成的 。 ? 屬性是由 OCTAVE原則決定的 。 ? 例如 ， “ 從組織內(nèi)部選擇一些跨部門的工作人員構(gòu)成評估領(lǐng)導(dǎo)小組 ” 是 OCTAVE的一個屬性 ， 存在于這項屬性背后的原則就是 “ 自評估 ” 原則 。 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表 原則 原則解釋 屬性 自評估 風(fēng)險評估由組織內(nèi)部人來執(zhí)行 的評估小組 能力 可適應(yīng)措施 風(fēng)險評估需要得到諸如已有安全措施、威脅來源等的列表，這些列表的內(nèi)容可以隨著環(huán)境變化和技術(shù)的進(jìn)步而加以變更。 目錄 已定義過程 評估的過程和步驟必須是已經(jīng)定義好的和標(biāo)準(zhǔn)化的。其中要指定人員責(zé)任，確定要執(zhí)行的任務(wù)，定義要用到工具和表格，定義最終報告的格式等。 OCT
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1