信息系統(tǒng)安全與保密-第3章-wenkub
2023-03-09 14:04:36 本頁面
【正文】 資產(chǎn)及 其價(jià)值 脆弱點(diǎn) 脆弱點(diǎn) 脆 弱 點(diǎn) 脆 弱 點(diǎn) 威脅 風(fēng)險(xiǎn) 殘余風(fēng)險(xiǎn) 威脅 安全控制 安全控制 殘余風(fēng)險(xiǎn) 威脅 安 全 控 制 威脅 殘 余 風(fēng) 險(xiǎn) 圖 1 風(fēng)險(xiǎn)要素及其相互關(guān)系 威 脅 脆 弱 點(diǎn)安 全 措 施 安 全 風(fēng) 險(xiǎn)保 護(hù) 需 求 影 響資 產(chǎn)增 加增 加增 加減 小提 出增 加資產(chǎn)價(jià)值越高，風(fēng)險(xiǎn)越大 威脅越大，風(fēng)險(xiǎn)越大 脆弱點(diǎn)越大，風(fēng)險(xiǎn)越大 安全事故影響越大，風(fēng)險(xiǎn)越大 適當(dāng)?shù)陌踩刂瓶梢越档惋L(fēng)險(xiǎn) 安全風(fēng)險(xiǎn)指出組織的安全要求 確定評估范圍 資產(chǎn)識(shí)別與重要性評估 威脅識(shí)別與 發(fā)生可能性評估 脆弱點(diǎn)檢測與 被利用可能性評估 控制措施識(shí)別 與有效性評估 影 響 可能性 風(fēng) 險(xiǎn) 評 價(jià) 風(fēng)險(xiǎn)管理方案的 選擇與優(yōu)化 風(fēng) 險(xiǎn) 控 制 2 風(fēng)險(xiǎn)評估與管理的流程 (T) (V) (A) (R) (C) 確定評估范圍 基于風(fēng)險(xiǎn)評估目標(biāo)確定風(fēng)險(xiǎn)評估的對象和范圍是 完成風(fēng)險(xiǎn)評估的前提。第三章 信息安全風(fēng)險(xiǎn)評估與管理 1風(fēng)險(xiǎn)管理的基本概念 2風(fēng)險(xiǎn)評估與管理的流程 3風(fēng)險(xiǎn)評估方法和技術(shù) 課程內(nèi)容 1 風(fēng)險(xiǎn)管理的基本概念 要素分析 風(fēng)險(xiǎn)管理 風(fēng)險(xiǎn)評估 任務(wù) ① 風(fēng)險(xiǎn)識(shí)別 任務(wù) ② 風(fēng)險(xiǎn)控制 風(fēng)險(xiǎn)管理 （ Risk Management） ：以可以接受的費(fèi)用，識(shí)別、控制、 降低或消除可能影響信息系統(tǒng)的安全風(fēng)險(xiǎn)的過程及活動(dòng)。 邏輯邊界 定義了分析所需的廣度和深度； 物理邊界 定義了系統(tǒng)起于哪里止于哪里； 1）信息資產(chǎn)（如硬件、軟件、信息）； 2）人員（職員、其他外部人員）； 3）環(huán)境（建筑物、基礎(chǔ)設(shè)施）； 4）活動(dòng)（信息處理相關(guān)操作、業(yè)務(wù)）。 威脅識(shí)別與重要性評估 一項(xiàng)資產(chǎn)可能面臨多個(gè)威脅，而一個(gè)威脅也可能 對不同的資產(chǎn)造成影響。為提高效率 ? 脆弱點(diǎn)識(shí)別還應(yīng)結(jié)合威脅識(shí)別的結(jié)果，重點(diǎn)考察可能導(dǎo)致安全事件的威脅 脆弱點(diǎn)對，在脆弱點(diǎn)識(shí)別后，再依據(jù)脆弱點(diǎn)的嚴(yán)重程度對脆弱點(diǎn)進(jìn)行評估。 可能性評估 結(jié)合威脅源的內(nèi)因（動(dòng)機(jī)和能力），以及外因 （脆弱點(diǎn)和控制）來綜合評價(jià)！ 對影響定級 等級 威脅發(fā)生可能性定義 高 威脅源具有強(qiáng)烈的動(dòng)機(jī)和足夠的能力，防止脆弱性被利用的控制是無效的 中 威脅源具有一定的動(dòng)機(jī)和能力，安全控制可阻止對脆弱性成功利用 低 威脅源缺少動(dòng)力和能力，現(xiàn)有安全措施可有效阻止對脆弱性的利用 等級 影 響 定 義 高 對脆弱性利用可能嚴(yán)重危害組織資產(chǎn)、聲譽(yù)、人員安全等利益 中 對脆弱性利用可能損害組織資產(chǎn)、聲譽(yù)、人員安全等利益 低 對脆弱性利用可能導(dǎo)致某些組織資產(chǎn)、聲譽(yù)、人員安全等利益受損 表 3 威脅發(fā)生可能性定級模式 表 4 一種影響定級模式 風(fēng)險(xiǎn)標(biāo)識(shí) 資產(chǎn) 威脅 脆弱點(diǎn) 影響分析 影響等級 R1 多媒體 系統(tǒng) 供電中斷 沒有備用電源 系統(tǒng)無法使用 高 4 R2 誤操作 老師對多媒體課室使用注意事項(xiàng)不熟悉 硬件損害或軟件誤刪除 很高 5 R3 自然威脅 硬件物理保護(hù)不夠 設(shè)備物理破壞 很高 5 R4 硬件 盜竊、物理破壞 安全保衛(wèi)機(jī)制不健全 硬件被破壞或被盜 很高 5 R5 火災(zāi) 未部署防火設(shè)施 系統(tǒng)被燒毀 很高 5 R6 極端溫度及濕度 未安裝空調(diào)及除濕設(shè)備 系統(tǒng)使用不正常 中 3 R7 硬件故障 硬件使用壽命有限或其他原因 硬件不能正常使用 高 4 R8 軟件 軟件故障 軟件的安裝與卸載權(quán)限管理機(jī)制不嚴(yán) 所需軟件被卸載，不能正常使用 高 4 R9 惡意代碼 殺毒軟件不能及時(shí)升級 系統(tǒng)運(yùn)行很慢 低 2
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1