信息系統(tǒng)安全與保密-第3章-wenkub
2023-03-09 14:04:36 本頁面
【正文】 資產及 其價值 脆弱點 脆弱點 脆 弱 點 脆 弱 點 威脅 風險 殘余風險 威脅 安全控制 安全控制 殘余風險 威脅 安 全 控 制 威脅 殘 余 風 險 圖 1 風險要素及其相互關系 威 脅 脆 弱 點安 全 措 施 安 全 風 險保 護 需 求 影 響資 產增 加增 加增 加減 小提 出增 加資產價值越高，風險越大 威脅越大，風險越大 脆弱點越大，風險越大 安全事故影響越大，風險越大 適當?shù)陌踩刂瓶梢越档惋L險 安全風險指出組織的安全要求 確定評估范圍 資產識別與重要性評估 威脅識別與 發(fā)生可能性評估 脆弱點檢測與 被利用可能性評估 控制措施識別 與有效性評估 影 響 可能性 風 險 評 價 風險管理方案的 選擇與優(yōu)化 風 險 控 制 2 風險評估與管理的流程 (T) (V) (A) (R) (C) 確定評估范圍 基于風險評估目標確定風險評估的對象和范圍是 完成風險評估的前提。第三章 信息安全風險評估與管理 1風險管理的基本概念 2風險評估與管理的流程 3風險評估方法和技術 課程內容 1 風險管理的基本概念 要素分析 風險管理 風險評估 任務 ① 風險識別 任務 ② 風險控制 風險管理 （ Risk Management） ：以可以接受的費用，識別、控制、 降低或消除可能影響信息系統(tǒng)的安全風險的過程及活動。 邏輯邊界 定義了分析所需的廣度和深度； 物理邊界 定義了系統(tǒng)起于哪里止于哪里； 1）信息資產（如硬件、軟件、信息）； 2）人員（職員、其他外部人員）； 3）環(huán)境（建筑物、基礎設施）； 4）活動（信息處理相關操作、業(yè)務）。 威脅識別與重要性評估 一項資產可能面臨多個威脅，而一個威脅也可能 對不同的資產造成影響。為提高效率 ? 脆弱點識別還應結合威脅識別的結果，重點考察可能導致安全事件的威脅 脆弱點對，在脆弱點識別后，再依據脆弱點的嚴重程度對脆弱點進行評估。 可能性評估 結合威脅源的內因（動機和能力），以及外因 （脆弱點和控制）來綜合評價！ 對影響定級 等級 威脅發(fā)生可能性定義 高 威脅源具有強烈的動機和足夠的能力，防止脆弱性被利用的控制是無效的 中 威脅源具有一定的動機和能力，安全控制可阻止對脆弱性成功利用 低 威脅源缺少動力和能力，現(xiàn)有安全措施可有效阻止對脆弱性的利用 等級 影 響 定 義 高 對脆弱性利用可能嚴重危害組織資產、聲譽、人員安全等利益 中 對脆弱性利用可能損害組織資產、聲譽、人員安全等利益 低 對脆弱性利用可能導致某些組織資產、聲譽、人員安全等利益受損 表 3 威脅發(fā)生可能性定級模式 表 4 一種影響定級模式 風險標識 資產 威脅 脆弱點 影響分析 影響等級 R1 多媒體 系統(tǒng) 供電中斷 沒有備用電源 系統(tǒng)無法使用 高 4 R2 誤操作 老師對多媒體課室使用注意事項不熟悉 硬件損害或軟件誤刪除 很高 5 R3 自然威脅 硬件物理保護不夠 設備物理破壞 很高 5 R4 硬件 盜竊、物理破壞 安全保衛(wèi)機制不健全 硬件被破壞或被盜 很高 5 R5 火災 未部署防火設施 系統(tǒng)被燒毀 很高 5 R6 極端溫度及濕度 未安裝空調及除濕設備 系統(tǒng)使用不正常 中 3 R7 硬件故障 硬件使用壽命有限或其他原因 硬件不能正常使用 高 4 R8 軟件 軟件故障 軟件的安裝與卸載權限管理機制不嚴 所需軟件被卸載，不能正常使用 高 4 R9 惡意代碼 殺毒軟件不能及時升級 系統(tǒng)運行很慢 低 2
教學課件相關推薦
鄂ICP備17016276號-1