信息安全風(fēng)險(xiǎn)評(píng)估流程-wenkub
2023-03-19 17:14:20 本頁(yè)面
【正文】 下的所有信息資產(chǎn)、網(wǎng)絡(luò)及任何管理和維護(hù)這些系統(tǒng)的流程所做的一切風(fēng)險(xiǎn)評(píng)估。 二、風(fēng)險(xiǎn)評(píng)估目的 ?信息安全風(fēng)險(xiǎn)評(píng)估是加強(qiáng)信息安全保障體系建設(shè)和管理的關(guān)鍵環(huán)節(jié)，通過(guò)開展信息安全風(fēng)險(xiǎn)評(píng)估工作，可以發(fā)現(xiàn)信息系統(tǒng)存在的主要問(wèn)題和矛盾，找到解決諸多關(guān)鍵問(wèn)題的辦法。 ?風(fēng)險(xiǎn)管理是辨別信息系統(tǒng)潛在的風(fēng)險(xiǎn)，對(duì)其進(jìn)行評(píng)估，并采取措施將其降低到可接受的水平的過(guò)程，而風(fēng)險(xiǎn)評(píng)估是其中最重要的環(huán)節(jié)。 一、風(fēng)險(xiǎn)評(píng)估概述 ?信息安全風(fēng)險(xiǎn)評(píng)估 是依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過(guò)程。 ?信息安全風(fēng)險(xiǎn)評(píng)估旨在認(rèn)清信息安全環(huán)境，信息安全狀況，有助于達(dá)成共識(shí)，明確責(zé)任，采取和完善安全保障措施，使其更加經(jīng)濟(jì)有效，并使信息安全策略保持一致性和持續(xù)性。信息安全風(fēng)險(xiǎn)評(píng)估包括信息資產(chǎn)的風(fēng)險(xiǎn)識(shí)別、評(píng)估與管理，即信息系統(tǒng)網(wǎng)絡(luò)、管理制度、使用或管理信息系統(tǒng)的相關(guān)人員以及由信息系統(tǒng)使用時(shí)產(chǎn)生的文檔、數(shù)據(jù)等的風(fēng)險(xiǎn)識(shí)別、評(píng)估與管理 。在確定評(píng)估范圍和目標(biāo)之后，根據(jù)被評(píng)估對(duì)象的網(wǎng)絡(luò)規(guī)模、復(fù)雜度、特殊性，成立評(píng)估工作小組，明確各方人員組成及職責(zé)分工。 機(jī)密性、完整性和可用性是評(píng)價(jià)資產(chǎn)的三個(gè)安全屬性。 四、風(fēng)險(xiǎn)評(píng)估流程 a) 資產(chǎn)分類 資產(chǎn)分類方法：根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、服務(wù)、人員等類型。 四、風(fēng)險(xiǎn)評(píng)估流程 在識(shí)別威脅時(shí)，應(yīng)根據(jù)資產(chǎn)目前所處的環(huán)境條件和以前的記錄情況來(lái)判斷，威脅識(shí)別主要通過(guò)采集入侵檢測(cè)系統(tǒng)（ IDS）的報(bào)警信息、威脅問(wèn)卷調(diào)查和對(duì)技術(shù)人員做顧問(wèn)訪談的方式。一項(xiàng)資產(chǎn)可能面臨多個(gè)威脅，而一個(gè)威脅也可能對(duì)不同的資產(chǎn)造成影響。 b) 威脅賦值 判斷威脅出現(xiàn)的頻率是威脅賦值的重要內(nèi)容，評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)統(tǒng)計(jì)數(shù)據(jù)來(lái)進(jìn)行判斷。 在工作過(guò)程中，應(yīng)注意脆弱性識(shí)別的全面性，包括物理、網(wǎng)絡(luò)、應(yīng)用和管理等方面。等級(jí)數(shù)值越大，脆弱性嚴(yán)重程度越高。 脆弱性識(shí)別包括兩個(gè)方面，即技術(shù)脆弱性和管理脆弱性。有效的安全控制措施，可以降低安全事件發(fā)生的可能性，也可以減輕安全事件造成的不良影響。并對(duì)措施的有效性進(jìn)行分析，為后續(xù)的風(fēng)險(xiǎn)分析提供參考依據(jù)。 四、風(fēng)險(xiǎn)評(píng)估流程 脆弱性識(shí)別 威脅出現(xiàn)的 頻率 脆弱性的 嚴(yán)重程度 資產(chǎn)的 重要性 安全事件的 損失 風(fēng)險(xiǎn)值 資產(chǎn)識(shí)別 安全事件的 可能性 威脅 識(shí)別 風(fēng)險(xiǎn)分析原理圖 四、風(fēng)險(xiǎn)評(píng)估流程 構(gòu)成風(fēng)險(xiǎn)的要素主要有資產(chǎn)、威脅和脆弱性，在識(shí)別了這些要素之后，就可以確定存在什么風(fēng)險(xiǎn)。風(fēng)險(xiǎn)控制建議主要由評(píng)估工作小組在對(duì)被評(píng)估對(duì)象的安全現(xiàn)狀進(jìn)行綜合分析的基礎(chǔ)上，有針對(duì)性地給出。 四、風(fēng)險(xiǎn)評(píng)估流程 a) 風(fēng)險(xiǎn)計(jì)算原理 風(fēng)險(xiǎn)值 =R(A
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1