信息安全風(fēng)險(xiǎn)評(píng)估概述(ppt51頁(yè))-wenkub
2023-03-19 18:06:50 本頁(yè)面
【正文】 863計(jì)劃中首次規(guī)劃了 《 系統(tǒng)安全風(fēng)險(xiǎn)分析和評(píng)估方法研究 》 課題 ? 2023年 8月至今年在國(guó)信辦直接指導(dǎo)下，組成了風(fēng)險(xiǎn)評(píng)估課題組 ? 2023年 ,國(guó)家信息中心 《 風(fēng)險(xiǎn)評(píng)估指南 》 , 《 風(fēng)險(xiǎn)管理指南 》 ? 2023年 ,全國(guó)風(fēng)險(xiǎn)評(píng)估試點(diǎn) ? 在試點(diǎn)和調(diào)研基礎(chǔ)上，由國(guó)信辦會(huì)同公安部，安全部，等起草了 《 關(guān)于開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見(jiàn) 》 征求意見(jiàn)稿 ? 2023年 , 所有的部委和所有省市選擇 12單位開(kāi)展本地風(fēng)險(xiǎn)評(píng)估試點(diǎn)工作 10 Professional Security Solution Provider ? 銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)管理指引 ? 銀行業(yè)金融機(jī)構(gòu)內(nèi)部審計(jì)指引 ? 2023年度信息科技風(fēng)險(xiǎn)內(nèi)部和外部評(píng)價(jià)審計(jì)的通知 提綱 11 Professional Security Solution Provider 風(fēng)險(xiǎn)評(píng)估要素關(guān)系模型 安全措施 業(yè)務(wù)戰(zhàn)略 脆弱性 安全需求 威脅 風(fēng)險(xiǎn) 殘余風(fēng)險(xiǎn) 安全事件 依賴 擁有 被滿足 利用 暴露 增加 導(dǎo)出 演變 未控制 可能誘發(fā) 殘留 成本 資產(chǎn) 資產(chǎn)價(jià)值 12 Professional Security Solution Provider 風(fēng)險(xiǎn)評(píng)估流程 ? 確定評(píng)估范圍 ? 資產(chǎn)的識(shí)別和影響分析 ? 威脅識(shí)別 ? 脆弱性評(píng)估 ? 威脅分析 ? 風(fēng)險(xiǎn)分析 ? 風(fēng)險(xiǎn)管理 13 Professional Security Solution Provider 風(fēng)險(xiǎn)評(píng)估原則 ? 符合性原則 ? 標(biāo)準(zhǔn)性原則 ? 規(guī)范性原則 ? 可控性原則 ? 保密性原則 ? 整體性原則 ? 重點(diǎn)突出原則 ? 最小影響原則 14 Professional Security Solution Provider 評(píng)估依據(jù)的標(biāo)準(zhǔn)和規(guī)范 ? 信息安全管理標(biāo)準(zhǔn) ISO17799（ GB/T19716）、 ISO27001 ? 信息安全管理指南 ISO 13335（ GB/T19715) ? 信息安全通用準(zhǔn)則 ISO 15408（ GB/T18336） ? 系統(tǒng)安全工程能力成熟模型 SSECMM ? 國(guó)家信息中心 《 風(fēng)險(xiǎn)評(píng)估指南 》 ? 國(guó)家信息中心 《 風(fēng)險(xiǎn)管理指南 》 ? 計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)劃分準(zhǔn)則（ GB/T17859） ? 計(jì)算機(jī)信息系統(tǒng)等級(jí)保護(hù)相關(guān)規(guī)范 ? 其他相關(guān)標(biāo)準(zhǔn)（ AS/NZS 4360， GAO/AIMD0033， GAO/AIMD9868， BSI PD3000 ， GB/T17859， IATF） ? 相關(guān)法規(guī)及行業(yè)政策 15 Professional Security Solution Provider 資產(chǎn)的識(shí)別與影響分析 ? 業(yè)務(wù)應(yīng)用系統(tǒng)調(diào)研 ? 業(yè)務(wù)影響分析 – 資產(chǎn)屬性：可用性、完整性、保密性 – 影響分析：經(jīng)濟(jì)損失、業(yè)務(wù)影響、系統(tǒng)破壞、信譽(yù)影響、商機(jī)泄露、法律責(zé)任、人身安全、公共秩序、商業(yè)利益 – 估價(jià)公式： Asset Value = Round1{Log2[(2Conf+2Int+2Avail)/3]} ? 劃分邊界 區(qū)分子系統(tǒng) ? 輔助定級(jí) ? 信息資產(chǎn)識(shí)別 ? 物理資產(chǎn) ? 軟件資產(chǎn) ? 硬件資產(chǎn) ? 其他資產(chǎn) 16 Professional Security Solution Provider 業(yè)務(wù)調(diào)研方法 業(yè) 務(wù) 流 程 1業(yè) 務(wù) 目 標(biāo)業(yè) 務(wù) 流 程 2 … …I T 過(guò) 程 1 I T 過(guò) 程 2 … …安 全 管 控 目 標(biāo) 1 安 全 管 控 目 標(biāo) 2 … …I T 管 控 措 施 1 … …17 Professional Security Solution Provider 威脅評(píng)估 ? 威脅識(shí)別 – 系統(tǒng)合法用戶 操作錯(cuò)誤，濫用授權(quán) ，行為抵賴 – 系統(tǒng)非法用戶 身份假冒，密碼分析 ，漏洞利用，拒絕服務(wù) ，惡意代碼 ， 竊聽(tīng)數(shù)據(jù) ，物理破壞 ，社會(huì)工程 – 系統(tǒng)組件 意外故障 ，通信中斷 – 物理環(huán)境 電源中斷 ，災(zāi)難 ? 威脅屬性：威脅的可能性 18 Professional Security Solution Provider Tel SMTP DNS FTP UDP TCP IP 以太網(wǎng)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1