【正文】 斷、分析。 這是一種安全需求提煉的過程 。這些活動(dòng)可能包括信息的移動(dòng)、備份、丟棄、破壞以及對硬件和軟件進(jìn)行的密級處理。有關(guān)風(fēng)險(xiǎn)的一系列決策必須在系統(tǒng)運(yùn)行之前做出。 階段 2—— 設(shè)計(jì)開發(fā)或采購 信息系統(tǒng)設(shè)計(jì)、購買、開發(fā)或建造。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評估的基本要素 ? 安全需求： 為保證單位的使命能夠正常行使，在信息安全防護(hù)措施方面提出的要求。脆弱性也常常被稱為漏洞。 ? 價(jià)值： 資產(chǎn)的重要程度和敏感程度。 ? 信息系統(tǒng)安全風(fēng)險(xiǎn)評估的目的是： 認(rèn)清信息安全環(huán)境、信息安全狀況；有助于達(dá)成共識(shí)，明確責(zé)任；采取或完善安全保障措施，使其更加經(jīng)濟(jì)有效，并使信息安全策略保持一致性和持續(xù)性。因此，他們強(qiáng)調(diào)“沒有任何事情比解決錯(cuò)誤的問題和建立錯(cuò)誤的系統(tǒng)更沒有效率的了。 ? 要從實(shí)際出發(fā)，堅(jiān)持分級防護(hù)、突出重點(diǎn)，就必須正確地評估風(fēng)險(xiǎn)，以便采取科學(xué)、客觀、經(jīng)濟(jì)和有效的措施。 ? 風(fēng)險(xiǎn)評估正是這一要求在實(shí)際工作中的具體體現(xiàn)。信息安全建設(shè)的最終目的是服務(wù)于信息化，但其直接目的是為了控制安全風(fēng)險(xiǎn) 。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評估 ? 因?yàn)槿魏涡畔⑾到y(tǒng)都會(huì)有安全風(fēng)險(xiǎn)，所以，人們追求的所謂安全的信息系統(tǒng)，實(shí)際是指信息系統(tǒng)在實(shí)施了風(fēng)險(xiǎn)評估并做出風(fēng)險(xiǎn)控制后，仍然存在的殘余風(fēng)險(xiǎn)可被接受的信息系統(tǒng)。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評估 是指依據(jù)國家有關(guān)信息技術(shù)標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)評價(jià)的過程 它要評估信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實(shí)際負(fù)面影響，并根據(jù)安全事件發(fā)生的可能性和負(fù)面影響的程度來識(shí)別信息系統(tǒng)的安全風(fēng)險(xiǎn)。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評估 ? 人們的認(rèn)識(shí)能力和實(shí)踐能力是有局限性的，因此，信息系統(tǒng)存在脆弱性是不可避免的。 ? 因此，要追求信息系統(tǒng)的安全，就不能脫離全面、完整的信息系統(tǒng)的安全評估，就必須運(yùn)用信息系統(tǒng)安全風(fēng)險(xiǎn)評估的思想和規(guī)范，對信息系統(tǒng)開展安全風(fēng)險(xiǎn)評估。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評估的意義和作用 ? 只有在正確、全面地了解和理解安全風(fēng)險(xiǎn)后，才能決定如何處理安全風(fēng)險(xiǎn)，從而在信息安全的投資、信息安全措施的選擇、信息安全保障體系的建設(shè)等問題中做出合理的決策。 ? 從理論上講，不存在絕對的安全，實(shí)踐中也不可能做到絕對安全，風(fēng)險(xiǎn)總是客觀存在的。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評估的意義和作用 3. 加強(qiáng)風(fēng)險(xiǎn)評估工作是當(dāng)前信息安全工作的客觀需要和緊迫需求 ? 由于信息技術(shù)的飛速發(fā)展，關(guān)系國計(jì)民生的關(guān)鍵信息基礎(chǔ)設(shè)施的規(guī)模越來越大，同時(shí)也極大地增加了系統(tǒng)的復(fù)雜程度?！边@些發(fā)達(dá)國家近年來大力加強(qiáng)了以風(fēng)險(xiǎn)評估為核心的信息系統(tǒng)安全評估工作，并通過法規(guī)、標(biāo)準(zhǔn)手段加以保障，逐步以此形成了橫跨立法、行政、司法的完整的信息安全管理體系。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評估的基本要素 ? 使命： 一個(gè)單位通過信息化實(shí)現(xiàn)的工作任務(wù)。 ? 威脅： 一個(gè)單位的信息資產(chǎn)的安全可能受到的侵害。 ? 風(fēng)險(xiǎn)： 由于系統(tǒng)存在的脆弱性，人為或自然的威脅導(dǎo)致安全事件發(fā)生的可能性及其造成的影響。 ? 安全防護(hù)措施： 對付威脅，減少脆弱性，保護(hù)資產(chǎn)，限制意外事件的影響，檢測、響應(yīng)意外事件，促進(jìn)災(zāi)難恢復(fù)和打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。 ?在本階段標(biāo)識(shí)的風(fēng)險(xiǎn)可以用來為信息系統(tǒng)的安全分析提供支持，這可能會(huì)影響到系統(tǒng)在開發(fā)過程中要對體系結(jié)構(gòu)和設(shè)計(jì)方案進(jìn)行權(quán)衡。 階段 4—— 運(yùn)行和維護(hù) 信息系統(tǒng)開始執(zhí)行其功能，一般情況下系統(tǒng)要不斷修改，添加硬件和軟件，或改變機(jī)構(gòu)的運(yùn)行規(guī)則、策略或流程等。 ?當(dāng)要廢棄或替換系統(tǒng)組件時(shí)，要對其進(jìn)行風(fēng)險(xiǎn)評估，以確保硬件和軟件得到了適當(dāng)?shù)膹U棄處置，且殘留信息也恰當(dāng)?shù)剡M(jìn)行了處理。 ? 對于計(jì)劃和已經(jīng)建設(shè)的系統(tǒng) ， 則應(yīng)該考慮和分析測試系統(tǒng)可能存在的脆弱性 。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC ? 當(dāng)前，國際上提出了一些廣義傳統(tǒng)的風(fēng)險(xiǎn)評估的理論（并非特別針對信息系統(tǒng)安全）。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 綜觀這些理論和工具的現(xiàn)狀，存在的問題是： – 尚缺乏模型化和形式化描述及證明的科學(xué)深度； – 需要解決一般化的廣義的理論如何用于信息系統(tǒng)的安全風(fēng)險(xiǎn)評估； – 定性，定量的理論方法如何更加有效； – 工具運(yùn)用的結(jié)果如何能夠反映實(shí)質(zhì)，有效測度，準(zhǔn)確無誤； – 工具的使用如何能夠綜合協(xié)調(diào)。這個(gè)過程實(shí)際就是風(fēng)險(xiǎn)評估 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評估 ? 第二，信息安全風(fēng)險(xiǎn)評估是信息安全建設(shè)的起點(diǎn)和基礎(chǔ)，對于信息系統(tǒng)也是如此。 ? 信息安全的一個(gè)最大特點(diǎn)就是看不見摸不著。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評估 ? 第四，風(fēng)險(xiǎn)評估實(shí)際上是在倡導(dǎo)一種適度安全。也就是說，信息安全風(fēng)險(xiǎn)評估要求我們算賬，要求我們在風(fēng)險(xiǎn)與建設(shè)和管理成本之間尋求一個(gè)最佳平衡點(diǎn)。早在上個(gè)世紀(jì) 70年代初期美國政府就提出了風(fēng)險(xiǎn)評估的要求， 2023年頒布的 《 2023聯(lián)邦信息安全管理法 》 對信息安全風(fēng)險(xiǎn)評估提出了更加具體的要求。其主要研究內(nèi)容包括： （ 1）開發(fā)網(wǎng)絡(luò)空間安全測試方法、評估標(biāo)準(zhǔn) （ 2）風(fēng)險(xiǎn)分析方法和基于不同領(lǐng)域的評估方法（政治、軍事、經(jīng)濟(jì)等） （ 3）安全風(fēng)險(xiǎn)以及一致性檢查的自動(dòng)評估工具的研發(fā) （ 4）對易受到攻擊對象的評估研究工作，如源代碼掃描工具 （ 5）通過研究過程管理、配置管理和補(bǔ)丁管理的最佳策略方案，來發(fā)現(xiàn)并提供有效的安全管理實(shí)施方案 為什么要做信息安全風(fēng)險(xiǎn)評估 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC ? 三、我國信息安全風(fēng)險(xiǎn)評估回顧 ? ? 調(diào)查與研究 ? 標(biāo)準(zhǔn)編制與試點(diǎn) ? 政策文件起草 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SI