風(fēng)險(xiǎn)評(píng)估實(shí)施方案(文件)
【正文】 IT運(yùn)行的各個(gè)層面，避免由于遺漏造成未來的安全隱患。風(fēng)險(xiǎn)評(píng)估中各個(gè)要素的關(guān)系如下圖所示：圖 風(fēng)險(xiǎn)要素關(guān)系示意圖圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。每個(gè)要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性是威脅出現(xiàn)的頻率；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度。不同組織對(duì)于風(fēng)險(xiǎn)評(píng)估的實(shí)施過程可能存在不同的要求，因此在風(fēng)險(xiǎn)評(píng)估實(shí)施前，需要做好以下準(zhǔn)備工作：a）確定風(fēng)險(xiǎn)評(píng)估的范圍；b）確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)；c）建立適當(dāng)?shù)慕M織結(jié)構(gòu)；d）建立系統(tǒng)性的風(fēng)險(xiǎn)評(píng)估方法；e）獲得高層管理者對(duì)風(fēng)險(xiǎn)評(píng)估策劃的批準(zhǔn)。組織的信息資產(chǎn)是組織資產(chǎn)中與信息開發(fā)、存儲(chǔ)、轉(zhuǎn)移、分發(fā)等過程直接、密切相關(guān)的部分。b）威脅識(shí)別威脅是可能導(dǎo)致對(duì)系統(tǒng)或組織危害的不希望事故潛在起因。c）脆弱性識(shí)別脆弱性和信息資產(chǎn)緊密相連，它可能被威脅利用/引起資產(chǎn)損失或傷害。d）已有安全措施確認(rèn)在本階段，本公司將對(duì)采取的控制措施進(jìn)行識(shí)別并對(duì)控制措施的有效性進(jìn)行確認(rèn)，將有效的安全控制措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止控制措施的重復(fù)實(shí)施。一般來說，安全措施的使用將減少脆弱性，但安全措施的確認(rèn)并不需要與脆弱性識(shí)別過程那樣具體到每個(gè)資產(chǎn)、組件的弱點(diǎn)，而是一類具體措施的集合。因此，風(fēng)險(xiǎn)和具體的資產(chǎn)、其價(jià)值、威脅等級(jí)以及相關(guān)的脆弱性直接相關(guān)。這些影響包括信息泄露、業(yè)務(wù)停頓或處理能力受損等。網(wǎng)絡(luò)威脅收集網(wǎng)絡(luò)流量低控制中心與探測引擎直接連接，不占用網(wǎng)絡(luò)流量網(wǎng)絡(luò)/安全設(shè)備評(píng)估誤操作引起設(shè)備崩潰或數(shù)據(jù)丟失、損壞高規(guī)范審計(jì)流程；嚴(yán)格選擇審計(jì)人員；用戶進(jìn)行全程監(jiān)控；制定可能的恢復(fù)計(jì)劃；網(wǎng)絡(luò)/安全設(shè)備資源占用低避開業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）弱點(diǎn)掃描流量占用低避開業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）主機(jī)資源占用低避開業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）控制臺(tái)審計(jì)誤操作引起系統(tǒng)崩潰或數(shù)據(jù)丟失、損壞高規(guī)范審計(jì)流程；嚴(yán)格選擇審計(jì)人員；用戶進(jìn)行全程監(jiān)控；制定可能的恢復(fù)計(jì)劃；網(wǎng)絡(luò)流量和主機(jī)資源占用低避開業(yè)務(wù)高峰應(yīng)用平臺(tái)產(chǎn)生非法數(shù)據(jù)，致使系統(tǒng)不能正常工作中和DBA、SA、NA協(xié)同工作做好系統(tǒng)備份措施異常輸入（畸形數(shù)據(jù)、極限測試）導(dǎo)致系統(tǒng)崩潰高和DBA、SA、NA協(xié)同工作做好系統(tǒng)備份措施表。下表給出了平復(fù)過程中可能的風(fēng)險(xiǎn)與控制方式。（4）風(fēng)險(xiǎn)處置階段根據(jù)項(xiàng)目文檔中對(duì)信息系統(tǒng)網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的主要目標(biāo)，依照安全風(fēng)險(xiǎn)中獲得的階段性結(jié)果和《風(fēng)險(xiǎn)評(píng)估安全現(xiàn)狀綜合分析報(bào)告》，參考安全體系和框架，得出針對(duì)客戶的《風(fēng)險(xiǎn)評(píng)估安全解決方案》。（3）風(fēng)險(xiǎn)分析階段a）殘余風(fēng)險(xiǎn)分析殘余風(fēng)險(xiǎn)分析將根據(jù)在識(shí)別階段對(duì)資產(chǎn)、脆弱性、威脅識(shí)別的結(jié)果，結(jié)合現(xiàn)有安全控制措施分析的結(jié)果，確定信息系統(tǒng)的殘余風(fēng)險(xiǎn)；然后結(jié)合殘余風(fēng)險(xiǎn)對(duì)業(yè)務(wù)影響性的分析，確定殘余風(fēng)險(xiǎn)的處置計(jì)劃并給出合理的風(fēng)險(xiǎn)處置建議。安全控制可以分為預(yù)防性控制措施和保護(hù)性控制措施（如業(yè)務(wù)持續(xù)性計(jì)劃、商業(yè)保險(xiǎn)等）兩種，預(yù)防性
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1