風險評估實施方案(文件)
【正文】 IT運行的各個層面，避免由于遺漏造成未來的安全隱患。風險評估中各個要素的關系如下圖所示：圖 風險要素關系示意圖圖中方框部分的內(nèi)容為風險評估的基本要素，橢圓部分的內(nèi)容是與這些要素相關的屬性。每個要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價值；威脅的屬性是威脅出現(xiàn)的頻率；脆弱性的屬性是資產(chǎn)弱點的嚴重程度。不同組織對于風險評估的實施過程可能存在不同的要求，因此在風險評估實施前，需要做好以下準備工作：a）確定風險評估的范圍；b）確定風險評估的目標；c）建立適當?shù)慕M織結(jié)構(gòu)；d）建立系統(tǒng)性的風險評估方法；e）獲得高層管理者對風險評估策劃的批準。組織的信息資產(chǎn)是組織資產(chǎn)中與信息開發(fā)、存儲、轉(zhuǎn)移、分發(fā)等過程直接、密切相關的部分。b）威脅識別威脅是可能導致對系統(tǒng)或組織危害的不希望事故潛在起因。c）脆弱性識別脆弱性和信息資產(chǎn)緊密相連，它可能被威脅利用/引起資產(chǎn)損失或傷害。d）已有安全措施確認在本階段，本公司將對采取的控制措施進行識別并對控制措施的有效性進行確認，將有效的安全控制措施繼續(xù)保持，以避免不必要的工作和費用，防止控制措施的重復實施。一般來說，安全措施的使用將減少脆弱性，但安全措施的確認并不需要與脆弱性識別過程那樣具體到每個資產(chǎn)、組件的弱點，而是一類具體措施的集合。因此，風險和具體的資產(chǎn)、其價值、威脅等級以及相關的脆弱性直接相關。這些影響包括信息泄露、業(yè)務停頓或處理能力受損等。網(wǎng)絡威脅收集網(wǎng)絡流量低控制中心與探測引擎直接連接，不占用網(wǎng)絡流量網(wǎng)絡/安全設備評估誤操作引起設備崩潰或數(shù)據(jù)丟失、損壞高規(guī)范審計流程；嚴格選擇審計人員；用戶進行全程監(jiān)控；制定可能的恢復計劃；網(wǎng)絡/安全設備資源占用低避開業(yè)務高峰；控制掃描策略（線程數(shù)量、強度）弱點掃描流量占用低避開業(yè)務高峰；控制掃描策略（線程數(shù)量、強度）主機資源占用低避開業(yè)務高峰；控制掃描策略（線程數(shù)量、強度）控制臺審計誤操作引起系統(tǒng)崩潰或數(shù)據(jù)丟失、損壞高規(guī)范審計流程；嚴格選擇審計人員；用戶進行全程監(jiān)控；制定可能的恢復計劃；網(wǎng)絡流量和主機資源占用低避開業(yè)務高峰應用平臺產(chǎn)生非法數(shù)據(jù)，致使系統(tǒng)不能正常工作中和DBA、SA、NA協(xié)同工作做好系統(tǒng)備份措施異常輸入（畸形數(shù)據(jù)、極限測試）導致系統(tǒng)崩潰高和DBA、SA、NA協(xié)同工作做好系統(tǒng)備份措施表。下表給出了平復過程中可能的風險與控制方式。（4）風險處置階段根據(jù)項目文檔中對信息系統(tǒng)網(wǎng)絡風險評估的主要目標，依照安全風險中獲得的階段性結(jié)果和《風險評估安全現(xiàn)狀綜合分析報告》，參考安全體系和框架，得出針對客戶的《風險評估安全解決方案》。（3）風險分析階段a）殘余風險分析殘余風險分析將根據(jù)在識別階段對資產(chǎn)、脆弱性、威脅識別的結(jié)果，結(jié)合現(xiàn)有安全控制措施分析的結(jié)果，確定信息系統(tǒng)的殘余風險；然后結(jié)合殘余風險對業(yè)務影響性的分析，確定殘余風險的處置計劃并給出合理的風險處置建議。安全控制可以分為預防性控制措施和保護性控制措施（如業(yè)務持續(xù)性計劃、商業(yè)保險等）兩種，預防性
公司管理相關推薦
鄂ICP備17016276號-1