某信息安全技術(shù)公司風(fēng)險(xiǎn)評(píng)估概述(文件)
【正文】 個(gè)階段的主要工作任務(wù) 成熟度 時(shí)間 盲目自信 階段 認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng) 階段 福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布 來(lái)源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 基本安全產(chǎn)品部署 主要人員的培訓(xùn)教育 建立 安全團(tuán)隊(duì) 制定安全方針政策 評(píng)估并 了解現(xiàn)狀 各個(gè)階段的主要工作任務(wù) 成熟度 時(shí)間 盲目自信 階段 認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng) 階段 福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布 來(lái)源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 啟動(dòng)信息安全戰(zhàn)略項(xiàng)目 設(shè)計(jì)信息安全架構(gòu) 建立信息安全流程 完成信息安全改進(jìn)項(xiàng)目 各個(gè)階段的主要工作任務(wù) 成熟度 時(shí)間 盲目自信 階段 認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng) 階段 福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布 來(lái)源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 信息安全流程的持續(xù)改進(jìn) 追蹤技術(shù)和業(yè)務(wù)的變化 怎么做風(fēng)險(xiǎn)評(píng)估？ —— 可能的攻擊 信息的價(jià)值 可能的損失 風(fēng)險(xiǎn)評(píng)估簡(jiǎn)要版 資產(chǎn) 威脅 影響 弱點(diǎn) 控制 可能性 + = 當(dāng)前的危險(xiǎn)級(jí)別 風(fēng)險(xiǎn)分析方法示意圖 損失的量化必須圍繞用戶的核心價(jià)值，用戶的核心業(yè)務(wù)流程 如何量化損失 企 業(yè) 風(fēng) 險(xiǎn) 管 理 （ E R M ）信 用 風(fēng) 險(xiǎn) 市 場(chǎng) 風(fēng) 險(xiǎn) 運(yùn) 營(yíng) 風(fēng) 險(xiǎn)I T 風(fēng) 險(xiǎn) 項(xiàng) 目 風(fēng) 險(xiǎn) 設(shè) 施 風(fēng) 險(xiǎn) 法 律 風(fēng) 險(xiǎn)安 全業(yè) 務(wù) 連 續(xù) 性項(xiàng) 目等 等運(yùn) 營(yíng) 風(fēng) 險(xiǎn) 關(guān) 注 ：怎 么 做 ？核 心 風(fēng) 險(xiǎn) 關(guān) 注 ：做 什 么 ？?jī)?nèi) 部 欺 詐外 部 欺 詐產(chǎn) 品交 付客 戶物 理 資 產(chǎn) 的 損 失工 作 場(chǎng) 所 安 全業(yè) 務(wù) 行 為員 工 行 為風(fēng)險(xiǎn)管理趨勢(shì) ? IT安全風(fēng)險(xiǎn)成為企業(yè)運(yùn)營(yíng)風(fēng)險(xiǎn)中最為重要的一個(gè)組成部分，業(yè)務(wù)連續(xù)性逐漸與安全并行考慮 來(lái)源： Gartner 否 是 否 是 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 已有安全措施的確認(rèn) 風(fēng)險(xiǎn)計(jì)算 風(fēng) 險(xiǎn) 是 否接受 保持已有的控制措施 施施施 選擇適當(dāng)?shù)目刂拼胧┎⒃u(píng)估殘余風(fēng)險(xiǎn) 實(shí)施風(fēng)險(xiǎn)管理 脆弱性識(shí)別 威脅識(shí)別 資產(chǎn)識(shí)別 是否接受殘余風(fēng)險(xiǎn) 風(fēng)險(xiǎn)識(shí)別 評(píng)估過(guò)程文檔 評(píng)估過(guò)程文檔 風(fēng)險(xiǎn)評(píng)估結(jié)果記錄 評(píng)估結(jié)果文檔 ………………… 等級(jí)保護(hù)下風(fēng)險(xiǎn)評(píng)估實(shí)施框架 保護(hù)對(duì)象劃分和定級(jí) 網(wǎng)絡(luò)系統(tǒng)劃分和定級(jí) 資產(chǎn) 脆弱性 威脅 風(fēng)險(xiǎn)分析 基本安全要求 等級(jí)保護(hù)管理辦法、指南 信息安全政策、標(biāo)準(zhǔn)、法律法規(guī) 安全需求 風(fēng)險(xiǎn)列表 安全規(guī)劃 風(fēng)險(xiǎn)評(píng)估 42 風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過(guò)程 計(jì)劃 準(zhǔn)備 實(shí)施 報(bào)告 跟蹤 43 評(píng)估工作各角色的責(zé)任 評(píng)估組長(zhǎng) 評(píng)估員 電網(wǎng)公司安全專責(zé) ?負(fù)責(zé)管理問(wèn)卷訪談和運(yùn)維問(wèn)卷訪談； ?組織評(píng)估活動(dòng)，控制協(xié)調(diào)進(jìn)度，保證按計(jì)劃完成評(píng)估任務(wù)； ?組織召開(kāi)評(píng)估會(huì)議； ?代表評(píng)估小組與受評(píng)估方管理層接觸； ?組織撰寫風(fēng)險(xiǎn)評(píng)估報(bào)告、現(xiàn)狀報(bào)告和安全改進(jìn)建議 ?提交評(píng)估報(bào)告。 人 ? 信息系統(tǒng)的安全往往取決于系統(tǒng) 中最薄弱的環(huán)節(jié) 人。 024681012物理安全網(wǎng)絡(luò)安全數(shù)據(jù)安全主機(jī)安全應(yīng)用安全0246810物理安全網(wǎng)絡(luò)安全數(shù)據(jù)安全主機(jī)安全應(yīng)用安全為什么需要進(jìn)行風(fēng)險(xiǎn)評(píng)估？ —— 該買辣椒水呢還是請(qǐng)保鏢？ 什么樣的信息系統(tǒng)才是安全的 ? 如何確保信息系統(tǒng)的安全 ? 兩個(gè)基本問(wèn)題 什么樣的信息系統(tǒng)才是安全的 ? 如何確保信息系統(tǒng)的安全 ? 風(fēng)險(xiǎn)分析 風(fēng)險(xiǎn)管理 基本問(wèn)題的答案 潛在損失 在可以承受 范圍 之內(nèi)的系統(tǒng) 風(fēng)險(xiǎn)分析 安全決策 風(fēng)險(xiǎn)管理 兩個(gè)答案的相關(guān)性 信息安全的演化 概念的演化和技術(shù)的演化同步 可信是保障概念的延續(xù) 信息安全的事實(shí) 廣泛 ? 安全是一個(gè)廣泛的主題， 它涉及到許多不同的區(qū)域（物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、管理等），每個(gè)區(qū)域都有其相關(guān)的風(fēng)險(xiǎn)、威脅及解決方法。 ? 實(shí)施安全控制后會(huì)有殘留風(fēng)險(xiǎn)或殘存風(fēng)險(xiǎn)（ Residual Risk）。 ? 避免風(fēng)險(xiǎn)（ Avoid Risk） —— 通過(guò)消除可能導(dǎo)致風(fēng)險(xiǎn)發(fā)生的條件來(lái)避免風(fēng)險(xiǎn)的發(fā)生，如將公司內(nèi)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1